Política de privacidade

1. Quem é a controladora

A 8020 Digital Ltda, inscrita no CNPJ sob o nº 32.285.763/0001-12, é a responsável pelas decisões sobre o tratamento dos dados pessoais na fullgym. Para qualquer assunto de privacidade, inclusive para falar com o encarregado (DPO), escreva para [email protected].

2. Dados que coletamos

Coletamos apenas o necessário para a plataforma funcionar:

• Conta: nome, e-mail, senha (guardada só como hash, nunca em texto), telefone e foto de perfil, se você informar, e os papéis que você usa (personal, aluno, médico, nutricionista).
• Perfil profissional: registro no conselho (CREF, CRM ou CRN), especialidades e apresentação.
• Perfil de aluno: data de nascimento, sexo, altura e objetivo.
• Dados de saúde (dados pessoais sensíveis): anamnese, medidas corporais e fotos de evolução, bioimpedância, planos alimentares, exames e documentos enviados, orientações de médicos e nutricionistas, treinos e o registro da execução (cargas, repetições, tempos, comentários).
• Financeiro: planos e cobranças combinados entre o profissional e o aluno e o status dos pagamentos. Os dados do cartão ou do Pix são informados direto ao Mercado Pago; a fullgym não recebe nem guarda dados de cartão.
• Formulário de interesse do site: nome, e-mail, WhatsApp, perfil, mensagem opcional e o endereço IP do envio.
• Registros de acesso e segurança: data e hora dos logins, e-mail e endereço IP em ações registradas na auditoria (login, troca de papéis, visualização de documentos de alunos).

Estatísticas de uso do site (só se você aceitar no aviso de cookies): páginas visitadas, origem do acesso, tipo de aparelho e navegador, cidade aproximada e o envio do formulário de interesse, sem o conteúdo dele. São medidas pelo Google Analytics para Firebase.

Estatísticas de uso do app web (só se você aceitar no aviso de cookies): telas visitadas, sem ids nem links de convite no endereço, tipo de aparelho e navegador, cidade aproximada, os papéis da sua conta (aluno, personal…) e o fato de concluir cadastro, login, envio ou aceite de convite, sem nome, e-mail ou identificador da conta. Também são medidas pelo Google Analytics para Firebase.

Não usamos pixels de publicidade nem mapas de calor, e o app para celular não usa analytics.

3. Para que usamos e com qual base legal

• Criar e manter sua conta, autenticar o acesso e prestar os serviços da plataforma: execução de contrato (art. 7º, V).
• Registrar e exibir seus dados de saúde e compartilhá-los com os profissionais que você escolher: consentimento específico e destacado (art. 11, I), dado ao registrar cada informação e ao liberar cada tipo de dado em cada vínculo. Você pode revogá-lo a qualquer momento nas configurações de compartilhamento.
• Gerar sugestões de treino com inteligência artificial a pedido do seu personal: consentimento (art. 11, I), já que a geração só acontece quando você libera a anamnese para esse profissional.
• Cobranças entre profissional e aluno: execução de contrato (art. 7º, V).
• Enviar e-mails de serviço (confirmação de cadastro, redefinição de senha, convites e avisos): execução de contrato (art. 7º, V).
• Responder quem preenche o formulário de interesse: procedimentos preliminares a pedido do titular (art. 7º, V) e legítimo interesse (art. 7º, IX).
• Medir o uso do site e do app web para melhorá-los (Google Analytics para Firebase): consentimento (art. 7º, I), pedido no aviso de cookies. Você pode recusar ou mudar de ideia a qualquer momento pelo link "Cookies" no rodapé.
• Segurança, prevenção a fraudes e guarda dos registros de acesso: cumprimento de obrigação legal (art. 7º, II, e Marco Civil da Internet, art. 15) e legítimo interesse (art. 7º, IX).

4. Com quem compartilhamos

Seus dados de saúde só aparecem para um profissional quando há um vínculo ativo entre vocês e você liberou aquele tipo de dado. Encerrar o vínculo revoga tudo. Fora isso, os dados passam apenas pelos operadores abaixo, contratados para fazer a plataforma funcionar:

• Cloudflare: rede, proteção contra ataques e entrega do tráfego até nossos servidores (pode haver transferência internacional).
• Mercado Pago: processamento das cobranças e pagamentos entre profissional e aluno.
• Provedor de e-mail transacional (SMTP): envio dos e-mails de serviço.
• Anthropic (Claude): geração de sugestões de treino por IA. Recebe o nome do aluno, o resumo da anamnese, medidas e objetivos necessários para a sugestão; não usamos esses dados para treinar modelos.
• Google (Google Analytics para Firebase): estatísticas de uso do site e do app web, apenas com o seu consentimento. Recebe um identificador aleatório do navegador, as páginas visitadas, dados técnicos do acesso e, no app web, os papéis da conta; o Google não recebe nome, e-mail, WhatsApp, a mensagem do formulário nem o identificador da sua conta.
• Autoridades públicas, quando houver ordem judicial ou obrigação legal.

Não vendemos nem alugamos dados pessoais.

5. Transferência internacional

Alguns operadores (Cloudflare, Anthropic e Google) processam dados fora do Brasil. Essas transferências seguem o art. 33 da LGPD, com cláusulas contratuais e garantias de proteção compatíveis com a lei brasileira.

6. Cookies e armazenamento no dispositivo

• App web: guarda as chaves de sessão (tokens de acesso) no armazenamento local do navegador, só para manter você conectado. Sair da conta apaga essas chaves. Como no site, guarda a sua escolha no aviso de cookies e, só se você aceitar, o Google Analytics para Firebase grava os cookies _ga e _ga_*.
• App para celular: guarda as chaves de sessão no cofre seguro do aparelho (Keychain/Keystore) e preferências no armazenamento do app.
• Site: guarda no navegador a sua escolha no aviso de cookies. Só se você aceitar, o Google Analytics para Firebase grava cookies próprios (_ga e _ga_*) para contar visitas, por até 2 anos; recusando, nenhum cookie de medição é gravado. Um cookie técnico de prévia existe apenas para a equipe que edita o conteúdo do site.
• Preferência de tema (claro ou escuro), quando você muda, fica salva no navegador.

7. Por quanto tempo guardamos

Mantemos os dados enquanto sua conta existir ou enquanto forem necessários para as finalidades acima. Os registros de acesso são guardados por no mínimo 6 meses (Marco Civil da Internet). Contatos do formulário de interesse são guardados até o atendimento e por até 12 meses depois. Ao excluir a conta, os dados são apagados ou anonimizados, salvo os que a lei obriga a manter.

8. Segurança

Usamos conexões criptografadas (HTTPS), senhas com hash, controle de acesso por papel e por permissão de compartilhamento, e registro de auditoria dos acessos a dados de alunos. Nenhum sistema é totalmente imune a incidentes; se algum ocorrer com risco relevante, avisaremos os titulares afetados e a ANPD, como manda a lei.

9. Seus direitos

Pela LGPD (art. 18) você pode, a qualquer momento:

• confirmar se tratamos seus dados e acessá-los;
• corrigir dados incompletos, inexatos ou desatualizados;
• pedir anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
• pedir a portabilidade dos dados;
• pedir a eliminação dos dados tratados com base no consentimento e revogar o consentimento;
• saber com quem compartilhamos seus dados e as consequências de não consentir.

Boa parte disso você faz direto no app (editar perfil, liberar ou revogar o compartilhamento, encerrar vínculos). Para o resto, escreva para [email protected]; respondemos em até 15 dias. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

10. Crianças e adolescentes

A fullgym é destinada a maiores de 18 anos. O uso por adolescentes depende do consentimento e do acompanhamento de um dos pais ou responsável legal (art. 14 da LGPD).

11. Alterações

Podemos atualizar esta política quando a plataforma mudar. A data da última versão fica no topo da página e mudanças relevantes são avisadas no app ou por e-mail.