PRIVACY POLICY — ALTILUS FIT In accordance with the Brazilian General Data Protection Law — LGPD (Law No. 13.709/2018) Last updated: 07/02/2026 --- 1. CONTROLLER AND DATA PROTECTION OFFICER (DPO) Controller: ALTILUS TECNOLOGIA E SAÚDE LTDA — CNPJ (Brazilian company registry): 67.523.286/0001-60 — Address: R. Dona Vitorina Menk, 125, Cipava, Osasco/SP, CEP 06.075-380 DPO: Data Protection Officer — E-mail: privacidade@altilusfit.com — Response time: up to 15 business days. Privacy Channel: https://altilusfit.com/privacy --- 2. CATEGORIES OF DATA COLLECTED We collect only the data strictly necessary for the purposes described in this Policy, in accordance with the principle of necessity set out in art. 6, III of the LGPD. Registration and Identity (legal basis: performance of a contract — art. 7, V): full name, e-mail, phone number, date of birth, gender, profile photo and CPF (Brazilian taxpayer ID) when required by law. If you use social login (Google or Apple), we receive from those providers your name, e-mail and an account identifier, solely for authentication. Health and Physical — Sensitive Data (legal basis: explicit consent — art. 11, I, combined with performance of a contract): weight, height, BMI, skinfolds, circumferences, body fat percentage, training history, physical limitations, declared conditions, goals and progress photos. When you expressly authorize integration with Apple Health, Google Fit or Health Connect, we also access activity and health data from your device (for example: heart rate, steps and workout sessions), processed solely in accordance with your consent. Financial (legal basis: performance of a contract — art. 7, V): payment history, last 4 digits of the card, card brand and gateway used. Full card data is processed and stored exclusively by the PCI-DSS certified gateway (Stripe), never on our servers. Device, Usage and Security (legal basis: legitimate interest — art. 7, IX, and legal compliance): IP address, device type, operating system, app version, access logs, push notification token, error and diagnostic records and usage events with anonymized analytics. We use anti-bot verification (Cloudflare Turnstile) at login to protect against fraud and automated access. Communication (legal basis: performance of a contract and legitimate interest): content of messages sent via support tickets and e-mails addressed to the Company. Note: health data is classified as sensitive data by the LGPD (art. 5, II) and receives differentiated treatment, with restricted access and reinforced encryption. We do not collect your geographic location (GPS); we also automatically remove location metadata (EXIF) from the photos you upload. --- 3. PURPOSES OF PROCESSING Your data is processed exclusively for the following purposes: delivery of the contracted service, including the creation, personalization and monitoring of workouts, physical assessments and progress reports; AI-assisted generation of diet and workout suggestions, for which certain data (such as goals and physical data) is processed by an AI service (Google Gemini); connection between users, sharing the relevant data with the personal trainer, nutritionist or gym linked by the student themselves; payment processing, including billing, issuance of receipts and subscription management; communication, including transactional notifications and marketing communications provided there is consent; continuous improvement, through anonymized usage analysis to enhance features; legal compliance, to meet tax and fiscal obligations and orders from competent authorities; and fraud prevention, detecting and combating misuse of the Platform. We will not use your data for any purpose incompatible with the above without new consent or another applicable legal basis. --- 4. DATA SHARING We do not sell, rent or trade your personal data. Sharing occurs only in the following cases: With linked personal trainers, gyms and nutritionists: training, physical, communication and progress data of the student, to provide the contracted service, with access restricted to the period of the active relationship. With the payment gateway (Stripe): billing and identification data, under a PCI-DSS processing agreement. This partner does not access sensitive health data. With infrastructure and operations providers (Supabase and Fly.io): all data, in an encrypted environment, under Data Processing Agreements with data protection clauses, for hosting and operation of the Platform. With an artificial intelligence service (Google Gemini): the data strictly necessary to generate diet and workout suggestions, only when you use this feature. With notification, monitoring and communication tools (Firebase Cloud Messaging for push notifications, Sentry for error monitoring, Resend for transactional e-mails, and Cloudflare for anti-bot verification): technical or contact data strictly necessary, anonymized or pseudonymized whenever possible. With public and judicial authorities: data required by law or court order, based on art. 7, II of the LGPD. --- 5. DATA SECURITY We adopt technical and organizational measures consistent with the state of the art in information security, including encryption in transit (TLS 1.2+) and at rest (AES-256) for all data; role-based access control and row-level security (RLS) with the principle of least privilege; an optional biometric authentication and anti-bot verification at login; continuous security monitoring and audit logs; encrypted backups with controlled retention; and an Incident Response Plan with notification to the ANPD (Brazilian Data Protection Authority) and to data subjects in the event of a breach with relevant risk, within the legal deadline of 72 hours. 5.1. In the event of a security incident affecting your data, we will notify you at your registered e-mail within the deadline required by the LGPD and describe the measures taken. --- 6. DATA SUBJECT RIGHTS (ART. 18, LGPD) You have the following rights, which may be exercised free of charge upon request to our privacy channel: Confirmation and Access: to know whether we process your data and obtain a full copy of it. Correction: to update incomplete, inaccurate or outdated data. Anonymization, Blocking or Deletion: to request that unnecessary or excessive data be anonymized, blocked or deleted. Portability: to receive your data in a structured, interoperable format. Information on Sharing: to know with which entities your data has been shared. Withdrawal of Consent: to withdraw your consent at any time, without prejudice to prior processing. Objection: to object to processing based on legitimate interest, where applicable. Review of Automated Decisions: to request human review of decisions made solely by algorithms, including AI-generated suggestions. Complaint to the ANPD: to file a complaint with the National Data Protection Authority at gov.br/anpd. The response time is up to 15 (fifteen) business days. To exercise your rights, visit https://altilusfit.com/privacy or e-mail privacidade@altilusfit.com. --- 7. RETENTION, DELETION AND PORTABILITY 7.1. Your data is kept while the account is active and for the minimum period required by law after closure. Health and physical data (workouts and assessments) are retained for the account's active period plus 5 years, based on art. 7, II of the LGPD. Financial data and payment records are kept for 10 years after the transaction, in accordance with Law No. 9.613/1998 and the Civil Code. Access logs (IP and timestamp) are kept for 6 months, under art. 15 of the Brazilian Internet Civil Framework. Consent records are kept for the active period plus 5 years, based on art. 7, I of the LGPD. General registration data is retained for the account's active period plus 1 year, based on legitimate interest and fraud prevention. 7.2. Upon requesting account deletion, identifiable data will be anonymized or deleted within 30 (thirty) days, except for the legal retention periods above. 7.3. Data portability may be requested at any time; you will receive a structured file (JSON or CSV) with your data within 15 business days. --- 8. COOKIES, TRACKING AND PREFERENCES 8.1. We use tracking technologies for the following purposes: essential cookies, necessary for the operation of the Platform (authentication and security), which cannot be disabled; performance and analytics cookies, which collect usage data in an anonymized or pseudonymized manner for product improvement and which require consent; and communication and marketing cookies, used to personalize communications, which require consent and can be withdrawn at any time. 8.2. You can manage your cookie preferences in the Settings > Privacy menu within the app. 8.3. We use third-party services for error monitoring (Sentry) and push notifications (Firebase Cloud Messaging), configured to minimize data and operate with IP anonymization whenever applicable. --- 9. INTERNATIONAL DATA TRANSFER 9.1. Some of our infrastructure and service providers, such as cloud providers, the payment gateway and AI tools, may be located outside Brazil. 9.2. We ensure that every international data transfer occurs under adequate safeguards, including: (i) standard contractual clauses approved by the ANPD; (ii) transfer to countries with a recognized adequate level of protection; or (iii) the data subject's specific consent. 9.3. Our main overseas providers and their respective protection frameworks: Supabase and Fly.io (infrastructure — DPA), Stripe (PCI-DSS/SCCs), Google — Firebase and Gemini (Google Cloud DPA), Sentry (DPA), Cloudflare (DPA) and Resend (DPA). --- 10. PROTECTION OF CHILDREN AND ADOLESCENTS 10.1. The Platform is not intended for those under 18 years of age. We do not intentionally collect data from children without the verifiable consent of their legal guardians, as required by art. 14 of the LGPD. 10.2. If we identify that we have collected data from a minor without proper consent, we will proceed with immediate deletion. Guardians who identify this situation should contact us at privacidade@altilusfit.com. --- 11. CONSENT FOR HEALTH DATA 11.1. The processing of health and physical data, including data obtained through integration with Apple Health, Google Fit or Health Connect, is carried out based on the specific and highlighted consent of the data subject (art. 11, I, LGPD). This consent is collected at registration or when the integration is activated, through a dedicated screen with clear language. 11.2. Consent is recorded with a timestamp, the version of the accepted document and the User's unique identifier. 11.3. You may withdraw your consent for the processing of health data at any time. In that case, the integration with wearables and certain Platform features that depend on this data will become unavailable, and the associated health data is deleted. --- 12. POLICY UPDATES 12.1. This Policy may be updated periodically to reflect legal, technological or service changes. The current version will always be available in the app and on the website. 12.2. Substantial changes will be communicated 15 (fifteen) days in advance via push notification and e-mail. Your continued use after this period implies acceptance of the new version. 12.3. We keep an archive of previous versions of this Policy available upon request to our privacy channel. --- Acceptance of these Terms and this Policy is recorded electronically with date, time and session identifier, constituting sufficient proof of consent under art. 107 of the Brazilian Civil Code and the Internet Civil Framework.

POLÍTICA DE PRIVACIDADE — ALTILUS FIT Conforme a Lei Geral de Proteção de Dados Pessoais — LGPD (Lei nº 13.709/2018) Última atualização: 02/07/2026 --- 1. CONTROLADOR E ENCARREGADO (DPO) Controlador: ALTILUS TECNOLOGIA E SAÚDE LTDA — CNPJ: 67.523.286/0001-60 — Endereço: R. Dona Vitorina Menk, 125, Cipava, Osasco/SP, CEP 06.075-380 DPO / Encarregado: Encarregado de Dados — E-mail: privacidade@altilusfit.com — Prazo de resposta: até 15 dias úteis. Canal de Privacidade: https://altilusfit.com/privacy --- 2. CATEGORIAS DE DADOS COLETADOS Coletamos apenas os dados estritamente necessários para as finalidades descritas nesta Política, conforme o princípio da necessidade previsto no art. 6º, III, da LGPD. Cadastro e Identidade (base legal: execução de contrato — art. 7º, V): nome completo, e-mail, telefone, data de nascimento, gênero, foto de perfil e CPF quando exigido por lei. Caso você utilize login social (Google ou Apple), recebemos desses provedores seu nome, e-mail e um identificador de conta, exclusivamente para autenticação. Saúde e Físico — Dados Sensíveis (base legal: consentimento explícito — art. 11, I, combinado com execução de contrato): peso, altura, IMC, dobras cutâneas, circunferências, percentual de gordura, histórico de treinos, limitações físicas, patologias declaradas, objetivos e fotos de evolução. Quando você autoriza expressamente a integração com o Apple Saúde, o Google Fit ou o Health Connect, também acessamos dados de atividade e saúde do seu dispositivo (por exemplo: frequência cardíaca, passos e sessões de treino), tratados exclusivamente conforme o seu consentimento. Financeiro (base legal: execução de contrato — art. 7º, V): histórico de pagamentos, últimos 4 dígitos do cartão, bandeira e gateway utilizado. Os dados completos do cartão são processados e armazenados exclusivamente pelo gateway certificado PCI-DSS (Stripe), nunca em nossos servidores. Dispositivo, Uso e Segurança (base legal: legítimo interesse — art. 7º, IX, e cumprimento legal): endereço IP, tipo de dispositivo, sistema operacional, versão do aplicativo, logs de acesso, token de notificação (push), registros de erro e diagnóstico e eventos de uso com analytics anonimizado. Utilizamos verificação anti-bot (Cloudflare Turnstile) no login para proteção contra fraudes e acessos automatizados. Comunicação (base legal: execução de contrato e legítimo interesse): conteúdo de mensagens enviadas via tickets de suporte e e-mails direcionados à Empresa. Observação: dados de saúde são classificados como dados sensíveis pela LGPD (art. 5º, II) e recebem tratamento diferenciado, com acesso restrito e criptografia reforçada. Não coletamos a sua localização geográfica (GPS); inclusive, removemos automaticamente metadados de localização (EXIF) das fotos que você envia. --- 3. FINALIDADES DO TRATAMENTO Seus dados são tratados exclusivamente para as seguintes finalidades: execução do serviço contratado, com criação, personalização e acompanhamento de treinos, avaliações físicas e relatórios de evolução; geração assistida por inteligência artificial de sugestões de dieta e treino, para a qual determinados dados (como objetivos e dados físicos) são processados por serviço de IA (Google Gemini); conexão entre usuários, com compartilhamento dos dados pertinentes com o personal trainer, nutricionista ou academia vinculados pelo próprio aluno; processamento de pagamentos, incluindo cobrança, emissão de recibos e gestão de assinaturas; comunicação, com envio de notificações transacionais e comunicações de marketing desde que haja consentimento; melhoria contínua, por meio de análise anonimizada de uso para aprimoramento de funcionalidades; cumprimento legal, para atendimento a obrigações fiscais, tributárias e ordens de autoridades competentes; e prevenção a fraudes, com detecção e combate a usos indevidos da Plataforma. Não utilizaremos seus dados para nenhuma finalidade incompatível com as acima sem novo consentimento ou outra base legal aplicável. --- 4. COMPARTILHAMENTO DE DADOS Não vendemos, alugamos ou comercializamos seus dados pessoais. O compartilhamento ocorre apenas nas seguintes hipóteses: Com personal trainers, academias e nutricionistas vinculados: dados de treino, físicos, comunicações e evolução do aluno, para prestação do serviço contratado, com acesso restrito ao período de vínculo ativo. Com gateway de pagamento (Stripe): dados de cobrança e identificação, mediante contrato de processamento PCI-DSS. Esse parceiro não acessa dados sensíveis de saúde. Com provedores de infraestrutura e operação (Supabase e Fly.io): todos os dados, em ambiente criptografado, mediante Data Processing Agreements com cláusulas de proteção de dados, para hospedagem e funcionamento da Plataforma. Com serviço de inteligência artificial (Google Gemini): dados estritamente necessários para gerar sugestões de dieta e treino, apenas quando você utiliza esse recurso. Com ferramentas de notificação, monitoramento e comunicação (Firebase Cloud Messaging para notificações push, Sentry para monitoramento de erros, Resend para e-mails transacionais e Cloudflare para verificação anti-bot): dados técnicos ou de contato estritamente necessários, de forma anonimizada ou pseudonimizada sempre que possível. Com autoridades públicas e judiciárias: dados exigidos por lei ou ordem judicial, com base no art. 7º, II, da LGPD. --- 5. SEGURANÇA DOS DADOS Adotamos medidas técnicas e organizacionais compatíveis com o estado da arte em segurança da informação, incluindo criptografia em trânsito (TLS 1.2+) e em repouso (AES-256) para todos os dados; controle de acesso baseado em papéis e segurança em nível de linha (RLS) com princípio do menor privilégio; opção de autenticação biométrica e verificação anti-bot no login; monitoramento contínuo de segurança e logs de auditoria; backups criptografados com retenção controlada; e Plano de Resposta a Incidentes com notificação à ANPD e aos titulares em caso de violação com risco relevante, no prazo legal de 72 horas. 5.1. Em caso de incidente de segurança que afete seus dados, notificaremos você por e-mail cadastrado dentro do prazo exigido pela LGPD e descreveremos as medidas tomadas. --- 6. DIREITOS DO TITULAR (ART. 18, LGPD) Você possui os seguintes direitos, exercíveis gratuitamente mediante solicitação ao nosso canal de privacidade: Confirmação e Acesso: saber se tratamos seus dados e obter cópia completa deles. Correção: atualizar dados incompletos, inexatos ou desatualizados. Anonimização, Bloqueio ou Eliminação: solicitar que dados desnecessários ou excessivos sejam anonimizados, bloqueados ou excluídos. Portabilidade: receber seus dados em formato estruturado e interoperável. Informação sobre Compartilhamento: saber com quais entidades seus dados foram compartilhados. Revogação do Consentimento: retirar seu consentimento a qualquer momento, sem prejuízo do tratamento anterior. Oposição: opor-se a tratamentos realizados com base em legítimo interesse, quando aplicável. Revisão de Decisões Automatizadas: solicitar revisão humana de decisões tomadas exclusivamente por algoritmos, inclusive sugestões geradas por IA. Reclamação à ANPD: apresentar queixa à Autoridade Nacional de Proteção de Dados em gov.br/anpd. O prazo de resposta é de até 15 (quinze) dias úteis. Para exercer seus direitos, acesse https://altilusfit.com/privacy ou envie e-mail para privacidade@altilusfit.com. --- 7. RETENÇÃO, EXCLUSÃO E PORTABILIDADE 7.1. Seus dados são mantidos enquanto a conta estiver ativa e pelo período mínimo exigido por lei após o encerramento. Dados de saúde e físicos (treinos e avaliações) são retidos pelo período de vigência da conta acrescido de 5 anos, com base no art. 7º, II, da LGPD. Dados financeiros e registros de pagamento são mantidos por 10 anos após a transação, conforme a Lei nº 9.613/1998 e o Código Civil. Logs de acesso (IP e horário) são mantidos por 6 meses, nos termos do art. 15 do Marco Civil da Internet. Registros de consentimento são mantidos pelo período de vigência acrescido de 5 anos, com base no art. 7º, I, da LGPD. Dados de cadastro gerais são retidos pelo período de vigência da conta acrescido de 1 ano, por legítimo interesse e prevenção a fraudes. 7.2. Ao solicitar a exclusão da conta, os dados identificáveis serão anonimizados ou excluídos no prazo de 30 (trinta) dias, ressalvados os prazos legais de guarda acima. 7.3. A portabilidade dos dados poderá ser solicitada a qualquer momento; você receberá um arquivo estruturado (JSON ou CSV) com seus dados no prazo de 15 dias úteis. --- 8. COOKIES, RASTREAMENTO E PREFERÊNCIAS 8.1. Utilizamos tecnologias de rastreamento para os seguintes propósitos: cookies essenciais, necessários para o funcionamento da Plataforma (autenticação e segurança), que não podem ser desativados; cookies de performance e analytics, que coletam dados de uso de forma anonimizada ou pseudonimizada para melhoria do produto e que requerem consentimento; e cookies de comunicação e marketing, utilizados para personalizar comunicações, que requerem consentimento e podem ser revogados a qualquer momento. 8.2. Você pode gerenciar suas preferências de cookies no menu Configurações > Privacidade dentro do aplicativo. 8.3. Utilizamos serviços de terceiros para monitoramento de erros (Sentry) e notificações push (Firebase Cloud Messaging), configurados para minimizar dados e operar com anonimização de IP sempre que aplicável. --- 9. TRANSFERÊNCIA INTERNACIONAL DE DADOS 9.1. Alguns de nossos fornecedores de infraestrutura e serviços, como provedores de nuvem, gateway de pagamento e ferramentas de IA, podem estar localizados fora do Brasil. 9.2. Garantimos que toda transferência internacional de dados ocorre mediante salvaguardas adequadas, incluindo: (i) cláusulas contratuais padrão aprovadas pela ANPD; (ii) transferência para países com nível de proteção adequado reconhecido; ou (iii) consentimento específico do titular. 9.3. Nossos principais fornecedores com sede no exterior e respectivos frameworks de proteção: Supabase e Fly.io (infraestrutura — DPA), Stripe (PCI-DSS/SCCs), Google — Firebase e Gemini (Google Cloud DPA), Sentry (DPA), Cloudflare (DPA) e Resend (DPA). --- 10. PROTEÇÃO DE CRIANÇAS E ADOLESCENTES 10.1. A Plataforma não é destinada a menores de 18 anos. Não coletamos intencionalmente dados de crianças sem o consentimento verificável de seus responsáveis legais, conforme exige o art. 14 da LGPD. 10.2. Se identificarmos que coletamos dados de menor sem o devido consentimento, procederemos à exclusão imediata. Responsáveis que identifiquem esta situação devem nos contatar em privacidade@altilusfit.com. --- 11. CONSENTIMENTO PARA DADOS DE SAÚDE 11.1. O tratamento de dados de saúde e físicos, inclusive os obtidos por integração com Apple Saúde, Google Fit ou Health Connect, é realizado com base no consentimento específico e destacado do titular (art. 11, I, LGPD). Este consentimento é coletado no momento do cadastro ou da ativação da integração, por meio de tela dedicada com linguagem clara. 11.2. O consentimento é registrado com carimbo de data/hora, versão do documento aceito e identificador único do Usuário. 11.3. Você pode revogar o consentimento para tratamento de dados de saúde a qualquer tempo. Nesse caso, a integração com wearables e determinadas funcionalidades da Plataforma que dependem desses dados ficarão indisponíveis, e os dados de saúde associados são excluídos. --- 12. ATUALIZAÇÃO DA POLÍTICA 12.1. Esta Política pode ser atualizada periodicamente para refletir mudanças legais, tecnológicas ou nos nossos serviços. A versão vigente estará sempre disponível no aplicativo e no site. 12.2. Alterações substanciais serão comunicadas com 15 (quinze) dias de antecedência por notificação push e e-mail. Seu uso continuado após esse prazo implica aceite da nova versão. 12.3. Mantemos um arquivo de versões anteriores desta Política disponível mediante solicitação ao nosso canal de privacidade. --- O aceite destes Termos e desta Política é registrado eletronicamente com data, hora e identificador de sessão, constituindo prova suficiente do consentimento nos termos do art. 107 do Código Civil e do Marco Civil da Internet.

POLÍTICA DE PRIVACIDAD — ALTILUS FIT Conforme a la Ley General de Protección de Datos Personales de Brasil — LGPD (Ley n.º 13.709/2018) Última actualización: 02/07/2026 --- 1. RESPONSABLE Y ENCARGADO (DPO) Responsable: ALTILUS TECNOLOGIA E SAÚDE LTDA — CNPJ (registro de empresas de Brasil): 67.523.286/0001-60 — Dirección: R. Dona Vitorina Menk, 125, Cipava, Osasco/SP, CEP 06.075-380 DPO / Encargado: Encargado de Datos — Correo: privacidade@altilusfit.com — Plazo de respuesta: hasta 15 días hábiles. Canal de Privacidad: https://altilusfit.com/privacy --- 2. CATEGORÍAS DE DATOS RECOPILADOS Recopilamos únicamente los datos estrictamente necesarios para las finalidades descritas en esta Política, conforme al principio de necesidad previsto en el art. 6, III, de la LGPD. Registro e Identidad (base legal: ejecución de contrato — art. 7, V): nombre completo, correo electrónico, teléfono, fecha de nacimiento, género, foto de perfil y CPF (identificación fiscal de Brasil) cuando lo exija la ley. Si utiliza el inicio de sesión social (Google o Apple), recibimos de esos proveedores su nombre, correo e un identificador de cuenta, exclusivamente para la autenticación. Salud y Físico — Datos Sensibles (base legal: consentimiento explícito — art. 11, I, combinado con ejecución de contrato): peso, altura, IMC, pliegues cutáneos, circunferencias, porcentaje de grasa, historial de entrenamientos, limitaciones físicas, patologías declaradas, objetivos y fotos de evolución. Cuando usted autoriza expresamente la integración con Apple Salud, Google Fit o Health Connect, también accedemos a datos de actividad y salud de su dispositivo (por ejemplo: frecuencia cardíaca, pasos y sesiones de entrenamiento), tratados exclusivamente conforme a su consentimiento. Financiero (base legal: ejecución de contrato — art. 7, V): historial de pagos, últimos 4 dígitos de la tarjeta, marca y pasarela utilizada. Los datos completos de la tarjeta son procesados y almacenados exclusivamente por la pasarela certificada PCI-DSS (Stripe), nunca en nuestros servidores. Dispositivo, Uso y Seguridad (base legal: interés legítimo — art. 7, IX, y cumplimiento legal): dirección IP, tipo de dispositivo, sistema operativo, versión de la aplicación, registros de acceso, token de notificación (push), registros de errores y diagnóstico y eventos de uso con analítica anonimizada. Utilizamos verificación anti-bot (Cloudflare Turnstile) en el inicio de sesión para protección contra fraudes y accesos automatizados. Comunicación (base legal: ejecución de contrato e interés legítimo): contenido de mensajes enviados por tickets de soporte y correos dirigidos a la Empresa. Nota: los datos de salud se clasifican como datos sensibles por la LGPD (art. 5, II) y reciben un tratamiento diferenciado, con acceso restringido y cifrado reforzado. No recopilamos su ubicación geográfica (GPS); además, eliminamos automáticamente los metadatos de ubicación (EXIF) de las fotos que usted envía. --- 3. FINALIDADES DEL TRATAMIENTO Sus datos se tratan exclusivamente para las siguientes finalidades: ejecución del servicio contratado, con la creación, personalización y seguimiento de entrenamientos, evaluaciones físicas e informes de evolución; generación asistida por inteligencia artificial de sugerencias de dieta y entrenamiento, para la cual ciertos datos (como objetivos y datos físicos) son procesados por un servicio de IA (Google Gemini); conexión entre usuarios, compartiendo los datos pertinentes con el entrenador personal, nutricionista o gimnasio vinculados por el propio alumno; procesamiento de pagos, incluyendo cobro, emisión de recibos y gestión de suscripciones; comunicación, con envío de notificaciones transaccionales y comunicaciones de marketing siempre que exista consentimiento; mejora continua, mediante análisis anonimizado de uso para perfeccionar funcionalidades; cumplimiento legal, para atender obligaciones fiscales, tributarias y órdenes de autoridades competentes; y prevención de fraudes, con detección y combate de usos indebidos de la Plataforma. No utilizaremos sus datos para ninguna finalidad incompatible con las anteriores sin un nuevo consentimiento u otra base legal aplicable. --- 4. INTERCAMBIO DE DATOS No vendemos, alquilamos ni comercializamos sus datos personales. El intercambio ocurre solo en los siguientes casos: Con entrenadores personales, gimnasios y nutricionistas vinculados: datos de entrenamiento, físicos, comunicaciones y evolución del alumno, para la prestación del servicio contratado, con acceso restringido al período de vínculo activo. Con la pasarela de pago (Stripe): datos de cobro e identificación, mediante contrato de procesamiento PCI-DSS. Este socio no accede a datos sensibles de salud. Con proveedores de infraestructura y operación (Supabase y Fly.io): todos los datos, en un entorno cifrado, mediante Acuerdos de Procesamiento de Datos con cláusulas de protección de datos, para el alojamiento y funcionamiento de la Plataforma. Con un servicio de inteligencia artificial (Google Gemini): los datos estrictamente necesarios para generar sugerencias de dieta y entrenamiento, solo cuando usted utiliza esta función. Con herramientas de notificación, monitoreo y comunicación (Firebase Cloud Messaging para notificaciones push, Sentry para monitoreo de errores, Resend para correos transaccionales y Cloudflare para verificación anti-bot): datos técnicos o de contacto estrictamente necesarios, de forma anonimizada o seudonimizada siempre que sea posible. Con autoridades públicas y judiciales: datos exigidos por ley u orden judicial, con base en el art. 7, II, de la LGPD. --- 5. SEGURIDAD DE LOS DATOS Adoptamos medidas técnicas y organizativas acordes con el estado del arte en seguridad de la información, incluyendo cifrado en tránsito (TLS 1.2+) y en reposo (AES-256) para todos los datos; control de acceso basado en roles y seguridad a nivel de fila (RLS) con el principio de mínimo privilegio; opción de autenticación biométrica y verificación anti-bot en el inicio de sesión; monitoreo continuo de seguridad y registros de auditoría; copias de seguridad cifradas con retención controlada; y un Plan de Respuesta a Incidentes con notificación a la ANPD (Autoridad de Protección de Datos de Brasil) y a los titulares en caso de violación con riesgo relevante, en el plazo legal de 72 horas. 5.1. En caso de un incidente de seguridad que afecte sus datos, le notificaremos al correo registrado dentro del plazo exigido por la LGPD y describiremos las medidas adoptadas. --- 6. DERECHOS DEL TITULAR (ART. 18, LGPD) Usted tiene los siguientes derechos, ejercibles gratuitamente mediante solicitud a nuestro canal de privacidad: Confirmación y Acceso: saber si tratamos sus datos y obtener una copia completa de ellos. Corrección: actualizar datos incompletos, inexactos o desactualizados. Anonimización, Bloqueo o Eliminación: solicitar que los datos innecesarios o excesivos sean anonimizados, bloqueados o eliminados. Portabilidad: recibir sus datos en un formato estructurado e interoperable. Información sobre el Intercambio: saber con qué entidades se han compartido sus datos. Revocación del Consentimiento: retirar su consentimiento en cualquier momento, sin perjuicio del tratamiento anterior. Oposición: oponerse a los tratamientos basados en interés legítimo, cuando corresponda. Revisión de Decisiones Automatizadas: solicitar la revisión humana de decisiones tomadas exclusivamente por algoritmos, incluidas las sugerencias generadas por IA. Reclamación ante la ANPD: presentar una queja ante la Autoridad Nacional de Protección de Datos en gov.br/anpd. El plazo de respuesta es de hasta 15 (quince) días hábiles. Para ejercer sus derechos, acceda a https://altilusfit.com/privacy o envíe un correo a privacidade@altilusfit.com. --- 7. RETENCIÓN, ELIMINACIÓN Y PORTABILIDAD 7.1. Sus datos se conservan mientras la cuenta esté activa y por el período mínimo exigido por ley tras el cierre. Los datos de salud y físicos (entrenamientos y evaluaciones) se conservan por el período de vigencia de la cuenta más 5 años, con base en el art. 7, II, de la LGPD. Los datos financieros y registros de pago se conservan por 10 años tras la transacción, conforme a la Ley n.º 9.613/1998 y el Código Civil. Los registros de acceso (IP y hora) se conservan por 6 meses, en los términos del art. 15 del Marco Civil de Internet de Brasil. Los registros de consentimiento se conservan por el período de vigencia más 5 años, con base en el art. 7, I, de la LGPD. Los datos de registro generales se conservan por el período de vigencia de la cuenta más 1 año, por interés legítimo y prevención de fraudes. 7.2. Al solicitar la eliminación de la cuenta, los datos identificables serán anonimizados o eliminados en un plazo de 30 (treinta) días, salvo los plazos legales de conservación anteriores. 7.3. La portabilidad de los datos podrá solicitarse en cualquier momento; recibirá un archivo estructurado (JSON o CSV) con sus datos en un plazo de 15 días hábiles. --- 8. COOKIES, RASTREO Y PREFERENCIAS 8.1. Utilizamos tecnologías de rastreo para las siguientes finalidades: cookies esenciales, necesarias para el funcionamiento de la Plataforma (autenticación y seguridad), que no pueden desactivarse; cookies de rendimiento y analítica, que recopilan datos de uso de forma anonimizada o seudonimizada para la mejora del producto y que requieren consentimiento; y cookies de comunicación y marketing, utilizadas para personalizar comunicaciones, que requieren consentimiento y pueden revocarse en cualquier momento. 8.2. Puede gestionar sus preferencias de cookies en el menú Configuración > Privacidad dentro de la aplicación. 8.3. Utilizamos servicios de terceros para el monitoreo de errores (Sentry) y las notificaciones push (Firebase Cloud Messaging), configurados para minimizar datos y operar con anonimización de IP siempre que sea aplicable. --- 9. TRANSFERENCIA INTERNACIONAL DE DATOS 9.1. Algunos de nuestros proveedores de infraestructura y servicios, como proveedores de nube, la pasarela de pago y herramientas de IA, pueden estar ubicados fuera de Brasil. 9.2. Garantizamos que toda transferencia internacional de datos se realiza mediante salvaguardas adecuadas, incluyendo: (i) cláusulas contractuales estándar aprobadas por la ANPD; (ii) transferencia a países con un nivel de protección adecuado reconocido; o (iii) el consentimiento específico del titular. 9.3. Nuestros principales proveedores con sede en el exterior y sus respectivos marcos de protección: Supabase y Fly.io (infraestructura — DPA), Stripe (PCI-DSS/SCCs), Google — Firebase y Gemini (Google Cloud DPA), Sentry (DPA), Cloudflare (DPA) y Resend (DPA). --- 10. PROTECCIÓN DE NIÑOS Y ADOLESCENTES 10.1. La Plataforma no está destinada a menores de 18 años. No recopilamos intencionalmente datos de niños sin el consentimiento verificable de sus responsables legales, conforme lo exige el art. 14 de la LGPD. 10.2. Si identificamos que hemos recopilado datos de un menor sin el debido consentimiento, procederemos a su eliminación inmediata. Los responsables que identifiquen esta situación deben contactarnos en privacidade@altilusfit.com. --- 11. CONSENTIMIENTO PARA DATOS DE SALUD 11.1. El tratamiento de datos de salud y físicos, incluidos los obtenidos mediante la integración con Apple Salud, Google Fit o Health Connect, se realiza con base en el consentimiento específico y destacado del titular (art. 11, I, LGPD). Este consentimiento se recopila en el momento del registro o de la activación de la integración, mediante una pantalla dedicada con lenguaje claro. 11.2. El consentimiento se registra con sello de fecha/hora, versión del documento aceptado e identificador único del Usuario. 11.3. Puede revocar el consentimiento para el tratamiento de datos de salud en cualquier momento. En ese caso, la integración con wearables y determinadas funcionalidades de la Plataforma que dependen de estos datos quedarán no disponibles, y los datos de salud asociados se eliminan. --- 12. ACTUALIZACIÓN DE LA POLÍTICA 12.1. Esta Política puede actualizarse periódicamente para reflejar cambios legales, tecnológicos o en nuestros servicios. La versión vigente estará siempre disponible en la aplicación y en el sitio web. 12.2. Los cambios sustanciales se comunicarán con 15 (quince) días de antelación por notificación push y correo electrónico. Su uso continuado tras ese plazo implica la aceptación de la nueva versión. 12.3. Mantenemos un archivo de versiones anteriores de esta Política disponible mediante solicitud a nuestro canal de privacidad. --- La aceptación de estos Términos y de esta Política se registra electrónicamente con fecha, hora e identificador de sesión, constituyendo prueba suficiente del consentimiento en los términos del art. 107 del Código Civil y del Marco Civil de Internet de Brasil.