Caldito

Caldito (“la App”, “nosotros”) es una herramienta de registro familiar y organización para síntomas, medicación y cuidados, desarrollada como proyecto unipersonal bajo Torhen. Contacto: contactodhts@gmail.com.

1. Quiénes somos

• Desarrollador: Torhen (desarrollador independiente).
• Responsable del tratamiento: Torhen, actuando como responsable del tratamiento bajo el RGPD para los fines de proveer la App.
• Contacto: contactodhts@gmail.com.

2. Qué datos manejamos — y dónde se quedan

Caldito sigue un modelo local-first: todos los registros que ingresas (síntomas, fiebre, medicación, perfiles familiares, fotos) se almacenan principalmente en el dispositivo donde usas la App. Hay dos excepciones opcionales que solo se activan si tú lo decides:

1. Inicio de sesión con Google (opcional): si conectas tu cuenta, la App respalda automáticamente tus datos en tu propio Google Drive vía Android Auto Backup. Nosotros no accedemos a ese respaldo. Android Auto Backup conserva las copias hasta 57 días después de desinstalar la App, tras lo cual Google las elimina automáticamente.
2. Familia compartida (premium, opcional): si compras un plan premium y compartes la familia con otras personas, los datos compartidos viajan a Google Firestore bajo nuestra cuenta de proyecto de Firebase, asociados a tu ID de Google (UID), para que los otros miembros puedan verlos.

Las categorías de datos que podemos procesar:

• Datos de identidad: correo electrónico de tu cuenta Google, nombre público, URL de foto de perfil, UID de Google — solo si inicias sesión.
• Datos relacionados con la salud: perfiles de miembros familiares (nombre, fecha de nacimiento, alergias, condiciones crónicas, grupo sanguíneo, peso), síntomas, mediciones de fiebre, administraciones de medicación, episodios de enfermedad, notas de texto libre que tú escribas.
• Fotos: las fotos que adjuntes a los registros viven solo en el dispositivo donde se agregaron. Nunca se sincronizan, nunca se comparten con tu familia compartida, y nunca se suben a nuestros servidores.
• Datos técnicos: para la sincronización con Firestore, Google registra la dirección IP de cada solicitud por seguridad y limitación de tasa. Nosotros no retenemos ni analizamos esos registros de IP por cuenta propia.
• Datos de suscripción: si compras premium, RevenueCat procesa tu UID de Google y el estado de tu suscripción (activa, vencida, reembolsada) para validar premium entre dispositivos.

3. Datos que NO recolectamos

• No recolectamos ubicación.
• No accedemos a tus contactos.
• No recolectamos historial de navegación o de uso de apps.
• No usamos publicidad con datos personales.
• No vendemos datos a terceros ni a corredores de datos.
• No usamos SDKs de analítica (Firebase Analytics, Google Analytics, Mixpanel, etc.) en la App.
• No usamos herramientas de reporte de errores (Crashlytics, Sentry, etc.) que envíen tus datos fuera de la App.
• No realizamos decisiones automatizadas ni perfilado que produzcan efectos jurídicos o similarmente significativos sobre ti (Artículo 22 del RGPD). La App no te puntúa, clasifica ni evalúa.
• No usamos cookies en el sentido web tradicional. Firebase usa tokens de autenticación almacenados localmente en el dispositivo para mantenerte autenticado; estos no se nos transmiten como cookies.

4. Servicios de terceros

Los terceros integrados en Caldito son todos infraestructura, no marketing. Cada uno se rige por su propia política:

• Google Firebase (Authentication + Firestore) — solo si inicias sesión. Procesa correo, nombre público, foto de perfil y datos sincronizados. Política de Google.
• Google Drive — solo si inicias sesión. Respaldo automático de la base de datos local en tu propio Drive vía Android Auto Backup. Política de Google.
• RevenueCat — solo al comprar un plan premium o el Founding Lifetime. Procesa el ID de usuario y el estado de tu suscripción para validar premium entre dispositivos. Política de RevenueCat.
• Google Play Billing — solo al comprar. Procesa el pago directamente con Google. Nunca recibimos datos de tu tarjeta. Política de Google Play.

5. Base legal del tratamiento (RGPD)

Si te encuentras en el Espacio Económico Europeo, Reino Unido u otra jurisdicción con leyes similares, nos apoyamos en las siguientes bases legales:

• Consentimiento — para el inicio de sesión opcional con Google y la compra opcional de premium. Otorgas el consentimiento al iniciar sesión o completar una compra, y puedes retirarlo en cualquier momento al cerrar sesión o cancelar tu suscripción.
• Ejecución de un contrato — para entregar los servicios premium que compraste (Pareja, Familia o Founding Lifetime), incluyendo la sincronización de datos con miembros invitados.
• Interés legítimo — para mantener tus datos seguros (reglas de seguridad de Firestore, limitación de tasa por IP) y prevenir fraude o abuso del sistema de invitaciones (cooldown de 30 días).
• Obligación legal — para cumplir con leyes aplicables, incluyendo declaración tributaria de ingresos por premium.

6. Transferencias internacionales de datos

La infraestructura de terceros en la que nos apoyamos (Google Firebase, Google Drive, RevenueCat) está operada por proveedores con sede en Estados Unidos. Como resultado, los datos que sincronices pueden transferirse y procesarse en Estados Unidos u otros países donde estos proveedores operan centros de datos, incluyendo ubicaciones fuera de tu país de residencia.

Estos proveedores están sujetos a marcos internacionales de transferencia de datos (Marco UE-EE.UU. de Privacidad de Datos, Cláusulas Contractuales Tipo) que garantizan un nivel adecuado de protección para los datos personales de usuarios en el Espacio Económico Europeo y jurisdicciones similares. Nosotros no transferimos tus datos por cuenta propia fuera de estos proveedores.

7. Retención de datos

Conservamos tus datos solo durante el tiempo necesario para proveer la App y por los plazos requeridos por la ley aplicable:

• Datos locales en tu dispositivo: conservados hasta que desinstales la App o uses las opciones de borrado dentro de la App.
• Respaldo automático en Google Drive: conservado por Google hasta 57 días después de desinstalar, luego eliminado automáticamente.
• Firestore (familia compartida): conservado mientras eres miembro activo de una familia. Cuando dejas una familia o el dueño te quita, tus registros sincronizados asociados a tu UID se eliminan del servidor en un plazo de 30 días.
• Estado de suscripción en RevenueCat: conservado mientras tu premium esté activo y hasta 5 años después del último evento de suscripción, por motivos contables y de disputas de reembolso.
• Correos de soporte: conservados hasta 3 años después del último contacto, para seguimiento y resolución de disputas.

8. Familia compartida (premium)

Si compras un plan premium e invitas a otras personas, los datos sincronizados son visibles para los miembros invitados con permisos limitados:

• El dueño (quien compró) tiene control total: invitar, quitar, editar perfiles médicos y cerrar episodios.
• Los invitados pueden registrar y agregar miembros, pero NO pueden borrar registros de otros, editar perfiles médicos ni cerrar episodios.
• Cooldown anti-abuso de 30 días: si el dueño quita a alguien y quiere invitar a una persona diferente, debe esperar 30 días desde la remoción. Re-invitar a la misma persona es inmediato.
• Cuando dejas una familia compartida (te sales o el dueño te quita), tus datos personales en esa familia quedan accesibles solo para los miembros restantes; los demás dejan de verte como participante.

9. Datos de salud

Caldito procesa datos relacionados con la salud (síntomas, fiebre, medicación, fotos clínicas, perfil médico con alergias y condiciones crónicas). Estos datos:

• Se almacenan en tu dispositivo y, opcionalmente, en tu Drive y/o Firestore (familia compartida).
• NO se usan para entrenar modelos de IA.
• NO se venden a aseguradoras, laboratorios, farmacias ni a ningún tercero.
• NO se usan para perfilar usuarios con fines publicitarios.
• NO se comparten con empleadores, escuelas ni organismos gubernamentales salvo cuando lo exija estrictamente una orden judicial vinculante.

Caldito no es un dispositivo médico y no proporciona diagnósticos ni consejos médicos. Consulta los Términos del Servicio para más detalles.

10. Requisito de edad y privacidad de menores

Caldito está destinado exclusivamente a usuarios de 18 años o más. No recolectamos a sabiendas información personal de menores de 13 años (o menores de 16 en la UE/Reino Unido, según el país). El disclaimer inicial de la App exige confirmar que eres mayor de edad. Si eres menor, no uses esta App.

Padres y tutores legales pueden usar Caldito para registrar la salud de sus hijos menores como miembros familiares, pero la cuenta de la App debe pertenecer a un adulto. Si crees que un menor creó una cuenta o nos proporcionó datos personales sin consentimiento parental, contacta a contactodhts@gmail.com y eliminaremos esa información prontamente (cumplimiento COPPA).

11. Permisos del sistema

Caldito solo solicita los permisos mínimos necesarios para funcionar:

• Acceso a cámara / fotos: opcional, solo si decides adjuntar fotos a un registro. Las fotos viven en el almacenamiento privado de la App.
• Internet: requerido para la sincronización con Firestore y el inicio de sesión con Google. Si no inicias sesión, la App funciona sin conexión.

No solicitamos contactos, ubicación, micrófono ni almacenamiento externo.

12. Suscripciones y pagos

Los planes premium (Pareja, Familia, Founding Lifetime) se procesan exclusivamente vía Google Play Billing con RevenueCat como intermediario de gestión de suscripciones. Nunca te pediremos información de pago dentro de la App. Si alguien lo hace fuera de Google Play, es fraude.

13. Eliminación de datos

Puedes eliminar tus datos en cualquier momento:

• Datos locales: desinstalar la App borra todo lo que vive en el dispositivo.
• En Firestore (familia compartida): al dejar una familia, tus datos sincronizados asociados a tu UID se eliminan del servidor.
• Eliminación total: escribe a contactodhts@gmail.com desde el correo asociado a tu cuenta Google, y eliminaremos cualquier rastro asociado a esa cuenta en un plazo de 30 días, sujeto a excepciones legales de retención (por ejemplo, registros tributarios de compras premium).

14. Tus derechos

Dependiendo de dónde vivas, tienes los siguientes derechos respecto a tus datos personales. Puedes ejercerlos escribiendo a contactodhts@gmail.com desde el correo asociado a tu cuenta Google. Responderemos en un plazo de 30 días (o el plazo requerido por la ley aplicable a tu caso).

Si te encuentras en el Espacio Económico Europeo, Reino Unido o Suiza (RGPD / UK GDPR):

• Derecho de acceso — a obtener una copia de tus datos personales que procesamos.
• Derecho de rectificación — a corregir datos inexactos o incompletos.
• Derecho de supresión (“derecho al olvido”) — a pedirnos que eliminemos tus datos.
• Derecho a la limitación del tratamiento — a pedirnos que limitemos cómo usamos tus datos.
• Derecho a la portabilidad — a recibir tus datos en un formato estructurado y legible por máquina.
• Derecho de oposición — a oponerte al tratamiento basado en interés legítimo.
• Derecho a no ser objeto de decisiones automatizadas — no realizamos tales decisiones, pero el derecho existe.
• Derecho a retirar el consentimiento — en cualquier momento, sin afectar el tratamiento previo lícito.

Si eres residente de California (CCPA / CPRA):

• Derecho a saber qué información personal recolectamos, usamos y divulgamos.
• Derecho a eliminar la información personal que recolectamos de ti.
• Derecho a corregir información personal inexacta.
• Derecho a optar por no participar en la venta o el intercambio — Caldito no vende ni intercambia información personal para publicidad conductual entre contextos, pero puedes confirmar este estado.
• Derecho a limitar el uso de información personal sensible — solo usamos datos sensibles (datos de salud) para los fines descritos en esta política.
• Derecho a la no discriminación — ejercer tus derechos no resultará en una reducción de la calidad del servicio.

Si te encuentras en Brasil (LGPD):

• Confirmación de que procesamos tus datos personales; acceso a esos datos; corrección; anonimización, bloqueo o eliminación; portabilidad; eliminación de datos procesados por consentimiento; información sobre intercambio con terceros; derecho a revocar el consentimiento.

Residentes de otras jurisdicciones (LPDP de Argentina, Ley 19.628 de Chile, LFPDPPP de México, etc.) pueden tener derechos similares. Escríbenos y los honraremos donde corresponda.

15. Responsable del tratamiento y encargados

• Responsable del tratamiento: Torhen (el desarrollador de Caldito) determina los fines y medios del tratamiento de tus datos personales.
• Encargados del tratamiento que actúan en nuestro nombre bajo acuerdos escritos:
  • Google LLC — Firebase Authentication, Firestore, Drive Auto Backup, Play Billing.
  • RevenueCat, Inc. — validación del estado de la suscripción.

Estos encargados solo manejan tus datos siguiendo nuestras instrucciones documentadas y sus propios programas de privacidad.

16. Seguridad y registros

Aplicamos las siguientes medidas de seguridad:

• Comunicación cifrada (HTTPS/TLS) en todas las llamadas al servidor.
• Almacenamiento local en el área privada de la App, no accesible por otras apps de tu dispositivo.
• Reglas de seguridad de Firestore que limitan quién puede leer y modificar qué datos (3 capas de aplicación: reglas + validación server-side + chequeos client-side).
• Firma de aplicaciones de Google Play para verificar la integridad de las builds instaladas.

Google registra las direcciones IP de las solicitudes API de Firebase / Firestore con fines de seguridad, prevención de abuso y limitación de tasa. Nosotros no retenemos ni analizamos esos registros por cuenta propia; Google los retiene según sus propias políticas.

Ningún sistema es 100% seguro. Si encuentras un problema de seguridad, escríbenos a contactodhts@gmail.com con los detalles.

17. Derecho a presentar una queja ante una autoridad de control

Si crees que hemos violado tus derechos de protección de datos, tienes derecho a presentar una queja ante la autoridad de control de tu país o región:

• Unión Europea: la autoridad de protección de datos de tu país de residencia. Lista en edpb.europa.eu.
• Reino Unido: Information Commissioner's Office (ICO) — ico.org.uk.
• California, EE.UU.: California Privacy Protection Agency — cppa.ca.gov.
• Brasil: Autoridade Nacional de Proteção de Dados (ANPD) — gov.br/anpd.
• Chile: Consejo para la Transparencia — consejotransparencia.cl.

Te animamos a contactarnos primero a contactodhts@gmail.com para intentar resolver el problema directamente.

18. Cambios a esta política

Si realizamos cambios materiales, actualizaremos la fecha “Vigente desde” en la parte superior del documento y, cuando corresponda, notificaremos dentro de la App. El uso continuado después de los cambios implica aceptación de la política actualizada. Las versiones anteriores se conservan a pedido para referencia.

19. Contacto

Para cualquier pregunta de privacidad, eliminación de datos, ejercicio de tus derechos o presentación de queja:

Torhen
Correo: contactodhts@gmail.com