Política de privacidad

Última actualización: 15 de junio de 2026

App: TrainMeUp (com.mapachespark.trainedMe)

Editor / Responsable del tratamiento: Mapache Spark Labs (Francisco Vázquez Rico)

Contacto: mapache.spark.labs@gmail.com

Esta Política de Privacidad explica qué información recoge TrainMeUp ("la app", "nosotros"), por qué la recoge, cómo la usamos y qué derechos tienes. Está redactada para cumplir con las directrices de revisión de Apple App Store 5.1.1 / 5.1.3 (HealthKit), con las políticas de Google Play sobre datos de usuario y Health Connect, con el Reglamento General de Protección de Datos (RGPD) de la UE, con la LOPDGDD en España y con la CCPA/CPRA de California.

En caso de conflicto entre esta política y una norma imperativa aplicable, prevalecerá la norma.

1. Quiénes somos

TrainMeUp es una app de fitness que te permite crear rutinas, registrar levantamientos y récords personales, llevar el seguimiento de tu composición corporal y conversar con un asistente entrenador impulsado por IA ("Pawco"). El responsable del tratamiento es Mapache Spark Labs (Francisco Vázquez Rico). Para cualquier consulta sobre esta política o para ejercer los derechos descritos en la sección 12, puedes escribirnos a mapache.spark.labs@gmail.com.

Por nuestro tamaño no estamos obligados a designar un Delegado de Protección de Datos, pero el correo anterior llega a la persona responsable de las decisiones sobre privacidad.

2. Ámbito

Esta política se aplica a la aplicación móvil TrainMeUp para iOS y Android, a nuestros servicios backend alojados en Amazon Web Services y a cualquier comunicación que tengas con nosotros por correo o a través de nuestra web de contacto. No se aplica a los servicios de terceros a los que puedas acceder desde la app (por ejemplo, Apple Salud o Google Health Connect), que se rigen por sus propias políticas.

3. Información que recogemos

Sólo recogemos lo necesario para que la app funcione y para las funciones que utilices de forma activa. No vendemos tus datos ni los usamos para publicidad comportamental cross-context.

3.1 Datos de cuenta e identidad

Dirección de correo electrónico e identificador opaco que nos proporciona "Iniciar sesión con Apple" o "Iniciar sesión con Google". Si eliges la opción "Ocultar mi correo" de Apple, sólo vemos la dirección de relé que nos facilita Apple.
Un nombre de usuario que elijas (opcional, se usa para compartir y para las pantallas de ranking).
Identificador de usuario generado por Amazon Cognito para asociar internamente tus datos a tu cuenta.

3.2 Datos de perfil

Sexo biológico (genero), altura (altura, en cm o pulgadas), nivel de experiencia con pesas, tipo físico y fecha de nacimiento (sólo si los introduces; la fecha de nacimiento es opcional y se usa, p. ej., para fórmulas de pliegues como Jackson-Pollock).

3.3 Datos de entrenamiento

Rutinas, ejercicios, series, rangos objetivo, tiempos de descanso y notas.
Levantamientos registrados (peso, repeticiones, RIR, fallo, fecha) y 1RM estimado.
Historial de ejecución de rutinas y marcas de "saltado" / "cerrado".
Objetivos (peso, composición corporal, pasos diarios, levantamientos, doble progresión, músculos priorizados).

3.4 Métricas corporales y de salud que introduces en la app

Historial de peso corporal, historial de porcentaje de grasa, mediciones de pliegues (Jackson-Pollock) y perímetros corporales (pecho, brazo, hombro, muslo, cadera).
Notas asociadas a cualquiera de esas mediciones.

3.5 Datos de Apple HealthKit y Google Health Connect

Con tu consentimiento explícito, la app lee y/o escribe en Apple HealthKit (iOS) o Google Health Connect (Android):

Lectura: pasos diarios (para el KPI de "pasos diarios"), peso corporal, altura, % de grasa corporal, sexo biológico (sólo iOS) y fecha de nacimiento (sólo iOS).
Escritura: peso corporal, altura y % de grasa que registras en TrainMeUp, para que el resto de tus apps de salud queden sincronizadas.

Puedes conceder o revocar cada permiso en cualquier momento desde los ajustes de salud del sistema.

Los datos obtenidos de Apple HealthKit nunca se utilizan con fines publicitarios, no se comparten con data brokers ni se venden. Esta declaración es exigida por las directrices de HealthKit de Apple y la respetamos estrictamente.

3.6 Interacciones con el asistente de IA ("Pawco")

Cuando hablas con el asistente de IA dentro de la app, enviamos a nuestro backend proxy y al modelo subyacente:

El texto de tu mensaje y el historial reciente del chat de la sesión actual (limitado a los últimos ~20 intercambios).
Tu identificador de Cognito, una clave de idempotencia, el idioma solicitado y, opcionalmente, un contexto estructurado de app (por ejemplo, la pantalla en la que estás o la rutina activa).
Si pulsas el botón de micrófono, el audio capturado se transcribe a texto en el dispositivo o mediante el servicio de reconocimiento de voz del sistema operativo (Apple Speech / Google Speech Recognition) y al backend sólo viaja el texto transcrito.

El prompt que envías, la respuesta del modelo, el nombre del modelo, los tokens, la latencia y una categoría de intención se almacenan en un registro privado tuyo (InteraccionIA) en la nube, para poder investigar problemas de calidad y mejorar Pawco. Esos registros sólo son accesibles para ti (autorización por propietario en AWS AppSync) y, de forma limitada, para nuestro equipo de ingeniería con fines de soporte y depuración.

El modelo subyacente es Google Gemini (actualmente gemini-2.5-flash) llamado desde nuestro propio proxy en AWS Lambda alojado en la UE (eu-west-1, Irlanda). Google procesa el prompt bajo sus compromisos de privacidad para clientes de la API de Gemini y, según los términos vigentes en el momento de redactar esta política, no utiliza esos prompts para entrenar sus modelos de producto general.

3.7 Diagnóstico y analítica

En las builds de producción usamos Firebase Analytics y Firebase Crashlytics para entender qué funciones se utilizan y detectar errores:

Eventos estándar de Firebase (aperturas de la app, vistas de pantalla a través de FirebaseAnalyticsObserver, eventos personalizados como health_permission_state_changed, etc.).
Stack traces de los crashes con modelo de dispositivo, versión del sistema operativo, versión de la app, identificador de Cognito asignado como userIdentifier y cualquier clave personalizada (por ejemplo, qué permiso de Health falló).
En Android declaramos el permiso AD_ID para que Firebase Analytics pueda reportar métricas de adquisición y audiencias; no mostramos anuncios y no compartimos este identificador con redes publicitarias.

En las builds de desarrollo el analytics y el crash reporting están desactivados.

3.8 Notificaciones

Con tu permiso te enviamos notificaciones locales (generadas en el propio dispositivo), como recordatorios de entrenamiento y mensajes motivacionales. Actualmente no enviamos notificaciones remotas push.

3.9 Archivos que importas

Si usas la función de "importar rutina" puedes seleccionar un CSV, XLSX o PDF de tu dispositivo mediante el selector de archivos del sistema. En iOS, por eso aparece la descripción del permiso Photos: iOS ofrece la biblioteca de fotos como una ubicación opcional para el selector. El archivo se envía a nuestros servidores para interpretarlo y convertirlo en una rutina; el fichero temporal se elimina al terminar el procesamiento. Sólo se guarda la rutina resultante en tu cuenta.

Opcionalmente, antes de subir el archivo, puedes marcar una casilla para autorizarnos a conservar una copia anonimizada del CSV durante un máximo de 90 días con el fin exclusivo de mejorar la importación de rutinas. Si no das ese consentimiento, no archivamos el CSV original.

3.10 Funciones para compartir

Si compartes una rutina o un récord personal con la acción "compartir" de la app, ésta genera un enlace público en https://trainmeup.app/share/... que contiene los datos necesarios para que otra persona pueda importar la rutina o ver la tarjeta de PR. Cualquiera que tenga ese enlace puede abrirlo. Úsalo sólo con personas de confianza.

Además, parte de tus datos de entrenamiento (rutinas creadas, sesiones ejecutadas y levantamientos) son legibles por otros usuarios autenticados de TrainMeUp a través de consultas privadas de GraphQL que se utilizan para el catálogo y para las funciones de ranking. Las medidas corporales personales, las conversaciones con la IA, el correo electrónico y el perfil no se comparten entre usuarios.

La experiencia de Comunidad en la app (actividad y rankings) se muestra entre amigos que aceptas; las peticiones y el estado de amistad se guardan para que ambas partes puedan gestionar la relación. A nivel de API, la lectura autenticada de datos de entrenamiento sigue siendo la descrita arriba hasta que se introduzca un control de acceso más estricto en servidor.

3.11 Permisos que podemos solicitar

Notificaciones (iOS / Android POST_NOTIFICATIONS) y alarmas exactas / arranque (sólo Android) – para entregar recordatorios.
Micrófono (NSMicrophoneUsageDescription / RECORD_AUDIO) – para dictar mensajes a Pawco.
Reconocimiento de voz (NSSpeechRecognitionUsageDescription) – para transcribir lo que dices.
HealthKit (NSHealthShareUsageDescription, NSHealthUpdateUsageDescription) y Health Connect (android.permission.health.*, ACTIVITY_RECOGNITION) – para los datos de la sección 3.5.
Biblioteca de fotos (NSPhotoLibraryUsageDescription) – sólo se usa como fuente opcional del selector de documentos para importar rutinas. La app no accede a tu biblioteca de fotos por iniciativa propia.
Acceso a red – para sincronizar tus datos con la nube y llamar al proxy de IA.

La app nunca accede a otros contenidos personales no relacionados, como contactos, calendario, SMS o ubicación.

4. Cómo usamos tu información y base jurídica (RGPD)

Finalidad	Categorías de datos	Base jurídica (UE/UK)
Permitirte iniciar sesión e identificar tu cuenta	Email, `sub` de Apple/Google, identificador de Cognito	Ejecución del contrato (art. 6.1.b)
Almacenar y sincronizar tus rutinas, levantamientos, objetivos y métricas corporales	Datos de entrenamiento, perfil y métricas	Ejecución del contrato
Leer/escribir datos de salud en HealthKit / Health Connect	Datos de la sección 3.5	Consentimiento explícito (art. 9.2.a para datos de salud)
Operar el asistente de IA Pawco	Datos de la sección 3.6	Ejecución del contrato y consentimiento explícito para los datos sensibles que decidas introducir
Enviar recordatorios y mensajes motivacionales locales	Preferencias de notificación	Tu consentimiento (puedes desactivarlas en cualquier momento)
Detectar errores y entender el uso del producto	Datos de la sección 3.7	Interés legítimo en mantener un producto estable (art. 6.1.f). Puedes oponerte desinstalando la app o escribiéndonos
Funciones de comunidad / ranking / compartir	Rutinas, levantamientos, nombre de usuario	Ejecución del contrato y la acción que realizas al compartir
Cumplir obligaciones legales y defender nuestros derechos	Las anteriores, en lo necesario	Obligación legal / interés legítimo

No vendemos información personal y no la usamos para publicidad comportamental cross-context. No tomamos decisiones automatizadas con efectos jurídicos o significativos sobre ti.

5. Encargados y subencargados del tratamiento

Los siguientes proveedores tratan datos por nuestra cuenta. Todos están sujetos a contratos adecuados y, cuando corresponde, a Cláusulas Contractuales Tipo para transferencias internacionales.

Amazon Web Services, Inc. – Cognito (autenticación), AppSync + DynamoDB (base de datos), S3 (almacenamiento), Lambda + API Gateway (proxy de IA), CloudFront (enlaces de compartir). Región principal: eu-west-1 (Irlanda).
Google LLC – Firebase Analytics, Firebase Crashlytics, Iniciar sesión con Google, API de Gemini (modelo que mueve a Pawco) y Google Health Connect (en Android).
Apple Inc. – Iniciar sesión con Apple, reconocimiento de voz de Apple y HealthKit (en iOS).

Si inicias sesión con Google o con Apple, esos proveedores conocen que estás usando TrainMeUp; sus políticas de privacidad rigen esa interacción.

6. Transferencias internacionales

Aunque nuestra región principal de backend está en la Unión Europea (Irlanda), algunos proveedores de la sección 5 (especialmente Google y Apple) pueden tratar datos en Estados Unidos u otros países. Cuando los datos salen del Espacio Económico Europeo nos apoyamos en las decisiones de adecuación de la Comisión Europea cuando existen, o bien en las Cláusulas Contractuales Tipo aprobadas por la Comisión, complementadas con medidas adicionales (cifrado en tránsito y en reposo, controles de acceso).

7. Plazos de conservación

Datos de cuenta y entrenamiento: se conservan mientras tu cuenta esté activa. Si borras tu cuenta (sección 11) los eliminamos de los sistemas en producción y de las copias activas en un plazo de 30 días, salvo que tengamos obligación legal de conservarlos más tiempo.
**Conversaciones con la IA (InteraccionIA):** hasta 24 meses desde la fecha de la interacción y después se eliminan o se agregan de forma que no puedan vincularse a ti.
Datos de analítica y crash: se conservan según los plazos por defecto de Firebase (hasta 14 meses para eventos de Analytics; hasta 90 días para los reportes detallados de crash). Los identificadores de usuario en analytics se eliminan cuando solicitas el borrado de la cuenta.
Datos leídos desde HealthKit / Health Connect: no los almacenamos crudos en nuestro backend; sólo guardamos las mediciones (Peso, PorcentajeGrasa, etc.) que tú mismo registras dentro de la app.

8. Seguridad

Todas las comunicaciones entre la app y nuestro backend usan TLS 1.2 o superior.
La autenticación está gestionada por Amazon Cognito con JWT y tokens de refresco estándar de la industria.
Los datos en S3 y DynamoDB están cifrados en reposo con claves gestionadas por AWS.
Las reglas de AppSync restringen cada registro a su propietario, salvo el conjunto limitado de rutinas y levantamientos que se hacen legibles a otros usuarios autenticados de forma intencionada para las funciones de ranking y compartir.
Aplicamos el principio de mínimo privilegio para los accesos internos y lo revisamos periódicamente.

Ningún sistema es 100 % seguro. Eres responsable de mantener seguras las credenciales de tu Apple ID / cuenta de Google y la pantalla de bloqueo de tu dispositivo.

9. Menores

TrainMeUp no se dirige a menores. Debes tener al menos 16 años si resides en el Espacio Económico Europeo, o 13 años en cualquier otro país, para crear una cuenta. Si tenemos conocimiento de que un menor nos ha facilitado datos personales, contáctanos y eliminaremos la cuenta.

10. Tus opciones de privacidad

Puedes:

Desactivar notificaciones, micrófono, HealthKit / Health Connect y analítica desde los ajustes del sistema operativo.
No utilizar el asistente de IA; el resto de la app sigue funcionando sin él.
Editar o eliminar cualquiera de tus datos de entrenamiento, mediciones u objetivos desde dentro de la app.
Exportar tus rutinas con las funciones "compartir" / "exportar".

11. Borrado de cuenta y de datos

Puedes borrar tu cuenta en cualquier momento desde Ajustes → Perfil → Eliminar cuenta dentro de la app. Esto provoca el borrado de:

Tu registro Persona y todos los registros de los que es propietario (rutinas, levantamientos, métricas corporales, interacciones de IA, objetivos, perímetros, pliegues, historial de % grasa, sesiones, etc.).
Tu registro de autenticación en Amazon Cognito.
Tu asociación con el identificador de usuario de Firebase Analytics / Crashlytics.

Las copias de seguridad y réplicas de lectura se purgan en un plazo de 30 días. Los datos que hayas compartido con otra persona a través de un enlace público no pueden retirarse una vez recibidos, pero el enlace original dejará de resolverse.

Si por cualquier motivo el borrado dentro de la app falla, escríbenos a mapache.spark.labs@gmail.com con el asunto "Eliminar mi cuenta de TrainMeUp" desde el correo asociado a tu cuenta y completaremos el borrado de forma manual en un plazo de 30 días.

12. Tus derechos (RGPD y CCPA/CPRA)

Si te encuentras en el Espacio Económico Europeo, Reino Unido o Suiza, tienes derecho a:

Acceder a los datos personales que tenemos sobre ti.
Rectificar los datos inexactos o incompletos.
Suprimir tus datos ("derecho al olvido").
Limitar u oponerte al tratamiento basado en interés legítimo.
Recibir tus datos en un formato portable y legible por máquina.
Retirar tu consentimiento en cualquier momento para los tratamientos basados en él, sin que ello afecte a la licitud de los tratamientos anteriores.
Reclamar ante la autoridad de control competente (en España, la Agencia Española de Protección de Datos, https://www.aepd.es).

Si eres residente en California, la CCPA y la CPRA te otorgan el derecho a saber qué categorías de información personal recogemos, a suprimirla, a corregirla, a limitar el uso de información personal sensible y a oponerte a la "venta" o "compartición" de información personal. No vendemos ni compartimos información personal en el sentido de la CCPA/CPRA, pero puedes ejercer el resto de derechos contactándonos.

Para ejercer cualquiera de estos derechos, escribe a mapache.spark.labs@gmail.com. Podemos pedirte verificar que controlas el correo asociado a tu cuenta antes de procesar la solicitud.

13. Imágenes y contenido generado por IA

Algunas de las ilustraciones e iconos del interior de la app se crearon con herramientas de IA generativa. Se usan bajo nuestra propia responsabilidad y no representan a personas reales. No están sujetas a una titularidad de copyright exclusiva. Esta declaración es informativa y no altera ninguno de los compromisos de privacidad anteriores.

14. Cambios en esta política

Actualizaremos este documento siempre que cambie la forma en que tratamos los datos. La fecha "Última actualización" del encabezado indica la revisión vigente. Los cambios significativos se destacarán dentro de la app o, si has iniciado sesión en los últimos 12 meses, por correo electrónico.

15. Contacto

Para cualquier pregunta, solicitud o reclamación sobre esta política o sobre cómo tratamos tus datos, escribe a:

Correo: mapache.spark.labs@gmail.com

Last updated: June 15, 2026

App: TrainMeUp (com.mapachespark.trainedMe)

Publisher / Data controller: Mapache Spark Labs (Francisco Vázquez Rico)

Contact: mapache.spark.labs@gmail.com

This Privacy Policy explains what information TrainMeUp ("the app", "we", "us") collects, why we collect it, how we use it and which rights you have. It is written to comply with Apple App Store Review Guideline 5.1.1 / 5.1.3 (HealthKit), Google Play User Data and Health Connect policies, the EU General Data Protection Regulation (GDPR) and the California Consumer Privacy Act / CPRA (CCPA).

If a section conflicts with mandatory law in your jurisdiction, that law prevails over this document.

1. Who we are

TrainMeUp is a fitness app that lets you build training routines, log lifts and personal records, track body composition and receive an AI-assisted coaching experience ("Pawco"). The data controller of the personal data processed in the app is Mapache Spark Labs (Francisco Vázquez Rico). You can contact us at mapache.spark.labs@gmail.com for any question related to this policy or to exercise the rights described in section 12.

We do not have a designated Data Protection Officer because of the size of our operation, but the email above reaches the person responsible for privacy decisions.

2. Scope

This policy applies to the TrainMeUp mobile application for iOS and Android, our backend services hosted on Amazon Web Services and any communication you have with us via email or our contact page. It does not apply to third-party services that you reach from the app (for example Apple Health or Google Health Connect themselves), which are governed by their own privacy policies.

3. Information we collect

We collect only what is needed to operate the app and to provide the features you actively use. We never sell your data and we do not use it for cross-context behavioural advertising.

3.1 Account and identity data

Email address and the opaque user identifier returned by Sign in with Apple or Sign in with Google. If you choose Apple's "Hide My Email" option, we only see the relay address that Apple gives us.
A username you choose (optional, used for sharing and for ranking screens).
Cognito-generated user ID, used internally to associate your data with your account.

3.2 Profile data

Biological sex (genero), height (altura, in cm/in), training experience level, body type and date of birth (only if you fill them in; date of birth is optional and used to compute body-fat estimations such as Jackson-Pollock).

3.3 Training data

Routines, exercises, sets, target ranges, rest times and notes.
Logged lifts (weight, reps, RIR, failure flag, date) and estimated 1RM.
Routine execution history and "skipped" / "closed" markers.
Goals (weight goals, body composition goals, daily-steps goals, lift goals, double-progression state, prioritised muscles).

3.4 Body and health metrics that you enter in the app

Body weight history, body-fat percentage history, skinfold measurements (Jackson-Pollock) and body perimeters (chest, arm, shoulder, thigh, hip).
Notes attached to any of those measurements.

3.5 Apple HealthKit and Google Health Connect data

With your explicit consent, the app reads from and/or writes to Apple HealthKit (iOS) or Google Health Connect (Android):

Read: daily steps (for the "daily steps" KPI), body weight, height, body-fat percentage, biological sex (iOS only) and date of birth (iOS only).
Write: body weight, height and body-fat percentage that you log inside TrainMeUp, so the rest of your health apps stay in sync.

You can grant or revoke each of these accesses at any time from the system's Health settings.

Apple HealthKit data is never used for advertising, never shared with data brokers and never sold. This statement is required by Apple's HealthKit guidelines and we honour it strictly.

3.6 AI assistant ("Pawco") interactions

When you interact with the in-app AI assistant, we send to our backend proxy and to the underlying AI model:

The text of your message and the recent chat history of the current session (capped to the last ~20 exchanges).
Your Cognito user ID, an idempotency key, the requested language and an optional structured "app context" (for example which screen you're on or which routine is active).
The audio captured by the microphone, if and only if you tap the microphone button. The audio is transcribed to text on-device or via the operating system's speech-recognition service (Apple Speech / Google Speech Recognition) and only the transcribed text is sent to our backend.

The prompt sent by you, the reply produced by the model, the model name, token counts, latency and an intent category are stored in your private cloud record (InteraccionIA) so that we can investigate quality issues and improve Pawco. These records are accessible only to you (owner-based authorisation in AWS AppSync) and to engineers performing limited debugging.

The underlying model is Google Gemini (currently gemini-2.5-flash) called through our own AWS Lambda proxy hosted in the EU (eu-west-1, Ireland). Google processes the prompt under its own privacy commitments for Gemini API customers and does not use these prompts to train its models for general-purpose products under the API terms in force at the time of writing.

3.7 Diagnostics and analytics

In release builds we use Firebase Analytics and Firebase Crashlytics to understand which features are used and to detect crashes:

Standard Firebase events (app opens, screen views via FirebaseAnalyticsObserver, custom events such as health_permission_state_changed, etc.).
Crash stack traces with the device model, OS version, app version, Cognito user ID set as userIdentifier and any custom keys we attach to the crash (for example the type of Health permission that failed).
On Android we declare the AD_ID permission so Firebase Analytics can report acquisition and audience metrics; we do not run ads in the app and we do not share this identifier with advertising networks.

On debug builds analytics and crash collection are disabled.

3.8 Notifications

With your permission we send local (on-device) notifications such as workout reminders and motivational messages. Notifications are generated on your device; we do not currently send remote push messages.

3.9 Files you import

If you use the "import routine" feature you may pick a CSV, XLSX or PDF file from your device using the system file picker. On iOS this is the reason the Photos permission description is shown, because iOS offers the photo library as an optional location for the picker. The file is sent to our servers to interpret it and turn it into a routine; the temporary file is deleted when processing finishes. Only the resulting routine is saved to your account.

Optionally, before uploading, you may check a box to allow us to keep an anonymized copy of the CSV for up to 90 days solely to improve routine imports. If you do not give that consent, we do not archive the original CSV.

3.10 Sharing features

If you share a routine or a personal record using the in-app "share" action, the app generates a public link on https://trainmeup.app/share/... that contains the data required for another person to import the routine or to see the PR card. Anyone with that link can open it. Use it only with people you trust.

In addition, certain training data (your created routines, executed sessions and lifts) is readable by other authenticated TrainMeUp users via private GraphQL queries used for catalogue browsing and ranking features. Personal body measurements, AI conversations, email and profile data are not shared between users.

The in-app Community experience (activity feed and rankings) is scoped to friends you accept; friend requests and friendship status are stored so both parties can manage the relationship. At the API layer, authenticated read of training data remains available as described above until a stricter server-side access control is introduced.

3.11 Permissions we may request

Notifications (iOS / Android POST_NOTIFICATIONS) and exact-alarm / boot-completed (Android only) – to deliver workout reminders.
Microphone (NSMicrophoneUsageDescription / RECORD_AUDIO) – to dictate messages to Pawco.
Speech Recognition (NSSpeechRecognitionUsageDescription) – to transcribe what you say.
HealthKit (NSHealthShareUsageDescription, NSHealthUpdateUsageDescription) and Health Connect (android.permission.health.*, ACTIVITY_RECOGNITION) – to read/write the data described in 3.5.
Photo Library (NSPhotoLibraryUsageDescription) – only used as an optional source for the document picker when importing routines. The app does not read your photo library proactively.
Network access – to sync your data with the cloud and to call the AI proxy.

The app never accesses unrelated personal content such as contacts, calendar, SMS or location.

4. How we use your information and legal basis (GDPR)

Purpose	Categories of data	Legal basis (EU/UK)
Allow you to sign in and identify your account	Email, Apple/Google sub, Cognito ID	Performance of the contract (Art. 6(1)(b))
Store and sync your routines, lifts, goals and body metrics	Training data, profile data, body metrics	Performance of the contract
Read/write health data in HealthKit / Health Connect	Section 3.5 data	Explicit consent (Art. 9(2)(a) for health data)
Power the Pawco AI assistant	Section 3.6 data	Performance of the contract and your explicit consent for sensitive details you choose to enter
Send local reminders and motivational notifications	Notification preferences	Your consent (you can turn them off at any time)
Detect crashes and understand product usage	Section 3.7 data	Our legitimate interest in operating a stable product (Art. 6(1)(f)). You may opt out by uninstalling the app or by writing to us
Provide community / ranking and sharing features	Routines, lifts, username	Performance of the contract and the action you take to share
Comply with legal obligations and defend our rights	Any of the above, as needed	Legal obligation / legitimate interest

We do not sell personal information and we do not use it for cross-context behavioural advertising. We do not perform automated decisions with legal or similarly significant effects on you.

5. Third-party processors and sub-processors

The following service providers process data on our behalf. Each of them is bound by appropriate contractual terms and, where applicable, by Standard Contractual Clauses for international transfers.

Amazon Web Services, Inc. – Cognito (authentication), AppSync + DynamoDB (database), S3 (storage), Lambda + API Gateway (AI proxy), CloudFront (sharing links). Primary region: eu-west-1 (Ireland).
Google LLC – Firebase Analytics, Firebase Crashlytics, Sign in with Google, Gemini API (model that powers Pawco), and Google Health Connect (when running on Android).
Apple Inc. – Sign in with Apple, Apple Speech Recognition and HealthKit (when running on iOS).

If you sign in with Google or Apple, those providers receive the fact that you are using TrainMeUp; their respective privacy policies govern that interaction.

6. International transfers

Although our primary backend region is the European Union (Ireland), some of the providers listed in section 5 (notably Google and Apple) may process data in the United States or in other countries. When data leaves the European Economic Area we rely on the European Commission's adequacy decisions where they exist or on the Standard Contractual Clauses approved by the Commission, complemented by supplementary measures (encryption in transit and at rest, access controls).

7. Data retention

Account and training data: kept while your account is active. If you delete your account (see section 11) we delete it from production systems and from active backups within 30 days, except where we are required to keep it longer to comply with a legal obligation.
**AI conversations (InteraccionIA):** kept for up to 24 months from the date of the interaction, then either deleted or aggregated so it can no longer be linked to you.
Crash and analytics data: retained according to Firebase defaults (up to 14 months for analytics events; up to 90 days of detailed crash reports). User IDs in analytics are deleted when you ask us to delete your account.
Health data read from HealthKit / Health Connect: we do not store it raw in our backend; we only persist your own measurements (Peso, PorcentajeGrasa, etc.) that you log inside the app.

8. Security

All communication between the app and our backend uses TLS 1.2 or higher.
Authentication is handled by Amazon Cognito with industry-standard JWTs and refresh tokens.
Data in S3 and DynamoDB is encrypted at rest using AWS-managed keys.
AppSync access rules restrict every record to its owner, except for the limited set of routines and lifts that are intentionally made readable to other authenticated users for ranking and sharing.
We follow the principle of least privilege for internal access and review it periodically.

No system is 100 % secure. You are responsible for keeping the credentials of your Apple ID / Google account and the lock screen of your device safe.

9. Children

TrainMeUp is not directed to children. You must be at least 16 years old if you reside in the European Economic Area, or 13 years old in any other country, to create an account. If you become aware that a child has provided us with personal data, please contact us and we will delete the account.

10. Your privacy choices

You can:

Disable notifications, microphone, HealthKit / Health Connect and analytics from your device's system settings.
Choose not to talk to the AI assistant; the rest of the app keeps working without it.
Edit or delete any of your training data, body measurements or goals from inside the app.
Export a copy of your routines using the in-app "share" or "export" features.

11. Account and data deletion

You can delete your account at any time from Settings → Profile → Delete account inside the app. Doing so triggers the deletion of:

Your Persona record and every record owned by it (routines, lifts, body metrics, AI interactions, goals, perimeters, skinfolds, body-fat history, sessions, etc.).
Your authentication record in Amazon Cognito.
Your association with the Firebase Analytics / Crashlytics user ID.

Backups and read-replicas are purged within 30 days. Data shared with other users via a sharing link cannot be retracted once it has been received, but the original link will stop resolving.

If for any reason the in-app deletion fails, write to mapache.spark.labs@gmail.com with the subject "Delete my TrainMeUp account" from the email address associated with your account and we will complete the deletion manually within 30 days.

12. Your rights under GDPR and CCPA/CPRA

If you are in the European Economic Area, the United Kingdom or Switzerland you have the right to:

Access the personal data we hold about you.
Rectify inaccurate or incomplete data.
Erase your data ("right to be forgotten").
Restrict or object to processing based on our legitimate interest.
Receive your data in a portable, machine-readable format.
Withdraw consent at any time for processing based on consent, without affecting the lawfulness of previous processing.
Lodge a complaint with your local supervisory authority (for users in Spain, the Agencia Española de Protección de Datos, https://www.aepd.es).

If you are a California resident, the CCPA and CPRA give you the right to know which categories of personal information we collect, to delete it, to correct it, to limit the use of sensitive personal information and to opt out of the "sale" or "sharing" of personal information. We do not sell or share personal information in the sense of CCPA/CPRA, but you can still exercise the rest of your rights by writing to us.

To exercise any of these rights, contact mapache.spark.labs@gmail.com. We may ask you to verify that you control the email address associated with your account before we act on the request.

13. Images and AI-generated content

Some of the illustrations and icons inside the app were created with generative AI tools. They are used under our own responsibility and do not represent real people. They are not subject to exclusive copyright ownership. This statement is informational and does not change any of the privacy commitments above.

14. Changes to this policy

We will update this document whenever the way we handle data changes. The "Last updated" date at the top tells you the current revision. Significant changes will be highlighted inside the app or via email if you have signed in within the previous 12 months.

15. Contact

If you have any question, request, or complaint regarding this policy or how we process your data, write to:

Email: mapache.spark.labs@gmail.com