Política de privacidad

Esta es una traducción de cortesía. En caso de discrepancia, prevalece la versión italiana.

El tratamiento de los datos personales de los usuarios de la aplicación Aku se realiza de conformidad con el Reglamento (UE) 2016/679 (RGPD), el Decreto Legislativo italiano 196/2003 modificado por el Decreto Legislativo 101/2018 (Código italiano de protección de datos personales) y cualquier otra normativa aplicable en materia de protección de datos.

1. Responsable del tratamiento y contactos

El responsable del tratamiento de los datos personales es Mattia Peirano, profesional autónomo, con domicilio en Via Ugo Bassi 22, 20159 Milán (MI), Italia, n.º de IVA 01640360085, código fiscal italiano PRNMTT92S17D969H (en adelante, el "Responsable").

La aplicación Aku es desarrollada y gestionada por el Responsable en su calidad de empresario y no en el ejercicio de la profesión de audioprotesista; el servicio no constituye en modo alguno una actividad profesional sanitaria.

• Para solicitudes relativas a la protección de datos personales (derechos RGPD, reclamaciones, información sobre el tratamiento): privacy@aku-app.com
• Para solicitudes de asistencia general y soporte al usuario: support@aku-app.com
• Para comunicaciones legales y contractuales: legal@aku-app.com

2. Asesor de protección de datos

El Responsable ha efectuado, con arreglo al art. 37 RGPD, una evaluación sobre la obligación de designar un Delegado de Protección de Datos (DPO). En la actualidad, en consideración del número limitado de usuarios activos y de la estructura del tratamiento, dicha designación no es obligatoria. El Responsable gestiona directamente las obligaciones en materia de protección de datos personales, recurriendo a asesoramientos jurídicos puntuales.

El Responsable se compromete a designar un asesor externo de privacidad o, al superarse los umbrales aplicables, un DPO formal con arreglo al art. 37 RGPD, según el siguiente plan:

• Al alcanzar aproximadamente 500 usuarios activos: designación de un asesor externo de privacidad.
• Al alcanzar aproximadamente 5.000 usuarios activos: evaluación de la obligación de nombrar un DPO y, en su caso, designación formal con arreglo al art. 37 RGPD, con comunicación al Garante conforme al art. 37.7 RGPD y publicación de los datos de contacto en la presente política.

La evaluación sobre la obligación de nombramiento del DPO, incluidos los criterios y los umbrales adoptados, está documentada en el Registro de las actividades de tratamiento previsto por el art. 30 RGPD.

3. Qué es Aku y qué datos trata

Aku es una aplicación móvil de bienestar pensada para acompañar en su día a día a las personas adultas que conviven con acúfenos.

Aku NO es un producto sanitario, no está registrada como producto sanitario ante el Ministero della Salute (Ministerio de Salud italiano) ni sujeta a vigilancia en tal calidad con arreglo al D.Lgs. 46/1997 o al Reglamento (UE) 2017/745 (MDR). Aku no proporciona diagnósticos, terapias ni prestaciones sanitarias de ningún tipo.

Para funcionar, Aku trata las siguientes categorías de datos personales.

3.1 Datos identificativos y de cuenta

• Dirección de correo electrónico (para la autenticación)
• Nombre o apodo elegido por el usuario
• Identificador de usuario seudónimo generado por el sistema (UUID)
• Datos técnicos de autenticación a través de Apple Sign In o Google OAuth (gestionados directamente por los respectivos proveedores, que no transmiten al Responsable otros datos personales más allá del token de autenticación)

3.2 Datos relativos a la salud (categorías especiales de datos, art. 9 RGPD)

Aku trata datos que la normativa califica como "categorías especiales de datos personales" por estar relacionados con la salud. Se trata exclusivamente de información autodeclarada que el usuario facilita voluntariamente:

• Características subjetivas del acúfeno (tipo de sonido, tono aproximado percibido)
• Descripción cualitativa de la experiencia de escucha y respuestas a las exploraciones sonoras propuestas por la aplicación
• Volumen de escucha de confort (autodeclarado)
• Percepción subjetiva del impacto del acúfeno en el sueño, la concentración, el estado de ánimo y las relaciones
• Check-ins diarios de bienestar
• Notas del diario personal
• Eventuales referencias a sensaciones corporales relacionadas con el acúfeno
• Contenido de las conversaciones con el compañero de IA, que puede incluir referencias al estado de salud o emocional del usuario

Estos datos no constituyen mediciones clínicas y no tienen valor diagnóstico.

3.3 Datos de uso, comportamentales y de compra

• Datos técnicos de uso de la aplicación (sesiones, funciones utilizadas, frecuencia de acceso)
• Datos relativos a la suscripción y a los pagos (gestionados a través de la Apple App Store / Google Play y del proveedor RevenueCat, véase la sección 6)

3.4 Datos que no recopilamos

Por decisión deliberada y documentada, Aku no recopila: datos de localización geográfica precisa, datos biométricos, datos relativos a terceras personas, audiogramas clínicos, datos de navegación web, perfiles publicitarios. Aku no contiene SDK publicitarios ni herramientas de seguimiento con fines de marketing. Ningún dato relativo a la salud del usuario se comparte nunca con plataformas publicitarias.

4. Finalidades y bases jurídicas del tratamiento

• Finalidad: creación y gestión de la cuenta, prestación del servicio básico (suscripción, acceso a la aplicación). Datos: identificativos y de compra. Base jurídica: ejecución del contrato (art. 6.1.b RGPD).
• Finalidad: funcionamiento del compañero de IA y personalización de la experiencia (sonidos, ejercicios, contenidos). Datos: relativos a la salud. Base jurídica: consentimiento explícito del interesado (art. 6.1.a + art. 9.2.a RGPD).
• Finalidad: envío de datos al proveedor del modelo de IA (Anthropic) para la generación de las respuestas. Datos: relativos a la salud, en forma seudonimizada; contenido de las conversaciones libres. Base jurídica: consentimiento explícito del interesado (art. 6.1.a + art. 9.2.a RGPD).
• Finalidad: visualización de la evolución del bienestar a lo largo del tiempo. Datos: check-ins y reflexiones cualitativas. Base jurídica: consentimiento explícito del interesado (art. 6.1.a + art. 9.2.a RGPD).
• Finalidad: detección automática de señales de riesgo en las conversaciones y registro interno de avisos de seguridad (red flags). Datos: contenido de las conversaciones. Base jurídica: interés legítimo del Responsable en la protección de la salud y la seguridad del usuario (art. 6.1.f RGPD) y protección de los intereses vitales del interesado (art. 9.2.c RGPD). El Responsable ha realizado una ponderación de intereses, disponible previa solicitud escribiendo a privacy@aku-app.com.
• Finalidad: mejora del servicio mediante datos anonimizados y agregados. Datos: datos anonimizados y que ya no pueden atribuirse al usuario (no son datos personales). Base jurídica: consentimiento separado y facultativo para el proceso de anonimización (art. 6.1.a RGPD); una vez anonimizados, los datos quedan fuera del ámbito del RGPD.
• Finalidad: seguridad del servicio, prevención y lucha contra los abusos, cumplimiento de obligaciones legales. Datos: técnicos y de cuenta, registros. Base jurídica: interés legítimo del Responsable (art. 6.1.f RGPD) para las finalidades de seguridad y prevención de abusos; obligación legal (art. 6.1.c RGPD) para los cumplimientos normativos. La ponderación de intereses para las finalidades basadas en el interés legítimo está disponible previa solicitud.
• Finalidad: facturación, contabilidad y cumplimientos fiscales. Datos: correo electrónico, datos de compra. Base jurídica: obligación legal (art. 6.1.c RGPD) y ejecución del contrato (art. 6.1.b RGPD).

Estructura del consentimiento y su libertad. El consentimiento para el tratamiento de los datos relativos a la salud se recoge en la fase de registro de forma explícita, granular y separada para cada finalidad, mediante casillas de selección distintas acompañadas de explicaciones en lenguaje sencillo. Facilitar los datos relativos a la salud es facultativo. Las funcionalidades accesibles incluso sin consentimiento para el tratamiento de los datos de salud comprenden al menos: la biblioteca de audio básica y los contenidos informativos estáticos. Las funcionalidades que requieren el consentimiento (compañero de IA, personalización, evolución) están claramente identificadas como tales antes de que se solicite el consentimiento.

El usuario puede retirar el consentimiento en cualquier momento desde los ajustes de la aplicación. La retirada no afecta a la licitud del tratamiento realizado hasta ese momento. Desde la retirada, los datos afectados dejan de tratarse para las finalidades retiradas y, salvo obligación de conservación distinta, se suprimen en los plazos indicados en la sección 7.

5. Cómo funciona la inteligencia artificial en Aku (información conforme al art. 13 RGPD y al art. 50 AI Act)

El compañero conversacional de Aku es un sistema de inteligencia artificial basado en un modelo de lenguaje proporcionado por Anthropic PBC (Claude). El usuario interactúa con un sistema artificial, no con una persona física: Aku no es un ser humano.

El Responsable ha efectuado una evaluación de la clasificación del sistema de IA con arreglo al Reglamento (UE) 2024/1689 (AI Act). El sistema no entra en las categorías de IA prohibidas (art. 5 AI Act). El Responsable supervisa la evolución de la clasificación del sistema de IA a medida que el AI Act sea plenamente aplicable.

Cuando el usuario escribe a Aku, el contenido de la conversación y un perfil sintético de la información compartida se envían a los servidores de Anthropic PBC para la generación de la respuesta. En particular:

• Los datos estructurados del perfil enviados están seudonimizados: nunca se transmiten el nombre real del usuario ni su dirección de correo electrónico, sino únicamente un identificador seudónimo (UUID) y la información relevante del perfil.
• Atención: la seudonimización no cubre el contenido libre de las conversaciones. Si el usuario incluye espontáneamente su nombre, datos de contacto u otros elementos identificativos en el texto de los mensajes, estos se transmiten al proveedor del modelo de IA tal como fueron escritos. Se recomienda no compartir en las conversaciones datos identificativos no necesarios.
• Anthropic conserva los datos de las solicitudes API durante un máximo de 30 días con fines de seguridad, transcurridos los cuales los elimina. Los datos no se utilizan para entrenar modelos de inteligencia artificial.
• Las respuestas de Aku se generan automáticamente y tienen una finalidad de apoyo y bienestar: no constituyen consejos médicos, psicológicos ni de otros profesionales y pueden contener imprecisiones.

Avisos internos de seguridad. Si durante una conversación el sistema detecta automáticamente señales que podrían indicar un riesgo para el usuario (por ejemplo, contenidos que sugieran un malestar emocional significativo), el sistema puede registrar internamente un aviso de seguridad. Estos avisos no producen ninguna decisión automatizada con efectos jurídicos o significativos sobre el usuario, no se comparten con terceros, se conservan durante el período indicado en la sección 7 y se utilizan exclusivamente con fines de protección de la seguridad del usuario. No se emprende ninguna acción automatizada respecto al usuario sobre la base de los avisos.

Exclusión de decisiones automatizadas relevantes. Aku no adopta decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos o afecten de modo significativo similar al usuario, en el sentido del art. 22 RGPD. La personalización de los contenidos (sonidos, ejercicios) se realiza de forma automatizada pero no produce ningún efecto jurídico ni consecuencias comparables sobre los derechos o intereses fundamentales del usuario.

Recursos de apoyo. Si te encuentras en una situación de malestar psicológico o emocional grave, te invitamos a contactar con un profesional de la salud mental o con los siguientes recursos de apoyo:

• Telefono Amico Italia (línea italiana de escucha y apoyo emocional): 02 2327 2327
• En caso de emergencia: 112 (número de emergencias europeo)

6. Quién trata tus datos por cuenta nuestra (encargados del tratamiento y transferencias fuera de la UE)

• Supabase Pte. Ltd: base de datos, autenticación y almacenamiento de los datos. Datos en la Unión Europea (Irlanda, región eu-west-1). DPA firmado el 14/06/2026 (ref. WKZLQ-KKJXN-VUVDS-WJLOD) con CCT Módulo Dos incorporadas. Ninguna transferencia fuera de la UE. TIA archivada.
• Anthropic PBC: generación de las respuestas de IA (API Claude). Datos en Estados Unidos. DPA con CCT (Cláusulas Contractuales Tipo, Decisión de Ejecución (UE) 2021/914 de la Comisión) incorporadas en los Commercial Terms. Evaluación de impacto de la transferencia (TIA) en curso de elaboración. Conservación API 30 días; sin uso para entrenamiento.
• RevenueCat, Inc.: gestión de suscripciones y facturación. Datos en Estados Unidos. DPA con CCT incorporadas en los Terms of Use; certificación SOC2 Type 2. TIA en curso de elaboración. No recibe datos relativos a la salud.
• Apple Inc.: autenticación (Sign In with Apple) y distribución a través de la App Store. Datos en Estados Unidos. DPA estándar de Apple; CCT para las transferencias a terceros países. Verificación de la adhesión al Data Privacy Framework UE-EE. UU. en curso. No recibe datos relativos a la salud de Aku.
• Google LLC: autenticación (Google OAuth) y distribución a través de Google Play. Datos en Estados Unidos. DPA estándar de Google; CCT para las transferencias a terceros países. Adhesión al Data Privacy Framework UE-EE. UU. verificada. No recibe datos relativos a la salud de Aku.
• Expo (650 Industries, Inc.): envío de las notificaciones push. Datos en Estados Unidos. Condiciones de servicio de Expo con CCT; DPA en curso de formalización. Recibe únicamente el token del dispositivo y el texto de la notificación; el texto de las notificaciones no contiene referencias a datos relativos a la salud.

Transferencias fuera de la UE, información general. Las transferencias de datos personales a terceros países (en particular a Estados Unidos) se realizan sobre la base de las Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea con arreglo al art. 46, apdo. 2, letra c) RGPD o, cuando proceda, de la decisión de adecuación relativa al Data Privacy Framework UE-EE. UU. (Decisión de la Comisión C(2023)4745 de julio de 2023). Para cada proveedor con sede en EE. UU., el Responsable ha efectuado o está completando una evaluación de impacto de la transferencia (Transfer Impact Assessment, TIA) para verificar que la legislación estadounidense no merma las garantías ofrecidas por las CCT. El usuario tiene derecho a solicitar una copia de las garantías aplicables a las transferencias escribiendo a privacy@aku-app.com.

7. Cuánto tiempo conservamos los datos

• Datos de perfil y de cuenta: durante la vigencia de la cuenta, más 30 días desde la eliminación. Necesarios para la prestación del servicio; los 30 días posteriores a la eliminación cubren eventuales cambios de opinión y solicitudes de restablecimiento.
• Check-ins de bienestar: 24 meses desde su introducción. La función de evolución longitudinal requiere una ventana de unos 2 años para ser significativa.
• Conversaciones con el compañero de IA (texto íntegro): 12 meses desde la última sesión. La memoria contextual del compañero se nutre de las sesiones recientes; 12 meses equilibran continuidad y minimización.
• Resúmenes de las conversaciones (memoria de Aku): 24 meses. Los resúmenes garantizan la continuidad relacional con una huella reducida respecto al texto íntegro.
• Sesiones de escucha: 24 meses. Necesario para la personalización adaptativa de las sugerencias de audio a lo largo del tiempo.
• Notas del diario: 24 meses. Coherente con la ventana de la evolución longitudinal.
• Datos de las exploraciones sonoras y de la experiencia de escucha (respuestas y descripción cualitativa): 24 meses. Utilizados solo para personalizar los contenidos de audio; más allá de esa ventana el dato pierde utilidad.
• Avisos internos de seguridad (red flags): 12 meses. Conservados con el único fin de proteger al usuario; más allá de ese período no existe utilidad justificable.
• Datos técnicos de uso (sesiones, funciones utilizadas): 90 días. Ventana estándar para seguridad, depuración e investigación de incidentes técnicos.
• Registros técnicos del sistema: 90 días. Como arriba.
• Datos de compra y facturación: 10 años. Obligación de conservación de los registros contables (art. 2220 del Código Civil italiano) y normativa fiscal.

La supresión al vencimiento de los períodos indicados se realiza de forma automática, mediante un procedimiento ejecutado diariamente en los sistemas del Responsable.

Eliminación de la cuenta. Si eliminas tu cuenta desde los ajustes de la aplicación, los datos relativos a la salud y al perfil se borran de los sistemas de producción sin dilación indebida y, en todo caso, en un plazo de 30 días. Las copias que pudieran existir en los sistemas de copia de seguridad se sobrescriben según el ciclo normal de rotación de las copias de seguridad, en un plazo máximo de otros 30 días. Los únicos datos conservados tras la eliminación son los fiscales y contables, durante el tiempo exigido por la ley.

8. Tus derechos

En cualquier momento puedes ejercer los derechos previstos en los artículos 15 a 22 del RGPD.

• Acceso (art. 15): obtener confirmación del tratamiento y una copia de tus datos personales.
• Rectificación (art. 16): corregir datos inexactos o incompletos.
• Supresión (art. 17): obtener la eliminación de tus datos ("derecho al olvido"), salvo que existan obligaciones de conservación prevalentes.
• Limitación del tratamiento (art. 18): limitar el tratamiento en determinados casos previstos por la normativa.
• Portabilidad (art. 20): recibir tus datos en un formato estructurado, de uso común y legible por máquina (formato JSON), directamente exportable desde los ajustes de la aplicación, o previa solicitud enviada a privacy@aku-app.com.
• Oposición (art. 21): oponerte al tratamiento basado en el interés legítimo del Responsable.
• Retirada del consentimiento (art. 7.3): retirar en cualquier momento el consentimiento prestado, sin que ello afecte a la licitud del tratamiento realizado antes de la retirada. La retirada puede ejercerse por finalidad individual desde los ajustes de la aplicación.

Cómo ejercer los derechos. Los derechos de acceso, portabilidad, supresión y retirada del consentimiento pueden ejercerse directamente desde los ajustes de la aplicación (sección "Privacidad y datos"), o escribiendo a privacy@aku-app.com. El Responsable responde en un plazo de 30 días desde la recepción de la solicitud. En caso de solicitudes particularmente complejas, el plazo puede prorrogarse otros 60 días, comunicándolo de forma motivada al usuario dentro del primer plazo.

Reclamación ante la autoridad de control. Si consideras que el tratamiento de tus datos infringe la normativa aplicable, tienes derecho a presentar una reclamación ante el Garante per la Protezione dei Dati Personali (autoridad italiana de protección de datos, www.garanteprivacy.it, Piazza Venezia 11, 00187 Roma), o ante la autoridad de control competente de tu país de residencia.

9. Edad mínima

Aku está reservada a personas mayores de edad (18 años o más). La mayoría de edad la declara el usuario en la fase de registro, mediante autodeclaración. La elección del umbral de 18 años, más prudente que el umbral mínimo de 14 años previsto por el art. 8 RGPD y por el D.Lgs. 101/2018 para los servicios de la sociedad de la información, está motivada por la naturaleza de los datos tratados (datos de salud) y por la condición específica de los usuarios destinatarios. La aportación de datos falsos sobre la propia edad tiene consecuencias civiles y penales.

El Responsable no recopila conscientemente datos de personas menores de 18 años. Si crees que un menor ha creado una cuenta, puedes comunicarlo escribiendo a privacy@aku-app.com: verificada la comunicación, el Responsable procederá sin dilación indebida al cierre de la cuenta y a la eliminación de los datos correspondientes.

10. Medidas de seguridad

El Responsable adopta medidas técnicas y organizativas adecuadas a la naturaleza y al riesgo de los datos tratados, entre ellas:

• Cifrado de las comunicaciones en tránsito (HTTPS/TLS)
• Cifrado de los datos en reposo (AES-256 con claves protegidas por un HSM certificado FIPS 140-2)
• Controles de acceso a nivel de fila en la base de datos (Row Level Security)
• Seudonimización de los datos estructurados enviados al proveedor de IA
• Ausencia de SDK publicitarios o de herramientas de seguimiento comportamental con acceso a datos de salud
• Supresión automática de los datos al vencimiento de los períodos de conservación (sección 7)
• Procedimientos internos de gestión de incidentes de seguridad

Violación de datos personales (data breach). En caso de violación de datos personales que suponga un riesgo para los derechos y libertades de los usuarios, el Responsable procederá a la notificación al Garante en un plazo de 72 horas desde su descubrimiento (art. 33 RGPD) y, cuando el riesgo sea elevado, a la comunicación a los interesados sin dilación indebida (art. 34 RGPD).

11. Evaluación de impacto en la protección de datos (DPIA)

Con arreglo al art. 35 RGPD, el Responsable llevó a cabo una Evaluación de Impacto en la Protección de Datos (DPIA) antes del inicio del tratamiento, en consideración del tratamiento sistemático de datos de categoría especial (datos de salud) combinado con la elaboración automatizada mediante inteligencia artificial. La DPIA está documentada y disponible previa solicitud escrita enviada a privacy@aku-app.com.

12. Modificaciones de esta política

La presente política puede actualizarse para reflejar cambios normativos, tecnológicos o del servicio. En caso de modificaciones sustanciales del tratamiento de los datos, el Responsable informará a los usuarios mediante una notificación en la aplicación con una antelación adecuada antes de que las modificaciones surtan efecto, y recogerá un nuevo consentimiento cuando la normativa lo exija. La versión actualizada, con su fecha de entrada en vigor, está siempre disponible dentro de la aplicación y en www.aku-app.com/es/privacy.

13. Propiedad intelectual sobre los contenidos del usuario y tratamiento de los datos

Los contenidos introducidos por el usuario en las conversaciones (mensajes, notas del diario, check-ins) siguen siendo propiedad del usuario. El Responsable, con arreglo al art. 13 de los Términos y condiciones del servicio, adquiere una licencia limitada y estrictamente necesaria para la prestación del servicio (por ejemplo, la elaboración de los mensajes para la generación de las respuestas de IA). Dicha elaboración constituye un tratamiento de datos personales y se rige por la presente política, en particular por la sección 4 (finalidad: "envío de datos al proveedor del modelo de IA") y por la sección 6 (encargado Anthropic PBC).

14. Contactos

Responsable: Mattia Peirano, Via Ugo Bassi 22, 20159 Milán (MI), Italia, n.º de IVA 01640360085, código fiscal italiano PRNMTT92S17D969H.

Correo de privacidad (RGPD): privacy@aku-app.com

Correo de soporte: support@aku-app.com

Correo legal: legal@aku-app.com

Sitio web: www.aku-app.com

15. Idioma

Este documento es una traducción facilitada por comodidad. La versión italiana de esta Política de privacidad es la versión de referencia y prevalecerá en caso de discrepancia, sin perjuicio de las protecciones imperativas de los consumidores aplicables en tu país de residencia.