Política de Privacidade
Última atualização: 2 de outubro de 2026
Esta Política de Privacidade explica como a MatPilot Limited coleta, usa, compartilha e protege dados pessoais quando você usa o aplicativo móvel, os sites e os serviços relacionados do MatPilot (em conjunto, o "Serviço"). Ela vale onde quer que você esteja.
O MatPilot é usado por academias na Europa, no Reino Unido, na Suíça, na América do Norte e no Brasil. Em vez de dar a quem está em um país menos direitos do que a quem está em outro, aplicamos um único padrão a todo mundo: o do Regulamento Geral sobre a Proteção de Dados da UE (Regulamento (UE) 2016/679, "RGPD", em inglês "GDPR"). Como empresa irlandesa, estamos diretamente sujeitos ao RGPD, ao Data Protection Act 2018 (Irlanda) e às ePrivacy Regulations 2011 (S.I. 336/2011). A lei do seu próprio país pode lhe dar direitos adicionais, e a cláusula 10 diz quais são e a quem você pode reclamar.
1. Funções de controlador e processador · 2. Dados que coletamos · 3. Como e por que usamos (bases legais) · 4. Crianças · 5. E-mail e mensagens · 6. Com quem compartilhamos (subprocessadores) · 7. Transferências internacionais · 8. Retenção · 9. Seus direitos · 10. Seus direitos onde você mora · 11. Decisões automatizadas e IA · 12. Segurança · 13. Cookies · 14. Termos de tratamento de dados do Operador · 15. Reclamações · 16. Alterações
1. Funções de controlador e processador
O MatPilot é usado por academias de artes marciais, ginásios e treinadores ("Operadores") para administrar seu negócio, e por seus alunos e clientes ("Membros"). Quem é responsável por quais dados depende dos dados:
- O MatPilot é o controlador de: dados de conta e de equipe do Operador, dados de cobrança e assinatura, análises de uso do site e do app que coletamos, logs de segurança e nossas próprias comunicações com você.
- O Operador é o controlador, e o MatPilot é o processador, dos dados de Membros que um Operador insere ou envia (perfis de membros, presenças, graduações, documentos, fotos, dados de responsáveis etc.). Nós os tratamos apenas conforme as instruções documentadas do Operador, como estabelecido na cláusula 14.
Se você é um Membro e quer exercer seus direitos sobre dados mantidos pela sua academia, entre em contato com a sua academia (o controlador) e nós a ajudaremos a responder.
2. Dados que coletamos
- Identidade e contato: nome, endereço de e-mail, telefone e (para Membros, quando a academia registra) data de nascimento e endereço. A autenticação é feita via Amazon Cognito.
- Dados de academia e matrícula: perfis de academia, planos, aulas, reservas, presenças/check-ins, registros de faixa e graduação, anotações, documentos e termos de responsabilidade que um Operador cria ou envia.
- Fotos: fotos de perfil e fotos de turma ao final da aula enviadas por Operadores ou Membros. Fotos de pessoas identificáveis são dados pessoais; para menores, o consentimento de uso de imagem é registrado por membro.
- Dados do responsável legal para membros que são menores de idade, quando a academia os registra.
- Dados de proteção da equipe (instrutores/gestores): situação da verificação de antecedentes (Garda vetting na Irlanda, DBS check no Reino Unido) e de primeiros socorros, registrada pelo Operador como sinalizadores informativos.
- Dados de pagamento: a cobrança é processada pela Stripe. Nós não armazenamos números completos de cartão; armazenamos referências (por exemplo, IDs de cliente/assinatura, valores, status) necessárias para gerenciar as matrículas e a nossa própria assinatura.
- Comunicações: mensagens/caixa de entrada no app, preferências de notificação e e-mails de suporte.
- Dados de dispositivo, uso e registro: dados técnicos (versão do dispositivo/app, endereço IP, carimbos de data e hora, diagnósticos de falhas) necessários para operar, proteger e depurar o Serviço. O relatório de falhas usa o Sentry.
- Localização: não rastreamos sua localização. Se uma academia ativar o check-in opcional com cerca virtual (geofencing), a localização aproximada do seu dispositivo é usada apenas no momento em que você faz o check-in, para confirmar que você está no local.
Não coletamos intencionalmente dados de categorias especiais (Artigo 9 do RGPD). Se um Operador optar por registrar dados de saúde ou similares sobre um Membro, o Operador é o controlador e é responsável pela base legal para fazê-lo.
3. Como e por que usamos os dados, e nossas bases legais
| Finalidade | Base legal (RGPD Art. 6) |
|---|---|
| Fornecer e operar o Serviço (contas, aulas, cobrança, graduações, mensagens) e prestar suporte | Execução de um contrato (Art. 6(1)(b)); para dados de Membros, a base do Operador conforme as suas instruções |
| Processar pagamentos de assinatura e taxas da plataforma | Contrato (Art. 6(1)(b)) |
| Enviar notificações transacionais relacionadas à conta | Contrato (Art. 6(1)(b)) / interesses legítimos (Art. 6(1)(f)) |
| Proteger o Serviço, prevenir abusos e fraudes, depurá-lo e melhorá-lo | Interesses legítimos (Art. 6(1)(f)) |
| Manter registros financeiros, fiscais e de auditoria | Obrigação legal (Art. 6(1)(c)) |
| Recursos opcionais que pedem a sua permissão (por exemplo, check-in com cerca virtual, qualquer marketing opcional) | Consentimento (Art. 6(1)(a)), que você pode retirar a qualquer momento |
Quando nos baseamos em interesses legítimos, nós os ponderamos em relação aos seus direitos e só prosseguimos quando eles não são sobrepostos. Você pode se opor (veja a cláusula 9).
4. Crianças
É preciso ter no mínimo 16 anos para criar a própria conta no MatPilot, em qualquer lugar do mundo. Aplicamos um único mínimo, em vez de um por país, e 16 anos está no limite ou acima dele em todos os mercados onde operamos: a UE fixa a idade digital de consentimento entre 13 e 16 anos (a da Irlanda é 16, pela seção 31 do Data Protection Act 2018 (Irlanda)), a do Reino Unido é 13, e a lei federal dos EUA protege crianças menores de 13. Quando a lei do lugar onde você mora exigir uma idade maior que 16, vale a dela. As academias frequentemente gerenciam membros que são menores de idade; nesse caso, a academia (como controladora) deve obter e manter o consentimento verificável dos pais ou responsáveis, inclusive para o uso da fotografia de um menor. O Serviço oferece controles de consentimento de imagem por membro e avisa a equipe antes de publicar uma foto de aula que inclua menores sem consentimento registrado. Não permitimos conscientemente que uma criança menor de 16 anos crie uma conta para si mesma.
5. E-mail e mensagens
O MatPilot envia apenas e-mails transacionais, relacionados à conta (por exemplo: um
pagamento recebido ou recusado, um teste sendo convertido, um novo membro entrando, uma
graduação pronta). Eles são acionados por atividade na conta e incluem um cabeçalho
List-Unsubscribe. Nós não enviamos e-mail de marketing por esse canal e não
enviamos e-mail para listas compradas ou coletadas. As notificações do dono podem ser
desativadas por categoria dentro do app. O e-mail é entregue via Resend; suprimimos endereços
que retornam hard bounce ou que registram reclamação. Quaisquer mensagens que um Operador
envie aos membros devem cumprir a lei de marketing eletrônico do país onde estão os
Membros dele (as regras de ePrivacy no EEE e no Reino Unido, a CAN-SPAM e as leis
estaduais nos EUA, a CASL no Canadá, o Marco Civil e a LGPD no Brasil) e devem
respeitar os pedidos de descadastramento.
Se você receber, pela caixa de entrada do app, uma mensagem que seja nociva, ofensiva ou ilegal, você pode denunciá-la diretamente dentro do app. Analisamos as denúncias prontamente.
6. Com quem compartilhamos dados (subprocessadores)
Não vendemos dados pessoais. Nós os compartilhamos apenas com os prestadores de serviço que nos ajudam a operar o Serviço:
| Fornecedor | Finalidade | Localização |
|---|---|---|
| Amazon Web Services (AWS) | Hospedagem, banco de dados, autenticação (Cognito), armazenamento de arquivos | UE (Stockholm, eu-north-1) |
| Amazon Bedrock / Anthropic | Assistente de IA e co-piloto (processa contexto limitado do membro: nomes, plano e status de pagamento) | EUA (us-east-1) |
| Stripe | Processamento de pagamentos e assinaturas (controlador independente dos dados de pagamento) | UE / EUA |
| Resend | Entrega de e-mail transacional | UE (Irlanda) / EUA |
| Expo | Notificações push e serviços de falhas/atualizações | EUA |
| Twilio | SMS / WhatsApp, apenas se uma academia habilitar | EUA |
| Apple e Google | Distribuição do aplicativo e login federado opcional | EUA / UE |
Cada um deles está vinculado por um acordo de tratamento de dados. Também podemos divulgar dados quando exigido por lei, para estabelecer ou defender reivindicações legais, ou para proteger os direitos e a segurança dos usuários.
7. Transferências internacionais
Nossa infraestrutura principal fica na UE. Alguns fornecedores tratam dados nos Estados Unidos, em especial os recursos de IA (Amazon Bedrock / Anthropic), as notificações push (Expo) e partes da Stripe e da Twilio. Quando dados pessoais são transferidos para fora da região onde foram coletados, nós nos baseamos em garantias adequadas: o Capítulo V do RGPD no EEE, principalmente as Cláusulas Contratuais Padrão da Comissão Europeia (2021/914) em conjunto com as medidas suplementares dos fornecedores e o EU-US Data Privacy Framework (Quadro de Privacidade de Dados UE-EUA) quando o fornecedor é certificado; o UK Addendum e o IDTA para o Reino Unido; o adendo suíço às Cláusulas para a Suíça; e as condições de transferência internacional da LGPD (artigos 33 a 36) para o Brasil. Onde quer que você esteja, a garantia é o mesmo conjunto de contratos e a mesma infraestrutura. Minimizamos o que é enviado (para os recursos de IA, apenas o contexto limitado indicado acima). Você pode nos pedir mais informações sobre essas garantias.
8. Por quanto tempo mantemos os dados
| Dados | Retenção |
|---|---|
| Dados de conta e de academia/membro | Enquanto a conta estiver ativa; excluídos mediante solicitação verificada, sujeito às exceções abaixo |
| Registros financeiros, de faturas e fiscais | Mantidos pelo tempo que a legislação fiscal e societária à qual estamos sujeitos exigir (a lei irlandesa, geralmente até 6 anos). Os Operadores têm as próprias obrigações de retenção no país deles, que podem ser mais longas |
| Logs de auditoria de alterações | Até 1 ano |
| Backups | Rotativos, depois sobrescritos |
Quando apagamos dados, nós os removemos ou os anonimizamos de forma irreversível, exceto quando devemos manter registros limitados (por exemplo, IDs de transação para fins fiscais) por força de lei.
9. Seus direitos
Onde quer que você more, e qualquer que seja a lei que cubra você, damos a você o direito de:
- acessar seus dados pessoais e obter uma cópia;
- retificar dados imprecisos e completar dados incompletos;
- apagar seus dados ("direito ao esquecimento");
- limitar o tratamento ou se opor a ele, inclusive ao tratamento baseado em interesses legítimos;
- portabilidade de dados: receber seus dados em formato estruturado e legível por máquina;
- retirar o consentimento a qualquer momento, quando nos baseamos em consentimento;
- não ser submetido a uma decisão baseada unicamente em tratamento automatizado que produza efeitos jurídicos ou efeitos similarmente significativos (veja a cláusula 11).
Exerça qualquer um desses direitos dentro do app (você pode atualizar seus dados, gerenciar notificações e abrir uma solicitação de exportação ou exclusão a partir da sua conta), na nossa página Dados e direitos de privacidade (entre na sua conta para solicitar uma cópia dos seus dados, ou excluir parte ou todos eles), ou enviando um e-mail para admin@matpilot.io. Respondemos em até um mês (prorrogável por dois meses para solicitações complexas, mediante aviso), gratuitamente em casos normais. Para dados mantidos por uma academia sobre seus Membros, encaminhamos a solicitação a essa academia, na condição de controladora, e a auxiliamos.
10. Seus direitos onde você mora
A cláusula 9 é o que damos a todo mundo. A lei do seu país pode acrescentar coisas a ela, ou indicar um órgão a quem você pode reclamar. Isto é onde o MatPilot opera e o que se aplica:
| Onde você está | A lei que também se aplica | A quem você pode reclamar |
|---|---|---|
| EEE (UE, Islândia, Liechtenstein, Noruega) | O RGPD e a lei nacional de proteção de dados do seu país | A sua autoridade supervisora nacional, ou a nossa autoridade principal (cláusula 15) |
| Reino Unido | O UK GDPR e o Data Protection Act 2018 (Reino Unido) | Information Commissioner's Office, ico.org.uk |
| Suíça | A Lei Federal de Proteção de Dados (revFADP) | Federal Data Protection and Information Commissioner, edoeb.admin.ch |
| Brasil | A LGPD (Lei nº 13.709/2018). Seus direitos incluem confirmação do tratamento, acesso, correção, anonimização ou eliminação, portabilidade e informação sobre com quem compartilhamos | ANPD, gov.br/anpd |
| Canadá | A PIPEDA e as leis provinciais de privacidade | Office of the Privacy Commissioner of Canada, priv.gc.ca |
| México | A Lei Federal de Proteção de Dados Pessoais em Posse de Particulares, incluindo os seus direitos ARCO (acesso, retificação, cancelamento, oposição) | A autoridade federal de proteção de dados do México |
| Estados Unidos | A lei de privacidade do seu estado, quando houver uma (por exemplo a CCPA, alterada pela CPRA, na Califórnia): o direito de saber, excluir, corrigir e de recusar a venda ou o compartilhamento | O procurador-geral do seu estado |
Duas coisas que dizemos com todas as letras para os EUA, porque a lei estadual pede. Não vendemos dados pessoais e não os compartilhamos para publicidade comportamental entre contextos, então não há nada de que você precise se descadastrar. E nunca daremos a você um preço pior, nem um serviço pior, por exercer qualquer direito desta página.
Você exerce todos eles do mesmo jeito, esteja em qual linha estiver: dentro do app, na página Dados e direitos de privacidade ou por e-mail para admin@matpilot.io. Se a lei do seu país lhe der um direito que esta política não menciona, você continua tendo esse direito, e basta nos pedir.
11. Tomada de decisão automatizada e IA
Nós não tomamos decisões que produzam efeitos jurídicos ou efeitos similarmente significativos sobre um indivíduo por meios unicamente automatizados. O assistente de IA e o co-piloto resumem dados e sugerem ou redigem ações, mas qualquer coisa que afete um Membro (como enviar uma mensagem) exige que uma pessoa da academia confirme. O processamento de IA usa a Amazon Bedrock / Anthropic nos EUA, com as garantias da cláusula 7, e é limitado ao contexto necessário para responder.
A IA pode exibir alertas informativos sobre questões de conformidade, como alíquotas de IVA aplicáveis ou responsabilidades do Operador, para ajudar os Operadores a administrar seu negócio. Esses alertas são apenas informativos e não constituem aconselhamento jurídico, fiscal ou profissional.
12. Segurança
Usamos medidas técnicas e organizacionais adequadas: criptografia em trânsito (TLS), criptografia em repouso, controles de acesso baseados em função com escopo definido, infraestrutura gerenciada hospedada na UE, registro de auditoria e permissões de serviço com o menor privilégio. Nenhum sistema é perfeitamente seguro, mas trabalhamos para proteger seus dados e notificaremos você, a nossa autoridade supervisora principal e qualquer outro órgão regulador com direito a ser informado sobre uma violação de dados pessoais, dentro do prazo que a lei que cobre você determinar.
13. Cookies
Nosso site de marketing usa o Google Analytics para saber quais páginas ajudam você. No EEE, no Reino Unido e na Suíça nada é armazenado até você aceitar: na sua primeira visita um aviso pergunta, e nenhum cookie de análise é gravado sem que você diga sim. Nos demais lugares a análise já começa ligada, e recusar nesse mesmo aviso a desliga. De um jeito ou de outro guardamos a sua escolha para não perguntar de novo, e para mudá-la basta apagar os dados deste site no seu navegador, que o aviso volta. Não usamos cookies de publicidade nem de rastreamento entre sites em lugar nenhum. O aplicativo móvel usa o armazenamento seguro do aparelho (não cookies de navegador) para manter você conectado, o que é estritamente necessário para o aplicativo funcionar.
14. Termos de tratamento de dados para Operadores (Artigo 28)
Quando o MatPilot trata dados pessoais de Membros em nome de um Operador, os termos a seguir se aplicam e fazem parte do nosso contrato. O MatPilot irá:
- tratar dados de Membros apenas conforme as instruções documentadas do Operador (incluindo estes Termos e o uso do Serviço), salvo se exigido por lei;
- garantir que as pessoas autorizadas a tratar os dados estejam sujeitas a obrigação de confidencialidade;
- aplicar medidas de segurança adequadas (cláusula 12);
- contratar apenas os subprocessadores listados na cláusula 6 (ou notificados ao Operador), sob termos escritos com obrigações equivalentes, permanecendo responsável por eles;
- auxiliar o Operador, levando em conta a natureza do tratamento, com solicitações de titulares de dados e com as obrigações de segurança, de notificação de violação e de avaliação de impacto;
- notificar o Operador sem demora indevida ao tomar conhecimento de uma violação de dados pessoais;
- a critério do Operador, excluir ou devolver os dados de Membros ao final do serviço, exceto os registros que devemos manter por força de lei;
- disponibilizar as informações necessárias para demonstrar conformidade e permitir auditorias razoáveis.
Objeto: prestação do Serviço. Duração: o prazo da conta. Natureza/finalidade: gestão de academia. Tipos de dados/titulares: conforme a cláusula 2, referentes aos Membros e à equipe do Operador.
15. Reclamações
Gostaríamos de ter a chance de resolver qualquer preocupação primeiro. Entre em contato pelo admin@matpilot.io. Você também tem o direito de reclamar a um órgão regulador, e pode sempre escolher o do lugar onde você mora, em vez do lugar onde nós estamos.
Como o MatPilot está estabelecido na Irlanda, a nossa autoridade supervisora principal no balcão único do RGPD é:
Data Protection Commission (DPC)
21 Fitzwilliam Square South, Dublin 2, D02 RD28, Ireland
www.dataprotection.ie
Se você estiver em outro país do EEE, pode reclamar à sua própria autoridade supervisora nacional, e ela tratará conosco através da DPC. Se você estiver fora do EEE, a cláusula 10 indica o órgão regulador do seu país.
16. Alterações nesta política
Podemos atualizar esta política de tempos em tempos. Atualizaremos a data acima e, para alterações materiais, daremos aviso prévio razoável (por e-mail ou dentro do app) antes que elas entrem em vigor.
Contato
MatPilot Limited (Empresa nº 819708, República da Irlanda): admin@matpilot.io. Veja também os nossos Termos e Condições.