Así protegemos tu peso.

Qué guardamos y qué no

Dos datos por medición. Una fecha y un número con un decimal, por ejemplo, 2026-09-19 y 78,4. Una medición al día. Si vuelves a guardar una medición el mismo día, se sustituirá la anterior.

Plan de peso y objetivos corporales, si los quieres. Si usas el plan de peso, también guardamos el peso inicial, el peso objetivo, la fecha objetivo y los objetivos intermedios, además de tu altura y tus medidas corporales, solo si las introduces tú. Se cifran igual que el peso, y cada campo tiene su propia vinculación para que un valor no pueda trasladarse a otro campo. El IMC y la previsión se calculan en tu navegador y no se guardan.

Tu diario, si quieres. Si llevas un diario, guardamos tus notas diarias, tu estado de ánimo, tu motivación y tu mantra, tus propios puntos de medición y las fotos que subas tú. Cada día se cifra como un documento y cada foto, por separado. Las fotos se reducen en tu navegador y se eliminan los datos de ubicación y de la cámara antes de guardarlas.

Nada más. Nada que no hayas escrito o seleccionado tú. Lo que no guardamos no se puede filtrar, utilizar indebidamente ni olvidar eliminar. Esto es la minimización de datos en la práctica.

Y un comprobante de tu consentimiento. Cuando das tu consentimiento, guardamos cuándo lo diste, qué texto viste y si fue en la web o en la app. Esto no incluye datos de salud; es la prueba de que el tratamiento era lícito en ese momento, algo que la ley exige que podamos demostrar.

Por qué pedimos un consentimiento específico

Guardamos las comidas porque son el servicio en sí: el sí que diste al crear la cuenta. Pero el peso es distinto. El Reglamento General de Protección de Datos considera los datos de salud una categoría especial (artículo 9) y, en principio, prohíbe su tratamiento. La excepción más importante es que tú hayas dado tu consentimiento expreso para un bestimmten fin concreto.

Por eso hay una página que tienes que completar antes de poder registrar el primer kilo: seis puntos, una casilla vacía y un botón que solo se activa cuando marcas la casilla. No hay nada seleccionado de antemano. No hay ninguna opción para «saltar». La alternativa a dar tu consentimiento es sencillamente no hacerlo; el resto de la app seguirá funcionando como antes.

Retirarlo es igual de fácil. La ley exige que retirar el consentimiento sea tan fácil como darlo. En Ajustes → Datos de salud encontrarás un botón para retirar tu consentimiento y eliminar los datos de salud de la base de datos activa.

El recorrido de un dato: de tu dedo a la base de datos

Esto es lo que ocurre cuando tocas «Guardar medición»:

1. 1

   En tu teléfono

   El número solo existe en la memoria temporal de la página mientras la estás usando. La app no lo guarda en localStorage ni en una memoria caché permanente. Las respuestas que contienen datos de salud llevan la indicación no-store, que pide al navegador que no las guarde en caché. Es posible que un archivo que exportes tú siga estando en el dispositivo.

2. 2

   De camino al servidor

   Todo se transmite cifrado mediante HTTPS, como el resto de la página. No enviamos tu ID de usuario en la dirección; el servidor te reconoce por tus datos de inicio de sesión.

3. 3

   El servidor comprueba primero

   ¿Has iniciado sesión? ¿Tienes un consentimiento activo? ¿El número está entre 20 y 400 kg y la fecha no es futura? Si algo falla, no se guarda nada y el mensaje de error es un texto fijo: nunca repite el número.

4. 4

   Después, se cifra el número

   Antes de llegar a la base de datos, el número se cifra con AES-256 (más información más abajo). El cifrado y el descifrado posterior se realizan en la memoria del servidor. El valor se guarda cifrado en la base de datos.

5. 5

   En la base de datos

   Lo que se guarda tiene este aspecto v1:kX9…Qw== : un código de unos 60 caracteres que no se puede leer sin la clave. La fecha y tu ID de usuario aparecen en texto sin cifrar para que podamos encontrar la fila. El peso no.

6. 6

   Cuando ves el gráfico

   El servidor descifra los números con la clave, te los envía a través de HTTPS y tu pantalla dibuja el gráfico. Los puntos de acceso habituales al peso requieren que tengas tu propia cuenta. Para compartir datos voluntariamente, hace falta un consentimiento específico, un destinatario seleccionado y acceso temporal.

El cifrado, explicado

AES-256-GCM. AES es el estándar en el que se basan los bancos, los sistemas operativos y la mayoría de las conexiones cifradas del mundo. «256» es la longitud de la clave en bits: hay más claves posibles que átomos en el universo observable, así que no se puede adivinar ni con toda la capacidad de cálculo del mundo. «GCM» significa que cada código también queda sellado: si se cambia un solo carácter, el servidor lo detecta y rechaza el descifrado.

La clave no está en la base de datos. Está en un archivo del propio servidor, con permisos de acceso restringidos, y no forma parte de las copias de seguridad de nuestra base de datos. Esa es la clave: un volcado de la base de datos por sí solo —robado, perdido o compartido por error— solo contiene códigos. Se necesitan tanto el volcado como la clave, y nunca se guardan en el mismo sitio. y Cada medición tiene su propio candado.

Dos números iguales generan dos códigos completamente distintos, porque cada cifrado parte de un nuevo valor aleatorio. Por tanto, no se puede saber comparando los códigos si ayer y hoy pesabas lo mismo. Vinculado a ti.

Tu ID de usuario interviene en el sellado. Si se copia el código de un usuario en la fila de otro, no se puede descifrar. Es un pequeño detalle que evita toda una clase de errores. Así es un código.

Así aparece una medición en la base de datos: Fecha 2026-09-19 Usuario 4127 Peso v1:m2Q8k1xkYVIr9ZfA3sC0oR1kJ4NbXc7h9uQ2t5WdE8yGvLp…

El prefijo

v1: indica el formato de cifrado. La solución actual utiliza una única clave. Para cambiarla hace falta planificar un nuevo cifrado; si solo se sustituye la clave, ya no se podrán leer los valores antiguos. Quién puede ver qué sobre tu peso

¿Quién puede ver qué?

Contamos cuántas personas utilizan la función —es decir, el número de consentimientos y de mediciones— para saber si merece la pena. Nunca contamos en el peso: no calculamos medias, distribuciones ni análisis como «usuarios de más de 90 kg». La promesa de la política de privacidad de no utilizar los datos de peso para estadísticas se refiere a los propios valores, y así se cumple.

Eliminar, retirar el consentimiento y exportar

Deshazlo con un toque. Ajustes → Datos de salud → «Revocar el consentimiento y eliminar el peso y el diario». El servidor elimina las mediciones, el plan, los objetivos corporales, el perfil de cálculo y el diario, y registra la revocación en la misma transacción. En cuanto el servidor lo confirma, los datos se eliminan de la base de datos activa. Si la solicitud falla, hay que repetirla; no se puede deshacer la eliminación desde la aplicación.

Si eliminas tu cuenta, Los datos de peso se eliminarán junto con las comidas, las conversaciones y la propia cuenta cuando confirmes la eliminación.

El registro del consentimiento en la base de datos activa. Tras retirar el consentimiento, se guarda cuándo diste tu consentimiento y cuándo lo retiraste. Ningún dato numérico. Lo guardamos porque la ley exige que podamos demostrar que el tratamiento fue lícito mientras estuvo en vigor, y se eliminará junto con la cuenta.

Copias de seguridad antiguas. Eliminar datos en la aplicación no sobrescribe las copias que ya se han creado. Estas pueden seguir conteniendo datos de salud cifrados. Con la copia y la clave, todavía es posible descifrar los valores antiguos. Encontrarás más información en Política de privacidad.

Llévate tus datos. Desde el mismo sitio puedes descargar todas tus mediciones en JSON o CSV. Un archivo exportado o compartido puede seguir estando en tu dispositivo o en el del destinatario. Eliminar los datos en la aplicación no borra esas copias.

Qué no podemos prometer

La sinceridad es la única base duradera para la confianza; por eso, esto es lo que el cifrado no resuelve:

Quien tenga tanto la base de datos como la clave puede leerlo todo. Por eso, la regla de no guardar nunca ambas cosas juntas no es un detalle: es la protección esencial. Esto también se aplica a nosotros.

Tu propia pantalla. Cuando se genera el gráfico, los datos están en tu dispositivo. Si alguien mira por encima de tu hombro, el cifrado no sirve de ayuda. Por eso, el peso nunca aparece en el panel ni en el menú: solo en la página Peso, que abres tú.

Si perdemos la clave, perderás tus datos. Ese es el resultado adecuado frente a tener una clave guardada en demasiados sitios. La clave está protegida, pero preferimos decirlo claramente antes que fingir que el riesgo es nulo.

El servidor ve el dato durante un instante. El cifrado y el descifrado tienen lugar en la memoria del servidor. Es inevitable si el servidor tiene que generar tu gráfico, pero los datos no se guardan en ningún registro, informe de errores ni disco duro.