Borrador pendiente de revisión legal. Este documento todavía no ha sido revisado por un profesional del derecho y contiene datos por definir. No debe publicarse como definitivo ante clientes.
Política de tratamiento de datos personales
1. Quién trata tus datos
El gimnasio al que perteneces es el Responsable del tratamiento: decide qué datos recoge de ti y para qué. GritBase es el Encargado: trata esos datos por cuenta del gimnasio y siguiendo sus instrucciones, sin usarlos para fines propios.
Datos de contacto del Encargado: [POR DEFINIR: nombre o razón social, NIT o cédula, dirección, correo y teléfono de contacto].
2. Qué datos tratamos
- Identificación y contacto: nombre, documento, fecha de nacimiento, género, teléfono y correo.
- Actividad en el gimnasio: asistencias, membresía, pagos, rutinas y metas.
- Datos sensibles de salud: medidas corporales, lesiones, tipo de sangre y notas médicas. También la fotografía de rostro, si el gimnasio activa el registro de entrada con foto.
Los datos de salud y biométricos son datos sensibles según el artículo 5 de la Ley 1581 de 2012. Solo se tratan si has dado una autorización específica para ello, y no estás obligado a autorizarla: puedes usar el gimnasio sin hacerlo.
3. Para qué los tratamos
- Administrar tu membresía, tus pagos y tu acceso al gimnasio.
- Registrar tu asistencia.
- Hacer seguimiento a tu entrenamiento y atenderte en una emergencia, cuando has autorizado el tratamiento de datos de salud.
- Enviarte avisos sobre tu membresía por los canales que hayas aceptado.
No vendemos tus datos, no los cedemos con fines comerciales y no los usamos para publicidad de terceros.
4. Menores de edad
Cuando el titular es menor de edad, la autorización la otorga su representante legal, que queda identificado en el registro. El tratamiento debe responder al interés superior del menor y respetar sus derechos fundamentales.
5. Tus derechos
Como titular puedes, en cualquier momento:
- Conocer qué datos tuyos existen y cómo se tratan.
- Actualizar y rectificar lo que esté incompleto o incorrecto.
- Suprimir tus datos, cuando no exista un deber legal o contractual de conservarlos.
- Revocar la autorización que diste para tratar tus datos de salud.
- Presentar quejas ante la Superintendencia de Industria y Comercio.
Los cuatro primeros se ejercen desde la propia aplicación, en Mi cuenta: ahí puedes descargar todo lo que tenemos tuyo al instante, radicar una consulta, un reclamo o una solicitud de supresión, y revocar tu autorización.
6. Plazos de respuesta
Los que fija la ley, contados en días hábiles desde que radicas la solicitud:
- Consultas: 10 días hábiles. Si no es posible atenderla en ese plazo, se te informará el motivo y la nueva fecha, que no superará los 5 días hábiles siguientes (art. 14, Ley 1581).
- Reclamos y supresiones: 15 días hábiles, prorrogables hasta 8 días hábiles más informándote el motivo (art. 15, Ley 1581). Si tu reclamo viene incompleto, se te avisará dentro de los 5 días siguientes; si no lo completas en dos meses, se entenderá desistido.
La aplicación te muestra la fecha exacta de vencimiento al radicar.
7. Revocar no es lo mismo que borrar
Si revocas tu autorización, el gimnasio deja de tener permiso para seguir tratando tus datos de salud, pero los datos ya registrados no se eliminan automáticamente. Si lo que quieres es que se borren, radica una solicitud de supresión.
8. Cuánto tiempo conservamos tus datos
[POR DEFINIR: plazo de conservación tras la baja del cliente, y su justificación.]
9. Seguridad y dónde viven tus datos
Los datos viajan cifrados y, en los servidores, se almacenan cifrados en reposo. La copia que la aplicación guarda en el equipo o en el navegador para funcionar sin conexión no la cifra la aplicación: la protegen la cuenta con contraseña del equipo y, en la aplicación de escritorio, el cifrado de disco que el gimnasio se obliga a mantener. GritBase se apoya en proveedores ubicados fuera de Colombia —Supabase (base de datos, autenticación y archivos), Vercel (aplicación web y medición de visitas sin cookies), PowerSync (sincronización) y, cuando están activados, Resend (correo), Upstash (límite de peticiones por dirección IP) y Twilio o Meta (SMS y WhatsApp)—, que tratan los datos por cuenta del gimnasio. Es una transmisión internacional, no una transferencia: el artículo 24 del Decreto 1377 de 2013 la permite sin pedirte autorización cuando existe un contrato de transmisión conforme a su artículo 25, como el que GritBase firma con cada gimnasio.
10. Canal de atención
Preferiblemente desde Mi cuenta, que deja constancia de la fecha y del plazo. También puedes escribir a [POR DEFINIR: correo de atención al titular].
11. Vigencia
Esta política rige desde [POR DEFINIR] y las bases de datos se conservarán mientras sea necesario para las finalidades descritas. Cualquier cambio sustancial se comunicará antes de aplicarlo.