LGPD PARA ACADEMIAS

1. O que é a LGPD

A Lei Geral de Proteção de Dados (LGPD) é a legislação brasileira que regulamenta o tratamento de dados pessoais por pessoas físicas e jurídicas. Entrou em vigor em 2020 e foi sancionada para garantir ao cidadão o controle sobre seus dados pessoais. Academias de jiu-jitsu, por coletarem dados de alunos (nome, contato, dados de saúde/lesão, pagamentos), são consideradas controladoras dos dados e precisam se adequar.

2. Dados que academias coletam

• Identificação: nome, e-mail, telefone, data de nascimento, foto.
• Dados de treino: faixa, graus, data de início, presença em aulas, avaliações de desempenho.
• Dados financeiros: status de mensalidades, histórico de pagamentos, plano contratado. No Checkout Transparente, os dados do cartão de crédito são tokenizados no dispositivo do aluno e nunca armazenados pela plataforma.
• Dados de cobrança familiar: quando alunos são vinculados a um pagador chefe, os valores são consolidados em uma única cobrança familiar.
• Dados de pedidos da Loja: quando o aluno compra produtos físicos, masterclasses ou ingressos de seminário, registramos produto, valor, status do pedido, retirada ou acesso digital. Não armazenamos dados de cartão (tokenização via SDK do Mercado Pago). As regras de troca, devolução e reembolso estão na Política da Loja.
• Dados processados por IA: perguntas ao Mestre IA, histórico de check-ins e metas do Coach, e tendências de conteúdo do Estúdio — processados por modelos de linguagem externos sob contrato.
• Dados sensíveis (potencial): lesões relatadas, condições de saúde que afetem o treino.
• Dados de menores: dados de crianças e adolescentes (categoria kids/teen), que exigem consentimento parental.

3. Base legal para o tratamento

A LGPD exige que todo tratamento de dados tenha uma base legal. Para academias, as mais comuns são:

• Consentimento: o titular concorda explicitamente com o tratamento (ex: uso de foto em redes sociais).
• Execução de contrato: tratamento necessário para cumprir o contrato de prestação de serviços (ex: controle de mensalidade).
• Cumprimento de obrigação legal: retenção de dados fiscais, por exemplo.
• Legítimo interesse: comunicação sobre aulas, reengajamento de alunos inativos — desde que não viole direitos do titular.

4. Direitos do titular dos dados

O aluno (titular dos dados) tem os seguintes direitos sobre seus dados, que a academia deve garantir:

• Acesso: saber quais dados a academia possui sobre ele.
• Correção: solicitar correção de dados incorretos ou desatualizados.
• Portabilidade: receber seus dados em formato estruturado (exportação).
• Anonimização/Exclusão: solicitar a exclusão ou anonimização dos dados.
• Revogação de consentimento: retirar o consentimento a qualquer momento.
• Informação: saber como e por que os dados são tratados (Política de Privacidade).

O BJJ EASY implementa esses direitos diretamente no painel do aluno: exportação de dados em um clique, solicitação de correção e canal de contato com o administrador.

5. Consentimento parental (kids)

Para alunos menores de 18 anos (categorias kids e teen), a LGPD exige o consentimento dos pais ou responsável legal antes do tratamento dos dados. O BJJ EASY registra o consentimento parental no cadastro do aluno: nome do responsável que consentiu, data do consentimento e flag de confirmação. Esse registro é auditável e fica vinculado ao perfil do aluno.

6. Medidas de segurança recomendadas

• Senhas armazenadas com hash (nunca em texto plano).
• Controle de acesso por perfil (administrador, professor, aluno) — Row-Level Security no banco de dados.
• Tokens de gateway de pagamento criptografados (AES-256-GCM).
• Tokenização de cartão de crédito no dispositivo do aluno (Checkout Transparente) — número e CVV nunca trafegam pelo backend.
• Split de comissão automático (1%) via marketplace_fee do Mercado Pago — sem custódia de valores pela plataforma.
• Links de pagamento com assinatura HMAC anti-tampering e allowlist de domínios confiáveis.
• Logs de auditoria para alterações sensíveis (ex: status de pagamento, graduações).
• Política de Privacidade pública e acessível.
• Canal formal para exercício de direitos do titular.

7. Como o BJJ EASY ajuda na conformidade

• Exportação de dados: o aluno exporta todos os seus dados em formato estruturado pelo painel.
• Solicitação de correção/exclusão: canal formal dentro da plataforma (DataSubjectRequest).
• Consentimento parental: registro documentado para menores.
• Controle de acesso por perfil: RLS no banco garante que cada usuário só vê o que pode.
• Auditoria de pagamentos: toda alteração de status de pagamento é rastreável (quem, quando, motivo).
• Política de Privacidade pública: publicada em bjjeasy.com/privacidade.
• Revogação de integrações: integrações como Google Ads podem ser desconectadas a qualquer momento, removendo os tokens.

8. Tratamento de dados por Inteligência Artificial

O BJJ EASY oferece três agentes de IA que tratam dados do aluno. A base legal é o legítimo interesse (melhoria da experiência de treino) e o consentimento (quando o aluno interage explicitamente). Cada agente acessa apenas os dados estritamente necessários:

• Mestre IA: pergunta do aluno + perfil (faixa, graus, tempo de treino) → resposta técnica personalizada. Registrado no perfil do aluno.
• Coach: check-ins, metas, streak e avaliações → insights semanais e análise mensal. Entregues no painel do aluno.
• Estúdio de Conteúdo: tendências de busca + dados públicos da academia → conteúdo de marketing. Não acessa dados individuais de alunos.

Os modelos de linguagem (Google Gemini) operam sob contrato de processamento, sem armazenamento permanente dos dados. O aluno pode revogar o consentimento a qualquer momento nas configurações da conta. A academia é responsável por informar aos alunos que seus dados podem ser processados por IA para fins de melhoria da experiência.

Além dos agentes conversacionais (que respondem a perguntas do usuário), a plataforma conta com motores de insights proativos que analisam dados automaticamente, sem interação, e geram sugestões no painel:

• Insights do Administrador: analisa status de alunos, frequência, pagamentos, campanhas do Google Ads, vendas da loja e preços de concorrentes (via Google Maps) para gerar sinais de gestão quinzenais no painel do admin. A base legal é o legítimo interesse da gestão da academia.
• Insights do Aluno: analisa progresso de graduação, frequência de treino, streak, ranking e status de mensalidade do aluno autenticado para gerar insights motivacionais semanais. A base legal é o legítimo interesse de melhoria da experiência de treino.

Os motores de insights não são agentes conversacionais — apenas processam dados existentes e geram sugestões automaticamente. Não inventam dados: os sinais são detectados por regras determinísticas e a IA apenas os traduz em linguagem natural. Os insights podem ser dispensados pelo titular a qualquer momento.

9. Responsabilidade compartilhada

A BJJEASY atua como controladora dos dados de acesso (contas de administrador) e cada academia atua como operadora dos dados dos seus alunos. A academia é responsável por obter o consentimento dos alunos, manter a Política de Privacidade acessível e responder às solicitações dos titulares. A plataforma fornece as ferramentas técnicas para viabilizar essa conformidade, mas a responsabilidade legal pelo tratamento dos dados dos alunos permanece com a academia.