Política de Privacidade — K&L Fit
Última atualização: 29/10/2026 Versão: 1.6. Novidades desta versão: medidas de segurança detalhadas, registro de acessos administrativos e resumo do Relatório de Impacto à Proteção de Dados (1.6, itens 7, 7A e 9); Portfólio de personais e "Procurar personal" (1.5, itens 2, 3 e 4); Amigos, Timeline e Registro pessoal de fotos do corpo (1.4, itens 2, 2.1, 3, 4, 6 e 9); pagamentos do Plano VIP pela Stripe, com a transferência internacional correspondente (1.3, itens 2, 4 e 5); o app passa a se chamar K&L Fit, operado pela K&L Fitness (Kalita & Lucas), com novo e-mail de contato e de privacidade (1.2); notificações de mensagem no celular (1.1, itens 2, 3, 4, 5, 6 e 10).
Esta Política explica como o K&L Fit trata seus dados pessoais, de acordo com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, "LGPD") e o Marco Civil da Internet (Lei nº 12.965/2014).
1. Controlador e Encarregado
- Controlador: K&L Fitness (Kalita & Lucas), marca mantida por Lucas Ferreira do Carmo Souza (pessoa física), Goiânia/GO.
- Encarregado pelo tratamento de dados (DPO) / canal de privacidade: Lucas Ferreira do Carmo Souza, e-mail contact.klfitness@gmail.com.
2. Quais dados coletamos
| Categoria | Dados | De quem |
|---|---|---|
| Cadastro | Nome completo, e-mail, sexo, data de nascimento, celular, senha (armazenada com criptografia irreversível) | Todos |
| Treinos | Treinos semanais, exercícios, séries, repetições, cargas registradas, horários de início e fim dos treinos | Alunos, usuários e personais |
| Frequência | Presenças e faltas calculadas a partir dos treinos finalizados | Alunos e usuários |
| Vínculo | Convites enviados, aceitos ou recusados, e o personal vinculado | Personais e alunos |
| Chat | Mensagens de texto e gravações de voz (áudio) trocadas entre personal e aluno | Personais e alunos |
| Notificações | Endereço de entrega e chaves de criptografia gerados pelo navegador do aparelho onde você ativou as notificações, e a qual login ele pertence | Personais e alunos que ativam as notificações |
| Pedidos à IA | O texto digitado em "Criar treino com IA" e a quantidade de pedidos feitos por dia | Personais, alunos e usuários que usam a função |
| Amigos | Pedidos de amizade, amizades, o seu link de convite, os e-mails para os quais você mandou convites e a escolha de aparecer ou não na busca por nome | Alunos e usuários |
| Timeline | Posts (texto, fotos, o resumo do treino que você escolher incluir e quem pode ver), curtidas e comentários | Alunos e usuários que usam a Timeline |
| Registro pessoal | Fotos do corpo, com data, pose e observação, e a data do seu consentimento específico | Alunos e usuários que ativam o Registro pessoal |
| Portfólio | Perfil público do personal no "Procurar personal": foto, apresentação, especialidades, cidade/UF, modalidade, CREF e, se autorizado, o celular para WhatsApp; conversas iniciadas pelo portfólio e bloqueios | Personais VIP que publicam o perfil; alunos e usuários que iniciam conversas |
| Assinatura | Plano, ciclo, status, valores, datas de cobrança, identificadores do cliente e da assinatura na Stripe, bandeira, final e validade do cartão, e motivo de cancelamento (opcional) | Personais VIP |
| Técnicos | Endereço IP, data e hora de acesso, tipo de navegador e dispositivo, registros de erro | Todos |
Não coletamos o número completo nem o código de segurança do seu cartão. Eles são digitados no formulário seguro da Stripe e tratados diretamente por ela.
2.1 Dados sensíveis (saúde)
Informações sobre treinos, cargas e, principalmente, mensagens no chat sobre dores, lesões ou condições físicas podem revelar dados referentes à saúde, que a LGPD considera dados pessoais sensíveis (art. 5º, II). Tratamos esses dados com base no seu consentimento específico e destacado (art. 11, I), solicitado no cadastro e, para o compartilhamento com o personal, no momento em que você aceita o convite. Você pode revogar o consentimento a qualquer momento (item 8), mas sem ele algumas funções deixam de funcionar.
Fotos do corpo (Registro pessoal) também podem revelar dados de saúde. Elas só são guardadas depois de um consentimento específico, pedido na primeira vez que você abre o Registro pessoal, e ficam visíveis apenas para você: não aparecem na Timeline, nem para amigos, nem para o seu personal, e o K&L Fit não as usa para nenhuma outra finalidade. Para revogar o consentimento, use "Apagar todas as fotos e desativar": as fotos são apagadas na hora.
As fotos que você envia (na Timeline ou no Registro pessoal) são reduzidas e convertidas no seu próprio aparelho antes do envio, o que remove a localização e outros dados que o celular grava junto com a foto.
3. Para que usamos e com qual base legal
| Finalidade | Base legal (LGPD) |
|---|---|
| Criar e manter sua conta e permitir o login | Execução de contrato (art. 7º, V) |
| Conferir a idade mínima (data de nascimento) | Cumprimento de obrigação legal (art. 7º, II) e legítimo interesse na proteção de menores (art. 7º, IX) |
| Exibir treinos, registrar cargas e calcular frequência | Execução de contrato (art. 7º, V) e consentimento para dados de saúde (art. 11, I) |
| Compartilhar seus treinos, frequência e cargas com o personal que você aceitou | Consentimento (art. 7º, I, e art. 11, I) |
| Entregar mensagens e áudios do chat | Execução de contrato (art. 7º, V) e consentimento (art. 11, I) |
| Amigos e Timeline: mostrar seus posts, curtidas e comentários aos amigos que você escolheu, e seu nome na busca (se você permitir) | Execução de contrato (art. 7º, V) e consentimento (art. 7º, I), dado ao escolher "Amigos" em cada post e ao ativar "Aparecer na busca" |
| Mostrar o perfil do personal no "Procurar personal" e permitir que alunos e usuários iniciem conversas com ele | Execução de contrato (art. 7º, V) e consentimento (art. 7º, I), dado ao publicar o perfil e, para o WhatsApp, ao autorizar a exibição do celular |
| Guardar suas fotos do corpo no Registro pessoal, só para você | Consentimento específico e destacado (art. 11, I) |
| Avisar no celular quando chega mensagem, mesmo com o app fechado | Consentimento (art. 7º, I): só funciona depois que você ativa, e pode ser desativado a qualquer momento no Perfil ou nos ajustes do aparelho |
| Cobrar a assinatura VIP e emitir documentos fiscais | Execução de contrato (art. 7º, V) e cumprimento de obrigação legal (art. 7º, II) |
| Enviar e-mails transacionais (convite, recuperação de senha, cobrança) | Execução de contrato (art. 7º, V) |
| Guardar registros de acesso por 6 meses | Obrigação legal (art. 15 do Marco Civil) |
| Prevenir fraudes e garantir a segurança | Legítimo interesse (art. 7º, IX) |
| Gerar estatísticas agregadas e anonimizadas para melhorar o produto | Legítimo interesse (art. 7º, IX) |
| Exercer direitos em processos judiciais ou administrativos | Exercício regular de direitos (art. 7º, VI) |
Não vendemos seus dados e não os usamos para publicidade de terceiros.
4. Com quem compartilhamos
- Todos os alunos e usuários do K&L Fit, se você for Personal e publicar seu perfil no portfólio: veem seu nome, CREF, foto, apresentação, especialidades, cidade/UF, modalidade e, se você autorizar, seu celular para contato pelo WhatsApp. Em uma conversa iniciada pelo portfólio, o personal vê o nome de quem escreveu e o que for enviado no chat.
- Seus amigos no K&L Fit: veem os posts que você publicar como "Amigos" (texto, fotos, resumo do treino), as curtidas e os comentários neles. Posts "Privados" e o Registro pessoal nunca são mostrados a ninguém. Na busca por nome, quem permitir aparece só com o nome, sem e-mail nem outros dados.
- Seu personal, somente após você aceitar o convite e enquanto o vínculo estiver ativo. Ele vê seu nome, contato, os treinos que prescreveu, sua frequência, as cargas registradas e o chat com ele. Ele não vê os treinos que você criou em "Meus treinos". Para o uso que fizer desses dados na prestação dos serviços dele a você, o personal atua como controlador independente.
- Stripe (Stripe Brasil Soluções de Pagamento – Instituição de Pagamento Ltda. (CNPJ 22.121.209/0001-46)): processamento dos pagamentos do Plano VIP. Recebe seu nome, e-mail, os dados do cartão que você digita no formulário dela e o histórico de cobranças.
- Provedores de infraestrutura: hospedagem do app, do banco de dados e dos áudios (Cloudflare, Inc.); armazenamento das fotos da Timeline e do Registro pessoal (Backblaze, Inc., em servidor privado e criptografado, acessado só pelo K&L Fit) e, quando configurado, um provedor de envio de e-mails. Eles atuam como operadores e seguem nossas instruções.
- Provedor de inteligência artificial (Huawei Cloud ModelArts): quando você usa "Criar treino com IA", enviamos apenas o texto que você digitou e a lista de exercícios da biblioteca. Não enviamos seu nome, e-mail, idade, sexo, dados do aluno nem histórico de treinos. Por isso, não escreva dados pessoais ou de saúde no pedido. O provedor atua como operador.
- Serviços de notificação da Apple, do Google, da Mozilla ou da Microsoft, conforme o seu aparelho e navegador: entregam as notificações de mensagem. O conteúdo (nome de quem enviou e o começo da mensagem; áudio aparece só como "Mensagem de voz") viaja criptografado de ponta a ponta: esses serviços não conseguem lê-lo, apenas veem o horário e o tamanho de cada envio. A notificação pode aparecer na tela bloqueada; você pode esconder o conteúdo nos ajustes do celular.
- YouTube (Google): os vídeos de demonstração são exibidos pelo player do YouTube no modo de privacidade aprimorada (youtube-nocookie.com). Ao dar play, o YouTube pode coletar dados conforme a política do Google.
- Autoridades: quando houver obrigação legal ou ordem judicial.
O administrador do K&L Fit acessa apenas dados cadastrais, de plano, de assinatura e estatísticas de uso. Ele não lê o conteúdo do chat, salvo para apurar denúncia de abuso, por ordem judicial ou por obrigação legal.
5. Transferência internacional
O K&L Fit roda na rede da Cloudflare, Inc. (empresa dos EUA). Pedimos que os dados fiquem armazenados na América do Sul, mas eles podem ser processados ou copiados em servidores de outros países, como os EUA. As fotos da Timeline e do Registro pessoal são guardadas pela Backblaze, Inc. em servidores nos EUA. Os pagamentos do Plano VIP também podem ser processados pela Stripe, Inc. (EUA), empresa do grupo da Stripe Brasil. Essas transferências seguem o art. 33 da LGPD e as regras da ANPD, com cláusulas contratuais adequadas.
O pedido feito em "Criar treino com IA" é processado pelo provedor de IA em servidores fora do Brasil (Singapura). Como o pedido não inclui dados que identifiquem você, a transferência se limita ao texto digitado.
As notificações passam pelos serviços de notificação citados no item 4, que podem estar fora do Brasil. Como o conteúdo é criptografado de ponta a ponta, eles recebem apenas dados técnicos de entrega.
6. Por quanto tempo guardamos
| Dado | Prazo |
|---|---|
| Dados da conta, treinos, frequência e chat | Enquanto a conta existir. Após a exclusão da conta, são apagados ou anonimizados em até 30 dias. |
| Posts, fotos, comentários, curtidas, amizades e fotos do Registro pessoal | Enquanto você não os apagar. Ao apagar um post, uma foto, ou ao excluir a conta, as fotos deixam de ser acessíveis na hora e são removidas definitivamente do armazenamento em até 24 horas. |
| Áudios do chat | Enquanto a conta de qualquer das partes existir. São apagados junto com a conta de quem enviou. |
| Registro do aparelho para notificações | Até você desativar as notificações, sair da conta naquele aparelho, trocar ou redefinir a senha, excluir a conta ou o login expirar. |
| Registros de acesso (IP, data e hora) | 6 meses (art. 15 do Marco Civil da Internet) |
| Dados de pagamento, assinatura e fiscais | 5 anos após o fim da relação (legislação tributária e consumerista) |
| Dados necessários para defesa em processos | Até o fim do prazo prescricional aplicável |
Exclusão da conta e chat: ao excluir sua conta, as mensagens e os áudios que você enviou são apagados. Como o vínculo também é encerrado, a conversa deixa de aparecer para a outra pessoa.
7. Segurança
Adotamos medidas técnicas e administrativas para proteger seus dados:
- conexões criptografadas (HTTPS, com HSTS) e cabeçalhos de segurança;
- senhas guardadas apenas como resumo irreversível (PBKDF2-SHA256, com sal e chave secreta fora do banco de dados) e limite de tentativas de login por IP;
- controle de acesso por perfil: cada pessoa só vê o que a função dela permite;
- painel administrativo com verificação em duas etapas obrigatória e registro de todos os acessos (quem, o quê, quando e IP), guardado por 6 meses;
- fotos em armazenamento privado e criptografado, sem link público, e com a localização removida no próprio aparelho antes do envio;
- dados do cartão digitados diretamente na Stripe, sem passar pelos nossos servidores, e chaves de serviços guardadas cifradas (AES-256-GCM);
- cópias de segurança que permitem recuperar o banco de dados em qualquer ponto dos últimos 30 dias.
Os detalhes, em linguagem simples, e o canal para relatar falhas de segurança estão na página Segurança.
Nenhum sistema é 100% seguro. Em caso de incidente que possa gerar risco ou dano relevante, comunicaremos você e a ANPD, conforme o art. 48 da LGPD.
7A. Relatório de Impacto à Proteção de Dados (RIPD) — resumo
Elaboramos um Relatório de Impacto à Proteção de Dados Pessoais (art. 5º, XVII, e art. 38 da LGPD), porque o K&L Fit trata dados de saúde (treinos, cargas, conversas sobre dores e lesões e fotos do corpo), recebe contas de adolescentes de 16 e 17 anos e permite contato entre pessoas que não se conhecem (portfólio de personais). Este é o resumo.
Elaborado em: 29/10/2026, pelo encarregado (item 1). Revisão: a cada nova função que trate dados sensíveis ou mude com quem os dados são compartilhados, e pelo menos uma vez por ano.
Tratamentos avaliados: cadastro e login; treinos, cargas e frequência; vínculo com o personal; chat (texto e áudio); Amigos e Timeline; Registro pessoal (fotos do corpo); portfólio de personais; pagamentos; pedidos à IA; notificações.
| Risco avaliado | Medidas adotadas |
|---|---|
| Alguém entrar na conta de outra pessoa | Senha guardada só como resumo irreversível; limite de tentativas por IP; acesso que expira em 15 minutos; troca ou redefinição de senha encerra as outras sessões |
| Dados de saúde vistos por quem não deveria | O personal só vê dados depois que o aluno aceita o convite e para de ver quando o vínculo termina; ele não vê "Meus treinos"; consentimento específico para dados de saúde |
| Exposição de fotos do corpo | Consentimento específico; visíveis só para o dono; armazenamento privado e criptografado, sem link público; localização removida antes do envio; apagamento definitivo em até 24 horas |
| Acesso indevido pela equipe | Painel sem tela de chat nem de fotos do corpo; verificação em duas etapas obrigatória; registro de todos os acessos ao painel por 6 meses |
| Contato indesejado ou assédio, especialmente com adolescentes | Adolescentes fora da busca por nome por padrão; no portfólio, só o aluno inicia a conversa, o personal não; qualquer lado pode bloquear; limite de novas conversas por dia; regras de conteúdo nos Termos |
| Dados enviados a outras empresas e ao exterior | Minimização (a IA recebe só o texto digitado; a Stripe recebe o cartão diretamente; notificações criptografadas de ponta a ponta); operadores contratados com cláusulas de proteção de dados (item 5) |
| Perda de dados | Cópias de segurança com recuperação de qualquer ponto dos últimos 30 dias |
| Dificuldade em exercer direitos | Exportar dados, excluir a conta, encerrar vínculo e revogar consentimentos direto no app, sem precisar pedir |
Conclusão: com essas medidas, avaliamos que o risco residual para os titulares é baixo e que os tratamentos são necessários e proporcionais às finalidades do item 3. Ainda não houve auditoria independente; quando houver, o resultado será publicado na página Segurança. A ANPD pode solicitar o relatório a qualquer momento (art. 38 da LGPD).
8. Seus direitos (art. 18 da LGPD)
Você pode, a qualquer momento:
- confirmar se tratamos seus dados;
- acessar seus dados;
- corrigir dados incompletos, inexatos ou desatualizados;
- pedir anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
- pedir a portabilidade dos seus dados (exportação dos seus treinos e do histórico);
- pedir a eliminação dos dados tratados com base no consentimento;
- saber com quem compartilhamos seus dados;
- ser informado sobre a possibilidade de não consentir e as consequências;
- revogar o consentimento, por exemplo encerrando o vínculo com o personal;
- apresentar reclamação à ANPD (www.gov.br/anpd).
Muitos desses direitos podem ser exercidos diretamente no app, pelas opções do Perfil: editar dados, encerrar vínculo, excluir conta e exportar dados. Para os demais, escreva para contact.klfitness@gmail.com. Responderemos em até 15 dias.
9. Menores de idade
- Personais precisam ter 18 anos ou mais.
- Alunos e Usuários precisam ter 16 anos ou mais. Quem tem entre 16 e 17 anos declara ter a autorização do responsável legal.
- Não permitimos contas de menores de 16 anos. Se identificarmos uma conta irregular, ela será excluída.
Os dados de adolescentes (16 e 17 anos) são tratados sempre no melhor interesse deles (art. 14 da LGPD e Lei nº 15.211/2025, o "ECA Digital"). Para isso:
- usamos as configurações mais protetivas por padrão;
- não fazemos publicidade nem perfilamento para fins comerciais;
- o chat só acontece com o personal que o próprio adolescente aceitou ou com um personal do portfólio que ele mesmo procurou; personais não podem iniciar conversa com adolescentes (nem com ninguém) pelo portfólio, e o adolescente pode encerrar a conversa a qualquer momento;
- adolescentes não aparecem na busca por nome por padrão: só fazem amizade com quem tiver o link de convite deles, a menos que ativem a busca;
- as fotos do corpo do Registro pessoal ficam sempre privadas e não podem ser publicadas;
- o responsável legal pode solicitar, a qualquer momento, acesso aos dados ou a exclusão da conta, pelo canal de privacidade.
10. Cookies e armazenamento local
Usamos apenas cookies e armazenamento local essenciais: manter você logado e guardar preferências da interface. Se você ativar as notificações, o navegador instala um pequeno programa do K&L Fit (service worker) que só serve para exibi-las e não guarda seus dados. Não usamos cookies de publicidade. O player do YouTube pode definir cookies próprios ao ser reproduzido.
11. Alterações
Mudanças relevantes nesta Política serão avisadas por e-mail e no app com antecedência mínima de 15 dias.
12. Contato
contact.klfitness@gmail.com · K&L Fitness (Lucas Ferreira do Carmo Souza) · Goiânia/GO