HR-FIT · Helena Rocha Marketing e Serviços Ltda. · CNPJ 61.190.704/0001-69
Política de Privacidade · versão de 02/11/2026
Esta política explica quais dados o HR-FIT trata, para quê e quais são os seus direitos, conforme a Lei nº 13.709/2018 (LGPD). Última atualização: 2 de novembro de 2026.
| Atividade | Quem decide (controlador) | Papel da HR Marketing |
|---|---|---|
| Conta, assinatura e cobrança do personal | HR Marketing | Controladora |
| Dados que o personal cadastra dos alunos: treinos, agenda, cobranças, anamnese e avaliação | Personal | Operadora, conforme o Contrato de Tratamento de Dados (seção 4) |
| Segurança, registros de acesso, prevenção a fraudes e suporte ao próprio personal | HR Marketing | Controladora |
| Registro dos aceites dos termos e consentimentos | HR Marketing, para comprovar o aceite | Controladora |
| Site do personal e ferramentas de anúncio que ele liga (Pixel, Analytics) | Personal | Operadora da hospedagem do site |
Pedidos sobre os dados de um aluno podem ser feitos ao personal ou à HR Marketing, que encaminha ao personal. O suporte que envolve dados de alunos, feito a pedido do personal, é atividade de operadora e segue as instruções dele.
| Titular | Dados | De onde vêm |
|---|---|---|
| Personal | Nome, e-mail, WhatsApp, senha (guardada só como hash seguro e não reversível), foto, CREF, apresentação, Instagram, planos e preços que oferece | Cadastro e perfil no app |
| Personal (recebimentos) | CPF ou CNPJ, data de nascimento, endereço, renda ou faturamento e dados bancários | Informados pelo personal e enviados ao Asaas para abrir a conta de pagamentos |
| Personal (assinatura) | Plano, situação e histórico de pagamentos. Os dados do cartão ficam só com o Asaas | Asaas |
| Aluno | Nome, e-mail, WhatsApp, data de nascimento, sexo, objetivo e observações do personal | Cadastro feito pelo personal e convite aceito pelo aluno |
| Aluno (treino) | Treinos, cargas e repetições, treinos feitos, como se sentiu e comentários | Registro no app pelo aluno e pelo personal |
| Aluno (agenda) | Horários, aulas, faltas e reposições | Registro do personal |
| Aluno (saúde) | Anamnese (respostas do PAR-Q, doenças, remédios, cirurgias, lesões e dores, gestação, fumo, sono e nível de atividade); avaliação física (peso, altura, medidas, dobras cutâneas, percentual de gordura, observações e fotos do corpo: frente, lado e costas) | Anamnese respondida pelo aluno e avaliação feita pelo personal, com o consentimento do aluno (seção 3) |
| Aluno (cobranças) | Nome, CPF, e-mail, valores, vencimentos e situação dos pagamentos | Cobranças criadas pelo personal e enviadas ao Asaas |
| Todos | Registros de acesso (data, hora e IP), cookies essenciais de sessão e registros de aceite dos termos e consentimentos (versão do texto, data, hora, IP e navegador) | Uso do app |
| Visitante das páginas de cadastro | Cookies de medição de anúncios do Meta, só se aceitar no aviso de cookies | Páginas públicas de cadastro do app (seção 2.6) |
| Personal (origem) | Origem do cadastro (por exemplo: anúncio, Instagram, site, indicação ou evento), que fica só com a HR Marketing e não é compartilhada | Cadastro no app |
As respostas da anamnese, os dados da avaliação física e as fotos do corpo são dados pessoais sensíveis. Eles são tratados só com o consentimento específico e destacado do aluno, e só para acompanhar a evolução física dele com o personal.
Menores de idade. O HR-FIT, nesta versão, não é destinado a menores de 18 anos. Para prevenir o uso, o app recusa o cadastro com data de nascimento de menor e pede ao aluno que confirme a maioridade ao entrar; se ele informar ter menos de 18 anos, o acesso é bloqueado e o personal é avisado. Esse controle trata o mínimo necessário (a data de nascimento ou a resposta do aluno). Se a HR souber de um cadastro indevido, os dados do menor são eliminados, salvo o necessário para comprovar a exclusão.
Não vendemos dados pessoais e a HR Marketing não usa os dados dos alunos para publicidade. A única exceção é facultativa e do personal: publicar a imagem ou o depoimento que o próprio aluno aprovar, nos itens de autorização da seção 3.
| Finalidade | Base legal (LGPD) |
|---|---|
| Conta, app e site do personal | Execução de contrato (art. 7º, V) |
| Dados de treino e agenda do aluno | Execução de contrato entre aluno e personal (art. 7º, V) |
| Anamnese, avaliação física e fotos | Consentimento específico e destacado (art. 11, I) |
| Cobranças e notas | Execução de contrato e obrigação legal (art. 7º, II e V) |
| Registros de acesso | Obrigação legal (Marco Civil da Internet, art. 15) |
| Segurança e prevenção a fraudes | Legítimo interesse (art. 7º, IX) |
| Origem do cadastro do personal | Legítimo interesse (art. 7º, IX) |
| Cookies de medição de anúncios (Pixel do Meta) nas páginas de cadastro | Consentimento (art. 7º, I), que pode ser revogado a qualquer tempo |
| Empresa | Para quê | Onde |
|---|---|---|
| Supabase | Banco de dados, login e armazenamento das fotos | Brasil (São Paulo) |
| StayCloud | Hospedagem do app e dos sites | Brasil |
| Asaas (Asaas Gestão Financeira Instituição de Pagamento S.A.) | Pagamentos da assinatura e das mensalidades | Brasil |
| Meta (Facebook e Instagram) | Medição dos nossos anúncios: nas páginas públicas de cadastro do app, e só se você aceitar no aviso de cookies, o Pixel do Meta registra que a página foi aberta e que o cadastro foi concluído. Não enviamos nome, e-mail, telefone nem qualquer dado da área logada, de alunos, de treino ou de saúde | Exterior |
| Meta e Google | No site do personal do plano Pro, quando ele liga o Pixel ou o Analytics | Exterior |
Também podemos compartilhar dados por ordem judicial ou de autoridade competente.
Supabase e StayCloud tratam os dados só para prestar o serviço à HR Marketing, conforme os contratos de cada um. O Asaas trata os dados de pagamento para a HR e para o personal, mas age como controlador independente nas atividades próprias de instituição de pagamento, como identificação de clientes, prevenção a fraudes e obrigações legais, conforme os termos e a política de privacidade dele. Fora das páginas públicas de cadastro, Meta e Google não recebem dados do app: atuam apenas no site do personal do plano Pro, quando ele mesmo liga o Pixel ou o Analytics, sob a responsabilidade dele e as políticas dessas empresas, e o site só ativa esses recursos depois de o visitante aceitar, com opção de recusar e de mudar a escolha depois.
Cookies de medição de anúncios. Nas páginas públicas de cadastro, mostramos um aviso para você aceitar ou recusar cookies de medição. Se aceitar, o Pixel do Meta é carregado para medir o resultado dos nossos anúncios. Se recusar, nada é carregado e o cadastro funciona normalmente. Você pode mudar a escolha a qualquer momento pelo link "Cookies" no rodapé dessas páginas. A base legal é o seu consentimento (art. 7º, I, da LGPD), que pode ser revogado a qualquer tempo.
Cada personal só acessa os próprios alunos, e cada aluno só acessa os próprios dados; essa separação é imposta pelo banco de dados, com testes automáticos. A conexão é cifrada (HTTPS), as senhas são guardadas só como hash seguro e não reversível (bcrypt) e as fotos ficam em área privada. Em caso de incidente de segurança com risco aos titulares, avisaremos os afetados e a ANPD.
Banco de dados, arquivos e cópias de segurança ficam no Brasil (São Paulo). O Supabase (Supabase Pte. Ltd.), fornecedor do banco de dados, é uma empresa estrangeira com equipe técnica em vários países, e essa equipe pode acessar a infraestrutura de fora do Brasil em casos excepcionais de suporte, manutenção ou segurança, só por pessoas que precisam disso para a tarefa, com acesso limitado e registrado pelo fornecedor. Esse acesso segue o Acordo de Tratamento de Dados do Supabase (DPA), que prevê sigilo, medidas de segurança, aviso de incidentes em até 48 horas, aviso de pelo menos 30 dias antes de trocar suboperadores e eliminação dos dados ao fim do contrato. A HR Marketing está confirmando com o fornecedor os países de onde esse acesso pode ocorrer e o mecanismo de transferência aplicável aos dados originados no Brasil (art. 33 da LGPD e Resolução CD/ANPD nº 19/2024), e atualizará esta política quando concluir, com aviso no app.
| Dado | Enquanto ativo | Depois | Fundamento da guarda posterior |
|---|---|---|---|
| Conta e perfil do personal | Enquanto a conta existir | 90 dias após o encerramento efetivo da conta (seção 1.13), para exportação; depois, eliminado | Permitir a exportação depois do encerramento |
| Cadastro, treinos e agenda dos alunos | Enquanto o personal mantiver o aluno; aluno desativado há mais de 24 meses sem reativação é eliminado após aviso ao personal | 90 dias após o encerramento efetivo da conta do personal; depois, eliminados | Exportação pelo personal |
| Ficha de saúde, avaliação física e fotos | Enquanto o consentimento valer | Eliminados na revogação, no desligamento do aluno ou no encerramento efetivo da conta do personal, sem os 90 dias | Nenhuma guarda posterior |
| Cobranças (valores, datas, situação) | Enquanto a conta existir | 5 anos após o pagamento | Obrigações fiscais e defesa em processos (só esses campos) |
| Registros de aceite dos termos e consentimentos | Enquanto a conta existir | 5 anos após o fim da relação | Prova do aceite e defesa em processos |
| Registros de acesso (data, hora, IP) | 6 meses | Eliminados | Marco Civil da Internet, art. 15 |
| Atendimentos de suporte | 2 anos | Eliminados | Histórico do atendimento |
| Cópias de segurança (backup) | 7 dias | Na exclusão, o dado sai da base ativa na hora; as cópias residuais expiram em até 7 dias e não voltam a ser usadas se houver restauração | Recuperação de falhas |
O que é guardado depois do fim da relação fica com acesso restrito e não é usado para outra finalidade. Registros de incidentes de segurança são guardados por 5 anos (Resolução CD/ANPD nº 15/2024), e dados que uma autoridade mandar preservar ficam pelo prazo da ordem. Os 24 meses de aluno desativado e os 5 anos de cobranças e aceites são critérios definidos pela HR para as finalidades indicadas, não prazos legais gerais.
Você pode pedir, a qualquer momento: confirmação e acesso aos seus dados; correção; anonimização, bloqueio ou eliminação do que for desnecessário; portabilidade; informação sobre com quem compartilhamos; e revogação do consentimento. A revogação de um consentimento pode ser feita no próprio app, a qualquer momento, e cada caixa é revogada separadamente. Confirmamos o recebimento de cada pedido em até 2 dias úteis. A declaração completa de confirmação e acesso aos dados é entregue em até 15 dias (LGPD, art. 19); os demais pedidos são atendidos no menor prazo possível. Você também pode reclamar à ANPD.
Encarregado de dados: José Luiz de Queiroz, designado por ato formal de 28 de outubro de 2026, com Rosimeyre Helena de Queiroz como encarregada substituta nas ausências e impedimentos. E-mail: privacidade@hrmarketing.com.br. WhatsApp (62) 98563-5944. Helena Rocha Marketing e Serviços Ltda., CNPJ 61.190.704/0001-69, Trindade–GO.