Política de Privacidade

Quais dados coletamos

Só o necessário para você reservar uma bike e para a academia organizar a aula:

• Nome — para a academia saber quem está na bike e para você se identificar na aula.
• E-mail — é o seu login e o canal de confirmação de conta e recuperação de senha.
• WhatsApp — é por onde você envia o comprovante do PIX e por onde a academia fala com você.
• CPF — pedido uma única vez, na primeira vez que você reserva, e guardado legível. Ele é pedido de todo aluno que reserva, e não só de quem vem de fora. Serve para duas coisas: a academia identificar você no balcão, cruzando com a lista de matriculados dela, e garantir que o valor de primeira experiência valha uma vez por pessoa.
• Senha — guardada apenas como hash pelo Firebase Authentication; nem a academia nem nós vemos a senha.
• Suas reservas — aula, data, número da bike, valor, situação do pagamento e horários das mudanças de situação.
• Token de notificação — só se você autorizar as notificações. Serve para avisar que a reserva foi confirmada, que o prazo do PIX está acabando ou que abriu vaga na fila de espera.

O que NÃO coletamos: localização, agenda, contatos, fotos, microfone, identificador de publicidade e dados de saúde. Não há rastreamento entre aplicativos nem publicidade dentro do app.

O CPF, em detalhe

O CPF é o dado mais sensível que guardamos, então ele fica explicado à parte. Três coisas, sem rodeio:

• Ele é guardado legível, e não embaralhado. Isso é uma escolha da academia: ela precisa ver o número para conferir com a lista de matriculados dela.
• Quem vê: você, a administração e a recepção — a recepção porque é ela que confirma o pagamento no balcão e precisa saber quem é quem. O professor não vê o CPF de ninguém: ele vê apenas quem está em cada bike da aula dele.
• Ao excluir a conta, o número é apagado junto com o resto do seu perfil. Fica apenas um código irreversível, explicado na seção seguinte.

Você informa o CPF uma vez e não pode trocá-lo sozinho pelo app. Se digitou errado, fale com a academia.

O código que sobra depois da exclusão

A academia oferece um valor reduzido na primeira aula de cada pessoa. Para que isso valha uma vez, e não uma vez por conta criada, guardamos um código derivado do seu CPF — o resultado de um cálculo criptográfico (HMAC-SHA256) que depende de uma chave secreta guardada no servidor. Desse código não é possível voltar ao CPF sem a chave, e ele não é usado para mais nada: não identifica você em tela nenhuma, e ninguém na academia o vê.

Esse código permanece depois que você exclui a conta, junto apenas com a informação de que a primeira experiência já foi usada. Sem isso, bastaria excluir a conta e criar outra para repetir a promoção indefinidamente. A base legal para mantê-lo é o legítimo interesse (art. 7º, IX da LGPD) em prevenir abuso, e ele é o único dado que sobrevive à exclusão — tudo o mais (nome, e-mail, WhatsApp, CPF, token de notificação e conta de login) é apagado.

Pagamento

O pagamento é feito por PIX fora do aplicativo, direto na sua instituição financeira, e o comprovante é enviado por WhatsApp. O app não recebe, processa ou armazena chave PIX sua, número de cartão, dados bancários ou o arquivo do comprovante. O que fica registrado é apenas o valor da aula e se a academia marcou a reserva como paga.

Por que tratamos esses dados

Nome, e-mail, WhatsApp, senha, CPF e reservas são tratados para executar o contrato entre você e a academia (art. 7º, V da LGPD): sem eles não há como reservar uma bike nem confirmar um pagamento. O token de notificação é tratado com base no seu consentimento (art. 7º, I), que você dá ao aceitar o pedido de notificação do sistema e pode revogar a qualquer momento nos ajustes do aparelho. O código derivado do CPF que sobrevive à exclusão da conta é tratado com base no legítimo interesse (art. 7º, IX) em impedir que a promoção de primeira experiência seja usada mais de uma vez pela mesma pessoa.

Quem mais vê seus dados

Não vendemos nem alugamos dados pessoais, e não os compartilhamos para publicidade. Eles passam apenas por quem opera a infraestrutura do app:

• Google (Firebase) — autenticação, banco de dados e servidor do app. Os dados ficam na infraestrutura do Google Cloud.
• Expo — serviço que entrega as notificações ao seu aparelho. Recebe o token do aparelho e o texto da notificação (nome da aula, data e número da bike).

Dentro da academia, cada pessoa vê o mínimo: o professor vê o nome dos alunos das aulas dele, e nada mais — nem o valor da aula, nem o CPF; a administração e a recepção veem as reservas, os pagamentos e, de quem aparece numa reserva, o nome e o CPF; outros alunos veem apenas quais bikes estão ocupadas, nunca por quem.

Por quanto tempo guardamos

Enquanto sua conta existir. Ao excluir a conta, seus dados pessoais — inclusive o CPF — são apagados, e o histórico de aulas que a academia precisa manter para o próprio controle financeiro fica sem o seu nome, sem ligação com você. A única exceção é o código irreversível derivado do CPF, explicado acima.

Excluir sua conta

Você exclui a conta sozinho, dentro do app, em Perfil → Excluir minha conta. Os detalhes do que é apagado estão em https://app.corpolivreacademia.com/excluir-conta.

Seus direitos

A LGPD garante a você confirmação do tratamento, acesso, correção, anonimização, portabilidade, revogação do consentimento e eliminação dos dados. Para exercer qualquer um deles, escreva para contato@corpolivreacademia.com. Respondemos em até 15 dias.

Crianças e adolescentes

O app é destinado a alunos da academia maiores de 18 anos. Não coletamos intencionalmente dados de crianças. Se souber de um cadastro de menor de idade feito sem autorização dos responsáveis, avise em contato@corpolivreacademia.com e a conta será excluída.

Mudanças nesta política

Se o app passar a coletar algo diferente, esta página é atualizada antes, e a data no topo muda. Vale a versão publicada aqui.

Contato

Dúvidas sobre privacidade: contato@corpolivreacademia.com.