1. Responsable del tratamiento
El responsable es Bokadito, con actividad y tratamiento de datos en el Espacio Económico Europeo (España / UE). Contacto de privacidad: hola@bokadito.com.
No tratamos los datos como si el responsable estuviera establecido en Estados Unidos: la ley aplicable principal es el RGPD (UE) 2016/679 y la normativa española de protección de datos. La autoridad de control de referencia en España es la AEPD (aepd.es).

2. Ámbito
Esta política aplica a la app web Bokadito (bokadito.com), el registro de cuenta, el uso entre cuidadores de una misma familia y las funciones asociadas (guías, recetas con IA, informe PDF).

3. Datos que tratamos
Cuenta y cuidadores: email, contraseña (almacenada de forma cifrada por el proveedor de autenticación), nombre y apellidos (si los indicas), rol (p. ej. mamá, papá, niñera) y código de familia.
Perfil del bebé: nombre o apodo, fecha de nacimiento (si la indicas), condiciones especiales que tú escribas (texto libre) y avatar decorativo (emoji/icono; no fotos del bebé).
Registro de alimentación: alimentos marcados, fechas, texturas, momento del día, notas opcionales, favoritos y actividad compartida de la familia.
Reacciones / sensibilidades: las reacciones que anotas (incluida la ausencia de reacción) y el seguimiento de exposiciones a alimentos. Esto puede considerarse información relativa a la salud del bebé a efectos del RGPD (categoría especial), aunque Bokadito no es un historial clínico ni un servicio sanitario.
Recetas con IA: para generar ideas, enviamos al proveedor de IA un resumen de alimentos ya tolerados (y edad aproximada si está disponible), no el historial clínico completo.
Técnicos: datos necesarios para seguridad y funcionamiento (p. ej. sesión de autenticación). No usamos publicidad comportamental de terceros en la app.

4. Finalidades
(a) Crear y gestionar tu cuenta y la familia de cuidadores.
(b) Prestarte el servicio de registro de alimentación complementaria y sincronización en tiempo (casi) real entre cuidadores autorizados.
(c) Generar recetas orientativas con IA a partir de alimentos que indiques como tolerados.
(d) Generar o previsualizar un informe PDF para compartir con el pediatra (tú decides si lo descargas o compartes).
(e) Seguridad, prevención de abuso y cumplimiento legal.
(f) Mejora interna del producto mediante estadísticas agregadas o seudonimizadas (sin vender perfiles).
No vendemos tus datos personales ni los de tu bebé a anunciantes.

5. Bases legales (RGPD)
Ejecución del contrato / medidas precontractuales (art. 6.1.b): cuenta, sincronización familiar y funciones básicas del servicio.
Consentimiento (art. 6.1.a y, cuando aplique, art. 9.2.a): al registrarte aceptas esta política; el tratamiento de datos que puedan considerarse de salud (reacciones, notas de sensibilidad, condiciones que tú indiques) se basa en tu consentimiento explícito, que puedes retirar eliminando la cuenta o solicitando la borrado de esos datos.
Interés legítimo (art. 6.1.f): seguridad de la plataforma y mejora agregada del producto, ponderado frente a tus derechos.
Obligación legal (art. 6.1.c): cuando la ley lo exija (p. ej. facturación si hubiera pagos).

6. Destinatarios y encargados
Solo acceden a los datos de una familia los cuidadores autorizados de esa familia.
Usamos proveedores que tratan datos por nuestra cuenta (encargados), con medidas de seguridad adecuadas:
• Supabase (autenticación y base de datos; región en Europa).
• Cloudflare (alojamiento y entrega de la web).
• Proveedor de IA (vía nuestro servidor intermedio) solo para generar recetas a partir del prompt descrito arriba.
• En el futuro, proveedor de pagos (p. ej. Stripe) si contratas Bokadito Plus; los datos de tarjeta los gestiona el proveedor de pago, no se almacenan en Bokadito.
No cedemos datos a terceros para su marketing propio.

7. Transferencias internacionales
Priorizamos almacenamiento y tratamiento en la UE. Si algún proveedor trata datos fuera del EEE, exigiremos garantías adecuadas (p. ej. cláusulas contractuales tipo de la Comisión Europea) según el RGPD.

8. Conservación
Mientras la cuenta esté activa y sea necesaria para el servicio. Tras solicitar la eliminación de la cuenta (desde la app o a hola@bokadito.com), procesamos la baja y el borrado de datos personales asociados en un plazo máximo de 30 días, salvo obligación legal de conservación (p. ej. facturas). Copias de seguridad técnicas pueden tardar un poco más en purgarse.

9. Seguridad
Acceso autenticado, control de acceso por familia (políticas RLS en base de datos), comunicaciones HTTPS y principio de mínimo privilegio entre cuidadores. Ningún sistema es 100 % infalible; te pedimos proteger tu contraseña y no compartir el código de familia fuera de tu círculo de confianza.

10. Menores
Bokadito está pensada para que la usen adultos cuidadores. No está dirigida a que un menor cree cuenta por sí mismo. Los datos del bebé los introduce un adulto responsable de la cuenta.

11. Tus derechos
Puedes ejercer acceso, rectificación, supresión, limitación, oposición, portabilidad y retirada del consentimiento (sin afectar al tratamiento previo) escribiendo a hola@bokadito.com desde el email de tu cuenta. También puedes reclamar ante la AEPD. Responderemos en los plazos del RGPD.

12. Suscripción (Plus)
Si contratas Bokadito Plus, el pago lo gestiona el proveedor indicado al suscribirte. Puedes cancelar desde Cuidadores → Suscripción y plan (solo Admin); conservas el acceso Plus hasta el final del periodo ya pagado.

13. Cambios
Podemos actualizar esta política. La versión vigente se indica arriba (p. ej. v1.3). Si el cambio es relevante, lo comunicaremos en la app o por email cuando sea razonable.

Aviso médico (no forma parte del consentimiento de datos): Bokadito es una herramienta de apoyo al registro familiar. No diagnostica, no prescribe y no sustituye al pediatra ni a los servicios de urgencias. Ante reacciones alérgicas o dudas de salud, consulta siempre a un profesional sanitario.