Politica de Privacidade

Esta Politica de Privacidade descreve como a DoneFitt ("DoneFitt", "nos", "nosso") coleta, usa, compartilha e protege seus dados pessoais quando voce utiliza nossos servicos ("Servicos"), incluindo o site www.donefitt.com.br, aplicativo web progressivo (PWA) e APIs relacionadas.

Estamos em conformidade com a Lei Geral de Protecao de Dados (LGPD - Lei 13.709/2018), o Regulamento Geral de Protecao de Dados (GDPR) da Uniao Europeia, e outras leis de protecao de dados aplicaveis.

1. Escopo

Esta Politica aplica-se a todos os usuarios dos Servicos DoneFitt, independentemente de localizacao. Ao utilizar os Servicos, voce concorda com a coleta e uso de informacoes conforme descrito aqui. Se voce nao concordar com esta Politica, por favor nao use os Servicos.

2. Informacoes que Coletamos

2.1 Informacoes fornecidas por voce

• Dados de cadastro: nome, email, senha (criptografada via Clerk), avatar.
• Dados fisicos: data de nascimento, sexo biologico, peso, altura, biotipo, percentual de gordura (opcional).
• Dados de saude (sensiveis): condicoes medicas auto-declaradas, lesoes ativas/passadas, restricoes alimentares, medicacoes em uso (apenas o que voce escolher informar).
• Objetivos e preferencias: objetivo principal (hipertrofia, emagrecimento, condicionamento), nivel de experiencia, frequencia semanal disponivel, equipamentos, alergias e intolerancias alimentares, preferencias de treino.
• Dados menstruais (opcional): apenas se voce ativar o recurso de tracking menstrual — usado para ajustes nutricionais e de carga de treino.
• Fotos de progresso (opcional): fotos que voce escolhe enviar para acompanhamento visual. Armazenadas com seu consentimento explicito.
• Comunicacoes: mensagens enviadas ao suporte, feedback, respostas a pesquisas.

2.2 Informacoes do uso dos Servicos

• Dados de treino: exercicios realizados, series, repeticoes, cargas, tempo de descanso, sessoes completas.
• Dados de nutricao: refeicoes consumidas, registro de hidratacao, aderencia ao plano alimentar.
• Metricas calculadas: TMB (Mifflin-St Jeor), TDEE, IMC, % de gordura corporal, 1RM (Epley), zonas de frequencia cardiaca, distribuicao de macronutrientes.
• Gamificacao: pontos, niveis, badges, sequencias (streaks), atividades registradas.
• Dados tecnicos: endereco IP, tipo e versao de navegador, sistema operacional, identificadores de dispositivo, paginas visitadas, tempo de sessao.

2.3 Informacoes de terceiros

• Strava (opcional, pre-fill apenas): se voce escolher conectar sua conta Strava no onboarding, recebemos do Strava apenas os dados basicos do seu perfil (nome, sobrenome, sexo, peso) com seu consentimento via OAuth. Esses dados pre-enchem o formulario de onboarding e sao imediatamente descartados — nao armazenamos tokens de acesso, nao fazemos sync de atividades, nao acessamos seu historico do Strava. Voce pode usar o app sem conectar Strava.
• Google (OAuth): se voce fizer login via Google, recebemos nome, email e foto de perfil.
• Pagamentos: Stripe e InfinitePay processam pagamentos e nos informam o status da assinatura — nao armazenamos dados de cartao.

3. Como Usamos Suas Informacoes

Usamos seus dados para as seguintes finalidades:

3.1 Prover os Servicos

• Criar e gerenciar sua conta.
• Gerar planos personalizados de treino e dieta via IA (GPT-4o), validados por nutricionistas e personal trainers.
• Calcular metricas de saude (TMB, TDEE, IMC, % gordura, zonas FC, macros).
• Acompanhar sua evolucao (peso, medidas, fotos de progresso, consistencia).
• Processar pagamentos de assinatura.
• Fornecer suporte ao cliente.

3.2 Melhorar os Servicos

• Analisar uso agregado e anonimizado para identificar melhorias.
• Medir desempenho tecnico e corrigir bugs.
• Realizar pesquisa estatistica (sempre com dados agregados/anonimizados).

3.3 Comunicacao

• Enviar confirmacoes transacionais (cadastro, pagamento, treino pronto).
• Notificar sobre atualizacoes importantes (novos recursos, mudancas nos Termos).
• Enviar comunicacoes de marketing — apenas com seu consentimento, e voce pode cancelar a qualquer momento.

3.4 Seguranca e obrigacoes legais

• Detectar e prevenir fraude, abuso ou uso malicioso.
• Cumprir obrigacoes legais, fiscais e regulatorias.
• Responder a solicitacoes validas de autoridades publicas.

4. Base Legal para o Tratamento (LGPD Art. 7 e 11)

Tratamos seus dados com as seguintes bases legais:

• Consentimento (Art. 7, I): para dados de marketing, cookies nao-essenciais, dados sensiveis de saude, fotos de progresso e conexao opcional com Strava.
• Execucao de contrato (Art. 7, V): para prover os Servicos que voce contratou.
• Cumprimento de obrigacao legal (Art. 7, II): para obrigacoes fiscais e regulatorias.
• Legitimo interesse (Art. 7, IX): para seguranca, prevencao de fraude e melhoria dos Servicos.
• Protecao da vida ou incolumidade fisica (Art. 11, II, d): para dados sensiveis de saude (lesoes, restricoes alimentares, condicoes medicas).

5. Como Compartilhamos Suas Informacoes

Nao vendemos seus dados pessoais. Compartilhamos apenas com os seguintes tipos de destinatarios, sempre sob contrato de protecao de dados:

5.1 Prestadores de servico (operadores)

• Clerk (clerk.com): autenticacao e gestao de sessao.
• Supabase (supabase.com): banco de dados PostgreSQL, armazenamento de fotos.
• Stripe (stripe.com) e InfinitePay: processamento de pagamentos.
• OpenAI (openai.com): geracao de planos de treino e dieta via IA. Enviamos apenas dados necessarios (perfil, objetivos, restricoes), sem identificadores pessoais diretos.
• Vercel (vercel.com): hospedagem e CDN.
• Sentry (sentry.io): monitoramento de erros (dados anonimizados).
• Cloudflare (cloudflare.com): DNS, protecao contra ataques.

5.2 Servicos conectados por voce (opcionais)

• Strava: apenas se voce autorizar via OAuth no onboarding. Acessamos uma unica vez seu nome, sexo e peso para pre-encher o formulario. Nenhuma atividade e importada, nenhum token e armazenado.
• Google Analytics (GA4): metricas agregadas de uso, respeitando seu consentimento de cookies (LGPD).

5.3 Requisitos legais

Podemos divulgar seus dados se acreditarmos, de boa-fe, que isso e necessario para cumprir obrigacao legal, responder a processo judicial, proteger os direitos, propriedade ou seguranca da DoneFitt, seus usuarios ou o publico.

5.4 Transferencia de negocios

Em caso de fusao, aquisicao, reorganizacao ou venda de ativos, seus dados poderao ser transferidos ao comprador, sujeito aos mesmos compromissos desta Politica. Voce sera notificado previamente.

6. Cookies e Tecnologias Similares

• Cookies essenciais: necessarios para login, sessao e seguranca. Nao exigem consentimento.
• Cookies de analytics (Google Analytics 4): medem uso agregado da plataforma. Em modo "consent-denied" por padrao — apenas ativados apos seu consentimento explicito via banner.
• Cookies temporarios (5 minutos): usados pelo fluxo opcional de pre-fill do Strava no onboarding. Cookie e descartado imediatamente apos leitura.
• Cookies de preferencia: guardam escolhas de interface (tema, idioma).

Voce pode gerenciar consentimento de cookies a qualquer momento via banner na primeira visita ou limpando os dados do navegador. Seu consentimento e re-solicitado apos 12 meses.

7. Seus Direitos (LGPD Art. 18)

Voce tem os seguintes direitos sobre seus dados pessoais:

• Confirmacao e acesso: saber se tratamos seus dados e obter copia.
• Correcao: solicitar correcao de dados incompletos, inexatos ou desatualizados.
• Anonimizacao, bloqueio ou eliminacao: de dados desnecessarios, excessivos ou tratados em desconformidade com a LGPD.
• Portabilidade: receber seus dados em formato estruturado e interoperavel (JSON), via "Exportar meus dados" nas configuracoes.
• Eliminacao: de dados tratados com base em consentimento, salvo excecoes legais. Disponivel via "Excluir minha conta" nas configuracoes.
• Informacao sobre compartilhamento: com quem compartilhamos seus dados.
• Revogacao de consentimento: a qualquer momento, sem prejuizo do tratamento anterior.
• Oposicao: ao tratamento realizado com fundamento em legitimo interesse.
• Revisao de decisoes automatizadas: a DoneFitt usa IA para gerar planos de treino e dieta; voce pode solicitar revisao humana via suporte.

Para exercer qualquer direito, envie email para privacidade@donefitt.com.br. Responderemos em ate 15 dias.

8. Retencao de Dados

• Dados de identificacao pessoal (PII) sao anonimizados em ate 30 dias apos exclusao da conta.
• Fotos de progresso sao deletadas imediatamente.
• Registros financeiros sao retidos por 5 anos (obrigacao fiscal).
• Logs de seguranca e auditoria sao retidos por 6 meses.
• Dados agregados/anonimizados podem ser retidos indefinidamente para estatisticas.

9. Seguranca

• Criptografia em transito (TLS 1.3) e em repouso (AES-256).
• Autenticacao via Clerk com suporte a 2FA e detectao de ataques.
• Row Level Security (RLS) no Postgres — cada usuario so acessa seus proprios dados.
• Tokens OAuth do Strava nao sao armazenados (apenas usados em memoria para uma unica chamada).
• Monitoramento continuo via Sentry.
• Acesso restrito a dados sob principio de minimo privilegio.

Em caso de incidente de seguranca que afete seus dados, notificaremos voce e a ANPD conforme exigido pela LGPD Art. 48.

10. Transferencia Internacional de Dados

Alguns de nossos prestadores (Clerk, Stripe, OpenAI, Vercel, Sentry) estao localizados fora do Brasil, principalmente nos Estados Unidos. Transferencias internacionais ocorrem sob clausulas contratuais padrao, certificacoes de seguranca (SOC 2, ISO 27001) e frameworks de transferencia Brasil-UE/EUA.

11. Criancas

A DoneFitt nao e direcionada a menores de 16 anos. Nao coletamos conscientemente dados de menores. Se tomarmos conhecimento de que um menor forneceu dados sem consentimento parental, excluiremos imediatamente. Pais ou responsaveis podem contactar privacidade@donefitt.com.br.

12. Alteracoes nesta Politica

Podemos atualizar esta Politica periodicamente. Mudancas materiais serao comunicadas por email e/ou notificacao no app ao menos 30 dias antes de entrarem em vigor. A data de "Ultima atualizacao" no topo indica quando a versao atual foi publicada. O uso continuado dos Servicos apos a vigencia constitui aceitacao das mudancas.

13. Encarregado de Dados (DPO) e Contato

Voce tambem pode apresentar reclamacao a Autoridade Nacional de Protecao de Dados (ANPD) em gov.br/anpd.