Política de Privacidade

Versão: 1.3 Vigência: a partir da data de publicação registrada no sistema.

Esta Política descreve como o ShapeDesk trata dados pessoais, em conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados — LGPD).

1. Quem trata seus dados

• A Empresa (academia, personal trainer ou nutricionista) que acompanha o aluno atua como controladora dos dados dos seus alunos.
• O ShapeDesk atua como operador, tratando os dados em nome da Empresa, e como controlador quanto aos dados de cadastro e cobrança da própria Empresa.

2. Dados que coletamos

Dados de identificação e contato: nome, e-mail, telefone, CPF, data de nascimento, sexo.

Dados de saúde (sensíveis): peso, percentual de gordura, altura, circunferências corporais, fotos de progresso, objetivo, observações e respostas de questionários/avaliações físicas.

Dados de uso: registros de treino, execuções e histórico de cargas.

Dados de pagamento: processados pelo provedor PagarMe; o ShapeDesk não armazena o número completo do cartão.

Dados técnicos: endereço IP e identificador de navegador, registrados em eventos de segurança e de aceite de termos.

Dados do responsável legal (quando o titular é menor de 18 anos): nome, CPF e grau de parentesco, coletados para viabilizar e comprovar o consentimento exigido pelo art. 14 da LGPD.

3. Para que usamos seus dados (finalidades)

• Prestar o serviço de acompanhamento físico e nutricional.
• Gerar e acompanhar treinos, dietas e avaliações.
• Processar cobranças e gerir a assinatura.
• Cumprir obrigações legais e regulatórias.
• Garantir segurança, prevenir fraudes e auditar acessos.

4. Bases legais

• Execução de contrato (art. 7º, V) — para prestar o serviço contratado.
• Consentimento (art. 7º, I, e art. 11, I) — para o tratamento de dados de saúde, coletado de forma específica e destacada no primeiro acesso. Para titulares menores de 18 anos, o consentimento é dado pelo responsável legal (art. 14) — o Enunciado CD/ANPD nº 1/2023 permite outras bases legais para dados de crianças e adolescentes, mas o ShapeDesk opta pela mais protetiva (consentimento específico do responsável), por ser a que melhor resguarda o melhor interesse do titular.
• Cumprimento de obrigação legal (art. 7º, II) — para retenção fiscal e registros obrigatórios.
• Legítimo interesse (art. 7º, IX) — para segurança e prevenção a fraudes.

5. Compartilhamento

Seus dados podem ser compartilhados com:

• Provedor de pagamentos (PagarMe): para processar cobranças.
• Provedores de infraestrutura/hospedagem: para operar a Plataforma.
• Autoridades: quando exigido por lei ou ordem judicial.

Não vendemos dados pessoais.

6. Segurança

Adotamos medidas técnicas e organizacionais para proteger seus dados, incluindo: criptografia em trânsito (HTTPS/TLS), senhas com hash (bcrypt), isolamento por empresa (multi-tenant), controle de acesso por perfil, registro de eventos de segurança e cabeçalhos de proteção (CSP, HSTS). Detalhes em nossa documentação de segurança interna.

7. Retenção e descarte

Mantemos os dados pelo tempo necessário às finalidades para as quais foram coletados e às obrigações legais aplicáveis. Como referência de prazo por categoria (art. 16 da LGPD):

Categoria de dado	Prazo de retenção
Dados financeiros e fiscais (pagamentos, notas, contratos)	5 anos após o encerramento da relação, conforme prazos de prescrição e obrigações fiscais
Dados de saúde e avaliação física (biometria, fotos, respostas de questionário)	Durante o vínculo ativo com a Empresa; eliminados ou anonimizados em até 12 meses após o encerramento, salvo solicitação de exclusão antecipada pelo titular
Dados de identificação e contato	Enquanto a conta estiver ativa; eliminados ou anonimizados após o encerramento, observado o prazo dos dados financeiros vinculados
Registros de segurança (IP, user-agent, eventos de aceite)	Até 6 meses, para fins de auditoria e prevenção a fraudes

Encerrada a relação e os prazos acima, os dados são eliminados ou anonimizados. O titular pode solicitar a eliminação antecipada a qualquer tempo pelos canais da seção 8 — a Empresa e o ShapeDesk podem reter apenas o mínimo exigido por obrigação legal (ex.: registros fiscais).

8. Seus direitos (art. 18 da LGPD)

Você pode, a qualquer tempo, solicitar:

• Confirmação da existência de tratamento e acesso aos dados.
• Correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários.
• Portabilidade dos dados.
• Eliminação dos dados tratados com base no consentimento.
• Informação sobre compartilhamento.
• Revogação do consentimento, a qualquer momento, de forma gratuita e facilitada (art. 8º, §5º).

Como exercer: dentro do aplicativo/painel, na tela "Meus dados", você pode exportar seus dados ou solicitar a exclusão/anonimização da conta diretamente. Para revogar apenas o consentimento de dados sensíveis sem encerrar a conta, ou para qualquer outra solicitação, use o canal da seção 10. A revogação do consentimento não afeta o tratamento realizado antes dela, e pode implicar a suspensão do acompanhamento físico/nutricional, já que ele depende desse dado.

9. Cookies

A Plataforma utiliza armazenamento local do navegador estritamente necessário para autenticação e funcionamento (ex.: token de sessão). Não utilizamos cookies de rastreamento publicitário de terceiros.

10. Encarregado (DPO) e contato

O ShapeDesk é um agente de tratamento de pequeno porte. Nos termos da Resolução CD/ANPD nº 2/2022 (art. 41, §2º, I, da LGPD), empresas de pequeno porte estão dispensadas de nomear formalmente um Encarregado (DPO), desde que disponibilizem um canal de comunicação eficiente com o titular de dados.

Esse canal é: suporte@shapedesk.com.br.

11. Comunicação de incidente de segurança (art. 48)

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, o ShapeDesk comunicará a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados em prazo razoável, observando o parâmetro de até 3 (três) dias úteis previsto pela ANPD (podendo chegar a 6 dias úteis para agentes de tratamento de pequeno porte). A comunicação informará, no mínimo: a natureza dos dados afetados, os titulares envolvidos, as medidas técnicas de segurança já adotadas e os riscos relacionados ao incidente.

12. Alterações

Esta Política pode ser atualizada. Mudanças materiais geram nova versão e exigem novo aceite.