LGPD — Proteção de Dados

A Lei Geral de Proteção de Dados Pessoais (Lei n.º 13.709/2018 — LGPD) é a legislação brasileira que regula o tratamento de dados pessoais por pessoas físicas e jurídicas, com o objetivo de proteger os direitos fundamentais de liberdade, privacidade e o livre desenvolvimento da personalidade.

A LGPD se aplica a qualquer operação de tratamento de dados pessoais realizada em território brasileiro, ou que tenha por objetivo a oferta de bens ou serviços a indivíduos localizados no Brasil, independentemente de onde o responsável pelo tratamento esteja sediado.

A Fitney está comprometida com o cumprimento integral da LGPD e das regulamentações emitidas pela Autoridade Nacional de Proteção de Dados (ANPD).

A LGPD define dois papéis principais no tratamento de dados pessoais:

• Controlador: pessoa natural ou jurídica que toma as decisões sobre o tratamento de dados pessoais;
• Operador: pessoa natural ou jurídica que realiza o tratamento em nome do controlador.

No contexto da Fitney:

O Profissional, como controlador dos dados dos seus Alunos, deve garantir o cumprimento da LGPD na sua relação com os titulares, incluindo a obtenção de bases legais adequadas e o atendimento a solicitações de direitos.

No âmbito da LGPD, dado pessoal é qualquer informação relacionada a pessoa natural identificada ou identificável (Art. 5, I). A Fitney trata as seguintes categorias:

Dados Pessoais Comuns

• Nome completo, e-mail, telefone;
• CPF/CNPJ, endereço;
• Dados de pagamento (últimos dígitos do cartão, histórico de transações);
• Dados de uso da plataforma (logs de acesso, funcionalidades utilizadas);
• Endereço IP, tipo de navegador e dispositivo.

Dados Pessoais Sensíveis (Art. 5, II)

A Fitney pode tratar dados sensíveis relacionados à saúde, incluindo:

• Medidas corporais (peso, altura, percentual de gordura, circunferências);
• Condições de saúde declaradas pelo titular;
• Restrições alimentares e alergias;
• Histórico de exercícios e desempenho físico;
• Fotos de progresso corporal (quando fornecidas).

O tratamento de dados sensíveis é realizado com consentimento específico e destacado do titular (Art. 11, I), ou quando indispensável para a tutela da saúde (Art. 11, II, f).

Todo tratamento de dados pessoais pela Fitney está fundamentado numa das bases legais previstas na LGPD:

Para Dados Pessoais Comuns (Art. 7)

• Consentimento (I): para envio de comunicações de marketing e cookies não essenciais;
• Obrigação legal ou regulatória (II): para cumprimento de obrigações fiscais, trabalhistas e regulatórias;
• Execução de contrato (V): para prestação do serviço, gestão de conta e processamento de pagamentos;
• Exercício regular de direitos (VI): para defesa em processos judiciais, administrativos ou arbitrais;
• Interesse legítimo (IX): para prevenção de fraudes, segurança da plataforma e melhoria do serviço;
• Proteção do crédito (X): para análise e gestão de inadimplência.

Para Dados Sensíveis (Art. 11)

• Consentimento específico e destacado (I): para coleta e tratamento de dados de saúde e fitness;
• Tutela da saúde (II, f): quando necessário para proteger a saúde do titular em procedimento realizado por profissional de saúde.

A Fitney documenta e mantém registo das bases legais utilizadas para cada atividade de tratamento, conforme exigido pela ANPD.

A LGPD garante ao titular dos dados pessoais os seguintes direitos, que podem ser exercidos a qualquer momento e sem custo:

1. Confirmação da existência de tratamento: direito de saber se a Fitney trata seus dados pessoais;
2. Acesso aos dados: direito de obter cópia dos dados pessoais que tratamos sobre você;
3. Correção: direito de solicitar a correção de dados incompletos, inexatos ou desatualizados;
4. Anonimização, bloqueio ou eliminação: de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
5. Portabilidade: direito de obter os seus dados em formato estruturado e interoperável para transferência a outro fornecedor, observados os segredos comercial e industrial;
6. Eliminação: dos dados tratados com base no consentimento, salvo exceções legais (Art. 16);
7. Informação sobre compartilhamento: direito de saber com quais entidades públicas e privadas seus dados foram compartilhados;
8. Informação sobre não consentimento: direito de ser informado sobre a possibilidade de não fornecer consentimento e as suas consequências;
9. Revogação do consentimento: direito de revogar o consentimento a qualquer momento, sem afetar a licitude do tratamento anterior;
10. Revisão de decisões automatizadas: direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado (Art. 20);
11. Oposição: ao tratamento realizado com base em hipótese de dispensa de consentimento, quando irregular.

Prazo de atendimento: a Fitney responderá às solicitações em até 15 dias contados da data do requerimento, conforme Art. 18, § 5º.

A Fitney nomeou um Encarregado pelo Tratamento de Dados Pessoais (também conhecido como DPO — Data Protection Officer), conforme exigido pelo Art. 41 da LGPD.

O Encarregado tem as seguintes atribuições:

• Aceitar reclamações e comunicações dos titulares de dados e da ANPD;
• Prestar esclarecimentos e adotar providências;
• Orientar funcionários e contratados sobre práticas de proteção de dados;
• Executar demais atribuições determinadas pelo controlador ou em normas complementares.

Contacto do Encarregado:

• E-mail: dpo@fitneyapp.com
• Endereço: Fitney Tecnologia Ltda. — A/C Encarregado de Dados, Curitiba, PR, Brasil

Para exercer qualquer dos direitos previstos no Art. 18 da LGPD, siga os passos:

1. Envie uma solicitação para dpo@fitneyapp.com informando:
   • O seu nome completo e e-mail registado;
   • O direito que deseja exercer;
   • Detalhes adicionais que facilitem o atendimento.
2. Verificação de identidade: para a sua segurança, podemos solicitar documentação adicional para confirmar a sua identidade;
3. Atendimento: a sua solicitação será analisada e respondida em até 15 dias;
4. Recurso: caso não esteja satisfeito com a resposta, você pode apresentar reclamação à ANPD.

Alunos: como seus dados são controlados pelo Profissional, solicitações devem ser primariamente direcionadas a ele. A Fitney auxiliará o Profissional no atendimento de solicitações quando necessário.

A Fitney não discriminará nem restringirá o acesso ao serviço em razão do exercício de direitos pelo titular.

A Fitney adota medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais contra acessos não autorizados, destruição, perda, alteração ou tratamento inadequado, conforme Art. 46 da LGPD:

• Criptografia: TLS 1.3 para dados em trânsito; AES-256 para dados sensíveis em repouso;
• Controlo de acesso: autenticação multifator, políticas de palavra-passe forte, princípio do menor privilégio;
• Logs e auditoria: registo de acessos e operações realizadas com dados pessoais;
• Infraestrutura segura: hospedagem em data centers certificados (SOC 2 Tipo II, ISO 27001);
• Segregação de dados: isolamento lógico dos dados de cada Profissional e os seus Alunos;
• Backup seguro: cópias de segurança criptografadas com testes de restauração periódicos;
• Capacitação: treino regular da equipa em segurança da informação e proteção de dados;
• Avaliação de impacto (RIPD): realizada para atividades de tratamento de alto risco, conforme Art. 38.

A Fitney pode realizar transferências internacionais de dados pessoais em conformidade com os Arts. 33 a 36 da LGPD:

• Para países que proporcionem grau adequado de proteção, conforme avaliação da ANPD;
• Mediante cláusulas contratuais padrão ou cláusulas específicas aprovadas pela ANPD;
• Com consentimento específico e em destaque do titular;
• Quando necessário para a execução do contrato entre titular e controlador.

Atualmente, dados podem ser transferidos para os Estados Unidos (onde estão hospedados nossos servidores principais), sempre com salvaguardas contratuais e técnicas adequadas.

O titular será informado sobre quaisquer novas transferências internacionais que afetem os seus dados.

O compartilhamento de dados pessoais é realizado apenas nas hipóteses descritas na nossa Política de Privacidade e sempre com salvaguardas adequadas.

A Fitney exige dos seus operadores e suboperadores:

• Contratos com cláusulas de proteção de dados (DPAs);
• Compromisso de tratar dados apenas conforme instruções documentadas;
• Adoção de medidas de segurança compatíveis;
• Notificação imediata em caso de incidente de segurança.

A Fitney mantém registo atualizado dos terceiros com quem compartilha dados, disponível mediante solicitação ao DPO.

Os dados pessoais são mantidos apenas pelo tempo necessário para cumprir as finalidades do tratamento, conforme estabelecido na nossa Política de Privacidade.

Conforme o Art. 16 da LGPD, a eliminação de dados pessoais ocorrerá:

• Quando a finalidade do tratamento for alcançada;
• Quando o período de tratamento expirar;
• Por solicitação do titular (revogação de consentimento);
• Por determinação da ANPD.

A conservação é autorizada nas seguintes exceções (Art. 16):

• Cumprimento de obrigação legal ou regulatória;
• Estudo por órgão de pesquisa (anonimização quando possível);
• Transferência a terceiro (respeitados requisitos legais);
• Uso exclusivo do controlador, vedado acesso por terceiro, com anonimização.

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Fitney seguirá o procedimento previsto no Art. 48 da LGPD:

1. Comunicação à ANPD: em prazo razoável, conforme regulamentação da ANPD, contendo:
   • Descrição da natureza dos dados afetados;
   • Informações sobre os titulares envolvidos;
   • Medidas técnicas e de segurança utilizadas;
   • Riscos relacionados ao incidente;
   • Medidas adotadas para reverter ou mitigar os efeitos.
2. Comunicação aos titulares: quando o incidente puder acarretar risco ou dano relevante;
3. Registo interno: manutenção de registo de todos os incidentes, mesmo os que não atingirem o limiar de comunicação;
4. Medidas corretivas: implementação de ações para corrigir vulnerabilidades e prevenir recorrência.

A Autoridade Nacional de Proteção de Dados (ANPD) é o órgão da administração pública federal responsável por zelar pela proteção de dados pessoais e por implementar e fiscalizar o cumprimento da LGPD.

Se o titular não estiver satisfeito com o tratamento dado à a sua solicitação pela Fitney, poderá apresentar reclamação à ANPD:

• Site: gov.br/anpd
• Peticionamento eletrónico: disponível pelo portal da ANPD

A Fitney cooperará integralmente com a ANPD em qualquer investigação ou solicitação.

Para qualquer dúvida sobre como a Fitney trata seus dados pessoais ou para exercer os seus direitos sob a LGPD:

• Encarregado de Dados (DPO): dpo@fitneyapp.com
• Jurídico: legal@fitneyapp.com
• Endereço: Fitney Tecnologia Ltda., CNPJ 44.638.274/0001-86, R. Cascavel, 2760 — Curitiba, PR, Brasil

Estamos comprometidos em proteger os seus dados pessoais e em manter uma relação transparente com todos os titulares de dados.

Ao utilizar os recursos de exames laboratoriais, a Plataforma pode armazenar e processar dados pessoais sensíveis de saúde do aluno/paciente (solicitações, resultados e valores de exames), nos termos do art. 11 da LGPD e do art. 9 do GDPR, quando aplicável.

• Esses dados são tratados por conta e ordem do profissional (controlador), atuando a Fitney como operadora, com a finalidade de acompanhamento do aluno/paciente.
• O tratamento depende de base legal adequada, incluindo, quando exigido, o consentimento específico e destacado do titular.
• São aplicadas medidas técnicas e organizacionais de proteção e os dados são retidos apenas pelo período necessário às finalidades ou por obrigação legal.

Caso o profissional ative a sua página pública, as informações que ele optar por publicar (nome, foto, biografia, especialidades, registos, certificações, locais de atendimento e redes sociais) tornam-se públicas e acessíveis por qualquer pessoa, inclusive mecanismos de busca. O endereço do escritório só é exibido se o profissional habilitar essa opção.

Para algumas funcionalidades, dados podem ser compartilhados com serviços de terceiros, estritamente para a finalidade indicada:

• OpenStreetMap / Nominatim — exibição de mapas e geocodificação de endereços (pode envolver o endereço informado e o IP do visitante).
• ViaCEP e Zippopotam.us — preenchimento automático de endereço por CEP/código postal.
• Google Maps / Waze — quando o visitante solicita rota até um local de atendimento.
• WhatsApp (Meta) — quando se opta por iniciar contacto/agendamento via WhatsApp.

Esses serviços possuem políticas próprias de privacidade, fora do controlo da Fitney após o redirecionamento/compartilhamento.