Política de Privacidad
15 de octubre de 2026
1. Responsable
El responsable del tratamiento es Hito Labs (NIF: pendiente de constitución; domicilio: pendiente de constitución; registro: pendiente de constitución). Puedes contactarnos en hola@hitozone.com.
2. Qué datos recogemos y para qué
Recogemos solo lo necesario para prestarte el servicio, y la base legal de cada uso es:
- Cuenta (email, contraseña guardada como hash —no se puede leer—, nombre, bio): para darte el servicio (contrato).
- Sesiones y eventos — qué app está en primer plano y a qué hora, sin títulos de ventana —: para que funcione el enfoque y el bloqueo (contrato).
- El texto de tus hitos y planes: para guardarlos y sincronizarlos; va cifrado en la base de datos (contrato).
- El asistente de IA y el dictado: lo que le escribes al asistente y el texto de los PDF que le das, para generarte un plan; tu voz, para transcribirla (el audio no se guarda) (contrato).
- Tu foto de perfil, si subes una: se guarda en nuestra base de datos y se borra con la cuenta (contrato).
- Inicio de sesión con Google: recibimos tu email, tu nombre y el identificador único que Google da a tu cuenta (sub); tu contraseña de Google no nos llega nunca (contrato).
- Réplica en Google Calendar, solo si la conectas tú desde Ajustes del portal (consentimiento): enviamos a Google el nombre de tu plan, el del objetivo, la fecha y hora de cada sesión planificada con tu zona horaria y un identificador interno de Hito para reconocer cada evento, para que aparezcan con su aviso en un calendario llamado «Hito». Pedimos dos permisos: uno solo nos deja ver y cambiar ese calendario que crea Hito; el otro nos deja ver a qué horas estás ocupado en tu calendario principal durante los próximos 60 días, sin títulos, asistentes ni detalles de los eventos, para no planificarte sesiones encima. Guardamos cifrados el token que Google nos da para mantenerlo al día y esas horas ocupadas. Al desconectar, y también al borrar tu cuenta, borramos el token y las horas ocupadas y pedimos a Google que borre el calendario «Hito» y revoque el acceso. Puedes quitarnos el acceso desde tu cuenta de Google en cualquier momento.
- Inicio de sesión con Apple: recibimos tu email (o el alias privado de Apple, si lo eliges) y el identificador único que Apple da a tu cuenta (sub). Guardamos también, cifrado, el token que Apple nos da, solo para poder revocar ese acceso cuando borras la cuenta (contrato).
- Verificación en dos pasos, si la activas: guardamos cifrada la clave que comparten tu app de autenticación y nuestro servidor y, como hash —no se pueden leer—, tus códigos de respaldo. Al desactivarla borramos la clave y anulamos los códigos; todo se borra con la cuenta (contrato).
- Informes de fallos («Informes de error» en Ajustes): solo si los activas tú, están apagados por defecto (consentimiento). En el escritorio, cuando algo falla en la app se envía a nuestro registro de fallos (un servicio propio, el Worker log-sink, sobre Cloudflare D1) el mensaje y la traza técnica del error, la versión de la app, el sistema operativo, un identificador de instalación aleatorio y el identificador de tu cuenta si tienes la sesión iniciada, nunca tu email. Antes de salir del ordenador se tapan correos, tokens, rutas de carpetas e IPs; no va nada de tus planes ni de lo que haces en el equipo. En Android lo hace Firebase Crashlytics. Si nos envías tú un informe con «Informar de un fallo», va tu descripción, tu email solo si dejas marcada su casilla y los registros (logs) solo si marcas la suya; esos informes los conservamos mientras investigamos el fallo. Lo que llega a nuestro registro de fallos se borra a los 30 días; de cada fallo nos llega además un aviso por correo (Resend) con esos mismos datos, que borramos a mano.
- Informes de problema («Reportar un problema» en el escritorio; «agitar para reportar» en las versiones de prueba de iPhone y Android): solo cuando decides enviarnos uno (consentimiento). Lleva lo que escribes, las últimas líneas de los registros técnicos de la app (les quitamos emails, direcciones IP, credenciales y rutas con tu nombre de usuario), la versión, el sistema, el modelo del aparato y la pantalla en la que estabas, y una captura de la ventana si la dejas marcada; la captura puede mostrar lo que hay en pantalla, así que quítala si enseña algo que no quieres compartir. Se guarda en nuestro registro de fallos (log-sink), que lo borra a los 30 días, y se copia a una tarjeta de nuestro gestor de incidencias, Jira (Atlassian, EE. UU.), con la captura adjunta; esa tarjeta no lleva tu email ni el identificador de tu cuenta o de tu instalación. Conservamos la tarjeta mientras arreglamos el problema; si quieres que la borremos antes, escríbenos.
- Informar de un fallo desde Ayuda, en la app de iPhone y de Android: solo cuando decides enviarlo (consentimiento). Lleva lo que escribes y, si la grabas, una nota de voz de hasta 2 minutos (la app pide el micrófono solo cuando pulsas grabar). Con la casilla «Adjuntar datos técnicos» marcada lleva también la versión de Hito, el sistema, el modelo del teléfono y el nombre de la pantalla en la que estabas. Siempre van el email de tu cuenta, para poder contestarte, el identificador de tu cuenta si tienes la sesión iniciada, un identificador de instalación aleatorio, el idioma, el tema y el tamaño de letra. El email y los identificadores se quedan en nuestro registro de fallos (log-sink, sobre Cloudflare), que los borra a los 30 días. La descripción, los datos técnicos y la nota de voz se copian a una tarjeta de nuestro gestor de incidencias, Jira (Atlassian, EE. UU.), sin tu email ni tus identificadores; aun así, tu voz puede identificarte. Esa tarjeta no caduca sola: la borramos a mano, con la nota de voz, si nos lo pides. Si el envío falla, la app abre tu correo con el texto y la nota adjunta, y solo sale si lo envías tú.
- Lista de espera: tu email y la fecha, si te apuntas antes del lanzamiento (consentimiento). Puedes darte de baja con el enlace de nuestros correos o escribiéndonos.
- Seguridad: usamos tu IP para el captcha (Turnstile) y para limitar peticiones abusivas, sin guardarla entera. Lo que sí guardamos, en cada inicio de sesión y en otros eventos de seguridad de tu cuenta (cambio de contraseña, verificación en dos pasos, borrado), es la red de tu IP (los primeros tramos: /24 en IPv4, /48 en IPv6), el país del que se conecta y un resumen cifrado (hash) de tu navegador o app (user-agent), para detectar accesos raros a tu cuenta; se borra a los 90 días (interés legítimo).
- Tus dispositivos: cada instalación de la app crea un identificador de instalación aleatorio (no es el identificador del fabricante ni el de publicidad), para sincronizar tus datos entre dispositivos. Si activas los avisos, guardamos también el token de avisos push de ese dispositivo (Firebase en Android, Apple en iPhone), para mandarte las notificaciones. Los dos se borran con la cuenta (contrato).
- Actualizaciones del escritorio: la app consulta api.hitozone.com (el endpoint de descargas) para ver si hay versión nueva; esa petición lleva tu IP, la versión de la app y tu plataforma (interés legítimo).
- Estadísticas de uso (analítica propia): con los datos de uso que ya sincronizas para que la app funcione (sesiones, planes creados, cuándo abriste la app por última vez y si tienes activado el bloqueo del móvil), nuestro servidor cuenta cada noche los totales del día: cuentas activas, planes creados, sesiones empezadas, completas y estrictas. Solo se guardan esos recuentos diarios del total, sin tu cuenta ni tu nombre al lado. Mientras seamos pocos usuarios, un recuento puede corresponder a una sola persona; por eso solo los ve el equipo de Hito, no se comparten con terceros, no se usan para publicidad y se borran a los 24 meses. Sirven para decidir qué mejorar en Hito (interés legítimo). Además, el equipo puede ver en el momento medias y recuentos del uso reciente (tiempo medio de foco por sesión, qué parte se fue en distracciones, cuántas veces de media se cambia de app en una sesión, en qué tipo de dispositivo se usa Hito y cuántas cuentas vuelven cada semana); eso no se guarda: se calcula al consultarlo.
- La pregunta «¿Cómo te sentirías si ya no pudieras usar Hito?», solo si la contestas (consentimiento: es voluntaria y «Ahora no» no guarda nada): guardamos tu respuesta (muy decepcionado, algo decepcionado o me daría igual) y la fecha, una sola vez por cuenta. El equipo de Hito solo la ve sumada con la de otras cuentas, por semana de alta y nunca con menos de 3 respuestas juntas. Se borra con tu cuenta, o antes si nos lo pides.
3. Con quién compartimos tus datos
No vendemos tus datos. Usamos inteligencia artificial y otros proveedores que los tratan por nuestra cuenta, solo para operar el servicio:
- Cloudflare — alojamiento, IA, Turnstile, archivos; dónde: global/EE. UU.; base de la transferencia: DPF + cláusulas tipo (SCC).
- Neon — base de datos; dónde: Londres; base de la transferencia: decisión de adecuación de Reino Unido.
- Resend — correos de servicio y el aviso interno de los informes de fallos; dónde: EE. UU.; base de la transferencia: DPF/SCC.
- Google — inicio de sesión con Google y, si la activas, la réplica de tus sesiones en Google Calendar; dónde: EE. UU.; base de la transferencia: DPF.
- Firebase — avisos push e informes de fallos opcionales (Crashlytics) en Android (Google); dónde: EE. UU.; base de la transferencia: DPF.
- Apple — avisos push en iPhone; dónde: EE. UU.; base de la transferencia: DPF.
- Atlassian — gestión de los informes de fallo que nos envías (descripción, datos técnicos y, si los adjuntas, captura y nota de voz) (Jira); dónde: EE. UU.; base de la transferencia: DPF + cláusulas tipo (SCC).
- Los informes de fallos del escritorio pasan también por un servicio propio, alojado sobre Cloudflare.
4. Cuánto tiempo los guardamos
- Los eventos (qué app usaste y cuándo) se borran a los 90 días; tus horas y tu progreso no caducan.
- La traza de seguridad (la red de tu IP, el país y el hash del user-agent de cada inicio de sesión) se borra a los 90 días; si borras la cuenta antes, deja de estar ligada a ti y se borra igual al cumplir los 90 días.
- Si borras tu cuenta, tienes 30 días de gracia por si te arrepientes; pasado ese plazo, se purga en cascada.
- Lista de espera: tu email se guarda hasta que te invitamos o te das de baja (con el enlace de los correos o escribiéndonos); también se borra si borras tu cuenta.
- Invitación a la beta: se guarda hasta que borras la cuenta con ese email.
- El fichero local del escritorio (hito.db) está en tu equipo. Para borrarlo: marca «Borrar también los datos de este PC» al eliminar la cuenta, pulsa «Restablecer» en Ajustes, o responde «Sí» al desinstalar, cuando se pregunta si borrar tus datos.
- En iPhone, para borrar tu cuenta ve a Ajustes → Cuenta.
5. Tus derechos
- Acceso y portabilidad: «Descargar mis datos» en la web, o la exportación del escritorio.
- Supresión: «Borrar mi cuenta» en la web, el escritorio, Android o iPhone (Ajustes → Cuenta).
- Rectificación, oposición y limitación: escríbenos a hola@hitozone.com.
- Reclamación: ante la AEPD (aepd.es), si crees que no hemos tratado bien tus datos.
6. Edad mínima
Hito es para mayores de 18 años. No recogemos ni tratamos, a sabiendas, datos de menores de esa edad.
8. Inteligencia artificial
- Usamos modelos Llama de Meta para el asistente y Whisper de OpenAI para el dictado, los dos a través de Cloudflare Workers AI.
- Al asistente de planes le enviamos el título del hito, el resumen, los objetivos, tu disponibilidad, los mensajes que le escribes en el chat y, si le das un PDF, fragmentos del texto extraído de él (títulos, listas y fechas). Al dictado le enviamos el audio, que se transcribe y no se guarda.
- La IA propone un plan; la decisión final siempre la tomas tú al confirmarlo. No hay decisiones automatizadas con efectos jurídicos sobre ti.
- Puedes conectar tu propio modelo de IA (BYOLLM) en vez del nuestro.
9. La app de iPhone
- Tiempo de uso: las apps y categorías que eliges bloquear con el selector de Apple se guardan solo en tu iPhone; esa selección no sale del teléfono ni nos llega. Del bloqueo se sincroniza la lista de webs que escribes tú (por ejemplo, «instagram.com») y el estado del bloqueo del punto siguiente.
- Estado del bloqueo entre tus dispositivos: durante una sesión de foco, el iPhone avisa a tus otros dispositivos de si está bloqueando y, si no, por qué (por ejemplo, que falta el permiso de Tiempo de uso o qué apps del plan aún no has marcado). Para eso envía a nuestro servidor el identificador de instalación del iPhone, el de la sesión, ese sí o no con el motivo, cuántas apps, categorías y webs tapa, y los nombres de las apps del plan que faltan por marcar (por ejemplo, «Instagram»). Solo se guarda mientras dura la sesión: se borra al terminarla o al borrar tu cuenta (contrato).
- Diagnósticos: la app de iPhone no lleva ningún informe de fallos ni analítica de terceros (ni Crashlytics ni MetricKit). En la versión de la App Store sus registros técnicos se quedan en el teléfono; solo sale lo que tú mandas con «Informar de un fallo» desde Ayuda (apartado 2). En las versiones de prueba (TestFlight) también puedes agitar el iPhone para enviarnos un informe de problema; entonces esos registros, y la captura si la adjuntas, salen como se explica en el apartado 2. Lo único que sale de tus datos de uso para estadística son los datos agregados del apartado 2.
- Traza del bloqueo, solo en las versiones de prueba (TestFlight): en esas versiones, cada vez que el iPhone pone o quita el bloqueo nos envía automáticamente un registro técnico de los pasos que siguió (el permiso de Tiempo de uso, qué apps y webs pedía el plan, incluidas las webs que escribiste tú, cuántas se aplicaron y el resultado), unido a tu cuenta y al identificador de instalación. Lo usamos para arreglar fallos del bloqueo; se guarda en nuestro registro de fallos (log-sink) y se borra a los 30 días. La versión de la App Store no lo envía.
- No hay publicidad ni rastreo: no usamos el identificador de publicidad de Apple ni combinamos tus datos con los de otras empresas.