Política de Privacidad — Clientes
Política de Privacidad — Clientes Finales
Aplicable a los usuarios de la app MyPraxiaFit (iOS / Android) y del portal whitelabel del profesional (
<slug>.praxiafit.com). Regulación aplicable: RGPD (UE 2016/679) · LOPDGDD (LO 3/2018) · LSSI-CE (Ley 34/2002) · Ley 41/2002 (Autonomía del Paciente).
1. Responsables del tratamiento
Sus datos son gestionados por dos entidades con roles diferenciados:
| Entidad | Rol RGPD | Qué gestiona |
|---|---|---|
| Su profesional (nutricionista / entrenador) | Responsable del Tratamiento | Toma las decisiones sobre qué datos se recogen y con qué finalidad. Sus datos de salud son tratados bajo su responsabilidad. |
| PraxiaFit (Sergio Gómez Ramos, NIF 48954214W) | Encargado del Tratamiento (Art. 28 RGPD) | Proporciona la infraestructura tecnológica al profesional. Actúa únicamente bajo sus instrucciones y no utiliza sus datos para fines propios. |
Para identificar a su profesional (nombre, organización, datos de contacto) consulte su perfil en la aplicación.
Email de contacto de PraxiaFit: [email protected]
2. Datos que tratamos
2.1. Datos de perfil básico
| Dato | Obligatorio | Finalidad |
|---|---|---|
| Nombre y apellidos | Sí | Identificación en la plataforma |
| Correo electrónico | Sí | Autenticación y comunicación |
| Contraseña | Sí | Almacenada en hash irreversible |
| Número de teléfono | No | Contacto por parte del profesional |
| Fecha de nacimiento | No | Personalización del plan; determina si se aplica el régimen de menores |
| Ocupación | No | Personalización |
| Foto de perfil | No | Identificación visual frente al profesional |
2.2. Datos de salud — CATEGORÍA ESPECIAL (Art. 9 RGPD)
Estos datos solo se recogen con su consentimiento explícito, voluntario e independiente y son visibles únicamente para su profesional asignado:
| Dato | Tabla en BD |
|---|---|
| Enfermedades diagnosticadas | datos_salud |
| Medicamentos en curso | datos_salud |
| Alergias e intolerancias alimentarias (incluidos 14 alérgenos Reglamento UE 1169/2011) | datos_salud |
| Estado de embarazo o lactancia | datos_salud |
| Parámetros bioquímicos (colesterol, triglicéridos, tensión arterial…) | datos_salud |
2.3. Datos físicos y de rendimiento
- Peso, altura y perímetros corporales (historial de mediciones)
- Sexo biológico
- Nivel de actividad física y objetivos
- Seguimiento de planes y rutinas (cumplimiento diario, series, repeticiones, pesos, récords)
2.4. Datos de hábitos nutricionales
- Horarios y descripción de comidas
- Frecuencia de consumo de grupos de alimentos (incluyendo alcohol)
- Preferencias y aversiones alimentarias
2.5. Datos de comunicación
- Mensajes con su profesional
- Notas de citas (las "notas privadas" del profesional no son visibles para usted)
2.6. Datos técnicos
- Token de dispositivo móvil (para el envío de notificaciones push — ver sección 3)
- Datos de sesión (cookies de autenticación — exentas de consentimiento conforme a la Guía AEPD sobre cookies, mayo 2024)
3. Finalidad y base legal de cada tratamiento
| Tratamiento | Base legal | Nota |
|---|---|---|
| Prestación del servicio (planes, citas, chat, seguimiento) | Art. 6.1.b RGPD — ejecución de la relación de servicio con el profesional | — |
| Datos de salud (sección 2.2 completa) | Art. 9.2.a RGPD — su consentimiento explícito | Voluntario, revocable en cualquier momento |
| Datos físicos y de rendimiento | Art. 6.1.b RGPD — prestación del servicio | — |
| Notificaciones push (citas, mensajes, planes) | Art. 6.1.a RGPD — su consentimiento (revocable desde ajustes del dispositivo) | — |
| Comunicaciones del profesional | Art. 6.1.b RGPD — prestación del servicio | — |
| Rankings y competiciones de su gimnasio | Art. 6.1.a RGPD — su consentimiento | Voluntario y revocable en cualquier momento (ver abajo) |
Sobre el consentimiento para datos de salud
Su consentimiento para tratar datos de salud es:
- Explícito: se le pide mediante un formulario específico y separado, con el siguiente texto (conforme a EDPB Directrices 5/2020 sobre consentimiento):
"Consiento expresamente que [nombre de su profesional], como responsable del tratamiento, trate mis datos de salud — incluyendo enfermedades, medicamentos, alergias e intolerancias, parámetros bioquímicos y estado de embarazo/lactancia — con la finalidad específica de elaborar y hacer seguimiento de planes nutricionales y/o de entrenamiento personalizados. Base jurídica: Art. 9.2.a RGPD."
- Voluntario: puede usar la aplicación sin proporcionar datos de salud.
- Revocable: puede retirar su consentimiento en cualquier momento desde Ajustes > Privacidad de la app, sin que ello afecte a la licitud del tratamiento previo a la retirada. Tras la revocación, los datos de salud se eliminarán en un plazo máximo de 30 días.
- Granular: este consentimiento cubre únicamente los datos de salud listados. No le obliga a compartir ningún otro dato.
Sobre los rankings y las competiciones
Si su profesional usa los rankings y las competiciones de entrenamiento, la app le pedirá permiso antes de que aparezca en ellos. Sin ese permiso puede ver los rankings, pero nadie le ve a usted.
- Qué ven los demás: los demás clientes de su mismo gimnasio (la organización de su profesional) ven su nombre con la inicial del apellido, sus marcas (por ejemplo, un tiempo, unas repeticiones o un peso levantado), su posición, la categoría en la que compite (hombres, mujeres o sin indicar) y su nivel; y en el ranking semanal de gym, el peso movido, las series, los días que ha entrenado y su racha de semanas. Nunca su apellido completo, sus datos de salud ni sus medidas corporales. Clientes de otros gimnasios no ven nada.
- Qué se guarda: la fecha de su permiso y la versión del texto que aceptó, y un registro de cada vez que lo da o lo retira, para poder demostrarlo también después de retirarlo. Si el texto cambia, la app se lo vuelve a enseñar.
- Revocable: puede dejar de aparecer en cualquier momento desde la pestaña Ranking de la app. Desaparece de todos los rankings al instante, incluidas las competiciones ya terminadas; sus marcas no se borran y las sigue viendo usted y su profesional.
4. ¿Quién ve mis datos?
| Dato | ¿Quién puede verlo? |
|---|---|
| Nombre y foto de perfil | Su profesional |
| Datos de salud (sección 2.2) | Solo su profesional y solo si usted dio consentimiento explícito |
| Datos físicos y de rendimiento | Solo su profesional — salvo sus marcas de entrenamiento, que ven los demás clientes de su gimnasio si usted da permiso para aparecer en los rankings (sección 3) |
| Mensajes | Usted y su profesional |
| Seguimiento de planes | Solo su profesional |
| Datos técnicos (token push, IP) | PraxiaFit (infraestructura) — no accede al contenido de sus datos de salud |
PraxiaFit no lee sus mensajes con el profesional ni sus datos de salud salvo por requerimiento legal o para resolver incidencias de soporte técnico solicitadas expresamente.
5. Menores de edad
Conforme al Art. 7.1 de la LOPDGDD (Ley Orgánica 3/2018), la edad mínima para que un menor pueda consentir por sí mismo el tratamiento de sus datos personales en España es de 14 años.
- Si usted tiene 14 años o más: puede utilizar la aplicación y gestionar sus propios consentimientos.
- Si usted tiene menos de 14 años: el tratamiento de sus datos solo es lícito con el consentimiento verificable de su padre, madre o tutor legal. No se permite el registro autónomo de menores de 14 años.
Para datos de salud de menores, el consentimiento del tutor debe ser explícito y por escrito. Póngase en contacto con el profesional o con [email protected] para gestionar este proceso.
6. Destinatarios de sus datos
Sus datos pueden ser comunicados a los siguientes destinatarios:
| Destinatario | País | Finalidad | Garantía |
|---|---|---|---|
| Hetzner Online GmbH | Alemania (UE) | Alojamiento del servidor donde corren la base de datos, la autenticación y sus archivos | Transferencia intracomunitaria — sus datos de salud no salen de la UE |
| Brevo SAS | Francia (UE) | Correos electrónicos transaccionales | DPA; transferencia intracomunitaria |
| Cloudflare, Inc. | EE.UU. | Red que protege y acelera el acceso a la web y a la app | DPF UE-EE.UU. + Cláusulas Contractuales Tipo. Solo tráfico en tránsito, sin guardar su contenido |
| Apple Inc. (APNs) y Google LLC (FCM) | EE.UU. | Entrega de las notificaciones push a su móvil | DPF UE-EE.UU. Reciben el identificador del dispositivo y el texto del aviso; es el mecanismo del propio sistema operativo |
| Google Cloud EMEA Limited (Vertex AI) | Irlanda (UE) | Solo si su profesional usa el asistente de IA de su panel: preparar las respuestas del asistente cuando su profesional le pregunta por su ficha (por ejemplo, sus objetivos o sus alergias) o le pide preparar su plan | Tratamiento en la UE (multirregión europea de Vertex AI) · Adenda de Tratamiento de Datos de Google Cloud · Google no usa estos datos para entrenar sus modelos |
| Autoridades competentes | España | Cuando sea exigido por ley | Obligación legal |
Sus datos no se venden ni se ceden a terceros con fines comerciales o publicitarios.
7. Transferencias internacionales
Sus datos de salud, de seguimiento y sus fotos de progreso no salen de la Unión Europea. Se guardan en un servidor propio alojado por Hetzner Online GmbH en Alemania; el software de base de datos (Supabase) se ejecuta autoalojado en ese servidor, sin intervención de Supabase Inc. (EE.UU.).
Las únicas salidas del Espacio Económico Europeo son dos, y están acotadas:
- El tráfico en tránsito (su dirección IP y el contenido de cada petición mientras viaja) pasa por la red de Cloudflare, Inc., que protege los dominios frente a ataques. No conserva el contenido. Amparado en el Marco de Privacidad de Datos UE-EE.UU. y en Cláusulas Contractuales Tipo.
- Las notificaciones push, si las activa: el identificador de su dispositivo y el texto del aviso pasan por Apple (APNs) o Google (FCM) para poder llegar a su móvil. Es el mecanismo del sistema operativo y no hay alternativa técnica; ambas están certificadas en el DPF.
El asistente de IA que su profesional puede usar en su panel se procesa en Google Cloud dentro de la UE, así que no es una salida del EEE.
Cuando se active el pago con tarjeta, el proveedor de pagos añadirá una transferencia propia y esta política se actualizará antes de que trate ningún dato.
8. Plazos de conservación
| Tipo de dato | Plazo |
|---|---|
| Datos de salud (si profesional es dietista-nutricionista) | Mínimo 5 años desde el último proceso asistencial (Art. 17 Ley 41/2002) |
| Datos de perfil y de seguimiento | Mientras dure la relación con el profesional + 30 días para exportación tras baja |
| Mensajes | Mínimo 1 año; máximo 7 años (recomendación para actividades con implicaciones de salud) |
| Datos técnicos (logs) | 12 meses |
| Solicitudes de alta rechazadas (portal whitelabel) | 30 días desde el rechazo |
9. Sus derechos
Conforme a los Arts. 15-22 del RGPD, tiene los siguientes derechos:
| Derecho | Descripción | Cómo ejercerlo |
|---|---|---|
| Acceso (Art. 15) | Obtener confirmación de qué datos tratamos y una copia | Ajustes > Privacidad > Mis datos |
| Rectificación (Art. 16) | Corregir datos inexactos | Editando su perfil en la app |
| Supresión (Art. 17) | Solicitar la eliminación de sus datos | Ajustes > Privacidad > Eliminar mi cuenta |
| Limitación (Art. 18) | Pausar el tratamiento en determinadas circunstancias | Email a [email protected] |
| Portabilidad (Art. 20) | Recibir sus datos en formato JSON | Ajustes > Privacidad > Exportar mis datos |
| Oposición (Art. 21) | Oponerse a determinados tratamientos | Email a [email protected] |
| Retirar consentimiento (Art. 7.3) | Revocar el consentimiento para datos de salud | Ajustes > Privacidad > Datos de salud |
Plazo de respuesta: 1 mes desde la recepción de su solicitud, prorrogable a 3 meses en casos complejos (Art. 12.3 RGPD).
Reclamación: si considera que sus derechos no han sido atendidos, puede presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) — www.aepd.es.
10. Seguridad
PraxiaFit aplica medidas de seguridad técnicas y organizativas adecuadas al riesgo del tratamiento de datos de categoría especial (Art. 32 RGPD):
- Cifrado en tránsito mediante TLS 1.3.
- Control de acceso a datos de salud a nivel de base de datos: solo visible para el profesional asignado y solo si usted dio consentimiento (
consentimiento_dado = TRUE). - Contraseñas almacenadas en hash irreversible (bcrypt).
- Copias de seguridad automáticas cifradas.
- Notificación de brechas de seguridad conforme al Art. 33-34 RGPD.
11. Cambios en esta política
Si realizamos cambios que afecten a los consentimientos ya prestados, le notificaremos mediante notificación push y/o email con al menos 30 días de antelación. Los cambios menores (actualizaciones de contacto, correcciones de formato) se publicarán sin notificación previa.
Versión: 1.3 | Última actualización: 8 de octubre de 2026
Qué cambió en la 1.3 — Se añaden los rankings y competiciones de su gimnasio (sección 3): una finalidad nueva y voluntaria, que solo se activa si usted da permiso desde la app. No cambia ningún consentimiento que ya hubiera dado.
Qué cambió en la 1.2 — Se añade como destinatario a Google Cloud EMEA Limited (Vertex AI), que da servicio al asistente de IA que su profesional puede usar en su panel. Solo trata sus datos si su profesional lo usa, y los trata dentro de la UE.
Qué cambió en la 1.1 — Se corrigen dos destinatarios que no eran ciertos: (1) Supabase Inc. (EE.UU.) no aloja nada — la base de datos se ejecuta autoalojada en un servidor propio de Hetzner en Alemania, así que los datos de salud no salen de la UE; (2) Expo no interviene en las notificaciones push: se entregan directamente por Apple (APNs) y Google (FCM). En su lugar se describen las dos únicas salidas reales del EEE.