Política de Privacidade

Controlador dos Dados

O controlador dos dados pessoais que a Plataforma coleta para o seu funcionamento é a DUAL LABS SAS, sociedade constituída na República Oriental do Uruguai, RUT 221074290016, com sede em Bv. Gral. Artigas 2260, apto. 507, CP 11600, Montevidéu, Uruguai, que opera o ATHRIX. Contato para dúvidas e exercício de direitos: privacidad@athrix.fit.

Quando uma Organização (academia, treinador, profissional) usa o ATHRIX para gerenciar seus atletas, essa Organização atua como controladora em relação aos dados que gera sobre eles (rotinas atribuídas, avaliações, notas, comunicações, eventos), e o ATHRIX atua como operador dessas informações (art. 4, alínea T, Lei nº 18.331). O alcance desse esquema é desenvolvido na seção 6.

Esta política é regida pela Lei nº 18.331 de Proteção de Dados Pessoais e Ação de Habeas Data da República Oriental do Uruguai e pela regulamentação complementar. A autoridade de aplicação é a Unidad Reguladora y de Control de Datos Personales (URCDP), o órgão regulador e de controle de dados pessoais do Uruguai.

1. Informações que Coletamos

1.1 Dados de Atletas

Quando um Atleta usa o ATHRIX, coletamos:

• Dados da conta: nome, e-mail, senha (armazenada com hash, não recuperável).
• Dados de autenticação social: se você entrar com Google ou Apple, recebemos desses provedores o e-mail, o nome e a foto de perfil.
• Dados de perfil: data de nascimento, gênero, foto de perfil, país.
• Dados físicos: peso, altura, peso-alvo, experiência de treino, dias preferidos.
• Dados de saúde (sensíveis): lesões, limitações, medicamentos, condições médicas, estado de saúde autodeclarado.
• Dados do app Saúde da Apple / HealthKit (sensíveis, somente iOS): se você ativar a integração, lemos do app Saúde as métricas dos treinos que você registrou no seu iPhone ou Apple Watch — duração, calorias ativas e frequência cardíaca — para completá-los automaticamente no ATHRIX, e — se você ativar a sincronização no seu perfil — salvamos no app Saúde os treinos que você conclui no app. É opcional e você pode revogá-la quando quiser (veja a seção 3.1).
• Dados de treino: rotinas, exercícios, séries executadas, RPE (esforço percebido), progresso, objetivos esportivos.
• Conteúdo gerado por você: notas, posts do feed da comunidade, reações, mensagens com seu coach.
• Conversas com o assistente de IA: mensagens enviadas e respostas recebidas, junto com as análises semanais que o sistema gerar automaticamente.
• Dados técnicos automáticos: endereço IP, user-agent do navegador ou do app, versão do app, data/hora de login.
• Tokens de dispositivo: identificadores anônimos do seu dispositivo Android/iOS para enviar notificações push a você.

1.2 Dados de Organizações e de sua equipe

Quando uma Organização (academia, treinador, profissional) usa o ATHRIX para gerenciar atletas, coletamos:

• Dados institucionais: razão social ou nome comercial, RUT ou identificação fiscal equivalente, endereço, dados de contato comercial (e-mail, telefone), ramo de atividade e logotipo.
• Dados da equipe: nome, e-mail, senha (com hash), função atribuída dentro da Organização (coach, administrador, assistente), foto de perfil e, quando a atividade exigir, credenciais ou diplomas profissionais.
• Dados operacionais: rotinas e modelos criados, exercícios carregados, avaliações físicas, calendários, notas sobre atletas (privadas ou compartilhadas), eventos publicados e comunicações com atletas vinculados.
• Dados de faturamento: quando aplicável, informações para a emissão de documentos fiscais pelos planos contratados.
• Dados técnicos automáticos: endereço IP, user-agent, data/hora de login da equipe.
• Dados de uso e analytics: páginas e seções do painel que você visita, ações que realiza (por exemplo, criar uma rotina ou convidar um atleta), eventos de interação, características do dispositivo e do navegador e identificadores de analytics armazenados no seu navegador. Coletamos esses dados por meio de uma ferramenta de analytics de produto (PostHog), associados à sua conta, para entender como o painel é usado e melhorá-lo (veja a seção 7).
• Dados de publicidade e mensuração: usamos o Pixel da Meta e identificadores associados (_fbp, _fbc) e, quando você se cadastra ou convida um atleta, compartilhamos com a Meta um evento de conversão que inclui esses identificadores, seu e-mail em forma de hash (não reversível) e dados técnicos (IP, user-agent), para medir e otimizar nossas campanhas publicitárias. Nunca compartilhamos seu e-mail em texto simples. A publicidade fica ativa por padrão fora da UE/EEE/Reino Unido e você pode desativá-la quando quiser; dentro dessas regiões, só a ativamos se você der seu consentimento. Se ela estiver desativada, não instalamos o pixel nem enviamos esses dados (veja as seções 7 e 12).

2. Como Usamos suas Informações

2.1 Usos dos dados de Atletas

• Prestar o serviço a você: mostrar rotinas, registrar o progresso, conectar você ao seu coach ou organização.
• Personalizar as respostas do assistente de IA com o seu contexto.
• Gerar análises semanais automáticas do seu treino.
• Enviar a você notificações push de treinos atribuídos, mensagens e eventos.
• Enviar a você e-mails operacionais (verificação de conta, recuperação de senha, confirmações).
• Detectar, prevenir e investigar fraudes, abusos ou usos contrários aos nossos Termos.
• Cumprir obrigações legais, fiscais e regulatórias.
• Melhorar a Plataforma e desenvolver novas funcionalidades, sempre com dados agregados ou anonimizados quando possível.
• Publicar seu nome e sua foto de perfil na página pública do seu coach, somente se você nos tiver dado essa permissão explícita pelo app.

2.2 Usos dos dados de Organizações e de sua equipe

• Fornecer acesso ao painel de gestão web e às ferramentas para criar rotinas, avaliações, conteúdo e eventos.
• Permitir o vínculo e a comunicação com os atletas que se juntam à Organização.
• Emitir comprovantes e gerenciar o faturamento dos planos contratados, quando aplicável.
• Enviar e-mails operacionais e notificações sobre a conta institucional, mudanças relevantes na Plataforma e suporte.
• Oferecer suporte técnico e comercial.
• Detectar, prevenir e investigar fraudes, abusos ou usos contrários aos nossos Termos.
• Cumprir obrigações legais, fiscais e regulatórias.
• Medir e analisar o uso do painel por meio de uma ferramenta de analytics de produto (PostHog) para entender o comportamento de uso, detectar erros e priorizar melhorias. Parte desse analytics é associada à sua conta e o restante é tratado de forma agregada.
• Publicidade e mensuração: medir a eficácia das nossas campanhas publicitárias e otimizá-las, compartilhando eventos de conversão com a Meta (Facebook e Instagram) por meio do seu Pixel e da sua Conversions API. Fica ativa por padrão fora da UE/EEE/Reino Unido e exige seu consentimento dentro dessas regiões; você pode ativá-la ou desativá-la a qualquer momento no banner de cookies (veja as seções 7 e 12).

Não exibimos publicidade de terceiros dentro da Plataforma nem vendemos seus dados pessoais. O único uso publicitário que fazemos é medir e otimizar nossas próprias campanhas; você pode desativá-las quando quiser e, onde a lei exige (UE/EEE/Reino Unido), elas só acontecem se você der seu consentimento. As comunicações de marketing por e-mail têm seu próprio consentimento e opção de cancelamento da inscrição.

3. Dados de Saúde — Proteção Especial

A Lei nº 18.331 qualifica os dados de saúde como dados sensíveis (art. 4, alínea E). Por isso, eles recebem tratamento reforçado:

• Só os coletamos com o seu consentimento expresso, livre e informado, dado por escrito ou por meio equivalente durante o onboarding (arts. 9 e 18, Lei nº 18.331).
• Fornecê-los é voluntário. Se você não os compartilhar, pode usar a Plataforma com funcionalidade limitada.
• Só você e os profissionais que você autorizar explicitamente podem acessá-los.
• Não os compartilhamos com terceiros para fins comerciais, nem com seguradoras, nem para discriminação de qualquer tipo.
• Você pode revogar o consentimento e solicitar a exclusão deles a qualquer momento escrevendo para privacidad@athrix.fit.

3.1 Integração com o app Saúde da Apple (HealthKit) — somente iOS

Em dispositivos Apple, o ATHRIX pode se integrar ao app Saúde da Apple (HealthKit) somente se você ativar a integração e conceder a permissão do sistema operacional. A integração é opcional e você pode revogá-la a qualquer momento em Ajustes → Saúde → Acesso a Dados e Dispositivos, no seu iPhone.

• O que lemos: somente as métricas dos seus treinos — duração, calorias ativas e frequência cardíaca (mínima, média e máxima). Não acessamos nenhum outro dado do app Saúde.
• O que gravamos: somente se você ativar a sincronização com o app Saúde no seu perfil, salvamos automaticamente cada treino que você conclui — sua duração e as calorias — como uma sessão de atividade. Não modificamos nem excluímos nenhum outro dado do app Saúde.
• Para que usamos: para oferecer a você a opção de completar com esses dados os treinos que você registra no ATHRIX, se assim escolher, evitando digitá-los manualmente, e para que seus treinos do ATHRIX fiquem registrados no app Saúde junto com o resto da sua atividade física.
• Onde ficam armazenados: essas métricas são armazenadas no nosso banco de dados, associadas ao treino correspondente. Se você estiver vinculado a uma Organização, elas fazem parte do seu desempenho e ficam visíveis para o seu coach (veja a seção 5); ao ativar a integração, você dá seu consentimento para esse uso.

Nunca usamos os dados obtidos do app Saúde da Apple para publicidade, marketing ou criação de perfis comerciais, nem os combinamos com dados de terceiros para esses fins, nem os cedemos a terceiros, exceto à sua Organização para prestar o serviço de treinamento a você. Esse tratamento segue as exigências da seção 5.1.3 das Diretrizes de Revisão da App Store da Apple, além do tratamento reforçado de dados sensíveis descrito nesta seção.

4. Assistente de IA — Processamento Externo

As conversas com o assistente de IA são processadas pelo AI Gateway da Vercel (com sede nos Estados Unidos), que as encaminha ao provedor que executa cada modelo: Microsoft Azure ou Google Cloud (Vertex AI), também nos Estados Unidos. Os modelos são da OpenAI e do Google, mas quem os executa — e, portanto, quem recebe suas mensagens — são essas duas empresas. Para personalizar as respostas, enviamos contexto sobre seu perfil, objetivos, treino e, quando for relevante para a consulta, dados de saúde.

Todos eles atuam como operadores: tratam esses dados exclusivamente para responder à sua consulta e seguindo nossas instruções. Cada solicitação que enviamos exige duas condições do provedor que a recebe: que não use seus dados para treinar seus modelos e que não os conserve depois de respondida a consulta. Se nenhum provedor disponível cumprir as duas condições, a solicitação falha em vez de ser enviada mesmo assim.

As conversas são armazenadas em nossos servidores para que você possa retomá-las; você pode apagá-las a qualquer momento pelo app.

5. Compartilhamento de Dados com seu Coach ou Organização

Se você se juntar a uma academia, treinador ou organização, ela poderá acessar:

• Seu nome, foto de perfil e dados básicos.
• Seus objetivos e seu progresso de treino.
• Suas avaliações, métricas físicas e desempenho nas rotinas atribuídas.
• As notas que seu coach escrever sobre você (algumas podem ser privadas para o coach e outras visíveis para você).
• As mensagens que você trocar com a organização no Mensagens, se a organização tiver o recurso ativado: elas são lidas e respondidas por qualquer membro da equipe que tenha acesso ao seu perfil, e cada resposta mostra quem a escreveu. Se você deixar de treinar com a organização, a equipe pode continuar lendo a conversa, sem poder respondê-la, por até 180 dias.

O conteúdo das suas mensagens não é usado para analytics nem fica em nossos registros técnicos. Enviar uma mensagem não depende do seu consentimento para dados de saúde: é uma comunicação que você escolhe enviar, mesmo que fale de uma lesão ou de como está se sentindo.

Seu coach NÃO tem acesso, por padrão, às suas conversas com o assistente de IA, nem aos seus dados de saúde sensíveis, nem aos seus dados de nutrição pessoal, a menos que você autorize explicitamente.

Quando você está vinculado a uma Organização, essa Organização é controladora conjunta dos dados de treino que atribui a você e das notas que seus profissionais geram sobre você. Você pode revogar o vínculo a qualquer momento pelo app.

Seu nome e sua foto de perfil podem aparecer na página pública do seu coach somente se você nos tiver dado essa permissão explícita em Privacidade, no app. Isso vem desativado por padrão: se você nunca respondeu, você não aparece. Nunca publicamos mais nada sobre você — nem suas marcas, nem seus objetivos, nem seus dados de saúde — e nenhum novo destinatário entra em jogo: essa página é publicada por nós. Você pode retirar a permissão quando quiser com um toque, e deixa de aparecer na hora.

6. Papel das Organizações como Controladoras

Quando uma Organização usa o ATHRIX para gerenciar seus atletas, essa Organização atua como controladora dos dados que ela gera sobre os atletas sob sua responsabilidade: rotinas atribuídas, avaliações físicas, notas, eventos, mensagens e demais conteúdos carregados a partir da sua conta. O ATHRIX atua, em relação a essas informações, como operador (art. 4, alínea T, Lei nº 18.331), tratando-as segundo as instruções da Organização e exclusivamente para prestar o serviço.

Existe responsabilidade conjunta sobre os dados cujo tratamento é definido de forma compartilhada entre o ATHRIX e a Organização (por exemplo, a configuração do vínculo Atleta-Coach ou a habilitação de funcionalidades dentro da Plataforma).

As Organizações que usam o ATHRIX se comprometem a:

• Informar seus atletas sobre qualquer uso adicional que façam dos seus dados fora da Plataforma e obter a base legal correspondente conforme a Lei nº 18.331.
• Tratar os dados sensíveis de saúde somente com o consentimento expresso do atleta e limitar o acesso a eles ao pessoal estritamente necessário.
• Atender aos direitos ARCO (acesso, retificação, cancelamento e oposição) que seus atletas exercerem em relação aos dados que a Organização gerou, dentro dos prazos legais.
• Guardar as credenciais de acesso da sua equipe, desativar oportunamente o pessoal que deixa a Organização e informar o ATHRIX sobre qualquer incidente de segurança que detectar.
• Manter vigentes as credenciais ou os diplomas profissionais quando a atividade que realiza por meio da Plataforma exigir.
• Não usar os dados dos atletas para fins alheios ao serviço que lhes presta nem cedê-los a terceiros sem consentimento.

O ATHRIX, por sua vez, se compromete a tratar esses dados segundo as instruções da Organização, aplicar medidas de segurança adequadas e notificar incidentes que afetem as informações tratadas.

7. Terceiros com quem Compartilhamos Dados

Para prestar o serviço, contratamos provedores que atuam como operadores sob acordos contratuais, exceto os provedores de pagamento, que atuam como controladores independentes, conforme indicamos em cada caso. Não vendemos nem cedemos seus dados para fins alheios ao serviço.

• Vercel — AI Gateway (EUA): por aqui passam as consultas que a Plataforma faz a modelos de IA, entre elas todas as mensagens do assistente, a caminho do provedor que as responde.
• Microsoft Azure e Google Cloud — Vertex AI (EUA): executam os modelos que geram as respostas do assistente. Recebem suas mensagens, seu perfil e contexto, sem usá-los para treinar nem conservá-los depois de respondida a consulta (seção 4).
• TypeSafe AI (EUA): provedor de modelos de IA. A Plataforma o acessa pelo mesmo AI Gateway que os demais, com as mesmas condições de não treinamento e não conservação, e por meio da Cloudflare. Não recebe seu nome, seu e-mail nem seus dados de treino ou de saúde.
• Cloudflare (EUA / global): hospedagem da API, banco de dados, armazenamento de imagens e entrega de conteúdo (CDN). Todos os dados em repouso ficam na sua infraestrutura, incluindo os do nosso CRM de clientes.
• Google — Firebase Cloud Messaging (EUA): entrega de notificações push no seu dispositivo.
• Resend (EUA / UE): envio de e-mails operacionais (verificação, recuperação de senha, avisos). Entre esses avisos está o que a equipe do seu treinador recebe com o nome dos atletas que fazem aniversário naquele dia, se o seu aniversário estiver visível.
• PostHog (UE): plataforma de analytics de produto. Mede o uso do painel de gestão web e do site público (páginas visitadas, ações, eventos de interação e dados técnicos do dispositivo e do navegador) para nos ajudar a melhorar o serviço. Os dados são hospedados e processados na sua infraestrutura da União Europeia. As solicitações passam por um subdomínio próprio do ATHRIX antes de chegar ao PostHog. Não usamos essas informações para fins publicitários.
• Sentry (UE): plataforma de monitoramento de erros e desempenho. Recebe os relatórios de falhas do app móvel, do site público, do painel de gestão e da API para que possamos diagnosticá-las e corrigi-las. Não é uma ferramenta de analytics e não recebe eventos de uso: o que cada relatório contém está detalhado na seção 13. Os dados são hospedados e processados na sua infraestrutura da União Europeia e conservados por no máximo 90 dias.
• Meta Platforms (EUA / Irlanda): cookies de publicidade, ativos por padrão fora da UE/EEE/Reino Unido e sujeitos ao seu consentimento dentro dessas regiões. Usamos o Pixel da Meta e a sua Conversions API para medir e otimizar nossas campanhas no Facebook e no Instagram. Compartilhamos com ela eventos de conversão (por exemplo, um cadastro ou o convite a um atleta) com identificadores de navegação ({{fbpCookie}}, {{fbcCookie}}), seu e-mail em hash e dados técnicos (IP, user-agent). Não enviamos a ela seu e-mail em texto simples nem seus dados de saúde, de treino ou de conversas com a IA. Se você desativar, nada disso é ativado.
• Google Sign-In / Apple Sign-In: autenticação social quando você escolhe essa opção de login.
• Lemon Squeezy (EUA): processa a cobrança dos planos ATHRIX que as Organizações contratam e atua como merchant of record: é quem emite a cobrança e a fatura. Recebe o e-mail, o nome, os dados de faturamento e os dados do cartão de quem paga pela Organização; o ATHRIX nunca vê nem armazena o número do cartão. Atua como controlador independente desses dados, sob sua própria política de privacidade. Por isso, a cobrança aparece na sua fatura em nome de Lemon Squeezy (LEMSQZY), e não do ATHRIX.
• Mercado Pago (Argentina / Uruguai): quando uma Organização cobra seus atletas por meio do ATHRIX, o pagamento é processado na conta do Mercado Pago dessa Organização, não em uma conta do ATHRIX. O Mercado Pago recebe o e-mail do atleta que paga e os dados da assinatura (plano, valor, frequência). Atua como controlador independente desses dados, sob sua própria política de privacidade. O ATHRIX só guarda o status da assinatura para refleti-lo na plataforma.
• Autoridades públicas: quando uma ordem judicial ou exigência legal válida assim exigir.

8. Transferência Internacional de Dados

Vários dos nossos provedores tratam dados nos Estados Unidos ou em outros países que a URCDP não declarou como tendo nível adequado de proteção (Resolução 23/2021). A Lei nº 18.331 (art. 23) proíbe a transferência para esses países, salvo exceções, entre elas o consentimento expresso do titular e a assinatura de cláusulas contratuais adequadas conforme a Resolução 41/021 da URCDP.

Ao aceitar esta política, você dá consentimento expresso para a transferência internacional dos seus dados pessoais, incluindo os dados sensíveis quando forem estritamente necessários para o serviço. Hoje não temos cláusulas contratuais assinadas com esses provedores: cada um trata seus dados sob seus próprios termos de serviço e de tratamento de dados, e sob as restrições que enviamos em cada solicitação (por exemplo, as consultas à IA exigem que o provedor não use seus dados para treinar seus modelos nem os conserve depois de respondida a consulta; veja a seção 4).

9. Armazenamento, Segurança e Retenção

Seus dados são armazenados em servidores com criptografia em trânsito (TLS) e em repouso. As senhas são guardadas com hash criptográfico irreversível. Aplicamos controles de acesso e registramos eventos de segurança.

Prazos de retenção orientativos:

• Conta ativa: enquanto você a mantiver aberta.
• Após o encerramento da conta: até 30 dias para permitir a reativação, e até 90 dias adicionais em cópias de segurança antes da exclusão definitiva.
• Logs de sessão (IP, user-agent): até 12 meses.
• Registros técnicos de cada solicitação aos nossos servidores (identificador da conta e da organização, sem IP nem e-mail): até 7 dias.
• Métricas técnicas de uso do serviço por organização (sem dados que identifiquem uma pessoa): até 90 dias.
• Relatórios de erros e desempenho (seção 13): até 90 dias.
• Identificadores de publicidade da Meta (_fbp, _fbc) que guardamos para medir campanhas: até 90 dias (a janela de atribuição da Meta), após o que são excluídos automaticamente.
• Conversas com a IA: até que você as apague ou até o encerramento da sua conta.
• Mensagens com uma organização: até 180 dias depois que você deixar de treinar com ela, ou até o encerramento da sua conta, se ocorrer antes.
• Dados contábeis: o prazo exigido pela legislação tributária e comercial uruguaia aplicável.
• Dados exigidos por ordem judicial: pelo prazo que essa ordem indicar.

Diante de um incidente de segurança que afete seus dados, avisaremos você sem demora injustificada e informaremos a URCDP quando aplicável.

10. Seus Direitos (ARCO)

Respondemos a toda solicitação em um prazo máximo de 5 dias úteis a partir do recebimento, não importa em que país você esteja. É o prazo fixado pelos arts. 14 e 15 da Lei nº 18.331, e ele se aplica a todos os nossos usuários porque a DUAL LABS SAS, a controladora, está estabelecida no Uruguai. É um prazo único para todos os direitos desta seção, incluindo a exportação dos seus dados.

Conforme a Lei nº 18.331, você tem direito a:

• Acesso: saber quais dados seus tratamos, suas finalidades e os terceiros com quem os compartilhamos (art. 14).
• Retificação, Atualização, Inclusão ou Supressão: corrigir dados inexatos ou pedir sua exclusão (art. 15). Esse procedimento é gratuito.
• Oposição: opor-se a tratamentos específicos quando for legalmente cabível.
• Portabilidade: exportar seus dados em um formato estruturado, incluindo suas conversas completas do Mensagens: suas mensagens e as respostas da equipe da organização. Montamos a cópia e a enviamos por e-mail para o endereço da sua conta, dentro dos mesmos 5 dias úteis.
• Revogar consentimentos: incluindo o vínculo com seu coach ou organização, a qualquer momento.

Quando o direito que você exerce recai sobre dados gerados por uma Organização à qual você está vinculado (por exemplo, notas do seu coach, avaliações ou rotinas atribuídas), o ATHRIX coordenará sua solicitação com essa Organização, que é a controladora dessas informações e deve respondê-la nos prazos legais. Em todos os casos, você pode entrar em contato conosco para receber ajuda no exercício do direito.

Se você estiver na União Europeia, no Espaço Econômico Europeu ou no Reino Unido, o RGPD também reconhece a você os direitos dos seus arts. 15 a 22: acesso, retificação, apagamento, limitação do tratamento, portabilidade e oposição. Respondemos a eles no mesmo prazo de 5 dias úteis, que é mais curto do que o mês que o art. 12.3 do RGPD fixa como máximo. Não usamos a prorrogação que esse artigo permite.

Para exercer esses direitos, escreva para privacidad@athrix.fit a partir do e-mail associado à sua conta, comprovando sua identidade. Se você não receber resposta no prazo legal ou considerar que seus direitos foram violados, pode ajuizar a ação de habeas data e denunciar a situação à Unidad Reguladora y de Control de Datos Personales (URCDP) (gub.uy/unidad-reguladora-control-datos-personales), autoridade de aplicação da Lei nº 18.331.

11. Menores de Idade

O ATHRIX é destinado exclusivamente a pessoas maiores de 18 anos. Não coletamos intencionalmente dados pessoais de menores. Se detectarmos a conta de um menor, vamos suspendê-la e excluir os dados associados. Se você é pai, mãe ou responsável legal e acredita que um menor sob sua responsabilidade nos forneceu dados, entre em contato pelo privacidad@athrix.fit.

12. Cookies e Tecnologias Semelhantes

No site público (athrix.fit) e no painel de gestão web (app.athrix.fit) usamos cookies e armazenamento local de três categorias: essenciais, necessários para que o site funcione; de analytics, para entender como o site é usado e melhorá-lo; e de publicidade, para medir a eficácia das nossas campanhas.

Quanto ao analytics: no site público, medimos por padrão de forma anônima e sem cookies (base legal: interesse legítimo) e só instalamos cookies de analytics se você aceitar; no painel de gestão, o analytics fica desativado por padrão e só é ativado com o seu consentimento, exceto na tela de cadastro acessada a partir de um anúncio, onde medimos de forma anônima e sem cookies, assim como no site público. Quanto à publicidade: fora da UE/EEE/Reino Unido, ela fica ativa por padrão e você pode desativá-la quando quiser; dentro dessas regiões, só é ativada se você der seu consentimento explícito. Isso vale para os dois sites.

Na primeira vez que você entra, mostramos um banner para que você aceite, recuse ou configure os cookies não essenciais, com controles independentes para analytics e para publicidade. Se você recusar, desativamos o analytics e a publicidade por completo, sem nenhuma mensuração, nem mesmo anônima. Guardamos sua decisão (com sua versão e data) por 6 meses; passado esse prazo, perguntamos de novo.

12.1 Cookies e armazenamento essenciais

Necessários para prestar o serviço que você solicitou. Não exigem consentimento e não podem ser desativados.

12.2 Analytics

Usamos o PostHog para entender como o site e o painel são navegados e, assim, melhorá-los. Os detalhes desse provedor estão na seção 7.

Sua decisão sobre o analytics também define o nível enriquecido do monitoramento de erros: se você recusá-lo, dos relatórios de falhas fica apenas o mínimo e anônimo descrito na seção 13.

Analytics anônimo sem cookies (site público e tela de cadastro a partir de um anúncio). Por padrão, medimos de forma agregada e anônima, sem instalar cookies nem armazenar nenhum identificador no seu dispositivo. Não exige consentimento; você pode desativá-lo recusando o analytics no banner ou em "Preferências de cookies".

Cookies de analytics (exigem seu consentimento). Só são carregados se você aceitar o analytics no banner ou no painel de preferências, e permitem reconhecer seu navegador entre sessões para uma mensuração mais precisa:

12.3 Publicidade e mensuração de campanhas

Ativos por padrão fora da UE/EEE/Reino Unido; dentro dessas regiões, exigem seu consentimento prévio. Você pode desativá-los quando quiser no banner ou no painel de preferências. Usamos o Pixel da Meta (Facebook e Instagram) para medir a eficácia das nossas campanhas: reconhecer que você chegou a partir de um anúncio e registrar conversões (por exemplo, um cadastro ou o convite a um atleta). Complementamos essa mensuração no lado do servidor com a Conversions API da Meta, para a qual enviamos o evento com esses mesmos identificadores, seu e-mail em hash e dados técnicos (IP, user-agent) — os detalhes do provedor estão na seção 7. Se você desativá-los, não instalamos o pixel nem enviamos nenhum evento à Meta.

Se você chegar pela página de um afiliado do ATHRIX (athrix.fit/by/…), também guardamos em um cookie próprio de qual afiliado você veio e quando, para aplicar o benefício dele se você criar sua conta ou entrar com a sua em até 7 dias. Se você desativar esses cookies, não o guardamos, ou o apagamos se já existia, e o benefício é aplicado do mesmo jeito se você seguir os botões dessa página.

12.4 Como retirar ou alterar seu consentimento

Você pode mudar sua decisão quando quiser — retirar o consentimento é tão fácil quanto dá-lo:

• Clique em "Preferências de cookies" no rodapé (tanto no site quanto no painel de gestão) para reabrir o painel e ativar ou desativar o analytics e a publicidade de forma independente.
• Você também pode bloquear ou excluir os cookies nas configurações do seu navegador; se bloquear os essenciais, algumas funções do site podem deixar de funcionar corretamente.

No app móvel não usamos cookies; os tokens de sessão são guardados de forma criptografada no armazenamento seguro do sistema operacional (Keychain no iOS, EncryptedSharedPreferences no Android).

13. Monitoramento de Erros e Desempenho

Para detectar e corrigir falhas, usamos uma ferramenta de monitoramento de erros e desempenho, o Sentry. É uma atividade diferente do analytics de produto: não a usamos para medir como você navega nem a combinamos com os dados de analytics. Ela serve exclusivamente para saber o que quebrou e poder consertar.

Relatórios de falhas (base legal: interesse legítimo). Quando o app ou o site fecham inesperadamente, enviamos um relatório mínimo e anônimo, independentemente da sua decisão sobre o analytics: o tipo de erro e seu rastreamento técnico, a versão do ATHRIX, o sistema operacional e o modelo do dispositivo ou o navegador. Ele não inclui seu nome, seu e-mail nem nenhum identificador da sua conta. A base legal é o nosso interesse legítimo em manter o serviço íntegro e seguro: um app que fecha ao ser aberto nem chegaria a perguntar a você.

Com a mesma base legal e o mesmo conteúdo mínimo, enviamos as falhas técnicas dos nossos servidores: uma consulta ao banco de dados que não foi concluída, uma cobrança que não pôde ser sincronizada, uma mensagem que não chegou a ser salva. Nós as enviamos mesmo que a falha não tenha fechado nada e mesmo que você não a tenha notado, porque são elas que quebram o serviço em silêncio. O relatório descreve o que quebrou na nossa infraestrutura, não quem a estava usando: ele não leva o identificador da sua conta, nem seus dados, nem o que você estava fazendo.

Diagnóstico enriquecido (exige seu consentimento). Somente se você aceitou o analytics — no banner de cookies, em "Preferências de cookies" ou na tela de consentimento do app móvel — acrescentamos ao relatório o identificador da sua conta, para reconhecer se uma falha afeta você em particular; os passos anteriores ao erro (telas abertas e ações realizadas); os erros não fatais do app e do site, que não os fecham mas quebram uma função; e rastreamentos de desempenho, como quanto tempo uma tela ou uma consulta demora para responder. Se você retirar esse consentimento, deixamos de enviar tudo isso e volta a ficar apenas o relatório mínimo e anônimo.

O que não coletamos. Não gravamos sua sessão (não usamos session replay), não fazemos capturas de tela, não registramos a estrutura das telas que você vê, não guardamos nenhum identificador permanente da sua instalação e não armazenamos seu endereço IP: o armazenamento de IP está desativado no lado do provedor para todos os nossos projetos.

O Sentry atua como operador sob um acordo de tratamento de dados. Os relatórios são hospedados e processados na sua região da União Europeia — para todas as pessoas usuárias, não só para as da UE — e conservados por no máximo 90 dias, após o que são excluídos.

14. Alterações nesta Política

Podemos atualizar esta política para refletir mudanças no serviço ou na regulamentação. Avisaremos você sobre mudanças significativas com pelo menos 15 dias de antecedência por e-mail ou por meio de um aviso visível dentro da Plataforma. A data da última atualização aparece no início do documento.

15. Contato

Para dúvidas sobre privacidade, exercício dos direitos ARCO ou qualquer preocupação sobre o tratamento dos seus dados, escreva para privacidad@athrix.fit.