Política de Privacidade do VelUP

Última atualização: 5 de novembro de 2026

Esta Política explica quais dados pessoais o VelUP trata, para quê, com quem os compartilhamos e quais são os seus direitos, de acordo com a Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018). Ela vale para o aplicativo do atleta, para o painel web da oficina e para os serviços relacionados. Leia junto com os Termos de Uso.

1. Quem é o controlador

O controlador dos dados é Alex do Nascimento Consultoria em TI Ltda., CNPJ 55.516.193/0001-20, com sede em Av. Paulista, 1106, Sala 01, 16º andar, Bela Vista, São Paulo/SP, CEP 01310-914 ("VelUP").

Encarregado pelo tratamento de dados pessoais (DPO): Alex do Nascimento — privacidade@velup.co.

Papel dos profissionais: quando uma oficina, um bike fitter, um fisioterapeuta ou um nutricionista recebe seus dados para atender você, ele passa a tratá-los também como controlador, para a finalidade do atendimento e para as suas próprias obrigações legais. Cada profissional responde pelo seu tratamento. O que um fisioterapeuta ou um nutricionista registra sobre a sua saúde no atendimento, fora do VelUP, é de responsabilidade dele.

2. Quais dados tratamos

2.1 Se você é atleta

2.2 Se você é profissional (oficina, bike fitter, fisioterapeuta ou nutricionista)

Nome e e-mail do responsável; tipo de perfil; nome da oficina, estúdio ou clínica; CNPJ ou CPF; número de registro profissional (CREFITO, no caso de fisioterapeuta; CRN, no caso de nutricionista) ou formação/certificação (bike fitter); apresentação; endereço, bairro, cidade, coordenadas geográficas, WhatsApp e capacidade de atendimento; serviços, preços e durações; agenda e status dos atendimentos; registros de trocas de componentes feitos pela oficina. Assinatura (VelUP Pro): plano, valor, ciclo, status e datas da assinatura e das cobranças, a forma de pagamento escolhida (cartão, Pix ou boleto) e os identificadores do cliente, da assinatura e da cobrança no Asaas. Para criar a cobrança enviamos ao Asaas o nome, o CNPJ ou CPF, o e-mail e o telefone do responsável. Os dados do cartão são digitados na página do próprio Asaas: o VelUP não recebe nem guarda o número do cartão. A conferência do registro profissional é feita pela equipe VelUP no momento da aprovação do cadastro. Nutricionistas também podem informar o título de especialista, a inscrição no e-Nutricionista (atendimento online) e enviar documentos de comprovação (por exemplo, a carteira do CRN), usados somente para essa conferência, guardados em área privada e acessíveis apenas ao próprio profissional e à equipe VelUP autorizada, com verificação em duas etapas.

2.3 Dados técnicos e localização

• Localização do aparelho (atleta): se você tocar em "Perto de mim", o aplicativo pede a permissão do sistema e usa a sua posição somente no aparelho, para calcular a distância até as oficinas. A sua posição não é enviada nem armazenada nos nossos servidores.
• Registros técnicos: como é comum em qualquer serviço na internet, nossos provedores registram dados como endereço IP, data e hora de acesso e tipo de aparelho, para segurança, prevenção a fraudes e funcionamento do serviço.
• Medição do login e do cadastro: para entender onde as pessoas encontram dificuldade ao entrar ou se cadastrar, contamos eventos como "tela de login vista", "login com sucesso ou erro" e "cadastro concluído". Cada evento guarda só o nome, a hora, um código aleatório criado no seu aparelho (que não está ligado à sua conta), o método usado (senha ou Google), o sistema (Android ou iOS) e a versão do aplicativo. Não guardamos e-mail, senha, nome, IP nem identificador do aparelho, e não usamos ferramentas de análise de terceiros. Guardamos por até 90 dias. Você pode desligar essa medição na aba Perfil, em "Ajudar a melhorar o VelUP".
• Medição do convite para registrar manutenção: contamos, nos nossos servidores e ligadas à sua conta, quantas vezes o convite para registrar uma manutenção é exibido, aberto e concluído (data e hora, canal e etapa). Não usamos ferramentas de análise de terceiros nem cruzamos esses dados com atividades do Strava. Guardamos por até 12 meses, e eles são apagados com a sua conta.
• Armazenamento no aparelho/navegador: guardamos a sessão de login e preferências no armazenamento local do aplicativo ou do navegador. Não usamos cookies de publicidade nem de rastreamento.
• Endereço da oficina: ao usar "Buscar pelo endereço" no painel, o endereço digitado é enviado ao serviço público de mapas OpenStreetMap (Nominatim) para encontrar as coordenadas.

2.4 Programa Indique e Ganhe

Se o programa estiver ativo, tratamos também:

• Código de indicação: um código aleatório (VEL-XXXXXXX), sem dado pessoal, ligado à sua conta.
• Vínculo entre quem indicou e quem foi indicado: conta e horário, para atribuir a indicação e o benefício. Quem indica não vê quem foi indicado.
• Cliques no link ou QR de convite: apenas o código, a origem (link ou QR), a peça impressa em que o QR estava (pôster, display, cartão, adesivo, story ou imagem de WhatsApp, quando for o caso) e o horário. Não guardamos IP, dispositivo nem cookies de terceiros. No navegador de quem recebe o convite, o código fica guardado por até 30 dias, para chegar ao cadastro, e é apagado depois da atribuição.
• Verificação contra fraude: comparamos o documento (CNPJ ou CPF) e o WhatsApp do negócio, o endereço e a quantidade de indicações entre indicador e indicado. O sinal guarda apenas o tipo e a gravidade, nunca o documento nem o número. Quando há indício forte, a indicação fica suspensa e uma pessoa da equipe decide, com motivo registrado. Não há decisão final tomada apenas por sistema.
• Saldo e movimentos de crédito: registros do crédito concedido, em validação, usado e estornado.

3. Para que usamos os dados e em que base legal

Não vendemos seus dados pessoais, não os usamos para publicidade direcionada e não os compartilhamos com corretores de dados.

4. Com quem compartilhamos

4.1 Profissionais (oficinas, bike fitters, fisioterapeutas e nutricionistas)

• Nome e WhatsApp: o profissional que você escolher para um agendamento vê o seu nome e o seu WhatsApp enquanto o agendamento não estiver cancelado, para confirmar e acompanhar o atendimento.
• Dados da bicicleta: a partir da confirmação do agendamento, o profissional vê os dados cadastrais da bicicleta agendada (marca, modelo, tipo, material, peso, grupo, rodas, quilometragem) e, no caso de oficinas, o histórico de trocas de componentes, desde que o compartilhamento esteja ligado. Você pode desligar o compartilhamento em cada agendamento, na aba Agenda. Ao desligar, o profissional deixa de acessar os dados da bicicleta.
• Perfil físico (só bike fitter e fisioterapeuta): peso, altura, nível, modalidade, objetivo e frequência de pedal só são mostrados se você ativar essa opção no agendamento, e somente depois da confirmação. Oficinas nunca veem o perfil físico.
• O que o profissional não vê: seu e-mail, fotos e as suas outras bicicletas; e, sem a sua autorização, o seu perfil físico.
• Registros do profissional: o que a oficina registrar sobre o atendimento (por exemplo, uma troca de corrente) passa a fazer parte do histórico da bicicleta e dos registros da própria oficina. Fisioterapeutas e bike fitters mantêm seus registros próprios fora do VelUP, conforme a lei e as normas da profissão.

4.2 Prestadores de serviço (operadores)

Contratamos empresas que tratam dados em nosso nome, sob obrigações de confidencialidade e segurança:

• Supabase — banco de dados, autenticação e armazenamento de arquivos (servidores nos Estados Unidos, região "us-east-1");
• Hostinger — hospedagem do site e do painel web;
• OpenStreetMap/Nominatim — conversão de endereço em coordenadas, apenas a pedido da oficina;
• Strava — somente se você conectar a sua conta: o Strava é a origem dos dados de atividade e os trata como controlador independente (ver seção 10);
• Garmin — somente se você conectar a sua conta: o Garmin é a origem dos resumos de atividade e os trata como controlador independente (ver seção 11);
• Asaas — cobrança das assinaturas dos profissionais (nome, CNPJ ou CPF, e-mail e telefone do responsável; o pagamento é feito na página do próprio Asaas);
• Meta (WhatsApp Business) — somente para quem ativou os alertas de manutenção ou recebe avisos de agendamento por WhatsApp: o número de telefone e o texto da mensagem passam pelo WhatsApp, que trata esses dados conforme a política dele;
• provedores que poderão ser adicionados e informados aqui antes do uso: notificações push remotas (Expo).

4.3 Autoridades e obrigações legais

Podemos compartilhar dados quando houver ordem judicial, requisição de autoridade competente ou obrigação legal, ou para proteger direitos nossos, de usuários ou de terceiros.

5. Transferência internacional

Nossos servidores principais ficam nos Estados Unidos, assim como o Strava, de quem recebemos dados de atividade se você conectar a sua conta, e o WhatsApp (Meta), se você ativar os alertas ou receber avisos de agendamento por esse canal. A transferência é feita para provedores que adotam medidas de segurança e contratos de proteção de dados, com fundamento no art. 33 da LGPD (cláusulas contratuais e garantias adequadas). Você pode pedir mais informações em privacidade@velup.co.

6. Por quanto tempo guardamos

• Conta: enquanto estiver ativa. Quando você exclui a conta pelo aplicativo (aba Perfil) ou pelo painel (página Meu Negócio), os dados são apagados na hora do sistema, inclusive as fotos. Se você pedir a exclusão por e-mail, atendemos em até 15 dias. Podemos guardar apenas o que formos obrigados a manter por lei ou para defesa em processos.
• Registros fora do VelUP: ao excluir sua conta, apagamos tudo o que está no VelUP. A oficina que atendeu você pode manter os registros que ela própria fez nos sistemas dela, pelo tempo exigido pela sua atividade e pela legislação aplicável.
• Oficinas: durante o contrato. Ao excluir a conta da oficina, os dados cadastrais e os serviços são apagados; os agendamentos que atletas fizeram com ela continuam no histórico deles, sem os dados da oficina. Dados fiscais podem ser mantidos pelos prazos legais.
• Remoção só do perfil profissional (você continua como atleta): se o negócio não tiver agendamentos, pagamentos, avaliações nem Ups, o cadastro e os serviços são apagados. Se tiver, o cadastro é anonimizado: nome do negócio, documento, registro profissional, endereço, WhatsApp e coordenadas são removidos e o negócio sai do ar; o histórico dos atendimentos continua nos registros dos atletas e no que a lei exige guardar. A sua conta de atleta e os seus dados de atleta não são afetados. A remoção não é feita enquanto houver plano ou assinatura ativos ou agendamentos em aberto.
• Dados do Strava: as credenciais de acesso são apagadas quando você desconecta; o identificador das atividades usadas é mantido por até 7 dias; depois disso guardamos apenas o total de quilômetros acumulado na bicicleta, até você excluir os dados da integração ou a conta. Se você revogar o acesso diretamente no Strava, apagamos os dados da integração em até 30 dias.
• Dados do Garmin: as credenciais de acesso são apagadas quando você desconecta; o identificador das atividades usadas é mantido por até 7 dias e a atividade sem bicicleta escolhida é apagada em até 7 dias; depois disso guardamos apenas o total de quilômetros acumulado na bicicleta, até você excluir os dados da integração ou a conta.
• Indique e Ganhe: códigos, indicações, sinais de fraude, revisões e saldo de créditos são apagados junto com a conta.
• Registros técnicos: pelo prazo mínimo exigido pela legislação (Marco Civil da Internet) ou o necessário para segurança.

7. Segurança

Adotamos medidas técnicas e organizacionais para proteger os dados: comunicação criptografada, senhas protegidas, regras de acesso no banco de dados que limitam cada usuário aos próprios dados (e à oficina apenas ao que você autorizou), fotos em área privada com links temporários e controle de acesso à infraestrutura. Nenhum sistema é totalmente invulnerável. Em caso de incidente de segurança que possa causar risco ou dano relevante, comunicaremos você e a Autoridade Nacional de Proteção de Dados (ANPD), conforme a lei.

8. Seus direitos

Pela LGPD, você pode, a qualquer momento e mediante pedido: confirmar que tratamos seus dados; acessá-los; corrigi-los; pedir anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desacordo com a lei; pedir a portabilidade; obter informação sobre com quem compartilhamos; ser informado sobre a possibilidade de não consentir e suas consequências; retirar o consentimento; e se opor a tratamento feito sem consentimento quando houver descumprimento da lei.

Como exercer:

• No aplicativo: desligue o compartilhamento da bicicleta em cada agendamento (aba Agenda); desligue os alertas por WhatsApp e as notificações (aba Perfil) ou responda "Parar alertas" na própria mensagem de WhatsApp (registramos a retirada do consentimento); atualize seu WhatsApp e seus dados de perfil; cancele agendamentos; exclua sua conta (aba Perfil, "Excluir minha conta").
• Strava: desconecte e exclua os dados da integração em Perfil → Integrações → Strava.
• No painel profissional: edite os dados do seu negócio e exclua a conta (página Meu Negócio).
• Por e-mail: para acessar, corrigir ou exportar seus dados, ou se não conseguir excluir a conta pelo aplicativo, escreva para privacidade@velup.co. Respondemos em até 15 dias.
• Autoridade: você também pode apresentar reclamação à ANPD (gov.br/anpd).

Retirar o consentimento não afeta a legalidade do tratamento feito antes. Algumas funções dependem de certos dados: sem a quilometragem, por exemplo, não é possível calcular alertas.

9. Crianças e adolescentes

O VelUP é destinado a maiores de 18 anos. Menores de idade só podem usar o aplicativo com o acompanhamento e a autorização de um responsável legal, que responde pelo uso. Se tomarmos conhecimento de dados de menor coletados sem autorização, os eliminaremos.

10. Integrações opcionais: Strava

Você pode conectar, se quiser, a sua conta do Strava ao VelUP para que a quilometragem das suas bicicletas seja atualizada automaticamente. A conexão é opcional: quem não conecta usa o VelUP normalmente, informando a quilometragem à mão.

Quais dados do Strava usamos. Somente as atividades de pedal que você registra no Strava, a bicicleta (equipamento) usada em cada uma, a distância e a data. Não coletamos nem guardamos rotas, mapas, localização/GPS, frequência cardíaca, potência, calorias nem segmentos. Pedimos ao Strava somente a permissão de leitura de atividades (activity:read); não pedimos acesso ao seu perfil no Strava. As suas bicicletas aparecem no VelUP quando surgirem nas suas atividades. Se você não conceder a permissão de atividades, a conexão não é concluída. Atividades marcadas como "Somente eu" no Strava não são vistas pelo VelUP com essa permissão.

Para que usamos. Exclusivamente para atualizar a quilometragem das suas bicicletas e, a partir dela, calcular os alertas de manutenção que mostramos a você.

Como coletamos. Depois que você autoriza no Strava, o Strava avisa o VelUP quando você grava, altera ou apaga uma atividade, e o VelUP consulta os dados dessa atividade. Só contam atividades feitas depois da conexão: o histórico anterior não é importado nem somado. O vínculo entre cada bicicleta do Strava e cada bicicleta do VelUP é sempre feito por você.

Quem vê esses dados. Somente você. Os quilômetros vindos do Strava ficam separados da quilometragem que você informa, e oficinas, bike fitters, fisioterapeutas e demais profissionais não os veem; a equipe do VelUP também não tem tela para consultar as suas atividades. Não os usamos para publicidade, para treinar ou operar modelos de inteligência artificial, nem os combinamos com dados de outros usuários. Se, ao excluir os dados da integração, você escolher manter os quilômetros como seus, eles passam a valer como quilometragem informada por você e ficam visíveis às oficinas que atenderem a bicicleta.

Por quanto tempo guardamos. As credenciais de acesso ficam cifradas e são apagadas quando você desconecta. A identificação das atividades usadas é mantida por até 7 dias; depois disso guardamos apenas o total de quilômetros acumulado na sua bicicleta. Por isso, uma atividade apagada no Strava depois desse prazo não é descontada automaticamente do total.

Seu controle. Você pode, a qualquer momento: (i) desconectar o Strava, o que revoga o acesso no Strava; (ii) pedir a exclusão dos dados da integração, escolhendo se os quilômetros já somados serão descartados ou mantidos como informados por você; e (iii) revogar o acesso diretamente nas configurações do Strava, caso em que apagamos os dados da integração em até 30 dias. Registramos o seu consentimento e a sua revogação.

Strava como controlador independente. O Strava trata os seus dados conforme a própria política de privacidade (strava.com/legal/privacy). O VelUP é independente do Strava, que não endossa nem patrocina o aplicativo.

Incidentes. Se houver incidente de segurança que afete credenciais do Strava, avisaremos o Strava em até 24 horas, como exige o contrato de API.

11. Integrações opcionais: Garmin Connect

Você pode conectar, se quiser, a sua conta do Garmin Connect ao VelUP para que a quilometragem das suas bicicletas seja atualizada com as suas pedaladas registradas no aparelho Garmin. A conexão é opcional: quem não conecta usa o VelUP normalmente.

Quais dados do Garmin usamos. Somente o resumo de cada atividade de ciclismo: tipo da atividade, data e hora de início, duração, distância e o nome do aparelho. Não pedimos nem guardamos trajeto, mapa, localização/GPS, frequência cardíaca, potência, calorias, sono, dados de saúde, nome da atividade nem os arquivos da atividade. Pedimos ao Garmin apenas o acesso à API de atividades e você controla essa permissão na sua conta Garmin.

Para que usamos. Exclusivamente para atualizar a quilometragem das suas bicicletas e, a partir dela, calcular os alertas de manutenção que mostramos a você. Você escolhe a bicicleta de cada atividade; a atividade que ficar sem escolha é apagada automaticamente em até 7 dias.

Como funciona a conexão. A autorização é feita no próprio Garmin (você entra na conta Garmin lá, e o VelUP nunca vê a sua senha do Garmin). Depois, o Garmin envia ao VelUP o resumo das novas atividades. As credenciais de acesso ficam guardadas de forma protegida no nosso servidor, nunca no aplicativo, e são apagadas quando você desconecta.

Quem recebe esses dados. Somente o VelUP e o provedor de hospedagem que opera o nosso banco de dados (Supabase, nos Estados Unidos), sob contrato. O Garmin é a origem dos dados e os trata como controlador independente, conforme a política dele (garmin.com/privacy/connect). Não vendemos nem compartilhamos esses dados com terceiros, oficinas, bike fitters e demais profissionais não os veem, e a equipe do VelUP não tem tela para consultar as suas atividades. Exceção que depende de você: ao desconectar ou excluir os dados, você escolhe se os quilômetros já somados serão descartados ou mantidos como quilometragem informada por você. Se mantiver, esse total passa a ser um dado informado por você e pode ser visto pelas oficinas que atendem a bicicleta, como qualquer quilometragem que você informe; as pedaladas individuais nunca são mostradas a elas.

Strava e Garmin ao mesmo tempo. Se você conectar as duas contas, o VelUP usa uma só fonte para a quilometragem automática, a que você escolher (enquanto você não escolher, vale o Strava). As pedaladas da outra fonte são descartadas sem serem guardadas, e o VelUP não compara nem combina os dados do Strava com os do Garmin. Trocar de fonte vale daqui para a frente; a quilometragem já somada continua nas suas bicicletas.

Identificador e avisos do Garmin. Guardamos também o código que o Garmin atribui à sua conta (não é o seu nome nem o seu e-mail), só para reconhecer os avisos que ele envia. Se você se desregistrar ou retirar a permissão de atividades no Garmin, o Garmin avisa o VelUP e nós desconectamos a integração e apagamos as credenciais. O nome do aparelho aparece no aplicativo ao lado das atividades, como "Garmin [modelo]".

Sem inteligência artificial e sem estatística. Os dados que vêm do Garmin não são usados para treinar, testar, avaliar ou melhorar modelos de inteligência artificial, nem em análises agregadas, nem combinados com dados de outros usuários.

Por quanto tempo guardamos. O identificador das atividades usadas é mantido por até 7 dias; depois disso guardamos apenas o total de quilômetros acumulado na sua bicicleta, até você excluir os dados da integração ou a conta. As credenciais são apagadas na hora da desconexão.

Seu controle. Você pode, a qualquer momento: (i) desconectar o Garmin em Perfil, Integrações, o que também revoga o acesso no Garmin; (ii) pedir a exclusão dos dados da integração, escolhendo se os quilômetros já somados serão descartados ou mantidos como informados por você; (iii) revogar o acesso diretamente na sua conta Garmin Connect; e (iv) acessar, corrigir, exportar ou excluir os seus dados, e retirar o consentimento, escrevendo para privacidade@velup.co. Registramos o seu consentimento e a sua revogação.

O VelUP é independente do Garmin. Garmin e Garmin Connect são marcas da Garmin Ltd. ou de suas subsidiárias, que não endossam nem patrocinam o aplicativo.

12. Alterações desta Política

Podemos atualizar esta Política. Quando a mudança for relevante, avisaremos pelo aplicativo, pelo painel ou por e-mail. A data da última atualização está no topo.

13. Contato

Encarregado (DPO): Alex do Nascimento — privacidade@velup.co
Alex do Nascimento Consultoria em TI Ltda. · CNPJ 55.516.193/0001-20 · Av. Paulista, 1106, Sala 01, 16º andar, Bela Vista, São Paulo/SP, CEP 01310-914