Política de Privacidad

Esta Política de Privacidad explica cómo Trakker recoge, utiliza, conserva, protege y comparte datos personales cuando accedes, te registras o utilizas la aplicación web, la aplicación móvil, el sitio web y los servicios asociados de Trakker.

Trakker es una plataforma tecnológica dirigida a profesionales del entrenamiento, preparación física, nutrición, fisioterapia, readaptación, salud, bienestar, rendimiento deportivo y actividades relacionadas, así como a sus clientes.

En Trakker pueden tratarse datos personales sensibles, incluyendo datos relativos a la salud, condición física, composición corporal, entrenamiento, alimentación, evolución física, fotografías de progreso, lesiones comunicadas, limitaciones físicas, métricas fisiológicas y datos de rendimiento.

Esta Política debe leerse junto con los Términos y Condiciones, la Política de Cookies, el Aviso Legal y, cuando proceda, el Contrato de Encargo del Tratamiento aplicable a los Profesionales.

1. Información básica sobre protección de datos

• Responsable: TRAKKER TECHNOLOGIES S.L., con NIF B93899235 y domicilio social en Calle del Poeta Joan Maragall, 56, bajo 1, 28020 Madrid, España.
• Contacto de privacidad: dpo@trakker.fit
• Finalidades principales: Crear y gestionar cuentas, prestar la Plataforma, gestionar entrenamientos, dietas, métricas, comunicaciones, pagos, suscripciones, soporte, seguridad, cumplimiento legal y mejora del servicio. Medir campañas y conversiones de Trakker mediante el píxel de Meta, con consentimiento previo. Facilitar el acceso con Google y, si el Profesional la activa, consultar disponibilidad y sincronizar sesiones con Google Calendar, en los términos del apartado 27.
• Datos tratados: Datos identificativos, contacto, cuenta, perfil profesional, entrenamientos, comidas, métricas corporales, datos de salud, fotografías de progreso, comunicaciones, pagos, datos técnicos y uso de la aplicación. Con el píxel de Meta: identificadores en línea, datos del navegador, navegación, interacciones y conversiones. Para Google: identidad de acceso, calendarios, intervalos ocupados, credenciales y metadatos técnicos; se envían a Calendar los campos de agenda descritos en el apartado 27.4 de las sesiones seleccionadas por el Profesional.
• Base jurídica: Ejecución del contrato o medidas precontractuales, cumplimiento de obligaciones legales, interés legítimo debidamente ponderado y consentimiento. Para categorías especiales de datos se aplicará, además, una excepción válida del artículo 9.2 del RGPD, como el consentimiento explícito cuando proceda. Cuando Trakker actúe como encargado, tratará los datos siguiendo instrucciones documentadas del Profesional. La medición publicitaria mediante el píxel de Meta se basa en el consentimiento previo, no en el interés legítimo ni en la ejecución del contrato.
• Destinatarios: Profesionales vinculados al Cliente Final, Clientes Finales vinculados al Profesional, proveedores tecnológicos, proveedores de pagos como Stripe, proveedores de hosting, soporte, comunicaciones, seguridad, asesoría legal/fiscal y autoridades competentes cuando proceda. Meta Platforms Ireland Limited y, en las transferencias correspondientes, entidades del grupo Meta como Meta Platforms, Inc., para la medición publicitaria consentida. Google para la autenticación y el calendario conectado; Supabase y Vercel para autenticación, base de datos y alojamiento, según la función prestada. Véase el apartado 27.
• Transferencias internacionales: Pueden producirse por el uso de proveedores tecnológicos, de pagos o de medición publicitaria. El píxel de Meta puede implicar transferencias a Estados Unidos. Véase el apartado 16 sobre los mecanismos y garantías aplicables.
• Derechos: Acceso, rectificación, supresión, oposición, limitación, portabilidad, retirada del consentimiento y reclamación ante la Agencia Española de Protección de Datos.
• Conservación: Durante la relación contractual o de uso y, posteriormente, durante los plazos necesarios para obligaciones legales, seguridad, facturación, defensa de reclamaciones y responsabilidades. Para la medición publicitaria se aplican los criterios específicos del apartado 17, distintos de la duración de las cookies y de la validez del consentimiento. Los datos de Calendar tienen plazos específicos de caché, desconexión, registros y copias, descritos en el apartado 27.6.

2. Identidad del responsable

El responsable de determinados tratamientos de datos personales es:

• Responsable: TRAKKER TECHNOLOGIES S.L.
• NIF: B93899235
• Domicilio social: Calle del Poeta Joan Maragall, 56, bajo 1, 28020 Madrid, España
• Correo electrónico de privacidad: dpo@trakker.fit
• Sitio web: https://www.trakker.fit

Datos registrales: Registro Mercantil de Madrid y su provincia, hoja M-894960, inscripción 1.ª, IRUS 1000477849690.

En esta Política nos referimos a esta entidad como “Trakker”, “nosotros”, “la Plataforma” o “el Responsable”, cuando Trakker actúe como responsable del tratamiento.

3. Qué usuarios están incluidos en esta Política

Esta Política se aplica a:

• Profesionales registrados en Trakker.
• Entrenadores personales.
• Preparadores físicos.
• Técnicos deportivos.
• Nutricionistas, dietistas-nutricionistas u otros perfiles relacionados con nutrición.
• Fisioterapeutas, readaptadores, clínicas, centros deportivos o gimnasios.
• Clientes Finales vinculados a Profesionales.
• Visitantes del sitio web.
• Personas que contactan con Trakker.
• Usuarios de la aplicación web o móvil.
• Representantes, empleados o colaboradores de Profesionales.
• Cualquier persona cuyos datos sean tratados a través de Trakker.

4. Roles de privacidad: cuándo Trakker es responsable y cuándo es encargado

Trakker puede actuar como responsable del tratamiento, individualmente o junto con otro responsable en determinadas operaciones, y como encargado del tratamiento por cuenta del Profesional.

4.1. Trakker como responsable del tratamiento

Trakker actúa como responsable del tratamiento cuando decide las finalidades y medios esenciales del tratamiento.

Esto ocurre, entre otros casos, cuando Trakker trata datos para:

• Crear y gestionar cuentas de usuario.
• Gestionar el acceso a la Plataforma.
• Prestar servicios SaaS a Profesionales.
• Gestionar suscripciones, facturación y pagos propios de Trakker.
• Gestionar soporte técnico y atención al usuario.
• Garantizar la seguridad de la Plataforma.
• Prevenir fraude, abuso, accesos no autorizados o uso indebido.
• Cumplir obligaciones legales.
• Enviar comunicaciones administrativas, técnicas o contractuales.
• Enviar comunicaciones comerciales propias cuando exista base jurídica válida.
• Analizar el uso de la Plataforma para mejorar el servicio, preferentemente mediante datos agregados o seudonimizados.
• Gestionar reclamaciones, incidencias y defensa jurídica.
• Cumplir obligaciones fiscales, contables, mercantiles y regulatorias.

La medición de las campañas y conversiones propias de Trakker mediante el píxel de Meta corresponde a una finalidad de Trakker. No se realiza por instrucciones del Profesional ni queda amparada por el Contrato de Encargo del Tratamiento de los datos de sus clientes. La relación con Meta se explica en el apartado 13.

En el acceso con Google y en la gestión de la conexión de Calendar, Trakker actúa como responsable respecto de la cuenta, la configuración de la conexión y su seguridad. La habilitación de una conexión no convierte en finalidad propia de Trakker el contenido de las citas de los Clientes Finales.

4.2. Trakker como encargado del tratamiento

Trakker actúa como encargado del tratamiento cuando trata datos personales por cuenta de un Profesional que utiliza Trakker para prestar servicios a sus Clientes Finales.

Esto puede ocurrir, por ejemplo, cuando un Profesional utiliza Trakker para:

• Crear planes de entrenamiento.
• Gestionar dietas o pautas nutricionales.
• Revisar métricas corporales, fisiológicas o de rendimiento.
• Consultar comidas introducidas por el Cliente Final.
• Hacer seguimiento de evolución física o deportiva.
• Comunicarse con el Cliente Final.
• Almacenar fotografías de progreso.
• Registrar observaciones, sensaciones, adherencia o cumplimiento.
• Gestionar pagos del Cliente Final al Profesional.

En estos casos, el Profesional puede actuar como responsable del tratamiento respecto de los datos de sus Clientes Finales, porque decide para qué utiliza dichos datos y cómo los aplica en su servicio profesional.

Trakker actúa como proveedor tecnológico que aloja, organiza y procesa esos datos siguiendo las instrucciones del Profesional, conforme al Contrato de Encargo del Tratamiento aplicable.

La gestión de sesiones, la importación de disponibilidad y la exportación de citas al calendario elegido se realizan por instrucciones del Profesional cuando este determina sus finalidades respecto de sus clientes. Trakker actúa como encargado en esas operaciones conforme al apartado 27 y al Contrato de Encargo del Tratamiento. El Profesional determina la necesidad y licitud del contenido y facilita la información que corresponda a sus Clientes Finales; Trakker conserva sus propias obligaciones como prestador tecnológico y encargado.

5. Datos personales que puede tratar Trakker

Trakker puede tratar distintas categorías de datos según el tipo de usuario, las funcionalidades utilizadas y la relación con la Plataforma.

5.1. Datos identificativos y de contacto

• Nombre y apellidos.
• Correo electrónico.
• Teléfono, si el usuario lo incorpora.
• País, provincia o ciudad.
• Dirección postal o fiscal, cuando proceda.
• Documento identificativo, cuando sea necesario para facturación, pagos, verificación o cumplimiento legal.
• Imagen de perfil, si el usuario la incorpora.
• Nombre de usuario o identificadores internos.

5.2. Datos de cuenta y acceso

• Identificadores de usuario.
• Credenciales cifradas o protegidas.
• Fecha de alta.
• Tipo de cuenta.
• Estado de la cuenta.
• Roles y permisos.
• Historial de accesos.
• Configuración de la cuenta.
• Idioma, preferencias y ajustes.

5.3. Datos profesionales

Cuando el usuario actúa como Profesional, Trakker puede tratar:

• Actividad profesional.
• Titulación o formación declarada.
• Colegiación, número de colegiado o acreditaciones, si se aportan.
• Experiencia profesional.
• Especialidad.
• Centro, empresa, gimnasio o clínica.
• Datos fiscales y de facturación.
• Información comercial sobre servicios ofrecidos.
• Tarifas, planes o programas.
• Clientes gestionados.
• Estado de verificación documental, si existe.
• Información requerida por Stripe u otros proveedores de pago para activar cobros.

5.4. Datos de Clientes Finales

Cuando un Cliente Final usa Trakker, pueden tratarse:

• Datos identificativos.
• Datos de contacto.
• Profesional o Profesionales vinculados.
• Objetivos físicos, deportivos, nutricionales o de bienestar.
• Nivel de actividad.
• Disponibilidad.
• Preferencias de entrenamiento.
• Preferencias alimentarias.
• Observaciones introducidas por el Cliente Final o por el Profesional.
• Historial de planes, sesiones, registros y evolución.

5.5. Datos de entrenamiento y rendimiento

• Entrenamientos planificados.
• Entrenamientos realizados.
• Ejercicios.
• Series, repeticiones, cargas, pesos, ritmos, distancias, duración o intensidad.
• Frecuencia cardiaca, zonas de entrenamiento o datos similares.
• Potencia, cadencia, velocidad, desnivel u otras métricas deportivas.
• Adherencia a la planificación.
• Sensaciones subjetivas.
• Fatiga, descanso o recuperación.
• Comentarios del Profesional o del Cliente Final.

5.6. Datos nutricionales y registros alimentarios

• Comidas introducidas por el Cliente Final.
• Dietas o pautas nutricionales creadas por el Profesional.
• Alimentos, cantidades, horarios o hábitos.
• Preferencias alimentarias.
• Alergias, intolerancias o restricciones comunicadas.
• Objetivos nutricionales.
• Comentarios sobre adherencia o cumplimiento.
• Fotografías de comidas, si la funcionalidad está disponible.
• Información sobre suplementación, cuando sea introducida por el usuario o el Profesional.

5.7. Datos corporales, fisiológicos, de salud y potencialmente biométricos

Trakker puede tratar datos especialmente sensibles, incluyendo:

• Peso.
• Altura.
• Edad.
• Sexo, cuando sea necesario para determinadas métricas o planificación y el usuario lo facilite.
• Composición corporal.
• Perímetros.
• Porcentaje de grasa.
• Masa muscular.
• Frecuencia cardiaca.
• Datos de sueño o recuperación.
• Lesiones comunicadas.
• Limitaciones físicas.
• Patologías o antecedentes comunicados voluntariamente.
• Medicación, embarazo u otras circunstancias de salud, si el usuario las introduce.
• Fotografías de progreso.
• Datos importados desde dispositivos, wearables o aplicaciones conectadas.
• Cualquier otro dato que pueda revelar información sobre salud, condición física, estado fisiológico o evolución corporal.

No todos estos datos se tratan en todos los casos. El tratamiento depende de las funcionalidades activadas y de la información que el usuario o el Profesional introduzcan.

Las fotografías, métricas corporales y datos fisiológicos no se utilizarán por Trakker para identificar de forma unívoca a una persona mediante técnicas biométricas, salvo que se informe previamente, exista base jurídica válida, se adopten garantías reforzadas y, cuando sea necesario, se obtenga consentimiento explícito.

5.8. Datos de pagos y facturación

Trakker puede tratar:

• Plan contratado.
• Importe.
• Estado del pago.
• Fecha de pago.
• Historial de suscripción.
• Facturas emitidas por Trakker.
• Datos fiscales.
• Identificadores de cliente o suscripción en Stripe.
• Identificadores de pago o transacción.
• Información limitada sobre método de pago.
• Información sobre disputas, reembolsos o incidencias de pago.
• Información necesaria para comisiones tecnológicas o application fees.

Trakker no almacena de forma ordinaria los datos completos de tarjeta bancaria. Estos datos son procesados por Stripe u otros proveedores de pago.

5.9. Datos técnicos y de uso

• Dirección IP.
• Identificadores de dispositivo.
• Sistema operativo.
• Tipo de navegador.
• Versión de la aplicación.
• Fecha y hora de acceso.
• Logs técnicos.
• Eventos de seguridad.
• Errores o caídas.
• Páginas o pantallas visitadas.
• Funcionalidades utilizadas.
• Datos de rendimiento de la aplicación.
• Cookies, SDKs o tecnologías similares, conforme a la Política de Cookies.

Si autorizas el píxel de Meta en la web, se pueden recoger y comunicar a Meta identificadores en línea, como los asociados a las cookies _fbp y _fbc cuando estén presentes, dirección IP, información del navegador y dispositivo, fecha y hora, dirección de la página visitada y página de procedencia, así como datos de atribución de campañas. También se registran eventos de visita, interacción con contenidos, clics, etapas y resultado del registro, selección de perfil profesional, incidencias del proceso de alta o contratación, inicio de prueba y contratación de suscripciones.

Estos identificadores y eventos pueden permitir reconocer un navegador o relacionar su actividad con una persona. Que no se añadan expresamente nombre o correo electrónico a un evento no convierte la información en anónima. Meta puede relacionarla con otros datos de los que disponga, conforme a sus condiciones y a la configuración y permisos aplicables.

5.10. Comunicaciones y soporte

• Mensajes enviados dentro de Trakker.
• Consultas al soporte.
• Correos electrónicos.
• Formularios de contacto.
• Comunicaciones comerciales o administrativas.
• Historial de incidencias.
• Archivos adjuntos enviados al soporte.

5.11. Datos de Google

En el acceso con Google y la integración de Calendar también se tratan las categorías de identidad, calendario, disponibilidad, credenciales y sincronización enumeradas en el apartado 27. Los tokens son credenciales de acceso, no contraseñas de Google, y no se muestran a otros usuarios.

6. Categorías especiales de datos

Trakker puede tratar datos que tienen la consideración de categorías especiales de datos personales, especialmente datos relativos a la salud. Cuando Trakker determine sus propias finalidades como responsable, identificará tanto una base jurídica del artículo 6 del RGPD como una excepción aplicable del artículo 9.2. Cuando actúe como encargado, el Profesional será quien deba determinar ambas habilitaciones y Trakker tratará los datos conforme a sus instrucciones documentadas y al Contrato de Encargo del Tratamiento.

Estos datos requieren garantías reforzadas.

En particular:

• Trakker no debe utilizarse para introducir datos de salud innecesarios o excesivos.
• Los Profesionales deben limitarse a tratar los datos necesarios para prestar sus servicios.
• Los Clientes Finales deben evitar introducir información médica no necesaria.
• Los Profesionales deben contar con base jurídica suficiente para tratar estos datos.
• Cuando sea necesario, deberá obtenerse consentimiento explícito del Cliente Final.
• Trakker aplicará medidas técnicas y organizativas reforzadas sobre estos datos.
• El acceso a estos datos estará restringido a usuarios autorizados.
• Trakker podrá cifrar, seudonimizar, limitar, segmentar o proteger estos datos mediante medidas específicas.

El consentimiento al píxel de Meta no autoriza a utilizar ni a comunicar para medición publicitaria datos de salud, lesiones, medidas corporales, planes de entrenamiento o nutrición, fotografías de progreso ni el contenido privado de las comunicaciones entre Profesional y Cliente Final.

7. Finalidades y bases jurídicas

Trakker trata datos personales para las siguientes finalidades.

Crear y gestionar cuentas

• Datos principales: Identificación, contacto, cuenta, acceso
• Base jurídica: Ejecución de contrato o medidas precontractuales

Prestar la Plataforma

• Datos principales: Cuenta, entrenamientos, dietas, métricas, comunicaciones
• Base jurídica: Ejecución del contrato para datos propios de cuenta y servicio; interés legítimo ponderado para mantener y proteger la Plataforma; instrucciones documentadas del Profesional cuando Trakker actúe como encargado

Gestión de entrenamientos y seguimiento

• Datos principales: Planes, sesiones, métricas, rendimiento, evolución
• Base jurídica: Instrucciones documentadas del Profesional y la base que este determine; para tratamientos propios de Trakker, ejecución del contrato y, si existen categorías especiales, consentimiento explícito u otra excepción válida del artículo 9.2 del RGPD

Gestión de dietas, comidas y nutrición

• Datos principales: Dietas, comidas, registros alimentarios, preferencias
• Base jurídica: Instrucciones documentadas del Profesional y la base que este determine; para tratamientos propios de Trakker, ejecución del contrato y, si existen categorías especiales, consentimiento explícito u otra excepción válida del artículo 9.2 del RGPD

Datos corporales, fisiológicos o de salud

• Datos principales: Peso, fotos, lesiones, métricas, evolución
• Base jurídica: Consentimiento explícito u otra excepción válida del artículo 9.2 del RGPD para tratamientos propios; instrucciones documentadas del Profesional cuando Trakker actúe como encargado; formulación, ejercicio o defensa de reclamaciones cuando sea aplicable

Pagos del Profesional a Trakker

• Datos principales: Plan, facturación, suscripción, pago
• Base jurídica: Ejecución de contrato, cumplimiento legal e interés legítimo en prevenir fraude

Pagos del Cliente Final al Profesional

• Datos principales: Datos limitados de transacción, identificadores Stripe
• Base jurídica: Ejecución de contrato, interés legítimo, cumplimiento legal e instrucciones del Profesional cuando proceda

Soporte y atención al usuario

• Datos principales: Contacto, consulta, logs, incidencia
• Base jurídica: Ejecución de contrato e interés legítimo

Seguridad y prevención del fraude

• Datos principales: IP, logs, eventos de seguridad, actividad
• Base jurídica: Interés legítimo, cumplimiento legal y ejecución de contrato

Cumplimiento legal

• Datos principales: Facturación, registros, documentación, incidencias
• Base jurídica: Cumplimiento legal y defensa de derechos

Comunicaciones administrativas

• Datos principales: Cuenta, contacto, avisos técnicos o legales
• Base jurídica: Ejecución de contrato, cumplimiento legal e interés legítimo

Comunicaciones comerciales

• Datos principales: Contacto y preferencias
• Base jurídica: Consentimiento o interés legítimo cuando exista relación previa y sea legalmente aplicable

Analítica y mejora del servicio

• Datos principales: Datos técnicos, uso agregado o seudonimizado
• Base jurídica: Interés legítimo o consentimiento cuando se usen cookies/SDKs no necesarios

Medición de campañas y conversiones mediante el píxel de Meta

• Datos principales: Identificadores en línea, datos del navegador, navegación, interacciones y eventos de registro y contratación
• Base jurídica: Consentimiento previo (artículo 6.1.a del RGPD y artículo 22.2 de la LSSI)

Acceso con Google

• Datos principales: Identificador Google, correo y perfil básico
• Base jurídica: Ejecución del contrato o medidas precontractuales solicitadas por el usuario, artículo 6.1.b del RGPD.

Configuración de Google Calendar

• Datos principales: Cuenta, autorización, calendario elegido y estado de conexión
• Base jurídica: Ejecución de la funcionalidad solicitada por el Profesional, artículo 6.1.b; seguridad y defensa de reclamaciones, interés legítimo del artículo 6.1.f, con limitación de datos y conservación.

Disponibilidad y exportación de sesiones

• Datos principales: Intervalos ocupados y campos de agenda de sesiones seleccionadas por el Profesional, descritos en el apartado 27.4
• Base jurídica: Trakker actúa conforme a las instrucciones documentadas del Profesional cuando presta estas operaciones como encargado. El Profesional determina y documenta la base jurídica aplicable a los datos de sus Clientes Finales conforme al artículo 6 del RGPD y facilita la información correspondiente. La conexión OAuth autoriza técnicamente el acceso a su calendario, sin sustituir esas obligaciones.

Siempre que sea posible, Trakker utilizará datos agregados, anonimizados o seudonimizados para fines de análisis, mejora del producto y estadísticas internas. Cuando se base en un interés legítimo, documentará la finalidad, necesidad y ponderación de derechos e intereses y facilitará información adicional a solicitud del interesado.

El uso actual del píxel de Meta por Trakker tiene como finalidad medir la eficacia de sus campañas y atribuir conversiones. Trakker no utiliza actualmente estos eventos para crear audiencias de remarketing.

8. Consentimiento y retirada

Cuando un tratamiento se base en el consentimiento, el usuario podrá retirarlo en cualquier momento.

La retirada del consentimiento no afectará a la licitud del tratamiento realizado antes de dicha retirada.

La retirada del consentimiento puede implicar que determinadas funcionalidades de Trakker dejen de estar disponibles, especialmente si el tratamiento era necesario para prestar una funcionalidad concreta. Rechazar o retirar el consentimiento al píxel de Meta no impide crear una cuenta ni utilizar las funcionalidades contratadas de Trakker.

Cuando el consentimiento haya sido recabado por el Profesional como responsable del tratamiento, el Cliente Final deberá dirigirse preferentemente a dicho Profesional para retirarlo, sin perjuicio de que también pueda contactar con Trakker cuando corresponda.

Determinadas funcionalidades, como fotografías de progreso, registros alimentarios, integraciones con wearables, comunicaciones comerciales, píxel de Meta o uso de datos de salud, podrán requerir consentimientos específicos y separados. La lectura de esta Política o la aceptación de los Términos y Condiciones no sustituye el consentimiento explícito o específico cuando la normativa lo exija.

La decisión sobre el píxel corresponde a cada persona que utiliza la web, sea visitante, Profesional o Cliente Final, a través del panel de preferencias de cookies. El Profesional no puede prestar ese consentimiento en nombre de sus clientes por el hecho de contratarlos, invitarlos o gestionar sus datos. Puedes rechazarlo o retirarlo en ese panel y dirigirte a dpo@trakker.fit para cualquier consulta o ejercicio de derechos.

La conexión de Google Calendar se solicita al Profesional separadamente del inicio de sesión, de las comunicaciones comerciales y del píxel. El Profesional autoriza los permisos en Google y puede desconectar la integración conforme al apartado 27. Los derechos de los Clientes Finales respecto de los datos de sus citas se ejercen ante el Profesional o, cuando corresponda, ante Trakker, según el apartado 21.

9. Obligación de facilitar datos

Los datos solicitados en formularios obligatorios son necesarios para crear la cuenta, prestar la Plataforma, gestionar pagos, cumplir obligaciones legales o habilitar determinadas funcionalidades.

Si el usuario no facilita esos datos, Trakker podrá no ser capaz de prestar el servicio solicitado.

Los datos opcionales, como determinadas métricas, fotografías, preferencias, comentarios, registros alimentarios o integraciones, solo serán tratados si el usuario o el Profesional los introducen o activan. Los datos obtenidos mediante cookies o tecnologías similares se rigen por sus finalidades y, cuando corresponda, por la decisión del usuario en el panel de preferencias; no requieren que se introduzcan manualmente.

10. Menores de edad

Trakker está dirigida exclusivamente a personas de 18 años o más. Los menores de 18 años no pueden crear una cuenta ni utilizar el servicio como Clientes Finales.

Los Profesionales tampoco pueden registrar, invitar o gestionar mediante Trakker a Clientes Finales menores de 18 años, ni introducir sus datos personales en la Plataforma.

La autorización de quienes ejerzan la patria potestad o tutela no habilita el uso de Trakker para clientes menores de 18 años.

Trakker podrá solicitar verificaciones razonables de edad y limitar o suprimir el acceso cuando no se cumpla este requisito. Si detectas una cuenta o datos de un menor de 18 años, comunícalo a dpo@trakker.fit para que se evalúe su retirada y, cuando proceda, su supresión, sin perjuicio de las obligaciones legales de conservación.

11. Procedencia de los datos

Los datos personales pueden proceder de:

• El propio usuario.
• El Profesional que invita o registra a un Cliente Final.
• El Cliente Final que introduce datos en la Plataforma.
• Dispositivos, wearables o aplicaciones conectadas por el usuario.
• Stripe u otros proveedores de pago.
• Formularios de contacto.
• Comunicaciones con soporte.
• Cookies, SDKs o tecnologías similares.
• Registros técnicos generados por el uso de la Plataforma.
• Google, si el usuario elige iniciar sesión con su cuenta o el Profesional conecta Google Calendar, con el alcance descrito en el apartado 27.

Cuando los datos no se obtengan directamente del interesado, Trakker o el Profesional responsable facilitarán la información exigida por la normativa aplicable, según corresponda.

12. Comunicación de datos entre Profesional y Cliente Final

Trakker permite que Profesionales y Clientes Finales compartan información dentro de la Plataforma.

El Cliente Final entiende que el Profesional vinculado a su cuenta podrá acceder a los datos necesarios para prestar sus servicios, incluyendo entrenamientos, comidas, métricas, evolución, comentarios, fotografías de progreso y otros datos introducidos o generados en la relación profesional.

El Profesional deberá acceder únicamente a los datos necesarios para prestar sus servicios y no podrá utilizarlos para finalidades distintas sin base jurídica adecuada.

Cuando finalice la relación entre Profesional y Cliente Final, el acceso a los datos deberá gestionarse conforme a la configuración de la Plataforma, la normativa aplicable y las obligaciones de conservación correspondientes.

13. Destinatarios de los datos

Trakker puede comunicar o permitir acceso a datos personales a:

• Profesionales vinculados al Cliente Final.
• Clientes Finales vinculados al Profesional, respecto de información necesaria para la prestación del servicio.
• Proveedores tecnológicos de hosting, infraestructura, base de datos, almacenamiento, comunicaciones, seguridad, soporte, analítica y mantenimiento.
• Stripe y otros proveedores de pago.
• Proveedores de correo electrónico, notificaciones, mensajería o comunicaciones transaccionales.
• Proveedores de analítica técnica, monitorización y errores, cuando proceda.
• Asesores legales, fiscales, contables o auditores.
• Autoridades administrativas, judiciales, fiscales, regulatorias o policiales cuando exista obligación legal.
• Terceros en caso de operación societaria, fusión, adquisición, reestructuración o transmisión de activos, con garantías adecuadas.
• Otros terceros cuando el usuario lo autorice o exista base jurídica suficiente.

Trakker no vende datos personales ni datos de salud de sus usuarios a terceros.

Las comunicaciones de datos obtenidos de Google y sus derivados están sujetas además a las restricciones del apartado 27.7. Las cláusulas generales de destinatarios y operaciones societarias no permiten eludirlas; cuando una transmisión por fusión, adquisición o venta de activos afecte a esos datos, se obtendrá el consentimiento explícito previo exigido por Google.

Si autorizas el píxel, los datos descritos en el apartado 5.9 se comunican a Meta Platforms Ireland Limited para medir campañas y conversiones de Trakker. La ausencia de venta de datos no significa que no exista esta comunicación a un tercero.

En las operaciones de recogida y transmisión de datos mediante el píxel cuyos fines y medios se determinan conjuntamente, Trakker y Meta Platforms Ireland Limited actúan como corresponsables. Esta corresponsabilidad se limita a esas operaciones y no implica que todos los tratamientos posteriores de Meta se realicen por cuenta de Trakker. Trakker facilita la información y recaba el consentimiento en su web. Puedes ejercer tus derechos frente a Trakker o Meta; Trakker atenderá o coordinará las solicitudes que le correspondan.

Puedes consultar las condiciones de las herramientas empresariales de Meta en https://www.facebook.com/legal/terms/businesstools, el anexo de corresponsabilidad en https://www.facebook.com/legal/controller_addendum y su información de privacidad en https://www.facebook.com/privacy/policy/. También puedes solicitar a dpo@trakker.fit información sobre el alcance del tratamiento y del acuerdo aplicable.

14. Proveedores y subencargados

Trakker podrá contratar proveedores que traten datos personales por cuenta de Trakker para prestar la Plataforma.

Estos proveedores podrán incluir:

• Proveedores de infraestructura cloud.
• Proveedores de base de datos.
• Proveedores de almacenamiento.
• Proveedores de autenticación.
• Proveedores de correo electrónico y notificaciones.
• Proveedores de pagos como Stripe.
• Proveedores de soporte.
• Proveedores de analítica técnica.
• Proveedores de monitorización de errores.
• Proveedores de seguridad.

Trakker formaliza los acuerdos de encargo y subencargo exigibles antes de que el proveedor acceda a los datos por su cuenta, conforme al RGPD.

Trakker mantendrá una lista actualizada de subencargados o facilitará información sobre ellos cuando sea legalmente exigible.

En las funciones de Google, Supabase presta autenticación y base de datos y Vercel aloja la aplicación web. Los proveedores que intervienen en la custodia de credenciales o seguridad acceden únicamente a los datos necesarios para su función. Puedes solicitar en dpo@trakker.fit información actualizada sobre entidades, servicios, subencargados y garantías. Google gestiona la identidad y el calendario asociado a la cuenta seleccionada conforme a las condiciones aplicables a esa cuenta personal o de Google Workspace. El Profesional selecciona el calendario de destino y administra sus permisos de acceso.

15. Stripe y pagos

Trakker utiliza Stripe para gestionar determinados pagos.

15.1. Pagos de Profesionales a Trakker

Para el cobro de suscripciones, planes SaaS, facturación y pagos recurrentes de Profesionales a Trakker, Trakker podrá utilizar Stripe Billing y otros servicios de Stripe.

En este flujo, Trakker trata datos necesarios para gestionar la relación contractual con el Profesional y Stripe procesa datos de pago conforme a sus propias condiciones, acuerdos y políticas de privacidad.

15.2. Pagos de Clientes Finales a Profesionales

Para los pagos de Clientes Finales a Profesionales, Trakker podrá utilizar Stripe Connect y, según la configuración habilitada, cuentas Standard y cargos directos u otros flujos compatibles.

Cuando el flujo sea de cobro directo, el Profesional figurará como vendedor o prestador del servicio profesional, y Trakker podrá cobrar una comisión tecnológica o application fee según se detalle en los Términos y Condiciones.

Stripe puede tratar datos personales como nombre, correo electrónico, identificadores de pago, información de método de pago, dirección de facturación, importe, fecha, información antifraude, información fiscal, información de verificación de identidad, datos bancarios del Profesional y otra información necesaria para procesar pagos, prevenir fraude, cumplir obligaciones regulatorias y prestar sus servicios.

Stripe puede actuar como encargado del tratamiento, responsable independiente o ambos, según el contexto y la finalidad concreta del tratamiento.

Trakker no almacena de forma ordinaria los datos completos de tarjeta bancaria.

16. Transferencias internacionales de datos

Algunos proveedores tecnológicos, de pago o de medición publicitaria pueden tratar datos o permitir accesos desde países situados fuera del Espacio Económico Europeo. Antes de realizar una transferencia internacional, Trakker verificará el mecanismo aplicable y adoptará, según corresponda, una o varias de las siguientes garantías:

• Decisiones de adecuación de la Comisión Europea, incluido el Marco de Privacidad de Datos UE-EE. UU. cuando resulte aplicable al destinatario.
• Cláusulas contractuales tipo aprobadas por la Comisión Europea y, cuando proceda, medidas complementarias.
• Normas corporativas vinculantes.
• Medidas técnicas, organizativas y contractuales complementarias.
• Otros mecanismos legalmente válidos.

El píxel de Meta puede implicar la transferencia de identificadores y eventos a entidades del grupo Meta situadas fuera del Espacio Económico Europeo, incluida Meta Platforms, Inc. en Estados Unidos. Estas transferencias requieren un mecanismo válido conforme al capítulo V del RGPD; el consentimiento para activar el píxel no sustituye las garantías exigibles para la transferencia internacional.

El usuario puede solicitar información adicional y, cuando proceda, una copia de las garantías aplicadas contactando con Trakker en dpo@trakker.fit.

La autenticación con Google, Calendar y los proveedores de infraestructura pueden implicar procesamiento o acceso fuera del Espacio Económico Europeo. Estos flujos están sujetos a las garantías de esta sección, que Trakker verifica antes de habilitarlos. Puedes solicitar información sobre las entidades destinatarias, los países, los mecanismos y las garantías aplicables en dpo@trakker.fit.

17. Conservación de datos

Trakker conservará los datos personales durante el tiempo necesario para cumplir las finalidades para las que fueron recogidos y, posteriormente, durante los plazos necesarios para cumplir obligaciones legales, atender reclamaciones, prevenir fraude, garantizar seguridad, resolver disputas o defender derechos.

Con carácter general:

• Los datos de cuenta se conservarán mientras la cuenta esté activa.
• Los datos necesarios para facturación, contabilidad y obligaciones fiscales se conservarán durante los plazos legales aplicables.
• Los datos contractuales se conservarán durante la vigencia de la relación y, posteriormente, durante los plazos de prescripción de responsabilidades.
• Los datos de soporte se conservarán durante el tiempo necesario para gestionar la consulta y posibles responsabilidades.
• Los datos técnicos y logs se conservarán durante el tiempo necesario para seguridad, auditoría y funcionamiento de la Plataforma.
• Los datos de salud, entrenamiento, nutrición, métricas, fotografías o seguimiento se conservarán mientras sean necesarios para la relación entre Profesional y Cliente Final o mientras exista base jurídica para ello.
• Los datos sujetos a bloqueo se conservarán únicamente para atender responsabilidades legales, reclamaciones o requerimientos de autoridades.
• Las copias de seguridad podrán conservarse durante periodos limitados adicionales por razones de seguridad y continuidad de negocio.

Cuando Trakker actúe como encargado del tratamiento, la conservación, supresión o devolución de los datos se realizará conforme a las instrucciones del Profesional responsable y al Contrato de Encargo del Tratamiento.

En la medición publicitaria deben distinguirse la duración de las cookies en el navegador, la conservación de las preferencias de consentimiento y la conservación de los eventos ya comunicados a Meta. La duración de cada cookie se detalla en la Política de Cookies. Los eventos se conservarán durante el tiempo necesario para atribuir y medir las conversiones de las campañas, atendiendo a las ventanas de atribución utilizadas y a los plazos aplicables de las herramientas empresariales de Meta; no se conservarán por el mero hecho de que la cuenta de Trakker siga activa. Puedes solicitar información sobre esos plazos y ejercer tus derechos en dpo@trakker.fit.

La retirada del consentimiento impide continuar la recogida basada en él, pero no equivale por sí sola a borrar los eventos ya comunicados a Meta. Puedes solicitar su supresión cuando proceda. La información necesaria para acreditar las decisiones de consentimiento y atender responsabilidades se conservará únicamente durante los plazos necesarios para esos fines.

Para los datos de Google Calendar prevalecen los plazos y reglas del apartado 27.6 frente a los criterios generales de esta sección. No se conserva información de calendario por el mero hecho de que siga activa la cuenta de Trakker.

18. Eliminación de cuenta y supresión de datos

El usuario podrá solicitar la eliminación de su cuenta a través de los mecanismos disponibles en la Plataforma o contactando con Trakker.

Tras la solicitud:

• Trakker eliminará o anonimizará los datos que ya no sean necesarios.
• Determinados datos podrán conservarse bloqueados cuando sea necesario para cumplir obligaciones legales, atender reclamaciones o defender derechos.
• Los datos incluidos en copias de seguridad podrán permanecer durante un periodo limitado hasta la expiración de dichas copias.
• Si los datos son tratados por cuenta de un Profesional, Trakker podrá necesitar coordinar la solicitud con dicho Profesional cuando actúe como responsable del tratamiento.

La baja de cuenta desconecta Calendar y activa la revocación de credenciales y la eliminación de datos de la conexión. Los eventos ya creados en Google permanecen salvo que el usuario elija su borrado antes de desconectar o se tramite una solicitud de supresión aplicable. La eliminación en Google requiere acceso válido y se limita a las copias identificadas como creadas por Trakker; véase el apartado 27.6.

19. Seguridad de los datos

Trakker aplica medidas técnicas y organizativas adecuadas al riesgo para proteger los datos personales.

Estas medidas pueden incluir:

• Cifrado de datos en tránsito.
• Cifrado de datos sensibles en reposo cuando proceda.
• Control de accesos.
• Autenticación de usuarios.
• Gestión de permisos por roles.
• Segregación lógica de datos.
• Registro de actividad.
• Copias de seguridad.
• Monitorización de seguridad.
• Gestión de vulnerabilidades.
• Restricción de acceso al personal autorizado.
• Confidencialidad contractual.
• Medidas de minimización.
• Medidas de seudonimización o agregación cuando proceda.
• Procedimientos de gestión de incidentes.
• Revisión de proveedores.
• Medidas de continuidad de negocio.

Ningún sistema es completamente seguro. El usuario debe proteger sus credenciales, evitar compartir su cuenta, mantener sus dispositivos actualizados y comunicar cualquier sospecha de acceso no autorizado.

Para Google Calendar, Trakker cifra los tokens almacenados, mantiene sus claves separadas de las credenciales, limita su uso al servidor y aplica controles de acceso por usuario. Los registros técnicos no incluyen tokens, títulos, descripciones ni otros contenidos de eventos. La política de desconexión impide recuperar credenciales utilizables a partir de copias de seguridad.

20. Brechas de seguridad

En caso de violación de seguridad de datos personales, Trakker actuará conforme a la normativa aplicable.

Cuando Trakker actúe como responsable, evaluará el incidente y, si existe un riesgo para los derechos y libertades, lo notificará a la autoridad de control sin dilación indebida y, cuando sea posible, dentro de las 72 horas siguientes a haber tenido constancia. Si el riesgo es alto, lo comunicará también a las personas afectadas sin dilación indebida, salvo que concurra una excepción legal.

Cuando Trakker actúe como encargado del tratamiento, notificará la violación al Profesional responsable sin dilación indebida, conforme al Contrato de Encargo del Tratamiento, y colaborará razonablemente en la gestión del incidente.

21. Derechos de los usuarios

Los usuarios pueden ejercer los siguientes derechos:

• Acceso: saber si Trakker trata sus datos y obtener información sobre dicho tratamiento.
• Rectificación: solicitar la corrección de datos inexactos o incompletos.
• Supresión: solicitar la eliminación de datos cuando proceda.
• Oposición: oponerse a determinados tratamientos basados en interés legítimo y, en cualquier momento, a la mercadotecnia directa, incluida la elaboración de perfiles relacionada con ella.
• Limitación: solicitar la limitación del tratamiento en determinados supuestos.
• Portabilidad: recibir datos en un formato estructurado y transmitirlos a otro responsable cuando proceda.
• Retirada del consentimiento: retirar el consentimiento en cualquier momento cuando el tratamiento se base en él.
• No ser objeto de decisiones automatizadas: no ser sometido a decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos o afecten significativamente de forma similar, salvo supuestos legalmente permitidos.

Para ejercer derechos, el usuario puede contactar en:

• Correo electrónico: dpo@trakker.fit
• Dirección postal: Calle del Poeta Joan Maragall, 56, bajo 1, 28020 Madrid, España

Trakker podrá solicitar información adicional proporcionada cuando existan dudas razonables sobre la identidad del solicitante; no exigirá de forma general un documento identificativo para ejercer derechos.

Cuando la solicitud afecte a datos tratados por cuenta de un Profesional, Trakker podrá remitir la solicitud al Profesional responsable o colaborar con él para atenderla.

Si la solicitud afecta a citas exportadas a Google, Trakker y el Profesional coordinarán las actuaciones que correspondan. Si Trakker ya no tiene autorización para modificar el calendario, informará de esa limitación y facilitará instrucciones para gestionar la copia desde Google, sin supeditar a una reconexión la eliminación de los datos que conserve Trakker.

22. Reclamación ante la autoridad de control

El usuario puede presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es) si considera que el tratamiento de sus datos no se ajusta a la normativa aplicable.

No obstante, antes de presentar una reclamación, el usuario puede contactar con Trakker para intentar resolver la incidencia.

23. Decisiones automatizadas, perfiles e inteligencia artificial

Trakker podrá incorporar funcionalidades de análisis, automatización, recomendaciones o inteligencia artificial para facilitar la gestión de entrenamientos, métricas, adherencia, evolución, comunicación o planificación.

Salvo que se indique expresamente lo contrario, estas funcionalidades tendrán carácter asistencial o de apoyo y no sustituirán el criterio del Profesional.

Trakker no adoptará decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos o afecten significativamente de forma similar al usuario, salvo que exista base jurídica válida y se apliquen las garantías exigidas por la normativa.

El Profesional será responsable de revisar, validar y adaptar cualquier recomendación, análisis o sugerencia automática antes de aplicarla al Cliente Final. Antes de activar una funcionalidad de IA que trate datos personales, Trakker facilitará la información específica necesaria sobre su finalidad, datos utilizados, proveedor, conservación, transferencias internacionales y garantías; los datos no se usarán para entrenar modelos de terceros salvo que exista información previa y una base jurídica válida.

Los datos obtenidos de Google y sus derivados quedan excluidos de las funcionalidades de IA y del entrenamiento, ajuste o evaluación de modelos en Trakker y en terceros. La cláusula general sobre futuras funcionalidades o bases jurídicas no habilita su uso para esas finalidades.

La medición con Meta permite atribuir visitas, interacciones y conversiones a campañas. Ese tratamiento puede relacionar actividad e identificadores y no debe confundirse con datos anónimos. No tiene por objeto adoptar decisiones automatizadas sobre el acceso del usuario al servicio o sobre sus entrenamientos, nutrición o salud.

24. Datos anonimizados, agregados y estadísticos

Trakker podrá utilizar datos anonimizados, agregados o estadísticos para:

• Mejorar la Plataforma.
• Analizar uso general.
• Crear métricas internas.
• Evaluar rendimiento técnico.
• Desarrollar nuevas funcionalidades.
• Realizar análisis de negocio.
• Elaborar estadísticas.

Los datos anonimizados no permiten identificar a una persona física y no se consideran datos personales. Los datos seudonimizados y los identificadores en línea siguen siendo datos personales cuando permiten identificar o hacer identificable a una persona; esta distinción también se aplica a los datos del píxel de Meta.

Trakker no utilizará datos de salud o datos sensibles identificables para finalidades incompatibles con esta Política sin base jurídica suficiente.

Los datos obtenidos de Google y sus derivados no se utilizan para analítica comercial, publicidad ni análisis de negocio. Su agregación, seudonimización o anonimización no habilita usos excluidos. Solo se permiten las operaciones técnicas necesarias para la conexión, su seguridad y el funcionamiento de la función de calendario conforme al apartado 27.7.

25. Comunicaciones comerciales

Trakker podrá enviar comunicaciones comerciales propias a usuarios que hayan prestado su consentimiento o cuando exista una relación previa y la comunicación se refiera a productos o servicios similares de Trakker, siempre conforme a la normativa aplicable.

El usuario podrá darse de baja en cualquier momento mediante el enlace incluido en las comunicaciones o contactando con Trakker.

La baja en comunicaciones comerciales no afecta al envío de comunicaciones técnicas, contractuales, de seguridad, legales o administrativas necesarias para la prestación del servicio.

La autorización del píxel de Meta es independiente de la autorización para recibir correos u otras comunicaciones comerciales. Aceptar una no implica aceptar la otra; la baja de una tampoco modifica automáticamente la otra. Las preferencias del píxel se gestionan en el panel de cookies.

26. Cookies, SDKs y tecnologías similares

Trakker puede utilizar cookies, SDKs, identificadores de dispositivo y tecnologías similares para permitir el funcionamiento de la Plataforma, recordar preferencias, medir uso, analizar rendimiento, prevenir fraude, mejorar el servicio, realizar comunicaciones o, con consentimiento previo, medir campañas y conversiones publicitarias mediante el píxel de Meta.

El uso de cookies y tecnologías similares se regula en la Política de Cookies.

Trakker solicitará consentimiento previo para las cookies y tecnologías no necesarias, incluido el píxel de Meta. Su activación se decide en la categoría de publicidad del panel de preferencias de cookies. Desde ese panel puedes rechazarla o desactivarla posteriormente sin perder el acceso al servicio. La aceptación de esta Política o de los Términos y Condiciones no activa por sí sola el píxel.

27. Integraciones con terceros

Trakker podrá permitir integraciones con dispositivos, wearables, aplicaciones deportivas, plataformas de salud, servicios de calendario, sistemas de pago u otros terceros.

Cuando el usuario active voluntariamente una integración, solicitará el intercambio de los datos técnicamente necesarios para prestar dicha funcionalidad. Cuando el tratamiento se base en el consentimiento, podrá retirarlo sin afectar a la licitud del tratamiento previo.

La conexión de Google Calendar puede desactivarse desde los ajustes de calendario de Trakker y su acceso puede revocarse desde la cuenta de Google. Para otras integraciones se facilitarán controles e instrucciones específicos de desconexión; cuando su base sea el consentimiento, este podrá retirarse en cualquier momento.

Cuando el tercero actúe como responsable independiente, su propio tratamiento se regirá por sus políticas y condiciones. Esto no limita las obligaciones de Trakker de seleccionar y revisar a los proveedores que actúen por su cuenta ni de informar sobre las comunicaciones y transferencias aplicables.

27.1. Inicio de sesión con Google

Si eliges registrarte o iniciar sesión con Google, Trakker recibe a través de Supabase Auth el identificador de tu cuenta de Google, tu dirección de correo electrónico y los datos básicos de perfil que Google facilite, como tu nombre e imagen de perfil. Los utilizamos para identificarte, crear o vincular tu cuenta de Trakker y gestionar el acceso. No recibimos tu contraseña de Google.

Iniciar sesión con Google no conecta Google Calendar ni autoriza a Trakker a leer o escribir sus eventos. La conexión de calendario se solicita mediante una acción independiente.

27.2. Conexión voluntaria y alcance

Cuando la función esté disponible, el Profesional puede conectar Google Calendar desde los ajustes de calendario. Antes de autorizar, Trakker muestra un aviso sobre los datos consultados y enviados, la sincronización en segundo plano y los efectos de desconectar. El Profesional autoriza los permisos en Google y selecciona un único calendario en el que tenga permiso de escritura.

La función consulta disponibilidad y mantiene sincronizadas las sesiones futuras que el Profesional marque para enviar a Google, dentro de los próximos 180 días. No exporta automáticamente sesiones históricas ni todas las citas por el mero hecho de conectar. La sincronización puede ejecutarse aunque el Profesional no esté usando la aplicación. Los cambios realizados en Google no modifican por sí solos el contenido de las sesiones de Trakker.

27.3. Permisos y datos consultados

Lista de calendarios. El permiso https://www.googleapis.com/auth/calendar.calendarlist.readonly permite consultar la lista de calendarios suscritos. Trakker solicita identificadores, nombres, zonas horarias, condición de calendario principal y nivel de acceso, y muestra para la selección únicamente los calendarios en los que el Profesional tenga permiso de escritura. La lista completa no se conserva de forma permanente.

Eventos. El permiso https://www.googleapis.com/auth/calendar.events permite leer, crear, actualizar y eliminar eventos. Aunque su alcance es más amplio, las operaciones de Trakker se limitan al calendario seleccionado. La lectura detecta disponibilidad y la escritura actúa sobre los eventos correspondientes a sesiones de Trakker; no modifica ni elimina eventos externos.

Disponibilidad. Para detectar intervalos ocupados consultamos identificadores de eventos, inicio y fin, eventos de día completo, estado de cancelación, condición de ocupado o libre, etiquetas de versión y datos técnicos de recurrencia y sincronización. No solicitamos ni importamos títulos, descripciones, asistentes u organizadores de los eventos externos. Consultamos el rango de fechas que el Profesional visualiza, limitado a un máximo de 180 días por consulta, y los próximos 180 días necesarios para la planificación.

Conexión. Procesamos permisos concedidos, tokens de acceso y renovación, calendario elegido, identificadores de eventos, cursores y notificaciones de cambios necesarios para actualizar la disponibilidad y evitar duplicados.

27.4. Finalidades y datos enviados a Google

Usamos los datos del calendario para gestionar la conexión, reflejar disponibilidad, evitar solapamientos y sincronizar las sesiones seleccionadas por el Profesional. Los intervalos ocupados se incorporan a la agenda del Profesional sin mostrar el contenido de los eventos externos a Clientes Finales ni a otros Profesionales.

Al sincronizar una sesión enviamos a Google su título y descripción completos, fechas y horas, zona horaria, ubicación cuando exista y un identificador técnico de Trakker. No añadimos al evento invitados, datos de contacto del cliente ni archivos adjuntos como campos independientes. El contenido que el Profesional escriba en el título, la descripción o la ubicación forma parte del texto enviado.

Creamos los eventos con visibilidad privada. Esta configuración reduce la exposición, pero no impide el acceso de quienes tengan permisos suficientes sobre el calendario, ni los tratamientos del proveedor conforme a sus condiciones. El Profesional debe comprobar la compartición y limitar el contenido a los datos necesarios y lícitos para gestionar sus citas. Las modificaciones o cancelaciones realizadas en Trakker actualizan o eliminan su copia sincronizada mientras la conexión esté activa.

27.5. Información al Cliente Final y responsabilidades del Profesional

Cuando una cita incluya datos personales de un Cliente Final, el Profesional debe determinar y documentar la base jurídica aplicable a su comunicación conforme al RGPD e informar al Cliente Final sobre el uso de Google Calendar, los datos enviados, la finalidad de gestión de citas, los destinatarios y la posible visibilidad para personas con permisos suficientes sobre el calendario. La conexión OAuth habilita técnicamente el acceso al calendario del Profesional; no sustituye la base jurídica ni las obligaciones de información respecto de sus clientes.

Trakker sincroniza los campos de la cita descritos en el apartado 27.4 por instrucciones del Profesional y conforme al Contrato de Encargo del Tratamiento. El Cliente Final puede ejercer los derechos que correspondan ante su Profesional o dirigirse a dpo@trakker.fit. Trakker y el Profesional coordinarán las actuaciones sobre las copias sincronizadas según el apartado 21 y el acceso válido al calendario.

27.6. Conservación, desconexión y eliminación

La lista de calendarios se mantiene solo en una caché temporal de hasta 15 minutos. El calendario elegido y los datos de conexión necesarios se conservan mientras la integración esté activa. Los intervalos ocupados se actualizan y su caché tiene una duración máxima de 24 horas; los datos fuera del rango utilizado se eliminan al renovarla.

Al confirmar la desconexión desde Trakker, se desactiva la sincronización y se tramitan la revocación del acceso y la eliminación de sus tokens sin dilación indebida. Si Google no permite completar temporalmente el cierre, la conexión queda inactiva y las credenciales se mantienen cifradas solo para revocar o ejecutar el borrado elegido, como máximo durante 24 horas; después se eliminan y se informa de cómo retirar el acceso desde Google. Los datos operativos importados y los identificadores de sincronización se eliminan de los sistemas de uso en un máximo de 24 horas. Si revocas desde Google o expira el permiso, aplicamos estas medidas cuando recibimos la señal o detectamos la pérdida de acceso; no reconectamos sin tu intervención.

Antes de desconectar puedes elegir borrar los eventos identificados como creados por Trakker en el calendario elegido, mientras exista autorización válida. Por defecto permanecen en Google y puedes gestionarlos allí. No se borran eventos externos. Si el borrado no puede completarse, Trakker informa del resultado y permite desconectar sin mantener activa la sincronización.

Desconectar Calendar no elimina tu cuenta de Trakker ni desactiva por sí solo el inicio de sesión con Google. Cambiar de calendario requiere una nueva selección informada y explicar si las copias del calendario anterior permanecen o se borran antes del cambio.

Los registros técnicos sin contenido de eventos se conservan hasta 30 días. La evidencia mínima de los avisos al Profesional, sus decisiones de conexión, los permisos concedidos, las revocaciones y las desconexiones se conserva durante la conexión y hasta tres años después de su finalización para acreditar las decisiones y atender reclamaciones. Si existe una reclamación concreta o una obligación legal, se bloquea únicamente la evidencia necesaria durante el plazo aplicable.

Las copias de seguridad que contengan datos operativos tienen una duración máxima de 30 días, acceso restringido y controles para impedir la reactivación o recuperación para uso ordinario de datos suprimidos. Los tokens no permanecen recuperables en esas copias tras su eliminación. Las sesiones originales de Trakker siguen su propia conservación; borrar la conexión no equivale a borrar esas sesiones ni todas las copias existentes en Google.

27.7. Uso Limitado de los datos de Google

El uso por Trakker y la transferencia a otras aplicaciones de información recibida de las API de Google se ajustan a la Política de Datos de Usuario de los Servicios de API de Google, incluidos sus requisitos de Uso Limitado: https://developers.google.com/terms/api-services-user-data-policy.

Los datos obtenidos de Google y sus derivados se utilizan únicamente para las funciones descritas y su funcionamiento y seguridad. No se venden, no se comunican a Meta u otras plataformas publicitarias y no se utilizan para publicidad, analítica comercial, análisis de negocio o servicios de IA y entrenamiento de modelos. Estas restricciones se mantienen aunque los datos se agreguen o anonimicen.

Solo se comparten cuando sea necesario para prestar las funciones visibles solicitadas con la autorización del usuario, proteger la seguridad o cumplir la ley. Una transferencia por fusión, adquisición o venta de activos requiere consentimiento explícito previo. El personal no lee los datos salvo consentimiento afirmativo documentado para datos concretos, necesidad de seguridad o cumplimiento legal, o datos agregados y anonimizados para operaciones internas permitidas. Las disposiciones generales de esta Política no amplían estos usos.

27.8. Protección, proveedores y ayuda

Supabase presta los servicios de autenticación y base de datos y Vercel aloja la aplicación web. Los datos de identidad se incorporan a la cuenta de Trakker. Las credenciales de Calendar se cifran cuando se almacenan y se utilizan únicamente en el servidor; sus claves se mantienen separadas. Las comunicaciones utilizan HTTPS y el acceso se limita mediante autenticación y controles por usuario. No ponemos los tokens a disposición de Clientes Finales ni de otros Profesionales.

No registramos tokens ni títulos o descripciones de eventos en herramientas de analítica, registros técnicos o mensajes de error. El soporte que requiera ver datos concretos sigue las condiciones de acceso del apartado 27.7. Los acuerdos con proveedores y las garantías de transferencias se describen en los apartados 14 y 16.

Puedes desconectar desde los ajustes de calendario de Trakker y retirar el acceso desde la sección de conexiones con terceros de tu cuenta de Google, disponible en https://myaccount.google.com/connections. Para gestionar eventos conservados, utiliza Google Calendar. Puedes pedir ayuda o ejercer derechos en dpo@trakker.fit. La revocación en Google no elimina automáticamente los eventos ya creados.

28. Obligaciones de los Profesionales en materia de privacidad

Los Profesionales que utilizan Trakker se comprometen a:

• Cumplir el RGPD, la LOPDGDD y demás normativa aplicable.
• Informar adecuadamente a sus Clientes Finales.
• Determinar la base jurídica del tratamiento.
• Obtener consentimiento explícito cuando sea necesario.
• No introducir datos excesivos, innecesarios o no pertinentes.
• Tratar datos de salud, biométricos o sensibles únicamente cuando sea necesario y lícito.
• Configurar correctamente permisos y accesos.
• No compartir credenciales.
• No exportar datos sin base legal y medidas de seguridad adecuadas.
• Antes de sincronizar citas con Google, informar al Cliente Final cuando se comuniquen sus datos, determinar y documentar la base jurídica aplicable, revisar los permisos del calendario y seleccionar únicamente las sesiones cuyo contenido sea necesario y lícito para gestionar las citas. Atender las solicitudes de derechos y coordinar con Trakker las actuaciones que correspondan sobre las copias sincronizadas.
• No publicar fotografías, testimonios o resultados de Clientes Finales sin autorización válida.
• Atender derechos de los interesados cuando actúen como responsables.
• Notificar incidentes de seguridad cuando proceda.
• Mantener confidencialidad.
• Suscribir o aceptar el Contrato de Encargo del Tratamiento con Trakker.

El incumplimiento de estas obligaciones podrá generar las responsabilidades previstas en la normativa, en los Términos y Condiciones y en el Contrato de Encargo del Tratamiento, sin que esta Política amplíe por sí sola la responsabilidad legal de las partes.

29. Contrato de Encargo del Tratamiento

Cuando Trakker actúe como encargado del tratamiento por cuenta del Profesional, el tratamiento se regulará por un Contrato de Encargo del Tratamiento conforme al RGPD.

Dicho contrato podrá incorporarse como anexo a los Términos y Condiciones, aceptarse durante el registro o formalizarse mediante documento independiente.

El Profesional deberá aceptar el Contrato de Encargo del Tratamiento antes de gestionar Clientes Finales en Trakker.

Cuando se utilice Google Calendar para datos de clientes, el encargo comprende la gestión de citas, importación de disponibilidad, exportación bajo instrucciones y asistencia en información, derechos, desconexión y supresión, con los destinatarios y garantías correspondientes. El Profesional selecciona y administra el calendario de destino conforme a las condiciones de su cuenta de Google.

El Contrato de Encargo regulará, entre otros aspectos:

• Objeto del encargo.
• Duración.
• Naturaleza y finalidad del tratamiento.
• Categorías de datos.
• Categorías de interesados.
• Obligaciones de Trakker como encargado.
• Obligaciones del Profesional como responsable.
• Medidas de seguridad.
• Subencargados.
• Transferencias internacionales.
• Asistencia en derechos e incidentes.
• Supresión o devolución de datos.
• Responsabilidad.

30. Evaluación de Impacto en Protección de Datos

Antes de iniciar o ampliar tratamientos que puedan implicar datos de salud, métricas corporales, datos fisiológicos, fotografías de progreso, registros alimentarios, perfilado o seguimiento continuado, Trakker realizará y documentará un análisis de riesgos y verificará si resulta exigible una Evaluación de Impacto en Protección de Datos.

Cuando el análisis determine que el tratamiento puede entrañar un alto riesgo para los derechos y libertades de las personas físicas, Trakker realizará una Evaluación de Impacto antes de iniciar o ampliar dicho tratamiento y revisará sus conclusiones cuando cambien el riesgo, la escala, las finalidades, la tecnología o las categorías de datos.

31. Contacto de privacidad

Contacto de privacidad: dpo@trakker.fit

32. Cambios en esta Política

Trakker podrá modificar esta Política de Privacidad para adaptarla a cambios legales, técnicos, operativos, de seguridad, funcionales o de negocio.

Cuando los cambios sean sustanciales, Trakker informará a los usuarios mediante la Plataforma, correo electrónico u otros medios adecuados. Si se prevé utilizar datos para una nueva finalidad, facilitará la información correspondiente antes de iniciar ese tratamiento.

Cuando el cambio requiera consentimiento, Trakker lo solicitará antes de aplicar el tratamiento correspondiente. La mera publicación de una nueva versión o la continuidad en el uso de Trakker no sustituyen ese consentimiento.

La incorporación de Google Calendar se comunica al Profesional antes de activar la integración. Cuando se vayan a comunicar datos de Clientes Finales, el Profesional debe facilitarles la información aplicable antes de esa comunicación. Un cambio del destino, del alcance o de los usos exige revisar la información y la base jurídica correspondiente; el uso continuado de Trakker no sustituye un consentimiento cuando la normativa lo requiera.

33. Contacto

Para cualquier consulta sobre privacidad o protección de datos, el usuario puede contactar con Trakker en:

• Correo electrónico de privacidad: dpo@trakker.fit
• Dirección postal: Calle del Poeta Joan Maragall, 56, bajo 1, 28020 Madrid, España
• Atención general y soporte: soporte@trakker.fit

Anexo I — Información específica para Clientes Finales

Cuando usas Trakker como Cliente Final, debes saber que:

• Trakker es una herramienta tecnológica.
• Tu Profesional puede acceder a los datos que compartes en la Plataforma.
• Tu Profesional puede tratar datos sensibles, como entrenamientos, comidas, métricas, fotos de progreso o información de salud que introduzcas.
• Tu Profesional es responsable de utilizar esos datos correctamente para prestarte sus servicios.
• Trakker protege técnicamente la Plataforma, pero no controla todas las decisiones profesionales tomadas por tu Profesional.
• Tu Profesional puede sincronizar tus citas con Google Calendar para gestionar su agenda. Se envían el título y la descripción completos, fechas y horas, zona horaria y ubicación cuando exista. El contenido puede ser visible para personas con permisos suficientes sobre el calendario. Tu Profesional debe informarte sobre este tratamiento y contar con una base jurídica válida. Puedes ejercer los derechos que correspondan ante tu Profesional o contactar con dpo@trakker.fit, incluida la solicitud de supresión de las copias cuando proceda.
• No debes introducir datos médicos innecesarios.
• Si tienes una lesión, enfermedad, síntoma, embarazo, medicación o duda médica, debes consultar con un profesional sanitario cualificado.
• Puedes ejercer tus derechos contactando con Trakker o, cuando corresponda, con tu Profesional.

Anexo II — Información específica para Profesionales

Cuando usas Trakker como Profesional, debes saber que:

• Puedes actuar como responsable del tratamiento respecto de los datos de tus Clientes Finales.
• Debes informar a tus Clientes Finales sobre cómo tratas sus datos.
• Debes contar con base jurídica suficiente para tratar datos de salud, biométricos o sensibles.
• Debes obtener consentimiento explícito cuando sea necesario.
• Debes usar Trakker conforme al Contrato de Encargo del Tratamiento.
• Debes limitar el acceso a datos de Clientes Finales a personas autorizadas.
• Debes evitar exportar datos fuera de Trakker salvo que sea necesario y seguro.
• En Google Calendar debes cumplir el apartado 27, revisar el acceso al calendario, limitar el contenido a los datos necesarios y lícitos para gestionar las citas e informar a los Clientes Finales cuando comuniques sus datos. Debes determinar y documentar la base jurídica aplicable; la conexión de tu cuenta de Google no sustituye esas obligaciones.
• Debes atender derechos de tus Clientes Finales cuando te corresponda.
• Debes notificar incidentes de seguridad cuando proceda.
• Debes cumplir la normativa de protección de datos aplicable a tu actividad.

Anexo III — Aviso específico sobre datos biométricos

Trakker puede tratar datos que, en sentido amplio, se relacionen con el cuerpo, fisiología, imagen, rendimiento físico o evolución corporal.

Los datos biométricos son los obtenidos mediante un tratamiento técnico específico relativo a características físicas, fisiológicas o conductuales que permite o confirma la identificación única de una persona. El artículo 9 del RGPD protege como categoría especial los datos biométricos dirigidos a identificar de manera unívoca. Una fotografía o métrica corporal no es por sí sola un dato biométrico de esa categoría, aunque puede revelar datos de salud y requerir su protección.

Trakker no utilizará datos biométricos para identificar de manera unívoca a una persona, salvo que exista base jurídica válida, información clara, garantías adecuadas y, cuando proceda, consentimiento explícito.

Trakker no recomienda utilizar fotografías corporales, métricas o datos fisiológicos para finalidades distintas del seguimiento acordado entre Profesional y Cliente Final.

Anexo IV — Aviso específico sobre fotografías de progreso

Las fotografías de progreso pueden revelar información sensible sobre el cuerpo, salud, estado físico, evolución, hábitos o condición personal del Cliente Final.

Por ello:

• Solo deben subirse cuando sean necesarias para el seguimiento.
• El Cliente Final debe conocer quién tendrá acceso a ellas.
• El Profesional no podrá descargarlas, publicarlas o compartirlas sin autorización válida.
• El Profesional no podrá utilizarlas como testimonio, caso de éxito o publicidad sin consentimiento expreso, específico y documentado.
• Trakker aplicará medidas de seguridad razonables para protegerlas.
• El Cliente Final podrá solicitar su supresión cuando proceda.

Anexo V — Aviso específico sobre integraciones deportivas o wearables

Si el usuario conecta Trakker con dispositivos, wearables o aplicaciones externas, podrán importarse datos como entrenamientos, frecuencia cardiaca, sueño, actividad, calorías, distancias, ritmos, potencia, recuperación u otras métricas.

El usuario debe revisar los permisos concedidos y las políticas de privacidad del proveedor externo.

Cuando esos terceros actúen como responsables independientes, Trakker no controla su exactitud, disponibilidad, seguridad o políticas de privacidad, sin perjuicio de las obligaciones que correspondan respecto de proveedores que actúen por cuenta de Trakker.

El usuario puede retirar el consentimiento cuando sea la base del tratamiento y solicitar la desconexión de la integración mediante sus controles o contactando con Trakker. Para Google Calendar se aplica el procedimiento específico del apartado 27.