Política de privacidad

Responsable del tratamiento

De conformidad con el Reglamento (UE) 2016/679 General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), le informamos de que los datos personales recogidos a través de este sitio web serán tratados por:

• Responsable: Álvaro Garray Molina
• NIF: 47980663H
• Domicilio: Av. Valencia, 32 — 25001 Lleida (España)
• Email de contacto: hola@gymgest.es
• Sitio web: https://gymgest.es

Finalidades del tratamiento

Sus datos personales serán tratados con las siguientes finalidades y bases legales:

Registro y gestión de cuenta

Finalidad	Crear y gestionar su cuenta de usuario en GymGest, permitiendo el acceso a los servicios de la plataforma.
Base legal	Ejecución de un contrato de prestación de servicios (art. 6.1.b RGPD).
Datos recogidos	Nombre del negocio, email, contraseña (almacenada con hash bcrypt).
Plazo de conservación	Mientras la cuenta permanezca activa. Tras confirmar la baja, la cuenta se desactiva y sus datos asociados se eliminan a los 30 días. Los justificantes de la relación y facturación entre GymGest y el titular se conservan durante los plazos fiscales y mercantiles aplicables.

Generación de presupuestos y facturas

Finalidad	Generar presupuestos y facturas profesionales a partir de los datos introducidos por el usuario, mediante inteligencia artificial.
Base legal	Ejecución del contrato de servicio (art. 6.1.b RGPD).
Datos recogidos	Datos del negocio (servicios, precios, condiciones), datos de clientes del usuario (nombre, email, teléfono, NIF, dirección), datos de los presupuestos y facturas (partidas, importes, IVA).
Plazo de conservación	Mientras dure la relación contractual y conforme a las instrucciones del centro, que puede exportarlos en cualquier momento. Al confirmar la baja se concede un plazo de 30 días para su exportación y después se eliminan; corresponde al centro conservar su documentación fiscal y mercantil durante los plazos legales aplicables.

Procesamiento mediante inteligencia artificial

Finalidad	Procesar las instrucciones del usuario y generar presupuestos personalizados utilizando modelos de inteligencia artificial de Anthropic.
Base legal	Ejecución del contrato (art. 6.1.b RGPD). El procesamiento mediante IA es parte esencial del servicio contratado.
Datos procesados	Descripción de los servicios, datos del perfil del negocio y datos del cliente final necesarios para generar el presupuesto. Estos datos se envían a la API de Anthropic exclusivamente para la generación del documento solicitado.
Garantías	Anthropic actúa como encargado del tratamiento. Los datos enviados mediante la API no se utilizan para entrenar modelos generativos y se eliminan en un máximo de 30 días desde su recepción o generación, salvo acuerdo distinto o las excepciones necesarias para aplicar sus políticas o cumplir la ley.

Uso de inteligencia artificial y procesamiento de datos

GymGest integra tecnología de inteligencia artificial proporcionada por Anthropic PBC ("Anthropic"), con sede en San Francisco, California (EE.UU.), para ofrecer funcionalidades como la generación de presupuestos, facturas y asistencia comercial mediante lenguaje natural.

Datos tratados mediante IA

Para que el asistente de inteligencia artificial pueda generar documentos y responder consultas de forma contextualizada, se envían a los servidores de Anthropic los siguientes datos del usuario y de sus clientes:

• Datos identificativos: nombre o razón social, NIF/CIF, dirección, email y teléfono del usuario y de los clientes registrados en su cuenta.
• Datos comerciales: catálogo de productos y servicios con precios, resumen de los últimos presupuestos y facturas emitidos, estado de cobros y estadísticas de negocio.
• Datos fiscales: perfil del negocio, tipo de IVA y condiciones comerciales configuradas.

Estos datos se transmiten de forma cifrada (TLS 1.2 o superior) y se utilizan para generar la respuesta solicitada. Anthropic no los utiliza para entrenar modelos generativos y, en el servicio API estándar, elimina entradas y salidas de sus sistemas en un máximo de 30 días desde su recepción o generación, salvo las excepciones necesarias para aplicar sus políticas o cumplir la ley.

Carácter no autónomo del tratamiento

El asistente de IA opera en modo de solo lectura y no puede modificar, crear ni eliminar datos por sí mismo. Toda propuesta generada por la IA (presupuestos, facturas, albaranes) es presentada al usuario para su revisión y confirmación expresa antes de ser guardada en el sistema.

Datos de socios de los centros (GymGest como encargado del tratamiento)

Cuando un gimnasio, box, estudio o centro deportivo utiliza GymGest para gestionar a sus socios, leads y empleados, el responsable del tratamiento de esos datos es el propio centro, y GymGest actúa únicamente como encargado del tratamiento (Art. 28 RGPD), siguiendo sus instrucciones. Las condiciones de ese encargo (objeto, categorías de datos, sub-encargados, seguridad, brechas y destino de los datos) están publicadas en el Contrato de encargo del tratamiento, que cada centro acepta electrónicamente al crear su cuenta.

En consecuencia:

• Si eres socio o usuario de un centro que utiliza GymGest, debes ejercer tus derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad ante tu centro, que es quien decide sobre tus datos. Desde el portal del socio puedes descargar tus datos y solicitar su eliminación; tu centro recibe la solicitud y la atiende.
• GymGest asiste al centro en la atención de esas solicitudes con las herramientas de la plataforma y, si recibimos directamente una solicitud de un socio, la trasladaremos a su centro sin dilación.
• Los datos de los socios se alojan en servidores de la UE (Hostinger) y no se utilizan para ningún fin propio de GymGest, ni se ceden a terceros salvo a los sub-encargados autorizados en el contrato de encargo.

Asistente de IA y datos de socios. Si el centro utiliza el asistente de inteligencia artificial del panel, Anthropic PBC actúa como sub-encargado. Para responder a las preguntas del centro se le envían, cifrados, los datos de contexto necesarios: perfil del negocio y, como máximo, nombre, email, teléfono, NIF, dirección y notas internas de hasta 200 socios, además de resúmenes de cuotas, clases y facturación. Anthropic no utiliza estos datos para entrenar modelos generativos y aplica a la API estándar el plazo máximo de 30 días indicado anteriormente, con sus excepciones. El centro puede desactivar el módulo de IA desde Ajustes.

Menores de 14 años. Los centros pueden dar de alta a socios menores de 14 años únicamente con el consentimiento de su padre, madre o tutor legal (art. 8 RGPD y art. 7 LOPDGDD), que es quien lo presta en su nombre. Para acreditarlo, GymGest trata los datos identificativos y de contacto del tutor legal (nombre, DNI/NIE, teléfono y relación con el menor) junto con la fecha, la dirección IP y la versión de los documentos con que se prestó el consentimiento. Estos datos se tratan con la única finalidad de acreditar ese consentimiento y poder contactar con el tutor si es necesario. GymGest no está diseñado para tratar datos de salud; el contrato de encargo obliga a los centros a no introducirlos.

Envío de presupuestos y facturas por email

Finalidad	Enviar presupuestos y facturas a los clientes del usuario por correo electrónico, cuando el usuario lo solicite expresamente.
Base legal	Consentimiento del usuario que inicia el envío (art. 6.1.a RGPD) e interés legítimo en la prestación del servicio (art. 6.1.f RGPD).
Datos procesados	Email del cliente destinatario, nombre, datos del presupuesto o factura.

Solicitud de contratación de plan

Finalidad	Gestionar las solicitudes de contratación de planes de pago recibidas a través de los formularios de contratación.
Base legal	Medidas precontractuales a solicitud del interesado (art. 6.1.b RGPD).
Datos recogidos	Nombre, email, teléfono (opcional), plan seleccionado, mensaje.

Destinatarios de los datos

Los datos personales no serán cedidos a terceros, salvo obligación legal. No obstante, para la correcta prestación de los servicios, sus datos podrán ser comunicados a los siguientes encargados del tratamiento:

• Proveedor de hosting: Hostinger International Ltd. — para el alojamiento del sitio web y bases de datos. Servidores ubicados en la UE (Países Bajos / Lituania).
• Proveedor de inteligencia artificial: Anthropic PBC — para el procesamiento de las instrucciones del usuario y la generación de presupuestos. Los datos se envían a la API de forma cifrada y no se retienen para entrenamiento de modelos.
• Proveedor de pagos: Stripe Payments Europe, Ltd. — para el procesamiento de los pagos de suscripción a los planes de GymGest.
• Proveedor de remisión VeriFactu: verifactuapi.es — colaborador social de la AEAT, para la remisión de los registros de facturación a la Agencia Tributaria conforme al RD 1007/2023 (VeriFactu).

Encargados del tratamiento

GymGest puede compartir datos personales con los siguientes encargados del tratamiento, que actúan bajo nuestras instrucciones documentadas y con las garantías exigidas por el RGPD:

Encargado	Finalidad	Ubicación	Garantías
Anthropic PBC	Procesamiento de IA para generación de documentos y asistencia comercial	EE.UU.	DPA con SCCs (Módulo 2), cifrado AES-256/TLS 1.2+, sin retención de datos para entrenamiento
Hostinger International Ltd.	Alojamiento web y base de datos	UE (Lituania)	Servidores en la UE, cumplimiento RGPD
Stripe Payments Europe, Ltd.	Procesamiento de los pagos de suscripción	UE (Irlanda), con posible tratamiento por Stripe, Inc. (EE.UU.)	DPA con SCCs, certificación PCI-DSS nivel 1, cifrado TLS
verifactuapi.es	Remisión de los registros de facturación a la AEAT (VeriFactu, RD 1007/2023)	España (UE)	Colaborador social de la AEAT, contrato de encargo de tratamiento, cifrado TLS

Transferencias internacionales de datos

Algunos de los proveedores mencionados pueden encontrarse fuera del Espacio Económico Europeo (EEE). En tales casos, las transferencias se realizan con las garantías adecuadas conforme al RGPD:

Proveedor	Ubicación	Garantía
Hostinger	UE (Países Bajos / Lituania)	Servidores en la UE. No se realizan transferencias fuera del EEE.
Anthropic (API de IA)	EE.UU.	Cláusulas Contractuales Tipo (SCC) incorporadas al DPA suscrito con Anthropic.
Stripe (procesamiento de pagos)	UE (Irlanda) / EE.UU.	Cláusulas Contractuales Tipo (SCC) incorporadas al DPA de Stripe para los tratamientos efectuados por Stripe, Inc.
Google Fonts	EE.UU.	Carga de tipografías. Google declara que no recoge datos personales a través de este servicio.

Para la prestación del servicio de inteligencia artificial, se realizan transferencias de datos personales a Anthropic PBC, entidad ubicada en Estados Unidos. Estas transferencias se amparan en las Cláusulas Contractuales Tipo (Standard Contractual Clauses — SCCs) aprobadas por la Comisión Europea en la Decisión de Ejecución (UE) 2021/914, Módulo 2 (responsable a encargado), incorporadas al Acuerdo de Procesamiento de Datos (DPA) suscrito con Anthropic.

Anthropic aplica las siguientes medidas de seguridad adicionales:

• Cifrado de datos en reposo mediante AES-256.
• Cifrado de datos en tránsito mediante TLS 1.2 o superior.
• Controles de acceso basados en el principio de mínimo privilegio y autenticación multifactor.
• Eliminación de entradas y salidas de la API estándar en un máximo de 30 días desde su recepción o generación, salvo acuerdo distinto o conservación necesaria para aplicar las políticas de uso o cumplir la ley.
• Los datos enviados a la API no se utilizan para entrenar ni mejorar modelos de inteligencia artificial.

El usuario puede obtener más información sobre las garantías aplicables contactando con nosotros en hola@gymgest.es.

Derechos del interesado

De acuerdo con el RGPD y la LOPDGDD, usted puede ejercer los siguientes derechos:

• Derecho de acceso: conocer qué datos personales suyos estamos tratando.
• Derecho de rectificación: solicitar la corrección de datos inexactos o incompletos.
• Derecho de supresión ("derecho al olvido"): solicitar la eliminación de sus datos cuando ya no sean necesarios.
• Derecho de oposición: oponerse al tratamiento de sus datos en determinadas circunstancias.
• Derecho a la portabilidad: recibir sus datos en un formato estructurado y de uso común.
• Derecho a la limitación del tratamiento: solicitar que se limite el tratamiento de sus datos en los supuestos previstos.
• Derecho de oposición al tratamiento automatizado: el usuario tiene derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado de sus datos que produzca efectos jurídicos o le afecte significativamente. En GymGest, la inteligencia artificial actúa como herramienta de asistencia, pero toda decisión final (generación de documentos, envío de facturas, aceptación de presupuestos) requiere la confirmación expresa del usuario. No se toman decisiones automatizadas sin intervención humana.

Cómo ejercer sus derechos

Para ejercer cualquiera de estos derechos, puede dirigirse a:

• Email: hola@gymgest.es
• Dirección postal: Av. Valencia, 32 — Lleida

La solicitud será atendida en el plazo de un mes, ampliable otros dos meses en casos complejos conforme al artículo 12.3 RGPD. Solo solicitaremos información adicional para verificar la identidad cuando existan dudas razonables; evita enviar documentación identificativa si no te la pedimos.

Reclamación ante la autoridad de control

Si considera que el tratamiento de sus datos vulnera la normativa vigente, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD):

• Web: https://www.aepd.es
• Dirección: C/ Jorge Juan, 6 — 28001 Madrid

Menores de edad

Este sitio web no está dirigido a menores de 14 años y no recogemos deliberadamente datos personales de menores como responsables. Cosa distinta son los socios menores de 14 años que un centro da de alta en su cuenta de GymGest: ahí actuamos como encargados y solo pueden tratarse con el consentimiento de su padre, madre o tutor legal, según se explica en el apartado «Datos de socios de los centros (GymGest como encargado del tratamiento)». Si detectamos que se han recogido datos de un menor sin el consentimiento de su tutor legal, procederemos a eliminarlos lo antes posible.

Medidas de seguridad

Hemos adoptado las medidas técnicas y organizativas necesarias para garantizar la seguridad de los datos personales, incluyendo:

• Comunicación cifrada mediante certificado SSL/TLS.
• Contraseñas almacenadas con hash bcrypt (nunca en texto plano).
• Autenticación mediante tokens con expiración temporal.
• Acceso a datos restringido al usuario propietario de cada cuenta.
• Base de datos alojada en servidores de la UE con acceso protegido.