Anexo A. Aviso de Privacidad

2026-10-09.draft1 · SHA-256 (utf8-source): 0c032218764c30404e27273e08d8dfb219998fb36bdaa15e3934c2f291b18aaf

Anexo A. Aviso de Privacidad

Este Aviso de Privacidad forma parte de los Términos y Condiciones y explica cómo se tratan sus datos al utilizar la plataforma ACTIVA, gestionar su membresía o comunicarse con nosotros sobre esos servicios. Los formularios de interés del sitio informativo quedan fuera del alcance de este aviso. Se aplica junto con la sección 18, la Ley N.° 8968 y su Reglamento. La autorización opcional de fotografía se desarrolla en el Anexo B.

A.1. Responsable y contacto. El responsable es 3-102-971466 S.R.L., cédula jurídica 3-102-971466, operadora de ACTIVA, con domicilio en Cartago, La Unión, San Juan, Condominio Santa Lucía, casa número cuarenta y ocho, Costa Rica. Para asuntos de privacidad puede escribir a soporte@4ctiva.com o utilizar el soporte de la aplicación. También puede comunicarse al +506 7291 6960.

A.2. Datos que usted proporciona. Se tratan su nombre, número de identificación, fecha de nacimiento para comprobar la mayoría de edad, datos de contacto, datos de cuenta y facturación, preferencias de membresía y la información necesaria que incluya en solicitudes a soporte. La fotografía de perfil se incorpora únicamente si usted decide aportarla y autorizar su uso. No envíe documentos, imágenes de terceros ni información sensible que no sean necesarios para su solicitud.

A.3. Datos de elegibilidad y uso. La empresa o asociación participante puede comunicar su nombre, identificación, datos de contacto y condición habilitante para verificar su elegibilidad conforme al convenio. ACTIVA registra el plan, ciclos, reservas, movimientos de créditos, ingresos, incidencias, solicitudes y referencias de pagos o devoluciones. También trata registros técnicos necesarios para seguridad y diagnóstico de errores, y conserva constancia de las versiones aceptadas y de las autorizaciones o retiros, vinculada a su cuenta, fecha y hora.

A.4. Para qué se utilizan. Estos datos permiten crear y proteger su cuenta, verificar elegibilidad e identidad, gestionar membresías y reservas, validar ingresos, administrar créditos, procesar pagos, emitir comprobantes, conciliar visitas con los Centros, enviar comunicaciones necesarias del servicio y atender solicitudes, reclamos y obligaciones legales. Los datos se limitan a lo necesario para cada finalidad. Los comprobantes y referencias de pago no equivalen a los datos completos de su tarjeta, que administra el procesador.

A.5. Datos necesarios y decisiones voluntarias. Antes de solicitar datos se indica cuáles son necesarios y para qué. Si no proporciona los datos indispensables para verificar su elegibilidad, contratar o facturar, puede no ser posible completar esa operación. La fotografía y la autorización publicitaria son voluntarias: negarse a ellas o retirar cualquiera de esas autorizaciones no impide registrarse, comprar, reservar, generar códigos, ingresar ni renovar, sujeto a los demás requisitos del servicio.

A.6. Identificación en los Centros. El ingreso utiliza un QR o código temporal personal y la verificación humana de identidad. Con foto autorizada, el personal la compara visualmente con usted. Sin foto, muestra su identificación en recepción: no se fotografía ni se guarda copia del documento dentro de este procedimiento. El Centro no copia, descarga, publica ni reutiliza su fotografía. ACTIVA no realiza reconocimiento facial automatizado, no genera plantillas faciales y no guarda fotografías de su rostro al escanear su código. La cámara de escaneo se utiliza para leer el QR.

A.7. Quién puede acceder. El personal autorizado de ACTIVA accede según sus funciones de operación y soporte. El Centro correspondiente recibe los datos necesarios para la reserva, validación y prestación del servicio, incluida la foto solo cuando esté autorizada. La empresa o asociación participa en la verificación de elegibilidad y no recibe su fotografía ni su historial individual de visitas. El contador y los proveedores reciben únicamente la información necesaria para sus funciones. Los requerimientos de autoridades se atienden cuando exista fundamento legal.

A.8. Proveedores y servicios. ONVO procesa los pagos. El contador utiliza Odoo para su gestión contable y la facturación que se coordine con ACTIVA. Supabase presta los servicios de datos, autenticación y almacenamiento de fotografías; Vercel aloja la aplicación; Resend envía comunicaciones de cuenta y del servicio, para lo que recibe el destinatario y el contenido necesario. Upstash participa en la prevención de abuso y Sentry en el diagnóstico de errores, con los datos técnicos necesarios para esas funciones. [Identificar al contador o firma que trata los datos y al operador y alojamiento de su instancia de Odoo, y confirmar el alcance de la integración de facturación.]

A.9. Alojamiento y acceso desde otros países. Los servicios tecnológicos implican almacenamiento o acceso fuera de Costa Rica. La región principal de un servicio no limita por sí sola todos sus registros técnicos, respaldos, accesos de soporte o distribución de contenido a ese lugar. Los encargados deben actuar conforme a las instrucciones y finalidades autorizadas, con obligaciones de confidencialidad, seguridad y eliminación; no se les autoriza a reutilizar las fotografías ni a entrenar modelos con ellas.

Supabase. La región principal del proyecto de ACTIVA es Virginia del Norte, Estados Unidos (us-east-1), para la base de datos, autenticación y archivos. Supabase informa que los registros técnicos se almacenan en centros de datos de la Unión Europea, y que puede existir acceso de soporte internacional y distribución de archivos mediante una red global, según la configuración y ubicación de los usuarios. Véase su información sobre ubicación y tratamiento internacional.

Vercel y Upstash. Vercel tiene como región principal Washington, D. C., Estados Unidos (iad1), y utiliza una red internacional de distribución y seguridad. La base de Upstash configurada para ACTIVA tiene como región principal Virginia del Norte, Estados Unidos (us-east-1). No tiene configuradas réplicas de lectura en otras regiones.

Resend. Almacena los datos del servicio de correo en Estados Unidos. La región desde la que se envía un mensaje es distinta de la ubicación de almacenamiento, conforme a su información de seguridad y tratamiento de datos.

Sentry. La región comunicada por ACTIVA es Estados Unidos, con almacenamiento de los eventos de diagnóstico en Iowa. Esa selección se refiere al almacenamiento; los accesos y demás tratamientos se rigen por las condiciones del proveedor. Véase su documentación sobre ubicación de datos.

ONVO y Odoo. ONVO declara utilizar infraestructura de Amazon Web Services, sin identificar en la documentación pública consultada el país o región aplicable a ACTIVA. La ubicación de Odoo depende de la modalidad de alojamiento y de la instalación que utiliza el contador; utilizar Odoo no identifica por sí solo el país donde se guardan los datos.

[Completar con ONVO los países de almacenamiento, procesamiento y respaldos; con el contador, el operador y los países de su instalación de Odoo. Revisar las condiciones contractuales y de tratamiento internacional aplicables antes de recabar la aceptación.]

A.10. Conservación por finalidad. Los datos no se conservan de forma indefinida por el solo hecho de haber tenido una cuenta. Se eliminan o se disocian de su identidad cuando dejan de ser necesarios para la finalidad informada, salvo una obligación legal o la conservación limitada que corresponda para atender una controversia concreta. La conservación de un comprobante fiscal o de una aceptación no justifica guardar también su fotografía.

A.11. Fotografías. La foto vigente se conserva mientras mantenga la cuenta y su autorización y sea necesaria para la verificación opcional. Al retirarla, sustituirla o cerrar la cuenta, deja de mostrarse de inmediato y el archivo se elimina del almacenamiento activo en un máximo de cinco días hábiles. La foto anterior no se conserva como historial de imágenes. Puede conservarse la evidencia mínima de autorización o retiro, separada del archivo de la fotografía. El tratamiento de respaldos se describe en A.14.

A.12. Plazos de conservación. Los siguientes son plazos máximos de la política de ACTIVA; se elimina antes lo que deje de ser necesario. Al vencer el plazo, los datos se eliminan del almacenamiento activo o se anonimizan de forma irreversible. Cambiar el nombre por un código no equivale por sí solo a anonimizar. Las copias residuales de recuperación se rigen por A.14 y no permanecen disponibles para el uso ordinario.

A.12.1. Cuenta y elegibilidad vigente. Se mantienen los datos de perfil y la condición de elegibilidad mientras sean necesarios para gestionar la cuenta y el acceso. Al cerrarse la cuenta, los datos operativos se eliminan en un máximo de cinco días hábiles, separando únicamente la evidencia que corresponda conservar conforme a A.12.7, A.12.8 y A.13. Cuando no exista membresía activa ni actividad del usuario durante doce meses consecutivos, ACTIVA avisa con treinta días naturales de anticipación al cierre por inactividad y permite solicitar su continuidad. No se cierra por esta vía una cuenta con un ciclo pagado vigente o una gestión de servicio pendiente.

A.12.2. Archivos de elegibilidad. Los archivos y listados de verificación se eliminan dentro de los treinta días naturales siguientes a su sustitución o al cese de su necesidad. La condición vigente se actualiza conforme a la relación con la empresa o asociación. Cuando una verificación sustente una contratación, se conserva por separado solo la evidencia mínima necesaria, sin mantener por ese motivo el listado completo de otras personas.

A.12.3. Reservas, visitas y créditos. El detalle operativo se conserva hasta doce meses desde la fecha de cada evento. Los registros mínimos que acrediten un cobro, devolución o liquidación al Centro se separan y conservan conforme a A.13; esta excepción no permite guardar el perfil completo ni la fotografía del miembro.

A.12.4. Soporte técnico. Los casos puramente técnicos se conservan hasta doce meses desde su cierre. Los adjuntos innecesarios se eliminan antes. Las comunicaciones sobre contratación, pagos, cancelaciones, devoluciones, liquidaciones o controversias se conservan como evidencia comercial conforme a A.13, limitadas a lo necesario.

A.12.5. Registros técnicos. Los registros de seguridad y diagnóstico se conservan hasta noventa días naturales desde el evento. No deben incluir fotografías, contraseñas, códigos completos de ingreso ni datos completos de tarjetas. Las credenciales y códigos de acceso se invalidan al vencer o revocarse; cualquier registro residual de esos códigos se elimina dentro de los siete días naturales siguientes, sin impedir la conservación separada de una constancia mínima de ingreso o incidente cuando corresponda.

A.12.6. Consultas sin contratación. Los datos de consultas e interés comercial recibidos por los canales de atención de ACTIVA relacionados con la plataforma, que no den lugar a una contratación ni a una controversia, se conservan hasta doce meses desde la última interacción de la persona, salvo la correspondencia comercial que deba conservarse conforme a A.13. No se prolonga el plazo por el solo envío de mensajes de ACTIVA.

A.12.7. Aceptaciones y retiros. La evidencia mínima de aceptación de términos y de autorizaciones se conserva mientras produzca efectos y durante cinco años desde que termine su aplicación a la persona. Para la autorización de fotografía, el plazo comienza con su retiro o el cierre de la cuenta; para los términos, al finalizar el último servicio al que se aplicó esa aceptación. Se conserva el identificador necesario, la versión, la finalidad, la fecha y hora y el acto de aceptación o retiro, sin conservar por ese motivo la fotografía. Los textos legales históricos pueden mantenerse sin límite temporal como documentos, separados de los vínculos personales cuya conservación haya vencido.

A.12.8. Excepciones y derechos. Una obligación legal concreta, una fiscalización, un reclamo o un proceso pendiente puede exigir conservar datos específicos durante el tiempo que corresponda. ACTIVA documenta el motivo y alcance, restringe el acceso, revisa la necesidad al menos cada seis meses y elimina los datos en un máximo de cinco días hábiles cuando desaparezca la causa y no subsista otro plazo aplicable. Una posibilidad genérica de reclamo no justifica retener toda la cuenta. Estos plazos no limitan el derecho a solicitar antes la supresión ni el plazo de resolución de A.16.

A.13. Documentación contable, fiscal y comercial. Las facturas, notas de crédito, comprobantes de pago, correspondencia comercial y registros mínimos que respaldan cobros, devoluciones y liquidaciones a Centros se conservan durante cinco años desde sus respectivas fechas, con el cómputo especial y las ampliaciones que imponga la normativa aplicable o una fiscalización o proceso pendiente. La conservación adicional se limita a los documentos y datos necesarios. Este archivo se mantiene con acceso restringido; no justifica conservar fotografías ni todos los datos operativos de la cuenta. Las copias necesarias para preservar documentos aún sujetos a esta obligación forman parte del archivo, y no se consideran datos ya eliminados a efectos de A.14.

A.14. Respaldos y eliminación residual. Después de eliminar un dato del almacenamiento activo, las copias de recuperación administradas directamente por ACTIVA se eliminan o expiran en un máximo de treinta días naturales. Las copias técnicas residuales mantenidas por proveedores que traten esos datos por cuenta de ACTIVA deben eliminarse o expirar en un máximo de noventa días naturales. Ambos plazos se cuentan desde la eliminación en almacenamiento activo, se utiliza el plazo menor que permita cada servicio y no se reinician por copiar o restaurar un respaldo. No son una autorización para seguir utilizando los datos eliminados.

A.14.1. Fotografías. ACTIVA no crea respaldos adicionales de fotografías de perfil ni un archivo histórico de imágenes. Conserva solo la foto vigente autorizada. Si un proveedor mantiene copias técnicas residuales de una foto eliminada, quedan aisladas del uso ordinario y sujetas al máximo de noventa días indicado en A.14. La imagen retirada deja de mostrarse de inmediato y su archivo activo se elimina dentro de los cinco días hábiles previstos en A.11; el plazo de respaldo no amplía ese plazo activo.

A.14.2. Acceso y restauración. Los respaldos se cifran y su acceso se limita al personal autorizado para recuperación y seguridad. No se consultan para publicidad, análisis ordinario o verificación de identidad. ACTIVA conserva una constancia mínima de eliminaciones y retiros separada de la copia que se restaure y vuelve a aplicar esas decisiones antes de habilitar el sistema recuperado. La restauración no debe volver a mostrar fotos retiradas, reactivar autorizaciones revocadas ni restablecer una renovación cancelada.

A.14.3. Archivo obligatorio. Los documentos que deban conservarse conforme a A.13 y las evidencias sujetas a A.12.8 se mantienen separados y limitados a esa finalidad. Cuando termine su plazo u obligación y se eliminen del almacenamiento activo, comienza el cómputo de eliminación residual de A.14. Una obligación sobre un documento concreto no habilita a retener un respaldo completo de la cuenta de forma indefinida.

A.15. Seguridad y límites de acceso. ACTIVA debe aplicar controles de acceso y medidas técnicas y organizativas acordes con la información tratada, limitar su uso a personal autorizado y exigir obligaciones equivalentes a sus encargados. El acceso de recepción a fotografías se limita a la verificación autorizada, sin habilitar su consulta libre como un directorio de miembros. Las incidencias se gestionan y se comunican conforme a las obligaciones aplicables.

A.16. Derechos y solicitudes. Puede solicitar acceso a sus datos, rectificación, supresión o retiro de una autorización escribiendo a soporte@4ctiva.com o mediante soporte de la aplicación. Indique la cuenta y su solicitud. La gestión es gratuita y se resuelve en el sentido que corresponda dentro de cinco días hábiles, conforme a la Ley N.° 8968 y su Reglamento. Si necesitamos verificar su identidad, utilizamos medios proporcionales; no se exige de forma general una copia completa de su identificación. Cuando una obligación legal impida eliminar un dato, se informa el motivo y se limita su conservación a esa finalidad.

A.17. Retiro y autoridad competente. El retiro de una autorización impide continuar el tratamiento sustentado en ella y no tiene efecto retroactivo. Retirar la autorización de fotografía no cancela la membresía, no modifica su preferencia de renovación y mantiene el ingreso con identificación a la vista. Puede acudir a la Agencia de Protección de Datos de los Habitantes (PRODHAB), sin que sea obligatorio agotar primero el soporte de ACTIVA.

A.18. Publicidad y otros tratamientos. La foto de perfil no se utiliza para publicidad. Si ACTIVA desea utilizar su imagen en una campaña o evento, solicita entonces una autorización independiente que identifica la actividad, el material, los canales, la duración y cómo retirarla. No se solicita como condición de registro ni de acceso. El tratamiento propio de un Centro —por ejemplo, sus cámaras de seguridad o los datos de salud que requiera para un servicio— debe ser informado y sustentado por ese Centro; este aviso no constituye autorización para tales usos.

A.19. Comunicaciones del servicio. Las comunicaciones de cuenta, pagos, reservas y avisos contractuales son distintas de una autorización para utilizar su imagen en publicidad. Para recibir atención use soporte@4ctiva.com, en lugar de responder a un remitente automático.

A.20. Información y versiones. Este aviso y las autorizaciones específicas deben estar disponibles antes de solicitar los datos correspondientes. Consultar estos documentos, aceptar los Términos o continuar usando el servicio no sustituye una autorización específica que sea necesaria. ACTIVA identifica la versión presentada y registra las manifestaciones de autorización y retiro; los cambios de finalidad que lo requieran se someten a una nueva autorización.