Política de privacidad

Fecha de entrada en vigor: 19 de octubre de 2026

mamama, inc. (la «Empresa») establece esta Política de privacidad (esta «Política») para regular el tratamiento de la Información del usuario en relación con Omakase Journal, una aplicación para iPhone que ofrece la Empresa, y su sitio web.

Artículo 1. Disposiciones generales

1.1 Esta Política establece cómo la Empresa recopila, utiliza, conserva y comunica Información del usuario al prestar los Servicios.

1.2 La Empresa cumplirá la APPI, la Ley de Negocios de Telecomunicaciones de Japón (Ley n.º 86 de 1984), las demás leyes y reglamentos aplicables y las directrices de la Comisión de Protección de la Información Personal de Japón, y tratará adecuadamente la Información del usuario de acuerdo con esta Política.

1.3 Esta Política también constituye la publicación de las finalidades de uso conforme al artículo 21 de la APPI, la publicación de las cuestiones relativas a los Datos personales conservados conforme al artículo 32 de la APPI, la publicación prevista en el artículo 27-12 de la Ley de Negocios de Telecomunicaciones de Japón, la información que debe facilitarse conforme al artículo 13 del GDPR y el aviso en el momento de la recopilación conforme a la CCPA.

Artículo 2. Definiciones

En esta Política, los términos de la columna izquierda de la siguiente tabla tienen el significado indicado en la columna derecha.

Artículo 3. Operador

3.1 El operador empresarial que trata Información del usuario conforme a esta Política es el siguiente:

3.2 La Empresa trata los datos personales de los Usuarios como responsable del tratamiento conforme al GDPR y al UK GDPR.

Artículo 4. Ámbito de aplicación e idioma

4.1 Esta Política se aplica a la Información del usuario que la Empresa trata en relación con los Servicios y a la Información del usuario que la App trata en el Dispositivo.

4.2 La App utiliza servicios de Apple, Cloudflare, Inc. y los Proveedores de IA. Esta Política regula la información que la App o la Empresa envía a esas empresas. El tratamiento que cada una de ellas realiza de esa información se rige por su propia política de privacidad y demás condiciones.

4.3 La Empresa trata la Información del usuario conforme a la APPI y a las demás leyes de Japón y, cuando sean aplicables el GDPR, el UK GDPR o la CCPA, también conforme a esa legislación.

4.4 Esta Política se publica en japonés, inglés, alemán, francés, italiano, portugués de Brasil, español, hindi, indonesio, chino simplificado, chino tradicional, coreano y árabe. Si existen discrepancias entre las versiones lingüísticas, prevalece la versión japonesa para los Usuarios que residen en Japón y la versión inglesa para los demás Usuarios.

4.5 Si esta Política y las Condiciones de uso de la App establecen disposiciones distintas sobre el tratamiento de la Información del usuario, prevalece esta Política.

Artículo 5. Información recopilada y métodos de recopilación

5.1 La Empresa y la App recopilan o tratan la Información del usuario enumerada en las tablas de los apartados 5.2 a 5.5 por los métodos descritos en ellas. Para cada elemento, las tablas indican el método de recopilación, las finalidades de uso, el lugar de almacenamiento, el plazo de conservación y si la información se envía fuera del Dispositivo.

5.2 La App almacena en el Dispositivo la información enumerada en la siguiente tabla. Mientras «Guardar en iCloud» esté activado en los ajustes de la App (lo está inicialmente) y el Usuario haya iniciado sesión en iCloud, también se sincronizan con la base de datos privada de CloudKit del propio Usuario los siguientes elementos: las entradas del diario (texto y borradores del diario, registros de Entrevistas, momentos y sentimientos registrados en un diario, Pistas registradas en un diario, rutas de visitas, la previsión meteorológica del día guardada con la entrada, temas por los que preguntar más adelante, notas de Yoru, registros de hitos y cartas de Yoru, y el número de solicitudes de IA utilizadas ese día); los lugares registrados; y los álbumes de pegatinas y sus posiciones en el tablero. El historial de ubicaciones sin procesar y la caché de nombres de lugares permanecen en el Dispositivo. La Empresa no puede ver los textos ni las rutas sincronizados. El Servidor intermediario reenvía la información descrita en el apartado 7.5 para el Tratamiento mediante IA externa, pero no almacena su contenido.

5.3 La App lee la información enumerada en la siguiente tabla de las funciones del Dispositivo. También escribe en HealthKit los sentimientos que elige el Usuario, tal como se describe en la fila «State of Mind escrito en HealthKit».

5.4 La App almacena la información enumerada en la siguiente tabla en el llavero de iOS, en el almacén de claves y valores de iCloud o en un Durable Object del Servidor intermediario.

5.5 La Empresa recopila la información enumerada en la siguiente tabla en servidores u otros sistemas de la Empresa o de sus proveedores de servicios encargados del tratamiento.

5.6 La información del Dispositivo está protegida por la protección de datos de iOS. Mientras «Guardar en iCloud» está activado, el texto del diario, las respuestas de Entrevistas y las rutas de visitas se sincronizan entre los dispositivos del Usuario mediante su propia base de datos privada de CloudKit. La Empresa no conserva ni ve ese contenido, y los demás Usuarios no pueden acceder a él.

5.7 Los datos leídos de HealthKit se utilizan en el Dispositivo para mostrar registros y elegir preguntas. Ni los valores ni las descripciones elaboradas a partir de ellos se almacenan en diarios o en CloudKit ni se envían a la IA. Las expresiones relacionadas con la salud que introduce el Usuario, incluidas las respuestas a preguntas que Yoru hizo a partir de Datos de salud, pueden, al igual que otras respuestas, incluirse en el texto del diario o los registros de Entrevistas, sincronizarse con CloudKit y, con el Consentimiento para IA externa, enviarse cuando sea necesario para redactar textos. Este cambio no elimina ni reescribe automáticamente el texto del diario guardado en versiones anteriores. El texto relacionado con la salud guardado por una versión anterior puede seguir incluyéndose cuando el Usuario utiliza una conversación o un diario guardados para redactar nuevos textos.

5.8 Las respuestas del Usuario y otros datos que introduzca pueden contener información personal que requiere especial atención, tal como se define en el artículo 2, apartado 3, de la APPI. Mediante el Consentimiento para IA externa, la Empresa obtiene el consentimiento del Usuario para recopilar esa información (es decir, para que el Servidor intermediario la reciba y reenvíe) y comunicarla a los Proveedores de IA, en la medida necesaria para el Tratamiento mediante IA externa.

5.9 La Empresa no recopilará Información del usuario mediante engaño u otros medios indebidos, ni recopilará Datos en el Dispositivo por métodos distintos de los establecidos en esta Política.

Artículo 6. Permisos del dispositivo

6.1 La App solicita, por los medios que ofrece iOS, permiso para acceder a las funciones del Dispositivo cuando una función lo necesita por primera vez. Conceder un permiso queda a discreción del Usuario, y ningún permiso es obligatorio por ley ni por contrato. Si el Usuario no concede un permiso, la App funciona sin las Pistas que dependan de él.

6.2 Las finalidades y el tratamiento correspondientes a cada permiso se indican en la siguiente tabla. El Usuario puede modificar los permisos en cualquier momento en la app Ajustes de iOS.

Artículo 7. Tratamiento mediante IA externa

7.1 «Tratamiento mediante IA externa» significa que la App envía Información del usuario mediante el Servidor intermediario a un Proveedor de IA, y este la trata, para escribir los textos enumerados a continuación. La App solo realiza el Tratamiento mediante IA externa con el Consentimiento para IA externa. Con ese consentimiento, la App utiliza el Tratamiento mediante IA externa para el tratamiento de la Entrevista indicado en la letra (a), incluso cuando puede utilizarse Apple Intelligence en el Dispositivo. Para las descripciones de fotos indicadas en la letra (b), la App da prioridad a Apple Intelligence en el Dispositivo. Solo utiliza el Tratamiento mediante IA externa para esas descripciones cuando no puede utilizarse Apple Intelligence, incluido el caso de que no admita el idioma de la Entrevista, y «Dejar que la IA vea las fotos» esté activado en los ajustes de la App.

1. las preguntas, reacciones y encabezados de temas de Yoru en la Entrevista, y la interpretación de las respuestas del Usuario;
2. las descripciones de lo que aparece en las fotos;
3. los borradores del diario;
4. las reescrituras de borradores solicitadas mediante «Pedir a Yoru»;
5. las notas de resumen y las cartas de hitos de Yoru; y
6. el diario de Yoru (las dos líneas que Yoru escribe sobre el día después de que el Usuario confirme una entrada del diario).

7.2 Antes de realizar el Tratamiento mediante IA externa, la App muestra en una pantalla de consentimiento la categoría del destinatario, los nombres de los destinatarios, el país de los destinatarios, los tipos de información que se enviarán y las finalidades de uso, y solicita el consentimiento del Usuario («Consentimiento para IA externa»). En un Dispositivo en el que pueda utilizarse Apple Intelligence, la App puede solicitar una vez el Consentimiento para IA externa al terminar una Entrevista. Este consentimiento cubre el tratamiento enumerado en el apartado 7.1, incluidas las Entrevistas posteriores y, sujeto a las condiciones de los apartados 7.1 y 7.5, las descripciones de fotos. El Usuario también puede otorgar el Consentimiento para IA externa en los ajustes de la App. La información que se envía se detalla en el apartado 7.5.

7.3 La App registra en el Dispositivo si se ha otorgado el Consentimiento para IA externa, su fecha y hora y la versión de la pantalla de consentimiento. La Empresa solo actualiza la versión de la pantalla de consentimiento cuando cambia los tipos de información enviada, los Proveedores de IA, el país de los destinatarios o las finalidades de uso más allá de lo que muestra dicha pantalla. En ese caso, el consentimiento otorgado a una versión anterior deja de ser válido y la App no realiza el Tratamiento mediante IA externa hasta que el Usuario vuelva a consentir. Los cambios de redacción de la pantalla de consentimiento, o la adición o modificación de funciones dentro de lo que muestra esa pantalla, no afectan al consentimiento ya otorgado.

7.4 Otorgar el Consentimiento para IA externa queda a discreción del Usuario. Un Usuario que no lo otorgue puede seguir utilizando la App con textos escritos en el Dispositivo por Apple Intelligence o con textos de plantilla estándar.

7.5 En el Tratamiento mediante IA externa, la App solo envía la información enumerada a continuación que sea necesaria para el tratamiento concreto:

1. un resumen de las Pistas del día (títulos, horas y ubicaciones de eventos del calendario; nombres, zonas y horas de los lugares en los que el Usuario se detuvo; descripciones de lo que aparece en las fotos; y periodos del día sin Pistas);
2. las preguntas de Yoru (incluido, para un tema meteorológico, el tiempo del día, como lluvia, nieve o calor, pero no coordenadas) y sus reacciones, y las respuestas y réplicas del Usuario en la Entrevista;
3. los borradores del diario y el contenido de las reescrituras solicitadas por el Usuario;
4. los temas por los que preguntar más adelante que se guardaron en entradas anteriores del diario;
5. al redactar una nota de resumen o una carta de hito, los títulos, lugares, sentimientos y palabras del propio Usuario sobre los acontecimientos de ese periodo, y los recuentos de sentimientos;
6. al redactar el diario de Yoru, la fecha, los títulos de los momentos de ese día con sus sentimientos y colores de sentimiento, las respuestas del Usuario (excluidas las que el Usuario decidió omitir o mantener en secreto), el texto confirmado del diario, en un día con un tema meteorológico el tipo de tiempo de ese día, y la información de las letras (g) y (h). La App no utiliza el Tratamiento mediante IA externa para el diario de Yoru en un día en que el Usuario haya compartido algo muy doloroso;
7. los nombres o apodos, relaciones y descripciones (lo que el Usuario escribió sobre cada persona) que el Usuario configuró en «Personas que Yoru conoce» de las personas cuyos nombres aparecen en las respuestas, los momentos o la entrada del diario de ese día, y el nombre y la descripción que el Usuario configuró para sí, únicamente para las preguntas de seguimiento de Yoru en la Entrevista y para el diario de Yoru. Al redactar un borrador del diario, la App también envía los nombres o apodos de las personas (distintas del Usuario) cuyos nombres aparecen en las respuestas de ese día, para crear la línea descrita en la letra (h);
8. lo que Yoru recuerda del diario: por cada día en que una persona de «Personas que Yoru conoce» (distinta del Usuario) aparece en una entrada confirmada del diario, la fecha y una línea sobre lo que se habló ese día. La línea se escribe a partir de las respuestas del Usuario mediante el Tratamiento mediante IA externa o Apple Intelligence al redactar el borrador del diario, o por la App a partir de los títulos de los momentos. Para las preguntas de seguimiento de Yoru en la Entrevista y para el diario de Yoru, la App envía hasta tres líneas anteriores, con sus fechas, de cada persona cuyo nombre aparece en las respuestas, los momentos o la entrada del diario de ese día. En la fecha de entrada en vigor de esta Política, la App no crea lo que Yoru aprende del diario sobre el propio Usuario (como preferencias y acontecimientos recientes) ni lo envía en el Tratamiento mediante IA externa. Si se añade a la App una función que lo cree, la App podrá enviarlo en la medida necesaria para redactar las preguntas de Yoru en la Entrevista, los borradores del diario, el diario de Yoru y los demás textos enumerados en el apartado 7.1;
9. al redactar una descripción de foto, una foto de tamaño reducido (no más de 768 píxeles en el lado largo) o unos pocos fotogramas extraídos de un vídeo, junto con las etiquetas de la foto, el texto visible, los nombres de lugares cercanos y la hora a la que se tomó, pero únicamente mientras «Dejar que la IA vea las fotos» esté activado en los ajustes de la App (este ajuste se activa cuando se otorga el Consentimiento para IA externa y el Usuario puede desactivarlo en cualquier momento); y
10. la hora de la Entrevista, el idioma utilizado y las instrucciones de redacción que reflejen el género gramatical establecido por el Usuario.

7.6 En el Tratamiento mediante IA externa, la App no envía:

1. información precisa de ubicación (latitud y longitud);
2. información de ubicación u otros metadatos adjuntos a las fotos originales (las imágenes de tamaño reducido se crean de nuevo y no los contienen);
3. las imágenes de fotos y vídeos que la Evaluación de fotos haya determinado que contienen contenido inapropiado, ni sus etiquetas, texto visible y descripciones (apartado 14.4);
4. el ID de instalación, la información de verificación de App Attest ni la dirección IP (el Servidor intermediario los utiliza, pero no los reenvía a los Proveedores de IA); ni
5. el nombre, la dirección de correo electrónico, la Cuenta de Apple u otra información que identifique directamente al Usuario, salvo la información que el Usuario escriba personalmente en una respuesta u otro dato introducido, que se envía como parte de ese contenido.

7.7 La App envía información al Servidor intermediario por una conexión cifrada con TLS, y el Servidor intermediario la reenvía a un Proveedor de IA. El Servidor intermediario trata la información de la siguiente manera:

1. solo acepta solicitudes que utilizan instrucciones predefinidas por la App y rechaza todas las demás solicitudes;
2. no almacena el contenido que recibe ni las respuestas de los Proveedores de IA, ni los escribe en registros;
3. utiliza el ID de instalación, la información de verificación de App Attest y la dirección IP de la conexión para limitar el número de solicitudes en un periodo determinado y evitar usos indebidos;
4. la función de registro de Cloudflare, Inc. registra metadatos de cada solicitud (como fecha y hora, resultado y tiempo de procesamiento), que pueden incluir la dirección IP y el ID de instalación, y estos metadatos se eliminan automáticamente en un plazo de siete días; y
5. solo reenvía una solicitud de descripción de foto a un Proveedor de IA después de la comprobación descrita en el apartado 14.5.

7.8 Los Proveedores de IA son las siguientes empresas, todas ellas situadas en los Estados Unidos de América. El Servidor intermediario selecciona un proveedor configurado para cada operación consentida, como las descripciones de fotos, los borradores del diario y las Entrevistas necesarias. En la fecha de entrada en vigor de esta Política, el proveedor principal para redactar textos es Claude Haiku de Anthropic, PBC, y se utiliza OpenAI OpCo, LLC para la comprobación de fotos sensibles del apartado 14.5. Antes de añadir otra empresa como Proveedor de IA, la Empresa modificará esta Política y volverá a solicitar el Consentimiento para IA externa.

1. OpenAI OpCo, LLC;
2. Anthropic, PBC; y
3. Google LLC.

7.9 La App aplica los siguientes límites al Tratamiento mediante IA externa. Cuando se alcanza un límite, la App deja de realizar Tratamiento mediante IA externa dentro de ese límite y Yoru reduce sus respuestas en la Entrevista, o la App utiliza textos escritos por Apple Intelligence o textos de plantilla estándar.

1. 150 solicitudes de Tratamiento mediante IA externa en total al día, en la zona horaria del Dispositivo, por cada instalación de la App, incluidas las descripciones de fotos, los borradores del diario, las reescrituras y las Entrevistas. No hay límite mensual.

7.10 Los Proveedores de IA tratan la información de la siguiente manera:

1. OpenAI OpCo, LLC declara públicamente que no utiliza la información recibida a través de su API para entrenar o mejorar sus modelos salvo que el cliente lo autorice expresamente, y que conserva esa información hasta 30 días para supervisar posibles abusos y después la elimina, salvo que la ley exija un plazo mayor. La Empresa no ha otorgado esa autorización. La Empresa también envía las solicitudes con un ajuste que no pide a OpenAI que almacene las respuestas en su servicio, salvo las solicitudes para la comprobación descrita en el apartado 14.5.
2. Si la Empresa utiliza Anthropic, PBC o Google LLC, lo hace conforme a las condiciones comerciales de API de esa empresa, en condiciones que impiden que la información enviada se utilice para entrenar modelos. Si la Empresa utiliza Google LLC, utiliza la API ofrecida como servicio de pago. Los plazos de conservación de esas empresas son los que cada una determine.

7.11 La Empresa no envía a la IA externa datos leídos de HealthKit ni descripciones elaboradas a partir de sus valores. Para una pregunta elegida a partir de Datos de salud, el Tratamiento mediante IA externa recibe únicamente la versión neutra de la pregunta (apartado 5.3) y las respuestas del propio Usuario. La información relacionada con la salud incluida en las respuestas u otros datos introducidos por el Usuario no se utilizará para ninguna finalidad distinta de redactar los textos enumerados en el apartado 7.1, no se utilizará para publicidad o marketing ni se venderá a terceros.

7.12 El Usuario puede retirar el Consentimiento para IA externa en cualquier momento seleccionando «Retirar el consentimiento» en «Envío a la IA externa» en los ajustes de la App. Tras la retirada, la App no realiza el Tratamiento mediante IA externa. Para dejar de enviar únicamente las fotos, el Usuario puede desactivar «Dejar que la IA vea las fotos» en los ajustes de la App. La información enviada antes de la retirada se trata conforme al artículo 15 y al apartado 18.4.

Artículo 8. Uso de los servicios de Apple y cuestiones relacionadas

8.1 La App realiza el siguiente tratamiento en el Dispositivo y no envía Información del usuario a la Empresa ni a los Proveedores de IA para ello:

1. en un Dispositivo en el que pueda utilizarse Apple Intelligence, redacción de descripciones de fotos y, sin el Consentimiento para IA externa, redacción de preguntas y reacciones de la Entrevista, borradores del diario, reescrituras, notas de resumen y cartas de hitos;
2. reconocimiento de voz para la entrada de voz;
3. reconocimiento de etiquetas y texto visible en las fotos; y
4. la parte de la Evaluación de fotos realizada en el Dispositivo (apartados 14.1 y 14.2).

8.2 Si Apple utiliza Private Cloud Compute para el tratamiento de Apple Intelligence, se aplica a ese tratamiento la política de privacidad de Apple. Ese tratamiento no pasa por los servidores de la Empresa. iOS puede descargar de Apple al Dispositivo los modelos necesarios para el reconocimiento de voz.

8.3 La App utiliza los siguientes servicios de Apple y envía Información del usuario a Apple en ese alcance:

1. Mapas (MapKit): la App envía las coordenadas de los lugares en los que el Usuario se detuvo, de donde se tomaron las fotos y de las ubicaciones de eventos del calendario para buscar nombres de lugares, nombres de zonas y puntos de interés cercanos. Al mostrar un mapa, la App también envía información sobre la zona mostrada.
2. App Store (StoreKit): se utiliza para compras, suscripciones y restauración de compras. Apple procesa los pagos. La Empresa no recibe números de tarjetas de crédito ni otros datos de pago, ni información de la Cuenta de Apple, y no puede saber quién realizó una compra.
3. Base de datos privada de CloudKit: mientras «Guardar en iCloud» está activado, se utiliza para sincronizar entre los dispositivos del propio Usuario los registros que el apartado 5.2 describe como sincronizados (entradas del diario, lugares registrados y álbumes de pegatinas y posiciones en el tablero).
4. Almacén de claves y valores de iCloud: registra la fecha de inicio y el número de días aplicables del periodo gratuito (tanto si «Guardar en iCloud» está activado como si no) y, mientras «Guardar en iCloud» está activado, sincroniza Personas que Yoru conoce y la hora del recordatorio nocturno, el género gramatical y el cumpleaños entre los dispositivos del propio Usuario.

8.4 La política de privacidad de Apple se aplica al tratamiento de información en los servicios enumerados en el apartado 8.3.

8.5 Para comprobar si se necesita una actualización, la App descarga el archivo de configuración del Sitio web (https://omakase.mamama.company/config/ios.json) mientras se utiliza, por regla general no más de una vez cada tres horas. Esta solicitud no contiene Datos en el Dispositivo. Sin embargo, como en cualquier solicitud web, la dirección IP y el nombre y número de compilación de la App (User-Agent) se envían a Cloudflare, Inc., que sirve el Sitio web.

8.6 Las previsiones meteorológicas son una función estándar. Cuando se permite el acceso a la ubicación, la App redondea la ubicación actual a aproximadamente 1 km y la envía mediante el Servidor intermediario a MET Norway para obtener una previsión. La App la envía mientras está en primer plano (cuando la pantalla Hoy muestra la previsión y cuando comienza una Entrevista) y, para un Usuario que permite el acceso a la ubicación «Siempre», cuando recibe una parada o un desplazamiento significativo en segundo plano (normalmente al menos dos horas y media después de la última obtención correcta de una previsión y al menos 30 minutos después del último intento en segundo plano, y no mientras una previsión obtenida previamente siga dentro de su plazo de validez). En segundo plano, la App utiliza la ubicación que acompaña a ese aviso. Una previsión no es un registro del tiempo que experimentó el Usuario. La App conserva las previsiones en el Dispositivo como caché de visualización hasta el vencimiento indicado por MET Norway y como registro del tiempo del día utilizado para los temas meteorológicos de la Entrevista (solo tipo de tiempo, temperatura y hora, sin coordenadas), por horas durante tres días y como resúmenes diarios durante 150 días. Además, cuando la App guarda por primera vez la entrada del diario de ese día y dispone de una previsión no vencida para ese día, guarda esa previsión (solo tipo de tiempo, temperatura y hora, sin coordenadas) en la entrada, y la previsión se sincroniza con CloudKit junto con la entrada. La coordenada no se guarda en el diario ni en iCloud, ni se envía a los Proveedores de IA. El Servidor intermediario no almacena ni la coordenada ni el contenido de la previsión.

Artículo 9. Finalidades de uso

9.1 La Empresa y la App utilizan la Información del usuario para las siguientes finalidades:

1. ofrecer las funciones de la App, incluidas la recopilación de Pistas, la realización de Entrevistas, la redacción de borradores del diario, reescrituras, notas de resumen, cartas de hitos, el diario de Yoru y descripciones de fotos, la visualización de mapas y nombres de lugares, la posibilidad de que Yoru pregunte por temas anteriores, la visualización del registro del día de Salud, la elección de preguntas de la Entrevista a partir de ese registro y la escritura de los sentimientos que elige el Usuario en Salud como State of Mind;
2. realizar el Tratamiento mediante IA externa sobre la base del Consentimiento para IA externa;
3. realizar la Evaluación de fotos para que las fotos con contenido inapropiado se muestren difuminadas en la App y no se envíen a los Proveedores de IA;
4. gestionar el periodo gratuito, las compras y las suscripciones;
5. limitar el número de solicitudes al Servidor intermediario, evitar usos indebidos y accesos no autorizados, y mantener la seguridad de los Servicios;
6. comprobar si se necesita una actualización de la App y avisar al Usuario;
7. servir y proteger el Sitio web;
8. responder a consultas y solicitudes (incluidas las solicitudes de los artículos 19 a 21) y contactar con el Usuario al respecto;
9. investigar problemas y mejorar la App mediante estadísticas e informes de fallos de Apple que no identifican al Usuario;
10. avisar al Usuario de cambios sustanciales en la App o en esta Política;
11. cumplir las leyes y los reglamentos y responder a solicitudes lícitas de las autoridades públicas; y
12. elaborar estadísticas sobre cómo se utiliza la App (recorrido por la guía del primer inicio, Entrevistas, confirmación de entradas del diario, acciones de compartir y suscripciones, y solicitudes fallidas al Servidor intermediario) y mejorar la App.

9.2 Si la Empresa cambia una finalidad de uso, lo hará únicamente dentro de un alcance que pueda considerarse razonablemente relacionado con la finalidad anterior al cambio, y publicará la finalidad modificada en esta Política.

9.3 Salvo en los supuestos enumerados en el artículo 18, apartado 3, de la APPI o cuando la ley lo permita de otro modo, la Empresa no tratará Información personal más allá del alcance necesario para lograr las finalidades del apartado 9.1 sin el consentimiento del Usuario.

9.4 La Empresa no utilizará Información personal de una manera que pueda fomentar o inducir conductas ilegales o indebidas.

9.5 La Empresa no tomará ninguna decisión basada únicamente en el tratamiento automatizado que produzca efectos jurídicos sobre un Usuario o le afecte de forma similarmente significativa.

Artículo 10. Bases jurídicas del tratamiento (UE, EEE y Reino Unido)

10.1 Cuando se aplique el GDPR o el UK GDPR, la Empresa trata los datos personales sobre las siguientes bases jurídicas:

1. ejecución de un contrato (artículo 6(1)(b) del GDPR): las finalidades de los apartados 9.1(a) y (d), incluidas las búsquedas de nombres de lugares y la gestión del periodo gratuito y las suscripciones;
2. consentimiento (artículos 6(1)(a) y 9(2)(a) del GDPR): la finalidad del apartado 9.1(b). Dado que las respuestas o fotos del Usuario pueden revelar categorías especiales de datos personales, la Empresa trata el Consentimiento para IA externa como consentimiento explícito conforme al artículo 9(2)(a) del GDPR. La App solo lee Datos de salud y escribe State of Mind después de que el Usuario permita el acceso en iOS.
3. intereses legítimos (artículo 6(1)(f) del GDPR): las finalidades de los apartados 9.1(c), (e) a (j) y (l). Los intereses legítimos de la Empresa son operar los Servicios de forma segura, impedir la transmisión de contenido inapropiado, prestar asistencia a los Usuarios y comprender cómo se utiliza la App para mejorarla. La Empresa utiliza únicamente la información necesaria para esas finalidades. El Usuario puede oponerse a este tratamiento (artículo 20).
4. obligación legal (artículo 6(1)(c) del GDPR): la finalidad del apartado 9.1(k).

10.2 La retirada del consentimiento no afecta a la licitud del tratamiento basado en el consentimiento antes de su retirada.

10.3 Cuando se aplique el UK GDPR, las referencias de esta Política a disposiciones del GDPR se entenderán hechas a las disposiciones correspondientes del UK GDPR.

Artículo 11. Comunicación a terceros y encargo del tratamiento

11.1 La Empresa no comunicará datos personales a terceros sin el consentimiento previo del Usuario, salvo:

1. en los supuestos enumerados en el artículo 27, apartado 1, de la APPI (como cuando lo exige la ley, o cuando resulta necesario para proteger la vida, la integridad física o los bienes de una persona y es difícil obtener su consentimiento); o
2. en los supuestos enumerados en el artículo 27, apartado 5, de la APPI (como el encargo del tratamiento dentro del alcance necesario para lograr las finalidades de uso o la sucesión empresarial).

11.2 Sobre la base del Consentimiento para IA externa, la Empresa comunica datos personales a los Proveedores de IA para el Tratamiento mediante IA externa. Dado que los Proveedores de IA son terceros en un país extranjero, la Empresa realiza esta comunicación de acuerdo con el artículo 12.

11.3 La Empresa puede encargar a proveedores de servicios la totalidad o parte del tratamiento de la Información personal en la medida necesaria para lograr las finalidades de uso. En ese caso, la Empresa seleccionará proveedores que se considere que tratan adecuadamente la Información personal, establecerá en sus contratos con ellos medidas de seguridad, confidencialidad, condiciones de subcontratación y otras cuestiones necesarias, y ejercerá una supervisión necesaria y adecuada sobre ellos.

11.4 En la fecha de entrada en vigor de esta Política, las empresas que intervienen en el tratamiento de la Información del usuario son las siguientes:

11.5 Si se comunica Información personal en relación con la sucesión de una actividad empresarial por fusión, escisión, transmisión de negocio u otra causa, el sucesor tratará la Información personal dentro de las finalidades de uso que se aplicaban antes de la sucesión.

11.6 La Empresa no venderá Información personal ni la comunicará a terceros para publicidad. La Empresa no comunica datos personales a terceros conforme al artículo 27, apartado 2, de la APPI (comunicación con derecho de oposición) ni utiliza datos personales de forma conjunta conforme al artículo 27, apartado 5, punto 3, de la APPI.

Artículo 12. Comunicación a terceros en un país extranjero

12.1 La Empresa comunica datos personales a los terceros en un país extranjero enumerados en la siguiente tabla o les encarga su tratamiento. Todos ellos están situados en los Estados Unidos de América.

12.2 La Empresa realiza la comunicación o el encargo descritos en el apartado 12.1 sobre las siguientes bases:

1. La comunicación a los Proveedores de IA se realiza sobre la base del consentimiento del Usuario conforme al artículo 28, apartado 1, de la APPI (Consentimiento para IA externa). Al solicitar ese consentimiento, la App indica que los destinatarios están situados en los Estados Unidos de América y muestra un enlace a este artículo.
2. El encargo a Cloudflare, Inc. y el encargo a Google LLC de la recepción y almacenamiento de correos de consultas y de la medición del uso de la App se realizan sobre la base de que cada empresa ha establecido un sistema que cumple las normas prescritas en el artículo 28, apartado 1, de la APPI. Conforme al artículo 28, apartado 3, de la APPI, la Empresa adoptará las medidas necesarias para garantizar que cada empresa aplique de forma continua medidas equivalentes, y facilitará información sobre esas medidas necesarias a petición del Usuario.

12.3 El sistema de protección de la información personal en los Estados Unidos de América es el siguiente:

1. Estados Unidos no tiene una ley federal integral comparable a la APPI que abarque el tratamiento de información personal por las empresas privadas en general.
2. La información personal está protegida por leyes federales para sectores específicos, como salud, finanzas y menores, por la actuación de la Comisión Federal de Comercio conforme al artículo 5 de la Ley de la Comisión Federal de Comercio y por leyes estatales, como la Ley de Privacidad del Consumidor de California.
3. Ninguna ley federal establece con carácter general derechos equivalentes a las solicitudes que las personas pueden realizar conforme a la APPI (como acceso, rectificación y suspensión del uso), aunque esos derechos pueden estar reconocidos por leyes estatales. Los organismos públicos también pueden exigir a las empresas que faciliten información conforme a la ley.
4. Para más detalles, consulta la información sobre sistemas extranjeros publicada por la Comisión de Protección de la Información Personal de Japón: Estudio de los sistemas de protección de la información personal en países extranjeros (en japonés).

12.4 Las medidas que adoptan los destinatarios y los proveedores de servicios encargados del tratamiento para proteger la información personal son las siguientes:

1. OpenAI OpCo, LLC: OpenAI declara públicamente que no utiliza la información recibida mediante su API para entrenar o mejorar sus modelos salvo que el cliente lo autorice expresamente (la Empresa no lo ha autorizado); que conserva esa información hasta 30 días para supervisar posibles abusos y después la elimina, salvo que la ley exija un plazo mayor; y que mantiene un programa de seguridad que incluye cifrado en tránsito y en reposo, controles de acceso y auditorías independientes de terceros (SOC 2 Type 2). El anexo sobre tratamiento de datos incorporado al acuerdo de servicios de OpenAI contiene disposiciones sobre el tratamiento siguiendo instrucciones, confidencialidad, medidas de seguridad, gestión de subencargados y eliminación de datos.
2. Anthropic, PBC: si la Empresa utiliza Anthropic, comunica información conforme a las condiciones comerciales de Anthropic y a las condiciones de tratamiento de datos incorporadas a ellas, en condiciones que ofrecen medidas de protección equivalentes a las descritas en la letra (a). Anthropic declara públicamente que no utiliza la información recibida mediante su API comercial para entrenar sus modelos.
3. Google LLC: si la Empresa utiliza Google, utiliza la API ofrecida como servicio de pago y comunica información conforme a las condiciones de tratamiento de datos de Google, en condiciones que ofrecen medidas de protección equivalentes a las descritas en la letra (a). Google declara públicamente que no utiliza la información recibida en sus servicios de pago para mejorar sus productos.
4. Cloudflare, Inc.: Cloudflare declara públicamente que cuenta con las certificaciones Global CBPR y Global PRP, que participa en el Marco de Privacidad de Datos UE-EE. UU. y que el anexo sobre tratamiento de datos incorporado a sus acuerdos con clientes establece medidas de seguridad y otras cuestiones relativas a la protección de datos personales.
5. Google LLC (Google Workspace): Google declara públicamente que las condiciones de tratamiento de datos incorporadas a sus acuerdos con los clientes de Google Workspace (el Cloud Data Processing Addendum) contienen disposiciones sobre el tratamiento siguiendo las instrucciones del cliente, confidencialidad, medidas de seguridad, gestión de subencargados y eliminación de datos, y que Google Workspace está auditado y certificado por terceros independientes (incluidos ISO/IEC 27001 y SOC 2).
6. Google LLC (Google Analytics for Firebase): Google declara públicamente que las condiciones de tratamiento de datos que aceptan los clientes de Google Analytics (Google Ads Data Processing Terms) contienen disposiciones sobre el tratamiento siguiendo las instrucciones del cliente, confidencialidad, medidas de seguridad, gestión de subencargados y eliminación de datos. La Empresa no utiliza la función de compartir datos de Google Analytics con otros servicios de Google ni Google signals.
7. Apple Inc.: Apple trata la información enviada del Dispositivo a Apple (apartado 8.3) conforme a su acuerdo con el Usuario. La Empresa no recopila ni comunica esa información. Como referencia, Apple declara en su política de privacidad que su tratamiento de información personal cumple los sistemas Global CBPR y Global PRP, y que utiliza cláusulas contractuales tipo para las transferencias de datos personales desde el EEE, el Reino Unido y Suiza.

12.5 Cuando se aplique el GDPR o el UK GDPR, las transferencias de datos personales se realizan de la siguiente manera:

1. La Empresa está situada en Japón, que está cubierto por una decisión de adecuación de la Comisión Europea y por normas de adecuación del Reino Unido.
2. Las transferencias a OpenAI OpCo, LLC en Estados Unidos se realizan conforme al anexo sobre tratamiento de datos incorporado al acuerdo de servicios de OpenAI, que incorpora las cláusulas contractuales tipo adoptadas por la Comisión Europea el 4 de junio de 2021 y el anexo del Reino Unido.
3. Para las transferencias a Anthropic, PBC o Google LLC, la Empresa se basa en las garantías equivalentes de las condiciones de tratamiento de datos de esa empresa (cláusulas contractuales tipo o, cuando la empresa participe en él, el Marco de Privacidad de Datos UE-EE. UU.).
4. Las transferencias a Cloudflare, Inc. se basan en el Marco de Privacidad de Datos UE-EE. UU. y su extensión al Reino Unido, en los que participa Cloudflare.
5. Las transferencias a Google LLC para almacenar correos de consultas se basan en las garantías de las condiciones de tratamiento de datos de Google (cláusulas contractuales tipo o el Marco de Privacidad de Datos UE-EE. UU., en el que participa Google).
6. Las transferencias a Google LLC para medir cómo se utiliza la App se basan en las garantías de las condiciones de tratamiento de datos de Google (cláusulas contractuales tipo o el Marco de Privacidad de Datos UE-EE. UU., en el que participa Google).
7. Una transferencia para la que no esté disponible ninguna de las garantías descritas en las letras (b) a (e) se basa en el consentimiento explícito del Usuario (artículo 49(1)(a) del GDPR).
8. Incluso con estas garantías, las autoridades de Estados Unidos pueden tener acceso a la información conforme a las leyes de Estados Unidos.

Artículo 13. Transmisión externa de Información del usuario

13.1 Conforme al artículo 27-12 de la Ley de Negocios de Telecomunicaciones de Japón, la Empresa publica en la siguiente tabla la Información del usuario que la App y el Sitio web hacen que se envíe del Dispositivo a destinos externos, los nombres de los destinatarios y las finalidades de uso.

13.2 Aparte de los destinos de la tabla del apartado 13.1, la App y el Sitio web no contienen ningún programa que haga que se envíe Información del usuario a destinos externos. La App no contiene módulos de terceros para publicidad ni para informes de fallos.

13.3 El Usuario puede detener las transmisiones para el Tratamiento mediante IA externa por el método descrito en el apartado 7.12.

Artículo 14. Evaluación de fotos

14.1 Para las fotos y vídeos que utiliza como Pistas o muestra en pantalla, la App determina en el Dispositivo si contienen contenido sexualmente explícito u otro contenido inapropiado. Para una foto, la determinación utiliza una imagen reducida a no más de 512 píxeles en el lado largo. Para un vídeo, utiliza cuatro fotogramas extraídos del vídeo (o, si el vídeo se muestra en pantalla antes de extraerlos, su imagen de portada).

14.2 La determinación descrita en el apartado 14.1 se realiza por los siguientes métodos, y una foto o un vídeo que cualquiera de ellos determine que contiene contenido inapropiado se trata como tal. Ninguno de los métodos envía información fuera del Dispositivo para esa determinación.

1. Evaluación mediante el entorno Sensitive Content Analysis de Apple. Este método solo se utiliza cuando el Usuario ha activado Aviso de contenido sensible en los ajustes de iOS o cuando está activada Seguridad en las comunicaciones en Tiempo de uso.
2. Evaluación mediante un modelo de clasificación incluido en la App. Se trata del modelo de GantMan/nsfw_model (Licencia MIT), convertido a un formato que puede utilizar la App; el modelo MobileNet v2 en el que se basa se ofrece bajo la Licencia Apache 2.0.

14.3 Los resultados de la determinación descrita en el apartado 14.2 se guardan para cada foto y vídeo en el área de almacenamiento de la App en el Dispositivo (Application Support/ClueKit/photo-sensitivity.json). Los resultados no contienen datos de imagen. Se conservan hasta que el Usuario los elimine mediante la operación descrita en el apartado 18.1, salvo que, cuando se almacenan más de 20000 resultados, se eliminan automáticamente los más antiguos que no encontraron contenido inapropiado. Los resultados no se envían a la Empresa ni a los Proveedores de IA.

14.4 Las fotos y vídeos que se determine que contienen contenido inapropiado se muestran difuminados en la App y solo se muestran cuando el Usuario decide verlos. La App no envía las imágenes de estas fotos y vídeos (incluidos los fotogramas extraídos de vídeos) para el Tratamiento mediante IA externa. Tampoco envía las imágenes de fotos y vídeos cuya determinación no haya finalizado, incluidos aquellos para los que no se pudo completar. Además, cada vez que la App envía información para el Tratamiento mediante IA externa, sea cual sea el texto que se esté redactando (apartado 7.1), trata la información sobre fotos y vídeos que se haya determinado que contienen contenido inapropiado de la siguiente manera:

1. no se envían las etiquetas (incluido el número de personas que aparecen), el texto visible ni las descripciones de la foto o vídeo, y el resumen de Pistas conserva únicamente la hora en que se tomó, la zona, los nombres de lugares cercanos, cómo se creó y si se trata de una foto o un vídeo;
2. las preguntas y reacciones de Yoru en el tema sobre la foto o vídeo se sustituyen, antes del envío, por una pregunta basada únicamente en la hora y el lugar en que se tomó (como una pregunta sobre «una foto que tomaste hacia las 7 de la tarde»);
3. los nombres de temas y momentos sobre la foto o vídeo se sustituyen, antes del envío, por nombres basados únicamente en la hora o el lugar en que se tomó (como «una foto al anochecer»); y
4. las respuestas y otros datos introducidos por el Usuario se envían tal como los escribió.

14.5 Cuando la App envía una imagen al Servidor intermediario para una descripción de foto, este envía primero la imagen al servicio de moderación de OpenAI OpCo, LLC (un servicio que determina si el contenido es inapropiado) para su comprobación, antes de pedir la descripción a un Proveedor de IA. Esta comprobación se realiza siempre con el servicio de moderación de OpenAI OpCo, LLC, incluso cuando la descripción de la foto se solicita a otro Proveedor de IA distinto de OpenAI OpCo, LLC. La información que el Servidor intermediario envía para esta comprobación se limita a la imagen de tamaño reducido descrita en el apartado 7.5(i). El Servidor intermediario no envía al servicio de moderación las etiquetas de la foto, el texto visible, los nombres de lugares u otra información, ni el ID de instalación, la información de verificación de App Attest ni la dirección IP.

14.6 El resultado de la comprobación descrita en el apartado 14.5 se trata de la siguiente manera:

1. Si se determina que la imagen contiene contenido sexual, el Servidor intermediario no solicita una descripción de la imagen. La App guarda para esa foto o vídeo un resultado de contenido inapropiado conforme al apartado 14.3, lo trata conforme al apartado 14.4 y no vuelve a enviar la imagen.
2. Si no puede utilizarse el servicio de moderación (por ejemplo, por un fallo de comunicación o un tiempo de espera agotado), el Servidor intermediario no solicita en ese momento una descripción de la imagen. En ese caso, la App no trata la foto o vídeo como contenido inapropiado y puede volver a enviar la imagen más adelante.

14.7 El tratamiento de datos estándar de OpenAI OpCo, LLC para su API (apartado 7.10(a)) se aplica a las imágenes enviadas para la comprobación descrita en el apartado 14.5. El servicio de moderación no dispone de un ajuste que solicite a OpenAI que no almacene respuestas.

14.8 Para la comprobación descrita en el apartado 14.5, el Servidor intermediario registra si se determinó que la imagen contenía contenido sexual y el motivo si no pudo completarse la comprobación, como parte de los metadatos descritos en el apartado 7.7(d). El Servidor intermediario no registra la imagen ni el contenido de la respuesta del servicio de moderación.

14.9 La Empresa no puede ver los resultados de la determinación guardados en el Dispositivo. La Empresa no utiliza los resultados de la Evaluación de fotos para evaluar a los Usuarios ni para ninguna finalidad distinta de las indicadas en los apartados 9.1(c) y (e). La Evaluación de fotos no garantiza que se identifique con exactitud todo el contenido inapropiado.

Artículo 15. Plazos de conservación

15.1 La Empresa conservará Información del usuario únicamente durante el tiempo necesario para lograr las finalidades de uso y procurará eliminarla sin demora cuando deje de ser necesaria.

15.2 Los plazos de conservación de los Datos en el Dispositivo y de la información guardada en el llavero de iOS y el almacén de claves y valores de iCloud son los indicados en las tablas de los apartados 5.2 a 5.4.

15.3 Los plazos de conservación en la Empresa y en las demás empresas implicadas son los siguientes:

Artículo 16. Medidas de seguridad

Para prevenir la filtración, pérdida o daño de los datos personales que trata y mantener su seguridad, la Empresa adopta las siguientes medidas:

1. Política básica: la Empresa establece y publica esta Política para garantizar el tratamiento adecuado de los datos personales.
2. Minimización de datos: la App está diseñada para conservar el contenido del diario en el Dispositivo. El Servidor intermediario reenvía únicamente la información necesaria y no almacena su contenido. La App no envía coordenadas precisas a los Proveedores de IA y reduce el tamaño de las fotos antes de enviarlas.
3. Medidas organizativas: el director representante es la persona responsable del tratamiento de la Información personal. La Empresa revisa los flujos de Información del usuario cada vez que cambia las funciones de la App. Si se produce una violación de la seguridad de los datos, la Empresa actúa conforme al artículo 17.
4. Medidas relativas al personal: la Empresa limita el acceso a los datos personales que conserva a las personas que ha autorizado y que están sujetas a obligaciones de confidencialidad.
5. Medidas físicas: la Empresa no conserva el contenido de los diarios de los Usuarios en sus equipos. La Empresa protege mediante autenticación de inicio de sesión los dispositivos utilizados para operar los Servicios.
6. Medidas técnicas: las comunicaciones entre la App, el Servidor intermediario y los Proveedores de IA están cifradas con TLS. Las claves de API de los Proveedores de IA se conservan en el almacén cifrado de secretos de Cloudflare, Inc. y no se incluyen en la App. El Servidor intermediario solo acepta solicitudes que utilizan instrucciones predefinidas por la App, limita el número y el tamaño de las solicitudes y no escribe el contenido de las solicitudes o respuestas en registros. El acceso a las cuentas de los servicios que utiliza la Empresa está restringido mediante autenticación. En el Dispositivo, los archivos de la App están protegidos por la protección de datos de iOS.
7. Conocimiento del entorno externo: la Empresa utiliza servicios de empresas de los Estados Unidos de América (Cloudflare, Inc., los Proveedores de IA y Google LLC para los correos de consultas y la medición de uso). La información tratada mediante Cloudflare, Inc. puede procesarse en centros de datos de Japón, Estados Unidos y otros países. La Empresa adopta medidas de seguridad basadas en el conocimiento del sistema de protección de la información personal en Estados Unidos (apartado 12.3).

Artículo 17. Respuesta a violaciones de la seguridad de los datos

17.1 Si la Empresa tiene conocimiento de una filtración, pérdida o daño de datos personales, o de una situación en la que sea probable que haya ocurrido tal hecho (una «Violación de la seguridad de los datos»), investigará de inmediato los hechos y adoptará las medidas necesarias para evitar daños adicionales.

17.2 Si una Violación de la seguridad de los datos está comprendida en las situaciones especificadas en el artículo 26, apartado 1, de la APPI, la Empresa la notificará a la Comisión de Protección de la Información Personal conforme a ese apartado y notificará a las personas afectadas conforme al apartado 2 de dicho artículo. Si resulta difícil notificar a una persona, la Empresa adoptará medidas alternativas necesarias para proteger sus derechos e intereses, como publicar el incidente.

17.3 Cuando se aplique el GDPR o el UK GDPR, la Empresa notificará a la autoridad de control competente una violación de la seguridad de los datos personales sin dilación indebida y, cuando sea posible, dentro de las 72 horas siguientes a haber tenido conocimiento de ella, salvo que sea improbable que la violación suponga un riesgo para los derechos y libertades de las personas físicas. Si es probable que la violación suponga un alto riesgo para los derechos y libertades de las personas físicas, la Empresa notificará a las personas afectadas sin dilación indebida.

17.4 Cuando se apliquen las leyes de un estado de Estados Unidos u otras leyes, la Empresa realizará las notificaciones y adoptará las demás medidas conforme a esas leyes.

17.5 Si la Empresa tiene conocimiento de una Violación de la seguridad de los datos en uno de sus proveedores de servicios encargados del tratamiento o en un Proveedor de IA, actuará conforme a los apartados 17.1 a 17.4, con las adaptaciones necesarias.

Artículo 18. Eliminación y otros controles de la App

18.1 Al seleccionar «Borrar todas las entradas del diario y el historial de ubicaciones» en «Datos» en los ajustes de la App, el Usuario puede eliminar de una vez los siguientes Datos en el Dispositivo. Esta operación no puede deshacerse. Si «Guardar en iCloud» está activado, la operación también elimina los elementos de las letras (a), (d) y (h) siguientes de la base de datos privada de CloudKit del propio Usuario y de sus demás dispositivos que utilicen la misma Cuenta de Apple. Si «Guardar en iCloud» está desactivado, no se eliminan de la base de datos privada de CloudKit.

1. el diario, incluidos el texto del diario, los borradores, los registros de Entrevistas, los momentos y sentimientos, las notas de Yoru, los temas por los que preguntar más adelante, lo que Yoru recuerda del diario y las cartas de hitos;
2. el historial de ubicaciones y la caché de nombres de lugares y puntos de interés cercanos;
3. la caché local de previsiones meteorológicas;
4. los lugares registrados;
5. la caché de detalles de fotos, incluidos los resultados de la Evaluación de fotos;
6. las Pistas eliminadas;
7. las notas de resumen;
8. las pegatinas;
9. el texto de las preguntas elaboradas a partir de Datos de salud y el registro de la App sobre el State of Mind que ha escrito en Salud (apartado 5.3). La eliminación del propio State of Mind que la App ha escrito en HealthKit se regula en el apartado 18.8;
10. el diario de Yoru; y
11. Personas que Yoru conoce (cuando «Guardar en iCloud» está activado, también se vacía la copia del almacén de claves y valores de iCloud).

18.2 Después de la operación descrita en el apartado 18.1, la siguiente información permanece en el Dispositivo. La información de las letras (a) y (b) se elimina al borrar la App. Los ajustes de la letra (a) que se guardan en el almacén de claves y valores de iCloud del Usuario mientras «Guardar en iCloud» está activado (hora del recordatorio nocturno, género gramatical y cumpleaños) no se eliminan con esa operación ni al borrar la App, y permanecen en el almacén de claves y valores de iCloud.

1. los ajustes, incluidos el género gramatical y el cumpleaños;
2. los registros del Consentimiento para IA externa y el número de solicitudes de Tratamiento mediante IA externa; y
3. el ID de instalación (guardado en el llavero de iOS) y la fecha de inicio y el número de días aplicables del periodo gratuito (guardados en el llavero de iOS y el almacén de claves y valores de iCloud), que pueden permanecer después de eliminar la App, pero no contienen contenido del diario.

18.3 Al seleccionar «Exportar el diario» en «Datos» en los ajustes de la App, el Usuario puede exportar el texto del diario como archivo Markdown.

18.4 Dado que la Empresa no almacena en el Servidor intermediario el contenido enviado para el Tratamiento mediante IA externa, no dispone de ese contenido para eliminarlo. La información conservada por los Proveedores de IA se elimina una vez transcurridos los plazos indicados en el apartado 15.3.

18.5 Si el Usuario elimina la App del Dispositivo, se eliminan los Datos en el Dispositivo, salvo los incluidos en una copia de seguridad del Dispositivo, que permanecen hasta que se elimine esa copia. Eliminar la App no elimina las entradas del diario, los lugares registrados ni las pegatinas conservados en la base de datos privada de CloudKit del propio Usuario. El Usuario puede eliminarlos mediante la operación del apartado 18.1 (solo mientras «Guardar en iCloud» está activado) o mediante la gestión del almacenamiento de iCloud en la app Ajustes de iOS.

18.6 El Usuario puede modificar los permisos concedidos a la App en la app Ajustes de iOS. La retirada del Consentimiento para IA externa se rige por el apartado 7.12.

18.7 Dado que la App no tiene cuentas (artículo 24), la Empresa no puede, desde su lado, eliminar, restaurar ni transferir a otro dispositivo los Datos en el Dispositivo de un Usuario.

18.8 El State of Mind que la App ha escrito en HealthKit es un dato de la app Salud, no un Dato en el Dispositivo de la App. La App elimina de HealthKit el State of Mind que ha escrito en los siguientes casos (apartado 5.3):

1. cuando el Usuario cambia o elimina el sentimiento correspondiente en la App (solo las entradas escritas en ese Dispositivo);
2. cuando el Usuario elimina una entrada del diario (las emociones momentáneas y el estado de ánimo diario escritos para ese día);
3. cuando el Usuario realiza la operación descrita en el apartado 18.1 (todo el State of Mind que ha escrito la App).

En los casos (b) y (c), la App elimina las entradas escritas en ese Dispositivo. Solo elimina las entradas que escribió en otros dispositivos cuando «Guardar en iCloud» está activado y la eliminación del diario llega a esos dispositivos mediante CloudKit; en caso contrario, no las elimina porque esos dispositivos aún conservan su diario de ese día. Si el Usuario ha retirado el permiso de escritura en los ajustes de Salud de iOS, la App no puede eliminarlas. Eliminar la App no elimina las entradas ya escritas en HealthKit. El Usuario puede ver y eliminar State of Mind en la app Salud, desactivar la escritura con «Guardar sentimientos en Salud» en los ajustes de la App y retirar el permiso en los ajustes de Salud de iOS.

Artículo 19. Solicitudes de acceso y otras actuaciones

19.1 Conforme a la APPI, el Usuario puede realizar las siguientes solicitudes respecto a sus Datos personales conservados que obren en poder de la Empresa («Solicitudes de acceso y otras actuaciones»):

1. notificación de las finalidades de uso (artículo 32, apartado 2, de la APPI);
2. acceso, incluido el suministro de registros electrónicos (artículo 33, apartado 1);
3. acceso a los registros de comunicación a terceros (artículo 33, apartado 5);
4. rectificación, adición o eliminación del contenido (artículo 34, apartado 1);
5. suspensión del uso o supresión (artículo 35, apartados 1 y 5); y
6. suspensión de la comunicación a terceros (artículo 35, apartados 3 y 5).

19.2 Las Solicitudes de acceso y otras actuaciones se realizarán enviando un correo electrónico a la dirección del punto de contacto del artículo 27 e indicando lo siguiente:

1. nombre y datos de contacto del solicitante;
2. tipo de solicitud (uno de los elementos del apartado 19.1);
3. información suficiente para identificar los Datos personales conservados correspondientes (como la dirección de correo electrónico utilizada para contactar con la Empresa y la fecha y hora del contacto); y
4. si la solicitud la realiza un representante, ese hecho y el nombre y datos de contacto del representante.

19.3 La Empresa verificará por medios adecuados que el solicitante es la persona interesada, por ejemplo, comprobando que la dirección de correo electrónico utilizada para la solicitud coincide con la del remitente de una consulta conservada por la Empresa. La Empresa puede solicitar información adicional en la medida necesaria para la verificación. Si la solicitud la realiza un representante, la Empresa pedirá un documento que acredite su representación (como un poder o, para un representante legal, un documento que confirme esa facultad legal).

19.4 La Empresa responderá sin demora, con un plazo orientativo de dos semanas desde la recepción de la solicitud, por correo electrónico o por otro método que considere adecuado. El acceso se facilitará por el método solicitado por el Usuario, incluido el suministro de registros electrónicos; si ese método resulta difícil, la Empresa se lo notificará al Usuario y facilitará el acceso mediante la entrega de un documento u otro método.

19.5 Las Solicitudes de acceso y otras actuaciones son gratuitas.

19.6 La Empresa puede rechazar total o parcialmente una Solicitud de acceso y otras actuaciones en cualquiera de los siguientes casos. En ese caso, notificará al solicitante ese hecho y los motivos sin demora.

1. cuando la Empresa no pueda verificar que el solicitante es la persona interesada o su representante debidamente autorizado;
2. cuando los Datos personales conservados correspondientes no existan o no puedan identificarse;
3. en los casos enumerados en los puntos del artículo 33, apartado 2, de la APPI (cuando el acceso pueda perjudicar la vida, la integridad física, los bienes u otros derechos o intereses de la persona o de un tercero, pueda interferir gravemente en el correcto desarrollo de la actividad de la Empresa o infrinja otras leyes y reglamentos); o
4. cuando una solicitud de rectificación o suspensión del uso no cumpla los requisitos del artículo 34 o del artículo 35 de la APPI.

19.7 Los Datos en el Dispositivo y la base de datos privada de CloudKit del Usuario no obran en poder de la Empresa y, por tanto, no están sujetos a Solicitudes de acceso y otras actuaciones. El Usuario puede verlos, exportarlos y eliminarlos personalmente por los métodos descritos en el artículo 18. La información que puede conservar la Empresa incluye consultas y el ID de instalación, la información de verificación de App Attest y los recuentos de uso del Servidor intermediario. La Empresa acepta solicitudes sobre esta información y, tras verificar la identidad del solicitante, puede pedir la información razonablemente necesaria para localizar los registros correspondientes.

Artículo 20. Derechos de los Usuarios de la UE, el EEE y el Reino Unido

20.1 Un Usuario al que se aplique el GDPR o el UK GDPR tiene los siguientes derechos respecto a sus datos personales tratados por la Empresa:

1. derecho de acceso a los datos personales (artículo 15 del GDPR);
2. derecho de rectificación (artículo 16);
3. derecho de supresión (artículo 17);
4. derecho a la limitación del tratamiento (artículo 18);
5. derecho a la portabilidad de los datos (artículo 20);
6. derecho de oposición al tratamiento basado en intereses legítimos (artículo 21);
7. derecho a retirar el consentimiento en cualquier momento (artículo 7(3)); y
8. derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado (artículo 22).

20.2 Muchos de estos derechos pueden ejercerse directamente en la App por los métodos descritos en el artículo 18. Para otras solicitudes, contacta por correo electrónico con el punto de contacto del artículo 27. La Empresa responderá en el plazo de un mes desde la recepción de la solicitud. Cuando sea necesario, teniendo en cuenta la complejidad y el número de solicitudes, la Empresa puede ampliar ese plazo otros dos meses, en cuyo caso informará al Usuario de la ampliación y de los motivos dentro del primer mes.

20.3 Las solicitudes son gratuitas. Sin embargo, si una solicitud es manifiestamente infundada o excesiva, la Empresa puede cobrar un importe razonable o negarse a actuar sobre ella conforme al artículo 12(5) del GDPR.

20.4 Dado que la App no tiene cuentas, la Empresa puede no ser capaz de identificar al solicitante. En ese caso, se lo comunicará conforme al artículo 11(2) del GDPR, salvo que el solicitante facilite información adicional que permita identificarlo.

20.5 El Usuario tiene derecho a presentar una reclamación ante una autoridad de control, en particular en el Estado miembro de su residencia habitual, lugar de trabajo o lugar de la supuesta infracción. Los Usuarios del Reino Unido pueden presentar una reclamación ante la Oficina del Comisionado de Información (ICO).

Artículo 21. Derechos de los residentes en California

21.1 Este artículo se aplica a los Usuarios que residen en California cuando la CCPA se aplique a la Empresa.

21.2 En los últimos 12 meses, la Empresa y sus proveedores de servicios han recopilado las siguientes categorías de información personal. La Empresa no recopila Datos en el Dispositivo.

1. identificadores (ID de instalación, ID de instancia de la app utilizado para la medición de uso, direcciones IP y direcciones de correo electrónico de consultas);
2. información personal sensible (información relacionada con la salud y otra información sensible en las respuestas o fotos del Usuario, solo cuando se envía para el Tratamiento mediante IA externa sobre la base del Consentimiento para IA externa);
3. información visual (fotos de tamaño reducido y fotogramas extraídos de vídeos, solo mientras «Dejar que la IA vea las fotos» está activado);
4. ubicación aproximada (nombres de lugares y zonas);
5. contenido facilitado por el Usuario (respuestas, borradores, datos para resúmenes y consultas); y
6. información sobre actividad en internet u otras redes electrónicas (solicitudes al Servidor intermediario y al Sitio web, y registros de interacciones con la App para la medición de uso); y
7. información comercial (plan adquirido y si incluía una prueba gratuita, solo para la medición de uso).

21.3 Las fuentes de la información personal descrita en el apartado 21.2 son el Usuario y el Dispositivo. Las finalidades de uso se establecen en el artículo 9 y los plazos de conservación en el artículo 15.

21.4 La Empresa comunica información personal para fines empresariales a sus proveedores de servicios y contratistas (Cloudflare, Inc., los Proveedores de IA y Google LLC para los correos de consultas y la medición de uso). La Empresa no vende información personal ni la comparte para publicidad conductual entre distintos contextos, y no lo ha hecho en los últimos 12 meses. La Empresa no vende ni comparte información personal de consumidores menores de 16 años.

21.5 La Empresa utiliza información personal sensible únicamente para ofrecer las funciones solicitadas por el Usuario y para otras finalidades permitidas por los reglamentos de la CCPA, y no para inferir características del Usuario.

21.6 El Usuario tiene derecho a conocer la información personal que la Empresa ha recopilado sobre él y a acceder a ella, a solicitar su eliminación y a solicitar su rectificación. La Empresa no discriminará al Usuario por ejercer estos derechos.

21.7 Las solicitudes del apartado 21.6 pueden realizarse por el Usuario o por un representante autorizado por él, mediante correo electrónico al punto de contacto del artículo 27. La Empresa verificará las solicitudes por el método descrito en el apartado 19.3 y responderá en el plazo de 45 días desde su recepción. Cuando sea necesario, la Empresa puede ampliar ese plazo otros 45 días después de notificarlo al Usuario.

Artículo 22. Menores

22.1 La App no está dirigida a menores de 13 años. La Empresa no recopila deliberadamente Información personal de menores de 13 años.

22.2 Un Usuario menor de edad debería obtener el consentimiento de un progenitor u otro tutor legal antes de otorgar el Consentimiento para IA externa. En la UE, el EEE y el Reino Unido, el Consentimiento para IA externa de un Usuario menor de 16 años (o de una edad inferior establecida por la ley del Estado miembro correspondiente) debe ser otorgado o autorizado por el titular de la responsabilidad parental sobre ese Usuario.

22.3 Un progenitor u otro tutor legal que tenga conocimiento de que un menor ha facilitado Información personal sin consentimiento debería dirigirse al punto de contacto del artículo 27.

Artículo 23. Seguimiento, cookies y publicidad

23.1 La App no muestra publicidad ni utiliza el identificador publicitario (IDFA). La App no realiza seguimiento de los Usuarios entre apps o sitios web de otras empresas. La App contiene el kit de desarrollo de software (SDK) de Firebase Analytics de Google para medir cómo se utiliza la App (apartado 5.5 y artículo 13). En este SDK están desactivados el almacenamiento publicitario, el uso de datos de usuarios para publicidad y la personalización de anuncios, y no se utilizan la recopilación del identificador de proveedor (IDFV), el registro en redes publicitarias ni Google signals. La App no contiene SDK para publicidad ni para informes de fallos.

23.2 El Sitio web utiliza una cookie (oj_lang) para recordar durante un año el idioma de visualización que eliges. Solo guarda el idioma elegido y no se utiliza para identificar a los Usuarios ni seguir su actividad. El Sitio web no utiliza herramientas de análisis, etiquetas publicitarias ni scripts de terceros.

23.3 La Empresa recibe de Apple estadísticas de uso e informes de fallos que no identifican al Usuario únicamente si este ha elegido en los ajustes de iOS compartir análisis con los desarrolladores de apps (apartado 5.5).

23.4 La Empresa no vende Información del usuario ni la comparte con terceros para publicidad.

Artículo 24. Cuentas

24.1 La App no tiene registro de usuarios y la Empresa no crea cuentas para los Usuarios. La Empresa no recopila el nombre, la dirección de correo electrónico ni la Cuenta de Apple del Usuario en relación con el uso de la App.

24.2 Las compras y suscripciones de la App se realizan mediante Apple y la Empresa no puede saber quién realizó una compra.

24.3 Los Datos en el Dispositivo no se almacenan en los servidores de la Empresa. Mientras «Guardar en iCloud» está activado y el Usuario ha iniciado sesión en iCloud, los diarios y los demás registros que el apartado 5.2 describe como sincronizados se sincronizan mediante la base de datos privada de CloudKit del propio Usuario con los dispositivos que utilizan la misma Cuenta de Apple. Los datos que solo se guardan en el Dispositivo pueden trasladarse cuando el Usuario cambia de dispositivo mediante las funciones de copia de seguridad y restauración de Apple.

24.4 Por los motivos indicados en los apartados 24.1 a 24.3, la Empresa no puede identificar a un Usuario para facilitar el acceso a los Datos en el Dispositivo, restaurarlos o eliminarlos desde su lado.

Artículo 25. Modificaciones de esta Política

25.1 La Empresa puede modificar esta Política cuando sea necesario por cambios en las leyes y reglamentos, cambios en los Servicios u otros motivos.

25.2 Cuando modifique esta Política, la Empresa publicará la Política modificada y su fecha de entrada en vigor en el Sitio web.

25.3 Si una modificación afecta de forma sustancial a los derechos e intereses de los Usuarios (como un cambio en las finalidades de uso o la adición de un Proveedor de IA), la Empresa se lo notificará en la App o en el Sitio web con una antelación razonable a su entrada en vigor.

25.4 Si una modificación requiere el consentimiento del Usuario conforme a la ley aplicable, la Empresa lo obtendrá de nuevo. Si la Empresa cambia los tipos de información enviados en el Tratamiento mediante IA externa, sus destinatarios o sus finalidades más allá de lo que muestra la pantalla de consentimiento, actualizará la versión de esa pantalla y la App no realizará el Tratamiento mediante IA externa hasta que el Usuario vuelva a consentir (apartado 7.3).

25.5 El historial de establecimiento y modificación de esta Política se recoge en el Historial de revisiones al final de esta Política.

Artículo 26. Ley aplicable y jurisdicción

26.1 Esta Política se rige e interpreta conforme a las leyes de Japón.

26.2 El Tribunal de Distrito de Naha tendrá, por acuerdo, jurisdicción exclusiva como tribunal de primera instancia sobre cualquier controversia entre la Empresa y un Usuario relacionada con esta Política. Sin embargo, cuando el Usuario sea consumidor, la jurisdicción internacional se regirá por el artículo 3-7, apartado 5, del Código de Procedimiento Civil de Japón (Ley n.º 109 de 1996) y otras leyes aplicables.

26.3 Los apartados 26.1 y 26.2 no limitan los derechos y protecciones que las leyes imperativas de protección de consumidores del país o región de residencia habitual del Usuario (incluidas las leyes de los Estados miembros de la UE y del EEE) le reconocen, ni sus derechos conforme a los artículos 77 a 79 del GDPR a presentar una reclamación ante una autoridad de control y a la tutela judicial efectiva.

Artículo 27. Consultas y reclamaciones

27.1 Las consultas y reclamaciones sobre esta Política y el tratamiento de la Información del usuario, así como las solicitudes de los artículos 19 a 21, se aceptan en el siguiente punto de contacto. Las solicitudes solo se aceptan por correo electrónico.

27.2 La Empresa procurará tramitar las reclamaciones de forma adecuada y rápida.

27.3 La Empresa no pertenece a ninguna organización acreditada de protección de la información personal conforme a la APPI.

27.4 Para preguntas sobre el uso de la App, consulta Ayuda.

Historial de revisiones