Política de privacidade

Versão 1.0Vigente desde 23 de setembro de 2026Aplica-se ao aplicativo Gym+ e a este site

O Gym+ é um diário de treino. O que você registra fica no seu aparelho por padrão e só sai dele com a sua autorização, como resumo: para o seu Coach e para o ranking ou os times, conforme o que você ativar, e, se você ligar, como cópia cifrada do histórico guardada na sua conta (item 4.11). Os dados de saúde que o app lê (batimento cardíaco, calorias e passos) não saem, a não ser quando você autoriza: o envio ao seu Coach, o uso na verificação do treino e no ranking, onde vai só o nível de verificação, ou a cópia do histórico na sua conta. Este documento explica exatamente o que é lido, para quê, o que sai do aparelho, quem vê o quê e o que você pode exigir de nós.

1. Quem é o responsável

O aplicativo Gym+ é publicado e operado pela ALAS TECHNOLOGY LLC, empresa registrada nos Estados Unidos sob o EIN (número de identificação de empregador do IRS) 93-3927200.

Para a LGPD, somos o controlador dos dados descritos aqui. Para o GDPR, somos o controller.

Encarregado pelo tratamento de dados pessoais (LGPD, art. 41): o canal oficial do encarregado é privacidade@gymplus.life. Esse endereço recebe qualquer pedido, dúvida ou reclamação sobre dados pessoais, e é por ele que falamos com a Autoridade Nacional de Proteção de Dados quando necessário.

2. Dados de saúde

Esta é a parte que mais importa, então ela vem primeiro.

O que o app lê

Se, e somente se, você autorizar, o Gym+ lê do Apple Saúde (HealthKit) no iPhone e do Health Connect no Android:

• Batimento cardíaco
• Calorias ativas queimadas
• Calorias totais queimadas
• Passos
• Só quando você toca para importá-los na configuração inicial do app: peso, altura, data de nascimento e sexo no iPhone; peso e altura no Android

E grava de volta uma única coisa: a sessão de exercício que você acabou de concluir, para que o treino conte na sua atividade do dia e apareça no histórico do app de saúde do sistema.

Para quê

Para mostrar, dentro do treino que você registrou, o que o corpo fez enquanto ele acontecia, e para exibir gráficos e tendências desses mesmos dados. Esses gráficos e tendências são calculados no próprio aparelho. Não há nenhuma outra finalidade (nem estatística, nem comercial, nem de recomendação), a não ser os usos que você autorizar: o envio ao seu Coach (item 7), o uso na verificação do treino ou no ranking (item 11) e a cópia do histórico guardada na sua conta, que serve só para devolver o histórico a você (item 4.11).

A importação desses dados do perfil serve só para preencher o seu perfil na configuração inicial do app (da data de nascimento, o app guarda só a idade). O app só os lê quando você toca para importá-los, e eles ficam no aparelho, como o resto do perfil (item 3). Do perfil, só duas coisas vão ao nosso servidor, e só para o ranking (item 6): a divisão que corresponde ao sexo e, se você confirmar nos Ajustes do ranking, o peso.

O que nunca acontece com eles

• Dados de saúde ficam no aparelho: são lidos e exibidos ali e, sem a sua autorização, não vão a servidores nossos nem de terceiros. Eles só saem do aparelho, passando pelo nosso servidor, nos usos que você autoriza: o envio ao seu Coach, descrito no item 7, ou o uso na verificação do treino ou no ranking, descrito no item 11, ou a cópia do histórico guardada na sua conta, descrita no item 4.11, que serve só para devolver o histórico a você. No ranking, só viaja o nível de verificação calculado a partir deles, nunca a série de batimentos. E isso só enquanto a autorização estiver valendo.
• Dados de saúde não são vendidos, alugados, cedidos ou trocados.
• Dados de saúde não são usados para publicidade, marketing, segmentação ou perfilamento, nem por nós, nem por ninguém. O SDK da Meta descrito no item 4.10 não recebe nenhum dado de saúde.
• Dados de saúde não alimentam nenhum sistema de recomendação automatizada externa e não são enviados a nenhum serviço de terceiros para processamento.

Anamnese, avaliações e fotos de progresso

Também tratamos como dado de saúde as respostas de anamnese, as avaliações físicas, as avaliações de composição corporal (bioimpedância) e as fotos de progresso. Elas só chegam ao nosso servidor quando você as envia ou compartilha com o seu Coach, com um consentimento próprio para cada tipo, ou quando você pede a leitura automática de um laudo de bioimpedância, que acontece só em memória, na infraestrutura do nosso operador de hospedagem, sem que o arquivo seja guardado. Tudo isso está descrito no item 7.

Como retirar a autorização

• iPhone: Ajustes Privacidade e Segurança Saúde Gym+, e desmarque o que quiser.
• Android: abra o Health Connect Permissões de apps Gym+.

Retirar a autorização não apaga o que já está no seu app de saúde: esse histórico é gerenciado pelo próprio sistema, e é lá que ele pode ser apagado. O Gym+ simplesmente deixa de lê-los.

3. O que fica no aparelho

Fica no seu aparelho, em armazenamento privado do aplicativo, e por padrão não é enviado para nós:

• Seu diário de treino: exercícios, séries, cargas, repetições, descanso, datas.
• Suas rotinas e treinos montados.
• Seu perfil, se você preencher: nome de exibição, sexo, idade, altura, peso e nível de atividade (a foto de perfil e a capa, quando você as publica, seguem o item 8; a divisão do ranking que corresponde ao sexo e o peso que você confirmar para o ranking seguem o item 6).
• Medidas corporais, se você registrar.
• Fotos de progresso, se você tirar ou escolher da galeria e não as compartilhar com o seu Coach (item 7.2).
• Avaliações físicas e de composição corporal (bioimpedância) que você registrar, até você compartilhá-las com o seu Coach (item 7.4).
• Anotações que você escrever.
• Preferências: idioma, tema, unidades, meta semanal.
• Os dados de saúde descritos no item 2.

O diário de treino só sai do aparelho com a sua autorização, e então como resumo de cada treino, conforme o que você ativar: as séries, com carga e repetições, vão para o seu Coach (item 7) e para o ranking (item 6), e os times de que você participa recebem um resumo por dia (treinos, minutos, volume, sequência e recordes e, só com a sua chave de calorias ligada, a estimativa de calorias que o próprio Gym+ calcula a partir do treino, nunca um número lido do app de saúde). Se você ligar o histórico guardado na sua conta, uma cópia cifrada do diário e dos outros itens listados no item 4.11 fica no nosso servidor, só para voltar para você.

Se você desinstalar o aplicativo, esses dados são removidos do aparelho junto com ele. Só temos uma cópia deles para devolver se você tiver ligado o histórico guardado na sua conta (item 4.11). Quando você exporta um backup ou compartilha um treino, o arquivo vai para onde você escolher, por sua iniciativa. O que você decide tornar visível a outras pessoas (seu @ no ranking, o que você autoriza o seu Coach a ver e as fotos e vídeos que publica) é descrito nos itens 5 a 8.

4. O que sai do aparelho

Só o que está descrito abaixo, e cada item apenas quando você usa o recurso correspondente.

4.1 Sua conta

A conta é criada com Iniciar sessão com a Apple, com Fazer login com o Google ou com um código enviado ao seu e-mail. Não existe senha do Gym+. Quando você entra pela Apple ou pelo Google, o provedor entrega ao app um comprovante de identidade assinado, e o app o envia ao nosso servidor, que confere a assinatura com as chaves publicadas pelo provedor. Com isso recebemos:

• o identificador da sua conta no provedor (um código estável, não o seu nome);
• o e-mail que o provedor informa. Se você escolheu ocultar seu e-mail na Apple, recebemos só o endereço de retransmissão da Apple, e nunca pedimos o verdadeiro.
• o seu nome, quando o provedor o informa: a Apple o entrega ao app só no primeiro acesso, e o app o envia ao nosso servidor; o Google o inclui no próprio comprovante de identidade;
• o @ (nome de usuário) que você escolhe logo depois do primeiro acesso. Ele é público: é como outras pessoas encontram você no Gym+ e como você aparece no ranking.

Se você entra pelo código, informamos o e-mail e enviamos a ele um código de 6 dígitos, que vale por 10 minutos e aceita no máximo 5 tentativas. Do código, guardamos só um resumo criptográfico.

O nome informado no cadastro e a parte do e-mail antes do @ servem só para sugerir o seu primeiro @. Ficam guardados cifrados só até você escolher o @: nesse momento são apagados. Enquanto existem, não são mostrados a ninguém (nem no ranking, nem ao Coach), entram na exportação dos seus dados e são apagados com a exclusão da conta. Quando você troca de @ depois, as sugestões saem do que o app envia junto com o pedido, que não é guardado. As credenciais de sessão que o nosso servidor devolve ficam apenas em memória e são descartadas quando você sai da conta ou fecha o app.

Um aparelho por vez. Sua conta fica conectada em um aparelho por vez: entrar em outro aparelho desconecta o anterior. Para isso, e para proteger a conta contra o uso por outra pessoa, o app gera no chip de segurança do aparelho (Secure Enclave no iPhone, Keystore no Android) uma chave criptográfica que nunca sai dele e assina com ela cada pedido ao nosso servidor. Guardamos, ligados à sua conta: o identificador do aparelho que o app gera a partir dessa chave (não é número de série, IMEI, endereço MAC nem identificador de publicidade), o modelo aproximado (como “iPhone” ou “Pixel 8”) e a data e hora do último acesso. Usamos esses dados só para a segurança da conta: manter um aparelho conectado por vez, avisar você por e-mail quando um aparelho novo entra (com o botão “Não fui eu”, que desconecta todos) e mostrar em Configurações > Segurança o aparelho atual e os recentes. Eles seguem o prazo dos registros de acesso da seção de retenção e são desvinculados de você quando a conta é excluída.

Marcos de uso. Guardamos, ligados à sua conta, só o tipo e a data de alguns marcos de uso, sem nenhum dado de saúde (o primeiro treino concluído, a primeira semana completa com 2 treinos e o primeiro uso de cada tipo de recurso: integração com o app de saúde, recursos sociais, Coach e recordes), para entender como as pessoas começam a usar o Gym+ e melhorar o produto em análise interna, e esses marcos entram na exportação dos seus dados e são apagados com a exclusão da conta.

Como você usa o Gym+. No cadastro, o app pergunta “Como você usa o Gym+?”: se você treina sozinho, se treina com um personal ou se é personal. Guardamos no servidor, ligadas à sua conta, a resposta e a data dela, para adaptar o app e as comunicações que enviamos a você e para contar, de forma agregada, quantas pessoas usam o app de cada jeito. A resposta nunca vai para a Meta nem para outro parceiro de publicidade e não é mostrada ao seu Coach; ela entra na exportação dos seus dados e é apagada com a exclusão da conta.

4.2 A verificação da assinatura

Para saber se sua assinatura está válida, o app envia ao nosso servidor o identificador da compra emitido pela loja (Apple ou Google) e o identificador do produto. O servidor consulta a própria loja e guarda o resultado: o plano (Aluno ou Coach), o estado da assinatura (período grátis, ativa, em carência, expirada, revogada), a data de expiração e a data da última consulta, vinculados à sua conta. A loja também avisa o nosso servidor quando a assinatura muda de estado: renovação, cancelamento, reembolso.

Não recebemos nem armazenamos número de cartão, dados bancários, endereço de cobrança ou qualquer meio de pagamento. Quem cobra é a loja, e é ela quem guarda isso.

4.3 A revisão semanal

Quando você pede a revisão semanal, e só nesse momento, o app envia ao nosso servidor:

• o idioma em que você quer o texto;
• a meta semanal que você escolheu;
• para cada uma das 4 últimas semanas completas, três números: quantos treinos, em quantos dias distintos e quantas séries.

Doze números, um idioma e uma meta. Não vão nomes de exercício, cargas, repetições, fotos, medidas, anotações, histórico bruto nem qualquer dado de saúde. A semana em curso é deliberadamente excluída, porque ela ainda não fechou. O servidor calcula o texto da revisão, devolve ao app e não guarda esses números.

4.4 O programa de indicação

Se você usa o convite para amigos, o servidor guarda o seu código de convite, quem convidou quem e em que etapa está cada convite. Para impedir que um mesmo aparelho crie várias contas só para ganhar recompensas, o app envia um identificador de instalação que ele mesmo gera ao acaso. Ele não é identificador de hardware nem de publicidade, muda se você reinstalar o app, e o servidor o guarda só como resumo criptográfico com chave secreta. Quando você resgata um mês ganho, usamos o e-mail da conta para combinar a entrega.

4.5 Mensagens que você nos envia

Se você escreve para um dos nossos endereços de e-mail, recebemos a mensagem, o seu endereço e o que você decidir incluir, como capturas de tela. Usamos isso só para responder e resolver o pedido.

4.6 E-mails que enviamos

Usamos o e-mail da sua conta, o idioma do app e o fuso horário do aparelho para enviar mensagens a partir do domínio gymplus.life, na língua e na hora certas:

• Mensagens de serviço: códigos de acesso e de confirmação, boas-vindas, avisos sobre a assinatura (como o início e o fim do período grátis, falha de pagamento e acesso encerrado), avisos de segurança e as decisões da moderação sobre conteúdo seu. Elas sempre são enviadas, porque fazem parte do funcionamento da conta.
• Relatórios semanais e mensais (item 4.7).
• Lembretes de assinatura e de retorno (item 4.8).
• Avisos de atividade dos alunos, para quem usa o plano Coach, e novidades do produto: só são enviados se você os ligar.

Toda mensagem que não é de serviço traz um link de descadastro em um clique, que desliga só aquele tipo de mensagem. Registramos cada escolha sua, com a data, a origem e a versão do texto mostrado.

4.7 Relatórios por e-mail

Os relatórios falam do seu próprio uso do Gym+. Cada um tem a sua chave, vem ligado e pode ser desligado a qualquer momento nas notificações do app, na página de preferências de e-mail ou pelo link no fim de cada relatório.

• Relatório semanal e mensal do aluno: para montá-los, o app envia ao nosso servidor só totais do período: número de treinos, minutos, volume, recordes, sequência ou semanas treinadas, medalhas e os músculos mais trabalhados. Não vai nenhum dado de saúde nem medida do corpo. Os totais semanais ficam guardados por até 8 semanas e os mensais por até 3 meses, só para comparar com o período anterior.
• Relatório semanal e mensal do Coach: é montado no nosso servidor e traz o número de alunos ativos, a adesão média ao plano de treino, os alunos, identificados pelo @, cuja adesão subiu ou caiu 10 pontos ou mais, os programas que terminam em breve e as mensagens de alunos ainda sem resposta. A adesão considera só os alunos que autorizaram o Coach a ver os treinos, e só a contagem de sessões feitas e planejadas.

O relatório do Coach nunca inclui dado de saúde: nada de batimento, calorias, dor, medidas, avaliações, bioimpedância, anamnese ou fotos. Cada leitura dos dados de um aluno para montar o relatório entra no registro de acessos do aluno, como uma leitura feita no app.

4.8 Lembretes de assinatura e de retorno

Se você cria a conta e não assina, podemos enviar até 4 lembretes por e-mail para concluir a assinatura, nos primeiros 14 dias. Se o seu plano terminou sem renovação, podemos enviar até 3 e-mails de retorno, nos 60 dias seguintes; quem teve reembolso ou revogação não recebe. Esses e-mails são promocionais e dizem isso no rodapé, só saem entre 10h e 20h no seu fuso, param assim que você assina e não trazem preço, dado de saúde nem medida do corpo.

• Fora da Europa, eles se apoiam no nosso legítimo interesse em lembrar quem já criou conta no Gym+ e vêm ligados, com descadastro em um clique em toda mensagem, além da chave "Lembretes de assinatura" no app e na página de preferências.
• Na Europa (quando o fuso horário da sua conta é europeu), só são enviados se você ligar essa chave, ou seja, com o seu consentimento, que você pode retirar da mesma forma.
• Lembretes no aparelho: o app só agenda uma notificação de lembrete de assinatura se você aceitar um pedido próprio, separado e anterior à permissão de notificações do sistema, ou seja, com o seu consentimento explícito. São no máximo 2, e você pode desligá-los nos ajustes do app ou do sistema.

4.9 Diagnósticos de erro, desempenho e relatos de problema

Para corrigir falhas, o app envia ao nosso servidor dados técnicos dos erros que acontecem nele: o tipo e a mensagem do erro, o rastro técnico do código (ofuscado, sem conteúdo seu), a tela em que ocorreu, a versão do app, o sistema e o modelo aproximado do aparelho, e as últimas 50 ações no app antes do erro (telas abertas, ações principais e pedidos ao servidor, com rota, resultado, duração e código do pedido). Também recebemos os fechamentos inesperados do app que o próprio sistema registra (no Android, o motivo de encerramento; no iPhone, o MetricKit).

• O que nunca vai: o que você digita, senhas, códigos de acesso, tokens, e-mail em texto, números de documento ou de telefone, coordenadas e dados de saúde. O app mascara esses dados antes do envio, e o servidor mascara de novo.
• Vínculo: com a sessão aberta, o erro fica ligado à sua conta; antes de entrar, só a um identificador aleatório da instalação, guardado como resumo criptográfico.
• Como desligar: em Configurações > Privacidade e dados, na chave “Enviar diagnósticos de erro”, ligada por padrão. Desligada, o app para de enviar tudo o que este item descreve, ao nosso servidor, ao Sentry e à PostHog, e o que estava na fila do nosso servidor é apagado do aparelho.
• Relatar problema: em Configurações > Ajuda e sobre e no Perfil, você escreve o que aconteceu e escolhe se anexa os diagnósticos. O texto passa pelo mesmo filtro de ódio e ameaças do resto do app, é mascarado e recebe um código de suporte (como GP-7K3Q9), que aparece na tela. O suporte recebe o relato por e-mail e responde no e-mail da sua conta.
• Sugestões, prints e o site: no Perfil, em “Sugestões”, você envia ideias; em “Reportar problema”, e no botão “Reportar falha” de cada página do site gymplus.life, pode incluir um print da tela, que você vê antes do envio com os campos de formulário cobertos, ou anexar uma imagem. Junto vão a tela ou a página, a versão do app ou do site, o sistema, o idioma, o tamanho da tela, o navegador (no site) e a conta, se você entrou; nunca senhas ou tokens. Usamos isso só para corrigir falhas e avaliar sugestões. Fica 180 dias, é apagado com a exclusão da conta e chega à equipe de suporte por e-mail.

Desempenho e usabilidade, de forma agregada. O app mede o tempo que leva para abrir e a fluidez de cada tela (quadros lentos e congelados) e conta, por tela, os toques, os toques repetidos em sequência no mesmo ponto, os toques que não produzem resposta e a região da tela em que eles acontecem (uma grade de 12 por 24 partes, nunca a posição exata). Essas contagens são somadas no aparelho e enviadas ao nosso servidor sem conta, sem identificador da instalação e sem horário, e o servidor as soma por dia, sem guardar o endereço IP (só um resumo criptográfico dele, para limitar envios em excesso). Servem só para descobrir telas lentas e botões difíceis de usar. Nas telas de saúde (Dados de saúde, Composição corporal, Medidas, Suas fotos, Linha do tempo e Comparar) e enquanto houver conteúdo protegido na tela, nenhum toque é contado; nelas, só a fluidez da tela é medida. Ficam 180 dias.

Sentry. Os erros, os fechamentos inesperados, os avisos de “app não respondendo” (no Android) e os congelamentos (no iPhone) também vão ao Sentry (Functional Software, Inc.), contratado por nós como operador, com os dados guardados na União Europeia (Frankfurt, Alemanha). O Sentry recebe o tipo e a mensagem do erro, o rastro técnico do código, a tela em que ocorreu e as telas abertas antes dele, a versão do app, o sistema e o modelo do aparelho, tudo mascarado no aparelho antes do envio. Se você tem 18 anos ou mais, recebe também medidas de desempenho (o tempo de abertura e a duração de telas e operações) e um código derivado da sua conta por resumo criptográfico, que não traz o seu e-mail nem o seu nome. Não recebe o que você digita, os pedidos ao servidor, gravações ou imagens da tela, nem dados de saúde.

PostHog. Para entender quais partes do app são usadas e onde as pessoas desistem (por exemplo, quantas contas abrem a tela de planos e quantas começam um teste), enviamos à PostHog, Inc., contratada por nós como operadora, com os dados guardados na União Europeia (Frankfurt, Alemanha), uma lista fechada de eventos: telas abertas (nunca as telas de saúde), entrada e saída da conta, abertura da tela de planos, confirmação de compra (só o plano e se é teste grátis, sem valor nem moeda), início e fim de treino, e a instalação, a atualização, a abertura e a ida para segundo plano do app. Junto vão o mesmo código derivado da conta e dados técnicos do aparelho (modelo, sistema, versão do app e idioma). Não há gravação de tela, nem captura automática de toques, nem dados de saúde, e nenhuma informação do seu perfil é enviada. Quem tem 16 ou 17 anos, ou ainda não teve a idade confirmada, não envia nada à PostHog.

Nem o Sentry nem a PostHog usam esses dados para publicidade, para rastrear você em outros apps ou sites, ou para finalidade própria, e nada disso vai à Meta. Os dois estão configurados para não guardar o endereço IP de onde os dados vêm.

Usamos esses dados só para encontrar e corrigir erros, melhorar o app e atender o seu relato, nunca para publicidade. Os erros ficam 30 dias no nosso servidor e até 90 dias no Sentry (as medidas de desempenho, 30 dias), as contagens agregadas de desempenho e usabilidade 180 dias, os eventos de uso na PostHog enquanto a conta é usada (apagados depois de 12 meses sem uso do app) e os relatos 180 dias. Os erros no nosso servidor, os eventos na PostHog e os relatos são apagados com a exclusão da conta, e os erros e relatos do nosso servidor entram na exportação dos seus dados.

4.10 SDK da Meta

Usamos um SDK da Meta só para medir as campanhas de anúncio pagas que veiculamos fora do app; o app não mostra anúncios. Para isso, o app e o nosso servidor enviam à Meta só estes eventos: a instalação e a abertura do app, o cadastro concluído e a assinatura (o início do período grátis e a compra, com o plano, o valor e a moeda). Junto com eles vão identificadores do aparelho: um identificador aleatório que o SDK cria para a instalação, o identificador do clique no anúncio, quando houver, e dados técnicos do aparelho, como modelo, sistema e versão do app. Nunca vão dados de saúde, de treino ou de localização nem a sua resposta a “Como você usa o Gym+?”. Para ficar de fora, peça pelo e-mail suporte@gymplus.life.

No Android e no iPhone sem a sua permissão. Não vão o identificador de publicidade do aparelho, o seu e-mail nem o id da sua conta: nada que identifique você vai à Meta, e no iPhone o SDK fica em modo limitado.

No iPhone, com a sua permissão. O app pode pedir uma vez, pelo aviso do próprio iPhone, a permissão para rastreamento (App Tracking Transparency). Se você permitir, o Gym+ compartilha também com a Meta, só para medir campanhas: o seu e-mail e o id da sua conta, em hash, o identificador de publicidade do aparelho, as suas compras (o início do período grátis e a assinatura) e os eventos de interação (instalação, abertura e cadastro). Você pode retirar a permissão a qualquer momento nos Ajustes do iPhone; a partir daí, vale de novo o parágrafo anterior.

Quando você instala o Gym+ a partir de um anúncio do Google, guardamos o identificador do clique (gclid) e a origem da campanha. Se você for maior de 18 anos, informamos ao Google Ads apenas esse identificador e o fato de a conta ter sido criada ou de o período de teste ter começado, para medir nossos anúncios. Não enviamos nome, e-mail, telefone nem dados de treino ou de saúde. Você pode se opor a qualquer momento pelo e-mail de suporte.

4.11 Histórico guardado na sua conta

Por padrão, o seu histórico fica só no aparelho (item 3). Se você ligar Guardar meu histórico na minha conta (Configurações > Conta), o Gym+ passa a guardar uma cópia cifrada dele no nosso servidor, ligada à sua conta, para que ele volte quando você trocar de celular ou reinstalar o app. O recurso vem desligado e só liga depois que você lê e aceita uma tela própria de consentimento. Se você não quiser, nada muda no app: o histórico continua só no aparelho.

O que é guardado:

• treinos: exercícios, séries, cargas, repetições, descanso, esforço, notas do treino e os dados do relógio ligados ao treino, como a frequência cardíaca e as calorias;
• rotinas, agenda da semana e exercícios que você criou;
• perfil (nome de exibição, sexo, idade, altura, peso e nível de atividade), medidas corporais e registros de peso;
• medalhas conquistadas no app, anotações, locais de treino (nome e equipamentos, sem endereço nem coordenada) e as preferências do app.

O que não é guardado: fotos e mídias de qualquer tipo (fotos de progresso, foto de perfil, fotos e vídeos de exercícios e as mídias das anotações). Elas continuam só no aparelho.

Para quê: só para devolver o histórico a você, no mesmo aparelho ou em outro, e para manter a cópia em dia depois de cada treino. Essa cópia não é usada para anúncios, marketing, lembretes de retorno, segmentação ou análise de uso, não vai para a PostHog, para o Sentry, para a Meta nem para nenhum outro parceiro, e não é mostrada ao seu Coach, ao seu responsável nem a outras pessoas por causa deste recurso. O que você compartilha com o seu Coach continua seguindo o item 7, com os consentimentos próprios de lá.

Base legal: como o histórico inclui dados de saúde, a base é o seu consentimento explícito, específico e destacado (LGPD, art. 11, I, e GDPR, art. 9(2)(a), com o art. 6(1)(a)), que você pode revogar a qualquer momento nas configurações do app. Guardamos um registro do consentimento, só com a data, a versão do texto e a sua escolha, enquanto o recurso estiver ligado e por mais 5 anos depois de desligado, como prova.

Onde fica e como é protegido: a cópia fica no armazenamento de objetos da Cloudflare (R2), o operador de hospedagem descrito no item 12, na jurisdição da União Europeia. Ela fica guardada só na União Europeia; no caminho entre o seu aparelho e o armazenamento, os dados já cifrados podem passar pela rede da Cloudflare fora da UE, protegidos pelas cláusulas contratuais da Cloudflare. Cada arquivo é cifrado com AES-256-GCM por uma chave própria da sua conta, e o nome dos arquivos não traz o identificador da sua conta. No nosso banco de dados fica só um índice (meses, revisões e tamanhos), nunca o conteúdo do treino, e o nosso servidor não registra o conteúdo do histórico em log.

Um aparelho por vez: a cópia acompanha a regra de um aparelho conectado por vez (item 4.1). Ao entrar na conta num aparelho novo, o app baixa a cópia e a junta ao que houver no aparelho, sem duplicar treinos.

Plano: para guardar treinos novos é preciso ter um plano ativo. Sem plano, nada novo é guardado, e o que já está na sua conta continua disponível para baixar, desligar ou apagar.

Como desligar e apagar: desligue a chave em Configurações > Conta. Ao desligar, a cópia é apagada do servidor em até 24 horas, e o que está no aparelho continua lá. O índice da cópia (meses, revisões e tamanhos, nunca o conteúdo) pode continuar nas cópias de segurança do banco de dados por até 30 dias. Retirar o consentimento não afeta o que foi feito antes nem o resto do app. Um treino que você apaga no app deixa no servidor só uma marca de exclusão, sem conteúdo, por 90 dias, para que outro aparelho saiba que ele foi apagado.

Por quanto tempo: enquanto a conta existir e o recurso estiver ligado. Se você ficar 24 meses sem usar o app e sem plano ativo, a cópia é apagada, com aviso 30 dias antes: por e-mail, se você aceitou receber esse aviso por e-mail, ou no app, quando você voltar a abri-lo. Usar o app nesse intervalo cancela a exclusão.

Exclusão da conta e exportação: excluída a conta, a cópia é apagada junto. A exportação dos seus dados inclui o histórico guardado.

Quem tem 16 ou 17 anos: o recurso vem desligado e bloqueado, e só pode ser ligado depois que o responsável libera no painel do responsável (item 17). Se o responsável revogar a liberação, a nuvem é desligada e a cópia na nuvem é apagada em até 30 dias; o histórico fica só no aparelho. O responsável não vê o histórico guardado: o painel continua mostrando só o que o item 17 descreve.

Backup do iCloud no iPhone: enquanto o recurso estiver ligado, o app tira o histórico do aparelho do backup do iCloud, para que os dados de saúde não fiquem guardados em dois lugares. Ao desligar, o histórico volta a entrar no backup do iCloud, como antes.

5. Localização e reconhecimento da academia

Se você permitir, o Gym+ usa a localização do aparelho somente enquanto o app está em uso, com uma única finalidade: reconhecer a academia em que você está, para que seus treinos contem no ranking daquela academia.

• A posição exata nunca vai ao nosso servidor nem é guardada por nós: ele recebe no máximo uma célula aproximada, como descrito abaixo.
• Para achar academias por perto, o app envia ao servidor uma célula de geohash de cerca de 1 km, uma quadrícula do mapa que indica a região; ela é usada na busca e não é guardada.
• No check-in, o app envia o identificador da academia e a célula de cerca de 150 m em que você está, para confirmar que você está na academia. Essa célula é conferida com a da academia e não é guardada.
• Se você cadastra uma academia nova, o app envia como posição dela só a célula de cerca de 150 m em que você está, nunca a posição exata; o servidor recusa qualquer posição mais precisa que a célula. O centro dessa célula passa a ser a posição da academia e aparece para quem procura academias. Não guardamos nenhum registro que ligue você a essa posição e ao momento do cadastro: fica só a indicação de que foi você quem cadastrou a academia, apagada com a exclusão da sua conta.
• Para dar nome à cidade e, no iPhone, sugerir academias próximas, o app usa os serviços de localização do próprio sistema: no iPhone, os da Apple; no Android, os do Google. Nesses pedidos, a coordenada pode ir do aparelho para a Apple ou para o Google, que a tratam sob as políticas de privacidade delas; o Gym+ recebe de volta só o nome do lugar.
• O app não usa localização em segundo plano, não monta histórico de trajetos e não usa localização para publicidade.

A permissão é opcional. Você pode recusá-la quando o sistema pedir ou revogá-la depois, a qualquer momento, nas configurações do aparelho (iPhone: Ajustes Privacidade e Segurança Serviços de Localização Gym+; Android: Configurações Apps Gym+ Permissões Local). Sem ela, o app continua funcionando; só deixa de reconhecer a academia automaticamente.

6. Ranking público

O ranking da academia é público dentro do Gym+: quem o abre vê a colocação das pessoas identificadas pelo @ de cada uma. O ranking mostra o seu @, não o seu e-mail nem o nome da sua conta Apple ou Google.

Você pode sair do ranking ou ocultar-se nele a qualquer momento, pelo próprio aplicativo. Também pode pedir isso por privacidade@gymplus.life. Ao sair, seu @ deixa de aparecer na lista; seus treinos continuam no seu aparelho.

Divisão. Se você tem conta e respondeu ao sexo no perfil do app (na configuração inicial, nas configurações ou pela importação do app de saúde), o app envia ao nosso servidor só a divisão do ranking que corresponde à resposta: masculina, feminina ou aberta (para quem prefere não dizer). A divisão define em quais quadros você entra e a tabela usada nos níveis de força e nas faixas de peso. Nos quadros separados por divisão, quem os vê sabe a divisão de quem aparece neles. Você pode trocar a divisão nos Ajustes do ranking.

Peso. O peso só vai ao nosso servidor se você tocar em “Confirmar peso” nos Ajustes do ranking. Ele serve para dividir a força e o volume pelo seu peso e para definir a sua faixa de peso nos quadros de força. Ninguém vê o número: ele fica guardado cifrado, e os quadros mostram só a faixa de peso. Sem ele, você fica fora dos quadros de força e de volume, e 90 dias depois da última confirmação ele deixa de ser usado até você confirmar de novo.

Como deixar de participar. Em “Sair do ranking”, nos Ajustes do ranking, você sai de todos os quadros; desligar “Medalhas, níveis e competições” nas configurações também tira você deles. A divisão e o peso continuam guardados, ligados à sua conta, entram na exportação dos seus dados e são apagados com a exclusão da conta.

7. Compartilhamento com o seu Coach

7.1 O que você escolhe compartilhar

Se você treina com alguém que usa o plano Coach, o Gym+ permite que essa pessoa acompanhe você. Nada é compartilhado sem o seu consentimento, e o consentimento é dado por categoria: você escolhe cada uma separadamente:

• Desempenho: treinos, séries com carga e repetições, e adesão ao plano de treino.
• Resumo de saúde: de cada treino, o batimento médio e o máximo, as calorias ativas e o tempo em cada zona de frequência cardíaca, nunca a série de batimentos. Por ser dado de saúde, só é compartilhado com o seu consentimento específico para essa categoria.
• Verificação pelo relógio: a confirmação, pelo relógio, de que as sessões de treino aconteceram.
• Fotos de progresso, anamnese, avaliação física e composição corporal: cada uma com o seu próprio consentimento, como descrito nos itens 7.2 a 7.4.

O que você não autorizar não é enviado ao seu Coach. Você pode retirar o consentimento a qualquer momento, no todo ou por categoria; a partir daí o compartilhamento daquela categoria para. O Coach também pode desfazer o vínculo com você, por exemplo quando você deixa de ser aluno dele, e, nesse caso, o compartilhamento também para.

Os dados compartilhados passam pelo nosso servidor para chegar ao Coach e são guardados enquanto o vínculo e o consentimento existirem. O Coach usa o que vê para acompanhar o seu treino e não pode usar esses dados para outra finalidade.

7.2 Fotos de progresso

As fotos de progresso ficam no seu aparelho. Você pode compartilhá-las com o seu Coach, foto a foto, se der o consentimento próprio para fotos. Elas servem só para que ele acompanhe a sua evolução.

• Quem vê: só o Coach do vínculo com que você compartilhou, e só enquanto o vínculo estiver ativo e o consentimento valer. Ele vê a foto no app, com o @ dele marcado sobre a imagem, por links temporários de poucos minutos, e não tem como baixar o arquivo.
• Moderação: antes de ficar disponível, a foto passa pela mesma análise de segurança das outras imagens enviadas ao Gym+ (item 8), que leva em conta o contexto de academia.
• Guarda: a foto, a pose e a data ficam cifradas no nosso servidor. Nada sobre a foto vai para notificações ou para a caixa de entrada.
• Exclusão: quando você apaga a foto ou retira o consentimento, quando o vínculo termina ou é bloqueado, ou quando uma das contas é excluída, a foto e todas as cópias guardadas são apagadas na hora.

7.3 Anamnese

A anamnese é o questionário de saúde que o seu Coach pode enviar a você: o PAR-Q, o questionário padrão do Gym+ ou perguntas escritas pelo próprio Coach. Ela serve para que o Coach conheça o seu histórico antes de montar ou ajustar o treino.

• As respostas são dado de saúde. Só são enviadas com o seu consentimento específico para a anamnese, e cada envio fica guardado como uma versão que não muda.
• Ficam cifradas no nosso servidor. O Coach só as lê enquanto o vínculo estiver ativo e o consentimento valer, e cada leitura fica registrada.
• Ao retirar o consentimento, as cópias do Coach são apagadas na hora. Quando o vínculo termina, elas também são apagadas, e os pedidos de anamnese do vínculo encerrado são apagados 30 dias depois do fim.

7.4 Avaliação física e bioimpedância

Você pode registrar avaliações físicas (dobras cutâneas, perímetros e testes físicos) e avaliações de composição corporal (bioimpedância). Elas ficam no seu aparelho e servem para acompanhar a sua evolução.

• Compartilhar com o Coach: a avaliação só chega ao nosso servidor quando você a compartilha com o seu Coach ou quando o Coach registra uma avaliação sua, e as duas coisas dependem de consentimento próprio (um para a avaliação física, outro para a composição corporal). As medidas ficam cifradas no servidor. O Coach só vê as avaliações que você compartilhou e as que ele mesmo registrou, e cada leitura fica registrada. Quando a próxima avaliação estiver perto de vencer, você e o Coach recebem um lembrete.
• Retirada e exclusão: você pode apagar as avaliações que registrou e ocultar as que o Coach registrou. Quando nenhum vínculo ativo tem mais o consentimento, as cópias que você compartilhou são apagadas; resta só uma marca sem nenhuma medida, para sincronizar os seus outros aparelhos, apagada 30 dias depois. O que o Coach registrou continua seu. Excluída a sua conta, tudo isso é apagado; excluída a conta do Coach, o que ele registrou continua seu, sem o nome dele.
• Leitura automática do laudo: em vez de digitar os números, você pode enviar o PDF do aparelho ou uma foto do laudo de bioimpedância para leitura automática. Isso depende de um consentimento separado, que você pode retirar na tela de privacidade do app. O arquivo é lido no nosso servidor por um sistema automatizado de leitura de documentos (inteligência artificial) que roda na infraestrutura do nosso operador de hospedagem (item 12), que não guarda o conteúdo nem o usa para treinar modelos. O arquivo existe só na memória durante a leitura: não é gravado em lugar nenhum, e o registro de uso guarda só dados técnicos, como o tipo de arquivo, o número de páginas e o resultado, nunca o texto, a imagem ou os valores. Quando o laudo é um PDF, o nome e o número do laudo são trocados por marcadores antes de o texto ser lido pelo sistema automatizado. Quando é uma foto, a imagem inteira, inclusive o nome e a identificação impressos nela, é analisada automaticamente para extrair os dados. O nome volta ao app só para você conferir, no aparelho, que o laudo é seu, e não é gravado. Uma foto passa pela mesma análise de segurança das outras imagens. Os valores lidos só são salvos depois que você os revisa e confirma.

7.5 Arquivamento pelo Coach

O Coach pode arquivar o vínculo com você, por exemplo quando você faz uma pausa, e o vínculo também pode ser arquivado quando o Coach tem mais alunos do que vagas, como descrito nos Termos de uso. Arquivar desconecta o vínculo sem encerrá-lo:

• O que deixa de ser compartilhado: o Coach deixa de ver qualquer dado seu (treinos, métricas, saúde, avaliações, fotos, anamnese e adesão) e não recebe dado novo; os treinos que você registrar nesse período ficam só no seu aparelho. Você deixa de receber os programas, os vídeos e as conversas de programa do Coach, e a cópia desse conteúdo no seu aparelho é apagada.
• O que o Coach continua vendo: só o seu nome e o seu @, quando o vínculo foi arquivado e por quem, a data em que o arquivamento termina e a lista dos programas que ele mesmo enviou. As anotações privadas dele ficam guardadas e voltam se ele desarquivar.
• Consentimento suspenso: os seus consentimentos continuam registrados, mas não autorizam nenhum compartilhamento enquanto o vínculo estiver arquivado. Se o Coach desarquivar, eles voltam a valer como estavam. Você pode retirá-los ou encerrar o vínculo de vez a qualquer momento.
• Aviso: você é avisado no app quando o vínculo é arquivado, sem motivo, e quando é desarquivado.
• Retenção de 12 meses e encerramento: o vínculo arquivado é guardado por até 12 meses, e o Coach é avisado 30 dias antes do fim. Se ninguém desarquivar, o vínculo termina ao fim dos 12 meses, os consentimentos são encerrados com registro e os dois lados são avisados. A exclusão da sua conta ou da conta do Coach encerra o vínculo arquivado como qualquer outro.

7.6 Página pública do Coach e pedidos de contato

Quem usa o plano Coach pode publicar uma página pública em gymplus.life/p/ seguido do @ dele. A página mostra o perfil de Coach (nome, bio, cidade, especialidades, se atende presencialmente ou online e o número do CREF, só depois de verificado) e a foto e a capa aprovadas pela moderação. O Coach liga e desliga a página e escolhe se os buscadores podem listá-la. A página deixa de aparecer se o plano Coach deixar de valer.

Quem quer treinar com o Coach pode enviar um pedido de contato, pela página ou pelo app, com nome, um contato (e-mail ou @) e uma mensagem. Esses dados servem a uma única finalidade, a resposta do Coach:

• ficam cifrados no nosso servidor e só o Coach os lê; num pedido feito pelo app, a resposta do Coach fica disponível para quem enviou;
• são apagados 180 dias depois do envio, ou antes, quando o Coach ou quem enviou os remove; quem envia pela página recebe um link para apagar o próprio pedido;
• para barrar robôs e abuso, o formulário da página usa uma verificação anti-robô da Cloudflare, carregada só quando você começa a preenchê-lo, e limites de envio por endereço IP, guardado só como resumo criptográfico e só pelo tempo do limite; o mesmo contato enviado de novo ao mesmo Coach atualiza o pedido anterior, em vez de criar outro.

A exclusão da conta do Coach apaga a página e os pedidos recebidos; a exclusão da conta de quem enviou pelo app apaga os pedidos que essa pessoa fez.

8. Fotos e vídeos que você publica

Algumas mídias existem para serem vistas por outras pessoas: a foto de perfil, a imagem de capa, fotos que você decide publicar e, no caso de quem usa o plano Coach, os vídeos de exercício que ele grava para os alunos. Quando você envia uma dessas mídias, nós a guardamos no nosso servidor para exibi-la às pessoas com quem ela é compartilhada.

Essas mídias passam por moderação (análise automatizada e revisão humana) para fazer valer as Diretrizes da comunidade. Conteúdo que viole as diretrizes pode ser removido; o conteúdo removido fica guardado por 30 dias para permitir a contestação e depois é apagado. A moderação se aplica só às mídias publicadas; fotos de progresso que você mantém no aparelho não são enviadas nem analisadas.

Você pode pedir a remoção de qualquer mídia que publicou por privacidade@gymplus.life. Ao excluir a conta, as mídias publicadas por você são apagadas.

Denúncias

Você pode denunciar perfis, fotos, vídeos, mensagens, comentários, programas e outros conteúdos de outras pessoas. Na denúncia, guardamos quem denunciou, o que foi denunciado e quem é o autor, o motivo escolhido, o detalhe que você escrever, se escrever (até 1.000 caracteres), e a data. Depois do envio, o conteúdo some da sua vista, e o app oferece bloquear o autor.

A equipe de moderação vê a denúncia com o contexto necessário para decidir: o trecho denunciado e o histórico de moderação do autor. A quem denunciou, informamos um resultado genérico. Quando a denúncia envolve criança ou adolescente, ela vai direto para a equipe de proteção infantil e o resultado não é informado a quem denunciou; casos confirmados são comunicados às autoridades, como descrito em Segurança infantil. O prazo de guarda das denúncias está no item 13.

9. Captura e gravação de tela

Parte do conteúdo do Gym+ é protegida, por exemplo os treinos pagos preparados por um Coach. Nessas telas, o app percebe quando é feita uma captura de tela ou uma gravação de tela, para proteger esse conteúdo.

• O que o app registra é apenas o fato de o evento ter ocorrido em um conteúdo protegido.
• Esse registro vai ao nosso servidor para moderação e para proteger o conteúdo, e não é enviado ao Coach.
• Nenhuma imagem da tela é tirada, guardada ou enviada pelo Gym+, e o app não tem acesso à captura que o sistema gerou nem à sua galeria por causa disso.
• A detecção só funciona nas telas de conteúdo protegido; no resto do app ela não é usada.

10. Bluetooth e sensores

O Gym+ usa Bluetooth apenas para conectar cintas e sensores de frequência cardíaca que você escolher. A busca por aparelhos acontece quando você pede para conectar um sensor, e serve só para isso. O app não usa Bluetooth para localizar você, não procura outros aparelhos ao redor para nenhuma outra finalidade e não envia ao nosso servidor a lista de aparelhos encontrados. O batimento lido pelo sensor é tratado como os demais dados de saúde do item 2. Você pode revogar a permissão de Bluetooth nas configurações do aparelho quando quiser.

11. Relógios e sensores

O Gym+ funciona com os relógios e sensores que você escolher conectar:

• Apple Watch;
• relógios Wear OS;
• relógios Garmin, pelo app Gym+ para Connect IQ;
• cintas de frequência cardíaca Bluetooth.

O que é coletado

Durante o treino, esses aparelhos registram as séries, as repetições, a carga, a frequência cardíaca em médias de 15 segundos e o resumo do treino.

Como os dados chegam ao celular

Os dados vão do relógio para o celular pelo canal oficial de cada fabricante:

• Garmin: o Garmin Connect IQ Mobile SDK e o app Garmin Connect;
• Apple Watch: o pareamento da Apple;
• Wear OS: a camada de dados do Wear OS;
• Cintas: Bluetooth padrão, como descrito no item 10.

A Garmin trata os dados que passam por ela sob a política de privacidade da própria Garmin. O mesmo vale para a Apple e para o Google em relação aos sistemas deles.

Onde os dados ficam

No seu aparelho. Eles só saem dele quando você autoriza o envio ao seu Coach (item 7) ou o uso na verificação do treino ou no ranking (item 6), ou quando você liga o histórico guardado na sua conta (item 4.11), que guarda uma cópia cifrada dos treinos, com os dados do relógio, só para devolvê-la a você. No ranking, só viaja o nível de verificação calculado a partir desses dados, nunca a série de batimentos.

Base legal

Por serem dados de saúde, o tratamento se apoia no seu consentimento: consentimento específico e destacado na LGPD (art. 11, I) e consentimento explícito no GDPR (art. 9(2)(a)). A tabela completa está no item 14.

Como retirar a autorização

• desconecte o relógio ou a cinta no próprio app;
• revogue as permissões nas configurações do sistema ou no app Garmin Connect;
• retire, no app, a autorização dada ao Coach, à verificação do treino ou ao ranking;
• desligue o histórico guardado na sua conta em Configurações > Conta.

A retirada não afeta o tratamento já realizado antes dela.

12. Com quem compartilhamos

Não vendemos dados pessoais por dinheiro e não os trocamos por serviço, desconto ou qualquer outra contrapartida. Os terceiros envolvidos são os que tornam o app possível:

A Cloudflare, o Google (Google Workspace), o Sentry e a PostHog atuam como operadores: tratam os dados só conforme as nossas instruções, sob contrato que exige confidencialidade e medidas de segurança, e não podem usá-los para finalidade própria. A transferência internacional desses dados está descrita no item 16.

Também podemos compartilhar dados quando houver ordem judicial, requisição de autoridade competente ou obrigação legal, e, quando a lei permitir avisar, avisamos.

13. Por quanto tempo guardamos

A marca de compra existe por um motivo específico: impedir que uma mesma assinatura já usada seja transferida ou reaproveitada em outra conta depois que a primeira foi excluída. Ela não permite reidentificar você, nem recuperar nada do que era seu.

Registros de moderação arquivados

Cada decisão do nosso sistema de entrega de mídia (liberar, negar, reter ou revogar o acesso, e os eventos de captura de tela do item 9) gera um registro de auditoria. É com ele que investigamos abuso de conteúdo pago, e ele é um registro de acesso a aplicação, que o art. 15 do Marco Civil da Internet manda guardar por 6 meses. Os registros ficam 90 dias no banco de dados e depois vão para um arquivo separado, privado e de acesso restrito:

• no arquivo, o registro não traz o identificador da sua conta, só um identificador pseudonimizado, calculado com uma chave secreta e com um valor aleatório próprio de cada pessoa, guardados separadamente;
• enquanto esse valor existir, os seus registros arquivados entram na exportação dos seus dados, sem o pseudônimo;
• na exclusão da conta, o valor aleatório é destruído e os registros arquivados ficam desvinculados de você para sempre: ninguém, nem nós, consegue mais ligá-los a você. Eles ficam como trilha de auditoria anônima até completarem os 6 meses e então são apagados;
• as cópias de segurança do banco de dados são guardadas por até 30 dias, só são lidas para restaurar o serviço e, depois de uma restauração, todas as exclusões de conta feitas depois da data da cópia são aplicadas de novo antes de o serviço voltar a funcionar.

14. Bases legais de cada tratamento

Cada finalidade tem uma base legal na LGPD (Lei nº 13.709/2018) e, para quem está no Espaço Econômico Europeu, no Reino Unido ou na Suíça, no GDPR. Onde a base é o consentimento, você pode retirá-lo a qualquer momento, sem afetar o que foi feito antes nem o resto do aplicativo.

Onde usamos o legítimo interesse, o interesse é concreto e o impacto sobre você é pequeno: contra fraude, guardamos só resumos criptográficos, sem e-mail e sem nome; na moderação, tratamos só o que você escolheu publicar, para manter a comunidade segura; na detecção de captura, registramos só que o evento ocorreu, para proteger o trabalho de quem criou o conteúdo; nos lembretes de assinatura fora da Europa, escrevemos só a quem já criou conta, poucas vezes, sem dado de saúde e com descadastro em um clique; na verificação anti-robô e nos limites de envio, usamos só dados técnicos da requisição, para proteger o Coach de spam; na medição de campanhas pelo SDK da Meta, enviamos só os eventos do item 4.10, sem dado de saúde e, sem a permissão de rastreamento do iPhone, sem o identificador de publicidade do aparelho e sem o seu e-mail; nos diagnósticos, no Sentry e na PostHog, usamos só dados técnicos e um código derivado da conta, sem dado de saúde e nunca de quem tem 16 ou 17 anos na PostHog, e você pode desligar tudo na chave “Enviar diagnósticos de erro”. Você pode se opor a esses tratamentos pelo e-mail privacidade@gymplus.life.

15. LGPD: seus direitos no Brasil

As bases legais de cada tratamento estão no item 14.

O que você pode exigir

A qualquer momento, sem custo, você pode pedir (art. 18 da LGPD):

• confirmação de que tratamos dados seus, e acesso a eles;
• correção de dado incompleto, inexato ou desatualizado;
• anonimização, bloqueio ou eliminação de dado desnecessário, excessivo ou tratado em desconformidade com a lei;
• portabilidade a outro fornecedor;
• eliminação dos dados tratados com base no seu consentimento;
• informação sobre com quem compartilhamos seus dados;
• informação sobre o que acontece se você não consentir;
• revogação do consentimento;
• revisão de decisão tomada unicamente com base em tratamento automatizado, como uma remoção de conteúdo feita pela moderação automatizada (art. 20).

Algumas escolhas você faz sozinho, sem precisar nos escrever: retirar o consentimento dado ao seu Coach (inclusive os de fotos de progresso, anamnese e avaliações), retirar o consentimento da leitura automática de laudos, encerrar um vínculo, mesmo arquivado, desligar os relatórios e os lembretes por e-mail, apagar um pedido de contato que você enviou, desligar e apagar o histórico guardado na sua conta, sair do ranking e revogar as permissões de localização, Bluetooth, notificações e saúde nas configurações do aparelho. Você também pode baixar, em Perfil > Conta e assinatura > Exportar dados da conta, um arquivo com os dados que guardamos da sua conta, mesmo sem plano ativo.

Para exercer qualquer um desses direitos, escreva para privacidade@gymplus.life. Respondemos em até 15 dias corridos. Para exclusão da conta existe um caminho direto dentro do app, descrito em Excluir conta.

Se você achar que tratamos seus dados de forma indevida, pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

Transferência internacional

Os dados que saem do aparelho são tratados nos Estados Unidos e em outros países onde os nossos operadores mantêm infraestrutura. Essa transferência se apoia em cláusulas contratuais padrão firmadas com cada operador (art. 33, II, b, da LGPD) e nas demais garantias descritas no item 16. Você pode nos pedir cópia das garantias aplicáveis. A cópia do histórico guardado na sua conta (item 4.11) fica guardada só na União Europeia; no caminho entre o seu aparelho e o armazenamento, os dados já cifrados podem passar pela rede da Cloudflare fora da UE, protegidos pelas cláusulas contratuais da Cloudflare.

16. GDPR: seus direitos na Europa

O Gym+ tem interface em 16 idiomas e é vendido nas lojas da Apple e do Google em países do Espaço Econômico Europeu. Se você estiver no EEE, no Reino Unido ou na Suíça, valem também as regras abaixo.

Bases legais (art. 6 e art. 9)

A base de cada tratamento está na tabela do item 14. Em resumo: execução do contrato (art. 6(1)(b)) para o funcionamento do aplicativo e da conta; consentimento (art. 6(1)(a)) para a localização, para o compartilhamento com a Meta no iPhone com a permissão de rastreamento, para o compartilhamento de desempenho com o Coach e para os lembretes de assinatura, por e-mail e no aparelho; consentimento explícito (art. 9(2)(a)) para tudo o que envolve dado de saúde, que é categoria especial (a leitura do app de saúde e dos sensores, o resumo de saúde e a verificação pelo relógio compartilhados com o Coach, as fotos de progresso, a anamnese, as avaliações, a leitura automática do laudo de bioimpedância e o histórico guardado na sua conta); obrigação legal (art. 6(1)(c)) para o registro fiscal e o registro do consentimento do histórico guardado na conta; e interesse legítimo (art. 6(1)(f)) para a prevenção de fraude, a moderação, as denúncias, a detecção de captura de tela, a verificação anti-robô, os registros de acesso, os diagnósticos de erro, desempenho e uso (inclusive pelo Sentry e pela PostHog) e a medição de campanhas pelo SDK da Meta no app. Por isso a leitura de saúde só acontece depois de você autorizar no sistema, e cada consentimento pode ser retirado sem afetar o resto do app.

Transferência internacional

O controlador é uma empresa registrada nos Estados Unidos, e o nosso servidor, o banco de dados, este site e o encaminhamento de e-mail rodam na infraestrutura da Cloudflare, que pode processar dados em data centers fora do seu país, inclusive nos Estados Unidos. Por isso, dados de conta, de assinatura, do programa de indicação, do ranking, do compartilhamento com o Coach, dos e-mails e relatórios, dos pedidos de contato e as mídias publicadas podem ser transferidos para fora do EEE.

A Cloudflare é certificada no EU-U.S. Data Privacy Framework (e nas extensões do Reino Unido e da Suíça) e incorpora as Cláusulas Contratuais Padrão aprovadas pela Comissão Europeia (art. 46(2)(c)) ao seu acordo de tratamento de dados. O Google, que hospeda a nossa caixa de e-mail, oferece as mesmas garantias. Você pode nos pedir cópia das garantias aplicáveis.

Os dados enviados ao Sentry e à PostHog (item 4.9) ficam na União Europeia (Frankfurt, Alemanha), sob os acordos de tratamento de dados dessas empresas, com as Cláusulas Contratuais Padrão aplicáveis ao acesso das empresas a partir dos Estados Unidos.

A cópia do histórico guardado na sua conta (item 4.11) usa o armazenamento de objetos da Cloudflare (R2), na jurisdição da União Europeia, e fica guardada só na União Europeia; no caminho entre o seu aparelho e o armazenamento, os dados já cifrados podem passar pela rede da Cloudflare fora da UE, protegidos pelas cláusulas contratuais da Cloudflare.

Os dados de saúde lidos do app de saúde, dos relógios e dos sensores só saem do aparelho quando você autoriza: o envio ao seu Coach (o resumo de saúde e a verificação pelo relógio), o uso na verificação do treino ou no ranking, ou a cópia do histórico guardado na sua conta, que fica na União Europeia. No ranking, só viaja o nível de verificação calculado a partir deles, nunca a série de batimentos. O mesmo vale para as fotos de progresso, a anamnese e as avaliações que você compartilha com o Coach e para o laudo que você pede para ler automaticamente. Esses dados de categoria especial são transferidos com base no seu consentimento explícito e com as mesmas garantias acima.

Seus direitos

• Acesso (art. 15), retificação (art. 16) e apagamento (art. 17).
• Limitação do tratamento (art. 18) e oposição (art. 21).
• Comunicação da retificação, do apagamento ou da limitação a quem recebeu os seus dados (art. 19).
• Não ficar sujeito a decisão exclusivamente automatizada com efeito significativo (art. 22), como explicado abaixo.
• Portabilidade (art. 20). Na prática: o que é seu de verdade (o diário de treino) está no aparelho, e o próprio app exporta esse histórico em arquivo, sem depender de nós. Os dados que guardamos da sua conta você mesmo baixa em Perfil > Conta e assinatura > Exportar dados da conta, que gera um arquivo, mesmo sem plano ativo: dados de conta, assinatura, ranking e compartilhamento com o Coach e, se você ligou o histórico guardado na sua conta, essa cópia. As mídias que você publicou e os registros de moderação arquivados, enquanto puderem ser ligados a você, podem ser enviados a você em formato legível por máquina, a pedido.
• Retirar o consentimento a qualquer momento (art. 7(3)), sem efeito sobre o que já foi tratado antes.
• Reclamar à autoridade de proteção de dados do seu país (art. 77).

Pedidos: privacidade@gymplus.life. Respondemos em até um mês, como o GDPR exige, e em regra bem antes.

Decisão automatizada

A revisão semanal é uma comparação aritmética entre quatro semanas, não um perfil sobre você. A moderação das mídias publicadas combina análise automatizada e revisão humana; se uma decisão sobre conteúdo seu tiver sido tomada só de forma automatizada, você pode pedir que uma pessoa a revise, pelo e-mail privacidade@gymplus.life. A leitura automática do laudo de bioimpedância só propõe valores: nada é salvo sem que você os revise e confirme. Não tomamos decisão exclusivamente automatizada que produza efeito jurídico ou que afete você de forma significativa, no sentido do art. 22.

17. Crianças e adolescentes

Idade mínima: 16 anos. O Gym+ não pode ser usado por quem tem menos de 16 anos. A conta de quem tem menos de 16 é fechada e, quando sabemos que ela pertence a alguém abaixo dessa idade, nós a apagamos; qualquer pessoa pode pedir isso pelo e-mail privacidade@gymplus.life. O Gym+ não se destina a menores de 13 anos e não coletamos conscientemente dados deles, como pede a COPPA, nos Estados Unidos. Se a lei do seu país exigir uma idade maior que 16 anos para consentir com o tratamento de dados (no EEE, o art. 8 do GDPR), vale a idade local e, abaixo dela, o uso depende de autorização do responsável.

Como o app sabe a sua idade

• Sinal da loja ou do sistema: primeiro, o app consulta o sinal de idade do aparelho: no iPhone, o Declared Age Range da Apple (iOS 26 ou posterior); no Android, o Play Age Signals do Google Play. O app recebe só uma faixa etária (por exemplo, de 16 a 17 anos, ou 18 anos ou mais) e a origem dela (declarada pela própria pessoa, declarada pelo responsável ou verificada), nunca a data de nascimento.
• Data de nascimento: sem esse sinal (aparelho mais antigo, recusa ou serviço indisponível), o app pede a data de nascimento, que fica só no aparelho.
• Divergência: se as duas fontes não baterem, vale a mais protetiva.
• O que vai ao servidor: só o fato de a pessoa ser maior ou menor de 18 anos e o dia em que isso foi confirmado.
• Finalidade: o sinal de idade serve só para adequar o app à idade de quem usa, nunca para anúncios, marketing, perfilamento ou análise.

Modo adolescente (16 e 17 anos)

Quem tem 16 ou 17 anos usa o Gym+ em modo adolescente, com privacidade máxima por padrão:

• Sem recursos sociais: não há ranking, duelos, equipes, liga, amigos, @ público, página pública nem busca por outras pessoas.
• Coach só com consentimento do responsável: o adolescente pode treinar com um Coach, mas o vínculo só nasce depois que o responsável confirma, como explicado abaixo.
• Sem medição de anúncios: o SDK da Meta (item 4.10) e a Conversions API não recebem nada dessa conta, e o que já existia para essa medição é apagado.
• Sem análise de uso: a PostHog (item 4.9) não recebe nada dessa conta, e o Sentry recebe só o erro técnico, sem nenhum identificador da conta e sem medidas de desempenho. As contagens agregadas de desempenho e usabilidade, que não identificam ninguém, continuam.
• Sem e-mails de marketing: lembretes de assinatura e de retorno (item 4.8) e novidades do produto não são enviados, mesmo que a pessoa os tenha ligado. Os relatórios de treino que ela pedir (item 4.7) continuam chegando.
• Dados de saúde: só com o consentimento específico, como para qualquer pessoa (item 2), e nunca para publicidade.
• Histórico guardado na conta: vem desligado e bloqueado e só liga depois que o responsável libera no painel do responsável. Se o responsável revogar a liberação, a nuvem é desligada e a cópia na nuvem é apagada em até 30 dias; o histórico fica só no aparelho. Nunca é usado para publicidade, marketing ou análise, e o responsável não o vê (item 4.11).
• Compras: seguem os controles da loja: na App Store, o Pedir para Comprar do Compartilhamento Familiar; no Google Play, a aprovação pelo Family Link.

Consentimento do responsável para o Coach

Quem tem 16 ou 17 anos pode treinar com um Coach, mas o vínculo só nasce depois que o responsável confirma.

• Pedido de confirmação: quando o adolescente pede ou aceita um vínculo, o app pede o e-mail do responsável. O responsável recebe um e-mail com o nome e o @ do Coach e um link de confirmação que expira em 7 dias. Sem a confirmação, nada é compartilhado com o Coach.
• Registro do consentimento: registramos o e-mail do responsável (guardado cifrado e com um resumo criptográfico, o hash, para localizar o registro), a data, o endereço IP de quem confirmou e a versão do texto aceito. Esse registro é apagado junto com a conta do adolescente.
• Revogação: o responsável pode revogar o consentimento a qualquer momento pelo link que vem nos e-mails. A revogação encerra o vínculo com aquele Coach na hora.
• Avisos ao responsável: o responsável recebe um aviso a cada novo vínculo com Coach e um resumo quando o vínculo acaba, com o nome do Coach e as datas de início e de fim.
• O que o Coach vê: só que o aluno é menor de 18 anos, nunca a idade exata nem o plano do aluno. O Coach segue regras de conduta próprias para menores. Fotos, vídeos e mensagens passam pela mesma moderação de sempre, e denúncias que envolvem um menor são tratadas com prioridade.
• Fotos e idade: quem tem 16 ou 17 anos não compartilha fotos de progresso com o Coach. Nas avaliações físicas que o adolescente compartilha, o Coach vê 17 anos no lugar da idade exata.

Acompanhamento pelo responsável

O responsável de quem tem 16 ou 17 anos pode acompanhar a atividade no Gym+, só para leitura e sem criar conta.

• Como começa: o adolescente informa no app o e-mail do responsável, ou o responsável já confirmou um Coach. O responsável confirma pelo link do e-mail, que expira em 7 dias.
• O que o responsável vê: o tempo no app e os treinos por dia (quantidade e minutos) dos últimos 90 dias e, para cada Coach que ele confirmou, as mensagens entre o Coach e o adolescente. Nunca vê fotos, medidas, dados de saúde, localização nem as mensagens com Coaches que ele não confirmou.
• Acesso: a cada vez, o responsável pede um link de leitura, que enviamos só para o e-mail dele e que vale por 24 horas. A revogação do consentimento encerra o acesso na hora.
• Registro de acesso e transparência: registramos cada acesso com a data e o endereço IP, e o adolescente vê no app quando o responsável acessou e o que ele pode ver.
• Dado mínimo e prazo: para o acompanhamento guardamos só, por dia, os minutos no app, o número de treinos e os minutos de treino, por 90 dias e só enquanto houver um responsável confirmado. Nada disso é usado para publicidade nem mostrado ao Coach, e tudo é apagado junto com a conta.

O resto do modo adolescente não muda: continua sem ranking, duelos, equipes, liga, amigos, @ público e busca de pessoas, sem medição de anúncios e sem e-mails de marketing.

Responsáveis e base legal

O responsável pode pedir acesso, correção ou exclusão dos dados do adolescente pelo e-mail privacidade@gymplus.life. Seguimos o ECA Digital (Lei 15.211/2025, em vigor desde 17 de março de 2026), o Decreto 12.880/2026 e o art. 14 da LGPD, que exige que o tratamento de dados de crianças e adolescentes atenda ao melhor interesse deles. Denúncias que envolvam criança ou adolescente seguem o que está em Denúncias, no item 8.

Representante legal no Brasil (ECA Digital, Lei 15.211/2025, art. 40): ALAS TECNOLOGIA LTDA, CNPJ 27.272.134/0001-18. Contato: privacidade@gymplus.life.

18. Segurança e governança

Certificações

A ALAS TECHNOLOGY LLC detém as certificações ISO/IEC 27001 e ISO/IEC 27701 e mantém, conforme essas normas, um sistema de gestão de segurança da informação e de privacidade. Esse sistema define responsáveis, avalia os riscos periodicamente e documenta os controles aplicados ao Gym+, descritos abaixo.

Certificações ISO/IEC: Information Security Management 27001:2022 (Certificado Q7LUQTCU20251113BRAIS1Z1), Privacy Information Management 27701:2025 (Certificado Q7LUQTCU20251113BRAPI15R) e Compliance Management System 37301:2021 (Certificado Q7LUQTCC20251113BRACM1X7). Conferir os certificados (abre em nova aba)

Controles

• Criptografia em trânsito: toda comunicação entre o app, este site e o nosso servidor é obrigatoriamente HTTPS. O app recusa redirecionamentos que carreguem credenciais.
• Criptografia em repouso: os dados guardados no servidor ficam cifrados em repouso; o que gravamos sobre assinaturas é cifrado também com AES-256-GCM, as fotos de progresso, as respostas de anamnese, as avaliações e os pedidos de contato são cifrados também com AES-GCM, a cópia do histórico guardado na sua conta é cifrada também com AES-256-GCM, com uma chave própria de cada conta, e os identificadores de conta e de instalação são guardados como resumos criptográficos.
• Minimização: tratamos só o necessário para cada finalidade desta política. A posição exata nunca vai ao nosso servidor, só células aproximadas, e a célula do check-in não é guardada. O diário de treino fica no aparelho por padrão e só sai com a sua autorização, como resumo, para o seu Coach e para o ranking ou os times, conforme o que você ativar, ou como cópia cifrada na sua conta, se você ligar o histórico guardado, e os dados de saúde só saem quando você autoriza o envio ao seu Coach, o uso na verificação do treino e no ranking ou a cópia do histórico na sua conta (item 2, item 3, item 4.11 e item 5).
• Controle de acesso: o acesso aos sistemas de produção é restrito a quem precisa dele para operar o serviço, com autenticação forte e revisão periódica das permissões. No app, as credenciais de sessão ficam só em memória e são descartadas ao sair da conta, e nenhuma marca guardada no aparelho concede acesso pago: o direito vem sempre de uma nova consulta à loja.
• Registro e auditoria: acessos e ações administrativas nos sistemas de produção são registrados, e esses registros são revisados para detectar uso indevido. O prazo de guarda está no item 13, e a parte arquivada fica pseudonimizada (Registros de moderação arquivados).

Resposta a incidentes

Nenhum sistema é inviolável. Mantemos um procedimento de resposta a incidentes para detectar, conter, avaliar e corrigir qualquer incidente de segurança. Se um incidente puder acarretar risco ou dano relevante a titulares, comunicamos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados no prazo fixado pela regulamentação da ANPD. Para quem está no EEE, no Reino Unido ou na Suíça, notificamos a autoridade de controle competente em até 72 horas depois de tomarmos conhecimento do incidente e, quando o risco for elevado, comunicamos os titulares afetados sem demora injustificada, como exige o GDPR (arts. 33 e 34).

Encarregado

O encarregado pelo tratamento de dados pessoais (data protection officer) acompanha esse sistema de gestão e é o ponto de contato dos titulares e das autoridades: privacidade@gymplus.life. Para reportar uma vulnerabilidade, veja a página de Segurança ou escreva para security@gymplus.life.

19. Este site

O que segue vale enquanto você não aceitar a medição de anúncios. Se você aceitar no aviso de cookies, este site passa a carregar o Pixel da Meta (de connect.facebook.net) nas páginas iniciais e nas de indicação, suporte e comunidade, nunca nas calculadoras, nas políticas e na página de segurança, e passa a usar os cookies da Meta _fbp (identificador do navegador, 90 dias) e _fbc (identificador do clique no anúncio, 90 dias) e o cookie gp_utm, do próprio site, que guarda durante a visita a origem do anúncio (item 4.10). Além dos dois cookies descritos a seguir, a sua resposta ao aviso, aceite ou recusa, fica no cookie funcional gp_consent por até 12 meses. Você muda a resposta pelo link Preferências de cookies no rodapé; recusar ou retirar apaga _fbp, _fbc e gp_utm.

Este site não usa cookies de publicidade nem de analytics, não carrega fonte, script ou imagem de outro domínio e não cria perfil de quem visita. Ele usa só dois cookies, ambos do próprio site e ambos apenas funcionais. O primeiro, gp_lang, só é criado quando você escolhe um idioma no seletor e guarda essa escolha por até um ano, para abrir o site no mesmo idioma da próxima vez. O segundo, gp_invite, só é criado quando você abre um link de convite em gymplus.life/i: guarda apenas o código do convite, vale só para o caminho /i e dura até 30 dias, para que o código continue à mão até você informá-lo no app. Ele não identifica você nem o seu aparelho. A Cloudflare, que hospeda o site, registra endereço IP e dados técnicos da requisição pelo tempo necessário para entregar a página e proteger a infraestrutura.

A única exceção são as páginas públicas de Coach (gymplus.life/p/): quando você começa a preencher o formulário de contato, a página carrega a verificação anti-robô da Cloudflare, que usa dados técnicos do navegador só para distinguir pessoas de robôs (item 7.6).

20. Mudanças nesta política

Depois de publicada, esta política pode mudar. Se a mudança afetar de forma relevante o que fazemos com dados seus, avisamos dentro do aplicativo e por e-mail, com a data da atualização, antes de ela entrar em vigor.

21. Como falar com a gente

• Privacidade, direitos do titular e encarregado de dados: privacidade@gymplus.life
• Suporte: suporte@gymplus.life ou a página de suporte
• Segurança e vulnerabilidades: security@gymplus.life ou a página de segurança
• Outros assuntos: contato@gymplus.life

ALAS TECHNOLOGY LLC, EIN 93-3927200

Representante legal no Brasil (ECA Digital, Lei 15.211/2025, art. 40): ALAS TECNOLOGIA LTDA, CNPJ 27.272.134/0001-18. Contato: privacidade@gymplus.life.