Plantilla. Tu gimnasio debe revisarla y adaptarla antes de adoptarla. Última actualización: 31 de octubre de 2026.

Orlo prepara esta plantilla para ayudar a los gimnasios que la usan a cumplir el artículo 35 del RGPD, como parte de la asistencia que nos corresponde como encargado del tratamiento (artículo 28 del RGPD y Anexo 1, apartado 2.6, de nuestros términos). No es asesoramiento jurídico. El responsable del tratamiento es tu gimnasio, y la evaluación es suya: revisa cada apartado, completa lo que va entre corchetes, borra lo que no se aplique y guárdala firmada con tus registros. Si tienes delegado de protección de datos, pídele su opinión.

Esta evaluación cubre solo el conector de Claude y ChatGPT (Preferencias → Integraciones). No cubre el asistente que vive dentro de Orlo, que funciona de otra manera.

1. Descripción del tratamiento

• Responsable: [nombre del gimnasio], [CIF], [dirección], [email de contacto].
• Encargado: Orlo Ltd, 124 City Road, Londres EC1V 2NX, Reino Unido, con las Condiciones de Tratamiento de Datos del Anexo 1 de sus términos.
• Qué se hace: personas del equipo del gimnasio usan un asistente de inteligencia artificial (Claude, de Anthropic, o ChatGPT, de OpenAI) conectado al sistema de gestión del gimnasio a través del conector de Orlo. Le hacen preguntas sobre las clases, las reservas, los socios, los pagos y la web, y le piden cambios, como cambiar el entrenador de una clase o crear una página.
• Cómo funciona: cada persona conecta su propia cuenta del asistente con su propio usuario de Orlo. Cuando el asistente necesita un dato para responder, se lo pide a Orlo, y Orlo le devuelve solo lo que esa persona puede ver en su panel. Orlo no ve la conversación.
• Quién lo usa: [cargos o nombres de las personas del equipo con el permiso “Usar Claude y ChatGPT”].
• Plan del asistente: [Claude Team / Enterprise / API o ChatGPT Team / Enterprise / API], con el acuerdo de tratamiento de datos (DPA) del proveedor aceptado el [fecha].
• Interesados: socios, clientes y clientes potenciales del gimnasio.
• Fecha de inicio prevista: [fecha].

2. Necesidad y proporcionalidad

• Finalidad: ayudar al equipo a gestionar clases, reservas y la atención a los socios con menos trabajo administrativo. [Describe para qué lo usáis en concreto.]
• Base jurídica: la misma que ya tiene cada dato en Orlo: la ejecución del contrato con el socio (artículo 6.1.b del RGPD) para gestionar sus reservas y su cuota, y el interés legítimo del gimnasio (artículo 6.1.f) en organizar su trabajo de forma eficiente. [Documenta la ponderación del interés legítimo.] El conector no sirve para tratar categorías especiales de datos, que se excluyen (apartado 3).
• Minimización: el asistente solo recibe lo que pide para responder a una pregunta, y nunca más de lo que la persona que pregunta ve en el panel. Los datos de contacto y de salud no se envían nunca.
• Alternativas: el equipo puede hacer todo lo mismo desde el panel de Orlo. El conector es opcional: el propietario decide activarlo, y cada persona necesita un permiso que está desactivado por defecto.
• Información a los socios: el gimnasio añade a su aviso de privacidad el párrafo que facilita Orlo (Preferencias → Integraciones). Si la web del gimnasio está en Orlo, su política de privacidad ya lo incluye.

3. Datos tratados y datos excluidos

Se pueden enviar al asistente, cuando lo pide para responder:

• nombre del socio y su identificador de Orlo;
• reservas, asistencia y ausencias;
• tipo de cuota, bono y estado de los pagos;
• entrenamientos, ejercicios y registros de pesos;
• objetivos y notas de entrenamiento, salvo las marcadas como sensibles;
• respuestas a las encuestas del gimnasio;
• fotos de la biblioteca de la web del gimnasio, en las que pueden aparecer socios;
• datos agregados del negocio y de la web.

No se envían nunca, y no hay ningún ajuste que lo permita:

• dirección de correo electrónico;
• número de teléfono;
• respuestas al cuestionario de salud (PAR-Q) y a la exención de responsabilidad;
• la categoría “Lesiones y salud” de las notas sobre el socio;
• notas y objetivos marcados como “Sensible — fuera de las herramientas de IA”.

El equipo puede buscar a un socio por su email o su teléfono solo con el valor completo y exacto. El asistente nunca recibe el email ni el teléfono en la respuesta, y esas búsquedas tienen un límite y quedan registradas.

4. Destinatarios

• Orlo, como encargado del gimnasio, que aloja los datos y los entrega al asistente.
• El proveedor del asistente ([Anthropic / OpenAI]), que trata los datos que recibe como encargado del gimnasio bajo el acuerdo de tratamiento de datos de su plan de empresa. El gimnasio se compromete, al activar el conector, a usarlo solo con planes de empresa que incluyan ese acuerdo. Con un plan personal el proveedor sería un tercero sin contrato de tratamiento, y eso no está permitido.
• El proveedor no usa los datos para entrenar sus modelos con estos planes. [Comprueba y anota la cláusula de su acuerdo.]

5. Transferencias internacionales

Los proveedores tratan los datos en Estados Unidos. La transferencia se ampara en [la certificación del proveedor en el Marco de Privacidad de Datos UE-EE. UU. / las cláusulas contractuales tipo de la Comisión Europea incluidas en su acuerdo de tratamiento de datos]. [Comprueba en dataprivacyframework.gov que el proveedor sigue certificado y anota la fecha.]

6. Riesgos y medidas

Para cada riesgo, la probabilidad y la gravedad son las que Orlo estima con las medidas aplicadas. Ajústalas a tu gimnasio.

1. Los datos acaban en una cuenta sin contrato de tratamiento (por ejemplo, el plan personal de alguien del equipo). Medidas: el propietario activa el conector y acepta un compromiso de usar solo planes de empresa con acuerdo de tratamiento de datos; Orlo guarda quién lo aceptó, cuándo y qué versión. Cada persona necesita el permiso “Usar Claude y ChatGPT”, desactivado por defecto para todos los roles, incluidos los administradores. [Medida propia: comprueba qué cuentas usa el equipo.] Riesgo residual: medio. Orlo no puede saber qué plan tiene una cuenta; es un compromiso contractual, no un control técnico.

2. Datos de salud en texto libre (una lesión anotada en una nota de entrenamiento). Medidas: la categoría “Lesiones y salud” y el cuestionario de salud no salen nunca; los entrenadores marcan como sensibles las notas y objetivos con información médica, y esas no salen; el editor de notas lo recuerda. Riesgo residual: medio. Depende de que el equipo marque las notas. [Medida propia: formación al equipo.]

3. Alguien del equipo ve más de lo que necesita. Medidas: el asistente tiene exactamente los permisos que esa persona tiene en el panel; el permiso del conector se da persona a persona; cada persona se conecta con su propia cuenta. Riesgo residual: bajo.

4. Un cambio no deseado (el asistente entiende mal una petición). Medidas: los cambios que afectan a varias cosas se enseñan antes y solo se hacen cuando la persona confirma; el asistente no puede hacer devoluciones, cobros, cambios de plan ni borrar nada; cada cambio queda en el historial con quién lo pidió y que se hizo desde Claude o ChatGPT. Riesgo residual: bajo.

5. Averiguar el email o el teléfono de un socio a base de búsquedas. Medidas: solo coincidencias exactas del valor completo; nunca se devuelven; límite de búsquedas por conexión; quedan registradas. Riesgo residual: bajo.

6. No poder responder a quién ha visto los datos de un socio. Medidas: Orlo registra qué socios devolvió cada consulta (solo identificadores, nunca los datos) y lo guarda 12 meses. Riesgo residual: bajo.

7. Acceso indebido con una conexión robada o abandonada. Medidas: inicio de sesión con OAuth; los accesos caducan en una hora; quitar el permiso, o desactivar el conector, corta el acceso en la siguiente consulta; límite de consultas por conexión. Riesgo residual: bajo. [Medida propia: quitar el permiso cuando alguien deja el equipo.]

8. Los socios no saben que se usa. Medidas: el párrafo para el aviso de privacidad (apartado 2). Riesgo residual: bajo, una vez publicado.

9. Respuestas inexactas sobre un socio. Medidas: las cifras salen de las mismas consultas que el panel; el asistente no toma decisiones por sí mismo con efectos sobre el socio; la persona del equipo revisa lo que hace con la respuesta. Riesgo residual: bajo.

10. Transferencia a Estados Unidos. Medidas: apartado 5. Riesgo residual: bajo.

7. Conservación

• Conversaciones: se guardan en la cuenta del asistente del gimnasio, no en Orlo. El plazo lo fija el gimnasio en esa cuenta, bajo el acuerdo de tratamiento de datos de su plan de empresa. [Anota el plazo configurado.]
• Registro de qué socios devolvió cada consulta: 12 meses en Orlo, solo identificadores.
• Historial de cambios: el mismo plazo que el resto del historial de Orlo.
• Lo que el asistente escribe en Orlo (notas, cambios en clases o socios) forma parte de la ficha del socio y sigue su ciclo de vida normal, incluida la supresión.

8. Derechos de los interesados

Los socios ejercen sus derechos ante el gimnasio, en [email de contacto], como con el resto de sus datos. Orlo ayuda al gimnasio a responder.

• Acceso: el gimnasio puede pedir a Orlo qué consultas del conector devolvieron datos de un socio en los últimos 12 meses y en qué fecha. [Si el socio lo pide, busca también en las conversaciones de la cuenta del asistente.]
• Rectificación y supresión: se hacen en Orlo y valen también para el conector, porque el asistente lee los datos de Orlo en cada consulta. Las conversaciones que ya existen en la cuenta del asistente las borra el gimnasio allí.
• Oposición: si un socio se opone, [describe cómo lo gestionáis: por ejemplo, el equipo no pregunta al asistente por ese socio y marca como sensibles sus notas].
• Limitación y portabilidad: igual que para el resto de los datos en Orlo.
• Reclamación: ante la Agencia Española de Protección de Datos (www.aepd.es).

9. Conclusión y aprobación

Con las medidas descritas, [el gimnasio] considera que el riesgo residual es [aceptable / no aceptable] y que [no] es necesaria la consulta previa a la AEPD (artículo 36 del RGPD).

• Aprobado por: [nombre y cargo], el [fecha].
• Opinión del delegado de protección de datos: [si lo hay].
• Próxima revisión: [fecha, como máximo en un año, o antes si cambia el conector, el proveedor o su plan].