Política de privacidade
Versão de 21 de setembro de 2026.
Esta política explica como os dados pessoais são tratados no GM7FIT, sistema de gestão de academias. Aplica-se aos alunos, responsáveis, profissionais e usuários administrativos.
1. Quem decide sobre o uso dos dados
A academia responsável pela matrícula é a controladora dos dados dos seus alunos e equipe. Ela define as finalidades, bases legais e prazos de retenção. O responsável pelo GM7FIT atua como operador quando trata informações por instrução da academia, e como controlador dos dados necessários à gestão de sua própria relação com clientes.
Identificação e canal de privacidade em preparação: a razão social, o CNPJ e o e-mail do responsável pelo GM7FIT ainda precisam ser informados. Enquanto isso, alunos e profissionais devem encaminhar solicitações à administração da academia onde possuem vínculo. Esta identificação deve ser concluída antes da abertura do serviço a outras empresas.
2. Quais dados são tratados
No formulário “Solicite um plano”, recebemos nome, academia ou empresa, e-mail, telefone e a mensagem enviada para que a equipe GM7MASTER faça o atendimento comercial.
Conforme os campos utilizados pela academia: nome, contato, dados cadastrais, matrícula, turmas, horários, treinos, avaliações físicas, informações financeiras, pagamentos e comunicações. Informações sobre saúde presentes em avaliações ou anotações são dados pessoais sensíveis. Não informe dados de cartão, senhas bancárias ou informações sem relação com o atendimento.
Para o acesso administrativo, recebemos nome e e-mail no cadastro e, quando utilizado, o identificador da conta do provedor de autenticação. Senhas são armazenadas como hashes de verificação com salt; não são guardadas em texto legível. Sessões têm prazo de validade e são revogadas após recuperação de senha. Registramos empresa, permissões e eventos de acesso ou alteração, sem incluir o conteúdo dos cadastros nos registros de auditoria.
Quando a academia ativa mensagens de rotina por WhatsApp, a Meta recebe o telefone, o nome e os dados necessários ao modelo aprovado, como data de aniversário e horários de treino. Para a mensagem de falta, o GM7FIT verifica se existiu entrada autorizada no dia; a Meta recebe apenas a mensagem gerada, sem receber o histórico da catraca ou do Face ID. Essa autorização é registrada separadamente da autorização de cobrança e pode ser desmarcada pela academia quando a pessoa solicitar a interrupção.
Quando a academia ativa o controle de acesso facial, são tratados o identificador do aluno, o vínculo com o equipamento, o estado do cadastro facial e a fotografia escolhida pela pessoa autorizada. A fotografia permanece criptografada no GM7FIT, separada por empresa, para consulta e nova sincronização. Quando o GM7 Edge está instalado, uma cópia criptografada também é mantida no computador autorizado da academia para recuperação e continuidade em falhas de internet. As cópias são substituídas ou removidas junto com o cadastro facial e seguem a política de retenção da academia. O GM7FIT não inclui fotos ou templates em logs.
A biometria facial é dado pessoal sensível. Antes de ativar o recurso, a academia deve registrar finalidade, hipótese legal aplicável, prazo de retenção, procedimento de exclusão, pessoas autorizadas e alternativa de acesso para situações cabíveis. O consentimento não deve ser adotado automaticamente quando outra hipótese legal for a adequada.
3. Finalidades e bases legais
Os dados são usados para administrar serviços contratados, matrículas, aulas, agenda, pagamentos, atendimento e segurança. Conforme o caso, a academia deve documentar bases como execução de contrato, obrigação legal ou exercício regular de direitos. O consentimento é utilizado quando necessário e pode ser revogado.
Dados de saúde exigem uma hipótese legal específica do artigo 11 da LGPD. A academia deve identificar e documentar essa hipótese antes da coleta; a existência de uma matrícula, por si só, não autoriza qualquer uso de dados sensíveis. Quando necessário, o consentimento deve ser específico e destacado. O uso do sistema ou a leitura desta política não equivale a esse consentimento.
4. Empresas e pessoas autorizadas
Cada empresa possui seu espaço de dados. A autorização é verificada no servidor. Administradores gerenciam acessos; pessoas com perfil de equipe podem consultar e editar os módulos; o perfil de consulta permite leitura. A academia deve limitar autorizações a quem precisa das informações e revogar acessos quando o vínculo terminar.
5. Compartilhamento e serviços utilizados
O funcionamento depende da infraestrutura de hospedagem contratada e dos serviços externos que forem configurados pela administração. Quando configurado, o serviço Resend envia mensagens de confirmação e recuperação de conta contendo o e-mail e um link temporário. O envio de e-mail ainda não está ativo. Se a academia ativar as cobranças por WhatsApp, a Meta receberá o telefone e os dados do modelo de mensagem, como nome, vencimento e valor pendente. O envio exige habilitação da integração e autorização registrada no cadastro. A desativação de mensagens não elimina obrigações financeiras existentes.
Quando a cobrança por WhatsApp estiver ativa, a Meta também poderá devolver identificadores técnicos e estados como enviada, entregue, lida ou falha. O GM7FIT usa esse retorno para atualizar o histórico da cobrança, sem registrar no webhook o conteúdo da mensagem ou o telefone informado pela Meta.
Não há venda de dados implementada no sistema. Informações podem ser fornecidas para cumprimento de obrigação legal ou ordem válida. Prestadores de infraestrutura podem processar dados fora do Brasil; os responsáveis devem avaliar contratos e os mecanismos aplicáveis à transferência internacional antes de ampliar o uso do serviço.
6. Segurança e criptografia
O acesso publicado usa HTTPS. Os conteúdos dos cadastros e os contatos de acesso recebem criptografia autenticada na aplicação, com separação criptográfica por empresa e chave mantida no ambiente do servidor. Os conteúdos sensíveis permanecem criptografados no banco pela própria aplicação. Identificadores técnicos, perfis, versões e eventos mínimos de auditoria permanecem disponíveis ao servidor para aplicar as permissões.
O servidor precisa descriptografar dados para atender pessoas autorizadas; esta proteção não é criptografia de ponta a ponta. Exportações baixadas ficam sob responsabilidade de quem as recebe. Nenhum sistema elimina todos os riscos: mantenha a conta protegida, dispositivos atualizados e permissões revisadas. Incidentes devem ser comunicados ao responsável, que avaliará as medidas e comunicações previstas na legislação.
7. Cookies e aplicativo instalado
São utilizados cookies protegidos para a sessão de e-mail e senha, mecanismos de sessão do provedor de login quando utilizado e um cookie para a empresa selecionada. O GM7FIT não implementa publicidade comportamental. O aplicativo instalado armazena recursos visuais e uma página de aviso offline. O GM7 Edge mantém no computador autorizado da academia um cofre local criptografado com fotografias faciais, horários e permissões mínimas necessários ao controle de acesso. Essa cópia tem acesso restrito no Windows; regras de autorização expiram em até 24 horas sem contato com o servidor e o sistema bloqueia por segurança quando não possui uma cópia válida. É necessária conexão para consultar ou alterar os demais dados.
Os eventos de catraca registram data, equipamento, aluno, direção e decisão para segurança e auditoria. O envio de foto de acesso pelo Monitor permanece desativado por padrão. A academia deve definir prazo específico para eventos de acesso e solicitar a exclusão da face no equipamento quando o vínculo terminar ou quando a hipótese legal deixar de existir.
8. Guarda e exclusão
Os dados são mantidos enquanto necessários ao serviço e aos prazos legais, contratuais ou de defesa de direitos aplicáveis. A academia deve definir esses prazos e revisar os registros periodicamente. Arquivar um cadastro não o elimina. Pedidos de exclusão devem ser avaliados pelo responsável e podem exigir procedimento administrativo; não existe exclusão automática baseada nesta política. Cópias de recuperação podem permanecer durante o prazo de retenção da infraestrutura.
9. Seus direitos
Nos termos da LGPD, você pode solicitar confirmação do tratamento, acesso, correção, informações sobre compartilhamento, anonimização, bloqueio ou eliminação quando aplicável, portabilidade conforme regulamentação, revogação de consentimento e revisão de decisões exclusivamente automatizadas. O responsável pode solicitar informações proporcionais para confirmar sua identidade e proteger os dados antes de atender ao pedido. Você também pode recorrer à Autoridade Nacional de Proteção de Dados.
10. Crianças e adolescentes
O tratamento deve observar o melhor interesse de crianças e adolescentes. A academia deve verificar a representação do responsável e obter consentimento específico quando exigido, limitar a coleta e fornecer informações acessíveis. A plataforma não substitui esses procedimentos da academia.
11. Atualizações e contato
Esta política pode ser atualizada para refletir alterações no serviço ou nas obrigações aplicáveis. A data acima identifica a versão. Procure a administração da sua academia para exercer seus direitos; o canal central do GM7FIT será incluído após a identificação formal do responsável.
Referências: Lei Geral de Proteção de Dados e segurança do banco de dados Cloudflare D1.