Política de privacidad

Última actualización: 11 de septiembre de 2026 · Versión 2.1

Esta Política de Privacidad explica cómo P4Q HEALTH S.L. («Welleo», «nosotros») recoge, utiliza, comparte y protege tu información personal. Cubre dos cosas distintas, y se mantienen separadas a propósito:

Parte A — La tienda online de Welleo. Todo lo que haces en www.welleo.com: navegar, comprar, pagar, envíos, devoluciones, boletines y publicidad.
Parte B — La app de Welleo y tus datos de salud. Todo lo que trata la app móvil de Welleo: resultados de test, analíticas que subes, estimaciones del escaneo facial, datos de ciclo y tu perfil de salud. Los datos de salud nunca se utilizan con fines de marketing ni de publicidad.

La Parte C se aplica a las dos. Si solo compras en la tienda, la Parte A es la que te concierne. Si además usas la app, te conciernen las dos.

Quiénes somos y cómo contactarnos

Responsable del tratamiento
P4Q HEALTH S.L.
Calle Nuestra Señora de la Guía 19, 48810 Alonsotegi, Bizkaia, España
NIF: B67665364
Inscrita en el Registro Mercantil de Bizkaia, tomo 6046, folio 66, hoja BI77644, inscripción 1ª

Contacto de privacidad
Para cualquier asunto relativo a tu información personal, incluidos los derechos que se recogen más abajo, escribe a hello@welleo.com o llama al +34 944 98 20 28.

Parte A — La tienda online de Welleo

La tienda de www.welleo.com está alojada en Shopify, que es lo que nos permite operarla.

A1. Información que recogemos

Datos de contacto — nombre, dirección de facturación, dirección de envío, teléfono y correo electrónico.
Información de pago — método de pago, detalles de la transacción y confirmación del pago. Los números completos de tarjeta los gestionan nuestros proveedores de pago y nosotros no los almacenamos.
Información de cuenta — nombre de usuario, contraseña, preferencias y ajustes.
Información de transacciones — artículos que ves, añades al carrito o a la lista de deseos, compras, devuelves, cambias o cancelas, y tu historial de pedidos.
Comunicaciones con nosotros — lo que escribes cuando contactas con atención al cliente.
Información del dispositivo — dispositivo, navegador, conexión de red, dirección IP e identificadores similares.
Información de uso — cómo y cuándo interactúas con la tienda.

A2. De dónde procede

Directamente de ti, cuando creas una cuenta, haces un pedido o nos escribes.
Automáticamente, de tu dispositivo y mediante cookies y tecnologías similares.
De proveedores de servicios que actúan por cuenta nuestra.
De socios como los proveedores de pago y de transporte.

A3. Para qué la usamos, y con qué base jurídica

Finalidad	Base jurídica (art. 6 del RGPD)
Recibir y cumplir tu pedido, cobro, envío, devoluciones y cambios, y gestionar tu cuenta	Ejecución de un contrato — art. 6.1.b)
Atención al cliente y respuesta a tus consultas	Ejecución de un contrato — art. 6.1.b); o interés legítimo — art. 6.1.f)
Correos de marketing, promociones y publicidad personalizada	Consentimiento — art. 6.1.a), revocable en cualquier momento. Cuando enviamos correos a clientes existentes sobre productos similares, interés legítimo — art. 6.1.f), con un enlace de baja en cada mensaje
Seguridad, prevención del fraude y protección de la tienda	Interés legítimo — art. 6.1.f)
Facturación, contabilidad e impuestos	Obligación legal — art. 6.1.c)
Formular, ejercer o defender reclamaciones	Interés legítimo — art. 6.1.f)

A4. Marketing y publicidad — y lo que no abarca

Utilizamos únicamente información de la tienda — tus datos de contacto, lo que has navegado, lo que has comprado — para enviarte correos de marketing y mostrarte publicidad de nuestros productos en la tienda y en otros sitios web.

Esto nunca incluye datos de salud. Nada de lo descrito en la Parte B — ningún resultado de test, ninguna analítica subida, ninguna estimación del escaneo facial, ningún dato de ciclo, ninguna respuesta del perfil de salud, ni ningún dato derivado de ellos — se utiliza para marketing, para publicidad, para construir audiencias ni para ninguna forma de minería de datos basada en el uso. Los datos de salud nunca se transfieren a plataformas publicitarias, redes de anuncios ni intermediarios de datos, y nunca se venden.

Puedes retirar tu consentimiento para marketing en cualquier momento mediante el enlace de baja de cualquier mensaje, o escribiendo a hello@welleo.com. Retirarlo no detiene los mensajes transaccionales sobre tus pedidos o tu cuenta.

A5. Con quién compartimos la información de la tienda

Shopify — alojamiento y funcionamiento de la tienda y del proceso de pago.
Proveedores de pago — para cobrar y verificar el pago.
Transportistas y operadores logísticos — para entregar tu pedido y gestionar las devoluciones.
Socios de marketing y analítica — para enviar campañas y medirlas, cuando lo has consentido.
Asesores profesionales, autoridades y sucesores — cuando lo exija la ley, para hacer cumplir nuestras condiciones, o en el marco de una fusión u operación similar.

A6. Nuestra relación con Shopify

La tienda está alojada por Shopify, que recoge y trata información sobre tu acceso y uso de la misma para prestar y mejorar el servicio. La información que envías a la tienda se transmite a Shopify y puede tratarse en países distintos de aquel en el que resides. También usamos funciones de Shopify que se nutren de datos de tus interacciones con nuestra tienda, con otros comercios y con la propia Shopify. Para esas funciones, la responsable del tratamiento es Shopify, incluso a efectos de responder a solicitudes al respecto. Consulta la Política de Privacidad para Consumidores de Shopify y el Portal de Privacidad de Shopify.

A7. Cuánto tiempo conservamos la información de la tienda

Categoría	Conservación
Cuenta y perfil de la tienda	Mientras exista la cuenta
Pedidos, facturas y registros contables	6 años desde el cierre del ejercicio, según exige la legislación mercantil y fiscal española
Correspondencia con atención al cliente	El tiempo necesario para resolver el asunto y cualquier reclamación derivada de él
Registros de consentimiento y de baja en marketing	Hasta que retires el consentimiento, más el propio registro de la retirada durante el tiempo necesario para respetarla

Parte B — La app de Welleo y tus datos de salud

Esta parte regula la app móvil de Welleo. Todo lo que contiene son datos de categorías especiales relativos a la salud conforme al artículo 9 del RGPD, y los tratamos como tales.

B1. Los datos de salud que tratamos

Resultados de biomarcadores — valores de los test rápidos de Welleo leídos por el lector, valores que introduces tú, valores leídos de las analíticas que subes, y resultados registrados para ti por una farmacia o un profesional sanitario.
Analíticas subidas — el PDF o la fotografía que subes, y los valores leídos de ella.
Estimaciones del escaneo facial — frecuencia cardíaca, variabilidad de la frecuencia cardíaca, frecuencia respiratoria, presión arterial e índice de estrés, más los índices de bienestar derivados. Son estimaciones, no mediciones.
Datos de ciclo — registro de periodo, check-ins diarios, flujo y síntomas.
Perfil de salud — altura, peso, si fumas, si tienes diabetes y si recibes tratamiento para la hipertensión.
Respuestas del onboarding y del cuestionario, y las recomendaciones derivadas de ellas.
Planes de suplementación y registros de toma.
Citas con farmacias y profesionales sanitarios, y tus farmacias favoritas.
Consentimientos — a qué profesional u organización has dado acceso, a qué categorías de tu historial, y cuándo.
Registro de accesos — un registro de solo adición de cada acceso a tu historial de salud por parte de un profesional o una organización, que puedes consultar íntegramente dentro de la app.
Notificaciones que te hemos enviado, y las categorías que has silenciado.

No almacenamos tu fecha de nacimiento, ni almacenamos vídeo del escaneo facial.

B2. Base jurídica

Tratamos los datos de salud sobre la base de tu consentimiento explícito conforme al artículo 9.2.a) del RGPD, junto con el artículo 6.1.a). El consentimiento se pide por separado, por finalidad y por origen — vincular una farmacia, dar acceso a tu historial a un profesional o activar una función son decisiones independientes.

Puedes retirar el consentimiento en cualquier momento desde la app, en Perfil → Privacidad. Retirar el acceso de un profesional o una organización detiene de inmediato cualquier acceso posterior; no deshace los accesos que ya se produjeron, y el registro de accesos conserva constancia de ellos. La retirada no afecta a la licitud del tratamiento realizado con anterioridad.

Cuando estemos obligados a conservar algo — por ejemplo un registro necesario para defender una reclamación — te lo indicamos, y conservamos únicamente eso.

B3. Lo que nunca hacemos con los datos de salud

En ningún caso:

utilizamos datos de salud para marketing, publicidad, construcción de audiencias ni ninguna forma de minería de datos basada en el uso;
te mostramos publicidad personalizada o basada en intereses a partir de datos de salud;
vendemos datos de salud ni los transferimos a plataformas publicitarias, redes de anuncios o intermediarios de datos;
usamos datos de salud para evaluar solvencia, elegibilidad para un seguro, idoneidad para un empleo o concesión de crédito;
almacenamos datos de salud en iCloud ni en ningún servicio de copia de seguridad en la nube de consumo.

B4. Cómo llegan hasta nosotros los datos de salud

De ti — valores que introduces, analíticas que subes, check-ins y registros de periodo que anotas, respuestas que das.
De un test de Welleo leído por el lector — en casa o en una farmacia adherida.
De un profesional sanitario o una farmacia — resultados y citas que registran para ti, cuando has consentido esa vinculación.
De la cámara, durante un escaneo facial — tratados en tu dispositivo, como se describe en B5.

B5. Quién trata los datos de salud, y qué recibe

Destinatario	Qué trata	Ubicación
Nuestro proveedor de alojamiento	La base de datos y el almacenamiento de objetos de Welleo: todo lo anterior	Unión Europea (España)
Nuestro CRM (operado por nosotros)	El catálogo de productos y test, las cuentas profesionales y la logística de citas. No recibe tus resultados	Unión Europea (España)
Shen.AI — tecnología del escaneo facial	Nada. El escaneo se ejecuta íntegramente en tu dispositivo. Shen.AI recibe únicamente un token de licencia de corta duración emitido por nuestro servidor. Ni el vídeo ni las constantes vitales llegan nunca hasta ellos	—
Google (Firebase Cloud Messaging) — notificaciones push	Un token de dispositivo y el texto de la notificación. El texto de la notificación nunca contiene un valor de resultado	Estados Unidos
Nuestro proveedor de correo	Tu dirección de correo y el contenido del mensaje. Los correos nunca contienen un valor de resultado	Unión Europea (Irlanda)
Apple / Google — inicio de sesión, si lo eliges	Solo autenticación. Ningún dato de salud	Estados Unidos
Proveedores de mapas y geocodificación — para encontrar farmacias cercanas	Una ubicación o una dirección. Ningún dato de salud	Ver B6

Qassay no es un tercero. Es una marca de P4Q HEALTH S.L., la misma empresa — una tira leída por el lector no sale nunca de Welleo. Y la lectura automática de las analíticas subidas no está activada: hoy, una analítica que subes se guarda y los valores los introduces tú. Si algún día activamos la lectura automática, nombraremos en esta sección al proveedor y dónde opera antes de enviarle ni una sola analítica.

B6. Transferencias internacionales

Tus datos de salud se almacenan y se tratan dentro de la Unión Europea — en España, con el envío de correo desde Irlanda.

Los dos destinatarios fuera del EEE no reciben ningún dato de salud: el inicio de sesión con Apple o Google, que solo ve la autenticación, y las notificaciones push, cuyo texto nunca lleva un resultado. Esas transferencias se amparan en las Cláusulas Contractuales Tipo de la Comisión Europea o en una decisión de adecuación relativa al país en cuestión.

Actualizaremos esta política antes de que surta efecto cualquier cambio sobre dónde se tratan tus datos.

B7. Cuánto tiempo conservamos los datos de salud

Categoría	Conservación
Resultados de test, estimaciones del escaneo facial, datos de ciclo, perfil de salud y registros de suplementación	Mientras exista tu cuenta. Eliminar la cuenta los elimina
Ficheros de analíticas subidas	180 días desde la subida, o antes si la eliminas tú. Los valores tomados de una analítica forman parte de tu historial de salud y se conservan por separado, en la fila de arriba
Consentimientos y su retirada	Se conservan como constancia de lo que autorizaste y lo que no, incluso después de eliminar tu cuenta
Registro de accesos	Mientras exista tu cuenta. Es de solo adición: no puede editarse, ni por ti ni por nosotros
Citas	Mientras exista tu cuenta
Notificaciones enviadas	Se conservan como registro de envío, incluso después de eliminar tu cuenta

Eliminar tu cuenta retira tus datos de salud de nuestros sistemas — resultados, estimaciones del escaneo, datos de ciclo, perfil de salud, registros de suplementación, citas, analíticas subidas y el registro de accesos. Dos cosas sobreviven, como dice la tabla de arriba: la constancia de los consentimientos que concediste y retiraste, y el registro de que se envió una notificación. Ninguna de las dos contiene un valor de salud. Desvincular a un profesional o una farmacia no elimina nada — detiene su acceso a partir de ese momento. Son dos acciones distintas con efectos distintos, y la app lo indica en el momento de realizarlas.

B8. Seguridad

Todo el tráfico entre la app y nuestros servidores va cifrado en tránsito (TLS).
Las analíticas subidas se guardan en un almacenamiento privado e independiente, sin dirección pública. Solo se sirven mediante una petición autenticada que ha comprobado que el registro es tuyo.
Un profesional solo puede ver las categorías de tu historial que le hayas concedido, y cada acceso queda escrito en el registro de accesos.
Los datos usados para pruebas y desarrollo se anonimizan antes de salir de producción.

Ningún sistema es perfectamente seguro, y la información enviada por internet nunca está completamente exenta de riesgo. Si una brecha afecta a tus derechos, te lo notificaremos a ti y a la autoridad de control conforme exigen los artículos 33 y 34 del RGPD.

B9. Tus derechos sobre los datos de salud

Además de los derechos de la Parte C, la app te da tres de ellos directamente:

Eliminar tu cuenta y tus datos — Perfil → Eliminar cuenta → Confirmar.
Descargar todo lo que guardamos — Perfil → Descargar mis datos, en un fichero JSON. También hay disponible una exportación clínica en formato FHIR R4 para compartirla con tu médico.
Ver quién ha consultado tu historial — el registro de accesos, en Perfil → Privacidad, junto con los consentimientos que has concedido y un control para retirar cada uno.

B10. No es un producto sanitario, y no es un diagnóstico

La app de Welleo no es un producto sanitario, y nada de lo que contiene es un diagnóstico.

Los valores del escaneo facial son estimaciones de bienestar, no mediciones clínicas. Ni ellos ni ningún otro valor de la app se utilizan para decidir un tratamiento, seleccionar un protocolo clínico o generar una derivación. Los resultados se presentan para tu propia información y para conversarlos con un profesional sanitario.

Consulta siempre a un médico o farmacéutico sobre tu salud. Nunca retrases la búsqueda de consejo médico, ni desatiendas el que ya te hayan dado, por algo que te haya mostrado la app. Si crees que puedes estar ante una urgencia médica, contacta con los servicios de emergencia.

Parte C — Aplicable a las dos

C1. Tus derechos

Conforme al RGPD, tienes derecho a:

Acceso — obtener una copia de la información personal que tenemos sobre ti.
Rectificación — que se corrija la información inexacta.
Supresión — que se eliminen tus datos.
Portabilidad — recibir tu información en un formato legible por máquina y que se transmita a otro responsable.
Limitación — pedirnos que restrinjamos el uso que hacemos de tu información.
Oposición — oponerte al tratamiento basado en nuestros intereses legítimos, y oponerte en cualquier momento a la mercadotecnia directa.
Retirar el consentimiento — en cualquier momento, sin que afecte al tratamiento ya realizado.
No ser objeto de decisiones automatizadas que produzcan efectos jurídicos o similarmente significativos. No tomamos ese tipo de decisiones.

Ejerce cualquiera de ellos desde la app donde se indique, o escribiendo a hello@welleo.com. Responderemos en el plazo de un mes, prorrogable en dos meses más para solicitudes complejas, y te avisaremos si necesitamos la prórroga. Es posible que primero tengamos que verificar tu identidad. Puedes designar a alguien para que actúe en tu nombre; le pediremos prueba de la autorización. Ejercer un derecho no te cuesta nada y nunca te trataremos de forma distinta por hacerlo.

C2. Reclamaciones

Si no estás conforme con cómo tratamos tu información personal, escribe primero a hello@welleo.com — suele ser la vía más rápida para resolverlo.

También tienes derecho a presentar una reclamación ante una autoridad de control. En España es la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid — www.aepd.es. Si resides en otro país del EEE, puedes reclamar ante tu autoridad nacional; la lista está aquí.

C3. Menores

Welleo no está dirigida a menores de 16 años, y no recogemos conscientemente información personal de menores de 16 años. Si eres padre, madre o tutor y crees que un menor nos ha facilitado su información, escribe a hello@welleo.com y la eliminaremos.

C4. Enlaces a otros sitios

Nuestra tienda y nuestra app pueden enlazar a sitios que no controlamos. No somos responsables de su contenido, de sus prácticas de privacidad ni de su seguridad. Lee sus políticas antes de facilitarles tu información.

C5. Cambios en esta política

Actualizamos esta política cuando cambian nuestras prácticas, o por motivos operativos, legales o regulatorios. La versión revisada se publica aquí con una nueva fecha de «Última actualización» y un nuevo número de versión y, cuando el cambio sea significativo, te lo comunicaremos antes de que surta efecto. La tabla siguiente recoge qué cambió y cuándo.

Versión	Fecha	Qué cambió
2.1	11 de septiembre de 2026	Correcciones tras una comprobación. Los ficheros de analíticas subidas se conservan 180 días, no mientras exista la cuenta. Se indica que los consentimientos y el registro de notificaciones sobreviven al borrado de la cuenta, que es lo que ocurre. Qassay figura como marca del responsable y no como destinatario aparte, y se indica que la lectura automática de las analíticas no está activada, porque no lo está. Se nombran las ubicaciones de tratamiento: España, con el correo desde Irlanda. Se retira una afirmación sobre la edad mínima alineada en las dos tiendas de apps, que aún no se ha comprobado.
2.0	11 de septiembre de 2026	Dividida en una parte de tienda y una parte de app y datos de salud. Se añadieron las bases jurídicas, un inventario de los datos de salud tratados, la base del artículo 9, una exclusión expresa de los datos de salud respecto del marketing y la publicidad, los destinatarios nombrados uno a uno, la conservación por categoría, las medidas de seguridad, un contacto de privacidad identificado y la declaración de que la app no es un producto sanitario. Se fusionó una sección de derechos duplicada. Las ubicaciones de los destinatarios y la conservación de los registros mercantiles se indican en términos generales a la espera de completar el inventario; se detallarán en una versión posterior.
1.0	5 de agosto de 2026	Versión inicial.

C6. Contacto

P4Q HEALTH S.L.
Calle Nuestra Señora de la Guía 19, 48810 Alonsotegi, Bizkaia, España
Contacto de privacidad: hello@welleo.com · +34 944 98 20 28

A efectos de la normativa de protección de datos, P4Q HEALTH S.L. es la responsable del tratamiento de tu información personal.