Política de privacidad

1. Introducción

En GymSmartAccess nos comprometemos a proteger la privacidad y los datos personales de quienes usan la plataforma. Esta política describe qué datos recopilamos, para qué los usamos, dónde los guardamos, con quién los compartimos y cómo puede ejercer sus derechos, conforme la Ley N.° 25.326 de Protección de los Datos Personales de la República Argentina, su Decreto Reglamentario N.° 1558/2001 y las disposiciones de la Agencia de Acceso a la Información Pública (AAIP).

2. Responsable del tratamiento

El responsable del tratamiento de los datos personales es GymSmartAccess, con domicilio en Corrientes, Argentina.

Contacto del responsable de los datos: contacto@gymsmartaccess.com.

3. Datos que recopilamos

3.1 Datos que usted nos da

  • Datos de la cuenta: nombre y apellido, correo electrónico, teléfono, foto de perfil y contraseña. La contraseña se guarda transformada por un algoritmo de una sola vía: nadie, tampoco nosotros, puede leerla.
  • Datos del gimnasio: nombre, sedes con sus direcciones, planes y precios, el equipo con sus roles y lo que el gimnasio publica en su página.
  • Datos de facturación: el plan contratado, los importes, las fechas y el estado de cada pago. Los datos de su tarjeta los toma Mercado Pago en su propia página: nunca pasan por nuestros servidores.

3.2 Datos que se generan al usar la plataforma

  • Registros de acceso: cada vez que alguien entra a una sede guardamos la fecha y la hora, la sede, cómo entró (con el código QR de la sede, con su código de 6 cifras o registrado en el mostrador), si pudo pasar y, si no, el motivo, y quién del equipo lo registró cuando corresponde.
  • Registros de cambios: qué se cambió en la ficha de un socio, quién lo cambió y cuándo.
  • Datos técnicos: su dirección IP se usa en el momento para limitar los intentos de inicio de sesión y de envío de formularios, y para mostrarle los precios en la moneda de su país (si es de Argentina, según el registro de direcciones de LACNIC), y no la guardamos. Cuando algo falla, enviamos un reporte del error sin su nombre, su correo ni lo que escribió.

3.3 Datos de los socios de un gimnasio

Los gimnasios que usan la plataforma cargan los datos de sus socios: nombre y apellido, correo, teléfono, tipo y número de documento, fecha de nacimiento, dirección, un contacto de emergencia, foto, la declaración de aptitud física y su vencimiento, notas, el plan, los pagos y los accesos. En ese caso el gimnasio es el responsable del tratamiento de los datos de sus socios, y GymSmartAccess actúa como encargado del tratamiento por cuenta del gimnasio, conforme el artículo 25 de la Ley 25.326: los usamos sólo para prestarle el servicio al gimnasio. Si usted es socio y quiere consultar, corregir o eliminar sus datos, puede pedírselo a su gimnasio o escribirnos.

4. Los datos de su cuenta de Google (Iniciar sesión con Google)

GymSmartAccess ofrece la opción de registrarse e ingresar con una cuenta de Google mediante «Iniciar sesión con Google». Pueden usarla los dueños de gimnasio y su equipo, para crear su cuenta e ingresar al panel, y los socios, para ingresar a la app del socio. Usar Google es opcional: siempre puede registrarse e ingresar con su correo y una contraseña.

4.1 Qué datos de Google obtenemos

Sólo solicitamos los permisos básicos de identificación (openid, email y profile). Con su autorización, Google nos comparte:

  • Su dirección de correo electrónico y si está verificada
  • Su nombre y apellido
  • Su foto de perfil de Google
  • El identificador único de su cuenta de Google

No accedemos a su contraseña de Google ni a ningún otro servicio o dato de su cuenta: no leemos su Gmail, Google Drive, Google Calendar, contactos ni archivos.

4.2 Cómo usamos esos datos

  • Correo e identificador de Google: para crear su cuenta, identificarlo cada vez que ingresa y vincularlo con su gimnasio o con su plan. También usamos su correo para enviarle comunicaciones del servicio (confirmaciones, avisos de pago y de vencimiento, alertas de seguridad).
  • Nombre: para completar su perfil y mostrarlo dentro de la plataforma.
  • Foto de perfil: la copiamos una vez como la foto de su perfil, si no tiene otra. Si forma parte del equipo de un gimnasio, puede reemplazarla desde su perfil cuando quiera. Si es socio, la copiamos a su ficha en el gimnasio, donde el personal la ve para reconocerlo al entrar; para cambiarla, pídaselo a su gimnasio. Nunca guardamos ni mostramos el enlace de la foto en Google.

Usamos los datos de Google únicamente para brindarle las funciones de GymSmartAccess descriptas. No los usamos para publicidad, no los vendemos, no creamos perfiles publicitarios con ellos y no los usamos para desarrollar, mejorar ni entrenar modelos de inteligencia artificial.

4.3 Cómo los almacenamos y protegemos

Los datos se guardan en nuestra base de datos y en nuestro almacenamiento de archivos, alojados en Railway, en Estados Unidos. Viajan cifrados, y los archivos, como las fotos, se guardan cifrados. Cada gimnasio ve sólo sus propios datos, y cada persona de su equipo sólo lo que corresponde a su rol y a sus sedes. No guardamos tokens de acceso de Google ni los usamos para consultar otros datos de su cuenta.

4.4 Con quién los compartimos

No compartimos con terceros los datos que obtenemos de Google, salvo en estos casos:

  • Su gimnasio: si es socio, el gimnasio en el que se registra (dueño, encargados y recepción) ve su nombre, su correo y su foto para gestionar su plan y sus accesos.
  • Proveedores de infraestructura: Railway (alojamiento, base de datos y archivos) y Hostinger (envío de correos), que procesan los datos por cuenta nuestra y sólo para prestar el servicio.
  • Autoridades competentes: cuando lo exija una orden judicial o una disposición legal aplicable.

Los datos obtenidos de Google no se comparten con herramientas de analítica ni de publicidad.

4.5 Conservación, eliminación y revocación del acceso

Conservamos estos datos mientras su cuenta exista: no se borran solos cuando deja de usar el servicio. Puede pedir que eliminemos su cuenta y sus datos en cualquier momento escribiendo a contacto@gymsmartaccess.com; la solicitud se resuelve dentro de los 10 días corridos. Además, puede revocar el acceso de GymSmartAccess a su cuenta de Google desde myaccount.google.com/permissions. Después de revocarlo, Google le va a volver a pedir la autorización la próxima vez que ingrese con Google. Revocarlo no borra los datos ya guardados: para eso, escríbanos.

4.6 Cumplimiento de la política de Google

El uso y la transferencia a cualquier otra aplicación de la información recibida de las API de Google por parte de GymSmartAccess se ajustarán a la Política de Datos del Usuario de los Servicios de las API de Google, incluidos los requisitos de Uso Limitado.

5. Las consultas que nos escribe desde el sitio

Cuando nos escribe desde Contacto, guardamos su nombre, su correo, el nombre de su gimnasio, su teléfono si lo deja, su mensaje y el idioma de la página. Los usamos para contestarle: le enviamos un correo que confirma que la recibimos, y la leen las personas de nuestro equipo que atienden las consultas. No los usamos para enviarle publicidad, no los compartimos con ningún gimnasio, y los gimnasios no pueden verlos.

Para enviarla tiene que aceptar esta política. Su dirección IP se usa en el momento para limitar los envíos, y no la guardamos. Conservamos la consulta hasta que nos pida eliminarla.

6. Finalidad del tratamiento

Tratamos los datos personales con estas finalidades:

  • Prestar y mantener el servicio contratado
  • Gestionar la cuenta y verificar la identidad de quien ingresa
  • Procesar los pagos y la facturación
  • Controlar el acceso a las sedes de cada gimnasio
  • Enviar las comunicaciones del servicio (avisos de pago, de vencimiento y alertas de seguridad)
  • Contestar las consultas y dar soporte
  • Cumplir las obligaciones legales y tributarias
  • Prevenir el fraude y proteger la seguridad de la plataforma

7. Base legal del tratamiento

El tratamiento de los datos personales se apoya en:

  • El consentimiento del titular: otorgado al registrarse, al enviar una consulta o al aceptar la medición en el aviso de cookies (artículo 5 de la Ley 25.326).
  • La relación contractual: lo necesario para prestar el servicio contratado.
  • Las obligaciones legales: cuando la normativa vigente lo exige.

8. Con quién compartimos los datos

GymSmartAccess no vende, no alquila y no comercializa datos personales. Los compartimos sólo con:

  • Railway: aloja la plataforma, la base de datos y los archivos, en Estados Unidos.
  • Hostinger: envía los correos del servicio. Es HOSTINGER, UAB, una empresa de Lituania, en la Unión Europea.
  • Mercado Pago: procesa los pagos. Recibe el correo de quien paga, el importe y el nombre del gimnasio y del plan, y queda sujeto a su propia política de privacidad.
  • Google: cuando elige ingresar con Google, actúa como proveedor de identidad (ver la sección 4).
  • Sentry: recibe los reportes de errores de la plataforma, sin el nombre, el correo ni lo que escribió la persona que lo encontró.
  • Google Analytics y Meta: sólo en el sitio y en el registro de un gimnasio, y sólo si usted lo acepta, incluidos los avisos que les enviamos desde nuestros servidores (ver la sección 13).
  • Autoridades competentes: cuando lo exija una orden judicial o una disposición legal aplicable en la República Argentina.

9. Almacenamiento y seguridad

Aplicamos medidas técnicas y organizativas para proteger los datos contra el acceso no autorizado, la alteración, la divulgación o la destrucción:

  • Los datos viajan cifrados entre su navegador y nuestros servidores, y entre nuestros servidores
  • Los archivos, como las fotos y las declaraciones de aptitud física, se guardan cifrados
  • La base de datos misma separa a cada gimnasio: un gimnasio no puede ver los datos de otro, y cada persona del equipo ve sólo lo de su rol y sus sedes
  • Las contraseñas se guardan transformadas por un algoritmo de una sola vía, y una cuenta se bloquea por unos minutos después de varios intentos fallidos
  • Las credenciales de Mercado Pago de cada gimnasio se guardan cifradas con AES-256
  • El acceso de nuestro equipo a la plataforma pide un segundo factor
  • Los cambios en las fichas de los socios y las acciones de nuestro equipo quedan registrados

10. Conservación de los datos

Conservamos los datos de esta forma:

  • Datos de la cuenta: mientras la cuenta exista, o hasta que pida su eliminación (sección 11).
  • Datos de los socios: mientras el gimnasio los tenga cargados. Dar de baja a un socio no borra su historia: queda marcado como dado de baja, para que el gimnasio conserve sus pagos y sus accesos.
  • Registros de acceso: mientras el gimnasio use el servicio. Son el registro de quién entró y cuándo, y no se modifican.
  • Datos de facturación: durante los plazos de la legislación tributaria argentina (10 años, según la Ley 11.683).
  • Consultas del sitio y correos enviados: guardamos las consultas y una copia de los correos que le enviamos hasta que pida su eliminación.
  • Identificadores de medición: los de su navegador que aceptó al registrar un gimnasio, hasta el primer pago del gimnasio o durante 90 días como máximo (ver la sección 13).

Cuando pide eliminar sus datos, los anonimizamos dentro de los 10 días corridos: lo que la ley nos obliga a conservar, como la facturación, se conserva sin que se lo pueda identificar.

11. Sus derechos

Conforme la Ley 25.326, todo titular de datos personales tiene derecho a:

  • Acceso: conocer qué datos suyos están registrados en nuestras bases.
  • Rectificación: pedir que se corrijan los datos inexactos o incompletos.
  • Actualización: mantener sus datos al día.
  • Supresión: pedir que se eliminen sus datos cuando ya no sean necesarios para la finalidad para la que se recopilaron.
  • Confidencialidad: exigir que sus datos se traten con reserva.

Para ejercerlos, escríbanos a contacto@gymsmartaccess.com acreditando su identidad. Contestamos el pedido de acceso dentro de los 10 días corridos, como establece el artículo 14 de la Ley 25.326, y los de rectificación, actualización o supresión dentro de los 5 días hábiles, como establece su artículo 16.

La AGENCIA DE ACCESO A LA INFORMACIÓN PÚBLICA, en su carácter de Órgano de Control de la Ley N.° 25.326, tiene la atribución de atender las denuncias y reclamos que interpongan quienes resulten afectados en sus derechos por incumplimiento de las normas vigentes en materia de protección de datos personales.

12. Transferencias internacionales

Los datos se guardan en servidores de Railway en Estados Unidos (Virginia). Los correos los envía HOSTINGER, UAB, una empresa de Lituania, en la Unión Europea; según su política de privacidad, Hostinger y sus afiliadas mantienen los datos en el Reino Unido, los Países Bajos, Lituania o Chipre, y algunos de sus servidores están fuera de la Unión Europea (por ejemplo, en Estados Unidos, Brasil, Singapur e Indonesia), con esas transferencias cubiertas por las cláusulas contractuales tipo de la Comisión Europea. Hacemos estas transferencias bajo las garantías contractuales que corresponden según el artículo 12 de la Ley 25.326.

13. Cookies y tecnologías similares

La plataforma usa las cookies y el almacenamiento del navegador estrictamente necesarios para funcionar:

  • Cookies de sesión: para mantener su sesión abierta, de forma segura.
  • Cookies y almacenamiento de preferencias: para recordar el idioma, el tema visual, la sede que eligió y otras preferencias de la pantalla.

En el sitio público y en el registro de un gimnasio, y sólo si usted lo acepta en el aviso de cookies, usamos herramientas de medición de terceros:

  • Google Analytics: para medir las visitas y entender cómo se usa el sitio.
  • Píxel de Meta y API de Conversiones de Meta: para medir el resultado de nuestros anuncios en Facebook e Instagram.

Estas herramientas no reciben los datos de su cuenta de Google. En el formulario de registro con correo, el píxel de Meta puede leer el correo y el teléfono que escribe, cifrarlos y enviarlos a Meta para medir los anuncios. Dentro del panel del gimnasio y de la app del socio no usamos cookies de terceros. Puede cambiar su elección en cualquier momento desde el aviso de cookies.

Si al registrar un gimnasio usted aceptó la medición o la publicidad, desde nuestros servidores le avisamos a Google Analytics (si aceptó la medición) y a Meta, por su API de Conversiones (si aceptó la publicidad), de tres hechos de ese registro: que el gimnasio se registró, que confirmó su correo y que hizo su primer pago, con su importe y su moneda. Esos avisos llevan un identificador cifrado del gimnasio y los identificadores de su navegador que usted aceptó: el de Google Analytics y, para Meta, sus cookies de Meta, el navegador que usa y su dirección IP. Nunca llevan su correo, su teléfono ni su nombre, ni cifrados. Guardamos esos identificadores hasta el primer pago del gimnasio, o durante 90 días como máximo, y después los borramos.

Para esos tres avisos vale lo que aceptó al registrarse. Si después cambia su elección desde el aviso de cookies, el cambio rige en su navegador desde ese momento, pero nuestros servidores no se enteran: siguen usando lo que aceptó al registrarse hasta que esos identificadores se borran, con el primer pago o a los 90 días. Si quiere que se borren antes, escríbanos (ver la sección 16).

14. Menores de edad

GymSmartAccess no está dirigido a menores de 18 años, y no recopilamos intencionalmente datos de menores. Si un gimnasio registra socios menores de edad, debe contar con el consentimiento de su representante legal, conforme la legislación argentina vigente.

15. Cambios en esta política

Podemos modificar esta política. Le avisaremos de cualquier cambio importante desde la plataforma o por correo, con al menos 15 días de anticipación a su entrada en vigencia. Si un cambio afecta lo que hacemos con los datos de Google, cambiamos esta política antes de usarlos de otra forma.

16. Contacto

Para consultas sobre privacidad y protección de datos personales:

Aviso legal: el titular de los datos personales tiene la facultad de ejercer el derecho de acceso a los mismos en forma gratuita a intervalos no inferiores a seis meses, salvo que se acredite un interés legítimo al efecto conforme lo establecido en el artículo 14, inciso 3 de la Ley N.° 25.326. La AGENCIA DE ACCESO A LA INFORMACIÓN PÚBLICA, Órgano de Control de la Ley N.° 25.326, tiene la atribución de atender las denuncias y reclamos que se interpongan con relación al incumplimiento de las normas sobre protección de datos personales.