1. Identificação do Controlador

Esta plataforma é operada por [INSERIR RAZÃO SOCIAL], inscrita no CNPJ sob nº [INSERIR CNPJ], com sede em [INSERIR ENDEREÇO COMPLETO] ("TreinoGO", "nós", "controlador").

Para o exercício dos direitos previstos na Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018), entre em contato com nosso Encarregado de Proteção de Dados (DPO) pelo e-mail [INSERIR E-MAIL DO DPO].

2. Dados Pessoais que Coletamos

Coletamos as seguintes categorias de dados quando você usa a plataforma:

2.1. Dados de cadastro

• E-mail (obrigatório)
• Nome (obrigatório)
• Senha (armazenada apenas na forma de hash, nunca em texto claro)
• Identificadores de login federado (Google ID, Apple ID), quando você opta por entrar via essas plataformas

2.2. Dados de perfil (opcionais)

• Telefone, idade, data de nascimento, foto de perfil
• CPF (quando necessário para faturamento ou identificação de profissional)
• Endereço (CEP, rua, número, complemento, bairro, cidade, estado)
• Profissão, biografia, website pessoal
• Para profissionais de Educação Física: especialização e número do registro CREF

2.3. Dados de saúde e desempenho físico (categoria sensível)

Quando você conecta sua conta Strava à plataforma, sincronizamos suas atividades físicas — distância percorrida, pace, frequência cardíaca, duração de treinos e métricas correlatas. Esses dados são considerados dados pessoais sensíveis nos termos do art. 5º, II da LGPD por se referirem à sua saúde.

Tratamos esses dados exclusivamente com base no seu consentimento expresso (manifestado ao conectar o Strava) e apenas para os fins descritos na seção 3.3 abaixo. Você pode revogar esse consentimento a qualquer momento desconectando a integração Strava na plataforma.

2.4. Dados de uso da plataforma

• Histórico de treinos, planos seguidos, métricas de progresso
• Preferências de notificação (e-mail, push)
• Logs técnicos para diagnóstico e segurança (IP, user-agent, timestamps)

2.5. Dados de pagamento

Quando você assina um plano pago, os dados do cartão de crédito são coletados e processados diretamente pelo Stripe Payments. Não armazenamos número de cartão, CVV ou data de validade em nossos servidores. Recebemos do Stripe apenas um identificador de cliente e o status da assinatura.

3. Finalidades e Bases Legais

Tratamos seus dados pessoais nas seguintes hipóteses do art. 7º e art. 11 da LGPD:

3.1. Execução de contrato (art. 7º, V)

Para criar e manter sua conta, autenticar acessos, processar treinos, planos e pagamentos, e prestar o serviço contratado.

3.2. Cumprimento de obrigação legal (art. 7º, II)

Para emissão de notas fiscais, atendimento a determinações judiciais e cumprimento da legislação tributária.

3.3. Consentimento (art. 7º, I e art. 11, I)

Para sincronizar dados de atividade física do Strava, para envio de comunicações de marketing e novidades, e para o uso de cookies não essenciais (Google Analytics, descrito na seção 6).

3.4. Legítimo interesse (art. 7º, IX)

Para prevenção a fraudes, monitoramento de segurança, melhoria do serviço e análise de uso agregado e anonimizado. Sempre balanceado contra seus direitos e liberdades fundamentais.

4. Compartilhamento de Dados com Terceiros

Não comercializamos seus dados. Compartilhamos as informações apenas com operadores essenciais à prestação do serviço, sob acordos de tratamento de dados:

• Stripe (Stripe, Inc., EUA) — processamento de pagamentos. Recebe nome, e-mail e dados de cartão diretamente do seu navegador.
• Resend (Resend Inc., EUA) — envio de e-mails transacionais (boas-vindas, recuperação de senha, notificações). Recebe seu nome e e-mail.
• Strava (Strava, Inc., EUA) — sincronização de atividades físicas, mediante seu consentimento expresso. Recebe e envia dados de treino.
• Google LLC (EUA) — autenticação federada "Sign in with Google" (apenas se você optar) e análise de uso agregada via Google Analytics.
• Apple Inc. (EUA) — autenticação federada "Sign in with Apple" (apenas se você optar).
• Fly.io (Fly.io, Inc., EUA) — hospedagem da infraestrutura de servidores e banco de dados.
• Cloudflare (Cloudflare, Inc., EUA) — hospedagem das páginas web e CDN.

5. Transferência Internacional de Dados

Os operadores listados na seção 4 estão sediados nos Estados Unidos e podem realizar tratamento de seus dados em servidores localizados fora do Brasil. Essas transferências ocorrem com base em cláusulas contratuais padrão de proteção de dados (art. 33, II da LGPD) com cada operador. Você pode solicitar informações sobre as garantias adotadas por meio do contato do DPO.

6. Cookies e Tecnologias Similares

Utilizamos as seguintes categorias de cookies e armazenamento local:

• Essenciais (não dispensáveis): auth_token e refresh_token — necessários para manter sua sessão autenticada. Não exigem consentimento.
• Analíticos (consentimento): Google Analytics (ID G-8Z0RR5FSQV) — coleta dados agregados de uso (páginas visitadas, tempo de sessão, origem do tráfego) para melhorarmos o produto. Você pode bloquear esses cookies no seu navegador sem comprometer o funcionamento do serviço.

7. Segurança dos Dados

Aplicamos medidas técnicas e organizacionais para proteger seus dados, incluindo:

• Criptografia em trânsito (TLS) em todas as comunicações
• Armazenamento de senhas com algoritmo bcrypt (custo ≥ 12)
• Tokens de sessão de curta duração com rotação de refresh tokens
• Rate limiting e bloqueio temporário em endpoints sensíveis
• Logs de auditoria para acessos e alterações relevantes
• Controles de acesso baseados em papéis (atleta, treinador, administrador)

Apesar dessas medidas, nenhum sistema é completamente imune a incidentes. Em caso de violação que possa gerar risco ou dano relevante aos titulares, comunicaremos os afetados e a ANPD nos termos do art. 48 da LGPD.

8. Retenção dos Dados

• Conta ativa: enquanto sua conta estiver ativa, mantemos seus dados de cadastro, perfil e histórico de treinos.
• Após exclusão: ao solicitar a exclusão, removemos seus dados pessoais em até 30 dias, exceto aqueles cuja retenção seja exigida por obrigação legal (notas fiscais — 5 anos; registros de acesso — 6 meses, art. 15 do Marco Civil da Internet).
• Logs técnicos: mantidos por até 90 dias para fins de diagnóstico e segurança.
• Dados anonimizados: podem ser mantidos por prazo indeterminado para fins estatísticos e de melhoria do serviço.

9. Seus Direitos como Titular (art. 18 LGPD)

A qualquer momento, você pode exercer os seguintes direitos:

• Confirmação de existência de tratamento
• Acesso aos dados que mantemos sobre você
• Correção de dados incompletos, inexatos ou desatualizados
• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade
• Portabilidade dos dados a outro fornecedor
• Eliminação dos dados tratados com base no consentimento, ressalvadas as hipóteses do art. 16 da LGPD
• Informação sobre com quem compartilhamos seus dados
• Revogação do consentimento, com efeitos a partir da revogação
• Oposição ao tratamento realizado com base em legítimo interesse

Para exercer qualquer um desses direitos, envie um e-mail para [INSERIR E-MAIL DO DPO]. Responderemos em até 15 dias.

10. Decisões Automatizadas

A plataforma não toma decisões automatizadas que produzam efeitos jurídicos ou afetem significativamente seus interesses. Eventuais recomendações de planos de treino têm caráter informativo e podem ser ajustadas pelo seu treinador ou por você.

11. Crianças e Adolescentes

A plataforma é destinada a maiores de 18 anos. Não coletamos intencionalmente dados de crianças menores de 12 anos. Para adolescentes entre 13 e 18 anos, exigimos consentimento específico e em destaque de pelo menos um dos pais ou responsável legal, conforme art. 14 da LGPD.

12. Alterações nesta Política

Podemos atualizar esta Política periodicamente. Alterações materiais serão comunicadas com pelo menos 15 dias de antecedência, por e-mail ou por aviso em destaque na plataforma. A data da última atualização consta no topo deste documento.

13. Autoridade Nacional de Proteção de Dados

Se você entender que seus direitos não foram adequadamente atendidos por nós, pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD): www.gov.br/anpd.

14. Contato

Dúvidas sobre esta Política ou sobre o tratamento dos seus dados podem ser enviadas para o nosso DPO no e-mail [INSERIR E-MAIL DO DPO].