Realize1. Quem é responsável
Esta Política é da [RAZÃO SOCIAL DA OPERADORA], CNPJ [CNPJ], com sede em [ENDEREÇO COMPLETO] (“Realize”), operadora da plataforma Realize Pilates. Encarregado pelo tratamento de dados (DPO): dpo@realizepilates.com.br.
2. Dois papéis: controladora e operadora
A Realize trata dados pessoais em duas posições distintas, e isso muda o que se aplica a cada dado:
- Como controladora — dos dados das Clínicas e dos seus usuários (gestores, recepção, instrutores): quem cria a conta, quem entra, o que contrata e paga. Decidimos como esses dados são tratados, e é sobre eles que trata a maior parte desta Política.
- Como operadora — dos dados de alunos e pacientes que a Clínica registra na Plataforma (cadastro, agenda, avaliações, evoluções, financeiro). A Clínica é a controladora: decide o que registrar, com que base legal, por quanto tempo, e atende aos direitos dos alunos. A Realize só trata esses dados conforme as instruções da Clínica e para prestar o serviço. Se você é aluno de uma clínica que usa o Realize, exerça seus direitos junto à clínica; nós a apoiamos no atendimento.
3. Quais dados tratamos
3.1 Dados da Clínica e dos usuários (controladora)
- Cadastro: nome da clínica, CNPJ/CPF, endereço, telefone, e-mail; nome, e-mail e senha (armazenada com hash) de cada usuário; papel na clínica.
- Login com Google: identificador da conta Google, e-mail e nome informados pelo Google. Não recebemos a senha do Google.
- Assinatura e pagamento: plano, ciclo, datas, identificadores de cliente e assinatura no Asaas. Não armazenamos dados de cartão; o pagamento acontece no ambiente do Asaas.
- Uso e segurança: registros de acesso (data, endereço IP, navegador), trilha de auditoria das ações feitas na Plataforma, registro do aceite dos Termos (data e IP).
- Comunicação: mensagens trocadas com o suporte.
3.2 Dados de alunos e pacientes (operadora)
- Cadastro: nome, contato, CPF, data de nascimento, foto, como conheceu a clínica.
- Agenda e frequência: aulas, presenças, faltas, reposições, plano contratado e créditos.
- Financeiro: faturas e pagamentos à Clínica.
- Dados de saúde (dados sensíveis, art. 11 da LGPD): anamnese, avaliação postural e funcional, medidas, queixas, evoluções de cada sessão, observações dos profissionais.
4. Para que usamos e com que base legal
| Finalidade | Dados | Base legal (LGPD) |
|---|---|---|
| Criar e manter a conta, prestar o serviço contratado | cadastro, uso | execução de contrato (art. 7º, V) |
| Cobrar a assinatura e emitir documentos fiscais | cadastro, assinatura | execução de contrato; obrigação legal (art. 7º, II) |
| Segurança, prevenção a fraude e auditoria | uso e segurança | legítimo interesse (art. 7º, IX); obrigação legal |
| Avisos operacionais (confirmação de e-mail, fim do teste, cobrança, segurança) | execução de contrato | |
| Comunicação sobre novidades do produto | legítimo interesse, com opção de descadastro a qualquer momento | |
| Tratar dados de alunos em nome da Clínica | todos os de 3.2 | instruções da Clínica controladora (art. 39) |
Não vendemos dados pessoais, não fazemos perfilamento para publicidade e não usamos dados de alunos para nenhuma finalidade própria da Realize.
5. Com quem compartilhamos (suboperadores)
Só o necessário para o serviço funcionar, com contratos que exigem proteção equivalente:
- Asaas — cobrança da assinatura da Clínica (dados cadastrais e de pagamento da Clínica). Quando a Clínica conecta a própria conta Asaas para cobrar alunos, os dados de cobrança dos alunos vão para a conta da Clínica no Asaas, sob a responsabilidade da Clínica.
- Google — login com Google e, se a Clínica conectar, Google Agenda (eventos de aula com nome e e-mail dos alunos convidados). O app só acessa as agendas que ele mesmo cria.
- Provedor de e-mail transacional — envio de confirmações, links de acesso e avisos.
- Provedor de hospedagem e banco de dados — infraestrutura onde a Plataforma roda, com dados armazenados no Brasil ou em região com nível adequado de proteção.
- Autoridades — quando exigido por lei ou ordem judicial.
A lista atualizada de suboperadores pode ser solicitada ao DPO.
6. Cookies
A Plataforma usa apenas cookies estritamente necessários:
token— sessão autenticada, httpOnly (inacessível a scripts), expira em 24 horas ou no logout.theme— preferência de tema claro/escuro.
Não usamos cookies de publicidade nem de rastreamento entre sites.
7. Por quanto tempo guardamos
- Dados da conta e da Clínica: enquanto a conta existir. Após o encerramento, 90 dias para reativação ou exportação; depois, exclusão, salvo obrigação legal (registros fiscais e de auditoria podem ser mantidos pelos prazos legais, de forma segregada).
- Dados de alunos: pelo prazo definido pela Clínica controladora. A Clínica pode excluir alunos a qualquer momento; prontuários podem estar sujeitos a prazos mínimos de guarda previstos na regulamentação profissional, cuja observância é da Clínica.
- Registros de acesso: 6 meses, conforme o Marco Civil da Internet (art. 15), ou mais por determinação legal.
8. Como protegemos
- Isolamento por clínica em todas as tabelas, com verificação automática e coberta por testes: uma clínica não acessa dados de outra.
- Senhas com hash forte; sessão em cookie httpOnly; limites de tentativas de login e de cadastro.
- Chaves de integração armazenadas cifradas; segredos fora do código.
- Comunicação cifrada (HTTPS); cópias de segurança regulares; trilha de auditoria por clínica.
- Acesso interno restrito ao mínimo necessário para operar e dar suporte, registrado.
Em caso de incidente de segurança com risco relevante, comunicaremos a Clínica e, quando exigido, a ANPD, nos prazos da lei.
9. Seus direitos (art. 18 da LGPD)
Como titular, você pode pedir: confirmação de tratamento e acesso; correção; anonimização, bloqueio ou eliminação de dados desnecessários; portabilidade; informação sobre compartilhamentos; revogação de consentimento; e revisão de decisões automatizadas (não fazemos decisões automatizadas relevantes). Escreva para dpo@realizepilates.com.br; respondemos em até 15 dias. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).
Se você é aluno de uma clínica, direcione o pedido à clínica, que é a controladora dos seus dados; se preferir, encaminhe a nós e nós a acionaremos.
10. Transferência internacional
Priorizamos infraestrutura no Brasil. Se algum suboperador processar dados fora do país, isso ocorrerá para países com grau de proteção adequado ou mediante cláusulas contratuais que garantam o cumprimento da LGPD (art. 33).
11. Crianças e adolescentes
A conta da Clínica é para maiores de 18 anos. Alunos menores de idade podem ser cadastrados pela Clínica, que é responsável por obter o consentimento específico de pelo menos um dos pais ou responsável legal (art. 14 da LGPD).
12. Mudanças nesta Política
Podemos atualizar esta Política. Mudanças relevantes serão comunicadas por e-mail e/ou aviso na Plataforma; a versão vigente e a data ficam sempre nesta página. Ver também os Termos de uso.
13. Contato
Privacidade e proteção de dados: dpo@realizepilates.com.br. Outros assuntos: privacidade@realizepilates.com.br.