Política de Privacidade

O Kiptly (“nós”, “nosso”, “o Serviço”) é um aplicativo de acompanhamento de atividade física para iOS e Android, junto com seu site promocional em kiptly.com. Esta Política de Privacidade explica como coletamos, usamos, compartilhamos e protegemos seus dados pessoais e quais direitos você tem nos termos do Regulamento Geral sobre a Proteção de Dados (GDPR) da UE.

Controlador dos dados: Aliaksandr Samuseu, pessoa física residente na Polônia. Contato: [email protected].

1. Dados que coletamos

Coletamos apenas os dados necessários para prestar o Serviço. Categorias:

• Dados da conta: nome, endereço de e-mail e foto do perfil, obtidos quando você faz login com o Google ou com a Apple.
• Dados de treino: exercícios, séries, repetições, carga, duração, anotações e recordes pessoais que você registra no Serviço.
• Medidas corporais (opcionais): peso, percentual de gordura corporal e circunferências, se você optar por inseri-las.
• Dados relativos à saúde – categoria especial (art. 9 do GDPR): informações sobre o ciclo menstrual que você insere (se ativar o treino de acordo com o ciclo) e informações de recuperação que você insere – duração e qualidade do sono, frequência cardíaca em repouso e variabilidade da frequência cardíaca. Esses dados só são tratados depois que você der seu consentimento explícito no Serviço.
• Passos e sono do Apple Health ou do Health Connect (opcional): somente se você tocar em “Conectar” no cartão “Passos e sono” do app e permitir o acesso, o app lê a sua contagem diária de passos e o seu tempo de sono dos últimos 7 dias no Apple Health (iOS) ou no Health Connect (Android) e os mostra a você nesse cartão. Esses valores ficam no seu dispositivo; nós não os recebemos. Recebemos apenas se foram encontrados passos e se foi encontrado sono – um sim ou não para cada um – e se o seu dispositivo usa iOS ou Android. O cartão não lê mais nada do Apple Health ou do Health Connect e não grava nada neles. Treinos salvos no Apple Health ou no Health Connect (opcional): somente se você ativar o salvamento de treinos nas configurações do app e permitir, o app salva no Apple Health ou no Health Connect cada treino que você terminar depois nesse celular, como treino de força com o horário de início e de fim, sem exercícios, séries, cargas ou calorias. O app grava isso no seu dispositivo, no repositório que você escolheu; não recebemos nada sobre isso, e a chave fica guardada no seu celular. Um treino apagado no app também é removido de lá; os treinos já salvos continuam lá quando você desativa a chave, até você apagá-los lá. Um treino que você registra com o app Kiptly no Apple Watch é salvo no Apple Health pelo próprio relógio, com a frequência cardíaca e a energia ativa medidas durante o treino; o celular não o salva uma segunda vez.
• Dados do dispositivo: token de notificações push, fuso horário, versão do sistema operacional e versão do app.
• Registros de login: cada vez que você faz login, registramos o método (Google, Apple ou e-mail), a descrição do dispositivo que seu navegador ou app envia, o endereço IP da conexão e quando a sessão de login começou e terminou. Mantemos essas informações para que você possa identificar um login que não foi feito por você e para encerrar sessões roubadas. Esses registros são mantidos por 90 dias após a expiração da sessão; uma sessão em que seu login ainda está ativo nunca é removida.
• Dados de diagnóstico: relatórios de falhas e rastreamentos de erros, incluindo rastreamento de pilha, tipo de dispositivo, versão do sistema operacional, versão do app e o ID anonimizado da sua conta. Não capturamos seu e-mail, seu nome nem o conteúdo dos seus treinos nos dados de diagnóstico.

2. Base legal para o tratamento

Nos termos do artigo 6 (e do artigo 9, no caso de dados relativos à saúde) do GDPR, utilizamos as seguintes bases legais:

• Execução de contrato (art. 6(1)(b)): o tratamento dos dados da conta, de treino e de assinatura é necessário para prestar o Serviço em que você se cadastrou.
• Legítimo interesse (art. 6(1)(f)): segurança, prevenção de fraudes, diagnóstico de falhas e erros; e-mails sobre o produto (por exemplo, lembretes do teste grátis, convites de treino enviados por personal trainers e amigos, lembretes da anamnese e resumos de treinos); e estatísticas anônimas de uso do produto com o Amplitude (consulte a seção 5). Nosso interesse é manter o Serviço estável e seguro, além de informar você sobre ele e melhorá-lo. Você pode se opor a qualquer momento: todos os e-mails sobre o produto têm um link para cancelar a inscrição, e você pode desativar as estatísticas nas Configurações do app. Nunca enviamos publicidade de terceiros.
• Consentimento (art. 6(1)(a)): notificações push e qualquer outro tratamento opcional para o qual pedimos explicitamente a sua concordância. Você pode revogar o consentimento a qualquer momento, sem que isso afete o tratamento anterior.
• Consentimento explícito (art. 9(2)(a)): dados relativos à saúde. O acompanhamento do ciclo e as informações de recuperação que você insere estão cobertos por um consentimento; os passos e o sono do Apple Health ou do Health Connect, por um consentimento separado, que você dá ao tocar em “Conectar”. Você pode revogar qualquer um deles a qualquer momento no app, sem afetar o outro.

3. Como usamos seus dados

• Exibir seus treinos, sua evolução e suas estatísticas dentro do Serviço.
• Se você conectar o Apple Health ou o Health Connect: mostrar seus passos e seu sono dos últimos 7 dias no cartão “Passos e sono” e usar a informação de que algum dado foi encontrado para melhorar esse recurso – por exemplo, para decidir se criamos uma visualização mais completa de passos e sono.
• Sincronizar seus dados entre seus dispositivos.
• Enviar as notificações push que você permitir (lembretes de treino, mensagens do personal trainer) e os nossos e-mails: os transacionais, como recibos, e os e-mails sobre o produto, dos quais você pode cancelar a inscrição a qualquer momento.
• Melhorar a confiabilidade, diagnosticar falhas e corrigir bugs usando dados de diagnóstico anonimizados.
• Detectar fraudes e abusos, incluindo abuso de assinaturas e violações dos Termos de Uso.

4. Dados relativos à saúde e à atividade física – avisos especiais

• Tratamos dados relativos à saúde somente com seu consentimento explícito, que você dá separadamente da aceitação dos Termos de Uso.
• Apple Health e Health Connect: o app lê somente passos e sono, somente depois que você toca em “Conectar” e permite o acesso, e somente para mostrá-los a você e melhorar este recurso. Nada disso é enviado a anunciantes ou corretores de dados, nem aos serviços de análise e de relatórios de falhas da seção 5 (Amplitude, Sentry), e nada disso é mostrado ao seu personal trainer. Você pode desconectar a qualquer momento no app e revogar o próprio acesso nas configurações do Apple Health ou do Health Connect no seu dispositivo. O app só grava neles os treinos descritos acima, e somente depois que você ativa isso nas configurações do app.
• Nunca usamos dados relativos à saúde ou à atividade física para fins de publicidade, marketing ou mineração de dados.
• Nunca usamos dados relativos à saúde ou à atividade física para determinar elegibilidade para emprego, seguro, crédito ou moradia.
• Nunca colocamos informações pessoais relativas à saúde no iCloud nem em nenhuma nuvem de terceiros voltada ao consumidor. Seus dados relativos à saúde são armazenados em nossos servidores gerenciados na UE (Hetzner, Alemanha), conforme descrito na seção 5, e replicados somente no nosso armazenamento criptografado de backups, descrito nessa mesma seção.
• Nunca vendemos seus dados a terceiros e não os compartilhamos com anunciantes.

5. Prestadores de serviços terceiros

Compartilhamos dados com um número limitado de prestadores de serviços para o funcionamento do Serviço. Aqueles que tratam os dados em nosso nome estão vinculados a um contrato de tratamento de dados (DPA) em conformidade com o art. 28 do GDPR:

• Google Sign-In e Apple Sign-In: autenticação de usuários, se você entrar com o Google ou com a Apple. Esse login é regido pelas políticas de privacidade do Google e da Apple. Dados trocados: token de login, e-mail, nome, avatar.
• RevenueCat (Estados Unidos): gerenciamento do ciclo de vida das assinaturas. Dados compartilhados: ID de usuário anonimizado, status da assinatura. Transferências amparadas pelo Quadro de Privacidade de Dados UE-EUA e pelas cláusulas contratuais-padrão.
• Firebase Cloud Messaging (Estados Unidos): entrega de notificações push. Dados compartilhados: token de push. Transferências amparadas pelo Quadro de Privacidade de Dados UE-EUA e pelas cláusulas contratuais-padrão.
• Resend (Estados Unidos): entrega dos nossos e-mails, tanto os transacionais (recibos, redefinições de senha, notificações importantes sobre a conta) quanto os e-mails sobre o produto (por exemplo, lembretes do teste grátis e da anamnese, convites de treino, resumos de treinos). Dados compartilhados: endereço de e-mail, conteúdo da mensagem. Transferências amparadas pelo Quadro de Privacidade de Dados UE-EUA e pelas cláusulas contratuais-padrão.
• Sentry (Estados Unidos): relatórios de falhas e erros. Dados compartilhados: rastreamento de pilha, tipo de dispositivo, versão do sistema operacional, versão do app, ID anonimizado da conta. Não transmitimos e-mail, nome nem conteúdo de treinos ao Sentry. Transferências amparadas pelo Quadro de Privacidade de Dados UE-EUA e pelas cláusulas contratuais-padrão.
• Amplitude (União Europeia): estatísticas anônimas de uso do produto (quais recursos são usados, eventos de funil), tratadas no centro de dados do Amplitude na UE (Frankfurt, Alemanha). Dados compartilhados: um identificador aleatório por usuário e nomes de eventos – sem e-mail, nome nem conteúdo de treinos. Você pode se opor no app, em “Configurações → Jurídico”. As empresas afiliadas do Amplitude com sede nos Estados Unidos podem acessar esses dados remotamente para suporte, segurança e depuração; essas transferências são amparadas pelo Quadro de Privacidade de Dados UE-EUA e pelas cláusulas contratuais-padrão.
• Hetzner Online GmbH (Alemanha): hospedagem do banco de dados principal e do servidor de aplicação, localizada na União Europeia.
• Cloudflare, Inc. (Estados Unidos, com centros de dados na UE): DNS, proteção contra DDoS e armazenamento externo e criptografado de backups (Cloudflare R2, região da UE). Os backups são substituídos em ciclos de até 30 dias. Transferências amparadas pelo Quadro de Privacidade de Dados UE-EUA e pelas cláusulas contratuais-padrão.

6. Seu personal trainer

Se você se vincular a um personal trainer no Kiptly, esse personal trainer recebe acesso ao seu perfil do aluno: tudo o que você registra no app – suas respostas da anamnese, seus treinos e suas medidas – junto com o chat entre vocês e tudo o que o personal trainer registra por conta própria sobre o seu treino: anotações, as sessões que agenda e os programas que atribui a você, e medições feitas durante uma sessão. Três coisas continuam sob seu controle, no seu perfil: se o personal trainer pode ler as mensagens anteriores ao vínculo, se pode registrar treinos por você e – quando criarmos a tela de nutrição – se pode ver seu diário alimentar. Você pode alterar essas opções a qualquer momento.

Os dados ficam conosco. O Kiptly armazena seus dados e permite que seu personal trainer os acesse enquanto durar o acompanhamento. Você pode se desvincular a qualquer momento; nos 90 dias seguintes, seu personal trainer ainda pode abrir seu perfil do aluno tal como estava no dia em que você se desvinculou e não vê nada do que você fizer depois disso. Em seguida, apagamos as sessões que o personal trainer agendou e os programas que atribuiu a você; as anotações do personal trainer continuam fazendo parte dos seus dados, e você ainda pode lê-las.

Não regulamos a relação entre você e seu personal trainer. O Kiptly oferece os meios para que vocês trabalhem em conjunto; condições, pagamento e obrigações são questões entre você e seu personal trainer.

7. Transferências internacionais de dados

Seus dados são armazenados principalmente em servidores localizados na União Europeia (Hetzner, Alemanha). Alguns dos nossos operadores (listados acima) atuam nos Estados Unidos. Essas transferências se baseiam no Quadro de Privacidade de Dados UE-EUA, quando o operador é certificado, e nas cláusulas contratuais-padrão da Comissão Europeia, com garantias complementares conforme exigido.

8. Retenção de dados

• Contas ativas: mantemos seus dados pessoais enquanto sua conta estiver ativa.
• Passos e sono (sim ou não): mantidos enquanto você permanecer conectado e excluídos em até 30 dias depois que você desconectar ou excluir sua conta.
• Após a exclusão da conta: todos os dados pessoais são removidos de forma permanente em até 30 dias.
• Backups externos: substituídos em ciclos de até 30 dias; os dados excluídos saem dos backups dentro desse prazo.
• Registros de falhas e erros: mantidos no Sentry por até 90 dias e depois excluídos.
• Estatísticas agregadas: mantidas por tempo indeterminado, de forma totalmente anonimizada, sem identificadores que possam levar até você.

9. Segurança

Protegemos seus dados com criptografia TLS 1.3 em trânsito e criptografia AES-256 em repouso. O acesso aos sistemas de produção é restrito a pessoal autorizado e é auditado. Segredos e credenciais são armazenados em um serviço gerenciado de segredos.

Em caso de violação de dados pessoais suscetível de afetar seus direitos e liberdades, notificaremos a autoridade de controle competente em até 72 horas e notificaremos os usuários afetados sem demora injustificada, conforme exigido pelos artigos 33 e 34 do GDPR.

10. Seus direitos (GDPR)

Nos termos do GDPR, você tem os seguintes direitos:

• Direito de acesso (art. 15): solicitar uma cópia dos seus dados. Disponível em autoatendimento no app; o passo a passo está em kiptly.com/support.
• Direito de retificação (art. 16): editar seu perfil a qualquer momento no app.
• Direito à eliminação (art. 17): excluir sua conta e todos os dados associados por conta própria, no app. O passo a passo para a sua versão do app está em kiptly.com/support.
• Direito à limitação do tratamento (art. 18): pedir que suspendamos o tratamento em circunstâncias específicas.
• Direito à portabilidade dos dados (art. 20): exportar seus treinos e sua evolução em formato CSV.
• Direito de oposição (art. 21): opor-se ao tratamento baseado em legítimo interesse.
• Direito à revogação do consentimento (art. 7(3)): revogar a qualquer momento todo consentimento que você tenha dado, com a mesma facilidade com que o deu. A revogação não afeta a licitude do tratamento anterior.
• Direito de apresentar reclamação (art. 77): apresentar uma reclamação à autoridade de controle polonesa, Urząd Ochrony Danych Osobowych (uodo.gov.pl), ou à sua autoridade local de proteção de dados na UE/EEE.

Para exercer qualquer um desses direitos, envie um e-mail para [email protected]. Respondemos em até 30 dias.

Não realizamos tomada de decisão automatizada nem criação de perfis que produzam efeitos jurídicos ou efeitos igualmente significativos sobre você.

11. Privacidade de menores

O Serviço é destinado a usuários a partir de 16 anos. Não coletamos conscientemente dados de menores de 16 anos. Se você acredita que um menor de 16 anos forneceu dados pessoais ao Serviço, entre em contato pelo e-mail [email protected], e nós os excluiremos prontamente.

12. Alterações nesta Política

Podemos atualizar esta Política de Privacidade de tempos em tempos. Em caso de alterações relevantes, notificaremos você por e-mail e com um banner no app pelo menos 30 dias antes de as alterações entrarem em vigor. A data no topo desta página corresponde à atualização mais recente.

13. Contato

Para dúvidas sobre privacidade ou para exercer seus direitos, entre em contato com o Controlador dos dados, Aliaksandr Samuseu, pelo e-mail [email protected].