Legal
Política de Privacidad
Público: aplicación de consumo UE / Portugal (alumnos, instructores, estudios). Autoridad de control: Comissão Nacional de Proteção de Dados (CNPD), Portugal.
1. Quiénes somos
Student Body, Lda. («Student Body», «nosotros»), NIPC 519312708, con domicilio en Rua de Santos Pousada 826, 4000-485 Porto, Portugal, es el responsable del tratamiento de los datos personales tratados a través de studentbody.pt, app.studentbody.pt y las aplicaciones móviles de Student Body (el «Servicio»).
Contacto para cualquier cuestión de privacidad o para ejercer tus derechos: hello@studentbody.pt. No hemos designado un Delegado de Protección de Datos.
2. Los datos personales que recogemos
Recogemos datos que nos facilitas, datos generados a medida que utilizas el Servicio y una pequeña cantidad de datos técnicos:
- Identidad y contacto — nombre / nombre para mostrar, dirección de correo electrónico, número de teléfono (si lo facilitas, por ejemplo en un check-in de walk-in), foto de perfil, biografía y el identificador público que elijas.
- Cuenta y autenticación — el identificador de tu cuenta y los metadatos de inicio de sesión (la autenticación la gestiona nuestro proveedor Supabase; nunca vemos tu contraseña).
- Ubicación — la ciudad/país y, si usas funciones de ubicación, las coordenadas aproximadas derivadas de una dirección que introduces, además del radio de búsqueda que elijas.
- Perfil y preferencias — intereses, idiomas, preferencias de accesibilidad, preferencias de notificaciones y de horario, ajustes de apariencia.
- Reservas y actividad — clases que reservas, asistencias, entradas en listas de espera, clases, instructores y estudios guardados/seguidos, rachas e hitos.
- Detalles de check-in de las clases — incluyendo notas de lesión opcionales y preferencias de experiencia / «vibe» que elijas compartir antes de una clase (ver §3).
- Contenido y social — feedback y valoraciones de clases (incluidos comentarios privados que dejes), mensajes directos, conexiones/contactos y cualquier mensaje de soporte que nos envíes.
- Datos de pago — una referencia de cliente del proveedor de pagos y la marca, los últimos 4 dígitos y la caducidad de una tarjeta guardada. Nunca guardamos números de tarjeta completos — estos los conserva nuestro procesador de pagos, Stripe.
- Registros de consentimiento — tu aceptación de los Términos, tu elección de adhesión a marketing y el consentimiento de cookies/analítica, cada uno con fecha y hora (prueba de consentimiento).
- Datos técnicos y de uso — dirección IP e información del dispositivo/navegador usados para mantener el Servicio seguro y funcional; y, solo con tu consentimiento, eventos de analítica de producto sobre cómo usas la app (ver §4).
3. Cómo y por qué usamos tus datos
| Finalidad | Base jurídica (art. 6 RGPD) |
|---|---|
| Crear y gestionar tu cuenta; permitirte reservar clases; cobrar y reembolsar pagos; entregar mensajes, feedback y reservas | Ejecución de contrato — Art. 6(1)(b) |
| Mantener el Servicio seguro, prevenir el fraude y el abuso, depurar errores y mejorar y desarrollar funciones | Intereses legítimos — Art. 6(1)(f) |
| Enviarte correos de marketing / promocionales | Consentimiento — Art. 6(1)(a) (retirable en cualquier momento) |
| Cookies de analítica de producto / rastreo | Consentimiento — Art. 6(1)(a) (ePrivacy; a través del banner de cookies) |
| Conservar facturas y registros contables; responder a solicitudes legales | Obligación legal — Art. 6(1)(c) |
| Tratar notas opcionales de check-in relativas a lesiones / salud | Consentimiento explícito — Art. 9(2)(a); la recogida es claramente opcional |
No vendemos tus datos personales.
4. Cookies y analítica
- Cookies estrictamente necesarias te mantienen con la sesión iniciada y el Servicio seguro. Están siempre activas (no requieren consentimiento).
- Monitorización de errores (Sentry, alojado en la región de datos de la UE) se ejecuta para mantener el Servicio estable y seguro. Está configurada para no recoger ninguna dirección IP ni identificadores personales y se trata como estrictamente necesaria.
- Analítica (PostHog, alojado en la UE) nos ayuda a entender el uso. Solo se ejecuta después de que aceptes a través de nuestro banner de cookies y no establece ninguna cookie antes de eso. Puedes aceptar, rechazar o cambiar tu elección en cualquier momento.
5. Con quién compartimos tus datos (subencargados del tratamiento)
Compartimos datos únicamente con proveedores de servicios («encargados del tratamiento») que actúan siguiendo nuestras instrucciones en virtud de contratos de tratamiento de datos, cada uno solo en la medida necesaria para su función:
| Proveedor | Qué hace por nosotros | Dónde se trata / mecanismo de transferencia |
|---|---|---|
| Supabase | Autenticación y base de datos principal | Alojado en la UE (AWS eu-central-1, Frankfurt). Supabase, Inc. está constituida en EE. UU.; DPA + Cláusulas Contractuales Tipo de la UE. |
| Amazon Web Services | Infraestructura cloud y colas de mensajes | Alojado en la UE (eu-west-3, Paris). Contratado a través de AWS EMEA SARL (Luxemburgo); DPA. |
| Fly.io | Alojamiento de la aplicación / API | Tratamiento en la región de la UE (Paris, cdg). Constituida en EE. UU.; EU–US Data Privacy Framework + DPA. |
| Vercel | Alojamiento del sitio de marketing y analítica web sin cookies (sin cookies, sin banner de consentimiento) | Vercel, Inc. (EE. UU.). EU–US Data Privacy Framework / Cláusulas Contractuales Tipo. |
| Stripe | Procesamiento de pagos | Contratado a través de Stripe Payments Europe, Ltd (Irlanda, UE); transferencia ulterior limitada a Stripe, Inc. (EE. UU.) en virtud de Cláusulas Contractuales Tipo. |
| Brevo (Sendinblue) | Correo transaccional y de marketing | Empresa de la UE (Francia); datos alojados en la UE (Francia/Alemania). |
| PostHog | Analítica de producto (con consentimiento) | Alojado en la UE (EU Cloud, Frankfurt). Constituida en EE. UU.; DPA. |
| Sentry | Monitorización de errores (sin datos personales de usuarios finales) | Región de datos de la organización fijada en la UE. Constituida en EE. UU.; DPA. |
| Mapbox | Geocodificación de direcciones / mapas | Mapbox, Inc. (EE. UU.); trata los datos en EE. UU. Certificada por el EU–US Data Privacy Framework + Cláusulas Contractuales Tipo. |
| Cloudflare | Alojamiento y entrega de vídeos e imágenes de instructores; protección contra bots (Turnstile) | Cloudflare, Inc. (EE. UU.); servido desde una red edge global, por lo que los datos pueden tratarse fuera del EEE. Certificada por el EU–US Data Privacy Framework + Cláusulas Contractuales Tipo / DPA. |
Si conectas un sistema de reservas de terceros (por ejemplo, Acuity, BSport, YOGO) como instructor o estudio, intercambiamos los datos necesarios para sincronizar tus clases con ese proveedor, que actúa como responsable del tratamiento propio.
6. Transferencias internacionales
La mayor parte de tus datos personales se almacena y trata dentro del Espacio Económico Europeo: nuestra base de datos (Supabase, Frankfurt), la infraestructura y las colas (AWS, Paris), el alojamiento de la aplicación (Fly.io, Paris), la analítica de producto (PostHog, UE), la monitorización de errores (Sentry, UE) y el correo (Brevo, UE) tratan todos los datos en la UE.
Varios de estos proveedores están, no obstante, constituidos en los Estados Unidos (Supabase, Fly.io, Vercel, PostHog, Sentry). Almacenar datos en una región de la UE no excluye, por sí solo, la posibilidad de que una matriz estadounidense pueda estar sujeta a una solicitud legal de EE. UU. Un pequeño número de proveedores trata además datos fuera del EEE: Mapbox trata las solicitudes de geocodificación en los Estados Unidos, Cloudflare sirve los vídeos e imágenes de los instructores desde una red edge global, y Stripe efectúa transferencias ulteriores limitadas a su entidad en EE. UU.
Para cada transferencia que sale del EEE — y como salvaguarda complementaria para los datos de residentes en la UE en poder de proveedores constituidos en EE. UU. — recurrimos a un mecanismo adecuado en virtud del Capítulo V del RGPD: las Cláusulas Contractuales Tipo de la UE y/o la certificación del proveedor en virtud del EU–US Data Privacy Framework, con medidas complementarias cuando sea necesario. Puedes solicitar detalles de la salvaguarda de un proveedor concreto en hello@studentbody.pt.
7. Durante cuánto tiempo conservamos tus datos
| Datos | Conservación |
|---|---|
| Cuenta y perfil, actividad, contenido | Mientras tu cuenta esté activa. Cuando eliminas tu cuenta, borramos o anonimizamos irreversiblemente tus datos personales (ver §8). |
| Mensajes, feedback, solicitudes de soporte | Con tu cuenta, luego borrados al eliminarla. |
| Registros de pago, facturación y contabilidad | Conservados durante el periodo exigido por la legislación fiscal, contable y mercantil portuguesa aplicable — generalmente al menos 10 años a contar desde el final del año natural al que se refieren. |
| Registros de eventos del proveedor de pagos | 90 días |
| Registros de consentimiento de marketing | Conservados como prueba de consentimiento durante el periodo necesario para demostrar el cumplimiento. |
| Datos de analítica | Según tu consentimiento; eliminados si retiras el consentimiento. |
8. Tus derechos
Puedes, en cualquier momento: acceder a tus datos, rectificarlos, suprimirlos, limitar u oponerte al tratamiento, obtenerlos en un formato portátil (portabilidad) y retirar el consentimiento (sin afectar al tratamiento realizado antes de la retirada).
Hemos creado herramientas de autoservicio para las dos solicitudes más comunes, en Ajustes → Cuenta:
- Descargar mis datos — una copia estructurada (JSON) de tus datos personales (acceso y portabilidad).
- Eliminar mi cuenta — borra permanentemente tus datos personales en nuestros sistemas y en los de nuestros subencargados.
También puedes editar tu perfil directamente (rectificación) y cambiar el consentimiento de marketing/cookies en los ajustes. Para cualquier otra solicitud, envía un correo a hello@studentbody.pt; respondemos en el plazo de un mes (Art. 12(3)).
9. Decisiones automatizadas y elaboración de perfiles
Usamos tu actividad para personalizar recomendaciones y clasificaciones (por ejemplo, clases que te puedan gustar). Esto constituye elaboración de perfiles en el sentido corriente, pero no tomamos decisiones sobre ti que sean exclusivamente automatizadas y produzcan efectos jurídicos o de modo similar significativos en el sentido del Art. 22.
10. Menores
El Servicio está destinado a usuarios de 16 años o más (la edad de consentimiento digital en Portugal). No recogemos conscientemente datos de menores de 16 años; si crees que un menor ha usado el Servicio, contáctanos y eliminaremos la cuenta.
11. Seguridad
Protegemos tus datos con cifrado en tránsito, cifrado a nivel de aplicación de campos sensibles, controles de acceso y proveedores de infraestructura de confianza. Ningún sistema es perfectamente seguro, pero trabajamos para proteger tus datos y te notificaremos a ti y a la CNPD una violación cuando la ley así lo exija.
12. Reclamaciones
Tienes derecho a presentar una reclamación ante la Comissão Nacional de Proteção de Dados (CNPD) (www.cnpd.pt), sin perjuicio de cualquier otra vía administrativa o judicial.
13. Cambios
Podemos actualizar esta Política. La versión vigente es siempre la publicada aquí; señalaremos los cambios sustanciales.