Política de privacidad

Esta política explica qué datos personales tratamos cuando usas la aplicación Duoly y la web https://duo-ly.com, para qué, con qué base legal, con quién los compartimos, cuánto tiempo los guardamos y cómo puedes ejercer tus derechos. Se aplica el Reglamento General de Protección de Datos (RGPD), la Ley Orgánica 3/2018 de Protección de Datos y garantía de los derechos digitales (LOPDGDD) y la Ley 34/2002 de servicios de la sociedad de la información (LSSI).

1. Quién es el responsable

Responsable del tratamiento

Duoly S.L.U.

Correo de contacto

info@duo-ly.com

Privacidad y derechos

rgpd@duo-ly.com

Soporte

soporte@duo-ly.com

Para cualquier cuestión sobre privacidad escribe a rgpd@duo-ly.com.

2. Qué datos tratamos

• Cuenta: nombre, correo electrónico, identificador interno, proveedor de acceso (correo, Apple o Google), avatar, fecha de inicio de la relación y preferencias de la app.
• Vida compartida: pareja vinculada, calendario y turnos, notas y dibujos, listas de la compra, tareas y organización doméstica.
• Finanzas: gastos, préstamos e inversiones que decidas registrar. La configuración de nómina se guarda cifrada solo en tu dispositivo; el PDF o la foto de la nómina se procesa en el propio móvil y no se sube a Duoly.
• Salud e intimidad (categorías especiales, art. 9 RGPD): ciclo menstrual, síntomas y embarazo; actividad sexual; medicación y farmacia; estado de ánimo.
• Datos técnicos: token de notificaciones, versión de la app y del sistema, registros de envío de notificaciones, errores y eventos de seguridad.
• Web: correo de la lista de espera, mensajes de soporte y datos técnicos imprescindibles para servir la página (dirección IP en los registros del alojamiento). La web no usa cookies.

3. Para qué los usamos y con qué base legal

• Crear tu cuenta, prestar el servicio y sincronizarlo con tu pareja (calendario, compras, finanzas, notas): ejecución del contrato (art. 6.1.b RGPD).
• Tratar datos de salud e intimidad: tu consentimiento explícito (art. 9.2.a RGPD), que pedimos por separado para cada categoría. Ver apartado 4.
• Compartir con tu pareja los datos de cada módulo: ejecución del contrato para los módulos generales y consentimiento explícito para los de salud. Solo ocurre cuando lo activas.
• Enviar recordatorios y avisos que tú configuras: ejecución del contrato. Puedes desactivarlos en los ajustes del móvil o de la app.
• Seguridad, prevención de abuso y fraude, límites de uso y registros técnicos: interés legítimo (art. 6.1.f RGPD) en mantener el servicio seguro.
• Informes de errores (Sentry): interés legítimo en detectar y corregir fallos, solo si está habilitado y sin datos de salud ni contenido personal.
• Analítica de uso (PostHog): tu consentimiento (art. 6.1.a RGPD). Está desactivada por defecto y no incluye eventos de salud.
• Cumplir obligaciones legales: obligación legal (art. 6.1.c RGPD).
• Lista de espera de la web: tu consentimiento para avisarte del lanzamiento y, solo si lo marcas aparte, para enviarte comunicaciones comerciales (art. 21 LSSI).
• Atender solicitudes de soporte y de derechos: obligación legal e interés legítimo.

4. Datos de salud: consentimiento explícito por categoría

Los módulos de salud están desactivados por defecto. Antes de guardar cualquier dato de las siguientes categorías, la app te pide un consentimiento explícito, separado y con la casilla sin marcar:

• Ciclo: fechas de regla, síntomas, notas, embarazo y semanas de gestación.
• Sexualidad: registros de relaciones y datos relacionados.
• Medicación: medicamentos, tomas, recordatorios y farmacia.
• Estado de ánimo: el estado que muestras en tu perfil.

Guardamos en el servidor qué consentimiento diste, para qué categoría, con qué versión de esta política y en qué fecha. Puedes retirarlo en cualquier momento en Perfil > Privacidad y seguridad. Al retirarlo, se borran los datos de esa categoría y se deja de compartir con tu pareja. Retirar el consentimiento no afecta a la licitud del tratamiento anterior.

5. Qué ve tu pareja

• Nada de salud, intimidad, farmacia ni estado de ánimo se comparte salvo que tú actives expresamente esa categoría. Algunas categorías exigen que los dos lo activéis.
• En los registros compartidos (por ejemplo, un evento, un gasto o un registro de sexualidad) pueden aparecer datos de ambas personas. Cada una es responsable de introducir solo información que tenga derecho a compartir.
• Cuando invitas a alguien, guardamos su correo electrónico, junto con tu nombre como remitente, hasta que la acepte, la rechace o caduque (14 días), aunque esa persona aún no tenga cuenta. Solo usamos ese correo para gestionar la invitación.
• Desvincularos corta el acceso futuro de la otra persona a tus datos. Las notas de pareja se borran automáticamente a las 24 horas.

6. Predicciones automáticas

Duoly calcula estimaciones de regla, días fértiles, probabilidad de embarazo o fecha probable de parto a partir de los datos que introduces. Son orientativas: no son un diagnóstico, no son un método anticonceptivo y no sustituyen el consejo de un profesional sanitario. No tomamos decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos o te afecten de forma significativa (art. 22 RGPD).

7. Datos que se quedan en tu móvil

• Biometría: el bloqueo con Face ID, Touch ID o huella lo gestiona el sistema operativo. Duoly nunca recibe ni guarda tu huella o tu cara.
• Calendario del móvil: la importación se hace en el dispositivo. Solo se sincronizan los eventos que eliges importar.
• Nómina: el reconocimiento de texto (Google ML Kit en Android) se ejecuta en el propio dispositivo.
• Cachés: la app guarda copias cifradas en el almacenamiento seguro del móvil para funcionar sin conexión. Se borran al cerrar sesión o eliminar la cuenta.

8. Proveedores y terceros

Contamos con proveedores que tratan datos por cuenta nuestra (encargados del tratamiento) con contrato del art. 28 RGPD, y con servicios externos que reciben datos mínimos para funcionar:

• Supabase: base de datos, autenticación, almacenamiento de avatares y funciones del servidor. Región UE (Estocolmo, Suecia).
• Expo (650 Industries): envío de notificaciones push (token del dispositivo y texto de la notificación, que es genérico en los avisos de salud). EE. UU.
• Apple: inicio de sesión con Apple, distribución en App Store y notificaciones en iOS.
• Google: inicio de sesión con Google, distribución en Google Play y notificaciones en Android. Google ML Kit se usa para reconocer texto en el propio dispositivo.
• PostHog: analítica de uso, alojada en la UE, solo si das tu consentimiento.
• Sentry (Functional Software): informes de fallos, solo si está habilitado, sin datos personales identificativos ni de salud.
• Netlify: alojamiento de la web y formulario de la lista de espera (correo y consentimientos). EE. UU.
• AEMPS – CIMA (Agencia Española de Medicamentos): cuando buscas un medicamento, recibe el texto de búsqueda y tu IP, sin datos de tu cuenta.
• Open-Meteo: previsión del tiempo en la vista semanal. Recibe unas coordenadas genéricas fijas (Madrid) y tu IP, nunca tu ubicación real.
• CoinGecko, Yahoo Finance y Alpha Vantage: precios de mercado en Inversiones. Solo reciben el texto de búsqueda o el símbolo del activo (por ejemplo, «BTC») y tu IP, nunca importes ni datos de tu cuenta.

No vendemos tus datos ni los usamos para publicidad personalizada.

9. Transferencias internacionales

Cuando un proveedor trata datos fuera del Espacio Económico Europeo, lo hacemos con garantías del capítulo V del RGPD:

• Expo, Sentry y Netlify (EE. UU.): Marco de Privacidad de Datos UE-EE. UU. cuando la empresa está certificada y, en su defecto, cláusulas contractuales tipo de la Comisión Europea (verificar con cada proveedor).
• Apple y Google (EE. UU.): Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo (verificar con cada proveedor).
• CoinGecko, Yahoo Finance y Alpha Vantage: solo reciben símbolos de activos, sin datos de la cuenta; la IP se transmite en la conexión (verificar con cada proveedor).

10. Cuánto tiempo guardamos los datos

• Cuenta y contenido: mientras la cuenta esté activa, hasta que la elimines.
• Notas de pareja: 24 horas desde su creación.
• Registros de envío de notificaciones: 30 días.
• Invitaciones pendientes: hasta 14 días.
• Datos de una categoría de salud: hasta que retires el consentimiento o elimines la cuenta.
• Copias de seguridad de Supabase: según el ciclo de copias del proveedor; se sobrescriben automáticamente y solo se usarían para recuperación ante desastres.
• Soporte: hasta 12 meses después de resolver la solicitud.
• Lista de espera: hasta el lanzamiento y como máximo 12 meses después, salvo que te des de baja antes.
• Datos de facturación: los plazos que exija la ley fiscal y mercantil.

11. Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, y retirar tus consentimientos en cualquier momento:

• Portabilidad y acceso: en la app, Perfil > Exportar mis datos genera un archivo JSON con todos tus datos.
• Supresión: en la app, Perfil > Eliminar cuenta. Consulta qué se elimina.
• Retirar consentimientos de salud: Perfil > Privacidad y seguridad.
• Por correo: escribe a rgpd@duo-ly.com desde el correo de tu cuenta. Responderemos en un plazo máximo de un mes, ampliable en los casos que prevé el RGPD.

Si crees que no hemos tratado bien tus datos, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

12. Seguridad

Aplicamos cifrado en tránsito, control de acceso por fila en la base de datos, almacenamiento cifrado en el dispositivo y minimización de datos. Ningún sistema es infalible. Si se produce una brecha que suponga un riesgo alto para ti, te lo comunicaremos.

13. Menores

Duoly es solo para mayores de 18 años. Si sabemos que una cuenta pertenece a un menor, la eliminaremos.

14. Cambios en esta política

Si hacemos cambios relevantes te avisaremos en la app antes de que se apliquen y, cuando haga falta, te pediremos de nuevo el consentimiento. En la parte superior de esta página se indican la fecha y la versión vigentes.