Política de Privacidade

1. Quem somos e quando esta política se aplica

O OctaGym é uma plataforma de gestão para academias e centros de fitness, operada pela Octalab ("OctaGym", "nós"). Esta Política de Privacidade descreve como coletamos, usamos, compartilhamos, retemos e protegemos dados pessoais no site octagym.ai, no painel web e no aplicativo móvel OctaGym para iOS e Android.

Ao criar uma conta ou utilizar nossos serviços, você declara estar ciente desta Política. Dúvidas podem ser enviadas a qualquer momento para privacidade@octagym.ai.

2. Controlador e operador

A LGPD (Lei nº 13.709/2018) distingue quem decide sobre o tratamento dos dados (controlador) de quem os trata em nome de outro (operador). Na plataforma, esse papel varia conforme o dado:

• Dados da sua conta: Em relação aos dados de quem contrata e opera a plataforma — donos, gestores e funcionários — o OctaGym é o controlador.
• Dados de alunos: Quando uma academia cadastra alunos, a academia é a controladora desses dados e o OctaGym atua como operador, tratando-os apenas conforme as instruções da academia. Por isso, alunos devem direcionar solicitações de privacidade primeiro à academia em que treinam; damos suporte sempre que necessário.

3. Dados que coletamos

Coletamos apenas o necessário para operar a plataforma. Os dados variam conforme o seu uso:

• Cadastro e conta: nome, email, telefone, senha (armazenada de forma cifrada) e foto de perfil.
• Login social: ao usar "Entrar com Apple" ou "Entrar com Google", recebemos um identificador da conta e o email associado.
• Dados de alunos (quando você é academia): cadastro, contato, plano contratado, frequência e histórico de uso dos alunos que você gerencia.
• Saúde e atividade física: dados de treino (exercícios, séries, repetições e cargas) e, quando você autoriza no iOS, dados do app Apple Saúde (HealthKit), como peso, percentual de gordura, massa magra, passos, frequência cardíaca de repouso, variabilidade da frequência cardíaca e energia ativa.
• Localização: localização aproximada ou precisa, usada apenas para recursos presenciais (como check-in e validação de ações na unidade). Não usamos localização para publicidade.
• Pagamento: dados de cobrança são processados por parceiros de pagamento. Recebemos status e metadados da transação, mas não armazenamos o número completo do cartão.
• Técnicos e de uso: modelo e sistema do dispositivo, tokens de notificação push, endereço IP, identificadores de sessão e logs de acesso.
• Comunicações: mensagens trocadas com o suporte e, quando a academia habilita o recurso, interações via WhatsApp.

4. Como coletamos

• Diretamente de você: quando cria a conta, preenche cadastros ou se comunica conosco.
• Automaticamente: ao usar o app ou o site, por meio de logs e tecnologias de armazenamento do dispositivo ou navegador.
• De terceiros: provedores de login (Apple, Google) e de pagamento, limitados ao necessário para a função contratada.

5. Para que usamos e base legal

Tratamos dados pessoais para as finalidades abaixo, sempre amparados em uma base legal prevista na LGPD:

• Fornecer e operar a plataforma (execução de contrato).
• Recursos de inteligência artificial, como geração de fichas e análise de desempenho (execução de contrato e legítimo interesse).
• Segurança, prevenção a fraude e auditoria (legítimo interesse e cumprimento de obrigação legal).
• Comunicações transacionais e de suporte (execução de contrato).
• Obrigações fiscais, contábeis e legais (cumprimento de obrigação legal).
• Dados de saúde e de localização são tratados mediante o seu consentimento, que pode ser revogado a qualquer momento.

6. Uso de dados pela inteligência artificial

O OctaGym adota uma postura de isolamento de dados no uso de IA:

• Sem treinamento: seus dados nunca são utilizados para treinar modelos de IA de terceiros.
• Ambiente isolado: os dados de cada academia ficam isolados por tenant, acessíveis apenas pelas contas autorizadas daquela unidade.
• Apoio à decisão: recomendações de IA são ferramentas de apoio e não substituem o julgamento de um profissional habilitado.

7. Com quem compartilhamos

Não vendemos seus dados e não os compartilhamos com data brokers nem com redes de publicidade. Não usamos identificadores para rastreamento entre apps ou sites. Compartilhamos dados apenas com prestadores que nos ajudam a operar o serviço (operadores), na medida do necessário:

• Infraestrutura e hospedagem: provedor de banco de dados, autenticação e armazenamento (ex.: Supabase).
• Pagamentos: processadores de pagamento (ex.: Stripe, Pagar.me).
• Inteligência artificial: provedores de modelos de IA (ex.: OpenAI, Anthropic), sem uso dos dados para treinamento.
• Notificações: serviços de push da Apple (APNs) e do Google (FCM).
• Email e mensageria: provedor de email transacional e, quando habilitado pela academia, WhatsApp (Meta).

Também podemos compartilhar dados para cumprir obrigação legal, ordem judicial ou solicitação de autoridade competente, e em caso de reorganização societária, sempre preservando esta Política.

8. Transferência internacional de dados

Alguns desses prestadores estão localizados fora do Brasil (por exemplo, nos Estados Unidos). Nesses casos, adotamos salvaguardas adequadas para a transferência internacional de dados, conforme exigido pela LGPD.

9. Por quanto tempo guardamos seus dados

Mantemos os dados pessoais apenas pelo tempo necessário para cumprir as finalidades desta Política e as obrigações legais aplicáveis. Em linhas gerais:

• Dados de conta e perfil: enquanto a sua conta estiver ativa.
• Após o pedido de exclusão: a remoção é processada em até 15 dias úteis, salvo obrigação legal de retenção.
• Logs de segurança e auditoria: até 180 dias, para investigação de fraude, abuso e integridade da plataforma.
• Backups: cópias residuais em backups criptografados podem permanecer por até 90 dias antes da expiração automática.
• Registros fiscais, financeiros e contratuais: pelo prazo exigido pela legislação (em regra, até 5 anos para fins fiscais e contábeis).
• Dados sob controladoria da academia: pelo período definido pela academia, respeitada a legislação aplicável.

Encerrados os prazos ou a finalidade — e não havendo base legal para a manutenção — os dados são eliminados de forma segura ou anonimizados. Saiba como solicitar a remoção na nossa página de exclusão de conta.

10. Seus direitos

Como titular dos dados, a LGPD garante a você os seguintes direitos:

• Confirmação da existência de tratamento e acesso aos dados.
• Correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade.
• Portabilidade dos dados a outro fornecedor de serviço.
• Informação sobre as entidades com as quais compartilhamos seus dados.
• Revogação do consentimento e oposição a tratamentos.
• Revisão de decisões tomadas exclusivamente com base em tratamento automatizado.

Para exercer qualquer direito, escreva para privacidade@octagym.ai. Se você é aluno de uma academia, encaminharemos a solicitação ao estabelecimento responsável quando ele for o controlador dos dados. Veja também a página de exclusão de conta.

11. Dados de saúde e Apple HealthKit

Os dados de saúde e atividade física só são coletados com a sua autorização expressa e são usados exclusivamente para funcionalidades do app — como sincronizar treinos, registrar atividades concluídas e exibir a sua evolução. Dados obtidos do Apple Saúde (HealthKit) não são usados para publicidade ou marketing, não são vendidos e não são compartilhados com terceiros para esses fins. Você pode revogar o acesso a qualquer momento nos Ajustes do iOS, em Privacidade e Segurança › Saúde.

12. Crianças e adolescentes

O OctaGym não é destinado ao uso direto por crianças. O tratamento de dados de menores ocorre no melhor interesse do titular, nos termos do art. 14 da LGPD. Academias que cadastram alunos menores de idade são responsáveis por obter o consentimento de pelo menos um dos pais ou do responsável legal.

13. Segurança

Adotamos medidas técnicas e organizacionais para proteger seus dados, incluindo criptografia AES-256 em repouso, TLS 1.3 em trânsito, isolamento por tenant e controle de acesso granular por função. Dados de saúde e biometria recebem proteção reforçada. Nenhum sistema é totalmente imune a riscos, mas trabalhamos continuamente para mitigá-los.

14. Cookies e tecnologias de armazenamento

No site, usamos cookies essenciais (sessão e autenticação) e, quando aplicável, cookies de preferências. No aplicativo, usamos o armazenamento seguro do dispositivo para manter a sua sessão. Não usamos cookies ou identificadores de publicidade.

15. Alterações nesta Política

Podemos atualizar esta Política periodicamente. Quando a mudança for relevante, comunicaremos pelos canais apropriados. A data de "última atualização" no topo desta página indica a versão vigente.

16. Contato e Encarregado (DPO)

Para dúvidas sobre privacidade ou para exercer seus direitos, fale com o nosso canal de privacidade em privacidade@octagym.ai. Você também pode contatar o nosso Encarregado de Proteção de Dados (DPO) em legal@octagym.ai.