Seguridad y protección de datos

Cómo protegemos los datos de tu centro

• Cifrado en tránsito

  Todo lo que viaja entre tu navegador o la app y nuestros servidores va cifrado con TLS (HTTPS). Además, enviamos la cabecera HSTS, que obliga al navegador a usar siempre HTTPS con nosotros durante un año.

• Cifrado de los datos sensibles

  Los datos de categoría especial de las fichas regulatorias de salud (como pertenencia étnica, identidad de género, discapacidad o aseguradora de salud) se guardan cifrados. Las credenciales de las pasarelas de pago y de las integraciones de cada sede también se guardan cifradas, y las claves privadas de los certificados llevan una contraseña reforzada con un secreto del servidor que no está en la base de datos.

• Cada gimnasio, aislado de los demás

  Cada persona trabaja con un perfil ligado a una empresa y a una sede, y los permisos y las consultas se limitan a ese ámbito. Un centro no ve los datos de otro, y dentro de un centro cada rol solo ve lo que su sede le permite.

• Copias de seguridad cifradas y comprobadas

  Hacemos una copia diaria de las bases de datos. Cada copia se cifra (AES-256) antes de salir del servidor y se guarda en almacenamiento cifrado; las copias se conservan 15 días. Para saber que sirven de verdad, tenemos una prueba de restauración que levanta una copia en un entorno aparte y comprueba que los datos están dentro.

• Códigos QR de acceso de un solo uso

  El QR que el socio enseña en el torno se genera al azar, es de un solo uso y se renueva en cuanto abre una puerta. Si no se usa, caduca a las 24 horas y se sustituye por otro. No hay una clave fija que se pueda copiar o reenviar.

• Registro de auditoría

  Las acciones relevantes quedan registradas con quién las hizo y desde qué canal (panel, app o asistente), para poder revisar qué pasó y cuándo.

Protección de las cuentas

• Contraseñas

  Las contraseñas nuevas deben tener al menos 8 caracteres (y como máximo 72). Nunca se guardan en claro.

• Freno a los intentos de acceso

  Si alguien falla la contraseña repetidamente, el acceso se bloquea durante un tiempo. El bloqueo se levanta solo y no deja la cuenta inutilizada.

• Verificación en dos pasos (2FA)

  Disponible con cualquier app de códigos (Google Authenticator, Authy y similares), con códigos de recuperación por si pierdes el móvil. Es obligatoria para los administradores de la plataforma y para el equipo de las sedes que decidan exigirla; el que la activa por su cuenta ya no puede saltársela al entrar. Si marcas un dispositivo como de confianza, no se te vuelve a pedir durante 7 días.

• Caducidad de la sesión

  Las sesiones del panel caducan a los 7 días y hay que volver a entrar. Puedes ver y cerrar tus sesiones activas.

Dónde viven los datos

Los servidores y las bases de datos de la plataforma están en Amazon Web Services, en un centro de datos de España (Unión Europea). El asistente LAIA funciona con modelos de IA ejecutados en servidores de la Unión Europea. Más detalle sobre el tratamiento de datos en la política de privacidad.

Proveedores que tratan datos (subencargados)

Estos son los proveedores que tratan datos de tu centro para que el servicio funcione. Solo usan los datos siguiendo nuestras instrucciones.

Si el centro activa integraciones con otros servicios (básculas de bioimpedancia, software de gestión), los datos se comparten con ellos porque el centro lo decide. Cuando un proveedor está fuera del Espacio Económico Europeo, la transferencia se ampara en el Marco de Privacidad de Datos UE-EE. UU. o en las cláusulas contractuales tipo de la Comisión Europea.

Contrato de encargado del tratamiento (DPA)

Si tu centro necesita firmar un contrato de encargado del tratamiento con nosotros, te lo enviamos cuando lo pidas escribiendo a info@fitmewise.com.

Política de divulgación de vulnerabilidades

Si crees que has encontrado un fallo de seguridad en Fitmewise, queremos saberlo. Gracias por avisarnos de forma responsable.

Cómo informar

Escríbenos a info@fitmewise.com. Los datos de contacto también están en /.well-known/security.txt.

Qué incluir en el aviso

• Qué has encontrado y dónde (dirección web, pantalla o endpoint).
• Los pasos para reproducirlo, con una prueba de concepto si la tienes.
• Qué impacto crees que tiene y qué datos podrían verse afectados.
• Tu contacto, por si necesitamos más información (puedes escribir de forma anónima, pero así no podremos responderte).

Qué está dentro del alcance

• fitmewise.com
• el Dashboard (el panel de gestión del centro)
• la API de Fitmewise
• las apps móviles de Fitmewise y las de cada centro

Qué queda fuera

• Ataques de denegación de servicio (DoS/DDoS) o pruebas de carga.
• Ingeniería social contra el personal, los centros o los socios (phishing, llamadas, etc.).
• Ataques físicos contra oficinas, equipos o instalaciones.
• Envío de spam o de mensajes masivos a través de nuestros formularios o canales.

Buena fe

Si actúas de buena fe, no accedes a más datos de los necesarios para demostrar el fallo, no los modificas ni los destruyes, no afectas al servicio y nos das un plazo razonable para corregirlo antes de hacerlo público, no emprenderemos acciones legales contra ti por esa investigación.

Plazos de respuesta

Acusamos recibo en un máximo de 5 días laborables y te mantenemos informado de cómo avanza la corrección.

Recompensas

No tenemos un programa de recompensas económicas (bug bounty): no pagamos por los avisos, aunque te agradecemos mucho el esfuerzo.