Política de Privacidade

Esta Política de Privacidade descreve como a Fitney Tecnologia Ltda. ("Fitney", "nós") coleta, utiliza, compartilha e protege dados pessoais dos utilizadores ("Utilizadores", "você") de nossa plataforma SaaS de fitness e nutrição.

Esta Política aplica-se a todos os serviços oferecidos pela Fitney, incluindo:

• Site institucional (fitneyapp.com);
• Aplicação móvel para iOS e Android;
• Painel administrativo para profissionais (backoffice);
• Aplicações white-label gerados para profissionais do plano Premium;
• APIs e serviços de backend.

Ela é complementada por nossa página sobre a LGPD e pela Política de Cookies.

Recomendamos a leitura integral desta Política. Ao utilizar a Plataforma, você confirma que compreendeu nossas práticas de tratamento de dados.

Para fins desta Política e das legislações de proteção de dados aplicáveis:

• Fitney Tecnologia Ltda. é a controladora dos dados pessoais dos Profissionais (personal trainers, nutricionistas) que contratam a Plataforma;
• O Profissional é o controlador dos dados pessoais dos seus Alunos, e a Fitney atua como operadora desses dados;
• O Encarregado de Dados (DPO) pode ser contatado pelo e-mail suporte@fitneyapp.com.

Esta distinção é importante para fins de exercício de direitos: Alunos devem primariamente direcionar solicitações ao Profissional que gere os seus dados, podendo também contatar a Fitney diretamente.

Coletamos as seguintes categorias de dados pessoais:

Dados de Registo

• Nome completo, e-mail, telefone (com código de país);
• CPF/CNPJ (para faturação no Brasil);
• Registo ou certificação profissional, quando fornecido voluntariamente pelo Utilizador (ex.: CREF, CRN no Brasil; NASM, ACE, NSCA, RD nos EUA; REPs, EREPS na Europa). Este dado é opcional e não é verificado pela Fitney;
• Endereço comercial e dados de faturação.

Dados de Saúde e Fitness (Dados Sensíveis)

• Medidas corporais (peso, altura, circunferências);
• Objetivos de saúde e fitness;
• Histórico de treinos e exercícios;
• Dados nutricionais e planos alimentares;
• Fotos de progresso (quando fornecidas voluntariamente);
• Restrições alimentares e condições de saúde declaradas;
• Dados importados de plataformas de saúde (Apple HealthKit no iOS e Health Connect no Android), incluindo passos, frequência cardíaca, calorias queimadas, distância percorrida e sessões de exercício — somente com consentimento explícito do titular, concedido diretamente no sistema operacional do dispositivo;
• Anamnese (questionário de saúde): histórico médico, estilo de vida, nível de atividade física, objetivos — preenchido voluntariamente pelo Aluno ou Profissional.

Dados de Uso e Dispositivo

• Endereço IP, tipo de navegador e sistema operacional;
• Páginas acessadas, tempo de permanência e interações;
• Dados de geolocalização (baseada no IP no site; GPS no aplicação móvel, quando autorizado, para registrar local de treino);
• Identificadores de dispositivo: modelo do aparelho, versão do sistema operacional, versão do aplicação e identificador único de dispositivo;
• Tokens de notificação push (Firebase Cloud Messaging) para envio de lembretes e comunicações;
• Dados de desempenho e diagnóstico coletados pelo Firebase Crashlytics (relatórios de falhas, sem dados pessoais identificáveis);
• Cookies e tecnologias similares — veja nossa Política de Cookies.

Dados de Armazenamento Local (Aplicação Móvel)

• Cache de respostas da API (armazenado localmente por até 3 dias para funcionamento offline);
• Fila de operações offline (exercícios, check-ins e sessões de corrida realizados sem conexão, sincronizados automaticamente ao reconectar);
• Preferências de notificação e configurações do Utilizador;
• Histórico recente de notificações recebidas (últimas 10).

Dados de Pagamento

• Dados de transação (valor, data, status);
• Últimos 4 dígitos do cartão e bandeira (para identificação);
• Dados de compras realizadas no aplicação (in-app purchase) via Apple App Store ou Google Play, incluindo identificadores de transação e período de subscrição;
• Nota: dados completos de cartão são processados diretamente pelo Stripe ou processador local (Asaas no Brasil) e nunca armazenados em nossos servidores.

Dados de Comunicação

• Mensagens trocadas entre Profissional e Aluno na Plataforma;
• Comunicações de suporte e feedback.

Dados de saúde (profissionais de nutrição/saúde). Quando o profissional utiliza a funcionalidade de exames laboratoriais, coletamos dados sensíveis de saúde do aluno/paciente (exames solicitados, valores e resultados, indicação clínica) e, quando informado, o CPF do paciente. Esse tratamento é detalhado na seção “Dados de Saúde (Exames Laboratoriais)”.

Dados de Integrações Ligadas pelo Utilizador

Se — e apenas se — o Utilizador autorizar a ligação (OAuth), recebemos e guardamos nos nossos servidores os dados abaixo. A ligação pode ser desfeita a qualquer momento nas definições da conta, o que interrompe a receção de novos dados:

• Strava, Garmin, Polar, Fitbit, Oura e Whoop: treinos e atividades (tipo, duração, distância, ritmo, percurso quando disponível), frequência cardíaca, calorias, passos, sono e métricas de recuperação, conforme o que cada fornecedor disponibiliza;
• Google Agenda: eventos, horários e disponibilidade, para sincronizar a agenda de atendimentos do Profissional.

Dados de Visitantes e Leads do Site

Quem preenche um formulário no site sem criar conta também tem dados tratados por nós: nome, e-mail, telefone, país, profissão e a origem da visita (campanha, termo de pesquisa ou site de origem). Usamos estes dados para responder ao contacto e apresentar a Plataforma, com base no interesse legítimo e, para comunicações de marketing, no consentimento. Pode pedir a eliminação a qualquer momento pelo e-mail do DPO.

Tratamos dados pessoais com base nas seguintes fundamentações legais:

Para dados sensíveis (dados de saúde e fitness), utilizamos preferencialmente o consentimento específico e destacado do titular, conforme exigido pelo art. 11 da LGPD e art. 9 do GDPR.

Utilizamos seus dados pessoais para as seguintes finalidades:

• Prestação do serviço: criar e manter a sua conta, fornecer as funcionalidades contratadas, processar pagamentos;
• Personalização: adaptar a experiência, recomendações de treinos e funcionalidades ao seu perfil;
• Comunicação: enviar notificações sobre o serviço, atualizações, alertas de segurança e (com consentimento) comunicações de marketing;
• Segurança: detectar, prevenir e investigar fraudes, acessos não autorizados e atividades maliciosas;
• Melhoria do serviço: analisar padrões de uso (de forma agregada e anonimizada quando possível) para melhorar funcionalidades;
• Cumprimento legal: atender obrigações fiscais, regulatórias, judiciais e de autoridades competentes;
• Suporte: responder solicitações, reclamações e fornecer assistência técnica.

Lembretes de consulta. A Plataforma pode gerar lembretes de retorno/consulta que o profissional pode enviar ao aluno por WhatsApp; o envio é realizado pelo próprio profissional.

Compartilhamos dados pessoais apenas nas situações abaixo, sempre com salvaguardas adequadas:

Prestadores de Serviço (Operadores/Processadores)

• Infraestrutura e alojamento: Amazon Web Services (AWS — aplicação e base de dados), Cloudflare (CDN, alojamento do site e dos painéis web, armazenamento de ficheiros e proteção), Upstash (filas e cache) e Sentry (monitorização de erros);
• Análise e monitorização: Google Analytics 4 (via Google Tag Manager, com Consent Mode v2), Firebase Analytics e Firebase Crashlytics (relatórios de estabilidade), Microsoft Clarity (mapas de calor);
• Notificações push: Firebase Cloud Messaging (Google);
• Armazenamento de ficheiros: Cloudflare R2 (fotografias de exercícios, check-ins, avaliações, documentos e imagens enviadas pelo Utilizador);
• Saúde: Apple HealthKit e Google Health Connect (somente leitura/escrita local no dispositivo, dados não transferidos para servidores da Fitney);
• Pagamentos: Stripe (internacional) e Asaas (Brasil — PIX e Boleto); Apple App Store e Google Play (compras no aplicação);
• E-mail transacional: MailerSend e Resend (confirmações, avisos de cobrança e notificações do serviço);
• Integrações ligadas pelo Utilizador: Strava, Garmin, Polar, Fitbit, Oura, Whoop e Google Agenda. Estas ligações só existem se o próprio Utilizador as autorizar (OAuth) e podem ser revogadas a qualquer momento nas definições da conta;
• Suporte: ferramentas de atendimento ao cliente.

Todos os prestadores são contratados com cláusulas de proteção de dados (Data Processing Agreements — DPAs).

Compartilhamento Profissional-Aluno

O Profissional tem acesso aos dados dos seus Alunos conforme necessário para a prestação do serviço. O Aluno deve verificar a política de privacidade do seu Profissional.

Obrigações Legais

Podemos divulgar dados quando exigido por lei, ordem judicial, procedimento legal ou solicitação de autoridade governamental competente.

Transferências Corporativas

Em caso de fusão, aquisição, reorganização ou venda de ativos, os dados podem ser transferidos, com aviso prévio e manutenção das proteções.

A Fitney não vende dados pessoais a terceiros, conforme definições da LGPD, GDPR e CCPA/CPRA.

Página pública do profissional. Caso o profissional ative a página de apresentação pública, os dados que ele optar por exibir (nome, registo profissional, especialidades, locais de atendimento e contacto) tornam-se publicamente acessíveis enquanto a página estiver ativa.

Serviços de terceiros e sub-operadores

Para algumas funcionalidades, dados podem ser compartilhados com serviços de terceiros, estritamente para a finalidade indicada:

• OpenStreetMap / Nominatim — exibição de mapas e geocodificação de endereços (pode envolver o endereço informado e o IP do visitante).
• ViaCEP e Zippopotam.us — preenchimento automático de endereço por CEP/código postal.
• Google Maps / Waze — quando o visitante solicita rota até um local de atendimento.
• WhatsApp (Meta) — quando se opta por iniciar contacto/agendamento via WhatsApp.

Esses serviços possuem políticas próprias de privacidade, fora do controlo da Fitney após o redirecionamento/compartilhamento.

Equipa do Profissional

O Profissional pode conceder acesso à sua conta a membros da sua equipa (secretária, rececionista, estagiário ou outro profissional), com permissões que ele define. Essas pessoas podem visualizar dados dos Alunos conforme as permissões concedidas. A Fitney regista esses acessos, mas quem decide quem entra — e responde pelo sigilo — é o Profissional, na qualidade de responsável pelo tratamento.

A Fitney pode transferir dados pessoais para fora do país de origem do titular, em conformidade com as legislações aplicáveis:

Brasil → Exterior (LGPD, Arts. 33-36)

• Para países ou organizações que proporcionem grau de proteção adequado, conforme reconhecido pela ANPD;
• Mediante cláusulas contratuais padrão aprovadas pela ANPD;
• Com consentimento específico e destacado do titular;
• Quando necessário para execução do contrato.

UE/EEE → Exterior (GDPR, Arts. 44-49)

• Para países com decisão de adequação da Comissão Europeia;
• Mediante Cláusulas Contratuais Padrão (SCCs) da UE;
• Para os EUA, sob o EU-US Data Privacy Framework, quando aplicável;
• Avaliação de impacto de transferência (TIA) é realizada quando necessário.

Os nossos servidores principais estão localizados nos Estados Unidos (Amazon Web Services), com armazenamento de ficheiros e CDN na rede global da Cloudflare, sempre com medidas de segurança técnicas e organizativas adequadas.

Retemos dados pessoais apenas pelo período necessário para as finalidades descritas nesta Política:

Ao término do período de retenção, os dados são eliminados ou anonimizados de forma irreversível.

Dependendo da sua localização, você possui os seguintes direitos sobre os seus dados pessoais:

Direitos sob a LGPD (Brasil)

Conforme os arts. 17-22 da LGPD, você tem direito a:

• Confirmação da existência de tratamento;
• Acesso aos dados pessoais;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
• Portabilidade dos dados;
• Eliminação dos dados tratados com consentimento;
• Informação sobre compartilhamento com terceiros;
• Revogação do consentimento;
• Oposição ao tratamento.

Direitos sob o GDPR (UE/EEE)

Conforme os arts. 15-22 do GDPR, você tem direito a:

• Acesso (Art. 15);
• Retificação (Art. 16);
• Apagamento / "direito ao esquecimento" (Art. 17);
• Limitação do tratamento (Art. 18);
• Portabilidade (Art. 20);
• Oposição (Art. 21), incluindo oposição ao marketing direto;
• Não sujeição a decisões automatizadas (Art. 22);
• Apresentar reclamação à autoridade de controlo competente.

Direitos sob a CCPA/CPRA (Califórnia, EUA)

• Direito de saber quais dados são coletados e como são usados;
• Direito de excluir dados pessoais;
• Direito de corrigir dados imprecisos;
• Direito de optar por não vender/compartilhar dados (opt-out);
• Direito de limitar o uso de dados sensíveis;
• Direito de não sofrer discriminação por exercer os seus direitos.

A Fitney não vende nem compartilha dados pessoais para fins de publicidade comportamental entre contextos, conforme definido pela CPRA.

Para exercer os seus direitos, entre em contacto por suporte@fitneyapp.com. Responderemos em até 15 dias (LGPD), 30 dias (GDPR) ou 45 dias (CCPA).

Como pedir uma cópia ou a portabilidade dos seus dados: envie um e-mail para suporte@fitneyapp.com com o assunto “Exportação de dados” e o e-mail registado na conta. Depois de confirmarmos a sua identidade, entregamos um ficheiro em formato estruturado e legível por máquina (JSON ou CSV) dentro dos prazos indicados acima, sem custo.

Não há exportação automática. A Plataforma não disponibiliza, hoje, um botão que gere esse ficheiro: o pedido é atendido manualmente pela nossa equipa, a partir do e-mail acima. Os relatórios e PDF que o Profissional gera no painel (treino, dieta, avaliação) não substituem essa exportação completa.

Implementamos medidas técnicas e organizacionais para proteger os seus dados pessoais, incluindo:

• Criptografia: dados em trânsito protegidos por TLS 1.3; dados sensíveis criptografados em repouso (AES-256);
• Controlo de acesso: autenticação multifator, princípio do menor privilégio, logs de acesso;
• Infraestrutura: servidores em data centers certificados (SOC 2 Tipo II, ISO 27001);
• Monitorização: detecção de intrusão, monitorização 24/7 e alertas automáticos;
• Backup: backups criptografados com retenção e testes de restauração regulares;
• Equipa: treino regular em segurança e privacidade para todos os colaboradores;
• Testes: avaliações periódicas de vulnerabilidade e revisões de segurança.

Nenhum sistema é 100% seguro. Em caso de incidente de segurança, notificaremos as autoridades competentes (ANPD, autoridades de proteção de dados europeias) e os titulares afetados nos prazos legais.

A Plataforma não é direcionada a menores de 18 anos. Menores de 18 anos somente podem utilizar a Plataforma com o consentimento verificável de um responsável legal.

• Brasil (LGPD, Art. 14): dados de crianças (até 12 anos) somente com consentimento específico e em destaque de pelo menos um dos pais ou responsável legal. Adolescentes (12-17 anos): consentimento do responsável legal;
• UE (GDPR, Art. 8): consentimento de menores de 16 anos (ou idade inferior definida pelo Estado-Membro, mínimo 13 anos) requer autorização do titular da responsabilidade parental;
• EUA (COPPA): não coletamos intencionalmente dados de menores de 13 anos. Se tomarmos conhecimento, eliminaremos os dados imediatamente.

Se você acredita que dados de um menor foram coletados sem autorização, entre em contacto com suporte@fitneyapp.com.

Utilizamos cookies e tecnologias similares para operar a Plataforma, analisar uso e personalizar a experiência. Para informações detalhadas, consulte nossa Política de Cookies.

Resumo:

• Cookies essenciais: necessários para o funcionamento do site (sem necessidade de consentimento);
• Cookies de análise: para entender como a Plataforma é utilizada (requerem consentimento);
• Cookies de marketing: para personalizar anúncios (requerem consentimento).

Você pode gerir as suas preferências de cookies a qualquer momento pelo banner de cookies ou pelas configurações do navegador.

A Fitney pode utilizar processamento automatizado para:

• Recomendar treinos e planos alimentares com base no perfil do Aluno;
• Detectar padrões de uso anômalos para segurança;
• Personalizar a experiência na Plataforma.

Essas recomendações são auxiliares e sempre sujeitas à revisão do Profissional. Não tomamos decisões que produzam efeitos jurídicos ou afetem significativamente o titular com base exclusivamente em tratamento automatizado.

Conforme o art. 20 da LGPD e o art. 22 do GDPR, você tem direito a solicitar a revisão de decisões automatizadas e a obter informações sobre os critérios e procedimentos utilizados.

Ao utilizar a funcionalidade de exames laboratoriais, a Plataforma trata dados pessoais sensíveis relativos à saúde do aluno/paciente, nos termos da Lei nº 13.709/2018 (LGPD). Tais dados podem incluir: exames solicitados, valores e resultados de exames, indicação clínica/observações e, quando informado, o CPF do paciente.

Finalidade e base legal. Esses dados são tratados exclusivamente para a prestação dos serviços de acompanhamento nutricional/clínico pelo profissional vinculado ao aluno, com fundamento no consentimento do titular e/ou na tutela da saúde (art. 11 da LGPD).

Acesso. Os dados de saúde do aluno são acessíveis apenas ao(s) profissional(is) a ele vinculado(s) na Plataforma e a pessoal autorizado da Fitney, estritamente para operação e suporte.

Compartilhamento. A Fitney não comercializa nem compartilha dados de saúde com terceiros para fins de marketing. Ficheiros eventualmente anexados são armazenados de forma restrita.

Retenção e direitos. Os dados são mantidos enquanto durar o vínculo profissional-aluno ou conforme exigência legal. O titular pode exercer os direitos previstos na LGPD (acesso, correção, eliminação, portabilidade, revogação de consentimento) conforme a seção de Contacto/DPO.

Papéis. Estes dados são tratados por conta e ordem do Profissional, que é o responsável pelo tratamento, atuando a Fitney como subcontratante — incluindo para efeitos do art. 9.º do RGPD, quando aplicável. São aplicadas medidas técnicas e organizativas de proteção e os dados são conservados apenas pelo período necessário às finalidades ou por obrigação legal.

A Plataforma oferece a funcionalidade de lembretes de consulta, que utiliza o número de telefone registado do Aluno para auxiliar o Profissional a lembrá-lo das suas consultas e do seu acompanhamento.

Envio manual. Por padrão, a Fitney gera uma mensagem e um link (WhatsApp) que permite ao Profissional contatar o Aluno; o envio é feito pelo próprio Profissional, a partir da conta dele.

Envio automático. Quando o Profissional ativa o envio automático e conecta sua conta do WhatsApp Business, mensagens de lembrete podem ser enviadas ao Aluno em nome do Profissional, processadas pela Plataforma. Nesse caso, o consentimento prévio do Aluno é obrigatório e fica registrado, podendo ser revogado a qualquer momento nas configurações da conta.

Você pode gerir a sua preferência de recebimento desses lembretes a qualquer momento nas configurações da sua conta. O tratamento do telefone para esta finalidade observa as bases legais descritas na seção "Bases Legais para o Tratamento".

Caso o profissional ative a sua página pública, as informações que ele optar por publicar (nome, foto, biografia, especialidades, registos, certificações, locais de atendimento e redes sociais) tornam-se públicas e acessíveis por qualquer pessoa, inclusive mecanismos de busca. O endereço do escritório só é exibido se o profissional habilitar essa opção.

Podemos atualizar esta Política periodicamente. Alterações substanciais serão comunicadas com antecedência de 30 dias por:

• E-mail para os Utilizadores registados;
• Notificação na Plataforma;
• Atualização da data de "Última atualização" nesta página.

Para alterações que exijam novo consentimento (ex.: novas finalidades de tratamento de dados sensíveis), solicitaremos consentimento específico antes da implementação.

Recomendamos revisar esta Política periodicamente.

Para dúvidas, solicitações ou reclamações sobre esta Política ou o tratamento dos seus dados pessoais:

• Encarregado de Dados (DPO): suporte@fitneyapp.com
• Endereço: Fitney Tecnologia Ltda., CNPJ 69.612.408/0001-10, R. Paulo Setubal, 5081, Casa 54 — Boqueirão, Curitiba, PR, CEP 81750-190, Brasil

Se não estiver satisfeito com nossa resposta, você pode apresentar reclamação à autoridade de proteção de dados competente:

• Brasil: Autoridade Nacional de Proteção de Dados (ANPD) — gov.br/anpd
• UE: Autoridade de proteção de dados do seu país de residência
• EUA (Califórnia): Office of the Attorney General of California