Política de Privacidade

1. Quem somos

O Runmind é um coach virtual de corrida operado por CNPJ 63.581.899/0001-01, localizado em Recife/PE, Brasil. Para fins da LGPD (Lei 13.709/2018), somos o controlador dos dados pessoais coletados ao longo do uso do serviço. Dúvidas ou solicitações relacionadas a esta política devem ser direcionadas a contato@proza.net.br.

2. Dados que coletamos

Coletamos somente o necessário para que o coach funcione. Em resumo:

• Identificação: nome, e-mail e foto de perfil fornecidos pela sua conta Google ao usar o login social.
• Dados de treino do Strava: atividades, ritmo, frequência cardíaca, rotas, quilometragem e estatísticas agregadas, obtidos via OAuth depois do seu consentimento.
• Dados de saúde do Google Health: passos, sono, frequência cardíaca de repouso, HRV, peso e demais métricas que você autorize ao conectar a integração.
• Conversas com o coach via WhatsApp: mensagens enviadas e recebidas, número de telefone, identificador da conta WhatsApp Business.
• Dados de uso: data e hora das interações, planos de treino gerados, saldo de RunPoints, métricas técnicas de performance e logs de erro.
• Dados de pagamento: processados pela Stripe; armazenamos o customer_id e o status da assinatura, mas não o número do cartão.

3. Por que coletamos (finalidade e base legal)

• Execução do contrato (LGPD art. 7º, V) — para autenticar você, gerar planos de treino personalizados, responder mensagens no WhatsApp e cobrar a assinatura.
• Consentimento (LGPD art. 7º, I) — para acessar Strava e Google Health, sempre revogável a qualquer momento dentro de cada plataforma.
• Legítimo interesse (LGPD art. 7º, IX) — para detectar fraude, melhorar a qualidade das respostas da IA e calcular métricas agregadas de uso.
• Obrigação legal (LGPD art. 7º, II) — registros fiscais de pagamento mantidos pelo prazo da legislação tributária aplicável.

4. Com quem compartilhamos

Não vendemos seus dados. Compartilhamos somente com os processadores essenciais para o serviço funcionar, todos sob contrato de proteção de dados:

• Google LLC (EUA) — autenticação Google, Cloud Run (hospedagem), Secret Manager, Cloud Logging.
• Neon Inc. (EUA) — banco de dados PostgreSQL gerenciado.
• DeepSeek (China) ou OpenAI, LLC (EUA) — inferência de IA usada para gerar as respostas do coach. As mensagens enviadas no WhatsApp são transmitidas ao provedor de IA configurado no momento da resposta. Não usamos seus dados para treinar modelos: ambos os contratos vigentes incluem opt-out de uso para treinamento.
• Meta Platforms, Inc. (EUA) — entrega de mensagens via WhatsApp Business Cloud API.
• Stripe, Inc. (EUA) — processamento de pagamentos.
• Strava, Inc. (EUA) e Google Health (EUA) — somente quando você ativa a integração; a transferência é bidirecional e regida pelos termos de cada provedor.

Transferências internacionais (EUA / China) ocorrem com base nas cláusulas-padrão previstas em LGPD art. 33.

5. Retenção

Mantemos seus dados enquanto sua conta está ativa. Após a solicitação de exclusão (ver /data-deletion), removemos tudo em até 30 dias corridos. Registros fiscais de pagamento são retidos por 5 anos (legislação tributária brasileira); logs técnicos de segurança por 90 dias.

6. Seus direitos (LGPD)

A qualquer momento você pode pedir, sem custo:

• Confirmação da existência de tratamento;
• Acesso aos dados que mantemos sobre você;
• Correção de dados incompletos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
• Portabilidade dos dados a outro fornecedor;
• Eliminação dos dados tratados com base em consentimento;
• Informação sobre com quem compartilhamos seus dados;
• Revogação do consentimento.

Para exercer qualquer um desses direitos, escreva para contato@proza.net.br a partir do e-mail cadastrado.

7. Cookies e armazenamento local

Usamos apenas armazenamento local estritamente necessário (token JWT de sessão, preferências de interface). Não usamos cookies de rastreamento publicitário nem ferramentas de analytics que identifiquem o usuário individualmente.

8. Segurança

Tráfego sempre em HTTPS. Tokens armazenados criptografados. Acesso aos sistemas restrito por JWT + chaves de serviço. Em caso de incidente de segurança que afete seus dados, comunicaremos você e a ANPD no prazo razoável previsto em lei.

9. Alterações nesta política

Quando houver mudança material (novo processador, nova categoria de dado, nova finalidade), atualizamos a data acima e, se for o caso, comunicamos você por e-mail antes da vigência.