Aviso de privacidad

Versión 1.10 · Última actualización: 13 de octubre de 2026 · Entrada en vigor: 13 de octubre de 2026

1. Quién es responsable de tus datos


Responsable	Alejandro Sánchez Saucedo, persona física con actividad empresarial
Domicilio	Prolongación Matamoros #100, Eulalio Gutiérrez, C.P. 25903, Ramos Arizpe, Coahuila, México
Correo de privacidad	[email protected]
Marca comercial	Zanza (solicitud de registro ante el IMPI en trámite; anteriormente "RoadToFit" / "Road")
Sitios y servicios	`zanzahq.com`, `app.zanzahq.com` (panel del profesional), `api.zanzahq.com` (API) y la aplicación móvil Zanza para iOS y Android

En este aviso, "nosotros" o "Zanza" se refiere al Responsable arriba identificado; "tú" o "el titular", a la persona cuyos datos tratamos.

1.1 Quién es responsable de qué (importante si te entrena un coach)

Zanza es una plataforma de dos lados. Sobre tus datos hay, según el caso, dos responsables distintos:

Quién	De qué decide	Ejemplos
Zanza (nosotros)	El funcionamiento de la plataforma: tu cuenta, la seguridad, la conservación, el directorio de coaches, las herramientas de asistencia por IA y la infraestructura	Autenticación, respaldos, cifrado, plazos de conservación
Tu profesional (coach, entrenador o nutriólogo)	Su servicio profesional: qué te programa, qué te pregunta, qué mediciones te pide y qué hace con tus resultados	El cuestionario de admisión, tu plan, las mediciones que registra, los mensajes que te manda

Tu profesional es un responsable independiente, no un empleado ni un representante nuestro. Tiene sus propias obligaciones de privacidad y debe darte su propio aviso de privacidad. Si quieres ejercer tus derechos sobre lo que él decide (por ejemplo, que deje de tratar tu historial de lesiones), tienes que dirigirte también a él. Nosotros te ayudamos a localizarlo, pero no podemos decidir por él.

Si usas Zanza sin coach (modalidad "por mi cuenta" / self-coached), el único responsable somos nosotros.

2. A quién le aplica este aviso

Atletas — personas que entrenan usando la app móvil, con o sin coach.
Profesionales — entrenadores, nutriólogos y organizaciones que usan el panel web.
Personas invitadas — quien recibe una invitación o un cuestionario por correo aunque nunca cree cuenta. Cada uno de esos correos trae un enlace para no recibir más; si lo usas, guardamos tu correo en una lista de bloqueo para no volver a escribirte esos correos, de ningún profesional (§10).
Visitantes de nuestros sitios web públicos.

3. Qué datos personales tratamos

Tratamos únicamente lo necesario para que la plataforma funcione. Marcamos con 🔴 los datos personales sensibles, que reciben protección reforzada (§5).

3.1 Datos de cuenta e identificación

Dato	Origen
Correo electrónico, nombre de usuario	Tú, al registrarte
Contraseña (guardada solo como hash bcrypt, nunca en claro)	Tú
Identificador de Google o Apple, si inicias sesión con ellos	Google / Apple
Nombre, apellidos, apodo	Tú o tu coach
Teléfono celular	Tú o tu coach
Fecha de nacimiento y sexo 🔴	Tú o tu coach
Idioma, zona horaria, moneda	Tu dispositivo y tus preferencias
Rol (atleta / profesional / por mi cuenta) y estado de la cuenta	Nosotros

El sexo y la fecha de nacimiento no son adornos: determinan las tablas normativas contra las que se lee un test, las ilustraciones del mapa corporal y los rangos de referencia de laboratorio. Por su vínculo directo con la salud los tratamos con el mismo estándar que los datos sensibles.

3.2 Datos de acceso y seguridad

Dato	Para qué
Dirección IP y agente de usuario (navegador/dispositivo) de cada sesión	Detectar accesos indebidos, cerrar sesiones, limitar intentos de fuerza bruta
Fecha de creación, expiración y revocación de cada sesión	Poder cerrar sesión en todos los dispositivos
Hash del token de sesión (SHA-256; nunca el token en claro)	Seguridad
Códigos de verificación y de recuperación de contraseña (hasheados)	Verificar tu correo y restablecer tu contraseña
Prueba de consentimiento: qué documento aceptaste, en qué versión, cuándo, y desde qué IP y dispositivo	Poder demostrar tu consentimiento ante una autoridad, como la ley exige para datos sensibles
Registro de accesos: qué profesional abrió qué sección de tu expediente, cuándo, desde qué IP y con qué dispositivo	Poder decirte exactamente qué se vio si alguna vez hay un acceso indebido, en vez de tener que suponer lo peor. Se apunta el hecho de mirar; nunca lo que se miró

3.3 Datos de salud y entrenamiento 🔴

Este es el corazón del servicio y todo aquí es dato sensible:

Categoría	Qué incluye concretamente
Registro de entrenamiento	Series, repeticiones, peso levantado, esfuerzo percibido (RPE/RIR), lado del cuerpo, variante de máquina, técnicas aplicadas, duración y fecha de cada sesión
Dolor y molestias 🔴	Nivel de molestia (1–10), zona del cuerpo señalada sobre un mapa anatómico (vista frontal, lateral o posterior) y tus comentarios en texto libre por ejercicio
Cardio y carrera	Duración, distancia, ritmo, potencia (watts), cadencia, desnivel y series de frecuencia cardíaca segundo a segundo; mejores esfuerzos por distancia
Salud diaria 🔴	Frecuencia cardíaca en reposo, variabilidad de la frecuencia cardíaca (VFC/HRV) y pasos diarios (el total de cada día, para medirlo contra la meta que te asigne tu coach), leídos de Apple Salud o Health Connect si lo autorizas
Entrenamientos fuera del plan	Todos los entrenamientos que tu reloj o pulsera haya guardado (tipo, duración, distancia, calorías, FC media y máxima), solo si activas el interruptor específico
Antropometría 🔴	Peso, estatura, pliegues cutáneos, perímetros, diámetros óseos, longitudes segmentarias, bioimpedancia (masa magra, % graso, ángulo de fase)
Signos vitales 🔴	Presión arterial, frecuencia cardíaca de reposo, saturación de oxígeno, frecuencia respiratoria, temperatura
Análisis de laboratorio 🔴	Resultados bioquímicos que tú o tu coach capturen: perfil lipídico, glucemia, panel hormonal, tiroideo, hepático, renal, hematología, electrolitos, vitaminas y minerales, marcadores de inflamación y de daño muscular — con indicación de la muestra (suero, plasma, sangre total, orina o saliva)
Evaluaciones y récords	Resultados de tests físicos, marcas personales, metas y valores de referencia para programar
Cuestionarios 🔴	Cuestionario de admisión que define tu coach (puede incluir historial de lesiones, enfermedades, medicación o cirugías) y el cuestionario diario de disposición (sueño, estrés, fatiga, dolor)
Fotos y vídeos 🔴	Fotos de progreso corporal y vídeos de tu técnica que tú decidas subir, con su fecha y su pose

3.4 Datos de ubicación

Cuando tú inicias una grabación de entrenamiento en la app, usamos el GPS del dispositivo para calcular distancia, ritmo y desnivel en tiempo real, incluso con la pantalla apagada.

Por defecto, no guardamos en nuestros servidores las coordenadas de tu recorrido. Lo que se almacena son métricas derivadas (distancia, ritmo, velocidad, altitud por instante).

Si enciendes «Guardar mi recorrido» en Ajustes (viene apagado), guardamos además los puntos de tu recorrido —latitud y longitud, cada uno con el segundo de la sesión en que pasaste por ahí— junto a ese entrenamiento, para mostrarte el mapa y los parciales. Si te entrena un coach, lo ve con el resto de la sesión, y cada vez que lo abre queda en el registro de accesos (§3.2). Puedes apagarlo cuando quieras, y al borrar una sesión se borra su ruta.

No rastreamos tu ubicación en segundo plano fuera de una sesión que tú hayas iniciado, ni la usamos para publicidad, ni la compartimos con anunciantes.

3.5 Datos de sensores Bluetooth

Si conectas un rodillo de ciclismo o una banda de pulso, leemos sus mediciones (potencia, cadencia, velocidad, frecuencia cardíaca) solo mientras dura el entrenamiento. La app nunca busca sensores en segundo plano y no usa el escaneo Bluetooth para deducir tu ubicación.

3.6 Datos de tu relación comercial con tu coach

Si tu coach usa el módulo de cobranza, registramos el plan acordado, su importe, la periodicidad, la fecha de los pagos y su método (efectivo, transferencia, tarjeta, otro).

Ese dinero no pasa por Zanza: no lo cobramos ni lo recibimos. Lo que existe es una libreta contable que tu coach lleva a mano.

Si contratas un plan de pago de Zanza (una suscripción de profesional o el plan Pro del atleta), el cobro no lo hacemos nosotros: en la web lo procesa Stripe y en la app lo hacen Apple o Google con tu cuenta de la tienda, con RevenueCat para validar la compra (§7.2). Nosotros recibimos y guardamos solo el estado de tu suscripción: qué plan, el periodo, las fechas de inicio y renovación, si está activa o cancelada y el identificador de cliente en el proveedor de pago. No pedimos, no vemos y no almacenamos números de tarjeta, CVV ni datos bancarios.

3.7 Si usas las calculadoras de nivel (visitantes)

En zanzahq.com/nivel (fuerza) y zanzahq.com/nivel/carrera cualquiera puede calcular su nivel sin cuenta y sin registrarse. Son tres momentos distintos y conviene ser exacto:

Tus números no salen de tu navegador. El cálculo entero ocurre en tu dispositivo: lo que escribes —tu sexo, tu peso, tu estatura, tu edad, tus cargas y tus marcas— no se envía a nuestros servidores, ni mientras calculas ni después. Puedes ver tu resultado completo y cerrar la pestaña sin habernos dicho quién eres. No usamos cookies.

Dos cosas se quedan guardadas en tu navegador, y las dos son borrables:

Qué se guarda	Para qué	Cómo lo quitas
Tu perfil de la calculadora —sexo, unidad, peso, estatura, edad— en el `localStorage` del navegador	Que no tengas que volver a teclearlo la próxima vez que vengas a medirte. No incluye tus cargas ni tus marcas	El enlace "Olvidarlos", junto a los campos
Un identificador aleatorio de navegador (`zanza_aid`) en el `localStorage`, solo si lo aceptas en el aviso que sale abajo la primera vez	Contar cuánta gente llega, calcula y se registra, sin saber quién es. Es un número al azar: no lo cruzamos con nada ni se lo compramos a nadie	«Rechazar» en ese aviso, o «Preferencias de privacidad» en el pie de la página; al rechazar se borra
Tu elección sobre el identificador (`zanza_consent`)	Recordar si aceptaste o rechazaste, para no volver a preguntarte en cada visita	Borrando los datos del sitio en tu navegador

Nada de esto viaja a nuestros servidores por sí solo: vive en tu equipo hasta que tú lo borres.

Sí medimos el uso de la página, y conviene decirlo claro. Cuando abres una calculadora, cuando ves tu resultado y cuando pulsas un botón, mandamos a nuestro propio servidor un evento con el nombre de lo que pasó, el identificador aleatorio de arriba si lo aceptaste y, si llegaste desde un anuncio, el utm_source. Sin tu permiso el evento viaja igual, pero sin identificador y sin guardar nada en tu navegador: cuenta la visita, no a la persona. No viajan tus datos: ni tu peso, ni tu estatura, ni tu edad, ni tus cargas, ni tus marcas, ni tu correo. Tu dirección IP no queda guardada junto al evento. No hay Google Analytics, ni Meta, ni ningún tercero: el evento no sale de nuestra infraestructura, no se usa para publicidad y no se vende (§3.9).

Solo si nos dejas tu correo guardamos, además, y únicamente esto:

Dato	Detalle
Correo electrónico	El que escribas en el formulario del final. Es opcional: el resultado se enseña completo antes de pedirlo
El nivel que te salió	La banda por ejercicio o por distancia ("intermedio en press de banca"). No guardamos tu sexo, ni tu peso, ni tu estatura, ni tu edad, ni las cargas o marcas que capturaste: eso se queda en tu navegador
Origen de campaña	El parámetro `utm_source` de la dirección, si llegaste desde un anuncio o un enlace

Lo usamos solo para mandarte lo que pediste: un correo con tu tabla de niveles. No te apuntamos a ninguna lista ni te mandamos novedades por haberlo dejado (finalidad secundaria, §4.2). Si alguien escribe tu correo sin ser tú, te llega ese único correo con un nivel que no es tuyo, y con él una línea que te dice que lo ignores. Puedes pedirnos que lo borremos cuando quieras escribiendo a [email protected], y no necesitas tener cuenta para ejercer ese derecho.

3.8 Datos almacenados en tu dispositivo (no en nuestros servidores)

Dónde	Qué
Almacenamiento seguro del sistema	Tus tokens de sesión
Preferencias locales	Idioma, unidad kg/lb por ejercicio, estilo de registro, banderas de "ya viste esto"
Borrador de sesión	Lo que llevas registrado de un entrenamiento a medias, para no perderlo si se va la señal
Caché de respuestas	Copia temporal de las últimas respuestas del servidor, para que la app funcione con mala conexión
Preferencias locales (app)	Un identificador aleatorio del dispositivo para contar el uso de la app (§3.9)
`localStorage` del navegador (panel del coach)	Tokens de sesión y preferencias del panel
`localStorage` del navegador (calculadoras públicas)	Tu perfil de la calculadora y un identificador aleatorio de navegador (§3.7)

Lo de la app y el panel se borra al cerrar sesión o al desinstalar, salvo el identificador aleatorio del dispositivo, que se borra al desinstalar la app. Lo de las calculadoras públicas, con el enlace "Olvidarlos" o borrando los datos del sitio en tu navegador — ahí no hay sesión que cerrar, porque nunca hubo cuenta.

3.9 Lo que NO hacemos

Por transparencia, y porque es verificable en nuestro código:

❌ No usamos analítica de terceros ni rastreadores. No hay Google Analytics, Firebase, Meta SDK, Mixpanel ni ningún otro SDK que siga tu comportamiento, y no medimos cuánto tiempo pasas en cada pantalla.
✅ Sí contamos algunos pasos dentro de la app y del panel, con eventos nuestros guardados en nuestro servidor: que empezaste o terminaste el registro o el cuestionario inicial, que viste la oferta de un plan, que abriste tu plan, que empezaste o guardaste un entrenamiento, que llegaste al límite de tu plan o que iniciaste una compra. Cada evento lleva su nombre, la plataforma, un identificador aleatorio del dispositivo y, si tienes sesión iniciada, tu cuenta. No viaja el contenido: ni tus cargas, ni tus notas, ni tus respuestas. Sirve para saber qué partes del producto se usan y dónde se atora la gente; no sale hacia terceros, no se usa para publicidad y no se vende.
✅ Sí contamos el embudo de nuestras páginas públicas. Qué página se abrió, qué calculadora se usó, quién llegó a ver su resultado y qué botón pulsó. Son eventos nuestros, guardados en nuestro servidor, sin datos personales y sin terceros de por medio (§3.7). Lo listamos aquí, entre lo que no hacemos, porque la frase de arriba se leería como que no medimos nada — y esto sí lo medimos.
✅ Sí usamos reporte de errores (Sentry, ver §7.2). Lo listamos aquí por transparencia aunque no sea un rastreador: solo se manda algo cuando la app, el panel o la API fallan. En ese momento viaja el punto exacto del código que reventó, el modelo del dispositivo y la versión de su sistema, y el nombre de las pantallas por las que pasaste justo antes. NO viaja lo que escribiste, tus entrenamientos, tus fotos, tu nombre, tu correo ni tu dirección IP. Si no falla nada, no se manda nada.
❌ No usamos cookies publicitarias ni de analítica. La única cookie es una propia y técnica, la que mantiene abierta tu sesión en el panel (§11).
✅ Sí hay un reproductor de YouTube en los vídeos de ayuda. No carga absolutamente nada de Google hasta que pulsas un capítulo —ni siquiera la miniatura—, y a partir de ahí YouTube recibe tu IP y puede guardar datos en tu navegador (§11.1).
✅ Lo que añade tu profesional puede venir de otros sitios. Las fotos de nuestro catálogo se sirven desde nuestro propio dominio (img.zanzahq.com). Pero si tu coach pone en su catálogo la dirección de una foto o un vídeo alojado en otro sitio, al mostrártelo tu navegador o la app se lo piden a ese sitio, que recibe tu dirección IP como en cualquier petición web. Nosotros no le mandamos nada más. Lo listamos aquí porque la frase de arriba se leería como que no hay ningún tercero, y ese sitio lo es.
❌ No vendemos ni alquilamos tus datos personales a nadie, bajo ninguna circunstancia.
❌ No usamos tus datos de salud con fines publicitarios ni de mercadotecnia.
❌ No entrenamos modelos de inteligencia artificial con tus datos, ni permitimos que nuestros proveedores lo hagan.
❌ No tomamos decisiones automatizadas con efectos jurídicos sobre ti ni elaboramos perfiles con ese alcance. Las herramientas de IA que puede usar tu profesional (§7.2) le proponen cosas —un borrador de mensaje, una lectura de tus datos—; lo que se decide sobre tu programa lo decide él.
❌ No enviamos notificaciones desde nuestros servidores. Los recordatorios que ves los programa tu propio teléfono; no tenemos identificadores de dispositivo para notificaciones push.

4. Para qué usamos tus datos (finalidades)

4.1 Finalidades primarias — necesarias para prestarte el servicio

Crear, verificar y administrar tu cuenta, y autenticarte; y, si contratas un plan de pago de Zanza, administrar tu suscripción y su cobro (§3.6).
Vincularte con tu profesional (o, si eres profesional, con tus atletas).
Mostrarte tu plan de entrenamiento y permitirte registrar lo que haces.
Calcular tu progreso: cargas, volumen, índices de 1RM, récords, adherencia, fatiga y recuperación.
Permitir que tu profesional vea lo que registras, para poder ajustar tu programa, y ayudarle a leerlo con herramientas de asistencia por inteligencia artificial que solo él ve (§7.2).
Registrar y mostrar tus mediciones, tests y resultados de evaluación.
Guardar y mostrarte tus fotos y vídeos de progreso, y compartirlos con tu coach solo si tú marcas cada archivo.
Sincronizar los datos de salud que autorices desde Apple Salud o Health Connect.
Mandarte correos transaccionales: verificación de cuenta, recuperación de contraseña e invitaciones.
Mantener la seguridad: detectar accesos indebidos, limitar abusos y conservar registros de sesión.
Hacer respaldos para poder recuperar el servicio ante una falla.
Atender tus solicitudes de derechos y las obligaciones legales que nos apliquen.

4.2 Finalidades secundarias — puedes oponerte sin perder el servicio

Aparecer en el directorio público de profesionales (solo profesionales, y solo si lo activas; está apagado de forma predeterminada).
Mandarte comunicaciones sobre novedades del producto, encuestas o materiales de ayuda.
Medir el uso del producto con eventos propios (§3.9) y elaborar estadísticas agregadas para mejorarlo. Lo que sale de ese análisis son números que no permiten identificarte.
Responder a quien nos deja su correo en la calculadora de nivel pública (§3.7): mandarle su resultado por escrito, y nada más.

Puedes negarte a las finalidades secundarias ahora o cuando quieras escribiendo a [email protected]. Tu negativa no es motivo para negarte el servicio.

4.3 Bases de licitud (RGPD, para personas en el EEE y Reino Unido)

Finalidad	Base legal
Cuenta, plan, registro y progreso (§4.1, 1–7)	Ejecución del contrato (art. 6.1.b)
Datos de salud, mediciones, fotos, cuestionarios	Consentimiento explícito (art. 9.2.a)
Sincronización con Apple Salud / Health Connect	Consentimiento explícito (art. 9.2.a), revocable
Seguridad, prevención de abuso, respaldos	Interés legítimo (art. 6.1.f)
Correos transaccionales	Ejecución del contrato
Cobro y administración de tu suscripción	Ejecución del contrato (art. 6.1.b)
Eventos de uso de la app y el panel (§3.9)	Interés legítimo (art. 6.1.f): saber qué partes del producto se usan para mejorarlo, sin contenido y sin terceros
Comunicaciones de producto, directorio público	Consentimiento (art. 6.1.a)
Cumplimiento de obligaciones legales y fiscales	Obligación legal (art. 6.1.c)

5. Datos sensibles: tu consentimiento expreso

Casi todo lo que hace útil a Zanza son datos personales sensibles de salud. La ley mexicana exige para ellos tu consentimiento expreso y por escrito, y el RGPD exige consentimiento explícito.

Por eso:

Al registrarte se te pide una aceptación específica y separada para el tratamiento de tus datos de salud. No va escondida dentro de los Términos y Condiciones.
La sincronización con Apple Salud / Health Connect requiere, además, el permiso del sistema operativo y un interruptor propio dentro de la app para compartir esos entrenamientos con tu coach: son dos decisiones distintas y las dos están apagadas de origen.
Cada foto y vídeo tiene su propio interruptor de "compartir con mi coach", apagado de forma predeterminada. Tu coach solo ve lo que tú marques.
Tus análisis de laboratorio solo entran a la plataforma si tú o tu coach los capturan; nunca los obtenemos de un laboratorio por nuestra cuenta.
Puedes retirar tu consentimiento en cualquier momento (§9). Retirarlo no afecta la licitud de lo que hicimos antes, pero sí puede dejar el servicio sin contenido útil.

6. De dónde vienen tus datos

De ti, cuando te registras, llenas tu perfil, contestas un cuestionario, registras un entrenamiento o subes una foto.
De tu profesional, cuando te invita, captura tus mediciones o registra un pago. (Si tu coach subió tus datos, este aviso te alcanza desde el momento en que accedes por primera vez.)
De tu dispositivo, cuando autorizas GPS, Bluetooth, cámara o fotos.
De Apple Salud o Health Connect, si lo autorizas — que a su vez pueden contener datos escritos ahí por Garmin, Whoop, Polar, Strava u otras apps que tú hayas conectado.
De Google o Apple, si eliges iniciar sesión con ellos (solo tu identificador y correo).

7. Con quién compartimos tus datos

Nunca vendemos tus datos. Los compartimos solo en estos casos:

7.1 Con tu profesional

Es la finalidad misma del servicio. Tu coach ve tu perfil, tus registros, tus mediciones, tus cuestionarios y tu progreso. Ve tus fotos y vídeos solo si marcaste ese archivo como compartido. Si terminas la relación, tu coach conserva el historial de lo ocurrido durante ella (es su expediente profesional y puede tener obligación de conservarlo), pero deja de recibir datos nuevos.

7.2 Con proveedores que procesan datos por cuenta nuestra (encargados)

Cada uno trata tus datos solo bajo nuestras instrucciones, con contrato de tratamiento de datos (DPA) y cláusulas contractuales tipo cuando aplican:

Proveedor	Para qué	Qué recibe	Dónde
Railway	Servidores de la API y base de datos PostgreSQL	Todos los datos de la plataforma	EE. UU.
Cloudflare	DNS, protección contra ataques, Pages (alojamiento del sitio público zanzahq.com) y R2 (almacén de fotos y vídeos)	Tráfico e IP; fotos y vídeos en bucket privado	Red global / EE. UU.
Vercel	Alojamiento del panel web del profesional	Tráfico e IP del panel	EE. UU.
Sentry	Reporte de errores de la app, el panel y la API, para poder arreglarlos (§3.9)	El punto del código que falló, el modelo del dispositivo y la versión de su sistema. Nunca tu nombre, correo, dirección IP ni el contenido de tus entrenamientos, fotos o respuestas	EE. UU.
Resend	Envío de correos transaccionales	Tu correo y el contenido del mensaje	EE. UU.
Servicio externo de inteligencia artificial	Asistencia a tu coach, y a ti si te programas solo: (a) redactar mensajes de seguimiento, (b) analizar tu progreso de un periodo para proponerle ajustes a tu programa y (c) leer una rutina que se sube (pegada como texto, en foto o en PDF, o el texto que se saca de un Excel o de un PDF en tu propio navegador) para convertirla en un plan que se revisa antes de guardarlo	(a) Tu apodo y las cifras de tu semana (sesiones hechas, nivel de molestia y tus comentarios de esa semana). (b) Tu apodo y cifras agregadas del periodo que tu coach elija: adherencia, volumen, esfuerzo, rendimiento, récords, nivel de molestia por zona, readiness, chequeo semanal y, si los compartes, frecuencia cardiaca en reposo y variabilidad de la frecuencia cardiaca. Sin tus comentarios escritos. Puede ir también el contexto que tu coach añada al pedirlo, para que la IA no lea como fatiga lo que tiene otra explicación: periodos con fecha (vacaciones o viaje, enfermedad, lesión, una competencia, un cambio de rutina) y una nota breve suya, que se le pide escribir sin nombres ni diagnósticos. (c) Lo que contenga el documento que se sube: la rutina y, si los trae, nombres u otros datos que aparezcan en él (por eso conviene subirla sin datos personales). Un Excel o un PDF con texto no salen de tu navegador: solo viaja el texto que se saca de ellos. En (a) y (b), nunca tu nombre completo, correo ni teléfono	Fuera de México (principalmente EE. UU.)
Google (Drive)	Copias de seguridad de la base de datos	Copia completa de la base	EE. UU.
Stripe	Cobro de las suscripciones contratadas en la web	Tu correo, tu nombre de usuario, tu identificador en Zanza y los datos de pago que escribes directamente en su página (nosotros no los vemos)	EE. UU.
RevenueCat	Validar las compras hechas en la app y saber si tu plan sigue activo	Tu identificador en Zanza, el historial de compras de la tienda y datos técnicos del dispositivo	EE. UU.
Apple / Google	Inicio de sesión, distribución de la app y cobro de las compras dentro de ella	Identificador de cuenta y, si compras, lo que necesitan para cobrarte	EE. UU.

Sobre la IA: lo que produce el modelo es una propuesta para tu coach: un borrador que él lee, edita y decide si mandar, o una lectura de tus datos que él usa para ajustar tu programa. Nunca se te envía nada automáticamente y nada de eso es un diagnóstico ni un consejo médico. Elegimos el proveedor de IA y podemos cambiarlo, pero cualquiera que usemos debe comprometerse por contrato a no entrenar sus modelos con estos datos, a no conservarlos más allá de lo necesario para responder y a guardar su confidencialidad. Si quieres saber qué proveedor usamos en un momento dado, pregúntanos en [email protected]. Las funciones de IA son opcionales a nivel de plataforma y pueden desactivarse por completo.

7.3 Fuera de la plataforma: WhatsApp

Si tu coach te escribe por WhatsApp, ese mensaje viaja por WhatsApp (Meta) bajo sus propias condiciones, no las nuestras. Nosotros solo guardamos, en su caso, una copia del texto propuesto y del enviado, para la bitácora de tu coach.

7.4 Dentro de la plataforma: los vídeos de ayuda (YouTube)

Las explicaciones en vídeo de cada pantalla están alojadas en YouTube (Google), como vídeos no listados.

YouTube no es un encargado nuestro y por eso no está en la tabla de arriba: no trata tus datos por cuenta nuestra ni bajo nuestras instrucciones, y no tenemos con Google un contrato de tratamiento por esto. Es un tercero con el que hablas tú, y solo si decides reproducir.

Mientras no reproduzcas un vídeo, tu navegador no se conecta a Google ni una sola vez. Al pulsar un capítulo, YouTube recibe tu dirección IP y sabe qué vídeo estás viendo, bajo sus propias condiciones. El detalle completo está en la §11.1.

7.5 Transferencias que la ley permite sin tu consentimiento

A autoridades competentes, ante requerimiento fundado y motivado.
Cuando sea necesario para atender una emergencia médica que te ponga en riesgo.
A nuestros asesores legales o contables, bajo deber de confidencialidad.
En caso de fusión, adquisición o venta del negocio, informándote antes y manteniendo las condiciones de este aviso.

8. Transferencias internacionales

Nuestros servidores y proveedores están fuera de México (principalmente Estados Unidos). Si estás en el Espacio Económico Europeo, el Reino Unido o Suiza, tus datos se transfieren a un país sin decisión de adecuación, amparados en:

Cláusulas Contractuales Tipo (SCC) de la Comisión Europea con cada proveedor;
medidas técnicas complementarias: cifrado en tránsito (TLS) y en reposo, bucket privado con URLs firmadas de corta duración, y minimización de lo que se envía a cada proveedor.

Los vídeos de ayuda no son una de estas transferencias: nosotros no le enviamos nada a Google. Es tu propio navegador el que se conecta a YouTube cuando pulsas reproducir, y lo hace bajo las condiciones de Google, no bajo las nuestras (§7.4 y §11.1).

Puedes pedirnos copia de estas salvaguardas escribiendo a [email protected].

9. Tus derechos

9.1 Derechos ARCO (México, LFPDPPP)

Derecho	Qué puedes pedir
Acceso	Saber qué datos tenemos de ti y para qué
Rectificación	Corregir lo que esté mal o incompleto
Cancelación	Que eliminemos tus datos cuando ya no sean necesarios
Oposición	Que dejemos de usarlos para un fin concreto

Cómo ejercerlos: escribe a [email protected] con (i) tu nombre y un correo de contacto, (ii) copia de una identificación oficial que acredite tu identidad, (iii) una descripción clara de qué datos y qué derecho ejerces, y (iv) cualquier elemento que ayude a localizarlos. Si actúas por representante, acompaña el documento que lo acredite.

Plazos: te responderemos en un máximo de 20 días hábiles y, si procede, lo haremos efectivo dentro de los 15 días hábiles siguientes. El ejercicio es gratuito; solo podríamos cobrar gastos de envío o reproducción justificados.

Si consideras que no atendimos bien tu solicitud, puedes acudir a la autoridad mexicana competente en materia de protección de datos personales. Escríbenos primero: casi siempre se resuelve más rápido, y en todo caso acudir a nosotros no te quita el derecho de acudir a ella.

9.2 Derechos adicionales bajo el RGPD (EEE / Reino Unido)

Acceso, rectificación, supresión ("derecho al olvido"), limitación del tratamiento, portabilidad (recibir tus datos en formato estructurado y de uso común), oposición, retirar tu consentimiento en cualquier momento y presentar una reclamación ante la autoridad de control de tu país.

Zanza no dirige su servicio a la Unión Europea —no hacemos publicidad allí, no cobramos en euros y no tenemos establecimiento en la UE—, pero atendemos estas solicitudes vivas donde vivas.

9.3 Derechos en Estados Unidos

Zanza sí está disponible en Estados Unidos. No hay una ley federal general de privacidad, así que lo que te aplica depende de tu estado.

California (CCPA/CPRA). Derecho a saber, a eliminar, a corregir, a limitar el uso de información personal sensible y a no sufrir discriminación por ejercerlos. No vendemos ni compartimos información personal en el sentido de la CCPA, y no la usamos para publicidad conductual entre sitios.

Datos de salud del consumidor (Washington y Nevada). La My Health My Data Act de Washington y la ley equivalente de Nevada protegen los datos de salud sin umbral de tamaño de empresa: aplican desde el primer usuario. Si resides en esos estados: solo recabamos tus datos de salud con tu consentimiento, no los vendemos, y compartirlos con alguien distinto de tu profesional exigiría tu autorización específica. Puedes retirar el consentimiento y pedir la eliminación escribiendo a [email protected].

La HIPAA no nos aplica. No somos un plan de salud, ni un proveedor de atención médica, ni una cámara de compensación, y tu profesional tampoco lo es al entrenarte. Que la HIPAA no aplique no significa que tus datos queden sin protección: los protegen este aviso, la ley mexicana y las leyes estatales citadas arriba.

9.4 Revocación del consentimiento

Puedes revocar tu consentimiento —en general o solo para los datos de salud— por el mismo canal. El de los datos de salud, además, desde la propia cuenta: Ajustes → Retirar consentimiento de salud en la app, o Tu cuenta en el panel. Desde ese momento no guardamos ningún dato de salud nuevo y te lo volvemos a pedir; lo ya guardado no se borra solo —para eso está eliminar la cuenta—. Revocarlo deja el servicio sin su función principal, por lo que puede equivaler a cerrar tu cuenta.

9.5 Cómo ejercer algunos derechos sin escribirnos

Corregir tu perfil: desde la app o el panel, en cualquier momento.
Dejar de compartir una foto o vídeo: desactiva su interruptor de "compartir con mi coach".
Dejar de sincronizar salud: apaga el interruptor en Ajustes y/o revoca el permiso en Apple Salud o Health Connect.
Cerrar sesiones abiertas: desde el propio inicio de sesión.
Eliminar tu cuenta: desde la app, en Ajustes → Eliminar cuenta, o desde Tu cuenta en el panel, al momento; o escríbenos a [email protected] desde el correo de tu cuenta y la eliminamos en un máximo de 30 días naturales. Los detalles de qué se borra y qué se conserva están en https://zanzahq.com/eliminar-cuenta.

9.6 Si necesitas este aviso en otro formato

Si alguna discapacidad te dificulta leer este aviso tal como está publicado, escríbenos a [email protected] y te lo entregamos en un formato que puedas usar —texto plano compatible con lector de pantalla, letra grande o audio—. Es gratuito y no tienes que explicarnos por qué lo pides.

Lo mismo vale para los Términos y Condiciones y para ejercer cualquiera de los derechos de arriba: si el correo no te sirve como vía, dinos cuál sí y usamos esa. Un derecho que solo se puede ejercer por un canal que no puedes usar no es un derecho.

10. Cuánto tiempo conservamos tus datos

Dato	Conservación
Cuenta y perfil	Mientras tu cuenta esté activa
Registros de entrenamiento, mediciones, tests y récords	Mientras tu cuenta esté activa; son tu historial y su valor está en la comparación a años vista
Vídeos de técnica	Mientras tu plan los cubra y hasta que los borres: el gratuito guarda 3 a la vez y el Pro no tiene tope de piezas (§10.bis). Los subidos antes del 9 de septiembre de 2026 se borran solos a los ~90 días, por la regla de ciclo de vida con la que se guardaron
Archivos que tu coach adjunta al corregirte	Lo mismo que el vídeo al que responden: forman parte de tu expediente y cuentan dentro de tu espacio
Cuenta sin usar durante 12 meses	Se retiran tus fotos y vídeos tras tres avisos por correo en los 90 días previos; se eliminan 30 días después. Tus entrenamientos, registros, mediciones y récords NO se tocan y tu cuenta sigue existiendo: basta con que entres para conservarlo todo
Fotos de progreso	Mientras tu cuenta esté activa o hasta que las borres, dentro del límite de tu plan (§10.bis)
Sesiones (IP, agente de usuario)	Hasta 30 días tras su expiración o revocación
Registro de accesos a tu expediente	12 meses. Más que las sesiones a propósito: un acceso indebido se suele descubrir meses después, y un plazo corto borraría justo el periodo que habría que reconstruir
Códigos de verificación y recuperación	30 minutos (recuperación) o hasta su uso
Invitaciones no aceptadas	7 días
Borradores de mensajes del coach	Mientras dure la relación de coaching

10.bis — Almacenamiento permanente y fin del plan Pro. Cuánta media se conserva de forma permanente depende del plan: el gratuito guarda 20 fotos, 3 vídeos y hasta 1 GB, y el Pro guarda todo con un techo de uso razonable de 100 GB. Si dejas de tener Pro, dispones de 90 días para elegir qué conservas, descargarlo o volver a Pro, y te avisamos tres veces por correo durante ese plazo. Después, lo que exceda el límite gratuito se aparta y se elimina 30 días más tarde; si no eliges nada conservamos tus fotos más antiguas y más recientes. Nada de esto afecta a tus entrenamientos, registros, mediciones ni récords, que se conservan mientras tu cuenta esté activa (§10). Condiciones completas en los Términos §9.6-9.7. | Registros contables y fiscales | El plazo que exija la ley aplicable (en México, hasta 5 años) | | Lista de «no quiero recibir más» | Tu correo y la fecha, mientras exista el servicio: borrarlo sería volver a escribirte lo que pediste que no. Si quieres salir de la lista, escríbenos a [email protected] | | Copias de seguridad | Se conservan las 14 copias más recientes (unas dos semanas). Un dato borrado desaparece de la base de inmediato y de los respaldos dentro de ese plazo |

Al eliminar tu cuenta, borramos o anonimizamos tus datos salvo lo que debamos conservar por obligación legal o para acreditar el cumplimiento de este aviso.

11. Cookies y tecnologías similares

No usamos cookies publicitarias, de analítica ni de terceros.

Usamos una sola cookie, propia y técnica: la que mantiene abierta tu sesión en el panel web. Es HttpOnly (ningún script de la página puede leerla) y solo viaja a nuestra API. No requiere consentimiento porque sin ella no puedes iniciar sesión. Todo lo demás es almacenamiento local, que —a diferencia de una cookie— no viaja a nuestro servidor en cada petición:

Tecnología	Dónde	Para qué	¿Necesaria?
Cookie propia de sesión	Panel web del coach	Renovar tu sesión sin volver a escribir la contraseña	Sí
`localStorage`	Panel web del coach	Guardar tu sesión y tus preferencias del panel	Sí
Almacenamiento seguro del sistema	App móvil	Guardar tus tokens de sesión	Sí
Preferencias locales y caché	App móvil	Que la app recuerde tus ajustes y funcione con mala señal	Sí
Preferencias locales	App móvil	Un identificador aleatorio del dispositivo para contar el uso de la app (§3.9)	No
`localStorage`	Calculadoras públicas de `zanzahq.com`	Recordar tu perfil para la próxima visita	No: es una comodidad
`localStorage`	Calculadoras públicas de `zanzahq.com`	Un identificador aleatorio de navegador para contar el embudo (§3.7)	No: solo con tu permiso
`localStorage`	Páginas públicas de `zanzahq.com`	Recordar si aceptaste o rechazaste ese identificador	Sí: sin ella te lo preguntaríamos en cada visita

Lo marcado como necesario lo es para que el servicio funcione, y lo borras cerrando sesión, limpiando los datos del navegador o desinstalando la app. Lo de las calculadoras no hace falta para nada: la página calcula igual sin ello, y lo quitas con el enlace "Olvidarlos" sin perder ninguna función.

11.1 Los vídeos de ayuda (YouTube)

Cada pantalla tiene un botón de ayuda, y algunas traen una explicación en vídeo. Esos vídeos están alojados en YouTube (Google), no en nuestros servidores. Como eso es exactamente lo que el resto de esta sección promete que no hacemos, aquí está el detalle completo.

Antes de que pulses: cero. Al abrir la ayuda solo ves cosas nuestras —qué es la pantalla, el glosario y el índice de capítulos del vídeo—, servidas desde nuestro servidor. Ni siquiera cargamos la miniatura del vídeo, porque pedirla ya sería una conexión con Google. Si nunca pulsas un capítulo, tu navegador no habla con YouTube ni una sola vez, y nada de lo de abajo llega a ocurrir.

Cuando pulsas un capítulo, tu navegador o la app se conectan a YouTube: el reproductor viene de youtube-nocookie.com y, en la app, su programa de control de youtube.com. Desde ese momento, YouTube:

recibe tu dirección IP y lo que manda cualquier navegador al pedir algo (tipo de navegador, sistema, idioma). Es inevitable: es lo que hace falta para entregarte el vídeo;
puede guardar datos en tu navegador o dentro de la app relacionados con la reproducción;
sabe qué vídeo de ayuda estás viendo y, por tanto, en qué pantalla de Zanza estabas.

Usamos el modo sin cookies de YouTube, en el panel y en la app, que evita las cookies publicitarias y que lo que veas se use para personalizarte anuncios. Aun así no es "cero datos": lo de la lista de arriba pasa igual, y preferimos decirlo a escudarnos en el nombre del modo.

Qué NO le llega a Google: tu nombre, tu correo, tu teléfono, tus entrenamientos, tus mediciones, tus fotos ni ninguna de tus respuestas. Nosotros no le mandamos nada — el vídeo se pide desde tu navegador, y lo único que va es lo que va en cualquier petición web.

Lo que YouTube haga con eso se rige por la política de privacidad de Google, no por este aviso, porque en ese momento no estamos de por medio.

Cómo evitarlo por completo: no reproduzcas los vídeos. La ayuda escrita —qué es cada pantalla y el glosario entero— es la misma con vídeo y sin él, no pierdes ninguna función y no depende de nadie más que de nosotros.

12. Cómo protegemos tus datos

Medidas técnicas y organizativas realmente implementadas:

Contraseñas guardadas con bcrypt (12 rondas de sal). Nunca en texto claro; ni nosotros podemos leerlas.
Cifrado en tránsito con HTTPS/TLS en todas las comunicaciones.
Tokens de sesión almacenados como hash SHA-256, con rotación y revocación; en el teléfono viven en el almacenamiento seguro del sistema operativo.
Fotos y vídeos en un bucket privado, nunca público. Cada visualización usa una URL firmada que caduca en aproximadamente una hora, y la ruta del archivo la decide el servidor, no el cliente.
Control de acceso verificado: toda ruta que toca datos de un atleta comprueba antes que exista una relación activa coach↔atleta. Auditado el 25/08/2026 sin hallazgos.
Registro de accesos: cada vez que un profesional abre una sección del expediente de un atleta queda apuntado quién, qué sección, cuándo y desde dónde —nunca el contenido—. Es lo que permite, ante un incidente, decirte con precisión qué se vio de lo tuyo.
Límites de frecuencia en inicio de sesión, registro y recuperación de contraseña, para frenar ataques automatizados.
Respuestas genéricas en recuperación de contraseña, para que nadie pueda averiguar qué correos tienen cuenta.
Protección perimetral con Cloudflare delante de la API.
Cabeceras de seguridad en el panel (CSP, anti-clickjacking, política de referente).
Respaldos cifrados y verificados: cada copia se cifra antes de salir de nuestro servidor, se comprueba restaurable y las antiguas se rotan.

Ningún sistema es infalible. Si ocurriera una vulneración que afecte de forma significativa tus derechos, te lo notificaremos y lo comunicaremos a la autoridad competente en los plazos legales (72 horas bajo el RGPD).

13. Personas menores de edad

Zanza es un servicio para personas de 18 años o más. Los Términos y Condiciones (§3.1) lo exigen como condición de uso, y en la app el atleta lo declara además marcando una casilla específica al crear su cuenta. Guardamos esa aceptación con su fecha.

No verificamos la edad con documentos —no pedimos identificación para registrarte— y no recabamos conscientemente datos de personas menores de edad.

Si eres profesional y entrenas a personas menores de edad, no debes crearles una cuenta ni capturar sus datos en la plataforma. Si detectamos una cuenta de una persona menor de 18 años, la suspenderemos y borraremos sus datos. Si crees que un menor nos ha dado sus datos, escríbenos a [email protected] y actuaremos de inmediato.

14. Cambios a este aviso

Podemos actualizarlo cuando cambie la plataforma, la ley o nuestros proveedores. La versión vigente estará siempre en https://zanzahq.com/privacidad, con su número de versión y fecha.

Si el cambio es sustancial —una finalidad nueva, una categoría de datos nueva o un proveedor nuevo con acceso a datos de salud— te lo avisaremos por correo o dentro de la app antes de que entre en vigor, y cuando la ley lo exija te pediremos tu consentimiento de nuevo.

14.1 Qué ha cambiado

Versión	Fecha	Qué cambió
1.10	13 de octubre de 2026	La §7.2 declara que el análisis con IA de tu progreso puede llevar también el contexto que tu coach añada al pedirlo —periodos con fecha como vacaciones, enfermedad, lesión o una competencia, y una nota breve suya sin nombres ni diagnósticos—, para que una ausencia con explicación no se lea como fatiga ni abandono. No cambia qué cifras tuyas viajan
1.9	13 de octubre de 2026	La §7.2 declara un tercer uso del servicio de IA que ya existía y no estaba escrito: leer una rutina (texto, foto o PDF) para convertirla en un plan que se revisa antes de guardarlo. Dice qué recibe —lo que contenga ese documento— y que un Excel o un PDF con texto se convierten en tu navegador y solo viaja el texto
1.8	13 de octubre de 2026	La §7.2 nombra al proveedor de IA por su categoría —un servicio externo de inteligencia artificial— en vez de por su marca, y fija las condiciones que debe cumplir cualquiera que usemos. Declara una función nueva: tu coach puede pedir un análisis con IA de tu progreso de un periodo, al que llegan tu apodo y cifras agregadas de ese periodo, incluidas la frecuencia cardiaca en reposo y su variabilidad si las compartes, sin tus comentarios escritos. La §4.1 añade esa ayuda a la finalidad 5, y la §3 aclara que la IA propone y tu coach decide
1.7	11 de octubre de 2026	La §3.9 deja de mencionar GitHub —las fotos del catálogo ya se sirven desde `img.zanzahq.com`— y la foto del profesional, que ya solo puede ser una que él suba; en su lugar declara que lo que tu coach añada a su catálogo desde otros sitios se pide a esos sitios. La §3.7 y la §11 dicen que el identificador de las páginas públicas solo se guarda si lo aceptas, y la §11.1 que la app también usa el modo sin cookies de YouTube. La §2 y la §10 declaran la lista de «no quiero recibir más» de invitaciones y cuestionarios, y la §9.4 que el consentimiento de salud se retira también desde la propia cuenta
1.6	10 de octubre de 2026	Corrige lo que el aviso decía distinto de lo que hace la plataforma. La §3.4 declara la ruta GPS que se guarda si enciendes «Guardar mi recorrido» (viene apagado). La §3.6 y la §7.2 declaran los planes de pago de Zanza y a Stripe y RevenueCat como encargados. La §3.9 y la §11 declaran los eventos de uso de la app y el panel, el identificador aleatorio del dispositivo y la cookie técnica de sesión del panel. La §3.9 declara las imágenes que se cargan desde fuera (GitHub y la foto de perfil de un profesional), y la §11.1, que la app se conecta a `youtube.com`. La §3.7 y la §4 dejan el correo de la calculadora en lo que pediste —tu resultado, sin novedades—. La §4 añade el cobro y los eventos de uso a las finalidades, la §9.5 el borrado de cuenta desde la app y la §12 que los respaldos van cifrados. Nada de esto empieza hoy: ya ocurría, y el aviso no lo decía
1.5	14 de septiembre de 2026	La §3.3 añade los pasos diarios a la salud diaria que se lee de Apple Salud o Health Connect: el total de cada día, para medirlo contra la meta de pasos que te asigne tu coach. Llegan a tu coach solo con el mismo interruptor «Compartir con mi coach» de la app
1.4	9 de septiembre de 2026	La §10 deja de prometer que los vídeos de técnica se borran a los ~90 días —ya no caducan, y el plan gratuito guarda 3 a la vez con un techo de 1 GB—, declara que los archivos que adjunta tu coach al corregirte viven lo mismo que el vídeo al que responden, y añade la retirada de fotos y vídeos de una cuenta sin usar durante 12 meses, con tres avisos previos. Ningún dato nuevo: cambian los plazos
1.3	6 de septiembre de 2026	Se declara el reproductor de YouTube de los vídeos de ayuda: qué recibe Google, cuándo (solo al pulsar un capítulo, nunca antes) y por qué no es un encargado nuestro (§3.9, §7.4, §8 y §11.1). No hay finalidades nuevas ni datos nuevos en nuestros servidores
1.2	4 de septiembre de 2026	La §3.2 declara el registro de accesos (qué profesional abrió qué sección de tu expediente, cuándo y desde dónde) y la §10 su retención de 12 meses
1.1	3 de septiembre de 2026	Se detalla qué guardan en tu navegador las calculadoras públicas —tu perfil, para no volver a teclearlo, y un identificador aleatorio— y que medimos el embudo de esas páginas con eventos propios (§3.7, §3.8, §3.9 y §11). No hay finalidades nuevas ni datos nuevos en nuestros servidores
1.0	25 de agosto de 2026	Primera versión

15. Contacto


Privacidad y derechos ARCO/RGPD	[email protected]
Contacto general	[email protected]
Domicilio	Prolongación Matamoros #100, Eulalio Gutiérrez, C.P. 25903, Ramos Arizpe, Coahuila, México

Nos comprometemos a responder toda solicitud de privacidad en un máximo de 20 días hábiles.

Redactado a partir del estado real del producto el 25 de agosto de 2026; revisado el 3 de septiembre de 2026.