Política de Privacidade

1. Quem decide sobre o tratamento

Para dados de alunos, responsáveis, funcionários e demais pessoas inseridas pela academia, a academia contratante normalmente atua como controladora, pois define as finalidades e os meios essenciais do tratamento. O FFAL normalmente atua como operador, tratando esses dados conforme as instruções documentadas da academia e o contrato.

O FFAL atua como controlador quando define finalidades próprias, por exemplo no tratamento de contatos comerciais, usuários administrativos, faturamento da licença, segurança, prevenção a fraudes e registros necessários à defesa de direitos. A qualificação depende da operação concreta, e não apenas do nome atribuído no contrato.

2. Dados que podem ser tratados

• Identificação e contato, como nome, e-mail, telefone, CPF e endereço.
• Dados de conta, perfil, função, permissões e autenticação.
• Dados da relação com a academia, como plano, contrato, frequência, check-ins, ficha de treino, avaliações e observações autorizadas.
• Dados financeiros, como cobranças, faturas, pagamentos, inadimplência e registros de caixa. O FFAL não deve armazenar CVV.
• Dados biométricos relacionados ao reconhecimento facial, incluindo imagem capturada, representação matemática facial (embedding) e resultado da validação.
• Dados técnicos e de segurança, como endereço IP, dispositivo, logs de acesso, auditoria, falhas e eventos de catraca.
• Dados enviados em solicitações comerciais, suporte e comunicações.
• Dados utilizados na geração de treinos, como objetivo, nível, frequência, duração, preferências, restrições declaradas e exercícios disponíveis. Restrições podem revelar dados de saúde quando o usuário inclui lesões, diagnósticos ou limitações clínicas.

3. Finalidades e bases legais

Os dados podem ser tratados para prestar o serviço, executar contratos, gerenciar usuários e permissões, realizar cobranças, controlar o acesso físico, oferecer suporte, manter a segurança, prevenir fraudes, cumprir obrigações legais e exercer direitos em processos. Conforme o contexto, o tratamento pode se apoiar em execução de contrato, obrigação legal ou regulatória, exercício regular de direitos, legítimo interesse ou consentimento.

Dados biométricos são dados pessoais sensíveis. A academia controladora deve definir e documentar a hipótese legal aplicável prevista no artigo 11 da LGPD, informar os titulares e oferecer alternativa adequada quando exigida pelo contexto. O FFAL não usa biometria para publicidade ou para finalidade incompatível com controle de acesso, segurança e recursos expressamente contratados.

4. Reconhecimento facial e proteção biométrica

O reconhecimento facial compara uma representação matemática da face cadastrada com a captura apresentada no momento do acesso. Esse processo pode envolver modelos de inteligência artificial, mas não autoriza decisões para finalidades diferentes das informadas pela academia.

O FFAL adota acesso restrito por perfil, trilhas de auditoria, limitação de requisições, redação de informações sensíveis em logs e criptografia dos embeddings em repouso quando a configuração obrigatória de produção está habilitada. A academia deve limitar usuários autorizados e revisar periodicamente suas permissões.

5. Inteligência artificial aplicada aos treinos

Quando a academia habilita a geração de treinos com inteligência artificial, o FFAL envia ao provedor configurado apenas os dados necessários para produzir a sugestão, incluindo objetivo, nível, frequência, duração, preferências, restrições declaradas e uma seleção do catálogo de exercícios. A sugestão não é ativada automaticamente. A decisão final sobre prescrição, aprovação e adaptação do treino cabe ao educador físico legalmente habilitado.

A academia escolhe e contrata o provedor, cadastra sua própria chave de API e deve avaliar os termos, configurações de retenção, localização do tratamento e demais condições desse fornecedor. A chave é armazenada de forma criptografada e não é exibida novamente pela plataforma.

Usuários não devem inserir diagnósticos, prontuários ou detalhes médicos desnecessários. Quando uma restrição puder revelar dado pessoal sensível, a academia controladora deve assegurar necessidade, minimização, transparência, hipótese legal adequada e acesso restrito. O recurso não realiza diagnóstico, tratamento ou decisão médica e não deve ser usado como substituto da avaliação humana qualificada.

6. Compartilhamento, fornecedores e integrações

Dados podem ser compartilhados, no limite necessário, com fornecedores de infraestrutura, armazenamento, e-mail, mensageria, suporte e segurança, além de integrações habilitadas pela academia, como provedores de inteligência artificial, WhatsApp, Gympass e equipamentos de controle de acesso.

Fornecedores que tratam dados em nome do FFAL ou da academia devem receber instruções compatíveis, assumir deveres de confidencialidade e segurança e não utilizar os dados para finalidades próprias não autorizadas. A contratação de suboperadores e integrações deve observar o contrato e a LGPD.

7. Transferências internacionais

Alguns fornecedores de tecnologia podem processar dados fora do Brasil. Quando houver transferência internacional, ela deverá possuir finalidade legítima, hipótese legal e mecanismo válido, com proteção compatível com a LGPD e com a regulamentação da ANPD, incluindo cláusulas-padrão contratuais quando aplicáveis.

Ao configurar um provedor de inteligência artificial, a academia deve verificar em quais países os dados serão tratados e quais mecanismos de transferência, retenção e exclusão são oferecidos pelo fornecedor contratado.

8. Retenção e eliminação

Os dados são mantidos pelo período necessário às finalidades informadas, ao contrato, ao cumprimento de obrigações legais, à prevenção de fraudes e ao exercício de direitos. Encerrada a finalidade, os dados devem ser eliminados ou anonimizados, salvo quando a LGPD permitir sua conservação.

• Auditoria operacional: configuração padrão de até 365 dias.
• Eventos de segurança e acesso: configuração padrão de até 730 dias.
• Embeddings de usuários desabilitados ou alunos inativos: configuração padrão de eliminação após 90 dias.

Prazos podem ser ajustados por obrigação legal, instrução válida da controladora, necessidade de defesa ou configuração contratual. Backups seguem ciclos próprios e são protegidos contra uso ordinário até sua sobrescrita segura.

Solicitações e respostas de inteligência artificial podem estar sujeitas também aos prazos do provedor escolhido pela academia. O cliente deve configurar e acompanhar essa retenção diretamente no fornecedor sempre que a opção estiver disponível.

9. Direitos dos titulares

O titular pode solicitar, conforme aplicável, confirmação e acesso, correção, anonimização, bloqueio, eliminação, portabilidade, informação sobre compartilhamento, revisão de decisões automatizadas, explicações sobre critérios utilizados e revogação do consentimento.

Para dados administrados pela academia, a solicitação deve ser dirigida inicialmente à própria academia, que é quem decide sobre o atendimento. Para tratamentos em que o FFAL atua como controlador, escreva para contato@ffal.com.br. Podemos pedir informações para confirmar a identidade e evitar acesso indevido a dados de terceiros.

10. Crianças e adolescentes

Academias que cadastram crianças ou adolescentes devem observar o melhor interesse, fornecer informações claras aos responsáveis e adotar a hipótese legal e as autorizações adequadas. O FFAL trata esses dados conforme as instruções da academia e os limites contratuais.

11. Segurança e incidentes

Adotamos medidas técnicas e administrativas proporcionais ao risco, mas nenhum sistema é totalmente imune. Incidentes são registrados, investigados e tratados. Quando um incidente puder causar risco ou dano relevante, o controlador responsável realizará as comunicações à ANPD e aos titulares nos prazos e condições regulamentares, com apoio do operador quando necessário.

12. Cookies e preferências

Cookies e armazenamento local necessários mantêm funções e preferências. Dados analíticos somente são utilizados após a escolha “Aceitar”. A preferência pode ser revista a qualquer momento pelo link “Preferências de cookies” no footer.

13. Atualizações e contato

Esta política pode ser atualizada para refletir mudanças legais, contratuais ou técnicas. Alterações relevantes serão comunicadas por meio adequado. Dúvidas sobre privacidade podem ser enviadas para contato@ffal.com.br.