1. Lo esencial sobre tus datos
TrainingForever permite planificar entrenamientos, registrar actividades, analizar el rendimiento y colaborar con entrenadores y clubes. Algunas funciones utilizan información que revela o permite inferir aspectos de tu salud. Esa información recibe una protección especial.
Crear una cuenta o aceptar los Términos de servicio no equivale a consentir todos los tratamientos. Te solicitaremos una autorización específica cuando sea necesaria para utilizar datos de salud, activar funciones opcionales de IA con esos datos, conectar un servicio o recibir publicidad. Puedes retirar los consentimientos que hayas otorgado.
Tu entrenador o club puede ser el responsable de los datos que gestiona para prestarte sus servicios deportivos. TrainingForever puede actuar por su cuenta como proveedor tecnológico. En cambio, TrainingForever es responsable de sus propios tratamientos, como la gestión de tu cuenta y de la seguridad del servicio. El apartado 3 explica esta distinción.
2. Quién es TrainingForever y cómo contactar
| Dato | Información |
|---|---|
| Entidad | Trainingforever OÜ |
| Registro mercantil | Estonia, código 16941437 |
| IVA intracomunitario | EE102717330 |
| Domicilio | Narva mnt 5, Kesklinna linnaosa, Tallinn, Harju maakond, 10117, Estonia |
| Contacto de privacidad y ejercicio de derechos | [email protected] |
| Sitio principal | trainingforever.com |
Esta política se aplica al sitio y a las aplicaciones oficiales de TrainingForever que la incorporen. No describe los tratamientos independientes que hagan una plataforma deportiva externa, un cliente de IA externo o tu entrenador fuera del servicio de TrainingForever.
3. Quién decide sobre cada tratamiento
El papel de cada participante depende de quién determine realmente la finalidad y los medios esenciales del tratamiento, no únicamente del nombre de su cuenta.
| Situación | Papel de TrainingForever | Papel de otras personas o entidades |
|---|---|---|
| Registro, autenticación, suscripción a TrainingForever, soporte de cuenta, seguridad y obligaciones propias | Responsable del tratamiento | Sus proveedores actúan como encargados o como responsables independientes para sus fines legítimos, según el servicio |
| Diario y análisis deportivo que un deportista utiliza directamente como servicio propio de TrainingForever | Responsable del tratamiento | El deportista decide las funciones y conexiones que activa; no se convierte por ello en responsable profesional |
| Datos que un entrenador o club gestiona para prestar sus servicios a deportistas | Encargado del tratamiento, sujeto al DPA y a instrucciones documentadas | El entrenador o club es responsable; si el entrenador trabaja bajo la autoridad del club, no se convierte automáticamente en un responsable independiente |
| Entrenador que opera como encargado de otra entidad | Subencargado, cuando exista autorización y se haya formalizado la cadena correspondiente | La entidad es responsable y el entrenador conserva sus obligaciones como encargado |
| Integraciones e IA dentro del espacio de un entrenador o club | Mantiene el papel que corresponda al tratamiento deportivo; activar IA no cambia por sí mismo ese papel | El responsable debe haber informado y legitimado ese uso y autorizado los subencargados necesarios |
| Servicio externo que conectas, incluido un cliente MCP | Responsable de la comunicación que le corresponda o encargado que ejecuta una instrucción válida | El servicio externo puede actuar como responsable o encargado según su contrato, finalidad y configuración |
La identidad y los datos de contacto del entrenador o entidad responsable deben facilitarse en la invitación, alta o relación deportiva y en su propia información de privacidad. Puedes pedirnos ayuda para identificarlo. Cuando recibamos una solicitud que corresponda a ese responsable, la remitiremos y le ayudaremos a atenderla conforme al DPA.
Si dos entidades determinan conjuntamente un tratamiento, deberán establecer el acuerdo de corresponsabilidad que corresponda y facilitarte sus aspectos esenciales. El DPA no sustituye ese acuerdo.
4. Qué datos se utilizan y de dónde proceden
Solo se deben tratar los datos necesarios para las funciones que utilices y los permisos que hayas concedido.
| Categoría | Ejemplos y procedencia |
|---|---|
| Identidad y cuenta | Nombre, correo, identificador, idioma, país, edad o fecha de nacimiento cuando sea necesaria, imagen de perfil y pertenencia a una organización; facilitados por ti o mediante una invitación legítima |
| Contratación y cobros | Plan, límites, facturas, datos fiscales, estado de pago, identificadores de transacción y suscripción; procedentes del contratante y del proveedor de pagos |
| Entrenamiento | Disciplina, objetivos, calendario, sesiones planificadas y realizadas, ejercicios, series, repeticiones, cargas, ritmos, potencia, cadencia, distancia, duración, desnivel y cumplimiento; facilitados por ti, tu entrenador o conexiones autorizadas |
| Salud y condición física | Frecuencia cardíaca, zonas y métricas fisiológicas, capacidad o recuperación estimada, peso, composición corporal si se aporta, descanso, fatiga, dolor, lesiones, limitaciones y comentarios que revelen salud; aportados directamente o procedentes de conexiones autorizadas |
| Localización deportiva | Rutas y coordenadas de actividades importadas o registradas cuando la función lo requiera; una ruta puede revelar domicilio, lugares habituales o información sensible |
| Clubes y comunicación | Membresía, rol, mensajes, comentarios, participación en grupos o retos y preferencias de visibilidad; aportados por participantes autorizados |
| IA y automatizaciones | Instrucciones, contexto de la pantalla o actividad, historial utilizado, datos que devuelvan las herramientas, respuestas, propuestas, acciones y registros de ejecución; generados al usar estas funciones |
| Integraciones y API | Servicio conectado, permisos, identificadores externos, tokens de autorización y registros de sincronización; procedentes del proceso de conexión y del proveedor |
| Datos técnicos y de soporte | IP, sesión, navegador, dispositivo, eventos de seguridad, errores y comunicaciones con soporte; generados al acceder o pedir asistencia |
| Preferencias y pruebas legales | Versión de los textos facilitados, aceptación contractual, consentimientos, retirada, fecha, contexto y evidencias proporcionadas del acto realizado |
Una métrica deportiva no es automáticamente un dato de salud en cualquier contexto. La tratamos con protección reforzada cuando revele o permita inferir información sobre tu estado físico o de salud. Las estimaciones y perfiles derivados pueden ser también datos de salud. Las métricas de un reloj no se utilizan para identificarte mediante biometría por el mero hecho de proceder de un sensor.
No necesitamos historias clínicas completas, documentos de identidad sistemáticos ni datos de terceras personas ajenas al entrenamiento. Evita incluirlos en mensajes, archivos, solicitudes de soporte o instrucciones a la IA.
Si un entrenador aporta tus datos antes de que tengas una cuenta, debe informarte del origen y finalidad, destinatarios y derechos en los plazos legales. Cuando TrainingForever sea responsable de datos obtenidos indirectamente, facilitará la información exigida por el artículo 14 del RGPD, normalmente dentro de un mes y, en su caso, antes de la primera comunicación o cesión, salvo una excepción legal aplicable.
5. Para qué se tratan los datos y con qué base
Para los tratamientos de los que TrainingForever es responsable se aplican las siguientes bases. El uso del artículo 6 del RGPD no sustituye la excepción adicional exigida por el artículo 9 cuando se tratan datos de salud.
| Finalidad | Base del artículo 6 RGPD | Condiciones adicionales |
|---|---|---|
| Crear y gestionar tu cuenta y prestar las funciones ordinarias solicitadas | Ejecución del contrato contigo o medidas precontractuales, artículo 6.1.b | Solo datos objetivamente necesarios; los datos opcionales no se convierten en obligatorios por incluirlos en las condiciones |
| Gestionar contratación, atención contractual y pagos de TrainingForever | Artículo 6.1.b; obligaciones contables o fiscales concretas, artículo 6.1.c | Para contactos de una empresa contratante, interés legítimo en gestionar la relación profesional, artículo 6.1.f, cuando no sean parte del contrato |
| Registro, seguimiento y análisis de tu salud o condición física en funciones que solicites | Artículo 6.1.b cuando sea necesario para la función contratada; artículo 6.1.a para usos adicionales voluntarios | Consentimiento explícito del artículo 9.2.a como regla de este servicio; otra excepción exige una evaluación e información específicas |
| IA opcional que utilice tus datos deportivos personales, incluidos datos de salud | Consentimiento del artículo 6.1.a para esta finalidad diferenciada | Consentimiento explícito del artículo 9.2.a si usa o infiere salud; información previa sobre proveedor, datos y finalidad |
| Enviar datos a un entrenador o club elegido y habilitar accesos opcionales | Contrato cuando el acceso sea necesario para la colaboración que has solicitado; consentimiento para comunicaciones adicionales | Autorización explícita de la comunicación de salud cuando se utilice el artículo 9.2.a; se identifica el destinatario |
| Importar o exportar mediante una conexión opcional, incluido MCP | Consentimiento, artículo 6.1.a, para la conexión y comunicación opcionales | Consentimiento explícito si incluye salud y esa es la excepción aplicable; también se exige un permiso técnico válido y respetar las condiciones del origen |
| Participar voluntariamente en clubes, retos o espacios visibles a otras personas | Contrato para la participación solicitada; consentimiento para publicar información o ampliar visibilidad de forma opcional | No se presume consentimiento para publicar salud o rutas. Su publicación queda deshabilitada por defecto y requiere una evaluación y autorización específicas |
| Responder consultas sin relación contractual previa | Medidas precontractuales o interés legítimo en responder solicitudes, según su contenido | El interés legítimo no permite utilizar salud libremente; se evita incluirla salvo necesidad y habilitación específica |
| Proteger cuentas y sistemas, investigar abuso y mantener registros técnicos necesarios | Interés legítimo, artículo 6.1.f, en seguridad e integridad; artículo 6.1.c cuando exista obligación concreta | Evaluación de necesidad y proporcionalidad; se minimiza el contenido deportivo y de salud en registros |
| Enviar novedades o promociones | Consentimiento, artículo 6.1.a | Separado del alta y revocable en cada comunicación; no se utiliza salud para segmentación publicitaria |
| Cookies, SDK o tecnologías opcionales de medición o publicidad | Consentimiento, artículo 6.1.a, y normativa sobre dispositivos | Se aplica la Política de cookies; no se activan por aceptar esta política |
| Estadística de uso y mejora técnica | Interés legítimo para métricas técnicas mínimas sin seguimiento opcional; consentimiento cuando este sea exigible | Se priorizan datos verdaderamente anónimos. La mejora no autoriza reutilizar salud o conversaciones identificables para fines nuevos |
| Atender obligaciones y reclamaciones | Artículo 6.1.c para obligaciones concretas; artículo 6.1.f para formular o defender reclamaciones | Solo si resulta necesario, artículo 9.2.f para datos de salud relacionados con una reclamación; no ampara conservar todo el historial indefinidamente |
Para los datos gestionados por un entrenador o club, corresponde a ese responsable determinar e informarte de las bases de los artículos 6 y 9. TrainingForever los trata bajo sus instrucciones. Su relación contractual con TrainingForever no constituye por sí sola una excepción para utilizar tu salud.
6. Datos de salud y libertad de elección
Antes de activar el tratamiento de salud basado en consentimiento se explicarán el responsable, las finalidades, las categorías de datos y, si procede, el entrenador o club que tendrá acceso. El consentimiento debe ser explícito y quedar registrado.
El consentimiento para el seguimiento deportivo no incluye automáticamente el uso de IA sobre salud, la entrega a un cliente MCP externo, la publicación en un club o la publicidad. Cada finalidad adicional que lo requiera tiene su propia elección.
Puedes retirar el consentimiento desde los controles de privacidad disponibles o escribiendo a [email protected]. La retirada no afecta a los tratamientos lícitos anteriores. Detendremos los nuevos tratamientos afectados y gestionaremos la supresión, limitación o conservación legal que corresponda. Si actuamos como encargados, comunicaremos tu solicitud al responsable y cooperaremos en su ejecución.
Negarte a una función opcional no impide utilizar las partes del servicio que no la necesitan. Si una función concreta depende necesariamente de datos de salud, puede no estar disponible al no otorgar o retirar ese consentimiento. No utilizaremos ese hecho para imponerte finalidades que no sean necesarias.
7. Entrenadores, clubes, grupos y visibilidad
El acceso a tu información debe limitarse a las personas autorizadas que la necesiten para el servicio deportivo. Pertenecer a un club no concede automáticamente a todos sus miembros acceso a tu historial, mensajes privados, salud, pagos o rutas precisas.
Los administradores de una organización pueden gestionar membresías y accesos dentro de sus competencias. El acceso a datos deportivos detallados debe responder a una función concreta y legítima. Antes de una publicación o clasificación visible a otras personas se indicarán los datos mostrados y el público destinatario. La participación o visibilidad opcionales pueden desactivarse conforme a los controles ofrecidos.
Si cambias de entrenador o de club, la nueva relación no debe heredar automáticamente el acceso al historial de la anterior. Se debe establecer el nuevo acceso y su alcance. El antiguo responsable podrá conservar únicamente los datos que deba mantener legítimamente, bajo su propia responsabilidad y con acceso restringido cuando proceda.
8. Asistente de IA, análisis y acciones
Cuando interactúes con el asistente se te informará de que utilizas inteligencia artificial. Puede interpretar instrucciones, resumir datos, explicar métricas y proponer o ejecutar acciones disponibles, como cambios en sesiones o planificación, dentro de los permisos de la cuenta y del alcance de la función.
Para elaborar la respuesta pueden enviarse al proveedor de IA tu mensaje, una parte del historial, referencias del contexto y los resultados de herramientas consultadas. Esos resultados pueden incluir información deportiva o de salud aunque tú no la hayas escrito en el mensaje. El historial puede contener nombres u otros identificadores: seudonimizar algunos campos no convierte automáticamente la conversación en anónima.
Los proveedores autorizados, países, conservación, uso permitido y garantías constan en el anexo A. No se habilitará un proveedor para tratar estos datos sin completar su evaluación y las garantías exigibles. La plataforma debe minimizar los datos enviados, limitar el acceso por función y evitar incluir secretos o información ajena al cometido.
Los datos personales y de salud, las conversaciones y los resultados obtenidos para prestar el servicio no se destinan al entrenamiento o ajuste de modelos generales, a crear bases de conocimiento entre clientes ni a publicidad. Los proveedores que actúen por cuenta de TrainingForever deben estar sujetos a esa limitación. Cualquier proyecto distinto requeriría una evaluación jurídica propia, información previa y las autorizaciones que procedan; esta política no lo autoriza.
Los resultados de IA pueden ser incorrectos y generar inferencias sensibles. Se utilizan como apoyo deportivo y deben poder revisarse y corregirse. No deben utilizarse para adoptar exclusivamente de forma automatizada decisiones sobre acceso a servicios esenciales, seguros, empleo u otras decisiones con efectos jurídicos o de importancia similar. Las recomendaciones ordinarias de entrenamiento no constituyen por sí solas esas decisiones, pero se debe valorar su impacto real.
Si se pretendiera introducir un tratamiento sujeto al artículo 22 del RGPD, se evaluaría su licitud antes de activarlo, se facilitaría información sobre lógica, relevancia y consecuencias y se garantizarían los derechos aplicables. Una cláusula general o una supuesta revisión humana meramente formal no bastan.
9. Integraciones, relojes y clientes MCP
Las conexiones se activan de forma voluntaria y con permisos delimitados. Antes de conectar se identificará el servicio, qué datos se importan o exportan, en qué dirección y para qué funciones. La sincronización puede incluir tanto sesiones planificadas hacia un servicio compatible como actividades realizadas hacia TrainingForever, solo cuando la conexión concreta lo permita.
La autorización técnica del dispositivo o de la plataforma externa no sustituye por sí misma los consentimientos exigidos para otros usos. No se importan todas las categorías de un dispositivo por el mero hecho de conectarlo. Deben respetarse también las restricciones del proveedor, aunque exista consentimiento del usuario.
Si conectas TrainingForever a ChatGPT, Claude u otro cliente mediante MCP, ese cliente puede recibir los datos devueltos por las herramientas e iniciar las acciones que autorices. El cliente puede conservarlos en su historial y aplicar sus propias condiciones según el plan y configuración. Este flujo es distinto del uso del proveedor del asistente integrado de TrainingForever.
Antes de habilitar un cliente MCP se informará de su identidad, permisos, datos y finalidad. Un entrenador no puede consentir en nombre de sus deportistas una nueva comunicación de salud solo por ser su entrenador. Debe existir la habilitación correspondiente y, cuando el cliente actúe por su cuenta, la cadena contractual necesaria. No se permite conectar datos de terceros a cuentas externas que carezcan de esas garantías.
Desconectar revoca o inutiliza la autorización en TrainingForever y detiene nuevos intercambios afectados. Para Garmin, se aplica además el borrado del apartado 9.1. En las demás integraciones, la desconexión no borra por sí sola las actividades ya importadas. Las copias que un responsable externo haya recibido legítimamente se gestionan conforme a sus obligaciones; puedes solicitarle su eliminación. TrainingForever ayudará en lo que le corresponda y ejecutará las obligaciones de comunicación de supresión o rectificación aplicables.
9.1. Datos de Garmin Connect (Garmin Connect Data)
Acceso y autorización. Si decides conectar tu cuenta Garmin, Trainingforever OÜ accede a datos de actividad y condición física de Garmin Connect, incluidos datos de salud solo si los autorizas, mediante las APIs oficiales de Garmin, directamente o a través de Stridee, nuestro proveedor de sincronización. Solo leemos o recibimos los datos después de la autorización del deportista titular y dentro de las categorías y permisos concedidos y las APIs aprobadas para la integración.
Finalidades. Usamos estos datos exclusivamente para prestar las funciones de TrainingForever que solicites: importar, mostrar y resumir actividades, seguir tu entrenamiento y permitir su consulta por ti y por tu entrenador autorizado. Si autorizas el envío de sesiones planificadas a Garmin, comunicamos únicamente las sesiones y los datos necesarios para ese envío. El tratamiento propio de Garmin se describe en su política de privacidad de Garmin Connect.
Conservación y desconexión. Guardamos los datos de Garmin de forma segura y solo mientras la conexión esté activa y sean necesarios para las funciones autorizadas, sin perjuicio de que puedas solicitar su borrado antes. Puedes desconectar Garmin desde los ajustes de conexiones o integraciones de tu cuenta de TrainingForever o revocar el acceso desde Garmin Connect. Al desconectar o recibir la revocación desde Garmin, detenemos nuevos intercambios e iniciamos automáticamente la eliminación de los datos de Garmin asociados, incluidos los resultados derivados que los contengan, en TrainingForever y sus encargados: sin dilación indebida y en un máximo de 30 días en sistemas activos. Las copias de seguridad aisladas se eliminan en un máximo de 90 días desde ese borrado; si Garmin exige un plazo menor, se aplica el menor. Solo se conservará la parte mínima que una obligación legal concreta exija, bloqueada y durante el plazo exigido. Los plazos generales del historial deportivo no permiten prolongar esta conservación tras desconectar.
Sin venta ni publicidad. No vendemos tus datos de Garmin ni los utilizamos o compartimos para publicidad, segmentación comercial o creación de audiencias.
Proveedores por nuestra cuenta. Stridee y los proveedores de alojamiento, almacenamiento, comunicaciones e IA identificados en el anexo A pueden tratar estos datos únicamente en la medida necesaria para operar las funciones autorizadas. Cuando actúan por nuestra cuenta, están sujetos a instrucciones documentadas y obligaciones contractuales de protección: no utilizan el contenido deportivo de Garmin para fines propios, publicidad ni para entrenar o mejorar sus modelos. No habilitamos un flujo si faltan las garantías exigibles.
Transparencia sobre IA. Solo si las condiciones aplicables de Garmin lo permiten y das un consentimiento explícito, separado y revocable, el asistente integrado puede enviar a las APIs de OpenAI o Anthropic/Claude los datos de Garmin necesarios, junto con mensajes, contexto y resultados de herramientas, para resumir actividades, explicar métricas o generar propuestas deportivas solicitadas. Puedes retirar este consentimiento desde los controles de privacidad o escribiendo a [email protected]; cesará ese uso de IA sin impedir las funciones que no lo necesitan. Conectar Garmin o aceptar los términos no equivale a consentir este uso.
Clientes MCP externos. No enviamos datos de Garmin a un cliente MCP externo sin identificar al receptor, obtener tu autorización específica y comprobar garantías compatibles de finalidad, no entrenamiento y eliminación. Si no pueden garantizarse, ese flujo no se habilita. La autorización del asistente integrado no cubre por sí sola estas conexiones.
10. Destinatarios y proveedores
Los datos pueden ser tratados por:
No vendemos datos personales ni utilizamos salud, lesiones, localización sensible o información de dispositivos de salud para segmentar publicidad. No entregamos historiales de salud a patrocinadores de clubes o anunciantes por el mero hecho de participar en una actividad.
Cuando un proveedor actúe como encargado, se formalizará el contrato correspondiente y solo podrá tratar los datos conforme a instrucciones. Las entidades que actúen como responsables independientes deberán ofrecer su propia información. El anexo A concreta las entidades y funciones autorizadas.
11. Tratamiento fuera del Espacio Económico Europeo
La ubicación de un servidor en Europa no excluye el acceso desde otros países por soporte, administración, IA o subcontratación. El anexo A identifica los países de almacenamiento y acceso pertinentes.
Una transferencia internacional se realizará únicamente cuando exista una decisión de adecuación vigente que cubra al destinatario y al tratamiento, o garantías válidas, como cláusulas contractuales tipo aplicables, evaluación de la transferencia y medidas complementarias necesarias. Una certificación debe comprobarse para la entidad y servicio concretos. El consentimiento de registro no se utiliza como autorización general para transferencias habituales ni sustituye estas garantías.
Puedes solicitar información y una copia de las garantías aplicables escribiendo al contacto de privacidad. Se podrán proteger secretos empresariales o datos de otras personas sin impedir que conozcas la esencia de las garantías.
12. Durante cuánto tiempo se conservan
Los siguientes plazos se aplican a tratamientos propios de TrainingForever. Cuando actuemos por cuenta de un entrenador o club, se aplicarán sus instrucciones lícitas y los plazos del DPA, sin convertir la baja de su suscripción en una autorización para reutilizar los datos.
Si la autorización del proveedor de origen impone un plazo menor o un uso más limitado, se aplicará esa restricción a los datos correspondientes. Los plazos generales de esta política no permiten ampliarla.
| Información | Criterio de conservación y destino |
|---|---|
| Cuenta y perfil | Mientras la cuenta esté activa y sean necesarios. Tras la solicitud válida de supresión o cierre, eliminación de sistemas activos en un máximo de 30 días, salvo conservación concreta justificada |
| Historial deportivo y de salud del servicio directo | Mientras mantengas la función y sea necesario para tu historial solicitado; se revisa la necesidad y se atienden la supresión y retirada. No se conserva por defecto para nuevas finalidades |
| Conversaciones y resultados del asistente integrado | Máximo de 90 días desde la última interacción de cada conversación, salvo que solicites borrado antes. Una sesión o plan que decidas guardar tiene su propio ciclo de conservación; no exige conservar todo el chat |
| Datos en el proveedor de IA | El plazo específico de cada servicio indicado en el anexo A, que puede diferir del historial de TrainingForever |
| Tokens de integraciones | Mientras la conexión esté activa; se revocan o inutilizan al desconectar y se eliminan de los sistemas activos, salvo el registro mínimo necesario para acreditar la revocación |
| Datos de Garmin Connect | Regla específica del apartado 9.1: mientras la conexión esté activa y sean necesarios para las funciones autorizadas; al desconectar o recibir la revocación, borrado automático de los datos asociados y derivados que los contengan. Se aplican los máximos de 30 días en sistemas activos y 90 días desde ese borrado en copias aisladas, o plazos contractuales más cortos, salvo obligación legal concreta. |
| Registros técnicos ordinarios | Hasta 90 días, evitando mensajes, salud y rutas completas |
| Registros de seguridad | Hasta 12 meses; una investigación o reclamación concreta puede justificar conservar evidencias específicas durante más tiempo, con acceso restringido |
| Consultas de soporte | Hasta 24 meses desde el cierre, salvo necesidad contractual o legal concreta. Se eliminan antes los adjuntos de salud innecesarios |
| Facturas y justificantes contables propios | Por regla general, siete años desde el final del ejercicio correspondiente conforme a la normativa contable estonia; otros documentos u obligaciones pueden requerir un cómputo distinto, que se determinará de forma específica |
| Pruebas de aceptación, consentimiento y retirada | Mientras sean necesarias para demostrar el tratamiento y después durante el plazo de prescripción aplicable a responsabilidades concretas: Pendiente: plazo y criterio evidencias validado. Se conserva la prueba mínima, no todo el historial de salud |
| Comunicaciones comerciales | Hasta que retires el consentimiento o termine la finalidad; puede mantenerse una lista mínima de exclusión para respetar la baja |
| Copias de seguridad | Eliminación o sobrescritura en un máximo de 90 días desde el borrado de los sistemas activos; quedan aisladas del uso ordinario. Una restauración debe reaplicar las supresiones |
| Datos sujetos a una reclamación u obligación legal concreta | Solo los necesarios, con acceso limitado y hasta finalizar la obligación o responsabilidad; después se eliminan |
La solicitud de supresión se responde en los plazos del apartado 14, aunque alguna copia aislada complete después su ciclo técnico. Si los datos deben bloquearse conforme a la normativa aplicable, no se utilizarán para prestar nuevas funciones, desarrollar modelos ni realizar publicidad.
Los datos solo quedan fuera del RGPD si se han anonimizado de manera efectiva, teniendo en cuenta el riesgo razonable de reidentificación. Los datos seudonimizados, los agregados de grupos pequeños y las rutas reconocibles pueden seguir siendo personales. La anonimización tampoco permite eludir las condiciones del proveedor de origen.
13. Seguridad
TrainingForever debe aplicar medidas proporcionadas al riesgo de los datos, incluidos controles de acceso por persona y organización, protección de credenciales y tokens, cifrado de comunicaciones, gestión de copias, registros necesarios y procedimientos de incidentes. El acceso del personal se limita a quienes lo necesiten y estén sujetos a confidencialidad.
El acceso excepcional de soporte a datos deportivos o de salud debe estar justificado, limitado y registrado. Los datos reales de salud no se reutilizan libremente en entornos de prueba o demostración. Las medidas contractuales para los tratamientos por cuenta de organizaciones se describen en el DPA.
Si una violación de seguridad hace necesaria una comunicación a personas afectadas, la realizaremos sin dilación indebida en los términos legales. Cuando actuemos como encargados, informaremos y ayudaremos al responsable para que atienda sus propias obligaciones.
14. Tus derechos y cómo ejercerlos
Puedes solicitar acceso, rectificación, supresión, limitación, oposición y, cuando se cumplan los requisitos legales, portabilidad. También puedes retirar tu consentimiento y ejercer los derechos relativos a decisiones automatizadas que correspondan.
Escribe a [email protected] desde el correo de tu cuenta, indicando qué necesitas, o utiliza los controles de privacidad disponibles. Verificaremos tu identidad de forma proporcionada; no se exige una copia de tu documento de identidad de manera sistemática. Para datos tratados por un club o entrenador puedes dirigirte a él; te ayudaremos a canalizar la solicitud.
Respondemos normalmente en el plazo de un mes desde la recepción. Si la complejidad o el número de solicitudes lo requieren, el plazo puede ampliarse hasta dos meses adicionales, informándote dentro del primer mes y explicando el motivo. El ejercicio es gratuito salvo los supuestos excepcionales legalmente previstos. Si no procede una solicitud, explicaremos las razones y las vías de reclamación.
La oposición a publicidad directa se atiende sin necesidad de justificarla. Para otros tratamientos basados en interés legítimo valoraremos las circunstancias que indiques y cesaremos salvo los motivos legítimos prevalentes o la necesidad de formular o defender reclamaciones que prevea la ley.
Puedes reclamar ante la autoridad del Estado de tu residencia habitual, trabajo o lugar de la presunta infracción. En España, la Agencia Española de Protección de Datos; en Estonia, la Andmekaitse Inspektsioon. La inscripción de la sociedad en Estonia no determina por sí sola qué autoridad actúa como autoridad principal en todos los tratamientos.
15. Menores de edad
La contratación debe realizarla una persona con capacidad suficiente o el representante autorizado de la entidad. La gestión de deportistas menores solo se admite si existe un procedimiento de alta e información adecuado a su edad y país, con verificación de representación y consentimientos cuando sean necesarios. Sin ese procedimiento no se habilitará su incorporación.
La edad para consentir determinados servicios digitales no equivale automáticamente a capacidad para contratar ni a una autorización para cualquier tratamiento de salud. El responsable debe identificar quién puede otorgar válidamente cada autorización. La información se facilitará de forma comprensible también al menor, según su madurez.
Los perfiles de menores, sus rutas y sus datos de salud no se hacen públicos por defecto. El entrenador o club debe limitar los accesos y no puede introducir esos datos amparándose únicamente en su aceptación de las condiciones de TrainingForever.
16. Datos necesarios, cookies y cambios
Los formularios deben identificar qué datos son obligatorios. No facilitarlos puede impedir crear la cuenta o prestar la función concreta que los necesita. Los datos y funciones opcionales se indicarán como tales.
La Política de cookies explica las tecnologías de dispositivo y cómo cambiar tus preferencias. Aceptar esta política no activa las tecnologías opcionales.
Informaremos de los cambios relevantes antes de su aplicación, salvo que una obligación o incidencia justifique otra actuación. Una actualización de la política no legitima retroactivamente un uso ni renueva un consentimiento. Solicitaremos una nueva elección cuando resulte necesaria.
Anexo A. Registro de proveedores, integraciones y transferencias de TrainingForever
Versión del registro: TF-REG-2026-10-29-v2 Fecha de actualización: 29 de octubre de 2026 Titular: Trainingforever OÜ — registro estonio 16941437 — contacto: [email protected].
1. Alcance y lectura del registro
El registro identifica proveedores de la plataforma, herramientas de medición y servicios externos conectados. El papel de cada entidad depende de la operación: tratar datos por cuenta de TrainingForever no es lo mismo que determinar fines propios o prestar al deportista un servicio independiente.
Cuando TrainingForever actúa por cuenta de un entrenador o club, los proveedores del encargo deben figurar también en el anexo III del DPA. Las herramientas que se utilicen para marketing propio de TrainingForever y los servicios independientes del deportista no se convierten automáticamente en subencargados de ese entrenador.
Las entidades indicadas corresponden a la documentación estándar pertinente y deben cotejarse con el contrato de cada cuenta. Una región europea de base de datos, funciones o almacenamiento no garantiza que todos los registros, accesos de soporte, subcontratistas o puntos de distribución estén dentro del EEE. La lista de subencargados de cada proveedor debe revisarse para los servicios utilizados y conservarse con la evaluación de transferencias.
«CCT» significa cláusulas contractuales tipo de transferencia internacional de la Comisión Europea. La mención de CCT o de una decisión de adecuación identifica el mecanismo a comprobar para el flujo concreto; no sustituye el contrato, la evaluación ni las medidas complementarias que correspondan. No se presume una certificación del Marco de Privacidad de Datos para cualquier entidad de un grupo.
2. Proveedores tecnológicos y de operación
| Entidad jurídica y servicio | Función y papel | Datos necesarios según el uso declarado | Almacenamiento y países de acceso | Garantía de transferencia | Conservación y condiciones de uso | Documentación |
|---|---|---|---|---|---|---|
| Supabase Pte. Ltd. — Supabase | Base de datos y servicios asociados utilizados por la aplicación. Encargado o subencargado para datos del servicio | Cuentas, perfiles y datos deportivos y de salud que se almacenen; permisos y registros necesarios. El alcance de Auth, Storage y funciones se debe inventariar | Proyecto principal en Irlanda, declarado por el titular. La documentación distingue soporte y operaciones de afiliadas, incluidas Singapur y EE. UU.; la región del proyecto no los excluye | DPA y sus garantías de transferencia; verificar los destinos de los servicios efectivamente utilizados, incluidos afiliadas y subencargados | Durante el servicio y según las instrucciones de conservación. El DPA contempla un periodo de recuperación de 30 días tras el fin contractual; comprobar borrados por usuario, logs y copias según plan. | DPA; residencia y transferencias |
| Vercel Inc. — Vercel | Alojamiento de web/aplicación y ejecución de backend/API. Encargado o subencargado en las operaciones por cuenta del responsable | IP y datos de petición, sesión, comunicaciones procesadas por las API y registros técnicos. El backend puede manejar los datos deportivos o de salud necesarios para la función; no se presume que deban incluirse en logs | Backend/API en UE/EEE, declarado; país y código pendientes. La entrega de contenido, registros y soporte requieren evaluación separada; puede existir tratamiento en EE. UU. y otros destinos del proveedor | DPA y CCT aplicables. Comprobar el plan: el DPA público consultado declara cobertura para Pro y Enterprise; no se ha confirmado el plan de TrainingForever | Según la relación, producto y configuración de registros y copias. No se ha confirmado un plazo único para todos los datos de Vercel. | DPA; privacidad |
| BunnyWay d.o.o. — Bunny Stream y Bunny Storage | Almacenamiento y entrega de vídeos, imágenes, documentos y otros archivos; reproducción de vídeo. Encargado o subencargado del contenido confiado | Contenido subido por entrenadores y deportistas, metadatos y datos técnicos necesarios de acceso y entrega. Los archivos pueden contener datos personales o salud según su contenido | Almacenamiento principal y réplicas solo en UE/EEE, declarado. Entidad en Eslovenia. Países concretos, distribución por CDN, cachés y accesos remotos pendientes de comprobar | DPA de la cuenta y garantías necesarias para cualquier flujo fuera del EEE; no se deduce ausencia de transferencias del lugar de almacenamiento principal | Los contenidos permanecen según las instrucciones y eliminación del responsable; validar ciclos de borrado, versiones y cachés. No se ha confirmado un borrado automático por antigüedad. | Privacidad; DPA en la cuenta; subencargados |
| Plus Five Five, Inc. — Resend | Envío de correos transaccionales y comerciales. Encargado o subencargado del contenido enviado; tratamientos propios diferenciados de cuenta y operación | Correo y nombre del destinatario cuando se incluyan; acceso, recuperación e invitaciones; notificaciones; facturas/cobros; publicidad; entrenamientos, actividades y métricas. Estas últimas pueden revelar salud | Estados Unidos para contenido y registros según la documentación estándar. Una región europea de envío no cambia por sí sola ese almacenamiento | CCT incorporadas al DPA, seleccionando el módulo adecuado. Cualquier otro mecanismo requiere comprobar entidad y cobertura | Documentación estándar: mensajes y logs, 30 días en Free, Pro y Scale; copias, 7 días; datos restantes tras terminar la cuenta, hasta 90 días. Enterprise puede variar. Verificar plan y adecuación del contenido de salud. | DPA; ubicación y conservación |
| Stripe Payments Europe, Limited; Stripe Technology Europe, Limited cuando preste servicios financieros regulados — Stripe | Pagos, suscripciones y facturación utilizados. Encargado para operaciones por cuenta del cliente y responsable para fines propios, según el servicio; no se presume contratado todo el catálogo o Stripe Connect | Identificación, contacto, datos fiscales, transacciones, suscripciones y datos de pago necesarios; los datos completos de tarjeta se facilitan al proveedor según la integración. Excluir salud de descripciones y metadatos | Entidades europeas pertinentes y tratamiento internacional por el grupo y sus proveedores, incluido EE. UU., según el servicio | DPA y garantías de transferencia del contrato de Stripe; distinguir operaciones como encargado y como responsable | Mientras sea necesario para el servicio y los plazos regulatorios, contables, antifraude y de reclamaciones aplicables a Stripe. El cierre en TrainingForever no elimina automáticamente sus obligaciones propias. | DPA; papeles de tratamiento; privacidad |
| OpenAI Ireland Ltd. — OpenAI API, en contratación estándar EEE | Inferencia del asistente integrado mediante API directa, sin intermediario declarado. Encargado o subencargado del contenido de la solicitud | Mensajes, contexto, historial y resultados de herramientas que se envíen, incluidos datos reales de deportistas, entrenamientos y métricas; salud cuando forme parte de ellos | No se ha declarado residencia europea ni retención cero especiales. No limitar el flujo al EEE: revisar tratamiento en EE. UU. y países de la cadena del servicio | DPA de OpenAI y garantías aplicables a transferencias y subencargados | Sin entrenamiento de modelos por defecto, salvo habilitación voluntaria específica. Logs de abuso: normalmente hasta 30 días con excepciones; estado, archivos, cachés y otros objetos dependen del endpoint y configuración. No afirmar borrado universal a 30 días. | DPA; controles de datos de API |
| Anthropic Ireland, Limited — Anthropic API / Claude, en contratación estándar EEE | Inferencia del asistente integrado mediante API directa, sin intermediario declarado. Encargado o subencargado del contenido | Mensajes, contexto, historial y resultados de herramientas enviados, incluidos datos reales de deportistas, entrenamientos y métricas; salud cuando forme parte de ellos | No se ha declarado un acuerdo especial de residencia europea ni retención cero. Revisar los países de tratamiento y subencargados del servicio; no presuponer tratamiento exclusivo en Irlanda | DPA de Anthropic con CCT y documentación de transferencias aplicables | La política comercial consultada indica eliminación ordinaria de entradas/salidas dentro de 30 días, con excepciones por funciones, modelos, seguridad, ley y feedback. No entrenamiento sin permiso expreso según sus compromisos. | Términos comerciales; DPA; retención comercial |
| Molina Studio, operador de Stridee — Stridee Developer Platform/API | Envío de entrenamientos planificados y recepción de actividades y métricas. Encargado del flujo confiado; comprobar la cadena cuando TrainingForever actúe a su vez como encargado | Identificadores de conexión, autorizaciones y tokens, sesiones y actividades y las métricas autorizadas. Rutas y datos de bienestar solo cuando el alcance concreto los incluya | Operador en Suiza; infraestructura publicada de OVH SAS en Suiza y EEE. No añadir destinos hipotéticos como si estuvieran activos | Adecuación de Suiza y contratos aplicables; evaluar cualquier transferencia ulterior distinta de los destinos publicados | Según las instrucciones y términos de plataforma. Solicitud de devolución tras terminar: dentro de 30 días; ejecución de supresión/devolución, hasta 90 días según sus condiciones y copias. Logs de peticiones: 30 días. Reconciliar con el DPA de TrainingForever. | Operador; términos de API; subencargados; privacidad |
Las entidades de OpenAI, Anthropic, Google, Microsoft y Stripe indicadas deben cotejarse con la cuenta y el contrato regional aceptados. Las funcionalidades de los proveedores que no se hayan contratado o habilitado no quedan incorporadas por aparecer en sus páginas de producto.
3. Analítica, gestión de etiquetas, publicidad y experiencia de uso
TrainingForever ha declarado el uso de los cuatro servicios siguientes también dentro de la aplicación autenticada. El alcance declarado de los eventos enviados es páginas, pantallas, clics y navegación. Esto no convierte esos eventos en anónimos: las tecnologías pueden procesar IP, identificadores técnicos, cookies, URL, referencias y datos de dispositivo según su funcionamiento y configuración. No se ha verificado el tráfico efectivo ni el contenido de las páginas o enlaces capturados.
| Entidad y servicio | Función y papel | Datos y límites | Países y garantías | Conservación | Información |
|---|---|---|---|---|---|
| Google Ireland Limited, según contrato EEE — Google Analytics | Medición del uso. Encargado en las operaciones de medición por cuenta de TrainingForever; revisar fines propios y acuerdos adicionales si hay compartición o funciones publicitarias | Eventos de navegación declarados y datos técnicos del servicio. Excluir datos de salud y datos identificativos o contenido que no esté autorizado para ese producto | Tratamiento por la cadena de Google, potencialmente fuera del EEE, incluido EE. UU.; comprobar condiciones y garantías de transferencia aplicables a la propiedad | Periodo configurado de usuario/evento pendiente de comprobar. No se asigna por suposición un valor de 2 o 14 meses. Los agregados y funciones adicionales tienen reglas propias. | Marco RGPD de Google; retención; privacidad |
| Google Ireland Limited, según contrato EEE — Google Tag Manager | Gestión y despliegue de etiquetas; diferenciar el gestor de cada destinatario activado por él | Configuración del contenedor, datos técnicos y variables que se utilicen en las etiquetas. No introducir salud, nombres o correos en la capa de datos por defecto | Según el servicio y los destinos de las etiquetas. La localización del backend no fija dónde reciben datos esas etiquetas | El gestor no establece un plazo único para Analytics, Meta o Clarity. Inventariar cada etiqueta, cookie, clave de almacenamiento y destinatario. | Información del producto; marco de protección de datos; privacidad |
| Meta Platforms Ireland Limited, para el servicio EEE — Meta Pixel | Medición y atribución publicitaria. Evaluar y aplicar la corresponsabilidad limitada a recogida y transmisión prevista en el acuerdo pertinente, y los tratamientos posteriores de Meta; no clasificarlo sin más como subencargado del entrenador | Eventos de páginas/pantallas e interacciones declarados, junto con datos técnicos de la etiqueta. No transmitir información prohibida por sus términos, incluida salud; revisar también URL, títulos y eventos que la revelen | Servicios de Meta y posibles transferencias internacionales, incluido EE. UU., con el mecanismo y condiciones efectivamente aplicables; verificar su acuerdo regional | Plazos propios de los productos, finalidades y controles de Meta; concretar configuración de eventos, cookies y audiencias. No trasladar automáticamente el plazo de logs de TrainingForever. | Términos de herramientas empresariales; acuerdo de responsables; información prohibida |
| Microsoft Ireland Operations Limited y Microsoft Corporation, según sus funciones — Microsoft Clarity | Analítica de comportamiento y funciones de experiencia habilitadas. Microsoft declara actuar como responsable del tratamiento | Navegación e interacciones declaradas, junto con campos técnicos del servicio; revisar renderizado, grabaciones, enlaces y enmascaramiento. Excluir datos confidenciales y de salud de las capturas | Azure y posibles transferencias del servicio, incluido tratamiento por Microsoft Corporation en EE. UU.; la documentación describe CCT entre las entidades de Irlanda y EE. UU. | La FAQ declara acceso ordinario del administrador a datos hasta 30 días desde grabación. No es una garantía de eliminación de todo dato para cualquier finalidad de Microsoft. Revisar configuración y términos. | FAQ, papeles y transferencias; términos; privacidad de Microsoft |
Los datos deportivos y de salud confiados por un entrenador o club no quedan habilitados para estos fines de medición o publicidad por la aceptación del DPA. Debe analizarse la base jurídica, información y papel de cada entidad para cada flujo. Los aspectos esenciales de un acuerdo de corresponsabilidad que resulte aplicable deben facilitarse a los interesados.
4. Conexiones deportivas y clientes externos
#### 4.1. Mapa de conexiones declarado
Las conexiones siguientes están declaradas como activas. La sincronización de Stridee es bidireccional en el conjunto del servicio: se envían entrenamientos y se reciben actividades y métricas. Esto no demuestra que cada marca permita ambas direcciones ni todas las categorías de salud. El alcance debe quedar limitado a los permisos y capacidades de cada conexión.
| Servicio y entidad de referencia | Ruta declarada | Información y dirección | Papel y límites | Información del servicio |
|---|---|---|---|---|
| Garmin / entidades responsables de Garmin Connect según su política y contrato regional | Conexión directa y también mediante Stridee | Entrenamientos y actividades/métricas autorizadas, según la API y permisos usados | Garmin es responsable independiente de su propio servicio; Stridee trata el flujo por cuenta de TrainingForever cuando se usa esa ruta. Acceso solo tras la autorización del deportista y con APIs y permisos aprobados. Se aplica el apartado 9.1 de privacidad: sin venta ni publicidad, encargados sin uso propio ni entrenamiento de modelos y borrado al desconectar. Identificar entidad y autorizaciones del contrato de integración. | Garmin Connect; Stridee / Garmin |
| COROS Wearables, Inc. — COROS | Mediante Stridee | Datos y sesiones que permita la conexión autorizada | Responsable de su propio servicio. Su política identifica entidad en EE. UU. y representante europeo; no equivale a almacenamiento exclusivamente europeo. Verificar las garantías del flujo concreto. | Privacidad de COROS |
| Polar Electro Oy — Polar | Mediante Stridee | Datos y sesiones que permita la conexión autorizada | Responsable de su propio servicio; conservación y destinatarios según su información, sin presumir que el intermediario reemplaza esas condiciones. | Privacidad de Polar |
| Suunto Oy y entidades que identifique la política aplicable — Suunto | Mediante Stridee | Datos y sesiones que permita la conexión autorizada | Responsables de su propio servicio conforme a su política. No atribuir automáticamente todo el flujo a Finlandia por la sede de Suunto Oy. | Privacidad de Suunto |
| Apple Salud / HealthKit — fuente de datos y permisos del dispositivo | Declarada mediante Stridee; componente o aplicación puente pendiente de documentar | Categorías autorizadas desde el dispositivo; precisar qué aplicación lee, transmite o escribe cada dato | El mero uso de HealthKit no demuestra que TrainingForever envíe esos datos a Apple ni que Apple sea su subencargado. Identificar al operador real del puente y sus destinatarios antes de cerrar el flujo. | Privacidad de HealthKit |
| Strava Ireland Limited para el servicio EEE, según contrato — Strava | Conexión directa | Datos de actividad y otros datos que autoricen los permisos y el contrato concretos. No se presume envío de entrenamientos estructurados a Strava | Responsable de su propio servicio. Respetar las restricciones vigentes de almacenamiento, visualización, analítica e IA; documentar la autorización concreta para el uso previsto. No se ha confirmado una ruta de Strava mediante Stridee. | Términos de API; política de API |
Las políticas del origen rigen sus tratamientos propios. TrainingForever debe informar además del tratamiento que realiza al importar o enviar información y de sus intermediarios. Desconectar no elimina automáticamente todos los datos ya recibidos por responsables independientes; las obligaciones de supresión y notificación se aplican según cada flujo. Para los datos de Garmin que obren en TrainingForever o sus encargados, se aplica expresamente el borrado al desconectar del apartado 9.1 de la Política de privacidad.
#### 4.2. ChatGPT y Claude como clientes MCP elegidos por el usuario
| Servicio externo | Tratamiento posible al conectar | Papel, ubicación y conservación | Condición de habilitación |
|---|---|---|---|
| ChatGPT — entidad OpenAI que corresponda a la cuenta externa | Recibir respuestas de herramientas MCP y solicitar acciones dentro de los permisos concedidos | Depende del plan, contrato, país y configuración de la cuenta externa. La contratación estándar de la API integrada de TrainingForever no determina el historial, entrenamiento o residencia de esa cuenta de ChatGPT | Identificar destinatario, datos, herramientas, finalidad y configuración; habilitar comunicaciones de salud y datos de terceros solo con la legitimación y garantías necesarias. |
| Claude — entidad Anthropic que corresponda a la cuenta externa | Recibir respuestas de herramientas MCP y solicitar acciones autorizadas | Depende del plan, contrato, país y configuración de la cuenta externa. No trasladar a la interfaz Claude las condiciones de retención de la API integrada | Mismos requisitos de identificación, permisos, datos, finalidad y garantías, según el flujo real. |
Estas conexiones se documentan por separado de los proveedores de la API integrada. No constituyen una autorización general para exportar la información de todos los deportistas a cualquier cuenta personal de un entrenador. Debe facilitarse al conectar la información del plan y destinatario concretos y enlazar su política vigente.
5. Actualización y consulta de garantías
El registro se actualizará cuando cambien proveedores, finalidades, países, datos o condiciones relevantes. Los cambios de subencargados del encargo seguirán además el procedimiento del DPA y no habilitarán por sí solos nuevas finalidades.
Puedes solicitar información sobre destinatarios y garantías aplicables a tu tratamiento en [email protected]. Para servicios externos elegidos se facilitará la información correspondiente al conectar y se aplicarán también las políticas de sus responsables.
La relación de decisiones de adecuación de la Comisión Europea y su información sobre cláusulas contractuales tipo sirven para contrastar las garantías; no sustituyen la evaluación del destinatario y servicio concretos.