Política de privacidad de Labvi

Última actualización: 26/10/2026

1. Quiénes somos

La aplicación Labvi (en adelante, la «Aplicación») la desarrolla y la ofrece Viktar Muronchyk, persona física, República de Belarús (en adelante, «nosotros» o el «desarrollador»). Labvi es el nuevo nombre de la aplicación Lably (desde el 26 de octubre de 2026); el sitio web y la dirección de correo de asistencia se han trasladado de lably-app.com a labvi.app.

La Aplicación no sustituye la consulta con un médico y no es un producto sanitario. No prestamos ningún servicio médico.

Esta Política se aplica también al sitio web labvi.app (en adelante, el «Sitio web»): lo que ocurre con los datos cuando lo visitas se describe en el apartado 2.7.

A efectos del RGPD, del UK GDPR y de las leyes de protección de datos personales de la CEI, somos el responsable del tratamiento («operador», según estas últimas) de los datos que se tratan en nuestro servidor y por nuestros proveedores. Los datos que se guardan solo en tu dispositivo no los recibimos ni los vemos: dispones de ellos tú.

Contacto para cuestiones de datos: support@labvi.app

Dirección postal: vul. Karla Marksa 29, OPS-25 (oficina de correos n.º 25), 230025 Hrodna, República de Belarús

2. Qué datos tratamos

2.1. Datos que solo están en tu dispositivo

Se guardan en la memoria de la Aplicación en el dispositivo. No tenemos acceso a ellos:

• los perfiles (el tuyo y, con el plan «Máximo», hasta cuatro perfiles de miembros de tu familia);
• el Pasaporte de salud: nombre, fecha de nacimiento, sexo, estatura, peso, alergias a medicamentos y alimentos, enfermedades crónicas y medicación habitual;
• los análisis y documentos: valores de los indicadores, intervalos de referencia, fechas, laboratorios, textos de informes médicos y derivaciones, fotos y PDF de los documentos (una vez tapados);
• tus correcciones de los nombres de indicadores y laboratorios extraídos de los documentos, el país elegido, el idioma, el tema visual y los ajustes de bloqueo de la Aplicación;
• los archivos temporales: los informes en PDF para el médico y los archivos de copia de seguridad, mientras los compartes.

Protección en el dispositivo: cifrado mediante el sistema operativo; las claves y ajustes internos se guardan en el almacenamiento protegido del sistema (Keychain / Android Keystore). Si has activado el acceso con Face ID, Touch ID o huella dactilar, la biometría la comprueba el sistema operativo: la Aplicación solo recibe la respuesta «confirmado / no confirmado» y no recibe los datos biométricos en sí.

El acceso a la cámara, las fotos y los archivos la Aplicación lo solicita únicamente para que puedas añadir un documento. Los archivos elegidos se procesan en el dispositivo.

2.2. Datos en nuestro servidor

El servidor es necesario para el periodo de prueba, la suscripción y el límite diario para añadir documentos por foto o archivo (apartado 2.3). En él no hay datos médicos.

El identificador del dispositivo se guarda en el almacenamiento protegido del dispositivo y puede mantenerse aunque reinstales la Aplicación (en iOS, normalmente se mantiene). Es intencionado: de lo contrario, el periodo de prueba podría obtenerse indefinidamente. El identificador se muestra en la pantalla «Datos» para que puedas indicarlo en tu solicitud.

En cada conexión con el servidor se utilizan la dirección IP (solo para limitar las solicitudes demasiado frecuentes) y la diferencia horaria de tu zona (para que el límite se renueve a tu medianoche) y, al añadir un documento por foto o archivo, también el país, que Cloudflare determina a partir de la dirección IP (solo para elegir la ruta por la que se transmite el documento, apartado 6). No los guardamos. El proveedor de infraestructura (Cloudflare) puede llevar durante un breve periodo registros técnicos con fines de seguridad, según sus propias normas, como encargado del tratamiento nuestro.

2.3. Añadir documentos a la Aplicación

Cuando añades a la Aplicación una foto o un archivo PDF de un documento, usamos un servicio de reconocimiento de texto para extraer de sus páginas los valores de los indicadores y el texto del informe. El documento se envía a ese servicio solo cuando tú mismo lo añades y confirmas el envío en la pantalla en la que tapas los datos. Si introduces los resultados a mano, no se envía nada.

Qué se transmite: las imágenes de las páginas, con las zonas que has tapado integradas en la propia imagen (la foto o el archivo originales no se transmiten); el idioma de la Aplicación; listas de referencia públicas: la de indicadores y la de laboratorios del país elegido.

Qué no se transmite al servicio de reconocimiento de texto: nombre, apellidos, correo electrónico, teléfono, identificador del dispositivo, datos del Pasaporte de salud, edad ni sexo. El identificador del dispositivo solo lo recibe nuestro servidor, para computar el documento en tu límite diario (apartado 2.2). Las instrucciones que recibe el servicio de reconocimiento de texto le prohíben extraer el nombre y apellidos del paciente, la fecha de nacimiento, la dirección, el teléfono, los números de documentos y de pólizas y el nombre del médico.

Cómo funciona: nuestro servidor mantiene la copia en la memoria operativa solo durante la solicitud, la transmite al servicio de reconocimiento de texto de OpenAI (EE. UU.) y devuelve los datos extraídos a la Aplicación; la copia no se escribe en el disco del servidor. OpenAI trata la solicitud como encargado del tratamiento nuestro: no la utiliza para entrenar modelos ni la guarda en el historial de solicitudes, pero puede conservarla, incluidas las imágenes, hasta 30 días en registros destinados a detectar abusos (las solicitudes marcadas por el sistema de seguridad, durante más tiempo, mientras dure su revisión); después, la elimina.

Importante: el servicio de reconocimiento de texto ve todo lo que no hayas tapado. Tapa el nombre y apellidos, la fecha de nacimiento, la dirección, el número de póliza y otros datos personales. Si en la página quedan datos de otra persona, tápalos también.

2.4. Estadísticas de uso

Utilizamos Google Firebase Analytics para entender qué funciones se usan y dónde se encuentran errores los usuarios. Se transmiten:

• el identificador de instalación de la Aplicación (lo crea Firebase y no coincide con el identificador del dispositivo del apartado 2.2);
• eventos: pantallas abiertas, botones pulsados, recuentos (por ejemplo, el número de páginas de un documento), el tipo de documento («análisis», «derivación», etc.), detectado automáticamente al añadir el documento por foto o archivo o indicado por ti manualmente, y errores técnicos;
• datos que Firebase recoge por sí mismo: modelo del dispositivo, versión del sistema operativo, idioma, país (según la dirección IP, sin ubicación precisa) y versión de la Aplicación.

No se transmiten: el contenido de los documentos, los nombres y valores de los indicadores, los diagnósticos, los datos del Pasaporte de salud ni ninguna conclusión sobre tu salud.

Consentimiento y rechazo. Si la región de tu dispositivo o el país elegido en la Aplicación (ajuste «País») es un país del EEE, el Reino Unido o Suiza, o si no se ha podido determinar la región del dispositivo, las estadísticas están desactivadas hasta que las permitas: la Aplicación te lo preguntará una vez y, hasta que respondas, no se envía nada. En los demás países, las estadísticas están activadas por defecto. Puedes activarlas o desactivarlas en cualquier momento en «Perfil → Ajustes → Estadísticas de uso». Mientras estén desactivadas, no se envían eventos.

Las estadísticas se conservan 2 meses. «Eliminar todos los datos» restablece el identificador de instalación y tu elección: en los países en los que se necesita consentimiento, la Aplicación te lo volverá a preguntar; en los demás, las estadísticas volverán a estar activadas por defecto.

2.5. Compras y suscripciones

Por ahora no cobramos nada. La Aplicación está en fase de pruebas: todos los planes se ofrecen gratis y no se solicitan ni se tratan datos de pago. En el servidor solo se guarda la constancia del plan desbloqueado gratuitamente y de su vigencia (apartado 2.2).

Cuando haya pagos reales (te avisaremos con antelación en la Aplicación y actualizaremos esta Política), las suscripciones se contratarán a través del App Store o Google Play. Los datos de pago (tarjeta, dirección, Apple ID / cuenta de Google) los tratan Apple o Google; nosotros no los recibimos. De la tienda recibimos los datos de la compra (identificador de la transacción, plan, vigencia, estado y país) y los vinculamos al identificador del dispositivo para desbloquear el acceso.

2.6. Consultas al servicio de asistencia

Si nos escribes, recibimos tu dirección de correo electrónico, el texto del mensaje y lo que adjuntes. No envíes al servicio de asistencia documentos ni resultados médicos: no los necesitamos para resolver tu consulta.

2.7. Visitas al Sitio web

El Sitio web está formado por páginas ya generadas: no tiene cuentas, formularios, publicidad, píxeles ni contenido integrado de otros servicios (vídeos, mapas, botones de redes sociales); las fuentes tipográficas se cargan desde el propio Sitio web. El único script de terceros del Sitio web es el script de estadísticas de Cloudflare Web Analytics (véase más abajo). El enlace al servicio de asistencia abre tu programa de correo: el mensaje se envía como una consulta normal (apartado 2.6).

Qué ve el proveedor de alojamiento. El Sitio web está alojado en Cloudflare Pages (Cloudflare, Inc.). Para enviarte las páginas y proteger el Sitio web frente a ataques y bots, Cloudflare trata en cada solicitud datos técnicos: la dirección IP, información sobre el navegador y el dispositivo (user agent), la dirección de la página solicitada y la fecha y hora de la solicitud. Cloudflare lo hace como encargado del tratamiento nuestro; además, según su propia política de privacidad, Cloudflare puede utilizar información sobre el tráfico para detectar y bloquear actividades maliciosas en su red. Cloudflare no indica públicamente durante cuánto tiempo conserva esos registros. No llevamos ni exportamos registros de visitas ni intentamos averiguar quién ha visitado el Sitio web. En el panel de Cloudflare tenemos acceso a estadísticas agregadas del tráfico y a información sobre las solicitudes que la protección de Cloudflare ha bloqueado o verificado (incluida la dirección IP); solo las consultamos para garantizar el funcionamiento y la seguridad del Sitio web.

Estadísticas del Sitio web (Cloudflare Web Analytics). Para saber cuántas personas visitan el Sitio web, qué páginas abren y a qué velocidad se cargan, utilizamos Cloudflare Web Analytics. Cuando abres una página, tu navegador carga un pequeño script de Cloudflare desde la dirección static.cloudflareinsights.com y envía a Cloudflare la dirección de la página, la dirección de la página desde la que llegaste (referrer) y métricas de velocidad de carga y funcionamiento de la página, junto con, como en cualquier solicitud, tu dirección IP e información sobre el navegador y el dispositivo (user agent). A partir de estos datos, Cloudflare nos muestra estadísticas agregadas: número de visitas y de páginas vistas, países, tipos de dispositivos y navegadores, fuentes de tráfico y velocidad de carga; en ellas no vemos información sobre visitantes concretos. El script no utiliza cookies ni guarda nada en tu navegador; según sus propias normas, Cloudflare no sigue a los visitantes de un sitio web a otro. Cloudflare trata estos datos como encargado del tratamiento nuestro y no indica públicamente durante cuánto tiempo los conserva.

Dónde no se llevan estadísticas. El script de estadísticas no se carga si tu solicitud la atiende un centro de datos de Cloudflare situado en un país del EEE, en el Reino Unido o en Suiza. Qué centro de datos atiende una solicitud lo decide la red de Cloudflare (normalmente, el más cercano a ti); tu ubicación no se determina. Por eso, si estás en uno de esos países pero usas una VPN o un proxy con salida en otro país, pueden llevarse estadísticas, y viceversa. Puedes oponerte en cualquier momento bloqueando en tu navegador la dirección static.cloudflareinsights.com (por ejemplo, con un bloqueador de contenido); el Sitio web seguirá funcionando con normalidad.

Cookies y almacenamiento del navegador. El Sitio web no instala cookies. Si se activa la protección de Cloudflare frente a bots y ataques (por ejemplo, si hay que verificar tu navegador), Cloudflare puede instalar una cookie de seguridad estrictamente necesaria; no se utiliza para publicidad ni para seguimiento. Si eliges tú mismo un idioma en el menú del Sitio web, tu navegador recuerda esa elección (la entrada labvi.locale en el almacenamiento local del navegador) para abrir el Sitio web en ese idioma la próxima vez. Del mismo modo, si cambias el Sitio web entre la apariencia clara y la oscura, tu navegador la recuerda (la entrada labvi.theme). Estas entradas solo contienen el código del idioma y el nombre de la apariencia, se quedan en tu navegador y no se envían a ningún sitio; puedes eliminarlas borrando los datos del sitio en los ajustes del navegador.

3. Fines y bases jurídicas

A efectos de las leyes de Belarús, Rusia y Kazajistán, la base del tratamiento de los datos de salud y de su transferencia al extranjero es tu consentimiento, que otorgas mediante una acción específica en la pantalla de envío cada vez que añades un documento por foto o archivo; para los demás datos, la base es el contrato (las Condiciones de uso). Los datos técnicos sobre las visitas al Sitio web y sus datos estadísticos (apartado 2.7) se tratan para mostrar el Sitio web, protegerlo y llevar estadísticas agregadas de visitas.

Puedes retirar tu consentimiento en cualquier momento: basta con no añadir documentos por foto o archivo (cada envío es un consentimiento distinto; puedes introducir los resultados a mano) y desactivar las estadísticas. La retirada no afecta a la licitud del tratamiento anterior a ella.

4. Decisiones automatizadas

No tomamos respecto de ti decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos en ti o te afecten significativamente de modo similar. El servicio de reconocimiento de texto se limita a pasar a formato digital el documento que añades. La comparación del resultado con el intervalo de referencia de tu formulario se hace en el dispositivo y no es un diagnóstico.

5. Quién más trata los datos

No vendemos ni alquilamos tus datos, no mostramos publicidad y no cedemos datos con fines publicitarios. Los datos solo los reciben los destinatarios de la tabla siguiente y, en el caso de documentos añadidos desde Belarús y Rusia, también Fly.io (apartado 6): nuestros encargados del tratamiento, en virtud de un contrato y siguiendo nuestras instrucciones, y las tiendas (Apple, Google), según sus propias normas:

Podemos comunicar datos si lo exigen la ley, una resolución judicial o un requerimiento obligatorio de una autoridad pública, en la medida mínima necesaria y tras comprobar la legalidad del requerimiento. Si los derechos sobre la Aplicación pasan a otra persona, los datos de nuestro servidor pasarán a ella junto con la Aplicación; el nuevo titular estará obligado a cumplir esta Política y te lo comunicaremos con antelación en la Aplicación.

6. Transferencias de datos a otros países

Nuestros encargados del tratamiento y los demás destinatarios del apartado 5 se encuentran en EE. UU. y otros países, por lo que tus datos pueden tratarse fuera del país en el que vives, incluso en países en los que el nivel de protección de los datos personales es inferior al del tuyo.

• EEE, Reino Unido, Suiza: cuando el destinatario está certificado conforme al EU–US Data Privacy Framework, recurrimos a la decisión de adecuación de la Comisión Europea y, para el Reino Unido y Suiza, a la extensión británica de ese marco (reglamento de adecuación del Gobierno británico) y al Swiss–US Data Privacy Framework (decisión del Consejo Federal suizo); en los demás casos, a las cláusulas contractuales tipo (SCC) con medidas complementarias.
• Belarús, Rusia, Kazajistán y otros países de la CEI: nuestro servidor, los encargados del tratamiento y los demás destinatarios del apartado 5 se encuentran fuera de tu país, incluido EE. UU., que no figura en las listas de países con un nivel adecuado de protección de los datos personales. La transferencia se basa en tu consentimiento. Te informamos de los riesgos: en el país del destinatario pueden no existir las mismas garantías de tus derechos que en tu país, y puede no haber una autoridad de control independiente; para reducir los riesgos, antes del envío tapas tus datos personales en los documentos, y los documentos se transmiten solo a través de una conexión cifrada y nosotros no los guardamos. Los datos técnicos sobre las visitas al Sitio web y sus datos estadísticos (apartado 2.7) los trata la red de Cloudflare, también fuera de tu país.

Añadir documentos desde Belarús y Rusia. Para transmitir los documentos al servicio de reconocimiento de texto utilizamos un servidor proxy de la empresa Fly.io, Inc.

7. Durante cuánto tiempo conservamos los datos

• Datos en el dispositivo: hasta que los elimines o elimines la Aplicación. Nosotros no los conservamos.
• Datos del servidor: plazos de la tabla del apartado 2.2.
• Documentos que añades por foto o archivo: nuestro servidor no los conserva; OpenAI, hasta 30 días (apartado 2.3).
• Estadísticas: 2 meses.
• Visitas y estadísticas del Sitio web: no conservamos registros de visitas; Cloudflare conserva los registros técnicos y las estadísticas durante el plazo que él mismo determine (apartado 2.7).

8. Eliminación de los datos

En la Aplicación: «Perfil → Ajustes → Datos → Eliminar todos los datos». Se eliminan todos los perfiles, análisis, resultados, el Pasaporte de salud, las fotos y los PDF de los documentos, los archivos temporales y los ajustes de este dispositivo, y se restablece el identificador de las estadísticas. La eliminación no se puede deshacer. Puedes eliminar en cualquier momento cualquier documento concreto o el perfil de un miembro de tu familia.

Qué no elimina el botón de la Aplicación y por qué:

• los archivos de copia de seguridad que hayas guardado fuera de la Aplicación: elimínalos tú;
• el registro del servidor con el identificador del dispositivo y el estado de la suscripción, así como el propio identificador del dispositivo en tu dispositivo (apartado 2.2): de ellos dependen el periodo de prueba, la suscripción y el límite.

Eliminación completa en el servidor: escribe a support@labvi.app e indica el identificador del dispositivo que aparece en la pantalla «Datos». Eliminaremos los registros del servidor en un plazo de 10 días hábiles. Excepción: el registro del periodo de prueba se conserva hasta 2 años desde su inicio para proteger frente a abusos; te lo indicaremos en la respuesta.

9. Seguridad

Los datos se transmiten solo a través de una conexión cifrada (TLS). La copia de seguridad se cifra en el dispositivo (AES-256) con un código de recuperación: la Aplicación lo crea, te lo muestra y lo guarda en el almacenamiento seguro de este dispositivo; nunca se nos envía. Para restaurar la copia en otro dispositivo se necesita este código; si lo pierdes, ni nosotros ni nadie podrá restaurar la copia. El acceso a la infraestructura del servidor está restringido y protegido; los registros del servidor no contienen datos médicos ni identificadores de dispositivo.

No es posible eliminar todos los riesgos. Protege tu dispositivo con una contraseña y activa el bloqueo de la Aplicación. Si tenemos conocimiento de una violación de la seguridad que afecte a tus datos, te lo notificaremos a ti y a las autoridades de control en los plazos que establece la ley (en la UE, 72 horas para la autoridad de control; en EE. UU., conforme a la Health Breach Notification Rule de la FTC).

10. Tus derechos

Vivas donde vivas, puedes: saber qué datos tuyos tratamos y obtener una copia de ellos; rectificarlos; suprimirlos; retirar tu consentimiento; oponerte al tratamiento; presentar una reclamación ante nosotros y ante la autoridad de control. La mayor parte de esto lo haces tú mismo directamente en la Aplicación, porque tus datos médicos están en tu poder. Para solicitudes sobre los datos del servidor, escribe a support@labvi.app indicando el identificador del dispositivo.

Plazos de respuesta. Respondemos en un plazo de 10 días hábiles, el más breve de los que establecen las leyes aplicables. Si hace falta una comprobación adicional, te lo comunicaremos junto con el motivo.

Verificación de identidad. Como no hay cuentas, verificamos la solicitud mediante el identificador del dispositivo, que solo es visible en tu dispositivo. No lo publiques. No pedimos documentos adicionales.

10.1. EEE, Reino Unido, Suiza

Además de los derechos anteriores: el derecho a la limitación del tratamiento, el derecho a la portabilidad de los datos (puedes exportar tus datos a una copia de seguridad en cualquier momento y, con los planes «Premium» y «Máximo», también a un informe en PDF) y el derecho a oponerte en cualquier momento al tratamiento basado en el interés legítimo. Puedes presentar una reclamación ante la autoridad de control del país en el que vives o trabajas, o en el que, en tu opinión, se ha producido la infracción. En el Reino Unido tienes derecho a reclamar primero ante nosotros: acusaremos recibo de la reclamación en un plazo de 30 días y responderemos sin dilación indebida; después, puedes dirigirte a la ICO.

10.2. Estados Unidos

• No vendemos ni «compartimos» (share) datos personales en el sentido de las leyes de California y de otros estados, no los utilizamos para publicidad dirigida y no elaboramos perfiles para decisiones significativas. Las señales Global Privacy Control se respetan automáticamente: no tenemos nada que desactivar.
• Washington, Nevada, Connecticut y otros estados con leyes sobre datos de salud: consulta la Política de privacidad de los datos de salud del consumidor.
• Residentes en estados con leyes generales de privacidad (California, Colorado, Virginia, Texas, etc.): tienes derecho a conocer, obtener, rectificar y suprimir tus datos y a no sufrir discriminación por ejercer tus derechos. Si hemos denegado tu solicitud, puedes recurrir la denegación respondiendo a nuestro mensaje con la palabra «Appeal»; resolveremos el recurso en los plazos que establece la ley de tu estado y te indicaremos cómo dirigirte al fiscal general del estado.
• La HIPAA no se aplica a la Aplicación: no somos una entidad sanitaria ni un proveedor de una entidad sanitaria. Tus datos están protegidos por esta Política y por las leyes estatales.

10.3. Belarús

Conforme a la Ley n.º 99-Z, tienes derecho, en cualquier momento y sin necesidad de justificarlo, a retirar tu consentimiento, a obtener información sobre el tratamiento de tus datos y sobre su comunicación a terceros, y a exigir la modificación de los datos, el cese de su tratamiento y su supresión. La ley fija un plazo de 15 días para tramitar estas solicitudes; en la práctica, respondemos en 10 días hábiles. Puedes presentar una reclamación ante el Centro Nacional de Protección de Datos Personales de la República de Belarús.

10.4. Rusia

Conforme a la Ley Federal n.º 152-FZ, tienes derecho a obtener información sobre el tratamiento, a exigir la rectificación, el bloqueo o la destrucción de los datos y a retirar tu consentimiento. Respondemos en un plazo de 10 días hábiles; tras la retirada del consentimiento, destruimos los datos en un plazo de 30 días. Puedes presentar una reclamación ante Roskomnadzor o ante los tribunales.

10.5. Kazajistán

Conforme a la Ley «Sobre los datos personales y su protección», tienes derecho a conocer el tratamiento de tus datos, a exigir su modificación, bloqueo y destrucción y a retirar tu consentimiento. Puedes presentar una reclamación ante el organismo competente en materia de protección de datos personales.

10.6. Otros países

Si vives en Brasil (LGPD), Canadá u otro país con una ley de protección de datos, tienes los derechos que te reconoce esa ley; los atendemos de la misma forma y en los mismos plazos.

11. Menores y perfiles de miembros de la familia

La Aplicación está destinada a adultos (a partir de 18 años). No recogemos deliberadamente datos de menores.

Con el plan «Máximo» puedes gestionar perfiles de miembros de tu familia, incluidos menores. Estos datos se guardan solo en tu dispositivo; nosotros no los recibimos. Al crear un perfil así, confirmas que eres el padre o la madre o el representante legal de esa persona, o que has obtenido su consentimiento. Los documentos de un miembro de la familia que añades por foto o archivo se transmiten igual que los tuyos (apartado 2.3): tapa en ellos los datos personales.

Si crees que hemos recibido datos de un menor sin el consentimiento de sus padres, escríbenos y los eliminaremos.

12. Cambios en esta Política

Si los cambios son sustanciales (nuevos datos, nuevos destinatarios, nuevos fines), te lo comunicaremos con antelación en la Aplicación y, cuando sea necesario, volveremos a pedirte el consentimiento. La fecha de la última actualización figura al principio.

13. Contacto

Viktar Muronchyk, persona física, desarrollador de la Aplicación

Dirección postal: vul. Karla Marksa 29, OPS-25 (oficina de correos n.º 25), 230025 Hrodna, República de Belarús

Correo electrónico: support@labvi.app

Esta Política está disponible en los idiomas de la Aplicación. Si la legislación de tu país exige que la Política esté en tu idioma, prevalece la versión en tu idioma.