Política de Privacidad de Estela

Última actualización: 4 de septiembre de 2026 (sección 13 ampliada: el manifiesto que se publica añade permisos de AdMob, Google Play Billing y el planificador de tareas en segundo plano que no estaban listados)

Cada afirmación de esta política se ha comprobado contra el código de la app; la última revisión es la de la fecha de arriba. Si el código ha cambiado después, lo que aquí se describe puede haberse quedado corto.

1. Información general y responsable del tratamiento

Estela («la app», «nosotros») es una aplicación de Android para organizar colecciones de perfumes. Esta política describe cómo tratamos los datos de quienes usan la app.

Responsable del tratamiento: Vicente Hernández García, desarrollador independiente con residencia en España. Contacto: privacidad@kalu.health.

2. Lo que se queda en tu móvil

Casi todo se guarda en el almacenamiento privado de la app:

tu colección: qué frascos tienes, tus notas y tus valoraciones. El original está aquí y la app funciona sin conexión. La app incluye además una sincronización de la colección con nuestro servidor que hoy está desactivada: mientras lo esté, tu colección no se sube por esa vía (sección 6);
las fichas de perfumes que creas tú a mano. Su contenido —nombre, marca, año, lo que hayas escrito— no sale del móvil: ni siquiera la sincronización de la sección 6, si llegara a activarse, enviaría ese contenido; lo único que saldría sería la línea de tu colección que las menciona;
los códigos de barras que vinculas a un perfume, para que el escáner los reconozca al instante la próxima vez. Si vinculas uno a mano, esa propuesta sí nos llega (sección 5);
las búsquedas que no encontraron nada y unos contadores de uso de la sección «Te puede gustar», que sirven para decidir si esa sección merece la pena. Son recuentos locales y no se envían a ninguna parte;
una copia de seguridad que la app toma justo antes de importar un fichero (sección 14). Lleva dentro lo mismo que la exportación —nombres, marcas, valoraciones y tus notas— y se guarda en la carpeta privada de la app. Se conservan las tres más recientes; las anteriores se borran solas. Ninguna pantalla de la app las restaura: son una red por si una importación sale mal, no un archivo que tú administres.

Cuando borras un perfume de tu colección, la app lo marca como borrado y deja de mostrarlo en todas partes, pero la entrada —con su valoración y su nota— se queda guardada en el móvil. Es lo que permite deshacer el borrado. Desaparece del móvil con «Borrar todos mis datos» (sección 15) o al desinstalar la app. Si la sincronización de la sección 6 llegara a activarse, esa marca de borrado viajaría también a nuestro servidor, donde la entrada quedaría marcada como borrada, no eliminada; hoy no ocurre, porque está desactivada.

Hoy tu colección está en tu móvil y, si la tienes activada, en la copia de seguridad de Android (sección 10). La app incluye una sincronización de la colección con nuestro servidor, pero está desactivada: mientras lo esté, tu colección no sale del móvil por esa vía, y activarla exigiría tu consentimiento previo. Qué subiría, cuándo y con qué condiciones está en la sección 6.

3. Lo que sí sale del móvil

Cinco cosas, y una de ellas lleva tu colección: la copia de seguridad de Android, que la lleva a tu propia cuenta de Google.

las aportaciones al catálogo que envías tú (sección 5);
el código de barras que escaneas, cuando la app no sabe de qué frasco es (sección 7);
la petición de las fotos de los frascos, que están alojadas en webs de terceros (sección 8);
la comprobación y descarga de las actualizaciones del catálogo (sección 9);
la copia de seguridad automática de Android, que se lleva tu colección —a tu propia cuenta de Google, no a la nuestra (sección 10)—.

Hay una sexta vía dentro del código, y hoy está desactivada: la sincronización de tu colección con nuestro servidor (sección 6). Mientras siga desactivada no envía nada, y activarla exigiría tu consentimiento previo. Se cuenta aquí, y no se retira de este documento, porque su código viaja dentro de la app que instalas.

A eso se suma la publicidad de la versión gratuita (sección 11).

4. No hay cuenta, pero sí un identificador anónimo

Nunca te pedimos correo, contraseña, nombre ni teléfono, y no puedes «iniciar sesión» en ningún sitio.

Aun así, la primera vez que la app tiene algo que enviar —hoy, solo una aportación al catálogo— crea una identidad anónima en nuestro servidor: un identificador aleatorio que se guarda en el almacenamiento privado de la app y se reutiliza a partir de entonces. No contiene tu nombre ni tu correo, pero une entre sí todo lo que salga de esa instalación. Por eso no decimos que sea «anónimo» a secas: es un seudónimo. Dura lo que dure la instalación: se guarda con el resto de datos de la app, así que desaparece al desinstalarla o al pulsar «Borrar todos mis datos» (sección 15), y la siguiente instalación limpia crea una identidad distinta que no queda unida a la anterior.

Ese mismo identificador ampararía también tu colección si la sincronización de la sección 6 llegara a activarse. Hoy no la ampara, porque por esa vía no se envía nada. No escribimos «no está unido a tu colección» a secas porque eso daría a entender una imposibilidad del código, cuando lo que hay es una configuración desactivada que podría cambiarse —con tu consentimiento previo, y no antes de contarlo aquí—.

Nuestro servidor es un proyecto de Supabase alojado en Irlanda (región eu-west-1).

Puedes olvidar esa identidad cuando quieras, desde Ajustes → «Borrar todos mis datos» (sección 15).

5. Aportaciones al catálogo

El catálogo de Estela tiene errores y huecos, y la app te deja avisarnos. Cuando lo haces, eso sale de tu móvil y llega a nuestro servidor. Ocurre en dos casos, los dos a partir de una acción tuya:

a) Reportar un dato incorrecto de una ficha. Se envía el identificador del perfume, qué campo crees que está mal (notas, año, concentración, perfumista, foto u «otro») y, si lo escribes, un comentario libre de hasta 500 caracteres.

b) Vincular a mano un código de barras. Si escaneas un código que la app no reconoce y le dices tú a qué perfume corresponde, se envía el identificador de ese perfume y el código. Este envío no se te anuncia en pantalla: la app solo te dice que la próxima vez lo reconocerá al instante. Lo contamos aquí porque debes saberlo.

Cada aportación queda unida a tu identificador anónimo (sección 4), y con ella viaja tu dirección IP, como en cualquier petición a Internet.

Qué NO se envía con una aportación: ni tu colección, ni tus notas, ni tus valoraciones, ni tus fichas propias, ni ninguna foto tuya. La app no permite hoy enviar fotos. (La sincronización de la colección es un camino distinto, el de la sección 6, hoy desactivado; tu colección no viaja nunca dentro de una aportación.)

Sobre el comentario libre: lo escribes tú, así que puede contener cualquier cosa. No lo filtramos automáticamente y lo lee una persona al revisarlo. Escribe solo lo necesario para entender el error y no incluyas datos personales tuyos ni de terceros.

Para qué lo usamos: para revisar la propuesta a mano y, si procede, corregir el catálogo. Una aportación es una propuesta, no un dato: nada entra en el catálogo de forma automática.

Cuánto tiempo lo conservamos: 12 meses desde el envío, tanto las aportaciones que se aceptan como las que se rechazan. Cumplido ese plazo se borran.

Base jurídica de este tratamiento: tu consentimiento (art. 6.1.a RGPD). Rellenas el formulario y pulsas «enviar»: ese gesto es un acto afirmativo inequívoco, y sin él no sale nada de tu móvil por esta vía. Puedes retirar el consentimiento cuando quieras (sección 17); retirarlo no deshace un envío ya hecho, y para que borremos lo que ya llegó hay que escribirnos (sección 15).

6. La sincronización de tu colección: incluida en la app, hoy desactivada

Hoy tu colección no se sube a ningún servidor nuestro. El mecanismo de sincronización viaja dentro de la app, pero su disparador está desconectado: ninguna acción tuya lo pone en marcha. Mientras siga así, tu colección no sale del móvil por esta vía. Esta sección no describe, entonces, algo que la app haga hoy: describe qué es ese mecanismo, en qué estado está y qué haría falta para que se activara. Lo contamos porque su código viaja dentro del APK que instalas, y tienes derecho a saber qué lleva la app que tienes en el móvil.

Qué significa exactamente «desactivada». No es que el código se haya eliminado: sigue compilado dentro de la app. Lo que no existe es el camino que lo llama —ninguna pantalla, ningún cambio de tu colección y ningún arranque de la app lo invocan—, y además la app sigue cancelando cualquier envío que pudiera haber quedado esperando red (sección 15). Lo decimos así, y no «tu colección nunca sale del móvil», porque lo segundo sería falso: describiría un APK que no es el que instalas.

No la confundas con las aportaciones. Las aportaciones al catálogo (sección 5) sí salen hoy de tu móvil, con tu consentimiento y cuando tú pulsas «enviar». Son un canal distinto, y por él nunca viaja tu colección. La sincronización de esta sección es la otra vía, la que está apagada.

Qué subiría si algún día se activara. De cada perfume de tu colección: su identificador, el estado (lo tienes, lo quieres, lo has probado, lo tuviste), tu valoración, tu nota de texto libre, la fecha en que lo añadiste y si lo has borrado. Nada más: ni tus búsquedas, ni tus contadores de uso, ni ninguna foto, ni el contenido de las fichas que hayas creado a mano. Como en cualquier petición a Internet, viajaría también tu dirección IP.

A dónde iría y con qué nombre. Al mismo servidor de Supabase (Irlanda, eu-west-1) que recibe las aportaciones, y bajo el mismo identificador anónimo (sección 4). No vemos tu nombre ni tu correo, porque no los tenemos; bajo ese seudónimo sí podríamos ver qué perfumes hay y qué has escrito sobre ellos. Es una de las razones por las que activarla exigiría pedírtelo antes.

Cuándo ocurriría. Tal y como está escrito hoy el código, el envío se dispararía en dos momentos:

cada vez que cambiases algo de tu colección: añadir, editar, valorar, anotar o borrar;
al abrir la app o volver a ella, y como mucho una vez cada quince minutos.

El envío espera a que haya conexión, así que podría completarse un rato después del cambio. Ese comportamiento es parte de lo que tendría que quedar decidido —y contado aquí— antes de activarlo.

Cuándo no ocurriría, ni siquiera estando activa. Son comportamientos del código, no intenciones:

si nunca has añadido nada a tu colección, no se contacta con el servidor y no se crea ninguna identidad anónima;
si la app se compila sin las claves de nuestro servidor, no se envía ni se encola nada;
al pulsar «Borrar todos mis datos», el envío pendiente se cancela antes de vaciar nada. Con una salvedad honesta: si justo en ese momento hubiera un envío en marcha, lo que ya estuviera viajando podría llegar igual;
y hoy, además, con el disparador desconectado ninguno de los dos momentos de arriba llega a producir envío alguno.

Para qué serviría, dicho con franqueza. Como no hay cuenta ni forma de iniciar sesión, el identificador es de cada instalación: desde otro móvil no se podría leer esa copia, salvo que Android le restaurase la copia de seguridad de esta instalación (sección 10), que se lleva consigo el identificador. No te devolvería nada práctico; es la base de una función futura. Para llevarte tu colección a otro móvil, lo que funciona es la exportación (sección 14) o esa misma copia de seguridad.

Los borrados. Si estuviera activa, al borrar un perfume lo que viajaría sería la marca de borrado, no la desaparición: en el servidor esas entradas quedarían marcadas como borradas y conservando su valoración y su nota. La app no tiene permiso para eliminar filas allí, por la misma razón que se explica en la sección 15, así que retirarlas exigiría un borrado a mano por nuestra parte.

Y mientras tanto, ¿dónde está tu colección? En tu móvil (sección 2) y, si tienes activada la copia de seguridad de Android, en tu propia cuenta de Google (sección 10). Aparte de los ficheros que exportes tú (sección 14), esas son hoy las únicas copias, y ninguna de las dos está en un servidor nuestro.

Cuándo se comprobó esto. Lo que aquí se describe está contrastado con el código de la app en la fecha de «última actualización» de la cabecera. Si en una versión futura el disparador vuelve a conectarse, esta sección lo dirá antes de que ocurra, y esa fecha cambiará con ella.

Qué haría falta para activarla. No es una promesa de que vaya a activarse, sino la condición para que pueda hacerse: tu consentimiento previo y explícito, un plazo de conservación fijado antes y no después, esta página actualizada antes y no después, y una decisión sobre si debe haber un interruptor en Ajustes para que puedas desactivarla tú. Mientras falte cualquiera de las cuatro, se queda como está: desactivada.

Cuánto tiempo lo conservamos: por esta vía, nada, porque por esta vía no se recibe nada. No hay ninguna entrada de tu colección en nuestro servidor y no puede llegar ninguna mientras el disparador siga desconectado. Si algún día se activara, el plazo quedaría fijado y escrito aquí antes de activarla, no después.

Base jurídica de este tratamiento: hoy no hay tratamiento por esta vía, así que no hay base jurídica que declarar: la sincronización está desactivada y no se envía nada. Si algún día se activara, haría falta tu consentimiento previo y explícito (art. 6.1.a RGPD) —un acto afirmativo tuyo, no un ajuste que venga puesto—, con su plazo de conservación fijado antes; son dos de las cuatro condiciones de la lista de más arriba.

7. Cuando escaneas un código de barras

Primero la app busca el código en tu propio móvil, contra el catálogo instalado y contra los vínculos que hayas guardado tú. Si lo encuentra ahí, no sale nada a Internet.

Si no lo encuentra, consulta la API de Open Beauty Facts (world.openbeautyfacts.org), un proyecto abierto y sin ánimo de lucro de la misma organización que Open Food Facts. En versiones anteriores esta política decía «Open Food Facts»: era un error de nombre, y este es el tercero correcto.

En esa consulta se envía el código escaneado. Como en cualquier petición a Internet, ese servidor ve además tu dirección IP y un identificador de la app en la cabecera User-Agent («Estela/1.0…»). No viaja tu identificador anónimo ni nada de tu colección: el escáner y las aportaciones son canales separados.

Conviene que sepas con qué frecuencia pasa: solo alrededor del 22% de las fichas del catálogo tiene código de barras asociado, así que en la mayoría de los escaneos la consulta externa sí se produce. Open Beauty Facts tiene su propia política de privacidad.

8. Las fotos de los frascos

El catálogo no guarda las fotos: guarda su dirección. De las 8.957 fichas, 8.443 apuntan a imágenes alojadas en webs de tiendas y en redes de distribución de contenido (entre otras, el CDN de Shopify, Druni, Primor, Zara o Notino).

Eso significa que cuando la app te enseña una ficha con foto, tu móvil pide esa imagen directamente a esa web. Ese servidor ve tu dirección IP y qué imagen has pedido, es decir, qué perfume estás mirando. Pasa también en la pantalla de tu colección: la lista de lo que tienes no se les envía a ellos, pero las fotos de esos frascos sí se piden fuera, una a una.

Las imágenes se guardan en la caché del móvil, así que la petición se hace la primera vez que se muestran, no cada vez.

No controlamos qué registran esas webs ni durante cuánto tiempo; cada una tiene sus propios términos. Si prefieres evitarlo, el modo avión o desactivar los datos hacen que la app muestre el fondo de color en lugar de la foto y siga funcionando.

9. Actualizaciones del catálogo

Al abrir la app se comprueba en segundo plano si hay un catálogo más nuevo. El fichero de comprobación y el catálogo se descargan de un bucket público de Cloudflare R2.

Es una descarga normal: no se envía ningún dato tuyo, ningún identificador ni nada de tu colección. Lo único que ve el alojamiento es lo inherente a cualquier petición: tu dirección IP y el User-Agent por defecto. Cloudflare fija sus propios plazos de registro.

10. La copia de seguridad de Android

Android hace por su cuenta una copia de seguridad de los datos de las apps y la guarda en la cuenta de Google del dispositivo. Estela la tiene activada, así que si tú tienes activada la copia de seguridad del móvil, el fichero de datos de la app —tu colección, tus valoraciones y tus notas— se copia a tu cuenta de Google.

Hoy es la única vía por la que tu colección sale del dispositivo, y va a tu propia cuenta de Google (la otra, la sincronización con nuestro servidor, está desactivada: sección 6). Conviene decir con precisión qué significa y qué no:

Va a tu cuenta de Google, no a un servidor nuestro. Nosotros no la vemos, no la recibimos y no podemos borrarla: la administras tú desde los ajustes de tu dispositivo y de tu cuenta.
Sirve para lo que parece: si cambias de móvil o reinstalas la app, tu colección vuelve.
Quedan fuera a propósito dos cosas: el catálogo de perfumes, que ocupa mucho y se vuelve a descargar solo, y las copias previas a importar de las que habla la sección 2, porque son datos personales que no aportan nada a una restauración y sí alargarían la vida de entradas que quizá ya borraste.
«Borrar todos mis datos» (sección 15) borra lo que hay en el móvil, no lo que ya esté en tu copia de Google. Eso se borra desde los ajustes de tu cuenta.
Si prefieres que no ocurra, puedes desactivar la copia de seguridad del dispositivo en los ajustes de Android.

11. Publicidad y compra «quitar anuncios»

La versión gratuita puede mostrar anuncios gestionados por Google AdMob. AdMob puede tratar identificadores de tu dispositivo (como el identificador de publicidad de Android) para mostrar y medir anuncios; esto constituye un tratamiento de datos personales bajo el RGPD.

Consentimiento: si te encuentras en el Espacio Económico Europeo, antes de mostrar anuncios verás el panel de consentimiento de Google (UMP). La base legal de la publicidad personalizada es tu consentimiento (art. 6.1.a RGPD).
Si no consientes, la app configura AdMob en modo de anuncios no personalizados, que no usan tu identificador de publicidad para perfilado. Puedes cambiar tu decisión en cualquier momento desde Ajustes.
Google actúa según sus propias condiciones; puedes consultar cómo usa Google los datos de publicidad y gestionar tus preferencias en los Ajustes de Google del dispositivo.

Si compras la opción «quitar anuncios» (gestionada por Google Play Billing), no se muestra publicidad y AdMob no se inicializa. Los pagos los procesa íntegramente Google Play; nosotros no recibimos ni almacenamos datos de pago.

12. Google Play

Si descargaste la app desde Google Play, Google puede recopilar datos de uso y diagnóstico según sus propios términos. Estela no controla ni accede a esa información.

13. Permisos de la app

El manifiesto que se publica en Google Play no pide solo los permisos que decidimos nosotros: al compilar la app, las librerías de anuncios, de compra dentro de la app y de tareas en segundo plano añaden los suyos propios. Los separamos para que quede claro cuáles pedimos a propósito y cuáles vienen con esas librerías.

Permisos que pide la propia app:

Permiso	Motivo
`CAMERA`	Escanear códigos de barras de perfumes
`INTERNET`	Descargar el catálogo, mostrar las fotos de los frascos, consultar códigos de barras y enviar tus aportaciones. Lo usaría también la sincronización de la colección si llegara a activarse (sección 6)
`ACCESS_NETWORK_STATE`	Saber si hay conexión, para esperar a tenerla en vez de fallar

Permisos que añaden las librerías de terceros:

Permiso	Quién lo añade	Motivo
`com.google.android.gms.permission.AD_ID`	Google AdMob (sección 11)	El identificador de publicidad de Android: sirve para mostrar y medir los anuncios de la versión gratuita
`ACCESS_ADSERVICES_AD_ID`	Google AdMob	Acceso a la API de identificador de publicidad de la «Privacy Sandbox» de Android, el reemplazo que Google está introduciendo para el AD_ID clásico
`ACCESS_ADSERVICES_ATTRIBUTION`	Google AdMob	API de atribución de anuncios de la Privacy Sandbox: mide qué anuncio llevó a qué acción sin depender de un identificador tradicional
`ACCESS_ADSERVICES_TOPICS`	Google AdMob	API de «Topics» de la Privacy Sandbox: temas de interés calculados en tu propio móvil, para anuncios sin un perfil individual tuyo
`com.android.vending.BILLING`	Google Play Billing (secciones 11 y 12)	Procesar la compra de «quitar anuncios» a través de Google Play
`WAKE_LOCK`	AndroidX WorkManager, la librería de tareas en segundo plano que usa, entre otras, el actualizador del catálogo (sección 9)	Mantener el móvil despierto lo justo para terminar una tarea en segundo plano, como descargar una actualización del catálogo
`FOREGROUND_SERVICE`	AndroidX WorkManager, la misma librería	Permite que esa tarea en segundo plano se ejecute como servicio en primer plano si hiciera falta, en vez de cortarse a medias

Ninguno de estos siete permisos nos da acceso a más datos tuyos de los que ya cuenta esta política: los cuatro primeros son de AdMob (sección 11), el siguiente es de la compra dentro de Google Play (secciones 11 y 12), y los dos últimos son infraestructura para que las tareas en segundo plano, como la actualización del catálogo (sección 9), no se corten a medias.

En versiones anteriores esta tabla solo enumeraba los tres primeros permisos, los que pide la propia app; el manifiesto que se publica en Google Play incluye también los siete de abajo, añadidos por esas librerías. Se completa aquí (revisado el 4 de septiembre de 2026).

No solicitamos acceso a contactos, ubicación, micrófono ni almacenamiento externo.

14. Exportación de datos

Puedes exportar tu colección completa en formato JSON desde la pantalla de Ajustes en cualquier momento. El fichero incluye tus fichas y tus notas, y unos recuentos agregados de uso (sin fechas ni identificadores). Esa exportación se guarda en la ubicación que elijas en tu dispositivo y no pasa por nuestros servidores.

Al importar un fichero, la app guarda antes una copia de tu colección con ese mismo contenido, dentro de su carpeta privada, por si la importación sale mal. Se conservan las tres más recientes (sección 2) y se van con «Borrar todos mis datos».

La sincronización no sustituye a la exportación. Está desactivada (sección 6) y, aunque se activara, no te daría un fichero que puedas llevarte ni podría leerse desde otro móvil. Para mudarte, este fichero.

15. Eliminación de datos

Desde Ajustes → «Borrar todos mis datos».

Qué borra: tu colección entera —incluidas las entradas que habías borrado y seguían guardadas como borradas (sección 2)—, las fichas que hayas creado, los vínculos de códigos de barras, los contadores locales de uso, las copias de seguridad previas a importar y las aportaciones que todavía estuvieran pendientes de enviar. Sigue cancelando también cualquier sincronización pendiente antes de vaciar nada, aunque hoy la sincronización esté desactivada y no deba quedar ninguna (sección 6). Además olvida tu identidad anónima: se cierra la sesión y se borra su credencial del móvil, así que a partir de ahí la app no puede demostrar que eres quien envió nada. Es irreversible.

Qué no borra, y conviene que lo sepas:

Las aportaciones que ya se enviaron al servidor. La app no tiene permiso para borrar filas allí, y es a propósito: si lo tuviera, cualquiera podría vaciar la cola de revisión. Esas filas siguen existiendo, pero tras el borrado quedan desligadas de tu identificador.
Las entradas de colección que la sincronización llegara a subir, si algún día se activa (sección 6). Tampoco podría borrarlas, y por el mismo motivo: la app no puede eliminar filas en el servidor. Hoy eso no deja residuo, porque la sincronización está desactivada y no hay ninguna entrada allí. Se deja escrito porque la limitación de la app sería la misma si la sincronización llegara a activarse.
La caché de imágenes. Las fotos de frascos que ya se han mostrado siguen guardadas en la caché del móvil, y eso es un rastro de qué fichas has mirado. Se va al desinstalar la app o al borrar la caché desde los ajustes de Android.
Los restos dentro del fichero de la base de datos. El borrado vacía las tablas pero no compacta el fichero, así que trozos de texto ya borrado —notas, por ejemplo— pueden quedar dentro hasta que ese espacio se reutilice. No son visibles desde la app ni desde otra app: haría falta el fichero y acceso al almacenamiento privado del dispositivo.
La copia de seguridad de Android (sección 10), que está en tu cuenta de Google y solo puedes borrarla tú desde los ajustes de tu cuenta.

Si quieres que borremos de verdad tus aportaciones del servidor, escríbenos a privacidad@kalu.health contándonos qué enviaste (qué ficha, más o menos cuándo) y lo borraremos a mano. Es la vía que queda para las aportaciones, que sí están en el servidor; para tu colección no hace falta pedir nada, porque no se sube (sección 6). Hazlo antes de pulsar «Borrar todos mis datos»: después, el identificador que unía esas filas a tu móvil ya no existe y no habrá forma de saber cuáles eran tuyas.

16. Con quién se comparten datos

Quién	Qué recibe	Cuándo
Supabase (Irlanda, `eu-west-1`)	Tu aportación, tu identificador anónimo y tu IP	Solo cuando envías una aportación (sección 5)
Supabase (Irlanda, `eu-west-1`)	Tu colección: estado, valoración, notas y borrados de cada perfume, con tu identificador anónimo y tu IP	Hoy no ocurre. La sincronización que lo haría está desactivada; si llegara a activarse sería en cada cambio y en cada apertura de la app, y haría falta tu consentimiento previo (sección 6)
Open Beauty Facts	El código escaneado y tu IP	Solo cuando el código no se resuelve en tu móvil (sección 7)
Webs de tiendas y CDN que alojan las fotos	Tu IP y qué imagen pides	Al mostrar fichas con foto (sección 8)
Cloudflare (R2)	Tu IP y el `User-Agent`	Al comprobar o descargar el catálogo (sección 9)
Google (copia de seguridad de Android)	El fichero de datos de la app: tu colección, tus valoraciones y tus notas. Va a tu cuenta, y nosotros no accedemos a ella	Si tienes activada la copia de seguridad del dispositivo (sección 10)
Google AdMob	Identificador de publicidad y señales del dispositivo	Solo en la versión gratuita, según tu consentimiento (sección 11)
Google Play	El pago de «quitar anuncios»; datos de descarga y diagnóstico	Al comprar y al instalar (secciones 11 y 12)

17. Tus derechos (RGPD)

Tienes derecho de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad (arts. 15-21 RGPD), así como a retirar tu consentimiento en cualquier momento sin que ello afecte a la licitud del tratamiento previo. Puedes ejercerlos escribiendo a privacidad@kalu.health.

En la práctica:

Tu colección, tus notas y tus valoraciones siguen estando en tu mano desde la propia app: puedes verlas, exportarlas y borrarlas del móvil cuando quieras (secciones 14 y 15). Ten en cuenta que quizá no sean la única copia: si tienes activada la copia de seguridad del dispositivo hay otra en tu cuenta de Google (sección 10), y esa solo puedes borrarla tú. En nuestro servidor no hay ninguna, porque la sincronización está desactivada (sección 6).
Sobre las aportaciones que llegaron a enviarse, escríbenos: es la única vía, por lo que explica la sección 15. Sobre tu colección no hace falta pedir nada por esa vía, porque no se sube a nuestro servidor (sección 6).
Sobre la publicidad, puedes retirar o cambiar tu consentimiento desde Ajustes, o quitar los anuncios con la compra.

Si consideras que no hemos atendido correctamente tus derechos, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

18. Menores de edad

Estela no está dirigida a menores de 13 años y no recopila información de menores de forma consciente.

19. Cambios en esta política

Si realizamos cambios materiales en esta política, lo notificaremos a través de una actualización en la app o en esta página. La fecha de «última actualización» al inicio del documento refleja la versión vigente.

Un cambio en la app puede adelantarse a este texto. Cuando eso ocurra, esta política lo dirá en la sección afectada y con su fecha, en lugar de reescribirse como si siempre hubiera sido así. Por eso la sección 6 sigue aquí, describiendo un mecanismo que la app no ejecuta hoy pero que sí lleva dentro: quien instala la app tiene derecho a saber qué código viaja con ella y qué haría falta —tu consentimiento previo y explícito— para que se pusiera en marcha. Que algo esté desactivado no es lo mismo que no existir, y esta página no lo cuenta como si no existiera.

20. Contacto

Para cualquier pregunta sobre privacidad puedes escribirnos a: privacidad@kalu.health

English version