Política de Privacidad

Esta Política de Privacidad describe cómo Fitney Tecnologia Ltda. ("Fitney", "nosotros") recopila, utiliza, comparte y protege datos personales de los usuarios ("Usuarios", "usted") de nuestra plataforma SaaS de fitness y nutrición.

Esta Política se aplica a todos los servicios ofrecidos por Fitney, incluyendo:

• Sitio web institucional (fitney.com.br);
• Aplicación móvil para iOS y Android;
• Panel administrativo para profesionales (backoffice);
• Aplicaciones white-label generadas para profesionales del plan Premium;
• APIs y servicios de backend.

Se complementa con nuestra página sobre la LGPD y la Política de Cookies.

Recomendamos la lectura integral de esta Política. Al utilizar la Plataforma, usted confirma que comprende nuestras prácticas de tratamiento de datos.

Para los efectos de esta Política y de las legislaciones de protección de datos aplicables:

• Fitney Tecnologia Ltda. es el responsable (controlador) de los datos personales de los Profesionales (entrenadores personales, nutricionistas) que contratan la Plataforma;
• El Profesional es el responsable (controlador) de los datos personales de sus Alumnos, y Fitney actúa como encargado (operador) de dichos datos;
• El Delegado de Protección de Datos (DPO) puede ser contactado en dpo@fitneyapp.com.

Esta distinción es importante para el ejercicio de derechos: los Alumnos deben dirigir sus solicitudes primariamente al Profesional que gestiona sus datos, pudiendo también contactar a Fitney directamente.

Recopilamos las siguientes categorías de datos personales:

Datos de Registro

• Nombre completo, correo electrónico, teléfono (con código de país);
• CPF/CNPJ (para facturación en Brasil);
• Registro o certificación profesional, cuando sea proporcionado voluntariamente por el Usuario (ej.: CREF, CRN en Brasil; NASM, ACE, NSCA, RD en EE. UU.; REPs, EREPS en Europa). Este dato es opcional y no es verificado por Fitney;
• Dirección comercial y datos de facturación.

Datos de Salud y Fitness (Datos Sensibles)

• Medidas corporales (peso, altura, circunferencias);
• Objetivos de salud y fitness;
• Historial de entrenamientos y ejercicios;
• Datos nutricionales y planes alimentarios;
• Fotos de progreso (cuando se proporcionan voluntariamente);
• Restricciones alimentarias y condiciones de salud declaradas;
• Datos importados de plataformas de salud (Apple HealthKit en iOS y Health Connect en Android), incluyendo pasos, frecuencia cardíaca, calorías quemadas, distancia recorrida y sesiones de ejercicio — solo con el consentimiento explícito del titular, otorgado directamente en el sistema operativo del dispositivo;
• Cuestionario de salud (anamnesis): historial médico, estilo de vida, nivel de actividad física, objetivos — completado voluntariamente por el Alumno o Profesional.

Datos de Uso y Dispositivo

• Dirección IP, tipo de navegador y sistema operativo;
• Páginas accedidas, tiempo de permanencia e interacciones;
• Datos de geolocalización (basada en IP en el sitio; GPS en la aplicación móvil, cuando esté autorizado, para registrar la ubicación del entrenamiento);
• Identificadores de dispositivo: modelo del aparato, versión del sistema operativo, versión de la aplicación e identificador único de dispositivo;
• Tokens de notificación push (Firebase Cloud Messaging) para envío de recordatorios y comunicaciones;
• Datos de rendimiento y diagnóstico recopilados por Firebase Crashlytics (informes de fallos, sin datos personales identificables);
• Cookies y tecnologías similares — vea nuestra Política de Cookies.

Datos de Almacenamiento Local (Aplicación Móvil)

• Caché de respuestas de la API (almacenado localmente por hasta 3 días para funcionamiento offline);
• Cola de operaciones offline (ejercicios, check-ins y sesiones de carrera realizados sin conexión, sincronizados automáticamente al reconectar);
• Preferencias de notificación y configuraciones del Usuario;
• Historial reciente de notificaciones recibidas (últimas 10).

Datos de Pago

• Datos de transacción (monto, fecha, estado);
• Últimos 4 dígitos de la tarjeta y marca (para identificación);
• Datos de compras realizadas en la aplicación (in-app purchase) vía Apple App Store o Google Play, incluyendo identificadores de transacción y período de suscripción;
• Nota: los datos completos de tarjeta son procesados directamente por Stripe o procesadores locales (Asaas en Brasil) y nunca se almacenan en nuestros servidores.

Datos de Comunicación

• Mensajes intercambiados entre Profesional y Alumno en la Plataforma;
• Comunicaciones de soporte y retroalimentación.

Tratamos datos personales con base en las siguientes fundamentaciones legales:

Base Legal	LGPD (Art. 7)	GDPR (Art. 6)	Ejemplos de Uso
Ejecución de contrato	Art. 7, V	Art. 6(1)(b)	Prestación del servicio, procesamiento de pagos
Consentimiento	Art. 7, I / Art. 11, I	Art. 6(1)(a)	Datos de salud, marketing, cookies no esenciales
Interés legítimo	Art. 7, IX	Art. 6(1)(f)	Seguridad, prevención de fraudes, mejora del servicio
Obligación legal	Art. 7, II	Art. 6(1)(c)	Obligaciones fiscales, regulatorias, orden judicial
Protección de la vida	Art. 7, VII	Art. 6(1)(d)	Situaciones de emergencia con datos de salud

Para datos sensibles (datos de salud y fitness), utilizamos preferentemente el consentimiento específico y destacado del titular, conforme lo exigido por el art. 11 de la LGPD y el art. 9 del GDPR.

Utilizamos sus datos personales para las siguientes finalidades:

• Prestación del servicio: crear y mantener su cuenta, proporcionar las funcionalidades contratadas, procesar pagos;
• Personalización: adaptar la experiencia, recomendaciones de entrenamientos y funcionalidades a su perfil;
• Comunicación: enviar notificaciones del servicio, actualizaciones, alertas de seguridad y (con consentimiento) comunicaciones de marketing;
• Seguridad: detectar, prevenir e investigar fraudes, accesos no autorizados y actividades maliciosas;
• Mejora del servicio: analizar patrones de uso (de forma agregada y anonimizada cuando sea posible) para mejorar funcionalidades;
• Cumplimiento legal: atender obligaciones fiscales, regulatorias, judiciales y de autoridades competentes;
• Soporte: responder solicitudes, reclamaciones y brindar asistencia técnica.

Compartimos datos personales solo en las situaciones siguientes, siempre con salvaguardas adecuadas:

Proveedores de Servicios (Encargados/Subencargados)

• Infraestructura y alojamiento: proveedores de computación en la nube (servidores en EE. UU. y/o UE);
• Análisis y monitoreo: Google Analytics 4 (vía Google Tag Manager, con Consent Mode v2), Firebase Analytics y Firebase Crashlytics (informes de estabilidad), Microsoft Clarity (mapas de calor);
• Notificaciones push: Firebase Cloud Messaging (Google);
• Almacenamiento de medios: Amazon S3 y Supabase (fotos de ejercicios, check-ins y evaluaciones);
• Salud: Apple HealthKit y Google Health Connect (solo lectura/escritura local en el dispositivo, los datos no se transfieren a los servidores de Fitney);
• Pagos: Stripe (internacional) y Asaas (Brasil — PIX y Boleto); Apple App Store y Google Play (compras dentro de la aplicación);
• Correo transaccional: proveedores de envío de correo electrónico (SMTP);
• Soporte: herramientas de atención al cliente.

Todos los proveedores están contratados con cláusulas de protección de datos (Data Processing Agreements — DPAs).

Compartición Profesional-Alumno

El Profesional tiene acceso a los datos de sus Alumnos según sea necesario para la prestación del servicio. El Alumno debe verificar la política de privacidad de su Profesional.

Obligaciones Legales

Podemos divulgar datos cuando lo exija la ley, orden judicial, procedimiento legal o solicitud de autoridad gubernamental competente.

Transferencias Corporativas

En caso de fusión, adquisición, reorganización o venta de activos, los datos pueden ser transferidos, con aviso previo y mantenimiento de las protecciones.

Fitney no vende datos personales a terceros, conforme a las definiciones de la LGPD, GDPR y CCPA/CPRA.

Fitney puede transferir datos personales fuera del país de origen del titular, en conformidad con las legislaciones aplicables:

Brasil al Exterior (LGPD, Arts. 33-36)

• A países u organizaciones que proporcionen un grado adecuado de protección, conforme al reconocimiento de la ANPD;
• Mediante cláusulas contractuales estándar aprobadas por la ANPD;
• Con consentimiento específico y destacado del titular;
• Cuando sea necesario para la ejecución del contrato.

UE/EEE al Exterior (GDPR, Arts. 44-49)

• A países con decisión de adecuación de la Comisión Europea;
• Mediante Cláusulas Contractuales Tipo (SCCs) de la UE;
• A EE. UU., bajo el EU-US Data Privacy Framework, cuando sea aplicable;
• Evaluación de impacto de transferencia (TIA) realizada cuando sea necesario.

Nuestros servidores principales están ubicados en Estados Unidos (AWS/Google Cloud) con medidas de seguridad técnicas y organizativas adecuadas.

Retenemos datos personales solo por el período necesario para las finalidades descritas en esta Política:

Categoría de Datos	Período de Retención	Justificación
Datos de cuenta activa	Mientras la cuenta esté activa	Ejecución del contrato
Datos después de cancelación	Hasta 6 meses	Posibilidad de reactivación
Datos fiscales/financieros	5 años	Obligación legal (Código Tributario Nacional)
Datos de salud	Hasta eliminación por el titular o 2 años después de inactividad	Ejercicio regular de derechos
Registros de acceso	6 meses	Obligación legal (Marco Civil de Internet, Art. 15)
Datos de comunicación	Mientras la cuenta esté activa + 1 año	Soporte y resolución de disputas
Datos anonimizados	Indefinidamente	Los datos anonimizados no son datos personales

Al término del período de retención, los datos son eliminados o anonimizados de forma irreversible.

Dependiendo de su ubicación, usted tiene los siguientes derechos sobre sus datos personales:

Derechos bajo la LGPD (Brasil)

Conforme a los arts. 17-22 de la LGPD, usted tiene derecho a:

• Confirmación de la existencia de tratamiento;
• Acceso a los datos personales;
• Corrección de datos incompletos, inexactos o desactualizados;
• Anonimización, bloqueo o eliminación de datos innecesarios o excesivos;
• Portabilidad de los datos;
• Eliminación de los datos tratados con consentimiento;
• Información sobre compartición con terceros;
• Revocación del consentimiento;
• Oposición al tratamiento.

Derechos bajo el GDPR (UE/EEE)

Conforme a los arts. 15-22 del GDPR, usted tiene derecho a:

• Acceso (Art. 15);
• Rectificación (Art. 16);
• Supresión / "derecho al olvido" (Art. 17);
• Limitación del tratamiento (Art. 18);
• Portabilidad (Art. 20);
• Oposición (Art. 21), incluyendo oposición al marketing directo;
• No ser objeto de decisiones automatizadas (Art. 22);
• Presentar reclamación ante la autoridad de control competente.

Derechos bajo la CCPA/CPRA (California, EE. UU.)

• Derecho a saber qué datos se recopilan y cómo se usan;
• Derecho a eliminar datos personales;
• Derecho a corregir datos inexactos;
• Derecho a optar por no vender/compartir datos (opt-out);
• Derecho a limitar el uso de datos sensibles;
• Derecho a no sufrir discriminación por ejercer sus derechos.

Fitney no vende ni comparte datos personales para fines de publicidad comportamental entre contextos, conforme a la definición de la CPRA.

Para ejercer sus derechos, contacte a dpo@fitneyapp.com. Responderemos en hasta 15 días (LGPD), 30 días (GDPR) o 45 días (CCPA).

Implementamos medidas técnicas y organizativas para proteger sus datos personales, incluyendo:

• Cifrado: datos en tránsito protegidos por TLS 1.3; datos sensibles cifrados en reposo (AES-256);
• Control de acceso: autenticación multifactor, principio de mínimo privilegio, registros de acceso;
• Infraestructura: servidores en centros de datos certificados (SOC 2 Tipo II, ISO 27001);
• Monitoreo: detección de intrusión, monitoreo 24/7 y alertas automáticas;
• Respaldo: copias de seguridad cifradas con retención y pruebas de restauración regulares;
• Equipo: capacitación regular en seguridad y privacidad para todos los colaboradores;
• Pruebas: evaluaciones periódicas de vulnerabilidad y revisiones de seguridad.

Ningún sistema es 100% seguro. En caso de incidente de seguridad, notificaremos a las autoridades competentes (ANPD, autoridades de protección de datos europeas) y a los titulares afectados dentro de los plazos legales.

La Plataforma no está dirigida a menores de 18 años. Los menores de 18 años solo pueden utilizar la Plataforma con el consentimiento verificable de un representante legal.

• Brasil (LGPD, Art. 14): datos de niños (hasta 12 años) solo con consentimiento específico y destacado de al menos uno de los padres o representante legal. Adolescentes (12-17 años): consentimiento del representante legal;
• UE (GDPR, Art. 8): el consentimiento de menores de 16 años (o edad inferior definida por el Estado Miembro, mínimo 13 años) requiere autorización del titular de la responsabilidad parental;
• EE. UU. (COPPA): no recopilamos intencionalmente datos de menores de 13 años. Si tenemos conocimiento, eliminaremos los datos inmediatamente.

Si cree que se han recopilado datos de un menor sin autorización, contacte a dpo@fitneyapp.com.

Utilizamos cookies y tecnologías similares para operar la Plataforma, analizar el uso y personalizar la experiencia. Para información detallada, consulte nuestra Política de Cookies.

Resumen:

• Cookies esenciales: necesarias para el funcionamiento del sitio (sin necesidad de consentimiento);
• Cookies de análisis: para entender cómo se utiliza la Plataforma (requieren consentimiento);
• Cookies de marketing: para personalizar anuncios (requieren consentimiento).

Puede gestionar sus preferencias de cookies en cualquier momento a través del banner de cookies o la configuración de su navegador.

Fitney puede utilizar procesamiento automatizado para:

• Recomendar entrenamientos y planes alimentarios basados en el perfil del Alumno;
• Detectar patrones de uso anómalos para la seguridad;
• Personalizar la experiencia en la Plataforma.

Estas recomendaciones son auxiliares y siempre están sujetas a la revisión del Profesional. No tomamos decisiones que produzcan efectos jurídicos o afecten significativamente al titular basándose exclusivamente en tratamiento automatizado.

Conforme al art. 20 de la LGPD y al art. 22 del GDPR, usted tiene derecho a solicitar la revisión de decisiones automatizadas y a obtener información sobre los criterios y procedimientos utilizados.

Podemos actualizar esta Política periódicamente. Los cambios sustanciales serán comunicados con una antelación de 30 días mediante:

• Correo electrónico a los Usuarios registrados;
• Notificación en la Plataforma;
• Actualización de la fecha de "Última actualización" en esta página.

Para cambios que requieran nuevo consentimiento (ej.: nuevas finalidades de tratamiento de datos sensibles), solicitaremos consentimiento específico antes de la implementación.

Recomendamos revisar esta Política periódicamente.

Para dudas, solicitudes o reclamaciones sobre esta Política o el tratamiento de sus datos personales:

• Delegado de Protección de Datos (DPO): dpo@fitneyapp.com
• General: legal@fitneyapp.com
• Dirección: Fitney Tecnologia Ltda., CNPJ 44.638.274/0001-86, R. Cascavel, 2760 — Curitiba, PR, Brasil

Si no está satisfecho con nuestra respuesta, puede presentar una reclamación ante la autoridad de protección de datos competente:

• Brasil: Autoridad Nacional de Protección de Datos (ANPD) — gov.br/anpd
• UE: Autoridad de protección de datos de su país de residencia
• EE. UU. (California): Office of the Attorney General of California