Política de Privacidade

Esta Política de Privacidade descreve como a Fitney Tecnologia Ltda. ("Fitney", "nós") coleta, utiliza, compartilha e protege dados pessoais dos usuários ("Usuários", "você") de nossa plataforma SaaS de fitness e nutrição.

Esta Política aplica-se a todos os serviços oferecidos pela Fitney, incluindo:

• Site institucional (fitney.com.br);
• Aplicativo móvel para iOS e Android;
• Painel administrativo para profissionais (backoffice);
• Aplicativos white-label gerados para profissionais do plano Premium;
• APIs e serviços de backend.

Ela é complementada por nossa página sobre a LGPD e pela Política de Cookies.

Recomendamos a leitura integral desta Política. Ao utilizar a Plataforma, você confirma que compreendeu nossas práticas de tratamento de dados.

Para fins desta Política e das legislações de proteção de dados aplicáveis:

• Fitney Tecnologia Ltda. é a controladora dos dados pessoais dos Profissionais (personal trainers, nutricionistas) que contratam a Plataforma;
• O Profissional é o controlador dos dados pessoais de seus Alunos, e a Fitney atua como operadora desses dados;
• O Encarregado de Dados (DPO) pode ser contatado pelo e-mail dpo@fitneyapp.com.

Esta distinção é importante para fins de exercício de direitos: Alunos devem primariamente direcionar solicitações ao Profissional que gerencia seus dados, podendo também contatar a Fitney diretamente.

Coletamos as seguintes categorias de dados pessoais:

Dados de Cadastro

• Nome completo, e-mail, telefone (com código de país);
• CPF/CNPJ (para faturamento no Brasil);
• Registro ou certificação profissional, quando fornecido voluntariamente pelo Usuário (ex.: CREF, CRN no Brasil; NASM, ACE, NSCA, RD nos EUA; REPs, EREPS na Europa). Este dado é opcional e não é verificado pela Fitney;
• Endereço comercial e dados de faturamento.

Dados de Saúde e Fitness (Dados Sensíveis)

• Medidas corporais (peso, altura, circunferências);
• Objetivos de saúde e fitness;
• Histórico de treinos e exercícios;
• Dados nutricionais e planos alimentares;
• Fotos de progresso (quando fornecidas voluntariamente);
• Restrições alimentares e condições de saúde declaradas;
• Dados importados de plataformas de saúde (Apple HealthKit no iOS e Health Connect no Android), incluindo passos, frequência cardíaca, calorias queimadas, distância percorrida e sessões de exercício — somente com consentimento explícito do titular, concedido diretamente no sistema operacional do dispositivo;
• Anamnese (questionário de saúde): histórico médico, estilo de vida, nível de atividade física, objetivos — preenchido voluntariamente pelo Aluno ou Profissional.

Dados de Uso e Dispositivo

• Endereço IP, tipo de navegador e sistema operacional;
• Páginas acessadas, tempo de permanência e interações;
• Dados de geolocalização (baseada no IP no site; GPS no aplicativo móvel, quando autorizado, para registrar local de treino);
• Identificadores de dispositivo: modelo do aparelho, versão do sistema operacional, versão do aplicativo e identificador único de dispositivo;
• Tokens de notificação push (Firebase Cloud Messaging) para envio de lembretes e comunicações;
• Dados de desempenho e diagnóstico coletados pelo Firebase Crashlytics (relatórios de falhas, sem dados pessoais identificáveis);
• Cookies e tecnologias similares — veja nossa Política de Cookies.

Dados de Armazenamento Local (Aplicativo Móvel)

• Cache de respostas da API (armazenado localmente por até 3 dias para funcionamento offline);
• Fila de operações offline (exercícios, check-ins e sessões de corrida realizados sem conexão, sincronizados automaticamente ao reconectar);
• Preferências de notificação e configurações do Usuário;
• Histórico recente de notificações recebidas (últimas 10).

Dados de Pagamento

• Dados de transação (valor, data, status);
• Últimos 4 dígitos do cartão e bandeira (para identificação);
• Dados de compras realizadas no aplicativo (in-app purchase) via Apple App Store ou Google Play, incluindo identificadores de transação e período de assinatura;
• Nota: dados completos de cartão são processados diretamente pelo Stripe ou processador local (Asaas no Brasil) e nunca armazenados em nossos servidores.

Dados de Comunicação

• Mensagens trocadas entre Profissional e Aluno na Plataforma;
• Comunicações de suporte e feedback.

Tratamos dados pessoais com base nas seguintes fundamentações legais:

Base Legal	LGPD (Art. 7)	GDPR (Art. 6)	Exemplos de Uso
Execução de contrato	Art. 7, V	Art. 6(1)(b)	Prestação do serviço, processamento de pagamentos
Consentimento	Art. 7, I / Art. 11, I	Art. 6(1)(a)	Dados de saúde, marketing, cookies não essenciais
Interesse legítimo	Art. 7, IX	Art. 6(1)(f)	Segurança, prevenção de fraudes, melhoria do serviço
Obrigação legal	Art. 7, II	Art. 6(1)(c)	Obrigações fiscais, regulatórias, ordem judicial
Proteção da vida	Art. 7, VII	Art. 6(1)(d)	Situações de emergência envolvendo dados de saúde

Para dados sensíveis (dados de saúde e fitness), utilizamos preferencialmente o consentimento específico e destacado do titular, conforme exigido pelo art. 11 da LGPD e art. 9 do GDPR.

Utilizamos seus dados pessoais para as seguintes finalidades:

• Prestação do serviço: criar e manter sua conta, fornecer as funcionalidades contratadas, processar pagamentos;
• Personalização: adaptar a experiência, recomendações de treinos e funcionalidades ao seu perfil;
• Comunicação: enviar notificações sobre o serviço, atualizações, alertas de segurança e (com consentimento) comunicações de marketing;
• Segurança: detectar, prevenir e investigar fraudes, acessos não autorizados e atividades maliciosas;
• Melhoria do serviço: analisar padrões de uso (de forma agregada e anonimizada quando possível) para melhorar funcionalidades;
• Cumprimento legal: atender obrigações fiscais, regulatórias, judiciais e de autoridades competentes;
• Suporte: responder solicitações, reclamações e fornecer assistência técnica.

Compartilhamos dados pessoais apenas nas situações abaixo, sempre com salvaguardas adequadas:

Prestadores de Serviço (Operadores/Processadores)

• Infraestrutura e hospedagem: provedores de cloud computing (servidores nos EUA e/ou UE);
• Pagamentos: Stripe e processadores locais;
• Análise e monitoramento: Google Analytics 4 (via Google Tag Manager, com Consent Mode v2), Firebase Analytics e Firebase Crashlytics (relatórios de estabilidade), Microsoft Clarity (mapas de calor);
• Notificações push: Firebase Cloud Messaging (Google);
• Armazenamento de mídia: Amazon S3 e Supabase (fotos de exercícios, check-ins e avaliações);
• Saúde: Apple HealthKit e Google Health Connect (somente leitura/escrita local no dispositivo, dados não transferidos para servidores da Fitney);
• Pagamentos: Stripe (internacional) e Asaas (Brasil — PIX e Boleto); Apple App Store e Google Play (compras no aplicativo);
• E-mail transacional: provedores de envio de e-mail (SMTP);
• Suporte: ferramentas de atendimento ao cliente.

Todos os prestadores são contratados com cláusulas de proteção de dados (Data Processing Agreements — DPAs).

Compartilhamento Profissional-Aluno

O Profissional tem acesso aos dados de seus Alunos conforme necessário para a prestação do serviço. O Aluno deve verificar a política de privacidade de seu Profissional.

Obrigações Legais

Podemos divulgar dados quando exigido por lei, ordem judicial, procedimento legal ou solicitação de autoridade governamental competente.

Transferências Corporativas

Em caso de fusão, aquisição, reorganização ou venda de ativos, os dados podem ser transferidos, com aviso prévio e manutenção das proteções.

A Fitney não vende dados pessoais a terceiros, conforme definições da LGPD, GDPR e CCPA/CPRA.

A Fitney pode transferir dados pessoais para fora do país de origem do titular, em conformidade com as legislações aplicáveis:

Brasil → Exterior (LGPD, Arts. 33-36)

• Para países ou organizações que proporcionem grau de proteção adequado, conforme reconhecido pela ANPD;
• Mediante cláusulas contratuais padrão aprovadas pela ANPD;
• Com consentimento específico e destacado do titular;
• Quando necessário para execução do contrato.

UE/EEE → Exterior (GDPR, Arts. 44-49)

• Para países com decisão de adequação da Comissão Europeia;
• Mediante Cláusulas Contratuais Padrão (SCCs) da UE;
• Para os EUA, sob o EU-US Data Privacy Framework, quando aplicável;
• Avaliação de impacto de transferência (TIA) é realizada quando necessário.

Nossos principais servidores estão localizados nos Estados Unidos (AWS/Google Cloud) com medidas de segurança técnicas e organizacionais adequadas.

Retemos dados pessoais apenas pelo período necessário para as finalidades descritas nesta Política:

Categoria de Dados	Período de Retenção	Justificativa
Dados de conta ativa	Enquanto a conta estiver ativa	Execução do contrato
Dados após cancelamento	Até 6 meses	Possibilidade de reativação
Dados fiscais/financeiros	5 anos	Obrigação legal (Código Tributário Nacional)
Dados de saúde	Até exclusão pelo titular ou 2 anos após inatividade	Exercício regular de direitos
Logs de acesso	6 meses	Obrigação legal (Marco Civil da Internet, Art. 15)
Dados de comunicação	Enquanto a conta estiver ativa + 1 ano	Suporte e resolução de disputas
Dados anonimizados	Indefinidamente	Dados anonimizados não são dados pessoais

Ao término do período de retenção, os dados são eliminados ou anonimizados de forma irreversível.

Dependendo de sua localização, você possui os seguintes direitos sobre seus dados pessoais:

Direitos sob a LGPD (Brasil)

Conforme os arts. 17-22 da LGPD, você tem direito a:

• Confirmação da existência de tratamento;
• Acesso aos dados pessoais;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
• Portabilidade dos dados;
• Eliminação dos dados tratados com consentimento;
• Informação sobre compartilhamento com terceiros;
• Revogação do consentimento;
• Oposição ao tratamento.

Direitos sob o GDPR (UE/EEE)

Conforme os arts. 15-22 do GDPR, você tem direito a:

• Acesso (Art. 15);
• Retificação (Art. 16);
• Apagamento / "direito ao esquecimento" (Art. 17);
• Limitação do tratamento (Art. 18);
• Portabilidade (Art. 20);
• Oposição (Art. 21), incluindo oposição ao marketing direto;
• Não sujeição a decisões automatizadas (Art. 22);
• Apresentar reclamação à autoridade de controle competente.

Direitos sob a CCPA/CPRA (Califórnia, EUA)

• Direito de saber quais dados são coletados e como são usados;
• Direito de excluir dados pessoais;
• Direito de corrigir dados imprecisos;
• Direito de optar por não vender/compartilhar dados (opt-out);
• Direito de limitar o uso de dados sensíveis;
• Direito de não sofrer discriminação por exercer seus direitos.

A Fitney não vende nem compartilha dados pessoais para fins de publicidade comportamental entre contextos, conforme definido pela CPRA.

Para exercer seus direitos, entre em contato por dpo@fitneyapp.com. Responderemos em até 15 dias (LGPD), 30 dias (GDPR) ou 45 dias (CCPA).

Implementamos medidas técnicas e organizacionais para proteger seus dados pessoais, incluindo:

• Criptografia: dados em trânsito protegidos por TLS 1.3; dados sensíveis criptografados em repouso (AES-256);
• Controle de acesso: autenticação multifator, princípio do menor privilégio, logs de acesso;
• Infraestrutura: servidores em data centers certificados (SOC 2 Tipo II, ISO 27001);
• Monitoramento: detecção de intrusão, monitoramento 24/7 e alertas automáticos;
• Backup: backups criptografados com retenção e testes de restauração regulares;
• Equipe: treinamento regular em segurança e privacidade para todos os colaboradores;
• Testes: avaliações periódicas de vulnerabilidade e revisões de segurança.

Nenhum sistema é 100% seguro. Em caso de incidente de segurança, notificaremos as autoridades competentes (ANPD, autoridades de proteção de dados europeias) e os titulares afetados nos prazos legais.

A Plataforma não é direcionada a menores de 18 anos. Menores de 18 anos somente podem utilizar a Plataforma com o consentimento verificável de um responsável legal.

• Brasil (LGPD, Art. 14): dados de crianças (até 12 anos) somente com consentimento específico e em destaque de pelo menos um dos pais ou responsável legal. Adolescentes (12-17 anos): consentimento do responsável legal;
• UE (GDPR, Art. 8): consentimento de menores de 16 anos (ou idade inferior definida pelo Estado-Membro, mínimo 13 anos) requer autorização do titular da responsabilidade parental;
• EUA (COPPA): não coletamos intencionalmente dados de menores de 13 anos. Se tomarmos conhecimento, eliminaremos os dados imediatamente.

Se você acredita que dados de um menor foram coletados sem autorização, entre em contato com dpo@fitneyapp.com.

Utilizamos cookies e tecnologias similares para operar a Plataforma, analisar uso e personalizar a experiência. Para informações detalhadas, consulte nossa Política de Cookies.

Resumo:

• Cookies essenciais: necessários para o funcionamento do site (sem necessidade de consentimento);
• Cookies de análise: para entender como a Plataforma é utilizada (requerem consentimento);
• Cookies de marketing: para personalizar anúncios (requerem consentimento).

Você pode gerenciar suas preferências de cookies a qualquer momento pelo banner de cookies ou pelas configurações do navegador.

A Fitney pode utilizar processamento automatizado para:

• Recomendar treinos e planos alimentares com base no perfil do Aluno;
• Detectar padrões de uso anômalos para segurança;
• Personalizar a experiência na Plataforma.

Essas recomendações são auxiliares e sempre sujeitas à revisão do Profissional. Não tomamos decisões que produzam efeitos jurídicos ou afetem significativamente o titular com base exclusivamente em tratamento automatizado.

Conforme o art. 20 da LGPD e o art. 22 do GDPR, você tem direito a solicitar a revisão de decisões automatizadas e a obter informações sobre os critérios e procedimentos utilizados.

Podemos atualizar esta Política periodicamente. Alterações substanciais serão comunicadas com antecedência de 30 dias por:

• E-mail para os Usuários cadastrados;
• Notificação na Plataforma;
• Atualização da data de "Última atualização" nesta página.

Para alterações que exijam novo consentimento (ex.: novas finalidades de tratamento de dados sensíveis), solicitaremos consentimento específico antes da implementação.

Recomendamos revisar esta Política periodicamente.

Para dúvidas, solicitações ou reclamações sobre esta Política ou o tratamento de seus dados pessoais:

• Encarregado de Dados (DPO): dpo@fitneyapp.com
• Geral: legal@fitneyapp.com
• Endereço: Fitney Tecnologia Ltda., CNPJ 44.638.274/0001-86, R. Cascavel, 2760 — Curitiba, PR, Brasil

Se não estiver satisfeito com nossa resposta, você pode apresentar reclamação à autoridade de proteção de dados competente:

• Brasil: Autoridade Nacional de Proteção de Dados (ANPD) — gov.br/anpd
• UE: Autoridade de proteção de dados do seu país de residência
• EUA (Califórnia): Office of the Attorney General of California