Seguridad y privacidad en K&L Fit

Esta es una traducción ofrecida por conveniencia. La versión en portugués prevalece en caso de divergencia, y se aplica la ley brasileña.

Última actualización: 29/10/2026

Esta página muestra, sin tecnicismos, cómo K&L Fit protege tu cuenta y tus datos. Las reglas completas sobre el uso de los datos están en la Política de Privacidad.

Conexión

• La app solo funciona por HTTPS (TLS 1.2 o 1.3), con HSTS: quien escribe http:// es llevado a la versión segura, y el navegador se niega a abrir K&L Fit sin cifrado.
• Usamos encabezados de seguridad (Content-Security-Policy, protección contra clickjacking y otros) que limitan desde dónde la app puede cargar código y datos.

Tu contraseña y tu inicio de sesión

• La contraseña nunca se guarda tal como la escribiste. Guardamos solo un resumen irreversible (PBKDF2-SHA256 con sal única por cuenta y una clave secreta que queda fuera de la base de datos). Ni siquiera el equipo puede ver tu contraseña.
• Los intentos de inicio de sesión, registro y recuperación de contraseña tienen un límite por IP, lo que dificulta los ataques de adivinación.
• Continuar con Google: el inicio de sesión ocurre en la página del propio Google; K&L Fit nunca ve tu contraseña de Google. La vuelta a la app usa un código de un solo uso que vale 2 minutos.
• El acceso expira en 15 minutos y se renueva automáticamente mientras usas la app. Al cambiar o restablecer la contraseña, se cierran las sesiones abiertas en otros dispositivos.

Quién del equipo accede a qué

• El panel administrativo exige verificación en dos pasos (código en la app de autenticación) para abrirse.
• Todo acceso al panel queda registrado (quién, qué, cuándo y desde qué IP) durante 6 meses.
• El panel muestra registro, plan, suscripción y estadísticas de uso. No tiene pantalla para leer el chat ni para ver fotos del cuerpo.

Pagos

• El número de la tarjeta y el código de seguridad se ingresan en el formulario de Stripe, certificada en el nivel más alto del estándar de seguridad de tarjetas (PCI DSS nivel 1). Esos datos no pasan por los servidores de K&L Fit.
• Las claves de acceso a servicios como Stripe se guardan cifradas (AES-256-GCM) en la base de datos.

Fotos

• Antes del envío, el propio celular reduce la foto y elimina la ubicación y otros datos que la cámara guarda junto con ella.
• Las fotos quedan en un almacenamiento privado y cifrado (Backblaze). No existe un enlace público: cada foto solo se entrega a través de la app, después de verificar si quien la pide tiene permiso para verla.
• Las fotos del cuerpo (Registro corporal) las ves solo tú: ni amigos, ni tu entrenador, ni el equipo desde el panel.

Chat y notificaciones

• El chat solo existe entre entrenador y alumno con vínculo activo, o entre un alumno y un entrenador que él buscó en el portafolio. Cualquiera de los dos puede terminar una conversación del portafolio.
• Las notificaciones en el celular viajan cifradas de extremo a extremo: los servicios de Apple, Google y otros que las entregan no pueden leer el contenido.

Inteligencia artificial

• En "Crear entrenamiento con IA", enviamos al proveedor solo el texto que escribiste y la lista de ejercicios. Nombre, e-mail, edad e historial no se envían.

Copias de seguridad

• La base de datos se puede recuperar en cualquier momento de los últimos 30 días, lo que protege contra fallas y errores.

Tú tienes el control

• Exportar datos: en el Perfil, descarga una copia de todo lo que hay en tu cuenta.
• Eliminar cuenta: en el Perfil, en cualquier momento. Las fotos dejan de ser accesibles en el acto; los demás datos se borran o anonimizan en los plazos de la Política de Privacidad.
• Terminar vínculo, bloquear y ocultarte de la búsqueda: todo desde la app, sin tener que pedírselo a nadie.

Pruebas públicas

Cualquier persona puede repetir estas pruebas:

¿Encontraste una falla?

Escribe a contato@klfit.app con el asunto "Segurança" (Seguridad), describiendo cómo reproducir el problema. Respondemos en un plazo de hasta 5 días hábiles. Te pedimos que no accedas a datos de otras personas, que no perjudiques el funcionamiento de la app y que nos des tiempo para corregir antes de divulgarlo. Quien actúe así, de buena fe, no será objeto de ninguna medida de nuestra parte. Todavía no tenemos un programa de recompensas.

El mismo contacto está publicado en /.well-known/security.txt, en el formato estándar (RFC 9116).