Última actualización: 31 de octubre de 2026 · Versión 2.7

Esta Política de Privacidad explica cómo P4Q HEALTH S.L. («Welleo», «nosotros») recoge, utiliza, comparte y protege tu información personal. Cubre dos cosas distintas, y se mantienen separadas a propósito:

• Parte A — La tienda online de Welleo. Todo lo que haces en www.welleo.com: navegar, comprar, pagar, envíos, devoluciones, boletines y publicidad.
• Parte B — La app de Welleo y tus datos de salud. Todo lo que trata la app móvil de Welleo: resultados de test, analíticas que subes, estimaciones del escaneo facial, datos de ciclo, tu perfil de salud y lo que importas de Apple Salud, Health Connect o un wearable, además de un registro de cómo se usa la app y de los informes de cuándo falla. Los datos de salud nunca se utilizan con fines de marketing ni de publicidad.

La Parte C se aplica a las dos. Si solo compras en la tienda, la Parte A es la que te concierne. Si además usas la app, te conciernen las dos.

Quiénes somos y cómo contactarnos

Responsable del tratamiento
P4Q HEALTH S.L.
Calle Nuestra Señora de la Guía 19, 48810 Alonsotegi, Bizkaia, España
NIF: B67665364
Inscrita en el Registro Mercantil de Bizkaia, tomo 6046, folio 66, hoja BI77644, inscripción 1ª

Delegado de Protección de Datos
Para cualquier asunto relativo a tu información personal, incluidos los derechos que se recogen más abajo, escribe a nuestro Delegado de Protección de Datos en dpo@welleo.com o llama al +34 944 98 20 28. Para pedidos, envíos y todo lo demás, hello@welleo.com.

---

Parte A — La tienda online de Welleo

La tienda de www.welleo.com está alojada en Shopify, que es lo que nos permite operarla.

A1. Información que recogemos

• Datos de contacto — nombre, dirección de facturación, dirección de envío, teléfono y correo electrónico.
• Información de pago — método de pago, detalles de la transacción y confirmación del pago. Los números completos de tarjeta los gestionan nuestros proveedores de pago y nosotros no los almacenamos.
• Información de cuenta — nombre de usuario, contraseña, preferencias y ajustes.
• Información de transacciones — artículos que ves, añades al carrito o a la lista de deseos, compras, devuelves, cambias o cancelas, y tu historial de pedidos.
• Comunicaciones con nosotros — lo que escribes cuando contactas con atención al cliente, por correo, desde la app o por WhatsApp, y las fotos o documentos que adjuntes.
• Información del dispositivo — dispositivo, navegador, conexión de red, dirección IP e identificadores similares.
• Información de uso — cómo y cuándo interactúas con la tienda.

A2. De dónde procede

• Directamente de ti, cuando creas una cuenta, haces un pedido o nos escribes.
• Automáticamente, de tu dispositivo y mediante cookies y tecnologías similares — ver A8.
• De proveedores de servicios que actúan por cuenta nuestra.
• De socios como los proveedores de pago y de transporte.

A3. Para qué la usamos, y con qué base jurídica

Finalidad	Base jurídica (art. 6 del RGPD)
Recibir y cumplir tu pedido, cobro, envío, devoluciones y cambios, y gestionar tu cuenta	Ejecución de un contrato — art. 6.1.b)
Atención al cliente y respuesta a tus consultas	Ejecución de un contrato — art. 6.1.b); o interés legítimo — art. 6.1.f)
Correos de marketing, promociones y publicidad personalizada	Consentimiento — art. 6.1.a), revocable en cualquier momento. Cuando enviamos correos a clientes existentes sobre productos similares, interés legítimo — art. 6.1.f), con un enlace de baja en cada mensaje
Seguridad, prevención del fraude y protección de la tienda	Interés legítimo — art. 6.1.f)
Facturación, contabilidad e impuestos	Obligación legal — art. 6.1.c)
Formular, ejercer o defender reclamaciones	Interés legítimo — art. 6.1.f)

A4. Marketing y publicidad — y lo que no abarca

Utilizamos únicamente información de la tienda — tus datos de contacto, lo que has navegado, lo que has comprado — para enviarte correos de marketing y mostrarte publicidad de nuestros productos en la tienda y en otros sitios web.

Esto nunca incluye datos de salud. Nada de lo descrito en la Parte B — ningún resultado de test, ninguna analítica subida, ninguna estimación del escaneo facial, ningún dato de ciclo, ninguna respuesta del perfil de salud, ni ningún dato derivado de ellos — se utiliza para marketing, para publicidad, para construir audiencias ni para ninguna forma de minería de datos basada en el uso. Los datos de salud nunca se transfieren a plataformas publicitarias, redes de anuncios ni intermediarios de datos, y nunca se venden.

Puedes retirar tu consentimiento para marketing en cualquier momento mediante el enlace de baja de cualquier mensaje, o escribiendo a dpo@welleo.com. Retirarlo no detiene los mensajes transaccionales sobre tus pedidos o tu cuenta.

A5. Con quién compartimos la información de la tienda

• Shopify — alojamiento y funcionamiento de la tienda y del proceso de pago.
• Proveedores de pago — para cobrar y verificar el pago.
• Transportistas y operadores logísticos — para entregar tu pedido y gestionar las devoluciones.
• WhatsApp (WhatsApp Ireland Limited, del grupo Meta) — solo si nos escribes por WhatsApp. Transporta tus mensajes, lo que adjuntes, tu nombre de perfil de WhatsApp y tu número de teléfono entre tú y nuestro equipo de atención al cliente. Meta puede tratarlos en Estados Unidos, al amparo del Marco de Privacidad de Datos UE-EE. UU., con las Cláusulas Contractuales Tipo de la Comisión Europea como respaldo. Tu uso de WhatsApp se rige además por la política de privacidad de WhatsApp.
• Socios de marketing y analítica — Meta, Google, TikTok y Klaviyo, para enviar campañas y medir qué anuncios funcionan, y Judge.me para las reseñas. En A8 está qué pone cada uno y cuándo.
• Asesores profesionales, autoridades y sucesores — cuando lo exija la ley, para hacer cumplir nuestras condiciones, o en el marco de una fusión u operación similar.

A6. Nuestra relación con Shopify

La tienda está alojada por Shopify, que recoge y trata información sobre tu acceso y uso de la misma para prestar y mejorar el servicio. La información que envías a la tienda se transmite a Shopify y puede tratarse en países distintos de aquel en el que resides. También usamos funciones de Shopify que se nutren de datos de tus interacciones con nuestra tienda, con otros comercios y con la propia Shopify. Para esas funciones, la responsable del tratamiento es Shopify, incluso a efectos de responder a solicitudes al respecto. Consulta la Política de Privacidad para Consumidores de Shopify y el Portal de Privacidad de Shopify.

A7. Cuánto tiempo conservamos la información de la tienda

Categoría	Conservación
Cuenta y perfil de la tienda	Mientras exista la cuenta
Pedidos, facturas y registros contables	6 años desde el cierre del ejercicio, según exige la legislación mercantil y fiscal española
Correspondencia con atención al cliente, incluidos los mensajes por WhatsApp	El tiempo necesario para resolver el asunto y cualquier reclamación derivada de él
Registros de consentimiento y de baja en marketing	Hasta que retires el consentimiento, más el propio registro de la retirada durante el tiempo necesario para respetarla

A8. Cookies y tecnologías similares

La primera vez que entras, un banner te pregunta si aceptas cookies más allá de las que la tienda no puede dejar de usar. Rechazar es un solo clic, en el mismo sitio y con el mismo peso que aceptar. Aparte de las estrictamente necesarias y de las reseñas (ver «Funcionales» más abajo), nada se instala hasta que eliges, y si rechazas, las de analítica y las de publicidad no se instalan en absoluto.

Para cambiar de opinión, abre Administrar preferencias en el banner; si ya no aparece, borrar las cookies de este sitio lo hace volver. Tu elección se recuerda durante un año, pasado el cual se te vuelve a preguntar.

Categoría	Qué hace, y quién la pone	Duración
Estrictamente necesarias siempre activas	Mantienen tu carrito y tu sesión; recuerdan tu país e idioma (localization) y la moneda que ves (cart_currency); te llevan por el pago; y guardan la elección que hiciste sobre cookies. Las pone Shopify (_shopify_essential lleva la sesión) y, en el pago, tu proveedor. Además guardamos welleo_locale_detected en el almacenamiento local de tu navegador, solo cuando eliges un idioma en el selector de idioma de la web, para que se abra en ese idioma la próxima vez que entres. Se queda hasta que borres los datos del sitio en tu navegador.	Sesión a 1 año
Analítica solo si aceptas	Cuentan visitas y miden qué páginas y productos se usan, para poder mejorar la tienda. Cookie de analítica propia de Shopify (_shopify_analytics; Shopify mantiene la lista completa en su política de cookies). Microsoft Clarity — analítica de página y repetición de sesión — está instalado pero apagado; si lo encendemos funcionará con este mismo consentimiento, como el resto de esta fila	Sesión a 1 año
Funcionales siempre activas	Muestran las reseñas de clientes en las fichas de producto y recuerdan cuáles has visto. Las pone Judge.me, que funciona aceptes o no, porque las reseñas forman parte de la página	Hasta 1 año
Publicidad solo si aceptas	Miden qué anuncio te trajo hasta aquí, avisan a la plataforma cuando una visita acaba en pedido, y nos permiten volver a mostrarte nuestros productos en esas plataformas después — lo que se llama retargeting. Las ponen Meta (Facebook e Instagram), Google (incluidos YouTube y Google Tag Manager) y TikTok. Klaviyo, nuestro proveedor de correo, mide además qué abriste y en qué hiciste clic, y la cookie de marketing propia de Shopify (_shopify_marketing) sigue la misma elección. Ninguna de ellas se carga hasta que aceptas	Sesión a 2 años

Parte de esto se envía desde nuestros servidores, no desde tu navegador. Para Meta, Google, TikTok y Klaviyo usamos el envío desde servidor de Shopify además de la etiqueta del navegador: cuando aceptas, los mismos eventos — una página vista, un carrito, un pedido — se reenvían desde Shopify a esas plataformas directamente. Son los mismos datos con la misma finalidad, y siguen la misma elección que hiciste en el banner. Eso sí significa que un bloqueador de anuncios del navegador no lo impide; rechazar, sí.

A dónde va. Meta, Google, TikTok, Klaviyo y Microsoft están en Estados Unidos. Cuando aceptas cookies de publicidad o de analítica, los datos de esta sección se transfieren allí, al amparo de las Cláusulas Contractuales Tipo de la Comisión Europea o de una decisión de adecuación relativa al país. Si rechazas, no se recoge ni se envía nada de esas dos filas. Esto es independiente de tus datos de salud, que se quedan en la Unión Europea — ver B6.

Hay otras herramientas instaladas en la tienda pero apagadas, y mientras lo estén no recogen nada. Si alguna vez encendemos una, funcionará con el consentimiento de su fila de arriba, y esta sección la nombra antes de que empiece a recoger.

Dos cosas que no son cookies pero van aquí. Cuando completas el chequeo de bienestar y nos das tu correo, ese correo y los productos que te recomendamos se envían a Klaviyo, nuestro proveedor de correo, para poder mandarte el resultado — las respuestas que diste no se envían, y Klaviyo no pone ninguna cookie en esta tienda. Y si usas Shop Pay, el pago acelerado de Shopify se carga desde shop.app y gestiona ahí la sesión de pago.

Las páginas con vídeo incrustado usan youtube-nocookie.com, que no pone nada hasta que le das al play. Si sigues un enlace a otro sitio, mandan las reglas de ese sitio.

---

Parte B — La app de Welleo y tus datos de salud

Esta parte regula la app móvil de Welleo. Todo lo que recogen las secciones B1 a B10 son datos de categorías especiales relativos a la salud conforme al artículo 9 del RGPD, y los tratamos como tales. La sección B11 recoge dos cosas que la app registra y que no son datos de salud.

B1. Los datos de salud que tratamos

• Resultados de biomarcadores — valores de los test rápidos de Welleo leídos por el lector, valores que introduces tú, valores leídos de las analíticas que subes, y resultados registrados para ti por una farmacia o un profesional sanitario.
• Analíticas subidas — el PDF o la fotografía que subes, y los valores leídos de ella.
• Estimaciones del escaneo facial — frecuencia cardíaca, variabilidad de la frecuencia cardíaca, frecuencia respiratoria, presión arterial e índice de estrés, más los índices de bienestar derivados. Son estimaciones, no mediciones.
• Datos de ciclo — registro de periodo, check-ins diarios, flujo y síntomas.
• Datos de Apple Salud, Health Connect y wearables — solo si los conectas: frecuencia cardíaca, frecuencia cardíaca en reposo, frecuencia cardíaca al caminar, recuperación cardíaca, variabilidad de la frecuencia cardíaca, frecuencia respiratoria, oxígeno en sangre, temperatura corporal, temperatura basal, temperatura de la muñeca mientras duermes, presión arterial, glucosa en sangre, sueño, pasos, energía activa, energía en reposo, minutos de ejercicio, horas de pie, pisos subidos, tiempo a la luz del día, distancia, VO2 máx., entrenamientos (sin su recorrido), peso, grasa corporal y masa magra, y, con un consentimiento aparte, tus registros de periodo y flujo. B4 indica qué fuente aporta cada uno.
• Perfil de salud — altura, peso, si fumas, si tienes diabetes y si recibes tratamiento para la hipertensión.
• Respuestas del onboarding y del cuestionario, y las recomendaciones derivadas de ellas.
• Planes de suplementación y registros de toma.
• Citas con farmacias y profesionales sanitarios, y tus farmacias favoritas.
• Consentimientos — a qué profesional u organización has dado acceso, a qué categorías de tu historial, y cuándo.
• Registro de accesos — un registro de solo adición de cada acceso a tu historial de salud por parte de un profesional o una organización, que puedes consultar íntegramente dentro de la app.
• Notificaciones que te hemos enviado, y las categorías que has silenciado.

No almacenamos tu fecha de nacimiento, ni almacenamos vídeo del escaneo facial.

B2. Base jurídica

Tratamos los datos de salud sobre la base de tu consentimiento explícito conforme al artículo 9.2.a) del RGPD, junto con el artículo 6.1.a). El consentimiento se pide por separado, por finalidad y por origen — vincular una farmacia, dar acceso a tu historial a un profesional o activar una función son decisiones independientes.

Puedes retirar el consentimiento en cualquier momento desde la app, en Perfil → Privacidad. Retirar el acceso de un profesional o una organización detiene de inmediato cualquier acceso posterior; no deshace los accesos que ya se produjeron, y el registro de accesos conserva constancia de ellos. La retirada no afecta a la licitud del tratamiento realizado con anterioridad.

Cuando estemos obligados a conservar algo — por ejemplo un registro necesario para defender una reclamación — te lo indicamos, y conservamos únicamente eso.

B3. Lo que nunca hacemos con los datos de salud

En ningún caso:

• utilizamos datos de salud para marketing, publicidad, construcción de audiencias ni ninguna forma de minería de datos basada en el uso;
• te mostramos publicidad personalizada o basada en intereses a partir de datos de salud;
• vendemos datos de salud ni los transferimos a plataformas publicitarias, redes de anuncios o intermediarios de datos;
• usamos datos de salud para evaluar solvencia, elegibilidad para un seguro, idoneidad para un empleo o concesión de crédito;
• almacenamos datos de salud en iCloud ni en ningún servicio de copia de seguridad en la nube de consumo.

B4. Cómo llegan hasta nosotros los datos de salud

• De ti — valores que introduces, analíticas que subes, check-ins y registros de periodo que anotas, respuestas que das.
• De ti, cuando contactas con atención al cliente — un resultado, una foto de un test o una analítica que decides enviarnos por correo, en el chat de la app o por WhatsApp. Se conserva con tu solicitud de soporte (A7).
• De un test de Welleo leído por el lector — en casa o en una farmacia adherida.
• De un profesional sanitario o una farmacia — resultados y citas que registran para ti, cuando has consentido esa vinculación.
• De la cámara, durante un escaneo facial — tratados en tu dispositivo, como se describe en B5.
• De Apple Salud (iPhone) o Health Connect (Android) — solo si lo conectas, y solo los tipos que permitas en la pantalla de permisos de tu teléfono: frecuencia cardíaca, frecuencia cardíaca en reposo, variabilidad de la frecuencia cardíaca, frecuencia respiratoria, oxígeno en sangre, temperatura corporal, temperatura basal, presión arterial, glucosa en sangre, sueño, pasos, energía activa, distancia, VO2 máx., peso, grasa corporal y masa magra. De Apple Salud, la app también puede leer la frecuencia cardíaca al caminar, la recuperación cardíaca, la temperatura de la muñeca mientras duermes, la energía en reposo, los minutos de ejercicio, las horas de pie, los pisos subidos y el tiempo a la luz del día. Tus registros de periodo y flujo solo se importan si además activas la importación del ciclo, que pide su propio consentimiento. La app los lee en tu teléfono y nos los envía, incluidos, la primera vez, hasta los 12 meses anteriores. En el iPhone, Apple Salud también puede activar la app en segundo plano cuando hay datos nuevos, como máximo una vez por hora, para que nos envíe lo nuevo. Nunca escribe nada en Apple Salud ni en Health Connect.
• De un wearable, a través de Terra — solo si conectas una cuenta de dispositivo como Garmin, Polar o Withings, y solo si tienes 18 años o más. Inicias sesión con el fabricante en la página de Terra, y Terra nos envía los resúmenes diarios, el sueño, las medidas corporales y los entrenamientos (sin su recorrido) de esa cuenta. Ver B5 y B6.

B5. Quién trata los datos de salud, y qué recibe

Destinatario	Qué trata	Ubicación
Nuestro proveedor de alojamiento	La base de datos y el almacenamiento de objetos de Welleo: todo lo anterior	Unión Europea (España)
Nuestro CRM (operado por nosotros)	El catálogo de productos y test, las cuentas profesionales, la logística de citas y las solicitudes de soporte. No recibe tus resultados desde la app; solo guarda lo que decides enviarnos cuando contactas con atención al cliente (B4)	Unión Europea (España)
Shen.AI — tecnología del escaneo facial	Nada. El escaneo se ejecuta íntegramente en tu dispositivo. Shen.AI recibe únicamente un token de licencia de corta duración emitido por nuestro servidor. Ni el vídeo ni las constantes vitales llegan nunca hasta ellos	—
Google (Firebase Cloud Messaging) — notificaciones push	Un token de dispositivo y el texto de la notificación. El texto de la notificación nunca contiene un valor de resultado	Estados Unidos
Nuestro proveedor de correo	Tu dirección de correo y el contenido del mensaje. Los correos nunca contienen un valor de resultado	Unión Europea (Irlanda)
WhatsApp (WhatsApp Ireland Limited) — solo si nos escribes por WhatsApp	Tus mensajes y lo que adjuntes, que puede incluir datos de salud que decidas enviarnos, junto con tu nombre de perfil de WhatsApp y tu número de teléfono	Infraestructura de Meta, incluido Estados Unidos — ver B6
Apple Salud / Health Connect — solo si los conectas	Nada de nuestra parte. La app los lee en tu teléfono y envía lo leído a nuestros servidores, nunca a Apple ni a Google	—
Terra (Terra Enabling Developers Limited) — conexión de wearables, solo si conectas uno	El acceso a la cuenta de dispositivo que conectas, y los datos que nos envía (B4). Terra los trata por cuenta nuestra y también para sus propios fines — mejorar su servicio, desarrollar productos e investigación que solo se publica como resultados agregados o anonimizados — conforme a su política de privacidad para usuarios finales, que aceptas al conectar	Reino Unido y Países Bajos, con transferencias a Estados Unidos — ver B6
Apple / Google — inicio de sesión, si lo eliges	Solo autenticación. Ningún dato de salud	Estados Unidos
Proveedores de mapas y geocodificación — para encontrar farmacias cercanas	Una ubicación o una dirección. Ningún dato de salud	Ver B6

Qassay no es un tercero. Es una marca de P4Q HEALTH S.L., la misma empresa — una tira leída por el lector no sale nunca de Welleo. Y la lectura automática de las analíticas subidas no está activada: hoy, una analítica que subes se guarda y los valores los introduces tú. Si algún día activamos la lectura automática, nombraremos en esta sección al proveedor y dónde opera antes de enviarle ni una sola analítica.

B6. Transferencias internacionales

Tus datos de salud se almacenan y se tratan dentro de la Unión Europea — en España, con el envío de correo desde Irlanda. Hay dos excepciones, ambas descritas más abajo: lo que decidas enviarnos por WhatsApp, y los datos de un wearable que conectes a través de Terra.

Aparte de esas dos, los destinatarios fuera del EEE no reciben ningún dato de salud: el inicio de sesión con Apple o Google, que solo ve la autenticación, y las notificaciones push, cuyo texto nunca lleva un resultado. Esas transferencias se amparan en las Cláusulas Contractuales Tipo de la Comisión Europea o en una decisión de adecuación relativa al país en cuestión.

WhatsApp. Si nos escribes por WhatsApp, Meta puede tratar tus mensajes y lo que adjuntes en Estados Unidos, incluidos los datos de salud que decidas enviarnos. Esa transferencia se ampara en el Marco de Privacidad de Datos UE-EE. UU., con las Cláusulas Contractuales Tipo como respaldo. Si prefieres que tus datos de salud se queden en la Unión Europea, escríbenos por correo o desde la app.

Terra. Si conectas un wearable a través de Terra, Terra trata sus datos en el Reino Unido y en los Países Bajos, y puede transferirlos a Estados Unidos. El Reino Unido cuenta con una decisión de adecuación; la transferencia a Estados Unidos se ampara en las Cláusulas Contractuales Tipo. Apple Salud y Health Connect no pasan por Terra: lo que la app lee ahí llega directamente a nuestros servidores en España.

Actualizaremos esta política antes de que surta efecto cualquier cambio sobre dónde se tratan tus datos.

B7. Cuánto tiempo conservamos los datos de salud

Categoría	Conservación
Resultados de test, estimaciones del escaneo facial, datos de ciclo, perfil de salud y registros de suplementación	Mientras exista tu cuenta. Eliminar la cuenta los elimina
Datos importados de Apple Salud, Health Connect o un wearable	Mientras exista tu cuenta. Eliminar la cuenta los elimina. Desconectar una fuente detiene cualquier importación posterior, pero conserva lo ya importado, salvo en el caso de Oura, cuyos datos se eliminan al desconectarla
Ficheros de analíticas subidas	180 días desde la subida, o antes si la eliminas tú. Los valores tomados de una analítica forman parte de tu historial de salud y se conservan por separado, en la fila de arriba
Consentimientos que das a profesionales y organizaciones, y su retirada	Mientras exista tu cuenta. Si eliminas tu cuenta, se eliminan
Registro de accesos	Mientras exista tu cuenta. Es de solo adición: no puede editarse, ni por ti ni por nosotros
Citas	Mientras exista tu cuenta. Si eliminas tu cuenta, se cancelan tus citas futuras; las citas pasadas se conservan por ahora, como explica el párrafo siguiente
Notificaciones enviadas, y las categorías que has silenciado	Mientras exista tu cuenta. Si eliminas tu cuenta, se eliminan
Lo que aceptaste al registrarte	Se conserva como prueba de tu consentimiento (art. 7.1 del RGPD), incluso después de eliminar tu cuenta: qué documentos aceptaste, en qué versión, cuándo y cómo, y que declaraste tener al menos la edad mínima. No contiene datos de contacto ni datos de salud

Eliminar tu cuenta retira tus datos de salud de nuestros sistemas — resultados, estimaciones del escaneo, datos de ciclo, perfil de salud, registros de suplementación, analíticas subidas, los consentimientos que diste, las notificaciones que te enviamos y el registro de accesos — y cancela tus citas futuras. Dos cosas sobreviven, como dice la tabla de arriba. La primera es la constancia de lo que aceptaste al registrarte, que no contiene datos de salud. La segunda son tus citas pasadas, con las notas que haya hecho el profesional: las conservamos por ahora mientras confirmamos si la normativa sobre historia clínica obliga a la farmacia o al profesional a conservarlas, y actualizaremos esta política cuando se decida. Desvincular a un profesional o una farmacia no elimina nada — detiene su acceso a partir de ese momento. Son dos acciones distintas con efectos distintos, y la app lo indica en el momento de realizarlas.

Terra guarda su propia copia durante poco tiempo. Terra suele eliminar los datos del wearable dos días después de recogerlos y los conserva como máximo seis meses, conforme a su política de privacidad para usuarios finales. Eliminar tu cuenta de Welleo también pone fin a tu conexión con Terra.

B8. Seguridad

• Todo el tráfico entre la app y nuestros servidores va cifrado en tránsito (TLS).
• Las analíticas subidas se guardan en un almacenamiento privado e independiente, sin dirección pública. Solo se sirven mediante una petición autenticada que ha comprobado que el registro es tuyo.
• Un profesional solo puede ver las categorías de tu historial que le hayas concedido, y cada acceso queda escrito en el registro de accesos.
• Los datos usados para pruebas y desarrollo se anonimizan antes de salir de producción.

Ningún sistema es perfectamente seguro, y la información enviada por internet nunca está completamente exenta de riesgo. Si una brecha afecta a tus derechos, te lo notificaremos a ti y a la autoridad de control conforme exigen los artículos 33 y 34 del RGPD.

B9. Tus derechos sobre los datos de salud

Además de los derechos de la Parte C, la app te da tres de ellos directamente:

• Eliminar tu cuenta y tus datos — Perfil → Eliminar cuenta → Confirmar.
• Descargar todo lo que guardamos — Perfil → Descargar mis datos, en un fichero JSON. También hay disponible una exportación clínica en formato FHIR R4 para compartirla con tu médico.
• Ver quién ha consultado tu historial — el registro de accesos, en Perfil → Privacidad, junto con los consentimientos que has concedido y un control para retirar cada uno.

B10. No es un producto sanitario, y no es un diagnóstico

La app de Welleo no es un producto sanitario, y nada de lo que contiene es un diagnóstico.

Los valores del escaneo facial son estimaciones de bienestar, no mediciones clínicas. Ni ellos ni ningún otro valor de la app se utilizan para decidir un tratamiento, seleccionar un protocolo clínico o generar una derivación. Los resultados se presentan para tu propia información y para conversarlos con un profesional sanitario.

Consulta siempre a un médico o farmacéutico sobre tu salud. Nunca retrases la búsqueda de consejo médico, ni desatiendas el que ya te hayan dado, por algo que te haya mostrado la app. Si crees que puedes estar ante una urgencia médica, contacta con los servicios de emergencia.

B11. Cómo se usa la app, y cuándo falla

La app registra dos cosas más. Ninguna contiene un valor de salud, y las dos se guardan aparte de tu historial de salud.

Lo que la app te mostró y lo que tocaste. En la pantalla de Inicio y en la de recomendaciones, la app registra qué secciones y tarjetas se mostraron, en qué posición, cuáles tocaste o abriste, y cuándo. Registra el nombre de la sección o la tarjeta, como «puntuación de bienestar» o «recomendación 42», nunca lo que mostraba: ni un resultado, ni un valor, ni el motivo por el que apareció una tarjeta. Estos registros están vinculados a tu cuenta. Como el nombre de una tarjeta puede relacionarse con la recomendación a la que correspondía, les aplicamos las mismas reglas que al resto de esta parte: nunca se usan con fines de marketing ni de publicidad, y nunca se comparten fuera de Welleo.

Los usamos para una sola cosa: ver si lo que la app pone delante de las personas les resulta útil, por ejemplo si una recomendación llega a abrirse o si se llega a una sección, y mejorar lo que muestra. Hoy nada cambia para ti en la app por ellos. Si eso cambiara, esta sección lo dirá antes de que ocurra.

Informes de errores. Cuando la app falla, envía un informe de qué se rompió, en qué parte del código, y en qué versión de la app y en qué tipo de dispositivo. Los informes de errores no están vinculados a tu cuenta: la app nunca les añade tu nombre, tu correo ni tu cuenta, y elimina los identificadores, las direcciones de correo y el contenido de las peticiones de los datos que incluye. Van a un servicio de seguimiento de errores que gestionamos nosotros mismos, en el mismo alojamiento en España que el resto de la app. Ninguna empresa externa los recibe.

Registro	Base jurídica (art. 6 del RGPD)	Conservación
Lo que la app te mostró y lo que tocaste	Interés legítimo — art. 6.1.f): saber si la app es útil, y mejorarla	13 meses, y después se eliminan. Si eliminas tu cuenta, se eliminan antes. Se incluyen cuando descargas tus datos (B9)
Informes de errores	Interés legítimo — art. 6.1.f): que la app siga funcionando	El tiempo necesario para encontrar y corregir el fallo

Como los dos se basan en nuestro interés legítimo, puedes oponerte a cualquiera de ellos en cualquier momento (C1) escribiendo a dpo@welleo.com.

---

Parte C — Aplicable a las dos

C1. Tus derechos

Conforme al RGPD, tienes derecho a:

• Acceso — obtener una copia de la información personal que tenemos sobre ti.
• Rectificación — que se corrija la información inexacta.
• Supresión — que se eliminen tus datos.
• Portabilidad — recibir tu información en un formato legible por máquina y que se transmita a otro responsable.
• Limitación — pedirnos que restrinjamos el uso que hacemos de tu información.
• Oposición — oponerte al tratamiento basado en nuestros intereses legítimos, y oponerte en cualquier momento a la mercadotecnia directa.
• Retirar el consentimiento — en cualquier momento, sin que afecte al tratamiento ya realizado.
• No ser objeto de decisiones automatizadas que produzcan efectos jurídicos o similarmente significativos. No tomamos ese tipo de decisiones.

Ejerce cualquiera de ellos desde la app donde se indique, o escribiendo a dpo@welleo.com. Responderemos en el plazo de un mes, prorrogable en dos meses más para solicitudes complejas, y te avisaremos si necesitamos la prórroga. Es posible que primero tengamos que verificar tu identidad. Puedes designar a alguien para que actúe en tu nombre; le pediremos prueba de la autorización. Ejercer un derecho no te cuesta nada y nunca te trataremos de forma distinta por hacerlo.

C2. Reclamaciones

Si no estás conforme con cómo tratamos tu información personal, escribe primero a dpo@welleo.com — suele ser la vía más rápida para resolverlo.

También tienes derecho a presentar una reclamación ante una autoridad de control. En España es la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid — www.aepd.es. Si resides en otro país del EEE, puedes reclamar ante tu autoridad nacional; la lista está aquí.

C3. Menores

Welleo no está dirigida a menores de 16 años, y no recogemos conscientemente información personal de menores de 16 años. Si eres padre, madre o tutor y crees que un menor nos ha facilitado su información, escribe a dpo@welleo.com y la eliminaremos.

C4. Enlaces a otros sitios

Nuestra tienda y nuestra app pueden enlazar a sitios que no controlamos. No somos responsables de su contenido, de sus prácticas de privacidad ni de su seguridad. Lee sus políticas antes de facilitarles tu información.

C5. Cambios en esta política

Actualizamos esta política cuando cambian nuestras prácticas, o por motivos operativos, legales o regulatorios. La versión revisada se publica aquí con una nueva fecha de «Última actualización» y un nuevo número de versión y, cuando el cambio sea significativo, te lo comunicaremos antes de que surta efecto. La tabla siguiente recoge qué cambió y cuándo.

Versión	Fecha	Qué cambió
2.7	31 de octubre de 2026	Se añade lo que la app puede leer ahora de Apple Salud: frecuencia cardíaca al caminar, recuperación cardíaca, temperatura de la muñeca mientras duermes, energía en reposo, minutos de ejercicio, horas de pie, pisos subidos y tiempo a la luz del día (B1, B4). Se añade que, en el iPhone, Apple Salud puede activar la app en segundo plano para enviarnos los datos nuevos, como máximo una vez por hora (B4). B4 nombra ahora también el oxígeno en sangre y la glucosa en sangre, que la app ya leía de Apple Salud y Health Connect.
2.6	22 de octubre de 2026	Se corrige para qué sirve welleo_locale_detected (A8). Ahora guarda el idioma que eliges en el selector de idioma de la web, para que se abra en ese idioma cuando vuelvas, y se queda hasta que borres los datos del sitio en tu navegador. Antes indicaba que la redirección automática de idioma ya se había hecho.
2.5	9 de octubre de 2026	Se añade WhatsApp como vía de contacto con atención al cliente: qué transporta, quién lo presta y que Meta puede tratar tus mensajes en Estados Unidos (A1, A5, A7, B4, B5, B6). Se corrige B5, que decía que nuestro CRM no recibe tus resultados: guarda lo que decidas enviarnos cuando contactas con atención al cliente, como la foto de un test. Se añade lo que la app importa de Apple Salud, Health Connect y los wearables si los conectas, incluidos tus registros de periodo con un consentimiento aparte, y que nunca escribe en ellos (B1, B4, B7). Se nombra a Terra, que conecta los wearables: qué recibe, sus propios usos, dónde trata los datos y cuánto tiempo los conserva (B5, B6, B7).
2.4	1 de octubre de 2026	Se añade la sección B11. La app registra qué secciones y tarjetas mostró en las pantallas de Inicio y de recomendaciones y cuáles tocaste, vinculado a tu cuenta y conservado 13 meses, y envía informes de errores a un servicio de seguimiento de errores que gestionamos nosotros mismos. Ninguna de las dos cosas se describía antes. La introducción de la Parte B indica ahora qué secciones tratan datos de salud. Se corrige además lo que ocurre al eliminar tu cuenta (B7). Los consentimientos que das a profesionales y las notificaciones que te enviamos se eliminan con tu cuenta; esta política decía, por error, que se conservaban. Las citas pasadas se conservan por ahora, mientras confirmamos si la normativa sobre historia clínica lo exige; esta política decía, por error, que se eliminaban. B7 indica ahora qué sobrevive a la eliminación: la constancia de lo que aceptaste al registrarte y tus citas pasadas.
2.3	16 de septiembre de 2026	Se nombra a nuestro Delegado de Protección de Datos y dpo@welleo.com pasa a ser el contacto para todo lo relativo a tu información personal, en lugar de hello@welleo.com. Se corrigen los nombres de las cookies de Shopify en A8 por los que la tienda instala hoy.
2.2	15 de septiembre de 2026	Se añade la sección A8, sobre cookies y tecnologías similares: qué categorías se instalan, quién las pone, cuánto duran y cómo cambiar tu elección. Se nombran los destinatarios de publicidad y analítica — Meta, Google, TikTok, Klaviyo, Judge.me y Microsoft Clarity — en A5 y A8, junto con qué recoge cada uno y cuándo. Se añade que parte de esos eventos se envían desde nuestros servidores y no desde tu navegador, que las etiquetas de publicidad se usan también para retargeting, y que esos datos van a Estados Unidos al amparo de las Cláusulas Contractuales Tipo. Sustituye a una sola frase y hace que el enlace del banner de cookies lleve por fin a una explicación completa. Se recoge además que completar el chequeo de bienestar envía tu correo y los productos recomendados a nuestro proveedor de correo, y que tus respuestas no van con ellos.
2.1	11 de septiembre de 2026	Correcciones tras una comprobación. Los ficheros de analíticas subidas se conservan 180 días, no mientras exista la cuenta. Se indica que los consentimientos y el registro de notificaciones sobreviven al borrado de la cuenta, que es lo que ocurre. Qassay figura como marca del responsable y no como destinatario aparte, y se indica que la lectura automática de las analíticas no está activada, porque no lo está. Se nombran las ubicaciones de tratamiento: España, con el correo desde Irlanda. Se retira una afirmación sobre la edad mínima alineada en las dos tiendas de apps, que aún no se ha comprobado.
2.0	11 de septiembre de 2026	Dividida en una parte de tienda y una parte de app y datos de salud. Se añadieron las bases jurídicas, un inventario de los datos de salud tratados, la base del artículo 9, una exclusión expresa de los datos de salud respecto del marketing y la publicidad, los destinatarios nombrados uno a uno, la conservación por categoría, las medidas de seguridad, un contacto de privacidad identificado y la declaración de que la app no es un producto sanitario. Se fusionó una sección de derechos duplicada. Las ubicaciones de los destinatarios y la conservación de los registros mercantiles se indican en términos generales a la espera de completar el inventario; se detallarán en una versión posterior.
1.0	5 de agosto de 2026	Versión inicial.

C6. Contacto

P4Q HEALTH S.L.
Calle Nuestra Señora de la Guía 19, 48810 Alonsotegi, Bizkaia, España
Delegado de Protección de Datos: dpo@welleo.com · +34 944 98 20 28

A efectos de la normativa de protección de datos, P4Q HEALTH S.L. es la responsable del tratamiento de tu información personal.