Política de Privacidade

A privacidade dos seus dados é prioridade. Este documento descreve quais dados coletamos, por que, com quem compartilhamos e quais são seus direitos sob a LGPD.

1. Quem somos

Preceptor Fisic — controlador dos dados pessoais para fins de uso da plataforma. Atendemos a Autoridade Nacional de Proteção de Dados (ANPD) e nomeamos encarregado conforme art. 41 da LGPD.

• Encarregado (DPO): castroomath7@gmail.com
• Razão social: a definir

2. Dados que coletamos

2.1. Profissional

• Identificação: nome completo, email, CREF/CREFITO/CRM
• Especialidade declarada
• Senha (armazenada com hash bcrypt via Supabase Auth)
• Logs de acesso (IP, user-agent, timestamp) — finalidade: segurança

2.2. Aluno

Coletamos dados sensíveis de saúde (art. 11 LGPD) para a finalidade clínica de prescrição de exercício:

• Identificação: nome, data de nascimento, sexo, contato
• Antropometria: peso, altura, IMC
• Diagnósticos clínicos declarados
• Medicamentos em uso
• Histórico de lesões/limitações
• Risco cardiovascular e nível de experiência
• Objetivos e preferências de treino
• Sessões realizadas, aderência, progresso

Base legal: consentimento expresso (art. 11, I) coletado pelo profissional cadastrado, registrado em students.consent_accepted_at.

2.3. Geração por PreceptorFISIC

Para gerar planos personalizados, o resumo dos dados clínicos do aluno é enviado ao Google Gemini (modelo 2.5 Flash/Pro). O Google trata esses dados como processador conforme nosso DPA com a Google Cloud:

• Não usado para treinar modelos
• Não persistido após processamento
• Servido em região US (Vertex AI) — explicitamente consentido pelo profissional ao usar a função

Auditoria completa fica em ai_runs: prompt, modelo, tokens, latência. Acesso restrito ao próprio profissional e à equipe técnica do Preceptor sob NDA.

3. Onde armazenamos

• Banco principal: Supabase (Postgres) — região sa-east-1 (São Paulo, BR)
• Edge / hosting: Vercel — região gru1 (São Paulo, BR)
• Email transacional: Resend (servidores nos EUA, dados mínimos: nome + email)
• PreceptorFISIC: Google Vertex AI (US) — apenas durante geração, sem persistência

Transferências internacionais (Resend, Google) são amparadas em Cláusulas Contratuais Padrão (SCCs) e adequação à LGPD.

4. Por quanto tempo

• Dados clínicos ativos: enquanto o aluno estiver vinculado ao profissional
• Após desvínculo: deletados em 30 dias (lógico) e 90 dias (físico/backups)
• Auditoria de prescrição: mantida 5 anos (obrigação clínica do CONFEF/COFFITO)
• Logs de acesso: 6 meses
• Email transacional: 30 dias no provedor (Resend)

5. Com quem compartilhamos

Não vendemos seus dados. Compartilhamos apenas com:

• Operadores técnicos: Supabase, Vercel, Resend, Google (todos com DPA)
• Profissional cadastrado: dados do aluno são visíveis ao profissional dele
• Autoridades competentes: mediante ordem judicial ou requisição da ANPD

6. Seus direitos (LGPD art. 18)

Você tem direito a:

• Acesso: ver todos os dados que temos sobre você
• Correção: atualizar dados incompletos ou desatualizados
• Anonimização ou bloqueio: para dados desnecessários ou tratados em desconformidade
• Eliminação: deletar dados tratados com base em consentimento
• Portabilidade: receber seus dados em formato estruturado (CSV/JSON)
• Revogação do consentimento: a qualquer momento
• Informação sobre compartilhamento: lista atualizada de operadores

Para exercer qualquer direito, escreva para castroomath7@gmail.com. Respondemos em até 15 dias úteis (art. 19, §1º).

7. Cookies e rastreamento

Usamos:

• Cookies de sessão (auth Supabase) — essenciais, sem consentimento
• Service Worker (PWA) — cache de assets, sem rastreamento
• Analytics: Plausible (privacy-first, sem cookies, agregado)

Não usamos pixels de redes sociais nem trackers de terceiros invasivos.

8. Segurança

• TLS 1.3 em todas as conexões (HSTS habilitado)
• Hash bcrypt em senhas (Supabase Auth)
• HMAC-SHA256 em magic-links de aluno
• Row-Level Security (RLS) no Postgres garante isolamento por profissional
• Auditoria de acessos via ai_runs e logs Vercel
• Backup automatizado diário (Supabase, retenção 7 dias no plano atual)

Em caso de incidente, comunicaremos ANPD e titulares afetados conforme art. 48.

9. Crianças e adolescentes

A plataforma não é destinada a menores de 18 anos sem consentimento específico do responsável legal. Profissionais que atendem menores devem coletar e arquivar o termo de consentimento dos pais/responsáveis fora da plataforma.

10. Alterações

Mudanças materiais são comunicadas por email com 30 dias de antecedência. A versão atual está sempre disponível nesta página.

Encarregado (DPO): castroomath7@gmail.com
Reclamação à ANPD: gov.br/anpd