Política de Privacidad

Última actualización: junio 2025 Versión 1.0

1. Responsable del tratamiento

El responsable del tratamiento de tus datos personales es:

• Responsable: Oriol Freixas Cuesta
• Email de contacto: xfightbusiness@gmail.com
• Web: xfight.es

Para cualquier consulta relacionada con el tratamiento de tus datos, puedes contactarnos en xfightbusiness@gmail.com.

2. Datos que recopilamos

Recopilamos los siguientes datos personales:

Datos de cuenta:

• Correo electrónico
• Nombre completo
• Foto de perfil (opcional)
• Contraseña (almacenada de forma encriptada, nunca en texto plano)

Datos de uso:

• Disciplinas deportivas de interés
• Biografía personal (opcional)
• Reservas de clases y asistencia
• Membresías en gimnasios

Datos técnicos:

• Token de notificaciones push (si las aceptas)
• Dirección IP y datos de sesión (gestionados por Supabase Auth)

Datos de ubicación:

• Ubicación aproximada (solo si das permiso explícito y para funcionalidades de descubrimiento de gimnasios cercanos). Nunca se almacena tu ubicación en tiempo real.

Contenido que escribes:

• Reseñas de gimnasios.
• Mensajes del hilo de coordinación de un evento, si tienes un rol de administración en tu gimnasio. Ese hilo solo lo ven los administradores de los gimnasios que participan en ese evento.
• Denuncias de contenido que envíes, con el motivo indicado.

Compra de entradas sin cuenta:

• Si compras una entrada para un evento sin registrarte, guardamos tu nombre, tu correo electrónico y, si lo facilitas, tu teléfono. Son los datos mínimos para emitirte la entrada, hacértela llegar y que el gimnasio organizador pueda controlar el acceso el día del evento. No se crea ninguna cuenta con ellos ni se usan para enviarte publicidad.

Reserva de una clase personal sin cuenta:

• Si reservas una clase con un entrenador desde el enlace público de un gimnasio, guardamos tu nombre, tu correo electrónico, tu teléfono si lo facilitas y lo que escribas en el campo de comentario. El gimnasio y ese entrenador los ven, porque los necesitan para atenderte y para localizarte si hay un cambio de hora. Tampoco se crea ninguna cuenta con ellos ni se usan para enviarte publicidad.

3. Finalidades y base legal

Tratamos tus datos para los siguientes fines:

• Prestación del servicio (art. 6.1.b RGPD — ejecución del contrato): gestión de tu cuenta, reservas, membresías y comunicaciones dentro de la app.

• Notificaciones push (art. 6.1.a RGPD — consentimiento): enviarte alertas sobre tus reservas, cambios de sesión o comunicaciones del gimnasio. Puedes revocar el permiso en cualquier momento desde los ajustes de tu dispositivo.

• Descubrimiento por ubicación (art. 6.1.a RGPD — consentimiento): mostrarte gimnasios cercanos. Solo se activa si otorgas permiso explícito.

• Facturación y pagos (art. 6.1.b RGPD — ejecución del contrato): gestión de suscripciones de gimnasios a través de Stripe. Los datos de pago son procesados directamente por Stripe y no se almacenan en nuestros servidores.

• Cobros de alumnos y venta de entradas (art. 6.1.b RGPD — ejecución del contrato): cuotas, matrículas, inscripciones a eventos, entradas y clases personales se cobran mediante Stripe Connect, siendo el gimnasio el comerciante. Quien compra una entrada sin cuenta recibe por correo el enlace a sus entradas y su código QR.

• Moderación y seguridad del contenido (art. 6.1.f RGPD — interés legítimo): revisar las denuncias de reseñas, perfiles y mensajes, y aplicar los bloqueos entre usuarios, para mantener un entorno sin contenido abusivo.

• Cumplimiento legal (art. 6.1.c RGPD — obligación legal): conservación de datos de facturación según la normativa fiscal española.

4. Destinatarios y transferencias internacionales

Compartimos tus datos con los siguientes proveedores:

• Supabase Inc. (EE.UU.): proveedor de base de datos e infraestructura. La transferencia está amparada por las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea. Política de privacidad: supabase.com/privacy

• Stripe Inc. (EE.UU.): procesador de pagos. Trata tanto la suscripción del gimnasio a XFight como los cobros que el gimnasio hace a sus alumnos (cuotas, matrícula, inscripciones y entradas de eventos). Transferencia amparada por el DPF EU-EE.UU. Política: stripe.com/privacy

• Google Firebase (Alphabet Inc., EE.UU.): servicio de notificaciones push (FCM). Transferencia amparada por las Cláusulas Contractuales Tipo. Política: firebase.google.com/support/privacy

• Resend (EE.UU.) y Mailjet (Francia): envío de correo. Resend manda las entradas de eventos y Mailjet los correos de cuenta (verificar el correo, recuperar la contraseña). Reciben tu dirección de correo y el contenido del mensaje. La transferencia a Resend está amparada por el DPF EU-EE.UU.

• Cloudflare, Inc. (EE.UU.): sirve la web pública y protege el formulario de compra de entradas frente a usos automatizados (Turnstile). Trata datos técnicos del navegador y la dirección IP. Transferencia amparada por las Cláusulas Contractuales Tipo. Política: cloudflare.com/privacypolicy

• El gimnasio organizador de un evento: recibe el nombre y el estado de la entrada de quienes asisten, para controlar el acceso. Es responsable independiente del tratamiento que haga de esos datos.

No vendemos ni cedemos tus datos a terceros con fines publicitarios.

5. Conservación de datos

• Datos de cuenta: mientras mantengas tu cuenta activa.
• Datos de reservas y asistencia: 2 años desde la última actividad.
• Datos de facturación: 5 años según obligación fiscal española (Ley General Tributaria).
• Tokens push: se eliminan al cerrar sesión o al revocar el permiso.
• Reservas de clase personal hechas sin cuenta: 2 años desde la fecha de la clase, por el mismo motivo fiscal que una entrada. Puedes pedir que se borren antes escribiendo a xfightbusiness@gmail.com.
• Entradas compradas sin cuenta: 2 años desde la fecha del evento, salvo que la factura obligue a conservarlas más.
• Mensajes del hilo de un evento: mientras exista el evento. Se borran con él.
• Denuncias de contenido: 1 año desde su resolución, como registro de la moderación aplicada.

Tras eliminar tu cuenta, tus datos personales identificables se suprimen en un plazo máximo de 30 días, salvo los que deban conservarse por obligación legal.

6. Tus derechos (RGPD)

Como usuario de la Unión Europea, tienes los siguientes derechos:

• Acceso: solicitar una copia de tus datos personales.
• Rectificación: corregir datos incorrectos o incompletos.
• Supresión ("derecho al olvido"): solicitar la eliminación de tus datos.
• Portabilidad: recibir tus datos en formato estructurado y legible.
• Limitación: solicitar que limitemos el tratamiento de tus datos.
• Oposición: oponerte al tratamiento basado en interés legítimo.
• Retirada del consentimiento: en cualquier momento, sin efecto retroactivo.

Para ejercer cualquiera de estos derechos, escríbenos a xfightbusiness@gmail.com indicando el derecho que deseas ejercer y adjuntando una copia de tu DNI u otro documento identificativo. Responderemos en un plazo máximo de 30 días.

Si consideras que el tratamiento de tus datos no es adecuado, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD): www.aepd.es

7. Seguridad

Aplicamos medidas técnicas y organizativas adecuadas para proteger tus datos frente a accesos no autorizados, pérdida o destrucción:

• Todas las comunicaciones están cifradas mediante TLS/HTTPS.
• Las contraseñas se almacenan con hash seguro (bcrypt) y nunca en texto plano.
• El acceso a la base de datos está restringido mediante políticas de seguridad a nivel de fila (Row Level Security).
• Los datos de pago son procesados exclusivamente por Stripe con certificación PCI DSS nivel 1.

8. Menores de edad

Para crear una cuenta en X-Fight hay que tener 16 años o más. No recopilamos conscientemente datos de menores de 16 años a través de cuentas propias, y si detectamos una la eliminamos.

Los menores que entrenan en un gimnasio se dan de alta de otra forma: el gimnasio crea su ficha a cargo de una persona adulta responsable, que es quien ve sus datos y le reserva clases. Esa ficha NO es una cuenta: no tiene correo ni contraseña y no se puede iniciar sesión con ella. Los datos que guarda son el nombre, la fecha de nacimiento si el gimnasio la aporta, y su asistencia, cuotas y graduaciones en ese club.

Si eres padre, madre o tutor y quieres ver, corregir o eliminar los datos de un menor a tu cargo, contáctanos en xfightbusiness@gmail.com o pídeselo a su gimnasio.

9. Cambios en esta política

Podemos actualizar esta Política de Privacidad ocasionalmente. Te notificaremos los cambios significativos a través de la app o por correo electrónico. La fecha de "última actualización" al inicio de este documento indica cuándo se realizó la última revisión.

10. Contacto

Para cualquier pregunta sobre privacidad:

• Email: xfightbusiness@gmail.com