Política de Privacidade

Esta política explica, de forma direta, quais dados pessoais o NossoPersonal trata, para quê, com quem compartilha, por quanto tempo guarda e como você exerce os seus direitos. Ela segue a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) e vale junto com os Termos de Uso.

1. A quem esta política se aplica

• a quem visita o site do NossoPersonal;
• ao personal trainer, ao dono do espaço e à equipe dele;
• ao aluno que usa o app, sozinho ou ligado a um ou mais personais;
• a quem compra programas de treino ou se inscreve em desafios;
• a quem visita a landing page ou a página de links de um personal, com as regras próprias da seção 11.

2. Controlador e encarregado

• Controlador: NossoPersonal
• Site: https://nossopersonal.com.br
• Encarregado pelo tratamento de dados pessoais: atende pelo e-mail [email protected]
• Contato geral: [email protected]

O encarregado recebe as reclamações e os pedidos dos titulares, presta esclarecimentos e recebe as comunicações da Autoridade Nacional de Proteção de Dados (ANPD).

3. Quem decide sobre cada dado

Na LGPD, o controlador é quem decide como e por que um dado é tratado, e o operador é quem trata o dado em nome do controlador. No NossoPersonal, esses papéis mudam conforme o dado:

O que o aluno compartilha com o personal pelo vínculo é decisão do aluno, por categoria (treinos, avaliações, medidas, fotos, alimentação, hábitos e desafios), e pode ser revogado a qualquer momento pelo app. O personal só vê o que foi compartilhado, só enquanto o vínculo estiver ativo, e usa essas informações apenas para prestar o serviço que o aluno contratou.

Quando somos operadora, tratamos os dados conforme as instruções do personal (LGPD, art. 39) e não os usamos para finalidades próprias, como publicidade. Pedidos sobre esses dados devem ser feitos ao personal. Se chegarem até nós, indicamos quem é o controlador e ajudamos o personal a responder.

4. Quais dados tratamos

Personal e equipe

• cadastro: nome, e-mail, telefone, CPF ou CNPJ, registro no CREF e estado, foto, especialidades e dados do espaço;
• dados para cobrar os próprios alunos, como a chave Pix;
• dados da assinatura: plano, valores, datas e situação dos pagamentos (o número completo do cartão fica com o intermediador de pagamento, não conosco);
• login e segurança: senha (guardada de forma que nem nós conseguimos ler), verificação em duas etapas e registros de acesso;
• mensagens de suporte e uso dos recursos.

Aluno

• conta: nome, e-mail, telefone e senha;
• perfil de treino: data de nascimento, sexo, altura, objetivo, nível, dias e minutos disponíveis, equipamentos, local de treino, preferências, lesões e restrições;
• registros no app: treinos feitos (séries, cargas, repetições, esforço, notas e duração), peso, água, sono, passos, medidas autoaferidas, diário alimentar (fotos das refeições, horários, descrição, fome e saciedade), fotos de progresso, check-ins em desafios, conquistas, publicações e comentários;
• vínculos: com quais espaços está ligado e o que compartilha com cada um;
• compras e pagamentos: programas e desafios comprados e comprovantes enviados ao personal.

Dados que o personal registra sobre o aluno

Ficha de cadastro e contato, agenda, financeiro, PAR-Q+, anamnese, avaliações físicas (antropometria, dobras cutâneas, bioimpedância digitada, testes físicos e fotos), prescrições, documentos e mensagens. Nesses dados, o controlador é o personal (seção 3).

Visitantes do site

Endereço IP, navegador, dispositivo, páginas visitadas, origem da visita e cookies, conforme a sua escolha no banner (seção 11), e o que você enviar em formulários de contato.

5. Para que usamos e com qual base legal

Quando a base é o consentimento, você pode revogá-lo a qualquer momento, de graça e de forma simples (art. 8º, § 5º). O que foi feito antes da revogação continua válido.

6. Dados de saúde

Medidas corporais, fotos corporais e de progresso, lesões e restrições, respostas do PAR-Q+, anamnese e alimentação são dados de saúde, que a LGPD chama de dados pessoais sensíveis (art. 5º, II, e art. 11).

• Base legal: tratamos esses dados com o seu consentimento específico e destacado (art. 11, I) ou, quando aplicável, com outra base do art. 11, II, como o cumprimento de obrigação legal ou o exercício regular de direitos. No espaço do personal, quem define a base é o personal, como controlador.
• Armazenamento privado: fotos e arquivos ficam em armazenamento privado e só abrem por link temporário, que expira em poucos minutos.
• Cifra: os campos sensíveis, como lesões e restrições, são guardados cifrados.
• Fora dos logs: dados de saúde não são gravados nos registros técnicos do sistema.
• Trilha de auditoria: cada leitura de dado de saúde do aluno feita pelo personal ou pela equipe fica registrada.
• Acesso: o personal só lê o que o aluno compartilhou, enquanto o vínculo estiver ativo, e dentro das permissões do perfil de cada pessoa da equipe.
• Nunca para publicidade: dados de saúde não são usados em anúncios, não entram nos eventos enviados a parceiros de marketing e não são vendidos.

Se você não der ou revogar o consentimento, o app não consegue guardar esses registros, e os recursos que dependem deles (como medidas, fotos de progresso e diário alimentar) ficam indisponíveis para você. Você pode apagar esses registros quando quiser.

7. Crianças e adolescentes

O tratamento de dados de crianças e adolescentes segue o melhor interesse deles (LGPD, art. 14).

• O menor de 18 anos só usa o app com autorização do responsável legal.
• A conta de criança (menos de 12 anos) depende do consentimento específico e destacado de um dos pais ou do responsável legal (art. 14, § 1º), e não pedimos dados além do estritamente necessário (art. 14, § 4º).
• A conta de criança ou adolescente de até 16 anos fica ligada à conta de um dos responsáveis legais (Lei 15.211/2025, art. 24).
• Não usamos dados de menores para criar perfil de publicidade nem para direcionar anúncios (Lei 15.211/2025, arts. 22 e 26), e eventos de cadastro e de compra de menores não são enviados a parceiros de anúncio.
• O responsável legal pode exercer os direitos do menor descritos na seção 13.
• Se identificarmos conta de menor sem a autorização exigida, suspendemos a conta até a regularização e podemos apagar os dados.

8. Inteligência artificial

Alguns recursos usam um provedor de inteligência artificial para preparar rascunhos de treino, troca de exercício, feedback, estimativa de alimentos e resumos.

• O que vai ao provedor: só o trecho necessário para a tarefa. Nome, CPF, e-mail e telefone não são enviados, e o texto é mascarado antes de sair, com os identificadores trocados. Quando a tarefa precisa, vão informações de treino e de saúde sem identificação, como objetivo, nível, equipamentos, restrições e respostas do PAR-Q+.
• Fotos de refeição só vão ao provedor quando a pessoa usa o recurso de análise da foto, e só aquela foto.
• Fotos de progresso não são enviadas à IA.
• É sempre sugestão: o resultado é um rascunho revisado por uma pessoa (o personal, no espaço dele, ou o aluno, no uso próprio). Nenhuma decisão sobre você é tomada só pela IA. Mesmo assim, você pode pedir a revisão de uma decisão automatizada (art. 20).
• A lista de alunos que pedem atenção ajuda o personal a priorizar contatos e não gera nenhuma decisão automática sobre o aluno.
• O provedor de IA pode estar fora do Brasil (seção 10).

9. Com quem compartilhamos

Não vendemos dados pessoais. Compartilhamos só o necessário, com:

• o personal vinculado e a equipe dele, conforme as categorias que o aluno escolheu e o perfil de acesso de cada pessoa;
• outros participantes, no que você torna visível: ao entrar num desafio, seu nome de exibição, sua foto de perfil, sua pontuação e os check-ins que você publica aparecem para os participantes; no feed, a publicação aparece para quem você escolheu;
• provedores de infraestrutura: hospedagem, rede de entrega e proteção do site (Cloudflare), envio de e-mails, notificações do navegador, mensagens por WhatsApp quando esse canal é usado para convite ou lembrete, e videochamada para aula online;
• intermediadores de pagamento: Pagar.me e Banco Inter, na assinatura do personal e nas compras pagas à plataforma; no futuro, o intermediador que o personal ativar para receber dos alunos;
• provedor de inteligência artificial, como descrito na seção 8;
• ferramentas de medição e de anúncios (Google, Microsoft, Cloudflare, Meta, TikTok e Pinterest), só com o seu consentimento (seção 11);
• autoridades, quando houver obrigação legal, ordem judicial ou requisição de autoridade competente.

Cada fornecedor recebe apenas o necessário para a sua tarefa e tem o dever de proteger os dados.

10. Transferência internacional

Alguns fornecedores, como Google, Meta, TikTok, Microsoft, Pinterest e Cloudflare, e também o provedor de IA, podem tratar dados em servidores fora do Brasil. A LGPD permite essa transferência nas hipóteses do art. 33. Nós nos apoiamos:

• no seu consentimento específico, para as ferramentas de medição e de marketing, que você dá no banner sabendo que os dados podem sair do país (art. 33, VIII);
• nas garantias contratuais oferecidas pelos fornecedores, como as cláusulas-padrão contratuais (art. 33, II);
• na necessidade da transferência para executar o contrato com você (art. 33, IX).

11. Cookies e rastreamento

Cookies são pequenos arquivos que o site grava no seu navegador. Usamos também tecnologias parecidas, como pixels (pequenos códigos que avisam uma ferramenta quando uma página é vista) e o envio de eventos pelo nosso servidor.

Banner e preferências

Na primeira visita, um banner pergunta a sua escolha em três categorias: necessários, medição e marketing. Só os necessários vêm ligados. A sua escolha fica guardada, e você pode mudá-la a qualquer momento pelo link Preferências de cookies, no rodapé do site. Recusar medição e marketing não impede você de usar o site.

Necessários (sempre ativos)

São os que fazem o site e a conta funcionarem com segurança. Não dependem de consentimento: a base legal é a execução do contrato e o legítimo interesse em manter o site seguro (art. 7º, V e IX).

Medição (só com o seu consentimento)

Servem para entender quantas pessoas visitam o site, quais páginas funcionam e onde há problemas.

Marketing (só com o seu consentimento)

Servem para medir o resultado dos nossos anúncios e mostrar anúncios do NossoPersonal a quem já demonstrou interesse.

Eventos enviados pelo servidor. Se você aceitou marketing, quando cria uma conta ou faz uma compra, o nosso servidor envia esse evento à API de Conversões da Meta e à Events API do TikTok. Vão o tipo do evento, a data, o valor e os identificadores de clique ou de cookie de marketing, quando existirem. O e-mail e o telefone são transformados em hash SHA-256 (um código que não mostra o dado original) antes de sair. O hash não torna o dado anônimo: essas empresas conseguem compará-lo com os dados das contas delas para saber se o anúncio funcionou. Se você não aceitou marketing, nada disso é enviado.

Os nomes e a duração dos cookies de cada ferramenta são definidos pela empresa responsável e estão descritos na política de privacidade dela.

Atribuição de campanha

Para saber quais campanhas trazem pessoas ao NossoPersonal, usamos o cookie próprio np_atribuicao, que guarda a origem da visita: os parâmetros utm do link, a página de entrada e o site de onde você veio. Ele dura 90 dias e só é gravado se você aceitou medição ou marketing.

Os identificadores de clique de anúncio (gclid, gbraid, wbraid, fbclid, ttclid e msclkid) só são guardados se você aceitou marketing.

Quando você cria uma conta, essa origem é ligada à sua conta.

Onde não há pixel de marketing

Não carregamos pixel de marketing nas telas logadas (o painel do personal em /app e o app do aluno em /aluno), no checkout nem nas páginas abertas por link de acesso único, como convites e redefinição de senha.

Landing page do personal

Na landing page de um personal, os pixels instalados por ele também só carregam se o visitante aceitar os cookies de marketing. O personal é o controlador dos dados coletados por esses pixels e pelos formulários da página dele. Para exercer seus direitos sobre esses dados, procure o personal.

Controle pelo navegador

Você também pode bloquear ou apagar cookies nas configurações do navegador. Se apagar o np_consentimento, o banner volta a perguntar a sua escolha.

12. Por quanto tempo guardamos

Guardamos os dados só pelo tempo necessário para a finalidade ou pelo prazo que a lei exige. Depois, eles são apagados ou anonimizados (LGPD, art. 16).

13. Seus direitos

Pela LGPD (art. 18), você pode pedir:

• confirmação de que tratamos seus dados;
• acesso aos seus dados;
• correção de dados incompletos, errados ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei;
• portabilidade dos seus dados a outro fornecedor;
• eliminação dos dados tratados com o seu consentimento, salvo nos casos em que a lei permite guardá-los;
• informação sobre com quem compartilhamos os seus dados;
• informação sobre a possibilidade de não dar o consentimento e o que acontece se você não der;
• revogação do consentimento.

Você também pode se opor a um tratamento feito sem consentimento quando ele descumprir a lei (art. 18, § 2º), pedir a revisão de decisões tomadas só por meio automatizado (art. 20) e reclamar à ANPD (art. 18, § 1º).

Como exercer

• Pelo app: exportar os seus dados, excluir a conta, mudar o que compartilha com cada personal, encerrar um vínculo, corrigir o perfil e mudar as preferências de cookies.
• Por e-mail: escreva ao encarregado em [email protected].
• O atendimento é gratuito (art. 18, § 5º). Podemos pedir uma confirmação de identidade para proteger você.
• A confirmação e o acesso em formato simplificado são imediatos. A declaração completa sai em até 15 dias do pedido (art. 19). Os demais pedidos são atendidos o quanto antes; se não for possível atender de imediato, explicamos o motivo.
• Se o pedido for sobre dados que o personal registrou no espaço dele, o controlador é o personal: indicamos isso e ajudamos o personal a responder.
• O responsável legal exerce os direitos do menor de idade.

14. Segurança

• criptografia em trânsito (HTTPS) em todas as páginas;
• campos sensíveis cifrados no banco de dados;
• fotos e arquivos sensíveis em armazenamento privado, com links temporários;
• senhas guardadas de forma que não podem ser lidas;
• verificação em duas etapas (2FA);
• controle de acesso por perfil e separação dos dados de cada espaço;
• trilha de auditoria das leituras de dados de saúde;
• cópias de segurança cifradas;
• acesso da nossa equipe limitado ao necessário.

Nenhum sistema é totalmente imune a falhas. Você ajuda usando senha forte, ativando a 2FA e não compartilhando o seu login.

15. Incidentes de segurança

Se acontecer um incidente de segurança que possa trazer risco ou dano relevante aos titulares, comunicamos a ANPD e as pessoas afetadas (LGPD, art. 48), no prazo de 3 dias úteis previsto no regulamento da ANPD (Resolução CD/ANPD nº 15/2024). A comunicação informa quais dados foram afetados, quem foi atingido, as medidas de segurança usadas, os riscos e o que fizemos para reduzir os efeitos.

Quando o incidente envolver dados de um espaço, em que o controlador é o personal, avisamos o personal o quanto antes e damos as informações de que ele precisa para fazer as comunicações dele.

16. Alterações desta política

Podemos atualizar esta política. Mudanças relevantes são avisadas por e-mail e na plataforma com pelo menos 30 dias de antecedência, salvo quando uma mudança na lei exigir prazo menor. Quando a mudança afetar um tratamento baseado no seu consentimento, pedimos o consentimento de novo. A versão e a data de publicação aparecem no topo desta página.

17. Contato

• Encarregado e pedidos de titular: [email protected]
• Contato geral: [email protected]
• Página de contato: fale conosco
• Dúvidas comuns: perguntas frequentes
• Autoridade Nacional de Proteção de Dados (ANPD): gov.br/anpd