1. Quem somos
O Turmify é uma plataforma online (SaaS) para estúdios, escolas e negócios que trabalham com turmas: agenda de aulas, cadastro de alunos, matrículas, financeiro, comissões, comunicação e a assistente de inteligência artificial Nathy.
O Turmify é operado por RSB TECH LTDA (nome fantasia Turmify), inscrita no CNPJ sob o nº 61.363.314/0001-43, com sede em Rua Duque de Caxias, 436, Barueri/SP ("Turmify", "nós").
Contato sobre privacidade e proteção de dados (encarregado): Rafael Sant Anna Brito — atendimento@turmify.com.br.
2. Os dois papéis do Turmify
A Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018) distingue quem decide sobre os dados (controlador) de quem os trata em nome de outro (operador). No Turmify existem dois cenários:
- Dados dos negócios que usam o Turmify e de seus usuários (administradores e instrutores). Aqui o Turmify é o controlador: decidimos como esses dados são usados para criar e manter a conta, cobrar, dar suporte e proteger a plataforma.
- Dados dos alunos, responsáveis, interessados (leads) e demais pessoas cadastradas por um negócio. Aqui o negócio é o controlador — ele decide quais dados coletar e para quê — e o Turmify é o operador: trata esses dados apenas seguindo as instruções do negócio e o contrato entre as partes. Se você é aluno ou responsável e quer exercer seus direitos, fale primeiro com o negócio (estúdio ou escola) em que se cadastrou; nós o ajudamos a atender o seu pedido.
3. Quais dados tratamos
| Quem | Dados | De onde vêm |
|---|---|---|
| Usuários do negócio (administradores e instrutores) | nome, e-mail, senha (guardada apenas como hash irreversível), perfil e permissões, data do último acesso, endereço IP e registros de ações no sistema | informados pelo negócio ou pelo próprio usuário |
| Negócio (cliente do Turmify) | razão social, CNPJ ou CPF, e-mail, telefone, endereço, dados da assinatura | informados pelo negócio |
| Alunos e interessados (por conta do negócio) | nome, CPF, data de nascimento, sexo, telefone/WhatsApp, e-mail, endereço, contato de emergência, foto, anotações, origem do contato, matrículas, presença nas aulas, cobranças e pagamentos, contratos (PDF), mensagens enviadas | informados pelo negócio ou pelo aluno |
| Pessoas que se inscrevem em aulas e eventos pelo link de um negócio (por conta do negócio) | nome, e-mail, WhatsApp, CPF (só quando a inscrição é paga), tamanho do kit de boas-vindas, endereço de entrega (só quando o evento envia o kit pelos Correios), aceite do termo de responsabilidade e saúde (data e hora), situação e valor do pagamento | informados por você na página de inscrição |
| Alunos — dados de saúde (dado pessoal sensível) | avaliação física e anamnese: objetivos, queixas, histórico de lesões, restrições e condições relevantes, observações do instrutor | informados pelo negócio ou pelo aluno |
| Usuários da Nathy | o texto das conversas e o resultado de consultas feitas para responder | digitados pelo usuário e lidos do próprio negócio |
| Uso da plataforma | endereço IP, data e hora, ação realizada, identificadores técnicos | gerados automaticamente |
Os registros de auditoria guardam quem fez o quê e quando, mas não copiam CPF, contatos, dados de saúde, anotações nem senhas.
4. Para que usamos os dados e em que base legal
| Finalidade | Base legal (LGPD, art. 7º) |
|---|---|
| Criar e manter a conta, autenticar usuários, prestar o serviço contratado | execução de contrato (inciso V) |
| Cobrança, emissão de documentos fiscais, cumprimento de obrigações legais e regulatórias | cumprimento de obrigação legal (inciso II) e execução de contrato |
| Segurança, prevenção a fraude, registros de auditoria, resposta a incidentes | legítimo interesse (inciso IX) e obrigação legal |
| Suporte e comunicação sobre o serviço | execução de contrato e legítimo interesse |
| Melhoria do produto, com dados agregados e sem identificar pessoas | legítimo interesse |
| Tratamento dos dados de alunos por conta do negócio | definida pelo negócio, como controlador (por exemplo, execução do contrato de matrícula; para dados de saúde, o consentimento ou outra hipótese do art. 11) |
[REVISÃO JURÍDICA: confirmar as bases legais acima, em especial para dados de saúde.]
Não vendemos dados pessoais e não os usamos para publicidade de terceiros.
5. Com quem compartilhamos (suboperadores)
Para prestar o serviço usamos fornecedores que tratam dados em nosso nome. Eles só recebem o necessário e estão sujeitos a obrigações contratuais de proteção de dados. A lista atual e a função de cada um estão em a nossa lista de suboperadores, que enviamos a qualquer momento a quem pedir pelo e-mail atendimento@turmify.com.br. Hoje ela inclui hospedagem e banco de dados (Railway), inteligência artificial (Anthropic), cobrança (Asaas), envio de e-mail (Resend), mensagens por WhatsApp e agenda (Google), quando o negócio ativa cada recurso. Serviços públicos de consulta de CEP (ViaCEP e BrasilAPI) recebem apenas o CEP digitado, sem dado que identifique a pessoa (seção 16).
Também podemos compartilhar dados quando a lei ou uma ordem de autoridade competente exigir, e com o próprio negócio, quando se tratar de dados de seus alunos e usuários.
6. Transferência internacional de dados
Parte dos nossos fornecedores está fora do Brasil, principalmente nos Estados Unidos. Nesses casos a transferência ocorre com as salvaguardas previstas no art. 33 da LGPD e na regulamentação da ANPD, como cláusulas contratuais adequadas. [REVISÃO JURÍDICA: definir o mecanismo de transferência de cada fornecedor.]
7. Por quanto tempo guardamos
| Dado | Prazo |
|---|---|
| Registros de auditoria (quem fez o quê) | 12 meses |
| Mensagens enviadas a alunos | 12 meses |
| Conversas com a Nathy | 90 dias |
| Tokens de recuperação de senha | 7 dias após expirarem |
| Dados de um negócio que cancelou | 90 dias para o negócio exportar seus dados; depois são eliminados |
| Endereço de entrega do kit de boas-vindas | apagado em até 30 dias depois do evento; antes disso, se a inscrição for cancelada ou expirar sem pagamento, ou quando a equipe do negócio apagar depois de enviar os kits. O tamanho do kit permanece na inscrição |
| Dados de um aluno anonimizado | dados pessoais eliminados; o histórico financeiro é mantido sem identificar a pessoa, pelo prazo das obrigações fiscais e contábeis |
| Dados de cobrança e fiscais | pelo prazo exigido pela legislação tributária e contábil |
Passados os prazos, os dados são eliminados automaticamente ou anonimizados.
8. Seus direitos
Você pode pedir, a qualquer momento (LGPD, art. 18): confirmação de que tratamos seus dados; acesso; correção; anonimização, bloqueio ou eliminação de dados desnecessários; portabilidade; informação sobre com quem compartilhamos; informação sobre a possibilidade de não consentir e suas consequências; revogação do consentimento; e revisão de decisões tomadas apenas por tratamento automatizado.
- Se os dados são seus como usuário de um negócio ou do próprio negócio: escreva para atendimento@turmify.com.br.
- Se você é aluno ou responsável: procure o negócio onde se cadastrou. O negócio dispõe, dentro do Turmify, de ferramentas para exportar todos os dados de um aluno e para anonimizá-lo. Se preferir, escreva para nós e encaminhamos o pedido.
Mensagens automáticas (lembretes, avisos, comunicados): toda mensagem traz um link para deixar de receber, sem login; a equipe do negócio também pode desativá-las na ficha do aluno. Depois do pedido, o Turmify não envia mais mensagens automáticas àquela pessoa. Respondemos no prazo legal. Para proteger você, podemos pedir a confirmação da sua identidade. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).
9. Como protegemos os dados
Adotamos medidas técnicas e organizacionais proporcionais ao risco, entre elas:
- isolamento dos dados de cada negócio no próprio banco de dados (segurança em nível de linha), além do controle na aplicação;
- controle de acesso por perfil e permissões; dados de saúde restritos ao administrador e aos instrutores responsáveis;
- senhas armazenadas apenas como hash irreversível; tokens de recuperação armazenados como hash e com validade curta;
- comunicação criptografada (HTTPS) entre o navegador e a plataforma;
- PDFs de contratos armazenados cifrados (AES-256-GCM);
- registros de auditoria sem dados pessoais nem segredos, e limite de tentativas contra abuso;
- eliminação automática de dados vencidos.
Nenhum sistema é totalmente imune a incidentes. Se ocorrer um incidente de segurança que possa acarretar risco ou dano relevante, comunicaremos os negócios afetados e, quando aplicável, a ANPD e os titulares, nos prazos legais.
10. Inteligência artificial (Nathy)
A Nathy é uma assistente de inteligência artificial. Ao usá-la:
- você conversa com um sistema automatizado, e não com uma pessoa;
- o texto da conversa e as informações do seu negócio necessárias para responder (por exemplo, alunos e cobranças que a sua permissão já permite ver) são enviados ao fornecedor do modelo de IA, que está fora do Brasil;
- a Nathy apenas consulta informações e respeita as permissões de quem pergunta; ela não altera dados;
- as respostas podem conter erros; confira as informações importantes;
- as conversas são apagadas automaticamente em 90 dias, e o negócio pode desligar a Nathy.
Evite digitar dados que não sejam necessários, como dados de saúde de alunos, a menos que o negócio tenha base para isso.
11. Crianças e adolescentes
O Turmify é uma ferramenta para negócios. Quando um negócio cadastra alunos menores de 18 anos, é o negócio quem deve obter o consentimento específico de pelo menos um dos pais ou do responsável legal, quando essa for a base legal aplicável (LGPD, art. 14), e tratar esses dados no melhor interesse do menor. Para dados de saúde (anamnese), o Turmify exige, por padrão, que o negócio registre antes o consentimento do aluno ou do responsável legal, com o nome de quem consentiu, a versão do texto, a data e o IP; esse consentimento pode ser revogado a qualquer momento. O cadastro de aluno menor de 18 anos exige o nome e o contato do responsável legal. Não oferecemos a plataforma diretamente a menores.
12. Cookies e armazenamento no navegador
Não usamos cookies de publicidade nem de rastreamento. Usamos apenas o armazenamento do seu navegador para manter a sua sessão de acesso e preferências da tela (como tema). Sem isso, você não permaneceria conectado.
13. Integração com o Google Agenda (dados de usuário do Google)
O Turmify oferece, de forma opcional, a integração com o Google Agenda. Ela só é ativada quando um administrador do negócio, ou um instrutor para as suas próprias aulas, clica em "Conectar" e autoriza o acesso na tela de consentimento do Google. Sem essa autorização, nenhum dado é enviado ao Google.
Quais dados do Google acessamos.
- Seu endereço de e-mail e identificador de conta Google, apenas para mostrar qual conta está conectada (permissões `openid` e `email`).
- Um calendário próprio do Turmify, criado por nós na conta conectada, e os eventos que o Turmify cria nele (permissão `calendar.app.created`). Não lemos, listamos nem alteramos os seus outros calendários nem os eventos que você criou por conta própria.
Como usamos. Exclusivamente para oferecer a função visível ao usuário: espelhar as aulas da agenda como eventos nesse calendário (todas as aulas do negócio, na conexão do administrador; só as aulas do próprio instrutor, na conexão dele) (criar, atualizar e apagar o evento quando a aula muda ou é cancelada). Os eventos usam título genérico e não trazem nome de aluno.
O que não fazemos. Não vendemos nem transferimos dados do Google a terceiros, não os usamos para publicidade, para formar perfis ou para treinar modelos de inteligência artificial, e nenhuma pessoa lê esses dados, salvo com o seu consentimento expresso, para segurança/abuso ou por exigência legal. O uso e a transferência, pelo Turmify, das informações recebidas das APIs do Google seguem a Política de Dados de Usuário dos Serviços de API do Google (https://developers.google.com/terms/api-services-user-data-policy), incluindo os requisitos de Uso Limitado.
Como protegemos. As credenciais de acesso (tokens) são guardadas cifradas (AES-256-GCM) e vinculadas ao seu negócio; o acesso é isolado por negócio no banco de dados.
Como desconectar e apagar. Quem conectou pode desconectar a qualquer momento (o administrador em Configurações, o instrutor em Minha conta, na seção Google Agenda); ao desconectar, apagamos os tokens e paramos de sincronizar. Você também pode revogar o acesso diretamente em https://myaccount.google.com/permissions. Os eventos já criados permanecem no calendário do Google até serem apagados por você; para pedir a exclusão dos demais dados, use o contato da seção 18.
14. Integração com o WhatsApp (Meta)
O Turmify oferece, de forma opcional, o envio de mensagens por WhatsApp (lembretes, avisos, cobranças e comunicados). Cada negócio usa o próprio número de WhatsApp Business. A integração só é ativada quando um administrador do negócio conecta o número em Configurações e autoriza o acesso na tela da Meta (login do Facebook). Sem essa conexão, nenhum dado é enviado à Meta.
Quais dados recebemos da Meta. Ao conectar: o identificador e o número de exibição do telefone, o identificador da conta do WhatsApp Business do negócio e uma credencial de acesso (token) a essa conta. Do login do Facebook usamos apenas a autorização: não lemos nem guardamos o seu perfil, amigos, publicações ou outros dados da sua conta do Facebook.
Como usamos. Exclusivamente para enviar as mensagens que o negócio configurou e acompanhar a entrega. Para isso a Meta recebe o telefone do destinatário e o texto da mensagem. No Turmify guardamos o histórico de envio (destinatário, conteúdo e situação), pelo prazo da seção 7.
O que não fazemos. Não vendemos nem transferimos esses dados a terceiros, não os usamos para publicidade, para formar perfis ou para treinar modelos de inteligência artificial. A Meta trata os dados que recebe segundo a própria política (https://www.whatsapp.com/legal/privacy-policy); a transferência internacional está descrita na seção 6.
Como protegemos. A credencial de acesso é guardada cifrada (AES-256-GCM) e vinculada ao seu negócio; o acesso é isolado por negócio no banco de dados.
Como parar e apagar. O negócio pode, a qualquer momento: desativar as mensagens automáticas no Turmify; revogar o acesso do Turmify nas configurações da Meta (no Facebook: Configurações > Apps e sites, removendo o Turmify); e pedir a desconexão pelo contato da seção 18, quando apagamos a credencial e paramos de enviar. Quem recebe as mensagens pode deixar de recebê-las pelo link presente em cada mensagem (seção 8).
15. Como pedir a exclusão dos seus dados
Você pode pedir a exclusão dos seus dados a qualquer momento, inclusive dos dados recebidos por integrações com a Meta (WhatsApp, login do Facebook) e com o Google.
Como pedir. 1. Escreva para atendimento@turmify.com.br, a partir do e-mail cadastrado, com o assunto "Exclusão de dados". 2. Informe seu nome, o negócio em que você usa o Turmify e o que deseja excluir: a sua conta de usuário, a conexão com o WhatsApp (Meta), a conexão com o Google Agenda, ou todos os dados do negócio. 3. Para proteger você, podemos pedir a confirmação da sua identidade antes de apagar. 4. Respondemos no prazo legal, em até 15 dias, informando o que foi apagado.
O que é apagado. Os dados pessoais da conta, as credenciais de integração (tokens da Meta e do Google) e os demais dados pedidos, salvo o que a lei obriga a guardar.
O que podemos manter. Dados de cobrança e fiscais, pelo prazo das obrigações tributárias e contábeis, sem identificar a pessoa sempre que possível (seção 7). Registros necessários para cumprir obrigação legal ou defender direitos em processo.
Se você é aluno ou participante de um negócio. Os seus dados são controlados pelo negócio: peça a exclusão ou a anonimização a ele (seção 8). Se preferir, escreva para nós e encaminhamos o pedido.
Se você conectou o Facebook ou o WhatsApp. Além do pedido acima, você pode remover o Turmify nas configurações do Facebook (Configurações > Apps e sites). Isso impede novos acessos; para apagar também os dados que já guardamos, faça o pedido pelo e-mail acima.
16. Inscrições em aulas e eventos pelo link do negócio
Um negócio pode divulgar um link para você se inscrever sozinho em uma aula ou evento (por exemplo, uma corrida em grupo, uma aula experimental ou um workshop). Nesse caso, o negócio é o controlador dos dados da sua inscrição e o Turmify é o operador: a página é do Turmify, mas quem decide o evento, o valor, o kit e o que fazer com os dados é o negócio. Os seus direitos devem ser pedidos primeiro a ele (seção 8).
O que pedimos e por quê.
- Nome, e-mail e WhatsApp: identificar você, confirmar a inscrição e permitir que o organizador entre em contato sobre o evento. O WhatsApp é obrigatório nesta página.
- CPF: somente quando a inscrição é paga, porque o meio de pagamento (Asaas) exige.
- Tamanho do kit: quando o evento tem kit de boas-vindas, para o organizador separar o tamanho certo.
- Endereço de entrega: somente quando o organizador informa que o kit será enviado pelos Correios. É usado só para enviar o kit. Fica guardado apenas na inscrição (nunca no seu cadastro de aluno), visível somente para a equipe do negócio que gerencia a agenda, e é apagado automaticamente em até 30 dias depois do evento, ou antes, se a inscrição for cancelada ou não for concluída, ou quando a equipe apagar depois de enviar os kits. A página de inscrição repete esse aviso.
- Termo de responsabilidade e saúde: quando o organizador exige, você declara que está apto(a) à atividade física e assume a responsabilidade pelas informações. Guardamos apenas o aceite, com data e hora. A declaração não é uma avaliação de saúde e não registra condições de saúde.
- Aceite desta Política: guardamos o aceite, com data e hora.
Consulta de CEP. Para facilitar o preenchimento do endereço, a página consulta o CEP que você digitou. A consulta é feita pelos nossos servidores a serviços públicos de CEP (ViaCEP e BrasilAPI): eles recebem apenas o CEP, não o seu nome, o seu endereço completo nem o seu endereço IP. Se a consulta falhar, você preenche o endereço à mão.
Pagamento e taxa de serviço. O pagamento é processado pelo Asaas, na conta do próprio negócio. Em inscrições pagas, o Turmify pode cobrar do participante uma taxa de serviço, informada na página antes de você pagar e dividida no momento do pagamento diretamente para o Turmify. Para isso o Turmify trata os dados do pagamento da inscrição (valor, taxa, situação e identificador da cobrança). Não recebemos nem guardamos dados do seu cartão.
Listas do organizador. O negócio pode imprimir ou exportar a lista de quem se inscreveu para fazer o check-in no local. A folha traz nome, nível e situação do pagamento; a data de nascimento (ou, na falta dela, os quatro últimos dígitos do telefone) aparece somente quando há duas pessoas com o mesmo nome na aula, para distingui-las. O negócio é responsável por guardar essa lista com cuidado e descartá-la depois do evento. Quando há kit, a equipe pode exportar também os dados de entrega.
Cadastro. Se você ainda não é cadastrado no negócio, a inscrição cria um cadastro de interessado (lead) com os dados informados. Um cadastro que já existe nunca é alterado nem revelado pela página.
17. Mudanças nesta política
Podemos atualizar esta política. Quando a mudança for relevante, avisaremos na plataforma e pediremos uma nova ciência. A versão em vigor e a data estão no início deste documento.
18. Contato
RSB TECH LTDA (nome fantasia Turmify) — CNPJ 61.363.314/0001-43 — Rua Duque de Caxias, 436, Barueri/SP. Encarregado pelo tratamento de dados: Rafael Sant Anna Brito — atendimento@turmify.com.br.