Política de Privacidade — Definindo meu shape

1. Identificação do Controlador

O controlador dos dados pessoais tratados nesta plataforma é Rodrigo Bussade, profissional autônomo, inscrito no CREF 057283-G/RJ e CRN 25100017, com sede no estado do Rio de Janeiro, Brasil.

Para exercer seus direitos ou esclarecer dúvidas sobre o tratamento de dados, entre em contato pelo e-mail: rbussade@gmail.com.

Em razão do porte da operação, não há obrigatoriedade legal de indicação de Encarregado (DPO) nos termos do art. 41 da LGPD. Qualquer solicitação de titular será respondida diretamente pelo controlador.

2. Dados que coletamos e por quê

Dado	Finalidade	Base legal (LGPD)
Nome e e-mail	Identificação, login e comunicação	Execução de contrato — art. 7º, V
Peso, altura, % gordura, idade	Montagem do plano de treino e dieta	Consentimento — art. 11, I
Nível de atividade e objetivo	Personalização do plano	Consentimento — art. 11, I
Condições de saúde e lesões	Segurança e adequação do treino	Consentimento — art. 11, I
Preferências e restrições alimentares	Elaboração do plano alimentar	Consentimento — art. 11, I
Registros de uso do app	Acompanhamento de progresso	Execução de contrato — art. 7º, V
Dados de pagamento (token Stripe)	Cobrança da assinatura	Execução de contrato — art. 7º, V
Logs de acesso (IP, data/hora)	Segurança e prevenção a fraudes	Legítimo interesse — art. 7º, IX

Dados de saúde são classificados como dados sensíveis (art. 5º, II, LGPD) e tratados apenas mediante consentimento explícito e específico, coletado no momento do cadastro.

3. Compartilhamento com terceiros

Seus dados não são vendidos ou compartilhados para fins comerciais. Utilizamos apenas:

Supabase, Inc. (banco de dados e autenticação) — servidores nos EUA, com cláusulas contratuais padrão (SCCs) aprovadas pela Comissão Europeia como mecanismo de transferência internacional adequado (art. 33, II, LGPD).
Stripe, Inc. (processamento de pagamentos) — dados de cartão são tratados diretamente pela Stripe em ambiente PCI-DSS certificado. Nossos servidores nunca têm acesso aos dados de cartão completos.
Vercel, Inc. (hospedagem da plataforma) — dados em trânsito criptografados por TLS 1.2+.

Todos os suboperadores acima possuem termos de processamento de dados (DPA) adequados e são obrigados contratualmente a tratar os dados apenas para as finalidades descritas.

4. Transferência internacional de dados

Parte do tratamento ocorre em servidores localizados fora do Brasil (EUA). Adotamos as seguintes salvaguardas:

Cláusulas contratuais padrão com Supabase e Vercel (art. 33, II, LGPD).
Stripe possui certificação PCI-DSS nível 1 e políticas de privacidade compatíveis com LGPD e GDPR.

5. Retenção dos dados

Dados de perfil e saúde: mantidos enquanto a conta estiver ativa. Excluídos em até 15 dias úteis após solicitação.
Dados de faturamento: retidos por 5 anos para cumprimento de obrigação tributária (art. 7º, II, LGPD).
Logs de acesso: retidos por 6 meses, nos termos do Marco Civil da Internet (Lei 12.965/2014, art. 15).

6. Seus direitos como titular (art. 18, LGPD)

Você tem direito a:

Confirmar a existência de tratamento e acessar seus dados.
Corrigir dados incompletos, inexatos ou desatualizados.
Solicitar anonimização, bloqueio ou eliminação de dados desnecessários.
Solicitar a portabilidade dos dados a outro fornecedor de serviço.
Obter informação sobre as entidades com quem compartilhamos seus dados.
Revogar o consentimento a qualquer momento, sem prejuízo da licitude dos tratamentos anteriores.
Opor-se a tratamento baseado em legítimo interesse.

Para exercer seus direitos, envie e-mail para rbussade@gmail.com com o assunto "Direitos LGPD — [seu nome]". Respondemos em até 15 dias úteis.

Caso não obtenha resposta satisfatória, você pode registrar reclamação junto à ANPD (Autoridade Nacional de Proteção de Dados) em gov.br/anpd.

7. Cookies e rastreamento

Esta plataforma utiliza apenas cookies essenciais para autenticação (sessão do usuário). Não utilizamos cookies de rastreamento de terceiros, pixels de remarketing ou ferramentas de analytics neste endereço. Futuras implementações de analytics serão informadas nesta política antes da ativação.

8. Segurança

Comunicação criptografada por HTTPS/TLS 1.2+ em todos os endpoints.
Dados em repouso criptografados pela Supabase (AES-256).
Senhas nunca armazenadas em texto plano — gerenciadas pela Supabase Auth com bcrypt.
Acesso aos dados de saúde restrito ao controlador (Rodrigo Bussade) e ao sistema.
Monitoramento de acesso com logs auditáveis.

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados no prazo de 2 dias úteis após a ciência do incidente, conforme art. 48 da LGPD.

9. Alterações nesta política

Podemos atualizar esta política periodicamente. A data de "Última atualização" no topo indica a versão vigente. Mudanças significativas serão comunicadas por e-mail ao titular com antecedência mínima de 15 dias.

Esta política está em conformidade com a Lei Geral de Proteção de Dados (Lei 13.709/2018), o Marco Civil da Internet (Lei 12.965/2014) e o Código de Defesa do Consumidor (Lei 8.078/1990).