Política de Privacidad

1. Responsable y contacto

The Growth Path es una plataforma para digitalizar asesorías de coaching fitness: los coaches gestionan a sus atletas y las personas pueden entrenar por su cuenta. Esta política te informa, conforme a la Ley N.º 8968, de Protección de la Persona frente al Tratamiento de sus Datos Personales y su Reglamento a la Ley N.º 8968 (Decreto Ejecutivo N.º 37554-JP), sobre el tratamiento de tus datos personales.

Los datos que describimos se incorporan a una base de datos de The Growth Path, que es su responsable salvo en los casos del punto 2. Su finalidad es prestarte el servicio (punto 4) y sus destinatarios se indican en el punto 6.

Para cualquier consulta sobre privacidad o para ejercer tus derechos, escríbenos a izackk26@gmail.com.

2. Alcance y roles

Esta política aplica a la plataforma The Growth Path, en su sitio principal y en los subdominios de cada coach. El servicio se ofrece únicamente a personas que se encuentran en Costa Rica. Actualmente funciona como una beta privada, con acceso sujeto a aprobación.

• The Growth Path es responsable de los datos de tu cuenta, de seguridad, de la medición de rendimiento y analítica, de la facturación cuando exista y de todo lo que registras si entrenas por tu cuenta, sin coach.
• Tu coach es responsable, si entrenas con uno, de los datos de la relación de coaching: tu plan de entrenamiento, tus registros, tu seguimiento y las fotos que compartes con él. En ese caso The Growth Path actúa como encargado: trata esos datos por cuenta de tu coach, según las instrucciones que da a través de la plataforma y con las obligaciones de la cláusula de punto 8 de los Términos.

Sobre los datos de la relación de coaching puedes ejercer tus derechos ante tu coach o ante nosotros (punto 12); si nos escribes, trasladamos tu solicitud a tu coach y le ayudamos a atenderla.

3. Datos que recopilamos

Recopilamos solo lo necesario para prestar el servicio.

Datos obligatorios

Sin ellos no podemos crear tu cuenta ni prestarte el servicio:

• Cuenta y acceso: tu correo electrónico y tu contraseña. La autenticación y el almacenamiento seguro de la contraseña los gestiona nuestro proveedor de infraestructura (Supabase); nosotros no vemos tu contraseña.
• Nombre: para identificarte dentro de la plataforma y, si entrenas con un coach, ante él.
• Datos de entrenamiento: tus rutinas y las series, repeticiones, pesos y notas que registras al entrenar. Son el núcleo del servicio: sin ellos la plataforma no puede guardar ni mostrar tu progreso.
• Registro de tu consentimiento: la fecha y hora en que aceptas esta política y los Términos, la versión aceptada y tus elecciones sobre los consentimientos opcionales.

Datos opcionales

Puedes no darlos. La única consecuencia es que no podrás usar la función concreta que los necesita; el resto de la plataforma sigue disponible:

• Resto del perfil: fecha de nacimiento, nivel de experiencia y tu objetivo o motivo de uso. Si no los das, la plataforma funciona igual.
• Datos de salud: peso corporal, perímetros, recuperación, cuestionarios de seguimiento, fotos de progreso y el peso sincronizado desde una báscula Withings. Requieren un consentimiento expreso y separado (ver punto 5); sin él puedes usar el resto de la plataforma, pero no registrarlos.
• Archivos para importar con IA: la rutina, dieta o histórico de seguimiento que subas para convertirlo a la estructura de la app (ver punto 6). Si no usas esta función, no se envía nada.
• Mensajes de soporte y solicitudes: lo que nos escribes por el formulario de ayuda o de solicitud de acceso (nombre, correo y tu mensaje).

Datos que se generan al usar el servicio

• Identificadores técnicos de seguridad: tu dirección IP y la señal del desafío anti-bots al enviar formularios públicos, y tu dirección IP (y, al reenviar el correo de confirmación, tu correo) para limitar intentos abusivos (ver punto 6).
• Analítica de uso: métricas de visitas agregadas y anónimas (Vercel Web Analytics) para entender cómo se usa la plataforma.
• Medición de rendimiento: qué secciones abres y cuánto tardan en cargar para ti, junto con tu dirección IP, tu ubicación aproximada y tu navegador y dispositivo. Si iniciaste sesión, queda vinculada a tu cuenta; sin sesión, se guarda con la IP truncada y sin vincularse a ninguna cuenta (ver punto 8).

4. Finalidades del tratamiento

Usamos tus datos únicamente para:

• Crear y administrar tu cuenta, autenticarte y darte acceso.
• Prestarte el servicio: mostrarte tu rutina, guardar tus entrenamientos y tu progreso, y calcular a partir de tus registros las referencias que ves al entrenar (sugerencias de series, repeticiones y peso, “última vez” y tendencias).
• Permitir el seguimiento entre tú y tu coach, si entrenas con uno, para que ajuste tu plan.
• Enviarte correos operativos: confirmación de cuenta, avisos de tu solicitud y soporte.
• Proteger la plataforma: verificación anti-bots y límite de intentos abusivos.
• Medir el rendimiento de la plataforma y entender su uso con analítica agregada (punto 8).
• Atender tus solicitudes y cumplir obligaciones legales.

No vendemos ni cedemos tus datos personales, no elaboramos perfiles con fines publicitarios ni mostramos publicidad de terceros. No tomamos decisiones basadas únicamente en un tratamiento automatizado que produzcan efectos jurídicos sobre ti o te afecten de forma significativa: las sugerencias que calcula la app son orientativas y las decides tú o tu coach.

5. Datos sensibles (salud)

Algunos datos que puedes registrar revelan información sobre tu estado físico y la ley los considera datos sensibles:

• Peso corporal: el que registras a mano o, si conectas tu báscula, el que sincronizamos desde Withings. Para mantener esa conexión guardamos cifrados los tokens de acceso que Withings nos entrega y solo leemos tu peso.
• Perímetros: tus medidas corporales.
• Recuperación: los niveles de recuperación que reportas.
• Cuestionarios de seguimiento: tus respuestas a los cuestionarios periódicos (check-in).
• Fotos de progreso: se guardan en un almacenamiento privado, accesible solo para ti y, si entrenas con un coach, para tu coach.
• Métricas de Whoop: si conectas tu Whoop, sincronizamos tu recuperación, variabilidad y frecuencia cardíaca en reposo, sueño, esfuerzo (strain) y entrenos. Guardamos cifrados los tokens de acceso; al desconectar eliminamos los tokens y borramos estos datos.

Tratarlos requiere tu consentimiento expreso, separado y opcional, que das o retiras en la página de consentimientos. Nunca estás obligado a proporcionar datos sensibles: sin ese consentimiento puedes usar el resto de la plataforma, pero no registrar estos datos ni sincronizarlos desde una báscula.

No te pedimos diagnósticos médicos ni historial clínico. Acceden a tus datos de salud solo tú, tu coach si entrenas con uno y el personal estrictamente necesario para operar la plataforma. No los usamos con fines publicitarios ni los compartimos fuera de los destinatarios del punto 6.

6. Destinatarios y encargados

Tu coach, si entrenas con uno, accede a tu plan, tus registros de entrenamiento y tu seguimiento y, si diste el consentimiento de salud, a tus datos de salud y fotos de progreso.

Nuestros encargados son proveedores que nos ayudan a operar el servicio. Tratan los datos por nuestra cuenta (o por cuenta del coach), solo para su función y solo lo necesario para ella. Junto a cada uno indicamos el país donde aloja o procesa los datos (punto 7):

• Supabase (Estados Unidos) — base de datos, autenticación y almacenamiento de archivos, alojados en Amazon Web Services (región us-east-1). Aquí viven tus datos.
• Resend (Estados Unidos) — envío de correos transaccionales (confirmaciones, avisos, soporte). Recibe tu correo y el contenido del aviso.
• Vercel (Estados Unidos) — alojamiento de la aplicación y analítica de uso anónima. Al servir cada página, su red deduce de tu dirección IP una ubicación aproximada (país, región y ciudad) que usamos en la medición de rendimiento.
• Anthropic (Claude) (Estados Unidos) — solo cuando se usa la importación con IA: el archivo o texto que se sube (una rutina, una dieta o el histórico de seguimiento de un atleta —peso, perímetros, recuperación—) se envía a este proveedor para convertirlo a la estructura de la app, junto con los nombres de ejercicios o alimentos a emparejar con el catálogo. Lo usan los coaches al importar datos de sus atletas y las personas que importan su propia rutina. No lo uses con información que no quieras compartir con un asistente de IA.
• Google (Google Sheets) (Estados Unidos) — solo si tu coach tiene activada la sincronización con su hoja de cálculo: al terminar un día de entrenamiento, lo que registraste (series, repeticiones, pesos y notas) se escribe en la hoja de Google de tu coach, y la app lee esa hoja para ubicar dónde escribir.
• Cloudflare (Turnstile) (Estados Unidos) — verificación anti-bots en los formularios públicos (solicitud de acceso, soporte y reenvío de confirmación). Recibe la señal del desafío que genera tu navegador y tu dirección IP.
• Upstash (Redis) (Estados Unidos) — límite de intentos para frenar abusos. Recibe identificadores técnicos con caducidad corta: tu dirección IP y, al reenviar el correo de confirmación, tu correo electrónico.
• Withings (Francia) — solo si conectas tu báscula (requiere el consentimiento de datos de salud): nos autorizas, vía OAuth, a leer tus mediciones de peso desde tu cuenta de Withings. Ese intercambio se rige también por la política de privacidad de Withings. Puedes revocar el acceso en cualquier momento desde la app (Desconectar) o desde tu cuenta de Withings; al hacerlo eliminamos los tokens guardados.
• Whoop (Estados Unidos) — solo si conectas tu cuenta Whoop (requiere el consentimiento de datos de salud): nos autorizas, vía OAuth, a leer tu recuperación, sueño, esfuerzo (strain) y entrenos desde tu cuenta de Whoop. Ese intercambio se rige también por la política de privacidad de Whoop. Guardamos cifrados los tokens de acceso. No usamos estos datos para publicidad ni para entrenar modelos de IA, ni los compartimos con terceros. Puedes revocar el acceso desde la app (Desconectar); al hacerlo eliminamos los tokens y borramos los datos sincronizados.

Autoridades: solo comunicamos datos cuando una ley o una orden judicial lo exige. No compartimos datos con anunciantes ni con comercializadores de datos.

7. Alojamiento y transferencias internacionales

Tus datos se alojan y procesan fuera de Costa Rica, con los proveedores del punto 6, en Estados Unidos y Francia. La base de datos y los archivos se alojan en Estados Unidos; Francia solo interviene si conectas una báscula Withings.

Esos proveedores actúan como encargados del tratamiento y solo reciben los datos necesarios para su función. Al aceptar esta política consientes este alojamiento y transferencia internacional, necesarios para prestarte el servicio; si das el consentimiento de datos de salud (punto 5), este incluye que esos datos se alojen con los mismos proveedores.

8. Medición de rendimiento y analítica

Para detectar y corregir lentitud medimos cuánto tarda la app en cargar cada sección. Cada medición guarda:

• Qué se midió: la sección que abriste (la ruta, sin identificadores internos), los tiempos de carga en tu navegador y de respuesta del servidor, y la versión de la app.
• Quién: tu cuenta y tu tipo de usuario (coach, atleta, cuenta propia o admin) si iniciaste sesión, y el coach del subdominio en el que estabas. Sin sesión, la medición no se vincula a ninguna cuenta.
• Desde dónde: tu dirección IP (truncada si no iniciaste sesión) y la ubicación aproximada (país, región y ciudad) que Vercel, nuestro proveedor de alojamiento, deduce de ella y nos entrega con cada solicitud.
• Con qué: tu navegador (user agent), el tipo de dispositivo (móvil o escritorio), el tipo de conexión (por ejemplo, 4G) y el tipo de navegación.

Solo el equipo administrador puede consultar estas mediciones, y puede verlas junto a tu nombre y correo para investigar un problema concreto. Con ellas también vemos cuándo usa cada persona la app y cuántas secciones abre, para priorizar mejoras. No las usamos para publicidad ni las compartimos fuera de los encargados del punto 6.

Al aceptar esta política decides, con una casilla propia («Analítica y mejora») que viene marcada y puedes desmarcar, si permites esta medición. Puedes cambiar esa decisión en cualquier momento desde la página de consentimientos: desactivada, no se registran mediciones de rendimiento de tu cuenta. También respetamos la señal Global Privacy Control (GPC): si tu navegador la envía, no registramos mediciones desde él.

Si no has iniciado sesión, la medición no se vincula a ninguna cuenta y tu dirección IP se guarda truncada (sin su último octeto en IPv4, o solo con sus tres primeros grupos en IPv6).

Las mediciones se borran automáticamente a los 90 días. Si eliminas tu cuenta, dejan de estar vinculadas a ella y se borran igualmente al cumplir ese plazo.

Además usamos Vercel Web Analytics, que nos da métricas de visitas agregadas y anónimas que no nos permiten identificarte.

9. Base del tratamiento y consentimiento

Tratamos tus datos con base en:

• Tu consentimiento informado y expreso, otorgado por escrito en formato electrónico.
• La prestación del servicio que solicitas: lo necesario para darte tu cuenta y las funciones que usas.
• El cumplimiento de obligaciones legales, o de una orden judicial o de autoridad competente.

La primera vez que inicias sesión, y cada vez que cambia la versión de esta política, The Growth Path te muestra un aviso de consentimiento (la página de consentimientos) para que aceptes esta política y los Términos marcando una casilla obligatoria, separada de cualquier otra. Registramos la fecha, la hora y la versión aceptada (vigente: 2026-10-30). En ese mismo aviso, con su propia casilla, decides si permites la medición de rendimiento (punto 8), que puedes desactivar cuando quieras. Sin la aceptación de esta política no puedes usar la plataforma con tu cuenta.

El consentimiento de datos de salud (punto 5) es aparte y opcional: puedes no darlo, o darlo y retirarlo, sin que eso afecte tu aceptación de esta política.

10. Conservación

Conservamos tus datos solo el tiempo necesario para la finalidad que los justifica:

• Cuenta y perfil: mientras tu cuenta esté activa.
• Registro de consentimientos: es la prueba de qué aceptaste y cuándo, así que se conserva aunque cierres tu cuenta, hasta 10 años. Solo guarda la decisión, la versión de la política y la fecha, sin tu nombre ni tu correo.
• Entrenamiento y salud: mientras tu cuenta esté activa o, si entrenas con un coach, hasta que termine la relación con él, según sus instrucciones.
• Mediciones de rendimiento: se borran automáticamente a los 90 días.
• Mensajes de soporte y solicitudes: solo el tiempo necesario para atenderlos y darles seguimiento.
• Identificadores para limitar intentos: caducan automáticamente en un plazo corto.

Cuando se cierra tu cuenta (puedes pedirlo en cualquier momento, punto 12), eliminamos o anonimizamos tus datos, salvo los que una ley nos obligue a conservar, y en ningún caso los guardamos más de 10 años.

11. Seguridad y aviso de incidentes

Protegemos tus datos con, entre otras, estas medidas:

• Control de acceso a nivel de fila en la base de datos: cada persona ve solo lo suyo y lo que su coach está autorizado a ver.
• Cifrado en tránsito (HTTPS) en todas las comunicaciones con la plataforma.
• Fotos de progreso en almacenamiento privado y tokens de la báscula conectada guardados cifrados.
• Verificación anti-bots y límite de intentos en los formularios públicos.
• Acceso administrativo restringido al personal estrictamente necesario.

Ningún sistema es infalible, pero trabajamos de forma continua para proteger tu información.

Si ocurre una vulneración de seguridad que afecte tus datos, te la notificaremos por correo dentro de los 5 días hábiles siguientes a que ocurra, indicando:

• la naturaleza del incidente;
• los datos personales comprometidos;
• las acciones correctivas que tomamos de inmediato;
• los medios o el lugar donde puedes obtener más información.

12. Tus derechos y cómo ejercerlos

Como titular de tus datos tienes derecho a:

• Acceso: saber qué datos tuyos tratamos y obtener una copia.
• Rectificación y actualización: corregir datos inexactos o desactualizados.
• Supresión: pedir que eliminemos tus datos, incluido el cierre de tu cuenta, salvo lo que una ley nos obligue a conservar.
• Revocación del consentimiento (punto 13).

Para ejercerlos escríbenos a izackk26@gmail.com, preferiblemente desde el correo de tu cuenta, indicando qué solicitas. Es gratuito y te responderemos en un plazo máximo de 5 días hábiles desde que recibamos tu solicitud. Podemos pedirte que confirmes tu identidad antes de atenderla.

Si consideras que no atendimos tu solicitud o que tratamos tus datos de forma indebida, puedes acudir a la Agencia de Protección de Datos de los Habitantes (PRODHAB) (www.prodhab.go.cr).

13. Revocación del consentimiento

Puedes revocar tus consentimientos en cualquier momento, sin efecto retroactivo:

• Medición de rendimiento: desactívala desde la página de consentimientos; desde ese momento no se registran mediciones de rendimiento de tu cuenta.
• Datos de salud: retíralo desde la página de consentimientos; dejas de poder registrar nuevos datos de salud, incluida la sincronización con tu báscula. Los que ya guardaste se conservan, y tu coach (si tienes uno) los sigue viendo, hasta que pidas su eliminación (punto 12).
• Aceptación de esta política y los Términos: es necesaria para usar la plataforma con tu cuenta, así que revocarla equivale a pedir el cierre de tu cuenta. Escríbenos a izackk26@gmail.com.

Las revocaciones que nos pidas por correo las aplicamos en un plazo máximo de 5 días hábiles.

14. Menores de edad

Las personas menores de edad pueden usar la plataforma solo con el consentimiento y la supervisión de su madre, padre o representante legal. Es el representante quien otorga en su nombre los consentimientos de la página de consentimientos, incluido el de datos de salud, y quien puede ejercer sus derechos. Al hacerlo declara que tiene esa facultad.

Si sabemos que una persona menor usa la plataforma sin ese consentimiento, podremos suspender su cuenta y eliminar sus datos.

15. Cambios a esta política

Versión vigente: 2026-10-30, actualizada el 29 de octubre de 2026.

Si cambiamos esta política publicaremos aquí la nueva versión, con un nuevo número de versión, y te pediremos aceptarla de nuevo en la página de consentimientos la próxima vez que inicies sesión.