Política de Privacidade

1. Controlador dos dados

O EvolProt é uma plataforma SaaS operada por EvolProt Tecnologia(CNPJ a ser publicado), com sede no Brasil. Atuamos como Controlador dos dados pessoais coletados diretamente em nosso site institucional, e como Operador dos dados que nutricionistas e personal trainers (nossos clientes Profissionais) processam dos seus alunos/pacientes através da plataforma.

2. Encarregado pela proteção de dados (DPO)

Nosso canal de comunicação com o Encarregado pela proteção de dados pessoais (Data Protection Officer / DPO), conforme Art. 41 da LGPD e Resolução CD/ANPD nº 2/2022, é:

dpo@evolprot.com

Use este endereço para exercer seus direitos como titular, esclarecer dúvidas sobre o tratamento dos seus dados ou apresentar reclamações. Respondemos em até 15 dias úteis (Art. 19, §1º da LGPD).

3. Dados que coletamos

Coletamos as seguintes categorias de dados pessoais:

• Identificação: nome, e-mail, telefone, foto de perfil (opcional).
• Dados biométricos e de saúde (sensíveis): peso, altura, medidas corporais, percentual de gordura, exames laboratoriais, histórico clínico, medicamentos em uso, alergias e restrições alimentares, resultados de avaliações físicas.
• Hábitos de vida: rotina alimentar, atividade física, qualidade do sono, escala de fome/energia (check-ins diários).
• Imagens corporais: fotos de progresso fornecidas voluntariamente para acompanhamento de evolução estética.
• Dados de uso: logs de acesso do servidor (endereço IP, dispositivo e URL) guardados por segurança e, só mediante consentimento de cookies de analytics, dados de navegação agregados no Google Analytics.
• Pagamento: processamento via Stripe, não armazenamos número de cartão, apenas o token retornado.

4. Base legal (LGPD)

Tratamos seus dados com base em:

• Execução de contrato (Art. 7º, V): para prestar o serviço contratado pelo Profissional ou pelo Aluno.
• Consentimento expresso (Art. 7º, I e Art. 11, I): coletado no momento do cadastro, no preenchimento de anamnese, e no banner de cookies.
• Tutela da saúde (Art. 11, II, "f"): para dados sensíveis de saúde tratados por nutricionista habilitado, no exercício regular da profissão.
• Cumprimento de obrigação legal (Art. 7º, II): emissão de notas fiscais, registros profissionais exigidos pelo CFN/CFM.
• Legítimo interesse (Art. 7º, IX): segurança da plataforma, prevenção a fraudes.

5. Operadores e sub-processadores

Para operar o EvolProt, compartilhamos partes específicas dos seus dados com os seguintes operadores, sob contrato de tratamento de dados (DPA):

Não compartilhamos dados com terceiros para fins comerciais ou de marketing de terceiros. Lista atualizada periodicamente conforme alterações na infraestrutura.

6. Transferência internacional de dados

Alguns operadores acima processam dados em servidores fora do Brasil (predominantemente nos Estados Unidos). Conforme Art. 33 da LGPD e Resolução CD/ANPD nº 19/2024, essas transferências ocorrem sob as seguintes salvaguardas:

• Cláusulas Contratuais Padrão (SCC) nos termos da ANPD, incorporadas aos Data Processing Agreements (DPAs) firmados com cada operador.
• Decisão de adequação da ANPD para a União Europeia(Resolução CD/ANPD nº 32/2026), aplicável quando operadores armazenam em região EU.
• Verificação prévia das medidas técnicas e organizacionais de segurança de cada operador (criptografia em trânsito e em repouso, controles de acesso, certificações ISO 27001 / SOC 2).

Você pode solicitar cópia das salvaguardas firmadas escrevendo para dpo@evolprot.com.

7. Armazenamento e segurança

Aplicamos medidas técnicas e administrativas para proteger seus dados:

• Criptografia TLS 1.2+ em trânsito (HTTPS Let's Encrypt)
• Criptografia em repouso no banco e no storage de blobs
• Senhas armazenadas com hash bcrypt (custo 12)
• Autenticação de dois fatores (2FA) disponível para Profissionais
• Princípio do menor privilégio: cada Profissional só acessa os próprios alunos
• Rate limit em endpoints sensíveis, anti-enumeração no signup
• Content Security Policy (CSP) + headers de segurança via Helmet
• Auditoria periódica de dependências (Snyk)

8. Retenção dos dados

Aplicamos prazos distintos por categoria:

• Dados clínicos e prontuário nutricional (avaliações, anamnese, dietas e treinos prescritos): mantidos pelo prazo recomendado pelo Conselho Federal de Nutricionistas. Para registros de prescrição clínica, aplicamos analogia à Resolução CFM 1.821/2007 que recomenda guarda permanente para prontuário em meio eletrônico.
• Dados administrativos (e-mail, telefone, dados de conta): mantidos enquanto a conta estiver ativa. Após exclusão da conta pelo titular, anonimização em até 30 dias.
• Fotos de progresso: mantidas enquanto vínculo ativo. Após cancelamento, excluídas em até 30 dias salvo solicitação expressa do titular para manutenção.
• Logs de acesso e segurança: retenção de 6 meses para fins de auditoria e segurança (legítimo interesse).
• Dados fiscais e contábeis: prazo legal de 5 anos (Lei 5.172/1966).

9. Seus direitos como titular

Nos termos do Art. 18 da LGPD, você pode a qualquer momento:

• Confirmar a existência de tratamento dos seus dados
• Acessar seus dados (incluindo exportação em formato estruturado)
• Corrigir dados incompletos, inexatos ou desatualizados
• Anonimizar, bloquear ou eliminar dados desnecessários
• Portar seus dados a outro fornecedor (mediante requisição expressa)
• Eliminar dados tratados com base em consentimento (revogação)
• Obter informação sobre com quem compartilhamos seus dados (ver seção 5)
• Revogar o consentimento a qualquer momento
• Solicitar revisão de decisões automatizadas (sugestões da Sub Coach IA)

Para exercer qualquer direito, envie e-mail para dpo@evolprot.com identificando-se como titular. Confirmaremos sua identidade antes de processar a solicitação (Art. 19, §3º LGPD).

10. Cookies e tecnologias de rastreamento

Utilizamos cookies e tecnologias similares com seu consentimento explícito, conforme exigido pela LGPD e pela Guia ANPD de Cookies. Você controla quais categorias aceita pelo banner de consentimento exibido na primeira visita, e pode alterar a qualquer momento pelo link "Gerenciar cookies" no rodapé.

• Essenciais (sempre ativos): sessão de login, preferência de tema, segurança. Sem eles o site não funciona.
• Analytics (opcional): Google Analytics 4 via Google Tag Manager, carregado só depois do seu aceite. Usa um identificador pseudônimo em cookie (_ga) para contar sessões e páginas, sem nome ou e-mail; o GA4 não armazena endereço IP.
• Marketing (opcional): categoria reservada para pixels de plataformas de anúncio (Meta, Google Ads). Hoje nenhum pixel está instalado; se um dia entrar, só carrega após o seu aceite nesta categoria.

Aplicamos o Google Consent Mode v2 em modo básico: sem o seu aceite o Google Tag Manager nem é carregado, e nenhum dado (nem pings sem cookie) vai para o Google. Ao revogar, os cookies do Google Analytics são apagados do seu navegador. Sua escolha fica armazenada localmente no navegador (não em nossos servidores).

11. Incidentes de segurança

Adotamos plano interno de resposta a incidentes de segurança (runbook documentado em INCIDENTE_LGPD.md). Em caso de incidente que envolva dados pessoais e represente risco ou dano relevante aos titulares, comunicaremos à ANPD em até 3 dias úteis e aos titulares afetados em prazo razoável, conforme Resolução CD/ANPD nº 15/2024 e Deliberação CD-10/2025.

12. Decisões automatizadas

A funcionalidade Sub Coach IA usa modelo de linguagem para sugerir substituições de alimentos e analisar exames laboratoriais. Essas sugestões são apoio à decisão do Profissional habilitado (nutricionista), não substituem o julgamento clínico, nem geram efeitos jurídicos automatizados sobre o titular. Você pode solicitar revisão humana de qualquer sugestão pelo seu Profissional ou pelo nosso DPO.

13. Crianças e adolescentes

O EvolProt destina-se a profissionais (nutricionistas, personal trainers) maiores de 18 anos. Para alunos menores de 18 anos, o Profissional é responsável por obter o consentimento específico de ao menos um dos pais ou responsável legal (Art. 14 da LGPD), conforme registrado na anamnese.

14. Alterações desta política

Esta política pode ser atualizada periodicamente para refletir mudanças regulatórias ou na operação. Alterações relevantes serão comunicadas aos usuários ativos por e-mail com pelo menos 30 dias de antecedência. A data da última atualização é exibida no topo desta página.

15. Reclamação à autoridade

Se entender que seus direitos não foram adequadamente atendidos, pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).