Política de privacidad

Última actualización: 10 de octubre de 2026. También puedes leer los términos y condiciones y el aviso legal.

1. Responsables del tratamiento

• Pablo Álvarez Almazán, domicilio en Laureà Miró 350 BIS, 3º 2ª, Sant Feliu de Llobregat (Barcelona), España.
• Aarón López Castillo, domicilio en Passatge Arús 10, 3º 6ª, El Prat de Llobregat (Barcelona), España.

Contacto para temas de privacidad: [email protected].

Esta política se redacta conforme al Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD), por tener responsables domiciliados en España y usuarios previsiblemente en España/UE.

2. Qué datos tratamos

• Datos de cuenta: nombre, email, rol (cliente/entrenador), contraseña (cifrada, gestionada por Supabase Auth).
• Datos de perfil: foto, biografía, especialidad (entrenadores); datos de contacto.
• Datos de entrenamiento: rutinas, ejercicios, progreso, medidas corporales, notas del entrenador sobre el cliente. Estos datos pueden constituir datos de salud (categoría especial según el art. 9 RGPD) en la medida en que reflejan información sobre la condición física de una persona.
• Datos de agenda: citas, horarios, ubicación de la sesión.
• Comunicaciones: mensajes de chat entre cliente y entrenador, y mensajes al chat de soporte.
• Datos de suscripción y facturación (solo entrenadores con plan de pago): plan contratado, estado de la suscripción, fechas de renovación e identificadores de cliente y suscripción en Stripe. BEXEL nunca ve ni guarda el número de tu tarjeta: el pago lo procesa directamente Stripe.
• Mensajes a BEXEL IA: lo que escribes al asistente y el contexto de entrenamiento necesario para responderte (rutinas, progreso y, si eres entrenador, los nombres de tus clientes). Antes de enviarlo se eliminan emails, teléfonos e identificadores internos. BEXEL IA solo funciona cuando tú le escribes.
• Datos técnicos: dirección IP, tipo de dispositivo, registros de uso, con fines de seguridad y mantenimiento del servicio.
• Registros de errores: cuando algo falla en la app guardamos un informe técnico (mensaje de error, pantalla, tipo de dispositivo y navegador, y tu identificador de usuario si has iniciado sesión) para poder corregirlo. Nunca incluye lo que escribes en los formularios y se ocultan los emails y números de teléfono que pudiera contener el mensaje.
• Notificaciones: si activas los avisos de mensajes, guardamos la dirección de notificaciones que genera tu navegador para ese dispositivo (no es tu número ni tu email). Puedes desactivarlas cuando quieras desde los ajustes del navegador o del móvil; las direcciones que dejan de funcionar se borran automáticamente.

3. Base legal y finalidad

• Ejecución del contrato (art. 6.1.b RGPD): crear la cuenta, gestionar la relación entrenador-cliente, mostrar rutinas y agenda, permitir el chat.
• Consentimiento explícito (art. 9.2.a RGPD) para los datos de salud/condición física. Lo das marcando una casilla específica al crear tu cuenta, guardamos la fecha y puedes retirarlo en cualquier momento escribiéndonos (sin efecto sobre el tratamiento anterior; sin él no podremos seguir mostrando tus datos de entrenamiento).
• Interés legítimo (art. 6.1.f RGPD): seguridad de la plataforma, prevención de fraude.
• Obligación legal (art. 6.1.c RGPD): conservar las facturas y los datos de las suscripciones de pago durante los plazos que exige la normativa fiscal y mercantil.
• Consentimiento para comunicaciones de marketing (ver sección 8) — nunca se envían sin aceptación expresa.

4. Con quién compartimos datos (encargados del tratamiento)

BEXEL usa los siguientes proveedores para prestar el servicio; ninguno de ellos usa tus datos para fines propios ajenos a prestarnos el servicio contratado:

• Supabase (base de datos, autenticación y almacenamiento) — datos alojados en la región UE (eu-west-1, Irlanda).
• Resend — envío de emails transaccionales (verificación de cuenta, notificaciones).
• Stripe (Stripe Payments Europe, Ltd., Irlanda) — cobro de las suscripciones de entrenador, gestión de la tarjeta, recibos y facturas, y el portal para cambiar de plan o cancelar. Stripe trata los datos de pago como responsable independiente según su propia política de privacidad.
• NVIDIA (NVIDIA Corporation, EE. UU.) — para la función "BEXEL IA", los mensajes que envías al asistente se procesan a través de la API de NVIDIA para generar la respuesta. Implica una transferencia internacional de datos fuera de la UE, amparada por las cláusulas contractuales tipo aprobadas por la Comisión Europea y por la adhesión de NVIDIA al Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework), según su propia política de privacidad. Te recomendamos no incluir en esos mensajes datos de salud que no sean necesarios para tu pregunta.
• Google — inicio de sesión con Google (si eliges esa opción), la sincronización opcional con Google Calendar (sección 5) y, como alternativa de respaldo para BEXEL IA, la API de Google Gemini.
• Cloudflare (Cloudflare R2) — almacenamiento de los vídeos de ejercicios que suben los entrenadores, para que sus clientes puedan verlos.
• Servicio de notificaciones de tu navegador (Google para Chrome/Android, Apple para iPhone/Safari, Mozilla para Firefox) — entrega los avisos de mensajes nuevos que hayas activado; reciben el nombre de quien escribe y el inicio del mensaje.
• Surge — alojamiento de la web (archivos de la aplicación; no almacena tus datos de usuario).

No vendemos datos personales a terceros ni los usamos con fines publicitarios de terceros.

5. Conexión opcional con Google Calendar

Si eres cliente o entrenador, puedes conectar de forma opcional tu cuenta de Google desde "Mi perfil" para que tus citas de BEXEL se sincronicen con tu Google Calendar. Esta conexión:

• Es siempre voluntaria y reversible: puedes desconectarla cuando quieras desde "Mi perfil", y BEXEL deja de sincronizar de inmediato (los eventos que ya se habían creado en tu Google Calendar no se borran automáticamente al desconectar).
• Solicita permiso únicamente sobre eventos de tu calendario (https://www.googleapis.com/auth/calendar.events) — BEXEL puede crear, actualizar y borrar los eventos que corresponden a tus citas de BEXEL, pero no lee ni accede al resto de eventos o información de tu Google Calendar para ningún otro fin.
• Guarda de forma segura (en nuestra base de datos, sin exponerlo nunca al navegador) el token de acceso necesario para mantener la sincronización mientras la conexión esté activa.
• El uso que BEXEL hace de la información obtenida a través de las APIs de Google cumple con la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de Uso Limitado (Limited Use).

6. Cuánto tiempo conservamos los datos

• Datos de cuenta, entrenamiento, agenda y mensajes: mientras tu cuenta esté activa. Si nos pides eliminarla (en [email protected] o desde el Centro de ayuda), se borran de la plataforma; solo se conservan bloqueados los datos imprescindibles durante el plazo de prescripción de posibles reclamaciones.
• Datos de suscripción y facturas: 6 años desde su emisión, como exige el artículo 30 del Código de Comercio (y los plazos de la normativa tributaria), aunque canceles la suscripción.
• Si dejas de pagar o cancelas tu plan de entrenador, tus clientes, rutinas y datos no se borran: se conservan para que puedas recuperarlos al volver a suscribirte, salvo que nos pidas eliminarlos.
• Registros de errores: como máximo 12 meses desde la última vez que se produjo el error; se eliminan automáticamente.
• Mensajes a BEXEL IA: BEXEL no guarda las conversaciones con el asistente en su base de datos. NVIDIA trata lo que se envía a su API para generar la respuesta, conforme a su propia política de privacidad.

7. Tus derechos

Como usuario, tienes derecho a acceder, rectificar, suprimir, limitar y oponerte al tratamiento de tus datos, y a la portabilidad de los mismos, escribiendo a [email protected]. También tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) si consideras que no se ha atendido correctamente tu solicitud.

8. Comunicaciones de marketing

Actualmente BEXEL no envía comunicaciones comerciales. Si en algún momento lo hacemos, será siempre con tu consentimiento explícito (nunca por defecto) y podrás darte de baja en cualquier momento desde el propio envío.

9. Menores de edad

El servicio está dirigido a personas de 16 años o más. No recopilamos conscientemente datos de menores de esa edad.

10. Seguridad

Aplicamos medidas técnicas y organizativas razonables para proteger los datos (control de acceso por roles, cifrado en tránsito, políticas de seguridad a nivel de base de datos). Ningún sistema es inviolable al 100%, pero nos comprometemos a notificar cualquier incidente de seguridad relevante conforme a lo exigido por el RGPD.

11. Cambios en esta política

Podemos actualizar esta política a medida que la plataforma evoluciona. Los cambios sustanciales se comunicarán a los usuarios registrados.