Política de privacidad

Francisco Mancuello Vazquez, persona física (Atleza todavía no es una sociedad), con domicilio en Edificio HIT, Papa Juan XXIII 1665, Las Lomas, Asunción, Paraguay. Contacto de privacidad: support@atleza.com. Responsable de privacidad: Francisco Mancuello Vazquez.

No hacemos reconocimiento facial.

Consentimiento de salud. Es expreso, separado y revocable. Guardamos qué aceptaste, la versión y la fecha. Podés retirarlo en Ajustes. Si lo retirás, no podemos seguir usando tus datos de salud y algunas funciones (como ajustar el plan por dolor) dejan de funcionar. No borra lo ya hecho antes de retirarlo.

• Tu coach: tus sesiones, esfuerzo, sensaciones, mensajes y reportes de dolor, porque es el servicio que contrataste.
• Un nutricionista: solo lo que vos le autorices, con un consentimiento aparte para cada profesional. Podés retirarlo cuando quieras. De un dolor que reportaste, ve solo que hubo un reporte y su fecha: nunca la zona, la intensidad ni lo que escribiste. El detalle del dolor lo ve únicamente tu coach.
• Otros participantes de un Reto: solo tu nombre elegido o alias y tu avance de constancia, solo si lo aceptás con una casilla propia. Nunca ven datos de salud, peso ni calorías.
• Otro coach: nada de tus datos con otros coaches.
• Público: nada de tus datos es público por defecto. Un coach puede tener un perfil público con su foto y sus planes. Más adelante, un club (formal o informal) podrá tener una página pública, solo si su coach responsable está verificado; esa página no muestra datos de salud ni datos de sus alumnos sin que cada persona lo elija.
• Tarjetas para compartir: no muestran peso, salud ni calorías por defecto. Solo se publican si vos las compartís.
• Atleza: el personal autorizado, para operar y dar soporte, con acceso limitado.

Los datos de salud no se muestran en páginas públicas, directorios ni imágenes para compartir.

Usamos proveedores que tratan datos por nuestra cuenta. Hoy:

• Supabase (base de datos, acceso y archivos), región São Paulo, Brasil.
• Vercel (alojamiento de la aplicación), funciones en São Paulo.
• PostHog (medición de uso), nube de Estados Unidos.
• WhatsApp / Meta (códigos de acceso y avisos, y los enlaces que abren un chat).
• Proveedor de email y proveedores de pago: se informan antes de usarlos y antes de cobrar.

No vendemos tus datos. No los usamos para publicidad de terceros.

También los compartimos si una ley o una autoridad competente lo exige, y con un nuevo dueño si Atleza se fusiona o se vende, con aviso previo.

Tus datos se tratan fuera de tu país: en Brasil (Supabase, Vercel) y en Estados Unidos (PostHog, y WhatsApp/Meta). Usamos contratos de encargo de datos y cláusulas estándar cuando la ley lo pide. Si operamos para personas en la Unión Europea, evaluaremos PostHog en la nube de la UE.

Podés pedir una copia antes de borrar tu cuenta. Lo que la ley nos obliga a conservar se guarda separado y solo para esa obligación.

Tenés derecho a:

• acceder a tus datos;
• rectificarlos;
• borrarlos;
• exportarlos en un archivo;
• oponerte a ciertos usos;
• retirar tu consentimiento en cualquier momento.

Cómo: desde Ajustes («Exportar mis datos», «Eliminar cuenta», consentimientos) o escribiendo a support@atleza.com. Verificamos tu identidad para proteger tu cuenta. Son derechos que te reconoce la Ley 7593/2025.

Plazo de respuesta: 30 días corridos.

Si no estás conforme, podés reclamar ante la autoridad de protección de datos de tu país. En Paraguay, la autoridad prevista es la Agencia Nacional de Protección de Datos Personales.

Aplicamos cifrado en tránsito y en reposo, control de acceso por rol, registro de accesos a datos de salud y validación de imágenes sin datos de ubicación. Ningún sistema es 100 % seguro. Si hay una brecha que te afecte, te avisamos y avisamos a la autoridad en los plazos que fija la ley.

Atleza es solo para personas de 18 años o más. No recogemos datos de menores a sabiendas. Si lo detectamos, cerramos la cuenta y borramos los datos. Si creés que un menor se registró, escribí a support@atleza.com.

• Sitio público (landing): medimos visitas y qué botones se tocan con PostHog. No usa cookies, no guarda nada en tu navegador, no graba tu pantalla y nunca recibe lo que escribís en el chat. Recibe datos técnicos (IP, navegador) y estima país y ciudad por la IP. Si tu navegador tiene activado «No rastrear», no medimos tu visita.
• Aplicación: la grabación de sesión (la repetición de lo que se hace en pantalla) está apagada hoy. Si la activamos: solo con tu consentimiento previo y separado; con todo el texto y los campos enmascarados; nunca en pantallas de salud (dolor, esfuerzo, sensaciones, nutrición) ni en el chat; solo en los flujos que queremos mejorar y con muestreo; y antes actualizamos esta política.
• No enviamos contenido de salud a herramientas de analítica.

Ver Cookies.

Cada nota resume la ley que puede aplicarte según dónde vivas.

• Paraguay. Ley 7593/2025 de Protección de Datos Personales (promulgada el 27-11-2025; vigencia plena prevista para noviembre de 2027). Es extraterritorial. La salud es dato sensible. Hasta entonces se menciona también la Ley 1682/2001. Ley 4868/2013 de comercio electrónico: baja fácil de comunicaciones comerciales.
• Argentina. Ley 25.326 (AAIP). Salud es dato sensible.
• Brasil. LGPD (Ley 13.709/2018), ANPD. Salud es dato sensible (art. 5, II). Base legal del art. 11. Transferencias según Resolución ANPD 19/2024.
• México. Nueva LFPDPPP en vigor desde el 21-03-2025. Los datos sensibles agravan las sanciones.
• Colombia. Ley 1581/2012 (SIC). Salud es dato sensible: autorización previa, expresa e informada.
• Chile. Ley 21.719, plena vigencia el 01-12-2026; reemplaza a la Ley 19.628. Salud es dato sensible con especial rigor.
• Uruguay. Ley 18.331: salud con consentimiento expreso y escrito. Prohíbe transferir a países sin nivel adecuado.
• Perú. Ley 29733 y Reglamento DS 016-2024-JUS.
• EE. UU. California (CCPA/CPRA): solo si Atleza supera los umbrales de la ley; derechos de acceso, borrado y de optar por no vender ni compartir; Atleza no vende datos. Washington (My Health My Data Act): exige consentimiento para datos de salud del consumidor y da acción privada; los datos de dolor y lesiones pueden contar. Otros estados tienen reglas propias. FTC: la regla de notificación de brechas de salud exige avisar a las personas y a la FTC sin demora y en 60 días como máximo.
• UE y Reino Unido (solo si ofrecemos Atleza allí). RGPD, art. 9: la salud exige consentimiento explícito. Cookies no esenciales solo con consentimiento previo. Hoy Atleza no se dirige a la UE.

Si cambiamos esta política de forma importante, te avisamos en la aplicación o por email antes de que se aplique. Si sumamos cuentas, grabaciones o proveedores nuevos, primero la actualizamos. Guardamos las versiones anteriores.

Francisco Mancuello Vazquez, persona física (Atleza todavía no es una sociedad), con domicilio en Edificio HIT, Papa Juan XXIII 1665, Las Lomas, Asunción, Paraguay. Correo: support@atleza.com.