Privacy Policy

Last Updated: June 12, 2026

Solaia ("we", "us", "our") operates the Solaia mobile application (the "Service"). This Privacy Policy explains how we collect, process, store, and protect your personal data, including health data (a special category of data under Article 9 of the GDPR).

This policy is written to comply with the EU General Data Protection Regulation (GDPR), the UK GDPR, and applicable national data protection laws.

1. Data Controller

The data controller responsible for your personal data is:

Solaia LLC (EIN 37-2219151)
30 N Gould St, STE R, Sheridan, WY 82801, USA
Email: contact@solaia.app
Data Protection Officer (DPO): dpo@solaia.app

1.1 EU Representative (GDPR Art. 27)

As a non-EU controller processing personal data of individuals located in the European Union, Solaia LLC has designated an EU Representative who serves as the point of contact for EU supervisory authorities and data subjects:

Moon Horizon Studio (SASU, SIREN 102 723 756)
61 rue de Lyon, 75012 Paris, France
Email: eu-rep@solaia.app

2. Categories of Personal Data We Process

2.1 Account & Profile Data

Anonymous Firebase user identifier (UID)
Optional: email address (if you create an account via email OTP), display name from Apple/Google Sign-In
Authentication provider used
Subscription status (active, expired, trial)

2.2 Health Data (GDPR Art. 9 — Special Category)

Menstrual cycle data: period start dates, duration, symptoms, flow
Contraception: type (pill, IUD, patch, etc.), intake history
Medical conditions you disclose (PCOS, endometriosis, hypothyroidism, menopause, etc.)
Medications: name, dosage, frequency, intake timestamps
Body characteristics: height, weight, target weight
Wellbeing indicators: stress, sleep quality, mood, fatigue, digestion
Onboarding answers (about 22 questions covering symptoms and lifestyle)
AI-generated personalized assessment based on your inputs

2.3 Visual Data

Meal photos you choose to upload for AI nutritional analysis

2.4 Usage & Technical Data

Features used, screens visited, session duration
Device type, OS version, app version, language
Anonymized crash reports (do not contain health data values)

3. Legal Basis for Processing

3.1 Health Data — Explicit Consent (Art. 9.2.a)

Processing of your health data is based exclusively on your explicit consent, obtained through a dedicated checkbox displayed in the app before any health data leaves your device.

Users who completed onboarding before the explicit consent flow was introduced are presented with a mandatory consent dialog upon their next app launch.

You can withdraw your consent at any time by deleting your account from the app settings. Withdrawing consent does not affect the lawfulness of processing carried out before withdrawal.

3.2 Account & Service Operation — Contract (Art. 6.1.b)

Account creation, authentication, subscription management, and core app functionality are processed to perform the contract between you and us (our Terms of Service).

3.3 Product Analytics — Legitimate Interest (Art. 6.1.f)

We use product analytics (Amplitude) to understand how the Service is used and to improve it. No health data values are sent to Amplitude. We send only step identifiers and aggregated metrics (e.g. step completed, button tapped). You can object to this processing at any time by contacting dpo@solaia.app.

4. Where Your Data Is Stored

The majority of your data is hosted within the European Union to ensure strong data protection:

Data type	Service	Region
User documents	Cloud Firestore	`eur3` (Multi-region EU)
Cloud backups (your synced data)	Cloud Storage	`europe-west1` (Belgium)
New meal photos	Cloud Storage	`europe-west1` (Belgium)
Server-side logic	Cloud Functions	`europe-west1` (Belgium)

4.1 Legacy data

Meal photos uploaded before June 12, 2026 may remain on a US-based bucket (us-central1, Iowa). These photos are protected by access rules limiting visibility to you alone and are covered under the EU-US Data Privacy Framework (Google LLC certified). They will be migrated or deleted within 6 months.

4.2 Transfers outside the EU

Some processing partners are located in the United States. All such transfers are protected by the EU-US Data Privacy Framework (DPF) — an adequacy decision by the European Commission ensuring an equivalent level of protection.

5. Subprocessors

Subprocessor	Purpose	Location	Safeguard
Google LLC (Firebase, Cloud Storage, Firestore, Cloud Functions, Authentication, Messaging)	Hosting, authentication, sync, push notifications	EU (primary), USA (legacy)	DPF
Amplitude Inc.	Product analytics (no health data)	USA	DPF
Stripe Inc.	Payment processing (web)	USA	DPF
RevenueCat Inc.	Subscription management (mobile)	USA	DPF
Sentry (Functional Software Inc.)	Crash reporting (no health data values)	USA	DPF
OpenAI / Anthropic	Large Language Model for assessment generation	USA	DPF

6. Data Retention

Data type	Retention period
Active account data (all categories)	Until account deletion
Cloud backups	Until account deletion
Meal photos	Until account deletion
Amplitude analytics events	36 months
Sentry crash reports	30 days
Inactive account (no login for 24 months)	Automatically deleted after email notice

After account deletion, residual backups may persist for up to 30 days for technical recovery purposes, then are permanently erased.

7. Your Rights Under GDPR

Access (Art. 15): obtain a copy of the personal data we hold about you
Rectification (Art. 16): correct inaccurate or incomplete data
Erasure (Art. 17): the "right to be forgotten" — delete your account directly from the app settings
Portability (Art. 20): receive your data in a structured, machine-readable format (JSON)
Restriction (Art. 18): limit processing of your data in specific circumstances
Objection (Art. 21): object to processing based on legitimate interest (e.g. analytics)
Withdraw consent (Art. 7.3): withdraw your consent for health data processing at any time
Lodge a complaint (Art. 77): with your national Data Protection Authority — in France, the CNIL (cnil.fr)

To exercise these rights, contact our DPO at dpo@solaia.app. We respond within 30 days (Art. 12.3).

8. Security Measures

Encryption at rest: all data is encrypted by Google Cloud
Encryption in transit: TLS 1.3 for all communications
Access controls: Firebase Security Rules restrict each user's access to their own data only
Authentication: Apple Sign-In, Google Sign-In, or email OTP with rate limiting and replay protection
Sync gate: health data is never uploaded to our servers before you give explicit consent
Analytics sanitization: Amplitude events never contain health data values
No human access: no Solaia employee can read your health data in clear text outside of restricted, logged admin tools
Redundancy: backups within EU regions

9. Children's Privacy

Solaia is not intended for users under the age of 16. We do not knowingly collect personal data from children under 16. If you become aware that a child has provided personal data to us, please contact contact@solaia.app and we will take immediate action to delete it.

10. Changes to This Policy

We may update this Privacy Policy from time to time. For material changes affecting how we process your health data, we will request renewed explicit consent through an in-app dialog before continuing processing.

11. Contact

Solaia LLC (EIN 37-2219151)
30 N Gould St, STE R, Sheridan, WY 82801, USA
Email: contact@solaia.app
Data Protection Officer: dpo@solaia.app
EU Representative (Art. 27): eu-rep@solaia.app

For complaints, you can contact your national Data Protection Authority. In France:

CNIL (Commission Nationale de l'Informatique et des Libertés)
www.cnil.fr
3 Place de Fontenoy — TSA 80715 — 75334 PARIS CEDEX 07, France

Politique de confidentialité

Dernière mise à jour : 12 juin 2026

Solaia (« nous », « notre ») exploite l'application mobile Solaia (le « Service »). Cette politique de confidentialité explique comment nous collectons, traitons, conservons et protégeons vos données personnelles, y compris vos données de santé (catégorie particulière au sens de l'article 9 du RGPD).

Cette politique est conforme au Règlement Général sur la Protection des Données (RGPD) ainsi qu'aux lois nationales applicables.

1. Responsable du traitement

Le responsable du traitement de vos données est :

Solaia LLC (EIN 37-2219151)
30 N Gould St, STE R, Sheridan, WY 82801, USA
Email : contact@solaia.app
Délégué à la Protection des Données (DPO) : dpo@solaia.app

1.1 Représentant UE (Art. 27 RGPD)

En tant que responsable de traitement non établi dans l'Union européenne traitant des données de personnes situées dans l'UE, Solaia LLC a désigné un Représentant UE qui sert de point de contact pour les autorités de contrôle européennes et les personnes concernées :

Moon Horizon Studio (SASU, SIREN 102 723 756)
61 rue de Lyon, 75012 Paris, France
Email : eu-rep@solaia.app

2. Catégories de données personnelles traitées

2.1 Compte et profil

Identifiant Firebase anonyme (UID)
Optionnel : adresse email (si vous créez un compte par OTP), nom Apple/Google
Fournisseur d'authentification utilisé
Statut d'abonnement (actif, expiré, période d'essai)

2.2 Données de santé (RGPD Art. 9 — Catégorie particulière)

Cycle menstruel : dates des règles, durée, symptômes, flux
Contraception : type (pilule, stérilet, patch, etc.), historique de prise
Pathologies déclarées (SOPK, endométriose, hypothyroïdie, ménopause, etc.)
Traitements médicamenteux : nom, dosage, fréquence, horodatage des prises
Caractéristiques corporelles : taille, poids, poids cible
Indicateurs de bien-être : stress, sommeil, humeur, fatigue, digestion
Réponses d'onboarding (environ 22 questions sur les symptômes et le mode de vie)
Bilan personnalisé généré par IA à partir de vos réponses

2.3 Données visuelles

Photos de repas que vous choisissez d'envoyer pour analyse nutritionnelle par IA

2.4 Données d'usage et techniques

Fonctionnalités utilisées, écrans consultés, durée de session
Type d'appareil, version OS, version d'app, langue
Rapports de crash anonymisés (sans valeur de donnée de santé)

3. Base légale du traitement

3.1 Données de santé — Consentement explicite (Art. 9.2.a)

Le traitement de vos données de santé repose exclusivement sur votre consentement explicite, recueilli via une case à cocher dédiée dans l'application, avant tout transfert de données de santé hors de votre appareil.

Les utilisatrices ayant complété l'onboarding avant la mise en place du flux de consentement explicite se voient présenter une boîte de dialogue de consentement obligatoire à leur prochain lancement de l'app.

Vous pouvez retirer votre consentement à tout moment en supprimant votre compte depuis les paramètres de l'app. Le retrait du consentement ne remet pas en cause la licéité du traitement effectué avant ce retrait.

3.2 Compte et fonctionnement — Contrat (Art. 6.1.b)

La création de compte, l'authentification, la gestion d'abonnement et les fonctionnalités essentielles de l'app reposent sur l'exécution du contrat entre vous et nous (nos Conditions Générales d'Utilisation).

3.3 Analytics produit — Intérêt légitime (Art. 6.1.f)

Nous utilisons un outil d'analytics produit (Amplitude) pour comprendre comment le Service est utilisé et l'améliorer. Aucune valeur de donnée de santé n'est envoyée à Amplitude. Nous envoyons uniquement des identifiants d'étape et des métriques agrégées (par ex. étape complétée, bouton cliqué). Vous pouvez vous opposer à ce traitement à tout moment en contactant dpo@solaia.app.

4. Où sont stockées vos données

La majorité de vos données est hébergée au sein de l'Union Européenne :

Type de donnée	Service	Région
Documents utilisateur	Cloud Firestore	`eur3` (Multi-régions UE)
Sauvegardes cloud (données synchronisées)	Cloud Storage	`europe-west1` (Belgique)
Nouvelles photos de repas	Cloud Storage	`europe-west1` (Belgique)
Logique côté serveur	Cloud Functions	`europe-west1` (Belgique)

4.1 Données historiques

Les photos de repas envoyées avant le 12 juin 2026 peuvent encore résider sur un bucket américain (us-central1, Iowa). Ces photos sont protégées par des règles d'accès limitant la visibilité à vous seule, et couvertes par le Data Privacy Framework UE-USA (Google LLC certifié). Elles seront migrées ou supprimées dans un délai de 6 mois.

4.2 Transferts hors UE

Certains sous-traitants sont situés aux États-Unis. Tous ces transferts sont protégés par le Data Privacy Framework UE-USA (DPF) — une décision d'adéquation de la Commission européenne garantissant un niveau de protection équivalent.

5. Sous-traitants

Sous-traitant	Finalité	Localisation	Garantie
Google LLC (Firebase, Cloud Storage, Firestore, Cloud Functions, Auth, Messaging)	Hébergement, authentification, sync, notifications push	UE (principal), USA (historique)	DPF
Amplitude Inc.	Analytics produit (sans donnée de santé)	USA	DPF
Stripe Inc.	Paiement (web)	USA	DPF
RevenueCat Inc.	Gestion d'abonnement (mobile)	USA	DPF
Sentry (Functional Software Inc.)	Rapports de crash (sans valeur de donnée de santé)	USA	DPF
OpenAI / Anthropic	LLM pour la génération du bilan	USA	DPF

6. Durée de conservation

Type de donnée	Durée
Compte actif (toutes catégories)	Jusqu'à suppression du compte
Sauvegardes cloud	Jusqu'à suppression du compte
Photos de repas	Jusqu'à suppression du compte
Events analytics Amplitude	36 mois
Rapports de crash Sentry	30 jours
Compte inactif (24 mois sans connexion)	Suppression automatique après notification par email

Après suppression du compte, des sauvegardes résiduelles peuvent persister jusqu'à 30 jours pour des raisons techniques, puis sont définitivement effacées.

7. Vos droits au titre du RGPD

Accès (Art. 15) : obtenir une copie de vos données personnelles
Rectification (Art. 16) : corriger des données inexactes ou incomplètes
Effacement (Art. 17) : « droit à l'oubli » — supprimer votre compte depuis les paramètres de l'app
Portabilité (Art. 20) : recevoir vos données dans un format structuré et lisible par machine (JSON)
Limitation (Art. 18) : limiter le traitement dans certaines circonstances
Opposition (Art. 21) : vous opposer aux traitements basés sur l'intérêt légitime (analytics)
Retrait du consentement (Art. 7.3) : retirer votre consentement au traitement des données de santé à tout moment
Réclamation (Art. 77) : auprès de la CNIL (cnil.fr)

Pour exercer ces droits, contactez notre DPO à dpo@solaia.app. Nous répondons sous 30 jours (Art. 12.3).

8. Mesures de sécurité

Chiffrement au repos : toutes les données sont chiffrées par Google Cloud
Chiffrement en transit : TLS 1.3 pour toutes les communications
Contrôles d'accès : les Firebase Security Rules limitent l'accès aux données à leur propriétaire
Authentification : Apple Sign-In, Google Sign-In ou OTP email avec limitation de débit et protection rejeu
Garde-fou de synchronisation : aucune donnée de santé n'est envoyée à nos serveurs avant votre consentement explicite
Analytics filtrés : les events Amplitude ne contiennent jamais de valeurs de donnée de santé
Aucun accès humain : aucun employé Solaia ne peut lire vos données de santé en clair en dehors d'outils admin restreints et journalisés
Redondance : sauvegardes au sein des régions UE

9. Protection des mineurs

Solaia n'est pas destinée aux utilisateurs de moins de 16 ans. Nous ne collectons pas sciemment de données personnelles de mineurs de moins de 16 ans. Si vous constatez qu'un mineur nous a fourni des données personnelles, contactez contact@solaia.app et nous les supprimerons immédiatement.

10. Modifications de cette politique

Nous pouvons mettre à jour cette politique de temps à autre. Pour des changements substantiels affectant le traitement de vos données de santé, nous solliciterons un nouveau consentement explicite via une boîte de dialogue dans l'app avant de poursuivre le traitement.

11. Contact

Solaia LLC (EIN 37-2219151)
30 N Gould St, STE R, Sheridan, WY 82801, USA
Email : contact@solaia.app
Délégué à la Protection des Données : dpo@solaia.app
Représentant UE (Art. 27) : eu-rep@solaia.app

Pour toute réclamation, vous pouvez contacter la CNIL :

CNIL (Commission Nationale de l'Informatique et des Libertés)
www.cnil.fr
3 Place de Fontenoy — TSA 80715 — 75334 PARIS CEDEX 07, France

Datenschutzerklärung

Zuletzt aktualisiert: 12. Juni 2026

Solaia („wir", „uns", „unser") betreibt die mobile App Solaia (der „Dienst"). Diese Datenschutzerklärung erläutert, wie wir Ihre personenbezogenen Daten, einschließlich Gesundheitsdaten (besondere Kategorie nach Art. 9 DSGVO), erheben, verarbeiten, speichern und schützen.

Diese Richtlinie entspricht der EU-Datenschutz-Grundverordnung (DSGVO) und den anwendbaren nationalen Datenschutzgesetzen.

1. Verantwortlicher

Verantwortlich für Ihre personenbezogenen Daten ist:

Solaia LLC (EIN 37-2219151)
30 N Gould St, STE R, Sheridan, WY 82801, USA
E-Mail: contact@solaia.app
Datenschutzbeauftragter (DPO): dpo@solaia.app

1.1 EU-Vertreter (Art. 27 DSGVO)

Als nicht in der EU niedergelassener Verantwortlicher, der personenbezogene Daten von in der EU befindlichen Personen verarbeitet, hat Solaia LLC einen EU-Vertreter benannt, der als Ansprechpartner für EU-Aufsichtsbehörden und betroffene Personen dient:

Moon Horizon Studio (SASU, SIREN 102 723 756)
61 rue de Lyon, 75012 Paris, Frankreich
E-Mail: eu-rep@solaia.app

2. Kategorien verarbeiteter Daten

2.1 Konto- und Profildaten

Anonyme Firebase-Benutzerkennung (UID)
Optional: E-Mail (bei OTP-Konto), Name aus Apple/Google Sign-In
Verwendeter Authentifizierungsanbieter
Abostatus (aktiv, abgelaufen, Testphase)

2.2 Gesundheitsdaten (DSGVO Art. 9 — besondere Kategorie)

Zyklusdaten: Periodenbeginn, Dauer, Symptome, Stärke
Verhütung: Art (Pille, Spirale, Pflaster usw.), Einnahmehistorie
Angegebene Diagnosen (PCOS, Endometriose, Schilddrüsenunterfunktion, Menopause usw.)
Medikamente: Name, Dosis, Häufigkeit, Einnahme-Zeitstempel
Körperliche Merkmale: Größe, Gewicht, Zielgewicht
Wohlbefindensindikatoren: Stress, Schlaf, Stimmung, Müdigkeit, Verdauung
Onboarding-Antworten (ca. 22 Fragen zu Symptomen und Lebensstil)
KI-generierte personalisierte Auswertung Ihrer Eingaben

2.3 Visuelle Daten

Mahlzeitenfotos, die Sie für die KI-Ernährungsanalyse hochladen

2.4 Nutzungs- und technische Daten

Genutzte Funktionen, besuchte Bildschirme, Sitzungsdauer
Gerätetyp, OS-Version, App-Version, Sprache
Anonymisierte Crash-Berichte (ohne Gesundheitsdatenwerte)

3. Rechtsgrundlage der Verarbeitung

3.1 Gesundheitsdaten — Ausdrückliche Einwilligung (Art. 9.2.a)

Die Verarbeitung Ihrer Gesundheitsdaten beruht ausschließlich auf Ihrer ausdrücklichen Einwilligung, eingeholt über ein eigenes Kontrollkästchen in der App, bevor irgendwelche Gesundheitsdaten Ihr Gerät verlassen.

Nutzerinnen, die das Onboarding vor Einführung des expliziten Einwilligungsflusses abgeschlossen haben, sehen beim nächsten Start einen verpflichtenden Einwilligungsdialog.

Sie können Ihre Einwilligung jederzeit widerrufen, indem Sie Ihr Konto in den App-Einstellungen löschen. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.

3.2 Konto und Betrieb — Vertrag (Art. 6.1.b)

Kontoerstellung, Authentifizierung, Abo-Verwaltung und Kernfunktionen der App basieren auf der Erfüllung des Vertrags zwischen Ihnen und uns (unseren Nutzungsbedingungen).

3.3 Produktanalytics — Berechtigtes Interesse (Art. 6.1.f)

Wir nutzen Produktanalytics (Amplitude), um zu verstehen, wie der Dienst genutzt wird, und ihn zu verbessern. Keine Gesundheitsdatenwerte werden an Amplitude gesendet. Wir senden nur Schritt-Kennungen und aggregierte Metriken (z. B. abgeschlossene Schritte, angetippte Buttons). Sie können dieser Verarbeitung jederzeit widersprechen: dpo@solaia.app.

4. Wo Ihre Daten gespeichert werden

Der Großteil Ihrer Daten wird innerhalb der Europäischen Union gehostet:

Datentyp	Dienst	Region
Nutzerdokumente	Cloud Firestore	`eur3` (EU-Multiregion)
Cloud-Backups	Cloud Storage	`europe-west1` (Belgien)
Neue Mahlzeitenfotos	Cloud Storage	`europe-west1` (Belgien)
Server-Logik	Cloud Functions	`europe-west1` (Belgien)

4.1 Altdaten

Mahlzeitenfotos, die vor dem 12. Juni 2026 hochgeladen wurden, liegen evtl. noch in einem US-Bucket (us-central1, Iowa). Diese Fotos sind durch Zugriffsregeln auf Sie allein beschränkt und unterliegen dem EU-US Data Privacy Framework (Google LLC zertifiziert). Sie werden innerhalb von 6 Monaten migriert oder gelöscht.

4.2 Übermittlungen außerhalb der EU

Einige Auftragsverarbeiter befinden sich in den USA. Alle Übermittlungen sind durch das EU-US Data Privacy Framework (DPF) abgesichert — ein Angemessenheitsbeschluss der Europäischen Kommission.

5. Auftragsverarbeiter

Auftragsverarbeiter	Zweck	Standort	Schutz
Google LLC (Firebase, Cloud Storage, Firestore, Cloud Functions, Auth, Messaging)	Hosting, Authentifizierung, Sync, Push-Benachrichtigungen	EU (primär), USA (Altdaten)	DPF
Amplitude Inc.	Produktanalytics (keine Gesundheitsdaten)	USA	DPF
Stripe Inc.	Zahlungsabwicklung (Web)	USA	DPF
RevenueCat Inc.	Abo-Verwaltung (Mobile)	USA	DPF
Sentry (Functional Software Inc.)	Crash-Berichte (ohne Gesundheitsdatenwerte)	USA	DPF
OpenAI / Anthropic	LLM für die Auswertungserstellung	USA	DPF

6. Speicherdauer

Datentyp	Dauer
Aktive Kontodaten (alle Kategorien)	Bis zur Kontolöschung
Cloud-Backups	Bis zur Kontolöschung
Mahlzeitenfotos	Bis zur Kontolöschung
Amplitude-Analytics-Events	36 Monate
Sentry-Crash-Berichte	30 Tage
Inaktives Konto (24 Monate ohne Login)	Automatische Löschung nach E-Mail-Hinweis

Nach der Kontolöschung können Rest-Backups bis zu 30 Tage für technische Wiederherstellung bestehen bleiben und werden dann endgültig gelöscht.

7. Ihre Rechte nach DSGVO

Auskunft (Art. 15): Kopie der über Sie gespeicherten Daten erhalten
Berichtigung (Art. 16): unrichtige Daten korrigieren
Löschung (Art. 17): „Recht auf Vergessenwerden" — Konto direkt in der App löschen
Datenübertragbarkeit (Art. 20): Ihre Daten in einem strukturierten, maschinenlesbaren Format (JSON) erhalten
Einschränkung (Art. 18): Verarbeitung in bestimmten Fällen einschränken
Widerspruch (Art. 21): gegen Verarbeitung auf Basis berechtigten Interesses widersprechen
Widerruf der Einwilligung (Art. 7.3): Einwilligung zur Gesundheitsdatenverarbeitung jederzeit widerrufen
Beschwerde (Art. 77): bei Ihrer nationalen Aufsichtsbehörde (in Deutschland: BfDI)

Zur Ausübung dieser Rechte kontaktieren Sie unseren DPO: dpo@solaia.app. Wir antworten innerhalb von 30 Tagen (Art. 12.3).

8. Sicherheitsmaßnahmen

Verschlüsselung im Ruhezustand: alle Daten werden von Google Cloud verschlüsselt
Verschlüsselung im Transit: TLS 1.3 für alle Kommunikationen
Zugriffskontrollen: Firebase Security Rules beschränken den Zugriff auf die eigenen Daten
Authentifizierung: Apple Sign-In, Google Sign-In oder OTP-E-Mail mit Rate-Limiting
Sync-Sperre: Gesundheitsdaten werden nie ohne ausdrückliche Einwilligung an unsere Server gesendet
Analytics-Filterung: Amplitude-Events enthalten nie Gesundheitsdatenwerte
Kein menschlicher Zugriff: kein Solaia-Mitarbeiter kann Ihre Gesundheitsdaten im Klartext lesen, außer über beschränkte, protokollierte Admin-Tools
Redundanz: Backups innerhalb von EU-Regionen

9. Minderjährige

Solaia richtet sich nicht an Nutzer unter 16 Jahren. Wir erheben wissentlich keine personenbezogenen Daten von Minderjährigen unter 16 Jahren. Sollten Sie feststellen, dass ein Minderjähriger uns Daten übermittelt hat, kontaktieren Sie contact@solaia.app, und wir löschen sie umgehend.

10. Änderungen dieser Richtlinie

Wir können diese Richtlinie von Zeit zu Zeit aktualisieren. Bei wesentlichen Änderungen der Verarbeitung Ihrer Gesundheitsdaten holen wir eine erneute ausdrückliche Einwilligung über einen In-App-Dialog ein.

11. Kontakt

Solaia LLC (EIN 37-2219151)
30 N Gould St, STE R, Sheridan, WY 82801, USA
E-Mail: contact@solaia.app
Datenschutzbeauftragter: dpo@solaia.app
EU-Vertreter (Art. 27): eu-rep@solaia.app

Bei Beschwerden können Sie sich an Ihre nationale Aufsichtsbehörde wenden, z. B.:

BfDI (Bundesbeauftragte für den Datenschutz und die Informationsfreiheit)
www.bfdi.bund.de

Política de Privacidad

Última actualización: 12 de junio de 2026

Solaia («nosotros», «nuestro») opera la aplicación móvil Solaia (el «Servicio»). Esta Política de Privacidad explica cómo recopilamos, procesamos, almacenamos y protegemos tus datos personales, incluidos los datos de salud (categoría especial según el artículo 9 del RGPD).

Esta política cumple con el Reglamento General de Protección de Datos (RGPD) de la UE y las leyes nacionales aplicables.

1. Responsable del tratamiento

El responsable del tratamiento de tus datos es:

Solaia LLC (EIN 37-2219151)
30 N Gould St, STE R, Sheridan, WY 82801, USA
Email: contact@solaia.app
Delegado de Protección de Datos (DPO): dpo@solaia.app

1.1 Representante en la UE (Art. 27 RGPD)

Como responsable no establecido en la UE que trata datos de personas situadas en la Unión Europea, Solaia LLC ha designado un Representante en la UE como punto de contacto con las autoridades de control europeas y los interesados:

Moon Horizon Studio (SASU, SIREN 102 723 756)
61 rue de Lyon, 75012 París, Francia
Email: eu-rep@solaia.app

2. Categorías de datos personales tratados

2.1 Datos de cuenta y perfil

Identificador anónimo de Firebase (UID)
Opcional: dirección de email (si creas cuenta vía OTP), nombre de Apple/Google Sign-In
Proveedor de autenticación usado
Estado de suscripción (activa, expirada, prueba)

2.2 Datos de salud (RGPD Art. 9 — categoría especial)

Ciclo menstrual: fechas de inicio de regla, duración, síntomas, flujo
Anticoncepción: tipo (píldora, DIU, parche, etc.), historial de toma
Condiciones médicas declaradas (SOP, endometriosis, hipotiroidismo, menopausia, etc.)
Medicamentos: nombre, dosis, frecuencia, marcas temporales de toma
Características corporales: altura, peso, peso objetivo
Indicadores de bienestar: estrés, sueño, estado de ánimo, fatiga, digestión
Respuestas del onboarding (unas 22 preguntas sobre síntomas y estilo de vida)
Evaluación personalizada generada por IA basada en tus respuestas

2.3 Datos visuales

Fotos de comidas que decides subir para análisis nutricional por IA

2.4 Datos de uso y técnicos

Funcionalidades usadas, pantallas visitadas, duración de sesión
Tipo de dispositivo, versión del SO, versión de app, idioma
Informes anónimos de fallos (sin valores de datos de salud)

3. Base legal del tratamiento

3.1 Datos de salud — Consentimiento explícito (Art. 9.2.a)

El tratamiento de tus datos de salud se basa exclusivamente en tu consentimiento explícito, recabado mediante una casilla de verificación dedicada en la app, antes de que ningún dato de salud salga de tu dispositivo.

Las usuarias que completaron el onboarding antes de la implementación del flujo de consentimiento explícito ven un diálogo de consentimiento obligatorio al siguiente arranque de la app.

Puedes retirar tu consentimiento en cualquier momento eliminando tu cuenta desde los ajustes de la app. La retirada no afecta la licitud del tratamiento previo.

3.2 Cuenta y operación — Contrato (Art. 6.1.b)

La creación de cuenta, autenticación, gestión de suscripción y funcionalidades centrales se procesan para ejecutar el contrato entre tú y nosotros (nuestros Términos del Servicio).

3.3 Analítica de producto — Interés legítimo (Art. 6.1.f)

Usamos analítica de producto (Amplitude) para entender cómo se usa el Servicio y mejorarlo. No se envían valores de datos de salud a Amplitude. Solo enviamos identificadores de paso y métricas agregadas (p. ej. paso completado, botón tocado). Puedes oponerte a este tratamiento en cualquier momento: dpo@solaia.app.

4. Dónde se almacenan tus datos

La mayoría de tus datos se alojan dentro de la Unión Europea:

Tipo de dato	Servicio	Región
Documentos de usuario	Cloud Firestore	`eur3` (multirregión UE)
Copias de seguridad en la nube	Cloud Storage	`europe-west1` (Bélgica)
Nuevas fotos de comidas	Cloud Storage	`europe-west1` (Bélgica)
Lógica del servidor	Cloud Functions	`europe-west1` (Bélgica)

4.1 Datos heredados

Las fotos de comidas subidas antes del 12 de junio de 2026 pueden permanecer en un bucket de EE. UU. (us-central1, Iowa). Estas fotos están protegidas por reglas de acceso que limitan la visibilidad a ti sola y cubiertas por el Data Privacy Framework UE-EE. UU. (Google LLC certificado). Serán migradas o eliminadas en un plazo de 6 meses.

4.2 Transferencias fuera de la UE

Algunos subprocesadores están en EE. UU. Todas las transferencias están protegidas por el Data Privacy Framework UE-EE. UU. (DPF) — decisión de adecuación de la Comisión Europea.

5. Subprocesadores

Subprocesador	Finalidad	Localización	Salvaguarda
Google LLC (Firebase, Cloud Storage, Firestore, Cloud Functions, Auth, Messaging)	Hosting, autenticación, sincronización, notificaciones push	UE (principal), EE. UU. (heredado)	DPF
Amplitude Inc.	Analítica de producto (sin datos de salud)	EE. UU.	DPF
Stripe Inc.	Pagos (web)	EE. UU.	DPF
RevenueCat Inc.	Gestión de suscripción (móvil)	EE. UU.	DPF
Sentry (Functional Software Inc.)	Informes de fallos (sin valores de datos de salud)	EE. UU.	DPF
OpenAI / Anthropic	LLM para generación de la evaluación	EE. UU.	DPF

6. Plazos de conservación

Tipo de dato	Plazo
Cuenta activa (todas las categorías)	Hasta la eliminación de la cuenta
Copias en la nube	Hasta la eliminación de la cuenta
Fotos de comidas	Hasta la eliminación de la cuenta
Eventos de analítica Amplitude	36 meses
Informes de fallos Sentry	30 días
Cuenta inactiva (24 meses sin login)	Eliminación automática tras aviso por email

Tras la eliminación de la cuenta, las copias de seguridad residuales pueden persistir hasta 30 días por motivos técnicos de recuperación, luego son borradas permanentemente.

7. Tus derechos según el RGPD

Acceso (Art. 15): obtener una copia de tus datos personales
Rectificación (Art. 16): corregir datos inexactos o incompletos
Supresión (Art. 17): «derecho al olvido» — eliminar tu cuenta desde los ajustes
Portabilidad (Art. 20): recibir tus datos en formato estructurado y legible por máquina (JSON)
Limitación (Art. 18): limitar el tratamiento en ciertas circunstancias
Oposición (Art. 21): oponerte al tratamiento basado en interés legítimo
Retirada del consentimiento (Art. 7.3): retirar el consentimiento al tratamiento de datos de salud en cualquier momento
Reclamación (Art. 77): ante tu autoridad nacional de protección de datos (en España: AEPD)

Para ejercer estos derechos, contacta con nuestro DPO: dpo@solaia.app. Respondemos en 30 días (Art. 12.3).

8. Medidas de seguridad

Cifrado en reposo: todos los datos los cifra Google Cloud
Cifrado en tránsito: TLS 1.3 para todas las comunicaciones
Controles de acceso: las Firebase Security Rules restringen el acceso a los datos al propio usuario
Autenticación: Apple Sign-In, Google Sign-In u OTP email con limitación de tasa
Bloqueo de sincronización: los datos de salud nunca se suben a nuestros servidores sin consentimiento explícito
Saneamiento de analítica: los eventos de Amplitude nunca contienen valores de datos de salud
Sin acceso humano: ningún empleado de Solaia puede leer tus datos de salud en claro fuera de herramientas admin restringidas y auditadas
Redundancia: copias dentro de regiones UE

9. Menores

Solaia no está destinada a usuarios menores de 16 años. No recopilamos a sabiendas datos personales de menores de 16 años. Si detectas que un menor nos ha facilitado datos, contacta con contact@solaia.app y los eliminaremos de inmediato.

10. Cambios en esta política

Podemos actualizar esta política puntualmente. Para cambios sustanciales que afecten al tratamiento de datos de salud, solicitaremos un nuevo consentimiento explícito mediante un diálogo en la app antes de continuar.

11. Contacto

Solaia LLC (EIN 37-2219151)
30 N Gould St, STE R, Sheridan, WY 82801, USA
Email: contact@solaia.app
Delegado de Protección de Datos: dpo@solaia.app
Representante UE (Art. 27): eu-rep@solaia.app

Para reclamaciones, puedes contactar con tu autoridad nacional. En España:

AEPD (Agencia Española de Protección de Datos)
www.aepd.es