Art. 28 RGPD · Última actualización: 15/11/2026
Este acuerdo regula el tratamiento de datos personales que Axis («Axis», Encargado del tratamiento) realiza por cuenta del profesional o gimnasio que contrata el servicio (el Responsable del tratamiento), en el marco de la relación de servicio y la Política de Privacidad.
Axis trata los datos de los clientes del Responsable con la única finalidad de prestar la plataforma (gestión de clientes, entrenamientos, sesiones, cobros/facturación, comunicaciones y analítica), durante la vigencia del contrato. Categorías de interesados: clientes y socios del Responsable; si usa el control horario o la gestión de equipo, su personal; y, si registra en Axis sus facturas recibidas, los proveedores que sean personas físicas (por ejemplo, autónomos o arrendadores). Categorías de datos: identificativos, de contacto, físicos/deportivos, de facturación, registros de jornada y datos de salud (categoría especial, Art. 9) cuando el Responsable los introduce o el cliente conecta un dispositivo.
Ubicación: la plataforma (base de datos y ficheros) se aloja en un servidor situado en España (Barcelona), dentro de la Unión Europea; las copias de seguridad que hace Axis se guardan en ese mismo servidor y, además, una copia diaria cifrada fuera de él, en la región de la Unión Europea de Backblaze. Esas copias externas no se pueden modificar ni borrar durante 90 días y se eliminan automáticamente después: lo suprimido en la plataforma desaparece de ellas al vencer ese plazo. Cada supresión de un cliente, de sus datos de salud o de un centro entero queda anotada en un registro que se guarda fuera de la base de datos y viaja en cada copia externa, solo con números internos de centro y ficha (sin nombres ni datos de contacto), y que se borra a los 120 días; si hubiera que restaurar una copia, Axis volvería a aplicar con ese registro las supresiones posteriores a su fecha. Los borrados por plazo de conservación se repiten solos cada día. Si se perdiera el servidor entero, las supresiones hechas después de la última copia externa podrían no constar, y Axis lo comunicaría a los responsables afectados. Las funciones de inteligencia artificial se procesan en la multirregión UE de Google Cloud (Vertex AI), sin respaldo fuera de la UE. Google no usa los datos para entrenar sus modelos, la caché de Vertex AI está desactivada en el proyecto de Axis y Axis no usa la búsqueda de Google ni el registro de peticiones y respuestas de Vertex AI. El detalle de cada proveedor figura en el Anexo.
Lectura de facturas recibidas con IA. Cuando el Responsable usa «Rellenar con Axis Intelligence», el PDF o la imagen de la factura se envía a Google Cloud Vertex AI (multirregión UE) y se procesa en memoria durante la petición: la lectura no guarda el fichero, y Axis solo anota datos técnicos de la llamada (tamaño y tipo del fichero, número de líneas y avisos, tokens y coste), nunca su contenido. Lo que se guarda es la factura recibida, con su fichero, cuando la persona la revisa y pulsa «Guardar», porque el libro registro de facturas es obligatorio. Esas facturas pueden contener datos de personas físicas, que Axis trata por cuenta del Responsable y dentro de este encargo.
Estadísticas de uso de la plataforma. El Responsable autoriza a Axis a generar, como responsable de un tratamiento propio y con la única finalidad de mejorar y simplificar la plataforma, estadísticas de uso agregadas y seudonimizadas de las cuentas de su centro: recuentos por día, centro, tipo de cuenta (titular, equipo o cliente), canal (web o app) y función, y personas activas por día, semana y mes mediante un seudónimo (HMAC con una clave aleatoria del periodo que se destruye al terminar). Axis no conserva identificadores de persona en esas tablas, no las usa para perfilar ni para decidir sobre nadie, no las comunica a terceros, no muestra el desglose por centro y las purga en los plazos de su Política de privacidad (apartado «Medición del uso de Axis»). El Responsable puede pedir la exclusión de su centro, y cualquier interesado puede oponerse ante Axis respecto de su propia cuenta.
El Responsable autoriza el uso de los subencargados listados en el Anexo, sujetos mediante contrato a obligaciones de protección de datos equivalentes a las de este acuerdo. Algunos solo intervienen si el Responsable o su cliente activan la función correspondiente (SMS/WhatsApp, notificaciones, dispositivos). Axis informará de cualquier alta o sustitución de un subencargado con antelación razonable para permitir la objeción.
Cuando un subencargado trate datos fuera del EEE, se aplicarán las garantías del capítulo V del RGPD: la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. (Decisión de Ejecución (UE) 2023/1795) si el proveedor está certificado, y las Cláusulas Contractuales Tipo (Decisión de Ejecución (UE) 2021/914) incorporadas a su contrato de encargo; en el Reino Unido, su decisión de adecuación. Los datos de salud no salen del EEE salvo los de dispositivos conectados a través de Terra, con el consentimiento firmado del cliente.
El Responsable garantiza que dispone de base legal y de los consentimientos necesarios (incluido el consentimiento explícito para datos de salud) de sus clientes, y que sus instrucciones cumplen la normativa aplicable. En particular, el Responsable:
«DPF»: Marco de Privacidad de Datos UE-EE. UU. (Decisión 2023/1795). «CCT»: Cláusulas Contractuales Tipo (Decisión 2021/914). La columna «Salud» indica si el subencargado puede recibir datos de salud.
| Proveedor y entidad | Función | Ubicación | Transferencia | Datos que recibe | Salud |
|---|---|---|---|---|---|
| Oppahost (alojamiento gestionado) | Alojamiento de la plataforma: base de datos, ficheros y copias de seguridad que hace Axis (en el mismo servidor) | España (Barcelona, UE). Las copias de seguridad del alojamiento se guardan en la misma infraestructura de CubePath en Barcelona | No hay (servidor en la UE) | Todos los datos de la plataforma; los de salud, cifrados (AES-256-GCM) | Sí, cifrados en reposo |
| CubePath (CubePath Inc., EE. UU.), subencargado de Oppahost | Infraestructura del servidor de producción, en el centro de datos de Templus en Barcelona | España (Barcelona, UE) | Los datos se alojan en España; al ser una empresa con sede en EE. UU., se exigen las garantías del capítulo V del RGPD frente a cualquier acceso desde fuera del EEE | Todos los datos de la plataforma, alojados en el servidor; los de salud, cifrados (AES-256-GCM) | Sí, cifrados en reposo |
| Backblaze (Backblaze, Inc., EE. UU.) | Copia de seguridad diaria cifrada fuera del servidor de producción (en uso desde el 24/10/2026) | Unión Europea (región EU Central de Backblaze) | Los datos se alojan en la UE; al ser una empresa con sede en EE. UU., CCT de su acuerdo de encargo frente a cualquier acceso desde fuera del EEE | Copia de todos los datos de la plataforma, cifrada por Axis antes de salir del servidor (RSA-4096 + AES-256-GCM; Backblaze no tiene la clave). Inmutable 90 días y borrada automáticamente después (como máximo, a los 97 días) | Sí, cifrados de extremo a extremo |
| Google Cloud Vertex AI (Google Cloud EMEA Ltd., Irlanda) | Axis Intelligence: valoraciones, rutinas y planes, asistentes, textos de comunicaciones, importación de ficheros y lectura de facturas recibidas | Multirregión UE de Google (procesamiento garantizado dentro de la UE) | Procesamiento en la UE; para accesos de soporte del grupo Google, DPF y CCT del Cloud Data Processing Addendum | Métricas de entrenamiento con alias o sin nombre; lo que el profesional escribe; el contenido de los ficheros que se importan (nombre, fecha de nacimiento, notas y mediciones, con email, teléfono, DNI/NIE e IBAN enmascarados); el PDF o la imagen de las facturas recibidas que se leen (datos del proveedor, que puede ser una persona física, y del Responsable), procesados en memoria sin guardar el fichero. Sin uso para entrenar modelos y con la caché de Vertex AI desactivada | Sí: lesiones y dolor solo con habilitación del profesional y consentimiento firmado del cliente; y lo que contenga un fichero importado, con la base jurídica declarada por el Responsable |
| Stripe (Stripe Payments Europe, Ltd., Irlanda; Stripe, Inc.) | Pagos con tarjeta, domiciliaciones SEPA y suscripciones | UE / EE. UU. | DPF y CCT | Nombre, email, importe, concepto, medio de pago (lo introduce el pagador en la página de Stripe) | No |
| Resend (Resend, Inc.) | Envío de correos y estado de entrega | Envío desde la UE; registros en EE. UU. | DPF y CCT | Email, nombre, asunto y contenido del mensaje | No |
| Twilio (Twilio Inc.) y, para WhatsApp, Meta | SMS y WhatsApp, si el Responsable lo activa | EE. UU. y otros | DPF, normas corporativas vinculantes y CCT | Teléfono y texto del mensaje | No |
| Apple (APNs), Google (FCM) y servicios Web Push del navegador | Entrega de notificaciones push, si el usuario las activa | EE. UU. y otros | DPF y CCT | Identificador del dispositivo; en la app nativa, título y texto neutros; en la web, contenido cifrado de extremo a extremo | No |
| Terra | Agregador de wearables (Garmin y otros), si el cliente conecta un dispositivo | Fuera del EEE | CCT / DPF | Identificador de conexión y datos del dispositivo: frecuencia cardiaca, variabilidad, sueño, pasos, actividad | Sí, con consentimiento firmado del cliente |
| Google (Ireland Ltd. / LLC): acceso con Google y selector de Google Drive | Solo al pulsar «Continuar con Google» o «Conectar Google Drive» | EE. UU. y otros | DPF y CCT | Dirección IP y datos de la cuenta de Google de quien lo usa | No |
Terceros que no son subencargados y que solo intervienen en las circunstancias indicadas: los proveedores de wearables con los que el cliente tiene su propia cuenta (Fitbit, WHOOP, Oura, Polar, Garmin), que actúan como responsables de su tratamiento y entregan los datos cuando el cliente lo autoriza; los servicios desde los que el Responsable decide importar sus datos (Google Drive, Infomaniak kDrive, TIMP); Stripe, en su condición de responsable independiente para la prevención del fraude y la verificación de identidad; y la Agencia Tributaria, destinataria por obligación legal de los registros de facturación (Veri*Factu) cuando la remisión esté activada.
Servicios consultados desde el servidor de Axis, sin datos de los interesados: las miniaturas de YouTube (solo el identificador del vídeo), GIPHY (solo el término de búsqueda), OpenStreetMap Nominatim, en el Reino Unido (solo el texto del lugar buscado) y el catálogo de MuscleWiki. Ninguno recibe la dirección IP del usuario.