Política de privacidade

Quem somos e de quem são os dados

O Titular é uma plataforma de gestão, cobrança e boletim para escolas e academias esportivas. Cada escolinha que usa o Titular é a controladora dos dados dos seus alunos e responsáveis, nos termos da Lei 13.709/2018 (LGPD). O Titular é o operador: trata esses dados em nome da escolinha, para prestar o serviço, e não os usa para nada além disso. Os dados da conta de quem administra a escolinha (nome, e-mail, senha) são tratados pelo Titular como controlador.

Que dados o Titular guarda

• Do responsável: nome, CPF, telefone, e-mail, endereço quando pedido pela escolinha, e a senha do portal (guardada só como hash, nunca em claro).
• Do aluno: nome, data de nascimento, turma, presença, avaliações do professor e o boletim; a ficha de saúde (alergias, remédios, condições) só com a autorização do responsável; a foto só com a autorização de imagem.
• Da cobrança: as mensalidades, o que foi pago e quando. O número do cartão nunca passa pelo Titular: quem recebe é o Asaas, na fatura hospedada dele.
• Do treinador (Jornada): a câmera é usada para reconhecer a pose e a bola no próprio aparelho. Nenhum vídeo nem imagem sai do celular. O que é enviado é o resultado do treino: exercício, contagem, nota e horário.
• Técnicos: o cookie de sessão (para você continuar entrado), registros de acesso com data, hora e um identificador da requisição, e as tentativas de login (para travar força bruta). Não há analytics de visitas.
• Notificação push: só se você ativar em Ajustes ou nas configurações do portal, o endereço que o navegador cria para entregar avisos neste aparelho. Some quando você desativa ou remove o app.

Para quê

Matricular e organizar turmas; gerar e acompanhar a cobrança da mensalidade; mostrar o boletim ao responsável; guiar o treino em casa; atender pelo WhatsApp da escolinha; e manter o sistema seguro. O Titular não vende dados, não faz perfil para publicidade e não manda SMS. As mensagens que saem são só estas:

• E-mail: o de senha nova, quando a própria pessoa pede; o de boas-vindas a quem cria a conta da escolinha; o aviso ao dono da escolinha de que um pedido de atendimento no WhatsApp está sem resposta; e os avisos que a escolinha escreve, revisa e envia ela mesma pela Central de Comunicação.
• Notificação push: só quando você mesmo ativa, e você desativa quando quiser.
• WhatsApp, no número da escolinha: respostas a quem escreveu primeiro, dentro da janela de atendimento; e, só para o responsável financeiro que autorizou (e sai respondendo SAIR), até três lembretes por mensalidade, em modelo aprovado pela Meta. Nunca para grupo, nunca campanha.

Com quem os dados passam

• Asaas (cobrança): nome, CPF, e-mail e telefone do responsável, para emitir a cobrança na conta da escolinha.
• Contabo (servidor em St. Louis, Estados Unidos): hospeda o sistema e o banco de dados, e guarda cópias de segurança do banco. Uma cópia de antes da mudança de servidor continua no Supabase (São Paulo), guardada só para desfazer a mudança se for preciso.
• Cloudflare (armazenamento): guarda uma cópia de segurança do banco, cifrada antes de sair do servidor do Titular. O local indicado à Cloudflare é a América do Norte, sem garantia de país.
• Resend (e-mail): o endereço e o texto dos e-mails listados acima.
• Meta (WhatsApp) e o provedor que conecta o número da escolinha a ela (Kapso ou ZapClaw): o telefone e as mensagens da conversa.
• Anthropic (inteligência artificial): no WhatsApp, só o texto que a pessoa escreveu, para entender o pedido; na Central de Comunicação, só o pedido do dono, sem dado de aluno ou responsável.
• Stripe e Asaas (assinatura do Titular): os dados de quem contrata o Titular pela escolinha, para cobrar a assinatura.
• O serviço de notificação do navegador (Google, Apple ou Mozilla), quando a push está ativa: só o aviso.

Nenhum deles recebe mais do que precisa para a sua função. Contabo, Cloudflare, Resend, Meta, Anthropic e Stripe são empresas de fora do Brasil, e os dados que recebem podem ser tratados nos Estados Unidos.

Crianças e adolescentes

Os dados do aluno são tratados no melhor interesse dele (art. 14 da LGPD), com o consentimento específico do responsável dado na inscrição: cobrança (obrigatório), ficha de saúde, imagem e novidades da escolinha (opcionais, e revogáveis a qualquer momento, sem afetar a matrícula). A imagem de criança não é usada para engajamento nem monetização.

Participante adulto

Quando o aluno é maior de idade e contrata a própria aula (por exemplo, na hidroginástica), ele é ao mesmo tempo o titular dos dados e o responsável financeiro de si mesmo: a cobrança sai no CPF dele e o portal é dele. As bases são a execução do contrato para cadastro, matrícula e cobrança e o consentimento para o que é opcional (art. 7º da LGPD), e o consentimento específico para a ficha de saúde (art. 11). Os detalhes estão no Termo do participante adulto.

Por quanto tempo

Enquanto a matrícula estiver ativa e, depois, pelo prazo que a escolinha precisar para obrigações fiscais e de cobrança. A ficha de saúde é apagada quando a autorização é revogada. Cópias de segurança do banco ficam 14 dias no próprio servidor. As cópias cifradas na Cloudflare ficam protegidas contra exclusão nos primeiros 30 dias e são apagadas automaticamente depois de 35 dias.

Seus direitos

Confirmar que há tratamento, acessar, corrigir, pedir anonimização ou eliminação, portabilidade, saber com quem foi compartilhado e revogar consentimentos. O pedido vai para a escolinha (a controladora); o Titular a apoia para responder. Também é possível reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

Segurança

Senhas guardadas com hash bcrypt; chaves de integração cifradas no banco; acesso de cada escolinha isolado por identificador na sessão assinada; limite de tentativas em login e nas ações sensíveis; conexão sempre por HTTPS.

Contato e mudanças

Dúvidas sobre esta política: privacidade@viratitular.com.br. Quando ela mudar, a versão nova aparece aqui com a data; mudanças que ampliem o uso dos dados são avisadas na tela ao entrar.