Política de Privacidad de Trainody

1. Introducción

La presente Política de Privacidad describe cómo Trainody recopila, utiliza, conserva y protege los datos personales de los usuarios de la plataforma de software como servicio (SaaS) dedicada a entrenadores personales y sus clientes, accesible a través del sitio trainody.com, la aplicación web app.trainody.com y la app móvil para clientes.

El tratamiento de los datos personales se realiza de conformidad con el Reglamento (UE) 2016/679 ("RGPD") y el Decreto Legislativo italiano 196/2003, modificado por el Decreto Legislativo 101/2018 ("Código de Privacidad italiano").

2. Responsable del tratamiento

El responsable del tratamiento es Trainody. Para cualquier cuestión relacionada con la privacidad puedes contactarnos en: info@trainody.com.

3. Roles del tratamiento: Trainody y los Entrenadores Personales

La plataforma es utilizada por entrenadores personales para gestionar a sus clientes. Por ello es importante distinguir dos roles:

• Trainody como responsable: para los datos de las cuentas (registro, facturación, registros técnicos, datos de uso de la plataforma), Trainody actúa como responsable del tratamiento.
• Trainody como encargado: para los datos de los clientes finales introducidos por los entrenadores personales (datos personales, anamnesis, mediciones, rutinas de entrenamiento, progresos, mensajes), el entrenador personal actúa como responsable del tratamiento independiente y Trainody como encargado del tratamiento conforme al art. 28 RGPD, tratando dichos datos exclusivamente para prestar el servicio y según las instrucciones del entrenador.

El entrenador personal es responsable de disponer de una base jurídica adecuada (p. ej. el consentimiento explícito para los datos relativos a la salud) respecto de los datos de sus clientes que sube a la plataforma.

4. Datos que recopilamos

4.1 Datos proporcionados por el usuario

• Datos de registro: nombre, apellidos, dirección de email, contraseña (almacenada de forma cifrada)
• Información profesional del entrenador personal (p. ej. nombre de la actividad, gimnasio/estudio)
• Datos de contacto y personales de los clientes introducidos por el entrenador
• Rutinas y planes de entrenamiento, notas, vídeos y materiales subidos
• Mediciones físicas, progresos y objetivos de fitness
• Información de anamnesis y documentación relevante para la actividad física, que puede incluir datos relativos a la salud (categoría especial de datos según el art. 9 RGPD), tratados solo con una base jurídica adecuada
• Contenido de las comunicaciones en el chat entrenador-cliente

4.2 Datos de pago

Los pagos de las suscripciones son gestionados por el proveedor Stripe. Trainody no almacena los datos completos de las tarjetas de pago: recibe de Stripe únicamente la información necesaria para gestionar la suscripción (resultado del pago, últimos dígitos de la tarjeta, estado de la suscripción).

4.3 Datos recopilados automáticamente

• Registros de acceso y de sistema
• Dirección IP y país de procedencia (utilizado también para proponer el idioma del sitio)
• Información del dispositivo y del navegador
• Cookies técnicas necesarias para el funcionamiento de la plataforma (véase la sección 11)
• Datos agregados de uso y rendimiento del sitio (analítica sin cookies, véase la sección 11)

5. Finalidades y bases jurídicas del tratamiento

• Prestación del servicio (creación y gestión de la cuenta, funcionalidades de la plataforma, comunicación entrenador-cliente, app móvil) — base jurídica: ejecución del contrato (art. 6.1.b RGPD)
• Gestión de pagos y facturación — base jurídica: ejecución del contrato y cumplimiento de obligaciones legales (arts. 6.1.b y 6.1.c RGPD)
• Tratamiento de datos relativos a la salud (anamnesis, condiciones relevantes para el entrenamiento) — base jurídica: consentimiento explícito del interesado (art. 9.2.a RGPD), recabado por el entrenador personal en calidad de responsable
• Seguridad de la plataforma (prevención de accesos no autorizados, abusos y fraudes) — base jurídica: interés legítimo (art. 6.1.f RGPD)
• Mejora del servicio mediante estadísticas agregadas de uso — base jurídica: interés legítimo (art. 6.1.f RGPD)
• Comunicaciones de servicio (avisos técnicos, cambios en los términos, alertas de seguridad) — base jurídica: ejecución del contrato e interés legítimo
• Cumplimiento de obligaciones legales (fiscales, contables, requerimientos de las autoridades) — base jurídica: obligación legal (art. 6.1.c RGPD)

La aportación de los datos necesarios para la prestación del servicio es un requisito para el uso de la plataforma: sin ellos no es posible prestar el servicio.

6. Destinatarios de los datos

Los datos pueden comunicarse a las siguientes categorías de destinatarios, designados cuando sea necesario como encargados del tratamiento conforme al art. 28 RGPD:

• Supabase — base de datos, autenticación y almacenamiento de los datos de la plataforma
• Vercel — alojamiento del sitio y de la aplicación web, estadísticas agregadas de uso y rendimiento
• Stripe — procesamiento de pagos y gestión de suscripciones
• Resend — envío de emails transaccionales y de servicio
• Entrenadores personales y sus respectivos clientes, dentro de los límites de su relación profesional
• Asesores y proveedores (p. ej. fiscales, legales) dentro de los límites de las finalidades indicadas
• Autoridades competentes, cuando lo exija la ley

Los datos personales no se venden ni se ceden a terceros con fines de marketing.

7. Transferencias de datos fuera de la UE

Los datos se almacenan principalmente en servidores ubicados en la Unión Europea. Algunos de los proveedores indicados tienen su sede en Estados Unidos o pueden tratar datos fuera de la UE: en tales casos la transferencia se realiza sobre la base de una decisión de adecuación de la Comisión Europea (incluido el EU-U.S. Data Privacy Framework, cuando sea aplicable) o de las Cláusulas Contractuales Tipo (SCC), con garantías adicionales cuando sea necesario.

8. Conservación de los datos

Los datos personales se conservan durante los siguientes períodos:

• Datos de la cuenta y contenidos de la plataforma: durante la relación contractual
• Datos de facturación y documentos fiscales: 10 años, en cumplimiento de las obligaciones legales
• Registros técnicos y de seguridad: hasta 12 meses, salvo necesidad de investigar actividades ilícitas
• Datos residuales no esenciales: un máximo de 24 meses desde la finalización del servicio

Al vencer estos plazos, los datos se eliminan o se anonimizan. Al cerrar la cuenta, los datos de los clientes introducidos por el entrenador se eliminan o se devuelven según las instrucciones del propio entrenador, sin perjuicio de las obligaciones legales de conservación.

9. Derechos del interesado

Conforme a los arts. 15-22 RGPD, el interesado tiene derecho a:

• Acceder a sus datos y obtener copia de ellos
• Rectificar los datos inexactos o incompletos
• Obtener la supresión de sus datos ("derecho al olvido")
• Limitar el tratamiento
• Recibir sus datos en un formato estructurado y de uso común (portabilidad)
• Oponerse al tratamiento basado en el interés legítimo
• Retirar el consentimiento en cualquier momento, sin afectar a la licitud del tratamiento anterior
• Presentar una reclamación ante la autoridad italiana de protección de datos (www.garanteprivacy.it) o ante su autoridad de control local

Las solicitudes pueden enviarse a info@trainody.com. Responderemos en un plazo de 30 días. Para los datos introducidos por su entrenador personal, el cliente también puede dirigirse directamente al entrenador, en su calidad de responsable del tratamiento.

10. Seguridad de los datos

Adoptamos medidas de seguridad técnicas y organizativas adecuadas al riesgo, entre ellas:

• Cifrado de los datos en tránsito (TLS/HTTPS) y en reposo
• Almacenamiento de las contraseñas de forma cifrada (hashing)
• Control de accesos y principio de minimización
• Copias de seguridad periódicas
• Monitorización y procedimientos de gestión de violaciones de seguridad (data breach), con notificación a la autoridad de control y a los interesados en los casos previstos por los arts. 33-34 RGPD

11. Cookies y tecnologías similares

El sitio utiliza exclusivamente cookies técnicas, para las que no se requiere consentimiento:

• NEXT_LOCALE — almacena el idioma elegido por el usuario (duración: 12 meses)
• Cookies de sesión necesarias para la autenticación en el área reservada (app.trainody.com)

Las estadísticas de uso y rendimiento del sitio se recopilan mediante Vercel Analytics y Speed Insights, herramientas que no utilizan cookies y no rastrean al usuario entre sitios distintos: los datos recopilados son agregados y anónimos. No utilizamos cookies de perfilado ni herramientas de marketing de terceros.

12. Menores de edad

El servicio no está destinado a usuarios menores de 16 años. No recopilamos conscientemente datos de menores sin el consentimiento de los padres o del tutor legal. El entrenador personal que desee entrenar a un cliente menor de edad debe obtener el consentimiento de quien ejerza la patria potestad.

13. Cambios en la Política de Privacidad

Podemos actualizar la presente Política de Privacidad para reflejar cambios normativos o del servicio. Los cambios sustanciales se comunicarán por email o mediante aviso en la plataforma con antelación razonable. La fecha de la última modificación se indica al inicio del documento.

14. Contacto

Para ejercer tus derechos o para cualquier pregunta sobre esta Política de Privacidad:

• Email: info@trainody.com
• Instagram: @trainody.app