# Política de Privacidad

**Última actualización:** 27 de mayo de 2026 · **Versión:** 2.0

Esta Política explica cómo Alpha Fitness recopila, utiliza, almacena y protege los datos personales de sus usuarios, conforme a la **Ley N.º 18.331 de Protección de Datos Personales y Habeas Data**, su Decreto reglamentario 414/009, las resoluciones de la **URCDP** y, como buena práctica, alineada al **Reglamento (UE) 2016/679 (GDPR)** y al **UK GDPR / Data Protection Act 2018**.

## 1. Responsable del tratamiento

| Dato | Valor |
|------|-------|
| Responsable | Alpha Fitness — [Razón social — completar] |
| Domicilio | [Domicilio fiscal — completar], Uruguay |
| Email DPO | dpo@alphafitness.com |
| Autoridad de control (UY) | URCDP (https://www.gub.uy/unidad-reguladora-control-datos-personales) |

## 2. Datos que recopilamos

### 2.1 Datos que el Usuario nos proporciona
- **Identificación**: nombre, apellido, documento (CI), fecha de nacimiento (verificación de mayoría de edad).
- **Contacto**: email, teléfono, dirección postal.
- **Cuenta**: contraseña en formato cifrado (hash), preguntas de recuperación.
- **Compras**: historial de pedidos, productos, montos, métodos de pago elegidos.
- **Preferencias**: favoritos, lista de deseos, suplementación habitual, objetivos declarados.
- **Comunicaciones**: contenido de mensajes, reseñas, fotos enviadas a soporte.

### 2.2 Datos recopilados automáticamente
- **Técnicos**: dirección IP, identificador de dispositivo, navegador, sistema operativo, idioma.
- **Navegación**: páginas visitadas, productos vistos, tiempo de permanencia, eventos de clic.
- **Cookies y tecnologías similares**: detalle en la [Política de Cookies](./cookies.md).

### 2.3 Datos recibidos de terceros
- Datos de **Mercado Pago u otros procesadores de pago** (estado de transacción, ID de operación). **No recibimos el número de tarjeta completo.**
- Datos de **proveedores de envío** (estado del despacho, evidencia de entrega).
- Datos de **autenticación social** si el Usuario inicia sesión con Google u otros (correo, nombre, avatar).

### 2.4 Datos que NO recopilamos
- Datos **biométricos**, datos de **salud específicos** o de afiliación sindical/política/religiosa.
- Datos completos de **tarjetas de crédito o débito** (van directos al procesador certificado PCI-DSS).

## 3. Finalidades y bases legales del tratamiento

| Finalidad | Base legal (Ley 18.331 / GDPR) |
|-----------|-------------------------------|
| Procesar y gestionar pedidos | Ejecución del contrato (art. 9 lit. c Ley 18.331 / art. 6(1)(b) GDPR) |
| Gestionar la cuenta de usuario | Ejecución del contrato |
| Atención al cliente y reclamos | Ejecución del contrato + interés legítimo |
| Facturación y obligaciones fiscales | Obligación legal (DGI, BPS) |
| Prevención de fraude y seguridad | Interés legítimo + obligación legal |
| Marketing personalizado (email, push, SMS) | **Consentimiento previo, libre, expreso e informado** (art. 9 lit. b Ley 18.331 / art. 6(1)(a) GDPR) |
| Cookies de analítica y publicidad | Consentimiento (ver Política de Cookies) |
| Mejora del producto y estadística agregada | Interés legítimo (datos anonimizados) |
| Cumplimiento de requerimientos judiciales | Obligación legal |

## 4. Destinatarios y cesiones

Los datos pueden ser compartidos exclusivamente con:
- **Procesadores de pago** (Mercado Pago, redes de tarjetas) — para procesar transacciones.
- **Operadores logísticos** — para entregar pedidos.
- **Proveedores de infraestructura tecnológica** (Google / Firebase, Netlify u otros) — bajo acuerdos de tratamiento de datos.
- **Servicios de email transaccional y push** (EmailJS, Firebase Cloud Messaging) — bajo acuerdo de procesamiento.
- **Asesores contables, fiscales y legales** — bajo obligación de confidencialidad.
- **Autoridades** cuando exista requerimiento legal fundado.

**No vendemos ni alquilamos datos personales a terceros con fines de marketing.**

## 5. Transferencias internacionales

Alguno de los proveedores anteriores procesa datos fuera de Uruguay (UE, EE.UU., Brasil, Reino Unido). En esos casos garantizamos un **nivel adecuado de protección** mediante:
- el reconocimiento de adecuación de la URCDP cuando corresponda;
- cláusulas contractuales tipo (Standard Contractual Clauses) o equivalentes;
- mecanismos de certificación reconocidos (p. ej. ISO 27001, SOC 2);
- el principio de minimización de datos enviados.

## 6. Plazos de conservación

| Categoría | Plazo |
|-----------|-------|
| Cuenta activa | Mientras la cuenta esté activa |
| Datos contractuales (pedidos, facturas) | 10 años (obligaciones fiscales — Código Tributario) |
| Datos de marketing | Hasta que el Usuario retire su consentimiento |
| Datos de navegación / cookies | Según se detalla en la [Política de Cookies](./cookies.md) |
| Datos de reseñas y CGU | Mientras esté publicado el contenido |
| Datos de soporte/reclamos | 5 años desde el cierre del caso |
| Bases de datos anonimizadas | Indefinido (no son datos personales) |

Vencidos los plazos, los datos son anonimizados o eliminados de forma segura.

## 7. Derechos del titular (ARCO + portabilidad + oposición)

Conforme a la Ley 18.331 (arts. 13-17) y al GDPR (arts. 15-22), el Usuario puede ejercer en cualquier momento los siguientes derechos:

- **Acceso** — saber qué datos tenemos sobre él.
- **Rectificación** — corregir datos inexactos o desactualizados.
- **Cancelación / Supresión** — solicitar la eliminación cuando ya no sean necesarios.
- **Oposición** — oponerse al tratamiento por motivos legítimos.
- **Portabilidad** — recibir sus datos en formato estructurado y legible.
- **Limitación del tratamiento** (estándar GDPR).
- **Retiro del consentimiento** en cualquier momento, sin afectar tratamientos previos.
- **No ser objeto de decisiones automatizadas** con efectos jurídicos significativos.

### Cómo ejercer los derechos
Enviar solicitud a **dpo@alphafitness.com** con copia de documento de identidad o acreditación equivalente. Se responderá en un **plazo máximo de 5 días hábiles** (art. 14 Ley 18.331). Si la solicitud requiere medidas técnicas adicionales el plazo podrá extenderse, informando previamente.

### Reclamo ante la autoridad
El Usuario puede presentar reclamo ante la **URCDP** si considera que sus derechos no fueron debidamente atendidos (https://www.gub.uy/unidad-reguladora-control-datos-personales/comunicacion/publicaciones/denunciar).

## 8. Seguridad de la información

Aplicamos **medidas técnicas y organizativas razonables** acordes al estado del arte y al volumen y sensibilidad de los datos:

- Cifrado en tránsito (HTTPS/TLS 1.2+).
- Cifrado en reposo donde lo permita la plataforma (Firestore, copias de respaldo).
- Hash robusto de contraseñas (no almacenamos contraseñas en texto plano).
- Reglas de acceso por rol y mínimo privilegio (Firestore Security Rules).
- Registro de eventos (logs) para auditoría.
- Política de contraseñas (longitud, complejidad, expiración).
- Autenticación de doble factor disponible (recomendada).
- Verificación de email obligatoria antes del checkout.
- Protección contra ataques comunes (XSS, CSRF, rate limiting, sanitización de inputs).
- Backups periódicos y plan de recuperación.

Ningún sistema es 100 % impenetrable. Si se produjera una brecha de seguridad que afecte sus datos, se notificará al Usuario y a la URCDP conforme al protocolo aplicable (art. 19 Decreto 414/009 + buenas prácticas GDPR — 72 hs).

## 9. Datos de menores

El servicio está dirigido exclusivamente a **mayores de 18 años**. No recopilamos a sabiendas datos de menores. Si se detecta un registro de un menor, se eliminará y se notificará a los padres o representantes legales cuando sea posible.

## 10. Cookies

El uso de cookies se rige por la [Política de Cookies](./cookies.md), con consentimiento granular configurable desde el banner.

## 11. Cambios en esta Política

Las modificaciones se publicarán con su fecha de entrada en vigor. Si son sustanciales se notificará al Usuario por email o aviso destacado con al menos 15 días de antelación. La versión vigente está siempre disponible en el sitio.

## 12. Contacto

- **DPO / Habeas Data:** dpo@alphafitness.com
- **Soporte:** hola@alphafitness.com
- **Autoridad de control:** URCDP
</content>