Política de privacidad

1. Quién responde por los datos

Acá hay dos roles distintos y conviene no mezclarlos, porque definen a quién le reclamás cada cosa.

El gimnasio es el responsable. Los datos de sus alumnos los carga él, para su propia relación con ellos: cobrarles la cuota, armarles la rutina, saber si vienen. Decide qué carga, para qué y hasta cuándo. Un alumno que quiere ver, corregir o borrar sus datos se lo pide a su gimnasio.

NexFit es el encargado del tratamiento. Nosotros ponemos el sistema y guardamos los datos por cuenta del gimnasio. Los tratamos solo para que el servicio funcione, siguiendo sus instrucciones, y no les damos ningún uso propio. El encargado es Digincrease.

2. Qué datos guardamos

Del gimnasio y de su equipo

• nombre del gimnasio, dirección, teléfono y correo;
• nombre, correo, teléfono y rol de cada persona del equipo (dueño, mostrador, profesor);
• el plan contratado, la fecha de fin de prueba y lo que se factura;
• la fecha del último ingreso de cada cuenta y la contraseña, que no se guarda: se guarda un hash con bcrypt, del que no se puede volver a la contraseña.

De los alumnos

• nombre, correo y teléfono;
• el objetivo que se puso y su plazo, y las notas que le escribe su profesor;
• la cuota: plan, vencimiento, pagos registrados y cargos de clases pagas;
• la asistencia: qué días vino y a qué hora, y a qué clases se anotó;
• el entrenamiento: su rutina, su plan de comidas y lo que registró que levantó, serie por serie;
• las mediciones: peso, porcentaje de grasa y perímetros corporales;
• la entrevista inicial: experiencia previa, cuántos días piensa venir, altura y peso de arranque, y lesiones, limitaciones, apto médico y medicación;
• las consultas que le escribe a su profesor y las respuestas;
• si activó las notificaciones, la dirección que le da su navegador para recibirlas. No es su número ni su cuenta: es una dirección que sirve únicamente para mandarle un aviso a ese navegador, y se puede desactivar.

Lesiones, apto médico y medicación son datos de salud, y la ley 25.326 los trata como sensibles. Por eso son los únicos datos de un alumno que se guardan cifrados, igual que las credenciales de cobro. Nadie está obligado a darlos: son campos opcionales, y un alumno que no los quiere dar entrena igual. Al gimnasio le pedimos que los cargue solo cuando le sirven para entrenarlo con seguridad, y que los use para eso.

Lo que no guardamos

• ningún dato de tarjeta, ni del gimnasio ni de los alumnos. Nunca pasan por nuestro sistema;
• documento, CUIL ni datos de familiares de los alumnos: el sistema no tiene dónde ponerlos;
• fotos de los alumnos;
• nada de lo que escribís en el sistema para entrenar a un modelo de inteligencia artificial.

3. Quién puede ver qué

Esta es la parte que más nos importó al construirlo, y no está resuelta escondiendo botones: está resuelta en la base de datos, que no devuelve una fila de un gimnasio a quien no es de ese gimnasio.

• Ningún gimnasio ve los datos de otro. Nunca, por ningún camino.
• El dueño ve todo lo de su gimnasio.
• El mostrador da de alta, cobra y renueva, y no ve la facturación del gimnasio.
• El profesor trabaja con sus alumnos —ficha, rutinas, comidas, mediciones, consultas— y no ve la plata.
• El alumno ve lo suyo y nada de los demás.
• Nosotros, desde el panel de la plataforma, vemos cuántos alumnos tiene cada gimnasio y qué plan paga. No vemos los datos personales de los alumnos desde ahí. Para resolver un problema puntual podemos necesitar mirar la base; cuando pasa, te lo pedimos.

4. Con quién compartimos los datos

Con nadie, salvo lo que el servicio necesita para funcionar y lo que la ley obligue:

• el servidor donde corre el sistema y donde vive la base de datos;
• el servicio de notificaciones del navegador (Google o Apple, según el teléfono) cuando mandamos un aviso. Recibe el aviso cifrado, no la base;
• Mercado Pago y ARCA, cuando el gimnasio conecta sus propias credenciales y cobra o factura a través de ellos. Ahí la relación es del gimnasio con ellos.

No vendemos datos. No los cedemos para publicidad. No contactamos a los alumnos de un gimnasio por nuestra cuenta, ni para ofrecerles nada.

5. Cómo los cuidamos

• todo viaja cifrado (HTTPS), y el navegador tiene prohibido usar la versión sin cifrar;
• las contraseñas se guardan hasheadas con bcrypt y salt, no cifradas: ni nosotros podemos leerlas;
• las credenciales con las que un gimnasio cobra y factura se guardan cifradas con AES-256-GCM, y la clave de cifrado no vive en la base;
• las lesiones, el apto médico y la medicación se guardan cifrados con el mismo método. Son datos de salud y reciben el mismo trato que una credencial: una copia de la base que se filtre no los trae adentro;
• la sesión va en una cookie que el JavaScript de la página no puede leer, firmada y con vencimiento;
• el aislamiento entre gimnasios lo aplica la base de datos, no la pantalla;
• hay límites de intentos en el ingreso y en las acciones que cuestan caro.

Ninguna de estas medidas vuelve imposible un incidente. Si alguna vez hay uno que afecte datos personales, te lo vamos a decir —a vos, que sos el responsable— con lo que sepamos y lo que estemos haciendo, sin esperar a tenerlo resuelto.

6. Cuánto tiempo los guardamos

Mientras la cuenta esté activa, todo. Un alumno que se da de baja queda inactivo pero no se borra: su historial le sirve al gimnasio si vuelve, y hace falta para los números del año.

Si el gimnasio cierra su cuenta, conservamos la información 90 días y después se borra. En ese plazo se puede pedir una copia o pedir que se borre antes.

7. Tus derechos

La ley 25.326 le da a toda persona el derecho a acceder a sus datos, a rectificarlos si están mal, a actualizarlos y a pedir su supresión. El acceso es gratuito a intervalos no menores a seis meses.

Si sos alumno de un gimnasio, pedíselo a tu gimnasio: es el responsable de tus datos y los tiene a mano en su panel. Si no te responde, escribinos y lo gestionamos con él.

Si sos el gimnasio, escribinos a contacto@nexfit.com.ar o por WhatsApp al +5491125981319.

La Agencia de Acceso a la Información Pública, en su carácter de órgano de control de la Ley 25.326, tiene la atribución de atender las denuncias y reclamos que interpongan quienes resulten afectados en sus derechos por incumplimiento de las normas vigentes en materia de protección de datos personales.

8. Cookies

Una sola, y es imprescindible: la de la sesión, que es lo que hace que no tengas que escribir la contraseña en cada pantalla. Se borra al cerrar sesión y vence por su cuenta.

No hay cookies de publicidad ni de seguimiento, ni nuestras ni de terceros. Por eso tampoco hay un cartel pidiéndote permiso: no hay nada que permitir.

9. Menores de edad

Un gimnasio puede tener alumnos menores. Si cargás a un menor, el consentimiento lo da su madre, su padre o su tutor, y pedirlo es parte de tu relación con esa familia. El sistema no distingue la edad por su cuenta.

10. Cambios

Si cambiamos algo de fondo —un dato nuevo, un destinatario nuevo— lo avisamos y actualizamos la fecha de arriba. Las condiciones del servicio están en los términos y condiciones.