Guía del RGPD para studio managers
Esta página explica cómo Agon te ayuda a cumplir el RGPD, qué datos se almacenan, qué funciones opcionales envían datos fuera de tu ordenador, cómo responder a las solicitudes de datos de los clientes y cuáles son tus responsabilidades como responsable del tratamiento.
Esta guía explica cómo funciona Agon para que puedas evaluar tus propias obligaciones. No es asesoramiento jurídico. Tu estudio es responsable de su propio cumplimiento del RGPD; si tienes dudas, consulta a un profesional de la protección de datos.
Tu papel según el RGPD
Como studio manager que usa Agon, tu estudio es el responsable del tratamiento: decide cómo se recopilan, almacenan y usan los datos personales de tus clientes.
Agon es un software que instalas y ejecutas en tu propio ordenador. La base de datos de tu estudio está en ese ordenador y el desarrollador de Agon no tiene acceso a ella. Ejecutar el software no convierte al desarrollador de Agon en encargado del tratamiento de los datos de tus clientes.
Los datos solo salen de tu ordenador a través de servicios que tú decides usar, o que son necesarios para que los clientes puedan llegar a ti:
| Función | Quién recibe los datos | Su papel para tu estudio | ¿Activada por defecto? |
|---|---|---|---|
| Conectividad remota (aplicación móvil y widget del sitio web) | El desarrollador de Agon, con Cloudflare como subencargado | Encargado del tratamiento, solo para la conectividad | Sí, cuando el túnel está activo |
| Asistente IA | El proveedor de IA que elijas (por ejemplo Google o Groq) | Encargado del tratamiento, según tu propio acuerdo con él | No |
| Informes de errores | El desarrollador de Agon, a través de Sentry (UE) | Encargado del tratamiento | No |
| Pagos | Stripe, con tu propia cuenta de Stripe | Según tu propio acuerdo con Stripe | No |
| Copia de seguridad en la nube | El proveedor de copias de seguridad que conectes (por ejemplo Google Drive o Dropbox) | Según tu propio acuerdo con él | No |
| Email y SMS | Los proveedores de email y SMS que configures | Según tu propio acuerdo con ellos | No |
Incluye los servicios que usas en la política de privacidad de tu estudio y en tu registro de actividades de tratamiento.
Autoridades de control. El desarrollador de Agon (Edoardo Casciotta, Barcelona, España — support@agon-studio.dev) está establecido en España, por lo que la autoridad de control competente para el tratamiento que realiza como tu encargado es la Agencia Española de Protección de Datos (AEPD). Como responsable del tratamiento, tu estudio responde ante la autoridad de protección de datos de su propio país, que suele ser donde notificas una violación de datos o respondes a la reclamación de un cliente.
Qué datos almacena Agon
Agon almacena los siguientes datos personales de cada cliente:
| Dato | Dónde se usa |
|---|---|
| Nombre completo | Lista de participantes, perfil del cliente, notificaciones |
| Dirección de email | Inicio de sesión, notificaciones push |
| Número de teléfono | Opcional — solo como referencia para el personal |
| Fecha de nacimiento | Opcional — solo como referencia para el personal |
| Foto de perfil | Opcional — se muestra en el perfil del cliente |
| Historial de reservas | Registros de asistencia, informes |
| Historial de check-ins | Registros de asistencia, informes |
| Historial de pagos | Informes de ingresos, registros financieros |
| Registro de consentimiento del RGPD | Registro de cumplimiento |
Todos los datos se almacenan en una base de datos SQLite cifrada en tu ordenador. Nunca salen de tu máquina salvo a través de los servicios descritos en Tu papel según el RGPD.
Conectividad remota
Para que tus clientes puedan usar la aplicación móvil y el widget de tu sitio web desde cualquier lugar, Agon conecta tu ordenador a internet mediante un Cloudflare Tunnel en una dirección web de agon-studio.dev (por ejemplo studio-….tunnel.agon-studio.dev).
- Quién interviene: el túnel y su dirección web los gestiona el desarrollador de Agon, usando la red de Cloudflare. Solo para este fin, el desarrollador de Agon actúa como tu encargado del tratamiento y Cloudflare como subencargado, conforme al Acuerdo de tratamiento de datos (artículo 28 del RGPD) en la Sección 6 de los Términos de servicio.
- Qué pasa por él: las peticiones entre los dispositivos de tus clientes y tu ordenador (por ejemplo, una reserva) viajan por la red de Cloudflare, cifradas con HTTPS. Tu base de datos se queda en tu ordenador; el túnel no la almacena.
- El directorio de estudios: un pequeño directorio gestionado por el desarrollador de Agon almacena solo el ID público de tu estudio y su dirección web actual, para que la aplicación y el widget encuentren tu estudio después de un reinicio. No almacena datos de clientes, reservas ni ningún otro dato del estudio.
- Solicitudes de reserva sin conexión: cuando tu ordenador está apagado, la solicitud de reserva de un cliente puede esperar en un buzón del mismo directorio. Se cifra en el dispositivo del cliente con una clave que solo existe en tu ordenador, así que nadie más, ni siquiera el desarrollador de Agon, puede leerla. Tu ordenador la recoge y la elimina en cuanto vuelve a estar en línea, y en todo caso el buzón la elimina automáticamente transcurridos 7 días si nunca se recoge.
Asistente IA
El Asistente IA usa una clave de proveedor de IA que pertenece a tu estudio (por ejemplo Google Gemini o Groq), o un modelo local en tu propio ordenador.
- Tu estudio contrata directamente con el proveedor. Al crear una clave API, aceptas las condiciones de ese proveedor. El proveedor actúa entonces como tu encargado del tratamiento para los prompts que envías. El desarrollador de Agon no interviene: los prompts van directamente de tu ordenador al proveedor.
- Qué se envía: la pregunta escrita en el asistente, la conversación reciente, las páginas relevantes de esta documentación y los datos del estudio necesarios para responder (por ejemplo, nombres de clases o cifras agregadas para las preguntas de negocio). También se envía todo lo que tú o tu personal escribáis, incluidos los nombres de clientes.
- Niveles gratuitos: los niveles gratuitos de algunos proveedores pueden usar los datos enviados para mejorar sus modelos. Para preguntas que incluyan datos de clientes, usa un nivel de pago o un modelo local (Ollama), y revisa las condiciones actuales del proveedor y su acuerdo de tratamiento de datos.
- Sin proveedor, el asistente funciona en modo básico: una búsqueda en la documentación dentro de tu ordenador, y no se envía nada a ningún sitio.
- Eliminar la clave: haz clic en Eliminar clave en Configuración → Asistente IA y confirma. La clave se borra de tu base de datos local y el asistente pasa al modo básico de inmediato, así que no se envía nada más a ese proveedor. Si la clave puede haberse filtrado, revócala también en la consola del proveedor (Google AI Studio o la consola de Groq). La clave se guarda cifrada y no se vuelve a mostrar después de guardarla.
Informes de errores
Los informes de errores ayudan al desarrollador de Agon a encontrar y corregir fallos. Son opcionales y están desactivados por defecto: no se envía nada a menos que el studio manager los active en Configuración → Privacidad.
- Qué se envía: los detalles técnicos de un error inesperado (el tipo y el mensaje del error, y en qué parte del código se produjo), la versión de Agon y el ID de tu estudio para poder agrupar los informes. Antes de que nada salga de tu ordenador, Agon elimina direcciones de email, números de teléfono, tokens de inicio de sesión y el contenido de las peticiones.
- Adónde va: al desarrollador de Agon, a través del servicio de seguimiento de errores Sentry, con los datos almacenados en la UE. El desarrollador de Agon actúa como tu encargado del tratamiento para estos datos, con Sentry como subencargado, conforme al Acuerdo de tratamiento de datos (artículo 28 del RGPD) en la Sección 6 de los Términos de servicio. No se almacenan direcciones IP.
- Qué aplicaciones: tu elección se aplica a la aplicación de escritorio y a la aplicación móvil y el widget del sitio web de tu estudio. Solo envían informes si los has activado.
- Conservación: los informes de errores se conservan durante un máximo de 30 días y después se eliminan automáticamente.
- Desactivarlos: desactívalos en Configuración → Privacidad. Se detienen de inmediato.
Base jurídica para el tratamiento
Debes tener una base jurídica válida para almacenar y tratar los datos de los clientes. Las bases más comunes para los estudios fitness:
- Contrato — el tratamiento es necesario para gestionar reservas, membresías y pagos (RGPD art. 6.1.b)
- Consentimiento — cuando tratas datos opcionales (p. ej. comunicaciones de marketing) — no aplicable en la V1 de Agon, ya que no hay funciones de marketing
- Obligación legal — conservar los registros financieros es obligatorio según la legislación fiscal de la mayoría de los países (RGPD art. 6.1.c)
Agon registra el consentimiento automáticamente cuando un cliente acepta la política de privacidad y los términos de servicio durante la creación de la cuenta.
Exportación de datos de un cliente
Según el artículo 15 del RGPD (derecho de acceso) y el artículo 20 (derecho a la portabilidad de los datos), un cliente puede solicitar una copia completa de sus datos personales.
Para exportar los datos de un cliente:
- Abre el perfil del cliente en la sección Clientes.
- Haz clic en Exportar datos.
- Se genera un archivo JSON que contiene todos los datos que se tienen sobre ese cliente:
- Información personal (nombre, email, teléfono, fecha de nacimiento)
- Todas las reservas y check-ins
- Todos los pagos
- Registro de consentimiento del RGPD
- Descarga el archivo y envíaselo al cliente.
Dispones de 30 días desde la fecha de la solicitud para proporcionar la exportación.
Eliminación de un cliente (anonimización)
Según el artículo 17 del RGPD (derecho de supresión), un cliente puede solicitar la eliminación de sus datos personales.
En Agon, "eliminación" significa anonimización — los identificadores personales se sustituyen por marcadores anónimos, mientras que los registros de reservas y el historial de pagos se conservan con fines financieros y estadísticos. Este es el enfoque legalmente correcto: el RGPD permite conservar datos para fines legítimos de negocio, como la contabilidad fiscal y financiera.
Qué se anonimiza (se elimina):
- Nombre completo → sustituido por "Cliente eliminado"
- Dirección de email → sustituida por un marcador anónimo
- Número de teléfono → eliminado
- Fecha de nacimiento → eliminada
- Foto de perfil → eliminada
Qué se conserva (anonimizado, no identificable):
- Registros de reservas y asistencia (valor estadístico; sin identificadores personales)
- Registros de pagos (obligatorio por la normativa financiera)
Para anonimizar a un cliente:
- Abre el perfil del cliente.
- Haz clic en Eliminar cliente.
- Lee el resumen de lo que se eliminará y lo que se conservará.
- Haz clic en Confirmar eliminación.
Esta acción es permanente y no se puede deshacer.
Los clientes también pueden iniciar la eliminación por sí mismos desde la aplicación móvil: Perfil → Privacidad → Eliminar mi cuenta.
El registro de consentimiento
Cada vez que un cliente acepta la política de privacidad o los términos de servicio — al crear la cuenta, o cuando se publica una nueva versión — Agon registra:
- Qué documento aceptó (política de privacidad o términos de servicio)
- La versión del documento
- La fecha y hora de la aceptación
- La dirección IP del cliente
Para ver el registro de consentimiento de un cliente:
- Abre el perfil del cliente.
- Desplázate hasta Registro de consentimiento.
El registro de consentimiento también se incluye en la exportación de datos.
Política de privacidad
Agon incluye una plantilla de política de privacidad que debes personalizar con los datos de tu estudio antes de ponerla en funcionamiento. La plantilla está disponible en el asistente de incorporación y en Configuración → Política de privacidad.
Eres responsable de garantizar que tu política de privacidad sea legalmente adecuada para tu jurisdicción. La plantilla es solo un punto de partida — Agon no se responsabiliza de su exactitud legal.
Conservación de datos
Como todos los datos se almacenan en tu máquina, tú controlas cuánto tiempo se conservan. Agon no elimina datos automáticamente (salvo como parte del proceso de anonimización descrito arriba).
Prácticas recomendadas:
- Conserva los datos del cliente mientras mantengas una relación con él
- Después de que un cliente solicite la eliminación, anonimiza sus datos como se describe arriba
- Los registros financieros (pagos, facturas) deben conservarse durante el periodo que exija tu legislación fiscal local (normalmente de 7 a 10 años)
- Las copias de seguridad periódicas garantizan que tengas una copia recuperable de tus datos
Procedimiento en caso de violación de datos
Si descubres que se ha accedido a tu base de datos de Agon por parte de un tercero no autorizado (por ejemplo, te han robado o pirateado el ordenador):
- Desconecta el ordenador de internet de inmediato
- Evalúa a qué datos se puede haber accedido
- Notifica a tu propia autoridad nacional de protección de datos (aquella ante la que responde tu estudio como responsable del tratamiento) en un plazo de 72 horas desde que descubriste la violación (si es probable que la violación suponga un riesgo para los derechos de las personas)
- Notifica a los clientes afectados si existe un riesgo alto para sus derechos y libertades
- Si necesitas ayuda para proteger tu instalación, escribe a support@agon-studio.dev (no incluyas datos de clientes en el email)
¿Qué hacer si algo va mal?
Un cliente dice que nunca consintió el tratamiento de sus datos Consulta su registro de consentimiento en el perfil del cliente. El registro anota cada evento de consentimiento. Si creó una cuenta en Agon, aceptó los términos en ese momento — el registro lo confirmará.
Un cliente solicita datos que no encuentro en Agon La exportación de datos cubre todos los datos almacenados en Agon. Si el cliente pregunta por datos de una plataforma anterior, esos datos quedan fuera del alcance de Agon.
Necesito eliminar todos los datos (p. ej. al cerrar el estudio) Agon no tiene una herramienta de eliminación masiva en la V1. Puedes eliminar el archivo de la base de datos de tu ordenador para borrar todos los datos. Asegúrate de haber resuelto antes todas las obligaciones financieras pendientes.