Politica de Privacidade

1. Introdução

Esta Política de Privacidade descreve como o Judo360 coleta, utiliza, armazena, compartilha e protege os dados pessoais dos seus usuários (alunos, professores, responsáveis legais e administradores), em conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais - LGPD), o Marco Civil da Internet (Lei nº 12.965/2014), o Código de Defesa do Consumidor (Lei nº 8.078/1990) e o Estatuto da Criança e do Adolescente (Lei nº 8.069/1990 - ECA).

O Judo360 é uma plataforma educacional digital voltada ao ensino, registro e acompanhamento da prática do judô. Compreendemos que o tratamento de dados pessoais - especialmente de menores e dados sensíveis relacionados à saúde - exige responsabilidade, transparência e cuidado redobrado. Por isso, escrevemos esta política em linguagem clara, acessível e direta, conforme determina o Art. 6º, VI e o Art. 9º da LGPD.

Ao se cadastrar, utilizar ou navegar pelo Judo360, você declara ter lido, compreendido e concordado com esta Política de Privacidade. Caso não concorde com algum item, recomendamos não utilizar a plataforma.

2. Glossário (Termos Definidos)

Para facilitar o entendimento, definimos os principais termos utilizados nesta política:

• Dado Pessoal: qualquer informação relacionada a pessoa natural identificada ou identificável (Art. 5º, I).
• Dado Pessoal Sensível: dado sobre saúde, vida sexual, dado genético, biométrico, origem racial, convicção religiosa, opinião política, filiação a sindicato ou organização (Art. 5º, II). No Judo360, são sensíveis: restrição médica, descrição médica e tipo sanguíneo.
• Titular: a pessoa natural a quem os dados pessoais se referem (você, seu filho/dependente).
• Controlador: Pedro Akira Santos Matoba ME (Judo360), responsável pelas decisões sobre o tratamento.
• Operador: terceiro que trata dados em nome do controlador (ex.: Hostinger, Google).
• Encarregado (DPO): pessoa indicada para atuar como canal entre controlador, titulares e ANPD (Art. 41).
• Tratamento: toda operação com dados pessoais (coleta, uso, armazenamento, compartilhamento, eliminação etc.).
• Consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento (Art. 5º, XII).
• Anonimização: processo que impede a identificação do titular, considerando meios técnicos razoáveis disponíveis (Art. 12).
• ANPD: Autoridade Nacional de Proteção de Dados, autarquia federal responsável por fiscalizar a LGPD.
• Incidente de Segurança: evento que possa acarretar risco ou dano relevante aos titulares (Art. 48).
• Base Legal: hipótese prevista nos Arts. 7º (dados comuns) ou 11 (dados sensíveis) que autoriza o tratamento.
• LIA (Legitimate Interest Assessment): avaliação documentada de balanceamento entre legítimo interesse do controlador e direitos do titular (Art. 10).
• ROPA: Registro das Operações de Tratamento (Art. 37).
• RIPD/DPIA: Relatório de Impacto à Proteção de Dados Pessoais (Art. 38).

3. Quem Somos e Modelo de Negócio

O Judo360 é um SaaS (Software as a Service) educacional voltado ao judô brasileiro, atualmente em fase de BETA fechado, sem cobrança ativa. A plataforma é multi-tenant e atende quatro perfis distintos:

• Aluno: pratica judô em uma academia parceira e acompanha sua evolução técnica.
• Professor: registra progressos, gradua faixas e gerencia turmas (aprovação manual pela administração).
• Responsável Legal: cadastra menores sob sua guarda e acompanha sua jornada.
• Administrador: equipe interna do Judo360.

Durante o período BETA, o acesso é gratuito mediante cupom de convite (ex.: MONTEZANO concede 6 meses gratuitos). Não há, neste momento, integração com gateways de pagamento - inclusive Stripe não está integrado nem processa qualquer dado seu hoje.

4. Princípios que Seguimos (Art. 6º da LGPD)

• Finalidade: tratamos dados apenas para os fins informados nesta política.
• Adequação: compatibilidade entre tratamento e finalidades.
• Necessidade: coletamos o mínimo de dados necessários (minimização).
• Livre acesso: você pode consultar seus dados a qualquer tempo.
• Qualidade dos dados: mantemos dados exatos e atualizados.
• Transparência: escrevemos esta política em linguagem clara.
• Segurança: adotamos medidas técnicas e administrativas (Art. 46).
• Prevenção: agimos para evitar danos aos titulares.
• Não discriminação: não usamos dados para fins discriminatórios ilícitos.
• Responsabilização e prestação de contas (accountability): documentamos nossas práticas (Programa de Governança em Privacidade - Art. 50).

5. Quais Dados Coletamos

5.1. Dados de Identificação

• Nome completo (obrigatório no cadastro).
• Nome social (opcional - usado em telas e certificados quando informado).
• Data de nascimento (no perfil; obrigatória para dependentes menores).
• Gênero (opcional - inclui opção "prefiro não informar").
• Foto de perfil (opcional; pode vir do Google quando você usa login social). Não realizamos qualquer processamento biométrico (não há reconhecimento facial). Visibilidade da foto: professor vinculado e administração interna. Para menores, fotos nunca são utilizadas em material publicitário/comercial e podem ser removidas a qualquer momento pelo responsável.
• CPF (campo presente no banco de dados como opcional; não coletado em formulário no MVP BETA). Quando ativarmos cobrança e emissão de nota fiscal, solicitaremos CPF conforme proporcionalidade. Finalidade futura: identificação fiscal e prevenção de duplicidade. Base legal futura: execução de contrato (Art. 7º, V) ou obrigação legal/tributária (Art. 7º, II). Retenção futura: enquanto a conta existir + prazo de guarda fiscal (5 anos).
• RG (campo presente no banco de dados como opcional; não coletado em formulário no MVP BETA). Caso solicitado no futuro, será apenas para validação de identidade em contextos específicos (ex.: certificado de graduação). Base legal futura: consentimento ou execução de contrato. Não compartilhado externamente.
• Chapa ID / identificador federativo (preenchido pela administração quando aplicável).

5.2. Dados de Contato

• E-mail do titular (obrigatório - usado como login).
• E-mail do responsável legal (quando cadastra menor - é o mesmo do titular adulto que faz o cadastro).
• Telefone celular do titular (opcional, no perfil - para comunicação urgente).
• Telefone do responsável legal (opcional, quando há cadastro de menor).
• Telefone de contato de emergência (nome, parentesco, telefone do terceiro - quando ativado no perfil).
• WhatsApp como canal: o uso de WhatsApp para comunicações não-transacionais (marketing, novidades) depende de consentimento separado e específico, ainda não solicitado no MVP.
• Contato de Emergência - aviso especial: trata-se de um terceiro cujos dados são fornecidos por você. A base legal para tratamento desses dados de terceiro é tutela da vida e da incolumidade física (Art. 7º, VII). Você se compromete a informar o terceiro sobre o cadastro. O terceiro pode solicitar exclusão escrevendo para privacidade@judo360.com.br.

5.3. Dados Relacionados à Prática do Judô

• Faixa atual e histórico de graduações.
• Tempo de prática e academia de origem.
• Objetivo na modalidade.
• Para professores: CREF (obrigatório), formação acadêmica, anos de experiência.
• Progresso técnico, notas pessoais de treino, técnicas estudadas.
• Vínculo com academia atual (campo academia_atual_id). Ao trocar de academia, o professor anterior perde acesso imediato aos seus dados pessoais identificáveis e sensíveis. O histórico técnico não-sensível permanece com você na sua conta. Detalhes do procedimento em Seção 12 e Seção 15.5.

5.4. Dados Pessoais Sensíveis (Art. 11 da LGPD)

Estes dados recebem proteção reforçada e somente são tratados com seu consentimento específico e destacado (Art. 11, I), coletado em tela dedicada separada do aceite geral dos termos, com aviso claro sobre a natureza sensível do dado:

• Possui restrição médica (sim/não).
• Descrição da restrição médica - compartilhada apenas com o professor vinculado, sob princípio da necessidade de saber.
• Tipo sanguíneo - para uso em emergências.

Bases legais aplicáveis (revisão importante):

• Base primária: Consentimento específico e destacado do titular ou do responsável legal (Art. 11, I).
• Base secundária para uso emergencial: Proteção da vida ou incolumidade física do titular ou de terceiro (Art. 11, II, "g") - aplicável em situações concretas de emergência durante treino ou competição.

Importante: o Judo360 não invoca a hipótese do Art. 11, II, "f" (tutela da saúde por profissionais ou serviços de saúde) pois somos plataforma educacional e o professor de judô não atua como profissional de saúde no sentido legal.

Você pode usar o Judo360 sem informar restrição médica ou tipo sanguíneo - estes campos são opcionais. No entanto, a não concessão ou revogação do consentimento pode tornar inviável a participação em treinos/competições por questões de segurança física, decisão que cabe ao professor/academia local. Você será previamente informado dessa consequência (Art. 9º, II + Art. 18, VIII).

5.5. Dados de Menores de Idade (Art. 14 da LGPD)

Quando um responsável legal cadastra um dependente menor, coletamos:

• Nome do menor, data de nascimento e faixa atual.
• Vínculo de parentesco do responsável (pai, mãe, avô/avó, tutor legal, outro).
• Vínculo de responsabilidade legal (campo responsavel_id) - identifica o responsável legal que cadastrou e administra a conta do menor. Mantido enquanto a vinculação existir; em caso de rompimento (maioridade, transferência de guarda), atualizado mediante solicitação com comprovação documental.

Garantias específicas para menores:

• O menor não possui login independente: o acesso à conta ocorre apenas pelo responsável legal.
• Não solicitamos e-mail real do menor (geramos um identificador interno, não funcional para login).
• Validação server-side de idade: a data de nascimento do dependente deve indicar idade inferior a 18 anos.
• Registro auditável do consentimento do responsável: persistimos data, IP, user-agent, versão da política e vínculo declarado em tabela de consentimentos, em cumprimento ao Art. 14, §5º (esforços razoáveis para verificar consentimento).
• Não direcionamos publicidade a menores.
• Resumo desta política em linguagem adaptada para adolescentes está disponível na área de Perfil.

5.6. Dados de Autenticação e Sessão

• Senha (armazenada exclusivamente como hash bcrypt - nunca em texto claro).
• Tokens de verificação de e-mail e reset de senha (com expiração).
• Token de sessão, endereço IP e User-Agent (necessários para manter login, detectar sessões suspeitas e cumprir o Marco Civil).

5.7. Dados Recebidos via Google OAuth (Login Social)

Quando você usa "Entrar com Google", recebemos da Google os escopos mínimos openid, email e profile:

• ID único Google (sub), e-mail e e-mail verificado.
• Nome, sobrenome, foto de perfil.

Não acessamos seu Google Drive, Contatos, Agenda ou qualquer outro serviço Google.

5.8. Dados de Uso e Comportamento

• Papel do usuário na plataforma (aluno, professor, responsável, admin) - usado para controle de acesso e funcionalidades.
• Data de cadastro e último acesso (visível para professor vinculado, para fins pedagógicos).
• XP (pontos de experiência), nível atual, técnicas visualizadas - constituem um perfil de progresso individual usado para gamificação educacional, nos termos do Art. 12, parágrafo único (perfis comportamentais). Não há ranking público entre alunos no MVP; caso seja introduzido, será opt-in. Para menores, esses dados não são compartilhados externamente nem usados para inferências comerciais.
• Tentativas de login (para antifraude e bloqueio temporário).
• Cupom de convite utilizado.
• Status de aprovação (para professores).

5.9. Dados Financeiros

No momento, o Judo360 não coleta nem processa dados financeiros (cartão de crédito, conta bancária, CPF para faturamento). O Stripe não está integrado e não processa nenhum dado seu hoje. Quando integrarmos meios de pagamento, atualizaremos esta política com 30 dias de antecedência e solicitaremos novo aceite quando aplicável.

6. Por Que Coletamos: Finalidades e Bases Legais

Princípio importante: cada finalidade específica tem uma única base legal definida. Quando o mesmo dado serve a finalidades distintas (ex.: telefone para contato urgente e para marketing), tratamos como finalidades separadas, com bases legais separadas. Mantemos LIA documentado (Art. 10) para cada uso de legítimo interesse, com balanceamento entre expectativa e impacto - o resumo do LIA pode ser solicitado em privacidade@judo360.com.br.

6.1. Tabela: Dado / Finalidade / Base Legal / Retenção / Compartilhamento

Dado	Finalidade	Base Legal (LGPD)	Retenção	Compartilhado com
Nome, e-mail, senha (hash)	Criar e manter conta; login	Execução de contrato (Art. 7º, V)	Enquanto a conta existir; após exclusão, dados estritamente necessários para defesa em juízo mantidos em bloqueio por até 3 anos (CDC, Art. 27) ou anonimizados	Hostinger (operador)
Nome social	Personalização e respeito à identidade	Execução de contrato (Art. 7º, V)	Enquanto a conta existir	Hostinger; visível a professor vinculado
Data de nascimento	Validar idade, classificação por turma	Execução de contrato (Art. 7º, V)	Enquanto a conta existir	Professor vinculado
Gênero	Personalização do perfil; categorias competitivas	Consentimento (Art. 7º, I)	Até revogação ou exclusão da conta	Professor vinculado
Foto de perfil	Personalização do perfil	Consentimento (Art. 7º, I)	Até revogação ou exclusão da conta	Professor vinculado; outros usuários autorizados
CPF (futuro)	Identificação fiscal e emissão de nota fiscal	Obrigação legal/tributária (Art. 7º, II)	5 anos (prazo fiscal)	Operadores fiscais futuros (a declarar)
RG (futuro)	Validação de identidade em contextos específicos	Consentimento (Art. 7º, I)	Enquanto a conta existir	Não compartilhado externamente
Telefone celular (contato urgente)	Comunicação urgente operacional	Execução de contrato (Art. 7º, V)	Enquanto a conta existir	Professor/academia vinculada
Telefone celular (marketing)	Comunicação promocional/novidades	Consentimento (Art. 7º, I)	Até revogação	Não compartilhado externamente
Telefone do responsável legal	Comunicação relacionada ao menor sob responsabilidade	Execução de contrato (Art. 7º, V) + Art. 14	Enquanto vínculo de responsabilidade existir	Professor/academia do menor
Contato de emergência (terceiro)	Acionamento em emergência durante treino/competição	Proteção da vida (Art. 7º, VII)	Enquanto a conta existir	Professor/academia vinculada
Faixa, progresso, técnicas	Funcionalidade central da plataforma	Execução de contrato (Art. 7º, V)	Enquanto a conta existir; histórico pode ser anonimizado após exclusão	Professor/academia vinculada
Vínculo academia atual	Identificar comunidade de prática do aluno	Execução de contrato (Art. 7º, V)	Enquanto vínculo existir; ao desvincular, acesso do professor anterior revogado imediatamente	Apenas academia atual
CREF, formação (professor)	Verificação profissional CONFEF	Execução de contrato (Art. 7º, V)	Enquanto a conta existir + 3 anos para defesa em juízo	Apenas administração interna
Restrição médica, descrição médica, tipo sanguíneo (sensíveis)	Segurança em treino; emergência	Consentimento específico e destacado (Art. 11, I); subsidiariamente, proteção da vida/incolumidade física em emergência (Art. 11, II, "g")	Enquanto a conta existir; eliminação imediata em caso de revogação ou exclusão	Professor vinculado (necessidade de saber). Em emergência: socorristas/serviços de saúde envolvidos
Dados de menor (nome, nascimento, faixa)	Cadastro de dependente para acompanhamento	Consentimento específico do responsável (Art. 14, §1º)	Enquanto vinculação com responsável existir	Professor/academia vinculada
Vínculo responsável-dependente	Controle de guarda e acesso	Art. 14 + Execução de contrato	Enquanto vinculação existir; atualizado mediante comprovação	Não compartilhado externamente
IP, User-Agent, logs de sessão	Segurança e antifraude	Legítimo interesse (Art. 7º, IX) - com LIA documentado	Enquanto a conta existir, com finalidade de segurança	Hostinger (operador); autoridades mediante ordem judicial
Logs de acesso (IP de conexão)	Cumprimento Marco Civil da Internet	Obrigação legal (Art. 7º, II)	6 meses (Art. 15, Marco Civil)	Hostinger; autoridades mediante ordem judicial
E-mail (transacional: verificação, reset)	Operação da conta	Execução de contrato (Art. 7º, V)	Tokens: 24h. Logs SMTP: conforme política Hostinger	Hostinger SMTP
Dados Google OAuth	Login social	Consentimento (Art. 7º, I) na autorização Google	Enquanto vínculo OAuth existir	Google (controlador independente quanto à conta Google)
XP, nível, técnicas visualizadas	Gamificação educacional	Execução de contrato (Art. 7º, V)	Enquanto a conta existir	Não compartilhado externamente
Último acesso, data de cadastro	Visibilidade pedagógica e engajamento	Execução de contrato (Art. 7º, V)	Enquanto a conta existir	Professor vinculado
Tentativas de login, bloqueio temporário	Antifraude	Legítimo interesse (Art. 7º, IX) - com LIA documentado	Enquanto a conta existir	Não compartilhado externamente
Cupom de convite usado	Auditoria de captação	Legítimo interesse (Art. 7º, IX) - com LIA documentado	3 anos	Não compartilhado externamente
Logs de auditoria administrativa (quem acessou o quê)	Segurança, responsabilização, defesa em incidente	Legítimo interesse (Art. 7º, IX) + Art. 37	12 meses	Não compartilhado externamente

7. Compartilhamento de Dados (Art. 39 da LGPD)

O Judo360 não vende dados pessoais. Compartilhamos dados apenas com operadores estritamente necessários à prestação do serviço, autoridades públicas quando exigido por lei, e dentro da própria plataforma conforme as funcionalidades.

7.1. Compartilhamento Interno (entre usuários da plataforma)

• Professor vê os dados do aluno vinculado: nome, foto, faixa, progresso, restrição médica (quando informada e consentida), contato de emergência, último acesso.
• Responsável vê os dados do dependente que cadastrou.
• Administração interna tem acesso para aprovar professores, dar suporte e cumprir obrigações legais, com logs de auditoria de cada acesso.

7.2. Operadores e Terceiros

Terceiro	Função	Dados Compartilhados	Local	Política/DPA	Status do DPA
Hostinger	Hospedagem, banco MariaDB, SMTP transacional	Todos os dados armazenados; conteúdo de e-mails transacionais	Brasil (servidor primário)	hostinger.com.br/politica-privacidade hostinger.com/legal/data-processing-agreement	DPA disponibilizado pela Hostinger via hPanel; aceito pelo controlador
Google LLC	Login OAuth	Para login: e-mail, IP, User-Agent ao acessar accounts.google.com	EUA / global	policies.google.com/privacy cloud.google.com/terms/data-processing-addendum	DPA padrão da Google + Standard Contractual Clauses (SCCs) da UE
Google Fonts (auto-hospedado em build)	Tipografia (Outfit, Montserrat, Noto Sans JP)	Nenhum em runtime - fontes auto-hospedadas via next/font/google em build-time, sem chamada externa ao carregar a página	N/A (build-time)	policies.google.com/privacy (apenas no build)	N/A
Google (avatares)	Servir foto de perfil para usuários com login OAuth	IP do visitante ao carregar a imagem de lh3.googleusercontent.com	EUA / global	policies.google.com/privacy	Coberto pelo DPA Google
Google (YouTube/YouTube-nocookie)	Embeds de vídeo educacional	IP, User-Agent, URL de referência quando você interage com o player (variante nocookie reduz cookies mas não zera)	EUA / global	policies.google.com/privacy	Coberto pelo DPA Google
Cloudflare (cdnjs)	CDN de bibliotecas estáticas (Font Awesome, GSAP)	IP e User-Agent na request ao CDN	Global (edge)	cloudflare.com/privacypolicy/	DPA público da Cloudflare aplicável ao uso de CDN público. Avaliação em curso para migração a self-host e eliminação deste operador
jsDelivr	CDN do framework Bootstrap	IP e User-Agent na request ao CDN	Global (Polônia/UE como sede)	jsdelivr.com/terms/privacy-policy-jsdelivr-net	Política pública. Avaliação em curso para migração a self-host
Autoridades públicas	Cumprimento de ordem judicial, requisição da ANPD, Receita Federal, MP, polícia	Estritamente o solicitado	Brasil	Conforme legislação aplicável	N/A

Telemetria Next.js (Vercel): a aplicação não é hospedada em Vercel. A telemetria anônima do Next.js encontra-se desabilitada em produção via variável de ambiente NEXT_TELEMETRY_DISABLED=1 - portanto, não há transferência de dados de build/runtime ao Vercel.

7.3. Stripe (Pagamentos) - Futuro

O Stripe não está integrado e não processa nenhum dado seu hoje. Comunicações públicas que mencionavam Stripe estão sendo revistas para refletir essa realidade. Quando ativarmos a cobrança, atualizaremos esta política indicando dados compartilhados (nome, e-mail, dados de cartão tokenizados), local de processamento (EUA/UE), DPA assinado e mecanismo de transferência internacional.

7.4. Atendimento a Requisições de Autoridades

Toda requisição é submetida a procedimento de validação:

• Validamos autenticidade e fundamentação legal da requisição.
• Atendemos apenas o estritamente especificado, com aplicação do princípio da proporcionalidade.
• Notificamos o titular sobre a requisição quando legalmente permitido (havendo decretação de sigilo ou risco à investigação, a notificação é diferida).
• Requisições manifestamente ilegais ou desproporcionais são impugnadas administrativa ou judicialmente.
• Mantemos registro interno (transparency log) de todas as requisições recebidas, atendidas ou recusadas.

8. Transferência Internacional de Dados (Arts. 33 a 36)

O servidor primário do Judo360 está localizado no Brasil (Hostinger). Os operadores que envolvem transferência internacional e os respectivos mecanismos de garantia são:

Operador	País de destino	Base de transferência (Art. 33)	Salvaguarda contratual
Google LLC (Login OAuth, avatares, YouTube)	EUA	Inciso VIII - consentimento específico do titular ao usar o login social ou ao reproduzir o vídeo	DPA da Google Cloud + Standard Contractual Clauses (SCCs) da UE como salvaguarda contratual complementar (inciso II)
Cloudflare (cdnjs)	Global / EUA	Inciso II - cláusulas-padrão contratuais (DPA Cloudflare)	DPA público da Cloudflare; avaliação em curso para self-host e eliminação do operador
jsDelivr	Global; sede Polônia (UE)	Inciso II - operador sediado na UE, jurisdição com nível de proteção alinhado ao GDPR; avaliação em curso para self-host	Termos públicos do jsDelivr

Aplicamos minimização de dados em todas as transferências e revisamos continuamente a necessidade de cada operador.

9. Cookies e Tecnologias de Rastreamento

O Judo360 utiliza apenas cookies estritamente necessários ao funcionamento da plataforma:

Cookie / Token	Categoria	Finalidade	Duração	Base Legal
judo360.session_token	Estritamente necessário	Manter você autenticado	30 dias (renovado diariamente)	Execução de contrato
judo360.csrf	Estritamente necessário	Proteção contra CSRF	Sessão	Legítimo interesse (segurança)

Declaração expressa de não uso:

• Não utilizamos cookies analíticos, de marketing ou de publicidade.
• Não utilizamos Google Analytics, Meta Pixel, TikTok Pixel ou similares.
• Não utilizamos fingerprinting de dispositivo para tracking.
• Não utilizamos localStorage nem sessionStorage para finalidades de rastreamento - apenas para conveniência operacional não identificadora.
• Fontes Google são auto-hospedadas em build-time (next/font/google) - sem chamada externa em runtime.

Cookies de terceiros em embeds YouTube: embeds de YouTube (mesmo na variante youtube-nocookie) podem definir cookies/storage no domínio youtube.com quando você interage com o player. Esse tratamento é de responsabilidade da Google e regido pela política de privacidade do Google.

Como todos os cookies usados pelo Judo360 são essenciais, não exibimos banner de consentimento de cookies, conforme orientação da ANPD (Guia de Cookies e Proteção de Dados Pessoais, 2022). Caso passemos a adotar cookies não essenciais, implementaremos banner de consentimento com opt-in granular, sem pré-marcação, com botão "rejeitar" tão acessível quanto o "aceitar".

10. Seus Direitos como Titular (Art. 18 da LGPD)

A LGPD garante a você os seguintes direitos, exercíveis gratuitamente e a qualquer tempo:

• I. Confirmação da existência de tratamento dos seus dados.
• II. Acesso aos dados que temos sobre você.
• III. Correção de dados incompletos, inexatos ou desatualizados.
• IV. Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade.
• V. Portabilidade dos seus dados para outro fornecedor.
• VI. Eliminação dos dados tratados com base em consentimento.
• VII. Informação sobre entidades com as quais compartilhamos seus dados.
• VIII. Informação sobre a possibilidade de não consentir e suas consequências.
• IX. Revogação do consentimento, a qualquer momento.
• X. Oposição ao tratamento (Art. 18, §2º): quando o tratamento se basear em hipótese que dispensa consentimento (ex.: legítimo interesse, execução de contrato) e você entender que há descumprimento da LGPD, você pode se opor ao tratamento. A oposição é distinta da revogação de consentimento - a oposição se aplica quando o tratamento não dependia de consentimento, mas você questiona sua legalidade.
• XI. Revisão de decisões automatizadas (Art. 20) - ver Seção 16.
• XII. Petição perante a ANPD contra o controlador (Art. 18, §1º).

10.1. Como Exercer Seus Direitos

Envie sua solicitação para privacidade@judo360.com.br, informando:

• Nome completo e e-mail cadastrado.
• Descrição clara do direito que deseja exercer.
• Comprovação de identidade (poderemos solicitar dados de validação).

Prazo de resposta: imediato em formato simplificado; até 15 (quinze) dias para resposta completa (Art. 19, II). Gratuito (Art. 19).

Atendimento prioritário a responsáveis legais: quando o titular for menor, a solicitação do responsável legal recebe atendimento prioritário com linguagem adaptada e sem jargão jurídico, conforme Art. 14 e Art. 6º, VI.

10.2. Procedimento de Portabilidade

A portabilidade é entregue em formato estruturado JSON ou CSV, no prazo de 15 dias, com o seguinte escopo:

• Incluso: dados de cadastro, dados de perfil fornecidos por você, histórico de graduações, XP/nível, histórico de aulas como aluno, registros de consentimento.
• Não incluso: anotações pedagógicas do professor sobre você (segredo profissional / dado de terceiro), dados já anonimizados, dados de terceiros (ex.: contato de emergência).

Procedimento conforme Resolução CD/ANPD nº 4/2023.

10.3. Bloqueio de Conta

O bloqueio é um direito distinto da eliminação:

• Você pode solicitar bloqueio - seus dados ficam isolados, sem uso operacional, mas preservados.
• Duração definida por você ou indefinida até nova decisão sua.
• Reativação mediante validação de identidade.
• Bloqueio compulsório pode ocorrer em caso de suspeita de fraude, investigação em curso ou ordem judicial.
• Diferença: bloqueio é reversível; eliminação é definitiva.

10.4. Anonimização versus Eliminação - Direito de Escolha

Quando o tratamento for fundamentado em consentimento (Art. 7º, I ou Art. 11, I), você tem direito a eliminação integral, salvo hipóteses do Art. 16. Para outras bases legais, podemos optar pela anonimização em vez de eliminação, mas sempre informamos previamente sobre a rota adotada e oferecemos recurso para reavaliação. Caso discorde, você pode escalar à ANPD.

11. Tratamento de Dados de Menores (Art. 14 da LGPD)

O Judo360 leva especialmente a sério a proteção de crianças e adolescentes, sempre observando seu melhor interesse.

• Crianças (menores de 12 anos): o cadastro só pode ser realizado por pai, mãe, tutor ou responsável legal, com consentimento específico e destacado.
• Adolescentes (12 a 17 anos): também são cadastrados pelo responsável legal. Em alinhamento ao Enunciado CD/ANPD nº 1/2023, o tratamento observa o desenvolvimento e o melhor interesse do adolescente.
• O menor não possui login próprio. O acesso à conta é feito exclusivamente pelo responsável legal.
• Não coletamos do menor mais do que o estritamente necessário (nome, data de nascimento, faixa). Não condicionamos a participação a informações adicionais.
• Não direcionamos publicidade a menores.
• Validação server-side de idade: a data de nascimento do dependente é validada para garantir que se trata de menor de 18 anos.
• Verificação do consentimento do responsável: empregamos esforços razoáveis para verificar o consentimento (Art. 14, §5º), incluindo (a) verificação do e-mail do responsável; (b) declaração formal de responsabilidade civil pelo cadastro; (c) registro auditável persistido em tabela de consentimentos com data, IP, user-agent e versão da política.
• Linguagem adequada ao menor (Art. 14, §6º): um resumo desta política em linguagem adaptada está acessível a partir do Perfil do menor.
• O responsável pode, a qualquer momento, solicitar correção, anonimização ou eliminação dos dados do dependente.

12. Dados Sensíveis e Saúde (Art. 11 da LGPD)

Tratamos dados sensíveis (restrição médica, descrição médica, tipo sanguíneo) sob as seguintes bases legais:

• Base primária: Consentimento específico e destacado (Art. 11, I) - coletado em tela dedicada, separada do aceite geral dos termos, com aviso explícito sobre a natureza sensível dos dados e suas finalidades.
• Base secundária para uso emergencial: Proteção da vida ou incolumidade física do titular ou de terceiro (Art. 11, II, "g") - aplicável a situações concretas de emergência durante treinos e competições.

Esclarecimento técnico: não invocamos a hipótese de "tutela da saúde por profissionais ou serviços de saúde" (Art. 11, II, "f"), pois o Judo360 é plataforma educacional e o professor de judô não atua como profissional de saúde no sentido estrito da lei.

Esses dados são:

• Acessíveis apenas ao professor vinculado (princípio da necessidade de saber).
• Não compartilhados com terceiros externos, exceto socorristas/serviços de saúde em emergência efetiva.
• Não utilizados para qualquer finalidade comercial, publicitária ou de vantagem econômica (vedação expressa do Art. 11, §3º).
• Eliminados imediatamente em caso de revogação do consentimento ou exclusão da conta.

Trocas de academia/professor: ao desvincular-se de uma academia ou professor, o acesso desse profissional aos seus dados sensíveis é revogado imediatamente. Se houver novo vínculo, o consentimento para compartilhamento com o novo profissional é solicitado novamente (consentimento renovado por destinatário), garantindo seu controle sobre quem acessa essas informações.

Consequência da não concessão ou revogação: você pode usar o Judo360 sem informar restrição médica ou tipo sanguíneo. No entanto, a não concessão pode tornar inviável sua participação em treinos/competições por questões de segurança física, decisão que cabe ao professor/academia. Você é previamente informado dessa consequência (Art. 9º, II + Art. 18, VIII).

13. Consentimento - Como Coletamos e Granularidade

Em conformidade com os Arts. 5º, XII, 8º, 9º e 11, §1º da LGPD, coletamos consentimento de forma granular, livre, informada e inequívoca:

• Checkbox separados no cadastro: (i) aceito Termos de Uso; (ii) aceito Política de Privacidade; (iii) opcional - aceito receber marketing/novidades.
• Tela dedicada para dados sensíveis: ao preencher informações de saúde no Perfil, exibimos aviso destacado e botão específico "Autorizo o tratamento dos meus dados de saúde para [finalidade]".
• Persistência auditável: registramos data do aceite, IP, user-agent e versão da política em tabela de consentimentos.
• Revogação tão simples quanto o consentimento: pelo menu Perfil ou e-mail ao DPO.
• Marketing e WhatsApp: sempre opt-in granular separado; nunca empacotado com aceite de termos.

14. Segurança da Informação (Arts. 46 a 49 da LGPD)

Adotamos medidas técnicas e administrativas para proteger seus dados:

14.1. Medidas Técnicas

• HTTPS/TLS obrigatório em toda a aplicação.
• Senhas armazenadas exclusivamente como hash bcrypt.
• Tokens de sessão com expiração e rotação periódica.
• Rate limiting para prevenir ataques de força bruta.
• Bloqueio temporário de conta após tentativas de login falhas.
• Cookies com flags HttpOnly, Secure e SameSite.
• Content Security Policy (CSP) restritiva.
• Backups periódicos do banco de dados (Hostinger).
• Princípio do menor privilégio no acesso administrativo.
• Logs de auditoria administrativa: mantemos registro de quais administradores acessaram quais dados pessoais e sensíveis, retidos por 12 meses, para fins de segurança e responsabilização.

14.2. Medidas Administrativas

• Acesso administrativo restrito a pessoal autorizado.
• Contratos de operação (DPA) com terceiros relevantes - status documentado na Seção 7.
• Plano de resposta a incidentes.
• Revisão periódica desta política (ao menos anualmente).
• Programa de Governança em Privacidade (PGP) em desenvolvimento contínuo, conforme Art. 50.

Nenhuma medida é 100% infalível. Adotamos práticas razoáveis e proporcionais ao porte da operação, mas não podemos garantir segurança absoluta contra ataques sofisticados ou ações de terceiros mal-intencionados.

15. Comunicação de Incidentes (Art. 48 da LGPD + Res. CD/ANPD nº 15/2024)

15.1. Procedimento Geral

Caso ocorra incidente de segurança que possa acarretar risco ou dano relevante aos titulares, seguimos o fluxo:

• Comunicação inicial à ANPD: em até 3 (três) dias úteis do conhecimento do incidente, contendo informações preliminares disponíveis, via Sistema de Petições da ANPD (e-Petic).
• Comunicações complementares à ANPD: conforme avança a investigação, atualizamos as informações nos prazos da Resolução CD/ANPD nº 15/2024.
• Comunicação aos titulares afetados: em até 3 dias úteis após delimitação do escopo do incidente, ou imediatamente quando houver risco iminente (ex.: vazamento de credenciais ativas).
• Mantemos registro interno de todos os incidentes, ainda que não notificáveis, conforme Art. 37.

15.2. Critérios de Avaliação de "Risco ou Dano Relevante"

Avaliamos: (a) natureza, volume e sensibilidade dos dados afetados; (b) facilidade de identificação dos titulares; (c) potencial de uso indevido; (d) gravidade dos efeitos para o titular (financeiros, reputacionais, físicos); (e) facilidade de reverter o dano.

15.3. Conteúdo Mínimo da Comunicação

• Descrição da natureza dos dados afetados.
• Informações sobre titulares envolvidos.
• Medidas técnicas e de segurança adotadas.
• Riscos relacionados.
• Motivos da demora, se aplicável.
• Medidas adotadas ou a adotar para reverter/mitigar efeitos.

15.4. Incidentes Envolvendo Menores

Quando o incidente afeta criança ou adolescente, aplicamos procedimento reforçado:

• Comunicação ao responsável legal cadastrado por e-mail e, quando disponível, por telefone, no prazo de até 72 horas após confirmação.
• Em incidentes de alto risco envolvendo menor, possibilidade de comunicação ao Conselho Tutelar e/ou Ministério Público, conforme Arts. 13 e 17 do ECA.
• Linguagem adaptada ao responsável, evitando jargão jurídico (Art. 6º, VI da LGPD + Art. 14, §6º).
• Canal: privacidade@judo360.com.br com atendimento prioritário para responsáveis legais.

15.5. Eliminação em Backups - Janela Definida

Dados eliminados da base produtiva são removidos dos backups na próxima rotação programada, em até 90 dias. Durante esse período, os dados ficam isolados, criptografados e não acessíveis para uso operacional, sendo utilizados exclusivamente para recuperação de desastre.

Você também pode reportar suspeitas de incidente para privacidade@judo360.com.br.

16. Retenção e Eliminação de Dados (Arts. 15 e 16)

16.1. Política de Retenção Diferenciada

Aplicamos prazos diferenciados conforme a natureza do dado:

Categoria de Dado	Prazo de Retenção	Fundamento
Dados de cadastro e conteúdo (durante uso ativo)	Enquanto a conta estiver ativa	Execução de contrato
Dados estritamente necessários para defesa em juízo após exclusão (nome, e-mail, registro de aceites, logs de transações relevantes)	Até 3 anos em modo de bloqueio (não usados operacionalmente, apenas disponíveis para defesa)	CDC Art. 27 (fato do serviço/produto); Art. 16, I LGPD
Demais dados pessoais após exclusão	Eliminação imediata ou anonimização	Art. 16 LGPD
Logs de acesso (IP, User-Agent)	6 meses	Marco Civil da Internet, Art. 15
Dados fiscais (futuro, com cobrança)	5 anos	Legislação tributária
Dados sensíveis (saúde)	Eliminação imediata em caso de revogação ou exclusão	Art. 11 + princípio da necessidade
Tokens temporários (verificação, reset)	24 horas	Boa prática de segurança
Logs de auditoria administrativa	12 meses	Legítimo interesse + Art. 37
Backups	Eliminação na próxima rotação após exclusão (até 90 dias)	Art. 46 (segurança operacional)

16.2. Procedimento de Eliminação e Anonimização (Art. 12)

Ao final do prazo de retenção ou mediante solicitação do titular:

• Os dados são eliminados de bases produtivas e backups (conforme rotação de até 90 dias).
• Alternativamente, podem ser anonimizados para fins estatísticos e de melhoria do produto - nesse caso, deixam de ser considerados dados pessoais (Art. 12).
• Direito de escolha do titular: quando o tratamento for baseado em consentimento, garantimos a eliminação integral. Para outras bases legais, podemos optar pela anonimização, sempre informando previamente.

16.3. Eliminação para Aluno Vinculado a Professor/Academia

Quando o titular solicita eliminação e há vínculo ativo com professor/academia:

• Dados de cadastro e contato pessoal: eliminação imediata.
• Histórico de graduações e registros pedagógicos: convertidos em registro anonimizado mantido pelo professor/academia para fins pedagógicos e cumprimento de obrigação regulatória CREF (Art. 16, II e IV).
• O titular é informado da rota (eliminação vs anonimização residual) antes da execução.
• Caso discorde da anonimização residual, pode escalar para ANPD.

16.4. Mudança de Vínculo Acadêmico (Troca de Academia/Professor)

• Ao desvincular-se, o professor anterior perde acesso imediato aos dados pessoais identificáveis e sensíveis do aluno.
• O histórico pedagógico pode ser anonimizado e mantido pelo professor anterior para estatísticas/relatórios CREF.
• O aluno mantém seu histórico integral em sua conta.
• A academia anterior não recebe notificação do novo vínculo - preservando a privacidade do aluno na transição.

17. Decisões Automatizadas (Art. 20 da LGPD)

O Judo360 utiliza algumas decisões automatizadas que podem afetar interesses do titular. Em conformidade com o Art. 20, §1º, esclarecemos abaixo:

Decisão Automatizada	Lógica Geral	Impacto
Bloqueio temporário antifraude	Após N tentativas de login falhas em curto intervalo, a conta é bloqueada temporariamente por período crescente	Impossibilita login até desbloqueio (tempo ou intervenção)
Cálculo de XP e nível	Pontos atribuídos por ações pedagógicas (assistir técnica, registrar treino) acumulam XP; faixas de XP definem nível	Define ranking pessoal de progresso (não há ranking público no MVP)
Gating de técnicas por faixa	Técnicas avançadas só aparecem para usuários com faixa compatível, com base no currículo CBJ	Restringe visualização de conteúdo específico

Direito de revisão (Art. 20): você pode solicitar revisão por pessoa natural dessas decisões enviando e-mail para privacidade@judo360.com.br, indicando a decisão específica e a justificativa. Responderemos em até 15 dias.

Decisões relevantes não-automatizadas (aprovação de professores, graduações de faixa) sempre envolvem revisão humana.

18. Avaliação de Impacto à Proteção de Dados (DPIA / RIPD)

Em razão do tratamento de dados sensíveis (saúde) e de menores, o Judo360 mantém em elaboração contínua seu Relatório de Impacto à Proteção de Dados Pessoais (RIPD/DPIA), conforme Art. 38 da LGPD, contendo:

• Descrição dos tipos de dados coletados.
• Metodologia utilizada para coleta e segurança.
• Análise das salvaguardas e mecanismos de mitigação de risco.

O relatório pode ser solicitado pela ANPD a qualquer momento.

19. Registro de Operações de Tratamento (Art. 37)

Mantemos registro interno (ROPA) de todas as operações de tratamento de dados pessoais, especialmente daquelas fundamentadas em legítimo interesse. Para cada uso de legítimo interesse (Art. 7º, IX), mantemos LIA (Legitimate Interest Assessment) documentado conforme Art. 10, com balanceamento entre expectativa do titular e impacto do tratamento. O resumo do LIA pode ser solicitado em privacidade@judo360.com.br.

20. Direito de Reclamação e ANPD

Se você considerar que seus direitos não foram adequadamente atendidos, pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD):

• Site: www.gov.br/anpd
• Canal de denúncia: www.gov.br/anpd/pt-br/canais_atendimento/cidadao-titular-de-dados

Sugerimos que, antes de acionar a ANPD, entre em contato conosco em privacidade@judo360.com.br - resolveremos o quanto antes, gratuitamente.

21. Alterações Desta Política

Esta política pode ser atualizada para refletir mudanças legais, novas funcionalidades ou ajustes operacionais. Quando houver alteração relevante:

• Comunicaremos por e-mail e/ou aviso na plataforma com pelo menos 30 dias de antecedência.
• Manteremos histórico de versões acessível mediante solicitação.
• Quando a alteração impactar tratamento baseado em consentimento, solicitaremos novo aceite.

Caso você não concorde com as alterações, poderá encerrar sua conta antes da entrada em vigor.

22. Lei Aplicável e Foro

Esta Política é regida pelas leis da República Federativa do Brasil, em especial pela LGPD (Lei nº 13.709/2018), Marco Civil da Internet (Lei nº 12.965/2014), Código de Defesa do Consumidor (Lei nº 8.078/1990) e Estatuto da Criança e do Adolescente (Lei nº 8.069/1990).

Fica eleito o foro da comarca de domicílio do titular para dirimir quaisquer controvérsias - cláusula pró-titular conforme CDC.

Antes de acionamento judicial, recomendamos: (i) tentativa de solução amigável via privacidade@judo360.com.br; (ii) opcionalmente, protocolização de denúncia gratuita na ANPD (Seção 20).

23. Contato e Encarregado (DPO)

24. Versão e Vigência

Versão: 2.0
Data de publicação: 02 de junho de 2026
Data da última atualização: 02 de junho de 2026
Próxima revisão programada: junho de 2027 (ou antes, em caso de mudança relevante).

Esta Política de Privacidade foi elaborada em linguagem clara conforme o Art. 6º, VI e o Art. 9º da LGPD, e está em conformidade com o Guia de Elaboração de Termo de Uso e Política de Privacidade (PPSI/Governo Digital), Guia de Cookies da ANPD (2022), Resolução CD/ANPD nº 2/2022, Resolução CD/ANPD nº 4/2023, Resolução CD/ANPD nº 15/2024 e Enunciado CD/ANPD nº 1/2023.