Software de gimnasio RGPD: qué comprobar

¿Hay software de gimnasio conforme al RGPD?

Si tu gimnasio está en la UE o el EEE, conviene poder citar un contrato publicado del artículo 28, una lista de subencargados y datos claros de alojamiento y conservación. Sessy lo deja por escrito en una página propia y en los textos legales: es un resumen, no asesoramiento jurídico.

Respuesta breve: tu gimnasio es el responsable del tratamiento y Sessy el encargado. Los datos principales de la plataforma se tratan principalmente en la UE, en Google Cloud / Firebase. El Processor addendum es el contrato escrito del artículo 28; no hace falta pedir una copia aparte. Los subencargados están en Sub-processors. Las sesiones tienen un TTL de 3 años; los newsletters se eliminan al cabo de 1 año. El consentimiento opcional para datos de salud (artículo 9) está disponible desde la versión 11.0.0. La IA en la app (modo plataforma) usa Opper (UE) y Azure (UE); Sessy no entrena modelos con los datos del gimnasio. Con MCP, el proveedor de IA que elige el gimnasio es el encargado, no Sessy.

El mismo resumen, con preguntas frecuentes: software de gimnasio conforme al RGPD.

Datos citables

• Alojamiento: Google Cloud / Firebase — UE (primario) para el hosting en la nube y la infraestructura de la aplicación (Sub-processors, Privacy statement).
• Contrato de encargado: el Processor addendum es el acuerdo del artículo 28. No hace falta una copia distinta.
• Subencargados: lista pública por tipo de tratamiento en Sub-processors, que forma parte del addendum. Los cambios relevantes se publican ahí; el gimnasio puede oponerse en un plazo de 30 días (Processor addendum).
• Conservación: sesiones con TTL de 3 años; los newsletters de más de 1 año los borra una limpieza programada, imágenes referenciadas incluidas (Almacenamiento y retención).
• Datos de salud (art. 9): consentimiento opcional, explícito y revocable desde la 11.0.0, sin casilla marcada de antemano, en las preferencias de abono y de socio (Tipos de abono, versión 11.0.0).
• Sessy AI (modo plataforma): de Opper (UE) a Microsoft Azure en la UE. Sessy no entrena modelos con datos del gimnasio; la ruta por defecto no se usa para entrenar el modelo (Sub-processors, Privacy statement).
• MCP / IA externa: si el gimnasio conecta Claude, ChatGPT, Cursor u otro cliente MCP, ese proveedor de IA es encargado del gimnasio, no de Sessy (Sub-processors, Conectar agente IA).
• Pagos: Stripe puede tratar datos fuera del EEE. Sessy no guarda números de tarjeta completos (Sub-processors).
• Chat de la web: Chatwoot, alojado por el propio Sessy en la UE, separado de las bases de datos de socios (Sub-processors).

Roles: responsable, encargado y documentos

De los datos de socios que guardas en Sessy, tu gimnasio es responsable y Sessy encargado. Para fines propios — facturación de la licencia, cuentas del gimnasio, visitas a la web, chat de soporte en sessy.app — Sessy es responsable. Ese tratamiento está en la Privacy statement, no en el addendum.

El addendum en inglés indica que prevalece la versión neerlandesa: Verwerkersaddendum y Subverwerkers.

Dónde están los datos y quién más interviene

Sessy trata datos personales principalmente en la Unión Europea. Sub-processors agrupa a los proveedores por tipo:

1. Hosting en la nube — Google Cloud / Firebase (UE, primario)
2. Pagos — Stripe (puede incluir tratamiento fuera del EEE, con garantías adecuadas)
3. Soporte en la web — Chatwoot, alojado por Sessy en la UE
4. Inferencia de IA (en la app, modo plataforma) — Opper (UE) y Azure (UE)
5. Analítica y seguridad (web) — Google Analytics, reCAPTCHA

Google Cloud / Firebase no se usa para entrenar modelos de IA (Sub-processors).

Conservación y limpieza

El comportamiento técnico está en Almacenamiento y retención:

• Sesiones: _meta.ttl a 3 años. La limpieza elimina los documentos de sesión más antiguos.
• Newsletters: los publicados o en borrador con más de 1 año se borran, también las imágenes a las que apuntan.
• Otras tareas: por ejemplo, registros de activación de usuarios del backend y tokens de dispositivo inactivos, ambos a los 90 días (el mismo documento).

Datos de salud y consentimiento (artículo 9)

Las notas o preferencias pueden incluir categorías especiales del artículo 9, por ejemplo lesiones. El gimnasio necesita una base jurídica válida. Sessy permite un consentimiento opcional, explícito y revocable en la app, sin casilla premarcada. Se configura en Tipos de abono y está desde la versión 11.0.0.

Si un socio retira el consentimiento, Sessy no borra las notas solo por eso. El gimnasio revisa notas y adjuntos.

Sessy AI y MCP

Modo plataforma (el de por defecto): el equipo usa Sessy AI dentro de la app. Las peticiones van a Opper y al modelo Azure en la UE por defecto. Sessy no usa datos del gimnasio ni de los socios para entrenar modelos. En la ruta por defecto, el contenido no se usa para entrenar el modelo. Azure puede conservar el contenido hasta 30 días para la supervisión de abusos (Privacy statement, Sub-processors, Processor addendum §7).

BYOK: la cuenta y el modelo de Opper son del gimnasio. El gimnasio elige región y condiciones del proveedor, y necesita su propio acuerdo con Opper (Processor addendum).

MCP: el proveedor de IA conectado con un token de agente es el encargado del gimnasio, no un subencargado de Sessy. Ubicación, entrenamiento y conservación dependen de ese proveedor (Sub-processors, Conectar agente IA).

Documentos oficiales

• Processor addendum (artículo 28)
• Sub-processors
• Privacy statement
• Almacenamiento y retención
• Página RGPD en español

El addendum y la lista de subencargados están publicados en inglés. Si discrepan, prevalece el texto neerlandés.

Prueba gratis →