Anexo de tratamiento de datos personales

1. Objeto y roles

Este anexo regula el tratamiento de datos personales que gymsoft realiza por cuenta del Gimnasio en el marco de la Ley 25.326 de Protección de los Datos Personales, su reglamentación y las disposiciones de la Agencia de Acceso a la Información Pública (AAIP).

A los efectos de la ley:

• El Gimnasio es el responsable de las bases de datos de sus socios, profesores y empleados: decide qué datos recoge, para qué y por cuánto tiempo.
• gymsoft es el encargado del tratamiento (artículo 25 de la Ley 25.326): trata esos datos únicamente por cuenta del Gimnasio, para prestarle el servicio.

2. Alcance del tratamiento

Categorías de titulares: socios del Gimnasio y, en el caso de menores, sus responsables; profesores; empleados y usuarios del sistema.

Categorías de datos: datos identificatorios y de contacto (nombre, documento, teléfono, correo, domicilio); datos de la relación comercial (compras, créditos, pagos, cuenta corriente, facturación); datos de uso (reservas, asistencias, planes de entrenamiento).

Datos sensibles. El sistema permite registrar información sobre el estado de salud de los socios —restricciones médicas, apto físico y su vencimiento, el archivo del certificado— que constituye dato sensible en los términos de los artículos 2 y 7 de la Ley 25.326. El Gimnasio es responsable de recabar el consentimiento expreso y por escrito del titular para tratarlos, y de no exigir su entrega en supuestos donde la ley no lo admita. gymsoft los trata con el mismo estándar de confidencialidad y seguridad que el resto, y nunca para una finalidad propia.

Finalidad: exclusivamente prestar el servicio contratado. gymsoft no usa estos datos para fines propios, no los comercializa y no elabora perfiles con ellos.

3. Instrucciones

gymsoft trata los datos únicamente conforme a las instrucciones del Gimnasio, que se materializan en el uso del sistema y en los pedidos que curse por escrito. Si a nuestro criterio una instrucción infringiera la normativa aplicable, lo haremos saber antes de ejecutarla.

4. Confidencialidad

gymsoft y su personal están obligados al secreto profesional respecto de los datos tratados, conforme al artículo 10 de la Ley 25.326. Esta obligación subsiste aun después de finalizada la relación con el Gimnasio.

5. Medidas de seguridad

En cumplimiento del artículo 9 de la Ley 25.326, aplicamos las siguientes medidas técnicas y organizativas:

• Aislamiento por gimnasio. Los datos de cada gimnasio viven en un esquema de base de datos separado. Un gimnasio no puede acceder a la información de otro.
• Cifrado. Las credenciales de servicios externos se guardan cifradas; las contraseñas se almacenan con funciones de hash de un solo sentido, nunca en texto plano.
• Transporte seguro. Todo el tráfico viaja sobre TLS.
• Control de acceso por rol. Cada usuario ve y opera únicamente lo que su rol le habilita.
• Trazabilidad. Las operaciones sobre los registros quedan auditadas con su autor y su fecha.
• Resguardos. Se realizan copias de seguridad periódicas.

Estas son las medidas efectivamente implementadas. No invocamos certificaciones ni estándares que no hayamos obtenido.

6. Subencargados

Para prestar el servicio recurrimos a proveedores que pueden acceder a los datos: infraestructura de alojamiento, MercadoPago (procesamiento de pagos), servicios de envío de correo electrónico y de mensajería.

Cada uno está obligado por contrato al mismo nivel de protección que este anexo. La incorporación de un subencargado nuevo se informa con antelación razonable al correo de la cuenta, y el Gimnasio puede objetarla; de mantenerse la objeción, podrá dar de baja el servicio sin penalidad.

7. Transferencia internacional

Si algún proveedor estuviera radicado fuera de la República Argentina, la transferencia se realizará únicamente hacia países u organizaciones que brinden niveles adecuados de protección, o mediando las garantías contractuales que exige el artículo 12 de la Ley 25.326.

8. Derechos de los titulares

Los titulares pueden ejercer sus derechos de acceso, rectificación, actualización y supresión (artículos 14 a 16 de la Ley 25.326) ante el Gimnasio, que es el responsable de la base.

gymsoft asiste al Gimnasio para responder: le provee las herramientas para consultar, corregir, exportar y eliminar la información de un titular. Los plazos legales son de 10 días corridos para el acceso y 5 días hábiles para la rectificación o supresión.

Si un titular se dirigiera directamente a gymsoft, le indicaremos que debe hacerlo ante su gimnasio y se lo comunicaremos a este sin demora.

9. Incidentes de seguridad

Ante un incidente que afecte la seguridad de los datos, gymsoft notificará al Gimnasio sin dilación indebida desde que tome conocimiento, informando la naturaleza del incidente, las categorías y el volumen aproximado de datos afectados, las consecuencias probables y las medidas adoptadas.

La comunicación a la autoridad de control y a los titulares afectados, cuando corresponda, es responsabilidad del Gimnasio. gymsoft prestará la colaboración necesaria.

10. Conservación y devolución

Finalizada la relación, el Gimnasio podrá obtener durante 90 días corridos una exportación completa de su información en un formato abierto y de uso corriente. Vencido ese plazo, los datos se eliminan de forma definitiva, salvo los que debamos conservar por obligación legal, que quedarán bloqueados y sin uso hasta que la obligación se extinga.

11. Auditoría

El Gimnasio puede solicitar, con antelación razonable y no más de una vez por año, información documentada sobre las medidas de seguridad aplicadas, sin que ello comprometa la confidencialidad de otros gimnasios ni la seguridad de la Plataforma.

12. Registro de bases de datos

La inscripción de las bases de datos ante la Agencia de Acceso a la Información Pública, cuando corresponda, es obligación del Gimnasio en su carácter de responsable. gymsoft le proveerá la información técnica que necesite para completarla.