Política de privacidad

Nidox organiza la vida familiar en iOS, Android y la web con el mismo proyecto Firebase. La publicación en Google Play y las compras Android están en preparación. Este aviso también cubre la web pública.

Responsable

Christian Casariego, operador de Nidox. Dirección postal: [completar dirección comercial]. Contacto: contact@nidox.app. Hay que confirmar el proveedor legal y los datos registrales antes de publicar este borrador como aviso vigente.

Datos y finalidades

Tratamos identificadores de cuenta de Firebase/Apple/Google y el nombre/correo proporcionado para iniciar sesión y recuperar tu familia. Apple puede facilitar un correo de retransmisión. No recibimos la contraseña de Apple o Google.

Guardamos los perfiles, roles, colores, edades/fechas opcionales, avatares y calendarios, tareas, listas, contactos, comidas, recetas, horarios, viajes, reservas, presupuestos y notas que añades. La IA utiliza solicitudes, texto extraído, imágenes de horarios solicitadas, contexto familiar necesario, conversaciones privadas y propuestas. Contadores/costes limitan la cuota y evitan abusos.

Tokens de dispositivos, comprobaciones de integridad, IP e información técnica de solicitudes/errores permiten proteger, alojar y operar el servicio y ofrecer soporte. Nidox no añade identificadores ni seguimiento publicitario. Las suscripciones guardan producto, referencias verificadas, fechas y estado; las tarjetas permanecen en la tienda. Los tokens de compra de Google Play son solo del servidor y no se comparten con la familia.

Si se aplica el RGPD, las operaciones necesarias para cuenta/servicio se basan en el contrato y la seguridad/operación/soporte proporcionados en intereses legítimos. Tú inicias la ubicación y las consultas de IA opcionales; usamos consentimiento cuando la ley lo exige. Puedes detenerlas, sin afectar tratamientos anteriores lícitos. No introduzcas datos ajenos o sensibles de salud/religión sin autoridad y base legal. No tomamos decisiones con efecto legal o similar exclusivamente mediante IA.

Acceso y cifrado

Los roles regulan el acceso familiar. Un perfil sin cuenta no permite iniciar sesión. Las conversaciones de IA son privadas de su titular. Follow Me tiene destinatarios elegidos por separado.

Los datos están cifrados en tránsito y almacenados, pero no de extremo a extremo. Administradores autorizados y proveedores de infraestructura pueden acceder técnicamente para operar el servicio; los roles familiares no impiden ese acceso administrativo. Los destinatarios pueden copiar los datos compartidos.

Catálogo compartido de recetas

Las recetas genéricas del estudio o asistente se guardan en un catálogo para usuarios que han iniciado sesión en Nidox. Contiene el plato, ingredientes, instrucciones, cocina, etiquetas dietéticas/de alérgenos, nutrientes estimados por ración y, cuando esté disponible, una imagen reutilizable generada por IA. Los registros no incluyen identificadores de cuenta/familia, nombres, perfiles de alergias ni la solicitud original. Describe comida, sin información personal; se rechazan datos personales/de contacto cuando se detectan. Recetas familiares guardadas, planificación, raciones y listas permanecen en el espacio privado de la familia. Generar utiliza la cuota existente de IA; buscar en el catálogo no requiere una solicitud de IA. La imagen puede no estar disponible aunque la receta se cree. Los nutrientes y alérgenos son estimaciones generadas, no una base verificada ni una garantía de seguridad para alergias: comprueba ingredientes y envases. Las recetas genéricas pueden permanecer tras eliminar una cuenta porque no tienen vínculo de propiedad. Los registros privados de reintentos caducan al día; el borrado es asíncrono.

Follow Me

Inicias la sesión, autorizas la ubicación y eliges destinatarios y duración limitada, con destino opcional. Otros miembros, incluidos propietarios, no pueden activarla por ti. El servidor muestra puntos GPS muestreados solo a los destinatarios autorizados. No registra cada paso ni es un servicio de emergencia o seguridad.

iOS utiliza ubicación de fondo permitida y Apple Maps para recorrido y estimación. Android emplea un servicio de ubicación visible iniciado con la app abierta; las restricciones de batería pueden interrumpirlo. En la web depende de mantener la página activa. Android muestra actualmente la ruta sin calcular una llegada en la app; abrir otra app de navegación es una acción explícita.

Live Activities de iOS o notificaciones Android pueden incluir identificadores, nombre del viajero, etiqueta de destino, tiempos y progreso/llegada disponible. No incluyen coordenadas precisas del recorrido. Los proveedores de notificaciones procesan estos datos; considera su visibilidad en la pantalla bloqueada.

El servidor bloquea el acceso al procesar Detener o al expirar el tiempo. Detener elimina la ruta activa; una tarea cada cinco minutos elimina rutas expiradas y reintenta fallos. Los metadatos se programan para borrar 24 horas después. Android envía coordenadas muestreadas sin una cola persistente de escrituras offline; los puntos recibidos permanecen en memoria y se retiran al detener, bloquear o perder autorización. Los metadatos de sesión y destino pueden permanecer en la caché local ordinaria. Las copias de seguridad y de destinatarios son independientes. No enviamos rutas a OpenAI.

Funciones locales, mapas e imágenes

Las cartas/fotos/PDF compatibles se leen localmente con reconocimiento Apple, ML Kit integrado en Android u OCR/PDF en el navegador. La cámara de documentos y el reconocimiento QR de invitaciones en Android son locales; el permiso de cámara se solicita al usarlos. Firebase comprueba el código antes de confirmar la unión, pero no se suben fotogramas del escáner. Solo envías el texto a la IA salvo el recurso opcional a imagen del horario: si la lectura local no obtiene clases útiles, puedes enviar expresamente una imagen reducida a la IA existente, incluido OpenAI. No se envía automáticamente. La voz nativa compatible se reconoce localmente; Android no activa automáticamente un proveedor en la nube si falta soporte. La voz opcional del navegador empieza al activar el micrófono. El navegador puede enviar audio a su proveedor de reconocimiento; no garantizamos procesamiento local. El texto sigue siendo editable y solo se envía a la IA de Nidox cuando lo envías tú. Los avatares compartidos se suben a Firebase Storage.

Las fotos de viajes elegidas en iOS o Android permanecen locales. Android puede guardar referencias privadas y las fechas/ubicaciones EXIF disponibles para la cuenta, familia y viaje elegidos; el original permanece con su proveedor multimedia. La selección manual no necesita acceso a toda la biblioteca. La acción opcional Buscar fotos pide acceso a fotos/selección y, cuando proceda, a sus ubicaciones originales. Busca localmente por fechas del viaje dentro de 150 km del destino. Si faltan coordenadas de destino, se envía su nombre al geocodificador del sistema Android. Las fotos y ubicaciones EXIF no se suben a Nidox ni OpenAI. El mapa opcional de fotos solicita teselas para la zona mostrada, como se explica abajo. Puedes quitar las asociaciones del viaje o revocar permisos en los ajustes Android.

Los recordatorios personales son opcionales y se programan en tu dispositivo. Cuando el dispositivo acepta uno, Nidox guarda su título, descripción breve, identificador del elemento y hora prevista en un historial privado de tu cuenta, visible en la bandeja de notificaciones de tus otros dispositivos. Los permisos y tiempos de aviso siguen siendo locales. Las entradas aparecen a partir de la hora prevista; este historial registra un recordatorio programado y no demuestra que el sistema lo haya mostrado. El dispositivo que lo programó elimina los recordatorios futuros cancelados; los anteriores pueden permanecer como historial. Este historial no envía una segunda notificación push. La programación puede funcionar sin conexión y el historial se sincroniza al volver a conectar. Cerrar sesión o cambiar de cuenta/familia cancela los recordatorios activos del dispositivo. El bloqueo de la app oculta los detalles de las notificaciones.

Copiar planes Nidox al calendario del dispositivo es opcional. Android requiere permisos de lectura y escritura para elegir un calendario editable y mantener las copias propias. Nidox lee metadatos del calendario y sus copias etiquetadas; no sube eventos ajenos del dispositivo a Firebase. Las copias automáticas comienzan con planes nuevos o marcados tras activar la opción. Las copias vinculadas pueden actualizarse o eliminarse según los cambios en Nidox. Desactivar nuevas copias mantiene las existentes vinculadas; cambiar de calendario deja las anteriores en su calendario previo. Su proveedor puede sincronizarlas conforme a su propia política.

Los calendarios conectados son una función opcional independiente. Cuando esté disponible, puedes conectar Google Calendar u Outlook mediante sus pantallas de autorización, o iCloud con una contraseña específica para apps. Recuperamos nombres de calendarios y eventos solo de los calendarios que seleccionas expresamente, incluidos títulos, notas, lugares y fechas. Las importaciones son privadas para tu cuenta de forma predeterminada. Compartir con la familia hace visibles sus eventos importados a tu familia. La sincronización bidireccional envía los cambios que confirmas en Nidox al calendario seleccionado del proveedor; la importación de solo lectura no modifica sus eventos. Las series se muestran dentro de la ventana temporal móvil admitida y se editan para una sola aparición. Las invitaciones que podrían notificar a otras personas deben editarse en la app original.

Los tokens de actualización y las contraseñas específicas de iCloud se cifran con una clave del servidor, se guardan separados de los eventos legibles y solo el backend los usa para sincronizar tus calendarios seleccionados. No es cifrado de extremo a extremo. Ni las credenciales ni los eventos importados privados se envían automáticamente al asistente de IA. Los eventos compartidos expresamente con la familia pueden formar parte del contexto familiar al invocar el asistente. Desconectar detiene la sincronización, elimina las copias importadas activas de Nidox y borra las credenciales guardadas; no elimina los eventos originales del proveedor. No podemos retirar copias ya vistas o guardadas por familiares. Revoca también la autorización o contraseña específica con el proveedor para retirar ese permiso. Google, Microsoft y Apple procesan las solicitudes de calendario conforme a sus políticas, posiblemente fuera de Suiza/EEE. Eliminar la cuenta también desconecta los calendarios; la retención de recuperación de Firebase se aplica a copias y credenciales cifradas eliminadas.

El acceso del asistente del sistema Android comienza desactivado y es opcional por cuenta. En dispositivos compatibles, llamadas de sistema autorizadas pueden leer la agenda de hoy o tareas pendientes de una persona en la familia elegida, tras comprobar sesión, bloqueo y permisos actuales del servidor. Los datos devueltos también quedan sujetos a la política del proveedor del asistente. Las acciones de compra/completar tareas abren una revisión en Nidox y necesitan confirmación; no escriben automáticamente. No exponen puntos de ruta ni conversaciones privadas de IA.

iOS usa mapas/rutas de Apple. Web y Android solicitan teselas OpenStreetMap, revelando IP y zona del mapa al proveedor. Wikimedia proporciona imágenes públicas: las solicitudes web y Android utilizan claves de destinos conocidos y no direcciones privadas. La acción explícita Buscar dirección en Android envía la dirección que introduces al servicio de geocodificación del sistema; Nidox no incluye tu posición GPS actual en esta solicitud. Cargar imágenes revela IP/datos técnicos a Wikimedia; se muestra fuente, autor y licencia. Los lugares privados/desconocidos usan un fondo decorativo. Abrir mapas, calendarios o apps de compartir transfiere los datos que eliges según sus propias políticas.

Cuando una receta no tiene una foto guardada o generada, la versión web puede mostrar una foto representativa de Wikimedia Commons. Nidox la selecciona localmente mediante un conjunto limitado de claves de platos públicos; no envía a Wikimedia textos de recetas familiares, listas de ingredientes ni perfiles de alergias. Ver la foto envía tu dirección IP y datos técnicos de la solicitud a Wikimedia. Se muestran la fuente, el autor y la licencia. Son fotos de ejemplo, y los ingredientes exactos del plato fotografiado pueden diferir de la receta guardada.

Asistentes externos opcionales (MCP)

Si el piloto controlado está disponible para tu cuenta, puedes conectar un asistente externo compatible mediante el servicio Model Context Protocol (MCP) de Nidox. Inicias sesión con tu cuenta, eliges una familia y autorizas permisos explícitos. La conexión no amplía tu rol familiar. Los permisos de lectura y de preparación de cambios son independientes. Las propuestas solo se guardan tras tu revisión y aprobación autenticadas en Nidox.

Las herramientas autorizadas pueden devolver contexto familiar mínimo, eventos compartidos, tareas, listas, planes de comidas y recetas. Calendarios privados importados, conversaciones privadas, contactos, documentos, ubicaciones Follow Me, credenciales de proveedores, invitaciones, facturación y eliminación de cuenta no forman parte de estas primeras herramientas. Los datos enviados al asistente salen de Nidox y se procesan según los términos, privacidad, conservación y transferencias de ese proveedor. Nidox no controla copias ya recibidas. Las lecturas y acciones preparadas ordinarias no requieren otra llamada al modelo de IA de Nidox.

Guardamos la vinculación de cuenta, familia y cliente, permisos, creación, último uso y revocación, registros de credenciales limitadas y acciones preparadas para autorizar, proteger y ejecutar cambios aprobados. Los límites de solicitudes y registros operativos mínimos protegen frente al abuso; no deben incluir tokens ni contenido privado completo. Puedes revisar y revocar en Ajustes → Aplicaciones conectadas. Revocar detiene el acceso futuro, pero no borra copias recibidas. Eliminar la cuenta o perder membresía también detiene el acceso autorizado. Cerrar la pestaña no revoca. Consulta disponibilidad y clientes en la guía para desarrolladores.

Proveedores y transferencias

• Google/Firebase: base familiar, Cloud Storage y funciones en Zúrich. App Hosting de la web autenticada en Países Bajos; web/CDN pueden usar infraestructura global. Authentication procesa datos en Estados Unidos. FCM, App Check, hosting y operación pueden procesar datos técnicos internacionalmente. Privacidad de Firebase.
• Apple y Google: identidad, integridad, notificaciones y compras usan sus servicios y pueden implicar otros países.
• OpenAI: solicitudes/contexto opcionales de IA mediante API, con posible procesamiento en Estados Unidos. No se usan para entrenar por defecto. Los registros estándar de abuso pueden conservarse hasta 30 días, con excepciones legales/de seguridad. Nidox no promete Zero Data Retention ni IA solo en la UE. Controles de datos OpenAI.
• OpenStreetMap/Wikimedia: mapas/imágenes como se explica; pueden operar fuera de Suiza/EEE. Enlaces externos pueden introducir otros proveedores.

Las transferencias requieren garantías aplicables, como adecuación reconocida o protección contractual. Puedes pedir información sobre los acuerdos aplicables. Una base en Zúrich no significa que todo se procese en Suiza.

Menores

Los adultos deben crear solo perfiles necesarios y obtener la autorización parental legalmente exigida para cuentas infantiles o ubicación. Una invitación no verifica edad ni consentimiento parental. Nidox no realiza actualmente comprobaciones formales de edad/tutor. Avísanos si se creó una cuenta/perfil sin autoridad suficiente. Follow Me no debe utilizarse para vigilancia oculta.

Conservación, eliminación y derechos

Los contenidos se conservan hasta eliminarlos o borrar la familia; no hay borrado automático por inactividad. Eliminar cuenta borra autenticación, conversaciones privadas, membresías y registros de dispositivos. Si no queda otro miembro con cuenta, se borra la familia y sus archivos; si queda, sus contenidos compartidos permanecen. Cancelar la cuenta no cancela una suscripción de tienda.

Firestore conserva copias diarias durante 14 días, copias semanales durante 98 días e historial de recuperación a un momento concreto durante un máximo de siete días. Storage conserva versiones anteriores de los archivos durante un máximo de 30 días o hasta que existan 10 versiones más recientes, lo que ocurra primero; las versiones eliminadas siguen siendo recuperables durante siete días mediante la eliminación temporal. Estas copias de recuperación pueden contener datos ya retirados de la app activa. Los registros de acceso a datos de Firestore y Storage se almacenan en Zúrich durante 30 días; los registros administrativos y de seguridad gestionados por Google tienen plazos independientes. Los registros de suscripciones y de prevención de abusos tienen plazos operativos o legales separados y no forman un archivo familiar permanente. El calendario de conservación de estos registros comerciales sigue pendiente de revisión antes de publicar este borrador.

Los datos familiares ordinarios usan una caché privada persistente de Firestore en Android. Datos cargados y cambios aceptados localmente sin conexión pueden sobrevivir al reinicio. La aceptación local no confirma el servidor; un cambio puede rechazarse al comprobar permisos/reglas. Cerrar sesión o cambiar de cuenta Firebase limpia lógicamente esa caché y escrituras sin confirmar; no garantiza borrado forense. Los datos de la app Android se excluyen de copias en la nube y transferencia de dispositivos. El bloqueo oculta app, avisos y widgets, pero no añade cifrado de extremo a extremo. Los widgets conservan solo nombres y resúmenes seleccionados de planes/tareas/comidas vinculados a la cuenta, nunca rutas, conversaciones de IA ni tokens; ocultan detalles al bloquear o invalidar la cuenta/familia. Cachés del dispositivo/navegador, fotos locales y copias de calendario se controlan por separado. Cierra sesión y borra datos locales en dispositivos compartidos, y gestiona copias exportadas con su proveedor de calendario.

Usa Ajustes → Cuenta → Eliminar cuenta o la página de eliminación. Puedes solicitar acceso, corrección, eliminación y, cuando corresponda, limitación, portabilidad u oposición por correo. Verificamos titularidad sin pedir contraseñas/tokens. Puedes reclamar al FDPIC suizo o a la autoridad europea competente. Comunicaremos cambios importantes de proveedores, permisos o avisos.

Web y soporte

La web pública no incluye SDK analítico ni publicitario de Nidox. El hosting puede registrar solicitudes necesarias. Preferencias y la autenticación, integridad y datos offline de la app web usan almacenamiento del navegador. El soporte recibe lo que envías mediante tu proveedor de correo; omite contraseñas, tokens y documentos familiares innecesarios.