Política de Privacidad

Responsable del Tratamiento

El responsable del tratamiento de los datos personales que recopila la Plataforma para su operación es GOOB SAS, sociedad constituida en la República Oriental del Uruguay, que opera ATHRIX. Contacto para consultas y ejercicio de derechos: privacidad@athrix.fit.

Cuando una Organización (gimnasio, entrenador, profesional) usa ATHRIX para gestionar a sus atletas, esa Organización actúa como responsable del tratamiento respecto de los datos que genera sobre ellos (rutinas asignadas, evaluaciones, notas, comunicaciones, eventos), y ATHRIX actúa como encargado del tratamiento de esa información (art. 4 lit. T, Ley 18.331). El alcance de este esquema se desarrolla en la sección 6.

Esta política se rige por la Ley N° 18.331 de Protección de Datos Personales y Acción de Habeas Data de la República Oriental del Uruguay y normativa complementaria. La autoridad de aplicación es la Unidad Reguladora y de Control de Datos Personales (URCDP).

1. Información que Recopilamos

1.1 Datos de Atletas

Cuando un Atleta usa ATHRIX, recopilamos:

• Datos de cuenta: nombre, email, contraseña (almacenada con hash, no recuperable).
• Datos de autenticación social: si te logueás con Google o Apple, recibimos email, nombre y foto de perfil de esos proveedores.
• Datos de perfil: fecha de nacimiento, género, foto de perfil, país.
• Datos físicos: peso, altura, peso objetivo, experiencia de entrenamiento, días preferidos.
• Datos de salud (sensibles): lesiones, limitaciones, medicaciones, condiciones médicas, estado de salud autorreportado.
• Datos de entrenamiento: rutinas, ejercicios, sets ejecutados, RPE (esfuerzo percibido), progreso, objetivos deportivos.
• Datos de inscripción a eventos: nombre, DNI, teléfono, género, obra social/prepaga, contacto de emergencia, comprobante de pago.
• Contenido generado por vos: notas, posts del feed comunitario, reacciones, mensajes con tu coach.
• Conversaciones con el asistente IA: mensajes enviados y respuestas recibidas, junto con los análisis semanales que el sistema genere automáticamente.
• Datos técnicos automáticos: dirección IP, user-agent del navegador o app, fecha/hora de inicio de sesión.
• Tokens de dispositivo: identificadores anónimos de tu dispositivo Android/iOS para enviarte notificaciones push.

1.2 Datos de Organizaciones y su staff

Cuando una Organización (gimnasio, entrenador, profesional) usa ATHRIX para gestionar atletas, recopilamos:

• Datos institucionales: razón social o nombre comercial, RUT o identificación tributaria equivalente, domicilio, datos de contacto comercial (email, teléfono), rubro de actividad y logotipo.
• Datos del staff: nombre, email, contraseña (con hash), rol asignado dentro de la Organización (coach, administrador, asistente), foto de perfil y, cuando la actividad lo requiera, credenciales o títulos profesionales.
• Datos operativos: rutinas y plantillas creadas, ejercicios cargados, evaluaciones físicas, calendarios, notas sobre atletas (privadas o compartidas), eventos publicados y comunicaciones con atletas vinculados.
• Datos de facturación: cuando corresponda, información para la emisión de comprobantes fiscales por los planes contratados.
• Datos técnicos automáticos: dirección IP, user-agent, fecha/hora de inicio de sesión del staff.
• Datos de uso y analítica: páginas y secciones del panel que visitás, acciones que realizás (por ejemplo, crear una rutina o invitar a un atleta), eventos de interacción, características del dispositivo y del navegador, e identificadores de analítica que se almacenan en tu navegador. Recopilamos estos datos mediante una herramienta de analítica de producto (PostHog), asociados a tu cuenta, para entender cómo se usa el panel y mejorarlo (ver sección 8).
• Datos de publicidad y medición: usamos el Píxel de Meta e identificadores asociados (_fbp, _fbc) y, cuando te registrás o invitás a un atleta, compartimos con Meta un evento de conversión que incluye esos identificadores, tu email en forma hasheada (no reversible) y datos técnicos (IP, user-agent), para medir y optimizar nuestras campañas publicitarias. Nunca compartimos tu email en texto plano. La publicidad está activa por defecto fuera de la UE/EEE/Reino Unido y podés desactivarla cuando quieras; dentro de esas regiones solo la activamos si prestás tu consentimiento. Si está desactivada, no instalamos el píxel ni enviamos estos datos (ver secciones 8 y 13).

2. Cómo Usamos tu Información

2.1 Usos de los datos de Atletas

• Prestarte el servicio: mostrar rutinas, registrar progreso, conectar con tu coach u organización.
• Personalizar las respuestas del asistente IA con tu contexto.
• Generar análisis semanales automáticos de tu entrenamiento.
• Enviarte notificaciones push de entrenamientos asignados, mensajes y eventos.
• Enviarte emails operacionales (verificación de cuenta, recuperación de contraseña, confirmaciones).
• Detectar, prevenir e investigar fraude, abuso o usos contrarios a nuestros Términos.
• Cumplir obligaciones legales, fiscales y regulatorias.
• Mejorar la Plataforma y desarrollar nuevas funcionalidades, siempre con datos agregados o anonimizados cuando sea posible.

2.2 Usos de los datos de Organizaciones y su staff

• Brindar acceso al panel de gestión web y a las herramientas para crear rutinas, evaluaciones, contenido y eventos.
• Habilitar la vinculación y la comunicación con los atletas que se unen a la Organización.
• Emitir comprobantes y gestionar la facturación de los planes contratados cuando corresponda.
• Enviar emails operacionales y notificaciones sobre la cuenta institucional, cambios relevantes en la Plataforma y soporte.
• Brindar soporte técnico y comercial.
• Detectar, prevenir e investigar fraude, abuso o usos contrarios a nuestros Términos.
• Cumplir obligaciones legales, fiscales y regulatorias.
• Medir y analizar el uso del panel mediante una herramienta de analítica de producto (PostHog) para entender el comportamiento de uso, detectar errores y priorizar mejoras. Parte de esta analítica se asocia a tu cuenta y el resto se trata de forma agregada.
• Publicidad y medición: medir la efectividad de nuestras campañas publicitarias y optimizarlas, compartiendo eventos de conversión con Meta (Facebook e Instagram) a través de su Píxel y de su Conversions API. Está activa por defecto fuera de la UE/EEE/Reino Unido y requiere tu consentimiento dentro de esas regiones; podés activarla o desactivarla en cualquier momento desde el banner de cookies (ver secciones 8 y 13).

No mostramos publicidad de terceros dentro de la Plataforma ni vendemos tus datos personales. El único uso publicitario que hacemos es medir y optimizar nuestras propias campañas; podés desactivarlas cuando quieras y, donde la ley lo exige (UE/EEE/Reino Unido), solo ocurren si prestás tu consentimiento. Las comunicaciones de marketing por email cuentan con su propio consentimiento y con opción de desuscripción.

3. Datos de Salud — Protección Especial

La Ley 18.331 califica los datos de salud como datos sensibles (art. 4, lit. E). Por eso reciben tratamiento reforzado:

• Solo los recopilamos con tu consentimiento expreso, libre e informado, prestado por escrito o por medio equivalente durante el onboarding (art. 9 y 18, Ley 18.331).
• Brindarlos es voluntario. Si no los compartís, podés usar la Plataforma con funcionalidad limitada.
• Solo vos y los profesionales que vos autorices explícitamente pueden acceder a ellos.
• No los compartimos con terceros con fines comerciales, ni con aseguradoras, ni para discriminación de ningún tipo.
• Podés revocar el consentimiento y solicitar su eliminación en cualquier momento escribiéndonos a privacidad@athrix.fit.

4. Asistente de IA — Procesamiento Externo

Las conversaciones con el asistente IA se procesan a través de la API de OpenAI (con sede en Estados Unidos). Para personalizar respuestas, enviamos contexto sobre tu perfil, objetivos, entrenamiento y, cuando es relevante para la consulta, datos de salud.

OpenAI actúa como encargado del tratamiento bajo un acuerdo de procesamiento de datos. Conforme a su política, los datos enviados vía API no se usan para entrenar sus modelos. Las conversaciones se almacenan en nuestros servidores para que puedas retomarlas; podés borrarlas en cualquier momento desde la app.

5. Compartir Datos con tu Coach u Organización

Si te unís a un gimnasio, entrenador u organización, esta podrá acceder a:

• Tu nombre, foto de perfil y datos básicos.
• Tus objetivos y progreso de entrenamiento.
• Tus evaluaciones, métricas físicas y desempeño en rutinas asignadas.
• Las notas que tu coach escriba sobre vos (algunas pueden ser privadas para el coach y otras visibles para vos).

Tu coach NO tiene acceso por defecto a tus conversaciones con el asistente IA, ni a tus datos de salud sensibles, ni a tus datos de nutrición personal, a menos que vos lo autorices explícitamente.

Cuando estás vinculado a una Organización, esa Organización es controlador conjunto de los datos de entrenamiento que te asigna y de las notas que tus profesionales generan sobre vos. Podés revocar el vínculo en cualquier momento desde la app.

6. Rol de las Organizaciones como Responsables del Tratamiento

Cuando una Organización usa ATHRIX para gestionar a sus atletas, esa Organización actúa como responsable del tratamiento de los datos que ella genera sobre los atletas a su cargo: rutinas asignadas, evaluaciones físicas, notas, eventos, mensajes y demás contenido cargado desde su cuenta. ATHRIX actúa, respecto de esa información, como encargado del tratamiento (art. 4 lit. T, Ley 18.331), procesándola siguiendo las instrucciones de la Organización y exclusivamente para prestar el servicio.

Existe responsabilidad conjunta sobre aquellos datos cuyo tratamiento se define de manera compartida entre ATHRIX y la Organización (por ejemplo, la configuración del vínculo Atleta-Coach o la habilitación de funcionalidades dentro de la Plataforma).

Las Organizaciones que usan ATHRIX se comprometen a:

• Informar a sus atletas sobre cualquier uso adicional que hagan de sus datos por fuera de la Plataforma y obtener la base legal correspondiente conforme a la Ley 18.331.
• Tratar los datos sensibles de salud únicamente con el consentimiento expreso del atleta y limitar su acceso al personal estrictamente necesario.
• Atender los derechos ARCO que sus atletas ejerzan respecto de los datos que la Organización generó, dentro de los plazos legales.
• Custodiar las credenciales de acceso de su staff, dar de baja oportunamente al personal que deja la Organización y reportar a ATHRIX cualquier incidente de seguridad que detecte.
• Mantener vigentes las credenciales o títulos profesionales cuando la actividad que realiza a través de la Plataforma lo requiera.
• No usar los datos de los atletas para fines ajenos al servicio que les presta, ni cederlos a terceros sin consentimiento.

ATHRIX, por su parte, se compromete a procesar esos datos siguiendo las instrucciones de la Organización, aplicar medidas de seguridad adecuadas y notificar incidentes que afecten la información tratada.

7. Inscripción a Eventos

Cuando te inscribís a un evento deportivo organizado por una Organización, los datos que cargás (DNI, obra social, contacto de emergencia, comprobante de pago) se comparten con esa Organización para que pueda registrarte, asegurar tu participación y atender cualquier emergencia. La Organización es la responsable última de esos datos.

8. Terceros con los que Compartimos Datos

Para prestar el servicio, contratamos a proveedores que actúan como encargados del tratamiento bajo acuerdos contractuales. No vendemos ni cedemos tus datos para fines ajenos al servicio.

• OpenAI (EE.UU.): procesa tus mensajes, perfil y contexto para generar respuestas del asistente IA.
• Cloudflare (EE.UU. / global): hospedaje de la API, base de datos, almacenamiento de imágenes y entrega de contenido (CDN). Toda la data en reposo vive en su infraestructura.
• Google — Firebase Cloud Messaging (EE.UU.): entrega de notificaciones push a tu dispositivo.
• Resend (EE.UU. / UE): envío de emails operacionales (verificación, recuperación de contraseña, avisos).
• PostHog (EE.UU.): plataforma de analítica de producto. Mide el uso del panel de gestión web y del sitio web público (páginas visitadas, acciones, eventos de interacción y datos técnicos del dispositivo y navegador) para ayudarnos a mejorar el servicio. Las solicitudes se enrutan a través de un subdominio propio de ATHRIX antes de llegar a PostHog. No usamos esta información con fines publicitarios.
• Meta Platforms (EE.UU. / Irlanda): cookies de publicidad, activas por defecto fuera de la UE/EEE/Reino Unido y sujetas a tu consentimiento dentro de esas regiones. Usamos el Píxel de Meta y su Conversions API para medir y optimizar nuestras campañas en Facebook e Instagram. Le compartimos eventos de conversión (por ejemplo, un registro o la invitación a un atleta) con identificadores de navegación (_fbp, _fbc), tu email hasheado y datos técnicos (IP, user-agent). No le enviamos tu email en texto plano, ni tus datos de salud, de entrenamiento ni de conversaciones con la IA. Si la desactivás, no se activa nada de esto.
• Google Sign-In / Apple Sign-In: autenticación social cuando elegís esa opción de login.
• Autoridades públicas: cuando una orden judicial o requerimiento legal válido lo exija.

9. Transferencia Internacional de Datos

Varios de nuestros proveedores procesan datos en Estados Unidos u otros países que la URCDP no ha declarado con nivel adecuado de protección (Resolución 23/2021). La Ley 18.331 (art. 23) prohíbe la transferencia a esos países salvo excepciones, entre ellas el consentimiento expreso del titular y la firma de cláusulas contractuales adecuadas conforme a la Resolución 41/021 de la URCDP.

Al aceptar esta política prestás consentimiento expreso para la transferencia internacional de tus datos personales, incluidos los datos sensibles cuando sean estrictamente necesarios para el servicio. Firmamos con cada proveedor cláusulas contractuales que les imponen estándares de seguridad y confidencialidad equivalentes a los exigidos por la ley uruguaya.

10. Almacenamiento, Seguridad y Retención

Tus datos se almacenan en servidores con encriptación en tránsito (TLS) y en reposo. Las contraseñas se guardan con hash criptográfico irreversible. Aplicamos controles de acceso y registramos eventos de seguridad.

Plazos de retención orientativos:

• Cuenta activa: mientras la mantengas abierta.
• Tras la baja de cuenta: hasta 30 días para permitir reactivación, y hasta 90 días adicionales en copias de seguridad antes del borrado definitivo.
• Logs de sesión (IP, user-agent): hasta 12 meses.
• Identificadores de publicidad de Meta (_fbp, _fbc) que guardamos para medir campañas: hasta 90 días (la ventana de atribución de Meta), tras lo cual se eliminan automáticamente.
• Conversaciones con IA: hasta que las borres, o hasta la baja de tu cuenta.
• Datos contables y de inscripciones a eventos: el plazo exigido por la legislación tributaria y comercial uruguaya aplicable.
• Datos requeridos por orden judicial: por el plazo que esa orden indique.

Ante un incidente de seguridad que afecte tus datos, te notificaremos sin demora indebida y reportaremos a la URCDP cuando corresponda.

11. Tus Derechos (ARCO)

Conforme a la Ley 18.331 tenés derecho a:

• Acceso: conocer qué datos tuyos tratamos, sus finalidades y los terceros con quienes los compartimos. Responderemos en un plazo máximo de 5 días hábiles desde la solicitud (art. 14).
• Rectificación, Actualización, Inclusión o Supresión: corregir datos inexactos o pedir su eliminación. Respondemos en 5 días hábiles (art. 15). Este trámite es gratuito.
• Oposición: oponerte a tratamientos específicos cuando sea legalmente procedente.
• Portabilidad: exportar tus datos en un formato estructurado.
• Revocar consentimientos: incluido el vínculo con tu coach u organización en cualquier momento.

Cuando el derecho que ejercés recae sobre datos generados por una Organización a la que estás vinculado (por ejemplo, notas de tu coach, evaluaciones o rutinas asignadas), ATHRIX coordinará tu solicitud con esa Organización, que es la responsable del tratamiento de esa información y debe responderla en los plazos legales. En todos los casos podés contactarnos para asistirte en el ejercicio del derecho.

Para ejercer estos derechos escribinos a privacidad@athrix.fit desde el email asociado a tu cuenta acreditando tu identidad. Si no recibís respuesta en el plazo legal o considerás que se vulneraron tus derechos, podés interponer la acción de habeas data y denunciar la situación ante la Unidad Reguladora y de Control de Datos Personales (URCDP) (gub.uy/unidad-reguladora-control-datos-personales), autoridad de aplicación de la Ley 18.331.

12. Menores de Edad

ATHRIX está dirigido exclusivamente a personas mayores de 18 años. No recopilamos intencionalmente datos personales de menores. Si detectamos una cuenta de un menor, la suspenderemos y eliminaremos los datos asociados. Si sos padre, madre o tutor y creés que un menor a tu cargo nos brindó datos, contactanos a privacidad@athrix.fit.

13. Cookies y Tecnologías Similares

En el sitio web público (athrix.fit) y en el panel de gestión web (app.athrix.fit) usamos cookies y almacenamiento local de tres categorías: esenciales, necesarias para que el sitio funcione; de analítica, para entender cómo se usa el sitio y mejorarlo; y de publicidad, para medir la efectividad de nuestras campañas.

En cuanto a la analítica: en el sitio web público medimos por defecto de forma anónima y sin cookies (base legal: interés legítimo) y solo instalamos cookies de analítica si las aceptás; en el panel de gestión la analítica está desactivada por defecto y solo se activa con tu consentimiento. En cuanto a la publicidad: fuera de la UE/EEE/Reino Unido está activa por defecto y podés desactivarla cuando quieras; dentro de esas regiones solo se activa si prestás tu consentimiento explícito. Esto aplica en ambos sitios.

La primera vez que entrás te mostramos un banner para que aceptes, rechaces o configures las cookies no esenciales, con controles independientes para analítica y para publicidad. Si rechazás, desactivamos la analítica y la publicidad por completo, sin ninguna medición, ni siquiera anónima. Guardamos tu decisión (con su versión y fecha) durante 6 meses; pasado ese plazo te volvemos a preguntar.

13.1 Cookies y almacenamiento esenciales

Necesarios para prestar el servicio que pediste. No requieren consentimiento y no se pueden desactivar.

13.2 Analítica

Usamos PostHog para entender cómo se navega el sitio y el panel, y así mejorarlos. El detalle de este proveedor figura en la sección 8.

Analítica anónima sin cookies (sitio web público). Por defecto medimos de forma agregada y anónima, sin instalar cookies ni almacenar ningún identificador en tu dispositivo. No requiere consentimiento; podés desactivarla rechazando la analítica en el banner o en "Preferencias de cookies".

Cookies de analítica (requieren tu consentimiento). Solo se cargan si aceptás la analítica desde el banner o el panel de preferencias, y permiten reconocer tu navegador entre sesiones para una medición más precisa:

13.3 Publicidad y medición de campañas

Activas por defecto fuera de la UE/EEE/Reino Unido; dentro de esas regiones requieren tu consentimiento previo. Podés desactivarlas cuando quieras desde el banner o el panel de preferencias. Usamos el Píxel de Meta (Facebook e Instagram) para medir la efectividad de nuestras campañas: reconocer que llegaste desde un anuncio y registrar conversiones (por ejemplo, un registro o la invitación a un atleta). Complementamos esa medición del lado del servidor con la Conversions API de Meta, a la que enviamos el evento con esos mismos identificadores, tu email hasheado y datos técnicos (IP, user-agent) — el detalle del proveedor figura en la sección 8. Si las desactivás, no instalamos el píxel ni enviamos ningún evento a Meta.

13.4 Cómo retirar o cambiar tu consentimiento

Podés cambiar tu decisión cuando quieras — retirar el consentimiento es tan fácil como darlo:

• Hacé clic en "Preferencias de cookies" en el pie de página (tanto en el sitio web como en el panel de gestión) para reabrir el panel y activar o desactivar la analítica y la publicidad de forma independiente.
• También podés bloquear o eliminar las cookies desde la configuración de tu navegador; si bloqueás las esenciales, algunas funciones del sitio pueden dejar de funcionar correctamente.

En la app móvil no usamos cookies; los tokens de sesión se guardan de forma encriptada en el almacenamiento seguro del sistema operativo (Keychain en iOS, EncryptedSharedPreferences en Android).

14. Cambios en esta Política

Podemos actualizar esta política para reflejar cambios en el servicio o en la normativa. Te notificaremos sobre cambios significativos con al menos 15 días de anticipación por email o mediante un aviso visible dentro de la Plataforma. La fecha de última actualización figura al inicio del documento.

15. Contacto

Para consultas sobre privacidad, ejercicio de derechos ARCO o cualquier inquietud sobre el tratamiento de tus datos, escribinos a privacidad@athrix.fit.