Política de Privacidade e Cookies

O Hexor Fit é fornecido por MARTIN HARTFELDER TECNOLOGIA DA INFORMACAO LTDA, CNPJ 66.428.594/0001-44, nome fantasia Hexor Desenvolvimento de Software ("Hexor"), com sede em São Paulo/SP. Esta política explica como tratamos dados pessoais conforme a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018). Ela vale para:

• visitantes do site fit.hexor.com.br;
• profissionais (personal trainers) que criam conta;
• alunos cadastrados por um profissional, que acessam a ficha por link;
• participantes do programa de indicação.

Encarregado pelo tratamento de dados (DPO): Martin Hartfelder. Canal: contato@hexor.com.br ou WhatsApp (51) 2165-6829. O encarregado recebe pedidos e reclamações dos titulares, fala com a ANPD e orienta a equipe.

Resumo fácil, pedidos e histórico de mudanças: Central de privacidade.

• Dados do profissional, dos visitantes e do programa de indicação: a Hexor é a controladora (decide como e por que esses dados são tratados).
• Dados dos alunos: o profissional que cadastra o aluno é o controlador. A Hexor é operadora: trata esses dados só para prestar o serviço, seguindo as instruções do profissional, conforme o Acordo de Tratamento de Dados (DPA).
• Aluno que monta a própria ficha (sem personal, em /minha-ficha): aqui a Hexor é a controladora, inclusive das respostas de saúde da triagem. Se depois um personal cadastrar essa mesma pessoa, a ficha feita pelo personal segue a regra do item acima.

Por isso, ter base legal para cadastrar cada aluno, colher o consentimento para os dados de saúde e fotos, e a autorização dos pais de alunos menores, é responsabilidade do profissional.

Do profissional

• Login com Google: recebemos do Google o identificador da conta (sub), o e-mail verificado e o nome. Não recebemos nem guardamos a sua senha do Google, e o Hexor Fit não usa senha própria.
• CREF e WhatsApp (aparecem no link do aluno);
• conta de empresa: CNPJ e razão social (para cobrança e nota fiscal);
• marca: nome, cor e link do logo (plano Studio);
• chave Pix (opcional), para receber mensalidades dos alunos;
• compras, notas fiscais, uso de créditos de IA e chaves de API (a chave fica guardada de forma protegida);
• navegação no site nos 30 dias antes do cadastro, para saber de onde você veio.

Dos alunos (cadastrados pelo profissional)

• nome, WhatsApp e e-mail (opcional);
• idade, sexo, peso, altura, objetivo, nível e frequência de treino;
• dados de saúde: restrições, lesões e observações, anamnese PAR-Q, avaliações físicas (peso, % de gordura, medidas), fotos do body scan e alergias ou intolerâncias da rotina alimentar;
• fichas, cargas anotadas, trocas de exercício e check-ins (esforço de 1 a 10 e comentário);
• notas privadas do profissional e controle financeiro: valor e dia de vencimento combinados, forma de pagamento combinada, pausas, cobranças avulsas, situação de cada cobrança, data, valor e forma do pagamento informados pelo profissional, a data em que ele registrou ter cobrado o aluno e observações dele;
• senha numérica da ficha (criada pelo sistema; o aparelho do aluno guarda um cookie depois de digitar).
• se o aluno ativar lembretes: dias e horário escolhidos, fuso do aparelho e o tipo de aparelho (ver "Notificações").

O aluno não cria conta: abre a ficha por um link longo e aleatório protegido por senha. O profissional deve enviar link e senha só ao aluno e pode trocar a senha ou arquivar a ficha a qualquer momento.

Dos visitantes

Métricas próprias e anônimas (ver seção "Métricas"). Não guardamos o IP nas métricas.

Cada uso tem uma base legal da LGPD (art. 7º para dados comuns e art. 11 para dados sensíveis):

Quando a base é o legítimo interesse, usamos só o mínimo, sem publicidade, e você pode se opor pelo canal do encarregado.

Anamnese PAR-Q, lesões, restrições, avaliações, fotos do body scan e alergias ou intolerâncias são dados pessoais sensíveis (art. 5º, II e art. 11 da LGPD). Regras:

• servem só para montar e acompanhar o treino e a rotina do aluno;
• nunca são usados para publicidade, vendidos ou usados para treinar modelos de IA da Hexor;
• só o profissional dono do aluno vê esses dados no painel;
• vão para a IA só quando o profissional pede, sem nome, telefone ou e-mail do aluno;
• apagar o registro, o aluno ou a conta apaga esses dados.

O aluno escolhe entre duas formas:

• Senha do personal: abre só aquele treino. Nome, perfil, cargas anteriores, evolução e alimentação não são enviados ao aparelho. O aparelho guarda um cookie para não pedir a senha de novo.
• Entrar com Google: criamos uma conta de aluno com o identificador da conta Google (sub), o e-mail e o nome, e a ligamos ao cadastro do aluno no personal (no primeiro acesso pelo link da ficha). Só funciona se o personal tiver cadastrado o e-mail do aluno, e o e-mail da conta Google precisa ser esse mesmo; sem isso o aluno é orientado a falar com o personal. Com isso o aluno vê todas as fichas, a evolução e a rotina alimentar em qualquer aparelho. Base legal: execução do serviço pedido pelo aluno (art. 7, V) e, para os dados de saúde já cadastrados pelo personal, a mesma base usada por ele.

O personal vê qual e-mail está ligado e pode desconectar. O aluno pode sair ou excluir a conta de aluno em /aluno a qualquer momento; as fichas e os registros continuam com o personal, que é o controlador desses dados.

O profissional pode registrar até três fotos do corpo do aluno (frente, lado e costas) por data, com peso e observações. Antes de cada registro ele precisa confirmar que o aluno autorizou as fotos e o uso delas na análise por IA; sem essa confirmação o sistema não salva.

• as fotos são reduzidas no próprio navegador e guardadas no banco do Hexor Fit;
• só o profissional dono do aluno vê as fotos; elas não aparecem no link do aluno;
• vão ao intermediador de IA só quando o profissional pede a análise, junto com os dados de treino do perfil, sem nome ou contato;
• apagar o scan, o aluno ou a conta apaga as fotos;
• a análise é apoio ao trabalho do profissional, não é diagnóstico.

Recomendamos que o profissional apague scans que não precisa mais e evite fotos com rosto, tatuagens ou outros sinais que identifiquem o aluno.

O profissional pode montar uma rotina alimentar sugerida para o aluno, com preferências, alergias e intolerâncias, metas de referência e, se houver, o plano do nutricionista do aluno colado como texto.

• não é dieta nem prescrição: prescrever dieta é atividade do nutricionista (Lei 8.234/1991), e o plano do nutricionista sempre vem primeiro;
• alergias e intolerâncias são dado de saúde e servem para tirar alimentos da sugestão;
• a sugestão por IA é opcional; quando pedida, vão ao intermediador de IA idade, sexo, peso, altura, objetivo, nível, frequência, restrições, preferências e alergias, nunca nome ou contato;
• o aluno só vê a rotina no link dele se o profissional ligar essa opção;
• guardamos as últimas versões para o profissional poder voltar atrás; apagar a rotina ou o aluno apaga tudo.

O profissional pode anotar no painel as mensalidades e cobranças dos alunos dele, para lembrar os vencimentos e controlar quem pagou. O Hexor Fit não cobra, não recebe e não movimenta dinheiro: o pagamento é combinado e feito direto entre aluno e profissional. Esses dados são do profissional (ele é o controlador; nós só guardamos para ele), ficam visíveis só para ele, não aparecem para o aluno e não são enviados a serviços de inteligência artificial nem a terceiros. Quando o profissional toca em "Cobrar", o WhatsApp do próprio aparelho dele abre com a mensagem pronta e é ele quem decide enviar. Se ativar as notificações, o aviso de cobranças do dia traz só o primeiro nome do aluno e a quantidade, nunca valores. Os dados ficam guardados até o profissional apagar a cobrança, excluir o aluno ou excluir a conta.

O personal pode criar uma página pública de divulgação no Hexor Fit, para ser encontrado por novos alunos. Ela só vai ao ar se o personal ligar a publicação no painel, depois de ver uma prévia exata da página e marcar a autorização. Sem essa autorização, nada é publicado.

• O que pode aparecer (o personal escolhe):nome profissional, foto ou logo, CREF, cidade e UF, bairros e regiões, formatos de atendimento, academias, especialidades, apresentação, anos de experiência, horários, faixa de preço, Instagram e um botão que abre o WhatsApp do personal com uma mensagem pronta. Se ele quiser, também o número de alunos atendidos e de treinos no último mês, sempre em faixa ("20+ alunos").
• O que nunca aparece: nenhum dado de aluno. A faixa de alunos não muda a cada aluno que entra ou sai, para que ninguém deduza algo sobre uma pessoa específica.
• Base legal: consentimento do personal (art. 7º, I). Cada publicação e cada alteração publicada ficam registradas (versão do texto autorizado e data).
• Quem vê: qualquer pessoa e os buscadores (como o Google). Robôs que coletam conteúdo para treinar inteligência artificial são orientados a não ler essas páginas.
• Visitantes: a página não tem formulário e não pede dados de quem a visita; o botão abre o WhatsApp direto com o personal. A foto e o logo são servidos pelo próprio Hexor Fit.
• Controle: o personal pode editar, tirar do ar ou apagar a qualquer momento. Tirado do ar, a página deixa de abrir na hora e sai do diretório e da lista enviada aos buscadores (a remoção do resultado de busca depende do buscador). A Hexor pode ocultar perfis que violem os Termos; qualquer pessoa pode denunciar um perfil pelo link na página.

A IA aparece em três lugares, sempre a pedido do profissional: gerar ficha (modo IA), analisar o body scan e sugerir a rotina alimentar. Também há um motor de regras que roda nos nossos servidores, sem enviar dados para fora.

• A IA sugere, o profissional decide. Nenhuma ficha, análise ou rotina chega ao aluno sem o profissional revisar e salvar. Não há decisão tomada só por máquina que afete o aluno (art. 20 da LGPD).
• Quem quiser pode pedir revisão ou explicação sobre como uma sugestão foi feita, pelo canal do encarregado.
• Não enviamos nome, telefone ou e-mail do aluno à IA e não treinamos modelos próprios com esses dados.
• Quem não quiser IA pode montar a ficha à mão ou usar o motor de regras.

Integração MCP e API: o profissional pode criar chaves (fit_...) para usar o Hexor Fit em assistentes de IA que ele mesmo escolhe (como Claude Code ou Cursor). Os dados acessados por essas ferramentas ficam sob responsabilidade do profissional e do fornecedor que ele escolheu.

Profissional e aluno podem ativar notificações no celular ou no computador. Só ativamos depois que você toca em "Ativar" e o seu aparelho pede a sua permissão. Elas servem para:

• aluno: lembrete do treino no dia e horário escolhidos, aviso de ficha nova ou atualizada, lembrete gentil depois de alguns dias sem treinar (no máximo 1 por semana), parabéns pela sequência de semanas e aviso de fim do descanso (este é criado no próprio aparelho);
• profissional: aluno concluiu o treino, trocou exercício, resumo de alunos parados, mensalidades dos alunos, avisos do plano e aluno que entrou com Google.

Guardamos o endereço de entrega criado pelo navegador para este aparelho, as suas escolhas (tipos de aviso, dias e horário), o fuso horário e o tipo de aparelho e navegador. A entrega passa pelo serviço de notificações do sistema do seu aparelho (do fabricante do navegador), por isso o texto de cada aviso é curto e nunca leva dado de saúde, peso, carga, valores, recado do aluno nem nome completo: só o primeiro nome e o essencial.

• cada tipo de aviso tem um botão para ligar e desligar; das 22h às 7h os avisos esperam até de manhã (menos o lembrete que você mesmo agendou);
• desativar no app, sair da conta, tirar a permissão no aparelho ou excluir a conta/aluno apaga o endereço do aparelho;
• o registro de cada envio guarda só o tipo, o horário e se deu certo, e some em 30 dias;
• base legal: o seu consentimento (art. 7º, I), que você retira a qualquer momento desativando.

• O Hexor Fit é feito para profissionais adultos; não aceitamos conta de menor de 18 anos.
• Aluno menor de 18 anos só pode ser cadastrado com o consentimento específico de um dos pais ou do responsável legal (art. 14 da LGPD), colhido e guardado pelo profissional.
• Para menores, o profissional deve tratar só o necessário, pensar no melhor interesse do aluno e evitar fotos de body scan sem necessidade clara.
• Os pais ou responsáveis exercem os direitos do aluno menor (ver "Seus direitos").

Não vendemos dados pessoais. Usamos apenas as categorias de fornecedores abaixo, cada uma só com o necessário (veja também os suboperadores do DPA). Por segurança, a lista com o nome de cada fornecedor é entregue ao profissional ou ao titular que pedir, pelo canal do encarregado.

• Não guardamos dados de cartão: o pagamento é feito na página do Asaas ou do Mercado Pago.
• Botões de WhatsApp só abrem o WhatsApp do seu aparelho; o Hexor Fit não envia dados ao WhatsApp pelo sistema.
• O logo do profissional pode vir de um link que ele informou; esse site recebe dados técnicos de acesso (como IP), como qualquer site.

O servidor do Hexor Fit e os fornecedores de IA e de login ficam nos Estados Unidos. Isso é transferência internacional de dados (art. 33 da LGPD). Ela acontece para prestar o serviço contratado e é feita com fornecedores que oferecem garantias contratuais de proteção de dados e segurança. Mantemos a transferência no mínimo: dados enviados à IA vão sem nome ou contato, e só quando o profissional pede.

Temos um sistema de métricas próprio. Não usamos Google Analytics, Meta Pixel nem cookies de publicidade. Só a administração da Hexor vê. Registramos página, data e hora, site de origem e UTM, tipo de aparelho, navegador e sistema, e um identificador anônimo (cookies fit_vid e fit_sid).

Não guardamos o IP nas métricas. Robôs são ignorados. Tudo é apagado sozinho em 30 dias. Ao criar conta, a navegação desses 30 dias é ligada a ela. Base legal: legítimo interesse (art. 7º, IX).

Quem participa informa nome, e-mail, CPF e, se quiser, WhatsApp. Usamos para identificar o participante, pagar a recompensa por Pix na chave CPF (o CPF vai ao Asaas só para isso), prevenir fraude (guardamos um código irreversível do IP do cadastro, não o IP) e cumprir obrigações fiscais. O participante vê só a situação de cada indicação, sem dados do indicado. Detalhes no regulamento.

Cópias de segurança (backups) podem guardar por pouco tempo dados já apagados, até serem substituídas no ciclo normal. Nesse período ficam isoladas e não são usadas.

• conexão criptografada (HTTPS) em todo o site;
• login só com Google: o Hexor Fit não guarda senha de profissional;
• chaves de API e sessões guardadas de forma protegida (irreversível); chaves podem ser revogadas na hora;
• cada profissional só acessa os próprios alunos;
• link da ficha longo e aleatório, com senha numérica e limite de tentativas;
• acesso ao servidor e ao banco restrito a quem precisa, com backups;
• envio à IA sem nome nem contato do aluno;
• proteção contra ataques (limite de tentativas e bloqueio de endereços abusivos), com base no legítimo interesse e no dever de segurança (art. 7, IX, e art. 46 da LGPD): os registros guardam só um código irreversível do endereço IP e somem em 30 dias; o IP completo fica guardado apenas enquanto durar um bloqueio.

Se acontecer um incidente que possa trazer risco ou dano relevante (como vazamento), nós:

• agimos na hora para conter e investigar;
• avisamos a ANPD e os titulares afetados em até 3 dias úteis da ciência, como pede a LGPD (art. 48) e o regulamento da ANPD, dizendo o que aconteceu, quais dados, os riscos e o que foi feito;
• quando o incidente envolve dados de alunos, avisamos primeiro os profissionais (controladores) e os ajudamos a avisar os alunos.

Pelo art. 18 da LGPD, você pode pedir:

• confirmação de que tratamos seus dados e acesso a eles;
• correção de dados incompletos, errados ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
• portabilidade dos dados;
• eliminação dos dados tratados com consentimento;
• informação sobre com quem compartilhamos;
• informação sobre a possibilidade de não consentir e as consequências;
• revogação do consentimento;
• oposição a tratamento feito sem consentimento, se irregular;
• revisão de decisões automatizadas (art. 20).

Profissional: direto pelo app

• Ver e corrigir:Conta e plano > Seus dados.
• Baixar tudo (acesso e portabilidade):Conta e plano > Privacidade > Baixar meus dados (arquivo JSON).
• Excluir a conta:Conta e plano > Privacidade > Excluir conta. Apaga na hora; só pagamentos e notas ficam pelo prazo legal.
• Excluir um aluno de vez:Turma > aluno > Perfil > Excluir aluno e todos os dados.

Aluno que montou a própria ficha

Em /aluno você baixa os seus dados (Baixar meus dados) e exclui a conta de aluno, o que apaga a ficha que você montou, as respostas de saúde e os registros dela. Para retirar o consentimento dos dados de saúde, exclua a conta ou fale com o encarregado.

Aluno de um personal

Fale com o seu personal: ele é o controlador e consegue ver, corrigir, entregar ou apagar seus dados no app. Se não conseguir resolver com ele, escreva para contato@hexor.com.br informando o nome do personal; vamos ajudar e repassar o pedido a ele.

Outros pedidos

Pelo e-mail contato@hexor.com.br ou WhatsApp (51) 2165-6829. Respondemos em até 15 dias. Podemos pedir dados para confirmar sua identidade. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

Usamos só os cookies do quadro no fim desta página: essenciais (login e senha da ficha), dois de métricas próprias e anônimas, e um funcional da indicação. Não há cookies de publicidade nem de redes sociais.

Você pode apagar ou bloquear cookies no navegador. Sem o fit_session não dá para ficar conectado.

O site pode ser instalado no celular (Tela de Início do iPhone ou app Android, que abre este mesmo site). Para abrir mais rápido, o aparelho guarda só arquivos do próprio site (programa, estilos, fontes e ícones), nunca suas fichas, dados de aluno ou páginas com dados pessoais. O app Android não coleta nada além do que o site já trata; o arquivo de instalação é baixado da nossa página oficial de downloads.

Esta versão vale desde 7 de novembro de 2026. Atualizamos esta política sempre que surge funcionalidade, dado ou fornecedor novo. Mudanças relevantes aparecem no painel com um aviso "Li e aceito" e registramos quem aceitou cada versão.

• v3.6 (7 de novembro de 2026): Aluno que treina sem personal: montar a própria ficha passa a fazer parte do plano pago Aluno Plus. Sem plano, o aluno usa as fichas montadas pelo personal dele. Entrada pelo app da tela de início do iPhone: o login com Google feito no Safari é repassado ao app. O pedido vale 10 minutos, só funciona no mesmo aparelho e rede e é apagado ao ser usado.
• v3.5 (6 de novembro de 2026): Novo público: aluno que monta a própria ficha, sem personal (/minha-ficha). A Hexor é a controladora desses dados: conta Google, respostas sobre o treino, ficha, cargas e treinos. Triagem de saúde (PAR-Q, gestação e dores leves) com consentimento específico e destacado. Quem marca “sim” não recebe ficha e nada de saúde é guardado. Só de 18 a 69 anos. A ficha automática é sugestão para pessoa saudável, não prescrição, e não substitui o profissional de Educação Física. Sem dieta e sem promessa de resultado. O aluno baixa os próprios dados e exclui a conta em /aluno; a exclusão apaga a ficha que ele montou. Fichas feitas por personais continuam com eles.
• v3.4 (6 de novembro de 2026): App Android: a marcação “aberto pelo app” e a versão do app agora também ficam guardadas no aparelho (localStorage), para o aviso de instalação não aparecer para quem já usa o app. Não é dado pessoal e não sai do aparelho.
• v3.3 (6 de novembro de 2026): Controle financeiro dos alunos: o profissional anota mensalidades, vencimentos e pagamentos e recebe lembrete de cobrar. O Hexor Fit não cobra nem recebe; o aluno não vê esses dados. Perfil público do personal (opcional): página de divulgação e diretório de personais, encontráveis no Google. Só vai ao ar com autorização do personal, que escolhe o que aparece e pode tirar do ar quando quiser. Nenhum dado de aluno é publicado; o número de alunos aparece só em faixa.
• v3.2 (6 de novembro de 2026): Notificações no celular e no computador (só se você ativar): lembrete do treino, ficha atualizada, avisos ao personal. Guardamos o endereço de entrega do aparelho e as suas escolhas; o texto nunca leva dado de saúde, valores nem nome completo. Novo fornecedor por categoria: serviço de notificações do sistema do aparelho (do fabricante do navegador).
• v3.1 (6 de novembro de 2026): Aluno pode entrar com Google (área com todas as fichas e a evolução) ou só com a senha do personal (abre só o treino, sem dados pessoais).
• v3 (6 de novembro de 2026): Login só com Google: não guardamos mais senha do personal. Body scan (plano Studio): fotos do corpo do aluno, tratadas como dado sensível. Rotina alimentar sugerida (plano Studio): preferências, alergias e intolerâncias do aluno. Encarregado (DPO) nomeado, quadro de finalidades e bases legais, prazos de guarda por tipo de dado, menores de idade, decisões automatizadas e incidentes. Novo Acordo de Tratamento de Dados (DPA) entre a Hexor e o personal. Central de privacidade (/lgpd): baixar meus dados, excluir conta e excluir aluno pelo próprio app. Registro de cada aceite (versão e data) e novo aceite quando os documentos mudam.
• v2 (4 de novembro de 2026): Dados reais da empresa, cobrança pelo Asaas e nota fiscal (NFS-e). Programa de indicação, senha da ficha do aluno e plano Grátis sem IA.
• v1 (4 de novembro de 2026): Primeira versão dos Termos de Uso e da Política de Privacidade e Cookies.

Veja também os Termos de Uso e o Acordo de Tratamento de Dados. Contato: contato@hexor.com.br · WhatsApp (51) 2165-6829 · CNPJ 66.428.594/0001-44.

Este documento foi escrito para o Hexor Fit em linguagem simples e não é parecer jurídico; recomendamos sua revisão periódica por advogado.