Anexo de tratamiento de datos

Este anexo forma parte de los Términos y condiciones y regula el tratamiento de datos personales que Covalente SpA ("PhullApp") realiza por cuenta del gimnasio, estudio o centro deportivo que contrata la plataforma (en adelante, "el Gimnasio").

Se acepta electrónicamente desde la aplicación por una persona administradora del Gimnasio, quien declara tener facultades para obligarlo, tal como ya exige la sección 3 de los Términos. Queda registrada la organización, la persona que aceptó, la versión del anexo y la fecha.

1. Objeto y ámbito

El Gimnasio contrata a PhullApp como proveedor tecnológico para gestionar su operación: socios, reservas de clases, membresías y planes, asistencia, pagos, rutinas y progreso, comunicaciones y, si lo tiene habilitado, el asistente con inteligencia artificial.

Para prestar ese servicio, PhullApp trata datos personales de las personas del Gimnasio. Este anexo regula ese tratamiento y se aplica mientras el Gimnasio use la plataforma.

2. Roles de las partes

• El Gimnasio es el responsable del tratamiento. Decide para qué y cómo se tratan los datos de sus socios e instructores, y es quien responde ante ellos por esas decisiones.
• PhullApp es el encargado del tratamiento. Trata esos datos únicamente por cuenta del Gimnasio y según sus instrucciones, en los términos de este anexo.

Es exactamente lo que ya declara la sección 1 de la Política de privacidad. Respecto de los datos de la cuenta del propio Gimnasio y de su suscripción a PhullApp —facturación, plan contratado, identificación del titular— PhullApp actúa como responsable, no como encargado.

3. Duración

Este anexo rige mientras exista la cuenta del Gimnasio en PhullApp y, después de terminada la relación, durante los plazos de conservación indicados en la sección 11.

4. Instrucciones del responsable

• PhullApp trata los datos sólo por instrucción documentada del Gimnasio y sólo en la medida necesaria para prestar el servicio. El uso de la plataforma por parte del Gimnasio, y su configuración, constituyen esas instrucciones.
• PhullApp no usa los datos de los socios del Gimnasio para fines propios, ni los cede ni los intercambia con fines comerciales o publicitarios.
• No hay publicidad y no hay venta de datos, ni dentro de la aplicación ni fuera de ella.
• Las conversaciones con el asistente no se usan para entrenar modelos de inteligencia artificial, ni propios ni de terceros.
• Si PhullApp estima que una instrucción del Gimnasio infringe la normativa aplicable, se lo informará y podrá suspender su ejecución.
• PhullApp puede tratar datos agregados y disociados —que no permiten identificar a ninguna persona— para medir el uso de la plataforma y mejorar el producto.

5. Datos y titulares alcanzados

Categorías de datos:

• Identificación y contacto: nombre, correo electrónico, teléfono, fecha de nacimiento, género, foto de perfil y contacto de emergencia.
• Membresía y actividad: plan contratado, reservas, asistencia, listas de espera e historial en el Gimnasio.
• Pagos: historial de pagos y membresías y, en pagos por transferencia, el comprobante cargado. PhullApp no almacena números de tarjeta.
• Entrenamiento: rutinas, registros de ejercicios, marcas personales, logros y progreso.
• Notas internas del equipo del Gimnasio sobre el entrenamiento de una persona.
• Mensajes con el asistente con inteligencia artificial y, si el Gimnasio habilita el canal de WhatsApp, el número de teléfono y el contenido de esa conversación.
• Datos técnicos: dirección IP, tipo de dispositivo, cookies de sesión e identificador del dispositivo para las notificaciones push.

Titulares: socios, instructores y administradores del Gimnasio.

PhullApp no trata datos de salud (fichas médicas, lesiones, condiciones preexistentes ni mediciones clínicas). El Gimnasio se obliga a no registrar ese tipo de datos en campos de texto libre de la plataforma.

6. Confidencialidad

PhullApp mantiene los datos en confidencialidad y se obliga a que toda persona con acceso a ellos —personal propio o colaboradores— esté sujeta al mismo deber, que subsiste después de terminada la relación. El acceso se limita a quienes lo necesitan para operar y sostener el servicio.

7. Seguridad

PhullApp aplica medidas técnicas y organizativas razonables, acordes al estado de la técnica y al riesgo del tratamiento: cifrado en tránsito, cifrado de credenciales sensibles en reposo, control de acceso por roles, segundo factor obligatorio para las cuentas de administración de la plataforma y respaldos periódicos. Ningún sistema es infalible; PhullApp no garantiza seguridad absoluta, sino la diligencia descrita.

El Gimnasio es responsable de administrar los accesos de su propio equipo: qué personas tienen rol de administrador o instructor, y de retirarles el acceso cuando corresponda.

8. Subencargados

El Gimnasio autoriza a PhullApp a apoyarse en los siguientes proveedores, que tratan los datos por cuenta de PhullApp, bajo sus instrucciones y con obligaciones equivalentes a las de este anexo:

• Railway — alojamiento de la aplicación y de la base de datos.
• Cloudflare — entrega y almacenamiento de las imágenes cargadas.
• Google (Gemini) — modelo de inteligencia artificial que responde en el asistente. Recibe el contenido de los mensajes y, en las notas de voz por WhatsApp, también su audio.
• Google (Firebase Cloud Messaging) y Apple (APNs) — entrega de las notificaciones push a los dispositivos.
• Google y Apple — inicio de sesión, sólo para quien elige "Continuar con Google" o "Iniciar sesión con Apple".
• Resend — envío de los correos del servicio.
• Flow — procesamiento de los pagos con tarjeta. Recibe nombre, correo y monto; los datos de la tarjeta se ingresan directamente en su plataforma.
• Kapso y WhatsApp (Meta) — canal de WhatsApp del asistente. Reciben el número y el contenido de esos mensajes, incluidas las notas de voz, sólo si el Gimnasio tiene el asistente habilitado y la persona escribe por ese canal.
• Open-Meteo — clima de las clases. Sólo recibe las coordenadas del Gimnasio; ningún dato personal.
• Proveedor de facturación electrónica — emisión de documentos tributarios, cuando corresponda. Recibe los datos tributarios del Gimnasio, no los de sus socios.

Esta lista es la misma que publica la sección 6 de la Política de privacidad y se mantiene actualizada allí. PhullApp avisará al Gimnasio con antelación razonable antes de incorporar o sustituir un subencargado, y el Gimnasio podrá oponerse por motivos fundados; si la oposición impide prestar el servicio, cualquiera de las partes podrá terminar la relación sin cargo por lo que reste del período contratado.

9. Asistencia al responsable

• Derechos de los titulares. Si una persona ejerce ante PhullApp sus derechos de acceso, rectificación, cancelación, oposición o portabilidad sobre datos del Gimnasio, PhullApp la derivará al Gimnasio y le prestará asistencia razonable para responder dentro de los plazos legales. Buena parte de esos derechos se ejerce directamente en la aplicación: cada persona edita su perfil y puede eliminar su cuenta.
• Notificación de brechas. Si PhullApp toma conocimiento de una vulneración de seguridad que afecte datos personales del Gimnasio, se lo comunicará sin dilaciones indebidas, con la información disponible sobre la naturaleza del incidente, los datos y personas afectadas, las consecuencias probables y las medidas adoptadas, y lo mantendrá informado del avance. La notificación a la autoridad y a los titulares, cuando proceda, corresponde al Gimnasio como responsable.
• PhullApp asistirá razonablemente al Gimnasio en las evaluaciones de impacto y consultas previas que la normativa exija respecto de los tratamientos que ocurren en la plataforma.

10. Transferencias internacionales

Los proveedores de la sección 8 operan servidores fuera de Chile, principalmente en Estados Unidos y en la Unión Europea, de modo que los datos pueden tratarse en esos países. PhullApp mantiene con cada uno los acuerdos de tratamiento y las medidas de seguridad correspondientes, y el Gimnasio autoriza esas transferencias en cuanto son necesarias para prestar el servicio.

11. Devolución y eliminación

• Mientras el Gimnasio use la plataforma puede exportar sus datos desde la aplicación, o solicitar una copia en un formato de uso común.
• Terminada la relación, el Gimnasio puede pedir la devolución de sus datos dentro de los 30 días siguientes. Transcurrido ese plazo, PhullApp los elimina o los anonimiza.
• Excepción: se conservan los registros que la ley obliga a mantener —principalmente los que respaldan la contabilidad y la tributación— durante los 6 años que exige la normativa chilena, y el identificador tributario del titular que abrió la cuenta, con acceso restringido y exclusivamente para impedir que se vuelva a consumir el período de prueba gratuito.
• Cada persona puede eliminar su cuenta por su cuenta, en cualquier momento, desde Perfil → Eliminar mi cuenta. El detalle de qué se anonimiza y qué se conserva está en Eliminar cuenta y datos y en la sección 9 de la Política de privacidad.

12. Auditoría e información

A solicitud del Gimnasio, PhullApp entregará la información razonablemente necesaria para acreditar el cumplimiento de este anexo. Las verificaciones se coordinarán con antelación, en horario hábil, con un alcance proporcional al riesgo y sin comprometer la seguridad ni la confidencialidad de los datos de otros gimnasios que usan la misma plataforma.

13. Vigencia y contacto

Rige la versión publicada en esta página, con la fecha que indica su encabezado. Si el anexo cambia de manera relevante, se solicitará una nueva aceptación a la administración del Gimnasio y quedará registrada la versión aceptada, quién la aceptó y cuándo. En lo no regulado aquí se aplican los Términos y condiciones, incluida la ley chilena aplicable.

Consultas sobre este anexo: contacto@covalente.dev.