Política de Privacidade — Atymus

Versão: 1.7 Última atualização: 2026-10-09 Escopo regulatório inicial: União Europeia (lançamento em França + expansão progressiva EU) Idioma de referência: Português. Versões em francês, inglês e espanhol estão disponíveis e têm valor informativo equivalente. Em caso de divergência de interpretação, prevalece a versão em francês (jurisdição inicial).

1. Quem somos

Esta Política de Privacidade descreve como o aplicativo móvel Atymus ("Atymus", "o App", "nós") coleta, utiliza, armazena e compartilha seus dados pessoais.

Responsável pelo tratamento dos dados (data controller, no sentido do artigo 4, 7) do RGPD):

Felipe Oliveira Pessoa física, residente em Aix-en-Provence, França Contato: admin@atymus.com

O Atymus é operado em conformidade com: - O Regulamento (UE) 2016/679 — Regulamento Geral sobre a Proteção de Dados (RGPD/GDPR) - A Lei francesa nº 78-17 de 6 de janeiro de 1978, modificada (Loi Informatique et Libertés) - As recomendações da Comissão Nacional de Informática e Liberdades (CNIL)

O Atymus destina-se inicialmente a residentes da União Europeia. Usuários residentes fora da UE devem estar cientes de que as regras aqui descritas se baseiam no padrão RGPD, geralmente mais protetivo que o exigido em outras jurisdições. A expansão formal para outros mercados (Brasil, Estados Unidos, etc.) será objeto de atualização específica desta Política.

2. O que é o Atymus

O Atymus é um aplicativo de bem-estar e fitness (wellness) destinado a ajudar você a acompanhar hábitos de saúde — alimentação, sono, atividade física e métricas corporais. O App oferece análise personalizada por inteligência artificial e funciona por assinatura recorrente.

⚠️ O Atymus NÃO é um dispositivo médico. Ele não diagnostica, trata, previne ou cura qualquer condição clínica. Os conteúdos e sugestões oferecidos têm fim educacional e de acompanhamento pessoal, e não substituem em hipótese alguma o aconselhamento de um profissional de saúde qualificado. Consulte sempre seu médico antes de qualquer mudança significativa em dieta, treino ou estilo de vida.

3. Quais dados coletamos

Coletamos exclusivamente os dados necessários ao funcionamento do App e às finalidades descritas na seção 4.

3.1. Dados de identificação e conta

• Endereço de email
• Nome ou identificador escolhido por você
• Senha (armazenada em forma criptografada pelo Firebase Authentication; nunca temos acesso a ela em texto claro)
• Data de nascimento
• Gênero (autodeclarado)
• País de residência e idioma preferido

3.2. Dados sensíveis de saúde — categoria especial de dados pessoais (RGPD, artigo 9)

Estes dados recebem nível de proteção reforçado. Tratamos os seguintes:

• Métricas corporais: peso, altura, percentual de gordura corporal, percentual de massa muscular, percentual de água corporal, gordura visceral, idade metabólica (a partir de balança de bioimpedância manual ou via foto)
• Alimentação: alimentos consumidos, quantidades, fotos de refeições, valores nutricionais (calorias, proteínas, carboidratos, gorduras), metas nutricionais
• Sono: duração, qualidade percebida, nível de energia ao acordar, nível de estresse, humor
• Atividade física: tipo de treino, duração, exercícios realizados, séries, repetições, cargas, esforço percebido (RPE), distância, calorias estimadas
• Score de vitalidade: valor agregado calculado a partir dos dados acima, refletindo seu nível geral de bem-estar
• Dados de aparelhos que você conecta: frequência cardíaca, sono medido, passos e os demais dados descritos na seção 3.6

3.3. Dados de uso e interação com a IA

• Mensagens enviadas ao assistente conversacional (chat IA)
• Áudios gravados e suas transcrições (quando você usa a função de voz)
• Histórico de interações para personalização das respostas
• Logs de utilização da IA (modelo usado, tokens, custo) — usados apenas para faturamento interno do plano de assinatura

3.4. Dados técnicos e diagnóstico

• Tipo de dispositivo, sistema operacional e versão
• Identificadores únicos do app (não diretamente vinculados à sua identidade fora do App)
• Fuso horário
• Relatórios de falha (crash reports) — capturados via Firebase Crashlytics
• Métricas de uso agregadas e anônimas — via Firebase Analytics (você pode desativar nas configurações)

3.5. Dados de assinatura

• Status da assinatura (plano atual, data de renovação, créditos consumidos)
• ID anônimo de transação fornecido pela Apple App Store ou Google Play Store

Não coletamos dados bancários nem números de cartão de crédito. Os pagamentos são tratados exclusivamente pela Apple e Google nos respectivos sistemas, segundo suas próprias políticas de privacidade.

3.6. Dados de aparelhos e serviços que você conecta (opcional)

Nenhuma conexão acontece sem a sua ação: cada uma é ligada por você em Configurações > Integrações e pode ser desligada a qualquer momento.

• Health Connect (Android): com as permissões que você concede no próprio Health Connect, o Atymus pode ler treinos (tipo, horário, duração, distância, calorias, frequência cardíaca, desnível), passos, sono, frequência cardíaca de repouso e variabilidade da frequência cardíaca. O Atymus não lê peso nem gordura corporal do Health Connect: as pesagens vêm só do que você registra no Atymus. Você pode retirar cada permissão no próprio Health Connect. O Atymus só lê: nunca escreve no Health Connect, e a leitura acontece com o app aberto.
• Polar (conexão direta, recurso Premium): ao conectar sua conta Polar Flow, você autoriza a Polar Electro Oy a nos enviar, pela API oficial da Polar (AccessLink): os treinos enviados à sua conta depois da conexão (esporte, horário, duração, calorias, distância, frequência cardíaca média, máxima e ao longo do treino, tempo em cada zona de frequência cardíaca, os limites de cada zona, a carga cardio calculada pela Polar e o aparelho que gravou o treino), a atividade do dia (passos, calorias ativas, distância), as suas noites (duração e fases do sono, e a variabilidade da frequência cardíaca que a Polar mede durante a noite) e o seu perfil de condicionamento na Polar (VO2max, frequência cardíaca máxima e de repouso, limiares aeróbio e anaeróbio). O peso, a altura, a data de nascimento e o gênero que a Polar envia junto com esse perfil são descartados ao chegar: não os guardamos.
• O que guardamos para manter a conexão com a Polar: o identificador da sua conta Polar e a credencial de acesso (token) emitida pela Polar, cifrada com chave própria. À Polar enviamos apenas um identificador opaco, necessário para registrar a conexão; nenhum dado seu de saúde ou de perfil é enviado à Polar.
• Ao desconectar, pedimos à Polar que revogue o acesso e apagamos a credencial. Os treinos que já chegaram continuam no seu histórico, como qualquer registro seu, até você os apagar.
• Quando o mesmo treino chega por dois caminhos (por exemplo, pela Polar e pelo Health Connect), guardamos uma cópia só.
• Os dados importados são tratados como os que você registra: aparecem nas suas telas com a origem indicada, podem entrar nas análises da IA (seção 12) e seguem os mesmos prazos e direitos desta Política. Nunca são vendidos nem usados para publicidade.
• Percurso das atividades ao ar livre (localização): quando um treino ao ar livre (corrida, caminhada, trilha, pedalada) é gravado com GPS, a Polar nos envia o caminho percorrido (pontos de latitude e longitude ao longo do treino); do Health Connect, o caminho só é lido se você der a permissão específica de percurso. Guardamos apenas um desenho simplificado do caminho, sem o começo e o fim (por padrão, 200 m de cada ponta são cortados antes de guardar, para proteger a região da sua casa), e as marcas de cada quilômetro. O percurso serve só para desenhar o mapa no detalhe da atividade: não entra nas análises da IA nem no chat, e só vai para o seu coach se você deixou “Seus treinos” ligado para ele (seção 3.7). Em Configurações > Privacidade & documentos > Percurso das atividades você pode deixar de receber o percurso, mudar o trecho escondido (nada, 200 m ou 500 m) e apagar os percursos guardados; apagar um treino apaga também o percurso dele.
• A Polar é responsável pelos dados da sua conta Polar, segundo a política de privacidade dela: https://www.polar.com/en/legal/privacy-notice

3.7. Compartilhamento com o seu coach (Atymus Studio)

O Atymus Studio é a ferramenta do profissional que acompanha você (personal trainer, coach). Ele só vê os seus dados se você aceitar o convite dele no App, e só o que você deixar ligado em Seu coach > O que ele vê. Você muda isso ou encerra o vínculo quando quiser: desligar não avisa ninguém, e encerrar corta o acesso na hora.

O que cada interruptor mostra (todos nascem ligados, menos a recuperação):

• Seus treinos: as sessões e como foram (duração, distância, ritmo, frequência cardíaca e zonas, esforço, séries e cargas, seus comentários), os passos e, nas atividades ao ar livre gravadas com GPS, o mapa do percurso: o mesmo desenho simplificado da seção 3.6, sem o começo e o fim que você esconde. Com “Tudo, não só o programa dele” desligado, o coach vê apenas os treinos que prescreveu.
• Sua recuperação (nasce desligada): o sono e a frequência cardíaca de repouso do relógio.
• Nutrição: as suas metas; o que você comeu; o que tinha em cada refeição.
• Planejamento: a sua semana.
• Composição corporal: peso, gordura, massa magra e medidas.
• Antes do vínculo: os 60 dias anteriores ao aceite.

O coach não vê as suas conversas com a IA, os seus dados de pagamento nem nada que estiver desligado. Se você desligar o percurso em Configurações > Privacidade & documentos > Percurso das atividades, o mapa deixa de aparecer para ele também. O coach é um profissional independente e responde pelo uso que faz do que vê; o Atymus só mostra o que você autorizou.

A conversa com o seu coach, o WhatsApp e os compromissos. Com o vínculo ativo, você e o seu coach conversam pelo Atymus, e só vocês dois leem essa conversa:

• O que fica guardado: as mensagens (texto, fotos e o que for citado: um treino, uma ideia de refeição, uma pesagem ou um compromisso), quando cada um leu (o “Visto”) e o silêncio que você escolher. O coach também pode mandar a mesma mensagem para vários alunos de uma vez: ela chega na conversa de cada um, marcada “para vários alunos”.
• As fotos sobem pelo nosso servidor e ficam guardadas com um link privado, nunca público. Elas saem quando o vínculo termina e quando a conta é excluída.
• Quando o vínculo termina, você continua lendo a conversa, mas não escreve mais, e pode apagá-la quando quiser em Seus dados > Conversas com coaches anteriores; o coach perde o acesso e as fotos saem. Se você excluir a sua conta, as suas conversas somem, com as fotos (seção 7.3).
• Avisos no celular: o nome do coach e o começo da mensagem passam pelo Firebase Cloud Messaging (Google) para o aviso aparecer. Você silencia uma conversa ou desliga “Mensagens do seu coach” na engrenagem do sino. Se você responder pelo próprio aviso, a resposta vai direto para o nosso servidor.
• O seu WhatsApp: se você informar o seu número na tela do coach, só o seu coach o vê. Você troca ou apaga quando quiser, e ele sai quando o vínculo termina.
• Os compromissos que o coach marca (uma avaliação ou uma conversa) chegam ao app com o tipo, o dia, a hora e o lugar, e guardam a sua resposta (“Vou” ou “Não vou poder”). O lembrete de 1 hora antes é feito pelo próprio celular. Se o coach assinar a agenda dele num calendário (Google, Apple), os compromissos aparecem lá com o tipo e o seu primeiro nome, sem anotações.

4. Para que usamos seus dados (finalidades)

Importante: o tratamento de dados sensíveis de saúde só ocorre mediante seu consentimento explícito, recolhido durante o onboarding inicial e renovável a qualquer momento. Você pode retirar esse consentimento a qualquer instante — nesse caso, encerramos o tratamento e podemos não conseguir prestar o serviço.

5. Quem tem acesso aos seus dados (sub-processadores)

Não vendemos seus dados. Compartilhamos apenas com prestadores de serviços técnicos estritamente necessários ao funcionamento do App. Cada um destes é contratualmente obrigado a respeitar o RGPD via cláusulas de tratamento de dados (Data Processing Agreement).

Transferência internacional de dados: Alguns dos prestadores acima processam dados fora da União Europeia, em particular nos Estados Unidos. Essas transferências são realizadas com base nas Cláusulas Contratuais Padrão (Standard Contractual Clauses) aprovadas pela Comissão Europeia, conforme artigo 46 do RGPD. Você pode solicitar uma cópia destas cláusulas escrevendo para admin@atymus.com.

Serviços que você conecta: o Google Health Connect e a Polar não são sub-processadores do Atymus: são serviços seus, que nos enviam dados porque você autorizou. A Polar Electro Oy (Professorintie 5, 90440 Kempele, Finlândia) trata os dados da sua conta Polar como responsável independente.

Mapas: as imagens do mapa de fundo vêm do OpenFreeMap (serviço público de mapas, baseado no OpenStreetMap). O App pede essas imagens diretamente a ele, como qualquer mapa na internet: o pedido leva o endereço IP do aparelho e a região mostrada, nunca o seu caminho nem a sua conta.

6. Por quanto tempo guardamos seus dados

Você pode solicitar a exclusão imediata da sua conta a qualquer momento (ver seção 7).

7. Seus direitos

Em conformidade com os artigos 15 a 22 do RGPD, você tem os seguintes direitos sobre os seus dados pessoais:

7.1. Direito de acesso (art. 15)

Você pode visualizar todos os dados que coletamos a seu respeito a qualquer momento, diretamente nas telas do App.

7.2. Direito de retificação (art. 16)

Você pode corrigir ou atualizar suas informações nas configurações do App (Perfil, Metas, Preferências).

7.3. Direito ao apagamento ("direito ao esquecimento", art. 17)

Você pode excluir sua conta e todos os dados associados a qualquer momento, em Configurações > Conta > Excluir minha conta. O processo é irreversível e elimina: - Sua conta de autenticação - Todos os registros (refeições, treinos, sono, métricas, bioimpedância) - Histórico de chat com a IA - Configurações e preferências - Fotos enviadas - A conexão com a sua conta Polar (o acesso é revogado na Polar e a credencial é apagada) - O vínculo com o seu coach, se houver: ele termina, e saem do registro do coach o seu e-mail, o seu WhatsApp, as anotações dele sobre você, os compromissos e a conversa entre vocês

Os backups são apagados em até 30 dias após a solicitação. Logs com obrigação legal de retenção (consentimento, faturamento) são conservados apenas pelos prazos mínimos exigidos por lei e em forma reduzida.

7.4. Direito à portabilidade (art. 20)

Você pode exportar todos os seus dados em formato estruturado (JSON) em Configurações > Conta > Exportar meus dados. O arquivo inclui: perfil, refeições, treinos, sono, métricas, bioimpedância, metas, histórico de consentimento, dados de assinatura e as conversas com o seu coach. A credencial de acesso aos serviços conectados não faz parte da exportação: ela é uma chave de acesso, não um dado seu.

7.5. Direito de oposição (art. 21)

Você pode se opor ao processamento de dados não essenciais (analytics, crash reports) em Configurações > Privacidade > Telemetria.

7.6. Direito de limitação (art. 18)

Em circunstâncias específicas (contestação da exatidão, oposição em análise), você pode solicitar a suspensão temporária de certos tratamentos. Escreva para admin@atymus.com.

7.7. Direito de retirar o consentimento (art. 7)

Você pode retirar seu consentimento ao tratamento de dados sensíveis a qualquer momento. Isso interromperá imediatamente o uso destes dados e poderá implicar a impossibilidade de continuar usando o App. A retirada não afeta a licitude dos tratamentos realizados antes dela.

7.8. Direito de reclamação

Se considerar que o tratamento dos seus dados viola o RGPD, você pode apresentar reclamação: - Na França: Comissão Nacional de Informática e Liberdades (CNIL) — https://www.cnil.fr/fr/plaintes - Em outros países da UE: autoridade nacional de proteção de dados do seu país de residência (lista oficial: https://edpb.europa.eu/about-edpb/about-edpb/members_en)

8. Como exercer seus direitos

A maioria dos direitos pode ser exercida diretamente no App (Configurações). Para qualquer dúvida ou solicitação que exija nossa intervenção, escreva para:

admin@atymus.com

Responderemos dentro de 30 dias, prazo que pode ser estendido para 60 dias em caso de solicitação complexa, com notificação prévia. Reservamo-nos o direito de pedir prova de identidade em caso de dúvida razoável.

9. Segurança dos dados

Adotamos medidas técnicas e organizacionais apropriadas para proteger seus dados:

• Cifragem em trânsito: todas as comunicações entre o App e nossos servidores ocorrem via HTTPS/TLS 1.2+
• Cifragem em repouso: dados armazenados no Firebase Firestore são automaticamente cifrados em AES-256 pelas chaves gerenciadas pelo Google Cloud
• Controle de acesso: regras de segurança restritivas no Firestore garantem que cada usuário só pode acessar os próprios dados; nenhum dado é compartilhado entre contas, a não ser com o coach que você aceitou, e só o que você autorizou (seção 3.7)
• Autenticação forte: delegada ao Firebase Authentication, com suporte futuro a autenticação multifator
• Auditoria: logs de acesso e ações são mantidos para detecção de incidentes
• Backups: Firestore backups automatizados com retenção de 30 dias, armazenados em região EU
• Credenciais de serviços conectados: a credencial de acesso à sua conta Polar é guardada cifrada, com chave própria, numa área que o App não lê, e nunca aparece em exportações
• Atualização contínua: correção rápida de vulnerabilidades de segurança via Dependabot e GitHub Security

Em caso de violação de dados que represente risco aos seus direitos, notificaremos você por email em até 72 horas após tomarmos conhecimento, e comunicaremos a CNIL conforme exigido pelo artigo 33 do RGPD.

10. Cookies e rastreadores

O App não utiliza cookies (não é um aplicativo web). Utilizamos exclusivamente:

• Identificadores anônimos do Firebase (instance ID) para funcionamento técnico
• Crashlytics e Firebase Analytics com identificadores não vinculados à sua identidade pessoal fora do App

Você pode desativar Crashlytics e Analytics em Configurações > Privacidade > Telemetria.

O Atymus não utiliza publicidade, não compartilha dados com redes de anúncios, e não realiza perfilamento publicitário.

11. Menores de idade

O Atymus é destinado a usuários com idade igual ou superior a 15 anos, conforme padrão estabelecido pela legislação francesa para consentimento autônomo ao tratamento de dados pessoais. Não coletamos intencionalmente dados de menores de 15 anos.

Se você é responsável legal e descobriu que um menor de 15 anos criou uma conta sem o seu consentimento, escreva para admin@atymus.com para solicitar o encerramento imediato e a exclusão dos dados.

12. Inteligência Artificial — informações específicas

O Atymus integra um assistente conversacional baseado em modelos de linguagem de grande escala (Google Gemini). Considerando o caráter sensível desta tecnologia:

• Suas mensagens ao chat são enviadas à Google (sub-processador) para gerar respostas. Google se compromete contratualmente a não usar suas mensagens para treinar modelos públicos (ver Google Cloud DPA).
• As respostas da IA podem conter imprecisões. Nenhuma resposta deve ser interpretada como aconselhamento médico, nutricional ou esportivo profissional.
• A IA NÃO realiza diagnósticos. O system prompt do Atymus instrui explicitamente o modelo a recusar diagnósticos e a recomendar profissionais de saúde para questões clínicas.
• Dados sensíveis incluídos no chat (ex: "estou com dor no joelho") são processados como qualquer outra mensagem e ficam sujeitos às mesmas regras de retenção e direitos. Recomendamos não incluir informações ultra-sensíveis (números de documentos, dados bancários) no chat.
• Logs de uso da IA (tokens, custo, agente acionado) são armazenados para faturamento do plano e auditoria interna; conteúdo da conversa é vinculado ao seu perfil para personalização.

Você pode solicitar a exclusão dos seus dados de chat a qualquer momento via direito ao apagamento (seção 7.3).

13. Alterações nesta Política

Esta Política pode ser atualizada para refletir mudanças legais, técnicas ou de funcionalidade. Em caso de alterações substanciais (introdução de novo sub-processador, mudança de finalidades, alteração de prazo de retenção), você será notificado:

1. Por email ao endereço associado à sua conta
2. Por aviso no App na próxima abertura
3. Se a mudança afetar a base legal "consentimento", solicitaremos novo consentimento explícito antes de prosseguir

A versão atual da Política está sempre disponível em Configurações > Sobre > Política de Privacidade e no endereço público https://atymus.com/privacy-pt.html.

14. Contato

Para qualquer questão relativa à proteção de seus dados pessoais:

📧 admin@atymus.com

📍 Felipe Oliveira · Aix-en-Provence, França

Esta Política de Privacidade foi elaborada para uso em jurisdições da União Europeia, com foco em conformidade RGPD e recomendações CNIL. A expansão formal para outros mercados (incluindo Brasil e Estados Unidos) será objeto de atualização específica em versão futura.