1. Quién es el responsable

El responsable del tratamiento de tus datos es David Mañas (en adelante, «RackMates», «nosotros»). Puedes escribirnos a [email protected] para cualquier cuestión sobre tus datos.

Esta política se aplica a la app RackMates (iOS y Android) y a la web rackmates.app. Está redactada en lenguaje llano a propósito: queremos que la entiendas sin abogado. Si algo no está claro, pregúntanos.

2. La idea en una frase

RackMates necesita saber si estás en tu gimnasio, no dónde estás. Tu ubicación exacta nunca sale de tu móvil. Todo lo demás en esta política sigue esa misma lógica: guardamos lo mínimo para que la app funcione y lo borramos cuando deja de hacer falta.

3. Qué datos tratamos y para qué

Datos	Para qué	Base legal	Cuánto tiempo
Cuenta: correo, nombre, handle, foto (opcional), idioma, versión de términos aceptada, fecha de alta	Crear y mantener tu cuenta, iniciar sesión, avisarte de cambios legales	Ejecución del contrato (art. 6.1.b RGPD)	Mientras tengas cuenta
Correo verificado	Evitar cuentas falsas antes de crear planes, unirte a ellos o escribir a alguien. Te enviamos un código de 6 cifras al correo; del código guardamos solo una huella (HMAC-SHA256) y se borra a las 24 horas. No pedimos tu número de teléfono	Interés legítimo en la seguridad de la comunidad (art. 6.1.f)	Mientras tengas cuenta
Inicio de sesión con Apple o Google	Crear la cuenta sin contraseña. Recibimos un identificador y, si lo autorizas, tu correo	Ejecución del contrato	Mientras tengas cuenta
Perfil de entreno: nivel, tipos de entreno, disponibilidad, bio, gimnasios favoritos	Mostrarte a tu gente y sugerirte personas afines por horario, tipo y nivel	Ejecución del contrato	Mientras tengas cuenta o lo borres tú
Presencia («dentro» / «fuera»)	Contar cuánta gente de RackMates hay en un sitio y mostrar a tu círculo que estás dentro. La comprobación de distancia se hace en tu móvil; al servidor solo llega «dentro» o «fuera», nunca coordenadas. Si activas el check-in automático, la geovalla también se evalúa en el móvil	Ejecución del contrato	Detalle de entradas y salidas: 90 días. Después solo conservamos agregados por franja horaria sin identificarte
Planes, participaciones y mensajes (chats de plan, de grupo y directos)	Que puedas quedar y hablar con tu gente	Ejecución del contrato	Mientras tengas cuenta. Los chats de un plan se ocultan 24 h después del plan y se borran a los 90 días
Círculo, bloqueos, reportes	Conectarte con quien tú elijas, ocultar a quien bloquees, moderar la comunidad	Ejecución del contrato; interés legítimo en la seguridad	Bloqueos: mientras los mantengas. Reportes: 12 meses desde su resolución
Entrenos, rutinas, marcas, retos	Tu registro de entreno. Se guarda en tu móvil y se sincroniza cuando hay conexión	Ejecución del contrato	Mientras tengas cuenta
Datos de salud (opcional)	Solo si activas «Guardar en Apple Health / Health Connect»: escribimos tus entrenos terminados en esa app. No leemos datos de salud ni los subimos a nuestros servidores	Consentimiento explícito (art. 9.2.a)	Vive en tu dispositivo; lo controlas desde Salud / Health Connect
Notificaciones push: token del dispositivo	Avisarte de planes, mensajes y solicitudes	Ejecución del contrato	Hasta que cierres sesión o borres la app
Compras: identificador de RevenueCat, producto, fechas	Saber si eres Pro o tienes créditos de Destacar. Nunca vemos tu tarjeta: pagas a Apple o Google	Ejecución del contrato	Mientras tengas cuenta y lo que exija la ley fiscal
Datos técnicos: dirección IP, versión de app y sistema, registros de error	Que la app funcione, limitar abusos (límites por IP) y arreglar fallos	Interés legítimo	Registros del servidor: 30 días. Errores en Sentry: 90 días
Uso de la app (opcional)	Solo si activas «Ayudar a mejorar RackMates» en Yo → Privacidad: eventos de uso anónimos en PostHog (servidores en la UE). Desactivado por defecto	Consentimiento (art. 6.1.a)	12 meses
Lista de espera de la web: correo e idioma	Avisarte una vez cuando la app salga	Consentimiento	Hasta el aviso de lanzamiento o hasta que pidas el borrado
Reclamaciones de gimnasio: nombre de contacto, cargo, correo, mensaje	Verificar que quien reclama una página representa al gimnasio	Interés legítimo / medidas precontractuales	12 meses desde la resolución

No tomamos decisiones automatizadas con efectos jurídicos sobre ti. La «afinidad» que ves con otras personas es una suma simple de coincidencias de horario, tipo de entreno y nivel; no crea un perfil ni se usa para nada más.

4. Lo que no hacemos

No guardamos tu ubicación exacta ni tu historial de movimientos.
No vendemos ni cedemos tus datos a terceros para publicidad. No hay anuncios.
No leemos tus datos de salud.
No usamos cookies ni analítica en la web.
No presentamos el número de «dentro ahora» como la ocupación del gimnasio: solo cuenta a quien ha hecho check-in en RackMates.

5. Quién más ve tus datos

Otras personas de RackMates

Tu nombre, handle, foto, nivel, tipos de entreno, bio, horario y fiabilidad son visibles para la gente que comparte gimnasio contigo y para quien abra tu perfil público (rackmates.app/u/tu-handle, que solo muestra nombre, handle y foto).
Tu presencia («dentro») la ve tu círculo y aparece en las muestras de «dentro ahora» del gimnasio. Con el modo invisible sigues sumando al número, pero no apareces en ninguna lista.
Los planes abiertos los ve la gente del gimnasio; los avisos al círculo, solo tu círculo.
Quien bloqueas deja de verte y tú a esa persona.

Encargados del tratamiento

Usamos estos proveedores, con contrato de encargo de tratamiento y, cuando están fuera de la UE, con cláusulas contractuales tipo de la Comisión Europea u otras garantías del capítulo V del RGPD:

Proveedor	Qué hace	Dónde
Hetzner Online	Servidor de la API, base de datos y copias de seguridad cifradas en tránsito	Alemania (Unión Europea)
Cloudflare	Web, DNS, reenvío del correo de contacto y almacenamiento de fotos y copias de seguridad (R2)	Unión Europea para los datos almacenados; red global para servir la web (cláusulas contractuales tipo)
Resend	Envío de correos (código de verificación, recuperación de contraseña, avisos legales)	EE. UU. (cláusulas contractuales tipo)
Expo (EAS)	Envío de notificaciones push a Apple y Google	EE. UU. (cláusulas contractuales tipo). Solo recibe el token del dispositivo y el texto del aviso
RevenueCat	Gestión de suscripciones y compras	EE. UU. (cláusulas contractuales tipo). Recibe un identificador de usuario y los recibos de la tienda
Sentry	Registro de errores de la app y la API	Unión Europea
PostHog	Analítica de uso de la app, solo si la activas	Unión Europea
Apple y Google	Tiendas, pagos, inicio de sesión y notificaciones	Según sus propias políticas; actúan como responsables independientes

No hay más destinatarios, salvo obligación legal (por ejemplo, un requerimiento judicial).

6. Dónde se guardan

Los datos de la aplicación se alojan en la Unión Europea. Algunos proveedores del punto anterior están en EE. UU. y reciben datos puntuales (un correo mientras se envía, un token de notificación). En esos casos aplicamos las cláusulas contractuales tipo y, cuando el proveedor está adherido, el Marco de Privacidad de Datos UE-EE. UU.

7. Tus derechos

Puedes ejercer en cualquier momento tus derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición, y retirar el consentimiento que hayas dado sin que afecte a lo anterior.

La mayoría los tienes dentro de la app, sin escribir a nadie:

Descargar tus datos: Yo → Privacidad → Descargar mis datos (un JSON con todo lo que guardamos de ti).
Borrar tu cuenta: Yo → Privacidad → Borrar cuenta. Se borra todo de inmediato; en las copias de seguridad desaparece en un máximo de 30 días.
Corregir tu perfil: Yo → Editar perfil.
Modo invisible, bloqueos, analítica opcional, Apple Health / Health Connect: Yo → Privacidad.

Para el resto, escríbenos a [email protected]. Respondemos en un mes como máximo. Si no estás conforme, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).

8. Menores

RackMates es para personas de 16 años o más. Lo preguntamos al registrarte y, si detectamos una cuenta de alguien menor, la borramos. Si crees que un menor está usando RackMates, escríbenos.

9. Seguridad

Las comunicaciones van cifradas (TLS). Las contraseñas se guardan con hash (Argon2) y los códigos de verificación, solo como huella. El acceso a los datos de producción está limitado al equipo que lo necesita y queda registrado. Si sufriéramos una brecha que te afecte, te avisaremos y lo notificaremos a la autoridad en los plazos que marca la ley.

10. Cambios

Si cambiamos algo relevante de esta política, te lo diremos en la app antes de que entre en vigor y te pediremos aceptar la nueva versión. El número de versión (arriba) te permite saber qué texto aceptaste.