Acuerdo de tratamiento de datos

Vos, el gimnasio, sos el responsable del tratamiento: decidís qué datos se recogen de tus socios y para qué. Nosotros somos el encargado: los tratamos únicamente por cuenta tuya y siguiendo tus instrucciones.

Tus instrucciones son, en concreto, el uso normal del producto más lo que nos pidas por escrito. Si alguna instrucción tuya nos pareciera contraria a la ley aplicable, te lo decimos antes de ejecutarla.

De tus socios: identificación y contacto, plan y pagos, asistencias, rutinas y progreso, y —si la usás— la ficha médica, que incluye datos de salud y puede incluir datos de menores con su adulto responsable.

De tu equipo: identificación, contacto y rol dentro del panel.

No tratamos esos datos para ninguna finalidad propia. No los vendemos, no los cedemos y no entrenamos modelos con ellos.

Quien de nuestro lado pueda acceder a los datos está obligado a confidencialidad y accede sólo cuando hace falta para operar el servicio o cuando vos lo pedís.

Cada gimnasio está aislado en la base de datos con reglas por fila, de modo que una consulta hecha desde un gimnasio no puede devolver datos de otro aunque la aplicación tenga un error. La ficha médica está además restringida a la propia persona, al dueño y la recepción de su gimnasio, y al profesor que la tiene asignada.

Todo el tráfico viaja cifrado. Las credenciales con acceso amplio viven sólo en el servidor y nunca en el navegador.

Hacemos copias de seguridad y las verificamos restaurándolas, no sólo tomándolas.

Autorizás a estos cuatro, cada uno para lo suyo: Supabase (base de datos y cuentas, Brasil), Cloudflare (servidores, red y dominios), Polar (cobro de la suscripción fuera de Argentina) y Mercado Pago (cobro en Argentina).

Si sumamos otro, te avisamos con 30 días de anticipación. Si no estás de acuerdo, podés dar de baja sin costo antes de que el cambio entre en vigor.

Respondemos por lo que hagan nuestros sub-encargados igual que si lo hiciéramos nosotros.

La base de datos está en Brasil. Si estás en la Unión Europea, la transferencia se ampara en las cláusulas contractuales tipo, que se entienden incorporadas a este acuerdo; si estás en otro país con reglas propias, aplicamos el mecanismo que esa ley prevea.

El contenido público de tu sitio se distribuye por una red global. Los datos de tus socios no: el panel no se cachea en ningún lado.

Si un socio te pide acceso, rectificación, supresión, portabilidad u oposición, la respuesta la das vos. Nosotros te damos las herramientas y, si hace falta, te asistimos sin cobrarte por ello.

Una parte ya la puede ejercer solo: cualquier socio borra su propia ficha médica desde su panel, sin pedir permiso a nadie.

Si un socio nos escribe directamente, no le contestamos sobre sus datos: lo derivamos a vos y te avisamos.

Si detectamos una brecha que afecte a datos tuyos o de tus socios, te avisamos sin demora indebida y a más tardar dentro de las 72 horas de haberla detectado, con lo que sepamos: qué pasó, a quién afecta, qué estamos haciendo y qué te recomendamos hacer.

Notificar a la autoridad y a las personas afectadas te corresponde a vos, porque sos el responsable; nosotros te damos todo lo que necesites para hacerlo.

Si lo pedís, te entregamos los datos de contacto de tus socios —nombre, apellido, correo y teléfono— y el historial de los cobros que les hiciste, en archivos legibles por máquina. No entregamos volcados de la base, ni el resto de los datos del sistema, ni nada pensado para reconstruir el producto en otro lado.

Si un socio ejerce un derecho sobre datos que no están en esa lista —su ficha médica, su historial de pagos— te damos lo que necesites para responderle a esa persona, caso por caso.

Al terminar el servicio, tus datos y los de tus socios quedan 60 días y después se borran. Las copias de seguridad se rotan, así que un dato borrado puede persistir hasta 30 días más en una copia y desaparece con ella.

Te damos por escrito la información que necesites para comprobar que cumplimos esto: qué medidas aplicamos, qué sub-encargados hay y qué guardamos.

No hacemos auditorías presenciales en la infraestructura de nuestros proveedores, porque no es nuestra. Si tu regulador exige algo más, decínoslo y lo resolvemos.

Este acuerdo rige mientras tratemos datos por cuenta tuya, y las obligaciones de confidencialidad siguen después.