Política de Privacidade

Vigente desde 20/10/2026

Esta Política explica quais dados pessoais o burp (o aplicativo e o site burp.fit) coleta, para que usa, com quem compartilha e como você exerce seus direitos, conforme a Lei Geral de Proteção de Dados Pessoais (LGPD, Lei 13.709/2018).

1. Quem é responsável pelos seus dados

O burp é operado por MATHEUS FELIPPE HAMMARSTROM TECNOLOGIA DA INFORMACAO LTDA, CNPJ 57.426.091/0001-49, com sede em Rua Pirambóia, Vila Carrão, São Paulo - SP, CEP 03425-030 (“nós”). Para qualquer assunto de privacidade, fale com nosso canal de atendimento ao titular: privacidade@burp.fit. Esse canal cumpre o papel de encarregado previsto no art. 41 da LGPD, na forma simplificada permitida a agentes de pequeno porte pela Resolução CD/ANPD nº 2/2022.

O burp é uma plataforma usada por academias (“Academia”) para organizar aulas, presenças e treinos dos seus alunos. Por isso há dois papéis:

Para os dados da sua conta (cadastro, login, preferências, segurança) e para operar o serviço, nós somos o controlador.
Para os dados que a sua Academia registra ou consulta sobre você (vínculo, plano, presenças, pagamentos lançados pela Academia ou recebidos pelo Asaas, orientações de treino, check-ins feitos nela pelo Wellhub ou pelo TotalPass), a Academia é a controladora e nós atuamos como operador, tratando esses dados apenas conforme as funcionalidades da plataforma. Pedidos sobre esses dados podem ser feitos a nós ou diretamente à sua Academia.

2. Quais dados coletamos

Categoria	Dados	Origem
Cadastro	Nome, e-mail, data de nascimento, senha (armazenada apenas como hash), foto de perfil (opcional), telefone (opcional)	Você
Vínculo com a Academia	Academia, função (aluno, treinador ou responsável), plano contratado com a Academia e sua validade, origem do vínculo (direto ou por parceiros como Wellhub e TotalPass) e, quando a Academia o registra, o seu ID no parceiro (no Wellhub, um número de 13 dígitos; no TotalPass, o código de usuário que chega com os seus check-ins)	Você e a Academia
Uso do produto	Check-ins em aulas, registros de treino (movimento, carga, repetições, tempo, observações que você escreve), recordes pessoais (PRs), unidade de medida e idioma preferidos, e se outros alunos veem um 🎂 ao lado do seu nome no seu aniversário. O horário habitual das suas aulas é inferido do seu histórico de check-ins, para destacar sua aula no app	Você; presenças podem ser registradas pela Academia
Ranking do treino	Se a sua Academia usa o ranking: o resultado que você registra em um bloco do treino (tempo, rounds e repetições, repetições ou carga) e o nível em que o fez (RX, Scale ou RX+); se você aparece no ranking; e em qual lista dele você aparece (Feminino, Masculino ou Não informar), que você escolhe no primeiro resultado e pode mudar em Perfil	Você
Prints de recordes de outro app	Somente se você importar seus recordes: as capturas de tela da tela de recordes do aplicativo que você usava antes, enviadas uma vez para lermos o nome e o valor de cada recorde. A imagem não é guardada; ficam só os recordes que você confere e importa	Você
Avisos por notificação	Somente se você ativar os avisos, em cada celular: o identificador de notificações do dispositivo (gerado pelo Expo a partir do identificador que a Apple ou o Google fornece ao celular, e associado a um identificador de instalação que o Expo cria para o aplicativo), o idioma do aplicativo nesse celular e o registro de envio dos avisos (qual aviso foi enviado para qual celular, e quando). Esses dados ficam vinculados à sua conta	Seu celular, quando você ativa os avisos; o registro de envio, nós
Pré-cadastro enviado pela Academia	Se a sua Academia chega ao burp vindo de outro sistema, ela pode nos enviar, antes de você criar sua conta, seu nome, e-mail, telefone, plano, valor e próximo vencimento, para que o seu plano já valha quando você entrar na Academia e para que ela possa convidar você. Esses dados nunca substituem o e-mail e o telefone da sua conta	Academia
Check-ins pelo Wellhub	Se a sua Academia liga o burp ao Wellhub e você faz check-in nela pelo app do Wellhub: o horário do check-in, se ele foi validado e por quem da equipe, e a aula em que você ficou. Para reconhecer você, comparamos o ID Wellhub registrado no seu cadastro e, quando o Wellhub o envia, o seu e-mail, que não guardamos	Wellhub, quando a Academia usa a integração
Visitante do Wellhub sem conta no burp	Quem faz check-in pelo Wellhub em uma Academia que usa o burp, sem ter conta no burp: nome e sobrenome, o ID Wellhub (13 dígitos), os horários do check-in e da validação e a aula em que a equipe colocou a pessoa. No app, só a equipe dessa Academia vê esses dados; os alunos não veem. Não guardamos e-mail, telefone, localização nem CPF, mesmo quando o Wellhub envia algum deles	Wellhub, quando a Academia usa a integração
Check-ins pelo TotalPass	Se a sua Academia liga o burp ao TotalPass e você faz check-in nela pelo app do TotalPass: o horário do check-in, o seu plano no TotalPass, se ele foi validado e por quem da equipe, e a aula em que você ficou. Para reconhecer você, comparamos o código TotalPass guardado no seu cadastro e o seu e-mail, que não guardamos. O código passa a ficar no seu cadastro quando o e-mail confere ou quando a Academia vincula o check-in a você	TotalPass, quando a Academia usa a integração
Visitante do TotalPass sem conta no burp	Quem faz check-in pelo TotalPass em uma Academia que usa o burp, sem ter conta no burp: nome, o código de usuário e o plano do TotalPass, os horários do check-in e da validação e a aula em que a equipe colocou a pessoa. No app, só a equipe dessa Academia vê esses dados; os alunos não veem. Não guardamos e-mail, telefone nem CPF, mesmo quando o TotalPass envia algum deles	TotalPass, quando a Academia usa a integração
Pagamentos lançados pela Academia	Valor, data, meio de pagamento e observações de pagamentos que a Academia registra como controle interno. Não coletamos número de cartão nem dados bancários	Academia
Pagamentos online (Pagar)	Se a sua Academia recebe pelo Asaas e você paga uma cobrança dela pelo aplicativo: o identificador de cliente que o Asaas dá a quem pagou, ligado ao seu cadastro, e, de cada pagamento, o valor, a data, o meio (Pix, boleto ou cartão) e a situação. O que quem paga digita na página do Asaas (nome, CPF, telefone, e-mail e os dados do cartão ou do banco) fica com o Asaas, conforme a política dele: o burp não guarda, não registra nem repassa esses dados	O Asaas, que avisa o burp de cada pagamento
Cobrança da assinatura (responsável pela Academia)	Se você é responsável por uma Academia e ativa a assinatura do burp: o CNPJ da Academia ou o seu CPF, o nome da Academia (ou o seu, quando a cobrança é no seu CPF), o seu e-mail e o seu telefone (WhatsApp, opcional). Você digita o CNPJ ou CPF e o telefone na página de Cobrança. Os dados vão para o Asaas, que emite a fatura e a nota fiscal da assinatura e usa o e-mail e o telefone para avisar você da fatura; o nome e o CNPJ ou CPF constam da nota fiscal	Você
Dados técnicos	Endereço IP e identificação do navegador ou dispositivo associados às sessões de login; registros técnicos (logs) de acesso e erros; no aplicativo, relatórios de falha (crash) e desempenho gerados automaticamente quando o app trava ou encontra um erro inesperado. Os relatórios de falha não incluem nome, e-mail nem dados de treino	Automática, ao usar o serviço
Registro de atividades	Cada alteração feita no burp, por uma pessoa ou automaticamente pelo sistema: quem fez (nome e função), a pessoa a quem ela se refere (nome), quando e em qual registro, por exemplo um check-in, um pagamento lançado ou excluído ou uma troca de plano. Para o preço do aluno, o dia de vencimento, o plano, a função, o valor de um pagamento, a situação de um check-in, o preço do plano e a carência, guardamos também o valor anterior e o novo. As tentativas recusadas também são registradas, com o motivo. Não guardamos textos livres, como observações	Automática, ao usar o serviço
Comunicações	E-mails que trocamos com você (por exemplo, redefinição de senha e suporte)	Você e nós
Contato pelo site	Quando você escreve pelo formulário de contato do site: seu nome, o nome do seu box, seu e-mail, seu WhatsApp, a faixa de quantos alunos o box tem e a mensagem. Usamos esses dados só para responder ao seu contato	Você
Denúncias	Quando você denuncia outro membro no aplicativo: o motivo, o texto que você escrever, quem denunciou, quem foi denunciado e a aula em que a pessoa aparecia. A denúncia vai para a nossa equipe de suporte, não para a Academia, e a pessoa denunciada não é avisada	Você

Sobre dados de saúde: registros de treino e recordes são dados de atividade física, não prontuários. Não pedimos nem armazenamos diagnósticos, lesões ou outras informações de saúde. Recomendamos que você e sua Academia não escrevam informações de saúde em campos de observação. Nunca usamos dados de treino para publicidade, marketing ou perfilamento.

O que não coletamos: localização, contatos, identificadores de publicidade, dados de integrações com aplicativos de saúde ou relógios, dados de pagamento com cartão. O identificador de notificações da tabela acima serve só para entregar avisos e não é um identificador de publicidade.

3. Para que usamos os dados e com que base legal

Prestar o serviço (criar e manter sua conta, fazer check-in, registrar treinos, mostrar sua agenda e seus recordes, destacar no app a aula do seu horário habitual (inferido do seu histórico de check-ins), permitir que a Academia gerencie aulas e planos e, se você informar um telefone, que fale com você por ligação ou WhatsApp): execução de contrato do qual você é parte (art. 7º, V).
Ranking do treino (mostrar aos membros da sua Academia o seu nome e o resultado que você registrou no treino do dia, na lista do seu nível e, se você escolheu, na de Feminino ou Masculino): legítimo interesse (art. 7º, IX), com a opção de sair do ranking a qualquer momento em Perfil → Preferências → Aparecer no ranking. Quem tem menos de 18 anos nunca aparece nele.
Aniversário e idade (mostrar à equipe da sua Academia, responsáveis e treinadores, o seu aniversário e a sua idade, calculados da data de nascimento; avisar a equipe, de manhã, de quem faz aniversário no dia; e mostrar um 🎂 ao lado do seu nome nas listas de aula nesse dia, também para outros alunos): legítimo interesse (art. 7º, IX), com a opção de esconder o 🎂 de outros alunos em Perfil → Preferências → Mostrar meu aniversário. Só a partir dos 18 anos: a data de quem tem menos de 18 serve apenas às regras de idade (seção 9). Quem tem 18 anos ou mais corrige a data em Perfil; antes disso, pelo suporte.
Segurança, suporte, resolução de disputas e prevenção a fraudes (sessões, IP, logs, registro de atividades, limites de acesso, análise de denúncias entre membros): legítimo interesse (art. 7º, IX) e cumprimento de obrigação legal quando aplicável.
Comunicações operacionais (redefinição de senha, avisos sobre sua conta ou sobre a assinatura da Academia): execução de contrato. Não enviamos publicidade.
Avisos por notificação (quando uma aula do seu horário habitual, identificado pelos seus check-ins, está quase lotada; para quem administra a Academia, quando alguém pede para entrar nela): consentimento (art. 7º, I), dado ao ativar os avisos e revogável a qualquer momento em Perfil → Preferências, em cada celular, ou nas configurações do celular.
Aviso de pedido para entrar (quando você pede para entrar em uma Academia, seu nome aparece no aviso enviado aos celulares de quem a administra e ativou os avisos): execução de contrato (art. 7º, V), pois é o pedido que você fez à Academia.
Check-ins pelo Wellhub e pelo TotalPass (receber o check-in, confirmar a visita no parceiro e mostrar à equipe da Academia quem chegou e em qual aula): execução de contrato do qual você é parte (art. 7º, V), o seu plano no Wellhub ou no TotalPass, que dá direito à visita. Tratamos esses dados como operador da Academia, que é a controladora, e só para isso.
Melhoria do produto e suporte (diagnóstico de erros, atendimento): legítimo interesse, sempre com o mínimo de dados necessário.
Obrigações legais e fiscais da nossa empresa (por exemplo, notas fiscais emitidas para a Academia): cumprimento de obrigação legal (art. 7º, II).

4. Com quem compartilhamos

Sua Academia: a equipe da sua Academia (responsáveis e treinadores) vê seu nome, foto, vínculo, presenças, treinos registrados e pagamentos lançados por ela ou recebidos pelo Asaas, porque a gestão da Academia é o propósito do serviço. Outros alunos veem apenas o que a funcionalidade mostra (por exemplo, quem confirmou presença em uma aula). Quando a Academia usa o ranking do treino, todos os membros dela, equipe incluída, veem o nome e o resultado de quem tem 18 anos ou mais e deixou Aparecer no ranking ligado; o resultado de quem tem menos de 18 anos ou desligou essa opção é visto só pela própria pessoa. Seu telefone, se você o informar, é visto apenas pelos responsáveis pela Academia, não pelos treinadores nem por outros alunos. Se você tem 18 anos ou mais, a equipe vê também o seu aniversário e a sua idade (seção 3).
Fornecedores que operam a plataforma (operadores), sob contrato e apenas para os fins acima: Vercel (hospedagem do site e da API, Estados Unidos), Neon (banco de dados, Estados Unidos), Resend (envio de e-mails transacionais, Estados Unidos), Google Workspace (nosso e-mail de atendimento), Functional Software, Inc. (Sentry, diagnóstico de falhas do aplicativo, do site e da API — relatórios de erro técnicos que, no site e na API, trazem os identificadores internos da sua conta e da sua Academia, nunca nome, e-mail ou o que você digita; Estados Unidos), 650 Industries, Inc. (Expo, envio de notificações, Estados Unidos), Apple Inc. (Apple Push Notification service, Estados Unidos), Google LLC (Firebase Cloud Messaging, Estados Unidos) e Anthropic, PBC (leitura das capturas de tela de recordes que você envia para importar; a Anthropic apaga o que recebe em até 30 dias e não usa as imagens para treinar modelos; Estados Unidos). Como esses serviços ficam fora do Brasil, ocorre transferência internacional de dados (art. 33), realizada com fornecedores que adotam cláusulas contratuais e medidas de segurança compatíveis com a LGPD.
Wellhub: para confirmar um check-in feito pelo Wellhub, informamos a ele o ID Wellhub da pessoa e a unidade da Academia, e nada mais. É essa confirmação que faz o Wellhub pagar a visita à Academia.
TotalPass: para confirmar um check-in feito pelo TotalPass, avisamos o TotalPass, no endereço que ele mandou com aquele check-in, que a visita foi validada, e nada mais. É essa confirmação que faz o TotalPass pagar a visita à Academia.
Asaas (Asaas Gestão Financeira Instituição de Pagamento S.A., CNPJ 19.540.550/0001-21, instituição de pagamento no Brasil), em duas situações:
- Pagamentos dos alunos. A Academia que recebe online contrata o Asaas diretamente e conecta a conta dela ao burp, que nela cria e cancela cobranças e links de pagamento por autorização da Academia (Termos de Uso, seção 4). Quem paga digita o próprio nome, CPF, telefone e e-mail na página do Asaas, não no burp: esses dados ficam com o Asaas, conforme a política de privacidade dele, e o burp não os guarda, não os registra nem os repassa. Nesses pagamentos a Academia é a controladora e o burp o operador (seção 1).
- Cobrança do burp à Academia. O Asaas também é quem cobra a assinatura da Academia pelo burp: recebe os dados descritos na seção 2 (CNPJ ou CPF, nome, e-mail e telefone) e emite a fatura e a nota fiscal.
Autoridades públicas, quando houver obrigação legal ou ordem de autoridade competente.
Empresa sucessora, se o burp passar a ser operado por outra empresa (por exemplo, uma empresa do mesmo sócio, ou em reorganização societária, fusão, incorporação, cisão ou venda do negócio). Nesse caso, os dados necessários para continuar o serviço passam à empresa sucessora, que assume esta Política. Antes da mudança, informaremos com destaque, por e-mail ou dentro do produto, quem passa a ser o controlador (art. 8º, §6º, e art. 9º, III, da LGPD).

Não vendemos dados pessoais, não os cedemos a corretores de dados e não os usamos para publicidade direcionada.

5. Cookies e armazenamento no dispositivo

No site usamos apenas cookies essenciais: o cookie de sessão (para manter você conectado) e a preferência de idioma. Não usamos cookies de publicidade ou de rastreamento entre sites. No aplicativo, o token da sua sessão fica no armazenamento seguro do dispositivo (Keychain no iOS, Keystore no Android). Se você ativar os avisos de aula, o identificador de notificações do celular e a sua escolha sobre os avisos ficam no armazenamento local do aplicativo, junto com o identificador de instalação que o Expo cria; no Android, o Firebase também guarda ali o identificador de instalação dele.

6. Por quanto tempo guardamos

Dados da conta e de uso: enquanto sua conta existir.
Capturas de tela de recordes de outro app: não são guardadas, existem só durante a leitura. Guardamos quando cada leitura aconteceu e quantas imagens e linhas ela teve, para limitar o uso, e os recordes que você importar.
Cadastro com e-mail não confirmado: se você se cadastrar e nunca confirmar o e-mail, o cadastro (nome, e-mail e senha) é apagado automaticamente 30 dias depois, sem aviso por e-mail — o endereço nunca foi confirmado. Depois disso, o endereço fica livre para um novo cadastro.
Identificador de notificações de um celular: fica registrado para enviar avisos até você desligar os avisos nesse celular, sair da conta nele ou o login expirar, o que ocorrer primeiro; ele também é apagado com a conta. O mesmo identificador aparece no histórico de avisos enviados, que guardamos por 90 dias, inclusive depois de você desligar os avisos ou sair da conta.
Identificadores de instalação criados quando você ativa os avisos: o do Expo fica no celular e no Expo e não é apagado ao desligar os avisos ou sair da conta; no Android, o do Firebase (Google) fica no celular até o aplicativo ser desinstalado ou ter seus dados apagados, e continua no Google, inclusive em cópias de segurança, até a exclusão automática por inatividade, que hoje ocorre após cerca de 270 dias.
Ao excluir sua conta (veja a seção 7), os dados são apagados imediatamente dos sistemas em produção; cópias de segurança são eliminadas em até 30 dias. Os pagamentos lançados pela Academia sobre você são excluídos junto com a conta. No registro de atividades, as alterações em que você aparece continuam guardadas com o seu nome até completarem 6 meses, apenas para segurança e resolução de disputas.
Pré-cadastro enviado pela Academia: fica guardado até a Academia removê-lo. Quando você entra na Academia, o telefone que ela enviou é apagado e fica só o vínculo com a sua conta, com o e-mail do sistema anterior, que a Academia não vê mais e que serve para reconhecer você se ela enviar a lista de novo. Se você excluir sua conta, o pré-cadastro é apagado com ela.
Check-ins pelo Wellhub: o nome e o ID Wellhub guardados com cada check-in são apagados 12 meses depois dele; se a Academia desliga a integração com o Wellhub, 30 dias depois do desligamento. Fica só o registro da visita, sem nome nem ID Wellhub. O ID Wellhub que a Academia registra no cadastro de um aluno fica com o cadastro, como os outros dados do vínculo. Quando termina o contrato do burp com o Wellhub, tudo o que veio do Wellhub é eliminado, inclusive esse ID.
Check-ins pelo TotalPass: o nome e o código TotalPass guardados com cada check-in são apagados 12 meses depois dele; se a Academia desliga a integração com o TotalPass, 15 dias depois do desligamento, junto com os códigos TotalPass guardados nos cadastros dos alunos. Fica só o registro da visita, sem nome nem código.
Academias com assinatura suspensa mantêm seus dados por 12 meses; depois disso, avisamos a Academia com 30 dias de antecedência antes de eliminar tudo.
Mensagens enviadas pelo formulário de contato do site: o registro é apagado automaticamente 12 meses depois do envio; o e-mail que a mensagem gera fica com as demais comunicações de atendimento.
Denúncias: o registro é apagado quando a conta de quem denunciou ou a de quem foi denunciado é excluída; o e-mail que a denúncia gera fica com as demais comunicações de suporte.
Registros técnicos (logs) são mantidos por período limitado, apenas para segurança e diagnóstico.
O registro de atividades fica guardado por 6 meses e depois é apagado automaticamente. Só a equipe do burp tem acesso a ele, para suporte, segurança e resolução de disputas. As Academias não veem esse registro.
Documentos que a lei nos obriga a guardar (por exemplo, fiscais, relativos ao contrato com a Academia) ficam pelo prazo legal.

7. Seus direitos e como exercê-los

Você pode, a qualquer momento (art. 18 da LGPD):

confirmar se tratamos seus dados e acessá-los;
corrigir dados incompletos, inexatos ou desatualizados;
pedir anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
pedir a portabilidade dos seus dados;
saber com quem compartilhamos seus dados;
revogar um consentimento e se opor a tratamentos que não dependam dele;
apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

Como fazer:

Editar seus dados: no aplicativo, em Perfil; no site, em Configurações.
Excluir sua conta: no aplicativo, em Perfil → Conta → Excluir conta; no site, em Configurações → Excluir conta; ou pelas instruções em burp.fit/conta/excluir. A exclusão é imediata e irreversível. Responsáveis por uma Academia com outros membros precisam antes transferir ou encerrar a Academia — fale com o suporte.
Demais pedidos: escreva para privacidade@burp.fit a partir do e-mail da sua conta. Respondemos em até 15 dias (art. 19).

8. Segurança

Senhas são armazenadas apenas como hash; toda a comunicação usa criptografia em trânsito (HTTPS); o acesso aos sistemas é restrito à equipe que precisa dele; as sessões expiram automaticamente. Em caso de incidente de segurança que possa causar risco ou dano relevante, comunicaremos a ANPD e os titulares afetados, conforme o art. 48 da LGPD.

9. Crianças e adolescentes

O burp é para pessoas com 13 anos ou mais; não aceitamos cadastro de crianças. Pedimos a data de nascimento no cadastro e, no aplicativo, consultamos a faixa etária informada pela App Store ou pelo Google Play (Lei 15.211/2025, art. 14). A data de quem tem menos de 18 anos e a faixa informada pela loja servem apenas para aplicar as regras de idade abaixo, e para nada mais (art. 13). A partir dos 18 anos, a data também mostra à equipe da Academia o aniversário e a idade (seção 3).

Quem tem entre 13 e 17 anos só entra em uma Academia depois que ela confirma, no burp, que tem a autorização por escrito do responsável legal. Registramos quem confirmou e quando.
Por padrão, outros alunos veem um adolescente apenas pelo primeiro nome e a inicial do sobrenome, sem foto (art. 7º). Donos e treinadores da Academia veem o perfil completo.
Quem tem menos de 18 anos não aparece no ranking do treino nem o vê. O resultado que ele registra é visto só por ele.
Tratamos os dados de adolescentes no seu melhor interesse (art. 14 da LGPD) e não os usamos para publicidade ou perfilamento.
Pais e responsáveis encontram essas informações, e como pedir correção ou exclusão, em burp.fit/parents. Se soubermos de uma conta de uma criança menor de 13 anos, a excluiremos.

10. Alterações desta Política

Podemos atualizar esta Política para refletir mudanças no produto ou na lei. A versão vigente fica sempre em burp.fit/privacidade, com a data de vigência no topo. Mudanças relevantes serão avisadas por e-mail ou dentro do produto.

11. Contato

MATHEUS FELIPPE HAMMARSTROM TECNOLOGIA DA INFORMACAO LTDA — CNPJ 57.426.091/0001-49 — Rua Pirambóia, Vila Carrão, São Paulo - SP, CEP 03425-030. Privacidade: privacidade@burp.fit. Suporte: suporte@burp.fit.