Política de privacidad de Corenta

Esta traducción es solo informativa; el texto jurídicamente vinculante es el turco.

Versión: 3.4 Entrada en vigor / última actualización: 20 de octubre de 2026 Editor: Mertcan Demir — empresario individual que opera con el nombre comercial "Teta Studio" ("Teta Studio", "nosotros") Idioma: turco

Registro de cambios

• 3.4 — 20 de octubre de 2026: La fila de registros de errores del §3 describe ahora lo que la app registra realmente: tiempos de lentitud en la app móvil, el rastro de pantallas y acciones que acompaña a un error (sin pantallas de salud), el tipo de conexión y la dirección IP en los registros del servidor. No se añade ninguna actividad de tratamiento nueva.
• 3.3 — 19 de octubre de 2026: Se incorpora el alcance global: Corenta se ofrece en más de un país a través de las tiendas de aplicaciones (§2); se añaden un apartado sobre el RGPD para usuarios de la UE/EEE (§5) y los derechos obligatorios propios de cada país (§8). Los roles y las actividades de tratamiento no cambian.
• 3.2 — 19 de octubre de 2026: Versión de publicación; entrada en vigor el 19 de octubre de 2026. Se eliminan del apartado de identidad las líneas de MERSİS y KEP, que estaban vacías.
• 3.1 — 18 de octubre de 2026: Se incorporan las funciones añadidas el 18 de octubre de 2026: grupos de la clínica, stickers y créditos, desafíos, insignias y tarjeta de fidelidad, liga de centros, tarjeta de perfil portátil del especialista, invitación de centros, Centro Fundador, Corenta Lab, Descubrir v2 (vídeo, clase de prueba, posición patrocinada), marca de prueba repetida, vinculación de dispositivos y reembolso parcial de la tienda. Se añade el nuevo §5-A (funciones de comunidad y datos de salud). El §6 pasa a ser una lista de cookies y SDK. El §10 incluye reglas de grupos y desafíos para menores. La frase del compromiso de privacidad se vincula al texto. Las funciones desactivadas no se describen en este texto.
• 3.0 — 11 de octubre de 2026: El texto se reescribe a partir de la revisión de cumplimiento del 11 de octubre de 2026 (hallazgos F05, F06, F07, F09, F11, F12, F17, F22, F23). Se eliminan expresiones propias de una nota de auditoría interna, como "UNKNOWN", "debe verificarse" y "este texto no hace ninguna declaración", y en su lugar se recogen hechos verificados en el código. Se separan los dos roles de Teta Studio (encargado del tratamiento en los datos de la clínica y responsable del tratamiento en sus propias actividades). La identidad se corrige como empresario individual (se eliminan las expresiones "persona jurídica/sociedad"). La transferencia internacional se redacta según el art. 9 de la Ley n.º 6698 en su versión posterior a 2024. El enlace de exportación, la eliminación de adjuntos, el envío de correos y las medidas de seguridad se unifican con la redacción del resto de textos legales. La expresión "medición sin identidad" se corrige por "medición seudonimizada". La frase "Corenta no envía correos de marketing" se sustituye por la regla de comunicaciones comerciales, que exige un consentimiento aparte y el registro en el İYS.
• 2.2 — 10 de octubre de 2026: Se elimina Expo (Expo Push Notification Service) de la lista de subencargados.
• 2.1 — 4 de octubre de 2026: Se actualiza la denominación.
• 2.0 — 4 de octubre de 2026: El texto de trabajo del 2 de octubre de 2026 se fija como versión.
• 1.0 — 7 de julio de 2026: versión publicada anterior.

1. Quiénes somos y nuestros dos roles

Corenta ofrece software web y móvil para que los negocios de pilates clínico, fisioterapia, reformer, bienestar/masajes y yoga gestionen citas, bonos, clientes, anamnesis, sesiones y liquidaciones. Corenta la explota Mertcan Demir como empresario individual con el nombre comercial "Teta Studio". El empresario individual no tiene una personalidad jurídica distinta.

En Corenta, los datos personales se tratan con dos roles diferentes:

La información sobre los datos de la clínica se facilita mediante el aviso de privacidad de la propia clínica; el aviso para clientes que aparece en la app se muestra con ese fin y por cuenta de la clínica. El detalle de las actividades en las que Teta Studio es responsable del tratamiento está en el Aviso de privacidad KVKK —KVKK (Türkiye Kişisel Verilerin Korunması Kanunu)—, en la Parte C — Información sobre la cuenta y la plataforma Corenta.

2. Identidad y contacto

• Responsable del tratamiento (para las actividades propias de Teta Studio): Mertcan Demir — empresario individual con el nombre comercial "Teta Studio"
• Número de identificación fiscal: 2771408706
• Dirección: Kavaklıdere Mahallesi, Esad Caddesi No:12/1, Çankaya/Ankara 06680
• Contacto general y solicitudes al amparo de la KVKK: hello@corenta.app
• Soporte: support@corenta.app
• Ámbito del servicio: Corenta se ofrece de forma global a través de la App Store y Google Play, en los países donde operan esas tiendas. Esta política se aplica a los usuarios de todos los países; quedan a salvo las normas imperativas de protección de datos del país en el que te encuentres.

Si eres cliente y tu solicitud se refiere a registros que conserva tu clínica, dirígela primero a tu clínica (ver §8).

3. Datos que recogemos

Corenta no trata números de tarjeta ni códigos de seguridad (CVV). Los pagos de la suscripción se cobran a través de la Apple App Store y Google Play.

4. Finalidades y bases jurídicas

El aviso de privacidad no es un consentimiento. La app muestra el aviso en un paso aparte y registra la confirmación "Lo he leído y entendido". El consentimiento para datos de salud y el consentimiento para comunicaciones promocionales son independientes y opcionales. Si no das el consentimiento para datos de salud, puedes seguir usando tu cuenta y las funciones básicas de citas; solo quedan sin uso las funciones de salud.

5. Con quién compartimos los datos y transferencias internacionales

Tus datos no se venden ni se comparten con fines publicitarios; se cifran con TLS durante la transmisión y solo los tratan los proveedores de infraestructura que prestan el servicio, indicados abajo (detalle: Lista de subencargados). Los datos en reposo (base de datos y almacenamiento de archivos) se guardan cifrados en la infraestructura del proveedor de alojamiento (Supabase). La información que se muestra a otros usuarios en los grupos, la liga, el Lab y Descubrir no es una venta ni una cesión con fines publicitarios; aparece como parte de la función que tú o tu centro usáis, con los límites descritos en el §5-A.

Solo se pueden comunicar datos a las autoridades públicas competentes en los casos previstos por la ley y con el alcance de la solicitud.

Los mensajes y los mensajes de grupo se tratan con el servicio de transmisión en tiempo real de Supabase (Realtime), y los vídeos de los centros en el almacenamiento de archivos de Supabase; para ello no se ha añadido ningún proveedor nuevo. La posición patrocinada (Boost) no usa redes ni SDK publicitarios; los centros patrocinados aparecen en la lista propia de Corenta con la etiqueta "Patrocinado" y no se cede ningún dato de usuarios al anunciante.

Transferencias internacionales: todos los proveedores anteriores tratan datos fuera de Turquía. El alojamiento en Alemania también es una transferencia internacional en el sentido de la Ley n.º 6698. Como estas transferencias son periódicas y continuas, no se basan en el consentimiento explícito; se basarán en una de las condiciones de tratamiento de los arts. 5 y 6 de la Ley y, conforme al art. 9/4-c, en los contratos tipo publicados por el Kişisel Verileri Koruma Kurulu (Kurul). A la fecha de este texto, los contratos tipo todavía no se han firmado con los proveedores ni se han notificado al Kurul. Cada contrato se notificará al Kurul en un plazo de 5 días hábiles desde su firma, y este apartado se actualizará con la lista de proveedores y fechas. No existe ninguna decisión de adecuación publicada por el Kurul sobre esos países (última comprobación: 11 de octubre de 2026).

Usuarios de la UE/EEE (RGPD): como Corenta también se ofrece a través de la App Store y Google Play a personas de la Unión Europea y del Espacio Económico Europeo, el RGPD (UE 2016/679) se aplica a los tratamientos que les afectan, conforme a su art. 3.2.a). Los roles no cambian: en los datos de la clínica, Teta Studio es encargado del tratamiento; en sus propias actividades, responsable. Las bases jurídicas son la ejecución del contrato (art. 6.1.b), el interés legítimo (art. 6.1.f), la obligación legal (art. 6.1.c) y el consentimiento otorgado aparte (art. 6.1.a); los datos de salud se basan en el art. 9.2.a) o en el art. 9.2.h). La base de datos y los archivos se alojan en la UE (Fráncfort). Las transferencias a proveedores de fuera de la UE/EEE (Vercel, Google, Apple) se basan en mecanismos de transferencia de los arts. 45 y 46 del RGPD, como las cláusulas contractuales tipo de la UE o el Marco de Privacidad de Datos UE-EE. UU. de los proveedores. Detalle y derechos: Declaración RGPD.

5-A. Funciones de comunidad y crecimiento — datos de salud y visibilidad

Los datos de salud son una categoría especial de datos personales. Las funciones siguientes no muestran ni comparten registros de salud (anamnesis, notas de sesión, mediciones):

• Grupos de la clínica: solo los miembros aprobados del grupo y el equipo de la clínica ven los mensajes. Tu nombre aparece con el formato "Lucía G."; tu teléfono y tu correo no se muestran. Para unirte das tu aceptación expresa y puedes salir cuando quieras. Los mensajes son texto libre: te pedimos que no compartas información de salud (dolor, diagnóstico, medicación, tratamiento) en el grupo; la información de salud compartida se puede denunciar y el equipo la puede ocultar. El equipo puede ocultar o borrar un mensaje contrario a las normas, silenciar a un miembro o expulsarlo del grupo; un mensaje denunciado por tres miembros distintos se oculta automáticamente. No hay mensajes individuales entre clientes.
• Desafíos dentro del centro: la participación es opcional. En la tabla solo aparecen tu nombre, la inicial de tu apellido y el número de sesiones a las que has asistido; no se usan el dolor, las mediciones ni el peso.
• Liga de centros: los centros solo aparecen con un alias o un código; no se muestran el nombre real del centro, la ciudad ni el tamaño, ni los nombres de clientes y especialistas. La puntuación sale solo del XP de los retos semanales.
• Tarjeta de perfil del especialista: solo incluye el número total de sesiones, la puntuación verificada con al menos 5 reseñas y las insignias; no contiene datos de clientes ni datos de salud. Solo el especialista ve y comparte la tarjeta.
• Insignias de clientes y tarjeta de fidelidad: las insignias no son públicas. Al calcular una insignia no se lee el contenido de los registros de salud; algunas insignias solo comprueban si existe un registro o cuántos hay (por ejemplo, el envío del formulario de anamnesis).
• Descubrir v2: los vídeos de los centros se muestran públicamente después de que Corenta los revise; obtener el permiso de las personas que aparecen en el vídeo es responsabilidad del centro. La posición patrocinada siempre lleva la etiqueta "Patrocinado" y se muestra separada del orden orgánico; los centros de la categoría de fisioterapia no se muestran como patrocinados. Si estás inscrito en un centro, Descubrir no te muestra centros de la competencia. La búsqueda se hace por la provincia/municipio o la zona del mapa que elijas; no se recoge la ubicación de tu dispositivo.
• Corenta Lab y Centros Fundadores: las propuestas y los comentarios del Lab son visibles para los demás centros participantes; el nombre del centro solo aparece si tú lo eliges. En la lista de Centros Fundadores, el nombre del centro solo aparece si el centro lo autoriza.

Cuando eliminas tu cuenta, se borra tu pertenencia a los grupos; el texto de los mensajes de grupo que ya enviaste se queda en el grupo, sin los datos de quién lo envió. Puedes borrar tus propios mensajes cuando quieras.

6. Cookies, SDK y tecnologías similares

• Panel web de gestión: se usan cookies de sesión necesarias para mantener tu sesión. Sin ellas no se puede iniciar sesión.
• Web de presentación (corenta.app): el código de la web en este repositorio guarda tu preferencia de idioma y de aspecto solo en el almacenamiento local del navegador (localStorage).
• App móvil: los tokens de sesión se guardan en el almacén seguro de claves del dispositivo (almacenamiento seguro basado en iOS Keychain / Android Keystore).
• No se usan cookies ni scripts de analítica, publicidad o seguimiento de terceros. Si esto cambia, este texto se actualizará antes de usar cookies y se pedirá aparte el consentimiento necesario.

SDK y servicios del sistema en la app móvil (a 18 de octubre de 2026, apps/mobile/package.json):

La app móvil no tiene SDK de publicidad, identificador publicitario (IDFA/AAID), analítica ni seguimiento; no se pide el permiso de seguimiento (tracking) de iOS. El código de conexión de Sentry (región UE) para el seguimiento de errores está preparado, pero desactivado: como no se ha indicado la dirección de conexión, no se envía ningún dato. Antes de activarlo, se actualizarán este texto y la Lista de subencargados.

7. Plazos de conservación y eliminación de la cuenta

Principales reglas de conservación (tabla completa: Política de conservación y eliminación de datos):

Eliminación de la cuenta: puedes eliminar tu cuenta desde la propia app. Página para solicitar la eliminación por web: corenta.app/account-deletion. Cuando se confirma la eliminación, el acceso a tu cuenta termina de inmediato. Se borran el nombre, el correo, el teléfono, la imagen de perfil, los datos de identidad y contacto del cliente y los campos de salud (grupo sanguíneo, alergias, enfermedades crónicas, medicación). Tu registro de autenticación y tus archivos (imagen de perfil, adjuntos de la anamnesis, archivos de exportación y justificantes de pago) se eliminan definitivamente en un proceso en segundo plano de treinta días. Los documentos de verificación del especialista no entran en esta eliminación automática; para ellos puedes hacer la solicitud en hello@corenta.app.

Los registros que la clínica tiene obligación de conservar (notas de sesión, formularios de anamnesis, mediciones, registros de pagos y liquidaciones) se conservan desvinculados de la persona en el momento de la eliminación. El texto libre de las notas de sesión no se modifica al eliminar la cuenta; por eso, estos registros no se consideran anónimos en ningún caso. Se conservan con acceso restringido durante el plazo de la obligación de la clínica y se destruyen al terminar ese plazo. Los restos técnicos en las copias de seguridad se borran al final del ciclo de copias.

8. Tus derechos y cómo ejercerlos

Conforme al art. 11 de la Ley n.º 6698, tienes derecho a saber si se tratan tus datos personales, a pedir información, a conocer la finalidad del tratamiento, a saber a qué terceros se han comunicado, a pedir su rectificación y supresión, a pedir que estas actuaciones se comuniquen a esos terceros, a oponerte al resultado de un análisis automatizado y a pedir la reparación del daño.

• Registros de la clínica (citas, anamnesis, notas de sesión, etc.): dirige tu solicitud a tu clínica. Las solicitudes de este tipo que lleguen a Corenta se trasladan a la clínica.
• Registros de los que Corenta es responsable del tratamiento: escribe a hello@corenta.app.
• Las solicitudes se responden de forma gratuita en un plazo máximo de 30 días.
• Si la normativa de tu país te reconoce derechos adicionales (por ejemplo, en la UE/EEE, los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición de los arts. 15 a 22 del RGPD), también puedes ejercerlos en las mismas direcciones. Queda a salvo tu derecho a reclamar ante la autoridad de protección de datos de tu país.
• La pantalla "Descargar mis datos" de la app te entrega tus datos en JSON y, cuando el archivo se puede preparar, también en ZIP, mediante un enlace personal válido durante 7 días. La pantalla "Eliminar mi cuenta" te permite ejercer directamente el derecho de supresión.

9. Seguridad

Medidas verificadas en el código y en la configuración:

• Los datos de cada clínica se separan mediante políticas de seguridad a nivel de fila (RLS); la regla por defecto es denegar el acceso.
• Los datos de salud los pueden ver el propio cliente, su especialista asignado y el responsable autorizado de la clínica. Las notas de sesión que el especialista comparte con el equipo también las pueden ver los demás especialistas de la clínica. El acceso del personal solo es posible con el módulo de salud correspondiente activado.
• Las notas de sesión enviadas no se pueden modificar ni borrar.
• El modo de soporte dura como máximo 30 minutos y por defecto es de solo lectura; el acceso a datos de salud requiere una aprobación aparte; no se puede escribir en datos de salud. El personal de soporte no ve el correo ni el teléfono del cliente.
• Los datos se cifran con TLS durante la transmisión.
• En las pantallas de la app móvil que muestran datos de salud se bloquean las capturas y la grabación de pantalla.
• Las cuentas de administración de la plataforma exigen autenticación en dos pasos (MFA).

Ningún sistema puede ofrecer una garantía absoluta de seguridad. Ante una brecha de datos, Teta Studio informa a la clínica sin demora y como máximo en 24 horas en el caso de los datos de la clínica de los que es encargado del tratamiento; en el caso de los datos de los que es responsable, lo notifica al Kurul en 72 horas.

10. Menores

La cuenta de Corenta es para personas que han cumplido 18 años. El alta de clientes menores de edad y el proceso de información y consentimiento son responsabilidad de la clínica y deben hacerse a través de sus padres o tutores. La app todavía no tiene un flujo propio para los padres o tutores de clientes menores de edad.

Regla adicional en las funciones de comunidad (18 de octubre de 2026): los clientes con fecha de nacimiento registrada y menores de 18 años no pueden participar en desafíos ni en grupos de comunidad; solo pueden ser añadidos a grupos de clase a los que les invite el equipo de la clínica. Si no hay fecha de nacimiento registrada, para participar en un desafío se pide la declaración "soy mayor de 18 años"; en los grupos, el cliente sin fecha de nacimiento registrada se considera adulto.

11. Retirada de consentimientos y comunicaciones promocionales

• Consentimiento para datos de salud: puedes retirarlo cuando quieras en Perfil → pantalla KVKK/Datos; tras la retirada no se registran datos de salud nuevos.
• Notificaciones de campañas de la clínica: puedes desactivarlas en Perfil → Ajustes de notificaciones. Las notificaciones transaccionales, como la confirmación de una cita, la cancelación o el recordatorio de sesión, no dependen de este consentimiento.
• Correos promocionales: Corenta solo envía correos promocionales si has dado tu consentimiento aparte y este está registrado en el İYS (İleti Yönetim Sistemi). Puedes rechazarlos gratis con el enlace de baja de cada comunicación promocional o escribiendo a hello@corenta.app. Los correos del periodo de prueba, de invitación al equipo y de soporte son comunicaciones del servicio.
• Permisos del sistema operativo (notificaciones, fotos; Face ID o huella si el bloqueo de la app está activado): se pueden desactivar en los ajustes del dispositivo. La app no pide permiso de cámara, micrófono, ubicación, contactos ni calendario.

Medición seudonimizada del producto: para mejorar el producto se pueden medir eventos de uso agregados, solo en el servidor y con un identificador seudonimizado de la clínica. Esta medición no incluye la dirección IP, datos de salud ni seguimiento de procedencia o publicitario. El identificador seudonimizado de la clínica es un seudónimo; en un negocio unipersonal puede asociarse a esa persona. Esta función está desactivada por ahora; antes de activarla se actualizará este texto.

12. Cambios

Cada vez que esta política cambie, se publicará con su número de versión, su fecha y el registro de cambios. En los cambios importantes se avisará dentro de la app.

Versión 3.4 · 20 de octubre de 2026