Política de privacidade da academia
Como o E-Fit Core trata os dados da conta, dos representantes e da equipe da academia.
Versão 1.7 — 20 de novembro de 2026
Esta política descreve como a MAGSI TECH CONSULTORIA EM TECNOLOGIA DA INFORMACAO LTDA, CNPJ 66.328.989/0001-75 ("Magsi Tech", "E-Fit Core"), trata os dados pessoais de pessoas que solicitam uma proposta, representam uma academia na contratação ou integram a equipe da academia no uso da plataforma, nos termos da Lei Geral de Proteção de Dados Pessoais (LGPD — Lei nº 13.709/2018). Os dados dos alunos da academia são tratados sob a Política de privacidade do aluno, da qual a academia é controladora.
1. Papel LGPD
Os dados de prospect, representante legal/procurador, conta da academia e membros da equipe (titular/proprietário, gerente, recepção, financeiro e, quando habilitado, profissional/professor) são tratados pelo E-Fit Core como controlador: é a Magsi Tech quem define as finalidades e os controles necessários à proposta comercial, contratação autenticada, segurança da informação, prevenção à fraude, faturamento, trilha de auditoria e prestação do serviço.
Quanto aos dados pessoais dos alunos cadastrados na plataforma, a Academia é a controladora e a Magsi Tech atua como operadora (salvo nas hipóteses de controladoria própria da conta do aplicativo ou controladoria conjunta no ranking, detalhadas no Anexo I dos Termos de Uso e na Política de privacidade do aluno).
2. Dados que tratamos
Na solicitação e no pré-contrato (prospect e representante legal): CNPJ e razão social informados, nome, e-mail e telefone de contato, e-mail de acesso, senha armazenada apenas sob hash criptográfico irreversível, registros de convite, login, endereço IP e sessão, e versão da proposta exibida. No momento do aceite contratual, tratamos também o CPF do representante legal ou procurador, sua qualidade de representação e a declaração de poderes. O CPF é dado pessoal armazenado cifrado em repouso, com registro de integridade, e não é exibido ao time comercial em texto aberto nem utilizado para decisões automatizadas de crédito ou consulta automática de QSA.
Na conta e equipe (titular, gerente, recepção, financeiro e professor/staff): nome, e-mail, papel atribuído na academia, escopo de visualização configurado, credenciais de autenticação, tokens de sessão/notificação e trilha de auditoria (registro de quem executou cada operação, data, hora e recurso afetado — incluindo habilitação de escopo e consultas ou edições em fichas de treino e prontidão no App E-Fit).
Endereço e contato de atendimento da unidade: a academia informa o endereço comercial do local onde atende os alunos (CEP, logradouro, número, complemento, bairro, cidade e UF) e, opcionalmente, um telefone comercial de contato da unidade. Esses dois dados são coletados com a finalidade específica de exibir aos alunos vinculados à academia, no App E-Fit, o local de atendimento (incluindo validação de raio de check-in, quando aplicável) e o canal de contato da unidade. Antes da publicação e a qualquer momento no painel, a academia visualiza e pode atualizar ou remover o telefone de contato. Recomendação ao empresário individual / MEI: caso o endereço ou telefone da empresa coincida com sua residência ou linha pessoal e você não deseje sua exibição aos alunos no aplicativo, utilize exclusivamente dados comerciais de atendimento ao público. O telefone é armazenado cifrado em repouso no banco de dados.
Ao habilitar o profissional para acesso móvel a dados de aluno, a Academia continua responsável por definir a finalidade e a base legal do tratamento perante os alunos, manter o escopo de acesso necessário e proporcional, revogar acessos imediatamente no fim do vínculo e orientar a equipe sobre confidencialidade e segurança do aparelho.
3. Matriz de finalidades, titulares e bases legais (arts. 7º e 10 da LGPD)
Como os membros da equipe (gerentes, recepcionistas, financeiro e professores) utilizam a plataforma em razão do seu vínculo com a Academia — não sendo partes assinantes do contrato comercial B2B firmado entre a Academia e a Magsi Tech —, apresentamos abaixo a correspondência exata entre cada categoria de dado, titular, finalidade e base legal:
| Categoria de dados | Titular dos dados | Finalidade específica do tratamento | Base legal (LGPD) |
|---|---|---|---|
| Nome, e-mail, telefone comercial, CNPJ vinculado, registros de convite e sessão pré-contratual | Solicitante (prospect) e Representante da Academia | Receber solicitação comercial, emitir proposta, criar e proteger acesso pré-contratual e enviar comunicações operacionais da contratação | Procedimentos preliminares e execução de contrato (art. 7º, V) e Legítimo interesse para segurança do fluxo (art. 7º, IX e art. 10) |
| Nome completo, CPF cifrado, qualidade de representação, declaração de poderes, IP e timestamp de aceite | Representante legal ou procurador signatário | Formalizar o aceite dos Termos de Uso, comprovar autoria e validade jurídica da contratação B2B e prevenir fraude de identidade | Execução de contrato (art. 7º, V), Exercício regular de direitos em processo (art. 7º, VI) e Prevenção à fraude / segurança (art. 7º, IX) |
| Dados de faturamento, notas fiscais, histórico de cobranças e liquidação da assinatura | Representante / Titular da Academia (inclusive MEI/EI) | Processar cobrança da assinatura SaaS, emitir documentos fiscais e manter escrituração contábil e tributária | Execução de contrato (art. 7º, V) e Cumprimento de obrigação legal ou regulatória (art. 7º, II) |
| Nome, e-mail, papel de acesso, credenciais e tokens de sessão/push | Membros da equipe (titular, gerente, recepção, financeiro e professor/staff) | Provisionar conta individual, autenticar acesso ao painel e ao App E-Fit, aplicar controle de acesso por papel (RBAC) e enviar e-mails transacionais (convite, redefinição de senha) | Legítimo interesse da Magsi Tech e da Academia para controle de acesso e operação segura do serviço (art. 7º, IX e art. 10) e Execução de contrato quanto ao titular (art. 7º, V) |
Trilha de auditoria (audit_logs: autor, papel, data/hora, ação realizada, alterações de escopo e acessos a fichas) |
Membros da equipe e representantes | Garantir rastreabilidade de operações sobre dados de alunos, segurança da informação, investigação de incidentes e prestação de contas à Academia controladora | Obrigação legal de segurança e registros de acesso (art. 7º, II, c/c art. 46 da LGPD e art. 15 do Marco Civil da Internet) e Exercício regular de direitos (art. 7º, VI) |
| Endereço comercial da unidade e telefone de contato opcional | Academia (ou representante, no caso de empresário individual) | Exibir aos alunos vinculados no App E-Fit a localização de atendimento da academia e o canal de atendimento ao aluno | Execução de contrato (art. 7º, V) e Legítimo interesse para viabilizar o atendimento presencial do aluno (art. 7º, IX) |
- Comunicações e marketing: enviamos e-mails estritamente transacionais e operacionais (confirmação de solicitação, convite de equipe, recuperação de senha, alertas de segurança e cobrança). Não enviamos comunicações de marketing sem consentimento prévio ou outra base legal aplicável, garantindo sempre o descadastramento imediato (opt-out).
- Necessidade na contratação: o fornecimento de CNPJ, e-mail de acesso, CPF do representante, qualidade de representação e declaração de poderes é requisito indispensável para a contratação autenticada; sem esses dados não é possível concluir o aceite, vedado seu uso para qualquer finalidade incompatível.
4. Direitos dos titulares (art. 18 da LGPD)
Representantes legais, solicitantes e membros da equipe (incluindo o profissional habilitado no App E-Fit) podem exercer gratuitamente, a qualquer momento, seus direitos previstos no art. 18 da LGPD — confirmação da existência de tratamento, acesso, correção de dados incompletos ou desatualizados, anonimização, bloqueio ou eliminação de dados desnecessários, informação sobre compartilhamento e oposição a tratamentos fundados em legítimo interesse:
- No próprio produto: titulares e membros da equipe autenticados podem
gerenciar seus dados de perfil e solicitar a exclusão de sua conta pessoal
diretamente em Minha Conta no Portal (
/conta) ou no App E-Fit, mediante confirmação de senha, com geração imediata de protocolo (requestId); - Por canal oficial: enviando solicitação gratuita ao Encarregado (DPO) em contato@magsitech.com.br. Declarações completas de confirmação e acesso são respondidas em até 15 (quinze) dias (art. 19, II, da LGPD).
5. Proteção dos dados e segurança da informação
Adotamos medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas (art. 46 da LGPD):
- Criptografia: dados pessoais e informações confidenciais de identificação e contato (como CPF do representante e telefones) são criptografados em repouso; todo o tráfego ocorre sob criptografia em trânsito (TLS);
- Controle de acesso e revogação imediata: o acesso interno é restrito pelo princípio do menor privilégio e auditado. Quando a Academia desativa um membro da equipe ou revoga seu papel, todas as sessões e tokens daquele usuário são invalidados imediatamente no servidor;
- Monitoramento seguro: a ferramenta de monitoramento técnico de erros é configurada com filtragem (scrubbing) para não coletar dados pessoais.
(Nota terminológica: reservamos a expressão "dados pessoais sensíveis" exclusivamente às categorias do art. 5º, II, da LGPD — como dados de saúde e biometria de alunos descritos na Política de Privacidade do Aluno —, tratando documentos e contatos de representantes e equipe como dados pessoais protegidos por confidencialidade e cifragem).
6. Compartilhamento: suboperadores e controladores independentes
Não vendemos nem comercializamos dados pessoais. Para a execução dos serviços, compartilhamos apenas os dados estritamente necessários com provedores de infraestrutura (suboperadores) e com instituições de pagamento reguladas (controladores independentes):
| Parceiro / Provedor | Papel LGPD | Função na plataforma | Localização e Transferência Internacional |
|---|---|---|---|
| Railway Corp. | Operador / Suboperador de infraestrutura | Hospedagem da API e do banco de dados gerenciado | Estados Unidos — transferência amparada em cláusulas-padrão e medidas técnicas de criptografia em trânsito e em repouso (art. 33 da LGPD e Res. CD/ANPD nº 19/2024) |
| Vercel Inc. | Operador / Suboperador de infraestrutura | Hospedagem e entrega do painel web (frontend) | Estados Unidos / Rede global — transferência amparada em cláusulas-padrão e tráfego TLS (Res. CD/ANPD nº 19/2024) |
| Cloudflare, Inc. (R2) | Operador / Suboperador de infraestrutura | Armazenamento criptografado de objetos e documentos | Estados Unidos / Rede global — cláusulas-padrão e criptografia em repouso (Res. CD/ANPD nº 19/2024) |
| Resend, Inc. | Operador / Suboperador de mensageria | Envio de e-mails estritamente transacionais (convites, códigos, recuperação de acesso e alertas) | Estados Unidos — cláusulas-padrão e transmissão segura TLS (Res. CD/ANPD nº 19/2024) |
| Functional Software, Inc. (Sentry) | Operador / Suboperador de telemetria | Monitoramento de erros técnicos de aplicação (configurado sem coleta de dados pessoais) | Estados Unidos — cláusulas-padrão e minimização de dados (Res. CD/ANPD nº 19/2024) |
| Asaas Gestão Financeira IP S.A. (CNPJ 19.540.550/0001-21) | Controlador independente regulado (Instituição de Pagamento — BCB) | Provedor BaaS exclusivo da plataforma: abertura e manutenção da subconta de pagamento da academia, emissão de cobranças de mensalidades de alunos e liquidação com split (Res. Conjunta BCB/CMN nº 16/2025) | Brasil |
| Pagar.me Instituição de Pagamento S.A. | Controlador independente regulado (Instituição de Pagamento — BCB) | Exclusivamente o processamento da cobrança da assinatura do E-Fit Core paga pela academia à Magsi Tech (B2B), em conta da Magsi Tech. Não presta serviço de BaaS e não processa cobranças de alunos | Brasil |
| Conector fiscal homologado / Prefeituras Municipais | Suboperador de transmissão fiscal / Órgãos Fazendários Municipais | Automação de transmissão e sincronização de Nota Fiscal de Serviços Eletrônica (NFS-e) quando habilitado pela unidade no plano Black | Brasil |
Railway, Cloudflare R2, Resend e Sentry são compartilhados na arquitetura da plataforma e, por isso, constam também na Política de privacidade do aluno e na Política de privacidade geral.
7. Retenção e descarte verificável
Adotamos prazos objetivos de retenção e rotinas automatizadas de expurgo, distinguindo dados operacionais de registros de comprovação legal (arts. 15 e 16 da LGPD):
| Categoria de dados | Prazo de retenção | Critério e fundamento legal |
|---|---|---|
| Solicitação de proposta e pré-contrato não convertidos (dados operacionais de convite, sessão temporária e contato sem contratação) | Eliminados ou anonimizados após a expiração da proposta sem conversão (ou imediatamente mediante pedido de oposição do solicitante) | Término da finalidade preliminar (art. 15, I, da LGPD) |
| Conta ativa de representantes e membros da equipe (nome, e-mail, papel, credenciais) | Mantidos enquanto o vínculo com a Academia estiver ativo; sessões e tokens são revogados imediatamente na desativação ou exclusão da conta pessoal | Execução contratual e controle de acesso (art. 7º, V e IX, da LGPD) |
| Registros técnicos de acesso à aplicação (IP, data e hora de login) | Mínimo de 6 (seis) meses e até 1 (um) ano para segurança e investigação de incidentes | Art. 15 do Marco Civil da Internet (Lei nº 12.965/2014) |
Evidências de contratação aceita, declarações de poderes, faturamento, notas fiscais e trilha de auditoria (audit_logs) |
Até 5 (cinco) anos após o encerramento contratual ou do exercício fiscal correspondente | Cumprimento de obrigação legal/tributária e exercício regular de direitos em processo (art. 16, I, da LGPD; art. 173 do CTN; art. 206, §5º, I, do Código Civil) |
Os registros mantidos para obrigação legal ou defesa em processos ficam isolados do uso operacional ativo e, ao término do respectivo prazo legal, são definitivamente eliminados ou anonimizados. Nos backups criptografados de segurança, a supressão definitiva completa-se conforme o ciclo automático de sobrescrita.
8. Encarregado pelo Tratamento de Dados Pessoais (DPO) e contato
- Encarregado (DPO): Jonathan Magliano
- Canal oficial de atendimento a titulares e autoridades: contato@magsitech.com.br
Esta política pode ser atualizada; a data da versão vigente aparece no topo e mudanças relevantes são comunicadas no painel. Alterações que envolvam nova finalidade de tratamento observarão a base legal correspondente.
Atualizado em 2026-11-20.