Política de Privacidade

1. Quem é responsável pelos seus dados

O Gym Awards é operado por HDAPP Sistemas Ltda., CNPJ 58.420.116/0001-60, com sede na Rua XV de Novembro, 556, conjunto 1406, Centro, Curitiba/PR (“HDAPP” ou “nós”).

A LGPD (Lei 13.709/2018) chama de controlador quem decide por que e como os dados são usados, e de operador quem trata os dados a mando do controlador. No Gym Awards, isso muda conforme a situação:

Na prática:

• Se você é aluno, a sua academia responde pelo uso dos seus dados dentro dela, e a HDAPP responde pela sua conta. Você pode falar com qualquer uma das duas: o que for da academia, nós encaminhamos.
• Se você é academia, é a controladora dos dados dos seus alunos naquele contexto. As obrigações de cada lado estão nos Termos de Uso, em Dados pessoais dos alunos.

Alguns recursos citados aqui são liberados aos poucos e podem ainda não estar disponíveis na sua academia. O que esta Política diz sobre cada um vale a partir do momento em que ele estiver disponível para você.

2. Quais dados tratamos e por quê

Tratamos só o que você informa e o que o uso do app gera. Não compramos dados de terceiros.

Base legal é o motivo que a LGPD aceita para usar um dado. Aqui são quatro: cumprir o que combinamos nos Termos de Uso (execução de contrato), cumprir uma lei (obrigação legal), um interesse legítimo que não passa por cima dos seus direitos (legítimo interesse) e a sua autorização (consentimento).

Onde a academia é a controladora (veja Quem é responsável pelos seus dados), é ela quem define a base legal. As indicadas acima são as que normalmente se aplicam.

O que você nos escreve por e-mail é usado para atender o pedido e fica guardado pelo tempo necessário para isso e para a defesa de direitos.

2.1. O que não coletamos

• CPF, telefone, endereço ou data de nascimento do aluno;
• dados de saúde: peso, medidas, exames, laudos ou lesões;
• biometria ou contatos da agenda;
• localização do aluno fora do momento do check-in.

Cargas, séries e frequência são dados de treino, não prontuário de saúde. Não escreva informações de saúde em campos livres, como objetivo e observações de ficha, posts e comentários. Professores: o mesmo vale para as fichas dos alunos.

Se mesmo assim uma informação de saúde for escrita num desses campos, ela fica só ali, vista por quem já vê aquele conteúdo, não é usada para mais nada e é apagada a pedido.

2.2. Cálculos automáticos

Pontuação, nível, sequência, ranking, ligas e o aviso de “aluno sumido” que a academia recebe são calculados automaticamente, por regras fixas e iguais para todos da academia. Achou que um cálculo está errado? Peça a revisão à sua academia ou pelo e-mail contato@gymawards.com.br.

3. Quem vê o quê

Entra numa academia quem tem o QR ou o link de cadastro dela: não há aprovação prévia. Quem entra passa a ver o ranking. A academia pode desativar quem não for aluno.

O ranking faz parte do jogo: quem pontua aparece para os colegas da mesma academia. Não há como pontuar e ficar fora dele. Se preferir, use um apelido como nome. O nome é um só: vale em todas as suas academias e é o mesmo que a equipe vê.

Nós não publicamos fora do app nada do que você faz nele. Uma conquista só vai para as redes sociais se você mesmo compartilhar.

4. Localização

• Quando: só no momento do check-in, e só se a sua academia ativou a exigência de GPS.
• Para quê: conferir se você está dentro do raio definido pela academia. É uma trava contra check-in falso.
• O que fica guardado: a latitude e a longitude daquele check-in, por 90 dias, e a unidade da academia mais próxima, junto com o registro dele.
• O que não fazemos: não acompanhamos você em segundo plano, não montamos histórico de trajetos, não mostramos as coordenadas a colegas nem à equipe da academia (ela só vê que o check-in foi feito) e não usamos localização para publicidade.
• Se a academia não exige GPS: o app nem pede a localização, e nada é guardado.
• Controle: a permissão é do seu navegador ou celular e pode ser negada. Sem ela, o check-in não funciona nas academias que exigem GPS.
• Dono ou administrador: ao configurar o GPS, você pode usar a localização do seu aparelho para marcar onde fica a academia. Esse ponto fica guardado como endereço da academia, não como dado seu.

5. Cookies e armazenamento local

Usamos apenas o essencial para o app funcionar. Não há cookies de publicidade, de redes sociais nem de análise de audiência, e nenhum pixel de rastreamento.

• Os dois cookies são protegidos (httpOnly): o código da página não consegue lê-los, só o servidor.
• Como são estritamente necessários, não dependem de consentimento. Por isso não há banner de cookies.
• Se você bloquear os cookies, não consegue entrar. Ao sair da conta, eles são apagados.
• O armazenamento local fica só no seu aparelho e não é apagado ao sair da conta. Em aparelho compartilhado, encerre o treino antes de sair.
• Se um dia usarmos algo além do essencial, avisamos aqui e pedimos o seu consentimento antes.

6. Com quem compartilhamos

Não vendemos nem alugamos dados pessoais, e não os usamos para publicidade de terceiros. Compartilhamos só o necessário:

O detalhe do que a academia e os outros usuários veem está em Quem vê o quê.

Os provedores de infraestrutura, e-mail e notificação atuam como operadores: só tratam os dados para prestar o serviço que contratamos. A lista atualizada pode ser pedida pelo e-mail contato@gymawards.com.br.

Se a HDAPP passar por fusão, aquisição ou reorganização, os dados podem ir para a empresa sucessora, que fica obrigada a esta Política.

7. Transferência internacional

Alguns fornecedores podem armazenar ou processar dados fora do Brasil. Nesses casos, a transferência é feita por um dos mecanismos da LGPD (art. 33), como as cláusulas-padrão aprovadas pela ANPD. A lista de fornecedores, com o país de cada um, pode ser pedida pelo e-mail contato@gymawards.com.br.

8. Segurança

Medidas que o produto adota:

• Senha protegida: guardamos só o resumo criptográfico (hash) da senha, nunca a senha.
• Sessão protegida: a sessão fica em cookies httpOnly, que o código da página não consegue ler. No banco fica só o resumo do código de sessão.
• Conexão cifrada: o tráfego entre o seu aparelho e a plataforma usa HTTPS.
• Isolamento por academia: cada consulta é limitada à academia da sua sessão. Uma academia não acessa dados de outra.
• Limite de tentativas: há limite de tentativas de senha por conta, de cadastros em série e de requisições por IP.
• Redefinição segura: o link de nova senha vale por 1 hora, funciona uma vez e, ao ser usado, encerra as sessões abertas em até 15 minutos.
• Acesso interno restrito: na HDAPP, só acessa dados quem precisa, para suporte, segurança e manutenção.

Nenhum sistema é totalmente seguro. Ajude: use uma senha forte e só sua, e saia da conta em aparelhos compartilhados.

9. Retenção e exclusão

Guardamos os dados só pelo tempo necessário para as finalidades desta Política. Depois, apagamos ou anonimizamos.

Fora desses prazos, mantemos apenas o que a lei mandar guardar ou o que for necessário para defender direitos em processo. Dados anonimizados, que não identificam ninguém, podem ser mantidos para estatística.

10. Seus direitos e como exercer

A LGPD (art. 18) garante a você, sobre os seus dados:

• confirmar se tratamos e acessar os dados;
• corrigir o que estiver incompleto, errado ou desatualizado;
• pedir anonimização, bloqueio ou eliminação do que for desnecessário, excessivo ou tratado em desacordo com a lei;
• portabilidade: receber os seus dados para levar a outro serviço;
• saber com quem compartilhamos;
• revogar o consentimento, onde ele for a base (como no push), e pedir a eliminação dos dados tratados com base nele;
• saber, sempre que pedirmos consentimento, que você pode não dar e o que acontece nesse caso (no push: você só deixa de receber avisos fora do app);
• opor-se a um tratamento que considere irregular;
• pedir a revisão de decisões tomadas só por meios automáticos;
• reclamar à ANPD.

10.1. Como exercer

• Prazo: você recebe uma resposta em até 15 dias.
• Custo: nenhum.
• Identidade: podemos pedir uma confirmação de que o pedido é seu, para ninguém mexer nos seus dados no seu lugar.
• Pedidos sobre uma academia: como ela é a controladora, avisamos a academia em até 5 dias úteis. A exclusão depois que você saiu dela, nós mesmos fazemos. Correção e outros pedidos dependem da resposta dela: damos o apoio técnico e, dentro dos 15 dias, contamos a você em que pé está.
• Exclusão: depois de aceita, é concluída em até 30 dias.

11. Crianças e adolescentes

• A conta é para maiores de 18 anos.
• De 12 a 17 anos, só com autorização escrita do pai, da mãe ou do responsável legal, entregue à academia antes de criar a conta. A autorização vale também como aceite desta Política em nome do adolescente. Quem pede e guarda é a academia.
• Menores de 12 anos não usam o Gym Awards. Não coletamos dados deles de propósito.

Não pedimos data de nascimento: quem confere a idade e a autorização é a academia. Os dados de adolescentes são tratados no melhor interesse deles, com o mesmo mínimo de dados descrito nesta Política e sem publicidade.

A academia marca no painel as contas de adolescentes. Nas contas marcadas, o padrão é o mais fechado: perfil, histórico e posts visíveis no máximo para a própria academia; sem pedidos de amizade nem presentes de quem é de fora dela; só as iniciais no modo TV; aviso de sequência em risco desligado até ser ligado nas preferências do app.

Pais e responsáveis podem ver, corrigir ou apagar os dados do adolescente, mudar essas opções e encerrar a conta, pedindo à academia ou pelo e-mail contato@gymawards.com.br. Se soubermos de conta de menor de 12 anos, ou de adolescente sem autorização, apagamos.

12. Incidentes de segurança

Se houver um incidente de segurança com dados pessoais que possa trazer risco ou dano relevante:

• onde a HDAPP é a controladora, comunicamos o incidente à ANPD e às pessoas afetadas, nos prazos da regulamentação;
• onde a academia é a controladora, avisamos a academia em até 48 horas depois de saber do incidente, para que ela faça as comunicações que couberem, e ajudamos na apuração;
• em qualquer caso, agimos para conter o problema e reduzir os efeitos.

13. Encarregado e contato

Para dúvidas, pedidos e reclamações sobre dados pessoais, fale com o nosso encarregado (DPO):

14. ANPD

Você pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd. Sugerimos falar conosco antes: costuma ser o caminho mais rápido para resolver.

15. Alterações desta Política

Podemos atualizar esta Política quando o produto, os fornecedores ou a lei mudarem. A versão em vigor fica sempre nesta página, com a data.

Mudança relevante — novo tipo de dado, nova finalidade ou novo compartilhamento — é avisada com pelo menos 30 dias de antecedência, por e-mail ou por aviso no app e no painel. Quando a lei exigir, pedimos o seu consentimento antes.