Política de Privacidad

Esta política explica qué datos personales recogemos en TuDocta, para qué los usamos, con qué base legal, cuánto los guardamos, con quién los compartimos y qué podés hacer al respecto.

Está escrita para que se entienda. Si algo no te queda claro, escribinos.

Lo esencial, en cinco líneas: usamos tus datos solo para que la app funcione —medir tus salidas, contarte tus pasos, armar el Ranking, la Comunidad y los Eventos, y darte las Doctas que ganaste—. No hay publicidad, no vendemos datos y no los compartimos con nadie para sus propios fines. Tus datos de salud y tu recorrido los ves solo vos, salvo lo que elijas mostrar. Podés borrar tu cuenta cuando quieras, desde la app o desde https://tudocta.com/borrar-cuenta. Y para cualquier cosa, soporte@tudocta.com.

1. Quién es el responsable de tus datos

TUDOCTA GROUP SAS, que opera bajo la marca TheBullGroove (TBG), es responsable del tratamiento de tus datos.

La dirección de contacto para todo lo relativo a tus datos es soporte@tudocta.com, publicada también en la pantalla "Privacidad y Términos" dentro de la aplicación.

2. Qué datos recogemos, para qué, y con qué base legal

Recogemos solo lo que la aplicación necesita para funcionar. Acá está todo, sin resúmenes.

2.1 Datos de tu cuenta

• Correo electrónico. Para crear tu cuenta, confirmarla, iniciar sesión y recuperar tu contraseña.
• Fecha de nacimiento. Para verificar que tenés 18 años o más y para ubicarte en una franja de edad del ranking. Guardamos la fecha y también la franja.
• Constancia de tu declaración jurada de edad. La fecha y la hora en que declaraste, bajo juramento, ser mayor de 18 años y que tus datos son veraces. Es la prueba de esa declaración: no pedimos documento, así que la constancia es lo que acredita que cumplimos con la restricción de edad.
• Constancia de lo que aceptaste. La fecha y la hora en que aceptaste los Términos y la Política de Privacidad, qué versión exacta de cada documento tenías a la vista, desde qué plataforma, y la fecha y la hora en que prestaste tu consentimiento para el tratamiento de tus datos de actividad física y de ubicación. Es la prueba de qué aceptaste y cuándo.
• Contraseña. No la vemos: se guarda cifrada por nuestro proveedor de autenticación.

*Base legal: ejecución del contrato (necesitamos esto para darte el servicio) y cumplimiento de la restricción de edad.*

2.2 Datos de tu perfil

• Nombre, nombre de usuario (@usuario), foto de perfil, categoría (por ejemplo, Corredor) y los deportes que elegís, género (opcional), y tus preferencias de privacidad y de notificaciones.
• Tu ciudad, la que elegís vos al crear la cuenta. Define en qué Ranking competís y si en tu ciudad se ganan Doctas. No la deducimos del GPS: la elegís vos y la podés cambiar.
• Tu peso, solo si lo cargás. Es opcional y no se pide en el registro: lo podés cargar desde Editar perfil, y lo usamos únicamente para calcular las calorías de tus salidas. No lo ve nadie más que vos, no entra en ningún ranking ni en ninguna decisión sobre Doctas.

*Base legal: ejecución del contrato. El género, el peso y la foto son opcionales y su base es tu consentimiento.*

2.3 Datos de actividad física y de salud

• Pasos, distancia y energía activa (calorías).

Los leemos de Apple Salud (HealthKit) en iOS y de Health Connect (de Google) en Android, siempre con tu permiso explícito, que podés revocar cuando quieras desde la configuración de tu teléfono. Durante una salida usamos además el sensor de movimiento del teléfono para contarte los pasos en vivo y para lo que se explica en el punto 2.5.

Tu Día: los pasos de tu día, hora por hora. La pantalla «Tu Día» te muestra los pasos que hiciste en el día. Para eso leemos de Apple Salud o de Health Connect tus pasos agrupados por hora —los que midieron tu teléfono y tus relojes— y guardamos en nuestros servidores, por cada hora del día, cuántos pasos fueron y si los midió el teléfono o un reloj. No contamos los pasos cargados a mano en Salud o en Health Connect: los descartamos en el teléfono y otra vez en el servidor. En las ciudades donde se ganan Doctas, los pasos del día suman un premio por escalones.

Para evitar que se inventen pasos, cada vez que el teléfono nos manda un bloque de pasos guardamos también un registro de control: cuándo llegó, desde qué plataforma y qué aparato, cómo se midió y si lo aceptamos o por qué lo rechazamos. Ese registro se borra a los 90 días (ver punto 5).

Frecuencia cardíaca. Si medís la salida con un reloj —un Apple Watch, un reloj con Wear OS o un Garmin— o con una banda o pulsera de pulso conectada a tu teléfono por Bluetooth, guardamos tu frecuencia cardíaca junto a esa salida: el promedio, el máximo y la serie de la salida, que es un valor por segundo mientras el sensor midió. El reloj lee además tus pasos y tu energía activa.

La usamos para cuatro cosas, y ninguna más: mostrártela a vos en el detalle de esa salida; calcular tus zonas de pulso y aprender cuál es tu frecuencia cardíaca máxima; calcular el reparto de intensidad de tu progreso; y, en una sesión que no mide distancia —un gimnasio, una clase—, servir de evidencia de que la sesión existió para que cuente para tu nivel.

Tu pulso lo ves solo vos. No lo ve tu equipo, no lo ve quien te sigue, no lo ve un comercio y no lo ve nadie desde afuera de la app: a cualquier otra persona le contestamos como si esa salida no tuviera pulso. Es un dato de salud y lo tratamos como tal.

Esto cambió en la versión 1.8, y te lo decimos de frente. Hasta la versión 1.7 de esta Política tu frecuencia cardíaca no llegaba a nuestros servidores: se mostraba en vivo en la pantalla del reloj y ahí terminaba. Desde la 1.8 se guarda con la salida, por los cuatro motivos de arriba. Si preferís que no se guarde, no le des a la app el permiso del sensor de tu reloj o no conectes la banda: la salida se registra igual, sin pulso, y no perdés ni una Docta por eso.

El teléfono solo no puede medirla. Sin un reloj y sin una banda no medimos tu frecuencia cardíaca en ningún momento.

Guardamos, por cada salida: el tipo de salida, los pasos, la distancia, la energía activa (calorías), la duración, la velocidad promedio y la velocidad máxima, el desnivel, la fecha y las Doctas acreditadas. Y si la salida tuvo un sensor de pulso, la frecuencia cardíaca que se describe más arriba.

Estos son datos sensibles y los tratamos como tales. Se usan exclusivamente para calcular tus Doctas, mostrarte tu actividad y armar los rankings, y —en el caso de la frecuencia cardíaca— para los cuatro usos que se listan más arriba y ninguno más. No los vendemos, no los compartimos con terceros para sus fines, y no los usamos para publicidad, marketing ni minería de datos. Lo que leemos de Apple Salud y de Health Connect se usa solo para darte las funciones de la app que se describen acá.

Escribir tus salidas en Salud o en Health Connect: solo si lo prendés. Por defecto no escribimos nada en la app Salud de tu iPhone ni en Health Connect: solo leemos. En Dispositivos, dentro de la app, está la opción «Enviar mis salidas a Salud» (en iPhone) o «Enviar mis salidas a Health Connect» (en Android). Viene apagada, y el permiso para escribir te lo pedimos recién cuando la prendés. Si la activás, al terminar cada salida guardamos ese entrenamiento: el tipo de actividad, la hora de inicio y de fin, la duración, la distancia y las calorías. El recorrido no se escribe nunca. Si medís la salida con el Apple Watch, el entrenamiento lo guarda el propio reloj en Salud con lo que el reloj midió durante la salida, que puede incluir tu frecuencia cardíaca.

Eso queda en tu dispositivo, bajo tu control y el de Apple o Google: no se copia a nuestros servidores ni se comparte con nadie. Podés apagar la opción cuando quieras y desde ese momento dejamos de escribir. Lo que ya quedó guardado es tuyo y lo borrás desde la app Salud o desde Health Connect.

*Base legal: tu consentimiento explícito, otorgado en el permiso del sistema operativo. Sin ese permiso la app no lee nada. Para la frecuencia cardíaca, tu consentimiento explícito al darle a la app el permiso del sensor de tu reloj o al conectar tu banda de pulso: sin eso no la medimos ni la guardamos. Para escribir en Salud o en Health Connect, además, tu consentimiento específico al activar esa opción: viene apagada, y sin activarla no escribimos nada.*

2.4 Ubicación

Tu ubicación se usa en estos momentos, y nunca fuera de ellos:

a) Durante una sesión que iniciás vos. Cuando tocás "empezar", la app usa el GPS para medir tu distancia y tu ritmo. El seguimiento continúa con la app en segundo plano, la pantalla apagada o el teléfono bloqueado mientras la sesión esté activa, porque si no no se podría medir una salida con el teléfono en el bolsillo. Se detiene al pausar, terminar o descartar la sesión.

En iPhone, para seguir midiendo con la pantalla bloqueada, te pedimos el permiso de ubicación «siempre» recién cuando ya empezaste una salida; si no lo das, la salida se mide igual mientras la app esté abierta. En Android no pedimos la ubicación en segundo plano: la medición sigue gracias a la notificación fija de la salida en curso.

Mientras eso pasa, siempre lo ves. No hay seguimiento silencioso: en iOS tu teléfono muestra el indicador de ubicación en uso arriba de la pantalla, y en Android queda una notificación fija que dice que estamos registrando tu salida. Si no ves ninguna de las dos, no te estamos siguiendo.

Mientras la sesión está en curso, tu recorrido se arma y se guarda en el dispositivo con el que estás midiendo —tu teléfono o tu reloj—, porque es lo que nos permite calcular la distancia y el ritmo mientras te movés. Si descartás la sesión en vez de guardarla, ese recorrido se borra del dispositivo y no se manda a ningún lado.

Si medís con un reloj. Podés medir la salida con tu teléfono o con un reloj: un Apple Watch, un reloj con Wear OS o un Garmin. El reloj arma la salida —el recorrido, el tiempo, la distancia, el desnivel y, si midió pulso, tu frecuencia cardíaca— y nos la manda. El detalle de cómo viaja está en el punto 2.6.

Con un Garmin, ese pase no es directo. El reloj no puede entregarle la salida a nuestra app por sus propios medios: el único camino que Garmin permite es a través de su app Garmin Connect, instalada en tu teléfono. Garmin Connect es de Garmin y se rige por su propia política de privacidad, que podés leer en https://www.garmin.com/es-ES/privacy/connect/. Si no la tenés instalada, la salida se queda guardada en el reloj hasta que la instales: no se pierde.

La ubicación es siempre opt-in, y sin permiso no medimos. No encendemos el GPS sin que le hayas dado el permiso de ubicación al sistema operativo —en el teléfono y, si lo usás, también en el reloj—, y lo podés quitar cuando quieras desde los ajustes de cada aparato. Sin ese permiso no hay recorrido, ni en el teléfono ni en el reloj.

De esa sesión guardamos en nuestros servidores la distancia, las velocidades, el punto donde arrancaste y el recorrido que hiciste (la traza del GPS). Si esa sesión corresponde a un evento, además llegan los puntos sueltos que se describen en el apartado b).

Desde la versión 1.5 tu recorrido llega a nuestros servidores, para que puedas ver en un mapa por dónde fuiste. Hasta entonces no llegaba. Se guarda simplificado: no cada punto que midió el GPS, sino la línea que resume por dónde pasaste. Y se borra al año de la salida (ver punto 5).

Tu recorrido es tuyo y, por defecto, no lo ve nadie más que vos. Desde el 25 de agosto de 2026 el mapa de tus salidas nace apagado: aunque compartas equipo con alguien, o esa persona te siga con tu aceptación, no ve por dónde fuiste salvo que vos actives *Mostrar mi recorrido*. Hasta esa fecha era al revés: se mostraba a esas personas salvo que lo escondieras. Si lo activás, quienes pueden verlo son —y siguen siendo— solo esas dos: las personas con las que compartís un equipo y las que te siguen con tu aceptación. Nunca lo ve un comercio, ni alguien sin ese vínculo con vos, ni nadie desde afuera de la app. Y vos siempre ves tu recorrido entero: los controles de acá abajo gobiernan lo que ven los demás.

Tenés tres controles sobre tu recorrido. Los tres se aplican en nuestros servidores, no en tu teléfono: eso significa que a quien mira tu salida no le llegan los tramos escondidos, ni siquiera para descartarlos.

• Esconder dónde arrancás y dónde terminás. Viene activado, con un radio de 300 metros: ningún tramo de tu recorrido que caiga dentro de esos 300 metros de tu punto de partida o de tu punto de llegada se le muestra a nadie. Podés cambiar el radio o desactivarlo.
• Zonas privadas. Podés marcar direcciones —tu casa, tu trabajo, donde quieras— y todo tramo que pase cerca queda escondido en todas tus salidas, no solo en una. Viene sin ninguna zona cargada: las elegís vos.
• Mostrar mi recorrido. Viene desactivado: por defecto, nadie más que vos ve el recorrido de ninguna de tus salidas. Si lo activás, tus compañeros de equipo y quienes te siguen con tu aceptación pasan a ver el mapa, y los otros dos controles se le siguen aplicando igual. Antes de activarlo te avisamos de algo que conviene saber: aunque recortemos el arranque y la llegada, ese recorte protege una salida a la vez, y alguien que vea varias de tus salidas puede cruzarlas y deducir aproximadamente de dónde salís. Podés volver a apagarlo cuando quieras.

Compartir una salida. Si tocás compartir una salida, la imagen con tu recorrido se arma en tu teléfono y se la pasás vos a la app que elijas. Aunque tengas *Mostrar mi recorrido* apagado, esa imagen lleva tu recorrido con el arranque, la llegada y tus zonas privadas ya recortados por el servidor. La imagen no se sube a nuestros servidores; si la guardás en tus fotos, la app solo agrega esa imagen y no lee tu galería.

b) Durante un evento en el que participás. Mientras un evento de movimiento está en curso, la app registra puntos de tu ubicación con su horario, para poder verificar en el servidor que estuviste en el punto de encuentro y que te moviste junto al grupo. Sin esa verificación no podemos acreditar las Doctas del evento. Estos puntos se borran a los 7 días de terminado el evento (ver punto 5).

c) Para mostrarte comercios cercanos. Si ya nos diste el permiso de ubicación, usamos tu posición del momento para calcular a qué distancia te queda un comercio y para poder ordenar los beneficios por cercanía. Esta lectura es puntual y en primer plano (con la app abierta), con precisión aproximada de unos 100 metros, y nunca abre sola el pedido de permiso: si no lo diste, simplemente no mostramos distancias. Para calcular las distancias, esa posición viaja a nuestro servidor junto con el pedido de la lista de beneficios, y el servidor no la guarda: la usa para ese cálculo y la descarta. En el teléfono queda unos minutos en memoria para no volver a pedirla a cada rato, y se borra al cerrar la app.

d) En la cita de tu grupo. Si tu grupo tiene una cita y tocás «Llegué», leemos tu posición una sola vez para comprobar que estás en el lugar. No guardamos tu posición: guardamos solo a cuántos metros del lugar estabas y a qué hora llegaste. Si administrás un grupo y tocás «Usar mi ubicación» para fijar el lugar de la cita, ese punto sí se guarda como el lugar del grupo, porque es lo que ven sus integrantes para llegar.

*Base legal: tu consentimiento explícito, otorgado en el permiso del sistema operativo, y ejecución del contrato para la verificación de asistencia a eventos y a las citas del grupo.*

2.5 Reconocimiento de movimiento y control de transporte

Durante una salida que iniciás vos, y solo mientras dura, la app usa el reconocimiento de actividad del teléfono —Core Motion en iPhone y Activity Recognition en Android, con el permiso de «Movimiento y actividad física»— y la del reloj, si medís con uno. Sirve para tres cosas: contar tus pasos, completar la distancia cuando el GPS pierde señal bajo techo, y reconocer si ibas a pie, en bici o en un vehículo, para que solo sumen Doctas los tramos hechos con tu propio cuerpo y no los que hiciste en colectivo, auto, moto, subte o tren.

Para eso guardamos, junto a la salida, una serie por minuto con lo que detectó el sistema en ese minuto (a pie, corriendo, en bici, en un vehículo, quieto o desconocido), los pasos, la cadencia, la velocidad y, si hubo un sensor, el pulso de ese minuto. La ves solo vos y nuestro sistema antifraude, que la cruza con el GPS para detectar, por ejemplo, minutos en vehículo dentro de una salida a pie o en bici, o un ritmo que no acompaña a los pasos.

No la usamos fuera de una salida, no la compartimos con nadie y no la usamos para publicidad. Dura lo que dure la salida: si borrás la salida o tu cuenta, se borra con ella.

*Base legal: tu consentimiento explícito, otorgado en el permiso de movimiento del sistema operativo, y nuestro interés legítimo en prevenir el fraude y proteger la economía de la app para el resto de los usuarios.*

2.6 Relojes

Podés usar TuDocta en un Apple Watch, en un reloj con Wear OS o en un Garmin. El reloj usa sus propios permisos —ubicación, sensor de pulso, movimiento— que le das en el reloj, y los podés quitar desde sus ajustes.

Cómo llega la salida del reloj. El Apple Watch y el reloj con Wear OS pueden mandarnos la salida por el teléfono o directo a nuestros servidores, por el camino que esté disponible: así no se pierde una salida si el teléfono no está cerca. El Garmin la manda siempre por el teléfono, a través de Garmin Connect (ver punto 2.4). Mientras la salida espera para ser procesada, la guardamos en una bandeja de entrada; una vez procesada, el contenido de esa bandeja se vacía y la salida queda guardada como cualquier otra.

El token del reloj. Para que el Apple Watch o el reloj con Wear OS puedan mandarnos la salida directo, tu teléfono —con tu sesión iniciada y después de verificar que el dispositivo es legítimo (ver punto 2.12)— le da al reloj un token: una clave al azar que el reloj guarda en su almacenamiento seguro. Ese token solo sirve para entregarnos salidas: no permite leer nada de tu cuenta ni acreditar Doctas. Nosotros no guardamos el token, solo una huella cifrada de él que no permite reconstruirlo. Vence a los 30 días, tu teléfono lo renueva solo, se anula cuando se emite uno nuevo y se revoca cuando cerrás sesión en el teléfono.

*Base legal: ejecución del contrato (registrar las salidas que grabás con tu reloj) y nuestro interés legítimo en la seguridad de la cuenta.*

2.7 Contenido que creás

• Comentarios, reacciones y alientos sobre actividades.
• Mensajes del chat de los grupos y de los clubes a los que pertenecés: el texto de cada mensaje, en qué conversación lo escribiste, cuándo, y si lo borraste. Son solo texto: el chat no admite imágenes ni archivos.
• Fotos: tu foto de perfil, la foto de una salida que elegís agregar, y las fotos de un grupo o de un club. Las podés sacar con la cámara o elegir de tu galería con el selector del sistema; la app no lee el resto de tu galería. Antes de procesar una foto la volvemos a codificar sin sus metadatos, de modo que no viaja el lugar donde la sacaste.
• Nombres y fotos de equipo o grupo, y lo que hacés en ellos: tu rol, las citas, los retos y las rachas.
• Clubes a los que pertenecés y tu rol en ellos.
• Eventos que creás: título, descripción, categoría, dirección y coordenadas del punto de encuentro, fecha y hora, cupo, distancia, visibilidad y criterios de segmentación. Las coordenadas del punto de encuentro se borran a los 30 días de terminado el evento (ver punto 5).
• Invitaciones que enviás y recibís, y anotaciones (RSVP) a eventos, partidos y clases, incluida la lista de espera y su orden.
• Historial de asistencia a eventos y el resultado de la verificación, y en los partidos, tu nivel en ese deporte.
• Denuncias que hacés: el motivo, el objeto denunciado y, si el motivo es "otro", un texto libre.
• A quién seguís y quién te sigue.
• Bloqueos que hacés.

Quién ve el chat. Los mensajes de un grupo o de un club los ven solo sus integrantes, dentro de la app. Los mensajes nuevos te llegan en vivo solo mientras tenés esa conversación abierta.

Moderación: filtro automático, denuncia y bloqueo. Todo el texto libre que se PUBLICA pasa por un filtro automático de moderación en nuestros servidores antes de publicarse: los comentarios, los alientos escritos, los mensajes del chat de grupos y clubes, el título y la descripción de un evento, el nombre de un equipo, tu nombre de usuario (@usuario) y tu nombre visible. Para los comentarios y los alientos, ese filtro usa un servicio externo de clasificación de contenido (ver punto 4); del resultado guardamos una puntuación y una etiqueta de categoría. Los demás —incluido el chat— se revisan íntegramente en nuestros servidores, sin que el texto salga a ningún tercero.

Las fotos de una salida y las fotos de un club también pasan por ese servicio externo antes de publicarse, y si el servicio no contesta, la foto no se publica. La foto de perfil y la del grupo no pasan por ese filtro automático; como todo lo demás, se pueden denunciar.

Cualquier contenido o persona se puede denunciar desde la app: una salida, un comentario, un mensaje del chat, la foto de una salida, un evento, el nombre o la foto de un grupo, un club o una foto del club, y un perfil. Un contenido con suficientes denuncias se oculta solo, de forma preventiva, hasta que nuestro equipo lo revisa. Y podés bloquear a una persona: desde ese momento no se ven entre ustedes, en ninguna de las dos direcciones, tampoco en los chats. Podemos suspender una cuenta que no respeta los Términos.

Lo que le escribís al equipo de moderación no pasa por ese filtro: ni el detalle de una denuncia ni el texto de una apelación. Son mensajes privados dirigidos a nosotros, no se publican en ningún lado y solo los ve nuestro equipo de moderación.

*Base legal: ejecución del contrato, y nuestro interés legítimo y obligación de moderar el contenido para mantener la comunidad segura y cumplir con las políticas de las tiendas de aplicaciones.*

2.8 Doctas, canjes y beneficios

Las Doctas son la moneda interna de TuDocta. No se compran ni se venden. Solo se ganan en las ciudades donde hay premios activos: por las salidas reales medidas en la app y por los pasos de Tu Día, y se canjean por beneficios en comercios adheridos. En el resto del país la app funciona igual, sin Doctas.

• Tus movimientos de Doctas (cuánto, por qué concepto, cuándo, cuándo vencen) y tu saldo.
• Tus canjes: qué beneficio, en qué comercio y sucursal, el código, el estado, cuándo se generó, cuándo vence, cuándo se usó y —si lo diste de baja— cuándo lo diste de baja, y el costo en Doctas.
• El detalle de qué Doctas usó cada canje: de qué tandas salieron y cuánto salió de cada una, y cuánto lleva usado cada tanda. Es lo que nos permite mantener tu saldo correcto y resolver un reclamo sin adivinar. Este detalle es interno: en la app vos ves el movimiento, no la contabilidad de atrás.
• La marca de que ya te avisamos que una tanda estaba por vencer, para no repetirte el mismo aviso.

El canje se valida en la web del comercio, no en la app. Antes de validar, el comercio consulta el código para ver qué tiene que entregar. En esa consulta ve el beneficio y su descripción, cuántas Doctas cuesta, si es un premio de evento, de qué local y de qué marca es el código, y hasta cuándo vale. No ve nada tuyo: ni tu nombre, ni tu usuario, ni tu foto, ni tu correo, ni el número de tu saldo, ni un solo dato de tu actividad. Si el código no se puede entregar, el comercio ve el motivo —por ejemplo, que ya se usó, que venció, que no hay stock o que no te alcanzan las Doctas— y nada más: el motivo, nunca el número.

Al validar un canje, el comercio adherido ve lo mínimo para validarlo. No le damos al comercio tus datos de salud, tu ubicación ni tu historial.

*Base legal: ejecución del contrato.*

2.9 Eventos, partidos y clases: qué ve quien organiza

Si te anotás a un evento, a un partido o a una clase, quien lo organiza ve en la lista de anotados tu @usuario, tu foto de perfil, tu nombre solo si elegiste mostrarlo, tu estado (anotado o en lista de espera, y tu lugar en ella) y un índice de asistencia que resume con qué frecuencia vas a lo que te anotás. Además, solo quien organiza ve si asististe y si faltaste sin avisar. En los partidos ve también tu nivel en ese deporte, para armar equipos parejos.

Quien organiza no ve tu correo, tu fecha de nacimiento, tu ubicación, tu recorrido, tu pulso, tu saldo de Doctas ni tus canjes. Tampoco ve dentro de la app los datos que cargaste en una inscripción paga por la web (ver punto 2.13).

*Base legal: ejecución del contrato (organizar el evento al que te anotaste).*

2.10 Lo que nos escribís por correo

Si nos escribís a soporte@tudocta.com —una consulta, un reclamo por un canje que el comercio no te entregó, un reclamo por algo que pasó en un evento— tratamos tu correo electrónico y el contenido de tu mensaje para poder resolverlo, y guardamos el registro del reclamo y de cómo se resolvió.

Para verificar un reclamo de canje contactamos al comercio con lo mínimo necesario: qué beneficio, qué código y cuándo se validó. No le damos al comercio tus datos de salud, tu ubicación ni tu historial de actividad.

*Base legal: ejecución del contrato y nuestro interés legítimo en atender reclamos y en controlar a los comercios adheridos.*

2.11 Notificaciones

• Un token de notificaciones push por cada dispositivo donde uses la app, con la plataforma (iOS o Android) y el modelo del dispositivo. Se borra de ese dispositivo al cerrar sesión.
• El historial de avisos de tu buzón dentro de la app.

Las notificaciones las usamos para avisarte de lo que pasa en tu cuenta, tus grupos, tus clubes y tus eventos. No mandamos publicidad por notificación. Las podés apagar desde la app o desde los ajustes del teléfono.

*Base legal: tu consentimiento (el permiso de notificaciones del sistema) y ejecución del contrato.*

2.12 Identificadores de dispositivo y antifraude

Para evitar que se falsee actividad y se farmeen Doctas, verificamos que la app corra en un dispositivo legítimo:

• En iOS usamos App Attest de Apple. Guardamos un identificador de clave del dispositivo, una clave pública, un contador y el recibo que entrega Apple. La clave la genera el hardware seguro del teléfono y no identifica a la persona ni permite rastrearla fuera de la app.
• En Android usamos Play Integrity de Google. Guardamos un identificador de dispositivo que genera la propia app y el resultado de la verificación de Google sobre el dispositivo, la app y su licencia.
• Guardamos también los desafíos de un solo uso de ese proceso, que vencen en 5 minutos.

Si el mismo dispositivo aparece en varias cuentas, lo tomamos como una señal de posible fraude. Estos identificadores no se usan para publicidad ni para seguirte fuera de la app.

*Base legal: nuestro interés legítimo en prevenir el fraude, y la protección de la economía de la app para el resto de los usuarios.*

2.13 Datos de tu inscripción a un evento pago

Si te inscribís a un evento pago desde nuestra web —como TuDocta Hyrox— pedimos datos que la app no necesita, porque son los que hacen falta para organizar ese evento.

De cada competidor (vos y, si te inscribís en dupla, tu compañero): nombre y apellido, género (lo usamos para confirmar que corresponde a la categoría que elegiste: individual, dupla mujer o dupla hombre), DNI, fecha de nacimiento, correo electrónico, teléfono, el nombre y el teléfono de un contacto de emergencia, el talle de remera, en qué categoría competís, y si usa iPhone o Android —con el correo de Google Play si es Android—, para poder identificarlo como el mismo usuario si más adelante usa la app. Guardamos también la constancia de que aceptaste el deslinde de responsabilidad y de que entendiste el aviso del apto médico, con la fecha y la hora exactas.

El apto médico es un dato de salud y lo tratamos como tal. No guardamos ningún certificado ni dato clínico: guardamos solo que cada competidor tildó "entiendo que sin apto médico no puedo competir", que es la constancia de haberlo entendido.

Si te inscribís en dupla, cargás vos los datos de tu compañero. Sos responsable de tener su autorización para dárnoslos. Los usamos para organizarlo junto con vos en la misma inscripción y para acreditarlo el día del evento. Tu compañero no acepta el deslinde en la web: lo firma en papel el día del evento.

Sos mayor de 18. Para inscribirte a un evento, cada competidor tiene que tener 18 años cumplidos al día del evento; lo comprobamos en el servidor con la fecha de nacimiento que cargaste, tanto la tuya como la de tu compañero.

El pago lo procesa Mercado Pago, no nosotros. Al pagar tu inscripción te llevamos a Mercado Pago, donde cargás los datos de tu tarjeta o el medio que elijas: nosotros nunca los vemos ni los guardamos. De la operación guardamos el monto, el estado (aprobado, rechazado, devuelto) y los identificadores que Mercado Pago le da a la orden y al pago, para poder confirmarte el lugar y resolver un reclamo o una devolución.

El captcha y el freno contra envíos repetidos. Para comprobar que quien llena el formulario es una persona, usamos Cloudflare Turnstile: al validarlo, tu dirección IP se le envía a Cloudflare como parte de esa verificación. Aparte, para frenar los envíos repetidos desde la misma conexión, guardamos tu IP, pero nunca en claro: la convertimos en un valor sin vuelta atrás antes de guardarla.

Para qué usamos todo esto: organizar el evento, confirmarte el lugar, acreditarte el día de la carrera, cobrar tu inscripción y, si corresponde, devolverte el dinero, y avisarte por correo sobre tu inscripción.

Cuánto lo guardamos: a los 30 días de terminado el evento le sacamos la identidad a tu inscripción —tu nombre, tu DNI, tus contactos y las constancias del deslinde y del apto médico se borran— y queda solo el registro de que existió la inscripción y el pago, sin poder decir de quién. Si nunca llegaste a confirmar tu inscripción por correo, ese registro se borra antes.

*Base legal: ejecución del contrato (organizar el evento al que te inscribiste) y, para el apto médico, tu consentimiento explícito.*

2.14 Lo que NO recogemos

Para que quede explícito:

• No recogemos tu número de teléfono en la app (la columna existe en la base y está sin uso). Solo lo pedimos en una inscripción paga por la web (punto 2.13).
• No recogemos ni procesamos datos de pago dentro de la app: ahí no se paga nada. Si te inscribís a un evento pago desde nuestra web, el pago se hace en Mercado Pago y nosotros no vemos ni guardamos los datos de tu tarjeta — el detalle está en el punto 2.13.
• No usamos tu micrófono ni grabamos audio.
• No usamos tu cámara salvo cuando tocás Sacar una foto: para tu foto de perfil o para la foto de una salida. Ahí se abre la cámara del teléfono para sacar esa foto: no grabamos video ni audio. La foto se sube solo si la confirmás. El permiso de la cámara te lo pedimos la primera vez que tocás ese botón, y lo podés quitar cuando quieras desde los ajustes del teléfono.
• No leemos tus contactos, tus archivos ni tus mensajes. Si agregás un evento a tu calendario, lo agrega el sistema: no leemos tu agenda.
• No te pedimos documento de identidad ni ninguna imagen de él: la edad la declarás vos.
• No usamos publicidad, ni analítica de terceros, ni herramientas de terceros para registrar errores, ni identificadores de publicidad, ni cookies de seguimiento.
• No hacemos seguimiento entre apps ni entre sitios, y no vendemos datos a nadie.
• No tomamos decisiones automatizadas con efectos jurídicos sobre vos. Las medidas automáticas que existen —marcar una sesión como sospechosa, no sumar Doctas por un tramo hecho en vehículo, ocultar preventivamente un contenido denunciado— son revisables por una persona y apelables.

Nuestros servidores registran direcciones IP de forma técnica y transitoria, como cualquier servicio de internet, a través de nuestro proveedor de infraestructura. No las guardamos en nuestras tablas ni las usamos para perfilarte.

3. Quién puede ver tus datos dentro de la app

• Tu @usuario, tu foto de perfil y tu categoría son visibles para el resto de la comunidad.
• Tu nombre lo ves siempre vos; podés elegir que los demás te vean solo por tu @usuario.
• Si tu perfil es privado (el valor por defecto), tu actividad, tus stats y tus insignias las ven solo las personas cuya solicitud aceptaste. Si lo hacés público, las ve cualquiera y te pueden seguir sin aprobación. En ningún caso se muestra tu ubicación ni el punto de inicio de tus salidas.
• En un equipo o grupo, los integrantes ven tus aportes de distancia, tus salidas en el feed del grupo y tus mensajes del chat.
• En un club, sus integrantes ven tus mensajes del chat del club y las fotos que subas al club.
• La foto de una salida la ven quienes pueden ver esa salida.
• En un evento, quién ve la lista de anotados depende de la visibilidad que eligió quien lo creó; lo que ve quien organiza está en el punto 2.9.
• Tus denuncias son anónimas para la persona denunciada.
• Nadie ve tu correo electrónico, tu fecha de nacimiento, tu peso, tu saldo de Doctas, tus canjes, tu frecuencia cardíaca, tus pasos por hora, tu serie de movimiento ni tus datos de salud en crudo.

4. Con quién compartimos datos

No hay publicidad en TuDocta y no vendemos ni alquilamos tus datos. Los compartimos únicamente con los proveedores necesarios para que la app funcione, que los tratan por nuestra cuenta y bajo obligación de confidencialidad:

Sobre el filtro automático: el texto de tu comentario o de tu aliento, y la foto de una salida o de un club, se envían a la API de moderación de OpenAI para clasificarlos. Se envía el contenido solo, sin tu nombre, tu @usuario ni tu identificador; la foto va vuelta a codificar, sin metadatos ni el lugar donde se sacó. Si el servicio falla o tarda demasiado, el contenido no se publica (preferimos no publicar antes que publicar sin filtrar).

Sobre los avisos de moderación: cuando una denuncia requiere revisión, nuestro equipo recibe un correo con el tipo y el identificador del contenido denunciado. No incluye ningún dato de quien denunció ni el texto libre de la denuncia.

Sobre los mapas: los mapas que ves dentro de la app los sirve Mapbox, con datos de OpenStreetMap y de sus colaboradores; el de la app del reloj con Wear OS lo sirve Google Maps, y el del Apple Watch, Apple MapKit. Para dibujar un mapa hay que pedirle a su proveedor las imágenes del área que estás mirando, así que esas coordenadas le llegan. La imagen la pide tu teléfono, no nuestro servidor, y queda guardada en tu teléfono hasta 30 días para no volver a pedirla. Lo que no le llega a ninguno es tu recorrido: la línea de por dónde fuiste la dibujamos nosotros encima del mapa, en tu propio dispositivo. El uso de Google Maps se rige además por los Términos Adicionales de Google Maps/Google Earth (https://maps.google.com/help/terms_maps/) y por la Política de Privacidad de Google (https://policies.google.com/privacy).

Sobre el buscador de direcciones: cuando buscás una dirección al crear un evento, el texto que escribís sale de nuestro servidor —no de tu teléfono— hacia Photon, el buscador de komoot, y hacia LocationIQ solo si el primero no contesta. Ninguno de los dos recibe quién sos, ni tu cuenta, ni la dirección de internet de tu teléfono.

Sobre las notificaciones: las notificaciones las enviamos a través del servicio de Expo, que se las pasa a Apple (en iPhone) o a Google Firebase (en Android) para que lleguen a tu teléfono.

Sobre Garmin: si grabás la salida con la app de TuDocta para relojes Garmin, esa salida viaja del reloj a tu teléfono a través de Garmin Connect, porque es el único camino que Garmin permite. No le mandamos datos a Garmin por nuestra cuenta: es su app la que nos entrega la salida que su reloj grabó, y esa salida pasa por ella.

Sobre el pago de tu inscripción: cuando pagás la inscripción a un evento te llevamos a Mercado Pago, donde completás el pago. No vemos ni guardamos los datos de tu tarjeta: de la operación solo recibimos la confirmación del estado, el monto y los identificadores que Mercado Pago le asigna.

Sobre el captcha del formulario de inscripción: usamos Cloudflare Turnstile para frenar el llenado automático del formulario. Al validarlo, tu IP se le envía a Cloudflare como parte de esa comprobación.

También podemos divulgar datos si la ley nos obliga o ante el requerimiento de una autoridad competente.

5. Cuánto tiempo guardamos tus datos

Guardamos cada dato mientras siga siendo necesario para el fin que motivó recogerlo, y lo destruimos cuando ese fin se agota. Es el principio de minimización y conservación limitada de la Ley 25.326: la ley no fija un plazo para cada dato, lo fija la finalidad. Estos son los plazos concretos que aplicamos:

• Datos de tu cuenta, perfil, actividad, Doctas y canjes: mientras tu cuenta esté activa. Si la eliminás, se borran (ver punto 6).
• Tus pasos por hora de Tu Día: mientras tu cuenta esté activa. Si la eliminás, se borran.
• El registro de control de los pasos de Tu Día: se borra a los 90 días de recibido.
• Tu foto de perfil (el archivo): mientras tu cuenta esté activa. Al eliminar tu cuenta se borra del almacenamiento, no solo del perfil. La foto de un equipo o grupo dura lo que dure el equipo: si el equipo se disuelve, se borra con él.
• La foto de una salida: dura lo que dure esa salida. Si la quitás, si borrás la salida o si eliminás tu cuenta, el archivo se borra del almacenamiento.
• Las fotos de un club: duran mientras sigan en el club. Si se cambian o se quitan, el archivo se borra del almacenamiento.
• Los mensajes del chat de grupos y clubes: mientras tu cuenta esté activa. Las conversaciones de una salida o de un evento se cierran a las pocas horas de terminado y se archivan a los 30 días. Si eliminás tu cuenta, tus mensajes se borran.
• El recorrido (la traza del GPS) de tus salidas: se elimina a los 365 días de la salida. La salida no se borra: quedan la distancia, el tiempo, el ritmo y las Doctas que ganaste, y sigue contando para tus rachas y tus insignias; lo que se destruye es el recorrido. Si eliminás tu cuenta, se borra con ella en el acto (ver punto 6).
• Tu frecuencia cardíaca (el promedio, el máximo y la serie): dura lo que dure la salida a la que pertenece. Si borrás esa salida, se borra con ella; si eliminás tu cuenta, se borra entera en el acto (ver punto 6). No la guardamos por separado ni la conservamos después de que la salida deje de existir.
• La serie por minuto del reconocimiento de movimiento: dura lo que dure la salida a la que pertenece, igual que la frecuencia cardíaca.
• El token del reloj: vence a los 30 días y se revoca al cerrar sesión. La salida que el reloj nos manda queda en la bandeja de entrada solo hasta que se procesa; después se vacía.
• Las imágenes de los mapas: quedan en tu teléfono hasta 30 días. No las guardamos en nuestros servidores.
• Puntos de ubicación registrados durante un evento: se eliminan a los 7 días de terminado el evento. Existen para verificar tu asistencia y acreditarte las Doctas; hecho eso, dejan de ser necesarios.
• Coordenadas del punto de encuentro de un evento: se eliminan a los 30 días de terminado el evento. El evento no se borra: queda en el historial con su nombre y la zona, pero sin la coordenada —deja de haber un punto en el mapa—. La coordenada existe para que la gente llegue al encuentro y para verificar la asistencia; cumplido eso, y pasado un plazo razonable para reclamos y denuncias, deja de ser necesaria y se destruye.
• Datos de tu inscripción a un evento pago: a los 30 días de terminado el evento le sacamos la identidad a tu inscripción —tus datos personales, tu contacto de emergencia y las constancias del deslinde y del apto médico se borran—, y queda el registro de que existió la inscripción y el pago, sin poder decir de quién. Si nunca confirmaste tu inscripción por correo, se borra antes de eso.
• Avisos del buzón: los leídos se borran a los 30 días; cualquier aviso, a los 90 días.
• Reclamos que nos escribís y su resolución: mientras sean necesarios para resolverlos y para controlar al comercio involucrado.
• Denuncias y decisiones de moderación: se conservan mientras sean necesarias para la seguridad de la comunidad y para poder demostrar que actuamos, incluso después de que la cuenta involucrada se dé de baja (ver punto 6).
• Desafíos de antifraude: 5 minutos.
• Códigos de canje: el código que generás en la app vence a los 10 minutos si no se usa. El código de un premio de evento dura 7 días, que es la vigencia del premio. Si das de baja un código antes de que el comercio lo valide, deja de servir en el acto; el canje queda en tu historial con la marca de la baja.
• Doctas: cada acreditación vence a los 60 días de haberse acreditado. El movimiento queda en tu historial para que puedas ver qué venció y cuándo.

6. Eliminar tu cuenta

Podés eliminar tu cuenta cuando quieras, sin pedírnoslo y sin explicaciones:

• Desde la app: Perfil → Ajustes → Eliminar mi cuenta.
• Desde la web: en https://tudocta.com/borrar-cuenta, también si ya no tenés la app instalada.
• O escribiéndonos a soporte@tudocta.com.

El borrado es inmediato, permanente e irreversible.

Se borra: tu cuenta y tu perfil, tus salidas y datos de actividad —incluidos tus recorridos, tu frecuencia cardíaca, tus pasos por hora de Tu Día y la serie de movimiento de tus salidas—, tus Doctas y movimientos, tus canjes, tus insignias y rachas, tus comentarios y reacciones, tus mensajes del chat de grupos y clubes, tus pertenencias a equipos, grupos y clubes, tus invitaciones y anotaciones, tus bloqueos, tus tokens de notificaciones, los tokens de tus relojes y tus registros de dispositivo. También se borran tus archivos: tu foto de perfil y las fotos de tus salidas se eliminan del almacenamiento, no solo de tu perfil.

Tus equipos no son un dato tuyo, y por eso no se borran solos:

• Si sos capitán y quedan otros integrantes, el equipo sigue en pie: la capitanía pasa a la persona que entró primero, que recibe un aviso. Vos dejás de figurar en él.
• Si eras el único integrante, el equipo se elimina, y su foto se borra del almacenamiento con él.
• La foto de un equipo que sigue en pie no se borra: es de las personas que lo integran, no tuya.

Las fotos que subiste a un club tampoco se borran solas: son del club, y quedan en él sin tu nombre.

Tus eventos: los que ya terminaron se conservan sin tu nombre, porque la asistencia verificada de quienes participaron es de esas personas y respalda las Doctas que ganaron; los que todavía no terminaron se cancelan y se avisa a los anotados.

Se conserva, y esta es la razón de cada cosa:

• Las denuncias que hiciste, pero sin tu identidad: se borra el vínculo con tu cuenta y quedan anónimas. Si desaparecieran, darse de baja sería la forma de borrar el rastro de denuncias falsas, y el contenido que denunciaste quedaría sin revisar.
• Las denuncias que otras personas hicieron sobre vos o tu contenido, y las decisiones de moderación asociadas. Son el registro de que actuamos, y las tiendas de aplicaciones nos exigen poder demostrarlo. Sin esto, darse de baja sería la forma de borrar los antecedentes.
• El libro de decisiones de moderación, que por diseño no se puede editar ni borrar.
• La constancia de tu declaración jurada de edad, mientras sea necesaria para acreditar que cumplimos con la restricción de edad.
• Datos mínimos que debamos conservar por obligación legal o para resolver disputas.

Lo que hayas escrito en Apple Salud o en Health Connect con la opción «Enviar mis salidas» queda en tu dispositivo, que es tuyo: lo borrás desde esas apps.

*Base legal de la conservación: cumplimiento de obligaciones y nuestro interés legítimo en la seguridad de la comunidad y en poder acreditar el cumplimiento ante las tiendas de aplicaciones.*

7. Tus derechos y cómo ejercerlos

Conforme a la Ley 25.326 de Protección de los Datos Personales de la República Argentina, tenés derecho a:

• Acceder a tus datos personales y saber qué tenemos sobre vos.
• Rectificarlos y actualizarlos si están mal o incompletos.
• Suprimirlos (eliminar tu cuenta, que podés hacer vos mismo desde la app o desde https://tudocta.com/borrar-cuenta en cualquier momento).
• Retirar tu consentimiento para los permisos de salud, ubicación, movimiento, cámara y notificaciones, cuando quieras, desde la configuración de tu teléfono o de tu reloj. El envío de tus salidas a Salud o a Health Connect se apaga desde la propia app, en Dispositivos.

Cómo: buena parte lo podés hacer solo desde la app —editar tu perfil, cambiar tu privacidad, revocar permisos, eliminar tu cuenta—. Para lo demás, escribinos a soporte@tudocta.com. Te respondemos dentro de los plazos de la ley.

La Ley 25.326 establece que el titular de los datos puede ejercer el derecho de acceso de forma gratuita a intervalos no inferiores a seis meses, salvo que acredite un interés legítimo.

Autoridad de control: si considerás que no atendimos tu reclamo, podés presentarlo ante la Agencia de Acceso a la Información Pública (AAIP), órgano de control de la Ley 25.326 en la República Argentina.

8. Menores de edad

TuDocta es solo para personas de 18 años o más. No está dirigida a menores, no la promocionamos entre menores y no recogemos a sabiendas datos de personas menores de 18 años.

Al registrarte declarás bajo juramento que tenés 18 años cumplidos y que tus datos son veraces, y guardamos la constancia de esa declaración con su fecha y hora. Además verificamos la edad en el servidor a partir de tu fecha de nacimiento: si indica que sos menor de 18, el registro no se completa. No pedimos documento: la fecha que cargás es tu declaración, y sos responsable por que sea cierta.

Si tomamos conocimiento de que un menor creó una cuenta, la eliminamos junto con sus datos. Si sos madre, padre o tutor y creés que un menor a tu cargo nos dio datos, escribinos y lo resolvemos.

9. Seguridad y dónde se guardan tus datos

Tus datos se alojan en la infraestructura de Supabase, con cifrado en tránsito y controles de acceso por fila en la base de datos, de modo que cada persona solo accede a lo suyo. Las fotos de perfil, de equipo o grupo, de salidas y de clubes van a un almacenamiento privado y se sirven con enlaces firmados y temporales, nunca con una URL pública.

Solo accedemos a tus datos en la medida necesaria para operar la aplicación, para moderar contenido denunciado y para resolver los reclamos que nos escribís.

Transferencias internacionales: nuestros proveedores (los del punto 4, entre ellos Supabase, Apple, Google, Expo, Mapbox, OpenAI y Resend) pueden alojar o procesar datos en servidores ubicados fuera de la Argentina, incluidos Estados Unidos y la Unión Europea. En esos casos exigimos que el proveedor mantenga niveles de protección adecuados y trate los datos únicamente por nuestra cuenta y según nuestras instrucciones.

Ningún sistema es infalible. Si ocurriera un incidente de seguridad que afecte tus datos personales, te lo vamos a informar.

10. Cambios en esta política y contacto

Podemos actualizar esta política. Llevamos un control de versiones, y la que rige es siempre la que la app te muestra en la pantalla "Privacidad y Términos" y la publicada en https://tudocta.com/privacidad. Cada vez que publicamos una versión nueva, la app te la muestra y te pide que la aceptes antes de seguir, y guardamos qué versión aceptaste y cuándo.

Responsable: TUDOCTA GROUP SAS, que opera bajo la marca TheBullGroove (TBG).

Para cualquier consulta sobre tus datos o para ejercer tus derechos, escribinos a soporte@tudocta.com.