Política de Privacidad — Clientes
Política de Privacidad — Clientes Finales
Aplicable a los usuarios de la app MyPraxiaFit (iOS / Android) y del portal whitelabel del profesional (
<slug>.praxiafit.com). Regulación aplicable: RGPD (UE 2016/679) · LOPDGDD (LO 3/2018) · LSSI-CE (Ley 34/2002) · Ley 41/2002 (Autonomía del Paciente).
1. Responsables del tratamiento
Sus datos son gestionados por dos entidades con roles diferenciados:
| Entidad | Rol RGPD | Qué gestiona |
|---|---|---|
| Su profesional (nutricionista / entrenador) | Responsable del Tratamiento | Toma las decisiones sobre qué datos se recogen y con qué finalidad. Sus datos de salud son tratados bajo su responsabilidad. |
| PraxiaFit (Sergio Gómez Ramos, NIF 48954214W) | Encargado del Tratamiento (Art. 28 RGPD) | Proporciona la infraestructura tecnológica al profesional. Actúa únicamente bajo sus instrucciones y no utiliza sus datos para fines propios. |
Para identificar a su profesional (nombre, organización, datos de contacto) consulte su perfil en la aplicación.
Email de contacto de PraxiaFit: [email protected]
2. Datos que tratamos
2.1. Datos de perfil básico
| Dato | Obligatorio | Finalidad |
|---|---|---|
| Nombre y apellidos | Sí | Identificación en la plataforma |
| Correo electrónico | Sí | Autenticación y comunicación |
| Contraseña | Sí | Almacenada en hash irreversible |
| Número de teléfono | No | Contacto por parte del profesional |
| Fecha de nacimiento | No | Personalización del plan; determina si se aplica el régimen de menores |
| Ocupación | No | Personalización |
| Foto de perfil | No | Identificación visual frente al profesional |
2.2. Datos de salud — CATEGORÍA ESPECIAL (Art. 9 RGPD)
Estos datos solo se recogen con su consentimiento explícito, voluntario e independiente y son visibles únicamente para su profesional asignado:
| Dato | Tabla en BD |
|---|---|
| Enfermedades diagnosticadas | datos_salud |
| Medicamentos en curso | datos_salud |
| Alergias e intolerancias alimentarias (incluidos 14 alérgenos Reglamento UE 1169/2011) | datos_salud |
| Estado de embarazo o lactancia | datos_salud |
| Parámetros bioquímicos (colesterol, triglicéridos, tensión arterial…) | datos_salud |
2.3. Datos físicos y de rendimiento
- Peso, altura y perímetros corporales (historial de mediciones)
- Sexo biológico
- Nivel de actividad física y objetivos
- Seguimiento de planes y rutinas (cumplimiento diario, series, repeticiones, pesos, récords)
2.4. Datos de hábitos nutricionales
- Horarios y descripción de comidas
- Frecuencia de consumo de grupos de alimentos (incluyendo alcohol)
- Preferencias y aversiones alimentarias
2.5. Datos de comunicación
- Mensajes con su profesional
- Notas de citas (las "notas privadas" del profesional no son visibles para usted)
2.6. Datos técnicos
- Token de dispositivo móvil (para el envío de notificaciones push — ver sección 3)
- Datos de sesión (cookies de autenticación — exentas de consentimiento conforme a la Guía AEPD sobre cookies, mayo 2024)
3. Finalidad y base legal de cada tratamiento
| Tratamiento | Base legal | Nota |
|---|---|---|
| Prestación del servicio (planes, citas, chat, seguimiento) | Art. 6.1.b RGPD — ejecución de la relación de servicio con el profesional | — |
| Datos de salud (sección 2.2 completa) | Art. 9.2.a RGPD — su consentimiento explícito | Voluntario, revocable en cualquier momento |
| Datos físicos y de rendimiento | Art. 6.1.b RGPD — prestación del servicio | — |
| Notificaciones push (citas, mensajes, planes) | Art. 6.1.a RGPD — su consentimiento (revocable desde ajustes del dispositivo) | — |
| Comunicaciones del profesional | Art. 6.1.b RGPD — prestación del servicio | — |
Sobre el consentimiento para datos de salud
Su consentimiento para tratar datos de salud es:
- Explícito: se le pide mediante un formulario específico y separado, con el siguiente texto (conforme a EDPB Directrices 5/2020 sobre consentimiento):
"Consiento expresamente que [nombre de su profesional], como responsable del tratamiento, trate mis datos de salud — incluyendo enfermedades, medicamentos, alergias e intolerancias, parámetros bioquímicos y estado de embarazo/lactancia — con la finalidad específica de elaborar y hacer seguimiento de planes nutricionales y/o de entrenamiento personalizados. Base jurídica: Art. 9.2.a RGPD."
- Voluntario: puede usar la aplicación sin proporcionar datos de salud.
- Revocable: puede retirar su consentimiento en cualquier momento desde Ajustes > Privacidad de la app, sin que ello afecte a la licitud del tratamiento previo a la retirada. Tras la revocación, los datos de salud se eliminarán en un plazo máximo de 30 días.
- Granular: este consentimiento cubre únicamente los datos de salud listados. No le obliga a compartir ningún otro dato.
4. ¿Quién ve mis datos?
| Dato | ¿Quién puede verlo? |
|---|---|
| Nombre y foto de perfil | Su profesional |
| Datos de salud (sección 2.2) | Solo su profesional y solo si usted dio consentimiento explícito |
| Datos físicos y de rendimiento | Solo su profesional |
| Mensajes | Usted y su profesional |
| Seguimiento de planes | Solo su profesional |
| Datos técnicos (token push, IP) | PraxiaFit (infraestructura) — no accede al contenido de sus datos de salud |
PraxiaFit no lee sus mensajes con el profesional ni sus datos de salud salvo por requerimiento legal o para resolver incidencias de soporte técnico solicitadas expresamente.
5. Menores de edad
Conforme al Art. 7.1 de la LOPDGDD (Ley Orgánica 3/2018), la edad mínima para que un menor pueda consentir por sí mismo el tratamiento de sus datos personales en España es de 14 años.
- Si usted tiene 14 años o más: puede utilizar la aplicación y gestionar sus propios consentimientos.
- Si usted tiene menos de 14 años: el tratamiento de sus datos solo es lícito con el consentimiento verificable de su padre, madre o tutor legal. No se permite el registro autónomo de menores de 14 años.
Para datos de salud de menores, el consentimiento del tutor debe ser explícito y por escrito. Póngase en contacto con el profesional o con [email protected] para gestionar este proceso.
6. Destinatarios de sus datos
Sus datos pueden ser comunicados a los siguientes destinatarios:
| Destinatario | País | Finalidad | Garantía |
|---|---|---|---|
| Hetzner Online GmbH | Alemania (UE) | Alojamiento del servidor donde corren la base de datos, la autenticación y sus archivos | Transferencia intracomunitaria — sus datos de salud no salen de la UE |
| Brevo SAS | Francia (UE) | Correos electrónicos transaccionales | DPA; transferencia intracomunitaria |
| Cloudflare, Inc. | EE.UU. | Red que protege y acelera el acceso a la web y a la app | DPF UE-EE.UU. + Cláusulas Contractuales Tipo. Solo tráfico en tránsito, sin guardar su contenido |
| Apple Inc. (APNs) y Google LLC (FCM) | EE.UU. | Entrega de las notificaciones push a su móvil | DPF UE-EE.UU. Reciben el identificador del dispositivo y el texto del aviso; es el mecanismo del propio sistema operativo |
| Autoridades competentes | España | Cuando sea exigido por ley | Obligación legal |
Sus datos no se venden ni se ceden a terceros con fines comerciales o publicitarios.
7. Transferencias internacionales
Sus datos de salud, de seguimiento y sus fotos de progreso no salen de la Unión Europea. Se guardan en un servidor propio alojado por Hetzner Online GmbH en Alemania; el software de base de datos (Supabase) se ejecuta autoalojado en ese servidor, sin intervención de Supabase Inc. (EE.UU.).
Las únicas salidas del Espacio Económico Europeo son dos, y están acotadas:
- El tráfico en tránsito (su dirección IP y el contenido de cada petición mientras viaja) pasa por la red de Cloudflare, Inc., que protege los dominios frente a ataques. No conserva el contenido. Amparado en el Marco de Privacidad de Datos UE-EE.UU. y en Cláusulas Contractuales Tipo.
- Las notificaciones push, si las activa: el identificador de su dispositivo y el texto del aviso pasan por Apple (APNs) o Google (FCM) para poder llegar a su móvil. Es el mecanismo del sistema operativo y no hay alternativa técnica; ambas están certificadas en el DPF.
Cuando se active el pago con tarjeta, el proveedor de pagos añadirá una transferencia propia y esta política se actualizará antes de que trate ningún dato.
8. Plazos de conservación
| Tipo de dato | Plazo |
|---|---|
| Datos de salud (si profesional es dietista-nutricionista) | Mínimo 5 años desde el último proceso asistencial (Art. 17 Ley 41/2002) |
| Datos de perfil y de seguimiento | Mientras dure la relación con el profesional + 30 días para exportación tras baja |
| Mensajes | Mínimo 1 año; máximo 7 años (recomendación para actividades con implicaciones de salud) |
| Datos técnicos (logs) | 12 meses |
| Solicitudes de alta rechazadas (portal whitelabel) | 30 días desde el rechazo |
9. Sus derechos
Conforme a los Arts. 15-22 del RGPD, tiene los siguientes derechos:
| Derecho | Descripción | Cómo ejercerlo |
|---|---|---|
| Acceso (Art. 15) | Obtener confirmación de qué datos tratamos y una copia | Ajustes > Privacidad > Mis datos |
| Rectificación (Art. 16) | Corregir datos inexactos | Editando su perfil en la app |
| Supresión (Art. 17) | Solicitar la eliminación de sus datos | Ajustes > Privacidad > Eliminar mi cuenta |
| Limitación (Art. 18) | Pausar el tratamiento en determinadas circunstancias | Email a [email protected] |
| Portabilidad (Art. 20) | Recibir sus datos en formato JSON | Ajustes > Privacidad > Exportar mis datos |
| Oposición (Art. 21) | Oponerse a determinados tratamientos | Email a [email protected] |
| Retirar consentimiento (Art. 7.3) | Revocar el consentimiento para datos de salud | Ajustes > Privacidad > Datos de salud |
Plazo de respuesta: 1 mes desde la recepción de su solicitud, prorrogable a 3 meses en casos complejos (Art. 12.3 RGPD).
Reclamación: si considera que sus derechos no han sido atendidos, puede presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) — www.aepd.es.
10. Seguridad
PraxiaFit aplica medidas de seguridad técnicas y organizativas adecuadas al riesgo del tratamiento de datos de categoría especial (Art. 32 RGPD):
- Cifrado en tránsito mediante TLS 1.3.
- Control de acceso a datos de salud a nivel de base de datos: solo visible para el profesional asignado y solo si usted dio consentimiento (
consentimiento_dado = TRUE). - Contraseñas almacenadas en hash irreversible (bcrypt).
- Copias de seguridad automáticas cifradas.
- Notificación de brechas de seguridad conforme al Art. 33-34 RGPD.
11. Cambios en esta política
Si realizamos cambios que afecten a los consentimientos ya prestados, le notificaremos mediante notificación push y/o email con al menos 30 días de antelación. Los cambios menores (actualizaciones de contacto, correcciones de formato) se publicarán sin notificación previa.
Versión: 1.1 | Última actualización: 18 de agosto de 2026
Qué cambió en la 1.1 — Se corrigen dos destinatarios que no eran ciertos: (1) Supabase Inc. (EE.UU.) no aloja nada — la base de datos se ejecuta autoalojada en un servidor propio de Hetzner en Alemania, así que los datos de salud no salen de la UE; (2) Expo no interviene en las notificaciones push: se entregan directamente por Apple (APNs) y Google (FCM). En su lugar se describen las dos únicas salidas reales del EEE.