Política de Privacidad

Público: aplicación de consumo UE / Portugal (alumnos, instructores, estudios). Autoridad de control: Comissão Nacional de Proteção de Dados (CNPD), Portugal.

1. Quiénes somos

Student Body, Lda. («Student Body», «nosotros»), NIPC 519312708, con domicilio en Rua de Santos Pousada 826, 4000-481 Porto, Portugal, es el responsable del tratamiento de los datos personales tratados a través de studentbody.pt, app.studentbody.pt y las aplicaciones móviles de Student Body (el «Servicio»).

Contacto para cualquier cuestión de privacidad o para ejercer tus derechos: hello@studentbody.pt. No hemos designado un Delegado de Protección de Datos.

2. Los datos personales que recogemos

Recogemos datos que nos facilitas, datos generados a medida que utilizas el Servicio y una pequeña cantidad de datos técnicos:

• Identidad y contacto — nombre / nombre para mostrar, dirección de correo electrónico, número de teléfono (si lo facilitas, por ejemplo en un check-in de walk-in), foto de perfil, biografía y el identificador público que elijas.
• Fecha de nacimiento — o, cuando te registras en mitad de una reserva, tu confirmación de que tienes al menos 16 años (la fecha se pide después). Se usa solo para comprobar la edad mínima (ver §3); nunca para marketing.
• Cuenta y autenticación — el identificador de tu cuenta y los metadatos de inicio de sesión (la autenticación la gestiona nuestro proveedor Supabase; nunca vemos tu contraseña).
• Ubicación — la ciudad/país y, si usas funciones de ubicación, las coordenadas aproximadas derivadas de una dirección que introduces, además del radio de búsqueda que elijas.
• Perfil y preferencias — intereses, idiomas, preferencias de accesibilidad, ajustes de notificaciones, ajustes de apariencia y tus preferencias de horario (los días de la semana y las franjas del día en que sueles practicar, si decides indicárnoslos).
• Reservas y actividad — clases que reservas, asistencias, entradas en listas de espera, clases, instructores y estudios guardados/seguidos, rachas e hitos; y, si decides contárnoslo, por qué no completaste una reserva — un motivo que eliges de una lista (por ejemplo, que tu tarjeta no funcionó) y cualquier nota que añadas. Si reservas como invitado, un amigo te regala una entrada o haces check-in como walk-in, conservamos el nombre y la dirección de correo facilitados para que la reserva pueda vincularse a una cuenta más adelante — la tuya, cuando te registres con ese correo o sigas el enlace del correo que te enviamos.
• Detalles de check-in de las clases — incluyendo notas de lesión opcionales y preferencias de experiencia / «vibe» que elijas compartir antes de una clase (ver §3).
• Contenido y social — feedback y valoraciones de clases (incluidos comentarios privados que dejes), mensajes directos, conexiones/contactos y cualquier mensaje de soporte que nos envíes.
• Datos de pago — una referencia de cliente del proveedor de pagos y la marca, los últimos 4 dígitos y la caducidad de una tarjeta guardada y — hasta 24 horas después de pagar — de la tarjeta con la que pagaste, para preguntarte si quieres guardarla. Nunca guardamos números de tarjeta completos — estos los conserva nuestro procesador de pagos, Stripe.
• Registros de consentimiento — tu aceptación de los Términos, tu elección de adhesión a marketing y el consentimiento de cookies/analítica, cada uno con fecha y hora (prueba de consentimiento).
• Avisos de estado — la dirección de correo electrónico que nos das en nuestra página de estado (status.studentbody.pt) o en nuestro sitio web, si pides que te avisemos por correo cuando el Servicio deja de funcionar o vuelve a funcionar. No necesitas una cuenta para ello.
• Datos técnicos y de uso — dirección IP e información del dispositivo/navegador usados para mantener el Servicio seguro y funcional; eventos de uso vinculados a la cuenta que nuestros servidores registran mientras tienes la sesión iniciada (por ejemplo, que reservaste o cancelaste una clase); y, solo con tu consentimiento, eventos de analítica de producto en el navegador sobre cómo usas la app, identificados por un identificador de analítica aleatorio (ver §4).

3. Cómo y por qué usamos tus datos

Resúmenes de demanda. Si nos indicas cuándo te gusta practicar, incluimos tus preferencias de horario en resúmenes agregados de demanda que se muestran a instructores y estudios, para que puedan planificar clases en los horarios que los alumnos realmente quieren. Estos resúmenes son únicamente recuentos de grupo: una combinación de día y hora solo se muestra cuando al menos 5 alumnos la han seleccionado, otros recuentos (como idioma o tipo de clase preferidos) solo cuando al menos 3 alumnos los comparten, y los grupos por debajo de estos mínimos se ocultan por completo, en lugar de mostrarse como números pequeños. Tus preferencias individuales nunca se muestran a nadie. Tus preferencias se incluyen por defecto; puedes excluirlas en cualquier momento desmarcando la opción al crear tu cuenta o en Ajustes → Preferencias de práctica, con efecto inmediato. Así es también como ejerces tu derecho de oposición (Art. 21) a este tratamiento.

Avisos de estado. Si pides, en nuestra página de estado o en nuestro sitio web, que te avisemos por correo cuando el Servicio deja de funcionar o vuelve a funcionar, primero enviamos un correo de confirmación a la dirección que indicaste y solo la añadimos a la lista cuando sigues el enlace de ese correo. Usamos la dirección solo para enviar estos avisos: pedirlos no te suscribe a correos de marketing. Todos los avisos de estado incluyen un enlace para darte de baja. Usarlo pone fin a los avisos de estado y, si esa dirección también recibe nuestros correos de marketing, a esos también.

No vendemos tus datos personales.

4. Cookies y analítica

• Cookies estrictamente necesarias te mantienen con la sesión iniciada y el Servicio seguro. Están siempre activas (no requieren consentimiento).
• Monitorización de errores (Sentry, alojado en la región de datos de la UE) se ejecuta para mantener el Servicio estable y seguro. Está configurada para no recoger ninguna dirección IP ni identificadores personales y se trata como estrictamente necesaria.
• Analítica (PostHog, alojado en la UE) nos ayuda a entender el uso. En tu navegador solo se ejecuta después de que aceptes a través de nuestro banner de cookies y no establece ninguna cookie antes de eso. En las páginas de reserva puede incluir una grabación de cómo recorriste la página, con todo lo que escribes oculto. Puedes aceptar, rechazar o cambiar tu elección en cualquier momento.
• Eventos de uso vinculados a la cuenta. Mientras tienes la sesión iniciada, nuestros servidores también registran eventos clave vinculados a tu cuenta — por ejemplo, que te registraste, reservaste o cancelaste una clase — para ver dónde funciona el Servicio y dónde se atasca la gente. Lo hacemos sobre la base de nuestros intereses legítimos (§3). Si rechazas la analítica en el banner o en las preferencias de cookies — antes o después de iniciar sesión — dejamos de registrar estos eventos y eliminamos tu perfil de analítica (una elección hecha antes de iniciar sesión se aplica cuando inicias sesión).
• Continuar en otro navegador. Aplicaciones como Instagram abren los enlaces en su propio navegador integrado, que guarda sus datos por separado de tu navegador habitual. Si aceptaste la analítica en ese navegador integrado y luego continúas en otro — al tocar el enlace de inicio de sesión que te enviamos por correo, o con «Abrir en el navegador» — el enlace lleva tu identificador de analítica aleatorio (un código, nunca tu nombre ni tu correo, válido durante 30 minutos) para que la visita cuente como un único recorrido. En el nuevo navegador, la analítica en el navegador sigue ejecutándose solo si la aceptas allí. Cuando inicias sesión, vinculamos ese identificador a tu cuenta, salvo que hayas rechazado la analítica.

5. Con quién compartimos tus datos (subencargados del tratamiento)

Compartimos datos únicamente con proveedores de servicios («encargados del tratamiento») que actúan siguiendo nuestras instrucciones en virtud de contratos de tratamiento de datos, cada uno solo en la medida necesaria para su función:

Lo que los estudios e instructores reciben sobre ti. El estudio o instructor cuya clase reservas ve tu nombre tal como elegiste mostrarlo, tu reserva y si asististe. Solo recibe tu dirección de correo electrónico y tu número de teléfono si activaste «Compartir mi contacto con estudios e instructores» en los ajustes, o si los diste en la puerta. Tus necesidades de accesibilidad se muestran a quien hace el check-in solo si elegiste mostrarlas. Una nota de lesión que escribas antes de una clase se muestra al instructor de esa clase y a nadie más. Cuando un estudio ha conectado otro sistema de reservas y ha activado el reflejo de reservas, tu nombre y dirección de correo se envían a ese sistema cuando reservas, para que tu plaza exista también allí.

Si conectas un sistema de reservas de terceros (por ejemplo, Acuity, BSport, YOGO) como instructor o estudio, intercambiamos los datos necesarios para sincronizar tus clases con ese proveedor, que actúa como responsable del tratamiento propio.

6. Transferencias internacionales

La mayor parte de tus datos personales se almacena y trata dentro del Espacio Económico Europeo: nuestra base de datos (Supabase, Frankfurt), la infraestructura y las colas (AWS, Paris), el alojamiento de la aplicación (Fly.io, Paris), la analítica de producto (PostHog, UE), la monitorización de errores (Sentry, UE) y el correo (Brevo, UE) tratan todos los datos en la UE.

Varios de estos proveedores están, no obstante, constituidos en los Estados Unidos (Supabase, Fly.io, Vercel, PostHog, Sentry). Almacenar datos en una región de la UE no excluye, por sí solo, la posibilidad de que una matriz estadounidense pueda estar sujeta a una solicitud legal de EE. UU. Un pequeño número de proveedores trata además datos fuera del EEE: Mapbox trata las solicitudes de geocodificación en los Estados Unidos, Cloudflare sirve los vídeos e imágenes de los instructores desde una red edge global, y Stripe efectúa transferencias ulteriores limitadas a su entidad en EE. UU.

Para cada transferencia que sale del EEE — y como salvaguarda complementaria para los datos de residentes en la UE en poder de proveedores constituidos en EE. UU. — recurrimos a un mecanismo adecuado en virtud del Capítulo V del RGPD: las Cláusulas Contractuales Tipo de la UE y/o la certificación del proveedor en virtud del EU–US Data Privacy Framework, con medidas complementarias cuando sea necesario. Puedes solicitar detalles de la salvaguarda de un proveedor concreto en hello@studentbody.pt.

7. Durante cuánto tiempo conservamos tus datos

8. Tus derechos

Puedes, en cualquier momento: acceder a tus datos, rectificarlos, suprimirlos, limitar u oponerte al tratamiento, obtenerlos en un formato portátil (portabilidad) y retirar el consentimiento (sin afectar al tratamiento realizado antes de la retirada).

Hemos creado herramientas de autoservicio para las dos solicitudes más comunes, en Ajustes → Cuenta:

• Descargar mis datos — una copia estructurada (JSON) de tus datos personales (acceso y portabilidad).
• Eliminar mi cuenta — borra permanentemente tus datos personales en nuestros sistemas y en los de nuestros subencargados. Las copias en nuestras copias de seguridad se sobrescriben en un plazo de 30 días.

También puedes editar tu perfil directamente (rectificación) y cambiar el consentimiento de marketing/cookies en los ajustes; rechazar allí la analítica es también la forma de oponerte a los eventos de uso vinculados a la cuenta descritos en el §4. Para oponerte al uso de tus preferencias de horario en los resúmenes de demanda, basta con desactivar «Incluir mis preferencias en los resúmenes de demanda» en Ajustes → Preferencias de práctica. Para dejar de recibir los avisos de estado, usa el enlace de baja incluido en cualquiera de ellos. Para cualquier otra solicitud, envía un correo a hello@studentbody.pt; respondemos en el plazo de un mes (Art. 12(3)).

9. Decisiones automatizadas y elaboración de perfiles

Usamos tu actividad para personalizar recomendaciones y clasificaciones (por ejemplo, clases que te puedan gustar). Esto constituye elaboración de perfiles en el sentido corriente, pero no tomamos decisiones sobre ti que sean exclusivamente automatizadas y produzcan efectos jurídicos o de modo similar significativos en el sentido del Art. 22.

10. Menores

El Servicio está destinado a usuarios de 16 años o más (la edad de consentimiento digital en Portugal). No recogemos conscientemente datos de menores de 16 años; si crees que un menor ha usado el Servicio, contáctanos y eliminaremos la cuenta.

11. Seguridad

Protegemos tus datos con cifrado en tránsito, cifrado a nivel de aplicación de campos sensibles, controles de acceso y proveedores de infraestructura de confianza. Ningún sistema es perfectamente seguro, pero trabajamos para proteger tus datos y te notificaremos a ti y a la CNPD una violación cuando la ley así lo exija.

12. Reclamaciones

Tienes derecho a presentar una reclamación ante la Comissão Nacional de Proteção de Dados (CNPD) (www.cnpd.pt), sin perjuicio de cualquier otra vía administrativa o judicial.

13. Cambios

Podemos actualizar esta Política. La versión vigente es siempre la publicada aquí; señalaremos los cambios sustanciales.