Acordo de Tratamento de Dados (DPA)

Este acordo faz parte dos Termos de Uso e vale entre:

• Controlador: o profissional (personal trainer ou empresa) que tem conta no Hexor Fit e cadastra alunos;
• Operadora: MARTIN HARTFELDER TECNOLOGIA DA INFORMACAO LTDA, CNPJ 66.428.594/0001-44 ("Hexor").

Objeto: o tratamento, pela Hexor, dos dados pessoais dos alunos que o profissional coloca no Hexor Fit, só para prestar o serviço (art. 39 da LGPD). Termos como "tratamento", "dado sensível" e "incidente" têm o sentido da LGPD. Ao aceitar os Termos, o profissional aceita este acordo.

Titulares: alunos do profissional (inclusive menores, com autorização dos pais).

Dados: nome, WhatsApp, e-mail, idade, sexo, peso, altura, objetivo, nível; fichas, cargas, check-ins e trocas; notas privadas e mensalidades; e dados sensíveis de saúde: anamnese PAR-Q, lesões e restrições, avaliações físicas, fotos do body scan e alergias ou intolerâncias da rotina alimentar.

Duração: enquanto a conta existir ou até o profissional apagar os dados.

As instruções do profissional são dadas pelo uso do app (cadastrar, editar, gerar ficha, pedir análise de IA, mostrar a rotina ao aluno, arquivar, excluir) e por pedidos ao encarregado. A Hexor:

• trata os dados só para prestar o serviço e conforme essas instruções;
• não usa os dados dos alunos para fins próprios, publicidade ou treino de modelos de IA;
• não vende nem cede os dados;
• avisa o profissional se achar que uma instrução viola a LGPD.

A Hexor pode usar dados agregados e sem identificação (por exemplo, quantas fichas foram geradas) para medir e melhorar o serviço.

• ter base legal para cada aluno e informar o aluno sobre o uso dos dados;
• colher e guardar o consentimento específico do aluno para dados de saúde e fotos do body scan, e confirmar no app a autorização a cada scan;
• para aluno menor de 18 anos, colher e guardar o consentimento de um dos pais ou do responsável legal (art. 14);
• cadastrar só o necessário e manter os dados corretos;
• enviar link e senha da ficha só ao aluno e proteger o acesso à própria conta Google;
• atender os pedidos dos alunos (ver, corrigir, entregar, apagar), usando as funções do app;
• apagar dados que não precisa mais (scans antigos, alunos que saíram);
• proteger os dados que baixar ou acessar por API/MCP, e escolher com cuidado as ferramentas de IA que conectar;
• avisar a Hexor se souber de uso indevido da conta ou dos links.

• manter as medidas de segurança da seção abaixo;
• garantir que quem tem acesso aos dados guarde sigilo;
• ajudar o profissional a atender os alunos e a ANPD, no que couber ao serviço;
• manter registro das operações de tratamento (art. 37);
• avisar sobre incidentes, conforme a seção "Incidentes";
• só usar suboperadores das categorias listadas neste acordo (lista nominal sob pedido).

O profissional autoriza a Hexor a usar as categorias de suboperadores abaixo. Por segurança, o nome de cada fornecedor não fica publicado: a Hexor informa a lista nominal ao profissional que pedir, pelo canal do encarregado. A Hexor exige deles proteção de dados compatível com este acordo e responde por eles perante o profissional. Para incluir ou trocar um suboperador, a Hexor atualiza esta lista e a versão dos documentos, e o profissional vê o aviso no painel. Quem não concordar pode baixar os dados e encerrar a conta.

Google (login), Asaas, Mercado Pago, emissor de NFS-e e Contabilizei tratam dados do profissional, não dos alunos, e estão na Política de Privacidade.

O profissional sabe e autoriza que o servidor e a IA ficam nos Estados Unidos. A Hexor faz essa transferência só para prestar o serviço, com fornecedores que oferecem garantias contratuais de proteção de dados (art. 33 da LGPD), e envia à IA dados sem nome ou contato.

• HTTPS em todo o tráfego;
• login só com Google; sessões e chaves de API guardadas de forma protegida;
• separação por conta: cada profissional só acessa os próprios alunos;
• link da ficha aleatório com senha numérica e limite de tentativas;
• fotos do body scan visíveis só ao profissional, nunca no link do aluno;
• acesso ao servidor e ao banco restrito e backups do banco;
• minimização no envio à IA (sem nome nem contato).

Se a Hexor souber de um incidente com dados de alunos, avisa o profissional sem demora, em até 48 horas da confirmação, por e-mail ou WhatsApp da conta, com o que se sabe: o que houve, quais dados e alunos, riscos e medidas tomadas.

Como controlador, o profissional decide sobre a comunicação à ANPD e aos alunos (art. 48, prazo de 3 dias úteis); a Hexor fornece as informações e ajuda na comunicação. Incidentes com dados do próprio profissional são comunicados pela Hexor, como controladora.

• Antes de sair, o profissional pode baixar todos os dados em Conta e plano > Privacidade > Baixar meus dados (arquivo JSON).
• Ao excluir a conta, a Hexor apaga na hora os dados dos alunos do banco. Cópias de segurança são substituídas no ciclo normal de backup.
• Plano pago que vence não apaga dados: a conta volta ao Grátis.
• A Hexor só guarda o que a lei obriga (pagamentos e notas fiscais do profissional, por 5 anos), sem dados de alunos.

A pedido do profissional, uma vez por ano (ou depois de um incidente), a Hexor envia por escrito as informações necessárias para mostrar que cumpre este acordo: medidas de segurança, lista de suboperadores e registro das operações. Auditorias além disso podem ser combinadas com aviso prévio razoável, sem expor dados de outros clientes nem a segurança do serviço, com custos de quem pediu.

Cada parte responde pelo que fizer em desacordo com a LGPD e com este acordo (art. 42). A Hexor responde solidariamente quando descumprir a LGPD ou as instruções lícitas do profissional. Quanto ao mais, valem os limites e o foro dos Termos de Uso.

Encarregado da Hexor: Martin Hartfelder, contato@hexor.com.br. Dúvidas sobre este acordo, pedidos de comprovação e avisos também por esse canal.