POLÍTICA DE PRIVACIDAD — iNuba App

Versión 2.1 · Vigente desde: 20 de julio de 2026 · Historial de versiones

Resumen de un vistazo

1. Responsable del tratamiento

3DHealthAI, S.L. («iNuba»), Polígono Industrial Los Vientos, C/ Levante, 1, 46119 Náquera (Valencia), España, NIF B-40644445. Delegado de Protección de Datos: dataprotection@inuba.com.

Esta política se aplica también cuando utilizas la App bajo la marca de una entidad colaboradora (versión white label): iNuba sigue siendo el responsable del tratamiento de tus datos en la App. Cuando accedes por esta vía, parte de tus datos no nos los facilitas tú, sino la entidad colaboradora (ver apartados 2.1 y 5); te informamos de ello conforme al artículo 14 del RGPD.

Doble rol en el ecosistema iNuba: iNuba es responsable de los datos que tú generas al usar la App, la cabina iNubaBox/Totem y tus dispositivos. Cuando te vinculas a un profesional o clínica a través de iNuba Clinic, ese profesional es responsable de los datos clínicos que él introduce manualmente sobre ti (notas, ficha clínica, informes), actuando iNuba como encargado del tratamiento por su cuenta. Determinados tratamientos del ecosistema (vinculación, historial de actividad, chat) se realizan de forma conjunta; los aspectos esenciales del acuerdo entre iNuba y tu profesional están a tu disposición previa solicitud.

2. Datos que tratamos

2.1 Cuenta y perfil

Correo electrónico, contraseña (que custodia nuestro proveedor de identidad, Google Firebase; iNuba no la almacena), idioma, dispositivo. Si te registras con Google o Apple, tu correo electrónico y los datos básicos de perfil que nos facilita el proveedor (también tu nombre y apellidos, que usamos para prerrellenar tu cuestionario inicial). Foto de perfil opcional. Si accedes a través de una versión white label, la entidad colaboradora nos comunica tus datos de identificación (nombre, correo electrónico, documento de identidad y fecha de nacimiento), tu estado de acceso y, cuando ella los tiene, datos de tu perfil de salud (origen étnico, patologías declaradas, sexo, altura y peso), para darte de alta y mantener tu acceso.

2.2 Cuestionario inicial y perfil de salud

Nombre y apellidos, fecha de nacimiento, sexo, origen étnico, país, altura, peso, objetivo, estilo de vida, tipo y frecuencia de actividad, y condiciones médicas. El origen étnico y las condiciones médicas son categorías especiales de datos: los tratamos con tu consentimiento explícito para calibrar correctamente las métricas y planes.

2.3 Datos de salud generados en la App

El origen de las métricas de salud queda registrado (introducido por ti, importado de la cabina, de un wearable o de tu profesional).

2.4 Wearables y plataformas de salud

Con tu autorización en el sistema operativo: Apple Health (lectura): sueño, entrenamientos, frecuencia cardiaca y en reposo, variabilidad (HRV), glucosa, oxígeno en sangre, presión arterial y pasos. No escribimos ningún dato en Apple Health. Health Connect – Android (lectura): pasos, sueño, entrenamientos, frecuencia cardiaca y en reposo, HRV, glucosa, oxígeno, presión, distancia y calorías. Sin escritura. Sincronización en segundo plano: la App puede recoger estos datos aunque esté cerrada, mediante tareas periódicas del sistema y avisos del propio sistema operativo. El envío se autentica con una clave técnica propia de tu usuario, revocable. Puedes revocar en cualquier momento los permisos de acceso a estos datos desde los ajustes de tu dispositivo.

2.5 Escaneo iNubaBox / Totem

Imágenes RGB (tres cámaras), termografía, bioimpedancia (dos básculas), respuestas al cuestionario previo (embarazo, marcapasos, prótesis), que se utilizan en el momento del escaneo para decidir si se realiza la bioimpedancia o no, y variables ambientales de la sesión que introduce tu profesional.

2.6 Citas, clases y consentimientos informados

Reservas, requisitos previos exigidos por tu profesional (respuestas a cuestionarios, mediciones, fotografías que subas y firma manuscrita digitalizada de documentos de consentimiento), asistencia, ausencias y penalizaciones aplicables, y listas de espera (nombre y teléfono).

2.7 Chat y comunicaciones

Mensajes con tu clínica/profesional y archivos adjuntos (que pueden contener datos de salud), etiquetados según el emisor (tú, un profesional o mensajes automáticos de la clínica). Notificaciones push operativas, asistenciales (recordatorio de medicación, avisos clínicos) y, con tu consentimiento, comerciales.

2.8 Compras y facturación

Pedidos, importes, método de pago (gestionado por Stripe; iNuba no ve tu tarjeta), correo electrónico comunicado a Stripe para el cobro y el recibo, y datos fiscales (NIF, código postal/dirección fiscal) cuando se requieren para facturar. Historial de compras y facturas.

2.9 Uso técnico

Identificadores de dispositivo, eventos de uso de la App (analítica), informes de error, registros de consentimiento (fecha, IP, dispositivo, idioma, versión y huella del documento aceptado).

2.10 Cuentas de demostración

Existen cuentas «demo» con datos sintéticos (no corresponden a personas reales) para que las clínicas prueben el producto; están excluidas de los ciclos de conservación de datos personales por no serlo.

3. Finalidades y bases jurídicas

Finalidad Base jurídica
Prestarte el servicio (cuenta, planes, monitor, avatar, chat, citas, tienda) Ejecución del contrato (art. 6.1.b RGPD) y, para los datos de salud, tu consentimiento explícito (art. 9.2.a)
Vinculación con tu profesional/clínica y acceso de éste a tus datos Tu consentimiento explícito (arts. 6.1.a y 9.2.a), otorgado al aceptar el enlace de vinculación; en las versiones white label de servicios de prevención o entidades sanitarias, la comunicación del resultado de tus escaneos a la entidad se ampara en tu consentimiento explícito otorgado en el registro, tratándolo la entidad conforme a su propia base jurídica (art. 9.2.h RGPD y normativa de vigilancia de la salud, en su caso)
Facturación, cobros y obligaciones fiscales Obligación legal (art. 6.1.c)
Comunicaciones operativas y asistenciales Ejecución del contrato (art. 6.1.b)
Comunicaciones comerciales (push/promos) Tu consentimiento (art. 6.1.a), revocable en Ajustes
Analítica de uso y mejora técnica (Firebase) Interés legítimo en la mejora del servicio (art. 6.1.f), con datos minimizados; en iOS sujeto además al permiso de seguimiento (ATT)
Seguridad, prevención del fraude y auditoría de consentimientos Interés legítimo (art. 6.1.f) y obligación de acreditación (art. 7.1)
Estadísticas agregadas y mejora con datos anonimizados (métricas, nunca imágenes) Interés legítimo y compatibilidad con fines estadísticos (arts. 6.1.f, 5.1.b y 89), con derecho de oposición. Ver apartado 4.2
Entrenamiento de la tecnología con imágenes e investigación asociada; cesión de datos individualizados anonimizados Tu consentimiento específico y separado por finalidad (arts. 6.1.a y 9.2.a, con salvaguardas del art. 89). Ver apartados 4.3 y 4.4

No adoptamos decisiones automatizadas con efectos jurídicos sobre ti (art. 22 RGPD): los planes son recomendaciones orientativas —no una prescripción médica ni consejo sanitario— y, cuando hay profesional vinculado, supervisados por él. Consulta con tu médico o profesional de confianza antes de iniciar cambios relevantes.

4. Cómo usamos tus imágenes y datos: qué funciona por defecto y qué controlas tú

4.1 Prestación del servicio, historial y evolución (por defecto: es el servicio)

Tus imágenes de escaneo, avatares 3D, termografías y métricas se almacenan y utilizan para generar tus resultados, tu historial y tu comparativa de evolución en el tiempo, mientras mantengas tu cuenta. Este uso incluye las operaciones técnicas necesarias para operar, mantener, asegurar la calidad y mejorar técnicamente el servicio que recibes (corrección de errores, calibración de resultados, seguridad), que forman parte de la prestación. Base jurídica: ejecución del contrato y tu consentimiento explícito de salud otorgado en el registro (arts. 6.1.b y 9.2.a RGPD). Estas imágenes y datos solo se eliminan si ejerces tu derecho de supresión o eliminas tu cuenta (aplicándose entonces los plazos de bloqueo legal del apartado 7).

4.2 Estadísticas agregadas y mejora con datos anonimizados (por defecto, con derecho de oposición)

Elaboramos estadísticas, análisis y estudios con datos anonimizados de forma irreversible y agregados —métricas y variables de salud; nunca imágenes— para mejorar nuestros servicios y para elaborar informes y conjuntos estadísticos del sector salud que podemos compartir o comercializar con terceros. Estos conjuntos ya no permiten identificarte y dejan de ser datos personales (considerando 26 RGPD). El paso previo de anonimización se apoya en nuestro interés legítimo y en su compatibilidad con fines estadísticos, con las salvaguardas del art. 89 (arts. 6.1.f y 5.1.b RGPD), tras la correspondiente evaluación de impacto y con un umbral mínimo de agregación.

Puedes oponerte en cualquier momento escribiendo a dataprotection@inuba.com: tus datos dejarán de incorporarse a los nuevos conjuntos que se generen a partir de ese momento (los ya anonimizados no pueden revertirse ni atribuirse a ti). Los datos de menores quedan excluidos.

4.3 Entrenamiento y mejora de nuestra tecnología con tus imágenes (requiere tu autorización)

Este tratamiento no está operativo todavía. Tus imágenes corporales y termografías pueden ayudarnos a entrenar y mejorar nuestra tecnología: el avatar 3D y nuevas funcionalidades de salud, así como la investigación científica asociada (con las salvaguardas del art. 89). Como las imágenes no pueden anonimizarse por completo, este uso solo se activa si tú lo autorizas mediante una casilla específica e independiente (arts. 6.1.a y 9.2.a RGPD), que te pediremos en el momento oportuno (por ejemplo, tras tu primer escaneo) y que podrás gestionar en Ajustes → Mis consentimientos.

Importante — qué pasa si retiras tu autorización: tus imágenes no se borran; siguen almacenadas para prestarte el servicio conforme al apartado 4.1. Simplemente dejan de utilizarse para el entrenamiento y se excluyen de los siguientes ciclos de mejora de los modelos. Los modelos ya entrenados no contienen datos personales identificables ni permiten la extracción individual inmediata, limitación que te comunicamos honestamente; dichos modelos podrán licenciarse a terceros del sector salud. Tus imágenes solo se eliminan si ejerces tu derecho de supresión. Retención para esta finalidad: mientras mantengas tu autorización y, en todo caso, no más allá de los plazos de conservación del apartado 7. Antes de activar este tratamiento se completará la evaluación de impacto exigida por el art. 35 RGPD.

4.4 Cesión de conjuntos de datos individualizados anonimizados a terceros (requiere tu autorización)

Además de las estadísticas agregadas del apartado 4.2, podremos elaborar conjuntos de datos individualizados anonimizados de forma irreversible (registros a nivel de persona que ya no permiten identificarte) y cederlos a terceros del sector salud —laboratorios, aseguradoras, instituciones académicas o fabricantes de productos sanitarios— con fines de investigación, estadística o desarrollo de productos y servicios de salud. Este tratamiento no está operativo todavía: cuando se active, se someterá previamente a una evaluación de impacto y a controles técnicos de anonimización con umbral mínimo de agregación, y te lo notificaremos. Esta cesión solo se activará si tú la autorizas mediante una casilla específica e independiente, que podrás revocar en cualquier momento en Ajustes → Mis consentimientos o escribiendo a dataprotection@inuba.com. Los datos de menores quedan excluidos, así como los procedentes de plataformas de salud y wearables de terceros (Apple Health, Health Connect y cualesquiera otras integraciones que se incorporen, como Garmin o Whoop), cuya cesión prohíben las condiciones de dichas plataformas. Ninguna imagen se cede a terceros.

Ninguno de los usos de este apartado condiciona el funcionamiento normal de la App: el servicio es el mismo actives o no las casillas y ejerzas o no tu oposición.

5. Destinatarios y encargados

6. Transferencias internacionales

Los servidores y copias de seguridad se ubican en la Unión Europea (Francia). Algunos proveedores (Google/Firebase, Stripe, RevenueCat, ActiveCampaign) pueden implicar transferencias a Estados Unidos; se amparan en el Marco de Privacidad de Datos UE-EE. UU. y/o cláusulas contractuales tipo. Puedes solicitar información adicional al DPO.

7. Plazos de conservación

8. Tus derechos

Puedes ejercer acceso, rectificación, supresión, oposición, limitación y portabilidad, y retirar cualquier consentimiento, en dataprotection@inuba.com o desde la App:

Plazo de respuesta: un mes (art. 12.3). Reclamaciones: Agencia Española de Protección de Datos (aepd.es).

9. Seguridad

Aplicamos cifrado en tránsito (TLS) en las comunicaciones con la App, control de acceso por identidad autenticada y claves de servicio, aislamiento lógico por cliente, verificación de la firma criptográfica del webhook de nuestro proveedor de pagos, agregación de datos en los procesos de análisis y copias de seguridad diarias cifradas de nuestras bases de datos, almacenadas en infraestructura independiente dentro de la Unión Europea. Ningún sistema es infalible; notificaremos las brechas conforme a los arts. 33-34 RGPD.

10. Menores

La App exige 16 años. No tratamos conscientemente datos de menores de 16; si tenemos conocimiento de una cuenta así, la eliminaremos. Los datos de menores quedan excluidos de los usos de los apartados 4.2 y 4.4.

11. Cambios en esta política

Publicaremos las nuevas versiones con su fecha de vigencia y huella digital, y solicitaremos tu re-aceptación cuando el cambio lo requiera. El historial de versiones está disponible en inuba.com/legal.