Política de privacidad

Ver índice rápido

• Alcance y definiciones
• Información que recopilamos
• Finalidades y bases legales
• Cookies y tecnologías similares
• Compartición y divulgación
• Transferencias internacionales
• Conservación
• Seguridad
• Tus derechos
• Privacidad en California (CCPA/CPRA)
• Menores
• Decisiones automatizadas
• Cambios en esta Política
• Contacto

1) Alcance y definiciones

Esta Política se aplica de forma integral a toda la información relativa a una persona física identificada o identificable ("Datos Personales" o "Información Personal"). A los efectos de esta Política, una persona física identificable es aquella que puede ser identificada, directa o indirectamente, en particular mediante un identificador como un nombre, un número de identificación, datos de localización o un identificador en línea, o mediante uno o varios factores propios de la identidad física, fisiológica, genética, mental, económica, cultural o social de dicha persona.

Esta Política cubre específicamente, entre otros: (a) la información recopilada durante los procesos de registro de cuenta y autenticación, incluidos direcciones de correo electrónico, códigos de un solo uso para iniciar sesión y tokens de verificación de identidad obtenidos a través de proveedores de autenticación de terceros como Google Sign-In y Apple Sign-In (las cuentas de Mellows no tienen contraseña); (b) el contenido que envías, como avatares de perfil, nombres para mostrar, entradas del diario de comportamiento, conversaciones con el asistente de IA y comentarios; (c) tus interacciones con los Servicios, incluidos tus favoritos, listas de reproducción, historial de reproducción y otro contenido personalizado; (d) la información técnica y del dispositivo recopilada automáticamente cuando accedes a los Servicios; (e) la información de pago y suscripción tratada en relación con funciones de pago o cuentas premium; y (f) cualquier comunicación, comentario, solicitud de soporte u otra información que nos proporciones a través de los canales de atención al cliente, correo electrónico, mensajería dentro de la app u otros métodos de comunicación.

Esta Política no se aplica a la información que ha sido debidamente anonimizada o agregada de tal manera que ya no pueda usarse para identificarte, ni por sí sola ni en combinación con otra información. Podemos usar y divulgar dicha información anonimizada o agregada para cualquier fin, ya que no se considera Datos Personales conforme a las leyes de privacidad aplicables.

2) Información que recopilamos

Recopilamos varias categorías de información para proporcionar, mantener, mejorar y proteger nuestros Servicios. La información que recopilamos se divide en varias categorías, tal como se detalla a continuación:

• Información de cuenta e identidad: Cuando creas una cuenta en Mellows, recopilamos tu dirección de correo electrónico, que sirve como identificador principal de tu cuenta y como canal de comunicación. Mellows te permite iniciar sesión sin contraseña (mediante un código de un solo uso enviado a tu correo, Sign in with Apple o Sign in with Google), por lo que normalmente no hay ninguna contraseña que nuestras apps deban almacenar. Cuando se usa una contraseña, nunca se guarda en texto plano; nuestro proveedor de autenticación la almacena con salt y hash. Si decides proporcionar un nombre para mostrar o información de perfil, también recopilamos y almacenamos esa información. Cuando te autenticas mediante servicios de terceros como Google Sign-In o Apple Sign-In, recibimos y almacenamos tokens de autenticación, la dirección de correo asociada a esa cuenta de terceros y, potencialmente, tu nombre y foto de perfil, según los permisos que concedas. Esta información es esencial para la gestión de cuentas, el control de acceso y la seguridad.
• Datos de uso e interacción: Recopilamos información detallada sobre cómo interactúas con nuestros Servicios. Esto incluye tus favoritos. También recopilamos información sobre tus acciones dentro de la app, incluidas búsquedas, filtros aplicados, contenido visualizado, historial de reproducción, duración de las sesiones, patrones de uso de funciones, configuraciones y preferencias que hayas especificado. Estos datos nos ayudan a entender cómo se interactúa con nuestros Servicios y nos permiten mejorar la funcionalidad, recomendar contenido y ofrecer una experiencia personalizada adaptada a tus preferencias.
• Información técnica y del dispositivo: Cuando accedes a nuestros Servicios, recopilamos automáticamente cierta información técnica sobre tu dispositivo y sobre cómo te conectas a nuestros Servicios. Esto incluye el tipo, modelo y fabricante de tu dispositivo; el nombre y la versión del sistema operativo; identificadores únicos del dispositivo (como el ID del dispositivo); dirección IP y ubicación geográfica aproximada derivada de tu dirección IP (a nivel de país y de estado/provincia; no a nivel de ciudad); configuración de idioma y región; zona horaria; horas de acceso y marcas de tiempo de cada sesión; datos de secuencia de clics que muestran las páginas o funciones a las que accediste y en qué orden; y métricas de rendimiento como tiempos de respuesta del servidor y tasas de error. También recopilamos información de diagnóstico y depuración, incluidos informes de fallos, registros de errores, registros del sistema y datos técnicos de diagnóstico que nos ayudan a identificar y corregir errores, mejorar la estabilidad y optimizar el rendimiento. Esta información es crucial para brindar soporte técnico, garantizar la compatibilidad entre distintos dispositivos y plataformas, detectar y prevenir actividades fraudulentas, y mantener la seguridad e integridad de nuestros Servicios.
• Información de pago y suscripción: Si te suscribes a funciones premium, compras productos dentro de la app o realizas cualquier pago a través de nuestros Servicios, recopilamos información relacionada con tu suscripción y facturación. Esto incluye el nivel o tipo de plan de suscripción, el estado de la suscripción (activa, cancelada, caducada, prueba), las fechas de inicio y renovación, la frecuencia de facturación y el ID de la transacción. Ten en cuenta que las compras se realizan a través del App Store de Apple como compras dentro de la app. Apple procesa tu pago en su totalidad; Mellows nunca recibe, accede ni almacena los datos de tu tarjeta de pago (número de tarjeta, CVV o fecha de caducidad). Solo recibimos tu estado de suscripción y los identificadores de transacción necesarios para desbloquear y gestionar tu suscripción. Este enfoque garantiza el máximo nivel de seguridad para tu información financiera y, al mismo tiempo, nos permite gestionar tu suscripción y ofrecerte soporte de facturación.
• Comunicaciones y soporte: Cuando nos contactas para recibir soporte, informar de problemas, enviar comentarios o comunicarte con nosotros por cualquier canal (incluidos correo electrónico, chat de soporte dentro de la app, formularios de contacto, redes sociales o tickets de ayuda), recopilamos el contenido de esas comunicaciones. Esto incluye los mensajes que envías, los archivos adjuntos que proporcionas, tu información de contacto, la naturaleza de tu consulta o problema, cualquier información que decidas compartir sobre tu experiencia con los Servicios, las capturas de pantalla o grabaciones que envíes, y nuestras respuestas y la correspondencia resultante. Conservamos esta información para ofrecer un soporte eficaz, resolver problemas técnicos, atender tus inquietudes, mejorar nuestros Servicios a partir de los comentarios recibidos y mantener un registro de nuestras interacciones con fines de control de calidad y formación. También podemos usar esta información para detectar patrones en los problemas reportados y abordar de forma proactiva los más comunes.
• Datos de uso dentro de la app: Nuestra app registra los siguientes eventos propios, que se almacenan en nuestros propios servidores: (a) actividad con el contenido: cuándo inicias, terminas u omites un sonido, y cuándo lo añades a favoritos o lo quitas; (b) uso de la app: la hora a la que abres la app, el tiempo que permaneces en primer plano en cada sesión y si abres mia, envías un mensaje (sin incluir su contenido), inicias un ejercicio de respiración, utilizas el temporizador de sueño, consultas un informe de sueño, realizas una búsqueda (sin incluir los términos de búsqueda), compartes contenido o descargas contenido para usarlo sin conexión; (c) resultados de los procesos clave: cuándo se muestra la pantalla de suscripción y cómo termina una compra o una restauración de compras, cuándo empieza un inicio de sesión y cómo termina (si falla, solo registramos un código de error), hasta qué paso de la configuración inicial llegas, cómo terminan la autorización de Apple Health y la primera sincronización (solo si se completaron y cuántas noches se sincronizaron, nunca valores de salud), el resultado de los permisos de notificaciones, la caducidad del estado de inicio de sesión (cierre de sesión forzado) y las solicitudes de API que han fallado (qué API y tipo de error). Los eventos registrados después de iniciar sesión se asocian a tu cuenta; los eventos registrados antes de iniciar sesión no incluyen información de la cuenta, pero comparten un mismo identificador de sesión con los eventos registrados después de iniciar sesión durante la misma sesión de uso de la app. Estos eventos se utilizan para comprender cómo se utilizan las funciones, solucionar problemas y mejorar los Servicios (consulta la Sección 3). Los eventos se eliminan a los 180 días y también cuando eliminas tu cuenta. No usamos balizas web, píxeles de seguimiento, identificadores publicitarios ni tecnologías de seguimiento entre sitios, y no medimos interacciones publicitarias ni conversiones. Nuestro sitio web no instala ninguna cookie. Para más detalle, consulta la Sección 4.
• Datos de salud y actividad física (integración con Apple Health / HealthKit): Con tu consentimiento explícito e informado, nuestra aplicación para iOS puede recopilar datos de salud y actividad física desde Apple Health (mediante el framework HealthKit de Apple) en tu dispositivo. Las categorías específicas de datos de salud a las que podemos acceder incluyen: (a) Datos de sueño: duración del sueño, fases del sueño (incluidos el sueño profundo, el sueño REM, el sueño ligero o central y los periodos de vigilia), horas de inicio y fin del sueño, tiempo en cama y registros de análisis del sueño; (b) Datos de frecuencia cardiaca: mediciones de frecuencia cardiaca, frecuencia cardiaca en reposo y frecuencia cardiaca durante el sueño; (c) Variabilidad de la frecuencia cardiaca (HRV): mediciones de la variabilidad de la frecuencia cardiaca, que pueden indicar niveles de estrés y estado de recuperación; (d) Datos respiratorios: frecuencia respiratoria y patrones de respiración durante el sueño; (e) Saturación de oxígeno en sangre (SpO2): niveles de oxígeno en sangre, especialmente durante el sueño; (f) Temperatura de la muñeca: la temperatura de tu muñeca mientras duermes; (g) Entrenamientos: registros de entrenamientos que pueden aportar contexto a tu sueño; y (h) Características: tu fecha de nacimiento y tu sexo biológico tal como constan en Apple Health. Mellows no dispone de ninguna otra fuente para conocer tu edad, y estos dos valores se usan para calcular los rangos de referencia ajustados por edad y sexo en los que se basan la Edad del sueño, la Puntuación del sueño y la Recuperación. Estos datos de salud se recopilan únicamente para ofrecerte análisis del sueño personalizados, puntuaciones de calidad del sueño, insights sobre tendencias de sueño, correlaciones de salud y recomendaciones adaptadas para ayudarte a mejorar la calidad de tu sueño y tu bienestar general. Inferencias que extraemos de estos datos: algunas funciones derivan información nueva en lugar de limitarse a mostrar lo que proporciona Apple Health. En concreto, si tu sexo biológico consta como femenino y la temperatura de tu muñeca se mantiene por encima de tu propia línea base durante varias noches seguidas, Mellows puede mostrarte una nota que explica que ese patrón suele asociarse a la fase lútea del ciclo menstrual. Se trata de una inferencia basada únicamente en la temperatura, no de una determinación médica; Mellows no recopila, solicita ni almacena registros de menstruación, ovulación, embarazo ni ningún otro dato de salud reproductiva. Si abres el asistente de IA desde esa nota, la inferencia se incluye en el contexto que se envía al asistente, por lo que también se envía a los proveedores de modelos indicados en la Sección 3 y, cuando está activado “Guardar historial de chats”, se almacena junto con la conversación. Si no concedes acceso a la temperatura de la muñeca, esta inferencia no se produce en ningún caso. Importante: (i) Debes conceder permiso explícito mediante los avisos del sistema de iOS antes de que podamos acceder a cualquier dato de HealthKit; (ii) Puedes revocar este acceso en cualquier momento desde Configuración > Privacidad > Salud > Mellows en tu dispositivo, o desconectando la integración con Apple Health dentro de nuestra app; (iii) Tus datos de salud se procesan en tu dispositivo. Los únicos datos relacionados con la salud que se envían a nuestros servidores son los elementos indicados en el siguiente párrafo y los resúmenes que se adjuntan cuando utilizas el asistente de IA o el Análisis del sueño con IA, siempre a través de una conexión cifrada (TLS 1.2 o superior); (iv) No almacenamos tus datos de salud en iCloud; (v) No usamos tus datos de salud para publicidad, marketing, minería de datos ni ningún otro fin distinto de ofrecerte directamente servicios de salud y bienestar; (vi) No vendemos, alquilamos ni compartimos tus datos de salud con terceros para sus propios fines; (vii) Los datos de salud compartidos con nuestros Proveedores de Servicios (enumerados en la Sección 5) se limitan estrictamente a lo necesario para prestar nuestros Servicios y están sujetos a obligaciones contractuales de protección de datos; (viii) Cumplimos las directrices de HealthKit de Apple y todas las normativas de privacidad de datos de salud aplicables, incluida la HIPAA cuando corresponda. La recopilación de datos de salud es totalmente opcional, y puedes usar muchas funciones de nuestros Servicios sin conectar Apple Health.
• Tus datos de salud permanecen en tu dispositivo. En nuestros servidores solo se almacenan los siguientes datos: Tus datos de salud permanecen en tu iPhone. Los datos de mediciones obtenidos de Apple Health, tus resúmenes de sueño de cada noche, el historial de tus puntuaciones de sueño y recuperación, tu historial de Edad del sueño y las entradas de tu diario de hábitos se cifran y almacenan en el dispositivo, y no se guardan en nuestros servidores. Mientras tengas la sesión iniciada, guardamos automáticamente una copia de seguridad en nuestros servidores (Supabase) para que puedas recuperar tus datos después de reinstalar mellows o cambiar de iPhone. Esta copia incluye tus objetivos de horario de sueño (hora objetivo de acostarte y levantarte, horario de fin de semana y cuánto tiempo antes de acostarte quieres empezar a relajarte). Esta copia de seguridad solo se utiliza para restaurar tus datos; ninguna función la consulta. Se elimina cuando eliminas tu cuenta. Los diarios de sueño que le pidas al asistente de IA que recuerde también se almacenan en nuestros servidores. Esta es su única copia y se elimina cuando eliminas tu cuenta. Para saber qué información recibe el asistente de IA cuando chateas con él, consulta la sección “Conversaciones con el asistente de IA” más abajo.
• Datos de notificaciones push: Si activas las notificaciones push, recopilamos (a) el token push de tu dispositivo (proporcionado por el Apple Push Notification service); (b) metadatos del dispositivo: plataforma, versión de la app, versión del sistema operativo, preferencia de idioma y región, e identificador de zona horaria IANA (por ejemplo, "Europe/Madrid"), que se utiliza para enviar las notificaciones en los momentos adecuados según tu hora local y, cuando la app no proporciona una zona horaria, para determinar la fecha de tu historial de reproducción y de las estadísticas de uso; (c) señales de eventos de notificación, que registran solo la fecha en la que tienes nuevos datos de sueño y una clave de deduplicación; en las cargas de las notificaciones push nunca aparecen mediciones de salud, puntuaciones, duraciones, frecuencia cardiaca, HRV ni ningún otro valor derivado de HealthKit, y tampoco se almacenan junto a los activadores de notificaciones; y (d) tus preferencias de notificación, es decir, si las notificaciones están activadas y qué categorías has habilitado, usadas para respetar tu activación o desactivación por canal. Las horas de silencio se aplican en tu dispositivo antes de programar una notificación, y no se envían ni se almacenan en nuestros servidores. Esta información se almacena en nuestros servidores y se utiliza para enviar y analizar las siguientes categorías de notificaciones: informe de sueño listo, actualizaciones e hitos de la Edad del sueño, Antes de dormir, Hora de acostarse, Temporizador y lanzamientos de Contenido nuevo. Las notificaciones que enviamos desde nuestros servidores son intencionadamente genéricas (por ejemplo, "Tu informe de sueño está listo") y nunca incluyen valores de salud. La notificación del informe de sueño normalmente se crea en tu propio teléfono y muestra la duración de tu sueño de anoche y tu Puntuación del sueño. Tu token push también se elimina cuando Apple informa de que ya no es válido o cuando eliminas tu cuenta. Puedes desactivar las notificaciones push en cualquier momento desde la configuración de tu dispositivo o dentro de la app en Configuración > Notificaciones, y tu token push se elimina automáticamente cuando cierras sesión en la app.
• Conversaciones con el asistente de IA: Cuando usas nuestro asistente de sueño con IA dentro de la app (MIA), almacenamos los mensajes que envías y las respuestas que escribe. Cada mensaje se envía con un breve resumen de tu sueño reciente, por ejemplo tu sueño de anoche, tus puntuaciones, tu Edad del sueño y tu Registro diario de hoy, dentro de los límites que marcan los interruptores de Configuración > Intelligence > Permisos de datos de mia. Cuando preguntas sobre el sueño, nuestro servidor solicita primero a tu iPhone un conjunto de resúmenes de la última semana y del último mes. Si se necesita otro periodo, también lo solicita en ese momento. La app calcula estos resúmenes en el dispositivo de la misma forma que para sus propias pantallas. Lo que no se utiliza se descarta al finalizar esa solicitud. Estos resúmenes se usan para escribir la respuesta y no se guardan como registros aparte. Todo lo que el asistente dice en su respuesta forma parte de la conversación y se conserva con ella. El asistente nunca recibe tus muestras fisiológicas sin procesar. También incluimos tu nombre mostrado para que el asistente pueda dirigirse a ti de forma natural. Cuando está activada la opción “Recuerdos de la IA”, también incluimos metadatos de relación sencillos (cuántas conversaciones has mantenido y cuánto tiempo llevas usando el asistente). Cuando está activado “Guardar historial de chats”, el historial de conversaciones se almacena en nuestros servidores. Cuando está desactivado, las nuevas conversaciones dejan de guardarse, pero cada mensaje sigue pasando por nuestros servidores y por los proveedores de modelos indicados en la Sección 3 para generar una respuesta. Cuando indicas que una respuesta te gusta o no te gusta, registramos a qué respuesta corresponde. Si “Guardar historial de chats” está activado, también guardamos el texto original de esa respuesta. Puedes eliminar tu historial de conversaciones en cualquier momento desde la app (Configuración > Chat con mia > Historial de chat y datos > Borrar historial de chats), lo que elimina las conversaciones almacenadas, sus resúmenes, la memoria de trabajo a corto plazo del asistente, incluidos los registros de diagnóstico de cada turno que contienen copias de tus mensajes, el texto original de la respuesta guardado cuando indicas que te gusta o no te gusta y el texto original incluido en los registros de seguridad. Cuando eliminas una conversación deslizando el dedo hacia la izquierda en el historial de chats, se eliminan los datos anteriores asociados a esa conversación.
• Memoria a largo plazo del asistente de IA: Al margen del historial de conversaciones, el asistente extrae y almacena hechos y preferencias duraderos que mencionas (por ejemplo, un objetivo de hora de acostarte, una fuente de estrés recurrente o un sonido que te gusta). El asistente también puede recordar información sobre tu sueño que haya aprendido de las conversaciones (por ejemplo, tus principales preocupaciones y factores desencadenantes) y tus preferencias (por ejemplo, tu estilo de comunicación). Esta memoria es una categoría de datos distinta: no está cubierta por el periodo de conservación de 90 días de las conversaciones y persiste hasta que la elimines o elimines tu cuenta. Puedes consultar y eliminar estas memorias una por una en la app, en Configuración > Chat con mia > Recuerdos de la IA. Al eliminarlas todas, también se eliminan la información sobre tu sueño y tus preferencias que se haya aprendido, así como el resumen de la conversación anterior. Cuando desactivas la opción “Recuerdos de la IA”, el asistente deja de registrar y utilizar esta información.
• Registros de seguridad: Si un mensaje que envías al asistente activa nuestro clasificador de autolesión o crisis, registramos la fecha en que ocurrió el evento, el resultado de la identificación y las medidas adoptadas. Cuando está activado “Guardar historial de chats”, también registramos el mensaje que lo desencadenó para poder revisar y mejorar la forma en que el asistente responde en estas situaciones. Cuando eliminas tu historial de chats, se elimina el mensaje incluido en estos registros. Los registros de seguridad se eliminan automáticamente después de 90 días y también se eliminan cuando eliminas tu cuenta.
• Foto de perfil: Si estableces un avatar de perfil, eliges la imagen mediante el selector de fotos del sistema de Apple, que solo nos entrega la imagen que has seleccionado. Mellows nunca recibe acceso a tu fototeca y no tiene ninguna función de cámara, y por eso Mellows no aparece en Fotos ni en Cámara dentro de los ajustes de privacidad de iOS. La imagen que subes se almacena en nuestra red de entrega de contenido y se sirve mediante un enlace público, de modo que cualquier persona que disponga de ese enlace puede verla. Establecer un avatar es opcional.
• Datos de movimiento de los auriculares: Cuando utilizas audio espacial para reproducir paisajes sonoros, la app lee la orientación de la cabeza detectada por los auriculares para que el sonido permanezca en su lugar cuando giras la cabeza. Estos datos solo se utilizan en tiempo real en tu dispositivo. No se almacenan ni se nos envían.
• Lista de espera de la web: Si te registras en la lista de espera de nuestra web, almacenaremos tu dirección de correo electrónico, el idioma de la página y el país y la provincia/estado inferidos a partir de tu dirección IP. Utilizamos Resend para enviar el correo de confirmación y las posteriores notificaciones de acceso anticipado. Puedes darte de baja en cualquier momento. Si quieres solicitar la eliminación de tu registro, escribe a support@mellows.ai.

3) Finalidades y bases legales

Tratamos tus Datos Personales solo para fines específicos y legítimos y, cuando lo exige la ley aplicable (en particular en el Espacio Económico Europeo, el Reino Unido y otras jurisdicciones con requisitos similares), sobre la base de fundamentos legales apropiados. A continuación describimos las finalidades para las que usamos tus Datos Personales y las bases legales correspondientes que justifican dicho tratamiento:

• Para proporcionar y mantener los Servicios: Tratamos tus Datos Personales para ofrecer la funcionalidad principal de nuestros Servicios, incluidos la creación de cuentas y la autenticación, el inicio de sesión seguro y la gestión de sesiones, la verificación de la identidad, el almacenamiento y la recuperación de contenido, el streaming y la reproducción de audio, la sincronización de contenido entre dispositivos, el acceso a tu contenido creado y a tus preferencias, y todas las funciones disponibles a través de la aplicación móvil. Este tratamiento es necesario para cumplir nuestras obligaciones contractuales contigo según se describen en nuestros Términos de Servicio. Sin este tratamiento, no podríamos ofrecerte el acceso y el uso de los Servicios. Base legal: Ejecución de un contrato (artículo 6(1)(b) del GDPR): el tratamiento es necesario para la ejecución del contrato entre tú y Mellows Limited, o para aplicar medidas a petición tuya antes de celebrar dicho contrato.
• Para mejorar, optimizar y proteger los Servicios: Analizamos patrones de uso, métricas de rendimiento e interacciones para mejorar y optimizar continuamente nuestros Servicios. Esto incluye realizar analítica de producto para entender cómo se usan las funciones, identificar y corregir errores y problemas técnicos, realizar pruebas de diagnóstico y resolución de problemas, optimizar el rendimiento de la aplicación y los tiempos de carga, desarrollar nuevas funciones y mejoras, prevenir el fraude, el abuso y el acceso no autorizado, detectar y responder a incidentes de seguridad, supervisar posibles infracciones de nuestros Términos de Servicio, proteger los derechos, la propiedad y la seguridad de Mellows Limited, de quienes usan nuestros Servicios y del público, y garantizar la estabilidad, fiabilidad y seguridad de nuestra infraestructura. Estas actividades son necesarias para mantener la calidad y la seguridad de nuestros Servicios, proteger nuestras operaciones y ofrecer a todas las personas una plataforma segura y fiable. Base legal: Interés legítimo (artículo 6(1)(f) del GDPR): tenemos un interés legítimo en mejorar nuestros Servicios, garantizar su seguridad y estabilidad, prevenir el fraude y el abuso, y proteger nuestro negocio y los intereses de nuestra comunidad. Hemos evaluado que estos intereses no prevalecen sobre tus derechos y libertades en materia de protección de datos.
• Para comunicarnos contigo: Usamos tu información de contacto para enviarte comunicaciones importantes relacionadas con tu uso de los Servicios, incluidos los correos con códigos de verificación de un solo uso enviados durante el inicio de sesión, las respuestas de soporte técnico y las actualizaciones sobre la resolución de problemas, los mensajes administrativos sobre cambios en nuestras políticas o condiciones y las respuestas a tus preguntas y comentarios. Estas comunicaciones son esenciales para el correcto funcionamiento de tu cuenta y para mantenerte al tanto de asuntos importantes que afectan a tu uso de los Servicios. Base legal: Ejecución de un contrato (artículo 6(1)(b) del GDPR) para las comunicaciones necesarias para prestar los Servicios y cumplir nuestras obligaciones contractuales; Interés legítimo (artículo 6(1)(f) del GDPR) para las comunicaciones que responden a nuestro interés legítimo en mantener la relación con nuestra clientela, brindar soporte y garantizar un consentimiento informado ante cambios en el servicio.
• Para cumplir obligaciones legales: Podemos tratar tus Datos Personales para cumplir las leyes, normativas, procesos legales y solicitudes gubernamentales aplicables. Esto incluye cumplir obligaciones fiscales y requisitos de información financiera, mantener registros según lo exijan las normativas contables y empresariales aplicables, responder a citaciones, órdenes judiciales y solicitudes legítimas de autoridades públicas (incluidas fuerzas del orden y agencias de seguridad nacional), cumplir los requisitos de notificación de brechas de datos, cooperar con investigaciones regulatorias, hacer valer nuestros derechos legales y cumplir otras obligaciones que nos imponga la ley. En algunos casos, podemos estar en la obligación de divulgar Datos Personales para cumplir estas obligaciones. Base legal: Obligación legal (artículo 6(1)(c) del GDPR): el tratamiento es necesario para el cumplimiento de una obligación legal a la que Mellows Limited está sujeta conforme a las leyes y normativas aplicables.
• Comunicaciones de marketing y promocionales (opcional): Con tu consentimiento expreso cuando la ley lo exija, o sobre la base de nuestro interés legítimo cuando esté permitido, podemos usar tu dirección de correo y tu información de uso para enviarte comunicaciones de marketing, ofertas promocionales, boletines, novedades de producto, encuestas e información sobre eventos o funciones nuevas que creamos que pueden interesarte. Tienes derecho a dejar de recibir comunicaciones de marketing en cualquier momento haciendo clic en el enlace de "cancelar suscripción" incluido en cada correo de marketing, ajustando tus preferencias de notificación en la configuración de tu cuenta o contactándonos directamente. Ten en cuenta que, aunque canceles las comunicaciones de marketing, seguiremos enviándote los mensajes transaccionales y relacionados con el servicio que sean necesarios para tu uso de los Servicios. Base legal: Consentimiento (artículo 6(1)(a) del GDPR) cuando estemos en la obligación de obtener tu consentimiento para comunicaciones de marketing; Interés legítimo (artículo 6(1)(f) del GDPR) cuando podamos enviar comunicaciones de marketing basadas en nuestro interés legítimo en promocionar nuestros Servicios, siempre que no hayas ejercido tu derecho de exclusión y dichas comunicaciones estén permitidas por la ley aplicable.
• Para personalizar tu experiencia: Usamos información sobre tus patrones de uso, preferencias e interacciones para ofrecerte recomendaciones de contenido personalizadas, sugerencias de paisajes sonoros a tu medida, elementos de interfaz adaptados, resultados de búsqueda relevantes y una experiencia más atractiva y pertinente. Este tratamiento nos ayuda a hacer que los Servicios sean más útiles y agradables para ti, según tus necesidades y preferencias individuales. Base legal: Interés legítimo (artículo 6(1)(f) del GDPR): tenemos un interés legítimo en ofrecer experiencias personalizadas que mejoren la satisfacción y la interacción con nuestros Servicios.
• Para operaciones de negocio y analítica: Tratamos datos agregados y anonimizados (que no te identifican personalmente) con fines de analítica de negocio, informes, investigación y planificación estratégica. Esto nos ayuda a entender las tendencias del mercado, medir la eficacia de nuestros Servicios, tomar decisiones de negocio informadas y planificar el desarrollo futuro. Base legal: Interés legítimo (artículo 6(1)(f) del GDPR): tenemos un interés legítimo en entender el rendimiento de nuestro negocio y tomar decisiones basadas en datos para mejorar nuestros Servicios y nuestras operaciones.
• Para ofrecer servicios personalizados de análisis de salud y sueño: Con tu consentimiento explícito, tratamos datos de salud y actividad física obtenidos de Apple Health (HealthKit) para ofrecerte análisis del sueño personalizados y funciones relacionadas con la salud. Esto incluye: (a) analizar tus patrones, duración y calidad de sueño para generar puntuaciones e insights de sueño; (b) identificar correlaciones entre tu sueño y otras métricas de salud como la frecuencia cardiaca, la HRV, la frecuencia respiratoria y los niveles de actividad; (c) hacer seguimiento de las tendencias de sueño a lo largo del tiempo y ofrecer visualizaciones de tu historial de sueño; (d) generar recomendaciones personalizadas para ayudarte a mejorar la calidad de tu sueño a partir de tus datos de salud individuales; (e) crear alertas o notificaciones sobre cambios significativos en tus patrones de sueño; y (f) habilitar funciones que combinan contenido de audio con tus datos de salud para optimizar tu experiencia de sueño. Los datos de salud se consideran "datos de categoría especial" conforme al GDPR y requieren consentimiento explícito para su tratamiento. Tratamos estos datos únicamente con el fin de ofrecerte servicios de salud y bienestar, y no los usamos para ningún otro fin, como publicidad, elaboración de perfiles con fines ajenos a la salud o compartirlos con terceros para su propio uso. Base legal: Consentimiento explícito (artículo 6(1)(a) del GDPR para el tratamiento general y artículo 9(2)(a) para el tratamiento de datos de salud de categoría especial): antes de acceder a cualquier dato de salud de Apple Health, obtenemos tu consentimiento explícito e informado a través de los avisos de permiso del sistema iOS y de nuestro flujo de consentimiento dentro de la app. Puedes retirar tu consentimiento en cualquier momento desconectando Apple Health en la configuración de tu dispositivo o dentro de nuestra app, lo que detendrá la recopilación futura de datos de salud (aunque los datos ya tratados pueden conservarse según lo descrito en la Sección 7).
• Para impulsar el asistente de sueño con IA (MIA): Cuando usas MIA, transmitimos tus mensajes de conversación y un conjunto limitado de resúmenes de salud (como puntuaciones de sueño, duración del sueño, Recuperación, Edad del sueño y entradas del Registro diario) a un proveedor externo de modelos de lenguaje de gran tamaño para que pueda escribir una respuesta. Incluso si desactivas “Guardar historial de chats”, cada mensaje se envía de esta forma; la diferencia es que ya no se almacena después. Cuando preguntas sobre el sueño, nuestro servidor solicita primero a tu iPhone un conjunto de resúmenes de la última semana y del último mes. Si se necesita otro periodo, también lo solicita en ese momento. Estos resúmenes solo se transmiten a través de nuestros servidores. La respuesta de tu teléfono se guarda en un servicio de retransmisión temporal (Upstash) hasta que nuestro servidor la recoge, y se elimina en cuanto se recoge, en un plazo máximo de un minuto. Se incluye tu nombre para mostrar para que el asistente pueda dirigirse a ti con naturalidad; el contexto está vinculado a tu cuenta y no se anonimiza. Nunca se transmiten muestras sin procesar de HealthKit ni cronologías detalladas de fases del sueño. Elegimos el proveedor dentro de un conjunto configurado de proveedores aprobados que se enumeran en la Sección 5 (Google, OpenAI y Anthropic), de modo que el asistente siga funcionando si alguno no está disponible. Google Gemini es nuestro proveedor principal; una solicitud puede enviarse a otro proveedor del conjunto si el principal falla. Por separado, si la búsqueda en la memoria a largo plazo está activada, el texto de tu mensaje y el texto de los recuerdos almacenados se envían a un proveedor de embeddings aprobado (Google u OpenAI) para calcular los vectores que se usan en la recuperación de recuerdos. Cuando se buscan artículos de ayuda, el texto de tu mensaje también se envía de esta forma. Cuando el asistente busca sonidos, envía los términos de búsqueda que genera. Todos los proveedores actúan como encargados del tratamiento y manejan estos datos siguiendo nuestras instrucciones con el fin de devolvernos un resultado. Usamos niveles de API de pago, bajo los cuales tus prompts y respuestas no se usan para entrenar ni mejorar sus modelos. No obstante, los proveedores conservan los prompts, la información contextual y las respuestas durante un periodo limitado con el único fin de detectar y prevenir el abuso de sus servicios, y su personal autorizado puede revisar el contenido marcado por sus sistemas de seguridad durante ese periodo. En el caso de Google Gemini ese periodo es de un máximo de 55 días; el periodo equivalente para los demás proveedores se establece en sus propias políticas publicadas, enlazadas en la Sección 5. Dado que esto implica transmitir datos de salud de categoría especial a un encargado del tratamiento situado fuera de tu país de residencia, nos apoyamos en las salvaguardas de transferencia descritas en la Sección 6. Base legal: Consentimiento explícito (artículo 6(1)(a) del GDPR para el tratamiento general y artículo 9(2)(a) para el tratamiento de datos de salud de categoría especial): MIA es una función opcional, y puedes detener este tratamiento en cualquier momento dejando de usar el asistente y eliminando tu historial de conversaciones en la app.
• Prestación del Análisis del sueño con IA (opcional): Si eres miembro y activas el Análisis del sueño con IA, enviamos tu puntuación de sueño más reciente, tu puntuación de recuperación y algunas descripciones generales, a través de nuestros servidores, a los proveedores de modelos indicados en la Sección 5 para generar una interpretación. No incluye mediciones sin procesar ni información que permita identificarte. La interpretación generada se almacena en nuestros servidores durante 35 días. Puedes desactivarla en cualquier momento desde Configuración > Intelligence y eliminar todos los registros. Base legal: Tu consentimiento explícito.

4) Cookies y tecnologías similares

Nuestra app utiliza almacenamiento local y varios SDK móviles indicados a continuación para mantener sus funciones. Nuestra web no utiliza cookies, balizas web ni píxeles. Esta sección proporciona información detallada sobre cómo usamos estas tecnologías.

Qué son las cookies: Las cookies son pequeños archivos de texto que se almacenan en tu dispositivo (ordenador, smartphone o tableta) cuando visitas un sitio web o usas una aplicación. Contienen información sobre tus interacciones y preferencias, lo que permite que el sitio web o la aplicación reconozca tu dispositivo en visitas posteriores. Las cookies pueden ser "cookies de sesión" (temporales, que se eliminan al cerrar el navegador o la app) o "cookies persistentes" (que permanecen en tu dispositivo durante un periodo determinado o hasta que las elimines manualmente).

Cookies que usamos: El sitio web de Mellows (mellows.ai) no instala ninguna cookie. No tiene cookies de analítica, ni cookies publicitarias, ni scripts de seguimiento de terceros, y no necesita un banner de cookies ni una herramienta de consentimiento para funcionar. Si esto cambia, actualizaremos esta Política antes de introducir cualquier nueva categoría de cookie. Mellows no muestra anuncios y no usa cookies ni ninguna otra tecnología para segmentación publicitaria, entrega de anuncios ni publicidad conductual entre contextos.

Almacenamiento local y tecnologías similares: Además de las cookies, podemos usar almacenamiento local HTML5, almacenamiento de sesión, IndexedDB y otros mecanismos de almacenamiento del navegador para guardar datos localmente en tu dispositivo. Estas tecnologías cumplen fines similares a los de las cookies, pero pueden almacenar mayores cantidades de datos y no se transmiten automáticamente a nuestros servidores con cada solicitud. Las usamos para almacenar contenido en caché para el acceso sin conexión, guardar tus preferencias y ajustes, mejorar el rendimiento y los tiempos de carga de la aplicación, y mejorar tu experiencia general.

SDK móviles: Nuestra app para iOS incluye un número reducido de kits de desarrollo de software (SDK) de terceros, y ninguno de ellos es un SDK de publicidad ni de atribución. Son: Sentry, que nos envía un informe de fallos cuando la app se cierra de forma inesperada (dónde falló e información básica del dispositivo; el informe no está vinculado a tu cuenta y nunca incluye tus datos de sueño ni el contenido de tus chats), y que puedes desactivar en Configuración > Datos y privacidad > Análisis y mejoras; Google Sign-In (solo si eliges iniciar sesión con Google); y Lottie y FluidGradient (animación y renderizado visual, que no realizan ninguna actividad de red por su cuenta). Nuestras estadísticas de uso son eventos propios que se envían a nuestros propios servidores, no un SDK de terceros, y también se pueden desactivar en ese mismo lugar. Los datos que manejan Google Sign-In y Sentry están sujetos a sus respectivas políticas de privacidad, enlazadas en la Sección 5.

Tus opciones y controles sobre las cookies: Dado que nuestro sitio web no instala cookies, no hay nada de lo que excluirse ni ningún centro de preferencias de cookies que configurar. Puedes seguir bloqueando cookies y almacenamiento desde la configuración de tu navegador; hacerlo no afecta a tu capacidad de usar el sitio web.

Señales Do Not Track y Global Privacy Control: Algunos navegadores envían una señal "Do Not Track" (DNT) o Global Privacy Control (GPC) que indica que no deseas que se rastreen tus actividades en línea ni que se venda o comparta tu información personal. No te rastreamos entre sitios y no vendemos ni compartimos tu información personal con fines publicitarios, así que no hay ningún seguimiento que estas señales puedan desactivar. Por tanto, no actuamos sobre las señales DNT ni GPC; el resultado es el mismo que si lo hiciéramos.

Para más información sobre las cookies y cómo controlarlas, puedes visitar www.allaboutcookies.org o www.youronlinechoices.eu (para quienes residen en la UE).

5) Compartición y divulgación

Respetamos tu privacidad y estamos comprometidos con la protección de tus Datos Personales. No vendemos, alquilamos ni comerciamos con tus Datos Personales para los fines de marketing propios de terceros. Sin embargo, podemos compartir tus Datos Personales en las siguientes circunstancias limitadas:

• Proveedores de Servicios y encargados del tratamiento: Contratamos a proveedores de servicios, vendedores, contratistas y agentes externos cuidadosamente seleccionados (colectivamente, los "Proveedores de Servicios") para realizar servicios en nuestro nombre y ayudarnos a operar, mantener, mejorar y proteger nuestros Servicios. Estos Proveedores de Servicios actúan como encargados del tratamiento y solo tratan tus Datos Personales conforme a nuestras instrucciones documentadas y para los fines específicos que autorizamos. Los servicios que prestan incluyen, entre otros: infraestructura en la nube y alojamiento, gestión y almacenamiento de bases de datos, redes de entrega de contenido (CDN) para una distribución más rápida de los medios, entrega de correo electrónico y servicios de comunicación, autenticación y verificación de identidad, procesamiento de pagos y gestión de suscripciones, plataformas de soporte y atención al cliente, herramientas de analítica y monitorización, servicios de seguridad y prevención del fraude, servicios de copia de seguridad y recuperación ante desastres, y otro soporte técnico, operativo o administrativo. Exigimos a todos los Proveedores de Servicios que mantengan medidas de seguridad técnicas y organizativas apropiadas para proteger tus Datos Personales, que los traten únicamente según nuestras instrucciones y de conformidad con esta Política y las leyes aplicables, y que nos notifiquen cualquier brecha de datos o incidente de seguridad. Realizamos la debida diligencia sobre nuestros Proveedores de Servicios y, cuando la ley lo exige, celebramos acuerdos de tratamiento de datos que cumplen las normativas de protección de datos aplicables. En la tabla siguiente encontrarás una lista de nuestros principales Proveedores de Servicios y sus finalidades.
• Requisitos legales y protección de derechos: Podemos divulgar tus Datos Personales si creemos de buena fe que dicha divulgación es necesaria para: (a) cumplir las leyes, normativas, procesos legales o solicitudes gubernamentales aplicables, incluida la respuesta a citaciones, órdenes judiciales, órdenes de registro u otras solicitudes legítimas de autoridades públicas, incluidas fuerzas del orden o agencias de seguridad nacional; (b) hacer cumplir nuestros Términos de Servicio, esta Política de Privacidad u otros acuerdos, incluida la investigación de posibles infracciones; (c) detectar, prevenir o abordar fraudes, brechas de seguridad, problemas técnicos o actividades ilegales; (d) proteger los derechos, la propiedad o la seguridad de Mellows Limited, de nuestra comunidad o del público, según lo exija o permita la ley; (e) responder a reclamaciones de que un contenido vulnera los derechos de terceros; o (f) protegernos frente a responsabilidades legales o defendernos en litigios o procedimientos regulatorios. Cuando sea posible y esté legalmente permitido, te notificaremos antes de divulgar tu información en respuesta a solicitudes legales, salvo que lo prohíba la ley o una orden judicial, o que la solicitud sea una emergencia.
• Transferencias empresariales y operaciones corporativas: En caso de que Mellows Limited participe en una fusión, adquisición, consolidación, reestructuración, venta de activos, quiebra u otra operación o procedimiento corporativo, tus Datos Personales podrán transferirse, venderse o cederse como parte de esa operación. Exigiremos a cualquier entidad sucesora o parte adquirente que respete los compromisos asumidos en esta Política de Privacidad respecto a tus Datos Personales. Si la operación supone cambios sustanciales en la forma de tratar tus Datos Personales, te lo notificaremos y, cuando la ley lo exija, obtendremos tu consentimiento. También tendrás la oportunidad de ejercer tus derechos de protección de datos (como la supresión o la oposición) en relación con dichas transferencias, con sujeción a la ley aplicable.
• Con tu consentimiento o siguiendo tus indicaciones: Podemos compartir tus Datos Personales con terceros cuando consientas explícitamente dicha compartición o la solicites. Esto incluye situaciones en las que: (a) nos autorizas a compartir información con servicios o aplicaciones de terceros que decides integrar o conectar con Mellows (como redes sociales, servicios de streaming de música u otras apps); (b) participas en funciones que implican compartir por su propia naturaleza, como listas de reproducción colaborativas o funciones comunitarias; (c) decides hacer público cierto contenido o compartirlo con otras personas; o (d) nos indicas de otro modo que compartamos tu información con terceros específicos. Puedes revocar dicho consentimiento o desconectar las integraciones de terceros en cualquier momento desde la configuración de tu cuenta.
• Datos agregados y anonimizados: Podemos compartir con terceros información agregada, desidentificada o anonimizada que no pueda usarse razonablemente para identificarte, para cualquier fin, incluidos la investigación, la analítica, el marketing o el desarrollo de negocio. Dicha información no se considera Datos Personales y no está sujeta a las restricciones de esta Política de Privacidad.
• Contenido público: Si decides publicar contenido en áreas públicas de nuestros Servicios (como perfiles públicos, foros comunitarios o paisajes sonoros compartidos, si corresponde), ese contenido estará disponible públicamente y podrá ser visto, recopilado y usado por otras personas. Ten precaución al decidir qué información y contenido haces públicos.

Cada uno de los Proveedores de Servicios enumerados arriba tiene su propia política de privacidad que regula cómo maneja los datos. Te animamos a revisar sus políticas de privacidad para entender sus prácticas. Actualizaremos esta lista a medida que añadamos o cambiemos Proveedores de Servicios, y la lista más actual estará siempre disponible en esta Política de Privacidad.

6) Transferencias internacionales

Mellows Limited opera a nivel global, y tus Datos Personales pueden transferirse, almacenarse y tratarse en países distintos de tu país de residencia. Esos países pueden tener leyes de protección de datos diferentes de las de tu país y, en algunos casos, menos completas o protectoras. En concreto, nuestros servidores y centros de datos pueden estar ubicados en varias jurisdicciones, y nuestros Proveedores de Servicios pueden operar desde distintos países del mundo. Esto significa que, cuando usas nuestros Servicios, tus Datos Personales pueden transferirse internacionalmente.

Espacio Económico Europeo (EEE), Reino Unido y Suiza: Si te encuentras en el EEE, el Reino Unido o Suiza, cumplimos los requisitos legales aplicables a las transferencias internacionales de datos. Cuando transferimos tus Datos Personales fuera del EEE, el Reino Unido o Suiza a países que no han sido reconocidos por la Comisión Europea o las autoridades del Reino Unido como países que ofrecen un nivel adecuado de protección de datos, aplicamos salvaguardas apropiadas para garantizar que tus Datos Personales sigan protegidos. Estas salvaguardas incluyen:

• Cláusulas Contractuales Tipo (SCC): Usamos las Cláusulas Contractuales Tipo de la Comisión Europea (también conocidas como cláusulas modelo) o el International Data Transfer Agreement/Addendum del Reino Unido, que son compromisos contractuales entre las empresas que transfieren datos personales para proteger la privacidad y la seguridad de esos datos. Están aprobadas por la Comisión Europea y las autoridades del Reino Unido como salvaguardas adecuadas para las transferencias internacionales.
• Decisiones de adecuación: Cuando es posible, transferimos datos a países que la Comisión Europea o las autoridades del Reino Unido consideran que ofrecen un nivel adecuado de protección de datos (como Canadá para las organizaciones comerciales bajo la PIPEDA, u otras jurisdicciones reconocidas mediante decisiones de adecuación).
• Otros mecanismos aprobados: Podemos apoyarnos en otras salvaguardas apropiadas reconocidas por las leyes de protección de datos aplicables, como las Normas Corporativas Vinculantes, mecanismos de certificación aprobados o las excepciones para situaciones específicas permitidas por el artículo 49 del GDPR.

Revisamos periódicamente nuestras prácticas de transferencia internacional de datos para garantizar el cumplimiento continuo de los requisitos legales y de las orientaciones regulatorias en evolución. Tienes derecho a solicitar más información sobre las salvaguardas que hemos implementado para las transferencias internacionales de tus Datos Personales contactándonos mediante la información proporcionada en la Sección 14.

Otras jurisdicciones: Si te encuentras en otras jurisdicciones con requisitos específicos para las transferencias internacionales de datos, cumplimos las leyes y normativas locales aplicables que regulan los flujos transfronterizos de datos. Esto puede incluir obtener tu consentimiento cuando sea necesario, implementar medidas de seguridad apropiadas o cumplir requisitos de localización de datos cuando corresponda.

Al usar nuestros Servicios y proporcionar tus Datos Personales, entiendes y consientes la transferencia, el almacenamiento y el tratamiento de tu información en los países donde operamos o donde se encuentran nuestros Proveedores de Servicios, de conformidad con esta Política de Privacidad y la ley aplicable.

7) Conservación

Conservamos tus Datos Personales solo durante el tiempo necesario para cumplir las finalidades para las que se recopilaron, según se describe en esta Política de Privacidad, y para cumplir nuestras obligaciones legales, regulatorias, contables y de información. El periodo de conservación específico depende de la naturaleza de la información, de las finalidades del tratamiento y de los requisitos legales aplicables. Aplicamos el principio de minimización de datos y revisamos periódicamente nuestras prácticas de conservación para no conservar Datos Personales más tiempo del necesario.

Principios generales de conservación: Nuestras decisiones de conservación se basan en varios factores, incluidos: (a) la naturaleza y la sensibilidad de los Datos Personales; (b) las finalidades para las que se recopilaron los datos y cómo se usan; (c) si tienes una cuenta activa con nosotros; (d) los requisitos legales, regulatorios, fiscales o contables que exigen conservar determinados registros durante periodos definidos; (e) las obligaciones contractuales; (f) las retenciones legales y los litigios que puedan requerir la preservación de datos; (g) la necesidad de proteger nuestros derechos, propiedad o seguridad, o los de nuestra comunidad; y (h) tus derechos y solicitudes en materia de protección de datos (como las solicitudes de supresión).

A continuación se indican los periodos de conservación habituales para las distintas categorías de datos. Ten en cuenta que son orientaciones generales y que los periodos reales pueden variar según las circunstancias específicas y los requisitos legales de tu jurisdicción:

• Datos de cuenta e información de perfil: Conservamos la información de tu cuenta (dirección de correo electrónico, detalles del perfil, ajustes de la cuenta y datos de autenticación) durante todo el tiempo que tu cuenta permanezca activa. Cuando eliminas tu cuenta desde la app, la eliminación es inmediata y permanente: los registros de tu cuenta se borran de nuestros sistemas activos al instante. No hay periodo de desactivación ni ventana de recuperación, por lo que una cuenta eliminada por error no puede restaurarse. Parte de la información puede persistir en los sistemas de copia de seguridad durante un periodo adicional limitado antes de purgarse conforme a nuestro calendario de rotación de copias, y podemos conservar un registro mínimo cuando la ley nos obligue a ello.
• Contenido enviado por el usuario: El contenido que envíes (como tu foto de perfil y nombre mostrado) se conserva mientras tu cuenta esté activa. El historial de conversaciones de IA (incluido el texto original de las respuestas guardado cuando indicas que te gusta o no te gusta una respuesta) y los registros de seguridad son una excepción: se eliminan automáticamente mediante un periodo móvil de 90 días. También puedes eliminar antes el historial de conversaciones en cualquier momento desde la app. La memoria a largo plazo del asistente de IA no está sujeta a este periodo de 90 días. Se conserva hasta que la elimines o elimines tu cuenta. Consulta la Sección 2 para obtener más información. Cuando eliminas tu cuenta, todo el contenido asociado se elimina de inmediato. Las copias de seguridad pueden conservarse en nuestros sistemas de copia y recuperación ante desastres hasta 90 días adicionales antes de purgarse permanentemente.
• Registros de facturación e información de pago: El estado de tu membresía, la fecha de vencimiento y el identificador de la transacción de la suscripción se conservan mientras tu cuenta esté activa para habilitar los beneficios de la membresía y restaurar las compras. Se eliminan cuando eliminas tu cuenta. Las notificaciones de estado de suscripción que Apple nos envía se eliminan después de 90 días. Apple conserva los pagos y las facturas. No recibimos la información de tu tarjeta de pago ni los importes pagados.
• Registros técnicos, diagnósticos y datos de analítica: Los registros técnicos (incluidos los registros de acceso, de errores y de seguridad, y los datos de diagnóstico) se conservan normalmente durante un periodo corto necesario para fines operativos, monitorización de seguridad, resolución de problemas y mejora del servicio, habitualmente entre 30 y 180 días según el tipo de registro y la necesidad de negocio. Después de este periodo, los registros se eliminan o se agregan y anonimizan para analítica a largo plazo. Los registros relacionados con la seguridad pueden conservarse más tiempo si son necesarios para investigar incidentes de seguridad, detectar amenazas o cumplir obligaciones legales. Los datos de analítica agregados y anonimizados que no pueden identificarte personalmente pueden conservarse de forma indefinida para análisis estadístico e inteligencia de negocio.
• Sesiones cerradas: Para aplicar la regla de que una cuenta solo puede tener la sesión iniciada en un dispositivo a la vez, guardamos un registro de las sesiones que se han cerrado (solo la cuenta y la hora, nada del contenido de tu dispositivo). Estos registros se conservan durante 90 días y se eliminan cuando eliminas tu cuenta.
• Comunicaciones y registros de soporte: Los tickets de soporte, la correspondencia por correo electrónico, los registros de chat y otras comunicaciones con Mellows se conservan durante el tiempo necesario para brindar soporte continuo, resolver incidencias, mantener el control de calidad, formar al personal y defendernos frente a posibles reclamaciones legales. Normalmente, estos registros se conservan entre 2 y 7 años desde la fecha de la última interacción, o más si están relacionados con incidencias en curso, disputas o asuntos legales. Después de este periodo, las comunicaciones pueden eliminarse o anonimizarse, salvo que la ley o fines de negocio legítimos exijan su conservación continuada.
• Registros de marketing y consentimiento: Si has aceptado recibir comunicaciones de marketing, conservamos tus preferencias de marketing y los registros de consentimiento durante el tiempo necesario para respetar tus elecciones y cumplir los requisitos legales de demostración del consentimiento. Si cancelas la suscripción o retiras el consentimiento, conservamos una información mínima (como tu dirección de correo) en una lista de supresión para asegurarnos de no volver a contactarte por error, según lo exigen las leyes y normativas antispam. Estos registros de supresión se conservan de forma indefinida o según lo exija la ley aplicable.
• Retenciones legales y litigios: Si los Datos Personales están sujetos a una retención legal, una investigación regulatoria, un litigio pendiente o una solicitud gubernamental, preservaremos los datos relevantes hasta que el asunto se resuelva, independientemente de los periodos de conservación estándar descritos arriba. Una vez satisfecha la obligación legal, los datos se eliminarán o volverán al calendario de conservación normal.
• Datos de salud y actividad física (Apple Health / HealthKit): Aplicamos periodos de conservación distintos a los distintos tipos de datos de salud según el principio de minimización de datos:
  • Registros de resumen de sueño: La fecha de sueño, la duración, la puntuación de calidad y las estadísticas de fases del sueño (minutos de sueño profundo, ligero, REM y vigilia) se guardan solo en tu dispositivo y no se almacenan en nuestros servidores.
  • Cronología de fases del sueño: Las transiciones detalladas entre fases del sueño con marcas de tiempo (por ejemplo, "sueño profundo de 23:15 a 00:30") se almacenan únicamente de forma local en tu dispositivo para permitir visualizaciones precisas de las fases del sueño. Nada de esta cronología se sube a nuestros servidores. Los datos locales de fases del sueño permanecen en tu dispositivo hasta que cierras sesión o eliminas tu cuenta. Usamos los datos de sueño agregados para analizar tus patrones de sueño y ofrecerte recomendaciones adaptadas. No usamos estos datos para publicidad ni marketing, ni los compartimos con terceros para fines no relacionados con el sueño.
  • Muestras de frecuencia cardiaca, HRV, SpO2, frecuencia respiratoria y temperatura de la piel: Las mediciones individuales con marcas de tiempo se almacenan únicamente de forma local en tu dispositivo para permitir visualizaciones detalladas de tendencias, y permanecen en tu dispositivo hasta que cierras sesión o eliminas tu cuenta. No se suben a nuestros servidores. Cuando usas el asistente de IA, solo recibe un breve resumen, como el promedio de anoche, según se describe en la Sección 2.
  • Copia de seguridad de los objetivos de horario de sueño y de los diarios de sueño que le pidas al asistente de IA que recuerde: Se conservan en nuestros servidores mientras tu cuenta está activa, para que puedas restaurarlos si reinstalas la app o cambias de teléfono, y se eliminan cuando eliminas tu cuenta.
  • Insights generados por IA: Los insights de sueño generados por nuestra IA se conservan en nuestros servidores durante 35 días con fines de referencia.
  Tu control: Tienes control total sobre tus datos de salud. Puedes: (i) desconectar Apple Health en Configuración > Privacidad > Salud > Mellows en tu dispositivo; (ii) usar la opción "Desconectar Apple Health" en nuestra app; (iii) solicitar la eliminación escribiendo a support@mellows.ai; (iv) exportar tus datos desde la app, en Configuración > Datos y privacidad > Exportar datos, lo que genera un archivo legible por máquina con tu perfil, tus registros de sueño y constantes vitales, tu historial de Edad del sueño, tu Registro diario, tu horario de sueño, tus favoritos, tu historial de reproducción, tus conversaciones con la IA y tus insights de sueño generados por IA (artículo 20 del GDPR, portabilidad de los datos), o escribir a support@mellows.ai si prefieres que lo preparemos nosotros; o (v) eliminar por completo tu cuenta de Mellows, lo que elimina de inmediato todos los datos de salud asociados. Ten en cuenta: (A) Los insights agregados y anonimizados pueden conservarse con fines analíticos; (B) Las copias de seguridad pueden persistir hasta 90 días adicionales antes de su eliminación permanente; (C) Las obligaciones legales pueden exigir una conservación mínima de datos.
  
  Acciones de cuenta y ciclo de vida de los datos: Cuando cierras sesión en la app, tu historial calculado de análisis del sueño (como los registros de Edad del sueño) y tu historial de conversaciones con la IA se conservan localmente en tu dispositivo dentro del almacenamiento vinculado a tu usuario; no se eliminan, y se restaurarán cuando vuelvas a iniciar sesión con la misma cuenta. Los archivos locales de datos de salud (sincronizados desde HealthKit) se eliminan al cerrar sesión, pero pueden volver a sincronizarse desde HealthKit cuando inicies sesión de nuevo. Lo mismo se aplica cuando se cierra tu sesión automáticamente porque iniciaste sesión en otro dispositivo. Cuando eliminas tu cuenta, todos los datos (locales y en la nube) se eliminan de forma permanente e irreversible, incluidos: todos los archivos de datos de salud, el historial de Edad del sueño, el historial de Puntuación de recuperación, las entradas del Registro diario, el historial de conversaciones con la IA, tu línea base personal, las claves de cifrado y todos los registros almacenados en la nube en nuestra base de datos. Esta eliminación es inmediata y no se puede deshacer.

Tus derechos sobre la conservación de datos: Tienes derecho a solicitar la supresión de tus Datos Personales en cualquier momento, con sujeción a ciertas excepciones en las que podamos necesitar conservar información para cumplir obligaciones legales, resolver disputas, hacer cumplir acuerdos u otros fines legítimos reconocidos por la ley aplicable. Si deseas solicitar la supresión de tus Datos Personales o tienes preguntas sobre nuestras prácticas de conservación, contáctanos mediante la información de la Sección 14.

Una vez expirado el periodo de conservación aplicable, los Datos Personales se eliminarán o destruirán de forma segura, de manera que se impida su reconstrucción o recuperación, o bien se agregarán o anonimizarán de modo que ya no puedan identificarte como individuo.

8) Seguridad

Proteger tus Datos Personales es una prioridad absoluta para Mellows Limited. Implementamos y mantenemos medidas de seguridad técnicas, físicas, organizativas y administrativas integrales, diseñadas para proteger tus Datos Personales frente al acceso, uso, divulgación, alteración, destrucción o pérdida no autorizados. Nuestras prácticas de seguridad están alineadas con los estándares del sector y con las mejores prácticas de protección de datos y seguridad de la información.

Medidas técnicas de seguridad: Empleamos múltiples capas de salvaguardas técnicas para proteger tus datos, incluidas, entre otras:

• Cifrado: Usamos protocolos de cifrado estándar del sector para proteger los datos tanto en tránsito como en reposo. Todos los datos transmitidos entre tu dispositivo y nuestros servidores se cifran mediante Transport Layer Security (TLS) 1.2 o superior, lo que garantiza que la información no pueda interceptarse durante la transmisión. Los datos sensibles almacenados en nuestras bases de datos, incluidas las contraseñas y las credenciales de autenticación, se cifran mediante algoritmos criptográficos robustos. Dado que el inicio de sesión no usa contraseñas (se realiza con códigos de un solo uso por correo, Sign in with Apple o Sign in with Google), normalmente no hay ninguna contraseña que almacenar; cuando se usa una contraseña, nuestro proveedor de autenticación la almacena con salt y hash, y nunca en texto plano. Los datos de copia de seguridad y la información archivada también se cifran para evitar el acceso no autorizado a registros históricos. Los datos de salud almacenados localmente en tu dispositivo se cifran con AES-256-GCM usando una clave específica del dispositivo guardada en el Keychain de iOS, lo que proporciona una capa adicional de protección más allá de la protección de archivos integrada del dispositivo.
• Controles de acceso y autenticación: El acceso a los Datos Personales está limitado a un número reducido de personas autorizadas que lo necesitan para operar los Servicios. En la propia base de datos, las políticas de seguridad a nivel de fila restringen los registros de cada cuenta de modo que solo esa cuenta y nuestros administradores autorizados puedan leerlos. La autenticación la gestiona nuestro proveedor de autenticación mediante una gestión segura de sesiones, autenticación basada en tokens y OAuth 2.0 cuando corresponde, y los tokens de sesión se guardan en el Keychain de iOS de tu dispositivo. Revisamos los permisos de acceso y los revocamos cuando dejan de ser necesarios.
• Seguridad de red e infraestructura: No operamos servidores ni centros de datos propios. Nuestra aplicación se ejecuta en plataformas de nube gestionadas (enumeradas en la Sección 5) y se apoya en las protecciones de red que esas plataformas ofrecen, incluidas la mitigación de denegación de servicio en el borde de la red y una base de datos gestionada con su propio endurecimiento y aplicación de parches. Además, nuestra propia API aplica limitación de peticiones por cuenta a los endpoints costosos, y mantenemos actualizadas las dependencias de la aplicación.
• Monitorización y registro: Usamos el registro de aplicación y los informes de errores de nuestros proveedores de plataforma para investigar fallos y abusos. Se trata de registros operativos de la actividad del sistema, no de una pista de auditoría de quién ha leído cada registro, y mantenemos las mediciones de salud fuera de ellos.
• Prácticas de desarrollo seguro: Los cambios en nuestro código se revisan antes de publicarse, y las compilaciones de desarrollo se configuran por separado de las de producción para que el trabajo de desarrollo no apunte a datos de producción.

Medidas organizativas y administrativas: Más allá de los controles técnicos, hemos implementado políticas y procedimientos organizativos para garantizar la seguridad de los datos:

• Personas con acceso: Mellows lo lleva un equipo pequeño. Todas las personas con acceso a Datos Personales están sujetas a obligaciones de confidencialidad y a las normas internas descritas en esta Política, y el acceso solo se concede cuando es necesario para operar o dar soporte a los Servicios.
• Requisitos de seguridad para terceros: Seleccionamos Proveedores de Servicios que publican sus propios compromisos de seguridad y privacidad, y nos apoyamos en sus condiciones de tratamiento de datos. No realizamos auditorías independientes de su infraestructura.
• Plan de respuesta a incidentes: Mantenemos un plan documentado de respuesta a incidentes que describe los procedimientos para detectar, investigar, contener y remediar incidentes de seguridad y brechas de datos. En caso de una brecha de seguridad que afecte a tus Datos Personales, notificaremos a las personas afectadas y a las autoridades de control pertinentes de conformidad con las leyes aplicables y dentro de los plazos exigidos. Revisamos y mejoramos continuamente nuestros procedimientos de respuesta a incidentes a partir de las lecciones aprendidas y de las amenazas emergentes.
• Evaluaciones de seguridad: Revisamos periódicamente nuestras propias medidas de seguridad. Por el momento no encargamos pruebas de penetración externas ni auditorías de seguridad de terceros; si esto cambia, actualizaremos esta Política.

Seguridad física: Mellows no opera ninguna infraestructura física propia. Tus datos residen en los proveedores de nube gestionada enumerados en la Sección 5, y la seguridad física de sus instalaciones se rige por sus propios estándares y certificaciones publicados.

Copias de seguridad y recuperación ante desastres: Las copias de seguridad de la base de datos las proporciona nuestra plataforma de base de datos gestionada, con sus propias condiciones de cifrado y conservación. Ten en cuenta que los datos de salud guardados en tu dispositivo quedan deliberadamente excluidos de las copias de seguridad de iCloud y locales de tu dispositivo, por lo que no se restaurarán automáticamente en un iPhone nuevo. Después de iniciar sesión en el nuevo iPhone, los datos de Apple Health se volverán a sincronizar, mientras que el historial de Edad del sueño y el diario de hábitos no se restaurarán.

Limitaciones: Aunque nos esforzamos por proteger tus Datos Personales con prácticas de seguridad líderes del sector, ten en cuenta que ningún método de transmisión de datos por internet, ningún método de almacenamiento electrónico y ningún sistema de seguridad es 100 % seguro o impenetrable. A pesar de nuestros mejores esfuerzos, no podemos garantizar la seguridad absoluta de tus Datos Personales. El acceso o uso no autorizados, los fallos de hardware o software, los errores humanos y otros factores pueden comprometer la seguridad de los datos en cualquier momento. Internet en sí no es un entorno seguro, y no podemos asegurar ni garantizar la seguridad de la información que nos transmitas. Transmites dicha información bajo tu propia responsabilidad.

Tu responsabilidad: Las cuentas de Mellows no tienen contraseña. Inicias sesión con Apple, con Google o con un código de un solo uso enviado a tu dirección de correo, de modo que la seguridad de tu cuenta depende de la seguridad de ese Apple ID, esa cuenta de Google o ese buzón de correo. Protege esas cuentas, nunca reenvíes a nadie un código de inicio de sesión de Mellows (nunca te lo pediremos), mantente alerta ante intentos de phishing que afirmen provenir de Mellows y cierra sesión cuando uses un dispositivo compartido. Si crees que la seguridad de tu cuenta se ha visto comprometida o detectas cualquier actividad sospechosa, contáctanos de inmediato en support@mellows.ai.

9) Tus derechos

Según tu ubicación y las leyes de protección de datos aplicables, puedes tener ciertos derechos respecto a tus Datos Personales. Estamos comprometidos con facilitar el ejercicio de estos derechos, con sujeción a las limitaciones y excepciones legales aplicables. Esta sección describe los derechos que pueden corresponderte y cómo ejercerlos.

Espacio Económico Europeo (EEE), Reino Unido y Suiza: Si te encuentras en el EEE, el Reino Unido o Suiza, tienes los siguientes derechos conforme al Reglamento General de Protección de Datos (GDPR) y a las leyes equivalentes del Reino Unido y Suiza:

• Derecho de acceso: Tienes derecho a solicitar confirmación de si tratamos tus Datos Personales y, en tal caso, a obtener acceso a esos datos junto con información sobre cómo se usan, con quién se comparten, cuánto tiempo se conservarán y otros detalles del tratamiento. Puedes solicitar una copia de tus Datos Personales en un formato estructurado, de uso común y lectura mecánica.
• Derecho de rectificación: Tienes derecho a solicitar que corrijamos cualquier Dato Personal inexacto o incompleto que tengamos sobre ti. Si crees que alguna información que tenemos es incorrecta, está desactualizada o incompleta, puedes pedirnos que la actualicemos o corrijamos.
• Derecho de supresión ("derecho al olvido"): Tienes derecho a solicitar la supresión de tus Datos Personales en determinadas circunstancias, por ejemplo cuando: (a) los datos ya no son necesarios para los fines para los que se recopilaron; (b) retiras el consentimiento en el que se basa el tratamiento y no existe otra base legal para el tratamiento; (c) te opones al tratamiento basado en intereses legítimos y no existen motivos legítimos imperiosos para continuar el tratamiento; (d) los datos se han tratado de forma ilícita; o (e) los datos deben suprimirse para cumplir una obligación legal. Ten en cuenta que quizá no podamos eliminar todos tus datos si tenemos la obligación legal de conservarlos o si son necesarios para formular, ejercer o defender reclamaciones legales.
• Derecho a la limitación del tratamiento: Tienes derecho a solicitar que limitemos o restrinjamos el tratamiento de tus Datos Personales en ciertas situaciones, por ejemplo cuando: (a) impugnas la exactitud de los datos (durante el periodo en que verificamos su exactitud); (b) el tratamiento es ilícito pero prefieres la limitación en lugar de la supresión; (c) ya no necesitamos los datos pero tú los necesitas para reclamaciones legales; o (d) te has opuesto al tratamiento y estamos verificando si nuestros motivos legítimos prevalecen sobre los tuyos.
• Derecho a la portabilidad de los datos: Cuando el tratamiento se base en tu consentimiento o en un contrato y se realice por medios automatizados, tienes derecho a recibir tus Datos Personales en un formato estructurado, de uso común y lectura mecánica, y a transmitirlos a otro responsable del tratamiento sin impedimentos por nuestra parte. Cuando sea técnicamente posible, puedes solicitar que transmitamos tus datos directamente a otro responsable.
• Derecho de oposición: Tienes derecho a oponerte al tratamiento de tus Datos Personales en las siguientes circunstancias: (a) cuando el tratamiento se base en intereses legítimos o en el cumplimiento de una misión de interés público, puedes oponerte por motivos relacionados con tu situación particular, y dejaremos de tratar los datos salvo que podamos demostrar motivos legítimos imperiosos que prevalezcan sobre tus intereses; (b) cuando el tratamiento tenga fines de marketing directo, tienes un derecho absoluto a oponerte en cualquier momento, y dejaremos de tratar tus datos para esos fines; y (c) cuando el tratamiento tenga fines de investigación científica o histórica, o fines estadísticos, puedes oponerte por motivos relacionados con tu situación particular, salvo que el tratamiento sea necesario para una misión realizada por razones de interés público.
• Derecho a retirar el consentimiento: Cuando nos basemos en tu consentimiento como base legal del tratamiento, tienes derecho a retirarlo en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basado en el consentimiento realizado antes de dicha retirada. Puedes retirar el consentimiento ajustando tu configuración, cancelando la suscripción a los correos o contactándonos directamente.
• Derecho a presentar una reclamación: Si crees que nuestro tratamiento de tus Datos Personales infringe las leyes de protección de datos aplicables, tienes derecho a presentar una reclamación ante una autoridad de control, en particular en el Estado miembro de la UE o la nación del Reino Unido donde tengas tu residencia habitual, tu lugar de trabajo o el lugar de la supuesta infracción. Puedes encontrar la información de contacto de las autoridades de control de la UE en https://edpb.europa.eu/about-edpb/board/members_en y la de la Information Commissioner's Office del Reino Unido en https://ico.org.uk. Te animamos a contactarnos primero para que podamos intentar resolver tus inquietudes directamente.
• Decisiones automatizadas y elaboración de perfiles: Tienes derecho a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzcan efectos jurídicos sobre ti o te afecten significativamente de modo similar, salvo que dicho tratamiento sea necesario para un contrato, esté autorizado por la ley o se base en tu consentimiento explícito. Como se indica en la Sección 12, actualmente no realizamos ese tipo de decisiones automatizadas con efectos jurídicos o igualmente significativos.

Otras jurisdicciones: Si te encuentras en otras jurisdicciones, puedes tener derechos similares conforme a las leyes locales de protección de datos aplicables. Por ejemplo, quienes residen en ciertos países o regiones pueden tener derechos de acceso, corrección, supresión u oposición al tratamiento de sus Datos Personales. Atenderemos las solicitudes de todas las jurisdicciones de conformidad con las leyes aplicables.

Cómo ejercer tus derechos: Para ejercer cualquiera de estos derechos, contáctanos en support@mellows.ai con una descripción detallada de tu solicitud. Para proteger tu privacidad y seguridad, necesitaremos verificar tu identidad antes de procesar tu solicitud. Esto puede implicar pedirte cierta información para confirmar que la cuenta es tuya o que actúas con autorización en nombre de su titular. Podemos requerir información o documentación adicional para verificar solicitudes complejas o sensibles.

Plazo de respuesta: Responderemos a tu solicitud dentro de los plazos exigidos por la ley aplicable, normalmente en un plazo de 30 días desde la recepción de tu solicitud verificada (o de un mes para las solicitudes bajo el GDPR). Si necesitamos más tiempo (hasta 60 días adicionales bajo el GDPR), te informaremos del motivo del retraso y del plazo ampliado. Te daremos nuestra respuesta por escrito (incluso por medios electrónicos) y, cuando sea viable, en el mismo formato de tu solicitud.

Tarifas: En la mayoría de los casos, ejercer tus derechos de protección de datos es gratuito. Sin embargo, si tu solicitud es manifiestamente infundada, excesiva o repetitiva, podemos cobrar una tarifa razonable para cubrir los costes administrativos o negarnos a atender la solicitud, de conformidad con la ley aplicable.

Limitaciones y excepciones: Ten en cuenta que puede haber circunstancias en las que no podamos atender plenamente tu solicitud debido a obligaciones legales, limitaciones técnicas o cuando el ejercicio de tus derechos afecte negativamente a los derechos y libertades de otras personas. En tales casos, te explicaremos los motivos de cualquier limitación en nuestra capacidad de atender tu solicitud y te informaremos de las medidas alternativas disponibles.

Agentes autorizados: Puedes designar a un agente autorizado para que presente solicitudes en tu nombre. Para proteger tu privacidad, requeriremos verificación de que el agente cuenta con autorización para actuar en tu nombre, lo que puede incluir un documento de permiso firmado, un poder de representación u otra prueba de autorización. También podemos pedirte que verifiques directamente tu identidad y confirmes la autorización.

Derechos de autoservicio específicos de las notificaciones: Para los datos recopilados en relación con las notificaciones push, tienes tres controles de autoservicio adicionales disponibles directamente en la app en Configuración > Notificaciones > Privacidad de las notificaciones: (a) Exportar mis datos de notificaciones: genera una exportación JSON estructurada de tus tokens de dispositivo (enmascarados hasta los últimos 4 caracteres), tus preferencias de notificación, los campos de tu horario de sueño, el historial de activadores de notificaciones y el registro de entregas, en cumplimiento del artículo 15 del GDPR (derecho de acceso) y del "derecho a saber" de la CCPA; (b) Eliminar mis datos de notificaciones: elimina permanentemente todos los tokens de dispositivo, los activadores de notificaciones y los registros de entrega, conservando tu cuenta para que puedas volver a activar las notificaciones más adelante, en cumplimiento del artículo 17 del GDPR (derecho de supresión) y del "derecho a eliminar" de la CCPA; (c) Excluirme del análisis de entrega: detiene la recopilación de analítica de apertura y entrega de notificaciones para tu cuenta, en cumplimiento del artículo 21 del GDPR (derecho de oposición). Estos controles se aplican tanto a los registros del lado del servidor como a los datos en el dispositivo. Conviene tener presente una cosa después de eliminar tus datos de notificaciones: si las notificaciones siguen activadas para Mellows en iOS, tu dispositivo registrará un token push nuevo la próxima vez que abras la app, porque es lo que permite que las notificaciones sigan funcionando. Si tu intención es que dejemos de tener ningún token, desactiva primero las notificaciones, en los Ajustes de iOS o en la app en Configuración > Notificaciones, y elimina después tus datos de notificaciones. Ejercer estos derechos no afecta al resto de tu cuenta ni a tu acceso a las funciones no relacionadas con notificaciones.

10) Privacidad en California (CCPA/CPRA)

Si resides en California, tienes derechos específicos conforme a la California Consumer Privacy Act de 2018 (CCPA), en su versión modificada por la California Privacy Rights Act de 2020 (CPRA), y sus normativas asociadas. Esta sección ofrece información adicional sobre tus derechos como residente de California y sobre cómo ejercerlos.

Categorías de Información Personal que recopilamos: Durante los últimos 12 meses, hemos recopilado las siguientes categorías de Información Personal de residentes de California, según las define la CCPA: (a) Identificadores (tu nombre, tu dirección de correo electrónico, el identificador de tu cuenta y la dirección IP que nuestros servidores reciben necesariamente con cada solicitud); (b) Registros de clientes (información de cuenta; ten en cuenta que no recibimos ninguna dirección de facturación ni datos de tarjetas de pago, porque Apple procesa todos los pagos); (c) Información comercial (el estado de la suscripción y los identificadores de transacción que recibimos de Apple); (d) Actividad en internet o en la red (tus interacciones con nuestra app, como qué sonidos reproduces, terminas, omites o añades a favoritos); (e) Información sonora o electrónica (tu historial de reproducción, los mensajes que envías al asistente de IA y el contenido de cualquier correo de soporte que nos escribas); (f) Información de salud (las categorías de Apple Health enumeradas en la Sección 2, las puntuaciones y los resúmenes que derivamos de ellas, y tus entradas del Registro diario); y (g) Inferencias extraídas de lo anterior para personalizar tu análisis del sueño y tus recomendaciones. No recopilamos datos de ubicación precisos (solo inferimos el país y la provincia/estado a partir de la dirección IP), identificadores biométricos con fines de identificación, información profesional o laboral, ni expedientes académicos.

Fuentes de la Información Personal: Recopilamos Información Personal directamente de ti (cuando creas una cuenta, usas nuestros Servicios o te comunicas con nosotros), automáticamente a través de tu uso de los Servicios (a través de solicitudes y eventos de uso enviados por la app) y de fuentes de terceros (servicios de inicio de sesión de Apple y Google, notificaciones de suscripción de Apple y Apple Health a los que nos hayas autorizado a acceder).

Finalidades de la recopilación y del uso de la Información Personal: Recopilamos y usamos Información Personal para los fines empresariales y comerciales descritos en la Sección 3 de esta Política de Privacidad, incluidos proporcionar y mantener los Servicios, mejorar y personalizar tu experiencia, comunicarnos contigo, procesar pagos, cumplir obligaciones legales, protegernos frente al fraude y las amenazas de seguridad, y otros fines operativos y analíticos.

Divulgación de la Información Personal: Podemos divulgar tu Información Personal a los Proveedores de Servicios que prestan servicios en nuestro nombre (como se describe en la Sección 5), a terceros cuando lo exija la ley o para proteger nuestros derechos, en el contexto de transferencias empresariales, y con tu consentimiento o siguiendo tus indicaciones. No "vendemos" Información Personal según la definición de la CCPA/CPRA (es decir, no intercambiamos tu Información Personal por una contraprestación monetaria), y tampoco la "compartimos" con fines de publicidad conductual entre contextos según la definición de la CPRA. No hacemos publicidad, no usamos identificadores publicitarios y no divulgamos Información Personal a redes publicitarias ni a intermediarios de datos.

Tus derechos de privacidad en California: Como residente de California, tienes los siguientes derechos:

• Derecho a saber: Tienes derecho a solicitar que te revelemos: (1) las categorías de Información Personal que hemos recopilado sobre ti; (2) las categorías de fuentes de las que se recopiló la Información Personal; (3) la finalidad empresarial o comercial de recopilar, vender o compartir Información Personal; (4) las categorías de terceros a quienes divulgamos Información Personal; (5) las piezas específicas de Información Personal que hemos recopilado sobre ti; y (6) si vendimos o compartimos Información Personal, las categorías de Información Personal vendidas o compartidas a cada categoría de destinatario. Puedes presentar hasta dos solicitudes de saber en un periodo de 12 meses.
• Derecho a eliminar: Tienes derecho a solicitar que eliminemos la Información Personal que hemos recopilado de ti, con sujeción a ciertas excepciones (por ejemplo, cuando necesitemos conservar información para completar una transacción, detectar incidentes de seguridad, cumplir obligaciones legales u otros fines permitidos por la ley).
• Derecho a corregir: Tienes derecho a solicitar que corrijamos la Información Personal inexacta que mantengamos sobre ti, teniendo en cuenta la naturaleza de la Información Personal y las finalidades del tratamiento.
• Derecho a excluirte de la venta o compartición: Tienes derecho a excluirte de la "venta" de tu Información Personal o de la "compartición" de tu Información Personal para publicidad conductual entre contextos. No hacemos ninguna de las dos cosas, así que no hay nada de lo que puedas excluirte y no mantenemos ningún mecanismo del tipo "No vender ni compartir mi información personal". Si en algún momento empezamos a vender o compartir Información Personal en el sentido que define la CPRA, actualizaremos esta Política y ofreceremos la exclusión exigida antes de hacerlo.
• Derecho a limitar el uso de la Información Personal sensible: Si usamos o divulgamos Información Personal sensible (según la definición de la CPRA) para fines distintos de los expresamente permitidos por la ley, tienes derecho a limitar dicho uso. Actualmente no usamos ni divulgamos Información Personal sensible de una manera que active este derecho, pero si nuestras prácticas cambian, actualizaremos esta Política y te daremos la posibilidad de ejercerlo.
• Derecho a la no discriminación: Tienes derecho a no recibir un trato discriminatorio por ejercer cualquiera de tus derechos bajo la CCPA/CPRA. No te negaremos bienes o servicios, no te cobraremos precios o tarifas diferentes, no te ofreceremos un nivel o una calidad distintos de bienes o servicios, ni sugeriremos que recibirás un precio, tarifa, nivel o calidad diferentes como resultado de ejercer tus derechos de privacidad, salvo que tales diferencias estén razonablemente relacionadas con el valor que aporta tu Información Personal o estén permitidas por la ley.

Cómo ejercer tus derechos de California: Para ejercer tus derechos a saber, eliminar o corregir tu Información Personal, envía una solicitud de consumidor verificable por correo electrónico a support@mellows.ai con el asunto "California Privacy Rights Request". Especifica qué derecho ejerces y proporciona detalles suficientes para que podamos identificarte y localizar tu Información Personal en nuestros sistemas. Para verificar tu identidad, podemos pedirte información como la dirección de correo de tu cuenta, detalles de la cuenta u otra información que coincida con la que tenemos registrada. Para las solicitudes de acceso a piezas específicas de información, podemos requerir pasos de verificación adicionales, como una declaración firmada bajo pena de perjurio.

Agentes autorizados: Puedes designar a un agente autorizado para presentar una solicitud en tu nombre. Para ello, proporciona al agente una autorización escrita firmada por ti; podemos requerir la verificación tanto de tu identidad como de la autoridad del agente para actuar en tu nombre. También podemos pedirte que verifiques directamente tu identidad con nosotros y confirmes que diste permiso al agente para presentar la solicitud.

Plazo y formato de respuesta: Responderemos a las solicitudes de consumidor verificables en un plazo de 45 días desde su recepción. Si necesitamos más tiempo (hasta 45 días adicionales), te notificaremos el motivo y el periodo de prórroga. Entregaremos nuestra respuesta por vía electrónica, salvo que solicites otro método. Las divulgaciones que proporcionemos cubrirán únicamente el periodo de 12 meses anterior a la recepción de tu solicitud.

Ley "Shine the Light" de California: La sección 1798.83 del Código Civil de California permite a quienes residen en California solicitar información sobre la divulgación de su Información Personal a terceros para los fines de marketing directo de esos terceros. No divulgamos Información Personal a terceros para sus propios fines de marketing directo. Si tienes preguntas al respecto, puedes contactarnos en support@mellows.ai.

Aviso de incentivos financieros: No operamos programas de fidelización, recompensas por recomendación ni ningún otro programa que te ofrezca una diferencia de precio o un beneficio a cambio de tu Información Personal. Si introducimos alguno, publicaremos por separado un aviso de incentivos financieros con sus condiciones antes de que entre en vigor.

11) Menores

Proteger la privacidad de la infancia es especialmente importante para nosotros. Nuestros Servicios no están dirigidos, destinados ni diseñados para atraer a menores de 13 años (o de 16 años en el Espacio Económico Europeo, el Reino Unido u otras jurisdicciones donde la edad mínima de consentimiento para el tratamiento de datos sea mayor). No recopilamos, usamos, almacenamos ni divulgamos a sabiendas Datos Personales de ninguna persona por debajo de la edad mínima aplicable sin el consentimiento verificado de su padre, madre o tutor legal según lo exija la ley, incluida la Children's Online Privacy Protection Act (COPPA) en Estados Unidos, el GDPR en el EEE y el Reino Unido, y leyes similares en otras jurisdicciones.

Al usar nuestros Servicios, declaras y garantizas que tienes al menos 13 años (o la edad mínima aplicable en tu jurisdicción). Si tienes menos de 18 años (o de la mayoría de edad en tu jurisdicción), declaras que has obtenido permiso de tu padre, madre o tutor legal para usar los Servicios, y que esa persona acepta quedar vinculada por esta Política de Privacidad y por nuestros Términos de Servicio en tu nombre.

Qué ocurre si descubrimos que hemos recopilado datos de una persona menor de edad: Si detectamos que hemos recopilado por error Datos Personales de una persona por debajo de la edad mínima aplicable sin el consentimiento parental adecuado, tomaremos medidas inmediatas para eliminar esa información de nuestros sistemas lo antes posible. También desactivaremos la cuenta asociada y cesaremos cualquier recopilación o uso adicional de los Datos Personales de esa persona.

Derechos y solicitudes parentales: Si tienes la patria potestad o la tutela legal de una persona menor de la edad mínima aplicable y crees que nos ha proporcionado Datos Personales sin tu consentimiento, contáctanos de inmediato en support@mellows.ai con el asunto "Child Privacy Concern". Proporciona información suficiente para ayudarnos a identificar la cuenta (como la dirección de correo usada o el nombre de usuario, si lo conoces). Una vez verificada tu condición parental o de tutela, eliminaremos con prontitud los Datos Personales de esa persona de nuestros sistemas activos y tomaremos las medidas apropiadas para evitar futuras recopilaciones. Las madres, los padres y quienes ejercen la tutela tienen derecho a revisar los Datos Personales recopilados de los menores a su cargo, solicitar la eliminación de dichos datos y negarse a permitir la recopilación o el uso adicionales de su información.

Nuestro compromiso: Estamos comprometidos con el cumplimiento de la COPPA, el GDPR y todas las demás leyes de privacidad infantil aplicables. No condicionamos la participación en ninguna actividad a la divulgación de más Datos Personales de los razonablemente necesarios para esa actividad. Por el momento no pedimos tu fecha de nacimiento al registrarte ni aplicamos ninguna barrera técnica de edad; la edad mínima indicada arriba es una condición de uso de los Servicios que aceptas al crear una cuenta, y actuamos ante cualquier aviso o indicio de que una cuenta pertenece a una persona por debajo de la edad aplicable. Si tienes preguntas o inquietudes sobre nuestras prácticas de privacidad infantil, contáctanos mediante la información proporcionada en la Sección 14.

Servicios y enlaces de terceros: Nuestros Servicios pueden contener enlaces a sitios web, aplicaciones o servicios de terceros que no operamos nosotros. No somos responsables de las prácticas de privacidad ni del contenido de esos servicios de terceros, incluida su recopilación de datos de menores. Animamos a madres, padres y tutores a implicarse en las actividades en línea de los menores a su cargo y a revisar las políticas de privacidad de cualquier servicio de terceros al que estos accedan.

12) Decisiones automatizadas

La toma de decisiones automatizada se refiere al proceso de tomar una decisión por medios automatizados (usando tecnología como algoritmos, inteligencia artificial o aprendizaje automático) sin intervención humana. La elaboración de perfiles se refiere a cualquier forma de tratamiento automatizado de Datos Personales para evaluar, analizar o predecir aspectos relativos al rendimiento laboral, la situación económica, la salud, las preferencias personales, los intereses, la fiabilidad, el comportamiento, la ubicación o los movimientos de una persona.

Nuestras prácticas actuales: Queremos asegurarte que no realizamos una toma de decisiones automatizada que produzca efectos jurídicos sobre ti o que te afecte significativamente de modo similar sin intervención humana. En concreto, no usamos sistemas automatizados para tomar decisiones que: (a) tengan efectos jurídicos sobre ti, como afectar a tus derechos contractuales, a tu elegibilidad para prestaciones o a tu situación legal; (b) te afecten significativamente de manera similar, como denegarte el acceso a servicios, rechazar solicitudes automáticamente o afectar sustancialmente a tu acceso a oportunidades.

Uso de tratamiento automatizado: Aunque no realizamos una toma de decisiones automatizada con efectos jurídicos o igualmente significativos, sí usamos cierto tratamiento automatizado y algoritmos para fines que no tienen tales efectos, incluidos: (a) ofrecer recomendaciones de contenido, como sugerir sonidos, paisajes sonoros o funciones que podrían gustarte según tus patrones de uso y preferencias (estas recomendaciones son opcionales y no restringen tu acceso al resto del contenido); (b) optimizar el rendimiento de la aplicación, por ejemplo determinando los métodos más eficientes de entrega de contenido o las estrategias de caché; (c) detectar y prevenir fraudes, abusos o amenazas de seguridad mediante monitorización y análisis automatizados; (d) analizar datos agregados para entender las tendencias de uso y mejorar nuestros Servicios; (e) personalizar tu interfaz según tus ajustes y preferencias; (f) calcular tus insights de sueño y bienestar, como tu Puntuación del sueño, tu Recuperación, tu Edad del sueño, tu cronotipo, tu línea base personal, tu hora de acostarte adaptativa y tu coaching personalizado, a partir de tus datos de salud y de uso, incluida la nota sobre la fase del ciclo menstrual descrita en la Sección 2; (g) construir un perfil de tus preferencias y hábitos a partir de lo que le cuentas al asistente de IA, que este almacena como memoria a largo plazo y recupera en conversaciones posteriores; y (h) clasificar automáticamente los mensajes que envías al asistente de IA en busca de indicios de autolesión o crisis, para que el asistente pueda responder con los recursos adecuados. Estos procesos automatizados están diseñados para mejorar tu experiencia y no toman decisiones que te afecten jurídica o significativamente.

Tus derechos: Conforme al GDPR y a leyes similares, tienes derecho a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzcan efectos jurídicos sobre ti o te afecten significativamente de modo similar. Dado que actualmente no realizamos ese tipo de toma de decisiones automatizada, este derecho no suele aplicarse a nuestras actividades de tratamiento. No obstante, si nuestras prácticas cambian en el futuro: (a) actualizaremos esta Política de Privacidad para revelar claramente cualquier toma de decisiones automatizada que pueda afectarte significativamente; (b) obtendremos tu consentimiento explícito cuando la ley lo exija; (c) implementaremos salvaguardas apropiadas, como proporcionar información significativa sobre la lógica aplicada y sobre la importancia y las consecuencias previstas de dicho tratamiento; (d) te daremos el derecho a obtener intervención humana, expresar tu punto de vista e impugnar la decisión; y (e) cumpliremos todos los requisitos legales aplicables en materia de decisiones automatizadas.

Transparencia y control: Creemos en la transparencia y en darte control sobre tus datos. Si tienes preguntas sobre cómo puede afectarte el tratamiento automatizado o deseas hablar sobre nuestras prácticas de tratamiento de datos, contáctanos en support@mellows.ai. Estamos comprometidos con mantener prácticas de datos justas, transparentes y responsables que respeten tus derechos y tu dignidad.

Si en el futuro introducimos procesos de toma de decisiones automatizada que puedan tener efectos jurídicos o igualmente significativos, avisaremos con claridad a las personas afectadas, explicaremos cómo se toman las decisiones automatizadas, qué factores se consideran y cómo puedes ejercer tus derechos en relación con dichas decisiones. Implementaremos medidas apropiadas para salvaguardar tus derechos, libertades e intereses legítimos en relación con cualquier tratamiento automatizado de ese tipo.

13) Cambios en esta Política

Nos reservamos el derecho a modificar, actualizar o revisar esta Política de Privacidad en cualquier momento para reflejar cambios en nuestras prácticas de datos, en los requisitos legales, en los avances tecnológicos, en nuestras operaciones de negocio o por otros motivos. Cuando hagamos cambios en esta Política, tomaremos las medidas apropiadas para informarte, como se describe a continuación.

Aviso de cambios: Indicaremos que se han realizado cambios actualizando la "Fecha de entrada en vigor" al comienzo de esta Política de Privacidad. Cuando hagamos cambios, la Política actualizada se publicará en esta página con la nueva fecha de entrada en vigor. Te animamos a revisar esta Política periódicamente para mantenerte al tanto de cómo recopilamos, usamos y protegemos tus Datos Personales. Tu uso continuado de los Servicios tras la fecha de entrada en vigor de cualquier cambio constituye tu aceptación de la Política de Privacidad revisada.

Cambios sustanciales: Si realizamos cambios sustanciales en esta Política de Privacidad que afecten significativamente a tus derechos o a la forma en que tratamos tus Datos Personales, proporcionaremos un aviso más destacado antes de que los cambios entren en vigor. Dicho aviso puede incluir: (a) el envío de un correo a la dirección asociada a tu cuenta (si has proporcionado una dirección de correo); (b) la publicación de un aviso destacado en nuestro sitio web o dentro de la aplicación móvil; (c) el requisito de que confirmes expresamente los cambios la próxima vez que inicies sesión o uses los Servicios; o (d) otros medios de comunicación apropiados según la naturaleza de los cambios y los requisitos legales aplicables. Los cambios sustanciales pueden incluir, por ejemplo: ampliaciones significativas de las categorías de Datos Personales que recopilamos; nuevas finalidades de tratamiento que no sean compatibles con las finalidades originales; cambios en los periodos de conservación que amplíen significativamente el tiempo que guardamos tus datos; nuevas categorías de terceros con quienes compartimos datos; cambios en nuestras prácticas de transferencia internacional de datos; o reducciones de tus derechos de protección de datos.

Tus opciones: Si no estás de acuerdo con algún cambio en esta Política de Privacidad, tienes derecho a dejar de usar los Servicios y cerrar tu cuenta. Si la ley aplicable lo exige, solicitaremos tu consentimiento para determinados cambios sustanciales antes de que entren en vigor, en particular si los cambios implican tratar tus Datos Personales de formas sustancialmente distintas de las divulgadas cuando proporcionaste tus datos por primera vez o cuando consentiste por última vez nuestras prácticas de datos. Si no otorgas el consentimiento requerido, es posible que no puedas seguir usando ciertas funciones o la totalidad de los Servicios.

Historial de versiones: Podemos mantener un historial o archivo de versiones anteriores de esta Política de Privacidad con fines de referencia. Si deseas revisar una versión anterior de esta Política o tienes preguntas sobre los cambios que hemos realizado, contáctanos en support@mellows.ai.

Fecha de entrada en vigor de los cambios: Salvo que se indique lo contrario, los cambios en esta Política de Privacidad entrarán en vigor en la fecha especificada en la Política revisada. En algunos casos, cuando la ley lo permita, los cambios pueden entrar en vigor inmediatamente tras su publicación. En los casos en que debamos dar un aviso previo u obtener consentimiento, los cambios no surtirán efecto hasta que haya transcurrido el periodo de aviso o se haya obtenido el consentimiento.

Te recomendamos encarecidamente revisar esta Política de Privacidad con regularidad, y en especial antes de proporcionar nuevos Datos Personales o cuando notes que la fecha de entrada en vigor ha cambiado. Mantenerte al tanto de nuestras prácticas de privacidad te ayudará a tomar decisiones informadas sobre tu uso de nuestros Servicios y sobre tu privacidad.

14) Contacto

Si tienes preguntas, inquietudes o comentarios sobre esta Política de Privacidad, sobre nuestras prácticas de datos o sobre cómo tratamos tus Datos Personales, te animamos a contactarnos. Estamos comprometidos con atender tus consultas con prontitud y con trabajar contigo para resolver cualquier problema. Puedes escribirnos por los siguientes medios:

Empresa: Mellows Limited
Dirección: West Wing, 2/F, 822 Lai Chi Kok Road, Cheung Sha Wan, Kowloon, Hong Kong SAR
Correo electrónico: support@mellows.ai
Sitio web: https://mellows.ai

Cuando nos escribas por correo electrónico, incluye "Privacy Inquiry" o un asunto descriptivo para que podamos dirigir tu mensaje a la persona adecuada del equipo. Para solicitudes específicas (como solicitudes de acceso, supresión, corrección o exclusión), indica claramente tu solicitud y proporciona información suficiente para que podamos verificar tu identidad y localizar tu cuenta.

Plazo de respuesta: Procuramos responder a todas las consultas relacionadas con la privacidad en un plazo razonable, normalmente entre 5 y 10 días laborables para las preguntas generales, y dentro de los plazos exigidos por la ley para las solicitudes formales de derechos (habitualmente entre 30 y 45 días, según la jurisdicción y la naturaleza de la solicitud). Si tu consulta es compleja o requiere más tiempo, te contactaremos para darte un plazo estimado de respuesta y mantenerte al tanto de nuestro progreso.

Delegado de Protección de Datos: Aunque actualmente no estamos en la obligación de designar un Delegado de Protección de Datos (DPO) ni un responsable de privacidad conforme a las leyes aplicables, hemos designado contactos de privacidad responsables de supervisar el cumplimiento de esta Política de Privacidad y de las normativas de protección de datos aplicables. Si tu consulta se refiere al cumplimiento en materia de protección de datos, a asuntos del GDPR o a otras cuestiones regulatorias, dirige tu comunicación a nuestro equipo de privacidad en la dirección de correo indicada arriba.

Autoridad de control: Si te encuentras en el EEE, el Reino Unido o Suiza y crees que nuestro tratamiento de tus Datos Personales infringe las leyes de protección de datos aplicables, tienes derecho a presentar una reclamación ante una autoridad de control. Puedes dirigirte a la autoridad de control de tu país de residencia, de tu lugar de trabajo o del lugar de la supuesta infracción. Aunque tienes este derecho, te animamos a contactarnos primero para que tengamos la oportunidad de atender tus inquietudes directamente e intentar resolver cualquier problema.

Residentes de California: Si resides en California y tienes preguntas sobre tus derechos de privacidad bajo la CCPA/CPRA, o deseas presentar una solicitud para saber, eliminar o corregir tu Información Personal, escríbenos a support@mellows.ai con "California Privacy Rights Request" en el asunto.

Información adicional: Cuando nos contactes sobre asuntos de privacidad, proporciona el mayor detalle posible sobre tu consulta o solicitud. Esto puede incluir la información de tu cuenta, la naturaleza de tu solicitud, tus inquietudes o preguntas específicas y cualquier contexto relevante que nos ayude a atender tu consulta con eficacia. Para proteger tu privacidad y seguridad, es posible que necesitemos verificar tu identidad antes de responder a ciertas solicitudes, en particular a las que implican el acceso a Datos Personales o su supresión.

Nos tomamos muy en serio todas las consultas de privacidad y estamos comprometidos con proteger tus Datos Personales y respetar tus derechos de privacidad. Gracias por dedicar tiempo a revisar nuestra Política de Privacidad y por confiarnos tu información.