Contrato de Tratamento de Dados

Este contrato é parte integrante dos Termos de Uso e disciplina o tratamento de dados pessoais dos alunos do Profissional, na forma da Lei nº 13.709/2018 (LGPD).

• Controlador: o Profissional (personal trainer, consultor ou academia) que cadastra e acompanha os alunos. É ele quem decide as finalidades e os meios do tratamento.
• Operador: Gabriel Totino, mantenedor da plataforma Make4Fit, que trata os dados em nome e conforme as instruções do Controlador.

Quando os alunos são da consultoria do próprio Gabriel Totino (GT Consultor), ele acumula os dois papéis e este contrato não se aplica.

• Titulares: alunos cadastrados pelo Controlador e pessoas que se cadastram nas páginas dele.
• Dados comuns: nome, e-mail, telefone/WhatsApp, dados de acesso e uso, histórico de treino e cargas, metas, mensagens, dados de cobrança e origem de indicação.
• Dados sensíveis de saúde: anamnese (condições, lesões, cirurgias, medicamentos, restrições), medidas e avaliações físicas, fotos corporais e vídeos de execução.
• Finalidade: prestar o serviço de acompanhamento de treino contratado pelo Controlador, incluindo geração automatizada de planos por inteligência artificial.
• Duração: enquanto durar a relação contratual, ressalvado o item 10.

• tratar os dados apenas para prestar o serviço e conforme as instruções do Controlador, nunca para finalidade própria e nunca para publicidade;
• não vender, alugar ou ceder os dados dos alunos do Controlador;
• manter as medidas de segurança descritas no item 7;
• garantir que só acessem os dados as pessoas que precisam, sob dever de sigilo;
• manter o isolamento entre organizações, de modo que um Profissional não alcance os alunos de outro;
• auxiliar o Controlador a responder pedidos de titulares e da ANPD;
• comunicar incidentes de segurança na forma do item 8;
• disponibilizar as informações necessárias para o Controlador comprovar o cumprimento da LGPD.

• obter dos alunos o consentimento específico e destacado para o tratamento de dados de saúde, e informá-los sobre o uso da plataforma;
• cadastrar apenas alunos que tenham conhecimento do cadastro, com dados corretos e atualizados;
• não cadastrar menor de 18 anos sem o consentimento do responsável legal, guardando essa comprovação;
• manter registro profissional válido e atuar dentro das suas atribuições;
• decidir e assumir a configuração de autonomia da inteligência artificial nos seus alunos, ciente de que o modo automático aplica mudanças sem revisão humana prévia;
• atender os pedidos dos titulares e responder pelas decisões técnicas relativas aos seus alunos;
• controlar quem da equipe dele tem acesso à plataforma e revogar acessos quando necessário.

O Controlador autoriza, desde já, o uso dos seguintes suboperadores, necessários ao funcionamento do serviço:

• Supabase — banco de dados, autenticação e armazenamento de arquivos;
• Cloudflare — hospedagem e entrega da aplicação;
• Stripe e Mercado Pago — processamento de pagamentos;
• Anthropic — modelos de inteligência artificial.

Os dados de saúde não são compartilhados com plataformas de publicidade. O Operador responde pelos suboperadores como se o tratamento fosse próprio, e avisará o Controlador com antecedência razoável antes de incluir ou substituir suboperador que trate dados de alunos, cabendo ao Controlador rescindir sem ônus caso não concorde.

Mensuração de publicidade da plataforma: as páginas públicas hospedadas em domínios da Make4Fit, incluindo o subdomínio da organização do Controlador, disparam um pixel consolidado da Meta mantido pelo Operador, usado para medir o desempenho da própria plataforma. Isso só ocorre para visitantes que aceitam o rastreamento de marketing no aviso de cookies, alcança apenas eventos de navegação e conversão, e NUNCA dados de saúde, treino, mensagens ou fotos. O Controlador autoriza essa mensuração; caso não deseje, deve solicitar a desativação para a sua organização pelo contato do item 13.

• criptografia em trânsito (HTTPS) em toda a plataforma;
• senhas guardadas de forma cifrada, com mínimo de 8 caracteres;
• isolamento por organização aplicado no próprio banco de dados;
• chaves e segredos guardados em cofre, fora do código-fonte;
• acesso administrativo restrito e registrado.

Encerrada a relação contratual, o Controlador pode solicitar, em até 30 dias, a exportação dos dados dos seus alunos em formato legível por máquina.

Findo esse prazo, o Operador eliminará os dados em até 30 dias, mediante solicitação do Controlador, salvo os que a lei obrigue a conservar — registros fiscais e de pagamento, por exemplo — e salvo os dados de alunos que mantenham conta ativa por vínculo com outro Profissional ou diretamente com a plataforma.