Un socio te da su nombre, su DNI, su teléfono y su correo. Después te cuenta que tiene una lesión de rodilla. Su cuota queda asociada a una forma de pago, sus entradas se registran con fecha y hora, y quizá una cámara graba la puerta. Todo eso son datos personales, y algunos, los de salud, son de una categoría que la normativa trata con especial cuidado.
Esta guía es una orientación general sobre el Reglamento General de Protección de Datos (RGPD) y la normativa española que lo desarrolla, aplicada al día a día de un gimnasio. No es asesoramiento jurídico, no cita artículos, plazos ni sanciones y no sustituye a tu asesor o a un delegado de protección de datos, que son quienes deben confirmar qué te corresponde a ti. Su propósito es que sepas qué preguntas hacer y cómo ayuda una herramienta como Manager SHFIT, nuestro programa de gestión de gimnasios, con lo que hace y lo que deja de tu mano.
Qué datos tratas en un gimnasio
Haz un inventario sencillo, porque no se protege lo que no se conoce:
- Identificación y contacto: nombre, DNI, fecha de nacimiento, teléfono, correo, dirección.
- Datos económicos: plan, forma de pago, historial de cobros y facturas.
- Datos de uso: entradas y salidas, reservas de clases, citas, asistencia.
- Datos de salud o de condición física: cuestionarios de aptitud, lesiones, observaciones, mediciones corporales, rutinas.
- Imagen y vídeo: cámaras de seguridad, fotos para promoción o para el carné.
- Datos de menores: fechas de nacimiento y autorizaciones del tutor.
- Datos del personal: horarios, fichajes, firmas y nóminas.
Cada categoría tiene sus reglas, y los datos de salud y los de menores requieren más cautela. Decide qué necesitas de verdad: lo que no recojas no podrá perderse ni filtrarse.
Por qué puedes tratarlos: base legal y consentimientos
Para tratar datos necesitas una razón legítima. En términos generales: para ejecutar el contrato con el socio (gestionar su cuota y su acceso) normalmente basta con ese contrato; para otras finalidades, como enviarle promociones o usar su imagen en redes, suele hacer falta su consentimiento, separado y específico y que pueda retirar. Las comunicaciones comerciales y el uso de imagen no deben ir «metidos» dentro de la aceptación del contrato.
Lo que sí conviene tener siempre: un texto informativo claro (quién trata los datos, para qué, cuánto tiempo, qué derechos tiene y cómo ejercerlos) y una forma de recoger y guardar el consentimiento cuando lo necesites. Con papel es fácil perder el rastro; por eso muchos centros prefieren hacerlo en digital. Manager SHFIT tiene un módulo opcional de consentimientos y documentos firmados: creas los documentos con el texto que quieras (hay plantillas de ejemplo para normas, aptitud física, protección de datos, uso de imagen y autorización de menores, que debes revisar con tu asesor) y el socio los firma desde su móvil con un QR o en una tablet. La firma se guarda con su fecha y su evidencia, no se puede modificar y solo se revoca con un motivo por parte de la administración. Puedes marcar documentos como obligatorios para que la ficha y el check-in avisen si falta alguno, sin bloquear la entrada.
Los derechos de los socios
Los socios pueden pedirte acceso a sus datos, rectificarlos, suprimirlos cuando proceda, oponerse a ciertos tratamientos, limitarlos o llevárselos. Necesitas un procedimiento sencillo: a quién escribir, quién lo resuelve y en cuánto tiempo (que fija la norma, no esta guía). En el día a día, lo más habitual es rectificar datos o dar de baja de comunicaciones. Que el socio pueda editar sus propios datos desde su portal, como ocurre en Manager SHFIT con su teléfono, correo, contacto de emergencia y notas, reduce parte de esa carga. Cada mensaje automático lleva una baja con un clic, y a quien se da de baja no se le envía nada por ningún canal.
Seguridad: quién ve qué y cómo se protege
La mayor parte de los incidentes en un gimnasio no son ataques sofisticados: son un ordenador de recepción abierto, una contraseña compartida o un exempleado que mantiene acceso. Algunas medidas básicas:
- Permisos por persona. Cada empleado ve solo lo que necesita para su trabajo. En Manager SHFIT los permisos son por usuario y hay un rol de analista de solo lectura para gestorías o asesores.
- Contraseñas individuales y doble factor para el personal, si el programa lo ofrece (en Manager SHFIT es un módulo opcional).
- Límite de intentos de acceso y sesiones que caducan.
- Registro de quién hace qué en las operaciones sensibles: anulaciones, descuentos, aperturas manuales.
- Copias de seguridad y un plan para recuperar los datos.
- Dar de baja los accesos cuando alguien deja el equipo.
También conviene minimizar lo que se ve: en Manager SHFIT, por ejemplo, el rol de analista (pensado para una gestoría o un asesor) ve el estado de cada socio, pero no su DNI, teléfono, correo, fecha de nacimiento, contacto de emergencia ni notas, porque para su trabajo no los necesita.
Cámaras, accesos y datos de salud
Las cámaras de seguridad son datos personales y exigen información visible a quien entra y una finalidad concreta; cómo hacerlo en tu caso, y cuánto tiempo conservar las imágenes, lo confirma tu asesor. Manager SHFIT incluye como opción un módulo de cámaras que guarda una foto de la cámara de la entrada en cada acceso permitido; solo la ve el administrador, no hay grabación continua y las fotos se borran por defecto a los 30 días. Si lo activas, informa a tus socios y consulta con tu asesor cómo señalizarlo.
Los datos de salud (cuestionarios de aptitud, lesiones) son de categoría especial: recoge solo los necesarios, guárdalos donde pocos accedan y con un consentimiento claro. Los menores merecen una atención añadida, con autorización del tutor.
Tu proveedor de software: encargado del tratamiento
Cuando usas un programa en la nube, el proveedor trata datos de tus socios por tu cuenta. En términos generales eso se formaliza en un contrato de encargo de tratamiento, y debes preguntar dónde se alojan los datos, quién tiene acceso, qué pasa con ellos si te das de baja y si puedes exportarlos. Estas preguntas figuran también en la lista de cómo elegir software de gestión para tu gimnasio. En la demo en vivo puedes ver cómo se reparten los permisos y los consentimientos.
Y recuerda: el software ayuda, pero la responsabilidad del tratamiento es del gimnasio. La base legal de cada envío, el texto de tus documentos y tu registro de actividades de tratamiento son decisiones tuyas, que conviene validar con un profesional.
Preguntas frecuentes
¿Necesito el consentimiento del socio para guardar sus datos?
Para gestionar su cuota y su acceso normalmente basta con el contrato. Para otras finalidades, como enviarle promociones o usar su imagen, suele hacer falta un consentimiento separado y específico. Lo que corresponde en tu caso lo confirma tu asesor.
¿Cómo recojo las firmas de autorización sin papel?
Con el módulo opcional de consentimientos de Manager SHFIT, el socio firma desde su móvil con un QR o en una tablet del mostrador. La firma queda guardada con su fecha y no se puede modificar. Las plantillas de ejemplo debes revisarlas con tu asesor.
¿Puedo grabar con cámaras en la entrada?
Las cámaras de seguridad exigen información visible y una finalidad concreta, y su régimen lo debes confirmar con tu asesor. El módulo de cámaras de Manager SHFIT solo guarda una foto de la entrada en cada acceso permitido, visible para el administrador y borrada por defecto a los 30 días.
¿Esta guía sustituye al asesoramiento de un profesional?
No. Es una orientación general sin valor de asesoramiento jurídico. Para saber qué debes hacer en tu centro, consulta con tu asesor o con un delegado de protección de datos.