Política de privacidad
Última actualización: 22/08/2026 Versión: 3
Le damos la bienvenida a Orusta. La presente Política de privacidad explica cómo Challenge Arena Software FZCO ("nosotros", "nuestro", "Orusta") recopila, utiliza, comparte y protege sus datos personales cuando utiliza nuestra aplicación móvil y los servicios asociados (los "Servicios").
Orusta es una aplicación de fitness social. Por su propia naturaleza, trata información relativa a su actividad física y a su rendimiento deportivo. Parte de esa información se considera datos de salud, es decir, una categoría especial que goza de una protección reforzada. A continuación detallamos con precisión qué hacemos con ellos y de qué control dispone usted.
Hemos diseñado Orusta siguiendo un principio sencillo: no se recopila nada sensible sin su consentimiento explícito, y usted puede revisar y modificar cada una de sus decisiones en cualquier momento desde la aplicación.
1. Responsable del tratamiento y contactos
Challenge Arena Software FZCO Sociedad de responsabilidad limitada de zona franca (FZCO), licencia n.º 80218 expedida por la Dubai Integrated Economic Zones Authority (DIEZA) IFZA Properties, DSO-IFZA, Dubai Silicon Oasis, Dubai, Emiratos Árabes Unidos
- Cuestiones relativas a sus datos: privacy@orusta.com
- Cuestiones jurídicas: legal@orusta.com
Representante en la Unión Europea (art. 27 RGPD). Dado que Orusta ofrece sus Servicios a residentes del Espacio Económico Europeo, se designa a un representante establecido en la Unión como punto de contacto de las autoridades de control y de los interesados:
Steeve Langlet, Francia Contacto: legal@orusta.com
2. Ámbito de aplicación
La presente política se aplica a la aplicación móvil Orusta, a sus funcionalidades (retos en vídeo, retos con premio, battles en directo, entrenamientos y rutinas, mensajería, clubes, quedadas deportivas, tienda y suscripciones), así como a los sitios y páginas web asociados. No se aplica a los servicios de terceros a los que la aplicación pueda remitir y que cuentan con sus propias políticas.
Algunas funcionalidades descritas aquí aún no están abiertas en todas las versiones de la aplicación. Una funcionalidad ausente de su versión no da lugar a ningún tratamiento: la presente política describe lo que hacemos cuando usted la utiliza, nunca por anticipado.
3. Categorías de datos que recopilamos
3.1 Datos de cuenta y de perfil
Dirección de correo electrónico, identificador de Google (en caso de inicio de sesión con Google), nombre de usuario, foto de perfil; fecha de nacimiento, género, altura, peso, deportes practicados, nivel de entrenamiento y objetivos. Algunos de estos datos son facultativos.
3.2 Datos de salud y de rendimiento deportivo
Repeticiones contabilizadas, duración e intensidad de las sesiones, progresión, récords personales, clasificaciones y rangos. Estos datos se tratan como datos de salud (véase la sección 5).
3.3 Datos de movimiento (puntos esqueléticos)
Para contar sus repeticiones, la aplicación analiza su postura en tiempo real en su dispositivo. Este análisis genera puntos esqueléticos (coordenadas de movimiento, denominadas "keypoints"). Por defecto, este tratamiento permanece local en su teléfono y no se transmite. Solo se capturan y se envían a nuestros servidores si usted lo consiente expresamente (finalidad "Mejora de la detección", véase la sección 4).
3.4 Contenidos generados
Vídeos de retos, mensajes intercambiados en los chats, battles y clubes, publicaciones de quedada, votos y contenidos de personalización (avatar, cosméticos).
3.5 Datos de localización
Únicamente la ciudad aproximada, nunca coordenadas precisas de forma continua, y solo cuando usted utiliza voluntariamente la función de quedadas deportivas.
3.6 Datos de pago y de suscripción
Historial de compras, estado de la suscripción Orusta VIP y del Pase VIP, transacciones y saldos de monedas virtuales (tickets, monedas, quilates). No recibimos ni almacenamos los números de su tarjeta bancaria: los pagos los tramitan Apple, Google y nuestro proveedor de gestión de suscripciones (véase la sección 9).
3.7 Datos técnicos y de uso
Identificador de dispositivo, modelo de dispositivo, versión de la aplicación, sistema operativo, idioma, dirección IP y registros de uso y de calidad técnica de la detección. La dirección IP se utiliza para deducir un país aproximado y después no se conserva en nuestros datos de análisis.
3.8 Datos de salud procedentes de Apple Salud (iOS)
Con su autorización, Orusta lee las sesiones deportivas registradas en Apple Salud (natación, carrera, fitness, etc.) con el fin de validar automáticamente determinadas sesiones sin que usted tenga que grabarlas, y puede volver a escribir sus sesiones de Orusta en Apple Salud para centralizar su historial deportivo. Estos intercambios constituyen datos de salud (sección 5). El acceso lo gestiona Apple: no se lee ni se escribe nada sin su autorización, que puede revocar en cualquier momento en los ajustes de iOS.
3.9 Notificaciones
Si las activa, le enviamos notificaciones push (actividad, retos, social y, si lo consiente, promociones). El servicio de envío trata un token de notificación para poder entregárselas.
3.10 Participación en un reto con premio
Cuando participa en un reto recompensado con un premio real, tratamos su identificador de cuenta, su rendimiento y el vídeo enviado, con el fin de organizar el reto y designar al ganador. Únicamente si gana, tratamos además los datos necesarios para la entrega del premio (identidad y dirección de entrega), comunicados al socio que aporta el premio y al transportista con esa sola finalidad. El detalle figura en el Reglamento de los concursos.
No recopilamos ningún dato de seguimiento publicitario ni integramos ningún SDK publicitario o de análisis de terceros intrusivo (Firebase Analytics, Meta SDK, Mixpanel, etc.). Nuestra telemetría es first-party (nuestros propios servidores). No utilizamos ninguna herramienta de informe de fallos (ni Sentry, ni Crashlytics, ni equivalente), por lo que no recopilamos ningún dato de fallo.
4. Finalidades, bases jurídicas, consentimiento y plazos
Vinculamos cada tratamiento a una finalidad y a una base jurídica concretas. Las finalidades marcadas como "consentimiento" están desactivadas por defecto y solo se activan mediante su elección explícita, revocable en cualquier momento en Perfil > Datos y privacidad.
| # | Finalidad | Qué abarca | Base jurídica | Por defecto |
|---|---|---|---|---|
| 1 | Esencial | Cuenta, retos, puntuaciones, clasificaciones, mensajería, moderación, sistema antitrampas e integridad | Ejecución del contrato (art. 6.1.b); interés legítimo para el sistema antitrampas | Siempre activo |
| 2 | Análisis de producto | Medición de uso y calidad técnica de la detección, sin datos corporales; seudonimizada | Interés legítimo (art. 6.1.f), con derecho de oposición | Activado (opt-out) |
| 3 | Estadísticas de rendimiento | Estadísticas relacionadas con el cuerpo (repeticiones, rendimiento, progresión); análisis agregados y de retención | Consentimiento explícito (art. 9.2.a) | Desactivado |
| 4 | Personalización | Dificultad adaptativa en función de su rendimiento | Consentimiento explícito | Desactivado |
| 5 | Mejora de la detección | Captura de puntos esqueléticos para mejorar los modelos de recuento | Consentimiento explícito | Desactivado |
| 6 | Compartir datos | Inclusión de datos individuales en conjuntos de datos compartidos con socios | Consentimiento explícito | Desactivado |
| 7 | Comunicaciones de marketing | Notificaciones y mensajes promocionales | Consentimiento | Desactivado |
Retirada del consentimiento. Retirarlo es tan sencillo como otorgarlo y no afecta a su acceso a las funcionalidades esenciales. La retirada surte efecto de cara al futuro y no afecta a la licitud de los tratamientos efectuados con anterioridad. Los efectos por finalidad (cese de la recogida, exclusión de los conjuntos de datos futuros, supresión retroactiva en el caso de la captura de puntos de movimiento) se detallan en la sección 13.
Plazos. Véase la sección 10.
5. Datos de salud y categorías especiales (art. 9 RGPD)
Sus datos de rendimiento deportivo, sus medidas corporales y sus puntos de movimiento constituyen categorías especiales de datos en el sentido del artículo 9 del RGPD. Su tratamiento se basa en su consentimiento explícito, diferenciado y específico, recabado a través del sistema descrito en la sección 4.
- Estos datos nunca se utilizan con fines de monetización en el caso de las personas menores de 18 años (véase la sección 14).
- Están seudonimizados en nuestros sistemas de análisis (véase la sección 7).
- Puede retirar su consentimiento en cualquier momento, lo que interrumpe la recogida correspondiente.
Los puntos de movimiento analizados no se utilizan para identificarle: Orusta no realiza ningún reconocimiento facial ni identificación biométrica. Estos datos sirven únicamente para contar y evaluar sus movimientos deportivos.
6. Monetización, suscripciones y pagos
Orusta ofrece tres compras facultativas: la suscripción Orusta VIP, packs de quilates y la activación del Pase VIP. Los quilates son la única moneda virtual vendida a cambio de dinero real; los tickets y las monedas no se venden nunca y se obtienen jugando. El detalle contractual figura en nuestras Condiciones Generales de Uso.
- Los pagos los tramitan Apple (App Store), Google (Google Play) y nuestro proveedor de gestión de suscripciones. De ellos recibimos un estado de transacción y de suscripción, nunca sus datos bancarios completos.
- Conservamos el historial de sus compras y de sus saldos de monedas virtuales para prestar el servicio, gestionar los litigios y cumplir nuestras obligaciones contables.
- Las condiciones contractuales de estas compras (renovación, cancelación, reembolso, ausencia de valor monetario de las monedas virtuales) figuran en nuestras Condiciones Generales de Uso.
7. Seudonimización (y lo que no es)
Sus datos de análisis están seudonimizados. En concreto: los eventos que registramos no llevan su identificador de cuenta, sino un identificador aleatorio distinto, dedicado al análisis. Ese identificador no deriva de sus datos de cuenta, se extrae al azar, y la correspondencia entre ambos se conserva por separado.
La seudonimización no es la anonimización, y no pretendemos lo contrario. Como conservamos esa tabla de correspondencia, la reasociación sigue siendo técnicamente posible por nuestra parte. Estos datos siguen siendo, por tanto, datos personales en el sentido del RGPD, protegidos como tales, y sus derechos (sección 12) se les aplican plenamente. Es también la razón por la que los declaramos como vinculados a su identidad en los formularios de privacidad de las tiendas de aplicaciones: preferimos la respuesta exacta a la halagadora.
Lo que la seudonimización aporta realmente: una persona que accediera únicamente a los datos de análisis no podría remontarse hasta usted, y nuestros tratamientos estadísticos se ejecutan sin manipular jamás su identidad.
Al eliminar su cuenta, la correspondencia se destruye y los datos de análisis residuales se purgan o se disocian definitivamente, lo que hace imposible la reasociación, incluso para nosotros. Estos datos solo se utilizan para las finalidades descritas en la sección 4.
8. Compartir datos y anonimización
No vendemos ni alquilamos sus datos personales. A día de hoy, no se comparte ningún dato con socios con fines comerciales.
La finalidad Compartir datos, desactivada por defecto y ofrecida únicamente en sus ajustes, abarca la eventual inclusión de sus datos en conjuntos de datos compartidos con socios. Mientras usted no la active, no se comparte nada. Si llegara a implantarse tal intercambio, solo afectaría a las personas que lo hubieran activado explícitamente, nunca a las personas menores de 18 años, y se le informaría previamente.
9. Destinatarios y encargados del tratamiento
Sus datos son tratados por proveedores estrictamente necesarios para el funcionamiento del servicio. Los presentamos por categoría; la lista nominativa y actualizada de nuestros encargados del tratamiento está disponible previa solicitud en privacy@orusta.com.
| Categoría de destinatario | Función | Transferencia fuera de la UE |
|---|---|---|
| Alojamiento y base de datos | Almacenamiento seguro de sus datos | No (Unión Europea) |
| Almacenamiento y distribución de medios | Vídeos, imágenes, cosméticos | Sí, red CDN mundial (SCC) |
| Streaming en tiempo real | Audio y vídeo de las battles en directo | Sí (SCC) |
| Autenticación | Inicio de sesión opcional (OAuth) | Sí (SCC) |
| Gestión de suscripciones | Compras y suscripciones in-app | Sí (SCC) |
| Notificaciones push | Envío de las notificaciones | Sí (SCC) |
| Correo electrónico transaccional | Confirmaciones y enlaces de inicio de sesión | Variable (SCC) |
| Supervisión técnica | Registros de disponibilidad y de seguridad | No (Unión Europea) |
Los pagos los tramitan directamente Apple y Google a través de las tiendas de aplicaciones, que nunca nos transmiten los datos de su tarjeta bancaria.
No realizamos ninguna venta de datos personales identificativos a terceros (véase la sección 8).
10. Plazos de conservación
- Datos de cuenta y de perfil: se conservan mientras su cuenta esté activa; supresión en un plazo de 30 días tras la solicitud de eliminación.
- Contenidos (vídeos, mensajes): se conservan hasta que usted o la moderación los eliminen.
- Datos de salud y de rendimiento (análisis): se conservan de forma seudonimizada durante 13 meses y después se suprimen automáticamente.
- Puntos de movimiento (si se consienten): se suprimen retroactivamente en caso de retirada del consentimiento.
- Datos de pago y de facturación: se conservan durante el plazo exigido por nuestras obligaciones contables y legales.
- Cuentas expulsadas: determinados identificadores técnicos mínimos pueden conservarse tras una expulsión, con el fin de hacer cumplir la sanción e impedir la recreación de una cuenta (interés legítimo en la integridad del servicio).
- Registros técnicos: se conservan 14 días en nuestra herramienta de supervisión y después se suprimen automáticamente.
11. Transferencias internacionales de datos
Challenge Arena Software FZCO tiene su domicilio en Dubái (Emiratos Árabes Unidos). Algunos datos pueden tratarse en los EAU, la Unión Europea y los Estados Unidos.
Los Emiratos Árabes Unidos no cuentan con una decisión de adecuación de la Comisión Europea. Por tanto, las transferencias a los EAU se basan en garantías adecuadas en el sentido del artículo 46 del RGPD, en concreto las cláusulas contractuales tipo de la Comisión, complementadas con medidas técnicas (cifrado en tránsito, seudonimización de los datos de análisis).
Lo mismo ocurre con nuestros proveedores establecidos fuera de la Unión, salvo cuando estén amparados por una decisión de adecuación (por ejemplo, el Reino Unido o Suiza, o los Estados Unidos en el caso de las organizaciones certificadas conforme al EU-US Data Privacy Framework).
Puede obtener una copia de las garantías establecidas escribiendo a privacy@orusta.com.
12. Sus derechos
Conforme al RGPD (residentes del EEE) y a la ley emiratí de protección de datos personales (Federal Decree-Law n.º 45 de 2021), usted dispone de los siguientes derechos:
- Acceso a sus datos;
- Rectificación de los datos inexactos;
- Supresión ("derecho al olvido"), disponible directamente en la aplicación;
- Portabilidad: exportación de sus datos desde la aplicación;
- Limitación y oposición al tratamiento por motivos legítimos;
- Retirada del consentimiento en cualquier momento para los tratamientos que dependan de él;
- Reclamación ante una autoridad de control (UAE Data Office para los EAU; la CNIL en Francia; la autoridad competente de su país en el EEE).
Para ejercer estos derechos: privacy@orusta.com, o directamente a través de las funciones de exportación y de eliminación de la aplicación.
Respondemos a sus solicitudes en el plazo de un mes (prorrogable en el caso de solicitudes complejas, informándole de ello). Podemos vernos en la necesidad de verificar su identidad antes de darles curso, con el fin de proteger su cuenta frente a solicitudes fraudulentas.
13. Consentimiento: gestión y retirada
Usted gestiona sus consentimientos finalidad por finalidad en Perfil > Datos y privacidad. Al registrarse, una única pantalla le permite aceptarlo todo o rechazarlo, sin que ello condicione el acceso a la aplicación. Determinadas finalidades sensibles solo se proponen en el momento pertinente (por ejemplo, cuando se utiliza por primera vez una funcionalidad afectada), nunca todas de golpe en el momento del registro.
Efectos de la retirada, por finalidad:
- Análisis de producto / Estadísticas de rendimiento: cese inmediato de la recogida; los datos ya recogidos siguen siendo lícitos y quedan excluidos de los siguientes tratamientos agregados; supresión posible previa solicitud.
- Personalización: cese; la dificultad adaptativa vuelve a los ajustes por defecto.
- Mejora de la detección: cese y supresión retroactiva de los puntos de movimiento capturados.
- Compartir datos: cese y exclusión de todos los conjuntos de datos futuros.
- Marketing: cese de las comunicaciones promocionales.
14. Menores
Orusta está reservado a las personas de 16 años o más. Este umbral es el máximo que el artículo 8 del RGPD permite fijar a un Estado miembro para el consentimiento a los servicios de la sociedad de la información. Como ningún Estado del EEE va más allá, no se requiere ningún consentimiento parental para las cuentas que aceptamos, y por tanto no recogemos ninguno.
Las personas menores de 18 años quedan excluidas de toda finalidad de monetización (estadísticas de rendimiento, mejora de la detección, compartir datos), lo que se verifica automáticamente a partir de la fecha de nacimiento y se habilita al alcanzar la mayoría de edad.
No recopilamos conscientemente datos relativos a personas menores de 16 años. Los padres y tutores pueden escribirnos a privacy@orusta.com para cualquier supresión.
15. Permisos de su dispositivo
Orusta solicita determinadas autorizaciones, únicamente en el momento en que la funcionalidad correspondiente las necesita, y usted puede revocarlas en cualquier momento en los ajustes de su teléfono:
- Cámara: grabar sus retos, flujo de vídeo de las battles y análisis de postura para contar sus repeticiones.
- Micrófono: audio de las battles en directo.
- Fotos: elegir su foto de perfil y guardar sus vídeos.
- Ubicación aproximada (solo mientras se usa la aplicación): función de quedadas deportivas (nivel de ciudad).
- Apple Salud (iOS): véase la sección 3.8.
- Notificaciones: envío de las notificaciones push.
Rechazar una autorización no impide utilizar el resto de la aplicación; solo la funcionalidad afectada deja de estar disponible.
16. Visibilidad social y battles en directo
Orusta es una aplicación social. Por diseño, determinada información es visible para otros usuarios:
- Perfil público: nombre de usuario, avatar, nivel, XP, rangos, insignias.
- Contenidos: sus vídeos de retos aprobados, sus votos, sus publicaciones de quedada (con la ciudad).
- Clasificaciones: su posición y su rendimiento pueden aparecer en ellas.
- Mensajería y clubes: sus mensajes son visibles para sus destinatarios. No están cifrados de extremo a extremo y la moderación puede examinarlos en caso de denuncia.
Battles en directo. Durante una battle, su flujo de cámara y de micrófono se emite en tiempo real a su adversario y, en su caso, a los espectadores autorizados. Este flujo no se graba de forma permanente (solo se conserva un envío de vídeo explícito).
Usted mantiene el control: ajustes de perfil, bloqueo de un usuario, denuncia y eliminación de sus contenidos en cualquier momento.
17. Decisiones automatizadas y lucha contra las trampas
Recuento y detección. La aplicación utiliza tratamientos automatizados (análisis de postura) para contar sus repeticiones y evaluar la calidad de la ejecución. Estos tratamientos producen un resultado deportivo, sin efecto jurídico.
Integridad y sistema antitrampas. Para preservar la equidad, detectamos automáticamente indicios de trampas (vídeos reproducidos de nuevo, movimientos simulados, incoherencias). Estos indicios pueden dar lugar a una revisión, pero las sanciones significativas (anulación de puntuaciones, suspensión, expulsión) son objeto de una intervención humana: nunca las dicta un algoritmo por sí solo.
Moderación. La moderación de contenidos interviene previa denuncia o detección automática. Toda decisión de retirada o de sanción la toma una persona, nunca un algoritmo por sí solo.
Sus derechos (art. 22 RGPD). Puede solicitar una intervención humana, expresar su punto de vista e impugnar una decisión automatizada o de moderación escribiendo a legal@orusta.com.
18. Seguridad
Aplicamos medidas técnicas y organizativas apropiadas: cifrado en tránsito (HTTPS/TLS), acceso restringido y registrado, autenticación reforzada, seudonimización de los datos de análisis. Dado que ningún sistema es infalible, le animamos a proteger sus credenciales.
En caso de violación de la seguridad de los datos que pueda entrañar un riesgo para sus derechos y libertades, informamos a la autoridad de control competente y, cuando el riesgo sea alto, a los interesados, conforme a los artículos 33 y 34 del RGPD.
19. Cookies y rastreadores
La aplicación móvil no utiliza cookies publicitarias ni rastreadores de terceros. Los únicos identificadores técnicos utilizados son necesarios para el funcionamiento (sesión, seguridad) o corresponden a la medición de audiencia first-party descrita en la sección 4.
20. Modificaciones de la presente política
Podemos modificar esta política. En caso de modificación sustancial (nueva categoría de datos, nueva finalidad, nuevo destinatario, nueva transferencia, plazo de conservación modificado), le informamos a través de la aplicación o por correo electrónico, antes de que el nuevo tratamiento surta efecto.
Esta información no constituye una nueva aceptación por su parte: la presente política es un documento informativo, no un contrato. En cambio, si una modificación introdujera una nueva finalidad basada en su consentimiento, este se le solicitaría de forma separada y específica, a través de sus ajustes de consentimiento, y nunca se presumiría.
La fecha de la última actualización figura al principio del documento, y la versión en vigor está siempre disponible en la aplicación y en https://orusta.com/es/privacy.
21. Contacto y reclamación
- Datos personales: privacy@orusta.com
- Cuestiones jurídicas: legal@orusta.com
- Representante en la Unión Europea (art. 27 RGPD): Steeve Langlet (Francia), legal@orusta.com
También puede presentar una reclamación ante la autoridad de control competente (véase la sección 12).