POLÍTICA DE PRIVACIDAD

Última actualización: septiembre de 2026

1. CONDICIONES E INTRODUCCIÓN

Luna cifra tus registros de seguimiento y del diario en tu dispositivo (AES-256) antes de que se almacenen en nuestros servidores o se sincronicen: de ellos solo almacenamos código ilegible, salvo algunos datos necesarios para los recordatorios y la sincronización (véase el apartado 4). En el modo Estándar conservamos además una copia de seguridad cifrada de tu clave para poder devolverte el acceso si olvidas tu contraseña; técnicamente, eso nos permitiría descifrar tus datos. En el modo de Privacidad máxima no tenemos ninguna copia de tu clave que podamos abrir: en nuestros servidores solo se guarda cifrada de forma que únicamente tu contraseña o tu dispositivo con la sesión iniciada, o bien tu clave de recuperación, pueden desbloquearla. La clave de recuperación es tu única vía de vuelta si pierdes tu contraseña o el acceso a tus dispositivos. Para el asesoramiento por IA opcional, determinados datos de salud y, en el chat, también tus mensajes se tratan de forma legible en nuestros servidores y en los de nuestro proveedor de IA en la UE; el texto de tu diario no se incorpora automáticamente (véase el apartado «Asesoramiento asistido por IA»).

Como responsable del tratamiento de datos en el sentido del RGPD (en adelante «la APP», «la empresa», «nosotros»), adoptamos medidas adecuadas para garantizar la seguridad y la protección de tus datos personales cuando utilizas la APP. Actuamos como responsable porque decidimos sobre los fines y los medios del tratamiento de tus datos personales. Esta Política de Privacidad explica cómo recabamos, utilizamos, conservamos y comunicamos tus datos personales cuando visitas nuestros sitios web o interactúas con alguno de nuestros servicios.


2. EL RESPONSABLE DEL TRATAMIENTO

El responsable del tratamiento de datos personales conforme al Reglamento General de Protección de Datos (RGPD) es:

ICOSO CONSULTING S.L. («Luna FemTech»)
Titular y administrador: Daniel Osorio Fernandez
Calle Juan de Herrera, Núm 18, Planta 4 y 5
39002 Santander (Cantabria), España
NIF: ES B55469902
Registro Mercantil de Santander, Hoja S-37849
www.luna-femtech.com
Contacto de protección de datos: privacy@icoso.es
Soporte a usuarios: support@luna-femtech.com
(c) 2026 Todos los derechos reservados.


3. DATOS DE CONTACTO DEL DELEGADO DE PROTECCIÓN DE DATOS (DPO)

Se ha designado un Delegado de Protección de Datos (DPO), al que puedes dirigirte en la siguiente dirección:
dpdcadiz@prodat.es

La designación de un Delegado de Protección de Datos es obligatoria conforme al art. 37.1.c) RGPD, dado que la actividad principal consiste en el tratamiento a gran escala de categorías especiales de datos personales (datos de salud).


4. TRATAMIENTO DE DATOS PERSONALES

Tratamos los datos personales de los usuarios únicamente cuando es necesario para el correcto funcionamiento. La recogida y el tratamiento se realizan solo después de que el usuario haya prestado su consentimiento. Existe una excepción a este consentimiento previo cuando resulta imposible obtenerlo antes de que el tratamiento sea necesario, así como en el caso de obligaciones de tratamiento establecidas por ley o por la autoridad competente.

• Datos de identidad/contacto: dirección de correo electrónico, nombre visible/nombre de usuario, identidad OAuth (inicio de sesión con Apple/Google).
• Datos de suscripción: identificador de suscripción seudonimizado (SHA-256) y estado de la suscripción. El pago se tramita exclusivamente a través de la tienda correspondiente (Apple/Google); no recibimos datos bancarios, de tarjeta ni de facturación.
• Datos técnicos: dirección IP (máx. 7 días para la detección de ataques), información de dispositivo/sistema operativo (únicamente en informes de fallos depurados).
• Datos de uso: información sobre cómo utilizas nuestra app y nuestros productos y servicios.
• Ajustes de la app: idioma, esquema de color, metadatos de la lógica de recordatorios.
• Datos de salud: tus datos de salud como ciclo, síntomas, estados de ánimo, temperatura basal, diario, valores hormonales, enfermedades autodeclaradas, medicamentos, tipo de alimentación, alergias, método anticonceptivo y medidas corporales están sujetos a una protección especialmente elevada. Se cifran en tu dispositivo (AES-256-GCM) antes de su transmisión: nuestro servidor solo los almacena como texto cifrado. Se exceptúan algunos datos que actualmente se almacenan de forma legible para los recordatorios, la sincronización y la administración: en los medicamentos, el tipo (anticonceptivo u otro), el tamaño del envase, los días de pausa, el inicio del envase, la pauta de toma, la primera hora de recordatorio y los ajustes de recordatorio (activado/desactivado, posponer, aviso de reposición); en cada toma, su estado (tomada, omitida, con retraso) con fecha y hora; en tu perfil, si has respondido las preguntas sobre anticoncepción y cuándo confirmaste avisos médicos; y la fecha de las entradas del diario y de los análisis hormonales, el estado de tus consentimientos y los momentos en que se crean, modifican o eliminan los registros. A partir de estos datos y del número, el momento y el tamaño de los registros cifrados pueden extraerse algunas conclusiones sobre tu salud. Para el asesoramiento por IA opcional, determinados datos de entre ellos se tratan de forma legible (véase el apartado 5).
• Datos relativos a la vida sexual: si decides registrarlos, la actividad sexual y el método anticonceptivo. Se cifran en tu dispositivo igual que los datos de salud y constituyen, junto con ellos, categorías especiales de datos personales (art. 9 RGPD), por lo que reciben una protección reforzada.

Al tratamiento de datos de salud se aplican los siguientes principios:
◦ Consentimiento: los datos de salud, por regla general, solo pueden tratarse si la persona interesada consiente expresamente.
◦ Limitación de la finalidad: los datos solo pueden utilizarse para el fin previamente definido (p. ej. seguimiento del ciclo y autoobservación con fines de bienestar).
◦ Minimización de datos: solo pueden recabarse los datos estrictamente necesarios.
◦ Seguridad: los datos de salud deben conservarse y protegerse con especial cuidado (p. ej. mediante cifrado).

Tratamos tus datos, entre otras vías, mediante interacciones directas (nos facilitas datos cuando creas una cuenta, utilizas funciones, te pones en contacto con nosotros o nos envías comentarios) y mediante la recogida automatizada de datos técnicos durante el funcionamiento de la app.

Gestión y revocación de los consentimientos: puedes revocar en cualquier momento cualquier consentimiento otorgado. El consentimiento para el asesoramiento por IA opcional («Sofía») lo gestionas en la app, en Ajustes; la autorización para la importación de salud (Apple HealthKit / Google Health Connect) la revocas en los ajustes de tu sistema operativo; tu región a efectos de protección de datos la gestionas en la app, en Ajustes. La revocación surte efecto para el futuro y no afecta a la licitud del tratamiento realizado hasta ese momento.

Consentimiento para el tratamiento de datos de salud y de vida sexual: antes de que empieces a utilizar las funciones que requieren datos de salud o relativos a tu vida sexual, Luna te pide tu consentimiento explícito mediante una acción afirmativa clara — libre, específica, informada e inequívoca (art. 9.2.a) RGPD). La aceptación de las Condiciones de Uso o de esta Política de Privacidad no sustituye ese consentimiento explícito. Puedes retirarlo en cualquier momento; la retirada no afecta a la licitud del tratamiento realizado hasta entonces, pero puede impedir que sigas utilizando las funciones que requieren esos datos.


5. ASESORAMIENTO NUTRICIONAL Y DE ESTILO DE VIDA ASISTIDO POR IA («SOFÍA»)

Si utilizas la función opcional de asesoramiento por IA, tratamos —sobre la base de tu consentimiento expreso (art. 6.1.a) y art. 9.2.a) RGPD)— información relativa a la salud con el fin de ofrecerte consejos individuales de nutrición y estilo de vida adaptados al ciclo. Para ello, tu dispositivo transmite, según la función, determinados datos de salud y de perfil: categorías (p. ej. fase del ciclo, etapa vital, tipo de alimentación, alergias, enfermedades como categorías fijas, medicamentos como clases de principios activos, anticoncepción como categoría, objetivos, grupo de edad), valores resumidos (p. ej. síntomas frecuentes, promedios semanales de datos importados como el sueño, la frecuencia cardíaca en reposo, la variabilidad de la frecuencia cardíaca y la actividad) y mediciones concretas, como los valores hormonales junto con el número de días transcurridos desde la medición. Estos datos temporales relativos pueden permitir deducir el día natural correspondiente. Utilizamos la región o el lugar de residencia que hayas indicado en tu perfil para consejos y recetas regionales. El nombre, la dirección de correo electrónico y el identificador de usuario de tu cuenta no se transmiten al modelo de IA; los textos del diario y los nombres de preparados o marcas de tus registros no se incorporan automáticamente. El tratamiento por el modelo se realiza a través de Amazon Web Services (AWS Bedrock), con modelos Claude de Anthropic, en regiones de AWS dentro de la UE; no se produce ninguna transferencia del contenido a EE. UU. AWS no conserva las entradas de forma permanente ni las utiliza para entrenar los modelos de IA.

Si escribes a Sofía en el chat, se transmiten además como texto libre tu mensaje y hasta cinco mensajes anteriores de la conversación, incluidas respuestas previas de Sofía; los mensajes muy largos se acortan. Antes de reenviarlos a AWS, un filtro automático en nuestros servidores sustituye en tus propios mensajes determinadas direcciones de correo electrónico, números de teléfono e IBAN detectados. El filtro no elimina todos los datos personales: lo que escribas tú, como nombres, fechas o información sobre tu salud, puede formar parte del mensaje transmitido. Tus consultas se reenvían de forma legible a través de nuestros servidores, pero no se almacenan en ellos; tu historial de chat solo lo guardamos cifrado en tu dispositivo, hasta que lo borres en el chat. Para garantizar la calidad de las respuestas de la IA, por cada consulta del chat guardamos un registro de control sin el contenido de la conversación y sin datos de salud (p. ej. idioma, número de datos sustituidos, indicios de promesas de salud no permitidas), que puede vincularse a tu cuenta mediante un identificador seudónimo. La base jurídica es nuestro interés legítimo en una función de IA segura y verificable (art. 6.1.f) RGPD); puedes oponerte en cualquier momento. Los registros se suprimen a los 90 días.

Luna y Sofía sirven exclusivamente a fines de bienestar, estilo de vida y autoobservación. No están destinadas al diagnóstico, tratamiento, prevención ni predicción de enfermedades. Sofía es un sistema asistido por IA; las respuestas se generan de forma automatizada y pueden ser incompletas, inexactas o inadecuadas para tu situación individual. Sofía no sustituye el asesoramiento médico, psicológico ni nutricional.

No se produce ninguna decisión basada únicamente en el tratamiento automatizado en el sentido del art. 22 RGPD que produzca efectos jurídicos sobre ti o te afecte significativamente de modo similar. Las predicciones, indicaciones y respuestas de IA sirven exclusivamente a la autoobservación y al apoyo al bienestar.


6. USO DE TUS DATOS

Tus datos de contacto (dirección de correo electrónico) no se comunican en ningún caso a terceros. Tratamos datos de uso y datos técnicos para prestar y mejorar la funcionalidad de la app, identificar y resolver problemas y garantizar la estabilidad y la seguridad de los servicios. Para el desarrollo continuo, recabamos y analizamos comentarios y datos de uso de forma agregada.

• Cumplimiento de obligaciones contractuales: tratamos tus datos para cumplir nuestros contratos y garantizar el uso correcto de nuestros servicios.
• Atención al cliente: para prestarte soporte, tratamos tu nombre, tus datos de contacto, tu historial de comunicaciones y el contenido de tus solicitudes.
• Gestión de la cuenta: tratamos tu dirección de correo electrónico y tus credenciales de acceso para autenticar tu cuenta y proporcionarte un acceso seguro.
• Cumplimiento de disposiciones legales: tratamos tus datos para cumplir obligaciones legales, fiscales y contables.

Notificaciones: los recordatorios (p. ej. de eventos de ciclo o de toma) se programan y se activan exclusivamente de forma local en tu dispositivo. No operamos ningún servicio de notificaciones push externo para ello ni almacenamos tokens push; no obstante, los ajustes de los recordatorios de medicamentos se sincronizan con tu cuenta (véase el apartado 4). Puedes desactivar las notificaciones en cualquier momento en la app o en los ajustes del sistema de tu dispositivo.

Importación de salud (Apple HealthKit / Google Health Connect): si activas esta función opcional, importamos señales de salud pasivas (p. ej. sueño, frecuencia cardíaca en reposo, temperatura corporal) como resúmenes cifrados con el fin de mejorar la información sobre el ciclo (art. 9.2.a). La autorización puede revocarse en cualquier momento en los ajustes del dispositivo.

Función de código de barras (Premium): al escanear opcionalmente el código de barras de un producto, solo se transmite el número de código de barras (EAN) a través de nuestro servidor a la base de datos de productos Open Food Facts para consultar el nombre del producto. En el proceso no se transmiten datos de salud ni identificador de usuario.

Sin localización por GPS: Luna no registra la ubicación de tu dispositivo (GPS). Utilizamos la región o el lugar de residencia que indiques en tu perfil para consejos y recetas regionales (véase el apartado 5). En la búsqueda de lugares opcional (p. ej. búsqueda de ciudad), solo se transmite el término de búsqueda que introduces, a través de nuestro servidor, al servicio de mapas Nominatim (OpenStreetMap). Determinamos tu región a efectos de protección de datos a partir de la región del dispositivo configurada (código de país), no de tu ubicación exacta.


7. SUPRESIÓN DE LOS DATOS Y PLAZO DE CONSERVACIÓN

Tus datos personales se suprimirán o se limitará su uso tan pronto como deje de existir la necesidad de conservarlos. No obstante, podrán conservarse durante más tiempo cuando así lo exija la legislación de la UE o nacional aplicable.

Cuando eliminas tu cuenta (Ajustes → Cuenta → Eliminar cuenta permanentemente), tus datos se retiran de inmediato de los sistemas activos. Las copias residuales en copias de seguridad técnicas cifradas se eliminan en un plazo de 7 días en el marco del ciclo de copias de seguridad rotativo. Un registro interno de supresión garantiza que los datos suprimidos entretanto no vuelvan a aparecer aunque se restaure una copia de seguridad.

Cuentas sin inicio de sesión: si no inicias sesión durante 24 meses, eliminamos tu cuenta y los datos asociados. Antes de la supresión te avisamos por correo electrónico a la dirección registrada — 30 días y de nuevo 7 días antes. Cada inicio de sesión reinicia el plazo.

Prueba de los consentimientos: al eliminar tu cuenta, el registro de tus consentimientos (documento, versión, fecha, idioma, versión de la app) se conserva bloqueado y seudonimizado — sin tu correo electrónico ni tu identificador de usuario en claro — durante cinco años, para poder acreditar que el consentimiento se obtuvo (art. 7.1 RGPD, art. 32 LOPDGDD). Transcurrido ese plazo se elimina definitivamente.

• Tratamiento basado en el consentimiento o en un interés legítimo: los datos se conservan hasta que declares su revocación u oposición o cese el interés legítimo.
• Datos contractuales: se conservan durante la duración de la relación contractual y, después, mientras existan obligaciones legales de conservación (p. ej. 10 años en virtud de disposiciones fiscales y mercantiles). Los justificantes de relevancia fiscal (p. ej. relativos al identificador de suscripción seudonimizado) se conservan en la medida legalmente exigida. Los datos de facturación/pago propiamente dichos residen exclusivamente en la tienda correspondiente (Apple/Google) y no en nosotros.


8. DATOS, COOKIES, ARCHIVOS DE REGISTRO Y TERCEROS

Cuando visitas nuestro sitio web o la APP, tu dispositivo transmite automáticamente datos de registro a nuestros servidores (p. ej. al iniciar sesión o al subir/descargar información). Datos de registro recabados: dirección IP del dispositivo, configuración del sistema, fecha y hora del acceso. Las direcciones IP se conservan hasta 7 días para detectar y prevenir ataques; después se eliminan o se anonimizan. Estos datos se tratan en los servidores de Hetzner Online GmbH (UE).

Cookies y almacenamiento local: la app en sí no utiliza cookies. El sitio web luna-femtech.com utiliza únicamente almacenamiento local técnicamente necesario (localStorage) para guardar tu elección de idioma; no utilizamos cookies de seguimiento, ni píxeles de conteo, ni analítica.

Encargados del tratamiento y subencargados: encontrarás información detallada sobre la comunicación de datos a nuestros encargados del tratamiento y subencargados en nuestra lista siempre actualizada en www.luna-femtech.com/sub.


9. TUS DERECHOS

Conforme al RGPD tienes los derechos de acceso (art. 15), rectificación (art. 16), supresión (art. 17), limitación (art. 18), oposición (art. 21), portabilidad de los datos (art. 20), revocación del consentimiento (art. 7.3) y a presentar una reclamación ante una autoridad de control.

Puedes iniciar el acceso y la exportación (art. 15/20) directamente en la app (Mi espacio → Datos → Descargar Mis Datos; exportación en JSON legible por máquina). La supresión se realiza de inmediato en Ajustes → Cuenta → Eliminar cuenta permanentemente. Se registra la prueba de los consentimientos otorgados; cuando cambian las versiones de las políticas, se recaba un nuevo consentimiento.

Para ejercer estos derechos puedes dirigirte al Delegado de Protección de Datos (dpdcadiz@prodat.es) o a privacy@icoso.es. Tu solicitud debe permitirnos verificar tu identidad; solo pediremos documentación adicional cuando sea necesario para evitar que otra persona acceda a tus datos.

a) Derecho de acceso: puedes obtener en cualquier momento, de forma gratuita, información sobre los datos personales que conservamos sobre ti, así como una copia de dichos datos.
b) Derecho de rectificación: puedes solicitar la rectificación de datos inexactos o incompletos.
c) Derecho de supresión: puedes solicitar la supresión de tus datos personales cuando no exista otra base jurídica para el tratamiento.
d) Derecho de limitación del tratamiento: puedes solicitar la limitación del tratamiento de tus datos.
e) Derecho de oposición: puedes oponerte en cualquier momento al tratamiento basado en intereses legítimos.
f) Derecho a la portabilidad de los datos: puedes recibir los datos que nos has facilitado en un formato de uso común y transmitirlos a otros prestadores de servicios.
g) Derecho a revocar el consentimiento: puedes revocar tu consentimiento en cualquier momento con efecto para el futuro (véase el apartado 4).
h) Derecho de reclamación: tienes derecho a presentar una reclamación ante una autoridad de control. La autoridad de control competente es la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid, España, www.aepd.es. Con independencia de ello, también puedes dirigirte a la autoridad de control de tu lugar de residencia habitual o de trabajo.


10. BASE JURÍDICA DEL TRATAMIENTO DE DATOS

Las operaciones de tratamiento se basan en las siguientes bases jurídicas conforme al RGPD:
• Ejecución de un contrato (art. 6.1.b): el tratamiento es necesario para ejecutar un contrato contigo o para aplicar medidas precontractuales.
• Consentimiento (art. 6.1.a; para los datos de salud, art. 9.2.a): cuando nos otorgas tu consentimiento expreso, podemos tratar tus datos para los fines acordados.
• Intereses legítimos (art. 6.1.f): seguridad y prevención del fraude, estabilidad y mejora técnica de los productos, servicios y app, siempre que no prevalezcan tus derechos y libertades fundamentales.
• Obligación legal (art. 6.1.c): cumplimiento de disposiciones legales, fiscales y contables.


11. COMUNICACIÓN Y TRANSFERENCIA DE TUS DATOS A TERCEROS

Para cumplir obligaciones legales, podemos comunicar datos a organismos públicos, autoridades judiciales u otros organismos oficiales. Los encargados del tratamiento y subencargados actúan como encargados del tratamiento y deben disponer de medidas de protección adecuadas.

El alojamiento y el tratamiento de texto por parte de Sofía se realizan dentro de la UE. Una transferencia a EE. UU. se produce exclusivamente hacia OpenAI (generación de imágenes; solo términos de búsqueda), RevenueCat (identificador de suscripción seudonimizado) y Apple/Google (pago), en cada caso con garantías mediante Cláusulas Contractuales Tipo de la UE. Los detalles figuran en la lista de subencargados (www.luna-femtech.com/sub).


12. ACTUALIZACIONES E IDIOMA DEL CONTRATO

Nos reservamos el derecho de actualizar esta Política de Privacidad de vez en cuando, sobre todo para adaptarla a cambios legales. La versión vigente en cada momento se publica en www.luna-femtech.com/data y entra en vigor con su publicación. En caso de discrepancias entre el texto alemán y el texto español, prevalece la versión española debido al lugar de prestación del servicio.


13. AVISOS LEGALES Y CONDICIONES DE USO

En nuestras Condiciones de Uso (www.luna-femtech.com/terms) encontrarás toda la información legal, así como el aviso legal. El uso de Luna requiere una edad mínima de 16 años. Los términos personales se refieren a todos los posibles géneros, orientaciones, formas jurídicas o entidades.