Dados & Conformidade — BeltUP

Versão: 2026-09-28

Resumo de como o BeltUP cumpre o GDPR (União Europeia/Itália) e a LGPD (Brasil), para academias, alunos e parceiros.

1. Papéis

As academias contratantes firmam conosco um Acordo de Tratamento de Dados (DPA), conforme o art. 28 do GDPR e o art. 39 da LGPD. Modelo disponível mediante solicitação em [EMAIL DE PRIVACIDADE].

2. Princípios aplicados no produto

• Minimização: coletamos só o necessário para reservas, presença, planos e graduação. Não há rastreadores de publicidade.
• Privacidade por padrão:
  • alunos veem apenas os próprios dados;
  • o ranking mostra só nome, inicial do sobrenome, faixa e número de presenças;
  • observações internas e dados de saúde ficam restritos à equipe da academia.
• Exatidão:
  • o aluno pode corrigir nome, telefone, foto e data de nascimento;
  • faixa, plano e status são mantidos pela academia.
• Limitação de armazenamento: existem prazos de retenção (Política de Privacidade, item 6); na remoção, os dados são anonimizados.
• Integridade e confidencialidade: veja o item 5.

3. Direitos dos titulares — como atendemos

Todos os pedidos ficam registrados, com data e situação, para prestação de contas.

4. Consentimentos registrados

O sistema guarda data e versão do documento aceito, para:

• Termos de Uso e Política de Privacidade (no cadastro);
• dados de saúde (atestado médico), quando a academia os exigir;
• autorização do responsável legal para alunos menores.

5. Medidas técnicas e organizacionais de segurança

• Isolamento entre academias e por papel no banco de dados (Row Level Security), com regras testadas.
• Operações sensíveis no servidor: reserva, cancelamento, lista de espera, presença, graduação e convites passam por funções do servidor que validam permissões. O navegador não grava diretamente nessas tabelas.
• Validação e limpeza de entradas:
  • remoção de HTML, scripts e caracteres de controle;
  • formatos obrigatórios para nome, telefone, e-mail e URLs de imagem;
  • limites de tamanho em todos os textos.
• Limitação de tentativas (rate limiting) por usuário e por IP em todas as operações da API.
• Uploads:
  • só imagens JPG, PNG ou WebP, até 5 MB;
  • cada usuário só altera ou apaga os arquivos que enviou.
• Credenciais:
  • senhas guardadas apenas como hash;
  • senhas temporárias aleatórias com troca obrigatória;
  • chaves secretas só no servidor;
  • códigos de convite longos e aleatórios.
• Criptografia em trânsito (TLS) e em repouso (provedor de nuvem).
• Backups e registros mantidos pelo provedor de banco de dados.

6. Sub-processadores

Novos sub-processadores serão informados às academias com antecedência.

7. Categorias especiais e grupos vulneráveis

• Saúde (atestado médico):
  • coletado apenas quando exigido pela academia;
  • acesso restrito à equipe;
  • apagado após o prazo de retenção.
• Menores:
  • cadastro com autorização do responsável;
  • na Itália, consentimento parental abaixo de 14 anos;
  • no Brasil, crianças até 12 anos com consentimento de um dos pais, sempre no melhor interesse do menor.

8. Incidentes

Temos um procedimento de resposta a incidentes: contenção, avaliação de risco, registro interno e comunicação.

• Garante (Itália): em até 72 horas.
• ANPD (Brasil): em até 3 dias úteis.
• Titulares afetados: quando houver risco relevante.
• Academias: avisadas sem demora indevida.

9. Encarregado / DPO

[NOME DO ENCARREGADO/DPO] — [EMAIL DO DPO]

Autoridades: Garante per la protezione dei dati personali (Itália) · Autoridade Nacional de Proteção de Dados — ANPD (Brasil).