1. Quem somos e escopo
Esta Política de Privacidade descreve como a Gymboard (“Gymboard”, “nós”) trata dados pessoais no portal web, no aplicativo da equipe, no portal do aluno/membro e em serviços associados (incluindo cobrança, catraca/acesso, chat e integrações).
A Gymboard é uma plataforma de gestão para academias e negócios fitness. Em regra: (a) a academia cliente é a controladora dos dados dos seus alunos, leads, colaboradores e visitantes; (b) a Gymboard atua como operadora, tratando esses dados sob instrução da academia, para prestar o serviço contratado; (c) em relação à conta do gestor/usuário da plataforma e à própria relação comercial com a academia, a Gymboard pode atuar como controladora.
Esta política observa a Lei nº 13.709/2018 (LGPD), o Marco Civil da Internet e, quando aplicável, exigências setoriais de pagamento (PCI DSS via provedores) e orientações da ANPD.
2. Papéis: controlador e operador
- Controladora (academia): decide finalidades e meios do cadastro de alunos, cobranças da unidade, biometria/catraca, anamnese/avaliações físicas, WhatsApp e comunicações com o titular.
- Operadora (Gymboard): processa, armazena e disponibiliza ferramentas técnicas conforme o contrato e as configurações da academia.
- Controladores independentes (terceiros): gateways de pagamento (ex.: Pagar.me), provedores de e-mail/WhatsApp, nuvem (Google Cloud / Firebase) e autenticação — cada um com política própria para o tratamento que controlam.
- A academia é responsável por obter bases legais adequadas perante o titular (aluno), incluindo consentimento específico e destacado quando a LGPD exigir (ex.: biometria e dados de saúde).
3. Categorias de dados pessoais
Dependendo dos módulos ativados pela academia, podemos tratar:
- Cadastro e identificação: nome, e-mail, telefone, documento (CPF/RG), foto, endereço, data de nascimento, vínculos com a academia.
- Conta e autenticação: credenciais, sessões, MFA, logs de acesso à plataforma.
- CRM e operação: status comercial, notas, tarefas, histórico de atendimento, deals e interações.
- Agenda e presença: reservas de aulas, check-in/check-out, frequência.
- Acesso físico / catraca: eventos de entrada/saída, permissões de portas/áreas.
- Biometria (quando habilitada): templates ou imagens faciais/digitais processados para identificação de acesso — dado pessoal sensível (LGPD art. 5º, II).
- Saúde e condicionamento (quando a academia cadastra): anamnese, restrições, avaliações físicas, medidas, treinos e informações correlatas — podem ser dados sensíveis de saúde.
- Financeiros e cobrança: planos, assinaturas, faturas, status de pagamento, valores, inadimplência, tokens/IDs de cobrança. Dados de cartão (PAN/CVV) não devem ser armazenados pela Gymboard; o processamento sensível ocorre no gateway certificado.
- Comunicações: conteúdo e metadados de e-mail, WhatsApp e chat interno, conforme integrações autorizadas.
- Uso e telemetria: logs técnicos, dispositivo, IP, diagnósticos de erro e métricas agregadas de desempenho.
4. Dados sensíveis (saúde e biometria)
Dados referentes à saúde e dados biométricos vinculados a pessoa natural são dados pessoais sensíveis (LGPD art. 5º, II) e só podem ser tratados nas hipóteses do art. 11.
Para a academia (controladora), as bases mais comuns incluem: consentimento específico e destacado do titular; cumprimento de obrigação legal/regulatória; proteção da vida; e, quando cabível e nos limites legais, tutela da saúde realizada por profissionais/entidades de saúde. Legítimo interesse não se aplica a dados sensíveis.
A Gymboard, como operadora de software, não se substitui a profissional de saúde. Não usamos dados de saúde ou biometria para vender, perfilar comercialmente o titular a terceiros ou selecionar riscos de planos de saúde.
É vedado o compartilhamento de dados de saúde entre controladores com objetivo de obter vantagem econômica fora das hipóteses legais (LGPD art. 11, §§ 3º e 4º). A academia e a Gymboard devem observar essa vedação.
Biometria de catraca/acesso: deve haver finalidade clara (segurança/controle de acesso), alternativa razoável quando exigida, retenção limitada e medidas de segurança reforçadas. Preferimos minimizar (template/hash) e restringir acesso por perfil.
5. Dados financeiros e pagamentos
- Cobranças recorrentes e avulsas são processadas por provedores de pagamento (ex.: Pagar.me), que atuam sob padrões PCI DSS.
- A Gymboard armazena metadados da cobrança (status, valor, plano, IDs externos) necessários à gestão financeira da academia — não o CVV nem o número completo do cartão.
- Bases típicas: execução de contrato (mensalidade/plano), obrigação legal (fiscal/contábil) e prevenção a fraude.
- Retenção de documentos fiscais/comprovantes segue prazos legais aplicáveis (em geral plurianuais), independentemente do cancelamento do plano do aluno.
6. Finalidades do tratamento
- Prestar e operar a plataforma contratada pela academia (CRM, agenda, portal, equipe, cobrança, acesso).
- Autenticar usuários, proteger contas e prevenir abuso/fraude.
- Processar cobranças e conciliações sob instrução da academia.
- Enviar comunicações transacionais (avisos de pagamento, confirmações, segurança).
- Suporte técnico e melhoria do produto (incluindo logs e métricas), com minimização e, quando possível, agregação/anonimização.
- Cumprir obrigações legais, ordens de autoridade e exercício regular de direitos.
7. Bases legais (resumo)
A base legal concreta depende do papel (controlador/operador) e da finalidade. Em linhas gerais:
- Execução de contrato / procedimentos preliminares (art. 7º, V) — conta, planos, portal, suporte.
- Obrigação legal ou regulatória (art. 7º, II / art. 11, II, a) — fiscal, contábil, segurança quando exigida.
- Legítimo interesse (art. 7º, IX) — apenas para dados não sensíveis, com teste de balanceamento (ex.: segurança da plataforma, melhoria agregada).
- Consentimento (art. 7º, I / art. 11, I) — marketing opcional; biometria e dados de saúde quando a academia optar por essa base; deve ser específico, destacado e revogável.
- Proteção da vida / tutela da saúde (art. 11, II) — apenas quando aplicável e nos limites legais, tipicamente sob responsabilidade da academia/profissional.
8. Compartilhamento e subprocessadores
Não vendemos dados pessoais. Compartilhamos apenas o necessário para operar o serviço, por exemplo:
- Infraestrutura cloud e banco (Google Cloud / Firebase).
- Pagamentos (Pagar.me / adquirentes).
- Comunicações (e-mail transacional, WhatsApp Business API / provedores autorizados).
- Serviços de identidade/biometria, quando a academia habilitar módulo de reconhecimento.
- Autoridades, quando houver obrigação legal.
Transferências internacionais (ex.: regiões cloud) observam a LGPD e mecanismos admitidos pela ANPD (cláusulas-padrão, garantias contratuais etc.).
9. Segurança
- Criptografia em trânsito (TLS) e controles de acesso por perfil/academia (multitenancy).
- Isolamento lógico por tenant (gymId / contas).
- Monitoramento, logs e práticas de menor privilégio.
- Em incidente de segurança com risco relevante aos titulares, comunicamos a ANPD e os titulares conforme a regulamentação vigente (ex.: Resolução CD/ANPD nº 15/2024), e apoiamos a academia controladora no fluxo de notificação.
10. Retenção e exclusão
- Enquanto a academia mantiver a conta ativa e o vínculo com o titular for necessário à finalidade.
- Após cancelamento: prazos prudenciais para defesa de direitos e obrigações legais (fiscais, consumeristas, trabalhistas quando aplicável).
- Dados sensíveis: retenção mínima compatível com a finalidade; exclusão ou anonimização quando não houver base remanescente.
- Pedidos de exclusão do titular devem ser endereçados preferencialmente à academia controladora; a Gymboard apoia a execução técnica quando operador.
11. Direitos do titular (LGPD)
Você pode solicitar confirmação de tratamento, acesso, correção, anonimização, portabilidade, eliminação, informação sobre compartilhamentos, revogação de consentimento e oposição, nos termos dos arts. 18 e seguintes da LGPD.
- Aluno/membro: canal principal = academia onde você treina (controladora).
- Usuário gestor / conta Gymboard: privacidade@gymboard.io ou dpo@gymboard.io.
- Resposta em prazo razoável; poderemos confirmar identidade antes de atender.
12. Crianças e adolescentes
Quando a academia cadastrar menores, o tratamento deve observar o art. 14 da LGPD (melhor interesse da criança/adolescente e consentimento específico de pelo menos um responsável, quando aplicável). A academia é responsável por essa conformidade no cadastro.
13. Cookies e tecnologias similares
Usamos cookies/local storage essenciais à sessão, segurança e preferências. Analíticos, quando usados, preferem agregação e podem ser limitados conforme configuração. Você pode restringir cookies no navegador, ciente de impactos na experiência.
14. Alterações
Podemos atualizar esta política. Mudanças relevantes serão indicadas pela data de atualização e, quando adequado, por aviso no produto ou e-mail. O uso contínuo após a vigência da nova versão, nos limites legais, implica ciência das alterações.