Acuerdo de Tratamiento de Datos Personales (DPA)

Entre Genkara Fit (Encargado) y el Establecimiento cliente (Responsable)

Versión: 1.0 · Última actualización: [[FECHA]]

Para qué sirve este documento y por qué es el más importante para vos.

Los datos más delicados de la plataforma —peso, grasa corporal, fotos de progreso, dietas, aptos médicos— los carga el gimnasio, no vos. Sin este acuerdo firmado, si un gimnasio carga la foto de progreso de una socia menor de edad sin autorización de los padres, el reclamo llega a la plataforma. Con este acuerdo firmado, la obligación de recabar el consentimiento queda documentada en cabeza de quien efectivamente decide qué cargar.

Hacelo parte obligatoria del alta de todo establecimiento: aceptación registrada con fecha, versión, IP y usuario que acepta, igual que los Términos de los usuarios finales.

1. Partes y definiciones

Encargado del tratamiento: [[RAZÓN SOCIAL COMPLETA]], CUIT [[CUIT]], domicilio [[DOMICILIO LEGAL]] ("Genkara Fit").

Responsable del tratamiento: el establecimiento deportivo que contrata el servicio, identificado en el alta de su cuenta ("el Establecimiento").

Datos Personales: la información relativa a personas humanas identificadas o identificables que el Establecimiento carga o genera en la plataforma.

Titulares: los socios, entrenadores y personal del Establecimiento.

Normativa aplicable: Ley 25.326 de Protección de los Datos Personales, su Decreto reglamentario 1558/2001, las resoluciones y disposiciones de la Agencia de Acceso a la Información Pública (AAIP), y toda norma que las sustituya.

2. Objeto y rol de cada parte

1. El Establecimiento es el Responsable de los Datos Personales de sus socios y de su personal. Determina las finalidades, los medios y el alcance del tratamiento.
2. Genkara Fit es el Encargado: trata los Datos Personales por cuenta y orden del Establecimiento, exclusivamente para prestar el servicio contratado y conforme a las instrucciones documentadas del Establecimiento y a este Acuerdo.
3. Genkara Fit no es Responsable de los Datos Personales de los socios y del personal del Establecimiento, y no los utiliza para finalidades propias distintas de la prestación, el soporte, la seguridad y el mantenimiento del servicio.
4. Genkara Fit sí es Responsable de: los datos de la cuenta del administrador del Establecimiento, la facturación de la suscripción, los registros técnicos de seguridad y las comunicaciones de soporte.

3. Alcance del tratamiento

4. Obligaciones del Establecimiento (Responsable)

El Establecimiento declara y garantiza que:

1. Tiene base legal para cada dato que carga. En particular, cuenta con el consentimiento libre, expreso e informado de cada Titular para el tratamiento de sus datos, y con el consentimiento expreso y por escrito exigido por el art. 7 de la Ley 25.326 para los datos de salud (mediciones, fotografías corporales, planes de alimentación, aptos médicos).
2. Informa a los Titulares, antes o al momento de recabar sus datos, de las finalidades, los destinatarios, la existencia de la plataforma como encargado, y los derechos de acceso, rectificación y supresión, conforme el art. 6 de la Ley 25.326.
3. Cuando el Titular es menor de edad, obtiene y conserva la autorización de su madre, padre o representante legal, antes del alta y antes de cargar mediciones, fotografías o datos de salud. Se obliga a no dar de alta menores de 13 años.
4. No carga datos que no necesita. Se compromete al principio de minimización: no usar los campos de notas libres, de mensajería ni de documentos para almacenar diagnósticos médicos, historia clínica, datos biométricos, datos de tarjetas de crédito, ni datos de afiliación sindical, religiosa, política o de origen racial.
5. Administra correctamente los permisos de su equipo: otorga a cada sub-administrador y entrenador únicamente el acceso necesario para su función, y revoca los accesos del personal que se desvincula.
6. Es responsable de los actos de su personal dentro de la plataforma, incluido el uso indebido de datos de socios.
7. Cumple sus propias obligaciones registrales ante la AAIP respecto de sus bases de datos, cuando corresponda.
8. Atiende en primera instancia los reclamos de acceso, rectificación y supresión de sus socios y personal, y responde dentro de los plazos legales.
9. Es el único responsable de la exactitud, pertinencia y licitud del contenido profesional que carga: rutinas, planes de alimentación, cargas de entrenamiento e indicaciones. Garantiza que ese contenido lo elabora o supervisa personal con la habilitación profesional que la normativa exija para cada actividad — en particular, que los planes de alimentación son elaborados o supervisados por profesionales habilitados en nutrición.

El Establecimiento mantiene indemne a Genkara Fit frente a reclamos de Titulares, de terceros o de autoridades derivados del incumplimiento de esta cláusula 4.

5. Obligaciones de Genkara Fit (Encargado)

Genkara Fit se obliga a:

1. Tratar los Datos Personales solo conforme a las instrucciones del Establecimiento y a lo necesario para prestar el servicio.
2. No cederlos, venderlos, alquilarlos ni comunicarlos a terceros distintos de los subencargados de la cláusula 7, salvo requerimiento legal fundado.
3. No usarlos con fines propios, publicitarios, de perfilamiento comercial, ni para entrenar modelos de inteligencia artificial.
4. Mantener la confidencialidad de forma indefinida, incluso después de terminada la relación, y obligar en los mismos términos a su personal.
5. Aplicar las medidas de seguridad de la cláusula 6.
6. Garantizar el aislamiento de los datos entre establecimientos: ningún establecimiento puede acceder a datos de otro.
7. Asistir al Establecimiento en la atención de solicitudes de acceso, rectificación y supresión que no pueda resolver por sí mismo desde el panel, y en la respuesta a requerimientos de la autoridad de control.
8. Notificar todo incidente de seguridad que afecte Datos Personales del Establecimiento sin dilación indebida y en todo caso dentro de [[48/72]] horas de haberlo detectado, con la información disponible sobre naturaleza, alcance, datos afectados y medidas adoptadas.
9. Poner a disposición la información razonablemente necesaria para acreditar el cumplimiento de este Acuerdo.
10. Devolver o suprimir los Datos Personales al terminar la relación, conforme la cláusula 11.

6. Medidas de seguridad

Genkara Fit implementa, como mínimo:

• Contraseñas resguardadas con función de hash de un solo sentido.
• Cifrado en tránsito (TLS) en todas las comunicaciones.
• Cifrado de los secretos de las credenciales de acceso QR/PIN.
• Autenticación por tokens de vida corta, revocables del lado del servidor.
• Control de acceso por rol y permiso, con registro de auditoría de los cambios de permisos.
• Aislamiento lógico de datos por establecimiento, verificado por pruebas automatizadas.
• Límites de tasa de solicitudes y registro de intentos de acceso fallidos.
• Consultas parametrizadas y saneamiento de entradas.
• Copias de respaldo periódicas de la base de datos.
• Bloqueo automático de acceso ante suscripción vencida, suspendida o cancelada.

Genkara Fit puede actualizar estas medidas, siempre que el nivel de protección no disminuya.

7. Subencargados autorizados

El Establecimiento autoriza expresamente a Genkara Fit a recurrir a los siguientes subencargados, con obligaciones de confidencialidad y seguridad equivalentes a las de este Acuerdo:

Genkara Fit notificará con [[30]] días de antelación la incorporación o el reemplazo de un subencargado. El Establecimiento podrá oponerse por motivos fundados de protección de datos; si la oposición hace imposible la prestación, cualquiera de las partes podrá terminar la suscripción sin penalidad, con reembolso proporcional del período no utilizado.

8. Transferencias internacionales

Algunos subencargados están fuera de la Argentina. Genkara Fit garantiza que esas transferencias se realizan conforme al art. 12 de la Ley 25.326, mediante cláusulas contractuales de protección de datos o destinos con nivel de protección adecuado según la AAIP.

9. Derechos de los Titulares

1. El Establecimiento atiende en primera instancia las solicitudes de sus socios y personal, y cuenta en el panel con las herramientas para consultar, rectificar y dar de baja datos.
2. Si un Titular se dirige directamente a Genkara Fit, Genkara Fit derivará la solicitud al Establecimiento dentro de 5 días hábiles y le asistirá en su respuesta, salvo que la solicitud recaiga sobre datos de los que Genkara Fit sea Responsable.
3. Ninguna de las partes puede demorar la respuesta más allá de los plazos legales: 10 días corridos para el acceso y 5 días hábiles para la rectificación o supresión.

10. Auditoría

Con [[15]] días de aviso previo, y a su costo, el Establecimiento podrá solicitar a Genkara Fit información documentada sobre las medidas de seguridad aplicadas, en un formato que no comprometa la seguridad ni la confidencialidad de otros establecimientos. No procede el acceso directo a infraestructura ni a datos de terceros establecimientos.

11. Terminación, devolución y supresión

1. Al terminar la suscripción, el Establecimiento puede solicitar la exportación de sus datos en formato legible dentro de [[30]] días desde la baja.
2. Vencido ese plazo, Genkara Fit suprimirá o anonimizará los Datos Personales del Establecimiento dentro de [[N]] días, salvo aquellos que deba conservar por obligación legal propia (por ejemplo, comprobantes de la suscripción por el plazo fiscal).
3. Las copias de respaldo se depuran conforme al ciclo de rotación, que no excede [[N]] días.
4. Los deberes de confidencialidad subsisten indefinidamente.

12. Responsabilidad

1. Cada parte responde por el incumplimiento de sus propias obligaciones bajo este Acuerdo y bajo la normativa aplicable.
2. Genkara Fit no responde por la ilicitud del tratamiento decidido por el Establecimiento, por la falta de consentimiento de los Titulares, por la inexactitud de los datos cargados, por el contenido profesional de rutinas y planes de alimentación, ni por el uso indebido de la plataforma por parte del personal del Establecimiento.
3. La responsabilidad total de Genkara Fit bajo este Acuerdo se limita a [[el monto abonado por el Establecimiento en los últimos 12 meses]], salvo dolo, culpa grave, o los supuestos en que la ley no admita limitación.

13. Vigencia, orden de prelación y jurisdicción

1. Este Acuerdo entra en vigor con la aceptación del Establecimiento y rige mientras exista tratamiento de Datos Personales por cuenta de este.
2. En caso de contradicción, prevalece este Acuerdo sobre los Términos y Condiciones generales, en materia de protección de datos personales.
3. Se rige por las leyes de la República Argentina, con competencia de los tribunales ordinarios de [[CIUDAD / JURISDICCIÓN]].

Aceptación registrada electrónicamente