Política de privacidade

Política de Privacidade — Spotmatch

1. Quem somos e a quem esta Política se aplica

O Spotmatch (spotmatch.net) é uma plataforma de software como serviço (SaaS) para gestão de arenas e complexos esportivos: grade de reservas de quadras, mensalistas, turmas e check-ins (inclusive de benefícios corporativos como Wellhub, TotalPass e ClassPass), comandas/PDV do bar, cobranças por Pix, campeonatos, financeiro, planos de treino para academias, estúdios e personal trainers, e atendimento.

O Spotmatch é operado por Vitor Pacheco Costa, inscrita no CNPJ sob o nº 44.291.669/0001-55, com sede em Avenida Paulista, 1636 - Sala 1504 - Cerqueira César, São Paulo SP - CEP 01310-200 ("Spotmatch", "nós").

Esta Política explica como tratamos dados pessoais, nos termos da Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais — LGPD), da Lei nº 12.965/2014 (Marco Civil da Internet) e do Decreto nº 8.771/2016, e do Código de Defesa do Consumidor (Lei nº 8.078/1990 — CDC), quando aplicável. Ela se aplica a:

a) Usuários com conta no Spotmatch: donos(as), administradores(as), gerentes, recepcionistas e professores(as) das arenas, e pessoas que criam conta para abrir uma arena;

b) Clientes das arenas (atletas, alunos(as), locatários(as) de quadra, mensalistas, usuários(as) de benefícios corporativos e inscritos(as) em campeonatos), que em regra não têm conta no Spotmatch e cujos dados são cadastrados pela arena;

c) Visitantes do site spotmatch.net e das páginas públicas (página de pagamento de cobrança e páginas de campeonatos publicados).

Esta Política também vale para o app Spotmatch Aluno (Android e iOS), que usa a mesma conta do Spotmatch.

2. Papéis no tratamento: quando somos controladores e quando somos operadores

O Spotmatch é multiempresa: cada arena é um ambiente separado ("tenant"). Por isso há dois papéis distintos:

Se você é cliente de uma arena, quem decide sobre os seus dados é a arena. Para exercer seus direitos (acesso, correção, exclusão etc.), procure primeiro a arena. Se nos procurar, encaminharemos sua solicitação à arena responsável e apoiaremos a resposta, conforme o art. 39 da LGPD.

3. Quais dados pessoais tratamos

3.1 Usuários com conta

• Cadastro e login: nome; e-mail verificado (e e-mail pendente de confirmação, quando você troca de endereço); nome de usuário (para contas sem e-mail, criadas pela arena); senha, armazenada somente como hash (scrypt) — nunca em texto; data da última troca de senha.
• Login com Google (quando habilitado): identificador da conta Google, nome, e-mail verificado e foto de perfil fornecidos pelo Google. No momento, o login com Google está desabilitado.
• Registro profissional: número do CREF de professores(as), quando informado, para aprovar planos de treino.
• Vínculos com arenas: arenas das quais participa, papel (dono, administrador, gerente, recepcionista, professor), data de entrada e da última seleção, dias em que usou cada arena.
• Preferências: notificações por e-mail e no site, por tipo; caixa de notificações.
• Atendimento (Suporte): mensagens que você troca com a equipe do Spotmatch, chamados (tickets) e, junto de cada solicitação, um conjunto fixo de informações técnicas do navegador: tamanho de tela e janela, densidade de pixels, navegador, sistema operacional, idioma, fuso horário, suporte a toque, tema de cores, tipo de conexão, versão do sistema e a página em que você estava (sem parâmetros de URL), além do seu papel na arena e do plano da arena.
• Segurança: endereço IP e identificadores de login (estes como resumo criptográfico/hash) usados para limitar tentativas de acesso; tokens de links enviados por e-mail (armazenados apenas como hash SHA-256); registro de bloqueio de conta e de ações administrativas.
• Verificação de senha vazada: ao definir uma senha, consultamos o serviço Have I Been Pwned pelo método de anonimato-k: apenas os 5 primeiros caracteres do hash SHA-1 da senha são enviados; a senha e o hash completo nunca saem dos nossos servidores.

3.2 Arena (dados cadastrais e de assinatura)

Nome, identificador (slug), CNPJ, telefone, fuso horário, logo (imagem PNG ou JPEG, armazenada sem metadados EXIF, inclusive de localização), chaves Pix e nome/cidade do recebedor, credenciais de WhatsApp da própria arena (armazenadas cifradas), dados da assinatura do plano (plano, periodicidade, status, identificadores do pagador e da assinatura no Mercado Pago, pagamentos). Atenção: chaves Pix do tipo CPF, e-mail ou telefone identificam uma pessoa física; o sistema exibe um alerta ao cadastrá-las.

Não armazenamos dados de cartão de crédito. O pagamento da assinatura é concluído na página do Mercado Pago, que trata os dados de pagamento como controlador independente.

3.3 Clientes das arenas (tratados por nós como operador)

• Cadastro: nome completo, telefone/WhatsApp, e-mail (opcionais conforme a arena).
• Reservas e mensalidades: quadra, data e horário, valor, situação de pagamento, observações livres; para clientes avulsos, nome e telefone na própria reserva.
• Turmas: matrícula, presença (check-in), créditos de reposição.
• Benefícios corporativos: identificador do benefício (ex.: Wellhub ID de 13 dígitos, código de check-in), categoria do plano e resultado da validação junto ao parceiro. No caso do TotalPass, o aviso de check-in enviado pelo parceiro contém nome, código, CPF, e-mail e telefone do membro, mas guardamos apenas nome, código e plano; CPF, e-mail e telefone não são armazenados. Check-ins pendentes do TotalPass são apagados um dia após expirarem.
• Comandas/PDV: itens consumidos, valores, forma de pagamento e nome do pagador, quando informado.
• Cobranças: descrição, valor, vencimento, situação; link público de pagamento que exibe somente o primeiro nome do cliente, a descrição, o valor, o vencimento e a chave Pix da arena.
• Lembretes de cobrança por WhatsApp: quando a arena ativa o envio automático, enviamos, por meio da API oficial do WhatsApp (Meta), mensagens-modelo com primeiro nome, nome da arena, descrição, valor, vencimento e link da cobrança. Guardamos o status de entrega informado pela Meta. Não lemos as respostas enviadas pelo cliente.
• Campeonatos: nome e, se for o caso, nome da equipe; e-mail e WhatsApp do(a) responsável pela inscrição; nome e e-mail de cada atleta; aceite do regulamento. Os nomes dos atletas e equipes são exibidos publicamente nas tabelas do campeonato; contatos e cobranças não são publicados.

3.4 Planos e treinos (tratados por nós como operador)

Quando uma academia, um estúdio ou um personal trainer usa o módulo de planos e treinos, guardamos, em nome dele:

• Ficha do aluno: data de nascimento, sexo, objetivo, nível e tempo de treino, rotina (dias por semana, duração, local e equipamentos), exercícios de que gosta e os que não quer fazer, e observações do professor.
• Dados de saúde (dados pessoais sensíveis): restrições e lesões, condições de saúde, medicamentos e as respostas ao PAR-Q (questionário de prontidão para atividade física). Só são guardados enquanto houver consentimento registrado pelo professor: quem registrou, quando, a versão do texto e, para menores de 18 anos, o nome do responsável. Retirado o consentimento, esses dados são apagados na hora.
• Medidas: peso, altura, percentual de gordura e circunferências, com a data de cada avaliação.
• Planos de treino: exercícios, séries, repetições, carga e orientações. Um plano aprovado guarda uma cópia do nome e do CREF do profissional que o aprovou e não é reescrito.
• Imagens e vídeos de exercícios enviados pelo espaço, que podem mostrar quem demonstra o exercício.
• O Spotmatch não guarda hoje o registro dos treinos feitos pelo aluno (séries cumpridas, cargas usadas, treinos concluídos).

3.5 Anamnese, avaliações e documentos de saúde do espaço (tratados por nós como operador)

Quando você ou seu responsável autoriza, o espaço registra dados de saúde e hábitos: restrições, lesões, condições de saúde, medicamentos, cirurgias, internações, histórico familiar, tabagismo, frequência de consumo de álcool, sono, dor, gestação ou pós-parto, respostas do PAR-Q e sinais em repouso. Também pode registrar avaliações antropométricas datadas, composição corporal informada pelo profissional ou calculada pelo Spotmatch a partir das medidas, por equações publicadas, com a indicação de que é uma estimativa (nunca para menores de 18 anos), observações, fotos e atestados de liberação médica. As perguntas adicionais elaboradas pelo espaço e suas respostas são tratadas como dados de saúde; a resposta preserva a versão do formulário apresentada.

Esses dados ficam no cadastro do espaço responsável pela coleta e são acessíveis somente a seus profissionais autorizados e ao aluno ou responsável com vínculo ativo, conforme as regras de idade. Não são compartilhados com outros espaços, nem incorporados automaticamente às medidas pessoais da conta. Recepção e modo suporte não têm acesso a essa área.

Rascunho de interpretação por inteligência artificial. A pedido de um profissional do espaço, as medidas de uma avaliação e os valores calculados delas podem ser enviados, sem nome, contatos ou datas (dados pseudonimizados), ao provedor de inteligência artificial (seção 5), inclusive fora do Brasil (seção 6), para gerar um rascunho da interpretação. O rascunho só entra na avaliação depois de revisado pelo profissional. Perguntas personalizadas, suas respostas, observações, fotos e atestados não são enviados à inteligência artificial.

A autorização é específica para este tratamento e para cada espaço. Para menores, ela deve ser dada pelo responsável. O termo de responsabilidade registra a versão, quem declarou e quando; ele não substitui liberação médica. Sem conta, um convite de uso único permite apenas enviar respostas, após a identificação verificada pelo espaço e o aceite do texto apresentado, sem revelar dados anteriores.

Você pode retirar a autorização pelo app ou solicitar a retirada ao espaço. A retirada apaga os registros desta área e impede imediatamente a leitura dos arquivos; os arquivos sem referência são apagados pela rotina de limpeza em até cerca de 1 dia. O app não mantém cópias persistentes dos dados dessa área no aparelho. O relatório PDF é produzido sob autenticação e pode ser impresso pelo profissional autorizado. Uma cópia impressa ou exportada deve ser protegida por quem a recebeu.

3.6 Visitantes

• Dados técnicos de navegação coletados pela nossa infraestrutura (Cloudflare): endereço IP, data e hora, URL acessada, agente de usuário (navegador) e dados de desempenho.
• Métricas de audiência pelo Cloudflare Web Analytics, que, segundo o fornecedor, não utiliza cookies nem identificadores persistentes do visitante.

3.7 Dados que não coletamos

O app Spotmatch Aluno usa a localização aproximada do aparelho, só durante o uso e com a sua permissão, para buscar espaços por perto. Ela não fica salva.

Campos de texto livre (observações de reservas, descrições de cobranças etc.) não devem conter dados pessoais sensíveis; a arena é responsável pelo que sua equipe digita. As observações da ficha e as orientações dos planos de treino também são texto livre e podem citar a saúde do aluno.

4. Para que usamos os dados e com quais bases legais

Os únicos dados pessoais sensíveis que tratamos de forma intencional são os dados de saúde da ficha de treino, da anamnese e das avaliações físicas (inclusive fotos) e dos atestados, e só com consentimento registrado. Não vendemos dados pessoais e não usamos dados dos clientes das arenas para finalidades próprias (como publicidade).

5. Com quem compartilhamos

Compartilhamos dados apenas com fornecedores necessários para operar o serviço (suboperadores), com a arena à qual os dados pertencem e quando exigido por lei ou ordem judicial:

Pagamentos dos clientes às arenas (Pix) são feitos diretamente da conta do cliente para a chave Pix da arena, por QR Code estático. O Spotmatch não recebe, não intermedeia e não guarda esses valores, nem tem acesso aos dados bancários do pagador.

6. Transferência internacional de dados

Alguns fornecedores acima armazenam ou processam dados fora do Brasil (especialmente nos Estados Unidos). Essas transferências ocorrem com base no art. 33 da LGPD e na Resolução CD/ANPD nº 19/2024, mediante cláusulas-padrão contratuais ou outros mecanismos válidos adotados com cada fornecedor, e com medidas de segurança como criptografia em trânsito. É o caso do provedor de inteligência artificial (seção 5), que pode processar, fora do Brasil, os dados de treino e de avaliações enviados sem identificação direta do aluno.

7. Cookies e tecnologias semelhantes

Usamos apenas cookies estritamente necessários ao funcionamento do serviço:

Não usamos cookies de publicidade nem de rastreamento entre sites. As métricas de audiência (Cloudflare Web Analytics) não usam cookies. Você pode bloquear cookies no seu navegador, mas o login deixará de funcionar.

8. Por quanto tempo guardamos os dados

Dados podem ser mantidos por mais tempo quando necessário para cumprir obrigação legal ou regulatória, ou para o exercício regular de direitos (art. 16 da LGPD).

9. Seus direitos

Nos termos do art. 18 da LGPD, você pode solicitar: confirmação da existência de tratamento; acesso; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade; portabilidade; eliminação dos dados tratados com base no consentimento; informação sobre compartilhamentos; informação sobre a possibilidade de não fornecer consentimento e suas consequências; revogação do consentimento; e oposição a tratamento baseado em legítimo interesse, além de revisão de decisões automatizadas (art. 20) — o Spotmatch não toma decisões exclusivamente automatizadas que afetem seus interesses. Os rascunhos de planos de treino e de interpretação de avaliações por inteligência artificial não são decisões tomadas unicamente com base em tratamento automatizado (art. 20 da LGPD): um profissional revisa cada um antes que faça parte do plano ou da avaliação. Você pode pedir explicações sobre os critérios usados.

Como exercer (usuários com conta):

• Acessar e baixar seus dados (portabilidade): em Conta › Privacidade › Baixar meus dados (JSON).
• Excluir a conta: em Conta › Privacidade › Excluir conta. Se você for o(a) único(a) dono(a) de uma arena, precisará antes transferir a propriedade ou encerrar a arena. Dados que você registrou nas arenas (clientes, reservas, check-ins, comandas) pertencem a elas e permanecem lá, sem vínculo com sua conta.
• Notificações: em Conta › Notificações.

O passo a passo para excluir a conta ou parte dos dados, inclusive para quem não consegue entrar, está em https://spotmatch.net/excluir-conta.

Donos(as) de arena podem exportar todos os dados da arena e encerrá-la em Dados da arena.

Clientes das arenas: solicite à arena. A arena pode corrigir ou excluir seus dados e, se você não quiser receber lembretes de cobrança, marcar sua oposição. Alunos com ficha de treino podem revogar o consentimento (art. 18, IX) e pedir a eliminação dos dados de saúde tratados com base nele (art. 18, VI) sem excluir a conta nem o cadastro na arena: os dados de saúde são apagados quando a arena retira o consentimento. O mesmo vale para a anamnese e as avaliações, cuja autorização também pode ser retirada pelo app.

Também atendemos pelo e-mail do Encarregado (seção 11) e respondemos em até 15 dias (prazo do art. 19, II, da LGPD para o acesso, que adotamos para todos os pedidos). Pedidos sobre dados de uma arena são encaminhados a ela (art. 39 da LGPD). Poderemos pedir informações para confirmar sua identidade. Você também pode peticionar à Autoridade Nacional de Proteção de Dados (ANPD) e aos órgãos de defesa do consumidor.

10. Segurança

Adotamos medidas técnicas e administrativas, entre elas: senhas com hash scrypt e verificação contra vazamentos; limitação de tentativas de login; links de acesso de uso único, armazenados apenas como hash; sessões revogáveis; isolamento dos dados de cada arena e controle de acesso por papel; segurança em nível de linha (RLS) em todas as tabelas do banco contra acesso pela API pública do Supabase; credenciais de pagamento, de parceiros e de WhatsApp cifradas com AES-256-GCM; armazenamento privado de imagens, sem metadados; registros (logs) que descartam segredos e mascaram e-mails; cabeçalhos de segurança HTTPS (HSTS etc.); registro de auditoria das ações administrativas e de cada acesso em modo de suporte.

Nenhum sistema é totalmente seguro. Em caso de incidente de segurança que possa acarretar risco ou dano relevante, comunicaremos a ANPD e os titulares afetados, nos termos do art. 48 da LGPD e da Resolução CD/ANPD nº 15/2024, e, quando atuarmos como operador, informaremos a arena controladora sem demora.

11. Encarregado pelo tratamento de dados (DPO)

Encarregado: Vitor Pacheco Costa E-mail: vitor.pacheco@spotmatch.net Endereço para correspondência: Avenida Paulista, 1636 - Sala 1504 - Cerqueira César, São Paulo SP - CEP 01310-200

12. Crianças e adolescentes

O Spotmatch é uma ferramenta de gestão destinada a arenas e às suas equipes; contas de usuário são destinadas a maiores de 18 anos. Arenas podem cadastrar alunos(as) e atletas menores de idade (por exemplo, em escolinhas e campeonatos). Nesses casos, a arena é a controladora e deve tratar os dados no melhor interesse da criança ou do adolescente e obter o consentimento específico de pelo menos um dos pais ou responsável legal quando exigido (art. 14 da LGPD), evitando, por exemplo, publicar nomes de crianças em campeonatos sem autorização. Na ficha de treino, na anamnese e nas avaliações de um menor de 18 anos, os dados de saúde só são aceitos com o consentimento registrado em nome do responsável, e a composição corporal não é calculada por equação.

13. Alterações desta Política

Podemos atualizar esta Política. A versão vigente estará sempre em https://spotmatch.net/legal/politica-de-privacidade, com a data de atualização. Mudanças relevantes serão avisadas por e-mail ou no próprio sistema.

14. Legislação e foro

Esta Política é regida pelas leis brasileiras. Para titulares consumidores, fica assegurado o foro do seu domicílio (CDC, art. 101, I).

Última atualização: 23/10/2026.