Política de privacidad

1.Responsable del tratamiento

Luís Correia, empresario individual, identificado en el Aviso legal: rummo.app/es/aviso-legal.

Contacto para el ejercicio de derechos y para cualquier cuestión sobre datos personales: hello@rummo.app.

Rummo no está obligada a designar un delegado de protección de datos. Si esa obligación llegara a existir, el contacto se publicará aquí.

2.Los dos papeles de Rummo

Esta política se aplica a los datos de los que Rummo es RESPONSABLE DEL TRATAMIENTO: los de quien crea una cuenta (nombre, correo electrónico y los datos de facturación de quien se suscribe).

Sobre los datos que un centro guarda acerca de SUS socios (asistencia, planes, pagos, notas, resultados de entrenamiento), quien decide es el centro. Rummo es solo encargado del tratamiento, y las condiciones figuran en el documento «Encargo del tratamiento».

En la práctica: si entrena en un gimnasio que usa Rummo y quiere saber qué se guarda sobre usted, pregunte primero al gimnasio. Rummo no puede borrar ni modificar esos datos por iniciativa propia.

3.Qué datos tratamos y por qué

Solo lo que el servicio necesita. No se recoge nada con fines publicitarios y no se venden datos a nadie.

• a)Identificación de la cuenta: nombre y correo electrónico. Base jurídica: ejecución del contrato (art. 6.1.b) del RGPD). Sin ellos no hay cuenta.
• b)Autenticación: códigos de acceso de un solo uso y registros de sesión. Base jurídica: ejecución del contrato e interés legítimo en la seguridad de las cuentas (art. 6.1.b) y f)).
• c)Fecha de nacimiento: se pide al crear la cuenta de atleta, para aplicar las reglas de edad. Quien tiene menos de 18 años necesita un padre, madre o tutor, y las categorías de edad de las clasificaciones y los eventos dependen de ella. Base jurídica: ejecución del contrato.
• d)Cumpleaños: solo si la persona elige, en la aplicación, mostrar su cumpleaños a los compañeros. En ese caso los compañeros ven el día, y el centro puede felicitarla. Base jurídica: consentimiento (art. 6.1.a)), que se retira desactivando la misma opción.
• e)Datos de facturación de quien se suscribe: nombre, número de identificación fiscal, dirección e historial de cobros. Base jurídica: obligación legal (art. 6.1.c)) y ejecución del contrato.
• f)Datos de pago: los trata Stripe. Rummo recibe solo la marca de la tarjeta, los cuatro últimos dígitos y la fecha de caducidad. El número completo nunca pasa por nuestros servidores.
• g)Registros técnicos: dirección IP, fecha, ruta y resultado de las solicitudes, para diagnóstico y seguridad. Base jurídica: interés legítimo (art. 6.1.f)).
• h)Contactos comerciales: cuando solicita una demo o nos escribe. Base jurídica: aplicación de medidas precontractuales a petición suya (art. 6.1.b)). No se pide consentimiento para esto, y el contacto no se usa para publicidad.

4.Lo que NO hacemos

No vendemos datos personales.

DENTRO DE LA APLICACIÓN (el panel del centro, la cuenta del atleta, los pagos, las clases) no hay medición de terceros ni cookies publicitarias o de redes sociales, y no se crean perfiles para anuncios. Lo que se mide ahí lo hacemos nosotros y sirve para que el servicio funcione. La única excepción es la página que sigue a la creación de un centro, que avisa a Google Ads, y solo con el sí a la publicidad dado en la web.

EN LA WEB COMERCIAL hay dos preguntas separadas. Con el sí a la medición se carga Google Analytics. Con el sí a la publicidad se cargan el píxel de Meta y Google Ads, que sirven para mostrar anuncios a quien visitó la web y saber qué anuncio la trajo. Todos instalan cookies y envían datos a Estados Unidos. Se describen en la página «Cookies», y cada uno solo se carga con su sí.

No hay decisiones automatizadas que produzcan efectos jurídicos o significativamente similares, en el sentido del artículo 22 del RGPD. Reservas, pagos, asistencia y facturación son reglas deterministas, y cualquier propuesta de un asistente se presenta a una persona que decide.

Nuestro propio recuento de visitas funciona sin cookies y no identifica a nadie: se cuentan eventos, no personas. Nombre, correo electrónico, teléfono, identificador de socio e identificador de centro nunca salen en esos eventos.

5.Durante cuánto tiempo

Datos de la cuenta: mientras exista la cuenta. Una vez eliminada, se anonimizan o se suprimen, salvo lo que la ley obligue a conservar.

Datos de facturación y documentos fiscales: 10 años, por imposición del artículo 123 del Código del Impuesto sobre Sociedades portugués (Código do IRC) y del artículo 52 del Código del IVA portugués.

Registros técnicos: 12 meses.

Códigos de acceso: minutos. Caducan y quedan invalidados.

6.Quién más accede a los datos

Recurrimos a los encargados del tratamiento indicados a continuación, todos con contrato de encargo. La cláusula 7 indica cuáles transfieren datos fuera del Espacio Económico Europeo, y con qué garantías.

• a)Hostinger International Ltd. (Chipre): alojamiento del servidor y de la base de datos, en un centro de datos de la Unión Europea, y envío de correo electrónico transaccional.
• b)Stripe Payments Europe, Limited (Irlanda): procesamiento de pagos y gestión de suscripciones.
• c)Google Ireland Limited: Google Analytics, solo en la web comercial y solo con su sí a la medición. Recibe la dirección IP, la página vista y un identificador de cookie.
• d)Anthropic Ireland, Limited (Irlanda): el «Agente» de la aplicación, en los planes de pago y solo cuando el equipo de un centro le pregunta algo. Recibe la pregunta y cifras del centro, con las personas como referencias («Socio 17»), y nunca nombres, contactos, notas ni datos de salud. No los usa para entrenar modelos. Los borra en 30 días, salvo lo que sus sistemas de seguridad señalen como infracción de su política de uso, que puede conservar hasta 2 años.
• e)Functional Software, Inc., que explota Sentry (Estados Unidos): registro de errores, cuando esté activo. Recibe mensajes de error técnicos, con las claves sensibles ya eliminadas.
• f)Slack Technologies Limited (Irlanda): avisos internos a nuestro equipo, cuando estén activos. Recibe acontecimientos de la cuenta y mensajes de error, con las direcciones de correo ocultas.
• g)Servicio de medición de uso sin cookies, cuando esté activo: recibe recuentos de eventos y ningún dato personal.

6.1.

Hay además quien trata datos como responsable propio, y no por cuenta nuestra:

• a)Google Ireland Limited: Google Ads, solo con su sí a la publicidad, en la web comercial y en la página que sigue a la creación de un centro. Recibe la dirección IP, la página, el identificador del clic en el anuncio y un identificador de cookie. Google los trata como responsable propio, conforme a las condiciones de protección de datos entre responsables de Google Ads.
• b)Meta Platforms Ireland Limited: el píxel de Meta, solo en la web comercial y solo con su sí a la publicidad. Recibe la dirección IP, la página vista y un identificador de cookie. Somos corresponsables con Meta de la recogida y el envío de esos datos; lo que Meta haga después con ellos, incluida la publicidad, es responsabilidad suya.
• c)Google Ireland Limited, cuando elige acceder con su cuenta de Google. Recibe la solicitud de acceso, conforme a su propia relación con usted.
• d)Stripe, en los pagos que hace a un centro, para los fines que la ley le impone, como la prevención del fraude.

7.Transferencias fuera de la Unión Europea

Los datos de la aplicación (cuentas, socios, clases, pagos, facturación, documentos) se guardan en la Unión Europea.

Hay transferencias a Estados Unidos en estos casos. Cuando se usa el «Agente», la pregunta y las cifras que necesita van a Anthropic, sin nombres ni contactos, al amparo de las cláusulas contractuales tipo de la Comisión Europea.

Stripe puede transferir datos a Stripe, Inc. El registro de errores y los avisos internos, cuando están activos, los tratan en Estados Unidos Sentry y Slack. Los tres están certificados en el Marco de Privacidad de Datos UE-EE. UU., la decisión de adecuación de la Comisión Europea de 10 de julio de 2023, y tienen también cláusulas contractuales tipo.

Hostinger puede recurrir a subencargados propios fuera del Espacio Económico Europeo, al amparo de las cláusulas contractuales tipo de su contrato.

En la web comercial, Google Analytics, Google Ads y el píxel de Meta transfieren datos a Estados Unidos, y ambas empresas están certificadas en el mismo Marco de Privacidad. Cada uno solo se carga con su sí; sin él, no se envía nada. La respuesta puede cambiarse en cualquier momento en la página «Cookies».

8.Sus derechos

Tiene derecho de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición, en los términos de los artículos 15 a 22 del RGPD.

Varios de estos derechos los ejerce usted mismo, dentro de la aplicación: puede exportar sus datos y solicitar la eliminación de la cuenta desde su perfil.

Para los demás, escriba a hello@rummo.app. Respondemos en el plazo de un mes, prorrogable dos meses más en casos complejos, con aviso previo.

Si el tratamiento se basa en el consentimiento, puede retirarlo en cualquier momento, sin que ello afecte a lo realizado antes.

9.Reclamaciones

Puede presentar una reclamación ante la autoridad de control portuguesa, la Comissão Nacional de Proteção de Dados (www.cnpd.pt), sin perjuicio de cualquier otra vía de recurso.

Para las reclamaciones de consumo existe un libro de reclamaciones electrónico en https://www.livroreclamacoes.pt/inicio.

10.Seguridad

El acceso a los datos se decide en la propia base de datos, con aislamiento por centro. Quien no pertenece a un centro no lee ni escribe sus datos.

Quien deniega el acceso es la base de datos, y no una comprobación de la aplicación que alguien pueda olvidar escribir.

Las conexiones están cifradas en tránsito. No hay contraseñas: el acceso es mediante código de un solo uso o cuenta de Google.

Si se produce una violación de datos personales, la notificamos a la autoridad de control portuguesa sin dilación indebida y, si es posible, en 72 horas desde que tengamos constancia de ella (artículo 33 del RGPD).

No la notificamos solo cuando sea improbable que constituya un riesgo para los derechos y libertades de las personas.

Si es probable que la violación entrañe un alto riesgo, informamos también sin dilación indebida a las personas afectadas (artículo 34 del RGPD).

11.Cambios

Cualquier cambio sustancial en esta política se comunica por correo electrónico a los titulares de cuentas con al menos 30 días de antelación.

La fecha de la versión vigente figura en la parte superior de esta página.

12.Idioma

Este texto en español es una traducción facilitada por conveniencia. En caso de discrepancia, prevalece la versión en portugués.