Política de privacidad

Última actualización: 2026-10-07 · Versión 10

Esta política explica cómo Francisco Antonio Tapias Bravo («nosotros») trata los datos personales de las personas usuarias de TrainAlong, conforme al Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD).

1. Responsable del tratamiento

• Titular: Francisco Antonio Tapias Bravo
• Correo electrónico: hola@trainalong.fit

Por qué no figuran NIF ni domicilio, en el aviso legal.

No se ha designado Delegado de Protección de Datos. El art. 37.1 del RGPD lo exige a las autoridades públicas y a quien realice observación habitual y sistemática a gran escala o trate categorías especiales de datos a gran escala. TrainAlong trata datos de salud, pero no a esa escala. Para cualquier cuestión sobre tus datos escribe a hola@trainalong.fit, que es el canal de contacto del responsable.

2. Qué datos tratamos

• Cuenta: correo, contraseña (cifrada) y rol. Si entras con Google, además el identificador que Google asigna a tu cuenta. De Google solo guardamos tu correo y ese identificador.
• Perfil de entrenamiento: objetivo, nivel, dónde entrenas, días por semana, altura, peso objetivo, el material que tienes y los músculos que quieres trabajar.
• Medidas que apuntas tú (datos de salud, art. 9 RGPD): peso, porcentaje de grasa y perímetro de cintura, cuando decides anotarlos.
• Datos de tu reloj o pulsera (datos de salud, art. 9 RGPD): solo si conectas Health Connect y nos das tu consentimiento explícito (apartado 4). Se leen ocho tipos de dato. Siempre: entrenos (tipo, inicio y fin), pulso durante la actividad (una media por registro, no la señal continua), calorías activas y distancia. Y solo si activas los «datos de contexto diario», que vienen apagados: pasos, pulso en reposo, variabilidad del pulso y sueño con sus fases. Del reloj no se lee nada más: ni peso, ni VO₂máx, ni saturación de oxígeno.
• Actividad: planes que sigues, sesiones, series (repeticiones, peso y esfuerzo percibido), vídeos completados, creadores que sigues o bloqueas, listas de espera en las que te apuntas, retos en los que entras, días de Premium que se te conceden y los clics en el material que recomienda un plan.
• Compra de un reto de pago: el importe que pagaste, la fecha y una referencia de cómo entraste. Esa referencia es el código del reto, el identificador del pago que devuelve la pasarela del creador si vuelves desde ella o, si el creador te dio de alta él mismo, tu correo o la nota que él escriba. Si pides la devolución, también su fecha. El pago lo cobra el creador: TrainAlong no lo procesa y no ve tu tarjeta ni tu cuenta bancaria.
• Consentimiento antes de pagar un reto: tus dos declaraciones (que pides empezar ya y que sabes lo que eso supone para el desistimiento), el texto exacto que viste y su versión, la fecha, el país de residencia que declaras y una huella de tu dirección IP. La huella se calcula con una clave secreta del servidor: la IP no se guarda, y sin esa clave no se puede recuperar. Se recoge en la ficha del reto, antes de que tengas cuenta, y se une a tu cuenta cuando canjeas el código.
• Denuncias de contenido: qué denuncias, el motivo, tu explicación y, si lo dejas, un correo para responderte. En la app ese campo aparece relleno con el correo de tu cuenta; puedes cambiarlo o dejarlo vacío.
• Avisos sin cuenta: si dejas tu correo en la ficha de un reto, o en la página de un creador que aún no está en TrainAlong, para que te avisemos, guardamos ese correo.
• Personalización, solo si la activas: tus afinidades por objetivo, nivel, lugar, músculos y creadores. Se calculan con tu actividad (planes que sigues, sesiones y vídeos completados), no con tus datos de salud. Al desactivarla se borran.
• Datos técnicos: de cada sesión abierta, un identificador, el navegador o la app desde la que entraste y cuándo se usó por última vez. Tu dirección IP no se guarda ni en la base de datos ni en los registros de la aplicación. Se usa en la memoria del servidor para limitar el número de intentos (por ejemplo, de inicio de sesión) y se pierde al reiniciarlo. La única huella de una IP que se guarda es la del consentimiento de compra.
• Correos que no han podido salir: si un aviso nuestro no se puede enviar, guardamos el destinatario, el asunto y el texto para poder reenviarlo.
• Creadores: además, nombre público, biografía, foto, enlaces a sus canales y la verificación de su canal, y los problemas que nos cuentan desde el Estudio. Si venden, también su nombre o razón social, NIF, domicilio y correo de contacto.
• Creadores que aún no se han registrado: no tienen página ni perfil en TrainAlong. Ordenamos en planes una selección de sus vídeos públicos de YouTube, que se ven con el reproductor oficial, y les damos el crédito con el nombre y el enlace de su canal. Para invitarles a unirse usamos también la descripción y la foto públicas de su canal, solo en la página privada desde la que pueden reclamar o retirar esos planes.

Lo que no recogemos. Lo que buscas en la app no se guarda. No hay notificaciones push, ni herramientas de analítica o de publicidad de terceros, ni en la app ni en la web.

3. Finalidades y bases jurídicas

Qué correos te enviamos. Solo avisos ligados a algo que has hecho: que tu reto empieza mañana, un único recordatorio si vas atrasado y aún llegas, el resultado al cerrar, que se cancela, que abre o que ya se puede pagar un reto que esperabas, que llega a TrainAlong el creador cuya página esperabas, que la app ya está en Google Play si nos lo pediste, el acuse y la decisión de una denuncia, la retirada de un contenido, la suspensión de tu cuenta y, si ocurriera, una brecha de seguridad que te afecte. A los creadores, además, cuántos se han inscrito en su reto al llegar a ciertas cifras. Y, solo si al seguir a un creador marcas «Avísame por correo cuando abra un reto», un correo cada vez que abra uno. Seguir no basta: ese aviso es publicidad de su reto y necesita tu permiso expreso, que guardamos con su fecha (art. 21 LSSI y art. 6.1.a RGPD). Lo quitas desmarcando la casilla o con el enlace de baja de cada aviso, sin entrar en tu cuenta. No enviamos ningún otro correo.

4. Datos de salud

Los datos de salud son de categoría especial. Los de tu reloj solo los tratamos si nos das tu consentimiento explícito, con el interruptor «Usar mis datos de salud para mi entrenamiento» de Perfil → Tus datos. Sin él, la app no lee el reloj y nuestro servidor rechaza cualquier dato que llegue del reloj. Con él, la app solo lee cuando pulsas «Sincronizar», nunca en segundo plano, y solo los últimos 2 días (7 si tienes activo el contexto diario).

Puedes retirar el consentimiento en cualquier momento desde el mismo sitio (sin efecto retroactivo sobre tratamientos previos). Desde ese momento no entra ningún dato nuevo del reloj. Lo que ya se había guardado no se borra al retirarlo: sigue en tu cuenta hasta que la elimines. Retirar el consentimiento puede limitar funciones que dependen de esos datos.

Las medidas que apuntas a mano (peso, grasa y cintura) se guardan porque las escribes tú, cada vez que lo haces. No dependen de ese interruptor.

5. Destinatarios y encargados del tratamiento

No vendemos tus datos. Estos son los encargados del tratamiento, es decir, quienes tratan datos por cuenta nuestra y siguiendo nuestras instrucciones, con el contrato del art. 28 RGPD:

• OVH Hispano S.L.U. / OVH SAS — Alojamiento de la infraestructura (servidor dedicado) y del buzón de contacto publicado en el aviso legal. (Francia y España (Unión Europea).)

El correo que te enviamos sale de un servidor propio, no de un servicio de terceros: nadie más lo ve por el camino. Si en el futuro se contrata cualquier otro proveedor, figurará aquí antes de que salga hacia él el primer dato.

Sí hay, en cambio, destinatarios que no son encargados. El principal es Google, por varias vías que dependen de lo que tú hagas:

• Google Ireland Ltd. / Google LLC — Autenticación si eliges «Continuar con Google», reproducción de los vídeos alojados en YouTube, carga de sus miniaturas y descarga del modelo de visión del generador de animaciones del Estudio. (Irlanda y Estados Unidos (decisión de adecuación UE-EE. UU. de 2023).)

En todos estos casos Google actúa como responsable independiente, no por cuenta nuestra. Los vídeos se cargan en modo sin cookies (youtube-nocookie.com) tanto en la web como en la app: eso evita las cookies de seguimiento, pero no la conexión — tu dirección IP llega a Google al reproducir. Además, las miniaturas de los vídeos se descargan directamente de servidores de Google (ytimg.com en la web, img.youtube.com en la app) en cuanto ves un listado o una ficha, así que tu IP también llega a Google aunque no reproduzcas nada.

Hay otras conexiones que tu dispositivo hace directamente con terceros. No les enviamos ningún dato tuyo, pero tu IP les llega:

• Si un creador ha enlazado un vídeo de Vimeo, Dailymotion, Streamable, Wistia, Bunny Stream o PeerTube, al reproducirlo.
• El generador de animaciones del Estudio, en la web, descarga su modelo de visión de un servidor de Google (tfhub.dev) al abrirse. La imagen no sale de tu dispositivo.
• Las animaciones de ejercicio de la app cargan su reproductor desde Cloudflare (cdnjs.cloudflare.com).

Al creador de un reto en el que te inscribes no le pasamos tu correo, ni tus datos de salud, ni tus entrenos. Tampoco tu nombre, que no te pedimos. Solo ve cifras de conjunto: cuántos se han inscrito, cuántos esperan, cuántos lo terminaron y qué porcentaje, y cuántos inscritos pueden pedirle todavía la devolución íntegra, cuánto suman y hasta qué día. No le decimos quién ha entrado con el código. Si es él quien te da de alta pegando los correos de sus compradores, ese correo ya lo tiene; lo que le decimos es cuáles no tienen cuenta en TrainAlong, para que pueda avisarles.

Si eres creador, tu nombre público, biografía, foto, enlaces y planes son públicos. Si vendes, tu nombre o razón social, NIF, domicilio y correo de contacto se publican en la ficha de cada reto de pago, porque el comprador tiene que saber quién le vende. Y si cancelas un reto de pago, damos a quienes pagaron el correo de tu cuenta para que te pidan el reembolso.

Si conectas Health Connect, la lectura ocurre en tu propio teléfono y su integración se rige por las condiciones de esa fuente. Lo leído (los ocho tipos del apartado 2) se envía después a nuestro servidor; el servidor nunca se conecta a Health Connect.

6. Transferencias internacionales

Tus datos no salen del Espacio Económico Europeo: tu cuenta, tu perfil y tus datos de salud se tratan en un servidor situado en Francia que administramos nosotros, y no interviene ningún encargado fuera del EEE.

Ahora bien, las conexiones con Google del apartado anterior sí pueden implicar tratamiento en Estados Unidos. La garantía es la decisión de adecuación UE-EE. UU. de 10 de julio de 2023 (Data Privacy Framework), a la que Google LLC está adherido. Si esa decisión dejara de estar vigente, cambiaríamos la base de esas transferencias y te lo diríamos aquí antes de seguir haciéndolas.

Las demás conexiones del apartado anterior (otras plataformas de vídeo y Cloudflare) también pueden llegar a servidores fuera del EEE. [GARANTÍA APLICABLE PENDIENTE DE REVISIÓN]

Si en el futuro algún encargado tratara datos fuera del EEE, se aplicarán las garantías del capítulo V del RGPD y se dirá aquí quién es y con qué garantía, antes de que ocurra.

7. Plazos de conservación

Conservamos tus datos mientras tu cuenta exista. Si la eliminas, se borra en ese momento todo lo que depende de ella: perfil, medidas, datos del reloj, entrenos y series, inscripciones (también lo que pagaste por un reto y su referencia), listas de espera, seguimientos, consentimientos de la app, sesiones y Premium. Los clics en el material de un plan se quedan, pero sin ningún dato que te identifique.

Hay datos que no se borran con la cuenta:

• Las denuncias que hayas hecho, con el correo que dejaste en ellas, y las que otros hayan hecho sobre tu contenido. Hay que poder tramitarlas, comunicarte la decisión y acreditar qué se hizo y por qué (arts. 16 y 17 del Reglamento de Servicios Digitales). Plazo: [PLAZO PENDIENTE DE FIJAR]
• El consentimiento previo a la compra de un reto, con su texto, fecha, país y huella de la IP. Queda desvinculado de tu cuenta, porque es la prueba que el creador puede necesitar ante una reclamación. Plazo: [PLAZO PENDIENTE DE FIJAR]
• El correo que dejaste para un aviso sin tener cuenta. Plazo: [PLAZO PENDIENTE DE FIJAR]
• Los avisos por correo que no llegaron a salir (destinatario, asunto y texto). Plazo: [PLAZO PENDIENTE DE FIJAR]
• Si tu cuenta fue suspendida, el registro interno de esa decisión y su motivo.

Si un creador elimina su cuenta, se borran sus retos y, con ellos, las inscripciones, los importes pagados y los consentimientos de compra de esos retos. Conservaremos además lo que una ley nos obligue a guardar, durante el plazo que esa ley fije.

8. Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad. Desde la app tienes herramientas directas: exportar tus datos (portabilidad),eliminar tu cuenta (supresión) y gestionar tus consentimientos, todo en Perfil → Tus datos. La exportación incluye tu cuenta, tu perfil, tus consentimientos, los textos legales que aceptaste, los planes que sigues, tu material y, si eres creador, tu perfil de creador. De tus métricas y entrenos da solo cuántos registros hay. El detalle, y lo que no aparece en la exportación (retos y compras, series, seguidos), nos lo puedes pedir por correo. Si ya no tienes la app instalada, en trainalong.fit/eliminar-cuenta te explicamos cómo pedir el borrado. También puedes escribirnos a hola@trainalong.fit. Tienes derecho a reclamar ante la Agencia Española de Protección de Datos (www.aepd.es) si consideras que no hemos atendido tu solicitud.

9. Menores

El servicio no está dirigido a menores de 16 años. No recabamos conscientemente datos de menores de esa edad sin el consentimiento de sus representantes legales.

10. Cambios

Podemos actualizar esta política. Te informaremos de los cambios sustanciales y, cuando proceda, te pediremos que aceptes la nueva versión.