Centro de Transparencia.

En TheFittClub cuidamos tus datos con la misma calma con la que cuidamos tu cuerpo. Aquí te explicamos, sin letra pequeña, qué datos tratamos, para qué, durante cuánto tiempo y qué control tienes sobre ellos, conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).

1. Responsable del tratamiento

• Responsable: Virginia Galadriel Calero López (Gala Calero).
• Contacto: info@thefittclub.com
• Datos identificativos completos (NIF y domicilio): ver el Aviso Legal.

2. Qué datos tratamos, para qué y con qué base legal

• Cuenta y acceso (correo, nombre, credenciales cifradas): para crear y gestionar tu cuenta. Base: ejecución del contrato (art. 6.1.b RGPD).
• Perfil físico y respuestas del onboarding (nivel, objetivos y, si decides personalizar, situación posparto, partos, consideraciones físicas): para calibrar tu plan y evitar movimientos no recomendados. Base: el contrato para los datos ordinarios y tu consentimiento explícito (art. 9.2.a RGPD) para los datos de salud.
• Bitácora y etiquetas de IA (si activas el diario): para devolverte tus propias reflexiones organizadas. Base: tu consentimiento explícito para esa función.
• Progreso de tus sesiones: para mostrarte tu evolución. Base: el contrato.
• Analítica de producto: qué páginas abres y qué botones tocas dentro de la web. Lo registra PostHog desde tu navegador, con el código de tu cuenta. Nunca lo que escribes, ni tu nombre, tu correo o nada sobre tu cuerpo, tu posparto o tu bitácora; tu dirección IP sí llega a PostHog con cada evento, y la usamos solo para situar tu país. Sirve para entender cómo se usa el producto y mejorarlo. Base: tu consentimiento (art. 6.1.a RGPD), el del banner de cookies. Para decir que no: «Configurar cookies», al pie de cualquier página. Lo registrado antes de decir que no no se borra solo: se borra si nos lo pides o al borrar tu cuenta.
• Tus pasos dentro del método: tu primera entrada, el final del onboarding, tu primera sesión completada, cuatro días de práctica en una semana, cada fase que ganas y la llegada a la última. Los envía nuestro servidor, no tu navegador, con el código de tu cuenta y el paso dado; nada más: ni tu nombre, tu correo o tu IP, ni nada sobre tu cuerpo, tu posparto o tu bitácora. Sirven para saber si el método funciona y si quienes invitamos llegan a entrar. Base: nuestro interés legítimo (art. 6.1.f RGPD): no te pedimos permiso, te lo contamos aquí y puedes negarte. Para decir que no: escribe a info@thefittclub.com (tu derecho de oposición, art. 21 RGPD); el banner de cookies no afecta a estos avisos. Al oponerte, dejamos de enviarlos y borramos los ya enviados.
• Monitorización de errores (cuando algo falla: identificador interno, página, idioma y navegador): para mantener el servicio estable y seguro. Base: interés legítimo (art. 6.1.f RGPD).
• Facturación (cuando haya pagos): para cobrar y cumplir las obligaciones fiscales. Base: contrato y obligación legal (art. 6.1.b y 6.1.c).
• Testimonios (tu nombre, email, país y las respuestas que escribes en el formulario «Tu historia»): para publicar tu experiencia con el nivel de atribución que tú eliges — con tu nombre completo, solo tu nombre de pila o de forma anónima — en nuestra web, en nuestras redes sociales y en nuestras comunicaciones por email. Base: tu consentimiento (art. 6.1.a) y, cuando tu historia menciona datos de salud, tu consentimiento explícito (art. 9.2.a). Nada se publica sin ese permiso, y puedes retirarlo cuando quieras escribiendo a info@thefittclub.com.
• Correos que te enviamos y sus métricas (si nos diste permiso para escribirte: qué correo te enviamos, si te llegó, si se abrió, en qué enlace pulsaste y si rebotó): para saber qué contenidos te sirven de verdad, dejar de enviarte lo que no te interesa y cuidar que nuestros correos sigan llegando. La apertura se mide con un pequeño píxel y los clics con enlaces de medición de nuestro proveedor de envío (Resend); no usamos rastreadores de terceros. Base: tu consentimiento (art. 6.1.a RGPD), el mismo con el que aceptaste recibir estos correos; los avisos técnicos de entrega y rebote se apoyan en nuestro interés legítimo en un envío estable (art. 6.1.f). Con la baja (enlace en cada correo) dejamos de enviarte y de medir.
• Tu dirección en nuestra lista de contactos (correo, nombre, país, idioma, por qué puerta nos dejaste el correo —el auto-test, una guía o una lista de espera— y, si hiciste el auto-test, el resultado y las semanas que te salieron): para escribirte con novedades, guías y lo que vamos abriendo. Base: tu consentimiento (art. 6.1.a RGPD), el que nos diste al dejarnos el correo. Guardamos la fecha y la versión del texto que aceptaste, como prueba de que nos lo diste. Puedes darte de baja desde cualquier correo que te enviemos o escribiendo a info@thefittclub.com.
• Tu baja de nuestros correos (tu dirección y la fecha en que la pediste): para no volver a escribirte nunca. Base: interés legítimo y obligación legal (art. 6.1.f y 6.1.c RGPD) — no es tu consentimiento, porque el consentimiento es justo lo que acabas de retirar; lo que nos obliga a guardarlo es tu propia petición, que no podríamos respetar si la olvidáramos.

3. Datos de salud (categoría especial)

Tratamos como datos de salud (art. 9 RGPD) tu situación posparto, las consideraciones físicas que nos compartes y el texto de tu bitácora. Solo los guardamos con tu consentimiento explícito. Puedes usar el producto que has contratado sin compartirlos: si eliges entrar sin personalizar, accedes con un plan base y nada de esto se almacena. TheFittClub es un producto de bienestar y forma física; no es un servicio médico ni diagnostica ni trata ninguna enfermedad.

Tratamos también como datos de salud el texto de los testimonios que nos envías, porque al contar tu experiencia puedes mencionar tu situación posparto o consideraciones físicas. Se publican únicamente con tu consentimiento explícito y con la atribución que hayas elegido; si retiras el permiso, dejamos de publicarlo y no vuelve a aparecer en ningún uso nuevo.

4. Quién más trata tus datos (encargados)

Trabajamos con proveedores que tratan datos por encargo nuestro, bajo contrato (art. 28 RGPD):

• Cloudflare — alojamiento y base de datos (datos en la UE; entidad matriz en EE. UU.).
• Anthropic — análisis con IA del texto de la bitácora (EE. UU.).
• Resend — envío de correos de servicio y de novedades, y sus métricas de entrega y lectura (EE. UU.; infraestructura de envío en la UE).
• PostHog — analítica de producto (datos en la UE, Fráncfort; entidad matriz en EE. UU.).
• Sentry — monitorización de errores (datos recibidos en la UE, Alemania; entidad matriz en EE. UU.).
• Stripe — pagos (cuando se activen; entidades en Irlanda y EE. UU.).
• Meta Platforms — publicación de testimonios en Instagram, únicamente cuando lo has consentido (EE. UU.).

No vendemos tus datos ni los cedemos a terceros para sus propios fines.

5. Transferencias internacionales

Varios de estos proveedores tienen su entidad matriz en EE. UU. (Anthropic, Resend, Cloudflare, PostHog, Sentry, Meta y, cuando se active, Stripe), aunque en varios casos los datos se alojan en la UE. Cuando existe transferencia a EE. UU., se ampara en las cláusulas contractuales tipo de la Comisión Europea, con las garantías adecuadas.

6. Cuánto tiempo conservamos tus datos

• Datos de cuenta y perfil: mientras tengas cuenta; tras solicitar la baja, 30 días de gracia y se eliminan.
• Datos de salud: mientras tengas cuenta o hasta que retires el consentimiento; tras tu retirada o solicitud, los eliminamos en un plazo máximo de un mes.
• Testimonios: mientras sigan publicados y, en todo caso, hasta que retires tu consentimiento; al retirarlo los despublicamos y dejan de usarse en nada nuevo. Lo ya impreso o compartido antes de la retirada no siempre puede recuperarse, por eso pedimos el permiso antes de publicar. Si tu historia nunca llega a publicarse — porque sigue pendiente de revisión o porque decidimos no publicarla — la borramos a los 12 meses de que nos la enviaras, sin que tengas que pedirlo. Y si retiras tu permiso sobre una historia ya publicada, la despublicamos y borramos tu nombre y tu email en ese mismo momento; el registro de que la publicaste con permiso y de que la retiraste se conserva 12 meses más, ya sin identificarte, y después se borra entero.
• Registro de consentimientos: 3 años desde que termina la relación, como prueba.
• Facturación: el plazo legal contable (7 años) cuando haya pagos; si suprimes tu cuenta, desvinculamos y redactamos tus datos personales y conservamos la fila financiera por obligación legal (art. 17.3.b RGPD).
• Tu dirección en nuestra lista de contactos: 48 meses desde la última interacción por tu parte, y después borramos la ficha entera. Cuenta como interacción tuya abrir o pulsar uno de nuestros correos, volver a dejarnos tus datos, comprar o entrar en la plataforma. Que nosotras te enviemos un correo no cuenta. Darte de baja tampoco alarga nada: pedirnos que dejemos de escribirte no reinicia el plazo, ni aunque lo hagas pulsando el enlace de un correo nuestro. Y mientras tengas cuenta abierta el plazo no corre, porque estás entrenando con nosotras.
• Tu baja, si nos pides que dejemos de escribirte: guardamos solo tu dirección y la fecha, en una lista aparte, y esa lista no se borra. Es la única manera de cumplir lo que nos pediste: si la borráramos y volvieras a dejarnos el correo más adelante, te escribiríamos otra vez sin saber que habías dicho que no. Su único uso es ese. El resto de tu ficha —nombre, país, por qué puerta entraste, tu resultado— se borra en el plazo de arriba, como siempre.
• Métricas de correos (entregas, aperturas, clics y rebotes): 24 meses desde el evento; se eliminan antes si borras tu cuenta o ejerces la supresión.
• Registro de auditoría de seguridad: 7 años; se conserva aunque elimines la cuenta, como registro de defensa jurídica (art. 17.3.e RGPD).
• Registros de errores: 90 días (se eliminan automáticamente).
• Registros del proveedor de IA (Anthropic): 30 días en el proveedor; no ofrece borrado individual, por eso limpiamos los datos identificativos del texto antes de enviarlo.
• Analítica de producto: en PostHog hasta 7 años, el plazo de su proveedor. Decir que no en «Configurar cookies» detiene el registro; lo anterior se borra si nos lo pides en info@thefittclub.com o al borrar tu cuenta.
• Tus pasos dentro del método: en PostHog hasta 7 años, o hasta que te opongas o borres tu cuenta; entonces se borran. Tu oposición la guardamos mientras tengas cuenta, para seguir respetándola.
• Copias de seguridad: 90 días rotativos; los datos eliminados desaparecen también de las copias dentro de ese plazo.

7. Tus derechos

Puedes ejercer en cualquier momento tus derechos de acceso, rectificación, supresión, oposición, limitación, portabilidad y retirar tu consentimiento (sin que ello afecte a la licitud del tratamiento anterior). Para ejercerlos, escríbenos a info@thefittclub.com; te responderemos en el plazo máximo de un mes.

8. Reclamación ante la autoridad de control

Si consideras que no hemos tratado tus datos correctamente, puedes reclamar ante la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid — www.aepd.es.

9. Cambios en esta política

Si cambiamos algo relevante, actualizaremos esta página y la fecha de vigencia, y cuando sea necesario te lo pediremos de nuevo.