Política de privacidade

Última atualização: 23 de outubro de 2026

1. Introdução

Na GymSmartAccess, levamos a sério a privacidade e os dados pessoais de quem usa a plataforma. Esta política explica quais dados coletamos, para que os usamos, com base em quê, onde os armazenamos, com quem os compartilhamos e como você pode exercer os seus direitos, nos termos da Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, a LGPD).

2. Controlador e encarregado

O controlador dos dados pessoais é a GymSmartAccess, com sede em Corrientes, Argentina.

O encarregado pelo tratamento de dados pessoais atende pelo e-mail contacto@gymsmartaccess.com, que recebe as solicitações dos titulares e as comunicações da Autoridade Nacional de Proteção de Dados (ANPD).

3. Dados que coletamos

3.1 Dados que você nos fornece

Dados da conta: nome e sobrenome, e-mail, telefone, foto de perfil e senha. A senha é armazenada transformada por um algoritmo de mão única: ninguém, nem nós, consegue lê-la.
Dados da academia: nome, unidades e seus endereços, planos e preços, a equipe com suas funções e o que a academia publica na sua página.
Dados de cobrança: o plano contratado, os valores, as datas e a situação de cada pagamento. Os dados do seu cartão são informados na própria página do provedor de pagamento e nunca passam pelos nossos servidores.

3.2 Dados gerados pelo uso da plataforma

Registros de acesso: cada vez que alguém entra em uma unidade, registramos a data e a hora, a unidade, como entrou (com o QR code da unidade, com o seu código de 6 dígitos ou registrado na recepção), se pôde entrar e, se não, o motivo, e quem da equipe registrou, quando for o caso.
Registros de alterações: o que foi alterado na ficha de um aluno, por quem e quando.
Dados técnicos: o seu endereço IP é usado no momento para limitar tentativas de login e envios de formulários, e para mostrar os preços na moeda do seu país (se é da Argentina, segundo o registro de endereços da LACNIC), e não o armazenamos. Quando algo dá errado, enviamos um relatório do erro sem o seu nome, o seu e-mail ou o que você digitou.

3.3 Dados dos alunos de uma academia

As academias que usam a plataforma cadastram os dados dos seus alunos: nome e sobrenome, e-mail, telefone, tipo e número de documento, data de nascimento, endereço, um contato de emergência, foto, o atestado de aptidão física e a sua validade, observações, o plano, os pagamentos e os acessos. Nesse caso, a academia é a controladora dos dados dos seus alunos, e a GymSmartAccess é a operadora, que trata os dados em nome da academia e conforme as suas instruções, só para lhe prestar o serviço (art. 5º, VI e VII, da LGPD). Se você é aluno e quer consultar, corrigir ou eliminar os seus dados, pode pedir à sua academia ou nos escrever.

4. Dados de usuário do Google (Fazer login com o Google)

A GymSmartAccess oferece a opção de se cadastrar e entrar com uma conta Google pelo «Fazer login com o Google». Podem usá-la os donos de academia e a sua equipe, para criar a conta e entrar no painel, e os alunos, para entrar no app do aluno. Usar o Google é opcional: você sempre pode se cadastrar e entrar com o seu e-mail e uma senha.

4.1 Quais dados do Google obtemos

Solicitamos apenas as permissões básicas de identificação (openid, email e profile). Com a sua autorização, o Google compartilha conosco:

O seu endereço de e-mail e se ele está verificado
O seu nome e sobrenome
A sua foto de perfil do Google
O identificador único da sua conta Google

Não acessamos a sua senha do Google nem nenhum outro serviço ou dado da sua conta: não lemos o seu Gmail, Google Drive, Google Agenda, contatos ou arquivos.

4.2 Como usamos esses dados

E-mail e identificador do Google: para criar a sua conta, identificar você a cada login e vinculá-lo à sua academia ou ao seu plano. Também usamos o seu e-mail para enviar comunicações do serviço (confirmações, avisos de pagamento e de vencimento, alertas de segurança).
Nome: para completar o seu perfil e exibi-lo dentro da plataforma.
Foto de perfil: copiamos uma vez como a foto do seu perfil, se você não tiver outra. Se você faz parte da equipe de uma academia, pode trocá-la pelo seu perfil quando quiser. Se você é aluno, copiamos para a sua ficha na academia, onde a equipe a vê para reconhecer você na entrada; para trocá-la, peça à sua academia. Nunca armazenamos nem exibimos o link da foto no Google.

Usamos os dados do Google exclusivamente para oferecer as funções da GymSmartAccess descritas aqui. Não os usamos para publicidade, não os vendemos, não criamos perfis publicitários com eles e não os usamos para desenvolver, melhorar ou treinar modelos de inteligência artificial.

4.3 Como os armazenamos e protegemos

Os dados ficam no nosso banco de dados e no nosso armazenamento de arquivos, hospedados na Railway, nos Estados Unidos. Eles trafegam criptografados, e os arquivos, como as fotos, são armazenados criptografados. Cada academia vê apenas os seus próprios dados, e cada pessoa da equipe só o que corresponde à sua função e às suas unidades. Não armazenamos tokens de acesso do Google nem os usamos para consultar outros dados da sua conta.

Não compartilhamos dados de usuário do Google com terceiros, exceto nestes casos:

A sua academia: se você é aluno, a academia em que se cadastra (dono, gerentes e recepção) vê o seu nome, o seu e-mail e a sua foto para gerir o seu plano e os seus acessos.
Provedores de infraestrutura: Railway (hospedagem, banco de dados e arquivos) e Hostinger (envio de e-mails), que tratam os dados em nosso nome e só para prestar o serviço.
Autoridades competentes: quando exigido por ordem judicial ou por disposição legal aplicável.

Os dados obtidos do Google não são compartilhados com ferramentas de análise ou de publicidade.

4.5 Retenção, eliminação e revogação do acesso

Mantemos esses dados enquanto a sua conta existir: eles não são apagados sozinhos quando você deixa de usar o serviço. Você pode pedir a eliminação da sua conta e dos seus dados a qualquer momento pelo e-mail contacto@gymsmartaccess.com; a solicitação é atendida em até 10 dias corridos. Você também pode revogar o acesso da GymSmartAccess à sua conta Google em myaccount.google.com/permissions. Depois de revogar, o Google vai pedir a sua autorização de novo na próxima vez que você entrar com o Google. Revogar não apaga os dados já armazenados: para isso, escreva para nós.

4.6 Conformidade com a política do Google

O uso e a transferência para qualquer outro aplicativo das informações recebidas das APIs do Google pela GymSmartAccess seguirão a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado.

5. As mensagens que você nos envia pelo site

Quando você nos escreve pela página de Contato, armazenamos o seu nome, o seu e-mail, o nome da sua academia, o seu telefone se você o informar, a sua mensagem e o idioma da página. Usamos esses dados para responder: enviamos um e-mail confirmando que a recebemos, e ela é lida pelas pessoas da nossa equipe que atendem as mensagens. Não os usamos para enviar publicidade, não os compartilhamos com nenhuma academia, e as academias não podem vê-los.

Para enviá-la, você precisa aceitar esta política. O seu endereço IP é usado no momento para limitar os envios, e não o armazenamos. Mantemos a mensagem até que você peça a sua eliminação.

6. Finalidades e bases legais

Tratamos dados pessoais para estas finalidades, cada uma com a sua base legal (art. 7º da LGPD):

Prestar o serviço contratado — a conta, o controle de acesso às unidades, os pagamentos e as comunicações do serviço: execução de contrato (inciso V).
Cumprir obrigações legais e fiscais, como guardar os registros de cobrança: cumprimento de obrigação legal (inciso II).
Proteger a plataforma e prevenir fraudes, como limitar tentativas de login e registrar alterações: legítimo interesse (inciso IX).
Responder às mensagens que você nos envia pelo site: legítimo interesse (inciso IX), a seu pedido.
Medir as visitas ao site e os resultados dos nossos anúncios: consentimento (inciso I), que você dá ou nega no aviso de cookies e pode revogar a qualquer momento.
Exercer direitos em processos judiciais, administrativos ou arbitrais: exercício regular de direitos (inciso VI).

7. Com quem compartilhamos os dados

A GymSmartAccess não vende, não aluga e não comercializa dados pessoais. Nós os compartilhamos apenas com:

Railway: hospeda a plataforma, o banco de dados e os arquivos, nos Estados Unidos.
Hostinger: envia os e-mails do serviço. É a HOSTINGER, UAB, uma empresa da Lituânia, na União Europeia.
O provedor de pagamento: processa os pagamentos. Recebe o e-mail de quem paga, o valor e o nome da academia e do plano, e segue a sua própria política de privacidade.
Google: quando você escolhe entrar com o Google, atua como provedor de identidade (veja a seção 4).
Sentry: recebe os relatórios de erros da plataforma, sem o nome, o e-mail ou o que a pessoa que o encontrou digitou.
Google Analytics e Meta: só no site e no cadastro de uma academia, e só se você aceitar, incluídos os avisos que enviamos a eles dos nossos servidores (veja a seção 12).
Autoridades competentes: quando exigido por ordem judicial ou por disposição legal aplicável.

8. Armazenamento e segurança

Adotamos medidas técnicas e administrativas para proteger os dados contra acessos não autorizados e contra situações de destruição, perda, alteração ou divulgação (art. 46 da LGPD):

Os dados trafegam criptografados entre o seu navegador e os nossos servidores, e entre os nossos servidores
Os arquivos, como as fotos e os atestados de aptidão física, são armazenados criptografados
O próprio banco de dados separa cada academia: uma academia não consegue ver os dados de outra, e cada pessoa da equipe vê só o que corresponde à sua função e às suas unidades
As senhas são armazenadas transformadas por um algoritmo de mão única, e uma conta fica bloqueada por alguns minutos depois de várias tentativas erradas
As credenciais de pagamento de cada academia são armazenadas criptografadas com AES-256
O acesso da nossa equipe à plataforma exige um segundo fator
As alterações nas fichas dos alunos e as ações da nossa equipe ficam registradas

Se ocorrer um incidente de segurança que possa causar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados, conforme o art. 48 da LGPD.

9. Por quanto tempo mantemos os dados

Dados da conta: enquanto a conta existir, ou até que você peça a sua eliminação (seção 10).
Dados dos alunos: enquanto a academia os mantiver cadastrados. Desativar um aluno não apaga o seu histórico: ele fica marcado como desativado, para que a academia conserve os seus pagamentos e acessos.
Registros de acesso: enquanto a academia usar o serviço. São o registro de quem entrou e quando, e não são alterados.
Dados de cobrança: por 10 anos, ou pelo prazo maior que a legislação fiscal aplicável exigir.
Mensagens do site e e-mails enviados: mantemos as mensagens e uma cópia dos e-mails que enviamos até que você peça a sua eliminação.
Identificadores de medição: os do seu navegador que você aceitou ao cadastrar uma academia, até o primeiro pagamento da academia ou por no máximo 90 dias (veja a seção 12).

Quando você pede a eliminação dos seus dados, nós os anonimizamos em até 10 dias corridos: o que a lei nos obriga a conservar, como a cobrança, é conservado sem que você possa ser identificado (art. 16 da LGPD).

10. Os seus direitos como titular

Nos termos do art. 18 da LGPD, você tem direito a:

confirmação da existência de tratamento dos seus dados;
acesso aos dados;
correção de dados incompletos, inexatos ou desatualizados;
anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
portabilidade dos dados a outro fornecedor de serviço, mediante requisição expressa;
eliminação dos dados tratados com o seu consentimento;
informação sobre as entidades com as quais compartilhamos os seus dados;
informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
revogação do consentimento;
oposição a um tratamento feito com base em outra hipótese legal, se houver descumprimento da LGPD.

Para exercê-los, escreva ao encarregado pelo e-mail contacto@gymsmartaccess.com, com um meio de confirmar a sua identidade. Respondemos em até 15 dias. Você também pode apresentar uma petição à Autoridade Nacional de Proteção de Dados (ANPD).

11. Transferência internacional

Os dados são armazenados em servidores da Railway nos Estados Unidos (Virgínia). Os e-mails são enviados pela HOSTINGER, UAB, uma empresa da Lituânia, na União Europeia; segundo a sua política de privacidade, a Hostinger e suas afiliadas mantêm os dados no Reino Unido, nos Países Baixos, na Lituânia ou em Chipre, e alguns dos seus servidores ficam fora da União Europeia (por exemplo, nos Estados Unidos, no Brasil, em Singapura e na Indonésia), com essas transferências cobertas pelas cláusulas contratuais-padrão da Comissão Europeia. A transferência é feita porque é necessária para a execução do contrato com você ou com a sua academia (art. 33, IX, da LGPD), com fornecedores que tratam os dados em nosso nome e só para prestar o serviço.

12. Cookies e tecnologias semelhantes

A plataforma usa os cookies e o armazenamento do navegador estritamente necessários para funcionar:

Cookies de sessão: para manter a sua sessão aberta, com segurança.
Cookies e armazenamento de preferências: para lembrar o idioma, o tema visual, a unidade escolhida e outras preferências da tela.

No site público e no cadastro de uma academia, e só se você aceitar no aviso de cookies, usamos ferramentas de medição de terceiros:

Google Analytics: para medir as visitas e entender como o site é usado.
Pixel da Meta e API de Conversões da Meta: para medir o resultado dos nossos anúncios no Facebook e no Instagram.

Essas ferramentas não recebem os dados da sua conta Google. No formulário de cadastro com e-mail, o pixel da Meta pode ler o e-mail e o telefone que você digita, criptografá-los e enviá-los à Meta para medir os anúncios. Dentro do painel da academia e do app do aluno não usamos cookies de terceiros. Você pode mudar a sua escolha a qualquer momento pelo aviso de cookies.

Se, ao cadastrar uma academia, você aceitou a medição ou a publicidade, dos nossos servidores avisamos o Google Analytics (se você aceitou a medição) e a Meta, pela API de Conversões (se você aceitou a publicidade), de três fatos desse cadastro: que a academia se cadastrou, que confirmou o seu e-mail e que fez o primeiro pagamento, com o valor e a moeda. Esses avisos levam um identificador criptografado da academia e os identificadores do seu navegador que você aceitou: o do Google Analytics e, para a Meta, os seus cookies da Meta, o navegador que você usa e o seu endereço IP. Nunca levam o seu e-mail, o seu telefone nem o seu nome, nem criptografados. Guardamos esses identificadores até o primeiro pagamento da academia, ou por no máximo 90 dias, e depois os apagamos.

Para esses três avisos vale o que você aceitou ao se cadastrar. Se depois você mudar a sua escolha pelo aviso de cookies, a mudança vale no seu navegador a partir desse momento, mas os nossos servidores não ficam sabendo: continuam usando o que você aceitou ao se cadastrar até que esses identificadores sejam apagados, com o primeiro pagamento ou aos 90 dias. Se quiser que sejam apagados antes, escreva para nós (veja a seção 15).

13. Crianças e adolescentes

A GymSmartAccess não é destinada a menores de 18 anos, e não coletamos intencionalmente dados de menores. Se uma academia cadastra alunos crianças ou adolescentes, ela deve tratar os seus dados no seu melhor interesse e, no caso de crianças, com o consentimento específico de pelo menos um dos pais ou do responsável legal (art. 14 da LGPD).

14. Alterações nesta política

Podemos alterar esta política. Avisaremos qualquer mudança relevante pela plataforma ou por e-mail, com pelo menos 15 dias de antecedência da sua entrada em vigor. Se uma mudança afetar o que fazemos com os dados do Google, alteramos esta política antes de usá-los de outra forma.

15. Contato

Para dúvidas sobre privacidade e proteção de dados pessoais:

E-mail: contacto@gymsmartaccess.com
Telefone: +54 9 3795 11-8865
Endereço: Corrientes, Argentina