Política de privacidad

URL pública: https://trainmeup.app/privacy

Última actualización: 20 de septiembre de 2026

App: TrainMeUp (com.mapachespark.trainedMe)

Editor / Responsable del tratamiento: Mapache Spark Labs (Francisco Vázquez Rico)

Contacto: mapache.spark.labs@gmail.com

Web de contacto: https://trainmeup.app/contact

Esta Política de Privacidad explica qué información recoge TrainMeUp ("la app", "nosotros"), por qué la recoge, cómo la usamos y qué derechos tienes. Está redactada para cumplir con las directrices de revisión de Apple App Store 5.1.1 / 5.1.3 (HealthKit), con las políticas de Google Play sobre datos de usuario y Health Connect, con el Reglamento General de Protección de Datos (RGPD) de la UE, con la LOPDGDD en España, con la CCPA/CPRA de California y con los requisitos de privacidad publicados por OpenAI para plugins / apps MCP.

En caso de conflicto entre esta política y una norma imperativa aplicable, prevalecerá la norma.

---

1. Quiénes somos

TrainMeUp es una app de fitness que te permite crear rutinas, registrar levantamientos y récords personales, llevar el seguimiento de tu composición corporal, conversar con un asistente entrenador impulsado por IA ("Pawco") y, de forma opcional, conectar tu cuenta a ChatGPT mediante nuestro plugin / servidor MCP remoto para consultar tu progreso y recibir propuestas de rutina allí. El responsable del tratamiento es Mapache Spark Labs (Francisco Vázquez Rico). Para cualquier consulta sobre esta política o para ejercer los derechos descritos en la sección 12, puedes escribirnos a mapache.spark.labs@gmail.com.

Por nuestro tamaño no estamos obligados a designar un Delegado de Protección de Datos, pero el correo anterior llega a la persona responsable de las decisiones sobre privacidad.

---

2. Ámbito

Esta política se aplica a:

• la aplicación móvil TrainMeUp para iOS y Android;
• nuestros sitios web (incluido https://trainmeup.app y páginas relacionadas como privacidad, términos, descarga y contacto);
• nuestros servicios backend alojados en Amazon Web Services, incluido el MCP / API de tools usado por el plugin de ChatGPT;
• el plugin / conector TrainMeUp en ChatGPT (inicio de sesión OAuth y llamadas a tools); y
• cualquier comunicación que tengas con nosotros por correo o a través de nuestra web de contacto.

No se aplica a productos de terceros que uses junto a TrainMeUp—incluido OpenAI / ChatGPT, Apple Salud / HealthKit y Google Health Connect—, que se rigen por sus propias políticas. Cuando usas TrainMeUp dentro de ChatGPT, OpenAI trata el contenido de la conversación y los resultados de las tools bajo sus términos y política de privacidad; nosotros controlamos únicamente los datos de tu cuenta TrainMeUp y las respuestas que devuelve nuestro servidor MCP.

---

3. Información que recogemos

Sólo recogemos lo necesario para que la app funcione y para las funciones que utilices de forma activa. No vendemos tus datos ni los usamos para publicidad comportamental cross-context.

3.1 Datos de cuenta e identidad

• Dirección de correo electrónico e identificador opaco que nos proporciona "Iniciar sesión con Apple" o "Iniciar sesión con Google". Si eliges la opción "Ocultar mi correo" de Apple, sólo vemos la dirección de relé que nos facilita Apple.
• Un nombre de usuario que elijas (opcional, se usa para compartir y para las pantallas de ranking).
• Identificador de usuario generado por Amazon Cognito para asociar internamente tus datos a tu cuenta.

3.2 Datos de perfil

• Sexo biológico (genero), altura (altura, en cm o pulgadas), nivel de experiencia con pesas, tipo físico y fecha de nacimiento (sólo si los introduces; la fecha de nacimiento es opcional y se usa, p. ej., para fórmulas de pliegues como Jackson-Pollock).

3.3 Datos de entrenamiento

• Rutinas, ejercicios, series, rangos objetivo, tiempos de descanso y notas.
• Levantamientos registrados (peso, repeticiones, RIR, fallo, fecha) y 1RM estimado.
• Historial de ejecución de rutinas y marcas de "saltado" / "cerrado".
• Objetivos (peso, composición corporal, pasos diarios, levantamientos, doble progresión, músculos priorizados).

3.4 Métricas corporales y de salud que introduces en la app

• Historial de peso corporal, historial de porcentaje de grasa, mediciones de pliegues (Jackson-Pollock) y perímetros corporales (pecho, brazo, hombro, muslo, cadera).
• Notas asociadas a cualquiera de esas mediciones.

3.5 Datos de Apple HealthKit y Google Health Connect

Con tu consentimiento explícito, la app lee y/o escribe en Apple HealthKit (iOS) o Google Health Connect (Android):

• Lectura: pasos diarios (para el KPI de "pasos diarios"), peso corporal, altura, % de grasa corporal, sexo biológico (sólo iOS) y fecha de nacimiento (sólo iOS).
• Escritura: peso corporal, altura y % de grasa que registras en TrainMeUp, para que el resto de tus apps de salud queden sincronizadas.

Puedes conceder o revocar cada permiso en cualquier momento desde los ajustes de salud del sistema.

Los datos obtenidos de Apple HealthKit nunca se utilizan con fines publicitarios, no se comparten con data brokers ni se venden. Esta declaración es exigida por las directrices de HealthKit de Apple y la respetamos estrictamente.

3.6 Interacciones con el asistente de IA ("Pawco")

Cuando hablas con el asistente de IA dentro de la app, enviamos a nuestro backend proxy y al modelo subyacente:

• El texto de tu mensaje y el historial reciente del chat de la sesión actual (limitado a los últimos ~20 intercambios).
• Tu identificador de Cognito, una clave de idempotencia, el idioma solicitado y, opcionalmente, un contexto estructurado de app (por ejemplo, la pantalla en la que estás o la rutina activa).
• Si pulsas el botón de micrófono, el audio capturado se transcribe a texto en el dispositivo o mediante el servicio de reconocimiento de voz del sistema operativo (Apple Speech / Google Speech Recognition) y al backend sólo viaja el texto transcrito.

El prompt que envías, la respuesta del modelo, el nombre del modelo, los tokens, la latencia y una categoría de intención se almacenan en un registro privado tuyo (InteraccionIA) en la nube, para poder investigar problemas de calidad y mejorar Pawco. Esos registros sólo son accesibles para ti (autorización por propietario en AWS AppSync) y, de forma limitada, para nuestro equipo de ingeniería con fines de soporte y depuración.

El modelo subyacente es Google Gemini (actualmente gemini-2.5-flash) llamado desde nuestro propio proxy en AWS Lambda alojado en la UE (eu-west-1, Irlanda). Google procesa el prompt bajo sus compromisos de privacidad para clientes de la API de Gemini y, según los términos vigentes en el momento de redactar esta política, no utiliza esos prompts para entrenar sus modelos de producto general.

3.7 Diagnóstico y analítica

En las builds de producción usamos Firebase Analytics y Firebase Crashlytics para entender qué funciones se utilizan y detectar errores:

• Eventos estándar de Firebase (aperturas de la app, vistas de pantalla a través de FirebaseAnalyticsObserver, eventos personalizados como health_permission_state_changed, etc.).
• Stack traces de los crashes con modelo de dispositivo, versión del sistema operativo, versión de la app, identificador de Cognito asignado como userIdentifier y cualquier clave personalizada (por ejemplo, qué permiso de Health falló).
• En Android declaramos el permiso AD_ID para que Firebase Analytics pueda reportar métricas de adquisición y audiencias; no mostramos anuncios y no compartimos este identificador con redes publicitarias.

En las builds de desarrollo el analytics y el crash reporting están desactivados.

3.8 Notificaciones

Con tu permiso te enviamos notificaciones locales (generadas en el propio dispositivo), como recordatorios de entrenamiento y mensajes motivacionales. Actualmente no enviamos notificaciones remotas push.

3.9 Archivos que importas

Si usas la función de "importar rutina" puedes seleccionar un CSV, XLSX o PDF de tu dispositivo mediante el selector de archivos del sistema. En iOS, por eso aparece la descripción del permiso Photos: iOS ofrece la biblioteca de fotos como una ubicación opcional para el selector. El archivo se envía a nuestros servidores para interpretarlo y convertirlo en una rutina; el fichero temporal se elimina al terminar el procesamiento. Sólo se guarda la rutina resultante en tu cuenta.

Opcionalmente, antes de subir el archivo, puedes marcar una casilla para autorizarnos a conservar una copia anonimizada del CSV durante un máximo de 90 días con el fin exclusivo de mejorar la importación de rutinas. Si no das ese consentimiento, no archivamos el CSV original.

3.10 Funciones para compartir

Si compartes una rutina o un récord personal con la acción "compartir" de la app, ésta genera un enlace público en https://trainmeup.app/share/... que contiene los datos necesarios para que otra persona pueda importar la rutina o ver la tarjeta de PR. Cualquiera que tenga ese enlace puede abrirlo. Úsalo sólo con personas de confianza.

Además, parte de tus datos de entrenamiento (rutinas creadas, sesiones ejecutadas y levantamientos) son legibles por otros usuarios autenticados de TrainMeUp a través de consultas privadas de GraphQL que se utilizan para el catálogo y para las funciones de ranking. Las medidas corporales personales, las conversaciones con la IA, el correo electrónico y el perfil no se comparten entre usuarios.

La experiencia de Comunidad en la app (actividad y rankings) se muestra entre amigos que aceptas; las peticiones y el estado de amistad se guardan para que ambas partes puedan gestionar la relación. A nivel de API, la lectura autenticada de datos de entrenamiento sigue siendo la descrita arriba hasta que se introduzca un control de acceso más estricto en servidor.

3.11 Permisos que podemos solicitar

• Notificaciones (iOS / Android POST_NOTIFICATIONS) y alarmas exactas / arranque (sólo Android) – para entregar recordatorios.
• Micrófono (NSMicrophoneUsageDescription / RECORD_AUDIO) – para dictar mensajes a Pawco.
• Reconocimiento de voz (NSSpeechRecognitionUsageDescription) – para transcribir lo que dices.
• HealthKit (NSHealthShareUsageDescription, NSHealthUpdateUsageDescription) y Health Connect (android.permission.health.*, ACTIVITY_RECOGNITION) – para los datos de la sección 3.5.
• Biblioteca de fotos (NSPhotoLibraryUsageDescription) – sólo se usa como fuente opcional del selector de documentos para importar rutinas. La app no accede a tu biblioteca de fotos por iniciativa propia.
• Acceso a red – para sincronizar tus datos con la nube y llamar al proxy de IA.

La app nunca accede a otros contenidos personales no relacionados, como contactos, calendario, SMS o ubicación.

3.12 Plugin de ChatGPT / conector MCP remoto

Conectar TrainMeUp dentro de ChatGPT es opcional. Si nunca conectas el plugin, no se produce el tratamiento de esta sección.

Autenticación. Cuando eliges «Iniciar sesión» / conectar TrainMeUp desde ChatGPT, completas OAuth con Amazon Cognito (email/contraseña o Iniciar sesión con Apple / Google—la misma cuenta que en la app móvil). ChatGPT guarda entonces los tokens de acceso necesarios para llamar a nuestro servidor MCP en tu nombre. Te identificamos a partir del JWT de Cognito (sub → tu username / cuenta TrainMeUp). No recibimos tu contraseña de ChatGPT y no descargamos ni reconstruimos el historial completo de chats de ChatGPT. Nuestro servidor solo ve los argumentos de las tool calls que envía ChatGPT y las respuestas que devolvemos.

Entradas de tools (lo que ChatGPT puede enviar a TrainMeUp). Según la tool, las entradas pueden incluir: una ventana de días (p. ej. últimos 14), zona horaria, idioma/locale, id de rutina opcional, consulta corta para el catálogo de ejercicios y filas estructuradas al proponer un cambio de rutina (día, id de ejercicio, series, rangos de reps, resumen/intent corto). Ignoramos cualquier userId del cliente que no coincida con el token autenticado.

Salidas de tools (lo que TrainMeUp puede devolver a la sesión de ChatGPT). Nuestras tools MCP pueden devolver datos ya guardados en tu cuenta TrainMeUp, entre ellos:

Qué no enviamos por MCP de forma predeterminada. No devolvemos de forma intencionada dirección de correo, datos de pago, flujos crudos de HealthKit/Health Connect, transcripciones completas del chat in-app de Pawco, contraseñas, API keys ni identificadores publicitarios a través de estas tools.

Metadatos operativos / de seguridad. Para operar y asegurar el conector podemos tratar marcas de tiempo de petición, nombre de tool, estado éxito/error, vinculación Cognito subject / username y logs estándar de HTTP/API Gateway (que pueden incluir dirección IP). No usamos el tráfico MCP para publicidad comportamental cross-context.

OpenAI como destinatario independiente. Las entradas y salidas de las tools aparecen en tu conversación de ChatGPT. OpenAI trata ese contenido bajo su propia política de privacidad y términos. TrainMeUp no controla cuánto tiempo conserva OpenAI las conversaciones de ChatGPT.

---

4. Cómo usamos tu información y base jurídica (RGPD)

No vendemos información personal y no la usamos para publicidad comportamental cross-context. No tomamos decisiones automatizadas con efectos jurídicos o significativos sobre ti. Las recomendaciones de evaluate_mesocycle son informativas y no producen por sí solas efectos jurídicos o análogos.

---

5. Encargados, subencargados y otros destinatarios

Los siguientes proveedores tratan datos por nuestra cuenta. Todos están sujetos a contratos adecuados y, cuando corresponde, a Cláusulas Contractuales Tipo para transferencias internacionales.

• Amazon Web Services, Inc. – Cognito (autenticación, incluido OAuth del plugin de ChatGPT), AppSync + DynamoDB (base de datos), S3 (almacenamiento), Lambda + API Gateway (proxy de IA y MCP / API de tools para ChatGPT), CloudFront (enlaces de compartir). Región principal: eu-west-1 (Irlanda).
• Google LLC – Firebase Analytics, Firebase Crashlytics, Iniciar sesión con Google, API de Gemini (modelo que mueve a Pawco in-app) y Google Health Connect (en Android).
• Apple Inc. – Iniciar sesión con Apple, reconocimiento de voz de Apple y HealthKit (en iOS).

Destinatario independiente (no es nuestro encargado):

• OpenAI, Inc. / ChatGPT – Si conectas el plugin TrainMeUp, OpenAI recibe las peticiones y respuestas de tools que aparecen en tu sesión de ChatGPT y almacena los tokens OAuth necesarios para llamar a nuestro MCP. Ese tratamiento se rige por la política de privacidad y los términos de OpenAI. No vendemos tus datos a OpenAI.

Si inicias sesión con Google o con Apple, esos proveedores conocen que estás usando TrainMeUp; sus políticas de privacidad rigen esa interacción.

---

6. Transferencias internacionales

Aunque nuestra región principal de backend está en la Unión Europea (Irlanda), algunos proveedores y destinatarios de la sección 5 (especialmente Google, Apple y OpenAI cuando usas ChatGPT) pueden tratar datos en Estados Unidos u otros países. Cuando los datos salen del Espacio Económico Europeo nos apoyamos en las decisiones de adecuación de la Comisión Europea cuando existen, o bien en las Cláusulas Contractuales Tipo aprobadas por la Comisión, complementadas con medidas adicionales (cifrado en tránsito y en reposo, controles de acceso). Conectar el plugin de ChatGPT implica necesariamente transferir a los sistemas de OpenAI datos personales relacionados con las tools, bajo el rol de OpenAI como responsable/servicio independiente respecto de ChatGPT.

---

7. Plazos de conservación

• Datos de cuenta y entrenamiento: se conservan mientras tu cuenta esté activa. Si borras tu cuenta (sección 11) los eliminamos de los sistemas en producción y de las copias activas en un plazo de 30 días, salvo que tengamos obligación legal de conservarlos más tiempo.
• Conversaciones con la IA (InteraccionIA): hasta 24 meses desde la fecha de la interacción y después se eliminan o se agregan de forma que no puedan vincularse a ti. Estos registros in-app son distintos de las conversaciones de ChatGPT.
• Plugin ChatGPT / MCP: los tokens OAuth los conserva ChatGPT hasta que desconectes el plugin (y/o hasta que caduquen o se revoquen). Los borradores de rutina caducan tras un periodo corto (campo expiresAt en la respuesta) y no se aplican salvo que confirmes en la app TrainMeUp. Los logs operativos MCP (nombre de tool, estado, marcas de tiempo, vinculación de auth, IP en logs de gateway) se conservan hasta 90 días por seguridad y depuración, y después se eliminan o agregan.
• Datos de analítica y crash: se conservan según los plazos por defecto de Firebase (hasta 14 meses para eventos de Analytics; hasta 90 días para los reportes detallados de crash). Los identificadores de usuario en analytics se eliminan cuando solicitas el borrado de la cuenta.
• Datos leídos desde HealthKit / Health Connect: no los almacenamos crudos en nuestro backend; sólo guardamos las mediciones (Peso, PorcentajeGrasa, etc.) que tú mismo registras dentro de la app.
• Copias dentro de ChatGPT: la conservación del contenido de la conversación y de las salidas de tools dentro de ChatGPT la controla OpenAI, no TrainMeUp.

---

8. Seguridad

• Todas las comunicaciones entre la app, ChatGPT y nuestro backend usan TLS 1.2 o superior.
• La autenticación está gestionada por Amazon Cognito con JWT y tokens de refresco estándar de la industria. Las llamadas MCP en producción exigen un JWT Cognito válido; el servidor vincula el acceso a los datos con la cuenta autenticada.
• Los datos en S3 y DynamoDB están cifrados en reposo con claves gestionadas por AWS.
• Las reglas de AppSync restringen cada registro a su propietario, salvo el conjunto limitado de rutinas y levantamientos que se hacen legibles a otros usuarios autenticados de forma intencionada para las funciones de ranking y compartir.
• Aplicamos el principio de mínimo privilegio para los accesos internos y lo revisamos periódicamente.

Ningún sistema es 100 % seguro. Eres responsable de mantener seguras las credenciales de tu Apple ID / cuenta de Google y la pantalla de bloqueo de tu dispositivo, y de desconectar el plugin de ChatGPT si ya no quieres que ChatGPT llame a TrainMeUp en tu nombre.

---

9. Menores

TrainMeUp no se dirige a menores. Debes tener al menos 16 años si resides en el Espacio Económico Europeo, o 13 años en cualquier otro país, para crear una cuenta. Si tenemos conocimiento de que un menor nos ha facilitado datos personales, contáctanos y eliminaremos la cuenta.

---

10. Tus opciones de privacidad

Puedes:

• Desactivar notificaciones, micrófono, HealthKit / Health Connect y analítica desde los ajustes del sistema operativo.
• No utilizar el asistente de IA; el resto de la app sigue funcionando sin él.
• No conectar el plugin de ChatGPT, o desconectarlo / revocarlo desde los ajustes de apps conectadas / plugins de ChatGPT en cualquier momento para que dejen de hacerse nuevas llamadas MCP.
• Editar o eliminar cualquiera de tus datos de entrenamiento, mediciones u objetivos desde dentro de la app (eso cambia lo que podrán devolver futuras tool calls).
• Exportar tus rutinas con las funciones "compartir" / "exportar".
• Borrar tu cuenta TrainMeUp (sección 11), lo que elimina los datos subyacentes que el conector leería.

---

11. Borrado de cuenta y de datos

Puedes borrar tu cuenta en cualquier momento desde Ajustes → Perfil → Eliminar cuenta dentro de la app. Esto provoca el borrado de:

• Tu registro Persona y todos los registros de los que es propietario (rutinas, levantamientos, métricas corporales, interacciones de IA, objetivos, perímetros, pliegues, historial de % grasa, sesiones, etc.).
• Tu registro de autenticación en Amazon Cognito.
• Tu asociación con el identificador de usuario de Firebase Analytics / Crashlytics.

Las copias de seguridad y réplicas de lectura se purgan en un plazo de 30 días. Los datos que hayas compartido con otra persona a través de un enlace público no pueden retirarse una vez recibidos, pero el enlace original dejará de resolverse.

Si por cualquier motivo el borrado dentro de la app falla, escríbenos a mapache.spark.labs@gmail.com con el asunto "Eliminar mi cuenta de TrainMeUp" desde el correo asociado a tu cuenta y completaremos el borrado de forma manual en un plazo de 30 días.

---

12. Tus derechos (RGPD y CCPA/CPRA)

Si te encuentras en el Espacio Económico Europeo, Reino Unido o Suiza, tienes derecho a:

• Acceder a los datos personales que tenemos sobre ti.
• Rectificar los datos inexactos o incompletos.
• Suprimir tus datos ("derecho al olvido").
• Limitar u oponerte al tratamiento basado en interés legítimo.
• Recibir tus datos en un formato portable y legible por máquina.
• Retirar tu consentimiento en cualquier momento para los tratamientos basados en él, sin que ello afecte a la licitud de los tratamientos anteriores.
• Reclamar ante la autoridad de control competente (en España, la Agencia Española de Protección de Datos, https://www.aepd.es).

Si eres residente en California, la CCPA y la CPRA te otorgan el derecho a saber qué categorías de información personal recogemos, a suprimirla, a corregirla, a limitar el uso de información personal sensible y a oponerte a la "venta" o "compartición" de información personal. No vendemos ni compartimos información personal en el sentido de la CCPA/CPRA, pero puedes ejercer el resto de derechos contactándonos.

Para ejercer cualquiera de estos derechos, escribe a mapache.spark.labs@gmail.com. Podemos pedirte verificar que controlas el correo asociado a tu cuenta antes de procesar la solicitud.

---

13. Imágenes y contenido generado por IA

Algunas de las ilustraciones e iconos del interior de la app se crearon con herramientas de IA generativa. Se usan bajo nuestra propia responsabilidad y no representan a personas reales. No están sujetas a una titularidad de copyright exclusiva. Esta declaración es informativa y no altera ninguno de los compromisos de privacidad anteriores.

---

14. Cambios en esta política

Actualizaremos este documento siempre que cambie la forma en que tratamos los datos. La fecha "Última actualización" del encabezado indica la revisión vigente. Los cambios significativos se destacarán dentro de la app o, si has iniciado sesión en los últimos 12 meses, por correo electrónico.

---

15. Contacto

Para cualquier pregunta, solicitud o reclamación sobre esta política o sobre cómo tratamos tus datos, escribe a:

• Correo: mapache.spark.labs@gmail.com
• Web: https://trainmeup.app/contact

Public URL: https://trainmeup.app/privacy

Last updated: September 20, 2026

App: TrainMeUp (com.mapachespark.trainedMe)

Publisher / Data controller: Mapache Spark Labs (Francisco Vázquez Rico)

Contact: mapache.spark.labs@gmail.com

Contact website: https://trainmeup.app/contact

This Privacy Policy explains what information TrainMeUp ("the app", "we", "us") collects, why we collect it, how we use it and which rights you have. It is written to comply with Apple App Store Review Guideline 5.1.1 / 5.1.3 (HealthKit), Google Play User Data and Health Connect policies, the EU General Data Protection Regulation (GDPR), the California Consumer Privacy Act / CPRA (CCPA), and OpenAI’s published plugin / MCP app privacy requirements.

If a section conflicts with mandatory law in your jurisdiction, that law prevails over this document.

---

1. Who we are

TrainMeUp is a fitness app that lets you build training routines, log lifts and personal records, track body composition, receive an AI-assisted coaching experience ("Pawco"), and optionally connect your account to ChatGPT through our plugin / remote MCP server so you can ask about your training progress and receive routine proposals there. The data controller of the personal data processed by TrainMeUp is Mapache Spark Labs (Francisco Vázquez Rico). You can contact us at mapache.spark.labs@gmail.com for any question related to this policy or to exercise the rights described in section 12.

We do not have a designated Data Protection Officer because of the size of our operation, but the email above reaches the person responsible for privacy decisions.

---

2. Scope

This policy applies to:

• the TrainMeUp mobile application for iOS and Android;
• our websites (including https://trainmeup.app and related pages such as privacy, terms, download and contact);
• our backend services hosted on Amazon Web Services, including the remote MCP / tools API used by the ChatGPT plugin;
• the TrainMeUp ChatGPT plugin / connector (OAuth sign-in and tool calls); and
• any communication you have with us via email or our contact page.

It does not apply to third-party products you use alongside TrainMeUp—including OpenAI / ChatGPT, Apple Health / HealthKit and Google Health Connect—which are governed by their own privacy policies. When you use TrainMeUp inside ChatGPT, OpenAI processes conversation content and tool results under OpenAI’s terms and privacy policy; we control only the TrainMeUp account data and the responses our MCP server returns.

---

3. Information we collect

We collect only what is needed to operate the app and to provide the features you actively use. We never sell your data and we do not use it for cross-context behavioural advertising.

3.1 Account and identity data

• Email address and the opaque user identifier returned by Sign in with Apple or Sign in with Google. If you choose Apple's "Hide My Email" option, we only see the relay address that Apple gives us.
• A username you choose (optional, used for sharing and for ranking screens).
• Cognito-generated user ID, used internally to associate your data with your account.

3.2 Profile data

• Biological sex (genero), height (altura, in cm/in), training experience level, body type and date of birth (only if you fill them in; date of birth is optional and used to compute body-fat estimations such as Jackson-Pollock).

3.3 Training data

• Routines, exercises, sets, target ranges, rest times and notes.
• Logged lifts (weight, reps, RIR, failure flag, date) and estimated 1RM.
• Routine execution history and "skipped" / "closed" markers.
• Goals (weight goals, body composition goals, daily-steps goals, lift goals, double-progression state, prioritised muscles).

3.4 Body and health metrics that you enter in the app

• Body weight history, body-fat percentage history, skinfold measurements (Jackson-Pollock) and body perimeters (chest, arm, shoulder, thigh, hip).
• Notes attached to any of those measurements.

3.5 Apple HealthKit and Google Health Connect data

With your explicit consent, the app reads from and/or writes to Apple HealthKit (iOS) or Google Health Connect (Android):

• Read: daily steps (for the "daily steps" KPI), body weight, height, body-fat percentage, biological sex (iOS only) and date of birth (iOS only).
• Write: body weight, height and body-fat percentage that you log inside TrainMeUp, so the rest of your health apps stay in sync.

You can grant or revoke each of these accesses at any time from the system's Health settings.

Apple HealthKit data is never used for advertising, never shared with data brokers and never sold. This statement is required by Apple's HealthKit guidelines and we honour it strictly.

3.6 AI assistant ("Pawco") interactions

When you interact with the in-app AI assistant, we send to our backend proxy and to the underlying AI model:

• The text of your message and the recent chat history of the current session (capped to the last ~20 exchanges).
• Your Cognito user ID, an idempotency key, the requested language and an optional structured "app context" (for example which screen you're on or which routine is active).
• The audio captured by the microphone, if and only if you tap the microphone button. The audio is transcribed to text on-device or via the operating system's speech-recognition service (Apple Speech / Google Speech Recognition) and only the transcribed text is sent to our backend.

The prompt sent by you, the reply produced by the model, the model name, token counts, latency and an intent category are stored in your private cloud record (InteraccionIA) so that we can investigate quality issues and improve Pawco. These records are accessible only to you (owner-based authorisation in AWS AppSync) and to engineers performing limited debugging.

The underlying model is Google Gemini (currently gemini-2.5-flash) called through our own AWS Lambda proxy hosted in the EU (eu-west-1, Ireland). Google processes the prompt under its own privacy commitments for Gemini API customers and does not use these prompts to train its models for general-purpose products under the API terms in force at the time of writing.

3.7 Diagnostics and analytics

In release builds we use Firebase Analytics and Firebase Crashlytics to understand which features are used and to detect crashes:

• Standard Firebase events (app opens, screen views via FirebaseAnalyticsObserver, custom events such as health_permission_state_changed, etc.).
• Crash stack traces with the device model, OS version, app version, Cognito user ID set as userIdentifier and any custom keys we attach to the crash (for example the type of Health permission that failed).
• On Android we declare the AD_ID permission so Firebase Analytics can report acquisition and audience metrics; we do not run ads in the app and we do not share this identifier with advertising networks.

On debug builds analytics and crash collection are disabled.

3.8 Notifications

With your permission we send local (on-device) notifications such as workout reminders and motivational messages. Notifications are generated on your device; we do not currently send remote push messages.

3.9 Files you import

If you use the "import routine" feature you may pick a CSV, XLSX or PDF file from your device using the system file picker. On iOS this is the reason the Photos permission description is shown, because iOS offers the photo library as an optional location for the picker. The file is sent to our servers to interpret it and turn it into a routine; the temporary file is deleted when processing finishes. Only the resulting routine is saved to your account.

Optionally, before uploading, you may check a box to allow us to keep an anonymized copy of the CSV for up to 90 days solely to improve routine imports. If you do not give that consent, we do not archive the original CSV.

3.10 Sharing features

If you share a routine or a personal record using the in-app "share" action, the app generates a public link on https://trainmeup.app/share/... that contains the data required for another person to import the routine or to see the PR card. Anyone with that link can open it. Use it only with people you trust.

In addition, certain training data (your created routines, executed sessions and lifts) is readable by other authenticated TrainMeUp users via private GraphQL queries used for catalogue browsing and ranking features. Personal body measurements, AI conversations, email and profile data are not shared between users.

The in-app Community experience (activity feed and rankings) is scoped to friends you accept; friend requests and friendship status are stored so both parties can manage the relationship. At the API layer, authenticated read of training data remains available as described above until a stricter server-side access control is introduced.

3.11 Permissions we may request

• Notifications (iOS / Android POST_NOTIFICATIONS) and exact-alarm / boot-completed (Android only) – to deliver workout reminders.
• Microphone (NSMicrophoneUsageDescription / RECORD_AUDIO) – to dictate messages to Pawco.
• Speech Recognition (NSSpeechRecognitionUsageDescription) – to transcribe what you say.
• HealthKit (NSHealthShareUsageDescription, NSHealthUpdateUsageDescription) and Health Connect (android.permission.health.*, ACTIVITY_RECOGNITION) – to read/write the data described in 3.5.
• Photo Library (NSPhotoLibraryUsageDescription) – only used as an optional source for the document picker when importing routines. The app does not read your photo library proactively.
• Network access – to sync your data with the cloud and to call the AI proxy.

The app never accesses unrelated personal content such as contacts, calendar, SMS or location.

3.12 ChatGPT plugin / remote MCP connector

Connecting TrainMeUp inside ChatGPT is optional. If you never connect the plugin, none of the processing in this section occurs.

Authentication. When you choose “Sign in” / connect TrainMeUp from ChatGPT, you complete OAuth with Amazon Cognito (email/password or Sign in with Apple / Google—same account as the mobile app). ChatGPT then stores access tokens needed to call our MCP server on your behalf. We identify you from the Cognito JWT (sub → your TrainMeUp username / account). We do not receive your ChatGPT password, and we do not pull or reconstruct your full ChatGPT chat history. Our server only sees the tool call arguments ChatGPT sends and the tool responses we return.

Tool inputs (what ChatGPT may send to TrainMeUp). Depending on the tool, inputs may include: a requested day window (e.g. last 14 days), timezone, locale/language, optional routine id, short search query for the exercise catalogue, and structured draft rows when proposing a routine change (day, exercise id, sets, rep ranges, short summary/intent). We ignore client-supplied user ids that do not match the authenticated token.

Tool outputs (what TrainMeUp may return into the ChatGPT session). Our MCP tools may return data already stored in your TrainMeUp account, including:

What we do not send through MCP by default. We do not intentionally return email address, payment data, HealthKit/Health Connect raw streams, full in-app Pawco chat transcripts, passwords, API keys, or advertising identifiers via these tools.

Operational / security metadata. To operate and secure the connector we may process request timestamps, tool name, success/error status, Cognito subject / username linkage, and standard HTTP/API Gateway logs (which can include IP address). We do not use MCP traffic for cross-context behavioural advertising.

OpenAI as a separate recipient. Tool inputs and outputs appear in your ChatGPT conversation. OpenAI processes that content under its own privacy policy and terms. TrainMeUp does not control how long OpenAI retains ChatGPT conversations.

---

4. How we use your information and legal basis (GDPR)

We do not sell personal information and we do not use it for cross-context behavioural advertising. We do not perform automated decisions with legal or similarly significant effects on you. Coaching recommendations from evaluate_mesocycle are informational and do not produce legal or similarly significant effects on their own.

---

5. Third-party processors, sub-processors and other recipients

The following service providers process data on our behalf. Each of them is bound by appropriate contractual terms and, where applicable, by Standard Contractual Clauses for international transfers.

• Amazon Web Services, Inc. – Cognito (authentication, including OAuth for the ChatGPT plugin), AppSync + DynamoDB (database), S3 (storage), Lambda + API Gateway (AI proxy and MCP / tools API for ChatGPT), CloudFront (sharing links). Primary region: eu-west-1 (Ireland).
• Google LLC – Firebase Analytics, Firebase Crashlytics, Sign in with Google, Gemini API (model that powers in-app Pawco), and Google Health Connect (when running on Android).
• Apple Inc. – Sign in with Apple, Apple Speech Recognition and HealthKit (when running on iOS).

Independent recipient (not our processor):

• OpenAI, Inc. / ChatGPT – If you connect the TrainMeUp plugin, OpenAI receives the tool requests and responses that appear in your ChatGPT session, and stores OAuth tokens needed to call our MCP server. That processing is governed by OpenAI’s privacy policy and terms. We do not sell your data to OpenAI.

If you sign in with Google or Apple, those providers receive the fact that you are using TrainMeUp; their respective privacy policies govern that interaction.

---

6. International transfers

Although our primary backend region is the European Union (Ireland), some of the providers and recipients listed in section 5 (notably Google, Apple and OpenAI when you use ChatGPT) may process data in the United States or in other countries. When data leaves the European Economic Area we rely on the European Commission's adequacy decisions where they exist or on the Standard Contractual Clauses approved by the Commission, complemented by supplementary measures (encryption in transit and at rest, access controls). Connecting the ChatGPT plugin necessarily involves transferring tool-related personal data to OpenAI’s systems under OpenAI’s role as a separate controller/service provider for ChatGPT.

---

7. Data retention

• Account and training data: kept while your account is active. If you delete your account (see section 11) we delete it from production systems and from active backups within 30 days, except where we are required to keep it longer to comply with a legal obligation.
• AI conversations (InteraccionIA): kept for up to 24 months from the date of the interaction, then either deleted or aggregated so it can no longer be linked to you. These in-app records are separate from ChatGPT conversations.
• ChatGPT plugin / MCP: OAuth tokens are retained by ChatGPT until you disconnect the plugin (and/or until they expire or are revoked). Routine draft proposals expire after a short period (shown as expiresAt in the tool response) and are not applied unless you confirm in the TrainMeUp app. MCP operational logs (tool name, status, timestamps, auth linkage, IP in gateway logs) are retained for up to 90 days for security and debugging, then deleted or aggregated.
• Crash and analytics data: retained according to Firebase defaults (up to 14 months for analytics events; up to 90 days of detailed crash reports). User IDs in analytics are deleted when you ask us to delete your account.
• Health data read from HealthKit / Health Connect: we do not store it raw in our backend; we only persist your own measurements (Peso, PorcentajeGrasa, etc.) that you log inside the app.
• Copies inside ChatGPT: retention of conversation content and tool outputs inside ChatGPT is controlled by OpenAI, not by TrainMeUp.

---

8. Security

• All communication between the app, ChatGPT and our backend uses TLS 1.2 or higher.
• Authentication is handled by Amazon Cognito with industry-standard JWTs and refresh tokens. MCP calls in production require a valid Cognito JWT; the server binds data access to the authenticated account.
• Data in S3 and DynamoDB is encrypted at rest using AWS-managed keys.
• AppSync access rules restrict every record to its owner, except for the limited set of routines and lifts that are intentionally made readable to other authenticated users for ranking and sharing.
• We follow the principle of least privilege for internal access and review it periodically.

No system is 100 % secure. You are responsible for keeping the credentials of your Apple ID / Google account and the lock screen of your device safe, and for disconnecting the ChatGPT plugin if you no longer want ChatGPT to call TrainMeUp on your behalf.

---

9. Children

TrainMeUp is not directed to children. You must be at least 16 years old if you reside in the European Economic Area, or 13 years old in any other country, to create an account. If you become aware that a child has provided us with personal data, please contact us and we will delete the account.

---

10. Your privacy choices

You can:

• Disable notifications, microphone, HealthKit / Health Connect and analytics from your device's system settings.
• Choose not to talk to the AI assistant; the rest of the app keeps working without it.
• Not connect the ChatGPT plugin, or disconnect / revoke TrainMeUp from ChatGPT’s connected apps / plugin settings at any time so new MCP calls stop.
• Edit or delete any of your training data, body measurements or goals from inside the app (that changes what future tool calls can return).
• Export a copy of your routines using the in-app "share" or "export" features.
• Delete your TrainMeUp account (section 11), which removes the underlying data the connector would otherwise read.

---

11. Account and data deletion

You can delete your account at any time from Settings → Profile → Delete account inside the app. Doing so triggers the deletion of:

• Your Persona record and every record owned by it (routines, lifts, body metrics, AI interactions, goals, perimeters, skinfolds, body-fat history, sessions, etc.).
• Your authentication record in Amazon Cognito.
• Your association with the Firebase Analytics / Crashlytics user ID.

Backups and read-replicas are purged within 30 days. Data shared with other users via a sharing link cannot be retracted once it has been received, but the original link will stop resolving.

If for any reason the in-app deletion fails, write to mapache.spark.labs@gmail.com with the subject "Delete my TrainMeUp account" from the email address associated with your account and we will complete the deletion manually within 30 days.

---

12. Your rights under GDPR and CCPA/CPRA

If you are in the European Economic Area, the United Kingdom or Switzerland you have the right to:

• Access the personal data we hold about you.
• Rectify inaccurate or incomplete data.
• Erase your data ("right to be forgotten").
• Restrict or object to processing based on our legitimate interest.
• Receive your data in a portable, machine-readable format.
• Withdraw consent at any time for processing based on consent, without affecting the lawfulness of previous processing.
• Lodge a complaint with your local supervisory authority (for users in Spain, the Agencia Española de Protección de Datos, https://www.aepd.es).

If you are a California resident, the CCPA and CPRA give you the right to know which categories of personal information we collect, to delete it, to correct it, to limit the use of sensitive personal information and to opt out of the "sale" or "sharing" of personal information. We do not sell or share personal information in the sense of CCPA/CPRA, but you can still exercise the rest of your rights by writing to us.

To exercise any of these rights, contact mapache.spark.labs@gmail.com. We may ask you to verify that you control the email address associated with your account before we act on the request.

---

13. Images and AI-generated content

Some of the illustrations and icons inside the app were created with generative AI tools. They are used under our own responsibility and do not represent real people. They are not subject to exclusive copyright ownership. This statement is informational and does not change any of the privacy commitments above.

---

14. Changes to this policy

We will update this document whenever the way we handle data changes. The "Last updated" date at the top tells you the current revision. Significant changes will be highlighted inside the app or via email if you have signed in within the previous 12 months.

---

15. Contact

If you have any question, request, or complaint regarding this policy or how we process your data, write to:

• Email: mapache.spark.labs@gmail.com
• Web: https://trainmeup.app/contact