Esta política explica qué datos personales recogemos cuando usas Trenio, para qué los usamos, con quién los compartimos y qué derechos tienes sobre ellos. Trenio trata datos de salud (categoría especial RGPD) y toma decisiones automatizadas para generar tu plan de entrenamiento; ambos puntos se desarrollan en secciones propias. Si algo no queda claro, escríbenos a hola@trenio.es.
1. Responsable del tratamiento
El responsable del tratamiento de tus datos personales es Trenio, persona física titular de Trenio, que es el nombre comercial con el que se presta el servicio. Para cualquier asunto de protección de datos puedes escribir a hola@trenio.es o por correo postal a [PENDIENTE: domicilio completo del titular]. El resto de datos identificativos (NIF) figuran en el aviso legal. No hemos designado delegado de protección de datos porque no estamos obligados a ello.
2. Qué datos recogemos
Cuando creas una cuenta y usas Trenio, almacenamos las siguientes categorías de datos personales:
- Datos de cuenta: email, contraseña (cifrada con Argon2id, nunca en claro), nombre que elijas, idioma y zona horaria.
- Datos del perfil deportivo: fecha de nacimiento, sexo biológico, altura, peso, umbrales fisiológicos (FTP, VDOT, LTHR, CSS), nivel de experiencia y objetivos de entrenamiento.
- Datos de actividad: actividades importadas desde las integraciones que conectes (potencia, frecuencia cardíaca, GPS, ritmos, tiempos), métricas derivadas (TSS, NP, IF, CTL, ATL, TSB, ACWR).
- Datos de wellness: respuestas a la encuesta diaria (sueño, energía, agujetas, percepción) si decides cumplimentarla.
- Registro del entrenamiento (solo si das tu consentimiento específico, sección 3): cuando no tenemos la actividad de una sesión clave, si la hiciste (completa, en parte o no), cómo te sentó, tu esfuerzo percibido (1-10) y si te queda alguna molestia, con su zona e intensidad.
- Conversaciones con el asistente: mensajes que envías al chat de Trenio y respuestas generadas, junto con metadatos técnicos (tokens consumidos, herramientas invocadas).
- Memoria derivada del asistente: Trenio mantiene un resumen estructurado de lo que has comunicado al asistente a lo largo del tiempo (incluida cualquier información de salud que hayas compartido), para orientar futuras respuestas. Forma parte de tus datos personales y puedes solicitar su consulta, rectificación o supresión específica (sección 8).
- Feedback del producto: contenido que envías a través del botón de feedback (tipo, mensaje, pantalla desde la que se envía, user-agent).
- Eventos de uso: registros internos de las acciones que realizas en la aplicación (p. ej. completar onboarding, generar plan semanal), usados para entender cómo se usa el producto. Solo se registran si aceptas la analítica de uso; si la rechazas no se recogen y no se crea ningún identificador de analítica para ti.
- Tus decisiones sobre cookies: el estado (aceptado o rechazado) y la fecha de cada cambio. Lo conservamos como prueba de tu consentimiento, no para analizar tu comportamiento.
- Atribución del registro: si aceptaste la medición de publicidad, los cinco parámetros de campaña del anuncio por el que llegaste (utm_source, utm_medium, utm_campaign, utm_content, utm_term).
- Datos técnicos: dirección IP, navegador, fecha y hora de acceso, errores del servidor y errores del navegador. Los conservamos por seguridad durante un máximo de 90 días.
Cuando conectes integraciones con terceros (como intervals.icu), almacenaremos también los tokens cifrados de OAuth y las actividades y datos de wellness que esa plataforma comparta contigo. Te lo indicamos explícitamente antes de autorizar cada conexión.
3. Datos relativos a la salud (categoría especial)
Dado que Trenio es un servicio de optimización del entrenamiento deportivo, trata varias categorías de datos que conforme al artículo 9 del RGPD se consideran «categoría especial» relativos a la salud. Esta sección describe qué tratamos, por qué, y qué control tienes sobre ello.
Categorías que tratamos:
- Métricas fisiológicas importadas o introducidas: frecuencia cardíaca en reposo y máxima, umbrales de frecuencia cardíaca, potencia umbral funcional (FTP), VDOT, ritmo umbral de carrera (LTP), variabilidad de la frecuencia cardíaca (HRV), peso, y estimaciones derivadas de tus actividades.
- Resultados de pruebas que decidas compartir: pruebas de esfuerzo, lactato, ergometrías, analíticas de sangre, evaluaciones médico-deportivas. Los compartes voluntariamente; no los exigimos.
- Información de perfil que proporcionas: sexo biológico, fecha de nacimiento, estado actual de entrenamiento (regreso tras una lesión, embarazo, recuperación tras un evento médico, medicación que pueda afectar al entrenamiento).
- Contenido de tus conversaciones con el asistente IA: cualquier información médica, síntomas, restricciones o instrucciones que comuniques por chat.
- Memoria derivada que el asistente mantiene a partir de esas conversaciones.
Finalidades: generar y adaptar tu plan de entrenamiento, calcular zonas y carga, prestar las respuestas del asistente, evaluar tu rendimiento y mejorar las capacidades del producto.
Base jurídica. Tratamos estas categorías sobre la base de tu consentimiento explícito conforme al artículo 9.2.a) del RGPD, prestado cuando completas el onboarding y aceptas esta política junto con los términos de servicio. Puedes retirar dicho consentimiento en cualquier momento escribiendo a hola@trenio.es; la retirada no afecta a la licitud del tratamiento realizado antes de ella.
Registro del entrenamiento. Es un tratamiento aparte, con su propio consentimiento explícito (artículos 6.1.a y 9.2.a del RGPD), que se te pide en la propia aplicación antes de la primera pregunta y que es distinto de la aceptación de esta política y de los términos. Recoge si hiciste una sesión clave, cómo te sentó, tu esfuerzo y tus molestias (datos de salud). Su única finalidad es guardarlo en tu historial para que puedas consultarlo y corregirlo: no cambia tu plan, no marca sesiones como hechas, no se usa para elaborar tu perfil y no se comunica a nadie. Si no das el consentimiento no se guarda nada y el resto de Trenio funciona igual. Puedes retirarlo cuando quieras en Cuenta, con el mismo esfuerzo con que lo diste: dejamos de preguntarte y tus respuestas dejan de estar disponibles (ver sección 10). Guardamos la fecha, la versión y una huella del texto que aceptaste como prueba de tu decisión. Este consentimiento solo cubre el registro del entrenamiento.
Aclaración de alcance importante. Trenio trata los datos relativos a la salud para informar sus recomendaciones de entrenamiento, no para proporcionar garantías de seguridad médica. Los algoritmos de Trenio no están diseñados para reconocer, respetar ni hacer cumplir restricciones médicas específicas que comuniques. El alcance de la responsabilidad de Trenio respecto de las restricciones médicas se establece en la sección 4 (disclaimer médico) de los términos de servicio.
4. Para qué usamos tus datos
- Prestar el servicio: calcular tu carga de entrenamiento, recomendar la sesión del día, generar plan semanal, mostrar gráficas y permitirte conversar con el asistente.
- Autenticación y seguridad: gestionar tu sesión, prevenir accesos no autorizados, detectar y mitigar abuso (rate limiting, fraude).
- Comunicaciones operativas: enviar encuesta diaria de wellness por email (opcional), notificaciones críticas de cuenta (recuperación de contraseña, alertas de seguridad).
- Mejora del servicio: análisis agregados del uso del producto, triaje del feedback que envías y diagnóstico de errores (Sentry).
Nunca vendemos tus datos a terceros, ni los usamos para entrenar modelos de IA propios o ajenos, ni para publicidad. Si algún día cambiase algo de esto (no es nuestra intención), te lo notificaríamos con antelación y necesitaríamos tu consentimiento explícito.
5. Base legal del tratamiento
- Ejecución del contrato (art. 6.1.b RGPD): para prestarte el servicio que has contratado al crear la cuenta.
- Consentimiento explícito (art. 9.2.a RGPD): para los datos de categoría especial relativos a la salud descritos en la sección 3, y para conectar integraciones con terceros. Puedes retirarlo en cualquier momento.
- Interés legítimo (art. 6.1.f RGPD): para mantener la seguridad del servicio (logs técnicos, detección de abuso), diagnosticar errores y hacer análisis agregados anónimos.
6. Decisiones automatizadas y elaboración de perfiles
Trenio utiliza decisiones automatizadas, incluida la elaboración de perfiles deportivos, para prestar el servicio. Las principales decisiones que se adoptan sobre ti son:
- Generación y adaptación del plan de entrenamiento: una combinación de un motor metodológico determinista y razonamiento mediante modelos de lenguaje a gran escala (LLM) decide, sobre la base de tus datos deportivos y de salud, qué sesiones programar y con qué duración, intensidad, zona y frecuencia.
- Respuestas del asistente IA: las réplicas conversacionales, los mensajes proactivos y las recomendaciones se generan mediante sistemas basados en LLM.
- Clasificación de tu nivel y carriles: Trenio asigna un nivel de experiencia y un modo de visualización del dashboard sobre la base de los datos importados y las respuestas de onboarding.
- Evaluación de rendimiento y carga: tras cada sesión los algoritmos actualizan tus métricas (CTL, ATL, TSB, ACWR) y tu estado de forma.
Importante: las decisiones automatizadas de Trenio NO incluyen determinaciones de seguridad médica. Los algoritmos no evalúan si una sesión es segura para ti en función de cualquier condición médica o restricción profesional que puedas tener. Esto se desarrolla en la sección 4 de los términos de servicio.
Tus derechos en relación con las decisiones automatizadas: tienes derecho a (i) obtener intervención humana respecto de las decisiones descritas, (ii) expresar tu punto de vista y (iii) impugnar la decisión. Envía estas solicitudes a hola@trenio.es; responderemos en el plazo de un mes.
7. Estás interactuando con un sistema de IA
Las respuestas, recomendaciones y mensajes proactivos generados por el chat de Trenio son producidos por tecnología de modelos de lenguaje a gran escala (Anthropic Claude) en combinación con los componentes deterministas del motor metodológico. No hay un entrenador humano respondiéndote. Trenio identifica claramente al asistente como sistema de IA en su interfaz.
Las respuestas de un sistema de IA pueden no ser siempre precisas, completas o actualizadas. No son consejo médico, dietético ni profesional, y no debes confiar exclusivamente en ellas para tomar decisiones sobre tu salud, condición física, nutrición o medicación. En caso de duda, consulta a un profesional cualificado.
De conformidad con el Reglamento (UE) 2024/1689 (Reglamento de IA de la UE), Trenio no está diseñado para explotar vulnerabilidades derivadas de tu edad, condición física o estado médico con el fin de distorsionar materialmente tu comportamiento de un modo que pueda causarte daño físico o psicológico.
8. Tus derechos
El RGPD te reconoce los siguientes derechos sobre tus datos personales. Puedes ejercerlos en cualquier momento escribiéndonos a hola@trenio.es:
- Acceso: solicitar copia de los datos que tenemos sobre ti.
- Rectificación: corregir datos inexactos o incompletos.
- Supresión («derecho al olvido»): borrar tu cuenta y todos los datos asociados.
- Limitación del tratamiento: pausar el uso de tus datos durante una disputa.
- Portabilidad: recibir tus datos en formato estructurado (CSV/JSON) para llevártelos a otro servicio.
- Oposición: oponerte al tratamiento basado en interés legítimo.
- Retirada de consentimiento: revocar consentimientos previos en cualquier momento, sin que afecte a la legalidad del tratamiento anterior. El consentimiento de cookies y medición puedes retirarlo tú mismo, sin escribirnos, desde el control que hay al final de la sección 11 de esta página y en Cuenta → Privacidad.
- Derechos relativos a decisiones automatizadas: ver sección 6.
- Eliminar la memoria del chat: además del derecho de supresión de tu cuenta, puedes solicitar específicamente la supresión de la memoria derivada que el asistente IA mantiene de tus conversaciones. La supresión surte efecto sin demora indebida; el historial de chat sin procesar subyacente se rige por el calendario de conservación de la sección 10.
Reclamación ante autoridad de control. Si consideras que no hemos atendido correctamente tu solicitud, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos ( aepd.es). En relación con los aspectos del servicio basados en inteligencia artificial, la autoridad competente en España conforme al Reglamento de IA de la UE es la Agencia Española de Supervisión de Inteligencia Artificial ( aesia.gob.es).
9. Con quién compartimos tus datos (subencargados)
Para prestar el servicio dependemos de los siguientes proveedores, que actúan como encargados o subencargados del tratamiento. Todos cumplen el RGPD y están sujetos a Acuerdos de Tratamiento de Datos (DPA):
- Hetzner Online GmbH (Alemania, UE) — hosting del servidor de aplicación y de la base de datos. Toda tu información reside físicamente en sus centros de datos en Nuremberg.
- Anthropic, PBC (Estados Unidos) — proveedor del modelo de lenguaje Claude que potencia el chat de Trenio. Cuando envías un mensaje al chat, su contenido se transmite a Anthropic para generar la respuesta. Anthropic se compromete a no usar los datos de su API para entrenar modelos y a retenerlos un máximo de 30 días para monitorización de abuso. Transferencia internacional cubierta por las Cláusulas Contractuales Tipo (SCC) de la UE.
- Resend, Inc. (sede en EE. UU., envío desde región UE — Frankfurt) — envío de correos transaccionales (recuperación de contraseña, encuesta wellness). Solo se les transmite tu email y el contenido del mensaje. Transferencia bajo SCC.
- Stripe Payments Europe, Ltd. (Irlanda, UE) — procesamiento de pagos de las suscripciones. Cuando te suscribes, tus datos de pago (tarjeta) los recoge y trata directamente Stripe; Trenio no almacena el número completo de tu tarjeta, solo un identificador de cliente y el estado de tu suscripción. Stripe puede realizar transferencias a EE. UU. cubiertas por el Marco de Privacidad de Datos UE-EE. UU. y/o SCC.
- Functional Software, Inc. d/b/a Sentry (EE. UU., instancia de datos en UE — Frankfurt) — diagnóstico de errores y rendimiento. Se transmite información técnica sobre los errores (pila de llamadas, navegador, identificador interno) cuando ocurren. Sin contenido de tus mensajes ni datos deportivos. Transferencia bajo SCC.
- intervals.icu (David Lovett, Reino Unido) — integración opcional. Si decides conectar tu cuenta, autorizarás a Trenio a leer tus actividades y datos de wellness, y a publicar los entrenos planificados en tu calendario de intervals.icu. Tu token de acceso se almacena cifrado en nuestra base de datos.
- Meta Platforms Ireland Ltd. (Irlanda, UE) — medición de nuestra publicidad, solo si lo aceptas (sección 11.3). La usamos para saber qué anuncios funcionan y decidir en qué invertimos. Recibe dos flujos: el píxel de Meta desde tu navegador (el evento de visita, la dirección de la página, tu dirección IP y tu navegador, más las cookies _fbp y _fbc) y la Conversions API de Meta desde nuestro servidor, que le comunica tres hitos concretos —registro, primer plan generado y primera suscripción de pago— junto con tu dirección de email transformada en un hash SHA-256 y esas mismas cookies. Aplicar un hash a tu email no lo convierte en un dato anónimo: sigue siendo un identificador tuyo, pensado para que Meta pueda reconocerte entre sus usuarios. Por eso nada de esto se envía sin tu consentimiento.
- Plausible Insights OÜ (Estonia, UE) — medición de audiencia del sitio web sin cookies ni identificadores persistentes (sección 11.2). Los datos son agregados.
Mapa de tus actividades (OpenStreetMap). Cuando abres el mapa de una de tus actividades, tu navegador descarga las imágenes del mapa (teselas) directamente de los servidores de la OpenStreetMap Foundation (Reino Unido), que no es un encargado nuestro. Para servirlas, OpenStreetMap recibe tu dirección IP, los datos técnicos de tu navegador, el dominio de Trenio desde el que se piden y qué teselas se piden, es decir, la zona por la que pasa tu recorrido y el nivel de zoom. No le enviamos tu nombre, tu email ni tus datos de entrenamiento. Ese tratamiento se rige por la política de privacidad de la OpenStreetMap Foundation. Si no abres el mapa, no se descarga nada.
Tarjetas para compartir. Las imágenes para compartir una actividad, un logro o tu progreso se crean en tu dispositivo y solo se publican si tú decides compartirlas o descargarlas. No usan el mapa ni llevan coordenadas, horas, pulso ni metadatos de ubicación: el recorrido se dibuja como una forma sin calles, calculada en nuestro servidor, que oculta por defecto al menos 400 m alrededor de la salida, de la llegada y de los sitios desde los que sales a menudo. Esto reduce el riesgo, pero no es una anonimización garantizada: la forma de un recorrido puede reconocerse. Puedes ampliar la zona oculta o compartir la actividad sin trazado.
No compartimos tus datos con ningún otro tercero salvo que la ley nos obligue. En ese caso te lo notificaríamos cuando fuera legalmente posible.
Sobre Meta conviene una precisión. Para la medición de publicidad, Meta no se limita a tratar los datos siguiendo nuestras instrucciones: los usa también para sus propios fines. En ese tratamiento concreto —la recogida y la transmisión de los datos descritos arriba— Meta y Trenio compartimos responsabilidad, en los términos que fija el propio acuerdo de Meta para sus herramientas de medición. Lo que Meta haga después con esos datos por su cuenta y para sus propios fines se rige por sus condiciones y por su política de privacidad, y queda fuera de nuestra responsabilidad y de nuestro control.
10. Cuánto tiempo guardamos tus datos
Conservamos los datos personales únicamente durante el tiempo necesario para los fines para los que se recogieron, con los siguientes plazos por categoría:
- Historial de conversaciones con el asistente: mientras tu cuenta esté activa. Tras la eliminación de la cuenta, el historial se elimina de forma permanente en un plazo máximo de 30 días. Puedes solicitar la eliminación anticipada en cualquier momento.
- Memoria derivada del asistente: hasta que elimines tu cuenta, más un periodo de gracia de 30 días.
- Datos de perfil, de entrenamiento y de atribución del registro (planes, sesiones, métricas, zonas y los parámetros de campaña del anuncio por el que llegaste): hasta que elimines tu cuenta, más un periodo de gracia de 30 días. Revisaremos este plazo para los parámetros de campaña en cuanto dispongamos de la primera lectura longitudinal de nuestras campañas, para reducirlo si deja de ser necesario.
- Datos de actividad procedentes de integraciones: hasta que elimines tu cuenta o desconectes la plataforma, más un periodo de gracia de 30 días.
- Registro del entrenamiento: mientras mantengas tu consentimiento y tu cuenta. Si retiras el consentimiento, pides su supresión o eliminas tu cuenta (tras el periodo de gracia de 30 días): las respuestas que contestaste quedan bloqueadas 3 años, sin ningún uso y solo a disposición de jueces, tribunales y autoridades competentes por las responsabilidades que pudieran derivarse del tratamiento (artículo 32 de la LOPDGDD; las infracciones muy graves prescriben a los 3 años), y después se destruyen; las preguntas que descartaste con «Ahora no» se destruyen en el acto.
- Prueba de tus decisiones sobre el consentimiento del registro del entrenamiento (solo fecha, versión y huella del texto, sin datos de salud): tu última decisión, mientras exista tu cuenta; las anteriores, 3 años. Si eliminas tu cuenta, se destruye en la purga si nunca diste el consentimiento, o 3 años después si lo diste.
- Registros de facturación con relevancia fiscal (cuando exista facturación): plazo que exija la legislación tributaria española aplicable (mínimo 4 años por Ley General Tributaria).
- Eventos de uso (analítica de comportamiento): 12 meses desde que se registra cada evento; después se eliminan.
- Registro de tus decisiones sobre cookies: mientras el consentimiento o el tratamiento asociado siga vigente y, después, 3 años desde tu último cambio o desde el cierre de tu cuenta, lo que ocurra más tarde. Se conserva únicamente como prueba del consentimiento: no se usa para analítica de comportamiento ni para elaborar perfiles.
- Logs técnicos, telemetría de errores (Sentry, servidor, errores del navegador): 90 días.
- Backups cifrados de la base de datos: rotación máxima de 30 días. Los datos suprimidos desaparecen completamente de los backups dentro de ese plazo.
Si Trenio queda inactivo (no inicias sesión durante 24 meses consecutivos), eliminaremos tu cuenta y todos los datos asociados en un plazo máximo de 30 días tras avisarte previamente por email.
11. Cookies y tecnologías similares
11.1 Estrictamente necesarias. Usamos una cookie de sesión (trenio_session) que mantiene tu autenticación entre visitas. Es HttpOnly —el JavaScript de la página no puede leerla—, se marca como Secure en producción y usa SameSite=Lax. Sin ella no puedes usar tu cuenta, así que no requiere consentimiento previo (art. 22.2 LSSI). Guardamos también en el almacenamiento local de tu navegador tu decisión sobre cookies, para no volver a preguntártelo, y algunas preferencias de interfaz: qué avisos has cerrado, en qué paso de un asistente ibas. Esas preferencias no se comparten con nadie y no se usan para publicidad ni para analítica de comportamiento.
11.2 Medición de audiencia sin cookies. Usamos Plausible Analytics para saber cuánta gente visita el sitio y qué páginas ve. No instala cookies, no crea identificadores persistentes y no sigue a nadie entre sitios. Los datos son agregados.
11.3 Medición de nuestra publicidad (requiere tu consentimiento). Si lo aceptas, usamos tres cosas y solo tres:
- Una cookie propia (trenio_attr) que guarda únicamente los cinco parámetros de campaña de la dirección por la que llegaste. Dura siete días como máximo y se borra en cuanto creas tu cuenta, momento en el que esos cinco valores quedan asociados a ella. No guarda tu recorrido de navegación, ni la dirección completa que visitaste, ni ningún identificador publicitario.
- El píxel de Meta, que se carga en tu navegador e instala las cookies _fbp y _fbc, de Meta Platforms Ireland Ltd.
- La Conversions API de Meta, que es medición desde nuestro servidor: comunica a Meta tres hitos del embudo (tu registro, tu primer plan generado y tu primera suscripción de pago) junto con tu dirección de email transformada en un hash SHA-256 y esas mismas cookies. Existe porque los bloqueadores de anuncios impiden que el píxel del navegador vea esos hitos. Aplicar un hash a tu email no lo convierte en un dato anónimo: sigue siendo un identificador tuyo, pensado para que Meta pueda reconocerte entre sus usuarios. Por eso está sujeto a tu consentimiento igual que el píxel, y la comprobación se hace en nuestro servidor inmediatamente antes de cada envío.
11.4 Analítica de uso del producto (requiere tu consentimiento). Si lo aceptas, guardamos en tu navegador un identificador aleatorio (trenio_telemetry_session_id) que nos permite agrupar las acciones de una misma visita, y registramos los eventos de uso de la sección 2. Si no lo aceptas, ese identificador no se crea —y si existía de antes, se borra—, no se registra ningún evento de comportamiento, y lo único que guardamos es información técnica necesaria para detectar y resolver errores, sin identificadores de analítica. Tampoco basta con que hayas iniciado sesión: sin tu consentimiento no hacemos analítica individual de tu comportamiento ni siquiera estando identificado.
11.5 Finalidad y base jurídica. La finalidad de 11.3 es medir la eficacia de nuestra publicidad para decidir en qué invertimos; la de 11.4, entender cómo se usa el producto para mejorarlo. En los dos casos la base jurídica es tu consentimiento (art. 6.1.a RGPD y art. 22.2 LSSI), libre y revocable. Lo descrito en 11.1 se ampara en la necesidad técnica del servicio y en nuestro interés legítimo (art. 6.1.f) para la seguridad. Rechazar 11.3 u 11.4 no limita en nada tu uso de Trenio.
11.6 Conservación. La cookie trenio_attr dura siete días o hasta que creas tu cuenta, lo que ocurra antes. Las cookies de Meta se rigen por la política de Meta. El identificador de 11.4 vive en tu navegador hasta que retires el consentimiento o borres los datos del sitio. Los plazos de los eventos de uso, de los parámetros de campaña asociados a tu cuenta y del registro de tus decisiones están en la sección 10.
11.7 Cómo retirar el consentimiento. Puedes cambiar tu decisión en cualquier momento, sin escribirnos, desde el control que hay justo debajo y desde Cuenta → Privacidad. Al retirarlo borramos la cookie de atribución, las cookies de Meta que hubiera en tu navegador y el identificador de analítica; el píxel deja de cargarse, dejan de enviarse hitos a la Conversions API y dejamos de registrar eventos de comportamiento. Los parámetros de campaña que ya estuvieran asociados a tu cuenta dejan de utilizarse para nueva medición individual. Guardamos la fecha y el sentido de cada cambio como prueba de tu decisión, con el plazo de la sección 10. La retirada no afecta a la legalidad del tratamiento anterior.
12. Seguridad
Aplicamos medidas técnicas y organizativas para proteger tus datos:
- Cifrado TLS 1.3 en todas las comunicaciones.
- Contraseñas almacenadas con Argon2id (nunca en texto plano).
- Tokens de integraciones de terceros cifrados con AES-256 en la base de datos.
- Servidor con acceso SSH key-only, firewall UFW, fail2ban y actualizaciones de seguridad automáticas.
- Acceso a la base de datos restringido al proceso de la aplicación. Sin acceso humano rutinario a datos personales.
- Backups cifrados con rotación periódica.
A pesar de estas medidas, ningún sistema es 100% seguro. Si detectáramos una brecha de seguridad que afectara a tus datos personales, te lo notificaríamos en un plazo máximo de 72 horas, y también a la AEPD cuando correspondiera.
13. Menores de edad
Trenio no está dirigido a menores de 16 años. No recopilamos a sabiendas datos personales de personas menores de 16 años. Si tienes conocimiento de que una persona menor ha proporcionado datos personales a Trenio, contáctanos para que podamos eliminar los datos sin demora indebida.
14. Transferencias internacionales
Algunos de nuestros subencargados (Anthropic, Resend, Sentry) están situados en Estados Unidos. Las transferencias se rigen por el Marco de Privacidad de Datos UE-EE. UU. (Decisión de Ejecución (UE) 2023/1795 de la Comisión) cuando el destinatario está certificado en el DPF, y por las Cláusulas Contractuales Tipo (SCC) junto con medidas suplementarias en los demás casos.
15. Cambios en esta política
Si modificamos esta política, publicaremos aquí la versión actualizada y cambiaremos la fecha del encabezado. Cuando el cambio sea relevante para ti —porque amplíe las finalidades del tratamiento, cambie la base jurídica o incorpore un nuevo destinatario de tus datos— te lo comunicaremos además por los medios que resulten adecuados en cada caso. Y si el cambio afecta a un tratamiento que depende de tu consentimiento, volveremos a pedírtelo: un consentimiento dado para un alcance no sirve para otro distinto.
16. Contacto
Para cualquier cuestión sobre esta política o el tratamiento de tus datos: