Privacy Policy for myQiu/BioSign HRV
Version 1.2.0 of September 2026
1. Información general
Mediante esta Política de privacidad le informamos sobre cómo BioSign GmbH trata datos personales durante el uso de myQiu.
myQiu permite recopilar, almacenar, analizar y representar datos de variabilidad de la frecuencia cardíaca (HRV). Los datos de medición pueden transmitirse a myQiu desde un dispositivo de medición conectado mediante Bluetooth y tratarse en nuestros sistemas de servidores.
Los datos de medición y evaluación tratados en este contexto pueden permitir extraer conclusiones sobre el estado de salud. Por ello, tratamos estos datos como datos relativos a la salud y, por tanto, como categorías especiales de datos personales en el sentido del artículo 9, apartado 1, del RGPD.
2. Responsable del tratamiento
BioSign GmbH
Brunnenstr. 21
85570 Ottenhofen
Alemania
Director gerente: Dr. Reinhard D. Beise
Teléfono: +49 8121 923894
Correo electrónico: info@biosign.de
Sitio web: www.biosign.de
Registro mercantil: Amtsgericht München (Juzgado Local de Múnich)
Número de registro mercantil: HRB 135220
N.º de identificación a efectos de IVA: DE 213294143
3. Delegado de Protección de Datos
Dr. Markus Hofer
Delegado de Protección de Datos
BioSign GmbH
Brunnenstr. 21
85570 Ottenhofen
Alemania
Correo electrónico: datenschutz@biosign.de
4. ¿Qué datos tratamos?
4.1 Datos de cuenta y registro
Para crear y administrar una cuenta de myQiu pueden tratarse, en particular, los siguientes datos:
· Nombre de usuario y datos de autenticación,
· Dirección de correo electrónico,
· Tratamiento y título, si se facilitan,
· Nombre y apellidos o un seudónimo elegido por el Usuario,
· Fecha de nacimiento o año de nacimiento,
· Sexo, si se facilita,
· Estatura, si se facilita,
· Datos de dirección, si se han registrado en la cuenta,
· Idioma y zona horaria,
· Estado de la licencia y de la cuenta.
Siempre que sea técnicamente posible y compatible con el uso deseado, puede utilizarse un seudónimo en lugar del nombre y los apellidos. La edad o el año de nacimiento pueden ser necesarios para calcular e interpretar determinados valores de HRV.
4.2 Datos de medición, HRV y salud
Al realizar y evaluar mediciones, myQiu trata, en particular:
· Intervalos entre latidos (IBI, es decir, intervalos entre los latidos cardíacos),
· En el sistema de medición Qiu+, además, la señal de la curva de pulso,
· Parámetros de HRV y evaluaciones calculados a partir de los datos de medición,
· Momento, duración y evolución histórica de las mediciones,
· En su caso, otros datos relacionados con la medición.
Estos datos se tratan como datos relativos a la salud conforme al artículo 9, apartado 1, del RGPD.
4.3 Datos de Coaches y autorizaciones a Coaches
Las cuentas de Coach solo pueden ser utilizadas por personas mayores de edad. Para los Coaches registrados tratamos los datos de cuenta y de contacto necesarios para crear y administrar la cuenta de Coach. El registro como Coach no concede automáticamente acceso a los datos de medición o de salud de un Usuario. El acceso solo se concede mediante una autorización activa del Usuario o, en el caso de Usuarios menores de edad, a través del procedimiento de consentimiento previsto a tal efecto.
myQiu también almacena a qué Coach ha autorizado un Usuario. Un Usuario puede autorizar simultáneamente a un máximo de dos Coaches. Mientras exista una autorización, el Coach puede consultar, descargar y analizar los datos de medición y evaluación previstos para esta función. La autorización puede revocarse en cualquier momento; el acceso del Coach correspondiente a través de myQiu finalizará inmediatamente. Los datos previamente descargados de forma lícita no se eliminan automáticamente al revocarse la autorización.
4.4 Registros técnicos de inicio de sesión y de la aplicación
Durante los procesos de inicio de sesión se generan registros técnicos de inicio de sesión y de la aplicación. Se utilizan para la seguridad técnica, el análisis de errores y la detección de accesos no autorizados. El plazo ordinario de conservación es de 28 días; transcurrido dicho plazo, estos datos de registro se eliminan.
4.5 Datos de soporte y comunicación
Si se pone en contacto con nosotros, tratamos los datos de contacto que nos facilite, la información relativa a la cuenta de Usuario y el contenido de su consulta, en la medida necesaria para tramitarla.
4.6 Usuarios menores de edad
myQiu también puede ser utilizado por Usuarios menores de edad. En este caso, la cuenta de Usuario será creada o gestionada por una persona mayor de edad que disponga de las facultades necesarias de patria potestad o tutela, representación y consentimiento.
Un Coach solo puede crear una cuenta de Usuario para un menor por encargo de una persona mayor de edad que disponga de la correspondiente facultad de representación.
Antes de tratar datos de salud de un Usuario menor de edad se obtendrán los consentimientos y declaraciones exigidos conforme a la normativa aplicable. Se tendrán en cuenta la edad y la capacidad de comprensión del menor. Cuando un Usuario menor de edad alcance la mayoría de edad, pasará a adoptar por sí mismo las decisiones en materia de protección de datos y las autorizaciones a Coaches.
4.7 Datos de prueba, consentimiento y autorización
Para documentar actuaciones del Usuario con relevancia jurídica, myQiu almacena de forma seudonimizada, en particular, la aceptación de una versión de las Condiciones Generales, la toma de conocimiento de una versión de la Política de privacidad, el otorgamiento y la retirada del consentimiento para el tratamiento de datos de salud, así como el otorgamiento y la revocación de una autorización a un Coach.
En cada caso se almacenan únicamente los datos necesarios como prueba, en particular la identificación interna del Usuario o de la cuenta, el tipo de actuación, la fecha y hora y la versión del documento o declaración correspondiente. Si se utilizan distintas versiones lingüísticas, también puede documentarse el idioma utilizado. En las autorizaciones a Coaches se registra además, de forma seudonimizada, el Coach seleccionado.
Estos datos de prueba deben distinguirse de los registros técnicos de inicio de sesión y de la aplicación y no están sujetos a su plazo de conservación de 28 días.
5. Finalidades y bases jurídicas del tratamiento
5.1 Prestación y administración de la cuenta de Usuario
Los datos de cuenta y registro se tratan para crear y administrar su cuenta de myQiu y proporcionarle las funciones acordadas. La base jurídica es el artículo 6, apartado 1, letra b), del RGPD.
5.2 Realización y evaluación de mediciones HRV
Los datos de medición se tratan para realizar las mediciones HRV iniciadas por usted, calcular parámetros de HRV, evaluar y almacenar los resultados y mostrar su evolución histórica. Cuando en este contexto se traten datos de salud, el tratamiento se basa en su consentimiento explícito conforme al artículo 9, apartado 2, letra a), del RGPD. Para el tratamiento general de datos necesario para prestar las funciones acordadas de myQiu resulta asimismo aplicable el artículo 6, apartado 1, letra b), del RGPD.
5.3 Autorización opcional de datos a un Coach
Los Usuarios mayores de edad deciden por sí mismos si conceden a un Coach registrado en myQiu acceso a los datos previstos a tal efecto. En el caso de Usuarios menores de edad, la autorización se realiza mediante el procedimiento de consentimiento previsto, teniendo en cuenta las declaraciones necesarias del menor y de la persona mayor de edad con facultad de representación. El acceso solo se produce tras una autorización activa. Cuando se revelen datos de salud, la autorización se basa en un consentimiento explícito conforme al artículo 6, apartado 1, letra a), y al artículo 9, apartado 2, letra a), del RGPD. La autorización a un Coach es voluntaria y no constituye un requisito para utilizar las funciones generales de myQiu.
5.4 Funcionamiento técnico y seguridad informática
Tratamos datos técnicos de registro para garantizar un funcionamiento seguro y correcto de myQiu, analizar errores y detectar y prevenir accesos no autorizados y otros incidentes de seguridad. La base jurídica es el artículo 6, apartado 1, letra f), del RGPD. Nuestro interés legítimo consiste en la seguridad, estabilidad y funcionalidad de myQiu, así como en la protección de los datos tratados.
5.5 Soporte y obligaciones legales
Dependiendo del objeto de la consulta, tratamos los datos de soporte y comunicación sobre la base del artículo 6, apartado 1, letra b) o f), del RGPD. Cuando existan obligaciones legales de conservación, prueba u otras obligaciones, el tratamiento se realiza sobre la base del artículo 6, apartado 1, letra c), del RGPD.
5.6 Obligaciones de prueba y responsabilidad proactiva
Los datos de prueba, consentimiento y autorización se tratan para poder acreditar la incorporación de condiciones contractuales, así como el otorgamiento, la retirada y la actualización de declaraciones relevantes en materia de protección de datos, y para cumplir las obligaciones legales de prueba y responsabilidad proactiva. Cuando el tratamiento sirva para ejecutar el contrato y acreditar la relación contractual, la base jurídica es el artículo 6, apartado 1, letra b), del RGPD. Cuando se cumplan obligaciones legales de prueba o responsabilidad proactiva, el tratamiento se realiza sobre la base del artículo 6, apartado 1, letra c), del RGPD. Cuando la documentación sea necesaria para formular, ejercer o defender reclamaciones, puede resultar aplicable el artículo 6, apartado 1, letra f), del RGPD.
6. Necesidad de facilitar los datos
Determinados datos de cuenta y autenticación son necesarios para crear una cuenta de myQiu y prestar los servicios acordados. Sin los datos de medición necesarios para una medición HRV, no pueden ofrecerse las correspondientes funciones de medición, cálculo y evaluación. La autorización a un Coach es voluntaria.
7. Acceso por parte de Coaches
Un Coach registrado inicialmente no tiene acceso a los datos de salud o medición de otros Usuarios. Los Usuarios mayores de edad deciden por sí mismos si conceden acceso y a qué Coach; en el caso de Usuarios menores de edad, la autorización se realiza mediante el procedimiento de consentimiento previsto. Pueden autorizarse simultáneamente como máximo dos Coaches. En el marco de una autorización, el Coach puede consultar, descargar y analizar los datos de medición y evaluación previstos. La autorización puede revocarse en cualquier momento. El acceso a través de myQiu finaliza inmediatamente cuando se deselecciona al Coach. Los datos previamente descargados de forma lícita no se eliminan automáticamente al revocarse una autorización.
Si posteriormente un Coach trata los datos puestos a su disposición o descargados para sus propios fines de asesoramiento, coaching u otros fines profesionales y decide por sí mismo sobre los fines y medios de dicho tratamiento ulterior, el Coach será responsable, a efectos de protección de datos, de ese tratamiento ulterior.
8. Alojamiento, copias de seguridad y tratamiento por encargo
Para el funcionamiento de la infraestructura de servidores y copias de seguridad de myQiu utilizamos a IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Alemania, como encargado del tratamiento conforme al artículo 28 del RGPD. Existe un contrato de encargo de tratamiento con IONOS.
La infraestructura de servidores de producción de myQiu se opera en Alemania. Para las copias de seguridad se utiliza IONOS Cloud Backup. Europa está configurada como región de destino de las copias de seguridad.
La configuración actual de las copias de seguridad prevé copias completas y diferenciales, un plazo máximo de conservación de tres semanas y cifrado AES-256. La capacidad de restauración se comprueba mediante restauraciones de prueba.
Según el estado actualmente documentado, para los servicios de servidor y copia de seguridad utilizados son especialmente relevantes como subencargados de IONOS Arsys Internet S.L.U., en España, y Acronis Germany GmbH, en Alemania.
Con arreglo al contrato vigente, el tratamiento por IONOS se realiza, con carácter general, en la Unión Europea o en el Espacio Económico Europeo, salvo que un servicio concreto requiera una transferencia a un tercer país. Dicha transferencia solo podrá realizarse cumpliendo los requisitos de los artículos 44 y siguientes del RGPD.
9. Bluetooth y permiso de ubicación en Android
myQiu utiliza Bluetooth exclusivamente para comunicarse con dispositivos de medición compatibles. En determinadas versiones de Android, el sistema operativo puede exigir, para buscar dispositivos Bluetooth, un permiso denominado permiso de ubicación.
myQiu no lee datos de ubicación en virtud de dicho permiso. En particular, no se recopilan ni almacenan coordenadas GPS ni otras coordenadas de ubicación, no se deduce información de ubicación a partir de datos Bluetooth y no se transmiten datos de ubicación al servidor de myQiu.
10. Tratamiento en el smartphone
Los datos de salud y medición no se almacenan de forma permanente en el smartphone. El tratamiento local se realiza únicamente en la medida necesaria para la medición correspondiente y la transmisión al sistema de servidores de myQiu.
11. Seudonimización y separación de datos
Los datos de salud y medición se almacenan por separado de los datos maestros que permiten una identificación directa. Los datos IBI, la señal de la curva de pulso registrada con Qiu+ y los parámetros HRV calculados a partir de ellos se gestionan bajo un identificador interno seudónimo. La asignación a la cuenta de Usuario se realiza mediante una vinculación técnica separada.
Dado que sigue siendo posible realizar una asignación, se trata de datos seudonimizados y no anonimizados. Los datos siguen siendo datos personales y continúan sujetos al RGPD. Los datos maestros que permiten una identificación directa se almacenan cifrados.
12. Seguridad de los datos
Para proteger los datos personales aplicamos medidas técnicas y organizativas adecuadas. Entre ellas se incluyen, en particular, HTTPS/TLS para la comunicación entre la aplicación y el servidor, el almacenamiento separado y seudonimizado de los datos de salud, el almacenamiento cifrado de los datos maestros que permiten una identificación directa, derechos de acceso administrativo restringidos, procedimientos de firewall y actualización, así como copias de seguridad cifradas y sometidas a pruebas.
13. Plazos de conservación y eliminación
13.1 Cuenta de Usuario y datos de salud
Los datos de salud y medición se almacenan mientras exista la cuenta de Usuario, en la medida necesaria para las funciones históricas de medición y evaluación de myQiu. Tras expirar la última licencia activada, la cuenta de Usuario puede mantenerse inicialmente para poder reutilizarla si posteriormente se activa una nueva licencia. Si dentro de los dos años siguientes a la expiración de la última licencia activada no se activa una nueva licencia y la cuenta de Usuario no ha sido eliminada previamente, la cuenta, los datos maestros, las claves de asignación y los datos de salud y medición asociados se eliminarán de los sistemas de producción como máximo al finalizar dicho plazo, salvo que existan obligaciones legales de conservación u otros motivos legales que impidan la eliminación. Si el Cliente elimina antes la cuenta de Usuario, los datos de producción correspondientes se eliminarán sin esperar a que finalice dicho plazo. Los datos que aún permanezcan en las copias de seguridad se eliminarán conforme al apartado 13.4 en el marco de la rotación de copias de seguridad.
13.2 Autorizaciones a Coaches
El derecho de acceso de un Coach a través de myQiu finaliza cuando el Usuario lo deselecciona y, como máximo, al eliminarse la cuenta de Usuario. Los datos previamente descargados de forma lícita no se eliminan automáticamente al finalizar la autorización.
13.3 Registros de inicio de sesión y de la aplicación
Los registros de inicio de sesión y de la aplicación se conservan durante 28 días y posteriormente se eliminan.
13.4 Copias de seguridad
Las copias de seguridad se conservan durante un máximo de tres semanas y posteriormente se eliminan en el marco de la rotación de copias de seguridad. Los datos que aún permanezcan en copias de seguridad y que ya hayan sido eliminados de los sistemas de producción no se utilizan para fines productivos ordinarios. Tras una restauración se vuelven a aplicar las eliminaciones realizadas entretanto.
13.5 Datos de prueba y consentimiento y archivo documental
Mientras exista la cuenta de Usuario, se mantiene un historial seudonimizado de prueba relativo a la aceptación de las Condiciones Generales, la toma de conocimiento de la Política de privacidad, los consentimientos y retiradas del consentimiento para el tratamiento de datos de salud, así como las autorizaciones a Coaches y su revocación.
Cuando se elimina la cuenta de Usuario, también se eliminan, con carácter general, los datos de prueba, consentimiento y autorización vinculados a la cuenta. Los datos de prueba individuales solo se conservarán durante más tiempo cuando exista una obligación legal en el caso concreto o cuando sean necesarios para formular, ejercer o defender reclamaciones.
Con independencia de lo anterior, BioSign archiva de forma permanente las versiones utilizadas de los textos legales, avisos de privacidad, textos de consentimiento y documentos internos de protección de datos como documentación general de procedimiento no vinculada a cuentas concretas. Este archivo documental no contiene ninguna asociación con Usuarios individuales.
14. Retirada del consentimiento
Cuando el tratamiento se base en su consentimiento, puede retirarlo en cualquier momento con efectos para el futuro. Esto se aplica, en particular, al tratamiento de datos de salud y a la autorización voluntaria a un Coach. Una autorización a un Coach puede finalizarse deseleccionando al Coach correspondiente. Para otras cuestiones relacionadas con la protección de datos puede dirigirse a datenschutz@biosign.de.
La licitud del tratamiento efectuado hasta la retirada no se verá afectada. Cuando el tratamiento de determinados datos de salud sea técnicamente necesario para proporcionar una función de medición o evaluación HRV solicitada, la retirada puede implicar que dicha función ya no pueda utilizarse posteriormente.
15. Boletín informativo
Si se suscribe a un boletín informativo de BioSign GmbH, trataremos su dirección de correo electrónico para enviarle el boletín. Actualmente, el boletín es gestionado directamente por BioSign GmbH; según el estado actual, no se utiliza un proveedor externo específico de servicios de boletín.
La base jurídica es su consentimiento conforme al artículo 6, apartado 1, letra a), del RGPD. Puede retirar su consentimiento en cualquier momento con efectos para el futuro, en particular mediante la opción de baja incluida en el boletín o enviándonos un mensaje. Tras la baja, su dirección de correo electrónico se eliminará de la lista de distribución, salvo que exista otra base jurídica para conservarla.
16. No utilización para publicidad ni entrenamiento de IA
Según el concepto de tratamiento actual, los datos de salud y medición almacenados en myQiu no se utilizan para publicidad personalizada, para entrenar modelos de IA u otros modelos ni para otros fines ajenos al objeto previsto.
17. Evaluaciones HRV automatizadas
myQiu calcula automáticamente parámetros HRV a partir de los datos de medición recopilados y proporciona evaluaciones y representaciones derivadas de ellos. Estos cálculos forman parte de las funciones de análisis ofrecidas. Según el concepto de tratamiento actual, no se adopta ninguna decisión basada únicamente en un tratamiento automatizado en el sentido del artículo 22 del RGPD que produzca efectos jurídicos para un Usuario o le afecte de manera similar y significativa.
18. Derechos de las personas interesadas
Conforme a los requisitos legales aplicables, usted dispone, en particular, de los siguientes derechos:
· Derecho de acceso conforme al artículo 15 del RGPD,
· Derecho de rectificación conforme al artículo 16 del RGPD,
· Derecho de supresión conforme al artículo 17 del RGPD,
· Derecho a la limitación del tratamiento conforme al artículo 18 del RGPD,
· Derecho a la portabilidad de los datos conforme al artículo 20 del RGPD,
· Derecho de oposición conforme al artículo 21 del RGPD,
· Derecho a retirar los consentimientos otorgados con efectos para el futuro.
Para ejercer sus derechos en materia de protección de datos puede ponerse en contacto con nuestro Delegado de Protección de Datos en datenschutz@biosign.de.
19. Derecho de oposición
Cuando tratemos datos personales sobre la base del artículo 6, apartado 1, letra f), del RGPD, usted tiene derecho, conforme al artículo 21 del RGPD, a oponerse en cualquier momento por motivos relacionados con su situación particular. Tras una oposición justificada, dejaremos de tratar los datos afectados, salvo que podamos acreditar motivos legítimos imperiosos que prevalezcan sobre sus intereses, derechos y libertades, o que el tratamiento sirva para formular, ejercer o defender reclamaciones.
20. Derecho a presentar una reclamación ante una autoridad de control
Conforme al artículo 77 del RGPD, tiene derecho a presentar una reclamación ante una autoridad de control de protección de datos si considera que el tratamiento de sus datos personales infringe la normativa de protección de datos.
Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
Alemania
Teléfono: +49 981 180093-0
Correo electrónico: poststelle@lda.bayern.de
Sitio web: www.lda.bayern.de
También puede dirigirse a cualquier otra autoridad de control competente conforme al RGPD.
21. Modificaciones de esta Política de privacidad
Revisamos periódicamente esta Política de privacidad y la adaptamos cuando cambian las funciones de myQiu, las actividades de tratamiento de datos, los sistemas técnicos, los proveedores de servicios utilizados o los requisitos legales. Se aplica la versión publicada más reciente. El número de versión se presenta en el formato xx.yy.zz. Los cambios en el primer o segundo componente indican, respectivamente, cambios fundamentales o cambios de contenido; los cambios en el tercer componente se utilizan únicamente para correcciones editoriales que no modifican el concepto de tratamiento descrito.