Privacy Policy
1. Who is responsible
The controller of your personal data is Jorge Chacon Garcia, an individual operating Tharvik from Spain. Contact for anything about your data: tharvik.ai.help@gmail.com. Tax ID and postal address are published on the Legal notice page before paid plans open.
2. What we collect
- Account: the username you choose and your password (stored only as a secure hash by our authentication provider). Internally the username is used to form a technical login address ending in @ares-app.internal; it is never used to email you.
- Profile you provide: age, sex, weight, height, training goal, experience, equipment, injuries or physical concerns (free text), coaching-tone preference, calorie target.
- Your conversations: messages, plus any photos (food, form, equipment) and video frames you send, stored inside the conversation, and short notes Tharvik keeps to remember you.
- Your training and nutrition data: calendar sessions and what you completed, logged meals with calorie/macro estimates. Photos sent to the Calorie Tracker are analysed and only the resulting estimate is kept.
- Optional: a recovery email (only to reset your password); a push-notification subscription if you turn on reminders.
- Billing status: your subscription status and your Stripe customer reference. Card details go directly to Stripe and never reach us.
- Technical usage data: for each AI request, the number of tokens, response time, request type and estimated cost, linked to your account to enforce your monthly allowance and to keep the service reliable. This contains no message content.
- Consent record: what you consented to and when.
- Connection data: IP address and similar technical data processed by our hosting and infrastructure providers.
3. Why we use it, and on what legal basis
| Purpose | Legal basis (GDPR) |
|---|---|
| Creating your account and providing the coaching service, calendar, nutrition tracking and memory | Contract (Art. 6(1)(b)) |
| Processing health-related information (injuries, body measurements, meals, photos/videos of you) to personalise coaching | Your explicit consent (Art. 9(2)(a)), given separately at sign-up |
| Sending your data to our AI provider outside the EU/EEA (see section 5) | Your explicit consent after being informed of the risks (Art. 49(1)(a)) |
| Payments, invoices, tax records | Contract and legal obligation (Art. 6(1)(b), (c)) |
| Security, abuse prevention, cost control, fixing errors | Legitimate interest (Art. 6(1)(f)) |
| Password-reset email; push reminders | Your consent (Art. 6(1)(a)); you can turn them off any time |
We do not sell your data, do not use it for advertising, and do not use it to train our own models. Tharvik's replies are generated automatically by an AI; no decision with legal or similarly significant effects is taken about you.
4. Who receives it (processors)
| Provider | Purpose | Data | Location |
|---|---|---|---|
| DeepSeek | The AI model that writes Tharvik's replies, reads photos/video frames, estimates meals and checks custom goals | Your messages, profile, calendar and nutrition summary, memory notes, photos and video frames, goal text - sent with each request | China |
| Supabase | Database, authentication, server functions | All account data described above | London, United Kingdom |
| Cloudflare | Website hosting and delivery | Connection data (IP address); the site files | Global network |
| Stripe | Payments and billing | Email/billing details and card data you enter at checkout | EU/US |
| Resend | Password-reset emails | Recovery email, username | United States |
| Browser push services (Google, Apple, Mozilla) | Delivering reminders, only if you enable them | Notification text | Global |
We rely on the safeguards each provider offers for transfers (the EU adequacy decision for the United Kingdom, the EU-US Data Privacy Framework, or standard contractual clauses). DeepSeek is different - see the next section.
5. Important: transfer to DeepSeek in China
Tharvik's AI is provided by DeepSeek. Everything you send Tharvik - including health-related information and photos or videos of you - is transmitted to DeepSeek's servers in China. The European Commission has not found China to provide an adequate level of data protection, and to our knowledge there are no standard contractual clauses in place with DeepSeek. Data protection authorities in several EU countries have publicly raised concerns about transfers to DeepSeek.
What this means for you: authorities in China may be able to access data held there; DeepSeek publishes no guarantee that data is not retained or used to improve its services; deleting your Tharvik account does not delete data DeepSeek may already hold, and we cannot make DeepSeek delete it.
We use DeepSeek only because you explicitly consent to it when you sign up. If you do not want this, do not use Tharvik, and only share what you are comfortable sending. You can withdraw your consent at any time by deleting your account (Settings → Delete my account); after that, nothing further is sent.
6. How long we keep it
- Account data (profile, chats, calendar, nutrition, memory): until you delete your account. Deletion in Settings removes it immediately from our database, cancels any active subscription first, and removes your login.
- Billing records (held by Stripe and our accounts): for the period tax and accounting law requires (in Spain generally up to 6 years).
- Technical usage data: deleted with your account.
- We do not currently keep long-term database backups.
7. Your rights
You may ask us for access to your data, rectification, erasure, restriction, portability (we will send your data in a machine-readable format), and you may object to processing based on legitimate interest. Deleting your account is self-service. To use any other right, email tharvik.ai.help@gmail.com; we answer within one month. You may withdraw any consent at any time (withdrawal does not affect earlier processing). You also have the right to complain to the Spanish data protection authority, the AEPD (www.aepd.es), or the authority in your country.
8. Children
Tharvik is only for people aged 16 or over. We ask for your age when you sign up and do not knowingly hold data of anyone under 16; if we learn we do, we will delete it.
9. Cookies and similar technologies
Tharvik does not use advertising or analytics cookies or trackers. It stores your login session and preferences in your browser's local storage, which is strictly necessary for the service to work. All fonts and scripts are served from our own domain.
10. Security
Traffic is encrypted (HTTPS). Each account can access only its own data, enforced in the database. Payment card data never touches our servers. If a breach affects your rights we will notify you and the authority as the law requires.
11. Changes
If this policy changes materially we will update the date above and, where a new consent is needed, ask you again before you continue.
Política de Privacidad
1. Quién es el responsable
El responsable del tratamiento de tus datos es Jorge Chacon Garcia, persona física que opera Tharvik desde España. Contacto para cualquier asunto sobre tus datos: tharvik.ai.help@gmail.com. El NIF y la dirección postal se publican en el Aviso legal antes de abrir los planes de pago.
2. Qué datos recogemos
- Cuenta: el nombre de usuario que eliges y tu contraseña (solo se guarda como hash seguro en nuestro proveedor de autenticación). Internamente el usuario forma una dirección técnica que termina en @ares-app.internal; nunca se usa para escribirte.
- Perfil que facilitas: edad, sexo, peso, altura, objetivo, experiencia, equipamiento, lesiones o molestias físicas (texto libre), tono de coaching, objetivo de calorías.
- Tus conversaciones: mensajes, más las fotos (comida, técnica, equipamiento) y fotogramas de vídeo que envíes, guardados dentro de la conversación, y notas breves con las que Tharvik te recuerda.
- Tus datos de entrenamiento y nutrición: sesiones del calendario y lo completado, comidas registradas con estimación de calorías/macros. Las fotos enviadas al Contador de calorías se analizan y solo se conserva la estimación.
- Opcional: un email de recuperación (solo para restablecer la contraseña); una suscripción a notificaciones push si activas recordatorios.
- Datos de facturación: estado de tu suscripción y tu referencia de cliente en Stripe. Los datos de tarjeta van directamente a Stripe y no llegan a nosotros.
- Datos técnicos de uso: por cada petición a la IA, número de tokens, tiempo de respuesta, tipo de petición y coste estimado, vinculados a tu cuenta para aplicar tu cuota mensual y mantener el servicio fiable. No incluye contenido de mensajes.
- Registro de consentimiento: qué consentiste y cuándo.
- Datos de conexión: dirección IP y datos técnicos similares tratados por nuestros proveedores de alojamiento e infraestructura.
3. Para qué los usamos y con qué base legal
| Finalidad | Base legal (RGPD) |
|---|---|
| Crear tu cuenta y prestar el servicio de coaching, calendario, seguimiento nutricional y memoria | Contrato (art. 6.1.b) |
| Tratar información relacionada con la salud (lesiones, medidas corporales, comidas, fotos/vídeos tuyos) para personalizar el coaching | Tu consentimiento explícito (art. 9.2.a), otorgado por separado al registrarte |
| Enviar tus datos a nuestro proveedor de IA fuera de la UE/EEE (ver sección 5) | Tu consentimiento explícito tras ser informado de los riesgos (art. 49.1.a) |
| Pagos, facturas, registros fiscales | Contrato y obligación legal (art. 6.1.b, c) |
| Seguridad, prevención de abuso, control de costes, corrección de errores | Interés legítimo (art. 6.1.f) |
| Email de restablecimiento; recordatorios push | Tu consentimiento (art. 6.1.a); puedes desactivarlos cuando quieras |
No vendemos tus datos, no los usamos para publicidad y no los usamos para entrenar modelos propios. Las respuestas de Tharvik las genera automáticamente una IA; no se toma ninguna decisión con efectos jurídicos o similares sobre ti.
4. Quién los recibe (encargados)
| Proveedor | Finalidad | Datos | Ubicación |
|---|---|---|---|
| DeepSeek | El modelo de IA que escribe las respuestas de Tharvik, lee fotos/fotogramas, estima comidas y revisa objetivos personalizados | Tus mensajes, perfil, resumen de calendario y nutrición, notas de memoria, fotos y fotogramas, texto del objetivo - enviados con cada petición | China |
| Supabase | Base de datos, autenticación, funciones de servidor | Todos los datos de cuenta descritos arriba | Londres, Reino Unido |
| Cloudflare | Alojamiento y entrega del sitio web | Datos de conexión (IP); los archivos del sitio | Red global |
| Stripe | Pagos y facturación | Email/datos de facturación y tarjeta que introduces en el pago | UE/EE. UU. |
| Resend | Emails de restablecimiento de contraseña | Email de recuperación, usuario | Estados Unidos |
| Servicios push del navegador (Google, Apple, Mozilla) | Entregar recordatorios, solo si los activas | Texto de la notificación | Global |
Nos apoyamos en las garantías que ofrece cada proveedor para las transferencias (decisión de adecuación de la UE para el Reino Unido, Marco de Privacidad de Datos UE-EE. UU. o cláusulas contractuales tipo). DeepSeek es distinto: ver la sección siguiente.
5. Importante: transferencia a DeepSeek en China
La IA de Tharvik la presta DeepSeek. Todo lo que envías a Tharvik - incluida información relacionada con la salud y fotos o vídeos tuyos - se transmite a servidores de DeepSeek en China. La Comisión Europea no ha considerado que China ofrezca un nivel adecuado de protección de datos y, que sepamos, no existen cláusulas contractuales tipo con DeepSeek. Autoridades de protección de datos de varios países de la UE han manifestado públicamente su preocupación por las transferencias a DeepSeek.
Qué implica para ti: las autoridades chinas podrían acceder a los datos allí alojados; DeepSeek no publica garantía de que los datos no se conserven o usen para mejorar sus servicios; eliminar tu cuenta de Tharvik no elimina los datos que DeepSeek ya pueda tener y no podemos obligarle a borrarlos.
Usamos DeepSeek solo porque das tu consentimiento explícito al registrarte. Si no lo quieres, no uses Tharvik, y comparte solo lo que estés cómodo enviando. Puedes retirar tu consentimiento en cualquier momento eliminando tu cuenta (Ajustes → Eliminar mi cuenta); después no se envía nada más.
6. Cuánto tiempo los conservamos
- Datos de cuenta (perfil, chats, calendario, nutrición, memoria): hasta que elimines tu cuenta. La eliminación en Ajustes los borra al instante de nuestra base de datos, cancela antes cualquier suscripción activa y elimina tu acceso.
- Registros de facturación (en Stripe y en nuestra contabilidad): durante el plazo que exige la normativa fiscal y contable (en España, en general hasta 6 años).
- Datos técnicos de uso: se eliminan con tu cuenta.
- Actualmente no conservamos copias de seguridad de larga duración de la base de datos.
7. Tus derechos
Puedes pedirnos acceso, rectificación, supresión, limitación, portabilidad (te enviaremos tus datos en formato legible por máquina) y oponerte al tratamiento basado en interés legítimo. Eliminar tu cuenta es autoservicio. Para cualquier otro derecho escribe a tharvik.ai.help@gmail.com; respondemos en un mes. Puedes retirar cualquier consentimiento en cualquier momento (sin afectar al tratamiento anterior). También tienes derecho a reclamar ante la Agencia Española de Protección de Datos (www.aepd.es) o la autoridad de tu país.
8. Menores
Tharvik es solo para mayores de 16 años. Pedimos tu edad al registrarte y no conservamos a sabiendas datos de menores de 16; si lo detectamos, los eliminaremos.
9. Cookies y tecnologías similares
Tharvik no usa cookies ni rastreadores publicitarios o analíticos. Guarda tu sesión y preferencias en el almacenamiento local de tu navegador, estrictamente necesario para el funcionamiento. Todas las fuentes y scripts se sirven desde nuestro propio dominio.
10. Seguridad
El tráfico va cifrado (HTTPS). Cada cuenta solo accede a sus propios datos, garantizado en la base de datos. Los datos de tarjeta nunca pasan por nuestros servidores. Si una brecha afecta a tus derechos, te lo notificaremos a ti y a la autoridad según exige la ley.
11. Cambios
Si esta política cambia de forma relevante, actualizaremos la fecha y, si hace falta un nuevo consentimiento, te lo pediremos antes de continuar.