Política de Privacidade

1. Quem somos

O Runmind é um coach virtual de corrida operado por CNPJ 65.760.091/0001-09, localizado em Recife/PE, Brasil. Para fins da LGPD (Lei 13.709/2018), somos o controlador dos dados pessoais coletados ao longo do uso do serviço. Dúvidas ou solicitações relacionadas a esta política devem ser direcionadas a contato@runmind.com.br.

2. Dados que coletamos

Coletamos somente o necessário para que o coach funcione. Em resumo:

• Identificação: nome, e-mail e foto de perfil fornecidos pela sua conta Google ao usar o login social.
• Dados de treino do Strava: atividades, ritmo, frequência cardíaca, rotas, quilometragem e estatísticas agregadas, obtidos via OAuth depois do seu consentimento.
• Dados de saúde do Google Health: passos, sono, frequência cardíaca de repouso, HRV, peso e demais métricas que você autorize ao conectar a integração.
• Conversas com o coach via WhatsApp: mensagens enviadas e recebidas, número de telefone, identificador da conta WhatsApp Business.
• Dados de uso: data e hora das interações, planos de treino gerados, saldo de RunPoints, métricas técnicas de performance e logs de erro.
• Dados de pagamento: processados pela Stripe; armazenamos o customer_id e o status da assinatura, mas não o número do cartão.

3. Por que coletamos (finalidade e base legal)

• Execução do contrato (LGPD art. 7º, V) — para autenticar você, gerar planos de treino personalizados, responder mensagens no WhatsApp e cobrar a assinatura.
• Consentimento (LGPD art. 7º, I) — para acessar Strava e Google Health, sempre revogável a qualquer momento dentro de cada plataforma.
• Legítimo interesse (LGPD art. 7º, IX) — para detectar fraude, melhorar a qualidade das respostas da IA e calcular métricas agregadas de uso.
• Obrigação legal (LGPD art. 7º, II) — registros fiscais de pagamento mantidos pelo prazo da legislação tributária aplicável.

4. Com quem compartilhamos

Não vendemos seus dados. Compartilhamos somente com os processadores essenciais para o serviço funcionar, todos sob contrato de proteção de dados:

• Google LLC (EUA) — autenticação Google, Cloud Run (hospedagem), Secret Manager, Cloud Logging.
• Neon Inc. (EUA) — banco de dados PostgreSQL gerenciado.
• DeepSeek (China) ou OpenAI, LLC (EUA) — inferência de IA usada para gerar as respostas do coach. As mensagens enviadas no WhatsApp são transmitidas ao provedor de IA configurado no momento da resposta. Não usamos seus dados para treinar modelos: ambos os contratos vigentes incluem opt-out de uso para treinamento.
• Meta Platforms, Inc. (EUA) — entrega de mensagens via WhatsApp Business Cloud API.
• Stripe, Inc. (EUA) — processamento de pagamentos.
• Strava, Inc. (EUA) e Google Health (EUA) — somente quando você ativa a integração; a transferência é bidirecional e regida pelos termos de cada provedor.

Transferências internacionais (EUA / China) ocorrem com base nas cláusulas-padrão previstas em LGPD art. 33.

5. Uso de dados das APIs do Google

Esta seção descreve, em conformidade com a Google API Services User Data Policy, como o Runmind acessa e usa dados que você autoriza via OAuth do Google.

Escopos solicitados

• Identidade (Sign-In): openid, email, profile — para criar e autenticar sua conta no Runmind.
• Google Fit / Health Connect (somente se você conectar a integração): leitura de atividades, frequência cardíaca, sono, peso e métricas correlatas. Os escopos exatos são apresentados na tela de consentimento do Google no momento da conexão e podem ser revogados a qualquer momento em myaccount.google.com/permissions.

Como usamos esses dados

Dados recebidos das APIs do Google são usados exclusivamente para fornecer e melhorar as funcionalidades do Runmind solicitadas por você — gerar planos de treino personalizados, calcular cargas, sugerir pace e responder perguntas sobre seu condicionamento.

O que não fazemos com dados do Google

• Não vendemos dados obtidos das APIs do Google a terceiros.
• Não usamos dados das APIs do Google para publicidade, retargeting, data brokers ou avaliação de crédito.
• Não enviamos dados das APIs do Google (em particular Google Fit / Health Connect) para os provedores de IA que geram as respostas do coach (OpenAI / DeepSeek). Apenas métricas derivadas (ex: pace alvo, faixa de FC) entram no prompt — nunca o registro bruto do Google.
• Nenhum dado das APIs do Google é usado para treinar modelos de IA, nossos ou de terceiros.

Limited Use

O uso e a transferência de qualquer informação recebida das APIs do Google por parte do Runmind para qualquer outro app estará em conformidade com a Google API Services User Data Policy, incluindo os requisitos de Limited Use.

Versão em inglês (requerida pelo Google para revisão): “Runmind's use and transfer of information received from Google APIs to any other app will adhere to Google API Services User Data Policy, including the Limited Use requirements.”

6. Retenção

Mantemos seus dados enquanto sua conta está ativa. Após a solicitação de exclusão (ver /data-deletion), removemos tudo em até 30 dias corridos. Registros fiscais de pagamento são retidos por 5 anos (legislação tributária brasileira); logs técnicos de segurança por 90 dias.

7. Seus direitos (LGPD)

A qualquer momento você pode pedir, sem custo:

• Confirmação da existência de tratamento;
• Acesso aos dados que mantemos sobre você;
• Correção de dados incompletos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
• Portabilidade dos dados a outro fornecedor;
• Eliminação dos dados tratados com base em consentimento;
• Informação sobre com quem compartilhamos seus dados;
• Revogação do consentimento.

Para exercer qualquer um desses direitos, escreva para contato@runmind.com.br a partir do e-mail cadastrado.

8. Cookies e armazenamento local

Usamos apenas armazenamento local estritamente necessário (token JWT de sessão, preferências de interface). Não usamos cookies de rastreamento publicitário nem ferramentas de analytics que identifiquem o usuário individualmente.

9. Segurança

Tráfego sempre em HTTPS. Tokens armazenados criptografados. Acesso aos sistemas restrito por JWT + chaves de serviço. Em caso de incidente de segurança que afete seus dados, comunicaremos você e a ANPD no prazo razoável previsto em lei.

10. Alterações nesta política

Quando houver mudança material (novo processador, nova categoria de dado, nova finalidade), atualizamos a data acima e, se for o caso, comunicamos você por e-mail antes da vigência.