Política de Privacidad

1. Responsable del tratamiento

• Responsable: Pedro Serra Comas, profesional autónomo, que opera el servicio Spotfitr
• NIF: 43171443Y
• Domicilio: Carrer Ric 85, 07420 Sa Pobla, Illes Balears, España
• Contacto para privacidad: hola@spotfitr.com

No hemos designado delegado de protección de datos porque nuestra actividad no está entre los supuestos obligatorios del artículo 37 del RGPD ni del artículo 34 de la LOPDGDD.

2. Ámbito y papel de Spotfitr

Spotfitr es una herramienta que usan entrenadores, estudios y centros (los «profesionales») para gestionar sus sesiones y las reservas de sus clientes. Por eso tratamos datos en dos papeles distintos:

• Como responsable tratamos los datos de las personas que visitan spotfitr.com, los datos de cuenta de profesionales y clientes (registro, acceso, seguridad, correos del servicio), la facturación del plan Pro y las comunicaciones que nos envías.
• Como encargado del tratamiento (art. 28 RGPD) tratamos, por cuenta de cada profesional, los datos de sus clientes que el profesional gestiona en Spotfitr: sesiones, reservas, asistencia, listas de espera, créditos o bonos, pagos anotados y notas. En ese caso el responsable es el profesional o centro, y es a él a quien corresponde informar a sus clientes y atender sus derechos; nosotros le ayudamos a hacerlo. Si nos escribes para ejercer un derecho sobre esos datos, trasladaremos tu solicitud al profesional correspondiente.

Cuando el cliente de Spotfitr es una administración o ente público (por ejemplo, un ayuntamiento que gestiona actividades municipales), ese ente es el responsable del tratamiento de los datos de las personas usuarias de sus actividades y Spotfitr actúa como encargado conforme a un contrato de encargo de tratamiento específico. En ese caso, consulta también la información de privacidad del ente público.

3. Qué datos tratamos

• Datos de cuenta: nombre, correo electrónico, contraseña (guardada solo como hash, nunca en claro), idioma, rol (profesional o cliente) y, si la añades, tu foto de perfil. En el caso de los profesionales, también el nombre comercial y el logotipo, si los añaden. Si inicias sesión con Google, guardamos el identificador de tu cuenta de Google y, si no tenías foto, la foto de perfil de Google.
• Datos del servicio: sesiones, reservas, asistencia, cancelaciones, listas de espera, créditos o bonos, límites configurados, la relación entre profesional y cliente y, si el profesional los anota, los pagos que ha recibido de sus clientes (importe, método, fecha y notas).
• Datos de facturación (solo plan Pro): los datos de pago, la dirección de facturación y, si lo indicas, tu NIF los recoge Stripe en su página de pago; nosotros solo guardamos el identificador de cliente de Stripe, el estado de la suscripción y las facturas. No vemos ni guardamos el número completo de tu tarjeta.
• Notificaciones: preferencias de notificación y, si activas las notificaciones push, el identificador técnico de tu navegador o dispositivo (suscripción web push o token de Apple).
• Google Calendar (opcional): si conectas la integración, tokens de acceso de OAuth cifrados. Solo creamos, actualizamos y eliminamos los eventos de Spotfitr en tu calendario (permiso calendar.events); no leemos tus otros eventos.
• Datos técnicos: dirección IP, navegador, dispositivo, fecha y hora de acceso, registros (logs) del servidor y registros de errores.
• Estadísticas de uso del servicio: el servidor registra eventos básicos (registro, inicio de sesión, sesiones y reservas creadas o canceladas, cambios de suscripción) asociados al identificador interno de tu cuenta, con tu rol y tu plan (sin tu nombre ni tu correo).
• Datos analíticos del navegador (solo con tu consentimiento): páginas vistas, uso de funciones y, si lo aceptas de forma separada, grabaciones de sesión con los campos de formulario enmascarados. Si has iniciado sesión, se asocian al identificador interno de tu cuenta, sin tu nombre ni tu correo.
• Comunicaciones: los mensajes que nos envías por correo y sus datos de contacto.

No necesitamos datos de salud. Spotfitr no tiene campos para datos de salud. Pedimos a los profesionales que no introduzcan información de salud de sus clientes en notas o nombres de actividades; si lo hacen, lo harán bajo su responsabilidad como responsables del tratamiento y deberán contar con una base legal adecuada (art. 9 RGPD).

4. Finalidades y bases jurídicas

• Prestar el servicio (crear y gestionar la cuenta, sesiones, reservas, invitaciones, listas de espera y avisos): ejecución del contrato (art. 6.1.b RGPD).
• Enviar correos y avisos del servicio (verificación de correo, recuperación de contraseña, confirmaciones, cambios en reservas): ejecución del contrato (art. 6.1.b).
• Cobrar y facturar el plan Pro: ejecución del contrato (art. 6.1.b) y cumplimiento de obligaciones legales fiscales y contables (art. 6.1.c).
• Seguridad, prevención de abusos y corrección de errores (logs, registros de errores): interés legítimo en mantener el servicio seguro y funcionando (art. 6.1.f).
• Estadísticas de uso del servicio registradas en el servidor: interés legítimo en saber cómo se usa Spotfitr para mantenerlo y mejorarlo (art. 6.1.f). Puedes oponerte escribiendo a hola@spotfitr.com.
• Analítica en el navegador y grabación de sesiones: tu consentimiento (art. 6.1.a RGPD y art. 22.2 LSSI-CE), que puedes retirar cuando quieras desde la configuración de cookies.
• Integración con Google Calendar y notificaciones push: las activas tú de forma voluntaria; las tratamos para prestarte esa función (art. 6.1.b) y puedes desactivarlas en cualquier momento desde los ajustes o tu navegador.
• Atender tus consultas y solicitudes de derechos: interés legítimo y cumplimiento de obligaciones legales (art. 6.1.f y 6.1.c).

No enviamos comunicaciones comerciales. Si en el futuro lo hacemos, te pediremos antes el consentimiento cuando sea necesario (art. 21 LSSI-CE) y podrás darte de baja en cada envío.

No tomamos decisiones automatizadas con efectos jurídicos ni elaboramos perfiles con esos efectos.

5. Dónde se alojan los datos

La aplicación y su base de datos se ejecutan en infraestructura propia del titular ubicada en España. El tráfico entre tu navegador y el servidor pasa cifrado (HTTPS) a través de Cloudflare, que presta la resolución DNS, el túnel de conexión y la protección frente a ataques.

Mantenemos además un servidor de contingencia en DigitalOcean, ubicado en Frankfurt (Alemania), que solo se usa si falla el servidor principal.

6. Proveedores que tratan datos por nuestra cuenta

Solo compartimos datos con proveedores necesarios para prestar el servicio, con los que tenemos (o aceptamos) un contrato de encargo de tratamiento:

• Cloudflare, Inc. (EE. UU., red global): DNS, túnel y protección del tráfico.
• DigitalOcean, LLC (EE. UU.; servidor en Frankfurt, Alemania): servidor de contingencia.
• donDominio (Soluciones Corporativas IP, S.L., España): envío de los correos del servicio y buzón de correo de hola@spotfitr.com.
• Stripe Payments Europe, Ltd. (Irlanda): cobro y gestión de las suscripciones Pro. Stripe actúa además como responsable independiente para sus propias obligaciones (prevención del fraude, normativa financiera).
• Cloudinary (Cloudinary Ltd., Israel, y Cloudinary Inc., EE. UU.): almacenamiento y entrega de las fotos de perfil y los logotipos que subes.
• PostHog (PostHog, Inc., con alojamiento de datos en la UE): estadísticas de uso del servicio y, solo si das tu consentimiento, analítica en el navegador y grabación de sesiones.
• Sentry (Functional Software, Inc., EE. UU.): registro de errores técnicos para detectarlos y corregirlos. Los informes de error incluyen datos técnicos y el identificador interno de tu cuenta, pero no tu nombre ni tu correo.
• Google (Google LLC / Google Ireland Ltd.): inicio de sesión con Google y Google Calendar, solo si los usas.
• Apple (servicio de notificaciones push APNs) y el servicio push de tu navegador (p. ej. Google, Mozilla o Apple): entrega de notificaciones push, solo si las activas.

No vendemos tus datos ni los cedemos a terceros para sus propios fines, salvo obligación legal (por ejemplo, a la Agencia Tributaria o a jueces y tribunales).

7. Transferencias internacionales

Algunos proveedores (Cloudflare, DigitalOcean, Cloudinary, Sentry, PostHog, Inc., Google y Apple) son empresas con sede fuera del Espacio Económico Europeo o pueden tratar datos fuera de él. En esos casos la transferencia se ampara en una decisión de adecuación de la Comisión Europea (como el Marco de Privacidad de Datos UE-EE. UU., cuando el proveedor está certificado, o la decisión relativa a Israel) o en las cláusulas contractuales tipo aprobadas por la Comisión (art. 46 RGPD).

8. Cuánto tiempo conservamos los datos

• Datos de cuenta y del servicio: mientras la cuenta esté activa. Si la cierras, los eliminamos en un máximo de 30 días, salvo lo indicado a continuación. Las copias de seguridad cifradas se sobrescriben en un plazo máximo de dos meses.
• Datos tratados por cuenta de un profesional o ente público: según sus instrucciones; al terminar el servicio se devuelven o se suprimen conforme al contrato de encargo.
• Facturas y datos contables: durante los plazos que exige la normativa mercantil y tributaria (hasta 6 años, art. 30 del Código de Comercio; y el plazo de prescripción tributaria, art. 66 de la Ley General Tributaria).
• Logs del servidor y registros de errores: hasta 90 días.
• Datos analíticos: hasta 12 meses, o hasta que retires el consentimiento.
• Consultas por correo: el tiempo necesario para atenderlas y, después, hasta 12 meses.

Cuando la ley lo exige, los datos se conservan bloqueados (art. 32 LOPDGDD), solo a disposición de jueces, tribunales y administraciones competentes durante el plazo de prescripción de las posibles responsabilidades.

9. Seguridad

Aplicamos medidas técnicas y organizativas proporcionadas al riesgo (art. 32 RGPD): cifrado en tránsito (HTTPS), contraseñas guardadas como hash, tokens de terceros cifrados, copias de seguridad cifradas, acceso a los sistemas restringido al titular y registro de errores. Si se produjera una brecha de seguridad que afecte a tus datos, actuaremos conforme a los artículos 33 y 34 del RGPD.

10. Menores

Los profesionales deben ser mayores de edad. Los clientes pueden crear su propia cuenta a partir de los 14 años (art. 7 LOPDGDD). Para menores de 14 años, la cuenta solo puede crearla o autorizarla quien ejerza la patria potestad o tutela, o el profesional o ente que la gestione con esa autorización.

11. Tus derechos

Puedes ejercer tus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad (arts. 15 a 22 RGPD), así como retirar en cualquier momento el consentimiento que hayas dado, escribiendo a hola@spotfitr.com. Si es necesario para identificarte, podemos pedirte información adicional. Responderemos en el plazo de un mes, ampliable en dos meses más en casos complejos (art. 12.3 RGPD). Desde tu perfil en la aplicación puedes consultar y corregir muchos de tus datos y descargar una copia completa en formato estructurado (JSON); para eliminar tu cuenta, escríbenos.

Si tus datos los gestiona un profesional o un ente público a través de Spotfitr, puedes dirigirte directamente a él; si nos escribes a nosotros, le trasladaremos tu solicitud.

12. Reclamaciones

Si consideras que no hemos tratado tus datos correctamente, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (C/ Jorge Juan 6, 28001 Madrid, www.aepd.es), que es la autoridad de control competente (art. 77 RGPD). Te agradeceremos que antes nos escribas para intentar resolverlo.

13. Cookies

Usamos cookies y tecnologías similares técnicas (necesarias) y, solo con tu consentimiento, de analítica. Toda la información está en la Política de cookies.

14. Cambios en esta política

Podemos actualizar esta política cuando cambie el servicio, los proveedores o la normativa. Indicaremos la fecha de la última actualización y, si el cambio es relevante, te avisaremos por correo electrónico o en la aplicación antes de que se aplique.