Política de Privacidade

O Treinei é uma plataforma para personal trainers brasileiros. Esta política explica como coletamos, usamos e protegemos seus dados pessoais, em conformidade com a Lei nº 13.709/2018 (LGPD) e com as diretrizes da Meta para integração com Instagram.

O Controlador responsável pelo tratamento de dados pessoais na plataforma Treinei, nos termos do art. 5º, VI, da LGPD, é KINGSYS SOLUCOES EM SOFTWARE LTDA (nome fantasia "KINGSYS SOLUCOES"), sociedade empresária limitada inscrita no CNPJ sob nº 42.161.987/0001-76, com sede em Goiânia/GO, representada por seu sócio administrador Eduardo Reis. Canal de contato: contato@treinei.app.br.

1.1 Papel dual (importante para personal trainers)

Quando você usa o Treinei como personal trainer, você assume o papel de Controlador dos dados pessoais dos seus alunos, ou seja, é você quem decide as finalidades e os meios do tratamento desses dados. O Treinei atua, em relação aos dados dos seus alunos, como Operador (art. 5º, VII, LGPD), tratando-os exclusivamente conforme suas instruções e os Termos de Uso:

• A KINGSYS SOLUCOES EM SOFTWARE LTDA, operando a marca Treinei, é o Controlador dos seus dados pessoais (você como personal trainer: cadastro, preferências, uso da plataforma).
• Você (personal trainer) é o Controlador dos dados dos seus alunos que você cadastra. O Treinei atua como Operador desses dados, tratando-os exclusivamente conforme suas instruções e conforme os Termos de Uso.
• Consequência prática: solicitações de acesso, correção, portabilidade ou exclusão feitas por um aluno devem primeiro ser dirigidas ao personal trainer que o cadastrou. Se o aluno não obtiver resposta adequada, pode escalar ao Treinei via contato@treinei.app.br.

2.1 Dados de cadastro (personal trainer):

• Nome, email, senha (armazenada como hash), telefone
• Data de nascimento e número de registro no CREF (informados no cadastro)
• CPF (quando você configura pagamentos ou a assinatura via Asaas)
• Foto de perfil, bio, localização
• Se você conectar o Instagram: nome de usuário, foto de perfil, posts públicos da sua conta e dados básicos do perfil de negócios. Escopos solicitados: instagram_business_basic (leitura do perfil e das mídias) e instagram_business_content_publish (publicação agendada no seu nome, apenas quando você configurar posts programados)

2.2 Dados de cadastro (aluno do personal):

• Nome, email, telefone, data de nascimento, gênero e contato de emergência (inseridos pelo personal trainer)
• Histórico de treinos, agendamentos e pagamentos
• Planos alimentares, hábitos e seus registros diários, participação em desafios
• Mensagens e imagens trocadas no chat com o personal trainer
• Inscrição para notificações push no dispositivo, quando o aluno as autoriza
• Indicador de risco de evasão (plano Studio), calculado automaticamente a partir de frequência de treinos, faltas a sessões agendadas, pagamentos em atraso, cumprimento de hábitos e atividade no chat, e exibido apenas ao personal trainer

2.3 Dados sensíveis de saúde (art. 11 da LGPD)

Para atender ao propósito da plataforma, o Treinei processa dados pessoais sensíveis relacionados à saúde dos alunos:

• Medidas corporais (peso, altura, circunferências) via avaliações físicas
• Objetivos e restrições físicas declarados
• Anotações médicas inseridas pelo personal trainer
• Fotos de progresso (voluntárias)
• Registros de treinos completados e frequência

Base legal. A base que adotamos para esses dados é o consentimento específico e destacado do titular (art. 11, I, da LGPD), coletado em momento próprio no cadastro do aluno, com as finalidades apresentadas de forma clara e por meio de aceite distinto do aceite geral dos Termos. Cada consentimento é registrado de forma auditável (data, versão dos termos aceitos e endereço IP convertido em hash).

Optamos pelo consentimento — e não pela hipótese de tutela da saúde (art. 11, II, "f") — porque esta última é reservada a procedimentos realizados por profissionais de saúde, serviços de saúde ou autoridade sanitária. O acompanhamento feito pelo personal trainer é atividade profissional regulamentada pelo CREF (Lei 9.696/1998), e entendemos que enquadrá-la na tutela da saúde seria uma interpretação extensiva do dispositivo. O consentimento é a base mais protetiva ao titular, porque é revogável a qualquer momento.

Quem coleta o consentimento. O personal trainer, na qualidade de Controlador dos dados do aluno (cláusula 1.1), é quem obtém e registra esse consentimento. O Treinei, como Operador, fornece a ferramenta que torna o registro auditável e trata os dados exclusivamente conforme as instruções do trainer.

Revogação. O consentimento pode ser revogado a qualquer momento, gratuitamente e por procedimento facilitado (art. 8º §5º), pelo seu personal trainer ou pelo email dpo@treinei.app.br. A revogação interrompe o tratamento de novos dados sensíveis e dá ao titular o direito de pedir a eliminação dos dados já tratados com base no consentimento (art. 18, VI). Permanecem válidos o tratamento já realizado antes da revogação e os dados que a lei nos obrigue a reter — nesse caso, apenas para a finalidade que a lei impõe.

Sem consentimento, sem tratamento. Se o consentimento não for concedido ou for revogado, os recursos que dependem de dados sensíveis (avaliações físicas, fotos de progresso, anotações médicas) deixam de estar disponíveis para aquele aluno. O restante do serviço continua funcionando.

Esses dados não são usados para publicidade, perfilamento comercial, venda a terceiros ou qualquer compartilhamento fora dos provedores listados na cláusula 5.

2.4 Dados de uso:

• Páginas visitadas e ações realizadas no app e no site
• Endereços IP (armazenados como hash, nunca em texto puro; na página pública de bio link, o IP do visitante é enviado ao provedor de geolocalização listado na cláusula 5 antes de ser convertido em hash)
• Navegador e sistema operacional (user-agent)
• Crashes e erros, com dados sensíveis redatados automaticamente

2.5 Dados de pagamento:

• Processados 100% pela Asaas. Não armazenamos dados de cartão.

Cada atividade de tratamento tem uma base legal específica:

• Prover o serviço contratado
• Cobrar mensalidades (via Asaas)
• Enviar notificações transacionais (confirmações, lembretes)
• Melhorar o produto (análise agregada)
• Cumprir obrigações legais (fiscais, LGPD, etc.)

Seus dados são compartilhados apenas com provedores necessários para operação do serviço:

• Asaas (pagamentos, Brasil) — dados de cobrança
• Meta / Instagram (se você conectar) — fluxo bidirecional: leitura dos dados públicos do seu perfil e feed (para exibição na página pública da sua bio link) e publicação agendada em seu nome quando você utilizar a funcionalidade de posts programados. Você pode revogar o acesso a qualquer momento em Configurações > Instagram ou diretamente em Facebook > Apps e Sites.
• Anthropic (Claude API) — geração de treinos com IA no plano Studio. Quando o treinador aciona a geração de treinos por IA, enviamos para a Anthropic, em texto claro: idade do aluno (calculada a partir da data de nascimento, que não é transmitida), gênero, objetivo de treino, anotações médicas e restrições, histórico de até 3 treinos anteriores, métricas da última avaliação física, avaliações atribuídas pelo aluno a esses treinos, preferências do treinador (foco, equipamentos, duração, dificuldade e observações livres) e a lista de exercícios disponíveis. Não enviamos o nome, email, telefone, CPF ou foto do aluno. Dados de alunos menores de 18 anos não são processados pela funcionalidade de geração por IA. Os dados trafegam por servidores da Anthropic nos Estados Unidos. Conforme os Termos Comerciais da Anthropic aplicáveis à API, o conteúdo enviado não é utilizado para treinar modelos de IA e é retido por até 30 dias para fins de detecção de abuso, sendo excluído após esse período, salvo obrigação legal. Esta funcionalidade é exclusiva do plano Studio (opt-in pago) — você pode optar por não utilizá-la simplesmente não acionando o botão de geração de treinos com IA.
• Resend (provedor de emails transacionais — confirmação de cadastro, redefinição de senha, notificações) — email do destinatário e conteúdo do email transacional. Servidores nos Estados Unidos.
• Sentry (monitoramento de erros) — payloads de erros não-sensíveis (stack traces, identificadores de usuário e tenant, contexto da requisição). PII é redatada automaticamente; cabeçalhos de autenticação e cookies nunca são enviados. Servidores nos Estados Unidos.
• Microsoft Azure Application Insights (telemetria de uso e performance) — métricas agregadas, identificadores opacos. No site e no app do personal trainer, a telemetria do navegador só é ativada com o seu consentimento (banner de cookies). Servidores na região Brazil South (São Paulo).
• ip-api.com (geolocalização aproximada) — quando alguém visita uma página pública de bio link, o endereço IP do visitante é enviado a esse provedor para obter cidade, estado e país aproximados; em seguida, o IP é armazenado apenas como hash. Servidores fora do Brasil.
• Serviços de notificação push dos navegadores (Google, Apple ou Mozilla, conforme o navegador utilizado) — endereço de inscrição do dispositivo e conteúdo da notificação, quando você ou seu aluno ativam notificações push. Servidores fora do Brasil.
• Google Fonts (fontes tipográficas) — as páginas do Treinei carregam fontes dos servidores do Google, que recebem o endereço IP e o user-agent do navegador do visitante. Servidores fora do Brasil.
• Microsoft Azure (hospedagem do banco de dados, armazenamento de arquivos, gerenciamento de chaves criptográficas) — região Brazil South / São Paulo. Dados em repouso criptografados em disco; chaves sensíveis (tokens do Instagram, chaves de API do Asaas) protegidas por envelope-encryption via Azure Key Vault.

Não vendemos seus dados. Não usamos para publicidade.

Prioritariamente, o tratamento dos seus dados ocorre em território nacional (Microsoft Azure, região Brazil South / São Paulo, e Asaas, com sede no Brasil).

Os seguintes provedores listados na cláusula 5 processam dados em servidores fora do Brasil:

• Anthropic (Claude API) — Estados Unidos. Recebe os dados clínicos e de perfil enumerados na cláusula 5 quando você aciona a geração de treinos com IA.
• Resend — Estados Unidos. Recebe email do destinatário e conteúdo de mensagens transacionais.
• Sentry — Estados Unidos. Recebe payloads de erros já redatados de PII.
• Meta / Instagram — Estados Unidos. Recebe os dados necessários para a integração quando você opta por conectar a sua conta do Instagram.
• ip-api.com — exterior. Recebe o endereço IP de visitantes da página pública de bio link para geolocalização aproximada.
• Serviços de push dos navegadores (Google, Apple, Mozilla) — exterior. Recebem o endereço de inscrição do dispositivo e o conteúdo das notificações push.
• Google Fonts — exterior. Recebe o endereço IP e o user-agent do navegador ao carregar as fontes das páginas.

Nenhum desses países foi, até esta data, reconhecido pela ANPD como país de nível adequado de proteção (art. 33, I). As transferências ocorrem, portanto, com base nas seguintes hipóteses:

• Necessidade para a execução do contrato com o titular (art. 33, VI), quando a transferência é indispensável para prestar o serviço que você contratou — envio de email transacional, monitoramento de erros da aplicação, entrega de notificações push e carregamento das fontes tipográficas das páginas;
• Consentimento específico e destacado do titular (art. 33, VIII), prévio à transferência e com informação sobre seu caráter internacional, quando você opta por recursos que só existem se você os acionar: conectar a sua conta do Instagram e utilizar a geração de treinos com IA. Esses recursos são opcionais e o serviço funciona sem eles.

Garantias contratuais. Contratamos esses provedores sob os respectivos Acordos de Tratamento de Dados (DPAs) e termos empresariais que eles disponibilizam, os quais contêm obrigações de confidencialidade, de segurança e de limitação de finalidade. Para ser transparente: até esta data ainda não celebramos com todos eles as cláusulas-padrão contratuais no modelo aprovado pela Resolução CD/ANPD nº 19/2024, cuja adoção está em andamento. Informaremos nesta página quando o processo for concluído. Você pode solicitar informação sobre as garantias aplicáveis a um provedor específico pelo email da cláusula 14.

Como reduzir a sua exposição. Você pode não conectar o Instagram, não utilizar a geração de treinos por IA e recusar as notificações push. Nenhuma dessas escolhas impede o uso das demais funcionalidades da plataforma.

Microsoft Azure, região Brazil South (São Paulo) quando disponível. Dados em trânsito: TLS 1.2+. Dados em repouso: criptografados em disco.

• Conta ativa: enquanto você usar o serviço
• Assinatura cancelada: você mantém o acesso ao plano pago até o fim do ciclo já pago; depois disso, a conta passa ao plano Free e os dados permanecem na conta. A exclusão dos dados ocorre mediante solicitação (veja /exclusao-de-dados) ou pela regra de inatividade abaixo.
• Conta excluída a pedido: os dados são excluídos conforme o processo descrito em /exclusao-de-dados. Registros de aceite de termos e de consentimento são mantidos de forma anonimizada.
• Registros fiscais e de pagamento: 5 anos (art. 173, CTN, e art. 195, parágrafo único, da Constituição Federal), mantidos pela Asaas, instituição que processa as cobranças. A cópia local desses registros no Treinei é excluída junto com a conta.
• Logs de auditoria administrativa: 2 anos (excluídos antes desse prazo quando a conta a que se referem é excluída)
• Contas inativas por mais de 24 meses consecutivos: dados podem ser anonimizados ou eliminados em observância ao princípio da necessidade (art. 6º, III).

A LGPD garante a você, titular dos dados, os nove direitos abaixo. O exercício de qualquer um deles é gratuito e independe de justificativa (art. 18 §5º).

Além desses, você pode peticionar à ANPD (Autoridade Nacional de Proteção de Dados) contra o controlador, caso não obtenha resposta satisfatória — gov.br/anpd (art. 18 §1º) —, e opor-se a tratamento fundado em uma das hipóteses de dispensa de consentimento do art. 7º, quando houver descumprimento da LGPD (art. 18 §2º).

9.1 A quem dirigir o pedido

Isso depende de quem é o Controlador dos seus dados (veja a cláusula 1.1):

• Você é personal trainer: escreva direto para dpo@treinei.app.br. A KINGSYS é a Controladora dos seus dados.
• Você é aluno de um personal trainer: dirija o pedido primeiro ao seu personal trainer, que é o Controlador dos seus dados. Se ele não responder ou a resposta for insatisfatória, escale para dpo@treinei.app.br — acionaremos o trainer e, quando necessário e legalmente cabível, atenderemos diretamente.

Prazos: confirmação de tratamento e acesso aos dados em até 15 (quinze) dias corridos do seu pedido (art. 19, II); em formato simplificado, imediatamente (art. 19, I). Os demais direitos são atendidos em prazo razoável, e mantemos você informado quando a apuração exigir mais tempo. Pedidos de exclusão seguem o fluxo e o prazo de /exclusao-de-dados.

A Plataforma utiliza as seguintes categorias de cookies e tecnologias similares:

• Estritamente necessários (autenticação, manutenção de sessão e registro da sua escolha de cookies, armazenados no navegador): essenciais ao funcionamento da Plataforma, não exigem consentimento (art. 7º, V, LGPD).
• Análise (telemetria de uso via Microsoft Azure Application Insights): ativada somente com o seu consentimento, registrado pelo banner de cookies e revogável a qualquer momento em "Configurações de cookies", no rodapé do site.
• Registro próprio de eventos: independentemente da escolha no banner, o site registra em nossos próprios servidores eventos de navegação (por exemplo, visualização de página e clique em botões), com o endereço IP convertido em hash e o user-agent do navegador.

Detalhes em Política de Cookies.

Não utilizamos cookies de publicidade, retargeting ou rastreamento por terceiros. Você pode gerenciar cookies pelas configurações do seu navegador, ciente de que a desativação de cookies estritamente necessários pode inviabilizar o uso da Plataforma.

O cadastro de personal trainer no Treinei é destinado exclusivamente a maiores de 18 anos. Não coletamos dados de menores como usuários diretos.

Quando um personal trainer cadastra um aluno menor de 18 anos: o trainer, na qualidade de Controlador dos dados do aluno, é responsável por obter o consentimento específico e destacado de pelo menos um dos pais ou do responsável legal antes de inserir dados do menor na plataforma, nos termos do art. 14 da LGPD.

Para apoiar essa obrigação, a plataforma exige, no cadastro de aluno menor de 18 anos:

• Identificação do responsável legal (nome completo, CPF, email);
• Declaração de que o consentimento foi obtido na forma do art. 14, §1º da LGPD;
• Registro auditável da data do consentimento e da versão dos termos aceitos.

Melhor interesse. Todo tratamento de dados de crianças e adolescentes na plataforma é realizado no melhor interesse do menor (art. 14, caput, LGPD), interpretado em conjunto com o Estatuto da Criança e do Adolescente. Na prática, isso significa que: não condicionamos a participação do menor no serviço ao fornecimento de dados além do estritamente necessário (art. 14 §4º); dados de menores não são utilizados em geração de treinos por IA, recomendações automatizadas, publicidade ou perfilamento; e não divulgamos publicamente dados de menores.

Se o consentimento não existir ou for revogado. O cadastro de um aluno menor de 18 anos não é concluído sem o registro da identificação do responsável legal — a plataforma recusa a operação. Caso o consentimento seja posteriormente revogado pelo responsável, o acesso do aluno é encerrado e o responsável pode solicitar a eliminação dos dados do menor, na forma da cláusula 9 e de /exclusao-de-dados. Mantemos, de forma anonimizada, apenas o registro de que houve consentimento e de que ele foi revogado, como prova de conformidade.

O Treinei, como Operador, trata esses dados exclusivamente conforme as instruções do personal trainer, que é o Controlador. A responsabilidade por verificar a identidade do responsável legal e a autenticidade do consentimento é do personal trainer que realiza o cadastro.

Se você é pai, mãe ou responsável e acredita que seu filho foi cadastrado sem consentimento adequado, contate-nos imediatamente em contato@treinei.app.br.

• Senhas armazenadas de forma segura (hash criptográfico moderno)
• Tokens de sessão com expiração curta e renovação automática
• Isolamento estrito de dados entre contas
• Auditoria administrativa de todas as ações sensíveis
• Dados sensíveis redatados em logs
• Transporte protegido por TLS; criptografia em repouso

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados em prazo razoável, nos termos do art. 48 e da Resolução CD/ANPD nº 15/2024. A comunicação conterá: a descrição da natureza dos dados afetados, as informações sobre os titulares envolvidos, as medidas técnicas e de segurança utilizadas, os riscos relacionados, as razões de eventual demora e as medidas adotadas ou a adotar para reverter ou mitigar os efeitos.

Mantemos um plano interno de resposta a incidentes com classificação de severidade, que prioriza a comunicação conforme o risco ao titular. Não fixamos aqui um prazo em horas para não prometer o que a apuração de um incidente real pode não permitir: a prioridade é comunicar de forma completa e correta, tão logo tenhamos elementos mínimos para isso.

Se você suspeita de um incidente, de uma vulnerabilidade ou de acesso indevido aos seus dados, avise-nos em dpo@treinei.app.br. Analisamos todo relato recebido por esse canal.

Quando o incidente atingir dados de alunos, comunicaremos o personal trainer responsável — que é o Controlador desses dados — com as informações necessárias para que ele cumpra os próprios deveres perante a ANPD e perante os seus alunos, conforme a cláusula 8.bis dos Termos de Uso.

Encarregado: Eduardo Reis (transitório — pré-lançamento)
Canal de contato: dpo@treinei.app.br

O Encarregado atua com autonomia técnica e é responsável por: aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências; receber comunicações da ANPD; orientar o controlador quanto às práticas da LGPD; manter registro das operações de tratamento (ROPA) nos termos do art. 37 da LGPD.

Em fase de pré-lançamento, as funções de Encarregado são exercidas internamente pelo sócio administrador. Antes do escalonamento da operação comercial, o Encarregado será formalmente designado em pessoa distinta, em conformidade com a Resolução CD/ANPD nº 18/2024.

O contato com o Encarregado pode ser feito a qualquer momento, é gratuito e a resposta segue os prazos do art. 19 da LGPD: imediata, em formato simplificado, ou em até 15 (quinze) dias corridos para a declaração completa de acesso.

Os dados completos do Encarregado, do controlador e do canal de correspondência estão na página do Encarregado (DPO).

Notificaremos mudanças materiais por email e no app com pelo menos 30 dias de antecedência da entrada em vigor, indicando o que mudou.

Quando a alteração implicar nova finalidade de tratamento de dados sensíveis ou ampliar as finalidades já consentidas, coletaremos novo consentimento — o uso continuado da plataforma, por si só, não substitui esse consentimento. Você pode recusar sem perder o acesso às funcionalidades que não dependem da nova finalidade.

Versões anteriores desta política podem ser solicitadas pelo email da cláusula 14.