Política de Privacidade

1. Quem é responsável pelos seus dados

O Cortex é operado por Matheus Eloy Corrêa dos Santos - Cortex - THE FUTURE - FOR HEALTH, com sede em Taubaté/SP.

Os papéis mudam conforme o tipo de dado:

• Dados da conta e da cobrança do profissional: o Cortex é o controlador (decide como são usados).
• Dados dos clientes e alunos (cadastro, avaliações, medidas, fotos, treinos, dietas, agenda e mensagens): o controlador é o profissional que atende o cliente; o Cortex é o operador e trata esses dados em nome do profissional, seguindo as instruções dele e esta Política.

Por isso, para exercer direitos sobre os dados de acompanhamento (por exemplo, pedir correção de uma avaliação), o cliente fala primeiro com o próprio profissional. O sistema tem um formulário para isso e o pedido chega a ele.

2. Quais dados tratamos: profissionais

• cadastro: nome, CPF, nome profissional, e-mail, telefone, tipo de conta e número de registro (CREF, CRN ou CREFITO);
• assinatura e cobrança: plano, status, datas e pagamentos (o cartão é processado pelo Stripe; não guardamos o número completo);
• foto de perfil (opcional);
• uso do sistema: registro de ações importantes (quem criou, alterou ou excluiu um registro e quando) e mensagens trocadas com clientes e colegas.

Quais dados tratamos: clientes e alunos

Conforme o profissional cadastrar ou o próprio cliente informar:

• identificação e contato: nome, data de nascimento, sexo, telefone e e-mail;
• dados de saúde e de atividade física (dados pessoais sensíveis): objetivo, tempo de treino, lesões e limitações, peso, altura, medidas, dobras cutâneas, composição corporal, resultados de avaliações, gasto energético e metas, treinos realizados, cargas e observações;
• fisioterapia: prontuário (queixas, dor informada, mapa corporal de dor, achados, conduta e plano) e avaliações físicas (postura, mobilidade, força muscular e testes motores). São dados de saúde, tratados como sensíveis;
• alimentação: dietas, refeições e metas de calorias e macronutrientes;
• fotos de progresso (podem revelar dados de saúde, por isso são tratadas como sensíveis);
• agenda de atendimentos e mensagens trocadas com o profissional;
• dados de acesso, quando o cliente tem login: e-mail e senha (guardada apenas de forma criptografada, em hash).

3. Para que usamos e em que base legal

Profissionais:

• criar e manter a conta, prestar o serviço e dar suporte: execução de contrato (art. 7º, V);
• cobrar a assinatura, emitir registros fiscais e cumprir obrigações legais: execução de contrato e obrigação legal (art. 7º, II e V);
• manter a segurança, prevenir fraudes e abusos, e registrar ações para auditoria: legítimo interesse (art. 7º, IX) e exercício regular de direitos (art. 7º, VI);
• confirmar a identidade do profissional com o CPF e impedir cadastros duplicados ou com dados falsos, inclusive em profissões diferentes: legítimo interesse (art. 7º, IX) e prevenção à fraude. O CPF não é mostrado a clientes nem a outros profissionais;
• enviar avisos sobre a conta, a cobrança e mudanças no serviço: execução de contrato.

Clientes e alunos: o profissional usa os dados para fazer o acompanhamento físico e nutricional, montar treinos e dietas, medir a evolução, agendar atendimentos e conversar com o cliente. Para dados de saúde, a base legal é o consentimento específico e destacado do titular (art. 11, I), colhido pelo profissional e registrado no sistema; quando o tratamento for feito por profissional de saúde em procedimento de tutela da saúde, também pode se aplicar o art. 11, II, “f”. Dados de contato e agenda usam a execução do contrato de prestação de serviço entre cliente e profissional (art. 7º, V).

Não vendemos dados, não os usamos para publicidade e não tomamos decisões exclusivamente automatizadas sobre você. Os cálculos do sistema apoiam o profissional, que revisa e decide.

4. Com quem compartilhamos

• O profissional responsável pelo cliente e, quando ele escolher, outro profissional que também atende o cliente (item 5).
• Stripe, para processar pagamentos e assinaturas dos profissionais.
• Serviço de envio de e-mails (Resend), para avisos como boas-vindas, recuperação de senha e convites. Esses e-mails contêm o mínimo necessário e não trazem dados de avaliações ou de saúde.
• Provedores de infraestrutura (hospedagem e banco de dados) que armazenam o sistema em nosso nome, com contrato que os obriga a proteger os dados.
• Autoridades, quando houver obrigação legal ou ordem judicial.

Os fornecedores que tratam dados em nosso nome só podem usá-los para prestar o serviço contratado.

5. Compartilhamento entre profissionais

Um profissional (por exemplo, o personal) pode convidar outro (por exemplo, a nutricionista) para acompanhar o mesmo cliente. Isso só ocorre com a autorização do cliente, que o profissional declara ter obtido ao enviar o convite. O convidado precisa aceitar, e o profissional escolhe o que ele poderá ver: sempre o básico (nome, idade, sexo, objetivo, lesões e resumo da última avaliação) e, se marcar, histórico de avaliações, fotos, treinos ou dietas e contatos.

O profissional convidado também pode trocar mensagens com o cliente pelo sistema e montar o próprio plano para ele: dieta, no caso de nutricionista, ou treino e periodização, no caso de personal. O cliente vê esse plano na área dele, junto com o do profissional que o cadastrou, e o profissional que cadastrou o cliente não edita o plano do convidado. A conversa é privada entre os dois: o profissional que cadastrou o cliente não a lê.

Quando um dos profissionais é fisioterapeuta, o colega vê apenas um resumo curto da avaliação e do prontuário (por exemplo, alterações posturais, força ou mobilidade alteradas e a dor informada), sem os textos livres e as anotações, que ficam só com o fisioterapeuta.

O compartilhamento pode ser encerrado a qualquer momento pelo profissional que o criou; ao encerrar, o colega perde o acesso aos dados e à conversa com o cliente, o plano que ele montou deixa de aparecer para o cliente, e o cliente continua podendo ler as mensagens antigas, sem poder responder. As conversas entre os dois profissionais não são visíveis ao cliente.

6. Por quanto tempo guardamos

• Dados da conta do profissional: enquanto a conta estiver ativa e, depois do encerramento, pelo tempo necessário para cumprir obrigações legais e defender direitos.
• Dados de cobrança e fiscais: pelo prazo exigido pela legislação tributária (em regra, 5 anos).
• Dados de clientes: enquanto o profissional mantiver o acompanhamento e pelo prazo de guarda de prontuário e registros que o conselho profissional dele exigir. Ao excluir um cliente, o profissional remove os registros e as fotos do sistema. Cópias de segurança podem manter os dados por período limitado até serem sobrescritas.
• Mensagens: enquanto a conversa existir. Quem envia pode apagar o próprio texto, que é removido, mantendo-se apenas o aviso de mensagem apagada.
• Pedidos de titulares e registros de aceite: pelo tempo necessário para comprovar o atendimento à lei.

7. Seus direitos

Pela LGPD (art. 18) você pode pedir, a qualquer momento:

• confirmação de que tratamos seus dados e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
• portabilidade dos dados;
• eliminação dos dados tratados com base no seu consentimento;
• informação sobre com quem os dados foram compartilhados;
• informação sobre a possibilidade de não dar o consentimento e suas consequências;
• revogação do consentimento, a qualquer momento, de forma gratuita e facilitada.

Como pedir: dentro do sistema, em “Privacidade e meus dados” (clientes e profissionais). Você também pode baixar uma cópia dos seus dados ali mesmo. Respondemos em até 15 dias. Se preferir, escreva para matheus.eloycorrea@gmail.com.

Alguns pedidos podem ser limitados por obrigação legal, por exemplo a guarda de prontuário ou de registros fiscais. Nesse caso explicamos o motivo e o que foi possível fazer. Revogar o consentimento não afeta o que já foi tratado antes, e pode impedir o profissional de continuar o acompanhamento que depende desses dados.

8. Segurança

Adotamos medidas técnicas e organizacionais compatíveis com o risco, entre elas:

• senhas guardadas apenas como hash (nunca em texto aberto);
• sessão por cookie com proteção contra leitura por scripts (HttpOnly) e conexão criptografada (HTTPS) em produção;
• isolamento entre profissionais: cada um só acessa os próprios clientes, ou os compartilhados com ele, e os dados que o compartilhamento permite;
• fotos e arquivos em armazenamento privado, entregues apenas a quem tem permissão;
• registro de ações importantes para auditoria e limite de tentativas de login e de envio de mensagens.

Nenhum sistema é totalmente imune a falhas. Se ocorrer um incidente que possa causar risco ou dano relevante, comunicaremos os titulares afetados e a Autoridade Nacional de Proteção de Dados (ANPD) nos termos do art. 48 da LGPD.

9. Crianças e adolescentes

O sistema é voltado a profissionais maiores de 18 anos. Clientes menores de 18 anos podem ser cadastrados pelo profissional, desde que um dos pais ou o responsável legal consinta e acompanhe. Nesse caso, o consentimento dado no sistema é do responsável. Os dados de menores são tratados no melhor interesse deles (art. 14 da LGPD).

10. Transferência internacional

Alguns provedores de infraestrutura, pagamento ou e-mail podem armazenar ou processar dados fora do Brasil. Quando isso acontecer, usamos as garantias previstas na LGPD (art. 33), como cláusulas contratuais e fornecedores que adotam padrões adequados de proteção.

11. Cookies

Usamos apenas o cookie necessário para manter você conectado. Detalhes na Política de Cookies.

12. Mudanças nesta Política

Quando houver mudança relevante, você verá uma nova tela de aceite no próximo acesso. A data no topo mostra a última atualização.

13. Contato e Autoridade Nacional

Encarregado pelo tratamento de dados: Matheus Eloy Corrêa dos Santos. Contato: matheus.eloycorrea@gmail.com.

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD), em www.gov.br/anpd.