Política de Privacidad

La versión corta

Outrun es una app de pago, sin publicidad y sin plan gratuito. Ganamos dinero con las suscripciones, no con tus datos.

• Nunca vendemos tus datos, ni los compartimos con intermediarios de datos.
• Nunca usamos tus datos de salud o fitness para publicidad. Ni la nuestra ni la de nadie.
• No te seguimos por otras apps ni por otras webs. Outrun no muestra el aviso de ATT porque no tiene nada que pedirte.
• Puedes exportar todo lo que guardamos sobre ti, o borrar tu cuenta entera, desde dentro de la app cuando quieras.

El resto de esta página explica exactamente qué recogemos, para qué, quién lo procesa por encargo nuestro y cuánto tiempo lo guardamos.

Quiénes somos

Outrun (la «app») la ofrece Zonder Solutions, S.L., sociedad de responsabilidad limitada española con NIF B75573626, domicilio social en Carrer de Magarola 36, 08196 Sant Cugat del Vallès, Barcelona, España. Correo: [email protected]. Estos datos identificativos se publican en cumplimiento del artículo 10 de la Ley 34/2002 de servicios de la sociedad de la información y de comercio electrónico (LSSI-CE).

A efectos del Reglamento (UE) 2016/679 (RGPD) y de la Ley Orgánica 3/2018 (LOPDGDD), esa sociedad es el responsable del tratamiento de los datos personales descritos en esta página. Para las personas usuarias del Reino Unido, la misma sociedad es el responsable conforme al RGPD británico.

No se ha designado representante del artículo 27, y no es necesario. Esa obligación recae sobre responsables establecidos fuera de la Unión Europea. Estamos establecidos en España, así que tratas directamente con el responsable.

No se ha designado delegado de protección de datos. El artículo 37(1) lo exige cuando el tratamiento lo lleva a cabo una autoridad pública, cuando las actividades principales consisten en la observación habitual y sistemática a gran escala, o cuando consisten en el tratamiento a gran escala de categorías especiales de datos. Nada de eso ocurre aquí: Outrun trata datos de salud únicamente para la persona usuaria que los aportó, en su propio beneficio, y no observa a nadie. Lo revisamos periódicamente, porque la valoración depende de la escala y la escala puede cambiar. De la privacidad nos ocupamos en [email protected].

Autoridad de control. Nuestra autoridad de control principal es la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid, https://www.aepd.es. Puedes reclamar ante ella, o ante la autoridad de control del país donde vivas o trabajes.

Qué recoge Outrun

Todo lo de abajo se recoge porque una función que tú usas lo necesita. Nada de esto se recoge para publicidad.

Ubicación precisa. Si registras un entreno al aire libre con GPS, Apple Health guarda la ruta y Outrun sube una versión simplificada junto a ese entreno para que el detalle de tu carrera esté completo. Eso son datos de ubicación precisa y así los declaramos en nuestra etiqueta de privacidad de la App Store. Outrun no pide permiso de ubicación por su cuenta, no te sigue en segundo plano y solo recibe una ruta que ya venía asociada a un entreno que nos autorizaste a leer.

No recogemos tus contactos, ni tu historial de navegación, ni ningún identificador publicitario.

Lo que deliberadamente no hacemos

Outrun no muestra publicidad, no incluye SDK publicitarios de terceros y no participa en seguimiento entre apps. En el manifiesto de privacidad de la app, NSPrivacyTracking está en false, y no se muestra el aviso de App Tracking Transparency porque no hay nada que seguir.

Información sensible

Dos de las respuestas que Outrun pide pueden revelar algo más que tu forma física, así que las señalamos en vez de dejarlas dentro de «datos de actividad»:

• Necesidades dietéticas. Elegir halal o kosher puede revelar creencias religiosas. Elegir una exclusión médica puede revelar una condición de salud.
• Lesiones y limitaciones. Lo que le cuentas al coach para que lo tenga en cuenta es información de salud sobre ti.

Ambas se usan para una sola cosa —que tu plan y tus comidas no propongan aquello que no puedes o no quieres comer o hacer— y ambas se incluyen en el contexto que se envía a los proveedores de IA descritos más abajo, porque un plan que las ignorase sería inútil o inseguro. No las usamos para publicidad, elaboración de perfiles ni ninguna decisión con efectos jurídicos, y no las compartimos con nadie más allá de los encargados del tratamiento que se listan aquí.

Ambas son categorías especiales de datos conforme al artículo 9(1) del RGPD: una elección dietética puede revelar creencias religiosas, y una lesión es un dato de salud. Las tratamos únicamente con tu consentimiento explícito conforme al artículo 9(2)(a), que se recoge en dos momentos: el texto de consentimiento que acompaña al botón de crear cuenta, y la pantalla que se muestra justo antes de generar tu primer plan, que te dice que tus respuestas se envían a un proveedor de IA y enlaza a esta página. Pasar por esas pantallas es un acto afirmativo, específico e informado, y nada de esta categoría se trata antes.

Puedes retirar ese consentimiento cuando quieras borrando tu cuenta, lo que destruye las respuestas subyacentes. La retirada no afecta al tratamiento realizado antes de retirarlo. Si lo retiras, Outrun ya no puede generar un plan personalizado, porque no queda nada con lo que personalizarlo: eso es una consecuencia de la retirada, no una penalización por ella.

Datos de Apple Health

Los datos de salud tienen su propia sección porque merecen un trato más estricto, y porque Apple nos exige ser explícitos.

Outrun lee — solo las categorías que apruebes, y solo después de que des permiso en la hoja de permisos de Salud: entrenamientos, sueño, frecuencia cardiaca, número de pasos, peso corporal y rutas de entrenamiento.

Outrun escribe — los entrenamientos y el peso corporal que registras dentro de Outrun se guardan de vuelta en Apple Health para que cuenten en tus anillos de actividad y sean coherentes con tus otras apps. Las entradas que crea Outrun quedan marcadas para poder encontrarlas y eliminarlas si borras la original.

Nuestros compromisos con los datos de salud, que reflejan los requisitos de HealthKit de Apple:

• Los datos de salud nunca se usan para publicidad, marketing ni ningún servicio similar.
• Los datos de salud nunca se venden a nadie, incluidos intermediarios de datos y aseguradoras.
• Los datos de salud nunca se comparten con terceros, salvo con los proveedores de infraestructura listados más abajo, que los almacenan o procesan estrictamente siguiendo nuestras instrucciones.
• Los datos de salud no se usan para ningún fin que no sea tu propia salud, tu forma física y tu entrenamiento dentro de Outrun.

Puedes retirar el acceso a Salud cuando quieras en Ajustes del iPhone → Apps → Salud → Acceso a datos y dispositivos → Outrun. Outrun sigue siendo plenamente utilizable con el acceso denegado; el plan simplemente se apoya en lo que registres a mano.

El coach con IA y tus datos

El coach de Outrun, la generación del plan y las estimaciones de comida los producen modelos de lenguaje de terceros, enrutados a través de OpenRouter. Así funciona.

• Minimizamos lo que se envía. El contexto que construimos para una llamada al modelo lleva tu nombre de pila, las cifras de entreno y nutrición relevantes para la pregunta, y la propia conversación. No lleva tu correo, ni tu identificador de cuenta, ni tus tokens de autenticación.
• Enrutamos solo a proveedores que no retienen datos. Cada petición a un modelo activa una marca de retención cero, que limita el enrutado a proveedores que no conservan los datos de la petición ni entrenan con ellos. Esto cubre mensajes del coach, generación del plan, extracción de comida, comprobaciones de seguridad, análisis de imágenes y voz a texto, incluidas las fotos de comidas adjuntas.
• La salida del modelo se genera, no se verifica. Las respuestas del coach, los planes y las estimaciones de calorías los genera una IA y pueden estar mal. Outrun marca las estimaciones como estimaciones.
• Tus registros no son datos de entrenamiento. No usamos tu contenido para entrenar modelos propios ni lo cedemos a nadie con ese fin.

Por qué podemos tratar tus datos

Cada finalidad de las que siguen tiene una base jurídica conforme al artículo 6 del RGPD. Cuando el dato es de salud o pertenece a otra categoría especial, tiene además una condición del artículo 9.

Cuando nos apoyamos en el interés legítimo, hemos ponderado nuestro interés frente a tus derechos y concluido que no prevalece sobre ellos. En resumen: el dato es mínimo y de primera parte, está alojado en la UE, nunca se usa para publicidad, nunca se vende, nunca se combina con datos de otras empresas y nunca se usa para elaborar perfiles ni para tomar decisiones sobre ti. La analítica ni siquiera se ejecuta hasta que tienes cuenta y has aceptado las condiciones. Tienes derecho absoluto a oponerte al tratamiento basado en interés legítimo: escribe a [email protected] y pararemos, salvo que podamos acreditar motivos imperiosos que prevalezcan sobre tu oposición, cosa que en analítica no intentaríamos.

Cuando nos apoyamos en el consentimiento, puedes retirarlo cuando quieras, y retirarlo es tan fácil como darlo: revoca el acceso a Apple Salud en los Ajustes del iPhone, o borra tu cuenta desde la app. La retirada no afecta a la licitud del tratamiento anterior.

Decisiones automatizadas y elaboración de perfiles

Outrun no toma decisiones sobre ti que produzcan efectos jurídicos o te afecten significativamente de modo similar, en el sentido del artículo 22 del RGPD. Tu plan se genera automáticamente, pero es una propuesta: no tiene consecuencia jurídica ni económica, cada cambio que propone el coach se te presenta para que lo apruebes antes de aplicarse, y puedes editarlo o ignorarlo. No usamos tus datos para puntuarte, clasificarte ni categorizarte, ni para decidir si puedes contratar o mantener la suscripción.

Antes de que tengas una cuenta

Outrun te crea un plan al final de las preguntas de registro, antes de que crees una cuenta. Para eso envía tus respuestas —incluidas altura, peso, lesiones y necesidades dietéticas— a nuestra API y de ahí a un proveedor de modelos. La pantalla anterior te lo dice, con enlaces a esta página y a las Condiciones, y continuar es lo que lo pone en marcha.

Esa petición no lleva nombre, ni correo, ni identificador de cuenta, porque todavía no existen. Nada de lo que ocurre ahí se guarda asociado a una persona salvo que después crees una cuenta.

Quién procesa tus datos por nosotros

Usamos un número reducido de proveedores («encargados del tratamiento»). Cada uno está contractualmente limitado a tratar tus datos siguiendo nuestras instrucciones.

La analítica no se activa hasta que tienes una cuenta. La analítica de producto permanece desactivada desde que se abre la app y solo se activa cuando has creado una cuenta y aceptado las condiciones, de modo que no se mide nada antes de habértelo contado. Al cerrar sesión vuelve a desactivarse.

No vendemos datos personales y no los cedemos para publicidad conductual entre contextos, bajo ninguna de las definiciones de las leyes de privacidad estatales de EE. UU.

Dónde se guardan tus datos, y cuándo salen del EEE

Todo lo que guardamos se guarda en el Espacio Económico Europeo. En concreto:

• Supabase —tu cuenta, tus registros y tus fotos subidas— está alojado en eu-west-1 (Irlanda).
• Fly.io —la API que da servicio a la app— se ejecuta en París (cdg).
• PostHog —analítica de producto— es la instancia europea en eu.i.posthog.com.

Aun así, parte del tratamiento implica una transferencia fuera del EEE, y te decimos cuál:

Para todas ellas nos amparamos en el artículo 46(2)(c) del RGPD. Hemos realizado una evaluación de impacto de las transferencias que cubre la legislación del país de destino sobre acceso gubernamental, las categorías de datos implicadas y las medidas complementarias aplicadas: cifrado en tránsito, minimización de lo que se envía y, en el caso concreto de las peticiones a modelos, un indicador de no retención que impide que el contenido se almacene o se use para entrenar. Para personas usuarias del Reino Unido, las mismas transferencias se realizan bajo el Addendum británico de transferencia internacional de datos.

Qué no se transfiere nunca. No enviamos tu dirección de correo, tu identificador de cuenta ni tus tokens de autenticación a ningún proveedor de modelos. Tus datos de Apple Salud permanecen en tu dispositivo y en nuestra base de datos europea; no se envían a un proveedor de modelos salvo que una cifra concreta por la que preguntes forme parte de la pregunta que has hecho.

Puedes pedirnos copia de las garantías en las que nos amparamos escribiendo a [email protected].

Cuánto tiempo guardamos tus datos

• El contenido de tu cuenta —planes, registros, historial del coach, fotos— se guarda mientras exista tu cuenta.

• Los eventos brutos de uso de IA y de analítica se eliminan automáticamente en una ventana móvil de 400 días (unos 13 meses). Las estadísticas agregadas y no identificativas pueden conservarse más tiempo.

• Borrar tu cuenta es un borrado real. Tus planes, entrenos, registro de comidas, conversaciones con el coach, notas del diario, medidas corporales, importaciones de Apple Health, rutas de entreno y todas las fotos, adjuntos y notas de voz subidas se destruyen, no se limitan a desvincularse de tu nombre. Es inmediato y no se puede deshacer.

• Sobreviven tres cosas, y ninguna te describe. Los registros de uso y coste de IA, los de suscripción y pago, y una traza de auditoría de acciones administrativas se conservan, porque tenemos que poder rendir cuentas de lo que cobramos y lo que gastamos. Se reasignan a un marcador anónimo, de modo que lo que queda es «una cuenta de identidad desconocida consumió N tokens en esta fecha», sin forma de volver hasta ti.

• La prueba de que aceptaste estas condiciones —qué versión aceptaste y cuándo— se conserva por la misma razón, porque necesitamos poder demostrar que se dio el consentimiento. No contiene ningún otro dato personal.

• Los registros contables, de facturación y fiscales se conservan durante el tiempo que la ley española nos obliga a conservarlos: seis años para los libros y la documentación mercantil conforme al artículo 30 del Código de Comercio, y cuatro años a efectos tributarios conforme al artículo 66 de la Ley General Tributaria, contados desde el fin del periodo correspondiente. Estos registros acreditan qué se cobró y cuándo. Se conservan borres o no tu cuenta, porque no nos está permitido destruirlos a petición.

• Los registros conservados para defender una reclamación se guardan hasta que prescribe el plazo correspondiente, y después se borran.

La ventana de 400 días anterior es una decisión de política ya tomada, no un valor por defecto pendiente de pensar: son algo más de trece meses, lo justo para comparar un periodo con el mismo periodo del año anterior y nada más.

Tus derechos

Según dónde vivas, tienes algunos o todos estos derechos: acceso, rectificación, supresión, limitación, portabilidad, oposición y a retirar el consentimiento.

Los dos más importantes puedes ejercerlos tú mismo, al instante, sin pedírnoslo:

• Exportarlo todo. En la app: avatar → Ajustes → Exportar mis datos. Recibes un único archivo JSON legible por máquina con tu perfil, objetivos, planes, entrenamientos, registro de comida, conversaciones con el coach, medidas corporales, registros de suscripción y más.
• Borrarlo todo. En la app: avatar → Ajustes → Borrar cuenta.

En detalle, tienes derecho a:

• saber qué tenemos sobre ti y por qué (artículos 13 a 15);
• rectificarlo si está mal (artículo 16);
• suprimirlo (artículo 17) — el borrado desde la app lo hace de inmediato;
• limitar su uso mientras se resuelve una discrepancia sobre él (artículo 18);
• llevártelo en un formato legible por máquina (artículo 20) — la exportación desde la app lo hace;
• oponerte al tratamiento basado en interés legítimo (artículo 21);
• retirar el consentimiento cuando quieras, sin que afecte a lo que fue lícito antes (artículo 7(3));
• no ser objeto de decisiones exclusivamente automatizadas con efectos jurídicos o similares (artículo 22) — no tomamos ninguna, como se explica más arriba.

Para lo que los controles de la app no cubran, escribe a [email protected]. Respondemos en un mes, ampliable en dos meses más si la solicitud es compleja, en cuyo caso te lo diremos dentro del primer mes explicando por qué. Ejercer estos derechos es gratuito; solo podríamos cobrar un importe razonable o negarnos si una solicitud fuera manifiestamente infundada o excesiva, y si alguna vez ocurriera, explicaríamos el motivo.

Puede que necesitemos verificar que la solicitud viene realmente de ti antes de actuar, normalmente pidiéndote que la envíes desde la dirección de correo de la cuenta.

Reclamaciones. Si crees que hemos gestionado mal tus datos, dínoslo primero para que podamos arreglarlo. No estás obligado: puedes reclamar directamente ante la Agencia Española de Protección de Datos, C/ Jorge Juan 6, 28001 Madrid, https://www.aepd.es, o ante la autoridad de control del lugar donde vivas o trabajes. Las personas usuarias del Reino Unido pueden reclamar ante la Information Commissioner's Office en ico.org.uk. También tienes derecho a la tutela judicial efectiva conforme al artículo 79 del RGPD.

Si estás en Estados Unidos

Estos derechos se suman a los anteriores, conforme a la CCPA de California en su redacción dada por la CPRA y a leyes equivalentes de Virginia, Colorado, Connecticut, Utah, Texas y otros estados:

• No vendemos tu información personal ni la compartimos para publicidad conductual entre contextos, en el sentido que la CCPA da a esos términos. Nunca lo hemos hecho. Por eso no hay enlace de «Do Not Sell or Share My Personal Information»: no hay nada de lo que salirse.
• No usamos ni divulgamos información personal sensible —lo que incluye tus datos de salud— para ninguna finalidad distinta de prestarte el servicio que pediste, ni para ninguna de las que activarían el derecho a limitar su uso del §1798.121.
• Tienes derecho a conocer, suprimir, corregir y obtener una copia portable de tu información personal, y derecho a no sufrir discriminación por ejercer cualquiera de ellos. La exportación y el borrado desde la app sirven directamente a estos fines; para lo demás, escribe a [email protected].
• Puedes usar un agente autorizado; pediremos acreditación de la representación.
• Respetamos las señales Global Privacy Control que recibamos. Esta web no usa cookies ni ejecuta analítica, así que aquí no hay nada que una señal GPC pueda desactivar.

Aviso sobre incentivos económicos: ninguno. No hay programa de fidelización, descuento ni recompensa vinculado a cedernos datos.

Edad

Outrun no está pensado para menores. Tienes que tener al menos 16 años para crear una cuenta, y la app te pide confirmarlo al registrarte. Si detectamos que tenemos datos de alguien por debajo de esa edad, los borramos.

16 años es deliberadamente el listón más alto que contempla el RGPD. El artículo 8(1) fija la edad de consentimiento digital en 16 años y permite a los estados miembros rebajarla, nunca subirla: algunos bajan hasta los 13, y el propio umbral español es de 14 años conforme al artículo 7 de la LOPDGDD. Al exigir 16 en todas partes estamos en o por encima del umbral de todos los mercados de la UE y del EEE, del Reino Unido y de Estados Unidos, donde la referencia bajo COPPA son los 13 años. Ningún mercado exige una edad superior a la que aplicamos, así que una sola regla cumple en todos ellos sin lógica por país.

No recogemos conscientemente datos de nadie por debajo de esa edad. Si crees que un menor ha creado una cuenta, escribe a [email protected] y la borraremos junto con sus datos.

Seguridad

Los datos van cifrados en tránsito. El acceso a tus filas en la base de datos se controla a nivel de base de datos, así que una cuenta no puede leer los datos de otra. El acceso a los sistemas de producción está limitado a quien lo necesita.

En concreto: el tráfico va cifrado en tránsito con TLS; los datos en reposo los cifran nuestros proveedores de alojamiento; la seguridad a nivel de fila está activada en la base de datos, de modo que una cuenta no puede materialmente leer las filas de otra; los archivos subidos se guardan en rutas de almacenamiento por persona usuaria con la misma restricción; y el acceso administrativo a producción se limita al responsable.

Ningún sistema es perfectamente seguro, y no pretendemos lo contrario. Si se produce una violación de seguridad de los datos personales, lo notificaremos a la Agencia Española de Protección de Datos sin dilación indebida y, de ser posible, en un plazo de 72 horas desde que tengamos constancia, como exige el artículo 33 del RGPD. Cuando la violación entrañe un alto riesgo para tus derechos y libertades, te lo comunicaremos a ti directamente y sin dilación indebida conforme al artículo 34, contándote qué ha pasado, qué significa para ti y qué estamos haciendo al respecto.

Esta web

useoutrun.app es un sitio estático. No usa cookies, no ejecuta analítica, no incrusta scripts de terceros y carga sus tipografías desde su propio servidor, no desde una CDN de fuentes. Nada de lo que hagas aquí se rastrea, y por eso no hay ningún banner de cookies que cerrar.

Cambios

Si cambiamos esta política de forma que te afecte materialmente, te lo diremos en la app antes de que el cambio entre en vigor. La versión y la fecha de entrada en vigor están arriba, y la app registra qué versión aceptaste.

Contacto

Dudas de privacidad: [email protected] Todo lo demás: [email protected]