Encargo del tratamiento

Versión 1, de 5 de octubre de 2026

1. Objeto

El gimnasio contrata el servicio Klivify (Condiciones generales). Para prestarlo, Klivify trata por cuenta del gimnasio los datos personales de sus socios y de su equipo. Este anexo regula ese tratamiento, como exige el artículo 28 del RGPD. El gimnasio lo acepta en el alta, con su propia casilla.

2. Qué datos y de quién

De quién: los socios del gimnasio (y, en su caso, sus tutores o familiares que el gimnasio registre), los contactos que el gimnasio dé de alta y las personas de su equipo.
Qué datos: los que el gimnasio decida guardar en el servicio: identificación y contacto, cuotas, cobros y facturas, reservas y asistencias, accesos a la puerta, documentos y, si el gimnasio los usa, datos de salud (§6).
Para qué: solo para prestar el servicio contratado: gestionar socios, cobros, facturas, clases, entrenamientos y el control de acceso.
Cuánto tiempo: mientras dure el contrato; al terminar, §9.

3. Lo que se compromete a hacer Klivify

Tratar los datos solo siguiendo las instrucciones del gimnasio, que son este anexo, las Condiciones generales y lo que el gimnasio configure en el servicio. Si una instrucción le parece contraria a la ley, se lo dice.
No usar los datos para nada propio ni cederlos, salvo que la ley lo obligue.
Que las personas que acceden a los datos estén obligadas a guardar secreto.
Aplicar medidas de seguridad adecuadas (artículo 32 del RGPD): cifrado de los campos más sensibles (entre ellos, la ficha médica), control de acceso por gimnasio y copias de seguridad diarias, cifradas antes de salir del servidor con una clave que solo tiene Klivify y guardadas en la Unión Europea, con una prueba de restauración cada trimestre.
Ayudar al gimnasio a atender los derechos de sus socios (acceso, rectificación, supresión…) y con sus obligaciones de seguridad, evaluación de impacto y consulta previa.
Avisar al gimnasio sin dilación indebida, y en un máximo de 48 horas, si hay una violación de seguridad que afecte a sus datos, con la información que tenga.
Poner a su disposición la información necesaria para demostrar que cumple, y permitir auditorías razonables, avisadas con antelación.

4. Subencargados

El gimnasio da una autorización general para que Klivify use los subencargados de la página de subencargados de la web, que se mantiene al día.
Si Klivify quiere añadir o cambiar uno, lo avisa antes por email; el gimnasio puede oponerse y, si no se llega a un acuerdo, darse de baja sin coste.
Klivify impone a cada subencargado las mismas obligaciones de protección de datos que asume aquí.
Entre ellos está Stripe, con el que el gimnasio puede cobrar a sus socios desde Klivify si conecta su cuenta de Stripe.

5. Transferencias fuera del Espacio Económico Europeo

Algunos subencargados están en Estados Unidos (lo dice la página de subencargados). La transferencia se ampara en las cláusulas contractuales tipo de la Comisión Europea; en el caso de Anthropic, las incorporadas a su Data Processing Addendum. Backblaze (las copias de seguridad, cifradas, se guardan en su región de la Unión Europea) y Sentry están adheridos al Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación de la Comisión). Backblaze, además, con las cláusulas contractuales tipo de su contrato de encargo; Sentry, con las de su acuerdo de tratamiento si el Marco no se aplicara. Stripe también está adherido al Marco, y su acuerdo de tratamiento de datos incorpora las cláusulas contractuales tipo.

6. Datos de salud

Qué son: la ficha médica del socio, las respuestas a cuestionarios de salud, las restricciones de entrenamiento (lesiones o movimientos que debe evitar) y las medidas corporales (peso, altura, perímetros…), si el gimnasio las guarda. Son categoría especial (artículo 9 del RGPD).
Decide el gimnasio. Es el responsable: decide si los guarda, con qué base legal y qué hace con ellos. Klivify no bloquea, no borra ni cambia nada por su cuenta.
El consentimiento: si la base del gimnasio para los datos de salud es el consentimiento de sus socios, el gimnasio, como responsable, lo recoge y lo gestiona.
Cifrado: Klivify guarda cifrada la ficha médica.
Ficha médica: no se envía nunca a ningún servicio de inteligencia artificial. Comunicarla a los servicios de emergencia cuando el socio no pueda consentir (interés vital, artículo 9.2.c) es decisión del gimnasio.
Restricciones de entrenamiento: solo se usan en el servidor de Klivify, para quitar del catálogo los ejercicios que no le convienen al socio antes de generar su programa; no se envían nunca a la inteligencia artificial. Generar el programa o prepararlo a mano lo decide el entrenador.
Notas libres: las notas del socio no son el sitio para sus datos de salud: para eso está la ficha médica.

7. Lo que hace el gimnasio

Tener una base legal para los datos que guarda en Klivify y dar a sus socios la información del artículo 13 del RGPD.
Si su base para los datos de salud es el consentimiento, recogerlo y conservarlo.
No guardar en el servicio datos que no necesite.

8. Instrucciones y cambios

El gimnasio puede dar instrucciones adicionales por escrito a info@klivify.com. Si cambian las funciones del servicio de forma que afecte a este tratamiento, Klivify lo avisa como cualquier otro cambio de las condiciones.

9. Durante una suspensión, y al terminar

Si el servicio se suspende por falta de pago (Condiciones generales, §12), el gimnasio sigue pudiendo obtener sus datos en todo momento, y Klivify sigue tratándolos solo para guardarlos y devolvérselos.
Devolución: si el gimnasio lo pide, Klivify le entrega sus datos, antes de la baja y durante los 30 días siguientes al fin del contrato.
Borrado: después, Klivify borra los datos del gimnasio en los 30 días siguientes, salvo los que la ley le obligue a conservar (por ejemplo, las facturas que emite al gimnasio).
Todo esto vale igual si el contrato termina por impago.
Lo que quede en las copias de seguridad se sobrescribe en un máximo de 3 meses.

10. Proveedores de inteligencia artificial

Para algunas funciones del servicio, Klivify usa los servicios de Anthropic, PBC (Estados Unidos), como subencargado (§4 y §5). Estas son las funciones que la usan y lo que se envía en cada una:

Importar un listado de socios. Solo los nombres de las columnas que Klivify no reconoce por sí mismo y, como ejemplo de cada una, hasta cinco versiones del dato en las que cada número se ha cambiado por un 0 y cada letra por una a (por ejemplo, 12345678Z se envía como 00000000A): se conserva la forma del dato, nunca su contenido. No se envían datos de los socios.
Importar un histórico de asistencias. Igual que la anterior, con hasta dos ejemplos por columna.
Generar un programa de entrenamiento. El objetivo del programa, su nivel, los días por semana, los ejercicios preferidos del socio y la lista de ejercicios del catálogo entre los que elegir. El nombre del programa y las notas del entrenador no se envían. Las restricciones del socio tampoco: se traducen antes, en el servidor, en ejercicios que el programa no puede incluir (§6).
Generar un menú. El objetivo, las calorías y los macronutrientes, y la lista de alimentos. Ningún dato del socio.
Mantener el catálogo de ejercicios. Los ejercicios del catálogo. Ningún dato personal.
Soporte técnico y mantenimiento con herramientas de IA (Claude Code). Bajo las condiciones comerciales de Anthropic. Puede acceder a datos de la base de producción cuando la tarea lo requiere.

Según sus condiciones comerciales, Anthropic no utiliza los datos que recibe a través de su API para entrenar sus modelos.