Política de Privacidade

Esta política explica quais dados o HR-FIT trata, para quê e quais são os seus direitos, conforme a Lei nº 13.709/2018 (LGPD). Última atualização: 2 de novembro de 2026.

2.1 Quem decide sobre os dados

Pedidos sobre os dados de um aluno podem ser feitos ao personal ou à HR Marketing, que encaminha ao personal. O suporte que envolve dados de alunos, feito a pedido do personal, é atividade de operadora e segue as instruções dele.

2.2 Dados que tratamos

2.3 Dados de saúde

As respostas da anamnese, os dados da avaliação física e as fotos do corpo são dados pessoais sensíveis. Eles são tratados só com o consentimento específico e destacado do aluno, e só para acompanhar a evolução física dele com o personal.

• No uso normal do app, só o personal responsável e o próprio aluno veem esses dados; nenhum outro personal, aluno ou visitante tem acesso. A equipe da HR só acessa em caso excepcional, quando o personal pede suporte ou para investigar um incidente de segurança, e esse acesso fica registrado (seção 4.4).
• As fotos ficam numa área privada e só abrem por links temporários, que expiram em 1 hora.
• Esses dados não são usados em publicidade, não são vendidos e não são compartilhados com terceiros, exceto a infraestrutura da seção 2.6.
• O aluno pode retirar o consentimento a qualquer momento (seção 2.10). A anamnese, a avaliação e as fotos são então apagadas.

Menores de idade. O HR-FIT, nesta versão, não é destinado a menores de 18 anos. Para prevenir o uso, o app recusa o cadastro com data de nascimento de menor e pede ao aluno que confirme a maioridade ao entrar; se ele informar ter menos de 18 anos, o acesso é bloqueado e o personal é avisado. Esse controle trata o mínimo necessário (a data de nascimento ou a resposta do aluno). Se a HR souber de um cadastro indevido, os dados do menor são eliminados, salvo o necessário para comprovar a exclusão.

2.4 Para que usamos os dados

• Criar e manter as contas e o acesso ao app.
• Permitir que o personal monte treinos, organize a agenda, avalie e acompanhe os alunos.
• Cobrar a assinatura do personal e as mensalidades dos alunos, pelo Asaas.
• Publicar o site do personal, com os dados que ele escolheu mostrar.
• Enviar e-mails do serviço: confirmação de conta, troca de senha, avisos de cobrança e mudanças nos termos.
• Prevenir fraudes, manter a segurança e cumprir obrigações legais.
• Saber de onde vêm os nossos clientes e, só com o seu aceite nas páginas públicas de cadastro, medir o resultado dos nossos anúncios (seção 2.6).

Não vendemos dados pessoais e a HR Marketing não usa os dados dos alunos para publicidade. A única exceção é facultativa e do personal: publicar a imagem ou o depoimento que o próprio aluno aprovar, nos itens de autorização da seção 3.

2.5 Bases legais

2.6 Com quem compartilhamos

Também podemos compartilhar dados por ordem judicial ou de autoridade competente.

Supabase e StayCloud tratam os dados só para prestar o serviço à HR Marketing, conforme os contratos de cada um. O Asaas trata os dados de pagamento para a HR e para o personal, mas age como controlador independente nas atividades próprias de instituição de pagamento, como identificação de clientes, prevenção a fraudes e obrigações legais, conforme os termos e a política de privacidade dele. Fora das páginas públicas de cadastro, Meta e Google não recebem dados do app: atuam apenas no site do personal do plano Pro, quando ele mesmo liga o Pixel ou o Analytics, sob a responsabilidade dele e as políticas dessas empresas, e o site só ativa esses recursos depois de o visitante aceitar, com opção de recusar e de mudar a escolha depois.

Cookies de medição de anúncios. Nas páginas públicas de cadastro, mostramos um aviso para você aceitar ou recusar cookies de medição. Se aceitar, o Pixel do Meta é carregado para medir o resultado dos nossos anúncios. Se recusar, nada é carregado e o cadastro funciona normalmente. Você pode mudar a escolha a qualquer momento pelo link "Cookies" no rodapé dessas páginas. A base legal é o seu consentimento (art. 7º, I, da LGPD), que pode ser revogado a qualquer tempo.

2.7 Segurança

Cada personal só acessa os próprios alunos, e cada aluno só acessa os próprios dados; essa separação é imposta pelo banco de dados, com testes automáticos. A conexão é cifrada (HTTPS), as senhas são guardadas só como hash seguro e não reversível (bcrypt) e as fotos ficam em área privada. Em caso de incidente de segurança com risco aos titulares, avisaremos os afetados e a ANPD.

2.8 Transferência internacional

Banco de dados, arquivos e cópias de segurança ficam no Brasil (São Paulo). O Supabase (Supabase Pte. Ltd.), fornecedor do banco de dados, é uma empresa estrangeira com equipe técnica em vários países, e essa equipe pode acessar a infraestrutura de fora do Brasil em casos excepcionais de suporte, manutenção ou segurança, só por pessoas que precisam disso para a tarefa, com acesso limitado e registrado pelo fornecedor. Esse acesso segue o Acordo de Tratamento de Dados do Supabase (DPA), que prevê sigilo, medidas de segurança, aviso de incidentes em até 48 horas, aviso de pelo menos 30 dias antes de trocar suboperadores e eliminação dos dados ao fim do contrato. A HR Marketing está confirmando com o fornecedor os países de onde esse acesso pode ocorrer e o mecanismo de transferência aplicável aos dados originados no Brasil (art. 33 da LGPD e Resolução CD/ANPD nº 19/2024), e atualizará esta política quando concluir, com aviso no app.

2.9 Por quanto tempo guardamos

O que é guardado depois do fim da relação fica com acesso restrito e não é usado para outra finalidade. Registros de incidentes de segurança são guardados por 5 anos (Resolução CD/ANPD nº 15/2024), e dados que uma autoridade mandar preservar ficam pelo prazo da ordem. Os 24 meses de aluno desativado e os 5 anos de cobranças e aceites são critérios definidos pela HR para as finalidades indicadas, não prazos legais gerais.

2.10 Seus direitos

Você pode pedir, a qualquer momento: confirmação e acesso aos seus dados; correção; anonimização, bloqueio ou eliminação do que for desnecessário; portabilidade; informação sobre com quem compartilhamos; e revogação do consentimento. A revogação de um consentimento pode ser feita no próprio app, a qualquer momento, e cada caixa é revogada separadamente. Confirmamos o recebimento de cada pedido em até 2 dias úteis. A declaração completa de confirmação e acesso aos dados é entregue em até 15 dias (LGPD, art. 19); os demais pedidos são atendidos no menor prazo possível. Você também pode reclamar à ANPD.

2.11 Contato e encarregado

Encarregado de dados: José Luiz de Queiroz, designado por ato formal de 28 de outubro de 2026, com Rosimeyre Helena de Queiroz como encarregada substituta nas ausências e impedimentos. E-mail: privacidade@hrmarketing.com.br. WhatsApp (62) 98563-5944. Helena Rocha Marketing e Serviços Ltda., CNPJ 61.190.704/0001-69, Trindade–GO.