Política de privacidad

Este documento describe qué datos trata FitCoach, con qué fundamento, dónde se almacenan y qué puedes hacer con ellos. Está escrito a partir de la Ley 21.719 y del comportamiento verificado del sistema: cada afirmación de acá corresponde a algo que el código efectivamente hace hoy. Donde algo todavía no existe, lo dice en vez de prometerlo. Te habla de tú, y ese tú puede ser dos personas distintas: el alumno o alumna cuyos datos se tratan, o el profesor o profesora que contrató el servicio. Cuando una sección se refiere solo a uno de los dos, lo dice de forma expresa.

Quién trata tus datos y en qué calidad

FitCoach es una plataforma que un profesor o profesora de educación física contrata para administrar a sus alumnos. Eso reparte los papeles en dos:

• Sobre los datos de tus alumnos, el responsable es el profesor. Es quien decide inscribir a una persona, qué anotar sobre ella y para qué. FitCoach actúa como encargado del tratamiento: pone la herramienta y trata esos datos para prestar el servicio, no para fines propios.
• Sobre los datos de la cuenta del profesor —su correo, su nombre, el nombre de su estudio y sus pagos— el responsable es FitCoach.

Hay un matiz que conviene decir de frente: aunque el responsable de los datos del alumno sea el profesor, el consentimiento lo otorga el alumno directamente en FitCoach, en su propia sesión, y el texto que acepta nombra a las dos partes. El profesor no puede consentir por su alumno.

Identificación del titular de la plataforma: [PENDIENTE: razón social, RUT y domicilio de la empresa que opera FitCoach. No están definidos en el proyecto y no se inventan acá.]

Qué datos tratamos

Cada campo que se pide tiene una justificación escrita, campo por campo, en el documento interno de cumplimiento del proyecto. Este es el resumen.

De la cuenta del profesor

• Correo electrónico, nombre, apellido y nombre del estudio.
• Contraseña, guardada siempre como hash Argon2id, nunca en claro.
• Si tiene segundo factor inscrito, el secreto TOTP y sus códigos de respaldo, cifrados por la librería de autenticación.

Del alumno, registrados por el profesor al inscribirlo

• Correo electrónico, nombre y apellido.
• Fecha de nacimiento. Se pide por una razón concreta: determina si la persona es menor de edad, y de eso depende si hace falta la autorización de su tutor antes de tocar cualquier dato de salud.
• Género, en texto libre. Solo se usa para elegir el rango de referencia poblacional al mostrar el porcentaje de grasa corporal. Si no coincide con ninguna referencia conocida, se usa un rango general.
• Objetivo de entrenamiento y nivel de experiencia.
• Si el alumno es menor de 18, el correo de su tutor o tutora legal.

Del tutor o tutora legal, solo si el alumno es menor de 18

• Su correo electrónico. Lo registra el profesor al inscribir al alumno, nunca el propio menor: es lo que impide que un menor se mande a sí mismo el enlace y se autorice solo.
• Su nombre completo y la relación declarada (madre, padre, tutor o tutora legal). Estos dos sí los escribe el propio menor al pedir la autorización, y existen para que quien reciba el enlace pueda comprobar que la solicitud lo identifica a él. No se contrastan con ningún registro civil ni se usan para ninguna otra cosa.

Datos de salud

• Notas médicas y lesiones, escritas por el profesor.
• Mediciones corporales: fecha, peso, altura y, de forma opcional, porcentaje de grasa, perímetro de cintura, perímetro de cadera, frecuencia cardíaca en reposo y una nota breve de contexto.

El IMC no se almacena en el servidor como dato propio: se calcula a partir del peso y la altura de cada medición, cada vez que se muestra.

Datos que escribe el propio alumno

• Al ejecutar una rutina: repeticiones realizadas, carga en kilos y si completó cada serie.
• Al cerrar una sesión: opcionalmente, su esfuerzo percibido en escala de 1 a 10 y un comentario breve.
• Si decide entrar al ranking social, un seudónimo que elige. Solo eso: nunca su nombre, su peso ni ninguna medición.

Datos de gamificación

• XP acumulado, nivel y racha de constancia. Los calcula el servidor a partir de tus sesiones: nunca se acepta un valor enviado por el navegador.
• Logros desbloqueados, con su fecha y su progreso.
• Se premia constancia y proceso. No hay XP, insignias ni rankings por bajar de peso, y nada de esto se calcula a partir de tus mediciones.

Datos técnicos y de seguridad

• Registro de auditoría: qué acción se hizo, sobre qué entidad, cuándo y por quién.
• Direcciones IP, siempre hasheadas con sal, nunca almacenadas en claro.
• El identificador del navegador (user agent) de tus sesiones abiertas, guardado en claro en la tabla de sesiones. Vive con la sesión y desaparece con ella; si tu identidad de acceso llega a borrarse, tus sesiones caen con ella en cascada. No queda en el registro de auditoría: esa columna existe en la base y ningún código la escribe.
• Fechas de creación, actualización y último inicio de sesión.

Datos de pago

Plan contratado, monto en pesos chilenos, identificador de la orden, estado y el token que devuelve la pasarela. No recibimos ni almacenamos ningún dato de tarjeta: esa parte ocurre completa en el sitio de la pasarela.

Qué NO pedimos

No se pide RUT, ni dirección, ni teléfono, ni documento de identidad del tutor, ni ningún contacto de emergencia. No hay ningún formulario que los solicite. Es una decisión deliberada de minimización: un dato que no se recolecta no se puede filtrar.

Datos de salud: consentimiento del alumno, no del profesor

Las notas médicas, las lesiones y las mediciones corporales son datos sensibles bajo la Ley 21.719, y por eso se tratan aparte del resto:

• El consentimiento es del alumno. Se otorga en su propia sesión, con un checkbox propio que nunca viene premarcado y que se decide aparte de los Términos y de los demás consentimientos.
• Es específico. El texto que se acepta nombra exactamente qué datos cubre —notas médicas, lesiones y mediciones corporales— y para qué único fin: planificar, ajustar y hacer seguimiento de rutinas de entrenamiento.
• Es revocable. Puedes retirarlo cuando quieras desde tu propia cuenta.
• Cómo se relaciona con el consentimiento de transferencia internacional, dicho como funciona de verdad. Son dos casillas separadas y cada una se marca por su cuenta, pero no son independientes en la práctica: si no aceptas el almacenamiento en Estados Unidos, la cuenta no se activa y no se registra ningún consentimiento, tampoco el de datos de salud, aunque lo hayas marcado. La razón es que sin ese almacenamiento no hay forma de operar la cuenta en absoluto. Al revés sí funciona: puedes aceptar la transferencia y no aceptar los datos de salud, y entonces tu cuenta se activa igual y tu profesor simplemente no puede ver ni registrar notas médicas, lesiones ni mediciones.
• Y una consecuencia que conviene conocer antes de decidir: el formulario de consentimiento solo se muestra mientras tu cuenta está pendiente de activación. Si activas tu cuenta sin aceptar los datos de salud, hoy no hay ninguna pantalla que te permita aceptarlos después; hay que pedírselo a tu profesor.
• Si el alumno es menor de 18, además del consentimiento propio hace falta la autorización vigente de su tutor o tutora legal, que se otorga en una página aparte a través de un enlace enviado al correo que el profesor registró. Faltando cualquiera de los dos actos, no hay base legal y el acceso a los datos de salud queda bloqueado.

Ese bloqueo no es una regla de interfaz: está dentro del caso de uso, del lado del servidor, y se aplica igual a la lectura y a la escritura. Ocultar un botón no es autorización, y no es así como está construido.

Además, las notas médicas y las lesiones se guardan cifradas con AES-256-GCM a nivel de campo, con la clave fuera del código, y el cifrado está atado al tenant, al alumno y a la columna concreta: los bytes de un alumno no se pueden mover a la ficha de otro.

Qué pasa si retiras el consentimiento de salud

Tu profesor deja de ver y de registrar tus notas médicas, tus lesiones y tus mediciones. Lo ya registrado se conserva, pero deja de estar a la vista. Retirar el consentimiento detiene el tratamiento futuro; no es lo mismo que pedir la eliminación de lo anterior, que se pide aparte.

Los tres consentimientos que existen

Ni uno más. Los dos primeros son condición de la cuenta; el tercero es completamente voluntario.

• Datos de salud, descrito arriba.
• Transferencia internacional, descrito en la sección siguiente.
• Ranking social, que es opcional y viene desactivado por defecto. Autoriza a mostrar tu seudónimo y el XP que ganaste en los últimos 30 días al resto de los alumnos de tu mismo profesor que también hayan aceptado participar. No se comparte tu nombre, tu peso, tus mediciones ni ningún dato de salud, y tu profesor no ve el ranking en ninguna pantalla. Puedes salir cuando quieras, y al salir tu seudónimo se borra.

Dónde se almacenan tus datos: transferencia internacional

Los servidores de FitCoach están en Phoenix, Arizona, Estados Unidos. No están en Chile. Almacenar ahí datos de salud de personas en Chile es una transferencia internacional de datos.

Por eso existe un consentimiento propio y separado para la transferencia, con el país declarado en el mismo texto que se acepta. No está agrupado con el consentimiento de datos de salud ni con los Términos, y no viene marcado.

Y hay que ser claro sobre lo que ese consentimiento significa en la práctica: hoy la plataforma no tiene ninguna forma de operar sin ese almacenamiento en el extranjero. Si no lo otorgas, la cuenta no se activa. Si lo retiras después, queda registrada la revocación con su fecha, pero no existe hoy un proceso automático que migre o elimine tus datos a partir de eso: se gestiona hablando con tu profesor.

Advertencia honesta sobre esta sección: la configuración de alojamiento en Estados Unidos está resuelta técnicamente por la vía del consentimiento explícito, pero conviene revisarla con asesoría legal antes de operar con usuarios reales. Está anotada como riesgo abierto en la documentación del proyecto.

Terceros que participan

Esta es la lista completa. No hay otros.

• El proveedor del servidor. Hostinger International Limited, VPS en Phoenix, Arizona, Estados Unidos. Ahí vive la base de datos completa.
• Flow.cl, la pasarela de pagos. Recibe únicamente el correo del profesor, el monto, el asunto del cobro y el identificador de la orden. No recibe ningún dato de ningún alumno, y menos aún datos de salud.
• Have I Been Pwned (api.pwnedpasswords.com). Cuando creas o cambias una contraseña, el servidor consulta si esa contraseña aparece en filtraciones conocidas. Lo hace por k-anonimato: solo salen del servidor los cinco primeros caracteres del hash SHA-1 de la contraseña. Nunca la contraseña, nunca tu correo, nunca un identificador tuyo. Si el servicio no responde, la verificación se omite y el registro continúa.
• El servidor de correo saliente. Se usa para las invitaciones, la verificación de dirección, la recuperación de contraseña y el enlace de autorización al tutor. [PENDIENTE: el proveedor de correo de producción todavía no está decidido. Hoy el envío es SMTP configurable por variables de entorno y en desarrollo apunta a un servidor local. Cuando se elija el proveedor definitivo, hay que nombrarlo acá y, si está fuera de Chile, declararlo también como transferencia internacional.]

No hay analítica, no hay publicidad, no hay rastreadores y no hay venta ni cesión de datos a nadie. Las fuentes y los íconos se sirven desde el mismo origen de la aplicación, y las imágenes del catálogo de ejercicios desde un servidor de medios nuestro, que por diseño vive en un subdominio aparte. La única vez que tu navegador se dirige a un tercero es el pago: al contratar un plan, al profesor se le redirige al sitio de la pasarela y vuelve con el resultado. En ese paso no interviene ningún dato de ningún alumno.

Cuánto conservamos tus datos, y qué pasa al eliminarlos

Mientras la relación entre el alumno y su profesor esté vigente, los datos se conservan para prestar el servicio. A partir de ahí hay dos acciones distintas que conviene no confundir:

• Suspender no borra. Un alumno suspendido pierde el acceso y sale de los listados activos, pero su historial se conserva y puede reactivarse.
• Eliminar sí borra, con un plazo. El alumno sale de todo listado de inmediato y, a los 30 días, sus datos personales y de salud quedan programados para eliminarse en forma definitiva: su ficha, sus mediciones, sus sesiones, sus rutinas personalizadas, su perfil de juego y su invitación pendiente. La baja física no es una acción manual: la ejecuta la siguiente corrida de mantenimiento del servidor.

Qué sobrevive a ese borrado, y por qué: se conservan el registro de auditoría y sus consentimientos, como prueba de que el tratamiento fue lícito. Es exactamente lo mismo que dice el aviso de confirmación que ve el profesor antes de eliminar. Un consentimiento borrado no probaría nada, y un registro de auditoría que se puede borrar no es un registro de auditoría: la base de datos rechaza cualquier intento de modificarlo o eliminarlo.

Sobre la cuenta del profesor hay que decir la verdad: hoy no existe ningún proceso automático que elimine una cuenta de profesor ni su estudio. No hay un botón para cerrarla ni una purga programada equivalente a la de los alumnos. Cerrar una cuenta se gestiona por contacto directo.

Tus derechos

La Ley 21.719 te reconoce los derechos de acceso, rectificación, cancelación, oposición y portabilidad sobre tus datos personales.

Lo que hoy puedes hacer tú mismo, dentro de la aplicación:

• Ver y retirar tus consentimientos, en cualquier momento, desde tu propia sesión. Cada uno se muestra con su estado y con la consecuencia concreta de retirarlo.
• Ver tu propio historial: tus rutinas, tus sesiones, tu progreso y tus logros. Ese acceso a tus propios datos no se bloquea ni siquiera si retiras un consentimiento o si tu profesor tiene su suscripción vencida — la única excepción es la tuya propia: si pediste la supresión de tus datos y dejaste vencer los siete días sin cancelar, el acceso se corta para ti también, igual que para tu profesor (ver más abajo).
• Descargar una copia completa de tus datos, desde la sección «Mis datos» de tu propia sesión. El archivo trae tu ficha, tus mediciones, tus cambios de nivel, la autorización de tu tutor si la tienes, tus rutinas asignadas con sus sesiones de entrenamiento, tu perfil de juego, tus logros, tus eventos de experiencia (XP), tus consentimientos, tus propias solicitudes de supresión y el registro de auditoría que te corresponde — incluidas las notas médicas y las lesiones que tu profesor haya escrito sobre ti, ya descifradas: es la mitad del contrato que a ti te toca conocer, no solo a él. El propio archivo declara qué se dejó fuera y por qué: el catálogo de ejercicios y el de logros —son referencia compartida de la plataforma, no datos tuyos, y tus rutinas y tus logros los referencian igual por su nombre—, los hashes de tu IP y del token de tu autorización de tutor, que no son legibles ni siquiera para ti, y los asientos de auditoría de quién registró o corrigió una medición tuya o creó, editó o eliminó una rutina asignada —son acciones de tu profesor sobre esa fila, no sobre tu ficha, y el contenido íntegro de esas dos tablas igual viene en el archivo—. Nunca tienes que adivinar si algo falta o si nunca existió.
• Pedir la supresión de tus datos, también desde «Mis datos», y cancelarla mientras siga pendiente. Tienes siete días desde que la pides para arrepentirte y cancelar: si lo haces dentro de ese plazo, todo queda exactamente como estaba, para ti y para tu profesor. Si no cancelas, al cumplirse los siete días nadie —ni tu profesor ni tú misma— puede volver a acceder a tu cuenta, y tus datos personales y de salud quedan programados para eliminarse en forma definitiva en la siguiente corrida de mantenimiento del servidor, igual que cuando es tu profesor quien te elimina a ti (ver la sección anterior). Ese plazo es deliberadamente más corto que los 30 días del archivado que decide tu profesor: aquel protege contra un error operativo suyo, y este es tu propio derecho, que la ley quiere ejercido pronto.
• Pedir la corrección de tu ficha a tu profesor, que tiene una pantalla para rectificarla. Hoy esta sigue siendo la única vía: la aplicación todavía no tiene una pantalla para que corrijas tu ficha tú misma.
• Entrar y salir del ranking social cuando quieras. Al salir, tu seudónimo se borra en la misma operación: dejar de participar borra el dato, no lo esconde.

Para la rectificación de tu ficha —que hoy solo puede iniciar tu profesor— o para cualquier otro asunto que la aplicación todavía no resuelve por tu cuenta, escribe a tu profesor o profesora, que es el responsable de tus datos, o al contacto de la sección final.

Seguridad

Las medidas que están efectivamente implementadas:

• Aislamiento entre estudios garantizado por la base de datos, no por el código de la aplicación. Toda consulta a datos de negocio corre acotada a su estudio mediante políticas de seguridad a nivel de fila, con un rol de conexión que no es dueño de ninguna tabla ni puede saltárselas. Quedan fuera de ese acotamiento, a propósito, las tablas de identidad —credenciales y sesiones—: son globales porque la misma persona puede entrenar con dos profesores distintos, y no contienen ningún dato de entrenamiento ni de salud.
• Contraseñas con Argon2id, mínimo 12 caracteres y verificación contra filtraciones conocidas.
• Segundo factor (TOTP) obligatorio para profesores y administradores. Durante los primeros 7 días desde que verifican su correo hay un periodo de gracia que, en ningún momento, alcanza datos de salud de terceros.
• Cifrado de campo AES-256-GCM sobre notas médicas y lesiones.
• IP hasheadas con sal, nunca en claro, ni en la base ni en la caché.
• Registro de auditoría append-only, imposible de modificar o borrar.
• Sin datos sensibles en URLs, registros ni mensajes de error.
• HTTPS obligatorio con HSTS, y la aplicación no se puede incrustar en otro sitio.

Cookies y datos en tu dispositivo

Usamos únicamente cookies estrictamente necesarias para mantener tu sesión y proteger tu cuenta. No hay cookies de analítica ni de terceros, y por eso no verás un banner de cookies. El detalle completo está en la política de uso de cookies.

Si usas el portal del alumno, parte de tus datos queda guardada en tu propio teléfono para que funcione sin conexión: la rutina del día, tus mediciones de peso con su IMC y tu perfil de logros. Esa copia va cifrada en el dispositivo, caduca a los 7 días y se borra al cerrar sesión. Un detalle que corresponde declarar y no esconder: el peso y el IMC juntos permiten despejar tu altura, así que esa copia contiene en la práctica la misma información que si guardáramos peso y altura. El ranking social nunca se guarda ahí, porque contiene datos de otras personas. Las notas médicas y las lesiones tampoco salen nunca del servidor.

Hay además una segunda cosa guardada en tu dispositivo que se comporta al revés, y hay que decirlo: si registras series sin conexión, quedan en una cola de salida hasta que logren enviarse. Esa cola no va cifrada, no caduca y no se borra al cerrar sesión. Es deliberado: ahí no hay mediciones ni notas médicas, solo repeticiones y kilos, y es trabajo que hiciste de verdad — purgarlo sería perderlo. Si cierras sesión con registros pendientes y sin conexión, la aplicación te avisa antes y te dice cuántos están en juego. El detalle completo está en la política de uso de cookies.

Esto no es consejo médico

FitCoach es una herramienta de gestión de entrenamiento. No entrega diagnóstico ni consejo médico. Ante cualquier duda de salud, consulta a un profesional.

Los indicadores que la plataforma calcula —el IMC, los rangos de composición corporal— son indicadores poblacionales, no diagnósticos, y siempre se muestran con esa advertencia al lado. Nada de lo que escribas en un comentario de sesión es una consulta médica ni va a ser tratado como tal.

Cambios en esta política

Este documento lleva una versión con formato de fecha, visible en su encabezado. Cambiar el texto obliga a subir esa versión y a desplegar el cambio: no se edita en caliente.

Cada consentimiento que otorgas queda registrado con su tipo, su fecha, la versión del texto y una huella criptográfica del texto exacto que aceptaste. Un cambio de versión no borra el registro anterior: la fila previa se conserva con su propia fecha, su versión y su huella.

Esta Política no es uno de esos consentimientos. No se te pide que la aceptes, y no existe ningún registro de consentimiento a su nombre: informarte es un deber nuestro, no algo que tú otorgues, así que no hay nada que retirar acá. Lo que sí queda —y esto le habla al profesor o profesora, porque ocurre al crear la cuenta— es una constancia en el registro interno de auditoría de que este documento se le mostró, con la versión y la huella criptográfica que tenía en ese momento. Sirve para saber qué texto se informó y cuándo. No es un consentimiento y no se comporta como uno.

Contacto

Para cualquier asunto relacionado con tus datos personales:

• Si eres alumno o alumna, tu primera vía es tu profesor o profesora, que es el responsable de tus datos y quien puede corregirlos o eliminarlos desde su panel.
• Para asuntos sobre la plataforma misma: [PENDIENTE: dirección de contacto para asuntos de datos personales. Hoy no existe ninguna casilla configurada en el proyecto y no se inventa una acá. El único remitente de correo configurado es una dirección de no-respuesta de desarrollo.]

No hay designado un delegado de protección de datos, y este documento no finge que lo haya.

Borrador técnico redactado a partir de la Ley 21.719 y del comportamiento verificado del sistema. No constituye asesoría legal.