Política de Privacidade

1. Quem é o responsável pelos seus dados

O controlador dos dados é Helder Rodrigues, pessoa física, com sede em Belo Horizonte/MG, que mantém o trein.fit.

O encarregado pelo tratamento de dados (Art. 41 da LGPD) é a mesma pessoa. Para qualquer assunto de privacidade, escreva para suporte@trein.fit.

2. Quais dados usamos e para quê

Pedimos só o necessário para cada recurso. Os dados de atividade física só são usados depois que você permite, um item de cada vez, na hora em que vai usar o recurso.

Conta

E-mail, nome, fuso horário e, se você quiser, foto e WhatsApp. Servem para entrar na conta, identificar você em eventos e desafios e enviar avisos do serviço. Base legal: execução de contrato (Art. 7º, V).

Data de nascimento

Só para aplicar as regras de idade (mínimo de 13 anos e autorização do responsável abaixo de 18). Não aparece para ninguém e não pode ser alterada por você depois de informada. Base legal: cumprimento de obrigação legal (Art. 7º, II) e ECA Digital.

Plano

Se a sua conta é gratuita ou Premium, para liberar os recursos de cada plano. Base legal: execução de contrato.

Atividades esportivas

Com a sua permissão (“Atividades esportivas”): data, horário, modalidade, nome, distância, duração, elevação e parciais por quilômetro das atividades que chegam do provedor que você conectar (hoje, o Strava), do arquivo do relógio que você enviar (FIT/GPX) ou do formulário que você preencher. Servem para contar seu progresso em desafios e eventos, calcular sua carga de treino e montar seu histórico. Base legal: consentimento (Art. 7º, I).

Localização das atividades

Com uma permissão separada (“Localização das atividades”), guardamos só o ponto de início de cada atividade — nunca o trajeto — para reconhecer sozinho em que evento você treinou. Sem ela, nenhuma coordenada das suas atividades é guardada e o app só sugere o evento para você confirmar. Base legal: consentimento.

Frequência cardíaca

Dado de saúde, só com uma permissão própria (“Frequência cardíaca”): a frequência média por quilômetro registrada nas atividades, para melhorar a precisão dos índices. Sem a permissão, ela é descartada antes de ser guardada. Base legal: consentimento específico e destacado (Art. 11, I).

Índices de aptidão

Com a permissão “Avaliação automática de aptidão”, calculamos a partir das suas atividades os índices EI, CI, TTI e de ritmo, e um nível por modalidade. Veja a seção 4. Base legal: consentimento.

Eventos

Eventos que você organiza, suas inscrições, contato de emergência (quando o evento pede), respostas a perguntas do organizador, comprovante de pagamento e o texto dos termos do evento que você aceitou. Base legal: execução de contrato; o contato de emergência é informado por você no ato da inscrição.

Arquivos enviados

Foto de perfil, capa de evento, arquivo de percurso (GPX/FIT) e comprovante de pagamento. Antes de guardar, removemos os metadados: localização GPS e modelo do aparelho das fotos; autor, aparelho, horários e frequência cardíaca dos percursos; autor e aplicativo dos PDFs. O nome original do arquivo também é descartado. Arquivos de atividade (FIT/GPX) não são guardados: são lidos, as métricas são extraídas e o arquivo é apagado na hora.

Progresso e conquistas

Pontos de experiência, sequência de dias ativos e conquistas, calculados a partir da sua participação. Base legal: execução de contrato.

Comunicações

Avisos do serviço por e-mail e no app, e e-mails promocionais só se você marcar a opção (nunca para menores de 18). Você pode desligar os e-mails do serviço e o marketing a qualquer momento.

Registros de segurança

Data e hora de login e eventos de segurança (como tentativas de acesso inválidas), com o endereço IP guardado só em forma cifrada (hash). Base legal: obrigação legal (Marco Civil da Internet, Art. 15) e legítimo interesse na segurança do serviço (Art. 7º, IX).

3. Como pedimos e como você retira o consentimento

• No cadastro você aceita só o uso da plataforma (estes termos). Nada sobre atividade física é pedido nessa hora.
• Cada permissão de dados de atividade é pedida separadamente, na hora em que faz sentido: ao conectar um provedor ou ao abrir seus índices. Nunca há opção pré-marcada nem “aceitar tudo”.
• Você retira qualquer permissão em Configurações → Privacidade. Retirar tem efeito real e imediato:
  • Atividades esportivas: desconectamos o provedor e apagamos suas atividades, carga de treino e índices. O total já somado em desafios continua, sem as atividades que o compuseram.
  • Frequência cardíaca: apagamos a frequência guardada nas suas atividades.
  • Avaliação automática: apagamos seus índices e o histórico deles, e paramos de calcular.
  • Localização das atividades: apagamos o ponto de início guardado nas suas atividades.
• Guardamos a prova de cada decisão (o que foi permitido ou retirado, quando, em que versão desta política), como exige o Art. 8º da LGPD.

4. Avaliação automática de aptidão

Os índices de aptidão são calculados por computador a partir das suas atividades, sem revisão humana, e indicam se você parece pronto(a) para um evento ou desafio. Eles são uma referência: nunca impedem sua inscrição. Seu nível resumido na modalidade (por exemplo, “Evoluindo”) aparece para outros participantes na lista de inscritos dos eventos em que você se inscreve; os índices em si, não.

Você pode pedir a revisão humana de qualquer avaliação e explicações sobre os critérios usados (Art. 20 da LGPD) pelo e-mail suporte@trein.fit.

5. Crianças e adolescentes

• O trein.fit não é para menores de 13 anos.
• De 13 a 17 anos, a conta só é liberada com a autorização de um responsável. Ele recebe por e-mail um link de uso único, válido por 7 dias, e decide item por item o que autoriza. Até lá, o adolescente só pode navegar: não confirma presença, não entra em desafios e não conecta provedores.
• Quem concede permissões de dados para o adolescente é o responsável. O adolescente pode retirar qualquer permissão sozinho.
• Não enviamos e-mails promocionais a menores de 18 anos.
• O e-mail do responsável fica guardado de forma criptografada só enquanto o pedido está aberto e é apagado quando ele responde ou o link expira. Fica apenas a prova da decisão, com o e-mail em forma cifrada (hash).

6. Com quem compartilhamos

Não vendemos dados pessoais. Eles circulam só nestes casos:

Organizadores de eventos

Quem organiza um evento vê, dos inscritos, nome, contato de emergência, respostas às perguntas do evento, comprovante de pagamento e a avaliação de aptidão para aquele evento, e pode baixar essa lista. Depois do evento, vê também quem concluiu, com a distância e o tempo da atividade vinculada — nunca a localização.

Outros participantes

Quem tem acesso a um evento vê o nome, o nível na modalidade e a situação da inscrição de quem se inscreveu. Você pode esconder seu nome dessa lista em Configurações → Privacidade (aparece “Participante” no lugar); o nome de menores de 18 anos nunca aparece para outros participantes. Visitantes sem login veem só os dados públicos do evento e quantas pessoas confirmaram — nunca nomes. O organizador e quem está confirmado podem copiar a lista de confirmados para mandar em grupos de mensagem; nessa lista não aparecem os nomes de quem os escondeu nem de menores de 18 anos, só a quantidade.

Provedores de atividade que você conectar

Hoje, o Strava. Recebemos as atividades com a sua autorização e enviamos ao Strava só o necessário para manter a conexão. O tratamento do lado do Strava segue a política de privacidade dele.

Fornecedores que operam o serviço (operadores)

Vercel (hospedagem do site e armazenamento de arquivos), Neon (banco de dados), Fly.io (processamento em segundo plano e fila), Resend (envio de e-mails) e Google (login com Google, quando você escolhe essa opção). Eles tratam os dados só para prestar o serviço ao trein.fit.

Autoridades

Quando houver obrigação legal ou ordem judicial, no limite do que for exigido.

Não usamos dados recebidos de provedores de atividade (como o Strava) para treinar modelos de inteligência artificial, nem os repassamos a terceiros para esse fim.

7. Transferência internacional

Os servidores do banco de dados, do processamento em segundo plano e do site ficam nos Estados Unidos (região da Virgínia), assim como os serviços de e-mail e de login. Essa transferência acontece com base no Art. 33 da LGPD, para executar o contrato com você e com garantias contratuais de proteção de dados oferecidas por esses fornecedores.

8. Por quanto tempo guardamos

Guardamos cada dado só enquanto ele é necessário para a finalidade que o justificou (Art. 15 e 16 da LGPD):

Conta, eventos, inscrições, progresso e arquivos

Enquanto a conta existir. Ao excluir a conta, são apagados na hora. Eventos que você organizou continuam para os inscritos, sem o vínculo com você.

Atividades, carga de treino e índices

Enquanto a permissão correspondente estiver ativa e a conta existir. Ao retirar a permissão, são apagados (seção 3).

Prova de consentimento e decisões do responsável

5 anos após o encerramento da conta, prazo em que podem ser necessários para defesa em processo (Art. 7º, VI; Código de Defesa do Consumidor, Art. 27). Depois da exclusão da conta, ficam só com o e-mail em forma cifrada (hash).

E-mail do responsável

Até a resposta ou a expiração do link (7 dias).

Registros de acesso

6 meses (Marco Civil da Internet, Art. 15).

Eventos de segurança

90 dias.

Registros técnicos de funcionamento

30 dias, sem dados pessoais.

9. Como protegemos

• Conexão sempre criptografada (HTTPS).
• Credenciais de acesso a provedores (como o Strava) guardadas com criptografia AES-256.
• Controle de acesso no próprio banco de dados: cada pessoa só alcança os próprios dados e os dos eventos aos quais tem acesso.
• Endereço IP guardado só em forma cifrada (hash).
• Arquivos privados e sem metadados (seção 2).
• Limites de uso e bloqueio de acessos abusivos.

10. Seus direitos

Você pode, a qualquer momento (Art. 18 da LGPD):

• acessar e levar seus dados: em Configurações → Privacidade → Exportar, você baixa na hora um arquivo com tudo o que guardamos sobre você;
• corrigir nome, foto e contato no seu perfil;
• excluir a conta em Configurações → Privacidade;
• retirar permissões (seção 3) e saber o que acontece se não der uma permissão;
• pedir revisão humana da avaliação automática (seção 4);
• saber com quem compartilhamos (seção 6) e se opor a um tratamento;
• reclamar à ANPD, a Autoridade Nacional de Proteção de Dados.

O que não estiver disponível nas configurações, peça por suporte@trein.fit. Respondemos em até 15 dias.

11. Incidentes de segurança

Se acontecer um incidente que possa trazer risco ou dano relevante a você, avisaremos você e a ANPD nos prazos da regulamentação da ANPD, dizendo o que aconteceu, quais dados foram afetados e o que estamos fazendo.

12. Cookies

Usamos só cookies essenciais para login e segurança. Veja a Política de Cookies.

13. Mudanças nesta política

Quando esta política mudar, a versão e a data no topo mudam junto. Se a mudança for importante para quem já usa o trein.fit, pediremos que você leia e aceite de novo no próximo acesso.