Política de Privacidade

Dos dados de quem assina — a academia e as pessoas da equipe dela — a InFight é a controladora: nós decidimos o que coletar e para quê.

Dos dados dos alunos, a controladora é a academia. A InFight é operadora: guarda e processa esses dados a mando dela, para o sistema funcionar, e não para finalidade própria nossa. Na prática: quem decide cadastrar um aluno, tirar a foto dele ou apagá-lo da base é a academia, e é a ela que o aluno pede contas em primeiro lugar. A gente atende a academia, e atende também o aluno que nos procurar direto, encaminhando quando for o caso.

Coletamos o que o cadastro pede: nome da academia, CPF ou CNPJ, nome, e-mail e WhatsApp do responsável, e os dados de cobrança. Usamos para criar a conta, cobrar a assinatura, mandar os avisos de pagamento e falar com você sobre o serviço. Se a academia escolher receber dos alunos por Pix na própria conta, guardamos a chave Pix dela (que pode ser um CPF) cifrada, só para montar o código que o aluno paga, e a apagamos quando a academia remove essa opção. A base legal é a execução do contrato, e o cumprimento das obrigações fiscais que vêm junto.

Também registramos cada entrada no sistema — data, hora, endereço IP e navegador — e os erros do servidor, para segurança e para investigar problema relatado. É o nosso legítimo interesse em manter o serviço de pé, e não vira perfil de ninguém. Os registros de entrada ficam guardados por 6 meses, como manda o Marco Civil da Internet, e depois são apagados.

Nunca mandamos publicidade de terceiros, e não vendemos base de contatos. Isso não é negociável.

O sistema guarda o que a academia cadastra: nome, contato, data de nascimento, endereço, CPF, dados do responsável quando o aluno é menor, plano, pagamentos, presenças, graduação e a foto — do aluno maior de idade, ou do aluno menor cujo responsável autorizou o reconhecimento facial (cláusula 4). Foto de menor não entra antes dessa autorização. Não guardamos dado de saúde de aluno nenhum.

A finalidade é a gestão da academia — matricular, cobrar, registrar presença e acompanhar a evolução do aluno. A base legal, na relação entre aluno e academia, costuma ser a execução do contrato de matrícula. Para a foto usada em reconhecimento facial, não: dado biométrico é dado sensível, e exige consentimento específico e destacado do titular — e, pelo menor de idade, de um dos pais ou do responsável legal.

Quem decide é o titular — ou, pelo menor de idade, o responsável. O aluno maior de 18 anos autoriza por si. O aluno menor de idade só entra se a academia dele ligou essa opção, depois de assinar por que precisa disso para os alunos menores, e se o responsável legal autorizou numa pergunta própria, separada da confirmação de matrícula, num link enviado ao WhatsApp dele. A criança recebe uma explicação na linguagem dela, lida com o responsável; o aluno de 12 anos ou mais lê a explicação no próprio acesso e responde também — se ele disser não, o reconhecimento não liga, mesmo com o sim do responsável. A recepção da academia não tem como marcar essa autorização na ficha: só a resposta do responsável no link liga.

Funciona assim: o professor envia a foto do treino pelo WhatsApp, e o sistema procura nela os rostos já cadastrados para lançar a presença de cada aluno. Para isso, a foto do aluno é convertida uma vez num conjunto de medidas do rosto, guardado no serviço Amazon Rekognition. Esse conjunto não permite reconstruir a fotografia, e serve só para comparar com as fotos de treino da mesma academia — nunca com as de outra.

Nada disso é ligado sem aceite. Quem é cadastrado recebe no próprio WhatsApp um link para ler e decidir — o responsável, quando o aluno é menor —, e o reconhecimento facial tem um aceite separado do resto: dá para ser aluno do sistema e recusar a foto — nesse caso a presença é lançada na mão, e nenhuma medida de rosto é gerada. O sistema sugere quem está na foto; quem confirma a presença é sempre o professor.

O aceite pode ser retirado a qualquer momento, pela academia ou pelo nosso e-mail — e, pelo menor, por qualquer um dos responsáveis, ou pelo próprio aluno de 12 anos ou mais, no portal. Retirado, as medidas do rosto são apagadas (e, do menor, a foto também) e o aluno some do reconhecimento — sem que ele perca a matrícula, o histórico ou qualquer outra coisa. Quando o aluno menor completa 18 anos, as medidas do rosto dele são apagadas nesse dia, e ele decide de novo, por si, no portal. Se a academia desligar a opção de menores, as medidas e as fotos de todos os menores dela são apagadas.

Medimos, por faixa de idade, quantas vezes o professor mantém ou tira quem o sistema sugeriu na foto — só contagens, sem foto e sem nome — e a academia se compromete a desligar a faixa em que ele erra mais.

Cada aluno tem um rosto só na base: trocada a foto, as medidas antigas são apagadas e ficam só as da nova. Toda foto é gravada sem os dados escondidos que o celular põe nela (local, aparelho, data). Removida a foto, ou excluído o aluno, as medidas do rosto são apagadas junto.

Só com quem é necessário para o sistema funcionar, e cada um recebe apenas o pedaço de que precisa:

• Asaas — cobrança e pagamento (assinatura da academia e mensalidade dos alunos).
• XGate — cobrança por Pix, nas academias que escolhem esse meio.
• Pix na chave da própria academia — não envolve terceiro: o código Pix nasce no nosso servidor com a chave da academia e o valor, e o aluno paga no banco dele. Quando o aluno toca em “Já paguei”, guardamos só a data e avisamos a academia; quem confirma o pagamento é ela.
• Meta (WhatsApp e anúncios) — envio e recebimento das mensagens do bot; e, só para quem visita o site público, o pixel e os eventos de anúncio da cláusula 9.
• Amazon Web Services — o serviço Rekognition, onde ficam as medidas de rosto.
• Resend — envio dos e-mails do sistema.
• Railway — servidor da aplicação e armazenamento das fotos.
• Supabase — banco de dados.
• Vercel — hospedagem do site e contagem agregada de visitas.
• Sentry — registro de falhas técnicas do sistema, para corrigi-las. CPF, telefone e e-mail são mascarados antes do envio.
• Have I Been Pwned — ao criar ou trocar uma senha, conferimos se ela já apareceu em vazamentos conhecidos. Saem do sistema só os 5 primeiros caracteres de um resumo (hash) da senha; a senha em si, e quem é a pessoa, nunca.

Parte deles processa e guarda dados fora do Brasil — o banco de dados e as medidas do rosto, por exemplo, ficam nos Estados Unidos. Essa transferência acontece porque é necessária para prestar o serviço contratado, e cada fornecedor se obriga, nos próprios termos, a proteger os dados e a usá-los só para prestar o serviço. Fora essa lista, só compartilhamos por ordem judicial ou exigência de autoridade — e, quando a lei permitir avisar, avisamos a academia.

Os dados de cada academia ficam separados dos de qualquer outra: toda consulta que o sistema faz ao banco é filtrada pela academia de quem está conectado. Senhas são guardadas cifradas, e chaves de integração são guardadas criptografadas. O tráfego é todo em HTTPS.

Nenhum sistema é inviolável, e a gente não vai escrever aqui que o nosso é. Havendo incidente de segurança que possa trazer risco ou dano relevante, como diz o art. 48 da LGPD:

• com dados de alunos, avisamos a academia afetada em até 48 horas depois de sabermos dele, dizendo o que aconteceu, quais dados foram atingidos e o que já foi feito. Como controladora, é ela quem comunica a Agência Nacional de Proteção de Dados (ANPD) e os alunos, em até 3 dias úteis contados do nosso aviso (Resolução CD/ANPD 15/2024), e nós ajudamos no que for preciso;
• com dados de quem assina, quem comunica a ANPD e as pessoas afetadas somos nós.

Enquanto a conta existir, tudo fica: é o histórico da academia, e apagar por conta própria seria destruir o que ela veio guardar aqui.

Um aluno, a própria academia exclui, na ficha dele. Somem o cadastro, a foto, as medidas do rosto, as presenças, as graduações e o histórico de cobranças. O dinheiro já recebido continua no caixa da academia, sem o nome do aluno — o caixa tem que fechar. Do aluno menor, a foto e as medidas do rosto somem também quando o responsável retira a autorização ou a academia desliga a opção de menores, e as medidas somem quando ele completa 18 anos (cláusula 4). As contagens de acerto por faixa de idade somem em 12 meses.

Do aluno que saiu da academia, a partir de 6 de novembro de 2026: a foto e as medidas do rosto são apagadas 90 dias depois da data de saída. Passados 5 anos da saída — o prazo para cobrar ou se defender na Justiça — e sem cobrança em aberto, o cadastro vira “Ex-aluno”: nome, CPF, contatos, nascimento, endereço e responsável são apagados. Os pagamentos e as presenças ficam, sem identificar ninguém.

Depois do cancelamento, mantemos a base para que você possa voltar ou pedir a exportação, até que a exclusão seja pedida. A exportação sai em arquivos CSV; as fotos, a pedido por escrito.

A academia que entrou por teste grátis e não continuou tem a base guardada do mesmo jeito, mas por no máximo 90 dias depois do fim do teste (Termos de Uso, cláusula 3): passado esse prazo, ela pode ser excluída por inteiro, como abaixo.

A exclusão da academia inteira pode ser pedida a qualquer momento pelo nosso e-mail. Apagamos a base, as fotos e as medidas do rosto, e fica só o que a lei manda ou permite guardar:

• a prova do contrato — nome e CPF ou CNPJ da academia, nome e contato de quem a administra, data, versão, endereço IP e navegador do aceite dos Termos de Uso, e os números da assinatura no meio de pagamento — por 5 anos, o prazo para cobrar ou se defender na Justiça, e depois é apagada;
• os registros de entrada no sistema, pelos 6 meses do Marco Civil da Internet;
• os registros de pagamento e as notas fiscais, com o meio de pagamento e a contabilidade, pelo prazo da lei fiscal;
• as cópias de segurança do banco e das fotos, que não são restauradas para outro fim e se apagam sozinhas no ciclo de cada fornecedor.

A LGPD garante a qualquer pessoa o direito de saber se tratamos dados dela, de acessar, corrigir, pedir cópia, pedir a exclusão, retirar consentimento e saber com quem compartilhamos.

Para exercer qualquer um deles, escreva para contato@infightgestao.com.br. É o canal do nosso encarregado pelo tratamento de dados pessoais, Marcello Pena Júnior, indicado pela PKR Assessoria Empresarial Ltda., que também atende em marcellopena@outlook.com. Respondemos em até 15 dias. Sendo aluno de uma academia, o pedido também pode ser feito direto a ela, que é quem decide sobre esses dados. Pelo aluno menor de idade, o pedido é de qualquer um dos responsáveis — e o próprio aluno de 12 anos ou mais pode desligar o reconhecimento facial no portal, sem pedir a ninguém.

O site tem um cookie só, e ele depende de você: o pixel da Meta, nas páginas públicas de apresentação e de cadastro. Ele só é carregado se você clicar em “Aceitar” no aviso que aparece embaixo da página; recusando, nada é carregado e nenhum cookie é gravado. Com o pixel ligado, a Meta registra que o seu navegador visitou o site, e o InFight pode mostrar anúncio seu para quem esteve aqui. Para mudar de ideia, use o link “Cookies” no rodapé da página inicial: recusar apaga os cookies do pixel na hora. Dentro do sistema, do portal do aluno e das telas com dado de aluno não existe pixel nem cookie de terceiro.

Ao entrar no sistema, o seu navegador guarda um item de sessão para manter você logado — sem ele não há como ficar conectado. Isso não é cookie nem rastreamento, e não depende do aviso.

Contamos as visitas ao site de forma agregada (quantas pessoas entraram, de qual página vieram, o que abriram), pelo serviço da Vercel. Essa contagem não usa cookie, não guarda endereço IP e não identifica quem é a pessoa: serve para sabermos o que funciona na página, e nada mais.

Se você preenche o formulário “quero saber mais” na página inicial, guardamos nome, WhatsApp e, se informado, e-mail — para entrar em contato comercial. Também informamos à Meta que houve um contato, e fazemos o mesmo quando uma academia conclui o cadastro e quando faz o primeiro pagamento: nesses três momentos enviamos e-mail, telefone e primeiro nome embaralhados (um resumo matemático que a Meta só consegue casar com uma conta que já tenha esse mesmo dado), além do endereço IP e do navegador. Serve para a Meta aprender quem se interessa pelo InFight e mostrar o anúncio para pessoas parecidas. Isso não depende de cookie; depende do dado que você mesmo decidiu deixar, e você pode pedir para não ser contatado pelos canais da cláusula 8.

Mudando, a data de vigência no alto muda junto, e avisamos as academias por e-mail quando a mudança alterar o que fazemos com os dados. As regras completas da assinatura estão nos Termos de Uso.