Política de Privacidade

1. Apresentação

Esta Política de Privacidade descreve como o ERPFIT coleta, utiliza, armazena, compartilha e protege os dados pessoais tratados no âmbito de sua plataforma SaaS de gestão para academias, estúdios de pilates, clínicas de fisioterapia e profissionais autônomos da área da saúde e movimento.

O tratamento de dados pessoais é realizado em observância à Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 — LGPD), ao Marco Civil da Internet (Lei nº 12.965/2014), ao Código de Defesa do Consumidor e à legislação aplicável.

Esta política é parte indissociável dos Termos de Uso. Ao utilizar a plataforma, o Titular declara ter lido, compreendido e concordado com o aqui disposto.

2. Controlador e Encarregado (DPO)

O Controlador dos dados pessoais tratados no âmbito da Plataforma é:

3. Definições

• Dado pessoal: informação relacionada a pessoa natural identificada ou identificável.
• Dado pessoal sensível: dado sobre origem racial ou étnica, convicção religiosa, opinião política, saúde ou vida sexual, dado genético ou biométrico, quando vinculado a pessoa natural.
• Titular: pessoa natural a quem se referem os dados pessoais.
• Tratamento: toda operação realizada com dados pessoais (coleta, armazenamento, uso, compartilhamento, eliminação etc.).
• Controlador: pessoa a quem competem as decisões referentes ao tratamento.
• Operador: pessoa que realiza o tratamento em nome do controlador.
• Contratante / Estúdio: pessoa física ou jurídica assinante do ERPFIT que utiliza a plataforma para gerir sua própria operação.

4. Dados coletados

4.1. Dados do Contratante e usuários da plataforma

• Cadastrais: nome, razão social, CPF ou CNPJ, endereço, telefone/celular, e-mail, nome do estúdio, foto de perfil.
• Autenticação: e-mail de login, senha (armazenada com hash bcrypt, nunca em texto claro), tokens de recuperação de senha.
• Financeiros / cobrança: plano contratado, ciclo, valores pagos, método de pagamento (Pix ou cartão). Dados de cartão de crédito são tokenizados pelo gateway (EFI/Gerencianet); a plataforma armazena apenas token, bandeira e últimos 4 dígitos — jamais o número completo ou o CVV.
• Uso e logs: IP de acesso, data/hora de login, navegador, páginas acessadas, ações realizadas no sistema (para fins de segurança, auditoria e melhoria do serviço).

4.2. Dados tratados em nome do Contratante (Operador)

São dados que o Contratante insere na plataforma para gerir sua atividade, incluindo dados pessoais e dados pessoais sensíveis de seus pacientes/clientes:

• Cadastro do paciente: nome, CPF, data de nascimento, contato, endereço, foto.
• Dados de saúde (sensíveis): anamnese, histórico clínico, medicamentos em uso, alergias, patologias, cirurgias prévias, avaliações físicas, evoluções, planos de fisioterapia e treinamento.
• Dados de agenda: sessões marcadas, presenças, cancelamentos.
• Dados financeiros do paciente: mensalidades, pagamentos, faturamento.

4.3. Cookies e tecnologias similares

A Plataforma utiliza cookies estritamente necessários para manter a sessão do usuário autenticada e para o funcionamento do sistema. Não utilizamos cookies de rastreamento publicitário de terceiros. Para métricas de uso, poderá ser empregada ferramenta de análise (ex.: Google Analytics) com anonimização de IP.

5. Finalidades do tratamento

• Prestação dos serviços contratados (execução do contrato — art. 7º, V da LGPD).
• Autenticação e controle de acesso à conta.
• Comunicações operacionais (notificações de pagamento, cobrança, expiração de trial, avisos de sistema).
• Cobrança e emissão de recibos.
• Suporte técnico e atendimento.
• Cumprimento de obrigações legais e regulatórias.
• Prevenção a fraudes, garantia da segurança do Titular e da Plataforma.
• Melhoria contínua do serviço, mediante análise agregada e anonimizada de uso.

Comunicações de marketing (dicas, novidades, newsletter) só são enviadas mediante consentimento expresso e podem ser canceladas a qualquer momento pelo próprio Titular.

6. Bases legais

O tratamento de dados pessoais realizado pelo ERPFIT tem por fundamento uma ou mais das seguintes bases legais previstas na LGPD:

• Execução de contrato (art. 7º, V) — para prestação do serviço contratado.
• Cumprimento de obrigação legal ou regulatória (art. 7º, II) — para emissão de notas, atendimento a autoridades, retenção de logs conforme Marco Civil.
• Legítimo interesse (art. 7º, IX) — para segurança, prevenção a fraudes e melhoria do serviço, sempre respeitando os direitos e liberdades do Titular.
• Consentimento (art. 7º, I) — para envio de comunicações de marketing e outras finalidades específicas informadas ao Titular.
• Tutela da saúde (art. 11, II, "f") — para tratamento de dados sensíveis de saúde por profissionais habilitados no âmbito da relação Estúdio ↔ Paciente.

7. Compartilhamento de dados

Os dados pessoais são compartilhados apenas quando necessário e com terceiros que atuam como Operadores contratados pelo ERPFIT, dentre eles:

• Provedor de hospedagem (cloud): para armazenamento e disponibilização do serviço.
• Gateway de pagamento (EFI / Gerencianet): para processamento de cobranças Pix e cartão. Dados sensíveis de cartão nunca transitam pelo servidor do ERPFIT.
• Provedor de e-mail transacional (SMTP): para entrega de mensagens automáticas do sistema.
• Autoridades públicas: mediante requisição legal, judicial ou administrativa devidamente fundamentada.

Não vendemos, alugamos, cedemos ou trocamos dados pessoais com terceiros para fins comerciais ou publicitários. Todo operador contratado é obrigado contratualmente a respeitar a LGPD e a manter o sigilo dos dados.

8. Transferência internacional

Alguns operadores contratados poderão armazenar ou processar dados fora do território brasileiro. Nesses casos, o ERPFIT exige garantias contratuais equivalentes ao nível de proteção previsto na LGPD, nos termos do art. 33 da lei.

9. Armazenamento e retenção

• Dados de cadastro e uso são mantidos enquanto durar a relação contratual e por período adicional para cumprimento de obrigações legais (fiscal, tributária, cível).
• Logs de acesso são retidos pelo prazo mínimo de 6 (seis) meses conforme art. 15 do Marco Civil da Internet.
• Dados de pacientes tratados pelo Contratante permanecem sob sua responsabilidade e são mantidos enquanto a conta estiver ativa. No encerramento, o Contratante pode solicitar cópia integral em até 15 dias corridos.
• Após esse prazo, os dados são eliminados de forma segura, salvo hipóteses legais de retenção.

10. Segurança da informação

O ERPFIT adota medidas técnicas e administrativas apropriadas para proteger os dados pessoais de acessos não autorizados, situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, incluindo:

• Comunicação criptografada em trânsito (HTTPS/TLS).
• Isolamento total dos dados entre inquilinos (arquitetura multi-tenant com banco de dados dedicado por Contratante).
• Autenticação com hash bcrypt para senhas.
• Rate limiting para tentativas de login e recuperação de senha.
• Backups periódicos automatizados.
• Controle de acesso restrito por perfil de usuário.
• Registro e monitoramento de eventos relevantes de segurança.

Apesar dos esforços, nenhum sistema de segurança é infalível. Em caso de incidente de segurança que possa acarretar risco relevante ou dano aos Titulares, comunicaremos a ANPD e os Titulares afetados, conforme art. 48 da LGPD.

11. Direitos do Titular

A LGPD assegura ao Titular, a qualquer momento e mediante requisição, os seguintes direitos (art. 18):

• Confirmação da existência de tratamento.
• Acesso aos dados.
• Correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei.
• Portabilidade dos dados a outro fornecedor.
• Eliminação dos dados tratados com consentimento (ressalvadas as hipóteses legais de retenção).
• Informação sobre com quem os dados são compartilhados.
• Informação sobre a possibilidade de não fornecer consentimento e as consequências.
• Revogação do consentimento.
• Oposição a tratamento realizado com base em outra hipótese, quando houver descumprimento da LGPD.
• Peticionar perante a ANPD (Autoridade Nacional de Proteção de Dados).

Para exercer qualquer desses direitos, entre em contato com nosso Encarregado (DPO) pelo e-mail privacidade@erpfit.com.br. Responderemos em prazo razoável, observados os limites técnicos e legais aplicáveis.

12. Menores de idade

A plataforma é destinada a maiores de 18 anos (Contratantes) e a profissionais habilitados. Eventuais dados de pacientes menores de idade cadastrados pelo Contratante devem ser tratados sob responsabilidade e consentimento dos pais ou responsáveis legais, nos termos do art. 14 da LGPD.

13. Alterações desta Política

Esta Política poderá ser atualizada a qualquer tempo para refletir mudanças legislativas, novos serviços, novas tecnologias ou boas práticas. A versão vigente estará sempre disponível em ERPFIT.com.br/privacidade, com destaque da data da última alteração no topo do documento.

Alterações materiais serão comunicadas por e-mail e/ou aviso destacado dentro do sistema, com antecedência razoável antes de sua entrada em vigor.

14. Contato

Para dúvidas, solicitações ou denúncias relacionadas ao tratamento de dados pessoais, utilize os seguintes canais:

• Encarregado (DPO): privacidade@erpfit.com.br
• Contato geral: contato@erpfit.com.br
• Endereço postal: Travessa Bagé, 46 · Sala 2 · Cidade Alta, Bento Gonçalves, RS · CEP 95700-332