Política de privacidade

A Heeds Tecnologia LTDA (“nós”), CNPJ 42.192.396/0001-66, com sede na Av. Bahia, 644, Sala C — João Pessoa/PB — 58030-130, opera o CADU. Esta política vale para o site cadu.fit, para os apps Cadu fit (para quem treina) e Cadu fit Pro (para profissionais) e para o app web em app.cadu.fit.

O nosso encarregado pelo tratamento de dados pessoais atende pelo e-mail privacidade@cadu.fit. É por ele que você exerce os direitos da Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) e tira dúvidas sobre esta política.

Somos a controladora dos dados da sua conta, dos dados do site, das respostas ao PAR-Q e ao histórico de cuidados médicos, que pedimos a todos os alunos, e dos dados que usamos para operar, proteger e melhorar o CADU.

Quando um profissional de educação física usa o CADU para acompanhar alunos, ele é o controlador dos dados que coleta e registra sobre os alunos dele, como as anamneses que cria, os treinos prescritos e as observações que faz. Nesses casos, nós somos a operadora: tratamos esses dados para que o acompanhamento aconteça, seguindo as instruções do profissional e esta política.

No site

• Formulário para criadores: nome, e-mail, perfil no Instagram ou outro link, WhatsApp, o que você vende hoje e se quer receber novidades por e-mail.
• Formulário para empresas: nome da empresa, seu nome, cargo, e-mail de trabalho, WhatsApp e número de colaboradores.
• Junto com o formulário: a página em que você o enviou, qual navegador você usa e um código calculado a partir do IP da conexão, para investigar envios abusivos.
• De onde veio a visita: a primeira página que você abriu, o site que trouxe você, os parâmetros de campanha do link (utm) e, se você chegou por um link do Facebook ou do Instagram, o identificador do clique. Vão junto com o formulário, se você enviar um, e para a medição do site, se você aceitar os cookies. O identificador do clique só sai do seu navegador se você aceitar.
• Agendamento: se você marcar uma conversa pelo calendário da página para empresas, o Cal.com recebe o seu nome, o seu e-mail e as respostas do formulário.
• Medição e anúncios: só se você aceitar os cookies (veja Cookies).

Nos apps e no app web

• Conta: nome, e-mail, telefone e a forma de entrar (Google, Apple ou e-mail).
• Aparelho: sistema operacional, um identificador criado pelo app, endereço IP, versão do app, o código para enviar notificações e, no Android, o link ou a campanha que levou à instalação.
• Perfil: foto, data de nascimento, gênero, CPF, endereço, Instagram e contato de emergência. Para profissionais, também o CREF e a especialidade. O seu profissional pode preencher e alterar parte desses dados.
• Treinos: rotinas, séries, cargas, repetições, esforço percebido, tempos, agenda e comentários.
• Saúde: respostas a questionários como o PAR-Q e o histórico de cuidados médicos (que pode incluir condições como doenças do coração, diabetes, ansiedade ou depressão e os remédios em uso), as anamneses criadas pelo profissional e os motivos informados ao remarcar um treino, como doença ou lesão.
• Observações do profissional: as anotações que o seu profissional faz sobre você.
• Localização: só quando você registra uma atividade e permite o acesso, para mostrar o endereço de onde você treinou.
• Uso: telas abertas, toques e erros, ligados à sua conta, incluindo o seu nome e o seu e-mail, para entender como o produto é usado e corrigir problemas.
• Inteligência artificial: os pedidos de treino que o profissional faz à inteligência artificial, com o treino em edição e as observações dele.
• Planos e pagamentos: o plano contratado e as cobranças e parcelas que o profissional registra no CADU. Não guardamos número de cartão.
• Suporte: o que você nos envia por WhatsApp ou e-mail.

Cada uso tem uma base na LGPD. Entre parênteses está o artigo que a prevê.

• Entregar o CADU: criar e manter a sua conta, mostrar os seus treinos, enviar notificações e permitir o acompanhamento pelo seu profissional. Execução de contrato (art. 7º, V).
• Responder ao formulário para criadores: falar com você sobre o que você pediu, por WhatsApp ou e-mail. Procedimentos preliminares a um contrato, a seu pedido (art. 7º, V).
• Responder ao formulário para empresas: falar com você sobre o CADU para a sua empresa. Legítimo interesse (art. 7º, IX).
• Enviar novidades do CADU por e-mail: só se você marcou a caixa no formulário. Consentimento (art. 7º, I). Para deixar de receber, escreva para privacidade@cadu.fit.
• Medir o site e os anúncios e mostrar o CADU a quem visitou o site, só se você aceitar os cookies. Consentimento (art. 7º, I).
• Melhorar os apps e corrigir erros: medir o uso e registrar falhas. Legítimo interesse (art. 7º, IX). Você pode se opor escrevendo para o encarregado.
• Segurança e suporte: prevenir fraudes e abusos e resolver problemas que você relatar. Para resolver um problema relatado por um profissional, alguém da nossa equipe pode entrar na conta dele. Legítimo interesse (art. 7º, IX).
• Cumprir a lei: guardar os registros que a lei exige, como os fiscais. Obrigação legal (art. 7º, II).
• Defender direitos em processos judiciais, administrativos ou arbitrais. Exercício regular de direitos (art. 7º, VI).

Dados de saúde

Dados de saúde são dados pessoais sensíveis. Pedimos o PAR-Q e o histórico de cuidados médicos a todos os alunos para identificar riscos antes dos treinos (proteção da vida e da incolumidade física, art. 11, II, e) e compartilhamos as respostas com os profissionais com quem você se vincula. As anamneses que um profissional cria servem para ele montar um treino seguro para você (tutela da saúde em procedimento feito por profissionais de educação física, art. 11, II, f). Nunca usamos dados de saúde para anúncios e nunca os vendemos.

• Com o seu profissional: você se vincula a um profissional quando digita o código dele no app ou aceita o convite dele. A partir daí, ele vê o seu perfil (incluindo CPF, e-mail, telefone, endereço e contato de emergência), os seus treinos e comentários, a sua agenda, as cobranças registradas entre vocês e as suas respostas aos questionários de saúde. Para encerrar o vínculo, fale com o profissional ou com o nosso suporte.
• Com operadores que tratam dados só em nosso nome, para o serviço que prestam para nós.
• Com outras empresas que também usam os dados conforme as próprias políticas de privacidade, como Apple, Google e Meta.
• Com autoridades, quando a lei ou uma ordem judicial exigir.
• Em uma fusão, aquisição ou venda do negócio, com a obrigação de manter a proteção desta política.

A lista completa está em Fornecedores e parceiros. Não vendemos dados pessoais.

Operadores, que tratam dados em nosso nome

• Google Cloud e Firebase: servidores, banco de dados, login e notificações. O banco de dados fica em São Paulo.
• Cloudflare: guarda e entrega fotos, vídeos e arquivos.
• Amazon Web Services: arquivos das versões antigas do app.
• Resend: envio de e-mails, como códigos de acesso e convites.
• PostHog: medição de uso, com servidores na União Europeia.
• Sentry: registro de erros. No app web, pode gravar a tela no momento de um erro.
• Expo: atualizações dos apps.
• Slack: alertas internos da nossa equipe, que podem incluir o nome e o e-mail de quem usa o app.
• Cal.com: agendamento de conversas com empresas.

Empresas que também usam os dados conforme as próprias políticas

• Apple e Google: login com a conta Apple ou Google e lojas de apps.
• Google: Google Analytics no app web e Google Ads no site, este só com o seu aceite.
• Meta: Pixel no site e medição dos anúncios a partir dos nossos servidores, só com o seu aceite; WhatsApp, quando você fala com a gente por lá.
• Inteligência artificial (DeepSeek, OpenAI ou Anthropic): recebem o pedido de treino do profissional, com o treino em edição e as observações dele. O profissional não deve incluir no pedido dados que identifiquem o aluno.
• OpenStreetMap e ViaCEP: recebem a localização de uma atividade ou um CEP e devolvem o endereço.

Parte desses fornecedores e parceiros guarda ou processa dados fora do Brasil: nos Estados Unidos, na União Europeia e, no caso dos pedidos de treino enviados à DeepSeek, na China. Essas transferências seguem as hipóteses do art. 33 da LGPD.

• Dados da conta: enquanto a conta existir. Depois da exclusão pelo app, até você pedir que apaguemos (veja abaixo).
• Formulários do site: até 24 meses depois do último contato, a não ser que a conversa vire um contrato.
• Registros fiscais e de pagamento: pelo prazo da legislação fiscal.

Quando você exclui a conta

Pelo app de celular, você exclui o seu acesso: a sua conta de login deixa de existir. Os dados do seu perfil e o histórico de treinos continuam guardados; se você tem um profissional, continuam visíveis para ele, como parte dos registros dele.

Para pedir que apaguemos também esses dados, incluindo as respostas aos questionários de saúde, escreva para privacidade@cadu.fit. Escreva também se não conseguir excluir a conta pelo app ou se você usa só o app web: excluímos por você. Respondemos em até 15 dias e só mantemos o que a lei nos obriga a guardar.

Os dados apagados ainda podem ficar por alguns dias nas cópias de segurança, até que elas sejam substituídas.

Pela LGPD (art. 18), você pode pedir a qualquer momento:

• confirmação de que tratamos dados seus e acesso a eles;
• correção de dados incompletos, errados ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• portabilidade dos dados para outro serviço;
• eliminação dos dados tratados com o seu consentimento;
• informação sobre com quem compartilhamos os seus dados;
• informação sobre a possibilidade de não consentir e o que acontece se você não consentir;
• revogação do consentimento;
• oposição a um tratamento feito sem consentimento.

Escreva para privacidade@cadu.fit, de preferência pelo e-mail da sua conta, para conseguirmos confirmar que é você. Respondemos em até 15 dias. Se não ficar satisfeito, você pode reclamar à Autoridade Nacional de Proteção de Dados (gov.br/anpd).

No site

Sem o seu aceite, o site guarda no seu navegador só o necessário para funcionar:

• cadu-consent: a sua escolha sobre os cookies.
• cadu-first-touch e react-router-scroll-positions: de onde veio a visita (inclusive o identificador do clique, que só usamos se você aceitar) e a posição de rolagem das páginas. Apagados quando você fecha a aba.
• cadu-creator-lead e cadu-company-lead: as respostas que você enviou nos formulários. A de empresas serve para mostrar de novo o preço. As duas ficam até você limpar os dados do site no navegador.

Se você aceitar, o site também carrega:

• PostHog (cookie ph_…_posthog, por até 1 ano, e dados locais com o prefixo ph_): registra as páginas vistas, com os parâmetros de campanha, os cliques, os envios de formulário e o IP da conexão.
• Meta Pixel (cookies _fbp e _fbc) e Google Ads (cookies _gcl_au e _gcl_aw): medem os anúncios e permitem mostrar o CADU a quem visitou o site.

Se você aceitou e envia um formulário, também avisamos a Meta, a partir dos nossos servidores, que o formulário foi enviado. Depois, avisamos de novo se a conversa avançar: quando marcarmos ou tivermos uma conversa com você, quando você virar parceiro ou quando a sua empresa fechar contrato. Assim sabemos quais anúncios trazem parceiros e clientes, e não só contatos. Para a Meta ligar cada aviso ao anúncio, mandamos o seu e-mail e o seu WhatsApp em hash (um código que não deixa ler o dado, mas que a Meta compara com o das contas dela), o número do seu contato no nosso sistema, também em hash, qual navegador você usa e os identificadores da Meta que o Pixel guardou ou que vieram no link em que você clicou. Também dizemos se o formulário é de criador ou de empresa e, no aviso do formulário, a página em que você o enviou e o IP da conexão. Para pararmos de avisar a Meta sobre um formulário que você já enviou, escreva para privacidade@cadu.fit.

Recusar depois de aceitar desliga a medição e apaga os cookies de medição e de anúncios que ficam no domínio do site.

No app web e nos apps de celular

O app web (app.cadu.fit) usa cookies do Google Analytics e do PostHog para medir o uso. Os apps de celular não usam cookies nem rastreiam você em apps e sites de terceiros.

Usamos conexões criptografadas e acesso aos dados restrito por função.

Nenhum sistema é totalmente seguro. Se acontecer um incidente que possa trazer risco ou dano relevante a você, avisamos você e a ANPD, como manda a lei.

O CADU é para maiores de 18 anos. Quem tem menos de 18 só pode usar com o consentimento e o acompanhamento do pai, da mãe ou do responsável legal, que autoriza o tratamento dos dados do menor. Nesses casos, tratamos os dados no melhor interesse da criança ou do adolescente (art. 14) e nunca para anúncios. Se soubermos que um menor usa o CADU sem essa autorização, podemos suspender a conta e apagar os dados.

Quando mudarmos esta política, atualizamos a data no topo da página. Se a mudança for relevante, avisamos pelo app ou por e-mail antes de ela valer.

• Privacidade e dados pessoais: privacidade@cadu.fit
• Suporte: WhatsApp +55 (19) 2038-2291