Política de Privacidad

Cuando un gimnasio o un colegio usa Septus para gestionar a sus clientes, alumnos o personal, ese negocio es el responsable de esos datos y Septus actúa como encargado: los tratamos solo para prestarle el servicio y según sus instrucciones. Para las cuentas que abres directamente con nosotros (administradores de negocios, Septus Finance, referidos), Septus es el responsable.

• Cuentas de acceso: nombre, correo electrónico, rol y contraseña (guardada con hash, nunca en texto plano). Si inicias sesión con Google recibimos tu nombre y correo.
• Gimnasios (SeptusFit): datos de los socios que registra el gimnasio — nombre, cédula, correo, teléfono, foto, planes y pagos, asistencia y medidas de progreso si el gimnasio las usa.
• Colegios: datos de alumnos, docentes y personal que registra la institución (nombres, cursos, matrículas y asistencia).
• Septus Finance: gastos, ingresos, categorías y tarjetas (solo banco y últimos 4 dígitos). Si conectas tu correo, leemos únicamente las notificaciones de tus bancos; el detalle está en la política de privacidad de Septus Finance.
• Pagos: los cobros con tarjeta los procesa PayPhone. Septus nunca ve ni guarda el número completo de la tarjeta ni su CVV; solo un identificador (token), la marca y los últimos 4 dígitos.
• Facturación electrónica: datos fiscales (nombre o razón social, cédula o RUC, dirección y correo) necesarios para emitir comprobantes ante el SRI.
• Mensajería y redes sociales que conecte un gimnasio (Facebook, Instagram, Telegram o su propio WhatsApp): ver la sección 3.
• Datos técnicos: registros de acceso y errores (dirección IP, navegador, fecha y hora) para seguridad y soporte.

Un gimnasio puede conectar su Página de Facebook y su cuenta profesional de Instagram a Septus para responder mensajes y comentarios desde una sola bandeja de entrada y para publicar contenido. Al conectarlas recibimos y guardamos:

• El nombre y el identificador de la Página o cuenta conectada, y el token de acceso de la página que el gimnasio autoriza.
• De las personas que escriben o comentan en esa Página o cuenta: su identificador en la página, su nombre público y la URL de su foto de perfil, si Meta la entrega.
• El texto de los mensajes directos y comentarios que reciben, y las respuestas que envía el gimnasio desde Septus.
• Para comentarios: un extracto y el enlace de la publicación donde se hicieron.
• Si el gimnasio conecta su cuenta publicitaria de Meta: el ID y el nombre de la cuenta, el token de acceso que autoriza y los datos de las campañas que crea desde Septus (nombre, presupuesto, fechas, público objetivo y estado).

Usamos estos datos únicamente para:

• Mostrar las conversaciones y comentarios en la bandeja de entrada del gimnasio y permitirle responderlas.
• Publicar en la Página o cuenta de Instagram del gimnasio el contenido que el propio gimnasio crea y aprueba.
• Crear, activar y pausar las campañas de publicidad que el propio gimnasio configura, en su propia cuenta publicitaria.

No vendemos estos datos, no los usamos para publicidad ni para crear perfiles, no los compartimos con otros gimnasios y no los enviamos a proveedores de inteligencia artificial. Solo el personal autorizado del gimnasio que los recibe puede verlos. Cumplimos las Condiciones de la Plataforma de Meta.

El gimnasio puede desconectar su Página o cuenta cuando quiera desde la Bandeja de entrada de Septus (“Canales y automatización”), y su cuenta publicitaria desde Marketing: el token de acceso se borra en ese momento y dejamos de recibir mensajes. Para borrar las conversaciones ya guardadas, sigue la página de eliminación de datos.

• Prestar el servicio que contrató el negocio o la persona: gestión de socios, cobros, asistencia, clases, finanzas personales y mensajería.
• Cobrar la suscripción de la plataforma y emitir las facturas correspondientes.
• Enviar correos del servicio (códigos de verificación, recuperación de contraseña, recibos y avisos de cobro).
• Seguridad, prevención de fraude, soporte y cumplimiento de obligaciones legales y tributarias.

Usamos proveedores de IA solo en funciones concretas: sugerir el texto de una publicación a partir de la idea que escribe el gimnasio (Anthropic) e interpretar notificaciones bancarias en Septus Finance (DeepSeek). Los proveedores procesan la información en nuestro nombre, solo para devolver ese resultado. Los mensajes y comentarios de Facebook e Instagram no se envían a ningún proveedor de IA.

No vendemos ni alquilamos datos personales. Solo los compartimos con:

• El negocio (gimnasio o colegio) al que pertenecen los datos.
• Proveedores que nos ayudan a operar el servicio, bajo obligaciones de confidencialidad: alojamiento y base de datos, almacenamiento de archivos (Cloudflare R2), envío de correos (Resend), pagos (PayPhone), los proveedores de IA de la sección 5 y Meta, Telegram o WhatsApp, cuando el negocio envía mensajes por esos canales.
• El Servicio de Rentas Internas (SRI), para la facturación electrónica.
• Autoridades, cuando la ley lo exija.

Las conexiones van cifradas (HTTPS), las contraseñas se guardan con hash y las credenciales sensibles (tokens de correo y claves de facturación) se guardan cifradas. El acceso a los datos está limitado por negocio y por rol.

Conservamos los datos mientras la cuenta esté activa. Cuando se elimina una cuenta o se aprueba una solicitud de eliminación, borramos los datos en un plazo máximo de 30 días, salvo los que la ley nos obliga a conservar (por ejemplo, los comprobantes electrónicos y registros tributarios, durante el plazo que exige la normativa ecuatoriana).

Puedes solicitar el acceso, la rectificación, la eliminación, la portabilidad o la suspensión del tratamiento de tus datos, u oponerte a él. Si tus datos los registró un gimnasio o un colegio, puedes dirigirte a ese negocio o a nosotros y lo coordinaremos con él. Escríbenos a soporte@septus.site; respondemos en un plazo máximo de 15 días. Las instrucciones para borrar tus datos están en la página de eliminación de datos.

Los datos de menores (por ejemplo, alumnos de un colegio o socios menores de un gimnasio) los registra la institución, que es responsable de contar con la autorización de sus padres o representantes. No ofrecemos cuentas propias a menores fuera de ese contexto.

Si cambiamos esta política, actualizaremos la fecha de arriba y, si el cambio es importante, lo avisaremos en la plataforma o por correo. Para cualquier consulta sobre privacidad escríbenos a soporte@septus.site.