Política de Privacidade

Esta Política de Privacidade (“Política”) descreve como a FIREPLUME SOLUÇÕES TECNOLÓGICAS LTDA, inscrita no CNPJ/MF sob o nº 57.606.223/0001-14, com sede na Rua 5 Norte, Águas Claras, Brasília/DF (“Vatras”, “nós”, “Controlador”), coleta, utiliza, armazena e protege dados pessoais de seus usuários (“Titular”, “você”) ao disponibilizar o aplicativo móvel, o painel web, o site e os demais serviços relacionados (em conjunto, a “Plataforma”).

Esta Política observa a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, “LGPD”), o Marco Civil da Internet (Lei nº 12.965/2014), o Código de Defesa do Consumidor (Lei nº 8.078/1990) e demais normas aplicáveis.

Ao criar conta, acessar ou utilizar a Plataforma, você declara ter lido e compreendido esta Política. Caso não concorde com qualquer disposição, recomenda-se que não utilize a Plataforma e solicite a exclusão de dados eventualmente coletados.

• Dado pessoal: informação relacionada a pessoa natural identificada ou identificável.
• Dado pessoal sensível: dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a pessoa natural.
• Tratamento: toda operação realizada com dados pessoais (coleta, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, transferência ou compartilhamento).
• Controlador: pessoa a quem competem as decisões referentes ao tratamento de dados pessoais — neste caso, o Vatras.
• Operador: pessoa jurídica que realiza o tratamento em nome do Controlador.
• Encarregado (DPO): pessoa indicada pelo Controlador para atuar como canal de comunicação entre o Controlador, os Titulares e a Autoridade Nacional de Proteção de Dados (“ANPD”).
• Personal: usuário cadastrado como personal trainer ou profissional de educação física na Plataforma.
• Aluno: usuário cadastrado como aluno/cliente vinculado a um Personal por meio da Plataforma.

3.1. Dados fornecidos diretamente por você

• Cadastro: nome, e-mail, data de nascimento, gênero, foto de perfil, senha (armazenada de forma cifrada por meio de provedor especializado em autenticação).
• Contato: telefone (campo opcional).
• Dados profissionais (Personal): registro profissional (CREF), biografia, especialidades.
• Anamnese (Aluno): objetivos, histórico de treino, restrições físicas, condições autodeclaradas, lesões, medicamentos e respostas a questionário de prontidão (PAR-Q).
• Dados antropométricos e de evolução: peso, altura, medidas, fotos de progresso registradas voluntariamente pelo Titular.
• Conteúdos enviados: mensagens, comentários, imagens, vídeos e demais informações inseridas em campos da Plataforma.
• Pagamento: processado por provedor especializado em meios de pagamento. O Vatras não armazena número completo de cartão, código de segurança ou tarja magnética, recebendo apenas tokens, últimos dígitos, bandeira e status da transação.

3.2. Dados coletados automaticamente

• Acesso e uso: data e horário de login, endereço IP, tipo e versão do dispositivo, sistema operacional, idioma, fuso horário, telas visitadas, eventos de uso e logs de erro.
• Localização aproximada: derivada do endereço IP, para fins de segurança, prevenção a fraude e adequação regional.
• Cookies e tecnologias similares: conforme detalhado na Seção 11.

3.3. Dados obtidos de terceiros

• Provedores de autenticação social (Google ou Apple): identificador, nome, e-mail e foto de perfil, quando você optar por este meio de acesso.
• Aplicativos de saúde (Apple Health / Google Health Connect): conforme a Seção 9, mediante autorização específica do Titular.
• Personal vinculado: dados de treino e observações inseridos pelo Personal a respeito do Aluno vinculado.

3.4. Dados pessoais sensíveis

O tratamento de dados pessoais sensíveis (em especial dados de saúde) ocorre exclusivamente com base nas hipóteses do art. 11 da LGPD, mediante consentimento específico do Titular ou para a tutela da saúde, em procedimento realizado por profissional de educação física vinculado ao Titular. Esses dados são tratados apenas para a prestação dos serviços da Plataforma.

O Vatras trata seus dados pessoais para as finalidades indicadas a seguir:

• Criação, manutenção e administração da conta de usuário;
• Autenticação de acessos e proteção da segurança da Plataforma;
• Viabilização da vinculação entre Personal e Aluno e da execução das funcionalidades contratadas;
• Personalização da experiência, sugestão de exercícios, planos de treino e ajustes;
• Processamento de pagamentos, assinaturas, cobranças, reembolsos e prevenção a fraude;
• Envio de comunicações transacionais (lembretes, alertas, atualizações e respostas a solicitações);
• Envio de comunicações de marketing, mediante consentimento prévio do Titular, com possibilidade de descadastramento a qualquer momento;
• Geração de indicadores, relatórios, estatísticas e análises agregadas sobre evolução do Titular;
• Aprimoramento, depuração e desenvolvimento de novas funcionalidades da Plataforma;
• Prevenção, detecção e investigação de atos ilícitos, fraude, violação dos Termos de Uso ou da legislação aplicável;
• Cumprimento de obrigações legais, regulatórias e atendimento a requisições de autoridades competentes;
• Exercício regular de direitos em processos judiciais, administrativos ou arbitrais.

O tratamento de dados pessoais realizado pelo Vatras se fundamenta em uma ou mais das seguintes bases legais, conforme a finalidade:

• Consentimento do Titular (art. 7º, I; art. 11, I), especialmente para tratamento de dados sensíveis e comunicações de marketing;
• Execução de contrato ou de procedimentos preliminares (art. 7º, V), para a prestação dos serviços contratados;
• Cumprimento de obrigação legal ou regulatória (art. 7º, II);
• Exercício regular de direitos em processo judicial, administrativo ou arbitral (art. 7º, VI);
• Tutela da saúde, em procedimento realizado por profissionais ou serviços de saúde (art. 11, II, “f”);
• Prevenção à fraude e à segurança do Titular nos processos de identificação e autenticação (art. 11, II, “g”);
• Legítimo interesse do Controlador (art. 7º, IX), especificamente para segurança da informação, prevenção a fraude e melhoria da Plataforma, respeitados os direitos fundamentais do Titular.

O Vatras não vende dados pessoais. O compartilhamento ocorre apenas na medida necessária às finalidades descritas nesta Política, com as seguintes categorias de destinatários:

• Personal vinculado ao Aluno: dados de cadastro, anamnese, treino e evolução, bem como — quando individualmente autorizados pelo Aluno — dados de saúde provenientes do Apple Health ou Google Health Connect, na medida necessária à personalização do treino.
• Operadores e prestadores de serviço: empresas contratadas pelo Vatras para suporte à operação da Plataforma, incluindo provedor de autenticação, infraestrutura em nuvem, banco de dados, armazenamento de arquivos, processamento de pagamentos, comunicação transacional, monitoramento e suporte técnico. Esses operadores tratam os dados em nome do Vatras, observando contrato de prestação de serviços com cláusulas específicas de proteção de dados.
• Autoridades públicas, judiciais ou administrativas, quando exigido por lei, ordem judicial, requisição regular ou para o exercício regular de direitos.

A lista detalhada de operadores pode ser solicitada pelo Titular por meio dos canais da Seção 19.

Alguns dos operadores indicados na Seção 6 podem estar sediados ou processar dados fora do Brasil. Nesses casos, o Vatras observa as garantias previstas no art. 33 da LGPD, mediante: (i) cláusulas contratuais padrão; (ii) certificações de adequação; ou (iii) consentimento específico do Titular, conforme aplicável.

Quando o Aluno se vincula a um Personal (ou aceita o vínculo iniciado por ele), determinadas categorias de dados pessoais tornam-se acessíveis ao Personal vinculado, na medida necessária à prestação dos serviços de personal training.

O Aluno controla individualmente quais categorias de dados de saúde permanecem visíveis a cada Personal, podendo ativá-las ou desativá-las a qualquer momento nas configurações do aplicativo, com efeito imediato. Ao desvincular um Personal, o acesso desse profissional aos dados do Aluno é revogado.

Anotações, planos de treino e relatórios elaborados pelo Personal podem permanecer sob controle do próprio Personal após a desvinculação, hipótese em que ele passa a atuar como controlador independente em relação a tais materiais.

9.1. Categorias de dados

Mediante autorização específica e revogável do Titular, a Plataforma pode acessar dados do Apple Health (iOS) ou Google Health Connect (Android), entre eles:

• Peso corporal;
• Passos diários e atividade física;
• Sono (duração e fases);
• Frequência cardíaca e variabilidade;
• Calorias ativas e em repouso;
• Treinos registrados.

A Plataforma também pode gravar no Apple Health ou Google Health Connect os treinos completados no aplicativo (tipo, duração e calorias estimadas), caso o Titular autorize.

9.2. Finalidades

• Exibir o histórico de saúde ao próprio Titular;
• Permitir, quando o Titular autorizar, o compartilhamento com o Personal vinculado para fins de personalização do treino;
• Calcular indicadores de desempenho (como índice de prontidão), com base em sono, frequência cardíaca e atividade.

9.3. Finalidades vedadas

Os dados obtidos do Apple Health ou Google Health Connect não são utilizados para:

• Marketing, publicidade, segmentação ou profiling comercial;
• Venda ou compartilhamento com data brokers, anunciantes ou redes de afiliados;
• Tomada de decisão automatizada que produza efeitos jurídicos ou afete significativamente o Titular, sem possibilidade de revisão humana;
• Treinamento de modelos de inteligência artificial destinados a terceiros, sem prévia anonimização e sem consentimento.

9.4. Revogação

• iOS: Ajustes > Saúde > Apps > Vatras;
• Android: Health Connect > Permissões > Vatras;
• Configurações do aplicativo: revogar consentimento e excluir dados sincronizados.

A Plataforma utiliza modelos de inteligência artificial (próprios ou de terceiros) para auxiliar Personals na elaboração e revisão de planos de treino, sugestão de exercícios e análise de evolução. As recomendações geradas por IA são revisadas pelo Personal antes de serem atribuídas a um Aluno.

Dados pessoais do Titular podem ser utilizados, com base no consentimento ou em outra hipótese legal aplicável, para aprimoramento de modelos de inteligência artificial relacionados às funcionalidades da Plataforma. Sempre que tecnicamente viável, o Vatras adota medidas de minimização, pseudonimização ou anonimização.

As recomendações geradas por IA não substituem avaliação médica, fisioterápica ou nutricional. O Titular não deve tomar decisões de saúde com base exclusivamente em sugestões automatizadas.

O Titular pode, nos termos do art. 20 da LGPD, solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais.

O Vatras utiliza cookies, local storage e identificadores de dispositivo (em conjunto, “cookies”) no site institucional, no aplicativo móvel e no painel web. Os cookies se classificam em três categorias:

• Essenciais: indispensáveis ao funcionamento da Plataforma (autenticação, sessão, idioma, segurança). Não podem ser desativados.
• Analíticos: coletam dados agregados e anonimizados sobre uso da Plataforma, auxiliando o Vatras a medir desempenho e a aprimorar o produto. Dependem do consentimento do Titular.
• Marketing: personalizam comunicações e medem a eficácia de campanhas. Dependem do consentimento do Titular.

No primeiro acesso, o site exibe um banner que permite ao Titular aceitar, recusar ou configurar individualmente cada categoria de cookies. A escolha é registrada localmente no dispositivo e pode ser alterada a qualquer momento.

No aplicativo móvel, em substituição a cookies, o Vatras utiliza identificadores fornecidos pelo sistema operacional e armazenamento seguro para tokens de autenticação, respeitando as configurações de privacidade do dispositivo.

O Vatras adota medidas técnicas e organizacionais razoáveis e apropriadas para proteger dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, entre as quais:

• Criptografia de dados em trânsito;
• Isolamento lógico de dados por identificador de usuário;
• Autenticação delegada a provedor especializado;
• Controle granular de permissões e princípio do menor privilégio;
• Monitoramento de acessos, registro de logs e detecção de anomalias;
• Procedimentos de resposta a incidentes e, quando aplicável, comunicação à ANPD e aos Titulares afetados, nos termos da legislação.

Não obstante as medidas adotadas, nenhum método de transmissão ou armazenamento eletrônico é absolutamente seguro. O Titular deve manter sigilo sobre suas credenciais de acesso e comunicar imediatamente ao Vatras qualquer uso não autorizado.

Os dados pessoais serão mantidos pelo tempo necessário ao cumprimento das finalidades para as quais foram coletados e, após o encerramento da relação, pelo prazo adicional necessário ao cumprimento de obrigações legais, regulatórias e ao exercício regular de direitos. Observam-se, em especial, os seguintes prazos:

• Registros de acesso a aplicação — 6 (seis) meses (art. 15 do Marco Civil da Internet);
• Documentos fiscais, tributários e contábeis — em regra, 5 (cinco) anos;
• Documentos relativos a relação de consumo — 5 (cinco) anos (art. 27 do CDC);
• Demais dados — pelo prazo necessário e proporcional à finalidade do tratamento.

Encerrados os prazos de retenção, os dados serão eliminados ou anonimizados, ressalvadas as hipóteses do art. 16 da LGPD.

Nos termos do art. 18 da LGPD, o Titular pode, a qualquer momento, requerer:

• Confirmação da existência de tratamento;
• Acesso aos seus dados pessoais;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
• Portabilidade dos dados a outro fornecedor, observados os segredos comercial e industrial;
• Eliminação dos dados tratados com base no consentimento, ressalvadas as hipóteses do art. 16 da LGPD;
• Informação sobre as entidades públicas e privadas com as quais o Vatras realizou uso compartilhado de dados;
• Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
• Revogação do consentimento;
• Revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais (art. 20 da LGPD).

As solicitações devem ser encaminhadas pelos canais indicados na Seção 19. O Vatras pode solicitar informações adicionais para confirmação de identidade do Titular. As solicitações serão atendidas nos prazos legais.

A Plataforma destina-se exclusivamente a pessoas com idade igual ou superior a 18 (dezoito) anos. O Vatras não direciona, comercializa ou destina a Plataforma a crianças ou adolescentes, e não realiza, intencionalmente, tratamento de dados pessoais de menores de 18 anos. Caso seja identificado cadastro realizado por menor de idade, o Vatras adotará medidas razoáveis para encerrar o tratamento e excluir os dados.

Solicitações de pais ou responsáveis legais devem ser encaminhadas ao endereço da Seção 19.

Em cumprimento ao art. 41 da LGPD, o Vatras designa Encarregado pelo Tratamento de Dados Pessoais, responsável por atuar como canal de comunicação entre o Controlador, os Titulares e a ANPD. Contato do Encarregado:

• E-mail: contato@fireplume.app
• FIREPLUME SOLUÇÕES TECNOLÓGICAS LTDA — CNPJ 57.606.223/0001-14.

O Vatras poderá atualizar esta Política periodicamente para refletir alterações legais, regulatórias ou operacionais. A versão atualizada será disponibilizada nesta página, com indicação da data de atualização.

Sempre que houver alteração substancial nas finalidades, no compartilhamento ou nas hipóteses de tratamento, o Vatras comunicará previamente o Titular por meio do aplicativo, e-mail ou outro canal razoável, com antecedência mínima de 30 (trinta) dias, ressalvadas alterações exigidas por lei com prazo distinto.

Esta Política é regida pelas leis da República Federativa do Brasil.

Fica eleito o foro da Comarca de Brasília, Distrito Federal, para dirimir quaisquer controvérsias decorrentes desta Política, ressalvadas as relações de consumo, nas quais prevalecerá o foro do domicílio do consumidor (art. 101, I, do CDC), e as hipóteses de competência absoluta previstas em lei.

Em caso de dúvidas, solicitações ou reclamações relacionadas a esta Política ou ao tratamento dos seus dados pessoais:

• E-mail: contato@fireplume.app
• FIREPLUME SOLUÇÕES TECNOLÓGICAS LTDA — CNPJ 57.606.223/0001-14.