Política de privacidad

Quién responde de esta web

• Correo de contacto: chema@miaforo.com

Qué datos tratamos aquí

Si solo navegas, no te pedimos nombre ni correo. Ningún servicio externo mide tu visita salvo que aceptes la medición de visitas de más abajo.

Si una pantalla falla, guardamos el tipo de error, sin lo que hayas escrito. Las cuentas del equipo de miaforo guardan nombre, correo, contraseña cifrada y datos de inicio de sesión. La base legal es prestar el servicio y el interés legítimo en mantenerlo seguro.

Si aceptas la medición de visitas

En las páginas propias de miaforo te preguntamos si Cronitor puede contar tu visita. Nunca funciona en las páginas de un gimnasio ni dentro de la aplicación. Solo si pulsas Aceptar tu navegador carga el script de Cronitor y le envía, por cada página que abres, tu dirección IP, la dirección de la página, la web de la que vienes y datos técnicos de tu navegador y tu dispositivo. La lista completa está en la política de cookies. Cronitor no recibe nombres, correos ni datos de ninguna cuenta. Lo usamos para saber cuánta gente visita estas páginas y de dónde llega.

Cronitor es una empresa de Estados Unidos. No está adherida al Marco de Privacidad de Datos UE-EE. UU., así que no la cubre ninguna decisión de adecuación, y no ofrece otras garantías adecuadas, como las cláusulas contractuales tipo. Por eso las autoridades de Estados Unidos podrían acceder a esos datos, y quizá allí no tengas los mismos derechos y vías de recurso que en la Unión Europea. La base legal es tu consentimiento explícito, dado después de conocer estos riesgos: artículo 6.1.a del RGPD para la medición y artículo 49.1.a del RGPD para la transferencia.

Puedes retirar el consentimiento cuando quieras en la política de cookies, igual de fácil que lo diste. La medición se detiene en ese momento. Retirarlo no afecta a lo enviado antes.

Si reproduces el vídeo

La portada tiene un vídeo sobre miaforo. No se carga nada de YouTube hasta que pulsas su botón de reproducir. Entonces tu navegador carga el reproductor desde youtube-nocookie.com y YouTube, que es de Google, recibe tu dirección IP, la dirección de la página y datos técnicos de tu navegador, y puede guardar datos en tu navegador para reproducir el vídeo. Google es una empresa de Estados Unidos. No recibe nombres, correos ni datos de ninguna cuenta. La base legal es tu consentimiento, que das al pulsar reproducir: artículo 6.1.a del RGPD. Si no lo pulsas, YouTube no trata nada sobre ti.

Si abres tu gimnasio desde aquí

El formulario de alta pide el nombre de tu gimnasio, la dirección web que quieres, tu nombre y tu correo. Antes de crear nada, te mandamos un código de seis cifras a ese correo. Lo escribes en la misma pestaña, así que solo quien lee ese correo puede abrir la cuenta.

Mientras el código se puede usar, guardamos el correo y una huella irreversible del código, nunca el código tal cual. El código caduca a los diez minutos si no lo escribes. Lo que demuestra dura una hora más. Después, los dos se borran con el siguiente alta o en la limpieza de cada noche, así que como tarde al día siguiente.

Contamos cuántos códigos se mandan desde una misma conexión y a un mismo correo en una hora. Así nadie puede abrir gimnasios en cadena ni llenar de códigos el correo de otra persona. Para esa cuenta no guardamos ni tu IP ni tu correo. Guardamos códigos irreversibles calculados a partir de ellos con una clave que solo está en nuestro servidor. No sirven para saber cuáles eran ni para reconocerte en ningún otro sitio. Se borran en cuanto pasa la hora que se cuenta, y como mucho al día siguiente. La base legal es el interés legítimo en mantener el servicio en pie, artículo 6.1.f del RGPD.

Un gimnasio que nadie llega a abrir se cierra solo a los catorce días, y su dirección web vuelve a quedar libre.

Si nos pides una demo

El formulario de la portada pide el nombre de tu gimnasio, tu nombre, tu correo y cuántas personas entrenan contigo. El teléfono y el mensaje son opcionales. Con eso te escribimos para enseñarte miaforo, y nada más. No se usa para publicidad ni se cede a nadie.

La petición llega como un correo a chema@miaforo.com y no se guarda en la aplicación. La base legal es atender lo que nos pides antes de cualquier contrato, artículo 6.1.b del RGPD. Guardamos el correo mientras dure la conversación, y como mucho un año desde el último mensaje. Si nos pides borrarlo antes, lo borramos.

Si tu gimnasio paga miaforo

Un gimnasio puede pagar su suscripción a miaforo de forma automática. Da un medio de pago una vez y Stripe lo cobra cada periodo, en su propia página. Aquí quien vende y quien factura es miaforo. Para abrir ese cobro, enviamos a Stripe lo que tu gimnasio escribió en su ficha de facturación:

• la razón social;
• el correo de contacto o, si no hay ninguno, el de la persona que pulsó el botón;
• la dirección, con su código postal, su ciudad y su país;
• el idioma en el que lees la aplicación;
• una referencia interna del gimnasio;
• el NIF-IVA intracomunitario, si tu gimnasio tiene uno.

Stripe comprueba ese NIF-IVA en VIES. De su respuesta depende que la factura lleve IVA o no, y lo volvemos a pedir antes de cada renovación. El NIF no sale hacia Stripe. Con eso Stripe abre el cobro por el plan y el periodo que elegiste, y te envía cada factura a ese correo.

La tarjeta o la cuenta bancaria se las das a Stripe en su página, no a nosotros. Ningún número de tarjeta ni ningún IBAN llega a miaforo, ni al pagar ni después. Cambiar la tarjeta, leer las facturas o cancelar también se hace en una página de Stripe. De vuelta, guardamos:

• el identificador con el que Stripe conoce a tu gimnasio;
• el identificador de la suscripción y su estado;
• de cada pago, el número de la factura, los importes, el periodo que cubre y si llevó IVA, para tener nuestra propia copia de lo que te cobramos;
• de cada aviso que Stripe nos manda, su identificador, su tipo y sus fechas, nunca su contenido.

Una devolución, o un cargo que tu banco retire, se apunta como un importe en negativo junto al pago, con su factura rectificativa. La base legal es el contrato entre tu gimnasio y miaforo, artículo 6.1.b del RGPD. También lo son las obligaciones de facturación y de IVA que ese contrato nos impone, artículo 6.1.c. A Stripe no le llega nada de un gimnasio hasta que empieza a suscribirse a un plan de pago.

Stripe trata estos datos en parte por cuenta nuestra, para cobrar los pagos, y en parte como responsable propio, para sus propios fines, como prevenir el fraude y cumplir sus obligaciones legales. Su política de privacidad dice cuáles. Stripe puede transferir datos fuera del Espacio Económico Europeo, también a Estados Unidos, con el Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo.

Si tu gimnasio cierra, a los 30 días del cierre borramos lo que escribió sobre sí mismo: su nombre, dirección web, página pública, dirección, teléfono, razón social, NIF, número de IVA, correos de contacto y fotos. Conservamos el identificador con el que lo conoce Stripe, para que el dinero del que Stripe aún informe llegue a los registros correctos. Cada factura conserva el nombre, el NIF, la dirección y el correo a los que se emitió durante 8 años desde el final del año en que se emitió, que es lo que la ley fiscal alemana nos obliga a conservar nuestras facturas (§ 147 AO y § 14b UStG), o más mientras siga abierta una liquidación de impuestos para la que cuenten. La base jurídica es el artículo 6.1.c del RGPD. También guardamos el PDF de cada factura tal como lo emitió Stripe, cifrado en el Hetzner Storage Box que nombramos más abajo, durante los mismos años. Pasado ese plazo, el proceso nocturno borra nuestra copia y el proceso mensual borra el PDF. La copia que emitió Stripe sigue en nuestra cuenta de Stripe, porque Stripe no deja borrar una factura emitida.

Cuando tu gimnasio usa su mes gratis, guardamos además, para que se dé una sola vez por gimnasio: un hash de un solo sentido del correo del propietario, nunca la dirección, y la huella que Stripe calcula de la tarjeta o la cuenta bancaria, que no es el número y no permite recuperarlo. Guardamos las dos cosas 3 años desde ese día, aunque el gimnasio cierre, y después las borramos. La base legal es nuestro interés legítimo en dar la oferta una sola vez, artículo 6.1.f del RGPD.

Dónde están alojados

• IONOS SE aloja la aplicación, la base de datos y los correos de servicio en Berlín, Alemania.
• Cada noche sale una copia cifrada de la base de datos y de las fotos hacia un Hetzner Storage Box en Falkenstein, también en Alemania. El servidor la cifra antes de enviarla, así que Hetzner guarda bytes que no puede leer. Una vez al mes van allí también las facturas que emitimos a los gimnasios, cifradas igual, durante los años de arriba.

Las fichas, las reservas y los pagos de los gimnasios se tratan en Alemania y no salen de la Unión Europea. Lo que llega a Stripe va aparte. Es lo que tu gimnasio nos da para pagar miaforo, que cuenta la sección anterior. Y es lo poco que sale cuando un gimnasio cobra online a sus socios, que cuenta la política de ese gimnasio. Si aceptas la medición de visitas, lo que envía va a Cronitor, en Estados Unidos, como cuenta la sección de arriba. Si reproduces el vídeo, lo que envía va a Google, en Estados Unidos. El detalle del navegador está en la política de cookies.

Tus derechos

Puedes pedir acceso, rectificación, supresión, limitación, portabilidad y oposición. Escribe a chema@miaforo.com. Si la petición se refiere a tu gimnasio, se la trasladamos, porque es quien debe responder.

Si crees que no se han tratado bien, puedes reclamar ante la Agencia Española de Protección de Datos, www.aepd.es. Es gratis y no necesitas abogado.