Política de Privacidad — FITBA

FITBA – Fitness & Balance (“FITBA”) es una plataforma tecnológica para entrenamiento, nutrición, seguimiento de progreso, membresías, comunicación con entrenadores, gamificación y actividades deportivas. Esta política aplica a la app móvil FITBA, sus servicios web asociados y las funcionalidades conectadas con gimnasios, centros deportivos, coaches, entrenadores u organizaciones que utilicen la plataforma.

Canal de privacidad y ejercicio de derechos: javierquiandra@gmail.com.

• FITBA actúa como responsable cuando determina directamente finalidades y medios de operaciones propias de la plataforma, como administración de cuenta, autenticación, seguridad, prevención de fraude, evidencias legales, soporte, operación técnica, preferencias y cumplimiento de obligaciones propias.
• El gimnasio, centro deportivo, coach u organización puede actuar como responsable independiente respecto de los tratamientos que determine directamente sobre sus usuarios o deportistas.
• FITBA puede actuar como encargado cuando procesa datos siguiendo instrucciones documentadas del responsable correspondiente.
• Podrá existir responsabilidad conjunta cuando dos partes determinen conjuntamente fines y medios esenciales de un tratamiento y así se documente.

La identificación legal completa, domicilio y teléfono del responsable deberán mantenerse actualizados en los canales oficiales de FITBA conforme al artículo 12 de la LOPDP. No se publicarán datos societarios o de contacto que no hayan sido formalmente confirmados.

FITBA mantiene bases de datos y registros electrónicos necesarios para prestar sus servicios, incluyendo cuentas, perfiles, datos de entrenamiento y progreso, consentimientos, registros de seguridad y demás información descrita en esta política.

Los datos pueden obtenerse directamente del usuario; de un gimnasio, centro, coach u organización que cuente con una base de legitimación válida; automáticamente desde el dispositivo o infraestructura técnica cuando sea necesario; y de proveedores tecnológicos que intervengan en una operación solicitada. Si se obtienen datos de una fuente distinta del titular, se informará conforme a la LOPDP salvo excepción legal aplicable.

• Identificación y cuenta: nombre, apellidos, email, teléfono cuando se proporcione, avatar, identificadores internos y datos necesarios para autenticación.
• Fitness y progreso: objetivos, rutinas, entrenamientos, cargas, repeticiones, tiempos, resultados, peso, estatura, medidas corporales, indicadores y fotografías de progreso cuando el usuario decida cargarlas.
• Nutrición: planes, alimentos, calorías, macronutrientes, preferencias y registros que el usuario decida ingresar.
• Ubicación y actividad: coordenadas GPS, trayectos, distancia, duración y datos derivados únicamente cuando el usuario activa voluntariamente funciones deportivas que requieren geolocalización.
• Comunicaciones: mensajes coach-usuario, solicitudes de soporte y preferencias.
• Membresía y transacciones: plan, estado de membresía, referencias de pago e identificadores de operación. FITBA no declara almacenar números completos de tarjetas ni CVV cuando el pago es procesado por un proveedor autorizado.
• Datos técnicos y seguridad: IP cuando corresponda, tipo de dispositivo, sistema operativo, versión de la app, identificadores técnicos, logs de inicio de sesión, seguridad, auditoría y fallos, token push y datos mínimos de red para diagnóstico.
• Evidencia legal: versiones de documentos informados, fechas y horas, consentimientos otorgados o revocados y preferencias de marketing, analytics y notificaciones opcionales.

Determinados datos de salud, condición física, medidas corporales, nutrición y, según su contenido o uso, determinadas fotografías pueden estar sujetos a protección reforzada.

Estas categorías se tratarán únicamente cuando exista una base de legitimación válida y se cumplan las condiciones reforzadas previstas por la normativa. Cuando la base sea el consentimiento, deberá ser libre, específico, informado, inequívoco y, cuando corresponda, explícito y separado de la mera lectura de esta política.

FITBA no vende datos sensibles ni los utiliza con fines discriminatorios. Una fotografía no se considera automáticamente dato biométrico; ese régimen aplica cuando existe tratamiento técnico específico dirigido a identificar de manera única a una persona mediante características biométricas.

• Crear y administrar la cuenta: ejecución del servicio y medidas precontractuales/contractuales aplicables.
• Autenticar y proteger la cuenta: ejecución del servicio, obligaciones legales e interés legítimo documentado cuando proceda.
• Rutinas y seguimiento: ejecución del servicio y, para categorías especiales, la habilitación reforzada aplicable.
• Nutrición y fotografías de progreso: ejecución de la funcionalidad solicitada y, cuando corresponda, consentimiento explícito u otra habilitación legal.
• Tracking de running/ciclismo: activación voluntaria, permiso del dispositivo y base de legitimación aplicable.
• Comunicación coach-usuario y membresías: ejecución de la relación o servicio gestionado por el responsable correspondiente.
• Notificaciones funcionales: ejecución del servicio y permiso del sistema operativo.
• Seguridad, fraude, auditoría y soporte: obligación legal, ejecución del servicio o interés legítimo previamente ponderado cuando proceda.
• Analytics opcional, marketing, promociones y newsletter: consentimiento cuando sea requerido.
• Cumplimiento normativo y defensa de derechos: obligación legal y ejercicio o defensa de reclamaciones.

Los datos indispensables para crear la cuenta, autenticar al usuario o prestar una función solicitada son necesarios para ejecutar ese servicio. Los datos opcionales —como GPS para tracking deportivo, fotografías de progreso, marketing o analytics opcional— no deben exigirse para funciones que no los necesiten. Datos inexactos pueden afectar perfil, recomendaciones, estadísticas, membresías, comunicaciones o soporte y pueden ser rectificados.

• Ubicación: solo al activar una función deportiva que la necesite.
• Cámara y fotografías: solo cuando el usuario decide capturar o seleccionar avatar o fotografías de progreso.
• Notificaciones: recordatorios, avisos de entrenamiento, comidas, mensajes, seguridad o información operativa.
• Los permisos pueden revocarse desde iOS o Android; al revocarlos determinadas funciones pueden dejar de operar.

La ubicación se utiliza únicamente para la finalidad deportiva informada cuando el usuario activa la funcionalidad y concede el permiso correspondiente. FITBA no utilizará esa geolocalización para publicidad comportamental ni para rastrear al usuario fuera de la finalidad informada sin una base jurídica independiente.

Las actividades de geolocalización estarán sujetas a las obligaciones reforzadas que resulten aplicables conforme a la normativa vigente de la Superintendencia de Protección de Datos Personales (SPDP), incluyendo las reglas relativas a tratamientos a gran escala cuando correspondan.

Según la configuración efectiva del servicio, FITBA utiliza o puede utilizar proveedores como Supabase para base de datos y autenticación; Sentry para diagnóstico de errores cuando esté configurado; Vercel u otros proveedores de hosting; Apple Push Notification service (APNs), Expo Notifications y/o Firebase Cloud Messaging (FCM) para notificaciones; y proveedores de pago cuando se habiliten transacciones.

Las funciones client-side opcionales de analytics o replay se sujetan a las preferencias y consentimientos configurados; los registros técnicos indispensables de seguridad o diagnóstico pueden responder a otra base de legitimación válida. FITBA no vende ni alquila datos personales y exigirá a sus encargados instrucciones documentadas, confidencialidad, seguridad y limitación de finalidad.

Algunos proveedores pueden alojar, acceder o procesar información desde infraestructura ubicada fuera del Ecuador. Antes de una transferencia o comunicación internacional que jurídicamente califique como tal, se aplicarán las garantías exigidas por la LOPDP, su Reglamento General y la normativa vigente de la SPDP. FITBA mantendrá un inventario actualizado de encargados, destinatarios, ubicaciones y garantías aplicables. El titular puede solicitar información más específica mediante el canal de privacidad.

• Los datos de cuenta se conservan mientras esté activa y durante el período adicional necesario para obligaciones legales, seguridad o reclamaciones.
• Fitness, nutrición y progreso se conservan mientras sean necesarios para la funcionalidad o hasta su eliminación/supresión, salvo obligación legal.
• Las fotografías de progreso se eliminarán o anonimizarán cuando el usuario las elimine, cierre su cuenta o dejen de ser necesarias, sujeto a respaldos temporales.
• Logs y auditoría se conservan por el tiempo necesario para seguridad, fraude e investigación de incidentes.
• La evidencia de consentimientos puede conservarse para demostrar legitimación incluso después de su revocación, sin continuar el tratamiento revocado.
• Los respaldos se depuran conforme a ciclos técnicos razonables y quedan fuera del uso ordinario.

FITBA aplica o deberá mantener medidas proporcionales al riesgo, entre ellas autenticación, control de acceso, TLS, Row Level Security (RLS), segregación de privilegios, trazabilidad, minimización, separación de ambientes y contextos, gestión de vulnerabilidades, controles de proveedores, respuesta a incidentes y evaluaciones de riesgo o impacto cuando correspondan. Ningún sistema puede garantizar seguridad absoluta. Las vulneraciones se gestionarán y notificarán conforme a la normativa ecuatoriana aplicable.

El titular puede ejercer, cuando corresponda, los derechos de información, acceso, rectificación y actualización, eliminación, oposición, suspensión o limitación, portabilidad, revocación del consentimiento, garantías frente a decisiones basadas únicamente en valoraciones automatizadas y los demás derechos reconocidos por la LOPDP.

Las solicitudes pueden enviarse a javierquiandra@gmail.com. Puede solicitarse una verificación proporcional de identidad. Las solicitudes serán atendidas dentro de los plazos legales. Si considera que no fue atendido adecuadamente, el titular puede acudir a la Superintendencia de Protección de Datos Personales del Ecuador.

Cuando se cumplan los requisitos legales, el titular puede solicitar sus datos en un formato estructurado, de uso común, interoperable y de lectura mecánica cuando sea técnicamente procedente. La portabilidad no implica la eliminación automática de los datos; la supresión debe solicitarse separadamente cuando corresponda.

Cuando un tratamiento se base en consentimiento, éste puede revocarse en cualquier momento mediante las opciones disponibles en la app o el canal de privacidad. La revocación no afecta la licitud del tratamiento previo ni los tratamientos que deban continuar amparados en otra base legal válida. Marketing, analytics opcional, promociones y otras finalidades no indispensables deben gestionarse separadamente.

Esta política cumple una función de información y transparencia. Su lectura, puesta a disposición o constancia de haber sido informada no sustituye el consentimiento cuando la LOPDP exige consentimiento para un tratamiento concreto. FITBA puede registrar evidencia de que la política fue puesta a disposición, pero esa evidencia no presume consentimientos específicos. El acceso al servicio no debe condicionarse a aceptar esta política como consentimiento general; los términos contractuales y consentimientos específicos se gestionan por mecanismos separados.

• FITBA aplicará medidas reforzadas cuando el servicio sea utilizado por niñas, niños o adolescentes.
• Para menores de 15 años se requerirá consentimiento del representante legal cuando éste sea la base aplicable.
• Para datos sensibles de menores y decisiones automatizadas que les afecten se aplicarán las exigencias reforzadas previstas en la normativa, incluido el consentimiento expreso del representante cuando corresponda.
• Desde los 15 años podrán aplicarse las reglas de consentimiento previstas por la normativa vigente, con información clara y adaptada a la edad.
• En todo caso prevalece el interés superior del niño y adolescente.

FITBA puede calcular estadísticas, indicadores de progreso, gamificación o recomendaciones a partir de información ingresada por el usuario. Estas funciones no deben utilizarse para decisiones con efectos jurídicos o efectos significativamente similares sin las garantías previstas por la LOPDP. Si se incorporan IA, scoring, perfilado avanzado o decisiones automatizadas que cambien materialmente el tratamiento, se actualizará esta política y se realizarán las evaluaciones correspondientes.

El usuario puede solicitar la eliminación de su cuenta y datos asociados mediante las opciones habilitadas en la app o escribiendo a javierquiandra@gmail.com. Los datos se eliminarán, anonimizarán o bloquearán cuando corresponda, salvo aquellos que deban conservarse temporalmente por obligación legal, fraude, seguridad, cumplimiento o defensa de reclamaciones. Los respaldos se depurarán conforme a sus ciclos técnicos.

FITBA evaluará continuamente la obligación de designar un DPD conforme al artículo 48 de la LOPDP, su Reglamento General y la normativa de la SPDP. Si la persona natural o jurídica que opere FITBA queda comprendida en un supuesto de designación obligatoria, la designación será formalizada y sus datos de contacto se incorporarán a esta política y a los registros correspondientes. Mientras tanto, el canal de privacidad atiende las solicitudes de titulares sin sustituir una designación obligatoria cuando legalmente corresponda.

FITBA puede actualizar esta política por cambios funcionales, tecnológicos, organizativos o regulatorios. Los cambios materiales se comunicarán oportunamente y se solicitará nuevo consentimiento cuando sea jurídicamente necesario. Cada versión mostrará fecha de actualización y número de versión.

Esta política se interpreta principalmente conforme a la Constitución de la República del Ecuador, la Ley Orgánica de Protección de Datos Personales, su Reglamento General y la normativa, resoluciones, lineamientos y criterios vigentes de la Superintendencia de Protección de Datos Personales, incluyendo los relativos a transferencias, interés legítimo, DPD, eliminación o anonimización, tratamientos a gran escala e inteligencia artificial cuando resulten aplicables.

Privacidad y protección de datos: javierquiandra@gmail.com. Las solicitudes de protección de datos enviadas a este canal serán tratadas como solicitudes de privacidad.