Politica de Privacidade

Esta Politica de Privacidade descreve como a Done Tecnologia Ltda ("Done Tecnologia Ltda", "nos", "nosso"), na qualidade de controladora, coleta, usa, compartilha e protege seus dados pessoais quando voce utiliza o produto DoneFitt e seus servicos ("Servicos"), incluindo o site www.donefitt.com.br, aplicativo web progressivo (PWA) e APIs relacionadas.

Estamos em conformidade com a Lei Geral de Protecao de Dados (LGPD - Lei 13.709/2018), o Regulamento Geral de Protecao de Dados (GDPR) da Uniao Europeia, e outras leis de protecao de dados aplicaveis.

1. Escopo

Esta Politica aplica-se a todos os usuarios do produto DoneFitt operado pela Done Tecnologia Ltda, independentemente de localizacao. Ao utilizar os Servicos, voce concorda com a coleta e uso de informacoes conforme descrito aqui. Se voce nao concordar com esta Politica, por favor nao use os Servicos.

2. Informacoes que Coletamos

2.1 Informacoes fornecidas por voce

• Dados de cadastro: nome, email, senha (criptografada via Better Auth), avatar.
• Dados fisicos: data de nascimento, sexo biologico, peso, altura, biotipo, percentual de gordura (opcional).
• Dados de saude (sensiveis): condicoes medicas auto-declaradas, lesoes ativas/passadas, restricoes alimentares, medicacoes em uso (apenas o que voce escolher informar).
• Objetivos e preferencias: objetivo principal (hipertrofia, emagrecimento, condicionamento), nivel de experiencia, frequencia semanal disponivel, equipamentos, alergias e intolerancias alimentares, preferencias de treino.
• Dados menstruais (opcional): apenas se voce ativar o recurso de tracking menstrual — usado para ajustes nutricionais e de carga de treino.
• Fotos de progresso (opcional): fotos que voce escolhe enviar para acompanhar sua propria evolucao ao longo do tempo (recurso "Comparar"). Armazenadas com seu consentimento explicito em bucket privado (somente voce, autenticado, ve suas proprias fotos via URLs assinadas com validade de 1 hora) e automaticamente excluidas apos 365 dias da data de upload, exceto fotos que voce escolher fixar como marco (veja a secao 8 e a secao 14, dedicada ao Comparar).
• Comunicacoes: mensagens enviadas ao suporte, feedback, respostas a pesquisas.

2.2 Informacoes do uso dos Servicos

• Dados de treino: exercicios realizados, series, repeticoes, cargas, tempo de descanso, sessoes completas.
• Dados de nutricao: refeicoes consumidas, registro de hidratacao, aderencia ao plano alimentar.
• Metricas calculadas: TMB (Mifflin-St Jeor), TDEE, IMC, % de gordura corporal, 1RM (Epley), zonas de frequencia cardiaca, distribuicao de macronutrientes.
• Gamificacao: pontos, niveis, badges, sequencias (streaks), atividades registradas.
• Dados tecnicos: endereco IP, tipo e versao de navegador, sistema operacional, identificadores de dispositivo, paginas visitadas, tempo de sessao.

2.3 Informacoes de terceiros

• Strava (opcional, pre-fill apenas): se voce escolher conectar sua conta Strava no onboarding, recebemos do Strava apenas os dados basicos do seu perfil (nome, sobrenome, sexo, peso) com seu consentimento via OAuth (scope read). Esses dados pre-enchem o formulario de onboarding e sao imediatamente descartados — nao armazenamos tokens de acesso, nao fazemos sync de atividades, nao acessamos seu historico do Strava, nao subscribamos webhooks. Voce pode usar o app sem conectar Strava. Todo o uso esta em conformidade com o Strava API Agreement (strava.com/legal/api).
• Google (OAuth): se voce fizer login via Google, recebemos nome, email e foto de perfil.
• Pagamentos: Stripe e InfinitePay processam pagamentos e nos informam o status da assinatura — nao armazenamos dados de cartao.

3. Como Usamos Suas Informacoes

Usamos seus dados para as seguintes finalidades:

3.1 Prover os Servicos

• Criar e gerenciar sua conta.
• Gerar planos personalizados de treino e dieta via inteligência artificial, com checagens automáticas de segurança antes da entrega.
• Calcular metricas de saude (TMB, TDEE, IMC, % gordura, zonas FC, macros).
• Acompanhar sua evolucao (peso, medidas, fotos de progresso, consistencia).
• Processar pagamentos de assinatura.
• Fornecer suporte ao cliente.

3.2 Melhorar os Servicos

• Analisar uso agregado e anonimizado para identificar melhorias.
• Medir desempenho tecnico e corrigir bugs.
• Realizar pesquisa estatistica (sempre com dados agregados/anonimizados).

3.3 Comunicacao

• Enviar confirmacoes transacionais (cadastro, pagamento, treino pronto).
• Notificar sobre atualizacoes importantes (novos recursos, mudancas nos Termos).
• Enviar comunicacoes de marketing — apenas com seu consentimento, e voce pode cancelar a qualquer momento.

3.4 Seguranca e obrigacoes legais

• Detectar e prevenir fraude, abuso ou uso malicioso.
• Cumprir obrigacoes legais, fiscais e regulatorias.
• Responder a solicitacoes validas de autoridades publicas.

4. Base Legal para o Tratamento (LGPD Art. 7 e 11)

Tratamos seus dados com as seguintes bases legais:

• Consentimento (Art. 7, I): para dados de marketing, cookies nao-essenciais, dados sensiveis de saude, fotos de progresso e conexao opcional com Strava.
• Execucao de contrato (Art. 7, V): para prover os Servicos que voce contratou.
• Cumprimento de obrigacao legal (Art. 7, II): para obrigacoes fiscais e regulatorias.
• Legitimo interesse (Art. 7, IX): para seguranca, prevencao de fraude e melhoria dos Servicos.
• Protecao da vida ou incolumidade fisica (Art. 11, II, d): para dados sensiveis de saude (lesoes, restricoes alimentares, condicoes medicas).

5. Como Compartilhamos Suas Informacoes

Nao vendemos seus dados pessoais. Compartilhamos apenas com os seguintes tipos de destinatarios, sempre sob contrato de protecao de dados:

5.1 Prestadores de servico (operadores)

• Hostinger (hostinger.com.br): servidor onde a aplicacao e o banco de dados rodam. Servidor localizado no Brasil.
• OpenAI (openai.com): geracao de planos de treino e dieta via IA. Enviamos apenas os dados necessarios (perfil, objetivos, restricoes), sem identificadores pessoais diretos. Estados Unidos.
• Stripe (stripe.com) e InfinitePay (infinitepay.io): processamento de pagamentos. Nao armazenamos dados de cartao.
• RevenueCat (revenuecat.com): validacao de assinaturas compradas dentro do app (App Store e Google Play). Estados Unidos.
• Resend (resend.com): envio de e-mails transacionais (confirmacao de conta, redefinicao de senha). Estados Unidos.
• Cloudflare (cloudflare.com): DNS e protecao contra ataques.
• Apple e Google: notificacoes push e, quando voce escolhe, login social e compras no app.

5.2 Servicos conectados por voce (opcionais)

• Strava: apenas se voce autorizar via OAuth no onboarding. Acessamos uma unica vez seu nome, sexo e peso para pre-encher o formulario. Nenhuma atividade e importada, nenhum token e armazenado.
• Umami (self-hosted): metricas agregadas de uso. Roda em servidor proprio, sem cookies e sem identificar voce individualmente. O Google Analytics foi removido em junho de 2026.

5.3 Requisitos legais

Podemos divulgar seus dados se acreditarmos, de boa-fe, que isso e necessario para cumprir obrigacao legal, responder a processo judicial, proteger os direitos, propriedade ou seguranca da Done Tecnologia Ltda, seus usuarios ou o publico.

5.4 Transferencia de negocios

Em caso de fusao, aquisicao, reorganizacao ou venda de ativos, seus dados poderao ser transferidos ao comprador, sujeito aos mesmos compromissos desta Politica. Voce sera notificado previamente.

6. Cookies e Tecnologias Similares

• Cookies essenciais: necessarios para login, sessao e seguranca. Nao exigem consentimento.
• Nao usamos cookies de analytics. Nossa metrica de uso (Umami, servidor proprio) e cookieless por design — nao ha o que consentir nem o que recusar.
• Cookies temporarios (5 minutos): usados pelo fluxo opcional de pre-fill do Strava no onboarding. Cookie e descartado imediatamente apos leitura.
• Cookies de preferencia: guardam escolhas de interface (tema, idioma).

Voce pode gerenciar consentimento de cookies a qualquer momento via banner na primeira visita ou limpando os dados do navegador. Seu consentimento e re-solicitado apos 12 meses.

7. Seus Direitos (LGPD Art. 18)

Voce tem os seguintes direitos sobre seus dados pessoais:

• Confirmacao e acesso: saber se tratamos seus dados e obter copia.
• Correcao: solicitar correcao de dados incompletos, inexatos ou desatualizados.
• Anonimizacao, bloqueio ou eliminacao: de dados desnecessarios, excessivos ou tratados em desconformidade com a LGPD.
• Portabilidade: receber seus dados em formato estruturado e interoperavel (JSON), via "Exportar meus dados" nas configuracoes.
• Eliminacao: de dados tratados com base em consentimento, salvo excecoes legais. Disponivel via "Excluir minha conta" nas configuracoes.
• Informacao sobre compartilhamento: com quem compartilhamos seus dados.
• Revogacao de consentimento: a qualquer momento, sem prejuizo do tratamento anterior.
• Oposicao: ao tratamento realizado com fundamento em legitimo interesse.
• Revisao de decisoes automatizadas: a Done Tecnologia Ltda usa IA para gerar planos de treino e dieta no DoneFitt; voce pode solicitar revisao humana via suporte.

Para exercer qualquer direito, envie email para privacidade@donefitt.com.br. Responderemos em ate 15 dias.

8. Retencao de Dados

• Dados de identificacao pessoal (PII) sao anonimizados em ate 30 dias apos exclusao da conta.
• Fotos de progresso (recurso Comparar) sao automaticamente excluidas 365 dias apos o upload, independentemente de sua conta estar ativa ou nao, para sustentar o acompanhamento da sua propria evolucao ao longo de um ano. A exclusao cobre tanto o registro no banco quanto o arquivo no armazenamento. Fotos que voce escolher fixar como marco sao mantidas ate voce remove-las. Voce pode baixar ou excluir suas fotos a qualquer momento em Configuracoes > Meus Dados, antes do prazo.
• Ao excluir sua conta, qualquer foto de progresso (fixada ou nao) e removida imediatamente.
• Registros financeiros sao retidos por 5 anos (obrigacao fiscal).
• Logs de seguranca e auditoria sao retidos por 6 meses.
• Dados agregados/anonimizados podem ser retidos indefinidamente para estatisticas.

9. Seguranca

• Criptografia em transito (TLS 1.3) e em repouso (AES-256).
• Autenticacao via Better Auth (self-hosted).
• Row Level Security (RLS) no Postgres — cada usuario so acessa seus proprios dados.
• Tokens OAuth do Strava nao sao armazenados (apenas usados em memoria para uma unica chamada).
• Monitoramento continuo de erros em servidor proprio (GlitchTip), sob nosso controle.
• Acesso restrito a dados sob principio de minimo privilegio.

Em caso de incidente de seguranca que afete seus dados, notificaremos voce e a ANPD conforme exigido pela LGPD Art. 48.

10. Transferencia Internacional de Dados

Alguns de nossos prestadores (Stripe, OpenAI, RevenueCat, Resend, Cloudflare, Apple e Google) estao localizados fora do Brasil, principalmente nos Estados Unidos. Transferencias internacionais ocorrem sob clausulas contratuais padrao, certificacoes de seguranca (SOC 2, ISO 27001) e frameworks de transferencia Brasil-UE/EUA.

11. Criancas

O DoneFitt nao e direcionado a menores de 16 anos. Nao coletamos conscientemente dados de menores. Se tomarmos conhecimento de que um menor forneceu dados sem consentimento parental, excluiremos imediatamente. Pais ou responsaveis podem contactar privacidade@donefitt.com.br.

12. Alteracoes nesta Politica

Podemos atualizar esta Politica periodicamente. Mudancas materiais serao comunicadas por email e/ou notificacao no app ao menos 30 dias antes de entrarem em vigor. A data de "Ultima atualizacao" no topo indica quando a versao atual foi publicada. O uso continuado dos Servicos apos a vigencia constitui aceitacao das mudancas.

13. Encarregado de Dados (DPO) e Contato

Voce tambem pode apresentar reclamacao a Autoridade Nacional de Protecao de Dados (ANPD) em gov.br/anpd.

14. Comparar — Fotos de Progresso

O recurso Comparar mostra a voce uma linha do tempo das suas proprias fotos, para que voce acompanhe a sua propria evolucao ao longo do tempo, no seu ritmo. Por envolver fotos do seu corpo, tratamos esses dados com cuidado reforcado.

• Sao apenas suas fotos, vistas so por voce. Ninguem mais tem acesso — nem treinadores, nem outros usuarios, nem a nossa equipe em uso normal. As imagens ficam em armazenamento privado e so sao acessadas por voce, autenticado, via URLs assinadas com validade de 1 hora.
• Nenhuma IA avalia ou compara seu corpo. O Comparar nao atribui notas, percentuais, metas de corpo nem qualquer julgamento estetico, e nao compara voce a outras pessoas ou a qualquer padrao. Ele apenas reorganiza, em ordem cronologica, as fotos que voce mesmo registrou.
• Consentimento e finalidade. Fotos de progresso sao dados sensiveis e so sao coletadas com o seu consentimento explicito (LGPD Art. 7, I e Art. 11), exclusivamente para a finalidade de acompanhamento da sua propria evolucao. Voce pode revogar o consentimento e parar de usar o recurso a qualquer momento.
• Retencao (LGPD Art. 15). Cada foto e excluida automaticamente 365 dias apos o upload, salvo as que voce optar por fixar como marco (mantidas ate voce remove-las). Marcadores de tempo no Comparar (por exemplo, "X dias desde o registro anterior") sao apenas informativos.
• Direito de exclusao (LGPD Art. 15 e 17). Voce pode excluir qualquer foto, ou todas elas, a qualquer momento em Configuracoes > Meus Dados, ou solicitando por email. A exclusao remove tanto o registro no banco quanto o arquivo no armazenamento. Ao excluir sua conta, todas as fotos sao removidas imediatamente.

Para exercer qualquer um desses direitos, escreva para privacidade@donefitt.com.br.