Política de Privacidade

• Cadastro e perfil: nome, e-mail, senha (guardada só de forma irreversível, nunca em texto), celular, @, foto, frase do perfil, cidade e estado. Data de nascimento e sexo são opcionais e pedidos aos poucos. O CPF é opcional e só é pedido quando uma academia, um pagamento ou uma cobrança exige. Se você entra com o Google, recebemos nome, e-mail e o identificador da conta Google.
• Treino: fichas, treinos realizados (exercícios, séries, repetições, cargas, tempo em cada exercício, como você sentiu o esforço, dor ou desconforto que você marcar e as suas anotações), calorias estimadas e, se você conectar relógio ou aplicativo de saúde, frequência cardíaca, distância e calorias dessas atividades.
• Corpo e saúde (dados sensíveis, seção 2): peso e medidas, fotos de progresso, exames, questionário de prontidão (PAR-Q), objetivo, lesões, restrições, medicamentos e contato de emergência. Para menores de 18 anos, também nome e telefone do responsável.
• Social e comunicação: perfil público ou privado, quem você segue (pessoas e academias) e quem segue você, registros de treino que você escolhe compartilhar, curtidas, comentários, mensagens diretas, desafios e denúncias que você fizer ou receber, e as avaliações que você der a academias e personais e as notas que profissionais derem a você (seção 4).
• Academia e pagamentos: matrícula e plano, check-ins (entrada por QR Code), cobranças, vencimentos e pagamentos (valor, data, situação e meio usado), pedidos e vínculos com personais e as cobranças entre vocês. Não guardamos número de cartão: o pagamento online é feito no Asaas.
• Personais e academias (como profissionais): CREF e dados do perfil profissional (apresentação, especialidades, preços, onde atende), os treinos prontos que o personal coloca à venda (nome, objetivo, nível, valor e a estrutura dos dias) e avaliações recebidas. Para academias: CNPJ, endereço, horários, fotos, as publicações que a gestão faz em nome da academia (texto e foto) e dados de recebimento. O selo de perfil verificado também é um dado do perfil, concedido pela equipe da plataforma.
• Localização: só nas situações descritas na seção 5.
• Uso e aparelho: logins (data, canal, tipo de aparelho e endereço IP), telas abertas e tempo em cada uma (seção 6), aparelhos conectados à sua conta e o código do aparelho para enviar notificações.
• Contato com a gente: as mensagens que você enviar ao suporte.

Peso e medidas, fotos de progresso, exames, PAR-Q, lesões, restrições, medicamentos, frequência cardíaca e a dor ou o desconforto que você marca no treino são dados pessoais sensíveis (LGPD, art. 5º, II, e art. 11). Por isso:

• O questionário, as lesões, as restrições e os medicamentos só são guardados depois do seu consentimento específico, chamado "Dados de saúde". Ao retirá-lo em Privacidade e dados, esses dados são apagados e o compartilhamento de saúde termina.
• Medidas, exames e fotos só são vistos por quem você escolher: o personal, por categoria e por prazo, que você pode revogar quando quiser; a sua academia, só se você permitir. A recepção da academia nunca vê exames.
• Cada leitura de dado sensível por outra pessoa fica registrada para auditoria.
• Não usamos dados de saúde para publicidade, não os vendemos e não os usamos para treinar modelos de inteligência artificial.
• O registro de treino que você compartilha não mostra suas medidas nem o sexo gravado no cadastro.

As estimativas que o aplicativo calcula (calorias, análises de frequência, alertas) são indicativas e não substituem a orientação de um profissional de educação física ou de saúde.

• Executar o contrato (art. 7º, V): criar a sua conta, registrar treinos e fichas, conectar você à academia e ao personal, controlar matrículas, cobranças e check-in e enviar os avisos do serviço.
• Cumprir obrigações legais (art. 7º, II): guardar os registros de acesso (Marco Civil da Internet, art. 15), cumprir obrigações fiscais e contábeis dos pagamentos e atender ordens de autoridades.
• Consentimento (art. 7º, I, e art. 11, I): dados de saúde, localização aproximada para amigos (proximidade), envio de treinos ao Strava, novidades e ofertas por e-mail, integrações opcionais e o link do seu perfil aberto na internet (Visibilidade do perfil, desligado por padrão). Você pode retirar cada consentimento a qualquer momento em Privacidade e dados.
• Legítimo interesse (arts. 7º, IX, e 10): manter a plataforma segura e prevenir fraude e abuso (limite de tentativas de login, bloqueios, análise de denúncias), registrar quais telas são abertas e por quanto tempo para corrigir erros e melhorar o produto (seção 6) e produzir estatísticas agregadas. Sempre de forma compatível com o que você espera, e você pode se opor. Não usamos legítimo interesse para dados de saúde.
• Exercício regular de direitos (art. 7º, VI): defesa em processos judiciais, administrativos e arbitrais.

Tudo o que você coloca no aplicativo fica visível só para quem precisa, nesta medida:

• Busca por perto. Só quando você toca em "Usar minha localização" ou abre as listas de academias e personais, a posição do aparelho sai arredondada (cerca de 1 km) para ordenar os resultados por distância. Ela não é gravada nem ligada à sua conta, e o registro do servidor não guarda a consulta.
• Proximidade com amigos (opcional). Desligada por padrão. Exige um consentimento próprio, só vale para maiores de 18 anos com data de nascimento informada e, por isso, a data fica travada para edição. Guardamos uma área de cerca de 1 km (nunca a coordenada), por 1, 6 ou 24 horas, à sua escolha. Ela é apagada ao vencer, ao pausar ou desligar, ao retirar o consentimento e ao excluir a conta. Só amigos (quem vocês dois seguem e aceitaram) veem uma faixa de distância, e você pode se esconder de qualquer um. Três denúncias de pessoas diferentes por assédio ou perseguição em 30 dias suspendem a sua visibilidade até a equipe analisar.
• Preencher endereço. Ao tocar em "Usar minha localização" num formulário de endereço, a posição vai a um serviço de mapas (OpenStreetMap) só para descobrir rua, bairro, cidade e estado, e não é gravada. O CEP digitado é consultado no ViaCEP e, se preciso, na BrasilAPI.
• Academias e personais. O endereço da academia e o ponto de atendimento do personal (bairro arredondado a cerca de 1 km) são dados do perfil profissional, públicos para quem busca.

Para corrigir erros e melhorar o aplicativo, registramos o nome das telas que você abre (sem códigos nem conteúdo), por quanto tempo ficou com cada uma em primeiro plano, o canal (aplicativo, site ou painel) e um resumo do aparelho. Os logins e as tentativas recusadas guardam também o endereço IP, por segurança.

• Quem vê: os números agregados, o suporte e os administradores da plataforma; o histórico de telas e tempo por pessoa, só o administrador, e cada consulta fica registrada. Academias e personais não veem.
• Por quanto tempo: telas e tempo, 90 dias. Logins, cadastros e tentativas, 180 dias. Se você excluir a conta, apagamos esses registros junto.
• Seus direitos: esse histórico vem no arquivo de "Exportar meus dados" e a tela Privacidade e dados avisa que ele existe. Você pode se opor a esse registro escrevendo ao Encarregado; analisaremos o pedido.
• Quem não tem conta: quem só visita o site recebe um código anônimo que muda todo dia, gerado a partir do endereço IP e do navegador, só para contar visitantes diferentes sem seguir ninguém de um dia para o outro. Robôs de busca são ignorados.

Analisamos como o aplicativo é usado para corrigir erros, deixá-lo mais rápido e criar novos recursos. Podemos agregar e anonimizar dados, de modo que não identifiquem você, e usá-los para estatísticas e para entender o uso do produto. Nos termos do art. 12 da LGPD, dado verdadeiramente anonimizado não é dado pessoal, salvo se a anonimização for revertida. Dados de saúde só entram nesses agregados depois de anonimizados e nunca são vendidos.

Não usamos seus dados pessoais, de saúde, de treino ou suas mensagens para publicidade de terceiros nem para treinar modelos de inteligência artificial. Hoje o aplicativo não aplica inteligência artificial aos seus dados; se isso mudar, atualizaremos esta Política e pediremos o seu consentimento quando a lei exigir.

Compartilhamos dados apenas quando necessário:

• Com quem você escolheu: a sua academia, o seu personal e as pessoas do aplicativo, nos termos da seção 4.
• Instituição de pagamento (Asaas): para cobrança, PIX, boleto, cartão e repasse: nome, e-mail, CPF e valor.
• Prestadores de tecnologia, que atuam como operadores sob nossas instruções: hospedagem do servidor; envio de e-mails; envio de notificações no celular (Expo, que usa os serviços da Apple e do Google) e no navegador; e consultas de mapas e endereços (OpenStreetMap, ViaCEP, BrasilAPI e, na gestão da academia, Google Maps).
• Serviços que você conecta: Google, Strava, Instagram (Meta) e o aplicativo de saúde do aparelho, conforme a seção 15.
• Autoridades: para cumprir lei ou ordem judicial e proteger direitos.
• Reorganização societária: em fusão, aquisição ou venda de ativos, os dados poderão ser transferidos ao sucessor, mantida esta Política.

Não vendemos seus dados pessoais, não temos anúncios e não usamos rastreadores de terceiros.

Alguns prestadores e serviços que você conecta (por exemplo, Google, Apple, Meta e Strava) podem estar localizados ou processar dados fora do Brasil. Nesses casos, adotamos salvaguardas adequadas (cláusulas contratuais, prestadores em países com nível de proteção adequado ou outras garantias), na forma dos arts. 33 a 36 da LGPD.

Guardamos os dados pelo tempo necessário às finalidades desta Política e aos prazos legais, nesta medida:

Dados agregados ou anonimizados (seção 7) podem ser mantidos por prazo indeterminado.

Usamos automação para ordenar listas de academias e personais por distância e relevância, calcular estimativas e alertas de treino, limitar tentativas de login e suspender a visibilidade na proximidade de quem recebe três denúncias de pessoas diferentes por assédio ou perseguição em 30 dias, até a equipe analisar. Você pode pedir a revisão, por uma pessoa, de decisões automatizadas que afetem os seus interesses, na forma do art. 20 da LGPD.

• Conexões protegidas (HTTPS). Senhas guardadas com algoritmo próprio para senhas (Argon2id), nunca em texto.
• Acesso por tokens de curta duração, com renovação que você pode revogar aparelho por aparelho em Conta e segurança.
• Chaves e tokens de serviços conectados (Strava, Instagram, recebimento) cifrados no servidor.
• Exames, fotos de progresso e outros arquivos privados só abrem por links temporários, sem listagem pública.
• Limite de tentativas por endereço e por usuário, cabeçalhos de segurança e acesso restrito por função. O conteúdo das requisições não é gravado nos registros técnicos, e o registro de acesso do servidor não guarda a consulta da URL.

Nenhum sistema é 100% infalível. Em caso de incidente que possa acarretar risco ou dano relevante, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados, conforme o art. 48 da LGPD.

O VouTreinar é destinado a maiores de 18 anos. Menores de 18 anos só devem usá-lo com o conhecimento e o consentimento de um responsável legal, cujo nome e telefone o aplicativo pede ao completar o perfil. Menores não podem usar a proximidade. Não coletamos intencionalmente dados de crianças sem o consentimento específico do responsável (art. 14 da LGPD), que pode pedir a exclusão da conta pelo canal da seção 18.

Você pode, a qualquer momento: confirmar a existência de tratamento; acessar seus dados; corrigir dados incompletos ou desatualizados; pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários ou tratados em desconformidade; pedir a portabilidade; obter informação sobre o compartilhamento; se opor a tratamentos feitos por legítimo interesse; e revogar consentimentos. Você também pode peticionar à ANPD.

Para o resto (oposição, revisão de decisão automatizada, informações sobre o tratamento ou se você perdeu o acesso à conta), escreva para dpo@chavemestresolucoes.com.br. Podemos confirmar a sua identidade antes de exportar, alterar ou apagar dados, para proteger a sua conta. Respondemos nos prazos da LGPD, em regra em até 15 dias. Para dados que uma academia ou um personal controla (a matrícula, por exemplo), você também pode falar diretamente com eles; se preferir, encaminhamos o seu pedido.

Nada abaixo é ligado sem uma ação sua, e você pode desligar quando quiser.

• Entrar com o Google. Recebemos nome, e-mail verificado e o identificador da conta Google. Não acessamos seu e-mail, contatos nem outros dados do Google.
• Strava (só envio). Se você conectar, enviamos ao Strava os treinos que você escolher (ou todos, se ligar o envio automático): nome do treino, tipo, horário, duração, exercícios e séries e, quando houver, distância. Nada vem do Strava para o aplicativo. Guardamos o token cifrado; desconectar apaga o token.
• Apple Saúde e Health Connect. Com a sua permissão no aparelho, importamos atividades (tipo, horário, duração, distância, calorias e frequência cardíaca média e máxima) gravadas pelo seu relógio ou anel. Você revoga a permissão nas configurações do aparelho.
• Instagram (Meta), para academias e personais. A conexão é opcional e usa a API oficial do Instagram (Login do Instagram), com a permissão instagram_business_basic. Acessamos o nome de usuário, o identificador da conta e as fotos publicadas no feed (imagens e carrosséis); não acessamos mensagens diretas nem senhas. Usamos só para mostrar, no perfil público da academia ou do personal, as fotos que ele escolher, e, no caso do personal, para deixar o @ dele aqui igual ao do Instagram (ele pode trocar o @ depois em Editar perfil, e o @ de outra pessoa nunca é tomado); não publicamos nada em nome dele. Guardamos um token cifrado (válido por 60 dias, renovado automaticamente enquanto a conexão existir) e uma cópia das fotos escolhidas. Para desconectar, use a tela do Instagram na gestão da unidade ou do personal, com a opção de apagar também as fotos. Ao desconectar, ao remover o aplicativo nas configurações do Instagram ou ao pedir a exclusão, removemos o token. Para pedir a exclusão dos dados do Instagram, desconecte pelo aplicativo ou escreva para o Encarregado.
• Google Maps, na gestão da academia. Para vincular o local da academia, guardamos só o identificador do lugar. A nota e as fotos do Google são exibidas ao vivo, sem gravá-las.

Usamos apenas o que é necessário para o funcionamento e a segurança: no site e no painel, os cookies de sessão (acesso e renovação, protegidos contra leitura por scripts e válidos por até 60 dias) e o que guarda a academia selecionada; no aplicativo aberto no navegador, o armazenamento local do navegador para manter você conectado e lembrar preferências. Esses itens dispensam consentimento (LGPD, art. 7º, V e IX).

Não usamos cookies de publicidade, de análise de terceiros nem de rastreamento entre sites e aplicativos; por isso não há banner de cookies. Se isso mudar, avisaremos aqui e pediremos o seu consentimento.

Podemos atualizar esta Política para refletir mudanças no serviço ou na legislação. A versão vigente é sempre a publicada nesta página, com número de versão e data no topo, e o histórico fica abaixo. Mudanças relevantes são comunicadas pelo aplicativo ou por e-mail e, quando a lei exigir, pedimos um novo aceite.

Dúvidas, pedidos de titular e assuntos de privacidade: dpo@chavemestresolucoes.com.br. Encarregado pelo Tratamento de Dados Pessoais: a equipe de privacidade da Chave Mestre, pelo mesmo e-mail. Controladora: Chave Mestre Desenvolvimento de Programas de Computador sob Encomenda Ltda., CNPJ 66.017.936/0001-33, Belo Horizonte/MG.