ClebrFIT separa dos tratamientos: los datos necesarios para operar la plataforma y facturar al profesional, y los datos de deportistas que cada gimnasio o entrenador gestiona bajo su propia responsabilidad.
1. Quién es responsable en cada caso
Cuenta profesional, suscripción, seguridad y soporte
El responsable es Web y Red Servicios Informáticos, S.L., NIF B86767704, con domicilio en C/ Ramiro II, 6, 28003 Madrid, España y correo info@webyred.com.
Datos gestionados por un gimnasio o entrenador
El responsable es la organización profesional que invitó al deportista y cuyo nombre aparece en su espacio. Esa organización decide qué datos solicita, para qué los utiliza y quién puede consultarlos. Web y Red Servicios Informáticos, S.L. actúa como encargado del tratamiento, alojando y procesando los datos siguiendo sus instrucciones. El Acuerdo de encargo de tratamiento regula esta relación.
2. Datos tratados
- Profesionales y cuenta: nombre, correo, organización, teléfono, rol, credenciales cifradas, estado de la cuenta y preferencias.
- Contratación: plan, periodicidad, límites, estado, identificadores de cliente y suscripción de Stripe, fechas de cobro y cancelación. ClebrFIT no almacena el número completo de tarjeta.
- Uso y seguridad: dirección IP, agente de usuario, sesiones, accesos, intentos fallidos, registros técnicos y evidencias de aceptación legal.
- Deportistas: identidad y contacto, fecha de nacimiento, altura, objetivos, entrenador asignado, agenda, clases, bonos, reservas, mensajes y solicitudes.
- Seguimiento deportivo: peso y otras medidas corporales, entrenamientos, hábitos, check-ins, comidas, observaciones nutricionales, fotografías de progreso e informes.
- Datos potencialmente relativos a la salud: notas médicas, lesiones, limitaciones, medidas, fotografías u otra información que revele el estado físico o de salud. Son categorías especiales y exigen una condición del artículo 9 del RGPD, normalmente el consentimiento explícito del deportista.
3. Finalidades y bases jurídicas de Web y Red
| Finalidad | Base jurídica |
|---|---|
| Crear la cuenta, ofrecer el plan Gratis y prestar las funciones contratadas. | Ejecución del contrato o medidas precontractuales. |
| Gestionar suscripciones, pagos, facturas y comunicaciones de servicio. | Ejecución del contrato y obligaciones legales contables o fiscales. |
| Autenticar usuarios, evitar fraude, mantener registros técnicos y defender reclamaciones. | Interés legítimo en proteger el servicio, a sus usuarios y los derechos de la empresa. |
| Atender soporte, incidencias y solicitudes de derechos. | Ejecución del contrato, obligación legal e interés legítimo. |
| Conservar la prueba de términos, encargos y consentimientos o declaraciones. | Ejecución contractual e interés legítimo en acreditar el cumplimiento. |
No se envían comunicaciones comerciales ajenas al servicio sin una base jurídica específica. ClebrFIT no vende datos personales.
4. Obligaciones del gimnasio o entrenador
La organización profesional debe facilitar su propia información de privacidad a los deportistas, definir plazos de conservación, limitar el acceso de su equipo y disponer de una base jurídica válida. Antes de registrar información de salud debe obtener consentimiento explícito o identificar otra excepción válida del artículo 9 del RGPD. Para menores, debe comprobar la autorización de quien ejerza la patria potestad o tutela y las demás exigencias aplicables.
5. Procedencia
Los datos proceden del propio profesional al registrarse, de Stripe durante la contratación, del gimnasio o entrenador al crear fichas y planificar actividad, y del deportista cuando activa su acceso o registra información.
6. Destinatarios y proveedores
- Stripe: procesa el pago, la autenticación del medio de pago y la facturación bajo sus propios términos y responsabilidades.
- Infraestructura y almacenamiento: proveedores cloud utilizados por ClebrFIT, incluyendo servicios de Amazon Web Services cuando están configurados, para alojar la aplicación, base de datos, copias y archivos privados.
- Correo: el proveedor SMTP configurado para la plataforma o por la organización, para invitaciones, avisos y recuperación de acceso.
- Autoridades: cuando exista una obligación legal o sea necesario para formular, ejercer o defender reclamaciones.
No se comunica la información de deportistas a otros gimnasios. El aislamiento lógico por organización limita cada acceso al espacio correspondiente.
7. Transferencias internacionales
Algunos proveedores tecnológicos pueden tratar información desde países fuera del Espacio Económico Europeo. Cuando ocurre, se utilizan los mecanismos previstos por el RGPD, como decisiones de adecuación, cláusulas contractuales tipo y medidas complementarias. La organización puede solicitar información actualizada de los proveedores aplicables a su configuración.
8. Conservación
- Los datos de cuenta y servicio se conservan mientras la relación esté activa y, después, bloqueados durante los plazos necesarios para atender obligaciones y posibles responsabilidades.
- Los datos de facturación y la evidencia contractual se conservan durante los plazos mercantiles, fiscales y de prescripción aplicables.
- Los datos de deportistas se conservan conforme a las instrucciones y política de la organización responsable. Al terminar el servicio se facilitará su devolución o supresión de acuerdo con el encargo, salvo bloqueo legal.
- Los registros de seguridad se conservan solo durante el tiempo proporcionado para investigar incidencias y proteger el servicio.
- Las copias de seguridad se sobrescriben según sus ciclos técnicos y quedan fuera de uso ordinario mientras se completa la supresión.
9. Derechos
Los profesionales pueden solicitar acceso, rectificación, supresión, oposición, limitación y portabilidad, y retirar un consentimiento, escribiendo a info@webyred.com, con información suficiente para verificar la identidad.
Los deportistas deben dirigirse primero a su gimnasio o entrenador, que es el responsable de su ficha. Web y Red colaborará con la organización para atender la solicitud. También se puede reclamar ante la Agencia Española de Protección de Datos.
10. Decisiones automatizadas
Las alertas, porcentajes de adherencia, gráficos e informes ordenan datos introducidos en el sistema. No adoptan decisiones jurídicas ni sustituyen el criterio del profesional. No se realiza perfilado publicitario.
11. Seguridad y confidencialidad
Se aplican medidas adecuadas al riesgo: comunicaciones cifradas, contraseñas con hash, control de roles, aislamiento por organización, bloqueo ante intentos fallidos, protección CSRF, archivos privados y copias de seguridad. Ningún sistema es invulnerable; toda sospecha de incidente debe comunicarse a info@webyred.com sin demora.
12. Cambios
Esta política puede actualizarse por cambios normativos, técnicos o funcionales. Cuando el cambio afecte sustancialmente al tratamiento o al contrato se comunicará por medios razonables y, si procede, se solicitará una nueva aceptación.