Política de privacidad

Cada apartado describe un servicio y se aplica desde el día en que ese servicio se abre. Cuáles están abiertos hoy lo dice una sola tabla: Servicios abiertos hoy. Abrir uno cambia esa tabla y no cambia nada de aquí.

Esta política cubre todo lo que GymAI hace con datos personales en todos sus servicios: el sitio web gymai.coach, el listado de gimnasios y las cuentas de gimnasio, la app GymAI, las cuentas de profesionales y de organizaciones, los planes de pago y las instancias que alojamos para nuestros clientes. Está escrita una sola vez para toda la plataforma, para que no haya que reescribirla cada vez que se abre un servicio.

No todos los servicios descritos aquí están abiertos todavía. Cada apartado que describe un servicio se aplica desde el día en que ese servicio se abre para ti. La lista de servicios abiertos hoy está en gymai.coach/legal/servicios (apartado 17). Abrir un servicio que esta política ya describe no la cambia. Sí la cambia un nuevo tipo de tratamiento, un nuevo destinatario o un plazo de conservación más largo, y te lo diremos antes de que se aplique (apartado 16).

Información básica (resumen)

1. Quién es el responsable de tus datos

El responsable es José Conti Calveras, empresario individual (autónomo) establecido en España:

• NIF: ES46745383E
• Domicilio: Avenida República Argentina 190, 4.º 2.ª, 08023 Barcelona, España
• Correo: j.conti@joseconti.com — para cualquier cuestión de privacidad y para ejercer tus derechos. Lo lee una persona.

No hemos designado un delegado de protección de datos porque nuestro tratamiento no cumple las condiciones del artículo 37 del RGPD ni del artículo 34 de la LOPDGDD. Si eso cambia, lo indicaremos aquí.

Estamos establecidos en la Unión Europea, así que el Reglamento General de Protección de Datos (Reglamento (UE) 2016/679, «RGPD») y la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), se aplican a todo lo que hacemos.

1.1 Cuándo no somos el responsable

• Instancias alojadas para un cliente. Cuando un gimnasio, una clínica, una residencia, un profesional u otra organización paga su propia instancia de GymAI (por ejemplo tugimnasio.gymai.coach) e inscribe en ella a sus socios, clientes o pacientes, ese cliente es el responsable de sus datos. Nosotros los tratamos solo siguiendo sus instrucciones, con un contrato de encargo del tratamiento (artículo 28 del RGPD). Se aplica su aviso de privacidad, y las solicitudes sobre esos datos se dirigen primero a él; nosotros le ayudamos a responderlas.
• Registros propios de los profesionales. Un profesional que trabaje contigo a través de GymAI (por ejemplo, un dietista-nutricionista o un fisioterapeuta) puede estar obligado por ley a conservar sus propios registros profesionales sobre ti. De esos registros, el responsable es el profesional (apartado 5.6).
• La versión gratuita autoalojada. Cualquiera puede instalar la versión gratuita de GymAI en su propio servidor. Quien gestiona esa instalación es el responsable de todo lo que contiene. Nosotros no recibimos nada de ella ni tenemos acceso.

2. Qué cubre esta política

3. El sitio web y la lista de espera

3.1 Visitar el sitio web

No usamos analítica, píxeles publicitarios, seguimiento ni scripts de terceros. Nuestras páginas solo cargan nuestros propios archivos, salvo un mapa, y solo cuando pides verlo (apartado 8).

Cuando tu navegador pide una página, nuestro servidor recibe necesariamente tu dirección IP y los datos técnicos de la petición. Los usamos solo para servir la página y proteger el servicio (por ejemplo, para limitar intentos repetidos). La limitación de intentos guarda tu IP solo en memoria, durante la ventana del límite, y nunca la escribe en nuestra base de datos. El servidor web de nuestro proveedor de alojamiento y nuestra propia aplicación mantienen registros técnicos por seguridad y para diagnosticar fallos: los del proveedor contienen direcciones IP, y el de nuestra aplicación puede contener tu correo cuando no se ha podido enviarte un mensaje. Se conservan durante el plazo del apartado 9.

Base jurídica: nuestro interés legítimo en mantener un sitio web seguro (artículo 6.1.f del RGPD).

3.2 La lista de espera

Si te apuntas a la lista de espera, guardamos:

• tu correo electrónico (obligatorio: es la dirección a la que te escribimos);
• qué tipo de usuario eres (obligatorio: uno de los perfiles de la lista, para abrir por fases);
• tu nombre (opcional: solo para el saludo);
• tu centro y ciudad (opcional: solo se ofrece si llevas un gimnasio, una clínica o una residencia);
• el hecho y la fecha de tu consentimiento y de tu confirmación, que el RGPD nos obliga a poder demostrar.

Finalidad: avisarte de que GymAI se ha lanzado. Nada más: ni boletines, ni consejos, ni ofertas. Base jurídica: tu consentimiento (artículo 6.1.a del RGPD), dado marcando una casilla que no venía marcada y confirmándolo desde tu correo. Puedes retirarlo en cualquier momento con un clic en cualquiera de nuestros correos.

Conservación: una dirección que nunca se confirma se borra cuando caduca su enlace de confirmación (7 días). Una dirección confirmada se conserva hasta que te des de baja o hasta que se haya enviado el aviso de lanzamiento, y después se borra.

3.3 Cuando nos escribes

Cuando nos escribes —una pregunta, una solicitud para ejercer tus derechos, una reclamación o una notificación de que algo en GymAI es ilícito— guardamos tu mensaje, tu nombre y tu correo, y lo que hicimos al respecto. Finalidad: responderte, resolver las notificaciones como exige el Reglamento de Servicios Digitales y poder demostrar que lo hicimos. Base jurídica: nuestras obligaciones legales (artículo 6.1.c del RGPD; artículos 12 a 22 del RGPD; artículos 16 y 17 del Reglamento (UE) 2022/2065) y nuestro interés legítimo en defendernos frente a reclamaciones (artículo 6.1.f). Conservación: 3 años después de cerrarse el asunto. Si denuncias un contenido, no le decimos a quien lo publicó quién eres, salvo que la ley lo exija.

4. Cuentas de gimnasio y listado de gimnasios

4.1 Tu cuenta de gimnasio

Para crear una cuenta en gymai.coach te pedimos:

• tu correo electrónico, confirmado con un código que te enviamos. Es con lo que inicias sesión, recuperas el acceso y recibes los avisos de seguridad, y se conserva mientras exista la cuenta;
• una contraseña (solo guardamos un resumen criptográfico —hash— scrypt con sal, nunca la contraseña) y/o las llaves de acceso (passkeys) que registres (solo guardamos la clave pública y el nombre que les pongas);
• cuando se exige, un segundo factor: una segunda llave de acceso o una app de autenticación (guardamos el secreto compartido necesario para comprobar sus códigos);
• cuando el formulario de registro los pida, un nombre de usuario, tu nombre y tus apellidos. El nombre de usuario es privado: solo lo ves tú. Comprobamos que sea único entre las instancias de nuestra plataforma mediante un servicio interno que registra el nombre y en qué instancia nuestra está, nunca quién lo tiene.

Además guardamos:

• tus sesiones (solo guardamos una huella del identificador de sesión que lleva la cookie de tu navegador);
• un registro de accesos con los eventos de seguridad de tu cuenta —contraseña establecida o restablecida, correo confirmado, llave de acceso o autenticador añadidos o eliminados, sesiones cerradas— con su fecha. No contiene direcciones IP ni huellas del dispositivo;
• los avisos de seguridad que te enviamos cuando algo cambia en tu cuenta.

Finalidades: crear y gestionar tu cuenta, mantenerla segura y permitirte recuperarla. Base jurídica: el contrato entre nosotros (artículo 6.1.b del RGPD) y, para el registro de seguridad, nuestro interés legítimo en proteger las cuentas (artículo 6.1.f).

Debes tener al menos 18 años para abrir una cuenta de gimnasio, de profesional o de organización (ver las Condiciones de uso).

4.2 Fichas de gimnasio y listado público

El listado describe negocios: el nombre del gimnasio, su dirección estructurada y su posición en el mapa, el equipamiento que tiene, sus servicios, una nota breve opcional sobre cómo encontrar la puerta y, cuando el gimnasio la facilita, su web. Una ficha de gimnasio nunca nombra, cuenta ni describe a una persona: no contiene socios, personal, fotos de personas, horarios, precios, valoraciones ni reseñas.

Cada dato de una ficha guarda quién lo cambió por última vez y cuándo. Esa atribución se guarda para poder corregir la ficha e investigar abusos, y nunca se publica. Lo que se publica es el dato y su antigüedad.

Parte de esto puede ser un dato personal. Si un gimnasio lo lleva un autónomo, o su nombre contiene el de una persona, el nombre, la dirección y la web del gimnasio pueden referirse a una persona identificable. En ese caso los tratamos como datos personales.

Finalidad: publicar un listado de gimnasios y de su equipamiento exacto y actualizado, para que la gente encuentre dónde entrenar y prepare su entrenamiento para el sitio en el que está. Base jurídica: nuestro interés legítimo, y el del público, en disponer de información exacta sobre negocios abiertos al público (artículo 6.1.f del RGPD). La información se refiere a la actividad del negocio de cara al público, se limita a lo que vería un cliente en la puerta y nunca describe a una persona. Puedes oponerte en cualquier momento (apartado 12).

Buscar en el listado. Cuando buscas un gimnasio por tu posición, la usamos para responder a esa búsqueda y no la guardamos: ni en un registro ni asociada a ti. No guardamos un historial de tus búsquedas.

Conservación: una ficha se conserva mientras el gimnasio exista. Las fichas no se borran físicamente, para que una reclamación falsa no pueda hacer desaparecer el listado; una ficha que ya no deba ser pública se oculta. Cuando se elimina la cuenta que hizo un cambio, la atribución queda solo como una referencia interna que ya no lleva a ninguna persona.

4.3 Si otra persona añadió tu gimnasio (artículo 14 del RGPD)

Cualquier persona con cuenta puede añadir un gimnasio al listado. Si otra persona añadió el tuyo, los datos proceden de esa persona, que describió lo que se ve desde la calle o dentro de un gimnasio abierto al público. Las categorías son las del apartado 4.2. No publicamos quién lo añadió.

Puedes reclamar la ficha para hacerte cargo de ella (apartado 4.4), corregirla u oponerte a ella (apartado 12), incluso pedirnos que la ocultemos si te identifica como persona. Cuando tenemos tu correo (por ejemplo, porque preinscribiste el gimnasio o lo reclamaste), te informamos de todo esto en el plazo de un mes.

4.4 Preinscribir y reclamar un gimnasio

Preinscripción. Si preinscribes un gimnasio antes de que abra el listado, guardamos tu correo de contacto y tu nombre de contacto, los datos del gimnasio y el hecho de tu consentimiento. Solo el titular de GymAI ve tus datos de contacto; los moderadores no. Finalidad: contactarte cuando abra el listado y convertir tu preinscripción en una ficha que puedas reclamar. Base jurídica: tu consentimiento (artículo 6.1.a). Conservación: hasta que el gimnasio se haya convertido en ficha y se te haya ofrecido reclamarla, o 12 meses después de que abra el listado, lo que ocurra antes; a continuación, se borran.

Reclamación. Para demostrar que controlas un gimnasio, nos das la web del gimnasio y, además, o bien un correo de su dominio (le enviamos un código), o bien, cuando esté disponible, un archivo colocado en la web. Guardamos quién reclamó qué ficha, cuándo, cómo lo demostró y la decisión. El correo usado para recibir el código se borra al cerrarse la reclamación; la web y el método quedan en el historial de la ficha. Una reclamación la decide siempre una persona, nunca un proceso automático.

Si otra persona reclama un gimnasio que ya gestionas, te lo decimos: el gimnasio, el dominio web que ha demostrado y la fecha hasta la que puedes oponerte, y nada más sobre ella. Del mismo modo, a quien se le deniega una reclamación nunca se le dice quién gestiona el gimnasio.

Base jurídica: el contrato (artículo 6.1.b) y nuestro interés legítimo en evitar reclamaciones falsas (artículo 6.1.f).

4.5 Moderación y denuncias

Para mantener el listado exacto y dentro de la ley, el titular de GymAI y los moderadores que designe revisan reclamaciones, disputas, peticiones y denuncias, y pueden ocultar una ficha. Guardamos:

• la decisión: qué se decidió, el motivo tasado, cuándo y qué moderador la tomó;
• si se oculta tu ficha, el aviso que te enviamos y cualquier respuesta que nos escribas. Tu respuesta solo la leen los moderadores y nunca se publica;
• las denuncias que hacen los usuarios con sesión iniciada sobre una ficha: el motivo, un comentario opcional y qué cuenta denunció. Al gimnasio nunca se le dice quién lo denunció. El comentario se borra al cerrarse la denuncia; se conservan el motivo, la decisión y quién decidió.

Ninguna decisión sobre ti o tu gimnasio se toma solo por medios automatizados.

Base jurídica: nuestras obligaciones legales como prestador de servicios de alojamiento de datos según el Reglamento de Servicios Digitales (Reglamento (UE) 2022/2065) (artículo 6.1.c del RGPD) y nuestro interés legítimo en un listado exacto y lícito (artículo 6.1.f).

Conservación: las decisiones se conservan mientras exista la ficha. El texto de las respuestas de un gimnasio y de los comentarios de las denuncias se borra al cerrarse el asunto y, en todo caso, 12 meses después del último mensaje.

4.5 bis Moderadores

Las personas que moderan GymAI en nombre del titular se dan de alta con su correo e inician sesión con una llave de acceso. Guardamos su nombre, la fecha en que se les dio de alta o de baja y qué decisiones tomó cada una, para poder responder de cada decisión. Base jurídica: nuestro interés legítimo en una moderación responsable (artículo 6.1.f). El correo usado para invitar a un moderador se borra 30 días después de que se acepte o se cancele la invitación; el registro de decisiones se conserva junto con las decisiones.

4.6 Peticiones de nuevo equipamiento o ejercicios

Un gimnasio puede pedirnos que añadamos una máquina al catálogo, con una descripción y fotografías; un usuario de la app puede pedir un ejercicio nuevo. Las fotografías no pueden mostrar a ninguna persona: si la muestran, se rechazan, no se difuminan. Las fotografías nunca se publican y se borran cuando se resuelve la petición. La petición se conserva con el historial del catálogo; si se elimina la cuenta de quien la hizo, se quita el vínculo con esa persona.

5. La app GymAI

Este servicio todavía no está abierto, así que nada de lo que aquí se dice se aplica hoy a nadie. Está escrito para que ya sea cierto el día en que se abra.

5.1 Cómo está hecha la app, y por qué importa para tu privacidad

GymAI funciona primero en tu dispositivo: tus entrenamientos se registran y se calculan allí, y se sincronizan con una única copia en el servidor de la instancia a la que pertenece tu cuenta (app.gymai.coach para los usuarios individuales, o la instancia propia de tu gimnasio o de tu profesional). No hay un segundo almacén de tus datos de entrenamiento en ningún otro sitio.

Qué puede leer el servidor. El servidor puede leer tus datos de entrenamiento (sesiones, rutinas, pesos, peso corporal, objetivos y tu perfil) para sincronizarlos y, si lo autorizas, para que un profesional trabaje contigo. Ocho tipos de datos quedan sellados con una clave que solo tienes tú: medidas corporales, notas de dolor, motivos de sesiones perdidas, actividades personalizadas, objetivos de levantamiento, días por semana, tu cuestionario de salud (PAR-Q) y notas de actividad. Nosotros no podemos leer los datos sellados, ni nadie a quien no hayas dado acceso. Fuera de ese conjunto sellado, nunca diremos que tus datos «no los puede leer nadie», porque no sería verdad.

5.2 Tu cuenta en la app

Te pedimos un nombre de usuario, tu nombre y apellidos, un correo confirmado, una contraseña o llaves de acceso y tu fecha de nacimiento. Usamos la fecha de nacimiento solo para aplicar las reglas de edad de tu país (por ejemplo, si debe intervenir un tutor) y, en el futuro, para reservar a los adultos las funciones solo para adultos. Base jurídica: el contrato (artículo 6.1.b) y nuestras obligaciones legales respecto a los menores (artículo 6.1.c; artículo 8 del RGPD; artículo 7 de la LOPDGDD).

5.3 Tus datos de entrenamiento

Sesiones, series, pesos, rutinas, sesiones de resistencia y natación, valoraciones de esfuerzo, equipamiento y lugares donde entrenas (gimnasio, casa o exterior; nunca un rastro de ubicación), peso corporal, objetivos y perfil (año de nacimiento, altura, sexo, nivel de actividad). Finalidad: prestar el servicio de la app: prescribir tu próxima sesión, seguir tu progreso y sincronizar tus dispositivos. Base jurídica: el contrato (artículo 6.1.b).

5.4 Datos de salud

Parte de lo que registras en la app son datos de salud según el artículo 9 del RGPD: medidas y peso corporales, notas de dolor, motivos de sesiones perdidas, el cuestionario de salud y las notas que añades a las sesiones. Los tratamos solo con tu consentimiento explícito (artículo 9.2.a del RGPD), que te pedimos por separado y antes de que los registres por primera vez. Puedes retirarlo en cualquier momento; retirarlo detiene el tratamiento nuevo y te permite borrar lo registrado, pero no convierte en ilícito el tratamiento anterior.

GymAI no es un producto sanitario. Nunca diagnostica, y nunca saca recomendaciones sobre tu salud de tus notas de dolor, tu cuestionario, tu disposición para entrenar o tus medidas.

5.5 Menores y familias

• En España, una persona de 14 años o más puede consentir por sí misma; si es menor de esa edad, debe consentir su padre, madre o tutor (artículo 7 de la LOPDGDD). En otros lugares aplicamos la edad que fija la ley que rige la cuenta, según una tabla que mantenemos. Si no se puede determinar una edad, las funciones que dependen de ella no están disponibles hasta que se determine: nunca damos por hecho que alguien es adulto.
• Un menor que no ha alcanzado la edad de consentimiento entra en GymAI a través de un grupo familiar que administra su padre, madre o tutor. Mientras el miembro no alcance la edad de consentimiento, su tutor puede ver sus datos, incluido el conjunto sellado; esto se muestra en la propia pantalla de accesos del menor. Cuando el menor alcanza esa edad, el acceso del tutor termina automáticamente, y se avisa a ambos con antelación.
• Pagar un plan familiar no da derecho a leer los datos de otro adulto. Los adultos de una familia solo ven los datos de otro si este se los concede.

5.6 Trabajar con profesionales, gimnasios y clínicas

Tú decides quién puede ver tus datos. Puedes conceder a un entrenador, dietista-nutricionista, fisioterapeuta, clínica o gimnasio acceso a las partes que elijas, durante el tiempo que elijas; puedes revocarlo en cualquier momento, lo que además cambia la clave de tus datos sellados. Cada acceso de otra persona queda registrado y puedes ver ese registro. Base jurídica: tu consentimiento (artículo 6.1.a y, para los datos de salud, artículo 9.2.a).

Cuando dejas de trabajar con un profesional, lo que te había prescrito sigue siendo legible para ti, su acceso para escribir termina y puedes exportarlo todo. Un profesional obligado por ley a conservar registros clínicos sobre ti (por ejemplo, un dietista-nutricionista, por la Ley 41/2002, durante cinco años) conserva su propia copia de esos registros como responsable, aunque elimines tu cuenta de GymAI. Te lo advertimos antes de que la elimines.

Si tu gimnasio te inscribió en su propia instancia, tu gimnasio es el responsable de esa instancia (apartado 1.1): puede leer los datos que se le permita leer y debe decirte cuáles. Puedes crear tu propia identidad GymAI en cualquier momento, lo que te da un conjunto sellado que solo tú puedes abrir. Si solo elegiste un gimnasio en la app, al gimnasio nunca se le comunica.

5.7 Funciones opcionales que usan otros servicios

Todas están desactivadas hasta que tú las actives, y cada una te dice, antes de usarse, qué sale exactamente de tu instancia y a dónde va:

• Notificaciones. Si permites las notificaciones, tu navegador o tu teléfono nos da una dirección de entrega gestionada por su fabricante (Apple, Google o Mozilla). El mensaje va cifrado de extremo a extremo hasta tu dispositivo, así que el fabricante solo ve texto cifrado. Base jurídica: consentimiento.
• Reconocer una máquina a partir de una foto. Solo se envía la foto al servicio de reconocimiento que nombramos en la pantalla; no debe mostrar personas y no se conserva. Base jurídica: consentimiento.
• Asistencia con IA. Cuando se ofrezca una función de IA, nombraremos el proveedor y dónde funciona antes de que la uses, enviaremos lo mínimo necesario y nunca enviaremos notas de dolor ni otros datos sellados. Si usas una función de IA, siempre sabrás que estás hablando con una IA. Base jurídica: consentimiento; para cualquier dato de salud, consentimiento explícito pedido específicamente para ese uso.
• Compartir un plan. El archivo de un plan compartido solo contiene rutinas y ejercicios; con él no viaja nada personal.

5.8 Copias de seguridad, exportación y baja en la app

Puedes descargar en cualquier momento una copia completa de tus datos, en un formato que puedes volver a importar. Cerrar la sesión borra tus datos de ese dispositivo. Darte de baja funciona como se explica en el apartado 9 y en las Condiciones de uso (apartado 16).

6. Cuentas de profesionales y de organizaciones

Este servicio todavía no está abierto, así que nada de lo que aquí se dice se aplica hoy a nadie. Está escrito para que ya sea cierto el día en que se abra.

6.1 Verificación

A los entrenadores, dietistas-nutricionistas, fisioterapeutas y otros profesionales que quieran funciones profesionales se les puede pedir que acrediten su cualificación. Para las profesiones sanitarias reguladas en España consultamos el registro público (el REPS del Ministerio de Sanidad o el colegio profesional correspondiente). Registramos el registro, tu número de colegiado o de inscripción, el país, la fecha en que lo comprobamos y quién lo comprobó, y lo volvemos a comprobar cada año. Nunca guardamos una copia escaneada de tus documentos, salvo que elijas la revisión de un documento como forma de acreditar tu identidad, y en ese caso solo hasta que se resuelva. Base jurídica: el contrato (artículo 6.1.b) y nuestro interés legítimo en no presentar como profesionales a personas no cualificadas (artículo 6.1.f).

6.2 El directorio de profesionales

Aparecer en el directorio público es tu decisión y está desactivado por defecto. Si lo activas, publicamos el nombre que elijas (puede ser un nombre profesional), tus áreas de trabajo de nuestra lista cerrada, los centros donde trabajas (la dirección del gimnasio, nunca tu domicilio; si trabajas desde casa publicamos una zona), tu horario si lo activas y, para las profesiones reguladas, el registro y el hecho de que estás verificado, con un enlace al registro. Nunca publicamos tu correo, tu teléfono, tus clientes, cuántos tienes, valoraciones ni testimonios. Al desactivarlo, tu ficha desaparece de inmediato. Base jurídica: tu consentimiento (artículo 6.1.a).

Los buscadores pueden conservar durante un tiempo una copia de una página pública después de que la retiremos; no podemos controlarlo, pero si nos lo pides les pediremos que la actualicen.

6.3 Cuentas de organización y sus instancias

Cuando una organización paga su propia instancia, tratamos como responsables los datos de la cuenta y de facturación de la organización y de las personas que la gestionan. Todo lo que hay dentro de la instancia sobre sus socios, clientes o pacientes es de la organización, y nosotros somos su encargado del tratamiento (apartado 1.1). En nuestra plataforma nunca se guardan historias clínicas: las clínicas prescriben ejercicios y nada más.

6.4 Integraciones e importación masiva

Una organización puede importar sus fichas de gimnasio desde un archivo o conectarse con una clave de API. Las importaciones solo llevan datos del negocio (nombre, dirección, equipamiento, servicios); las columnas sobre personas se ignoran y no se guardan. El acceso por API a los datos de un socio se limita a lo que ese socio ha concedido y nunca llega al conjunto sellado. Cada clave se muestra una sola vez; solo guardamos su huella y quién la creó.

7. Planes de pago, facturación y recomendaciones

Este servicio todavía no está abierto, así que nada de lo que aquí se dice se aplica hoy a nadie. Está escrito para que ya sea cierto el día en que se abra.

7.1 Pagos y facturación

Cuando pagas GymAI guardamos tus datos de facturación (nombre o razón social, NIF cuando haga falta, dirección de facturación, correo), tu plan y su historial y tus facturas. Nunca vemos ni guardamos el número de tu tarjeta: el pago lo gestiona el servicio de pago de nuestro banco a través de Redsys, y nosotros solo guardamos un identificador (token) que permite al banco cargar la tarjeta que autorizaste, y lo tratamos como una credencial. Si te suscribes a través de App Store de Apple o de Google Play, la tienda gestiona el pago con sus propias condiciones y su propia política de privacidad, y solo nos da lo necesario para confirmar tu suscripción.

Base jurídica: el contrato (artículo 6.1.b) y nuestras obligaciones fiscales y contables (artículo 6.1.c). Conservación: las facturas y los registros contables se conservan seis años (artículo 30 del Código de Comercio) y los datos fiscales durante los plazos que exige la normativa tributaria; después se borran.

Un pago no realizado nunca te deja fuera de tus propios datos: siempre puedes iniciar sesión para renovar, hacer una copia, cerrar o eliminar tu cuenta.

7.2 Programa de recomendación

Si recomiendas GymAI a alguien, guardamos un código opaco que vincula las dos cuentas, para asignar la recompensa y evitar abusos. Quien recomienda ve un número, nunca un nombre. A la persona recomendada se le informa al registrarse. Base jurídica: el contrato. Conservación: mientras la recompensa pueda obtenerse o revertirse y, después, como parte de los registros de facturación si afectó a un cobro.

8. Quién más recibe tus datos

No vendemos tus datos, no los alquilamos ni los compartimos con fines publicitarios: con nadie y de ninguna forma.

Salvo el mapa, nuestro sitio usa fuentes, scripts y estilos servidos solo desde nuestro propio servidor. Cuando convertimos una dirección en una posición en el mapa, lo hacemos en nuestros propios servidores: ninguna dirección que escribas se envía a un tercero.

Transferencias fuera del EEE. No transferimos tus datos fuera del Espacio Económico Europeo. Los servicios de notificaciones de Apple y Google, que eliges al permitir notificaciones en sus dispositivos o navegadores, pueden funcionar desde fuera del EEE con sus propias condiciones; solo reciben una dirección de entrega y un mensaje cifrado. Si otra función que actives requiriera una transferencia, nombraríamos al destinatario y la garantía antes de que la uses (una decisión de adecuación o las cláusulas contractuales tipo de la Comisión Europea).

9. Cuánto tiempo conservamos los datos

El plazo de cada tipo de dato se indica donde se describe. En resumen:

En España, borrar se hace en dos pasos. Cuando hay que suprimir datos pero todavía podríamos tener que responder por cómo los tratamos, la ley (artículo 32 de la LOPDGDD) nos obliga primero a bloquearlos: se apartan y nadie puede usarlos ni verlos, salvo para ponerlos a disposición de los jueces y tribunales, el Ministerio Fiscal o la autoridad de protección de datos, y solo durante el plazo en que podría exigirse alguna responsabilidad. Después, se destruyen.

10. Cómo protegemos tus datos

• Todo viaja cifrado por HTTPS, y nuestro servidor solo entrega el correo a nuestro servidor de correo mediante TLS.
• Las contraseñas se guardan como resúmenes criptográficos (hashes) scrypt con sal; los códigos de acceso, de restablecimiento y de reclamación, como hashes lentos, de un solo uso, con pocos intentos y caducidad breve; los identificadores de sesión, solo como huellas.
• Admitimos llaves de acceso y apps de autenticación; para editar una ficha de gimnasio se exige un segundo factor (una segunda llave de acceso o una app de autenticación).
• La administración de GymAI solo es accesible con una llave de acceso.
• En nuestras bases de datos no se guarda ninguna dirección IP ni huella de dispositivo.
• Los datos sellados de la app se cifran con una clave que solo tienes tú.
• Cada cambio en la seguridad de tu cuenta se te comunica por correo.
• Las bases de datos están fuera del espacio web público.

Ningún sistema es perfectamente seguro. Si una brecha supone un riesgo alto para tus derechos, te lo diremos sin dilación indebida, y lo notificaremos a la AEPD en 72 horas cuando la ley lo exija.

11. Cookies y tecnologías similares

Usamos solo cookies estrictamente necesarias para un servicio que has pedido:

Solo se crean después de que inicies sesión, son de nuestro propio sitio y contienen un identificador imposible de adivinar, no tus datos. Según el artículo 22.2 de la Ley 34/2002 (LSSI) no necesitan consentimiento, y por eso no mostramos un aviso (banner) de cookies. No usamos cookies de analítica, de publicidad ni de terceros. Si eso cambiara alguna vez, te pediríamos el consentimiento antes de instalar cualquiera de ellas, no después.

La app también guarda tus datos en el almacenamiento propio de tu navegador para funcionar sin conexión; se quedan en tu dispositivo y se borran al cerrar la sesión.

12. Tus derechos

Tienes derecho a:

• acceder a tus datos y recibir una copia;
• rectificar los datos inexactos;
• suprimirlos («derecho al olvido»);
• limitar su uso;
• oponerte al tratamiento basado en nuestros intereses legítimos, incluida la publicación de una ficha de gimnasio que te identifique (apartado 4.3);
• la portabilidad: recibir los datos que nos diste en un formato estructurado y legible por máquina;
• retirar tu consentimiento en cualquier momento, sin que afecte al tratamiento anterior;
• no ser objeto de decisiones basadas únicamente en un tratamiento automatizado; no tomamos ninguna.

Buena parte puedes hacerlo tú mismo, desde tu cuenta o desde la app (por ejemplo, cerrar o eliminar tu cuenta, o descargar una copia de los datos de la app). Para todo lo demás, escribe a j.conti@joseconti.com desde la dirección vinculada a tu cuenta, indicando qué derecho quieres ejercer. Si no podemos confirmar que eres tú, podremos pedirte algo que lo acredite, nunca más de lo necesario. Es gratuito, y respondemos en un mes (ampliable en dos meses más para solicitudes complejas; en ese caso te explicaremos el motivo dentro del primer mes).

Los padres, madres y tutores ejercen estos derechos en nombre de los menores de 14 años.

Si crees que no hemos respetado tus derechos, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es, sede electrónica sede.aepd.gob.es) o ante la autoridad del país en el que vives o trabajas. Nos gustaría tener antes la oportunidad de solucionarlo, pero es tu derecho en cualquier caso.

13. Datos que nos das sobre otras personas

Si añades un gimnasio, describe solo el negocio, nunca a una persona. No incluyas datos personales de nadie en ningún campo ni fotografía.

14. ¿Es obligatorio darnos tus datos?

Los datos marcados como obligatorios al crear una cuenta o al pagar son necesarios para prestar ese servicio; sin ellos no podemos abrir la cuenta ni cobrar. Todo lo demás es opcional, y no darlo no te cuesta nada, salvo la función a la que sirve.

15. Decisiones automatizadas y elaboración de perfiles

No tomamos decisiones sobre ti basadas únicamente en un tratamiento automatizado, ni elaboramos perfiles tuyos con fines comerciales. La app calcula tu próxima sesión de entrenamiento a partir de tu propio historial: es el servicio que has pedido, no produce efectos jurídicos ni te afecta significativamente de modo similar, y siempre puedes cambiarla.

16. Cambios en esta política

Cuando cambiemos esta política, actualizaremos la fecha del principio. Si el cambio es importante —un nuevo tipo de tratamiento, un nuevo destinatario, un plazo de conservación más largo o una nueva finalidad—, te lo diremos por correo o en tu cuenta al menos 30 días antes de que se aplique y, cuando el tratamiento dependa de tu consentimiento, te lo volveremos a pedir. Abrir un servicio ya descrito aquí no es un cambio de esta política.

17. Servicios abiertos hoy

La lista de servicios de GymAI que están abiertos, y la fecha en que abrió cada uno, está en gymai.coach/legal/servicios.