Política de Privacidad

1. Información que Recopilamos

2. Cómo Utilizamos su Información

Utilizamos su información personal únicamente para:

• Facilitar la gestión de reservas y citas
• Verificar su identidad y edad para el uso del servicio (cuando se proporciona la fecha de nacimiento)
• Contactarle sobre sus reservas y servicios (cuando se proporciona el número de teléfono)
• Autenticar su acceso a la aplicación mediante Firebase Authentication y Google Sign-In
• Mejorar la experiencia del usuario en la aplicación
• Enviar notificaciones sobre sus reservas
• Proporcionar soporte técnico cuando sea necesario
• Mejorar nuestros servicios basándose en el uso real
• Sincronizar reservas con Google Calendar: Crear eventos automáticos en su calendario cuando realiza o cancela reservas (solo si habilita esta función)
• Respetar sus preferencias: Solo sincronizamos si explícitamente autoriza esta integración en la aplicación
• Permitir que los gimnasios adheridos le localicen dentro de la aplicación para invitarle a una membresía, y gestionar el estado de dicha membresía si acepta la invitación

3. Base Jurídica del Tratamiento

La legitimación para el tratamiento de los datos encuentra la siguiente base jurídica:

4. Almacenamiento y Seguridad

Sus datos están almacenados en servidores seguros de Google Firebase y protegidos mediante:

• Encriptación completa: Datos encriptados en tránsito (HTTPS) y en reposo
• Contraseñas protegidas: Las contraseñas están completamente encriptadas. Citali no puede acceder a ellas, solo Firebase permite al usuario cambiarlas cuando lo solicite
• Autenticación segura con Google: El inicio de sesión con Google utiliza OAuth 2.0 y OpenID Connect para una autenticación segura sin compartir contraseñas
• Certificaciones internacionales: ISO 27001, SOC 1, SOC 2 y SOC 3
• Acceso restringido: Solo empleados autorizados con autenticación de dos factores
• Cumplimiento normativo: Compatible con GDPR, CCPA y marcos de privacidad internacionales
• Aislamiento de datos: Sus datos están lógicamente separados y protegidos

5. Compartir Información

No vendemos, alquilamos ni compartimos su información personal con terceros, excepto:

• Con establecimientos donde realiza reservas: su nombre, correo electrónico y número de teléfono, junto con los datos de sus visitas a ese mismo establecimiento descritos en el apartado 1.7. Nunca su actividad en otros establecimientos
• Con un establecimiento donde tenía reservas registradas por su teléfono antes de crear su cuenta: puede saber que ese teléfono ya tiene cuenta en Citali y ver su nombre y correo electrónico para unir su historial a su cuenta. Más detalle en el apartado 5.3
• Con establecimientos de tipo gimnasio adheridos a Citali: cuando un trabajador o dueño autenticado introduce un correo electrónico para dar de alta a un nuevo socio, el sistema le confirma si existe una cuenta de Citali asociada a ese correo, aunque usted no tenga reservas previas en dicho gimnasio. Si existe cuenta, su nombre y correo electrónico quedan registrados de inmediato en el establecimiento con estado "invitación pendiente", visibles para el personal autorizado del mismo, y en ese mismo momento recibe una notificación para aceptar o rechazar la membresía. No se comparte con el establecimiento ningún otro dato (teléfono, fecha de nacimiento o historial de reservas en otros establecimientos) salvo que usted acepte expresamente dicha invitación. Más detalle sobre este flujo y sus riesgos en el apartado 5.2
• Con Google, cuando utiliza el inicio de sesión con Google, según los términos de servicio de Google y su política de privacidad
• Con Firebase (Google Cloud Platform) para el procesamiento y almacenamiento seguro de datos de autenticación

5.1 Integración con Google Calendar

• Con Google Calendar API: Únicamente cuando usted autoriza explícitamente la sincronización de sus reservas
• Citali NO comparte sus datos de calendario con terceros
• Google Calendar actúa solo como herramienta de sincronización bajo su control

5.2 Alta de socios en centros con membresía

• El personal de un gimnasio adherido puede darte de alta como socio introduciendo tu email, sin que hayas iniciado tú el proceso. Si tienes cuenta en Citali, tu nombre y email pasan a ser visibles para el personal autorizado de ese gimnasio con estado "invitación pendiente" desde ese mismo instante, y recibes una notificación para aceptar o rechazar
• El establecimiento es responsable de tener una relación o autorización previa contigo (por ejemplo, tu solicitud presencial de alta) antes de introducir tu email — Citali no verifica esa relación
• Si rechazas la invitación, o no respondes, tu nombre y email pueden permanecer registrados en los sistemas del establecimiento hasta que el propio establecimiento los elimine o tú solicites su eliminación escribiendo a contacto@citali.es; actualmente no existe un borrado automático por plazo para invitaciones rechazadas o sin respuesta

5.3 Clientes que se registran después con el mismo teléfono

• Si un establecimiento registró reservas a su nombre con su número de teléfono antes de que usted tuviera cuenta, y después se registra en Citali con ese mismo teléfono, el personal de ese establecimiento verá en su agenda que el cliente "ya tiene app"
• La aplicación solo hace esta comprobación con teléfonos de clientes que ya tienen reservas registradas en ese establecimiento, y los establecimientos se comprometen a no usarla para averiguar si otras personas tienen cuenta (ver Términos y Condiciones, apartado 5.3)
• Para unir el historial, el personal ve el nombre y el correo electrónico de la cuenta (o cuentas) asociadas a ese teléfono. No ve su fecha de nacimiento ni su actividad en otros establecimientos
• Si el establecimiento fusiona el historial, sus reservas, datos técnicos, fotografías y notas de ese establecimiento pasan a su cuenta: verá esas reservas en la aplicación y recibirá los recordatorios de las próximas citas
• Si no reconoce esas reservas o no desea que se unan a su cuenta, puede pedir al establecimiento o escribiendo acontacto@citali.esque se corrijan o se eliminen

6. Uso Limitado de Datos de Google Calendar

De conformidad con la Política de Datos de Usuarios de los Servicios de API de Google, el uso de la información recibida de las APIs de Google por parte de Citali se limita a los propósitos específicos descritos en esta Política de Privacidad. Específicamente:

• Accedemos a los datos de Google Calendar únicamente para crear, ver y gestionar eventos de reservas en los calendarios que usted autoriza explícitamente.
• No utilizamos datos de Google Calendar para desarrollar, mejorar o entrenar modelos de IA/ML.
• No compartimos, vendemos ni transferimos datos de Google Calendar a terceros para ningún propósito que no sea proporcionar el servicio de sincronización de reservas.
• Los usuarios pueden revocar el acceso de Citali a su Google Calendar en cualquier momento a través de la configuración de su cuenta de Google o directamente dentro de la aplicación Citali.

Esta política se adhiere a los requisitos de Uso Limitado de Google según se describe en la Política de Datos de Usuarios de los Servicios de API de Google.

7. Plazos de Conservación de los Datos

Los datos personales se conservarán según los siguientes criterios:

En caso de obligaciones legales específicas, algunos datos podrán conservarse durante los plazos legalmente establecidos.

8. Destinatarios

Durante el tratamiento de sus datos, Citali podrá ceder datos únicamente a:

• Empresas adheridas a Citali para la prestación del servicio de reservas
• Proveedores de servicios técnicos (Firebase, servicios de notificaciones)
• Autoridades competentes cuando sea legalmente requerido

9. Sus Derechos

Los interesados podrán ejercer en cualquier momento y de forma gratuita los siguientes derechos:

• Acceder a su información personal y visualizar su historial completo de reservas
• Modificar sus datos de perfil
• Eliminar su cuenta y datos asociados
• Controlar las notificaciones que recibe y su integración con el calendario del dispositivo
• Controlar la integración con Google Calendar: Puede habilitar o deshabilitar la sincronización en cualquier momento desde la aplicación
• Revocar acceso a Google Calendar: Puede revocar el acceso desde su cuenta de Google (Google Account Settings → Connected apps & sites) o desde la aplicación Citali

Para ejercer estos derechos, puede dirigir un escrito a la dirección de correo electrónico indicada en el apartado de contacto. Se le podrá solicitar su DNI para acreditar su identidad.

En caso de vulneración de sus derechos, puede presentar una reclamación ante la Agencia Española de Protección de Datos a través de www.aepd.es.

10. Transferencias Internacionales

Citali no realiza transferencias internacionales de datos. En caso de que fuera necesario, se verificará el grado de protección del país de destino y se adoptarán las garantías exigidas por la normativa aplicable.

11. Exactitud de los Datos

El usuario garantiza que los datos aportados son verdaderos, exactos, completos y actualizados, comprometiéndose a informar de cualquier cambio. Será responsable de cualquier daño que pudiera ocasionar por el incumplimiento de esta obligación.

Campos opcionales: La fecha de nacimiento y el número de teléfono son campos opcionales que mejoran su experiencia cuando se proporcionan. La veracidad de estos datos es importante para la prestación adecuada del servicio cuando decide compartirlos.

Si facilita datos de terceros, declara que cuenta con el consentimiento de los interesados.

12. Retención de Datos

Conservamos su información personal mientras su cuenta esté activa o según sea necesario para proporcionarle servicios. Puede solicitar la eliminación de sus datos en cualquier momento.

13. Cambios en esta Política

Podemos actualizar esta Política de Privacidad ocasionalmente. Le notificaremos sobre cambios significativos a través de la aplicación o por correo electrónico.