Política de Privacitat i Declaració RGPD
Darrera actualització: 15 de juliol de 2026 (versió 2026-07-15)
MIT-OX et dona pautes de nutrició construïdes a partir del teu entrenament real. Per fer-ho hem de tractar dades de salut sobre tu: el teu cos, els teus entrenaments i a quina intensitat els fas. Això és sensible, i ho tractem com a tal.
Només et demanem el que una recomanació necessita de debò. Les dades de salut es xifren abans de desar-se. Mai venem les teves dades i no fem servir les teves dades de salut per a publicitat.
Tu mans: pots exportar tot el que tenim, corregir-ho, retirar el teu consentiment o eliminar el teu compte i les teves dades — des de la teva pàgina de compte, o escrivint a legal@mit-ox.com, quan vulguis.
1. Qui som
MIT-OX Nutrition System S.A. («MIT-OX», «nosaltres») és el responsable del tractament de les dades personals descrites en aquesta política. És a dir: decidim per què i com es tracten les teves dades, i en responem davant teu.
- Responsable del tractament: MIT-OX Nutrition System S.A.
- Domicili social: —
- Número d'identificació fiscal: —
- Contacte de privacitat: legal@mit-ox.com
- Delegat de Protecció de Dades: pots contactar directament amb el nostre DPO a legal@mit-ox.com
Aquesta política explica què fem amb les teves dades, per què ho podem fer i quins drets tens sota el Reglament General de Protecció de Dades (RGPD).
2. Les dades que tractem
Agrupem les teves dades per allò que són i per què existeixen. Només desem el que una recomanació, una comanda o el teu compte necessiten realment.
| Categoria | Què inclou | D'on ve |
|---|---|---|
| Dades de compte | Correu electrònic, contrasenya (desada només com a hash amb sal — mai la veiem), mètode d'accés, data de creació del compte. | De tu, en registrar-te. |
| Perfil i dades de salut | Sexe, edat, pes corporal, alçada, esport, durada i intensitat de la sessió, entorn d'entrenament, tolerància intestinal i entrenament de l'intestí, taxa de suor estimada o mesurada. | De tu, en respondre les preguntes del perfil. |
| Perfil de TrainingPeaks | Nom, cognoms, correu electrònic, data de naixement, pes i alçada, i les teves zones i llindars d'entrenament (per exemple FTP o freqüència cardíaca llindar). | De TrainingPeaks, només si decideixes connectar el teu compte. |
| Dades d'entrenament i biomètriques | Entrenaments planificats i completats: tipus d'esport, data i hora, durada, distància, estructura d'intervals planificada, factor d'intensitat i càrrega (TSS), potència, freqüència cardíaca, cadència, velocitat, desnivell, energia i temperatura — el tipus de dades que sol contenir un fitxer d'entrenament (FIT). | De TrainingPeaks, si el connectes. |
| Dades de localització | El lloc d'entrenament que ens indiques (com una latitud/longitud aproximada) i la teva franja horària habitual d'entrenament. Es fan servir únicament per consultar la temperatura prevista d'una sessió, perquè la calor canvia les teves necessitats de líquid i sodi. | De tu. No rastregem la ubicació del teu dispositiu en segon pla. |
| Registres de nutrició | Les recomanacions que generem per a tu i el registre del que vam escriure al teu calendari de TrainingPeaks (la data, el total de carbohidrat i un identificador de l'entrada de nutrició o del comentari que vam crear). | Generats per nosaltres. |
| Registres de consentiment | A què vas consentir, quina versió d'aquesta política vas acceptar i quan — i quan el vas retirar, si ho vas fer. | Generats per nosaltres, per acreditar que t'ho vam demanar correctament. |
| Registres de seguretat i auditoria | Esdeveniments rellevants per a la seguretat, com ara inicis de sessió, connexió o desconnexió de TrainingPeaks, exportacions de dades i eliminació del compte. | Generats per nosaltres. |
| Dades de comanda i pagament | El teu historial de comandes i la confirmació de pagament que rebem. Les dades de la targeta les gestiona el nostre proveïdor de pagaments i mai arriben als nostres servidors. | De tu i del nostre proveïdor de pagaments. |
3. Dades de salut i el teu consentiment explícit
Gairebé tot el que fa útil MIT-OX — el teu pes, la teva freqüència cardíaca, la teva càrrega d'entrenament, la teva taxa de suor — són «dades relatives a la salut» segons l'article 9 del RGPD. Són una categoria especial de dades, amb protecció reforçada, i només les podem tractar per un conjunt reduït de motius.
Ens basem en el teu consentiment explícit (article 9.2.a del RGPD). Te'l demanem de manera clara, abans de desar dades de salut associades al teu compte, i registrem quina versió d'aquesta política vas acceptar. Si no hi consents, pots continuar fent servir el generador de protocols sense compte: simplement no desarem res sobre tu.
Pots retirar el teu consentiment quan vulguis. Retirar-lo no fa il·lícit el tractament anterior, però sí que atura el tractament de les teves dades de salut a partir d'aquell moment — i, com que les dades de salut són la base de qualsevol recomanació, retirar-lo posa fi a la pràctica al servei personalitzat.
4. Per què fem servir les teves dades i amb quina base legal
El RGPD exigeix una base legal per a cada finalitat. Aquestes són les nostres, finalitat per finalitat.
| Per què ho tractem | Què fem servir | Base legal |
|---|---|---|
| Per construir el teu pla de nutrició personalitzat i escriure'l al teu calendari d'entrenament | Perfil, dades de salut, entrenament, estructura i localització | El teu consentiment explícit per a les dades de salut (art. 9.2.a); execució del nostre contracte amb tu (art. 6.1.b) |
| Per crear i mantenir el teu compte i mantenir la teva sessió segura | Dades de compte | Execució del contracte (art. 6.1.b) |
| Per gestionar les teves comandes i pagaments | Dades de comanda i pagament | Execució del contracte (art. 6.1.b) |
| Per conservar factures i registres comptables | Dades de comanda i pagament | Compliment d'una obligació legal (art. 6.1.c) |
| Per mantenir el servei segur, prevenir abusos i investigar incidents | Registres de seguretat i auditoria, dades de limitació de peticions | El nostre interès legítim a protegir el servei (art. 6.1.f) |
| Per entendre com es fa servir l'aplicació i millorar-la | Dades d'analítica (vegeu «Galetes i analítica») | El teu consentiment (art. 6.1.a) |
| Per acreditar que vam obtenir el consentiment correctament | Registres de consentiment | Compliment d'una obligació legal (art. 6.1.c) i el nostre interès legítim a demostrar el compliment (art. 6.1.f) |
No venem les teves dades personals, no les compartim amb intermediaris de dades i mai fem servir les teves dades de salut o d'entrenament amb finalitats publicitàries ni per elaborar perfils amb finalitats de màrqueting.
5. Amb qui les compartim
Només compartim dades amb els proveïdors que necessitem per prestar el servei. Cadascun actua sota un contracte que limita el que pot fer-hi. A cap li permetem fer servir les teves dades per a finalitats pròpies.
| Proveïdor | Què rep | Per què |
|---|---|---|
| TrainingPeaks, LLC (Estats Units) | La teva autorització i la nutrició que escrivim: una entrada diària de nutrició i un comentari de nutrició a l'entrenament corresponent. D'allà llegim el teu perfil, les teves zones i els teus entrenaments. | Només si connectes el teu compte de TrainingPeaks, perquè el teu pla es construeixi a partir de les teves sessions reals i s'entregui allà on entrenes. Pots desconnectar-lo quan vulguis. TrainingPeaks és responsable del tractament independent pel que fa a les dades del teu compte de TrainingPeaks: la seva pròpia política de privacitat regeix què en fa. |
| Stripe Payments Europe, Limited (Irlanda) | Les teves dades de pagament i de comanda. Els números de targeta van directament a Stripe i mai arriben als nostres servidors. | Per cobrar de manera segura. Stripe Technology Company, Limited (Irlanda) és l'establiment principal de Stripe a Europa a efectes de protecció de dades. |
| Google Analytics (Google Ireland Limited) | Dades d'ús i de dispositiu, com ara pàgines vistes i regió aproximada. | Per entendre com es fa servir l'aplicació i millorar-la. Només s'executa si acceptes les galetes d'analítica. |
Allotgem el servei als nostres propis servidors a Barcelona, i allà hi viuen el teu compte i les teves dades de salut. No hi ha cap proveïdor de núvol extern que les guardi, i no surten de la UE llevat dels casos indicats a dalt.
També podem comunicar dades si la llei ens hi obliga (per exemple, una ordre judicial vàlida) o per formular, exercir o defensar reclamacions.
6. Enviament de dades fora de l'EEE
Alguns dels nostres proveïdors són als Estats Units o hi envien dades. Quan les teves dades surten de l'Espai Econòmic Europeu, apliquem les garanties que exigeix el RGPD: o bé la certificació del proveïdor sota el Marc de Privacitat de Dades UE–EUA, o bé les Clàusules Contractuals Tipus de la Comissió Europea, juntament amb mesures tècniques addicionals com el xifratge.
| Proveïdor | On van les teves dades | Garantia que les protegeix |
|---|---|---|
| TrainingPeaks | Estats Units | Clàusules Contractuals Tipus aprovades per la Comissió Europea; en pots demanar còpia a TrainingPeaks a privacy@trainingpeaks.com. TrainingPeaks, LLC és una empresa estatunidenca i responsable del tractament independent, de manera que la seva pròpia política de privacitat també regeix el teu compte de TrainingPeaks. |
| Stripe | Irlanda, amb transferències ulteriors als Estats Units | Marc de Privacitat de Dades UE–EUA, amb les Clàusules Contractuals Tipus com a alternativa. |
| Google Analytics | Irlanda, amb transferències ulteriors als Estats Units | Marc de Privacitat de Dades UE–EUA, més les Clàusules Contractuals Tipus per a determinades transferències. |
Pots demanar-nos una còpia de les garanties en què ens basem escrivint a legal@mit-ox.com.
7. Quant de temps les conservem
| Dades | Conservació |
|---|---|
| Compte, perfil, salut, entrenament i nutrició | Mentre el teu compte estigui actiu. Si elimines el teu compte, surten del servei immediatament, queden bloquejades i es destrueixen en acabar el termini de bloqueig — vegeu «Què passa quan elimines les teves dades». |
| Dades bloquejades (després d'eliminar el teu compte) | Fins a tres anys, desades a bon recapte i inutilitzables per nosaltres, a disposició únicament de jutges, tribunals, el Ministeri Fiscal o l'AEPD (art. 32 LOPDGDD). Després es destrueixen. |
| Tokens d'accés a TrainingPeaks | Fins que desconnectis TrainingPeaks o eliminis el teu compte, el que passi abans — i llavors s'esborren immediatament. |
| Factures, comandes i registres comptables | Sis anys des del darrer assentament comptable, que és el que ens exigeix el Codi de Comerç (art. 30). La normativa tributària (art. 66 de la Llei General Tributària) fixa un termini menor, de quatre anys, així que regeix el de sis. Els conservem encara que tanquis el teu compte, perquè no tenim elecció. |
| Registres de consentiment | Mentre el teu compte estigui obert i, després, cinc anys — prou per acreditar davant d'un jutge o de l'autoritat que et vam demanar el consentiment correctament, en línia amb el termini de prescripció de cinc anys de les accions personals de l'art. 1964 del Codi Civil. |
| Registres de seguretat i auditoria | Dotze mesos. Cap norma espanyola fixa aquest termini per a un servei com el nostre; el vam triar com el període més curt que encara ens permet investigar un incident de seguretat, i en deixem constància al nostre registre d'activitats de tractament. |
Quan s'acaba un termini de conservació, esborrem les dades o les anonimitzem de manera irreversible perquè ja no es puguin vincular amb tu.
8. Els teus drets sota el RGPD
Aquests drets són teus, exercir-los és gratuït i fer-ho mai et costarà el servei que has pagat. Respondrem en el termini d'un mes; si una sol·licitud és realment complexa podrem ampliar-lo en dos mesos més i t'explicarem per què.
| El teu dret | Què significa a la pràctica |
|---|---|
| Accés (art. 15) | Obtenir una còpia de les dades personals que tenim sobre tu i una explicació de com les fem servir. Entra a la teva pàgina de compte i tria «Exporta les meves dades»: obtens el registre complet en un fitxer JSON, a l'instant. |
| Rectificació (art. 16) | Corregir el que sigui inexacte o incomplet. Pots editar les respostes del teu perfil directament a l'aplicació; si hi ha alguna cosa malament que no puguis editar, escriu-nos i ho arreglem. |
| Supressió — «dret a l'oblit» (art. 17) | Que s'eliminin les teves dades. La teva pàgina de compte té un botó «Elimina el meu compte i les meves dades». El teu compte, el teu perfil, les teves dades de salut, les teves recomanacions i els teus tokens de TrainingPeaks surten del servei immediatament i ningú a MIT-OX hi pot tornar a accedir. La llei espanyola exigeix després un darrer pas en comptes d'un esborrat instantani — vegeu «Què passa quan elimines les teves dades». |
| Portabilitat (art. 20) | Rebre les dades que ens vas donar en un format estructurat, d'ús comú i lectura mecànica — i endur-te'ls a una altra banda. La nostra exportació és JSON, que és exactament això. Si ens ho demanes i és tècnicament possible, les enviarem directament a un altre proveïdor. |
| Limitació (art. 18) | Demanar-nos que aturem el tractament — per exemple, mentre comprovem unes dades que dius que són inexactes. Conservem les dades però deixem de fer-les servir. |
| Oposició (art. 21) | Oposar-te a un tractament que basem en el nostre interès legítim. Deixarem de fer-ho llevat que puguem acreditar motius imperiosos que prevalguin sobre els teus interessos. |
| Retirar el consentiment (art. 7.3) | Retirar el teu consentiment al tractament de dades de salut, o a les galetes d'analítica, quan vulguis — amb la mateixa facilitat amb què el vas donar. No afecta el tractament fet abans de retirar-lo. |
| Decisions automatitzades (art. 22) | Demanar intervenció humana en qualsevol decisió presa únicament per mitjans automatitzats que t'afecti significativament, i impugnar-la. Vegeu «Recomanacions automatitzades» més avall. |
Per exercir qualsevol dret, fes servir la teva pàgina de compte o escriu a legal@mit-ox.com. Potser necessitarem verificar la teva identitat primer: només et demanarem l'imprescindible per assegurar-nos que ets tu.
9. Què passa quan elimines les teves dades
Quan elimines el teu compte, la normativa espanyola de protecció de dades (article 32 de la LOPDGDD) no ens permet esborrar-ho tot a l'instant. Ens obliga a bloquejar les dades primer. Això et protegeix: si algun dia reclamessis per com vam tractar les teves dades, la prova ha de continuar existint perquè una autoritat o un jutge la pugui examinar.
Bloquejar significa exactament el que sembla. Les teves dades queden reservades i fora d'ús: surten del servei immediatament, ningú a MIT-OX les pot fer servir ni tan sols veure-les, i no es poden tractar per a cap altra finalitat — ni recomanacions, ni analítica, ni màrqueting, res.
Les úniques persones a disposició de les quals es poden posar són jutges, tribunals, el Ministeri Fiscal i les administracions públiques competents — en particular l'AEPD — i només per depurar si vam tractar les teves dades lícitament. Quan venç el termini durant el qual se'ns poden exigir responsabilitats, les destruïm definitivament.
| Fase | Què significa per a tu | Quant dura |
|---|---|---|
| Immediatament | El teu compte i les teves dades surten del servei. Ja no hi pots accedir, i nosaltres ja no podem fer servir les teves dades per a res. | En el moment en què confirmes l'eliminació. |
| Bloquejades | Reservades i inutilitzables per nosaltres. Només es posen a disposició de jutges, tribunals, el Ministeri Fiscal o l'AEPD, i únicament per comprovar si vam tractar les teves dades lícitament. | Fins a tres anys — el termini màxim durant el qual se'ns pot exigir responsabilitat per com vam tractar les teves dades (art. 78 LOPDGDD). |
| Destruïdes | Desapareixen per sempre. | Tan bon punt s'acaba el termini de bloqueig. |
Les factures i els registres comptables són una altra cosa: la normativa fiscal i mercantil ens obliga a conservar-los sis anys, així que no s'eliminen amb el teu compte. Es conserven només per a aquesta finalitat.
10. Reclamar davant l'autoritat de control
Si creus que hem gestionat malament les teves dades, digues-nos-ho primer: preferim arreglar-ho. Però sempre tens dret a reclamar davant una autoritat de control de protecció de dades, ja sigui la del país on vius, on treballes o on va passar el problema.
- La nostra autoritat de control principal és l'Agència Espanyola de Protecció de Dades (AEPD), www.aepd.es.
11. Recomanacions automatitzades
El teu protocol de nutrició es genera automàticament. Un motor determinista llegeix el teu perfil i la teva sessió planificada — la seva durada, la seva intensitat i la seva estructura d'intervals — i aplica regles fixes i documentades, escrites per un fisiòleg de l'esport, per calcular els objectius de carbohidrat, líquid i sodi i el moment de prendre els gels.
Cada recomanació es mostra juntament amb el raonament que hi ha al darrere, els supòsits que ha hagut d'assumir i la base científica en què es recolza. És una orientació que pots seguir o ignorar; no produeix efectes jurídics i no la considerem una decisió que t'afecti significativament en el sentit de l'article 22. Tot i així, sempre pots demanar que una persona de MIT-OX revisi una recomanació: només cal que ens escriguis.
MIT-OX ofereix orientació de nutrició esportiva. No és assessorament mèdic ni substitueix un metge o un dietista-nutricionista col·legiat.
12. Com protegim les teves dades
- Les dades de salut i de perfil es xifren abans d'escriure's a la base de dades (AES-256-GCM), de manera que no són llegibles en un bolcat en brut.
- Els tokens d'accés a TrainingPeaks es xifren en repòs i s'esborren tan bon punt desconnectes el compte o l'elimines.
- Les contrasenyes es desen només com a hash Argon2 amb sal: no les podem llegir, ni tampoc qui robés la base de dades.
- Tot el trànsit va per HTTPS, amb seguretat de transport estricta i capçaleres de resposta reforçades.
- L'accés a les dades de producció es limita a qui ho necessita, i els esdeveniments rellevants per a la seguretat s'escriuen en un registre d'auditoria.
- Els punts d'accés sensibles tenen limitació de peticions per resistir atacs de força bruta i abusos.
Cap sistema és perfectament segur. Si alguna vegada una bretxa posés en risc els teus drets, ho notificarem a l'autoritat de control en 72 hores, com exigeix el RGPD, i t'ho direm directament a tu quan la llei també ho exigeixi.
13. Galetes i analítica
Fem servir unes poques galetes estrictament necessàries per mantenir la teva sessió iniciada i protegir el servei. Són imprescindibles perquè l'aplicació funcioni i no requereixen el teu consentiment.
També volem entendre com es fa servir l'aplicació per millorar-la, amb Google Analytics. Les galetes d'analítica són opcionals: només s'instal·len després que les acceptis, i pots canviar d'opinió quan vulguis. Si les rebutges, l'aplicació funciona exactament igual.
14. Menors
MIT-OX no s'adreça a menors. Has de ser major de 16 anys per crear un compte: no oferim el servei a ningú més jove, ni tan sols amb permís dels seus pares. Si detectem que hem recollit dades de salut d'una persona menor de 16 anys, les eliminarem sense demora.
15. Canvis en aquesta política
Si canviem com fem servir les teves dades, actualitzarem aquesta política, publicarem una nova versió amb la seva data i — quan el canvi sigui substancial i afecti el tractament de dades de salut — et tornarem a demanar el consentiment en comptes de donar-lo per fet. No ampliarem en silenci el que fem amb dades que ja ens vas donar.
16. Contacte
Dubtes, sol·licituds o reclamacions sobre privacitat: legal@mit-ox.com.