Política de privacidade

1. Quem somos e a quem esta política se aplica

Nós, a THEREP LTDA, somos a controladora dos seus dados pessoais descritos nesta política. Controladora é quem decide para que e como os dados são tratados. Nosso CNPJ é 62.979.019/0001-89. Nossa sede fica na R. Rita Cerqueira, nº 33, Sala 1303 Anexo, Centro, Três Rios-RJ, CEP 25804-210.

Você fala conosco por contato@therep.com.br ou pelo WhatsApp +55 21 96875-9761.

Esta política vale para tudo o que operamos:

• o aplicativo The Rep para celular;
• o site therep.com.br.

A partir do The Rep, você também abre serviços de terceiros: a App Store e o Apple Health, no iPhone, e o Google Play e o Conexão Saúde, no Android. Eles têm suas próprias políticas. Nomeamos cada um deles na seção 5.

2. Quais dados tratamos

Coletamos o mínimo necessário para três coisas: você usar o app, seu histórico não se perder e nós sabermos quando algo quebra. No site, só medimos a sua visita se você aceitar Estatística. Só mandamos dados às plataformas de anúncio se você aceitar Publicidade. A tabela abaixo é a lista completa. A coluna ligado a você diz se o dado anda junto do seu e-mail, do id da sua conta ou de outra coisa que diga quem você é. Quando a resposta é não, o dado viaja sem nada que o ligue à sua identidade.

Não pedimos telefone, CPF, endereço, documentos nem contatos do aparelho. No pagamento pelo site, a AbacatePay pede o que falta para o Pix, como nome, CPF e telefone. Ela pede isso na página dela. Além da foto de perfil, só tocamos em mais uma imagem: a foto da sua ficha de treino. Isso só acontece se você usar a importação por foto, quando ela estiver ligada. A foto é lida no seu aparelho e vira um rascunho de treino. Ela não sai do aparelho.

3. O que nunca fazemos

• No app, não rastreamos você. Para a Apple, rastrear é cruzar dados do app com dados de terceiros para publicidade, ou vender dados a corretores. Nada disso acontece no app, no iPhone ou no Android. Por isso, no iPhone, não pedimos a permissão de rastreamento do iOS. No site, as plataformas de anúncio só recebem seus dados se você aceitar Publicidade (veja a seção Cookies e armazenamento no navegador).
• Não vendemos dados pessoais a ninguém, em nenhuma circunstância.
• No app, não há componente de anúncio (SDK), nem pixel de terceiros, nem identificador de publicidade (o IDFA, no iPhone, ou o ID de publicidade do Google, no Android). Os sinais de publicidade do Google Analytics estão desligados no app.
• Não lemos a sua localização. Não pedimos permissão de localização nem usamos o GPS. A localização aproximada da seção 2 vem do seu endereço IP. Quem calcula é a Google, no servidor dela.
• No iPhone, os relatórios de desempenho do iOS (MetricKit) ficam em arquivo no seu aparelho e nunca saem dele.
• Os sinais de movimento são lidos na memória e nunca saem do aparelho. No iPhone, são os passos e o tipo de movimento. No Android, são só os passos. Eles servem só para ajustar o momento de uma pergunta durante o treino. Só lemos esses sinais se você autorizar, junto do vínculo com o Apple Health ou com o Conexão Saúde.
• Não lemos seus contatos, suas mensagens nem suas outras fotos. A única exceção é a foto que você mesmo escolhe ou tira para importar uma ficha de treino. Essa foto é lida no aparelho e não sai dele.
• Não usamos o seu e-mail para propaganda de terceiro nem vendemos a sua caixa de entrada. Mandamos os e-mails da conta: o código de login e o aviso de entrada nova em outro aparelho. Se você assinou pelo Pix no site, também mandamos o recibo de pagamento e o lembrete de renovação da sua assinatura. Se você entrou na lista de lançamento do site ou na lista do TheRep Coach, mandamos o aviso de quando abrir. Você sai de qualquer uma das duas listas quando quiser.
• Não tomamos decisões automatizadas que produzam efeito jurídico sobre você. O programa de treino pronto segue regras fixas, iguais para todo mundo.

4. Finalidades e bases legais

A LGPD exige uma base legal para todo tratamento de dados. Usamos quatro. Na seção 2, cada dado aponta a sua.

Execução de contrato (art. 7º, V)

Com esta base, criamos e mantemos a sua conta e guardamos o backup do seu histórico e do seu plano de treino. Também mostramos o seu perfil, entregamos o plano que você assinou e mandamos os e-mails da conta. Sem esses dados, o serviço não existe.

Legítimo interesse (art. 7º, IX)

Com esta base, medimos o uso do app para melhorá-lo e sabemos quando algo quebra para consertar. Também descobrimos que exercícios faltam na lista e protegemos o serviço contra fraude e abuso. Os dados de uso e diagnóstico viajam sem e-mail e sem id de conta. Do conteúdo do treino, levam só três números somados. Você tem o direito de se opor a esse tratamento. A seção 9 diz como.

Consentimento (art. 7º, I, e art. 11, I)

No app, dependem do seu sim: guardar as suas respostas sobre corpo e treino (sexo, data de nascimento, altura, peso, objetivo, nível, dias de treino, onde você treina e equipamentos), que a LGPD trata como dados sensíveis por se ligarem à saúde; ler e gravar dados do Apple Health, no iPhone, ou do Conexão Saúde, no Android (a lista está na seção 12), publicar a sua foto de perfil e mandar notificações a você. No site, dependem do seu sim: medir a sua visita (Estatística), mandar dados às plataformas de anúncio (Publicidade) e avisar do lançamento do site e do TheRep Coach pelo e-mail que você deixa. Pedimos cada sim na hora. O sim das respostas sobre corpo e treino vem na tela de aceite, antes de a conta ser criada. Você pode desfazer cada um quando quiser. No app, use os ajustes do seu celular ou os ajustes dentro do app. No site, use o link "Preferências de privacidade", no rodapé. Nas listas de lançamento, use o link de descadastro de cada e-mail.

Cumprimento de obrigação legal (art. 7º, II)

Com esta base, guardamos os documentos fiscais pelo prazo da lei. Também mantemos os registros de acesso que o Marco Civil da Internet exige.

5. Com quem compartilhamos

Não temos servidor próprio. Parte dos seus dados fica com operadores (Supabase, Google LLC, Resend, Vercel, Cloudflare e Shopify). São empresas que tratam dados em nosso nome e sob as nossas instruções. Outra parte passa por serviços que respondem pelas próprias políticas. A Apple, o Google Play e o Google no Sign in with Google são serviços que você escolhe usar. A AbacatePay processa o Pix quando você assina pelo site. As plataformas onde anunciamos (Meta, Google e TikTok) só recebem dados se você aceitar Publicidade no site. A Cloudflare também usa seus dados para melhorar seus próprios serviços. Neste uso, ela responde por suas próprias políticas. A tabela lista todos, com o papel de cada um.

Quando você compra com o cupom de um Embaixador, enviamos alguns dados ao The Rep Partners, o nosso programa de Embaixadores. Ele é da mesma empresa que o The Rep. Enviamos o valor pago, a data e o plano. Se a compra foi na loja de produtos do The Rep (store.therep.com.br), enviamos o número do pedido. Com esses dados, ele calcula a comissão do Embaixador. Também enviamos o seu e-mail, para conferir que quem compra não é o próprio Embaixador. O Partners não guarda o seu e-mail. Ele guarda só um código feito a partir do e-mail, e com esse código ninguém descobre o e-mail. Quando a compra é pela App Store, o Partners não guarda nem esse código. Na compra pelo Google Play não há cupom, e nada vai ao Partners. O Embaixador não vê o seu nome nem o seu e-mail.

Também podemos compartilhar dados com autoridades quando a lei exigir. Isso acontece por ordem judicial ou por requisição de autoridade com amparo legal. Nesses casos, entregamos só o que foi pedido. As plataformas de anúncio só recebem dados seus se você aceitar Publicidade no site. O The Rep Partners só recebe se você comprar com o cupom de um Embaixador. Nenhum outro parceiro comercial recebe dados pessoais seus.

6. Transferência internacional

O banco de dados do app fica no Brasil (Supabase, São Paulo). Google, Apple e Vercel operam fora do Brasil. O Resend é uma empresa dos Estados Unidos. Ele envia os nossos e-mails a partir da região São Paulo. A Cloudflare também é uma empresa dos Estados Unidos, com servidores em muitos países. A Shopify, que hospeda a nossa loja, opera no Canadá e nos Estados Unidos. Se você comprar na loja, os dados do seu pedido vão para lá. Se você aceitar Publicidade no site, as plataformas de anúncio (Meta, Google e TikTok) também recebem seus dados. Elas operam fora do Brasil. Por isso, parte dos seus dados sai do país.

Quando seus dados saem do Brasil para um operador, seguimos o art. 33 da LGPD. Essa transferência conta com as salvaguardas que a lei admite, como cláusulas contratuais padrão e decisões de adequação. Cada operador recebe só o mínimo de que precisa. A Apple, o Google no login e no Google Play e as plataformas de anúncio não são operadores. Cada um responde por suas próprias políticas. Isso inclui onde seus dados ficam guardados. A Cloudflare também usa seus dados para melhorar seus próprios serviços. Neste uso, ela responde por suas próprias políticas. As plataformas de anúncio só recebem seus dados se você aceitar Publicidade. Os dados de uso e diagnóstico saem do Brasil sem seu e-mail e sem o id da sua conta.

7. Por quanto tempo guardamos

• Dados da conta e backup: enquanto a conta existir. Quando você exclui a conta, apagamos tudo o que está ligado ao seu id e ao seu e-mail, numa única operação.
• Cópia local anterior à migração: guardamos no seu aparelho uma cópia dos dados de antes de a conta ser obrigatória. Ela fica lá por 30 dias e depois se apaga sozinha. Ela nunca sai do aparelho.
• Códigos de login e tentativas de entrada: o código vale por 15 minutos e serve uma vez só. Apagamos os registros de tentativa em 30 dias.
• Dados de uso e diagnóstico no Firebase Analytics: 14 meses.
• O que as plataformas de anúncio recebem, se você aceitar Publicidade no site: o prazo da política de privacidade de cada uma (Meta, Google e TikTok).
• Registros técnicos de acesso: 6 meses, o prazo do Marco Civil da Internet. Se a segurança do serviço exigir, guardamos por mais tempo.
• Sinais técnicos da verificação de que você não é um robô: nós não guardamos nenhum. O prazo na Cloudflare segue a política de privacidade dela.
• Lista de lançamento do site: até você sair da lista.
• Lista de lançamento do TheRep Coach: até você sair da lista ou até o lançamento terminar.
• Documentos fiscais: pelo prazo legal.

8. Como protegemos

• Login sem senha. Não guardamos senha nenhuma. Você entra com um código de 6 dígitos enviado ao seu e-mail. O código vale por 15 minutos e serve uma vez só. Você também pode entrar com o Google. No iPhone, também com o Sign in with Apple.
• Tudo em trânsito é criptografado (HTTPS) entre o app, o site e os servidores.
• Só entregamos a você o que é seu. Cada conta lê e escreve só os próprios dados. Recusamos qualquer envio de backup que não seja da conta com a sessão aberta.
• Ações sensíveis pedem que você entre de novo. Para excluir a conta, você prova na hora que é você.
• Sair da conta apaga a foto de perfil do aparelho. Assim, a próxima pessoa que usar o aparelho não encontra o seu rosto no perfil. Excluir a conta limpa por completo o que ficou guardado no aparelho.
• Acesso mínimo dentro da empresa. Só acessa os dados quem precisa, e só para o que precisa.

Nenhum sistema é infalível. Se algo acontecer, a seção 14 diz o que fazemos.

9. Seus direitos e como exercê-los

O art. 18 da LGPD garante a você, a qualquer momento e sem custo:

• confirmar se tratamos dados seus e acessá-los;
• corrigir dados incompletos, inexatos ou desatualizados;
• pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários ou tratados em desconformidade com a lei;
• pedir a portabilidade dos seus dados;
• pedir a eliminação dos dados que tratamos com o seu consentimento;
• saber com quem compartilhamos os seus dados;
• saber que você pode recusar um consentimento e o que acontece se recusar (aqui, nada quebra; só o recurso ligado a ele não funciona);
• revogar um consentimento que você deu;
• se opor a um tratamento baseado em legítimo interesse;
• pedir a revisão de decisões tomadas só por tratamento automatizado (não tomamos nenhuma, mas o direito é seu);
• apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

Como pedir

Escreva para contato@therep.com.br do e-mail da sua conta, ou diga qual é ele. Antes de responder, podemos pedir que você confirme a sua identidade. Assim, seus dados não vão para outra pessoa. Respondemos em até 15 dias, o prazo que a LGPD dá para a resposta completa.

O que você faz sozinho, no app

• Corrigir nome, sobrenome, arroba, foto, peso, sexo, data de nascimento e redes: direto no perfil.
• Excluir a conta: em Ajustes, dentro do app. Pedimos que você entre de novo na hora. Então apagamos a conta e tudo o que está ligado a ela, pelo id e pelo e-mail, numa única operação. Não há prazo de espera nem etapa extra. O que sobrar no aparelho é apagado junto.
• Revogar o Apple Health, o Conexão Saúde e as notificações: a qualquer momento. As notificações você desliga dentro do app ou nos ajustes do celular. No iPhone, o Apple Health fica em “Ajustes > Apps > Saúde > Acesso a Dados > The Rep”. No Android, o Conexão Saúde fica em “Permissões do app > The Rep”.
• Remover a foto de perfil: no perfil. Remover apaga o arquivo do servidor. A foto não fica só escondida.
• Se opor aos dados de uso e diagnóstico: o identificador de instalação fica só no seu aparelho. Ele some quando você apaga o app. Por isso, apagar o app é a oposição, e ela vale na hora. A próxima instalação começa anônima. Não existe um botão dentro do app para desligar essa medição. Preferimos dizer isso a fingir o contrário. Você também pode registrar a oposição por contato@therep.com.br. Os dados de uso não carregam seu e-mail nem o id da sua conta. Por isso, não temos como achar os seus eventos para apagá-los um a um. O que fazemos é confirmar o pedido e orientar a reinstalação.

O que você faz sozinho, no site

Mudar o que você aceitou no aviso de cookies: pelo link "Preferências de privacidade", no rodapé do site, a qualquer momento. Se você tirar o sim em Estatística ou em Publicidade, a medição e o envio às plataformas de anúncio param dali em diante. Na hora, apagamos os cookies que o Google Analytics e as plataformas gravaram em therep.com.br. O que cada plataforma guarda no próprio site, como no Facebook, segue a política dela.

Sair de uma lista de lançamento

Vale para a lista de lançamento do site e para a lista do TheRep Coach. Todo e-mail que mandamos por elas traz o link de descadastro. Você também pode pedir para sair por contato@therep.com.br, do e-mail que você cadastrou. Tiramos o seu endereço da lista e confirmamos quando estiver feito.

Portabilidade

Não há botão de exportar dados no app, de propósito. O seu histórico de treino é uma série que vale por ser real. Um arquivo editável a um toque abriria a porta para dado inventado. A portabilidade continua sendo um direito seu, e cumprimos esse direito pelo suporte. Você pede por contato@therep.com.br, identificado. Nós geramos o arquivo com os seus dados e registramos a entrega.

10. O que outras pessoas veem e o conteúdo que você publica

Dentro do app, outras pessoas veem o nome e a arroba que você escolheu, a sua foto de perfil e as arrobas de redes sociais que você preencher. Elas também veem a sua sequência de treinos, a meta semanal, o XP, a patente, o plano que você tem e há quanto tempo você está no The Rep. Do seu treino, elas veem quantos exercícios você já treinou, os dias em que você treinou no mês atual e até cinco recordes de carga, com o nome do exercício, o peso em kg e as repetições. Esses dados aparecem no seu perfil, em rankings e em listas de participantes.

A foto de perfil fica num repositório público. Quem tem o link da imagem a vê, mesmo sem entrar numa conta. Trocar a foto gera um link novo. Remover a foto no app apaga o arquivo do servidor. A foto de capa não vai para o servidor. Ela fica só no seu aparelho.

Quando você cria um exercício próprio, mandamos o nome dele ao Firebase Analytics, como conteúdo seu. Assim, sabemos o que falta na lista. A descrição de execução que você escreve nunca é enviada. Evite colocar no nome de um exercício, no seu nome de perfil ou na arroba dados que você não quer ver fora do app.

11. Cookies e armazenamento no navegador

• No app não usamos cookies.
• No site therep.com.br, com ou sem o seu sim, guardamos duas coisas no seu navegador, em armazenamento local. Uma é a sua preferência de tema (claro ou escuro). A outra é o registro da escolha que você fez no aviso de privacidade, categoria por categoria, com a data e a versão do texto que você viu. Nenhuma das duas sai do seu navegador.
• A verificação de que você não é um robô acontece com ou sem o seu sim. Ela fica nos formulários que mandam e-mail: o do código de login e os das listas de lançamento. Quase sempre, você nem percebe. Quem verifica é a Cloudflare. Ela é uma empresa dos Estados Unidos que trabalha com segurança na internet. Ela recebe seu endereço IP e dados técnicos do seu navegador e da conexão. Seu e-mail e o que você digita no site nunca vão para ela. A lista completa está na seção 5.
• Estatística, só se você aceitar. Com o seu sim, usamos o Google Analytics, da Google LLC, pelo Google Tag Manager. Ele mede as visitas, as páginas que você abre, os formulários que você começa e envia e as compras que você começa e conclui, com o valor pago. Pelo link do anúncio, ele também registra de qual anúncio ou campanha você veio. O Google Analytics grava os próprios cookies no seu navegador. O seu e-mail e o que você digita no site nunca vão para ele.
• Publicidade, só se você aceitar. Anunciamos no Facebook e no Instagram (Meta), no Google e no TikTok. Com o seu sim, essas plataformas gravam os próprios cookies no seu navegador. Elas também recebem a informação de que você chegou por um anúncio delas e o que você fez no site, como uma compra. Com isso, medimos e ajustamos as nossas campanhas. As plataformas também podem usar essa informação para mostrar anúncios do The Rep a você depois, em outros sites e apps. Isso se chama remarketing. O seu e-mail e o que você digita no site nunca vão para elas. Cada uma responde pela própria política de privacidade. Todas operam fora do Brasil.
• Quando você entra na conta, recebe dois cookies do servidor. O JavaScript da página não consegue ler nenhum deles. Um é o de sessão. Ele dura 7 dias e cai quando você sai da conta. O outro é temporário e dura 15 minutos. Ele guarda o seu e-mail e o pedido enquanto você não digita o código de 6 dígitos. Os dois existem só para entrar e comprar. Nenhum serve para rastrear. Se você nunca entra na conta, não recebe nenhum.

Na sua primeira visita ao site, perguntamos o que você aceita. Você pode aceitar tudo, ficar só com o necessário ou marcar só as categorias que quiser. Recusar é tão simples quanto aceitar. Você muda a escolha quando quiser, pelo link "Preferências de privacidade" no rodapé do site.

12. Notificações e integrações que você liga

Apple Health, no iPhone

Se você vincular o Apple Health, pedimos autorização para ler treinos e rotas de exercício, batimentos (inclusive em repouso), energia ativa e basal, distâncias (a pé, correndo, de bicicleta e a nado), lances de escada, minutos de exercício, passos, sono, peso corporal, sexo biológico e data de nascimento. Também pedimos autorização para gravar os treinos concluídos, com a energia ativa deles. Na tela do iOS, você escolhe tipo a tipo o que autoriza. Os treinos, os cardios e o peso que entram passam a fazer parte do seu histórico e do backup, como qualquer outro registro. Sexo e data de nascimento só adiantam o preenchimento do seu perfil. Você confirma os dois. Os demais sinais são lidos no aparelho e não saem dele. Eles servem para os gráficos e para ajustar o momento de uma pergunta durante o treino. A autorização é sua. Você pode revogá-la em Ajustes do iPhone, em Saúde.

Conexão Saúde (Health Connect), no Android

Se você vincular o Conexão Saúde, pedimos autorização para ler treinos, batimentos (inclusive em repouso) e passos. Também pedimos autorização para gravar os treinos concluídos. Pedimos ainda autorização para ler com o app em segundo plano. Na tela do Android, você escolhe tipo a tipo o que autoriza. Os treinos e os cardios que entram passam a fazer parte do seu histórico e do backup, como qualquer outro registro. Os batimentos e os passos são lidos no aparelho e não saem dele. Eles servem para ajustar o momento de uma pergunta durante o treino. A autorização é sua. Você pode revogá-la no Conexão Saúde, em “Permissões do app > The Rep”. Até o Android 13, o Conexão Saúde é um app à parte, que você instala pelo Google Play.

Strava

A conexão com o Strava ainda não está disponível. Quando estiver, ela será opcional e só vai existir se você conectar. Antes de ligar a conexão, vamos descrever nesta política o que sai e o que entra. Hoje, existe só o campo de arroba do Strava no seu perfil.

Notificações

As notificações são montadas e agendadas no seu aparelho, a partir do que você registrou. Nada sai do aparelho por causa delas. Essas notificações só chegam se você autorizar no seu celular. No Android, o pedido de autorização aparece a partir do Android 13. Você desliga todas, ou só algumas, nos ajustes do celular, a qualquer momento. Nenhuma notificação carrega dado sensível.

13. Crianças e adolescentes

O serviço é destinado a pessoas civilmente capazes. Menores de idade só devem usar o serviço com a assistência dos responsáveis. Os responsáveis respondem pela conta e pelos dados informados. Se soubermos que uma criança criou uma conta sem essa assistência, apagaremos os dados dela.

14. Incidentes de segurança

Se ocorrer um incidente de segurança que possa causar risco ou dano relevante a você, vamos conter o problema e avaliar o alcance. Também vamos comunicar a ANPD e as pessoas afetadas, nos termos do art. 48 da LGPD. Na comunicação, dizemos o que aconteceu, quais dados foram atingidos e o que fizemos a respeito.

Se você notar algo estranho na sua conta, como uma entrada que não foi sua, escreva na hora para contato@therep.com.br.

15. Mudanças nesta política

Esta política muda quando mudamos o que coletamos, quando entra ou sai um operador ou quando a lei exige. Publicamos cada versão nova nesta página, com a data de atualização no topo. Se a mudança for relevante para você, avisamos antes de ela valer, pelo e-mail da conta ou dentro do app.

16. Encarregado e contato

A The Rep é agente de tratamento de pequeno porte, na definição da Resolução CD/ANPD nº 2/2022. Por isso, não indicamos um encarregado. Nós mesmos atendemos os assuntos de dados pessoais, por um canal público: contato@therep.com.br. Esse é o caminho entre você, a The Rep e a ANPD.

Para qualquer outro assunto, fale conosco pelo mesmo e-mail ou pelo WhatsApp +55 21 96875-9761.

17. Lei aplicável e foro

Esta política é regida pelas leis da República Federativa do Brasil. Para qualquer controvérsia, fica eleito o foro do seu domicílio, como garante o Código de Defesa do Consumidor.