POLÍTICA DE PRIVACIDAD

Última actualización: julio de 2026

1. CONDICIONES E INTRODUCCIÓN

Luna cifra tus datos de salud en tu dispositivo (AES-256) antes de que lleguen a nuestros servidores: a nosotros solo llega código ilegible. En el modo Estándar es posible la recuperación de la contraseña (la clave se conserva en el servidor); solo en el modo de Privacidad máxima únicamente tu clave de recuperación tiene acceso. Para el asesoramiento por IA opcional, tu dispositivo forma categorías anonimizadas antes de cada consulta; los valores en texto claro cifrados (p. ej. diario, nombres de preparados) nunca salen de tu dispositivo (véase el apartado «Asesoramiento asistido por IA»).

Como responsable del tratamiento de datos en el sentido del RGPD (en adelante «la APP», «la empresa», «nosotros»), adoptamos medidas adecuadas para garantizar la seguridad y la protección de tus datos personales cuando utilizas la APP. Actuamos como responsable porque decidimos sobre los fines y los medios del tratamiento de tus datos personales. Esta Política de Privacidad explica cómo recabamos, utilizamos, conservamos y comunicamos tus datos personales cuando visitas nuestros sitios web o interactúas con alguno de nuestros servicios.


2. EL RESPONSABLE DEL TRATAMIENTO

El responsable del tratamiento de datos personales conforme al Reglamento General de Protección de Datos (RGPD) es:

ICOSO CONSULTING S.L.U. («Luna FemTech»)
Titular y administrador: Daniel Osorio Fernandez
Calle Juan de Herrera, Núm 18, Planta 4 y 5
39002 Santander (Cantabria), España
NIF: ES B55469902
Registro Mercantil de Santander, Hoja S-37849
www.luna-femtech.com
Contacto de protección de datos: privacy@icoso.es
Soporte a usuarios: support@luna-femtech.com
(c) 2026 Todos los derechos reservados.


3. DATOS DE CONTACTO DEL DELEGADO DE PROTECCIÓN DE DATOS (DPO)

Se ha designado un Delegado de Protección de Datos (DPO), al que puedes dirigirte en la siguiente dirección:
privacy@icoso.es

La designación de un Delegado de Protección de Datos es obligatoria conforme al art. 37.1.c) RGPD, dado que la actividad principal consiste en el tratamiento a gran escala de categorías especiales de datos personales (datos de salud).


4. TRATAMIENTO DE DATOS PERSONALES

Tratamos los datos personales de los usuarios únicamente cuando es necesario para el correcto funcionamiento. La recogida y el tratamiento se realizan solo después de que el usuario haya prestado su consentimiento. Existe una excepción a este consentimiento previo cuando resulta imposible obtenerlo antes de que el tratamiento sea necesario, así como en el caso de obligaciones de tratamiento establecidas por ley o por la autoridad competente.

• Datos de identidad/contacto: dirección de correo electrónico, nombre visible/nombre de usuario, identidad OAuth (inicio de sesión con Apple/Google).
• Datos de suscripción: identificador de suscripción seudonimizado (SHA-256) y estado de la suscripción. El pago se tramita exclusivamente a través de la tienda correspondiente (Apple/Google); no recibimos datos bancarios, de tarjeta ni de facturación.
• Datos técnicos: dirección IP (máx. 7 días para la detección de ataques), información de dispositivo/sistema operativo (únicamente en informes de fallos depurados).
• Datos de uso: información sobre cómo utilizas nuestra app y nuestros productos y servicios.
• Ajustes de la app: idioma, esquema de color, metadatos de la lógica de recordatorios.
• Datos de salud: tus datos de salud como ciclo, síntomas, estados de ánimo, temperatura basal, diario, valores hormonales, enfermedades autodeclaradas, medicamentos, tipo de alimentación, alergias, método anticonceptivo y medidas corporales están sujetos a una protección especialmente elevada. Se cifran en tu dispositivo (AES-256-GCM), sin excepción, antes de su transmisión: nuestro servidor solo conserva texto cifrado.

Al tratamiento de datos de salud se aplican los siguientes principios:
◦ Consentimiento: los datos de salud, por regla general, solo pueden tratarse si la persona interesada consiente expresamente.
◦ Limitación de la finalidad: los datos solo pueden utilizarse para el fin previamente definido (p. ej. seguimiento del ciclo y autoobservación con fines de bienestar).
◦ Minimización de datos: solo pueden recabarse los datos estrictamente necesarios.
◦ Seguridad: los datos de salud deben conservarse y protegerse con especial cuidado (p. ej. mediante cifrado).

Tratamos tus datos, entre otras vías, mediante interacciones directas (nos facilitas datos cuando creas una cuenta, utilizas funciones, te pones en contacto con nosotros o nos envías comentarios) y mediante la recogida automatizada de datos técnicos durante el funcionamiento de la app.

Gestión y revocación de los consentimientos: puedes revocar en cualquier momento cualquier consentimiento otorgado. El consentimiento para el asesoramiento por IA opcional («Sofía») lo gestionas en la app, en Ajustes; la autorización para la importación de salud (Apple HealthKit / Google Health Connect) la revocas en los ajustes de tu sistema operativo; tu región a efectos de protección de datos la gestionas en la app, en Ajustes. La revocación surte efecto para el futuro y no afecta a la licitud del tratamiento realizado hasta ese momento.


5. ASESORAMIENTO NUTRICIONAL Y DE ESTILO DE VIDA ASISTIDO POR IA («SOFÍA»)

Si utilizas la función Premium opcional de asesoramiento por IA, tratamos —sobre la base de tu consentimiento expreso (art. 6.1.a) y art. 9.2.a) RGPD)— información relativa a la salud con el fin de ofrecerte consejos individuales de nutrición y estilo de vida adaptados al ciclo. La información utilizada para ello se anonimiza en tu dispositivo antes de su transmisión: solo se transmiten patrones categorizados (p. ej. fase del ciclo, frecuencias agregadas de síntomas y estados de ánimo, tipo de alimentación, alergias, enfermedades como categorías fijas, medicamentos como clases de principios activos, valores hormonales sin fecha). No se transmiten tu nombre, tu identificador de usuario, fechas exactas, el texto libre del diario ni los nombres de preparados o marcas. El tratamiento por IA se realiza a través de Amazon Web Services (AWS Bedrock) exclusivamente en la región de la UE de Fráncfort; no se produce ninguna transferencia del contenido a EE. UU. Las entradas no se conservan de forma permanente ni se utilizan para entrenar los modelos de IA.

Luna y Sofía sirven exclusivamente a fines de bienestar, estilo de vida y autoobservación. No están destinadas al diagnóstico, tratamiento, prevención ni predicción de enfermedades. Sofía es un sistema asistido por IA; las respuestas se generan de forma automatizada y pueden ser incompletas, inexactas o inadecuadas para tu situación individual. Sofía no sustituye el asesoramiento médico, psicológico ni nutricional.

No se produce ninguna decisión basada únicamente en el tratamiento automatizado en el sentido del art. 22 RGPD que produzca efectos jurídicos sobre ti o te afecte significativamente de modo similar. Las predicciones, indicaciones y respuestas de IA sirven exclusivamente a la autoobservación y al apoyo al bienestar.


6. USO DE TUS DATOS

Tus datos de contacto (dirección de correo electrónico) no se comunican en ningún caso a terceros. Tratamos datos de uso y datos técnicos para prestar y mejorar la funcionalidad de la app, identificar y resolver problemas y garantizar la estabilidad y la seguridad de los servicios. Para el desarrollo continuo, recabamos y analizamos comentarios y datos de uso de forma agregada.

• Cumplimiento de obligaciones contractuales: tratamos tus datos para cumplir nuestros contratos y garantizar el uso correcto de nuestros servicios.
• Atención al cliente: para prestarte soporte, tratamos tu nombre, tus datos de contacto, tu historial de comunicaciones y el contenido de tus solicitudes.
• Gestión de la cuenta: tratamos tu dirección de correo electrónico y tus credenciales de acceso para autenticar tu cuenta y proporcionarte un acceso seguro.
• Cumplimiento de disposiciones legales: tratamos tus datos para cumplir obligaciones legales, fiscales y contables.

Notificaciones: los recordatorios (p. ej. de eventos de ciclo o de toma) se programan y se activan exclusivamente de forma local en tu dispositivo. No operamos ningún servicio de notificaciones push externo para ello ni almacenamos tokens push; para los recordatorios no salen datos de salud de tu dispositivo. Puedes desactivar las notificaciones en cualquier momento en la app o en los ajustes del sistema de tu dispositivo.

Importación de salud (Apple HealthKit / Google Health Connect): si activas esta función opcional, importamos señales de salud pasivas (p. ej. sueño, frecuencia cardíaca en reposo, temperatura corporal) como resúmenes cifrados con el fin de mejorar la información sobre el ciclo (art. 9.2.a). La autorización puede revocarse en cualquier momento en los ajustes del dispositivo.

Función de código de barras (Premium): al escanear opcionalmente el código de barras de un producto, solo se transmite el número de código de barras (EAN) a través de nuestro servidor a la base de datos de productos Open Food Facts para consultar el nombre del producto. En el proceso no se transmiten datos de salud ni identificador de usuario.

Sin tratamiento de ubicación: Luna no trata datos de GPS ni de ubicación. En la búsqueda de lugares opcional (p. ej. búsqueda de ciudad), solo se transmite el término de búsqueda que introduces, a través de nuestro servidor, al servicio de mapas Nominatim (OpenStreetMap). Determinamos tu región a efectos de protección de datos a partir de la región del dispositivo configurada (código de país), no de tu ubicación exacta.


7. SUPRESIÓN DE LOS DATOS Y PLAZO DE CONSERVACIÓN

Tus datos personales se suprimirán o se limitará su uso tan pronto como deje de existir la necesidad de conservarlos. No obstante, podrán conservarse durante más tiempo cuando así lo exija la legislación de la UE o nacional aplicable.

Cuando eliminas tu cuenta (Ajustes → Eliminar cuenta), tus datos se retiran de inmediato de los sistemas activos. Las copias residuales en copias de seguridad técnicas cifradas se eliminan en un plazo de 7 días en el marco del ciclo de copias de seguridad rotativo. Un registro interno de supresión garantiza que los datos suprimidos entretanto no vuelvan a aparecer aunque se restaure una copia de seguridad.

• Tratamiento basado en el consentimiento o en un interés legítimo: los datos se conservan hasta que declares su revocación u oposición o cese el interés legítimo.
• Datos contractuales: se conservan durante la duración de la relación contractual y, después, mientras existan obligaciones legales de conservación (p. ej. 10 años en virtud de disposiciones fiscales y mercantiles). Los justificantes de relevancia fiscal (p. ej. relativos al identificador de suscripción seudonimizado) se conservan en la medida legalmente exigida. Los datos de facturación/pago propiamente dichos residen exclusivamente en la tienda correspondiente (Apple/Google) y no en nosotros.


8. DATOS, COOKIES, ARCHIVOS DE REGISTRO Y TERCEROS

Cuando visitas nuestro sitio web o la APP, tu dispositivo transmite automáticamente datos de registro a nuestros servidores (p. ej. al iniciar sesión o al subir/descargar información). Datos de registro recabados: dirección IP del dispositivo, configuración del sistema, fecha y hora del acceso. Las direcciones IP se conservan hasta 7 días para detectar y prevenir ataques; después se eliminan o se anonimizan. Estos datos se tratan en los servidores de Hetzner Online GmbH (UE).

Cookies y almacenamiento local: la app en sí no utiliza cookies. El sitio web luna-femtech.com utiliza únicamente almacenamiento local técnicamente necesario (localStorage) para guardar tu elección de idioma; no utilizamos cookies de seguimiento, ni píxeles de conteo, ni analítica.

Encargados del tratamiento y subencargados: encontrarás información detallada sobre la comunicación de datos a nuestros encargados del tratamiento y subencargados en nuestra lista siempre actualizada en www.luna-femtech.com/sub.


9. TUS DERECHOS

Conforme al RGPD tienes los derechos de acceso (art. 15), rectificación (art. 16), supresión (art. 17), limitación (art. 18), oposición (art. 21), portabilidad de los datos (art. 20), revocación del consentimiento (art. 7.3) y a presentar una reclamación ante una autoridad de control.

Puedes iniciar el acceso y la exportación (art. 15/20) directamente en la app (Ajustes → Descargar datos; exportación en JSON legible por máquina). La supresión se realiza de inmediato en Ajustes → Eliminar cuenta. Se registra la prueba de los consentimientos otorgados; cuando cambian las versiones de las políticas, se recaba un nuevo consentimiento.

a) Derecho de acceso: puedes obtener en cualquier momento, de forma gratuita, información sobre los datos personales que conservamos sobre ti, así como una copia de dichos datos.
b) Derecho de rectificación: puedes solicitar la rectificación de datos inexactos o incompletos.
c) Derecho de supresión: puedes solicitar la supresión de tus datos personales cuando no exista otra base jurídica para el tratamiento.
d) Derecho de limitación del tratamiento: puedes solicitar la limitación del tratamiento de tus datos.
e) Derecho de oposición: puedes oponerte en cualquier momento al tratamiento basado en intereses legítimos.
f) Derecho a la portabilidad de los datos: puedes recibir los datos que nos has facilitado en un formato de uso común y transmitirlos a otros prestadores de servicios.
g) Derecho a revocar el consentimiento: puedes revocar tu consentimiento en cualquier momento con efecto para el futuro (véase el apartado 4).
h) Derecho de reclamación: tienes derecho a presentar una reclamación ante una autoridad de control. La autoridad de control competente es la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid, España, www.aepd.es. Con independencia de ello, también puedes dirigirte a la autoridad de control de tu lugar de residencia habitual o de trabajo.


10. BASE JURÍDICA DEL TRATAMIENTO DE DATOS

Las operaciones de tratamiento se basan en las siguientes bases jurídicas conforme al RGPD:
• Ejecución de un contrato (art. 6.1.b): el tratamiento es necesario para ejecutar un contrato contigo o para aplicar medidas precontractuales.
• Consentimiento (art. 6.1.a; para los datos de salud, art. 9.2.a): cuando nos otorgas tu consentimiento expreso, podemos tratar tus datos para los fines acordados.
• Intereses legítimos (art. 6.1.f): seguridad y prevención del fraude, estabilidad y mejora técnica de los productos, servicios y app, siempre que no prevalezcan tus derechos y libertades fundamentales.
• Obligación legal (art. 6.1.c): cumplimiento de disposiciones legales, fiscales y contables.


11. COMUNICACIÓN Y TRANSFERENCIA DE TUS DATOS A TERCEROS

Para cumplir obligaciones legales, podemos comunicar datos a organismos públicos, autoridades judiciales u otros organismos oficiales. Los encargados del tratamiento y subencargados actúan como encargados del tratamiento y deben disponer de medidas de protección adecuadas.

El alojamiento y el tratamiento por IA se realizan íntegramente dentro de la UE. Una transferencia a EE. UU. se produce exclusivamente hacia OpenAI (generación de imágenes; solo términos de búsqueda), RevenueCat (identificador de suscripción seudonimizado) y Apple/Google (pago), en cada caso con garantías mediante Cláusulas Contractuales Tipo de la UE. Los detalles figuran en la lista de subencargados (www.luna-femtech.com/sub).


12. ACTUALIZACIONES E IDIOMA DEL CONTRATO

Nos reservamos el derecho de actualizar esta Política de Privacidad de vez en cuando, sobre todo para adaptarla a cambios legales. La versión vigente en cada momento se publica en www.luna-femtech.com/data y entra en vigor con su publicación. En caso de discrepancias entre el texto alemán y el texto español, prevalece la versión española debido al lugar de prestación del servicio.


13. AVISOS LEGALES Y CONDICIONES DE USO

En nuestras Condiciones de Uso (www.luna-femtech.com/terms) encontrarás toda la información legal, así como el aviso legal. El uso de Luna requiere una edad mínima de 16 años. Los términos personales se refieren a todos los posibles géneros, orientaciones, formas jurídicas o entidades.