Politica de Privacidade

1. Informacoes que Coletamos

1.1 Informacoes da Conta

Quando voce cria uma conta, coletamos:

• Endereço de e-mail (para autenticação e comunicação)
• Data/hora de criacao da conta
• Atividade de login e dados de sessao

1.2 Dados de Saude e Fitness (Dados de Categoria Especial)

IMPORTANTE: Sob o Artigo 9 do GDPR, dados de saude sao dados pessoais de "categoria especial" que requerem consentimento explicito e protecao extra.

Coletamos os seguintes dados relacionados a saude:

• Medidas fisicas: Idade, peso, altura, genero
• Perfil de fitness: Nivel de experiencia de treino, equipamento disponivel, frequencia de treino
• Desempenho de treino: Exercicios realizados, series, repeticoes, pesos usados, RIR (Repeticoes de Reserva), tempos de descanso
• Dados de dor e lesao: Limitacoes relatadas, locais de dor, severidade, exercicios afetados
• Anotacoes de treino: Feedback em texto livre incluindo sentimentos subjetivos, fadiga, desconforto
• Prontidao mental: Pontuacoes de prontidao auto-relatadas
• Composicao corporal: (se fornecido) percentual de gordura corporal, massa muscular
• Fase calorica: Status de bulk, manutencao ou cut

1.3 Dados de Uso

Coletamos automaticamente:

• Informacoes do dispositivo (navegador, sistema operacional, tamanho da tela)
• Endereco IP (anonimizado)
• Paginas visitadas e recursos usados
• Logs de erro e metricas de desempenho
• Padroes de interacao com IA (ex: treinos gerados, exercicios selecionados)

1.4 Dados de Servicos de Terceiros

Usamos:

• Supabase: Autenticacao e hospedagem de banco de dados
• Anthropic/OpenAI: Provedores de modelos de IA: dados minimizados e pseudonimizados para os recursos internos de IA do Arvo; dados identificáveis podem ser compartilhados pelas ferramentas opcionais e autorizadas do ChatGPT descritas na Seção 5.4
• Vercel: Hospedagem e analytics

2. Como Usamos Seus Dados

2.1 Propositos Principais

• Geracao de treino: A IA usa seu perfil, historico e limitacoes para criar treinos personalizados
• Recomendacoes de exercicios: Selecao de exercicios baseada em equipamento, experiencia e preferencias
• Acompanhamento de progressao: Calculo de progressoes apropriadas de peso/repeticoes baseadas no desempenho
• Extracao de insights: A IA analisa anotacoes de treino para detectar padroes, preferencias e problemas potenciais
• Recursos de seguranca: Evitar exercicios que causaram dor ou lesao
• Gerenciamento de volume: Acompanhamento de volume semanal para prevenir overtraining

2.2 Melhoria do Servico

• Melhorar algoritmos de IA e precisao de recomendacoes
• Depurar erros e corrigir bugs
• Entender comportamento do usuario para melhorar UX
• Desenvolver novos recursos baseados em padroes de uso

2.3 Comunicacao

• Enviar emails de autenticacao (links magicos)
• Atualizacoes de servico e notificacoes de seguranca
• Responder a solicitacoes de suporte
• Comunicacoes de marketing (apenas com seu consentimento explicito)

2.4 Obrigacoes Legais

• Cumprir requisitos legais (ex: impostos, aplicacao da lei)
• Proteger nossos direitos e propriedade
• Prevenir fraude e abuso

3. Base Legal para Processamento (GDPR)

Processamos seus dados com base em:

• Consentimento explicito (Artigo 9): Para coleta de dados de saude e processamento por IA
• Execucao de contrato: Para fornecer o Servico no qual voce se inscreveu
• Interesses legitimos: Melhoria do servico, prevencao de fraude, seguranca
• Obrigacoes legais: Conformidade com leis e regulamentos

Voce pode retirar seu consentimento a qualquer momento entrando em contato conosco ou excluindo sua conta.

4. Armazenamento e Seguranca de Dados

4.1 Onde Armazenamos Dados

• Banco de dados principal: Supabase (PostgreSQL) hospedado em data centers da UE
• Armazenamento do lado do cliente: localStorage (treinos em andamento, rascunhos)
• Backups: Backups criptografados armazenados na UE

4.2 Medidas de Seguranca

• Criptografia em transito (HTTPS/TLS)
• Criptografia em repouso para dados sensiveis
• Seguranca em nivel de linha (RLS) no banco de dados
• Controles de acesso e autenticacao
• Auditorias de seguranca regulares
• Minimização e pseudonimização de dados para o processamento interno de IA do Arvo; o compartilhamento por ferramentas autorizadas do ChatGPT é descrito separadamente na Seção 5.4

4.3 Retencao de Dados

Retemos seus dados:

• Contas ativas: Enquanto sua conta existir
• Contas excluidas: 30 dias (para permitir recuperacao), depois excluido permanentemente
• Backups: Ate 90 dias em backups criptografados
• Analytics anonimizado: Indefinidamente (nao pode ser vinculado a voce)

5. Compartilhamento de Dados e Terceiros

5.1 NAO Vendemos Seus Dados

Nao vendemos, alugamos ou comercializamos seus dados pessoais para terceiros para fins de marketing.

5.2 Provedores de Servico

Compartilhamos dados com provedores de servico confiaveis que nos ajudam a operar:

• Supabase: Banco de dados e autenticacao (compativel com GDPR, hospedado na UE)
• Anthropic/OpenAI: O processamento interno de IA usa dados minimizados e pseudonimizados; chamadas opcionais e autorizadas a ferramentas do ChatGPT podem compartilhar os dados descritos na Seção 5.4
• Vercel: Hospedagem e CDN (compativel com GDPR)

Todos os provedores de servico sao vinculados por acordos de processamento de dados (DPAs) e cumprem o GDPR.

5.3 Processamento por Modelo de IA

Para os recursos internos de IA do Arvo, separados da integração opcional com o ChatGPT da Seção 5.4, enviamos aos provedores de IA (Anthropic, OpenAI) apenas os dados necessários para o recurso, minimizados e pseudonimizados quando possível. Esses dados:

• Excluem email e identificadores diretos da conta quando não são necessários; alguns recursos de personalização podem usar seu primeiro nome
• Podem incluir histórico de treinos, preferências, limitações, métricas de saúde ou recuperação e, quando necessário, seu primeiro nome
• Nao sao usados para treinar modelos de IA (conforme acordos com provedores)
• Nao sao armazenados pelos provedores de IA alem do tempo de processamento

5.4 Integracoes com Aplicativos de Terceiros (ChatGPT)

Voce pode opcionalmente conectar sua conta Arvo ao ChatGPT (da OpenAI) via OAuth 2.0 para acessar seus dados de treino e ferramentas de coaching diretamente no ChatGPT.

Dados Compartilhados com o ChatGPT

Quando a conta está conectada, o ChatGPT pode acessar os seguintes dados somente quando uma ferramenta autorizada é chamada:

• Primeiro nome e perfil fitness, incluindo idade, sexo ou gênero, peso, altura, composição corporal, experiência, objetivos, preferências, equipamentos, pontos fracos, lesões ou limitações, fase calórica e abordagem de treino
• Divisões, programações e treinos, incluindo exercícios, séries, repetições, cargas, duração, status da sessão, prontidão, desempenho e histórico de treinos
• Estatísticas de treino, recordes pessoais, progresso por exercício, histórico de ciclos, volume e dados por grupo muscular, histórico de fases calóricas e de abordagens de treino
• Progresso corporal e dados conectados de fitness ou saúde, incluindo atividades de cardio, sono, HRV, frequência cardíaca em repouso ou média, passos, calorias ativas, carga de treino e métricas de recuperação
• Notas de exercícios, memória de IA, insights ativos sobre treino ou recuperação, problemas físicos relatados e informações de vídeos de exercícios
• Detalhes da metodologia de treino e resultados retornados por ações autorizadas de leitura ou gravação

Acesso de Escrita

O ChatGPT tambem pode modificar seus dados atraves de chamadas de ferramentas autorizadas, incluindo:

• Iniciar ou concluir treinos e registrar séries, repetições, cargas, isometrias cronometradas e desempenho
• Gerar ou substituir treinos; adicionar, reordenar, pular ou trocar exercícios e blocos de aquecimento; e modificar a divisão ou o ciclo de treino
• Atualizar equipamentos, fase calórica, pontos fracos, problemas físicos relatados e abordagem de treino
• Criar memória de coaching ou resolver uma limitação armazenada

A autenticacao utiliza OAuth 2.0 com PKCE. Os tokens de acesso expiram apos 1 hora e os tokens de atualizacao apos 90 dias.

Você pode desconectar o Arvo do ChatGPT a qualquer momento nas configurações do ChatGPT. A desconexão remove o vínculo do ChatGPT; os JWTs emitidos pelo Arvo não são invalidados imediatamente no servidor e podem permanecer tecnicamente válidos até os prazos de expiração indicados acima.

Cada ferramenta recebe apenas os dados necessários para a solicitação; o ChatGPT não tem acesso em massa ao banco de dados por meio do Arvo. As respostas das ferramentas ainda podem conter os dados pessoais e de saúde listados acima.

Os dados enviados atraves de chamadas de ferramentas estao sujeitos as politicas de uso e praticas de privacidade da OpenAI. Encorajamos voce a revisar a politica de privacidade da OpenAI em https://openai.com/privacy.

5.5 Requisitos Legais

Podemos divulgar seus dados se exigido por:

• Aplicacao da lei ou autoridades governamentais
• Ordens judiciais ou processos legais
• Protecao de nossos direitos, seguranca ou propriedade
• Prevencao de fraude ou atividades ilegais

6. Seus Direitos (GDPR)

Voce tem o direito de:

• Acesso: Solicitar uma copia de todos os dados pessoais que mantemos sobre voce
• Retificacao: Corrigir dados imprecisos ou incompletos
• Exclusao ("Direito ao esquecimento"): Solicitar exclusao de seus dados
• Portabilidade de dados: Receber seus dados em formato estruturado e legivel por maquina
• Restricao: Limitar como processamos seus dados
• Objecao: Opor-se ao processamento baseado em interesses legitimos
• Retirar consentimento: Revogar consentimento para processamento de dados de saude a qualquer momento
• Apresentar reclamacao: Registrar reclamacao junto a uma autoridade de protecao de dados

Para exercer estes direitos, entre em contato conosco em privacy@aetha.ai ou use a pagina de configuracoes quando disponivel.

7. Cookies e Rastreamento

Usamos cookies e rastreamento minimos:

7.1 Cookies Essenciais

• Tokens de autenticacao (para mante-lo logado)
• Gerenciamento de sessao
• Seguranca e prevencao de fraude

7.2 Cookies de Analytics (Opcionais)

• Vercel Analytics (estatisticas de uso anonimizadas)
• Rastreamento de erros (para corrigir bugs)

Voce pode desabilitar cookies de analytics atraves das configuracoes do seu navegador.

8. Privacidade de Criancas

O Arvo e destinado a usuarios com 14 anos ou mais. Usuarios menores de 18 anos devem usar o Servico sob supervisao dos pais.

Nao coletamos intencionalmente dados de criancas menores de 14 anos. Se voce acredita que coletamos tais dados, entre em contato conosco imediatamente e os excluiremos.

9. Transferencias Internacionais de Dados

Seus dados sao principalmente armazenados e processados dentro da Uniao Europeia. Se dados forem transferidos para fora da UE (ex: para provedores de IA nos EUA), garantimos salvaguardas adequadas como:

• Clausulas Contratuais Padrao (SCCs)
• Minimização e pseudonimização de dados quando apropriado
• Acordos de processamento de dados compativeis com GDPR

10. Alteracoes nesta Politica

Podemos atualizar esta Politica de Privacidade para refletir mudancas em nossas praticas ou requisitos legais. Iremos:

• Notifica-lo sobre alteracoes materiais por email ou notificacao no app
• Atualizar a data de "Ultima atualizacao" no topo
• Obter seu consentimento se exigido por lei

O uso continuado do Servico apos alteracoes constitui aceitacao da politica atualizada.

11. Entre em Contato

Para perguntas relacionadas a privacidade, solicitacoes de acesso a dados ou para exercer seus direitos:

Contato de Protecao de Dados:
Email: privacy@aetha.ai
Website: https://aetha.ai

Representante na UE (se aplicavel):
[A ser determinado se necessario com base na estrutura do seu negocio]