Política de Privacidade

Data de vigência: 18 de outubro de 2026

Esta Política de Privacidade explica como o Ascend, plataforma de gestão para academias da Venuz, trata dados pessoais. Levamos a privacidade a sério e seguimos a Lei Geral de Proteção de Dados (LGPD).

A. Quem somos e alcance

O Ascend é oferecido pela Venuz. Esta política se aplica ao uso da plataforma pela academia e às pessoas cujos dados são tratados nela: a equipe da academia e os alunos.

B. Controladora e operadora

Cada academia é a controladora dos dados dos seus alunos, ou seja, decide por que e como esses dados são usados. A Venuz atua como operadora, tratando os dados em nome da academia para fazer a plataforma funcionar. Quanto aos dados da própria equipe da academia (as contas de acesso), a Venuz é a controladora.

C. Dados que tratamos

• Equipe: nome, e-mail, papel e senha. A senha é guardada apenas como hash (cifra de mão única, com argon2), nunca em texto legível.
• Alunos: nome, CPF (opcional), e-mail, telefone, foto, medidas de avaliação física, matrículas, cobranças e registros de entrada.
• Biometria facial (opcional): um descritor matemático do rosto, explicado na seção F.
• Uso da plataforma: registros de acesso e de ações (auditoria), para segurança e suporte.

D. Como coletamos

• inseridos pela academia e pelos seus usuários no uso da plataforma;
• gerados pelo uso, como registros de entrada e logs de auditoria;
• no caso da biometria, capturados no dispositivo da portaria, com consentimento, conforme a seção F.

E. Finalidades e bases legais

Tratamos os dados para cadastrar alunos, controlar matrículas e mensalidades, registrar entradas, acompanhar avaliações e treinos, gerar relatórios e permitir o atendimento. As bases legais são:

• execução do contrato com a academia, para operar o serviço;
• cumprimento de obrigações legais;
• legítimo interesse, para a segurança da plataforma e a prevenção a fraudes;
• consentimento, no caso da biometria facial.

Não vendemos dados e não exibimos publicidade de terceiros.

F. Reconhecimento facial

• a câmera roda no próprio dispositivo da portaria; o vídeo nunca é enviado nem armazenado nos nossos servidores;
• o navegador transforma o rosto em um descritor matemático (uma sequência de números) e apenas esse descritor é guardado, junto da data do consentimento;
• o dado biométrico é sensível para a LGPD; por isso o cadastro do rosto exige consentimento específico e pode ser removido a qualquer momento, apagando o descritor e o consentimento;
• o uso do reconhecimento facial é sempre opcional: a entrada pode ser registrada manualmente na recepção;
• os vetores de reconhecimento facial, que são dado biométrico, ficam no banco de dados do servidor descrito na seção H e nas cópias de segurança cifradas descritas na seção J; as fotos ficam no armazenamento privado da Cloudflare (R2), como descrito na seção G.

G. Compartilhamento e operadores

• Hostinger: servidor virtual contratado, nos Estados Unidos, onde roda o nosso banco de dados (PostgreSQL), conforme as seções H e J;
• Cloudflare R2: armazenamento das fotos, em bucket privado, acessível apenas por links assinados de curta duração, e das cópias de segurança do banco de dados, cifradas antes de sair do servidor, em outro bucket privado, conforme a seção J;
• Resend: envio de e-mails transacionais, como recuperação de senha;
• autoridades públicas, quando houver obrigação legal ou ordem competente.

Resumo diário: a academia pode indicar donos e gerentes para receber, todo dia às 23:00, pelo WhatsApp do Ascend, um resumo das alterações e do caixa do dia em PDF, com nomes de alunos e valores. CPF e telefone de aluno não entram.

Treino do aluno: o treino montado pela equipe pode ser entregue pelo WhatsApp da própria academia, mesmo sem a autorização para mensagens automáticas; o envio fica registrado. A ficha pode conter observações de saúde e só é enviada ao próprio aluno. Quem pediu para não receber mensagens pelo WhatsApp recebe o treino em PDF, texto ou impresso.

H. Transferência internacional

O banco de dados do Ascend fica em um servidor virtual contratado da Hostinger, nos Estados Unidos (região de Boston), compartilhado com outros sistemas, onde o banco roda isolado em um contêiner próprio. Isso inclui os vetores de reconhecimento facial, descritos na seção F. Por isso, os dados tratados na plataforma são transferidos para fora do Brasil. Essa transferência internacional segue o que a LGPD exige para esse tipo de operação (art. 33).

Alguns outros operadores, como o envio de e-mail (Resend) e o armazenamento de arquivos e de cópias de segurança (Cloudflare), também podem tratar dados fora do Brasil. Nesses casos, adotamos salvaguardas adequadas conforme a LGPD.

I. Cookies

Usamos apenas cookies essenciais, necessários para manter a sessão de quem está logado. Não usamos cookies de publicidade nem de rastreamento de terceiros.

Notificações no celular: se você ativar as notificações do Ascend no seu celular, guardamos o endereço de entrega que o seu navegador gera para este aparelho e as chaves públicas dele, vinculados à sua conta e à sessão em que você ativou. Usamos isso apenas para enviar os avisos do caixa e o resumo do dia que o seu cargo já pode ver. O conteúdo de cada notificação viaja cifrado pelos serviços de notificação do Google ou da Apple, que não o leem. Apagamos esses dados quando você desativa as notificações, quando sai do Ascend, quando o serviço de notificação informa que o aparelho não existe mais e quando a sessão está encerrada há mais de 7 dias.

J. Segurança da informação

Entre as medidas que adotamos estão: isolamento por academia no banco (cada academia só enxerga os próprios dados), sessão por cookie seguro com renovação controlada, controle de acesso por papel, limitação de tentativas de acesso, senhas guardadas apenas como hash e fotos em armazenamento privado. Nenhum sistema é totalmente infalível, mas trabalhamos continuamente para reduzir riscos.

Sobre o banco de dados e as cópias de segurança:

• o banco fica em um servidor virtual compartilhado com outros sistemas, isolado em um contêiner próprio, e só aceita conexões vindas de dentro do próprio servidor, sem porta aberta para a internet;
• as conexões externas ao sistema usam HTTPS;
• o disco do servidor não tem cifra em repouso: os dados do banco, inclusive os vetores de reconhecimento facial, não são cifrados no disco;
• fazemos cópias de segurança a cada hora; elas são cifradas antes de sair do servidor e uma cópia fica num armazenamento da Cloudflare (R2), por até 12 meses. Os vetores de reconhecimento facial também estão nessas cópias, sempre cifradas.

K. Retenção

Guardamos os dados enquanto a academia usa a plataforma e pelo tempo necessário para cumprir obrigações legais. Encerrada a relação, os dados podem ser disponibilizados e depois excluídos, salvo o que a lei exigir manter. Um dado excluído do banco permanece nas cópias de segurança cifradas até elas expirarem, em até 12 meses, e depois disso deixa de existir também nelas.

L. Direitos do titular e como exercer

A LGPD garante ao titular, entre outros, os direitos de confirmação e acesso aos dados, correção, anonimização, exclusão, portabilidade, informação sobre com quem os dados são compartilhados e revogação do consentimento.

Os alunos devem procurar primeiro a sua academia, que é a controladora; a Venuz apoia a academia a atender esses pedidos. Também é possível falar diretamente com o nosso encarregado pelo contato da seção O.

M. Crianças e adolescentes

Quando o aluno for menor de idade, a academia é responsável por obter o consentimento dos pais ou responsáveis e por tratar os dados no melhor interesse do menor, conforme a legislação aplicável.

N. Alterações desta política

Podemos atualizar esta política para refletir mudanças na plataforma ou na legislação. Avisaremos sobre mudanças relevantes pelos canais cadastrados, e a data de vigência no topo indica a versão vigente.

O. Encarregado e contato

Para exercer direitos ou tirar dúvidas sobre privacidade, fale com o encarregado de dados pelo e-mail contato.venuz@gmail.com.