Política de privacidad
Aloumi — Última actualización: 5 de octubre de 2026
Esta Política explica qué datos recoge Aloumi («la app», «nosotros»), con qué finalidad, sobre qué base jurídica, durante cuánto tiempo los conserva y cómo puede usted ejercer sus derechos. Aloumi es una app de recetas con IA para Android, publicada por JEYLAB (SARL de derecho francés, Registro Mercantil de París 943 632 588, domicilio social: 6 rue Émile Dubois, 75014 París), «responsable del tratamiento» en el sentido del RGPD (contacto al final, datos completos en el aviso legal).
1. Qué datos recogemos y por qué
| Datos | Cuándo | Finalidad | Base jurídica (art. 6 RGPD) |
|---|---|---|---|
| Información de la cuenta de Google (dirección de correo, nombre visible) | Al iniciar sesión con Google (necesario para usar la app) | Autenticación, sincronización de sus datos en todos sus dispositivos | Ejecución del contrato |
| Sus contenidos: recetas, listas de la compra, joyas gastronómicas, plan de comidas, configuración del equipamiento | Mientras usa la app | Almacenamiento y sincronización de sus datos (Google Firebase Firestore) | Ejecución del contrato |
| Imágenes (ilustraciones de recetas y de joyas generadas por IA) | Cuando se genera una imagen | Visualización de sus contenidos (Google Firebase Storage) | Ejecución del contrato |
| Mensajes, fotos y documentos que envía a las funciones de IA | Cuando usa el Chef IA, la importación de recetas o el asistente en la cocina | Se envían a la API de Google Gemini para generar la respuesta, a través de nuestra función de servidor, que los transmite sin conservarlos. El historial de conversaciones se guarda únicamente en su dispositivo: nunca se sube a nuestros servidores. No se utiliza para crear un perfil. | Ejecución del contrato |
| Fotos y documentos de una receta que quiere importar | Cuando importa una receta desde fotos o un documento | Se depositan temporalmente en un espacio de almacenamiento privado, propio de su cuenta (Google Firebase Storage), donde solo nuestro servidor los vuelve a leer para extraer la receta con la API de Gemini. Se eliminan en cuanto la receta le ha llegado y, en cualquier caso, automáticamente como máximo unos dos días después del depósito. | Ejecución del contrato |
| Identificador de notificaciones de su dispositivo (token de Firebase Cloud Messaging) | Al iniciar sesión y con cada importación de receta | Enviarle las notificaciones de la aplicación: solicitudes para compartir y sus aceptaciones, y el aviso «Tu receta está lista» al final de una importación, enviado solo al dispositivo que la inició y con el título de la receta. Las notificaciones solo se muestran si usted las permite en su dispositivo. | Ejecución del contrato |
| Contenido público de una publicación en redes sociales (texto o descripción y, si lo hay, el vídeo de un enlace de Instagram, TikTok o YouTube que nos envía) | Cuando importa una receta desde un enlace de redes sociales | El contenido de la publicación (texto y vídeo, si lo hay) lo recupera un servicio en el servidor basado en una herramienta de código abierto, sin acceder a ninguna cuenta de redes sociales, y se envía a la API de Gemini para extraer la receta. El vídeo, si lo hay, pasa temporalmente por nuestro servidor y se elimina justo después del análisis: no se conserva ningún contenido de la plataforma; en su cuenta solo se guarda la receta estructurada. | Ejecución del contrato |
| Contadores de uso de la IA (número de peticiones al día/mes, recuento de tokens, modelo utilizado) | Cuando usa las funciones de IA | Prevención de abusos, límites de uso razonable, seguimiento de costes | Interés legítimo (proteger el servicio frente a los abusos) |
| Tokens antifraude: dos hashes seudonimizados (hash irreversible con una clave secreta), uno derivado de su dirección de correo y el otro del identificador de su cuenta de Google | Se registran en el momento en que inicia su prueba gratuita (y solo entonces). Al crear su cuenta, solo se calculan para comprobar si ya se ha utilizado la prueba, sin conservarse. | Impedir el abuso de la oferta de prueba gratuita (eliminar y volver a crear una cuenta para conseguirla de nuevo). El segundo hash sigue siendo eficaz aunque cambie la dirección de correo de su cuenta de Google. Por el mismo motivo, la prueba gratuita solo se concede si Google ha verificado la dirección de correo de su cuenta de Google. A efectos del RGPD, estos hashes seudonimizados siguen siendo datos personales. No permiten recuperar su dirección de correo ni el identificador de su cuenta de Google: solo su comparación con esos mismos datos, mediante la clave secreta que obra en nuestro poder, permite constatar que la prueba ya se ha utilizado. Nunca se usan con otra finalidad. | Interés legítimo (prevención del fraude) |
| Datos de fallos y estabilidad (Firebase Crashlytics: modelo del dispositivo, versión del sistema operativo, trazas de los fallos) | Si la app falla o funciona mal | Diagnosticar y corregir errores | Interés legítimo (seguridad y estabilidad del servicio) |
| Estadísticas de uso (Google Analytics for Firebase: pantallas visitadas, eventos en la app, identificador seudónimo de la app, información del dispositivo) | Solo con su consentimiento, en el primer arranque o después en los Ajustes | Entender cómo se usa la app para mejorarla | Consentimiento — puede rechazarlo o retirarlo cuando quiera en los Ajustes, sin perder ninguna función |
| Prueba del consentimiento (versión de las condiciones aceptada, elección sobre las estadísticas, marca de tiempo, versión de la app) | Al aceptar las condiciones y cada vez que cambia su elección sobre las estadísticas | Poder demostrar que el consentimiento se ha recogido y qué versión se aceptó | Obligación legal (art. 7.1 RGPD) |
| Datos de compra (producto adquirido, precio, estado de la suscripción, saldo de créditos) | Al comprar una suscripción o un paquete de créditos a través de Google Play | Activación y seguimiento de sus ventajas de pago (a través de RevenueCat, véase la sección 4). Sus datos de pago (número de tarjeta, método de pago) nunca llegan a nosotros: el pago lo procesa Google Play. | Ejecución del contrato |
2. Lo que NO hacemos
- No vendemos ni cedemos sus datos a nadie.
- No mostramos publicidad y no usamos rastreadores publicitarios.
- No usamos sus recetas, sus mensajes ni sus imágenes con fines de marketing ni para elaborar perfiles.
- El servicio usa el nivel de pago de la API de Gemini: según sus condiciones, Google no utiliza sus peticiones para entrenar sus modelos. No obstante, Google puede conservarlas temporalmente para detectar abusos y cumplir con la ley.
- Ninguna conexión con sus cuentas de redes sociales: la importación desde Instagram, TikTok o YouTube se hace en el servidor, sin autenticarse en ninguna plataforma. La app nunca pide credenciales de redes sociales ni guarda sesiones o cookies de plataforma.
Le recomendamos que evite escribir información personal sensible (por ejemplo, datos de salud) en los mensajes que envía a la IA: no hacen falta para un consejo de cocina.
3. Uso compartido con otros usuarios
Aloumi le permite compartir recetas, listas de la compra y joyas gastronómicas con las personas que usted autoriza expresamente mediante un código para compartir. Una solicitud de acceso debe ser aprobada por usted antes de que quien la envía pueda ver nada. Los datos compartidos solo son visibles para las personas a las que concede acceso, y puede revocarlo cuando quiera en los ajustes de la app.
4. Servicios de terceros (encargados del tratamiento)
Aloumi se apoya en los siguientes servicios, gestionados por Google LLC / Google Ireland Ltd:
- Firebase Authentication — inicio de sesión
- Firebase Firestore y Firebase Storage — almacenamiento de datos e imágenes
- Firebase Cloud Messaging — envío de notificaciones
- Google Gemini API / Vertex AI — generación de texto e imágenes con IA
- Firebase Crashlytics — informes de fallos
- Google Analytics for Firebase — estadísticas de uso (solo con su consentimiento)
Su tratamiento se rige por la Política de privacidad de Google.
Para las compras integradas y la gestión de las suscripciones, Aloumi se apoya además en RevenueCat (RevenueCat, Inc., Estados Unidos): validación de las compras realizadas a través de Google Play y seguimiento del estado de su suscripción. RevenueCat recibe su identificador técnico de cuenta y su historial de transacciones en la aplicación (producto, precio, estado) — nunca sus datos de pago (número de tarjeta, método de pago), que son tratados exclusivamente por Google Play. Su tratamiento se rige por la Política de privacidad de RevenueCat.
5. Transferencias internacionales
Los datos tratados por Google pueden almacenarse en servidores situados fuera de la Unión Europea, incluidos los Estados Unidos. Estas transferencias están cubiertas por el EU-U.S. Data Privacy Framework, al que Google LLC está adherida, y, cuando procede, por las Cláusulas contractuales tipo de la Comisión Europea. Los datos tratados por RevenueCat se alojan en los Estados Unidos (Amazon Web Services); estas transferencias están cubiertas por garantías contractuales conformes al RGPD, incluidas las Cláusulas contractuales tipo.
6. Conservación
- Datos de la cuenta y contenidos: se conservan mientras exista su cuenta; se eliminan de inmediato cuando la elimina.
- Historial de conversaciones con la IA: se guarda únicamente en su dispositivo; desaparece cuando lo borra en la app o desinstala la app.
- Contadores de uso de la IA: se conservan un máximo de 13 meses y se eliminan con la cuenta.
- Tokens antifraude (los dos hashes seudonimizados, derivados de la dirección de correo y del identificador de la cuenta de Google): se conservan 24 meses, incluso después de eliminar la cuenta: es precisamente lo que impide volver a crear una cuenta para conseguir otra oferta de prueba. Pasado ese plazo se eliminan automáticamente. Se conservan sin ningún vínculo con su cuenta: ni identificador de cuenta, ni dirección de correo en claro.
- Vídeos que pasan por una importación desde redes sociales: solo tránsito efímero — se eliminan justo después del análisis y nunca se conservan.
- Fotos y documentos depositados para una importación: se eliminan en cuanto la receta le ha llegado y, como máximo, unos dos días después del depósito.
- Identificador de notificaciones de su dispositivo: se conserva mientras ese dispositivo tenga la sesión iniciada en su cuenta; se retira al cerrar la sesión, en cuanto deja de ser válido y al eliminar la cuenta. Adjunto a una importación, solo se transmite durante esa importación.
- Datos de compra: los eventos de pago transmitidos por RevenueCat se conservan en nuestros servidores durante 90 días y después se eliminan automáticamente; se borran de inmediato al eliminar la cuenta. Su ficha en RevenueCat (identificador de cuenta e historial de compras) se elimina junto con su cuenta; Google Play, vendedor de sus compras, conserva sus propios justificantes de transacción conforme a su política de conservación.
- Datos de fallos: Firebase Crashlytics los conserva 90 días.
- Datos estadísticos: se conservan un máximo de 14 meses.
- Estadísticas agregadas anónimas (coste de uso diario del conjunto de usuarios, cohortes de alta y de baja): no contienen ningún identificador ni ninguna fecha precisa y se conservan sin límite de tiempo; no permiten identificarle.
- Prueba de su consentimiento (versiones de las condiciones aceptadas, fechas, decisiones sobre las estadísticas): se conserva 5 años tras la eliminación de la cuenta, bajo un identificador técnico que ya no permite identificarle; es lo que nos permite demostrar que su consentimiento se recabó correctamente.
7. Eliminación de los datos
Puede eliminar su cuenta y todos los datos asociados en cualquier momento:
- En la app: Ajustes → Cuenta → «Eliminar mi cuenta». La eliminación es inmediata e irreversible; una segunda pasada automática borra, en las horas siguientes, lo que otro dispositivo aún conectado hubiera reenviado entretanto.
- En línea: mediante el formulario de solicitud de eliminación, rellenado con la sesión iniciada en la cuenta de Google que usa en Aloumi: solo eliminamos una cuenta si la solicitud procede de su dirección de correo electrónico. Las solicitudes se tramitan en un plazo de 30 días y se confirman por correo electrónico.
La eliminación borra: sus recetas, listas de la compra, joyas gastronómicas, plan de comidas, configuración del equipamiento, perfil para compartir, imágenes generadas, fotos depositadas para una importación, identificadores de notificaciones de sus dispositivos, contadores de uso de la IA, su cuenta de acceso, su ficha en nuestro proveedor de compras (RevenueCat) y su identificador en nuestra herramienta de medición de audiencia (Google Analytics).
Lo que se conserva, y por qué: los datos de transacción (compras, suscripciones) permanecen en Google Play, vendedor de sus compras, que los conserva en virtud de sus propias obligaciones; la prueba de su consentimiento se conserva 5 años; dos tokens antifraude seudonimizados (véanse §1 y §6) impiden reciclar las ofertas de prueba; y unas estadísticas seudonimizadas de comportamiento, sin ningún dato de contenido, se conservan con fines de análisis estadístico. Salvo los tokens antifraude y lo que Google Play conserva bajo su cuenta de Google, estos datos llevan un identificador técnico ya huérfano: una vez destruida su cuenta de acceso, ninguno permite volver a identificarle.
8. Sus derechos
Conforme al RGPD, tiene derecho de acceso, rectificación, supresión y portabilidad de sus datos, de limitación del tratamiento o de oposición a un tratamiento basado en el interés legítimo, así como a retirar su consentimiento en cualquier momento (para las estadísticas, mediante el interruptor de los Ajustes). La exportación de copia de seguridad local de la app (Ajustes → Mantenimiento) le da en todo momento una copia JSON portable de sus recetas, listas, joyas y equipamiento.
Para ejercer un derecho, escríbanos a la dirección que figura al final. También tiene derecho a presentar una reclamación ante la autoridad de control francesa, la CNIL (cnil.fr), o ante la autoridad de control de su país de residencia (en España, la Agencia Española de Protección de Datos, AEPD).
9. Seguridad de los datos
Sus datos se almacenan en la infraestructura de Google Firebase, protegidos por reglas de acceso por usuario: solo son accesibles para su cuenta autenticada y para los usuarios a los que ha concedido acceso expresamente. Los datos están cifrados en tránsito (TLS) y en reposo en la infraestructura de Google.
10. Menores
Aloumi no se dirige a menores de 15 años (edad del consentimiento digital en Francia) y no recoge conscientemente datos que les conciernan.
11. Cambios en esta política
Si esta política cambia, la actualización se publicará en esta misma dirección con una nueva fecha de «Última actualización». Los cambios sustanciales se le comunicarán en la app.
12. Contacto — responsable del tratamiento
Aloumi está publicada por JEYLAB, SARL de derecho francés con un capital social de 1.000 €, Registro Mercantil de París 943 632 588, domicilio social en 6 rue Émile Dubois, 75014 París. Para cualquier duda o solicitud en materia de privacidad: privacy@aloumi.app (véase también el aviso legal).