Política de Privacidade
1. Identificação do Controlador e Operador
O BolaON é uma plataforma SaaS de gestão de escolinhas esportivas, desenvolvida e operada pelo BolaON.
Na arquitetura de tratamento de dados estabelecida pela Lei Geral de Proteção de Dados (Lei 13.709/2018 — LGPD), os papéis são assim definidos:
- Controlador: Cada escola ou academia esportiva contratante do BolaON é a controladora dos dados pessoais tratados por meio da plataforma. É a escola quem define as finalidades do tratamento e toma as decisões sobre como os dados são utilizados, nos termos do Art. 5º, VI da LGPD.
- Operador: O BolaON, por meio da plataforma BolaON, atua como operadora dos dados, realizando o tratamento em nome e por conta de cada escola controladora, conforme os termos do contrato de prestação de serviços e as instruções lícitas do controlador (Art. 5º, VII da LGPD).
Dados do Operador (BolaON)
- Razão Social: BOLAON TECNOLOGIA E GESTAO ESPORTIVA LTDA
- CNPJ: 66.672.974/0001-20
- Contato para assuntos de privacidade: bolaonbr@gmail.com
Encarregado de Dados (DPO)
O BolaON, na qualidade de agente de tratamento de pequeno porte, nos termos da Resolução ANPD nº 2, de 27 de janeiro de 2022, está dispensada da obrigatoriedade de indicação de Encarregado (DPO), conforme Art. 41, §3º da LGPD e Art. 11 da referida Resolução.
Cada escola controladora, a seu critério e conforme sua própria avaliação de enquadramento, poderá designar seu próprio Encarregado de Dados.
2. Quais Dados Coletamos
A plataforma BolaON, operando por conta da escola controladora, trata as seguintes categorias de dados pessoais. Para cada categoria, indicamos a finalidade, a obrigatoriedade do fornecimento e a base legal aplicável conforme a LGPD.
2.1 Dados do Responsável
| Dado | Finalidade | Obrigatoriedade | Base Legal (Art.) |
|---|---|---|---|
| Nome completo | Identificação e comunicação com o responsável | Obrigatório | Execução de contrato (Art. 7º, V) |
| CPF | Identificação fiscal e prevenção de fraudes | Obrigatório | Obrigação legal (Art. 7º, II) |
| Comunicação, acesso à plataforma e recuperação de senha | Obrigatório | Execução de contrato (Art. 7º, V) | |
| Telefone (WhatsApp) | Comunicação sobre atividades, cobranças e suporte | Obrigatório | Execução de contrato (Art. 7º, V) |
| Data de nascimento | Verificação de maioridade para consentimento parental | Obrigatório | Execução de contrato (Art. 7º, V) |
| Endereço | Cadastro e emissão de documentos fiscais | Opcional | Execução de contrato (Art. 7º, V) |
2.2 Dados dos Alunos
| Dado | Finalidade | Obrigatoriedade | Base Legal (Art.) |
|---|---|---|---|
| Nome completo | Identificação e registro de presença | Obrigatório | Consentimento parental (Art. 7º, I c/c Art. 14, §1º) |
| Data de nascimento | Adequação às turmas por faixa etária | Obrigatório | Consentimento parental (Art. 7º, I c/c Art. 14, §1º) |
| Sexo | Organização de turmas e categorias esportivas | Obrigatório | Consentimento parental (Art. 7º, I c/c Art. 14, §1º) |
| Foto | Identificação visual na ficha cadastral e comunicação interna | Opcional | Consentimento (Art. 7º, I c/c Art. 14, §1º) |
| CPF | Identificação fiscal (necessário para emissão de notas) | Opcional | Obrigação legal (Art. 7º, II) |
Para crianças menores de 12 anos, o consentimento deve ser dado por pelo menos um dos pais ou responsável legal, de forma específica e destacada (Art. 14, §1º).
2.3 Dados de Saúde — DADOS SENSÍVEIS (Art. 11)
| Dado | Finalidade | Obrigatoriedade | Base Legal (Art.) |
|---|---|---|---|
| Observações de saúde (alergias, condições médicas, restrições) | Segurança e adequação das atividades físicas | Opcional | Consentimento específico e destacado (Art. 11, I c/c Art. 14, §1º) |
| Tipo sanguíneo | Atendimento de emergência | Opcional | Consentimento específico e destacado (Art. 11, I c/c Art. 14, §1º) |
Dados de saúde são classificados como dados pessoais sensíveis nos termos do Art. 5º, II da LGPD. Seu tratamento somente ocorre mediante consentimento específico e destacado do responsável legal, para finalidades específicas (Art. 11, I). A revogação deste consentimento não acarreta prejuízo à matrícula do aluno.
2.4 Dados Biométricos — DADOS SENSÍVEIS (Art. 11)
| Dado | Finalidade | Obrigatoriedade | Base Legal (Art.) |
|---|---|---|---|
| Foto para reconhecimento facial | Check-in biométrico do aluno | Opcional (funcionalidade ativada apenas com consentimento adicional) | Consentimento específico e destacado (Art. 11, I c/c Art. 14, §1º) |
O uso da foto para reconhecimento facial é uma funcionalidade opcional do BolaON que, quando ativada pela escola, requer consentimento adicional, específico e destacado do responsável legal (Art. 11, I). O titular poderá optar por não participar desta funcionalidade sem qualquer prejuízo à matrícula. Dados biométricos são armazenados de forma criptografada, acessados apenas por sistemas autorizados e excluídos imediatamente mediante solicitação ou ao término do contrato.
2.5 Dados de Pagamento
| Dado | Finalidade | Obrigatoriedade | Base Legal (Art.) |
|---|---|---|---|
| Dados de transação (processados via Asaas) | Processamento de cobranças e pagamentos | Obrigatório | Execução de contrato (Art. 7º, V) + Obrigação legal fiscal (Art. 7º, II) |
| Histórico de pagamentos | Registro contábil e fiscal | Obrigatório | Obrigação legal (Art. 7º, II) — CTN, Art. 174 |
Os dados completos de cartão de crédito não são armazenados pelo BolaON. O processamento é realizado diretamente pelo Asaas, em ambiente seguro e tokenizado. O BolaON registra apenas o identificador da transação e a confirmação do pagamento.
2.6 Dados de Uso da Plataforma
| Dado | Finalidade | Obrigatoriedade | Base Legal (Art.) |
|---|---|---|---|
| Logs de acesso (IP, data/hora, dispositivo) | Segurança da plataforma e obrigação legal | Automático | Obrigação legal — Marco Civil da Internet, Art. 15 (Art. 7º, II) |
| Registros de consentimento (versão dos termos, data, IP) | Evidência de conformidade com a LGPD | Automático | Obrigação legal (Art. 7º, II) |
3. Tratamento de Dados de Crianças e Adolescentes (Art. 14)
O tratamento de dados pessoais de crianças e adolescentes recebe proteção reforçada pela LGPD, devendo ser realizado em seu melhor interesse, nos termos do Art. 14 da Lei.
Art. 14, §1º: O tratamento de dados pessoais de crianças deverá ser realizado com o consentimento específico e em destaque dado por pelo menos um dos pais ou pelo responsável legal.
Na plataforma BolaON, o consentimento parental é coletado no momento do cadastro do aluno, mediante aceite eletrônico dos Termos de Uso e desta Política de Privacidade pelo responsável legal, com registro de data, hora e IP (Art. 14, §5º).
Art. 14, §2º: No tratamento de dados de crianças, os controladores deverão manter pública a informação sobre os tipos de dados coletados, a forma de sua utilização e os procedimentos para o exercício dos direitos a que se refere o Art. 18.
Esta Política de Privacidade, publicada de forma acessível e permanente, atende a essa exigência legal.
Art. 14, §3º: Poderão ser coletados dados pessoais de crianças sem o consentimento quando a coleta for necessária para contatar os pais ou o responsável legal, utilizados uma única vez e sem armazenamento, ou para sua proteção, e em nenhum caso poderão ser repassados a terceiro sem o consentimento.
Art. 14, §4º: Os controladores não deverão condicionar a participação dos titulares de que trata o §1º em jogos, aplicações de internet ou outras atividades ao fornecimento de informações pessoais além das estritamente necessárias à atividade.
O BolaON observa estritamente o princípio da minimização dos dados (Art. 6º, III), coletando apenas os dados estritamente necessários para a prestação dos serviços de gestão esportiva contratados pela escola.
Art. 14, §5º: O controlador deve realizar todos os esforços razoáveis para verificar que o consentimento a que se refere o §1º foi dado pelo responsável pela criança, consideradas as tecnologias disponíveis.
O BolaON adota mecanismos de verificação de maioridade do responsável (validação de CPF e data de nascimento) e mantém registro eletrônico do consentimento com identificação do responsável que o concedeu.
Art. 14, §6º: As informações sobre o tratamento de dados deverão ser fornecidas de maneira simples, clara e acessível, consideradas as características físico-motoras, perceptivas, sensoriais, intelectuais e mentais do usuário, com uso de recursos audiovisuais quando adequado.
4. Compartilhamento de Dados (Art. 9º, V)
Para viabilizar a operação da plataforma, os dados pessoais são compartilhados com os seguintes destinatários, sempre na medida estritamente necessária e com as devidas salvaguardas contratuais:
| Destinatário | Dados Compartilhados | Finalidade |
|---|---|---|
| BolaON (Operador) | Todos os dados tratados na plataforma | Operação da plataforma de gestão esportiva (Art. 9º, V c/c Art. 7º, V) |
| Asaas | Dados de pagamento (transações, valores, status) | Processamento de cobranças e pagamentos (Art. 7º, V) |
| Resend | E-mail e nome do responsável | Envio de e-mails transacionais (confirmações, recuperação de senha) (Art. 7º, V) |
| Cloudinary | Fotos dos alunos | Armazenamento e processamento de imagens (Art. 7º, V) |
| Vercel | Logs de acesso (IP, data/hora, dispositivo) | Hospedagem e monitoramento da plataforma (Art. 7º, II) |
| Autoridades competentes | Conforme exigido por lei ou ordem judicial | Cumprimento de obrigação legal (Art. 7º, II) |
Todos os operadores e suboperadores contratados possuem obrigações contratuais de confidencialidade, segurança e conformidade com a LGPD. Não vendemos, alugamos ou compartilhamos dados pessoais com terceiros para fins de marketing, publicidade ou criação de perfil comportamental.
5. Seus Direitos como Titular (Art. 18)
A LGPD assegura a você, titular de dados, os seguintes direitos, que podem ser exercidos de forma gratuita (Art. 18, §5º) mediante solicitação à escola controladora ou, quando aplicável, ao operador:
| Inciso | Direito | Descrição |
|---|---|---|
| I | Confirmação da existência de tratamento | Saber se a escola controladora trata seus dados pessoais. Resposta em formato simplificado, imediata (Art. 19, I). |
| II | Acesso aos dados | Obter cópia completa dos seus dados pessoais tratados. Prazo de resposta: até 15 dias, contados da data do requerimento (Art. 19, II). |
| III | Correção de dados incompletos, inexatos ou desatualizados | Solicitar a correção de dados incorretos ou a complementação de dados incompletos. |
| IV | Anonimização, bloqueio ou eliminação | Solicitar a anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD. |
| V | Portabilidade dos dados | Receber seus dados em formato estruturado e interoperável, para transferência a outro fornecedor de serviço ou produto, conforme regulamentação da ANPD. |
| VI | Eliminação dos dados | Solicitar a exclusão dos dados pessoais tratados com base no consentimento, ressalvadas as hipóteses legais de conservação. |
| VII | Informação sobre compartilhamento | Saber com quais entidades públicas e privadas o controlador realizou uso compartilhado de dados. |
| VIII | Informação sobre a possibilidade de não consentir | Ser informado sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa. |
| IX | Revogação do consentimento | Retirar o consentimento a qualquer momento, mediante manifestação expressa, sem afetar a licitude do tratamento realizado antes da revogação (Art. 8º, §5º). |
Como exercer seus direitos
Para exercer qualquer um dos direitos acima, encaminhe sua solicitação para o e-mail de contato da escola controladora ou, quando cabível, para o e-mail de privacidade indicado na Seção 11. O BolaON, como operador, auxiliará o controlador no atendimento das solicitações no prazo legal.
A revogação do consentimento não afeta a licitude do tratamento realizado antes da revogação (Art. 8º, §5º). Dados cujo tratamento seja necessário para cumprimento de obrigação legal (ex: registros fiscais e financeiros) serão mantidos pelo prazo legalmente exigido, conforme Seção 6.
6. Retenção e Eliminação de Dados (Art. 16)
Os dados pessoais são mantidos apenas pelo tempo necessário para o cumprimento das finalidades para as quais foram coletados, observados os prazos legais e regulatórios aplicáveis, nos termos do Art. 16 da LGPD:
| Categoria de Dados | Prazo de Retenção | Fundamento Legal |
|---|---|---|
| Dados cadastrais (responsável e aluno) | Duração do contrato + 5 anos após encerramento | CTN, Art. 173-174; LGPD, Art. 16, I |
| Dados de pagamento e registros financeiros | 5 anos | CTN, Art. 174; LGPD, Art. 16, I |
| Fotos dos alunos | Duração do contrato (consentimento revogável a qualquer momento) | Consentimento (Art. 15, III c/c Art. 16, IV) |
| Registros de frequência e check-in | Duração do contrato + 5 anos | Execução de contrato; LGPD, Art. 16, I |
| Dados de saúde (sensíveis) | Duração do contrato + 20 anos | CFM Resolução 1.821/2007; LGPD, Art. 16, I |
| Dados biométricos (reconhecimento facial) | Até o término do contrato ou revogação do consentimento — o que ocorrer primeiro | Finalidade atingida (Art. 15, I) |
| Logs de acesso | 6 meses (prorrogável por ordem judicial) | Marco Civil da Internet, Art. 15 |
| Registros de consentimento | 5 anos após o término do tratamento | Evidência de conformidade; LGPD, Art. 16, I |
O término do tratamento de dados pessoais ocorrerá nas seguintes hipóteses (Art. 15): verificação de que a finalidade foi alcançada ou que os dados deixaram de ser necessários (I); fim do período de tratamento (II); comunicação do titular, inclusive quanto à revogação do consentimento (III); ou determinação da ANPD (IV).
7. Segurança dos Dados (Art. 46)
Adotamos medidas técnicas e organizacionais aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, nos termos do Art. 46 da LGPD:
- Criptografia em trânsito: toda comunicação é realizada via HTTPS/TLS
- Criptografia em repouso: dados sensíveis (saúde e biométricos) são armazenados com criptografia adicional
- Controle de acesso: autenticação segura via Supabase Auth, com acesso baseado em perfis (apenas usuários autorizados acessam dados conforme sua função)
- Segregação lógica: os dados de cada escola controladora são mantidos isolados (Row Level Security — RLS)
- Monitoramento: registro e monitoramento de acessos e atividades suspeitas na plataforma
- Backups: backups automáticos regulares com retenção controlada e criptografados
- Desenvolvimento seguro: práticas de segurança no ciclo de desenvolvimento, incluindo revisão de código e testes automatizados
Os agentes de tratamento obrigam-se a garantir a segurança dos dados, nos termos do Art. 46, §1º, inclusive em relação aos suboperadores contratados.
8. Incidentes de Segurança (Art. 48)
Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares de dados, o operador (BolaON) comunicará imediatamente o controlador (escola) para que este adote as providências legais cabíveis, nos termos do Art. 48 da LGPD e da Resolução ANPD nº 15, de 24 de abril de 2024.
Art. 48: O controlador deverá comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. §1º A comunicação deverá mencionar, no mínimo: a natureza dos dados afetados; informações sobre os titulares envolvidos; a indicação das medidas técnicas e de segurança utilizadas; os riscos relacionados ao incidente; e as medidas que foram ou serão adotadas para reverter ou mitigar os efeitos do prejuízo.
O BolaON mantém:
- Plano de resposta a incidentes documentado
- Registro de todos os incidentes de segurança (pelo prazo mínimo de 5 anos)
- Compromisso de notificação ao controlador em até 24 horas da ciência do incidente
- Suporte ao controlador para notificação à ANPD e aos titulares no prazo de 3 dias úteis (Art. 48, §2º c/c Resolução ANPD nº 15/2024)
10. Alterações nesta Política
Esta Política de Privacidade poderá ser atualizada periodicamente para refletir mudanças nos serviços, na legislação aplicável ou nas práticas de tratamento de dados. Quando houver alterações relevantes, adotaremos as seguintes medidas, em conformidade com o Art. 9º, §6º da LGPD:
- Notificação por e-mail ao responsável cadastrado
- Publicação da nova versão nesta página, com indicação da data de atualização
- Para alterações que demandem novo consentimento, será solicitada a aceitação da nova versão no próximo acesso à plataforma
- O histórico de versões e as alterações realizadas serão mantidos para consulta
Recomendamos a revisão periódica desta política. A data da última atualização está indicada no rodapé desta página.
11. Contato e Reclamações
Para questões relacionadas à privacidade e proteção de dados, entre em contato:
As informações de contato do controlador (escola) estão disponíveis no portal da sua escola ou podem ser solicitadas diretamente à administração da instituição.
CNPJ: 66.672.974/0001-20
E-mail para assuntos de privacidade: bolaonbr@gmail.com
Agente de tratamento de pequeno porte — dispensado da indicação de DPO (Resolução ANPD nº 2/2022).
Caso não obtenha resposta satisfatória do controlador ou do operador, você poderá apresentar reclamação diretamente à Autoridade Nacional de Proteção de Dados (ANPD), órgão responsável pela fiscalização da LGPD: www.gov.br/anpd