Acuerdo de Tratamiento de Datos

1. Partes y encuadre

Integra los Términos y Condiciones entre:

• El Cliente (gimnasio que contrata GymFly): el "RESPONSABLE".
• GymFly (Juan Manuel Cánovas, CUIT 20-41717236-0, Panamá 35, Tandil, Buenos Aires): el "ENCARGADO".

En los términos del art. 25 de la Ley 25.326.

2. Objeto

El Responsable encomienda al Encargado el tratamiento de los datos de socios y terceros que cargue en la Plataforma, con el único fin de prestar el Servicio.

3. Datos tratados y categorías

• Titulares: socios, clientes y/o usuarios del Responsable.
• Datos: identificatorios y de contacto, asistencia/turnos, facturación y mediciones corporales (peso, composición corporal y similares).
• Exclusión expresa: el Servicio no está destinado a tratar datos sensibles de salud (diagnósticos, aptos médicos, historias clínicas — art. 2, Ley 25.326). Si el Responsable los carga, lo hace bajo su exclusiva responsabilidad y asume las obligaciones de los arts. 7 y 8 de la Ley 25.326, manteniendo indemne al Encargado.

4. Obligaciones del Encargado (GymFly)

• Tratar los datos solo conforme a las instrucciones del Responsable y para prestar el Servicio (art. 25).
• Guardar confidencialidad, obligación que subsiste tras el contrato.
• Adoptar las medidas de seguridad exigidas por la AAIP.
• No ceder los datos, salvo a los subencargados de la cláusula 6.
• Asistir al Responsable en los derechos ARCO y ante la AAIP.
• Notificar sin demora injustificada todo incidente de seguridad.
• Al finalizar, devolver o suprimir los datos (plazo de exportación: 30 días), salvo obligación legal de conservación.

5. Obligaciones del Responsable (el gimnasio)

• Cargar y tratar datos con base legal lícita y consentimiento de los socios cuando corresponda (art. 5).
• Informar a sus socios sobre el tratamiento y sus derechos.
• No cargar datos sensibles de salud salvo cumpliendo los arts. 7 y 8, asumiendo responsabilidad exclusiva.
• Mantener indemne al Encargado frente a reclamos de socios, terceros o la AAIP por su incumplimiento.
• Inscribir su propia base ante la AAIP cuando corresponda (art. 21).

6. Subencargados

6.1. El Responsable autoriza al Encargado a contratar subencargados para el Servicio.

6.2. El Encargado les exigirá obligaciones de protección equivalentes a este DPA.

6.3. Subencargados actuales: Supabase (base de datos, autenticación, almacenamiento y emails de cuenta, AWS-EE.UU.), Mercado Pago (pagos y suscripciones), WhatsApp/Meta (recordatorios y mensajes a socios, si el Cliente lo activa), Vercel (hosting).

7. Transferencia internacional

Cuando un subencargado aloje datos fuera de Argentina (ej. Supabase/AWS en EE.UU.), el Encargado garantizará un nivel adecuado de protección mediante cláusulas contractuales, conforme el art. 12 de la Ley 25.326.

8. Medidas de seguridad

Control de acceso y aislamiento por Cliente, cifrado en tránsito y en reposo, backups periódicos y registro de accesos, conforme las medidas exigidas por la AAIP.

9. Notificación de incidentes

Ante un incidente que afecte datos personales, el Encargado notificará al Responsable sin demora injustificada desde que tome conocimiento, con la información disponible para que el Responsable cumpla sus deberes de notificación ante la AAIP y los titulares.

10. Vigencia

Rige mientras dure la relación contractual; subsisten tras su fin las obligaciones de confidencialidad y supresión.

11. Responsabilidad

Cada parte responde por sus propias obligaciones bajo la Ley 25.326. La limitación de responsabilidad de los T&C (cláusula 10) aplica a este DPA en lo pertinente.