Política de privacidad

Umbral es una app para registrar entrenamientos de fuerza y comidas. Está pensada para funcionar en tu iPhone: no hay cuentas, no hay registro, no hay publicidad y no se rastrea tu actividad entre apps o webs. Esta política explica qué datos salen del teléfono, cuándo, a quién y durante cuánto tiempo.

Responsable

Beñat Espiña Díaz, desarrollador de Umbral (persona física, España). Contacto: [email protected].

Lo que se queda en tu teléfono

Todo lo que registras se guarda solo en tu iPhone: entrenamientos, series, comidas, alimentos, objetivos, peso, medidas, fotos de progreso y ajustes. Umbral no tiene servidor donde guardar tus datos ni los sincroniza con iCloud. Si tienes activada la copia de seguridad de iOS (en iCloud o en tu ordenador), esos datos viajan dentro de la copia como los de cualquier otra app, cifrados y bajo tu cuenta de Apple; Umbral no tiene acceso a ella.

Pasos (Salud y podómetro). Si das permiso, Umbral lee tus pasos de la app Salud y del podómetro para mostrarlos en la app y en el widget. Solo los lee; no escribe en Salud y los pasos nunca salen del teléfono.
Cámara y fotos. La cámara se usa para escanear códigos de barras y fotografiar etiquetas y comidas; también puedes elegir imágenes de tu fototeca. Las fotos se procesan en el teléfono salvo en los casos descritos abajo.
Widget. El widget de pasos y la Actividad en Vivo del descanso leen datos que la app deja en el propio teléfono; no envían nada.

Al borrar la app se borra todo lo que guarda.

Lo que sale del teléfono

Solo en tres situaciones, y siempre porque tú has iniciado la acción:

1. Leer una etiqueta con IA. Cuando fotografías la etiqueta de un alimento (o eliges su foto de la fototeca), Umbral primero intenta leerla en el propio teléfono. Si con eso no consigue completar la ficha, envía esa foto (en JPEG, reducida a un máximo de 2048 px) al servidor de Umbral, que la reenvía a Google Gemini para extraer nombre, marca y valores nutricionales.

Antes de enviar nada a la IA (casos 1 y 2), Umbral te pide permiso la primera vez, con un aviso que explica qué se envía. Si dices que no, no se envía nada: la etiqueta se completa a mano y “Comer fuera” te lo vuelve a preguntar cuando lo uses. Puedes cambiar la respuesta cuando quieras en Ajustes → Tus datos.

2. Estimar una comida fuera de casa. Cuando usas “Comer fuera”, se envían la descripción que escribes y las fotos que añades (hasta 6), con la parte de cada plato que te comiste, al servidor de Umbral, que las reenvía a Google Gemini para estimar calorías y macros.

3. Buscar un código de barras. Cuando escaneas un código, el número del código se consulta directamente en Open Food Facts. Si no lo encuentra, se envía al servidor de Umbral, que lo consulta en upcitemdb para obtener al menos el nombre y la marca del producto.

En las peticiones al servidor de Umbral (casos 1, 2 y el segundo paso del 3) el teléfono incluye un identificador de instalación: el identificador de proveedor que iOS asigna a la app (cambia si borras y reinstalas Umbral). Sirve solo para limitar cuántas peticiones puede hacer cada instalación (por minuto, al día y, en la IA gratis, al mes) y proteger el servicio de abusos. No se usa para identificarte ni se combina con ningún otro dato.

Si tienes Umbral+, las peticiones a la IA (casos 1 y 2) incluyen además el justificante de compra firmado por Apple: qué plan es, sus fechas y su número de transacción. No lleva tu nombre, tu correo ni datos de pago. El servidor comprueba con él que la compra es auténtica y está en vigor, y cuenta cuánto se usa la IA al mes con ese número.

Umbral no envía tu nombre, correo, ubicación, datos de Salud, peso, entrenamientos ni tu diario de comidas. No hay analítica ni SDK de terceros dentro de la app.

Comprobación de la app auténtica (App Attest). Para que solo la app original, en un iPhone de verdad, pueda usar la IA (casos 1 y 2), Umbral usa App Attest, un servicio de Apple:

La primera vez, iOS crea en el chip de seguridad del iPhone (Secure Enclave) una clave propia de esta instalación, y el teléfono pide a los servidores de Apple que certifiquen que la clave pertenece a la app Umbral auténtica. Esa consulta sale del teléfono hacia Apple, que ve su dirección IP y se rige por su propia política de privacidad. La parte privada de la clave no sale nunca del chip.
El teléfono envía al servidor de Umbral ese certificado de Apple, que contiene la parte pública de la clave, el identificador de la app y un justificante de Apple, y no lleva tu nombre, tu correo ni tu ID de Apple.
Después, cada petición a la IA lleva el identificador de la clave y una firma hecha con ella sobre esa petición, con un contador que sube en cada uso.
El servidor de Umbral guarda solo el identificador de la clave, su parte pública, el contador y si la clave es de pruebas o de la App Store, durante un año desde su último uso. No guarda el justificante de Apple ni la IP. Cuando la comprobación sea obligatoria, los límites de uso de la IA se contarán por ese identificador en vez de por el identificador de instalación.

Como el identificador de instalación, la clave cambia si borras y reinstalas Umbral, y no sirve para saber quién eres.

A quién llega y cuánto tiempo se guarda

Servidor de Umbral (Cloudflare Workers, Cloudflare, Inc.). Recibe la petición, la reenvía al proveedor que corresponde y devuelve la respuesta. No guarda las fotos, el texto ni los códigos. Como cualquier servidor web, Cloudflare ve la dirección IP del teléfono, y los registros técnicos del servicio (hora, ruta, código de respuesta, cabeceras de la petición como el identificador de instalación, mensajes de error) se conservan un máximo de 7 días para diagnosticar fallos. Los límites de uso guardan contadores asociados al identificador de instalación (o, con Umbral+, al número de la compra), solo con el número de peticiones: el límite por minuto, 60 segundos; el límite diario, 2 días; el mensual de la IA, 35 días.
Google (API de Gemini). Recibe la foto de la etiqueta, o las fotos y la descripción de la comida, sin la IP del teléfono ni el identificador de instalación: la petición sale del servidor de Umbral. Umbral usa los servicios de pago de la API de Gemini: según sus condiciones, Google no usa lo que le envías para mejorar sus productos ni para entrenar sus modelos. Lo conserva un tiempo limitado solo para detectar abusos, por seguridad y por obligaciones legales, y puede guardarlo de forma temporal en cualquier país donde tenga instalaciones.
Open Food Facts (asociación Open Food Facts, Francia). Recibe el número del código de barras directamente desde el teléfono, y con él la dirección IP. Se rige por su propia política de privacidad.
upcitemdb (UPCitemdb.com). Recibe solo el número del código de barras, desde el servidor de Umbral, sin la IP del teléfono ni el identificador de instalación. Se rige por su propia política.
Apple. Las compras de Umbral+ las gestiona Apple por completo (cobro, renovación, cancelación y reembolsos), y la comprobación de la app auténtica usa sus servidores, como se explica arriba. Umbral nunca ve tus datos de pago. Se rige por la política de privacidad de Apple.

Google y Cloudflare están en Estados Unidos, así que los datos descritos pueden tratarse fuera del Espacio Económico Europeo. Ambas están adheridas al Marco de Privacidad de Datos UE-EE. UU., que la Comisión Europea considera una protección adecuada. upcitemdb solo recibe el número de un código de barras, sin nada que te identifique.

Base legal

Las fotos y el texto que van a la IA (Google Gemini) se envían con tu consentimiento, que das en la app antes del primer envío y retiras cuando quieras en Ajustes → Tus datos. El código de barras se consulta, y el justificante de compra de Umbral+ se comprueba, para prestarte el servicio que pides (identificar el producto, darte el uso de la IA que has pagado). El identificador de instalación, la clave de App Attest y los registros técnicos se tratan por interés legítimo en proteger el servicio de abusos y mantenerlo funcionando.

Tus derechos

Puedes pedir acceso, rectificación, supresión, oposición o limitación del tratamiento, y retirar tu consentimiento para la IA cuando quieras (en Ajustes → Tus datos o escribiendo a la dirección de contacto). Para llevarte tus datos a otra app, Ajustes → Tus datos los exporta en JSON y CSV. Como Umbral no guarda datos tuyos en ningún servidor (solo los registros técnicos y los contadores de uso descritos arriba, que caducan solos en días, y la clave pública de App Attest, que caduca sola al año sin uso) y no tiene forma de saber quién eres, en la práctica no hay nada que entregar ni borrar fuera de tu teléfono: tus datos los controlas tú, y borrar la app los elimina. También puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).

Menores

Umbral no está dirigida a menores de 16 años.

Cambios

Si cambia lo que sale del teléfono, se actualizará esta política y su fecha antes de publicar la versión de la app que lo haga.