Política de Privacidade

1. Quem somos

O Pilates One é um sistema de gestão para estúdios de Pilates e clínicas, oferecido por Marcelo Casseb, inscrito no CPF sob o nº 089.667.176-32 ("Pilates One", "nós"), responsável pelo tratamento dos dados descrito nesta política.

Esta política vale para:

• o site pilatesone.com.br;
• o sistema Pilates One, acessado pelo navegador;
• o atendimento de suporte, pelo WhatsApp e por chamada de vídeo.

2. Quem decide sobre os dados

A LGPD separa quem decide sobre os dados (controlador) de quem os trata em nome dele (operador). No Pilates One, os papéis são estes:

Se você é aluno ou paciente de um estúdio que usa o Pilates One, quem responde pelos seus dados é esse estúdio ou clínica. Fale primeiro com eles. Se você nos procurar, encaminharemos o seu pedido ao estúdio responsável.

3. Quais dados tratamos

3.1 Visitantes do site

• O site não tem formulários, não pede cadastro e não usa cookies de rastreamento ou de publicidade.
• Como em qualquer site, o servidor que entrega as páginas registra dados técnicos da conexão, como endereço IP, data e hora e página acessada.
• As fontes do site são carregadas do Google Fonts. Para isso, o seu navegador informa o seu endereço IP ao Google.
• Os botões de WhatsApp e Instagram levam a serviços de terceiros, que seguem as políticas de privacidade deles.

3.2 Equipe que usa o sistema

• Conta: nome, e-mail, estúdio ou clínica a que pertence e perfil de acesso (administrador ou membro da equipe).
• Senha: guardada pelo serviço de autenticação da Amazon Web Services (Amazon Cognito) de forma protegida. Nós não temos acesso à sua senha.
• Registros de acesso: data e hora, ação feita no sistema, usuário, e-mail e endereço IP de cada acesso.

3.3 Alunos e pacientes, cadastrados pelo estúdio ou clínica

• Cadastro: nome, CPF, data de nascimento, endereço, telefone e e-mail. Só o nome é obrigatório.
• Avaliação física e postural: ver a seção 4.
• Registro das aulas: data, aparelhos usados, tipos de treino, profissional responsável e observações.
• Fotos: até 5 imagens por aluno, anexadas pela equipe.
• Escala e agenda: horários fixos e marcações. Na agenda também podem constar nome e telefone de pessoas que ainda não são alunas, como em uma aula experimental.
• Financeiro: plano, valor e vencimento da mensalidade, pagamentos recebidos e forma de pagamento (Pix, dinheiro, crédito ou débito). O sistema não guarda número de cartão nem dados bancários.
• Profissionais: nome e telefone dos profissionais do estúdio.

4. Dados de saúde

A avaliação guarda informações de saúde: diagnóstico médico, queixa principal, história da condição atual, pressão arterial, frequência cardíaca, avaliação postural, medidas corporais, inspeção geral, exames complementares e observações. Pela LGPD, esses são dados pessoais sensíveis (art. 5º, II, e art. 11) e recebem a proteção mais rígida da lei. As fotos posturais e as observações das aulas também podem revelar informações de saúde.

Por isso, em relação a esses dados, o Pilates One:

• trata os dados apenas para prestar o serviço ao estúdio ou clínica que os cadastrou;
• não vende dados, não os usa para publicidade e não os compartilha para obter vantagem econômica, como determina o art. 11, § 4º, da LGPD;
• não acessa o conteúdo das fichas, exceto quando o próprio estúdio pede ajuda no suporte e autoriza esse acesso, e apenas para resolver o problema relatado;
• aplica as medidas de segurança descritas na seção 9.

O sigilo profissional e as normas do conselho de cada profissão continuam valendo para o estúdio ou clínica e seus profissionais. Isso inclui as regras do COFFITO para fisioterapeutas e do sistema CONFEF/CREF para profissionais de educação física, por exemplo sobre registro e guarda de prontuários.

5. Para que usamos os dados

• Fazer o sistema funcionar: cadastros, escala, agenda, registro de aulas, fotos e financeiro do estúdio ou clínica.
• Identificar quem entra no sistema e garantir que cada estúdio veja apenas os próprios dados.
• Prevenir fraudes e acessos indevidos e investigar problemas técnicos.
• Prestar suporte quando o cliente pedir.
• Falar com o cliente sobre a conta, o período de teste, a assinatura e mudanças no serviço.
• Cumprir obrigações legais, como a guarda de registros de acesso exigida pelo Marco Civil da Internet (Lei 12.965/2014, art. 15).

6. Bases legais

Dados da equipe, dos clientes e dos visitantes (controlador: Pilates One)

• Execução de contrato (LGPD, art. 7º, V): criar e manter as contas e prestar o serviço contratado.
• Cumprimento de obrigação legal (art. 7º, II): guardar os registros de acesso.
• Legítimo interesse (art. 7º, IX): segurança do sistema, prevenção de fraudes e melhoria do serviço.

Dados de alunos e pacientes (controlador: o estúdio ou clínica)

Quem define a base legal é o estúdio ou clínica. Em geral, as bases aplicáveis são estas:

• para dados de saúde, a tutela da saúde, em procedimento realizado por profissionais de saúde (art. 11, II, "f"), ou o consentimento do titular (art. 11, I);
• para cadastro, agenda e financeiro, a execução do contrato entre o aluno e o estúdio (art. 7º, V).

Cabe ao estúdio ou clínica informar os seus alunos sobre o uso dos dados e, quando necessário, colher o consentimento. Para fotos, recomendamos uma autorização de uso de imagem por escrito.

7. Com quem compartilhamos

• Amazon Web Services (AWS): é a infraestrutura onde o sistema roda. Ela guarda o banco de dados, as fotos, as contas de acesso e os registros, atuando como suboperadora, sob contrato e com medidas de segurança próprias.
• WhatsApp: o lembrete de aula não é enviado pelo Pilates One. O botão abre o WhatsApp do próprio usuário com uma mensagem pronta, e é o usuário quem envia. A partir daí valem os termos do WhatsApp.
• Autoridades: quando houver obrigação legal ou ordem judicial.

Não compartilhamos dados com anunciantes, parceiros comerciais ou qualquer outra empresa.

8. Onde os dados ficam

Os dados são guardados em servidores da Amazon Web Services na região de Virgínia do Norte, nos Estados Unidos. Isso é uma transferência internacional de dados, permitida pela LGPD nas hipóteses do art. 33. A AWS segue padrões internacionais de segurança e oferece garantias contratuais de proteção de dados aos seus clientes.

9. Como protegemos os dados

• Conexão protegida: todo acesso ao site e ao sistema usa HTTPS.
• Criptografia: o banco de dados e as fotos ficam criptografados nos servidores.
• Fotos privadas: as imagens ficam em um armazenamento sem acesso público. Cada foto só abre por um link temporário, gerado para quem está logado, que deixa de funcionar em 5 minutos.
• Separação por estúdio: cada estúdio ou clínica só enxerga os próprios dados.
• Acesso individual: cada pessoa da equipe tem login e senha próprios. A sessão expira sozinha e o login com senha é pedido de novo pelo menos uma vez por dia.
• Perfis de acesso: o financeiro fica restrito ao administrador do estúdio.
• Backup contínuo: o banco de dados tem cópia automática, com recuperação a qualquer ponto dos últimos 35 dias.
• Registro de acesso: cada ação na API fica registrada, para investigar problemas e acessos indevidos.

Nenhum sistema é totalmente imune a falhas. Por isso também contamos com o cuidado de cada usuário: não compartilhe a sua senha e saia do sistema em computadores de uso comum.

10. Por quanto tempo guardamos

Quando o estúdio remove um aluno, uma avaliação, uma aula ou um lançamento financeiro, o registro deixa de aparecer no sistema, mas continua guardado para preservar o histórico clínico e financeiro. A exclusão definitiva é feita a pedido do estúdio ou clínica, pelo nosso suporte. Depois dela, as cópias de backup deixam de existir em até 35 dias.

Ao fim da assinatura, os dados seguem o prazo previsto nos Termos de Uso. O tempo de guarda de prontuários definido pelo conselho de cada profissão é responsabilidade do estúdio ou clínica, que deve nos orientar se precisar mantê-los por mais tempo.

11. Seus direitos

Pela LGPD (art. 18), você pode pedir:

• confirmação de que tratamos os seus dados e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desacordo com a lei;
• portabilidade dos dados;
• eliminação dos dados tratados com base no seu consentimento;
• informação sobre com quem compartilhamos os dados;
• revogação do consentimento, quando ele for a base do tratamento.

Alunos e pacientes devem fazer o pedido ao estúdio ou clínica, que é o controlador dos seus dados. Nós ajudamos o estúdio a atender. Equipe e visitantes podem falar direto conosco pelos canais da seção 15. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

12. Cookies e armazenamento local

• O site não usa cookies de rastreamento, de análise ou de publicidade.
• O sistema guarda no seu navegador apenas o necessário para manter você conectado (a sessão de login). Esses dados são apagados quando você clica em Sair.

13. Crianças e adolescentes

O sistema é usado por profissionais adultos. Se um estúdio cadastrar um aluno com menos de 18 anos, cabe ao estúdio obter o consentimento de pelo menos um dos pais ou do responsável legal, como exige o art. 14 da LGPD, e tratar os dados sempre no melhor interesse do menor.

14. Incidentes de segurança

Se acontecer um incidente que possa trazer risco ou dano relevante aos titulares, comunicaremos os estúdios e clínicas afetados assim que tomarmos conhecimento. Também comunicaremos a ANPD, nos prazos e na forma que ela define (art. 48 da LGPD), e apoiaremos o estúdio na comunicação aos seus alunos.

15. Contato e encarregado

Para dúvidas sobre privacidade ou pedidos sobre os seus dados:

• WhatsApp: (15) 99625-2812
• Instagram: @pilatesonegestao
• Encarregado pelo tratamento de dados (DPO): Marcelo Casseb, pelo WhatsApp acima

16. Alterações desta política

Podemos atualizar esta política quando o sistema ou a lei mudarem. A data da última atualização fica no topo da página. Mudanças importantes serão avisadas aos clientes com antecedência.