1. Responsable del tratamiento
Francisco Parra Quesada, trabajador autónomo, NIF 23264053J, con domicilio en Calle Cádiz 10, 04640 Pulpí, Almería, España (en adelante, «Gymnio»).
Contacto para cualquier cuestión de privacidad: hello@gymnio.eu.
2. A quién se aplica esta política
Esta política se aplica a las personas que visitan la web, solicitan información, contratan Gymnio para su actividad profesional o utilizan la plataforma como representantes o personal autorizado de un gimnasio o de un entrenador.
Gymnio no está dirigido a consumidores para su uso personal o doméstico. Los socios de los centros pueden utilizar las funciones que su gimnasio o entrenador ponga a su disposición, pero el responsable de sus datos dentro de la plataforma será ese gimnasio o entrenador.
3. Datos que tratamos
- Identificación y contacto: nombre, correo electrónico, teléfono y datos de la persona o negocio.
- Contratación y facturación: plan, número de socios activos, dirección fiscal, NIF, facturas, cobros y estado de los pagos.
- Firma del acuerdo de encargo: cuando la persona que representa a un centro firma electrónicamente el acuerdo de encargo del tratamiento, guardamos su nombre y cargo, la fecha y hora, la versión del documento firmado, su dirección IP y el navegador desde el que firmó.
- Comunicaciones: consultas, solicitudes de alta, incidencias, soporte y preferencias comerciales.
- Solicitudes de demostración: la dirección de correo que nos facilitas para que te enviemos una muestra de cómo la plataforma remite las facturas a una asesoría, junto con la fecha y el número de veces que la has solicitado.
- Uso de la web: información técnica, navegador, dispositivo y datos de navegación obtenidos mediante Google Analytics únicamente con consentimiento.
Gymnio no almacena los datos completos de tarjetas bancarias. Cuando se utiliza Stripe, esos datos se introducen y procesan en la infraestructura de Stripe.
4. Finalidades, bases jurídicas y conservación
Puedes darte de baja de las comunicaciones comerciales desde el enlace incluido en cada mensaje o escribiendo a hello@gymnio.eu.
5. Destinatarios y proveedores
No vendemos datos personales. Podrán acceder a ellos los proveedores necesarios para operar Gymnio, bajo el correspondiente contrato y siguiendo nuestras instrucciones: alojamiento e infraestructura tecnológica, correo y soporte, analítica y pagos. En particular:
- Stripe, para procesar pagos y prevenir fraude. Consulta su política de privacidad.
- Supabase, Inc., para la base de datos, la autenticación y el almacenamiento de archivos. Los datos se alojan en la Unión Europea (Fráncfort). Consulta su política de privacidad.
- OVH Hispano, S.L.U., que aloja el servidor donde se publica la aplicación web. El servidor está en la Unión Europea (Fráncfort, Alemania). Consulta su política de privacidad.
- Cloudflare, Inc., que gestiona el sistema de nombres (DNS) del dominio y mantiene una copia de respaldo de la aplicación web. Consulta su política de privacidad.
- Resend (Plus Five Five, Inc., Estados Unidos), para el envío de los correos de la plataforma: avisos, facturas remitidas a la asesoría y la demostración que solicites desde la web. Consulta su política de privacidad.
- Google Analytics, únicamente si aceptas las cookies analíticas. Consulta la política de privacidad de Google.
También podremos comunicar información a administraciones, juzgados y autoridades cuando exista una obligación legal.
6. Transferencias internacionales
Algunos proveedores pueden tratar datos fuera del Espacio Económico Europeo. Cuando ocurra, Gymnio exigirá un mecanismo válido conforme al RGPD, como una decisión de adecuación —incluido el Marco de Privacidad de Datos UE–EE. UU. cuando resulte aplicable— o cláusulas contractuales tipo y garantías adicionales.
7. Datos de los socios: Gymnio como encargado
El gimnasio o entrenador decide para qué y cómo utiliza los datos de sus socios y actúa como responsable del tratamiento. Gymnio trata por cuenta de ese profesional los datos necesarios para prestar el servicio y actúa como encargado del tratamiento.
La plataforma puede alojar datos de identificación y contacto, plan y estado de alta, reservas y asistencia, rutinas, progreso y formaciones, publicaciones en la comunidad, facturas y cobros y, si el centro activa el módulo, el control de accesos.
Esta relación se rige por el acuerdo de encargo del tratamiento, que cumple el artículo 28 del RGPD, forma parte de los términos y condiciones y se acepta al contratar. Ahí figuran las categorías de datos, las medidas de seguridad y la lista de subencargados.
El cliente profesional debe informar a sus socios, contar con una base jurídica válida, atender sus derechos y adoptar cautelas específicas si trata datos de menores o información especialmente protegida.
8. Control de accesos a las instalaciones
Si el gimnasio activa el módulo de accesos, sus socios abren el torno o la puerta con un código QR de un solo uso que caduca a los pocos minutos y que la plataforma vuelve a generar cada vez. La lectura deja constancia de la fecha y la hora, de si se permitió el paso, del motivo cuando se deniega y del lector utilizado.
El responsable de ese tratamiento es el gimnasio, no Gymnio. Es el gimnasio quien decide instalarlo, quien debe informar a sus socios —por ejemplo en el contrato de alta y con un cartel visible en el acceso— y quien determina su base jurídica, que normalmente será la ejecución del contrato de abono, ya que verificar que quien entra tiene derecho a entrar forma parte de lo que el socio contrata.
El sistema no utiliza datos biométricos. No hay huella, ni reconocimiento facial, ni ninguna otra medición del cuerpo: solo un código que la plataforma emite y verifica. Esta decisión de diseño evita el tratamiento de categorías especiales del artículo 9 del RGPD y los requisitos reforzados que la Agencia Española de Protección de Datos exige a los sistemas biométricos de control de presencia.
Decisión automatizada. La apertura se decide de forma automática comprobando si el socio está activo y si su plan le da derecho a pasar en ese momento. Cuando resulta necesaria para ejecutar el contrato, esta decisión se ampara en el artículo 22.2.a del RGPD. En todo caso el personal del centro puede abrir manualmente, de modo que siempre hay intervención humana disponible: si crees que se te ha denegado el paso por error, pídeselo al personal y dirígete al gimnasio.
Conservación. El registro de accesos se suprime automáticamente a los doce meses. Las credenciales caducadas se borran a los dos días.
Si el torno también lo usa el personal del centro, el gimnasio debe tener en cuenta que registrar entradas y salidas de trabajadores se rige además por la normativa laboral de registro de jornada y por sus propias garantías; Gymnio no ofrece el módulo como sistema de control horario laboral.
9. Tus derechos
Puedes solicitar acceso, rectificación, supresión, oposición, limitación y portabilidad, así como retirar el consentimiento sin afectar a la licitud del tratamiento anterior. Escribe a hello@gymnio.eu indicando el derecho que deseas ejercer. Podremos pedir información razonable para verificar tu identidad.
Si consideras que tus datos no se han tratado correctamente, puedes reclamar ante la Agencia Española de Protección de Datos.
10. Seguridad y cambios
Aplicamos medidas técnicas y organizativas proporcionadas al riesgo para proteger los datos frente a pérdida, acceso no autorizado o alteración. Ningún sistema es absolutamente invulnerable.
Podremos actualizar esta política cuando cambie el servicio o la normativa. Publicaremos la versión vigente en esta página y, si el cambio es relevante, lo comunicaremos por un medio adecuado.