Política de privacidade

Conta e contato

• Nome, e-mail e telefone.
• Senha, guardada só como hash bcrypt, nunca em texto. Ninguém da equipe consegue lê-la.
• CPF.
• Endereço: CEP, rua, número, complemento, bairro, cidade e UF.

O CPF e o endereço ficam numa área do banco de dados que só o próprio titular lê. Os profissionais da equipe não os veem.

Dados do aluno

• Objetivo, nível de treino, restrições, horários e cidade.
• Treinos feitos, cargas e frequência.
• Agenda e vínculos com profissionais.
• Os consentimentos que você dá ou retira.

Dados de saúde, que são sensíveis

• Meta definida pelo profissional: peso, gordura corporal, massa magra e prazo.
• Medidas e bioimpedância.
• Exames que você mesmo envia, em PDF ou imagem, inclusive raio-X e laudos.
• Alergias e intolerâncias alimentares.
• Restrições cadastradas por profissionais.
• Anamnese e plano alimentar.
• Fotos de progresso, que só você vê.

Dados do profissional

• Nome, foto, bio, metodologia, cidade, raio de atendimento, horários e preço.
• Registro profissional (CREF, CRN ou CREFITO).
• Quando houver plano pago, os dados da cobrança e da nota fiscal.

Dados do Google, só de quem conecta a Google Agenda

O profissional que conecta a Google Agenda autoriza o acesso ao e-mail da conta Google e aos eventos da agenda. O que o Movepump acessa e guarda está na seção Google Agenda e dados do Google.

Dados de uso e técnicos

• Endereço IP, tipo de dispositivo e de navegador.
• Páginas acessadas, com data e hora.
• Registro de auditoria: quem leu dado de saúde e quem alterou dado de aluno, o quê e quando.

Mensagens de contato

O texto que você escreve no formulário de contato e o e-mail que você informa.

• Criar e manter a sua conta e entregar o serviço contratado: execução de contrato (LGPD, art. 7º, V).
• Usar o CPF para identificar o titular da conta e evitar conta duplicada: execução de contrato (art. 7º, V) e legítimo interesse (art. 7º, IX).
• Usar o endereço para indicar profissionais da região: execução de contrato (art. 7º, V).
• Emitir cobrança e nota fiscal, quando houver plano pago, com o CPF e o endereço: execução de contrato e cumprimento de obrigação legal (art. 7º, II e V).
• Montar o seu treino e a sua dieta com os profissionais que você escolheu: execução de contrato (art. 7º, V).
• Guardar e compartilhar os seus dados de saúde com os profissionais que você autorizar: consentimento específico e destacado, por se tratar de dado sensível (art. 11, I), e tutela da saúde por profissional habilitado (art. 11, II, f).
• Gerar o cardápio semanal por inteligência artificial: consentimento específico e destacado (art. 11, I).
• Mostrar um resultado seu em perfil público de profissional: consentimento específico, que você revoga quando quiser.
• Listar o perfil do profissional no catálogo: execução de contrato (art. 7º, V).
• Sincronizar as consultas do profissional com a Google Agenda dele: consentimento, dado na tela de consentimento do Google (art. 7º, I).
• Segurança, prevenção a fraude e registro de acessos: legítimo interesse (art. 7º, IX) e cumprimento de obrigação legal (art. 7º, II).
• Responder às suas mensagens de contato: consentimento (art. 7º, I).
• Medir o uso do site, se você permitir os cookies de medição: consentimento (art. 7º, I).

Só guardamos os seus dados de saúde com consentimento específico e destacado, registrado com data, hora e versão do texto aceito, para as finalidades descritas nesta política.

• Quem vê os seus dados de saúde: você e os profissionais da sua equipe, cada um nas áreas que você liberou.
• Você decide quais profissionais veem a sua ficha de saúde e os seus anexos.
• O profissional só acessa enquanto o vínculo estiver ativo e você tiver autorizado.
• Quando você encerra o vínculo, o acesso dele termina. O histórico continua com você.
• Assistente e moderador não veem ficha de saúde nem anexos.
• A administração da plataforma só abre dado de saúde informando o motivo, e cada abertura fica registrada.
• Cada leitura de dado de saúde por outra pessoa entra no log de auditoria, com quem leu, o quê e quando. O log não guarda o conteúdo do dado.
• Exames e fotos ficam em armazenamento privado e só abrem por links temporários.
• Fotos de progresso são só suas: nenhum profissional as vê.
• Dado de saúde não fica em tabela pública nem em registro técnico.

Você pode revogar o consentimento a qualquer momento, sem custo. A revogação não desfaz o que foi feito antes dela, e o recurso que depende desse dado deixa de funcionar.

Conectar a Google Agenda é opcional e vale só para profissional. Quem não conecta não tem nenhum dado do Google no Movepump, e o aluno não conecta conta Google nenhuma.

O que acessamos

Na tela de consentimento do Google, o Movepump pede duas coisas:

• O e-mail da conta Google, para mostrar qual agenda está ligada.
• O acesso aos eventos da agenda, pelo escopo https://www.googleapis.com/auth/calendar.events.

Para que usamos

• Criar, atualizar e cancelar, na agenda do profissional, os eventos das consultas marcadas no Movepump, inclusive as marcadas pelo agendamento online.
• Ler os eventos da agenda para mostrar os horários ocupados e evitar conflito entre uma consulta e outro compromisso.

Não usamos os dados do Google para mais nada. Se você é aluno, a consulta que marca com um profissional que conectou a agenda também é criada na Google Agenda dele.

O que guardamos e como protegemos

• O token de atualização do Google, cifrado com AES-256-GCM. A chave fica guardada fora do banco de dados.
• O identificador dos eventos que o Movepump criou na agenda.
• O e-mail da conta Google ligada.

O conteúdo dos outros eventos da agenda não é guardado. O Movepump lê esses eventos para mostrar horários ocupados e não os copia. Todo o tráfego usa HTTPS com HSTS, e o acesso às tabelas do banco segue controle por linha.

Com quem compartilhamos

Não compartilhamos os dados do Google com ninguém e não os vendemos. Só os divulgamos se uma lei ou uma ordem judicial exigir. Nenhum dado do Google vai para o provedor de inteligência artificial do cardápio. O token fica no banco do Supabase e o app roda na Vercel: os dois são operadores nossos e só executam o que mandamos.

Por quanto tempo guardamos

• O token e os identificadores ficam guardados enquanto a conexão estiver ativa.
• Ao desconectar, o token é apagado na hora.
• Se você excluir a sua conta no Movepump, tudo o que veio do Google some em até 30 dias.

Como desconectar e pedir a exclusão

Você corta o acesso quando quiser, pelo botão Desconectar no Movepump ou pela página de permissões da sua conta Google, em https://myaccount.google.com/permissions.

Para excluir a conta e os dados que ficaram, escreva para alexandre.martins@mfactor.dev ou use a página de contato, com o assunto Meus dados e privacidade. A exclusão sai em até 30 dias.

Uso Limitado e inteligência artificial

O uso e a transferência, para qualquer outro app, das informações que o Movepump recebe das APIs do Google seguem a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado.

O Movepump:

• usa os dados do Google só para oferecer a função que você vê no app, a sincronização da sua agenda;
• não usa esses dados para anúncio, e não os vende nem os repassa a corretores de dados;
• não os usa para análise de crédito;
• não monta base de dados com o conteúdo da sua agenda;
• não os usa para desenvolver, melhorar ou treinar modelos de inteligência artificial ou de aprendizado de máquina generalistas.

O cardápio por inteligência artificial é opcional. Ele só funciona para o aluno que deu consentimento e cujo profissional de nutrição ativou o recurso.

Uma vez por semana, o Movepump envia ao provedor de IA o plano alimentar, as metas e as alergias e intolerâncias alimentares do aluno, e recebe sugestões de receitas. O envio não leva nome, CPF, e-mail nem dado do Google.

O provedor é a OpenAI, L.L.C., nos Estados Unidos. Usamos a API da OpenAI, e a empresa atua como nossa operadora. Pelos termos da API, os dados enviados não são usados para treinar modelos e podem ficar retidos por até 30 dias, para monitoramento de abuso, sendo apagados depois. A transferência para o exterior segue as garantias que o art. 33 da LGPD prevê.

As sugestões são ideias de receita. Elas não substituem o profissional de nutrição, e o plano alimentar continua sendo dele. Se você retirar o consentimento, o cardápio deixa de ser gerado.

Os profissionais podem indicar produtos, sempre com link de afiliado identificado na tela. Suplemento só aparece com indicação e supervisão de nutricionista. Hoje os produtos do marketplace são de demonstração.

Quando você clica numa indicação, o Movepump registra o clique para o relatório de indicações do profissional, e você segue para o site da loja, que tem política de privacidade própria. No marketplace de demonstração, o clique não é gravado e o link não leva a nenhuma loja.

• Profissionais que você vincula e autoriza, nas áreas da especialidade de cada um.
• O assistente de um profissional, no plano Top, que cuida de agenda e cadastro e não vê ficha de saúde nem anexos.
• Os operadores que fazem a plataforma funcionar em nosso nome, listados na próxima seção. Eles recebem só o necessário para a tarefa.
• Autoridades, quando a lei exigir ou para defesa em processo judicial, administrativo ou arbitral.

Moderadores validam registros e moderam avaliações e resultados publicados, e não veem ficha de saúde. A administração da plataforma tem acesso restrito, e cada ação dela em dado de aluno entra no registro de acesso. Não vendemos dados pessoais.

Hoje, estes são os operadores que guardam ou recebem dados em nosso nome:

• Supabase: banco de dados e armazenamento de arquivos, na região de São Paulo, Brasil.
• Vercel: hospedagem do site e do app.
• Resend: envio de e-mails do sistema.
• OpenAI, L.L.C.: inteligência artificial do cardápio semanal, nos Estados Unidos, só para quem consentiu.
• Google: Agenda, só para o profissional que conectar.

A OpenAI fica nos Estados Unidos, e a Vercel e a Resend também podem usar servidores fora do Brasil. Nesses casos, a transferência segue as garantias que o art. 33 da LGPD prevê.

A LGPD (art. 18) garante a você o direito de:

• confirmar que guardamos dados seus;
• acessar esses dados;
• corrigir dados incompletos, inexatos ou desatualizados;
• pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários ou excessivos;
• pedir a portabilidade, isto é, a exportação dos seus dados;
• pedir a eliminação dos dados guardados com base no seu consentimento;
• saber com quem compartilhamos os dados;
• saber que pode negar o consentimento e quais são as consequências;
• revogar o consentimento.

Para exercer qualquer um desses direitos, escreva ao encarregado de dados, no e-mail alexandre.martins@mfactor.dev, ou pela página de contato, escolhendo o assunto Meus dados e privacidade. O atendimento é gratuito.

A confirmação de que guardamos dados seus e o acesso em formato simplificado são imediatos. A declaração completa sai em até 15 dias, o prazo da LGPD (art. 19, II). Você também pode reclamar à ANPD.

Guardamos os dados da conta e os de saúde enquanto a sua conta existir. Para excluir a conta e os dados, escreva ao encarregado de dados, no e-mail alexandre.martins@mfactor.dev, ou pela página de contato, escolhendo o assunto Meus dados e privacidade. A exclusão sai em até 30 dias, salvo o que a lei obriga a manter:

• Dados fiscais, como a nota fiscal da assinatura do profissional, pelo prazo da legislação fiscal.
• O log de auditoria do acesso a dado de saúde, pelo prazo legal.
• Registros de acesso à plataforma, por 6 meses, como exige o Marco Civil da Internet (Lei 12.965/2014, art. 15).
• Dados necessários para defesa em processo judicial, administrativo ou arbitral, até o fim do prazo aplicável.

O pedido de exclusão não alcança registros que a lei ou o conselho da profissão obrigam a manter. Ao responder ao seu pedido, dizemos quais são.

Outros prazos:

• A sessão de login dura até 30 dias, e termina antes se você sair da conta.
• O token do Google fica guardado até você desconectar. Depois da exclusão da conta, tudo o que veio do Google some em até 30 dias.
• Os dados enviados à OpenAI para o cardápio ficam retidos pelo provedor por até 30 dias, para monitoramento de abuso, e são apagados depois.

• HTTPS em todo o site, com HSTS.
• Criptografia em repouso, oferecida pelos provedores do banco de dados e dos arquivos.
• Controle de acesso por linha no banco de dados: cada pessoa só lê as linhas que lhe cabem, e as regras valem também na tela.
• CPF e endereço numa área do banco que só o próprio titular lê.
• Tokens do Google cifrados, com a chave guardada fora do banco.
• Exames e fotos em armazenamento privado, com links temporários.
• Log de auditoria do acesso a dado de saúde.
• Senha guardada só como hash bcrypt, que ninguém da equipe consegue ler.
• Cookie de sessão httpOnly e seguro, e o servidor guarda só um hash do token da sessão.
• Bloqueio temporário do login depois de tentativas erradas seguidas, contra tentativa de adivinhar a senha.

Se houver um incidente de segurança que possa causar risco ou dano relevante, comunicamos você e a ANPD, como a LGPD exige (art. 48).

O Movepump usa um cookie essencial:

• mp_sessao, cookie de sessão httpOnly e seguro. Mantém você conectado depois do login por até 30 dias. Ao sair da conta, a sessão é apagada. O servidor guarda só um hash do token, não o token.

Esse cookie só existe para quem entra na conta e é necessário para o login funcionar, então não depende do aviso de cookies.

O navegador também guarda, no armazenamento local, a sua escolha de tema, claro ou escuro, e a sua resposta ao aviso de cookies. Esses dados ficam no seu aparelho.

Hoje o site não carrega nenhuma ferramenta de medição de uso. Se isso mudar, a medição só funciona se você permitir no aviso de cookies. Você muda a escolha a qualquer momento em Preferências de cookies, no rodapé do site.

O Movepump é voltado a maiores de 18 anos. Se identificarmos o cadastro de um menor sem o consentimento específico e em destaque de um dos pais ou do responsável legal, como a LGPD exige (art. 14), suspendemos a conta até regularizar.

Quando mudarmos esta política de forma relevante, avisaremos por e-mail ou dentro do app antes de a mudança valer. A data da última atualização fica no topo da página. Mudança no uso de dado de saúde pede um novo consentimento.

O contato do encarregado de dados é o e-mail alexandre.martins@mfactor.dev. Você também pode usar a página de contato, escolhendo o assunto Meus dados e privacidade.