Política de
privacidade

1. Introdução

A Sadu ("nós", "nosso") está comprometida com a proteção dos seus dados pessoais. Esta Política de Privacidade explica como coletamos, usamos, armazenamos e protegemos suas informações, em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD — Lei nº 13.709/2018).

2. Controlador de Dados

A SADU TECNOLOGIA DA INFORMAÇÃO LTDA, inscrita no CNPJ nº 68.355.117/0001-21, com sede na Rua Pais Leme, 215, Conj. 1713, Pinheiros, São Paulo/SP, CEP 05.424-150, é a controladora dos dados pessoais tratados nesta plataforma. Para exercer seus direitos ou esclarecer dúvidas, entre em contato com nosso Encarregado de Proteção de Dados (DPO) pelo email privacidade@sadu.fit.

3. Dados Coletados

Coletamos os seguintes tipos de dados:

3.1. Dados pessoais fornecidos por você

• Nome completo, email, telefone e cidade.
• Foto de perfil (opcional).
• Para Treinadores: dados da credencial profissional (número do CREF ou do CREFITO, ou o nome da entidade emissora e o número do registro) e a imagem do comprovante, especialidades, biografia, preço por hora, anos de experiência, galeria de fotos e vídeos, gravações de áudio que você envia aos seus alunos e localização de atendimento.
• Gênero (opcional, usado apenas para filtros de busca de profissionais).
• Se você entrar com a sua conta Google ou Apple, recebemos desses serviços o seu nome e o seu email. Não recebemos a sua senha.
• Dados informados pelo Treinador: o Treinador pode cadastrar os próprios alunos na Sadu, um a um ou por planilha, informando nome, email, telefone, cidade, gênero e as condições da mensalidade. Se a sua conta foi criada assim, esses dados vieram do seu Treinador, e você pode corrigi-los ou pedir a exclusão como qualquer outro dado (item 7).

3.2. Dados pessoais sensíveis (LGPD Art. 11)

Alguns recursos da plataforma envolvem o tratamento de dados sensíveis relacionados à saúde, sempre mediante consentimento específico e destacado:

• Anamnese: questionário de saúde que o Cliente preenche por iniciativa própria ou a pedido do Treinador, com nível de experiência, objetivo, frequência de exercícios, condições de saúde, lesões ou cirurgias, medicamentos em uso, restrições de movimento ou dores, restrições alimentares e observações. Fica visível para o Cliente e para os Treinadores com quem ele tem vínculo na Sadu, e o Cliente pode editar ou apagar as respostas a qualquer momento. Quando o Treinador usa o assistente de montagem de treino da Sadu, as respostas da anamnese são processadas por um provedor de inteligência artificial contratado pela Sadu (item 6), só para sugerir um treino ao Treinador, e a sugestão sempre passa pela revisão dele antes de chegar a você.
• Fotos de progresso: imagens corporais que o Cliente envia voluntariamente. Visíveis apenas para o Cliente e, quando autorizado, para o Treinador.
• Medidas e métricas físicas: peso, % de gordura, circunferências e outros marcadores que o Cliente registra ao longo do tempo.
• Dados de atividade física: sessões executadas, séries, repetições, cargas, frequência cardíaca e calorias (quando você conecta Strava, Garmin ou o Apple Saúde/Apple Watch).

Esses dados são tratados com base no consentimento específico do titular (Art. 11, I) e podem ser revogados a qualquer momento, com a consequente exclusão dos registros sensíveis.

3.3. Dados de uso coletados automaticamente

• Endereço IP, tipo de navegador e dispositivo.
• Páginas visitadas, horários de acesso e interações na plataforma.
• Localização aproximada ou exata, apenas se você autorizar e só enquanto o app está aberto, para mostrar os Treinadores próximos. No aplicativo, a distância é calculada no próprio aparelho, e a sua localização não é armazenada nos nossos servidores.
• Cookies e tecnologias semelhantes (veja nossa Política de Cookies).
• Identificadores de notificação push: no navegador, o endereço de push (VAPID); no aplicativo, o token de push do aparelho, entregue pelo serviço de notificações da Expo, pelo Firebase Cloud Messaging (Google, no Android) e pelo Apple Push Notification service (no iOS). Você pode desligar as notificações nas configurações do aparelho.
• Relatórios de erro: quando o app falha, ou quando você usa "Reportar problema", enviamos a descrição técnica do erro, a sequência de telas visitadas logo antes, a versão do app e, se você incluir, o seu relato, um email de contato e um print da tela. Esses relatórios servem só para corrigir problemas, ficam acessíveis à equipe da Sadu nas ferramentas internas de triagem e são excluídos automaticamente após 90 dias.
• Dados armazenados localmente no seu dispositivo (IndexedDB, Service Worker cache) para funcionalidade offline do PWA.

3.4. Dados financeiros e de cobrança

• Clientes: para pagar pela Sadu, pedimos o seu CPF, exigido pelo processador de pagamentos para emitir a cobrança. O CPF fica cifrado nos nossos servidores e só é repassado ao processador de pagamentos.
• Treinadores: para receber pela Sadu, o cadastro de recebimentos pede CPF ou CNPJ, data de nascimento, celular, renda ou faturamento mensal, endereço, foto de um documento de identidade e uma selfie, além da conta bancária ou chave PIX para o saque. Esses dados vão para o processador de pagamentos (Asaas, item 6), que os usa para abrir e verificar a sua conta de pagamento, como exige a regulação do Banco Central.
• Não recebemos nem armazenamos o número do seu cartão: ele é digitado direto na página do processador de pagamentos.
• Registramos valores, status e histórico das transações, e os dados fiscais que a lei exige.

3.5. Dados de integrações (Strava, Garmin)

Quando você conecta sua conta Strava ou Garmin, recebemos dados de atividades físicas (corridas, treinos, métricas) por meio das APIs desses serviços. Você pode desconectar essas integrações a qualquer momento no painel de integrações, o que interrompe o recebimento de novos dados.

3.6. Apple Saúde e Apple Watch (app iOS)

No aplicativo iOS, mediante seu consentimento específico, a Sadu acessa dados do Apple Saúde (HealthKit) — como frequência cardíaca, frequência cardíaca de repouso e calorias — para exibir seu progresso. Durante a execução de um treino, a frequência cardíaca (média e máxima) e as calorias medidas pelo Apple Watch podem ser gravadas na sessão de treino e compartilhadas com o Treinador vinculado. A frequência cardíaca é dado pessoal sensível (Art. 11 da LGPD), tratado com base no consentimento específico do titular. Você pode revogar esse acesso a qualquer momento nas permissões do iOS (Ajustes › Privacidade e Segurança › Saúde).

3.7. Registro de atividade na plataforma

Para operar a plataforma com segurança, dar suporte e entender quais recursos são efetivamente usados, mantemos um registro interno de atividade, acessível apenas à administração da Sadu. Esse registro guarda o tipo de evento (por exemplo: treino iniciado ou concluído, aula agendada ou cancelada, compra realizada, cadastro criado, tela acessada), a data e hora, os identificadores das contas envolvidas e metadados numéricos como duração, quantidade de exercícios e valor da transação.

O que esse registro NÃO contém: o conteúdo das suas mensagens, as respostas da sua anamnese, suas medidas corporais, suas fotos de progresso ou o texto das suas avaliações. Nenhum dado pessoal sensível de saúde é gravado nesse registro. Identificadores presentes em endereços de página são substituídos por marcadores genéricos antes do armazenamento.

Base legal: legítimo interesse (Art. 7º, IX da LGPD) para segurança da informação, prevenção a fraudes, suporte ao usuário e melhoria do serviço. Esses registros são automaticamente excluídos após 90 dias.

3.8. Recursos com inteligência artificial

A Sadu usa um provedor de inteligência artificial (Anthropic, item 6) para: ler os PDFs e as imagens de treino ou de agenda que o Treinador importa; sugerir treinos ao Treinador, inclusive a partir da anamnese do aluno (item 3.2); sugerir dicas ao Treinador a partir do perfil dele; e responder, em primeira linha, às mensagens do suporte. As respostas automáticas do suporte aparecem identificadas como automáticas, e, quando o assistente não consegue resolver, a conversa segue para uma pessoa da equipe. Os arquivos importados são apagados dos nossos servidores logo depois da leitura.

3.9. Google Agenda (Treinadores)

Se o Treinador conectar a conta do Google, a Sadu lê os horários em que ele está ocupado, para não marcar aula por cima deles. Os títulos dos compromissos só são lidos se ele autorizar à parte, e isso pode ser desligado a qualquer momento. A Sadu cria uma agenda chamada "Sadu" na conta dele e mantém nela as aulas confirmadas. Os Clientes nunca veem os compromissos pessoais do Treinador.

Clientes: se o seu Treinador conectou o Google Agenda, as aulas confirmadas com você aparecem na agenda do Google dele, com o seu nome e o local da aula.

3.10. Chamada de vídeo

Na sessão de montagem de treino online, a chamada entre o Cliente e o Treinador usa câmera e microfone em tempo real, por meio da Daily (item 6). A Sadu não grava as chamadas. A Daily recebe o nome de exibição de cada participante e transmite o áudio e o vídeo durante a chamada.

4. Base Legal para Tratamento

Tratamos seus dados com base nas seguintes hipóteses da LGPD (Art. 7º e 11):

• Consentimento: quando você aceita esta política ao se cadastrar ou autoriza tratamento de dados sensíveis (anamnese, fotos de progresso, integrações).
• Execução de contrato: para prestar os serviços contratados (agendamentos, pagamentos, chat, treinos personalizados).
• Legítimo interesse: para melhorias na plataforma, prevenção de fraudes, segurança, comunicações relevantes e medição do resultado dos anúncios da Sadu (item 6).
• Cumprimento de obrigação legal: quando exigido por legislação fiscal, regulatória ou para atender requisições de autoridades competentes.
• Tutela da saúde (Art. 11, II, "f"): quando dados sensíveis são tratados em procedimentos realizados por profissional do esporte regulamentado (Treinador com CREF ativo).
• Quando o Treinador atua em modalidade que não é privativa de profissão regulamentada, o tratamento desses dados sensíveis se apoia no consentimento específico e destacado do Cliente (Art. 11, I).

5. Finalidades do Tratamento

• Criar e gerenciar sua conta na plataforma.
• Conectar Clientes e Treinadores e facilitar agendamentos.
• Processar pagamentos, comissões e repasses.
• Permitir a prescrição segura de exercícios com base em dados de saúde fornecidos pelo Cliente.
• Enviar comunicações sobre agendamentos, pagamentos, treinos e atualizações do serviço (in-app, email, push).
• Aplicar regras de moderação, score de penalidades por cancelamento e ranqueamento de buscas (veja item 13 sobre decisões automatizadas).
• Melhorar a plataforma com base em dados de uso agregados e anonimizados.
• Prevenir fraudes e garantir a segurança da plataforma.
• Medir se os anúncios da Sadu nas plataformas da Meta trazem novos Treinadores (veja item 6).

6. Compartilhamento de Dados

Seus dados podem ser compartilhados com os seguintes operadores e parceiros, sempre com cláusulas contratuais que asseguram o nível de proteção exigido pela LGPD:

• Supabase (PostgreSQL + Auth + Storage): infraestrutura de banco de dados, autenticação e armazenamento de mídia (servidores nos EUA).
• Vercel: hospedagem da aplicação web e funções serverless (servidores nos EUA).
• Asaas Gestão Financeira Instituição de Pagamentos S.A. (instituição de pagamento autorizada pelo Banco Central): processa as cobranças (Pix, cartão e boleto), os repasses e os saques, e verifica a identidade de quem abre conta de recebimentos. Recebe o nome, o email e o CPF de quem paga e os dados de cadastro de quem recebe (item 3.4).
• Cloudflare: resolução de DNS e proteção contra ataques.
• Google Maps Platform: exibe os mapas e faz a geocodificação aproximada de endereços. Quando o mapa aparece, o Google recebe dados técnicos do aparelho (modelo, sistema, endereço IP e um identificador do próprio mapa), conforme a política de privacidade do Google.
• Google Agenda: quando o Treinador conecta a conta do Google (item 3.9).
• Anthropic: provedor de inteligência artificial dos recursos descritos no item 3.8 (servidores nos EUA).
• Daily (Daily.co, Inc.): chamadas de vídeo da sessão de montagem de treino online (item 3.10).
• Expo, Firebase Cloud Messaging (Google) e Apple Push Notification service: entrega das notificações push do aplicativo (item 3.3).
• GitHub: repositório privado onde a equipe da Sadu faz a triagem dos relatórios de erro (item 3.3).
• Meta Platforms (Facebook e Instagram): quando você conclui o cadastro como Treinador, avisamos a Meta de que o cadastro aconteceu. Enviamos seu email, seu telefone e o identificador da sua conta codificados em hash (SHA-256), o endereço IP e o navegador usados no cadastro e, se você chegou por um anúncio, o identificador desse clique. A Meta usa isso só para nos dizer se o anúncio trouxe o cadastro. Não enviamos senha, CREF, fotos, dados de pagamento nem dados de saúde. Se você escolheu “Só os essenciais” no aviso de cookies, esse envio não é feito. Se você aceitou os cookies, o Meta Pixel também registra as páginas que você visita na Sadu (veja a Política de Cookies).
• Strava e Garmin: recebem chamadas de API quando você conecta voluntariamente sua conta nessas plataformas.
• Outros Usuários: Treinadores veem dados de Clientes que os contatam (incluindo anamnese, se autorizada) e vice-versa, limitado ao necessário para a prestação do serviço.
• Autoridades públicas: mediante ordem judicial, requisição legal válida ou para cumprimento de obrigação legal.

Não vendemos nem alugamos seus dados pessoais. Fora a medição de anúncios descrita acima, não compartilhamos seus dados com terceiros para fins de marketing. Você pode se opor a essa medição a qualquer momento pelo email privacidade@sadu.fit; a partir do pedido, nenhum novo evento seu é enviado.

7. Seus Direitos (LGPD)

Como titular dos dados, você tem direito a:

• Acesso: saber quais dados pessoais possuímos sobre você.
• Correção: solicitar a atualização de dados incompletos ou incorretos.
• Anonimização, bloqueio ou eliminação: de dados desnecessários, excessivos ou tratados em desconformidade.
• Portabilidade: receber seus dados em formato estruturado e interoperável.
• Eliminação: solicitar a exclusão dos dados tratados com base em consentimento.
• Informação: sobre as entidades públicas e privadas com as quais a Sadu compartilhou seus dados.
• Revogação do consentimento: retirar seu consentimento a qualquer momento, com a consequente eliminação dos dados tratados sob essa base.
• Oposição: opor-se ao tratamento baseado em legítimo interesse.
• Revisão de decisão automatizada: solicitar revisão humana de decisões tomadas exclusivamente por sistemas automatizados (veja item 13).

Para exercer seus direitos, envie um email para privacidade@sadu.fit. Responderemos em até 15 dias úteis.

8. Retenção de Dados

• Seus dados são mantidos enquanto sua conta estiver ativa.
• Após a exclusão da conta, mantemos dados necessários por até 5 anos para cumprimento de obrigações legais, fiscais, contábeis e regulatórias (Código Civil, Código Tributário, LGPD).
• Dados sensíveis (anamnese, fotos de progresso) são excluídos imediatamente após a revogação do consentimento, salvo retenção justificada por obrigação legal específica.
• O registro interno de atividade (seção 3.7) e os relatórios de erro do aplicativo (seção 3.3) são excluídos automaticamente após 90 dias.
• Dados anonimizados podem ser mantidos indefinidamente para fins estatísticos e de melhoria do produto.
• Contas inativas por 24 meses podem ser encerradas após aviso prévio, com a mesma regra de retenção pós-exclusão.

9. Segurança

Adotamos medidas técnicas e organizacionais para proteger seus dados, incluindo:

• Criptografia em trânsito (HTTPS/TLS) e em repouso (Supabase).
• Controle de acesso por Row Level Security (RLS) no banco de dados — cada usuário só vê seus próprios dados.
• Autenticação segura com tokens JWT e sessões de 30 dias.
• Cabeçalhos de segurança HTTP (HSTS, CSP, X-Frame-Options, etc.).
• Rate limiting em endpoints sensíveis para prevenir ataques de força bruta.
• Verificação de credenciais profissionais (CREF, CREFITO ou credencial de entidade esportiva) para Treinadores.
• Monitoramento de acessos e logs de auditoria.

Nenhum sistema é 100% seguro. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados em prazo razoável conforme regulamentação da ANPD (atualmente, em até 3 dias úteis a contar da ciência), conforme exige o Art. 48 da LGPD.

10. Transferência Internacional

Alguns de nossos prestadores de serviço (Supabase, Vercel, Cloudflare, Google, Meta, Anthropic, Daily, Expo e GitHub) podem processar dados em servidores localizados nos Estados Unidos ou em outros países. O processador de pagamentos (Asaas) trata os dados no Brasil, em conformidade com a legislação vigente. Essas transferências são realizadas com base em garantias adequadas, incluindo cláusulas contratuais padrão, certificações de segurança internacionais e acordos de processamento de dados (DPA), em conformidade com o Art. 33 da LGPD.

11. Cookies e Armazenamento Local

Utilizamos cookies essenciais (autenticação, segurança), além de armazenamento local no seu navegador para o funcionamento do PWA:

• Service Worker cache: armazena recursos estáticos para que a plataforma funcione offline.
• IndexedDB: guarda mensagens de chat enviadas offline para sincronização posterior.
• localStorage: preferências da interface (tema, último email usado).
• No aplicativo: a sessão fica no armazenamento local do aparelho, a credencial do login por biometria fica no cofre seguro do sistema, e os treinos baixados ficam guardados no aparelho para uso offline.

Veja a Política de Cookies para detalhes.

12. Crianças e Adolescentes

A Sadu é destinada a maiores de 16 anos. Adolescentes entre 16 e 17 anos só podem usar a plataforma com consentimento expresso de pelo menos um dos pais ou responsável legal. Não coletamos intencionalmente dados de crianças menores de 16 anos. Se identificarmos qualquer conta criada por menor de 16 anos, ela será encerrada e os dados eliminados.

13. Decisões Automatizadas

A plataforma utiliza processamento automatizado em alguns recursos:

• Ranqueamento de Treinadores: a ordem de exibição na busca segue o critério que você escolhe (avaliação, preço, mais recentes ou distância). Treinadores com destaque ganho no programa de indicação podem aparecer antes dos demais; na ordem por distância, só quando estão perto de você.
• Score de penalidades: Treinadores acumulam pontos por cancelamentos próximos à data agendada. Atingidos certos limiares, há consequências automáticas (alerta, ocultação temporária, suspensão para mediação).
• Antifraude: bloqueamos automaticamente Clientes que cancelam reservas de forma reiterada em curto período.

Conforme o Art. 20 da LGPD, você tem direito a solicitar revisão humana dessas decisões. Envie um email para privacidade@sadu.fit com o assunto "Revisão de decisão automatizada" descrevendo o caso.

14. Alterações

Esta Política pode ser atualizada periodicamente. Alterações significativas serão comunicadas por email ou notificação na plataforma com pelo menos 15 dias de antecedência, quando aplicável. Recomendamos revisar esta página regularmente.

15. Contato

Para questões sobre privacidade e proteção de dados, entre em contato com nosso Encarregado de Proteção de Dados (DPO) pelo email privacidade@sadu.fit. Em caso de não atendimento ou divergência, você pode também recorrer à Autoridade Nacional de Proteção de Dados (ANPD).