Legal

Política de privacidad

La protección de tus datos personales es nuestra máxima prioridad. Aquí te explicamos qué información tratamos, con qué base jurídica lo hacemos y qué derechos puedes ejercer en cualquier momento.

Última actualización: 6 de octubre de 2026

1. Responsable del tratamiento

Lab2go – Maritta Schmid
Forststraße 24 · 73529 Schwäbisch Gmünd, Alemania
hello@lab2go.net

2. Datos que recogemos

  • Datos básicos (nombre, dirección de correo electrónico, datos de pago)
  • Datos de salud y biomarcadores que registras activamente en la aplicación
  • Datos de registro técnico (archivos de log, información del dispositivo, cookies)

3. Finalidades del tratamiento

  • Prestación y personalización de la plataforma Lab2go, incluidos análisis y recordatorios
  • Comunicación con los usuarios, soporte y actualizaciones del producto
  • Cumplimiento de las obligaciones legales de documentación y conservación

4. Base jurídica

Tratamiento conforme al art. 6.1, letras a) (consentimiento) y b) (ejecución de un contrato), del RGPD, así como al art. 9.2.a) del RGPD para los datos de salud.

Para los datos de salud solicitamos, al registrarte en la aplicación web y en la aplicación móvil, un consentimiento separado y explícito (art. 9.2.a) del RGPD). Sin él, Lab2go no puede guardar datos de salud. En las cuentas creadas antes de esta solicitud, lo pedimos una vez con posterioridad.

Los datos de registro técnico se tratan además sobre la base del art. 6.1.f) del RGPD (interés legítimo en el funcionamiento, la seguridad y la medición de audiencia).

5. Plazo de conservación y supresión

Conservamos los datos personales solo durante el tiempo necesario para la finalidad correspondiente o mientras lo exijan los plazos legales de conservación. Puedes suprimir datos en cualquier momento directamente en la aplicación o solicitar su supresión completa.

6. Divulgación a Terceros

Para operar el sitio web y las aplicaciones de Lab2go recurrimos a los siguientes proveedores. No hay divulgación con fines publicitarios.

  • Base de datos, inicio de sesión y almacenamiento de archivos (aplicación web y aplicación móvil): Supabase. Todos los datos de cuenta y de salud se almacenan en la región de Fráncfort del Meno (UE). El proveedor es Supabase Inc., con sede en EE. UU.
  • Análisis de informes subidos: Cuando subes un informe, el documento se envía a través del servicio de automatización n8n (n8n Cloud, instancia en la UE) a Mistral AI SAS (con sede en París, Francia) para el reconocimiento de texto. Mistral AI estructura el texto reconocido en valores de laboratorio individuales. En este paso se transmiten a n8n y a Mistral AI datos de salud, incluidos el nombre y la fecha de nacimiento que figuran en el informe.
  • Correos electrónicos: Los correos del sistema (confirmación del registro, restablecimiento de contraseña, confirmación de un cambio de correo) y las invitaciones a gestores los envía Resend (con sede en EE. UU.). Se transmiten la dirección de correo y, en las invitaciones, además tu nombre y el nombre del perfil. No se transmiten datos de salud.
  • Pago: Las suscripciones de la aplicación web las gestiona Stripe Payments Europe Ltd. (Irlanda). Stripe recibe tu dirección de correo y el identificador de tu cuenta y recoge él mismo los datos de pago; no recibe datos de salud. En la aplicación móvil está prevista la compra a través de la Apple App Store; el estado de la suscripción lo gestiona entonces RevenueCat (con sede en EE. UU.), que recibe para ello un identificador de usuario seudónimo y los eventos de compra, pero ni dirección de correo, ni nombre, ni datos de salud.
  • Alojamiento: El sitio web se sirve a través de Netlify y Cloudflare, la aplicación web a través de Lovable y Cloudflare. Para ello se tratan datos de acceso (dirección IP, identificador del navegador, dirección solicitada). Cloudflare tiene su sede en EE. UU.
  • Análisis web y comentarios: Plausible Analytics (Plausible Insights OÜ, Estonia), PostHog (PostHog Inc., nube de la UE en Fráncfort) y Userback (Userback Pty Ltd, Australia); los detalles figuran en las secciones 9 y 10.

7. Tus derechos

  • Acceso, rectificación, supresión y limitación del tratamiento
  • Retirada de los consentimientos ya otorgados, con efectos para el futuro
  • Oposición a los tratamientos basados en intereses legítimos (art. 21 del RGPD)
  • Portabilidad de los datos y derecho a presentar una reclamación ante la autoridad de control competente

Retiras el consentimiento para los datos de salud en la aplicación web en Ajustes › Cuenta y en la aplicación móvil en Ajustes › Consentimientos. Con la retirada termina el tratamiento de tus datos de salud y eliminamos tu cuenta con todos los datos. El tratamiento realizado hasta la retirada sigue siendo lícito.

8. Seguridad

  • Almacenamiento de los datos de cuenta y de salud en un centro de datos en Fráncfort del Meno (UE); qué proveedores se encargan de determinados pasos del tratamiento, y dónde están establecidos, se indica en la sección 6
  • Cifrado de datos sensibles en reposo y en tránsito
  • Control de acceso basado en roles y registro

9. Análisis Web

Para saber qué páginas se leen, medimos la audiencia del sitio web con dos herramientas: Plausible Analytics y PostHog. Ambas se integran a través de Cloudflare Zaraz. Al cargar una página, Zaraz recibe la dirección de la página, su título, el referente, el tamaño de la pantalla y de la ventana, la profundidad de color y la zona horaria, y establece la cookie cf_zaraz_client (válida para lab2go.net y sus subdominios, duración de un año); su valor está vacío. Plausible no establece cookies propias y funciona sin consentimiento. PostHog funciona en dos niveles, según aceptes o no en el banner de consentimiento (véase más abajo). No se realiza seguimiento entre sitios.

Plausible Analytics. El proveedor es Plausible Insights OÜ (Estonia, UE). Tu navegador carga el script de Plausible directamente desde plausible.io y le envía la solicitud de medición. En ese momento, tu dirección IP llega a Plausible por razones técnicas. Según Plausible, no se almacena ni se comparte con terceros.

Estadísticas de uso con PostHog. El proveedor es PostHog Inc. (EE. UU.), con la que hemos celebrado un contrato de encargo del tratamiento conforme al Art. 28 del RGPD. Los datos se almacenan en la nube de la UE de PostHog en Fráncfort. El script y las solicitudes de medición pasan por nuestra propia dirección t.lab2go.net, un servicio de reenvío operado por PostHog.

Banner de consentimiento. En la primera visita, un banner de Cloudflare Zaraz te pregunta si PostHog puede medirte mediante una cookie. «Aceptar» y «Rechazar» tienen el mismo peso. Zaraz guarda tu elección en la cookie cf_consent (válida para lab2go.net y sus subdominios, duración de un año). Puedes cambiar tu elección en cualquier momento con «Configuración de cookies» al pie de la página.

Con consentimiento. Si aceptas, PostHog establece la cookie ph_phc_yxR7pkWmJemNyF82xNqqlGzaBZZLxY0xIsmeTiuE1AN_posthog (válida para lab2go.net y sus subdominios, duración de un año) y guarda el mismo identificador y tu elección en el almacenamiento local de tu navegador. PostHog lo usa para reconocerte en visitas posteriores. Si además inicias sesión en la aplicación web y allí aceptas las estadísticas de uso, PostHog vincula este identificador con tu ID de cuenta seudónimo (un número aleatorio, no tu correo electrónico ni tu nombre); entonces pueden combinarse las visitas al sitio web y a la aplicación web. Incluso entonces, PostHog solo registra las visualizaciones de página y la salida de una página; se transmiten la dirección de la página sin parámetros ni ancla, la ruta y el host, la página de referencia sin parámetros, la página anterior y cuánto tiempo se mostró, un identificador de sesión y de ventana, la indicación de que los datos proceden del sitio web y campos técnicos de PostHog. No se transmiten el título de la página, la zona horaria, el tamaño de pantalla ni el identificador del navegador. No hay clics, entradas ni grabaciones de sesión. Si retiras el consentimiento, el sitio web elimina la cookie y el identificador.

Sin consentimiento (rechazo o sin elección). Si rechazas o no eliges, PostHog no establece ninguna cookie y no guarda nada en tu navegador. PostHog cuenta entonces las mismas visualizaciones de página que se han descrito arriba, sin identificador de sesión ni de ventana. Para ello, PostHog recibe además el identificador del navegador (user agent) de tu navegador y calcula con él, junto con la dirección IP y un valor aleatorio que cambia cada día, un valor hash que sirve para distinguir las visitas del mismo día. El identificador del navegador y la dirección IP no se almacenan. PostHog no crea ningún perfil de usuario y no vincula nada con una cuenta de Lab2go. No se deduce ninguna ubicación de la dirección IP. Las funciones de IA de PostHog están desactivadas para nuestra cuenta. Si tu navegador envía la señal «Do Not Track», PostHog no registra nada en el sitio web en ninguno de los dos casos.

Aplicación web: En los ajustes de la aplicación web de Lab2go puedes activar unas estadísticas de uso con PostHog. Están desactivadas por defecto; sin tu consentimiento no se registra nada. Si tu navegador envía «Do Not Track», la aplicación web no registra nada y no ofrece el interruptor. Solo se registran eventos de uso generales: las áreas de la aplicación que visitas como plantilla de página sin parámetros, el registro y el inicio de sesión, la creación de una medición (origen: manual, reconocimiento de texto o importación), el inicio y el final de un análisis de resultados con su resultado (correcto, límite o error), la subida de un documento (PDF o imagen), la creación y la aceptación de una autorización para compartir, la invitación de un administrador y una exportación (formato). No se transmiten mediciones, contenidos de documentos, nombres ni direcciones de correo electrónico. Con tu consentimiento, el identificador se vincula con tu ID de cuenta seudónimo y PostHog crea para ello un perfil; la cookie es la mencionada arriba. Si retiras el consentimiento, las estadísticas se detienen y el identificador se restablece.

App para dispositivos móviles: En la app de Lab2go para dispositivos móviles, las estadísticas de uso solo llegarán tras tu consentimiento; su introducción está pendiente, y la describiremos aquí antes de que comience.

Bases legales. Para Plausible en el sitio web, la base legal es el Art. 6(1)(f) del RGPD; nuestro interés legítimo es una medición de audiencia con datos mínimos. Para PostHog con cookie, la base legal es tu consentimiento (Art. 6(1)(a) del RGPD, § 25, apdo. 1, TDDDG); puedes retirarlo en cualquier momento con efecto futuro mediante «Configuración de cookies». Para el recuento sin cookie de PostHog sin consentimiento, la base legal es el Art. 6(1)(f) del RGPD; nuestro interés legítimo es una medición de audiencia con datos mínimos.

Para las estadísticas de uso en la aplicación web, la base legal es tu consentimiento (Art. 6(1)(a) y Art. 9(2)(a) del RGPD, § 25(1) de la TDDDG). Puedes revocarlo en cualquier momento con efecto futuro desactivando de nuevo las estadísticas en los ajustes.

10. Formulario de comentarios

En el pie de página de cada página hay un botón «Enviar comentarios». Abre una selección: solo texto, captura de pantalla o vídeo de pantalla. Solo cuando eliges una opción cargamos el formulario de comentarios del proveedor Userback (Userback Pty Ltd, Australia). Antes no existe ninguna conexión con Userback, y Userback no guarda nada en tu navegador. El formulario tiene campos para tu mensaje y, de forma voluntaria, para tu nombre y tu dirección de correo electrónico. Tú decides qué se registra; solo se habilita la opción elegida. No hay archivos adjuntos ni grabación de sesión. Por favor, no incluyas datos de salud en tu mensaje, captura ni vídeo.

Al enviarlo, tu navegador transmite a Userback: el contenido del formulario (con captura o vídeo de pantalla, también el contenido de pantalla grabado), la dirección y el título de la página en la que te encuentras, el identificador del navegador (user agent), el tamaño de la ventana, la resolución de pantalla y la profundidad de color. Tu dirección IP llega a Userback por razones técnicas al establecer la conexión. A partir del clic, Userback crea una entrada en el almacenamiento local de tu navegador.

Usamos tus comentarios para corregir errores y mejorar el sitio web, y te respondemos si has indicado una dirección de correo electrónico. La base jurídica es el art. 6, apdo. 1, letra f, del RGPD; nuestro interés legítimo son los comentarios sobre el sitio web. La entrada en el almacenamiento local está permitida por el § 25, apdo. 2, n.º 2 de la TDDDG, porque es necesaria para el servicio que has solicitado expresamente. Userback trata los datos por encargo nuestro; hemos celebrado con Userback Pty Ltd un contrato de encargo de tratamiento conforme al art. 28 del RGPD. Como Userback tiene su sede en Australia, los datos se transfieren a un tercer país; se aplican cláusulas contractuales tipo. Si no usas el formulario, no se transmite ningún dato a Userback.

Contacto sobre protección de datos

Si tienes preguntas, escríbenos a hello@lab2go.net .

Solemos responder a las preguntas sobre protección de datos en un plazo de 5 días laborables. Tramitamos las solicitudes relativas a tus derechos, por ejemplo de acceso o supresión, a más tardar en un mes.

También tienes derecho a presentar una reclamación ante una autoridad de control. La autoridad competente para nosotros es Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (Comisionado estatal de Protección de Datos y Libertad de Información de Baden-Württemberg), Heilbronner Straße 35, 70191 Stuttgart, Alemania.