Política de privacidad

1. Aviso en el momento de la recopilación (resumen)

Este resumen se proporciona en el momento de la recopilación o antes de ella, según lo exigen el Cal. Civ. Code § 1798.100(a) y el 11 CCR § 7012:

• Categorías que recopilamos: identificadores, registros de clientes, información de clasificación protegida, información comercial, actividad de internet y de red, geolocalización general, información personal sensible (datos de salud) e información profesional y de financiamiento (solo clientes Adaptive / SDP). Vea el §3 más adelante para el detalle.
• Fines: responder consultas, prestar servicios de entrenamiento, programar sesiones, procesar pagos, cumplir obligaciones legales y mejorar la seguridad. Vea el §4 más adelante.
• Conservación: cada categoría se conserva únicamente durante el tiempo necesario para su fin, con los máximos establecidos en el §9 más adelante.
• Venta o intercambio para publicidad conductual entre contextos: no vendemos su información personal ni la compartimos para publicidad conductual entre contextos. No hay nada de lo cual darse de baja.
• Información personal sensible: usamos la información personal sensible (sus datos de salud del PAR-Q) únicamente para los servicios que usted solicitó y para los fines adicionales que permite el 11 CCR § 7027(m), y nunca para inferir características sobre usted.

2. Quiénes somos

KinetiqAF es el nombre comercial de James Kennedy & Associates LLC, una sociedad de responsabilidad limitada de California que opera una práctica de acondicionamiento físico adaptado y entrenamiento personal en San Diego. El negocio es una práctica de un solo operador, propiedad de James Kennedy y dirigida por él.

Puede comunicarse con nosotros en:

• Correo electrónico: james@kinetiqaf.com
• Teléfono: 442-375-5090
• Dirección: San Diego, California

Somos el responsable del tratamiento de la información que recopilamos sobre usted.

3. Información que recopilamos

Recopilamos únicamente lo que necesitamos para operar nuestra práctica y prestar servicios de entrenamiento. Las categorías siguientes corresponden a las definidas en el California Civil Code § 1798.140.

No recopilamos:

• Números de cuenta bancaria, números completos de tarjeta de crédito ni números de seguro social (Stripe maneja los datos de pago directamente; nosotros nunca vemos el número de su tarjeta).
• Identificadores biométricos (huellas dactilares, huellas de voz, geometría facial).
• Ubicación GPS precisa.
• Información sobre sus afiliaciones políticas, creencias religiosas u orientación sexual.
• Información proveniente de cualquier corredor de datos externo.

4. Cómo usamos la información

Usamos la información que recopilamos únicamente para estos fines:

• Para responder consultas. Cuando usted envía el formulario de contacto en KinetiqAF.com, usamos su nombre, correo electrónico, teléfono y mensaje para responderle con una invitación a consulta o una referencia.
• Para diseñar e impartir el entrenamiento. Su PAR-Q, sus respuestas de admisión y sus registros de progreso nos permiten adaptar un programa seguro a sus metas y a su contexto médico.
• Para programar y confirmar sesiones. Recordatorios de calendario, confirmaciones de sesión y avisos de cambio de horario.
• Para procesar pagos y emitir facturas. Para clientes de pago particular, generamos facturas y aceptamos el pago mediante Stripe. Para clientes financiados por SDP / FMS, generamos la documentación que su proveedor FMS requiere para el reembolso.
• Para enviar comunicaciones relacionadas con el servicio. Mensajes de la cuenta, recordatorios de acuerdos, avisos de renovación del PAR-Q y actualizaciones de horario.
• Para cumplir obligaciones legales. Conservación de registros de los cuestionarios de salud y los acuerdos de servicio firmados, según lo exigen los estándares profesionales de California y el IRS para los registros del negocio.
• Para mejorar la seguridad. Revisión de notas de incidentes, reportes regulatorios para clientes adaptados cuando lo exige el §54327, y revisión interna de calidad.

No usamos su información para publicidad, perfilado, decisiones automatizadas ni ningún fin ajeno a la prestación de servicios de entrenamiento.

5. Cuándo compartimos información

Compartimos información únicamente en la medida necesaria para operar la práctica. No vendemos información ni la compartimos para publicidad conductual entre contextos. En concreto:

Firmamos Acuerdos de Tratamiento de Datos (o su equivalente) con nuestros proveedores de servicios. No les damos permiso para usar su información con fines propios.

5a. Subprocesadores de dispositivos vestibles

Si usted conecta un dispositivo vestible (un monitor de actividad, un reloj inteligente o un anillo de sueño) a su cuenta de KinetiqAF, el fabricante del dispositivo se convierte en subprocesador de sus datos de salud. Sus datos pasan por los sistemas del fabricante antes de llegar a los nuestros; del lado de ellos aplican sus propios términos de privacidad. La pantalla de consentimiento de primer uso en el Portal del Cliente cubre esto antes de que ocurra cualquier conexión.

La siguiente tabla enumera todos los proveedores de dispositivos vestibles con los que KinetiqAF puede conectarse. Cada fila está marcada como No activo hasta que la integración se habilita para la práctica; actualizamos esta tabla antes de activar cada proveedor, de modo que la lista pública siempre coincida con lo que realmente está en funcionamiento. Si usted conecta un dispositivo, la fila de ese proveedor aplica para usted; si no lo hace, no fluye ningún dato hacia ese proveedor por cuenta suya.

Puede desconectar cualquier dispositivo vestible en el momento que quiera desde el Portal del Cliente (Preferencias → Dispositivos conectados). Al desconectarlo dejan de fluir datos nuevos; los datos ya recibidos se conservan conforme al §8 más adelante y pueden eliminarse junto con el resto de sus datos usando Eliminar mis datos en Privacidad y datos.

6. Información de salud

Recopilamos información de salud mediante el Cuestionario de Aptitud para la Actividad Física (PAR-Q) y los formularios de admisión, porque una práctica de acondicionamiento físico que no conoce su historial médico no puede mantenerlo seguro.

No somos una entidad cubierta por HIPAA: somos un negocio de entrenamiento personal, no un proveedor de atención médica, y no facturamos servicios médicos a los seguros. HIPAA no aplica para nosotros. Por lo sensible de la información, aplicamos de forma voluntaria salvaguardas sólidas para protegerla:

• La información de salud se almacena únicamente en nuestra base de datos de Supabase, cifrada en tránsito (TLS) y en reposo.
• El acceso está restringido mediante seguridad a nivel de fila a su entrenador y al dueño de la práctica.
• No hablamos de su información de salud con nadie fuera de la práctica, salvo que usted lo autorice, que la ley lo exija o que sea necesario para atender una emergencia.
• Puede descargar su PAR-Q completo en cualquier momento desde el Portal del Cliente (Documentos → PAR-Q → Descargar).
• Puede solicitar la eliminación de su información de salud en cualquier momento, sujeto a los requisitos de conservación de registros del §8 más adelante.

Si no se siente cómodo revelando ciertas condiciones médicas, preferimos saber que hay un vacío antes que tener información incompleta: díganoslo y trabajaremos con usted para diseñar el programa tomándolo en cuenta.

7. Niñas, niños y menores de edad

Trabajamos con clientes de todas las edades, incluidos menores de edad. Cuando el cliente es menor de edad:

• Uno de los padres, el tutor legal o un representante autorizado debe llenar el PAR-Q y firmar el acuerdo de servicio en nombre del menor.
• La cuenta del Portal del Cliente del menor, si la hay, la opera el padre, la madre o el tutor hasta que el cliente cumple 18 años.
• No recopilamos a sabiendas información personal directamente de ningún menor de 13 años sin el consentimiento verificable de uno de sus padres (COPPA).
• Los padres y tutores pueden revisar, solicitar cambios o eliminar la información de un menor en cualquier momento comunicándose con nosotros.

8. Cómo almacenamos y protegemos la información

Nuestras medidas de seguridad:

• Cifrado en tránsito: todas las conexiones a KinetiqAF.com y al Portal del Cliente usan HTTPS (TLS 1.2 o superior). Nuestras conexiones de base de datos con Supabase usan TLS.
• Cifrado en reposo: Supabase cifra los datos en reposo con AES-256.
• Controles de acceso: la autenticación usa Supabase Auth. El acceso a la base de datos está limitado por políticas de seguridad a nivel de fila: el entrenador solo ve a sus propios clientes y los clientes solo ven sus propios datos.
• Rastro de auditoría: los acuerdos firmados registran la dirección IP de la firma y una marca de tiempo, conforme a la California UETA § 1633.7, como registro legal.
• Seguridad de la cuenta: usted es responsable de mantener confidencial su contraseña del Portal del Cliente. Avísenos de inmediato si cree que alguien accedió a su cuenta sin su permiso.
• Respaldos: Supabase realiza respaldos automáticos. Los respaldos están cifrados y con acceso controlado.

Ningún sistema es perfectamente seguro. Si detectamos una violación de seguridad de información personal no cifrada, notificaremos a los residentes de California afectados «en el menor tiempo posible y sin demora injustificada», como lo exige el Cal. Civ. Code § 1798.82, y notificaremos al Fiscal General de California si la violación afecta a más de 500 residentes de California. El aviso describirá las categorías de información involucradas, la fecha o la fecha estimada de la violación y las medidas que hayamos tomado o que le recomendemos tomar en respuesta.

9. Cuánto tiempo conservamos la información

Conservamos las distintas categorías de información por periodos distintos, según los fines para los que la recopilamos:

• Envíos del formulario de contacto (prospectos que no llegaron a ser clientes): 18 meses desde el envío y después se eliminan.
• Datos de la cuenta de un cliente activo: mientras usted sea cliente activo, más los periodos indicados abajo una vez terminada nuestra relación.
• Acuerdos de servicio firmados y PAR-Q firmados: 7 años después de que termina el acuerdo (estándar de conservación de registros profesionales de California).
• Facturas y registros de pago: 7 años (California Revenue and Taxation Code y requisitos de registros del IRS).
• Notas de sesión y registros de progreso: 5 años después de su última sesión y después se eliminan.
• Mensajes intercambiados a través del Portal del Cliente: 3 años después de su última sesión y después se eliminan.
• Analítica web y registros del servidor: 90 días y después se purgan automáticamente.
• Todo lo sujeto a una retención legal o a una disputa activa: se conserva hasta que el asunto se resuelve y después se elimina conforme al calendario anterior.

Puede solicitar una eliminación anticipada en cualquier momento; vea sus derechos más adelante. Tome en cuenta que los registros legales firmados (acuerdos, PAR-Q) pueden conservarse incluso después de una solicitud de eliminación, en la medida necesaria para defender una acción legal, cumplir con la ley fiscal o satisfacer una obligación de conservación de registros.

10. Sus derechos de privacidad

Si usted es residente de California, tiene los siguientes derechos conforme a la CCPA / CPRA:

• Derecho a saber. Puede preguntarnos qué información personal tenemos sobre usted, de dónde provino, cómo la usamos y con quién la compartimos, con un alcance de por lo menos los 12 meses anteriores.
• Derecho de acceso. Puede solicitar una copia de la información que tenemos sobre usted, en un formato portable.
• Derecho de corrección. Si algo de lo que tenemos está mal, puede pedirnos que lo corrijamos.
• Derecho de eliminación. Puede pedirnos que eliminemos información, sujeto a las obligaciones de conservación de registros descritas en el §8 anterior.
• Derecho a limitar el uso de la información personal sensible. Puede pedirnos que usemos su información de salud únicamente para los servicios que solicitó de forma específica. Como así es como ya la usamos, en la práctica este derecho pocas veces cambia algo, pero aun así puede ejercerlo.
• Derecho a oponerse a la venta o al intercambio. No vendemos ni compartimos su información para publicidad conductual entre contextos. No hay una baja que ejercer porque no hay nada de lo cual darse de baja.
• Derecho a la no discriminación. No le negaremos servicios, no le cobraremos un precio distinto ni le daremos un nivel de servicio diferente por haber ejercido cualquiera de estos derechos.
• Derecho a la portabilidad de los datos. Cuando sea técnicamente factible, le entregaremos su información en un formato estructurado, de uso común y legible por máquina.
• Derecho «Shine the Light» (Cal. Civ. Code § 1798.83). Los residentes de California pueden solicitar, una vez por año calendario y sin costo, una lista de cualquier información personal que hayamos divulgado a terceros para los fines de mercadotecnia directa de esos terceros durante el año calendario anterior. No compartimos información personal para fines de mercadotecnia directa de terceros, por lo que esa lista estaría vacía, pero de todos modos puede enviar una solicitud para confirmarlo.

Cómo hacer una solicitud

Envíe cualquier solicitud de privacidad por correo electrónico a james@kinetiqaf.com con el asunto «Privacy request». Verificaremos su identidad confirmando que el correo electrónico coincide con uno que ya tenemos en el expediente, o haciéndole una pregunta que solo el titular de la cuenta podría responder.

Responderemos en un plazo de 45 días, como lo exige el Cal. Civ. Code § 1798.130(a)(2). Si necesitamos 45 días adicionales (lo cual permite la ley), se lo avisaremos dentro de los primeros 45 días y le explicaremos por qué.

Un agente autorizado puede presentar una solicitud en su nombre. Exigiremos una prueba de que usted lo autorizó (basta una carta firmada) y aun así podríamos pedirle que confirme directamente.

11. Comunicaciones y cancelación de suscripción

Enviamos tres tipos de correos electrónicos o mensajes de texto, y usted tiene derecho a controlar cada uno:

• Mensajes de servicio: confirmaciones de sesión, cambios de horario, avisos de facturas, restablecimientos de contraseña y alertas de seguridad de la cuenta. Son necesarios para prestar el servicio que usted contrató. No son mercadotecnia conforme a la ley CAN-SPAM y los seguiremos enviando mientras usted sea cliente activo. Si no desea recibir mensajes de servicio, la única opción es cerrar su cuenta.
• Respuestas automáticas transaccionales: el único correo de confirmación que se envía cuando usted manda el formulario de contacto. No puede darse de baja de ese único mensaje porque confirma la recepción de su consulta, pero no le enviaremos nada más a partir de ese envío a menos que usted responda o se vuelva cliente.
• Mensajes de mercadotecnia o promocionales: por ahora no enviamos ninguno. Si algún día lo hacemos, cada mensaje incluirá un enlace de baja con un solo clic, como lo exige la ley CAN-SPAM (15 U.S.C. § 7704), y cualquier mercadotecnia por SMS respetaría las respuestas STOP, END, CANCEL, UNSUBSCRIBE, QUIT u OPT-OUT, como lo exigen la Telephone Consumer Protection Act (47 U.S.C. § 227) y los lineamientos de la CTIA.

También puede escribir a james@kinetiqaf.com en cualquier momento para actualizar sus preferencias de comunicación.

12. Cookies, rastreo y Global Privacy Control

KinetiqAF.com usa el mínimo de cookies necesarias para que el sitio funcione. En concreto:

• Cookies de sesión para el inicio de sesión del Portal del Cliente, establecidas por Supabase Auth. Se eliminan cuando usted cierra la sesión.
• Almacenamiento local en su navegador para recordar sus preferencias del portal (idioma, interruptor del modo de accesibilidad, estado de la barra lateral).

No usamos:

• Cookies de publicidad o de rastreo.
• Píxeles de rastreo de redes sociales.
• Analítica entre sitios como Google Analytics.
• Servicios de mapas de calor, repetición de sesión o analítica conductual.

Como no lo rastreamos, no hay un enlace de «No vender ni compartir mi información personal» en nuestro sitio: no hay nada de lo cual darse de baja.

Global Privacy Control (GPC) y Do Not Track (DNT). Nuestro sitio no vende ni comparte información personal para publicidad conductual entre contextos, así que no hay una señal de baja que respetar. Aun así, si su navegador envía una señal GPC (conforme al 11 CCR § 7025) o un encabezado DNT heredado, seguiremos absteniéndonos de cualquier venta o intercambio de ese tipo: la señal GPC nunca hará que aumentemos la recopilación de datos ni será ignorada.

Datos agregados y desidentificados. Podemos generar estadísticas agregadas o desidentificadas (por ejemplo, el número total de sesiones impartidas en un mes) para planeación interna. Una vez que los datos se agregan o desidentifican conforme a la CCPA § 1798.140(h) e (m), dejan de ser «información personal» y no quedan cubiertos por esta Política de privacidad. No intentaremos reidentificarlos y exigiremos por contrato que ningún destinatario intente reidentificarlos.

13. Decisiones automatizadas y perfilado

No usamos tecnología de decisiones automatizadas (ADMT), según la define el reglamento de la CPRA (11 CCR § 7200 y siguientes), para tomar decisiones sobre usted. No hacemos perfilado ni lo puntuamos, clasificamos, ordenamos ni evaluamos mediante software. Cada decisión sobre su programa de entrenamiento, su horario o su elegibilidad para el servicio la toma una persona (James Kennedy) a partir de una conversación directa con usted. Como no usamos ADMT, los derechos relacionados de acceso y de oposición a la ADMT no surgen en nuestra práctica.

14. Accesibilidad de esta política

Queremos que esta Política de privacidad sea comprensible para todas las personas a las que atendemos, incluidos los clientes con discapacidades cognitivas, con baja visión o con dominio limitado del inglés. Si alguna parte de esta política no le queda clara, puede comunicarse con nosotros y se la explicaremos en palabras sencillas, se la leeremos en voz alta, la traduciremos o se la entregaremos en letra más grande o en un formato alternativo, sin costo. El sitio está diseñado para cumplir con el nivel AA de las WCAG 2.1 en la medida en que sea razonablemente alcanzable para el sitio web de un negocio pequeño, y el Portal del Cliente incluye un modo de accesibilidad dedicado.

15. Residentes de otros estados de EE. UU.

Esta política está redactada principalmente para residentes de California. Atendemos clientes únicamente en el condado de San Diego, California, así que casi todos los titulares de los datos son residentes de California. Si usted reside en otro estado de EE. UU. con una ley integral de privacidad (por ejemplo, Colorado, Connecticut, Virginia, Utah, Texas, Oregón o Montana) e interactúa con nosotros, respetaremos los derechos equivalentes que le otorgue la ley de ese estado (acceso, corrección, eliminación, portabilidad, oposición a la venta o a la publicidad dirigida y oposición al perfilado). Envíe cualquier solicitud de ese tipo usando los datos de contacto del §18 y la trataremos como una solicitud de privacidad conforme a la ley de su estado.

16. Usuarios internacionales

KinetiqAF.com se opera desde California, Estados Unidos. Nuestros servicios están dirigidos a residentes de California. Si usted accede a nuestro sitio desde fuera de Estados Unidos, entiende que su información se tratará en Estados Unidos, que puede tener leyes de protección de datos distintas a las de su jurisdicción. Desde este sitio web no ofrecemos servicios a residentes del Espacio Económico Europeo ni del Reino Unido.

17. Cambios a esta política

Actualizamos esta Política de privacidad conforme cambian nuestras prácticas o cuando la ley lo exige. La fecha de «Última actualización» en la parte superior de esta página le indica cuándo hicimos el último cambio de fondo. Avisaremos por correo electrónico a los usuarios activos del Portal del Cliente sobre los cambios importantes por lo menos 30 días antes de que entren en vigor.

Conservamos en archivo las versiones anteriores de esta Política de privacidad. Puede solicitar una copia de cualquier versión anterior en el momento que quiera.

18. Cómo comunicarse con nosotros