Política de privacidade

1. Quem é o responsável pelos seus dados

O controlador dos dados é 67.598.529 Vitor Portugal Prates de Mattos, CNPJ 67.598.529/0001-20, com endereço na Rua Fortunato Ramos, 245, Santa Lúcia, Vitória (ES), CEP 29056-020. Para qualquer assunto sobre seus dados, fale com o encarregado pelo e-mail contato@vitorportugal.com.br ou pela área de Suporte, dentro da plataforma.

2. Quais dados usamos

• Cadastro e conta: nome, e-mail, data de nascimento, WhatsApp e senha (guardada de forma cifrada pelo serviço de autenticação), e o registro do seu aceite destes documentos, do consentimento para dados de saúde e da sua declaração de aptidão (versões aceitas, data e hora e a tela em que você aceitou).
• Pagamento: CPF, telefone e dados da assinatura e das cobranças. O pagamento é processado pelo Asaas; não guardamos número de cartão.
• Perfil de treino: sexo declarado, objetivo, regiões que você quer priorizar, o que você escreveu sobre a sua meta, experiência, se treina atualmente, outras atividades físicas, disponibilidade e ambiente de treino.
• Ficha de anamnese: as respostas que você dá no primeiro acesso, guardadas a cada envio, com a data, a hora e a sua declaração de que as informações são verdadeiras. A parte de saúde da ficha entra no item abaixo.
• Treino: ficha escolhida, séries, cargas, repetições, duração das sessões e histórico.
• Saúde (dados sensíveis): respostas à triagem de saúde da ficha de anamnese (coração, pressão, dor no peito, tontura ou desmaio, problemas ósseos, articulares ou musculares, remédios para pressão ou coração, condições crônicas, gestação ou parto recente), dores e lesões, cirurgias, medicamentos de uso contínuo, altura, peso, hábitos (sono, estresse, rotina de trabalho, consumo de água, fumo e álcool), restrições ou alergias alimentares, restrições de saúde, dores, lesões e sintomas que você relatar à plataforma (inclusive pelo Suporte e, quando estiver ativa, no chat da Personal IA), respostas e comentários dos check-ins após o treino e as fichas adaptadas indicadas a partir dessas informações.
• Comunicação: pedidos de suporte e, quando a Personal IA estiver ativa, as perguntas enviadas a ela e as respostas. Se você mandar a pergunta por áudio, a gravação da sua voz serve só para virar texto: ela não é guardada pela plataforma, e só o texto transcrito fica na conversa.
• Contato comercial: nome, e-mail, telefone e objetivo informados no formulário de contato.
• Dados técnicos: cookies essenciais de sessão, para manter você conectado, e registros técnicos de acesso e de erro. Não usamos cookies de publicidade nem de análise.

3. Para que usamos e com qual base legal

• Prestar a consultoria (conta, acesso às fichas, registro do treino e suporte): execução de contrato (LGPD, art. 7º, V).
• Dados de saúde, para o Vitor avaliar se as fichas são adequadas para você e, quando necessário, indicar fichas adaptadas, inclusive com apoio de inteligência artificial sob revisão dele: seu consentimento específico e destacado (art. 11, I), dado na ativação da conta. Você pode revogá-lo a qualquer momento (item 7).
• Propostas internas de treino, geradas por inteligência artificial para comparação e melhoria das fichas, que não são mostradas a você: legítimo interesse (art. 7º, IX). Para essa finalidade usamos apenas o seu perfil de treino, sem nome e sem dados de saúde.
• Cobrança e obrigações fiscais e contábeis: execução de contrato e cumprimento de obrigação legal (art. 7º, II e V).
• Segurança da plataforma e prevenção a fraudes: legítimo interesse (art. 7º, IX).
• Responder ao contato comercial: procedimentos preliminares a um contrato, a seu pedido (art. 7º, V).

A plataforma não faz diagnóstico médico e não altera sua ficha automaticamente. Relatos de dor, lesão ou sintoma são avaliados pelo Vitor, e as orientações automáticas podem ser pausadas até essa avaliação.

4. Com quem os dados são compartilhados

Somente com fornecedores que operam a plataforma em nosso nome (operadores), para as finalidades acima:

• Supabase: banco de dados e autenticação.
• Vercel: hospedagem do site e do aplicativo.
• Asaas: cobranças e assinaturas.
• Resend: envio de e-mails, como ativação e respostas aprovadas pelo Vitor.
• Zoho: caixa do e-mail de contato e do encarregado (contato@vitorportugal.com.br), onde chegam as mensagens e os pedidos que você enviar por e-mail.
• OpenAI: inteligência artificial usada em três tarefas. A primeira é preparar rascunhos que o Vitor revisa antes de chegar a você (avaliação de fichas diante de relatos de dor ou lesão, mensagens de acompanhamento e respostas a pedidos de suporte e a contatos comerciais). A segunda é a Personal IA, quando estiver ativa. A terceira é gerar propostas internas de treino, que não são mostradas a você. Nas duas primeiras, a OpenAI recebe só o contexto necessário para cada tarefa, que pode incluir seu nome, objetivo, perfil de treino, os dados de saúde que você informou, o texto do pedido de suporte e, na Personal IA, a pergunta enviada (quando for por áudio, a gravação da sua voz, só para transcrevê-la em texto). Nas propostas internas, recebe apenas o perfil de treino, sem nome e sem dados de saúde.

Não vendemos dados pessoais.

5. Transferência internacional

O banco de dados e a autenticação (Supabase) e o envio de e-mails (Resend) ficam em São Paulo, no Brasil. Parte do processamento acontece fora do Brasil:

• o aplicativo roda em servidores da Vercel em Washington, D.C. (EUA), e os dados passam por eles a cada uso;
• a OpenAI processa as tarefas de inteligência artificial em seus servidores, sem restrição de país. Ela não usa esses dados para treinar seus modelos e guarda registros de monitoramento de abuso por até 30 dias; o áudio enviado para transcrição não é guardado por ela;
• o Asaas informa que pode armazenar dados em provedores de nuvem em outros países;
• a caixa do e-mail de contato (Zoho) fica nos data centers da Zoho nos EUA.

Essas transferências se apoiam nos termos de tratamento de dados dos fornecedores e nos mecanismos previstos no art. 33 da LGPD, e estamos incorporando aos contratos com esses fornecedores as cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024). Para os dados de saúde, a transferência se apoia também no seu consentimento específico e destacado (art. 33, VIII).

6. Por quanto tempo guardamos e o que acontece na exclusão

• Dados de conta, perfil de treino, treino, saúde, conversas, suporte e o registro do seu aceite: enquanto sua conta existir ou até você pedir a exclusão.
• Dados financeiros (assinaturas, cobranças e os eventos de pagamento recebidos do Asaas): por 5 anos, contados do primeiro dia do ano seguinte ao da cobrança, conforme a legislação fiscal e contábil, mesmo depois da exclusão da conta.

Quando você pede a exclusão, atendemos em até 15 dias contados da data do pedido (item 7), assim:

• O que é apagado: sua conta, perfil, treinos, dados de saúde, conversas, pedidos de suporte, o registro do seu aceite, os contatos comerciais com o seu e-mail e os registros das rotinas automáticas ligados a você. Os dados são apagados, não anonimizados. O seu login é removido no fim do processo.
• O que fica no nosso banco: as assinaturas, cobranças e eventos de pagamento, com valores, datas, situação e os códigos do Asaas (cliente, assinatura e cobrança), sem nome, e-mail, telefone ou CPF e sem ligação com você.
• O que fica no Asaas: o seu cadastro de cliente e as cobranças continuam no Asaas, que é o responsável por esses registros de pagamento; a exclusão feita por nós não os apaga.
• Cópias temporárias nos fornecedores: depois da exclusão, alguns dados ainda podem existir por um tempo nos registros técnicos e nas cópias de segurança dos operadores, até serem descartados pelos prazos deles: Supabase, registros de acesso, do banco e da autenticação e cópias de segurança diárias por até 7 dias; Resend, e-mails enviados por 30 dias; Vercel, registros de execução do aplicativo por até 30 dias, conforme o plano contratado.
• Enquanto o pedido está em andamento: você ainda consegue entrar e ver os seus dados, mas nada novo é gravado na sua conta. Para impedir novas gravações e conferir, no fim, que nada ficou, guardamos seus e-mails, telefones, CPF e o código de cliente do Asaas numa tabela interna, sem acesso pela API do aplicativo. Esses identificadores são apagados ao concluir ou cancelar o pedido, ou 15 dias depois da data do pedido, o que vier primeiro.

7. Seus direitos

Pela LGPD (art. 18), você pode pedir, a qualquer momento:

• confirmação de que tratamos seus dados e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
• portabilidade;
• informação sobre com quem compartilhamos seus dados;
• revogação do consentimento para os dados de saúde. Sem esses dados, o Vitor não consegue avaliar a adequação das fichas ao seu caso, e você continuará usando as fichas gerais;
• eliminação dos dados tratados com base no consentimento, ressalvadas as obrigações legais.

Faça o pedido pela área de Suporte ou pelo e-mail do item 1. Responderemos em até 15 dias, contados do seu pedido. Esse é o prazo que a LGPD estabelece para os pedidos de acesso (art. 19, II), e nós o adotamos para todos os pedidos.

8. Segurança

O acesso aos dados é restrito por conta e por perfil: cada aluno só vê os próprios dados, e apenas os administradores da plataforma (o Vitor e a equipe técnica que a opera) veem os dados dos alunos. Senhas e chaves de acesso não são guardadas em texto aberto.

9. Idade mínima

A plataforma é destinada apenas a maiores de 18 anos, e quem ativa a conta declara ter 18 anos ou mais. Não coletamos dados de menores de idade de propósito. Se soubermos que uma conta pertence a alguém com menos de 18 anos, ela será encerrada e os dados serão excluídos ou anonimizados, salvo o que a lei obrigar a guardar.

10. Mudanças nesta política

Quando esta política mudar de forma relevante, a data da versão será atualizada e você verá um aviso na plataforma para revisar e aceitar a nova versão.