1. Partes e papéis. Controlador: o Profissional. Operador: Meridian Performance Hub (63.878.146 VINICIUS LOURENCO DE ARAUJO, MEI, CNPJ 63.878.146/0001-54). Objeto: tratamento de dados pessoais de alunos e leads para prestar o serviço contratado.
2. Descrição do tratamento. Natureza: hospedagem, armazenamento, consulta, cálculo de indicadores, resumo de leads por IA, transmissão por e-mail e eliminação. Finalidade: gestão de treinos e acompanhamento pelo Profissional. Titulares: alunos e leads. Dados: identificação, contato, treino, check-in, medidas e dados de saúde e fotos (dados sensíveis, art. 5º, II). Duração: vigência do contrato mais o prazo de eliminação.
3. Instruções. O Meridian trata os dados apenas conforme as instruções documentadas do Profissional (estes Termos e o uso das funcionalidades) e o avisa se uma instrução violar a lei (art. 39).
4. Confidencialidade. Quem trata os dados em nome do Meridian está sujeito a dever de confidencialidade. O acesso administrativo é restrito.
5. Segurança. Criptografia em trânsito (TLS), hash de senhas e tokens, verificação de propriedade dos dados em todas as rotas com testes automatizados, cabeçalhos de segurança e CSP, limites de taxa, revisão de segurança independente, backups com recuperação pontual de até 7 dias e registros de erro sem dados pessoais. Melhorias contínuas são registradas internamente.
6. Suboperadores. O Profissional autoriza de forma geral os suboperadores listados na Política de Privacidade (Neon, Vercel, Cloudinary (fotos de evolução e clipes de execução), Resend, Stripe e Anthropic). Mudanças serão avisadas com 15 dias de antecedência, com possibilidade de oposição fundamentada. O Meridian impõe a eles obrigações equivalentes por contrato.
7. Transferência internacional. Autorizada para os EUA nos termos do art. 33 da LGPD e da Resolução CD/ANPD nº 19/2024, conforme a Política de Privacidade.
8. Direitos dos titulares. O Meridian auxilia o Profissional, por meios técnicos, a responder pedidos dos titulares. Hoje: exclusão pelo aluno no app e processamento de pedidos de privacidade; exportação mediante solicitação. Pedidos recebidos diretamente são encaminhados ao Profissional.
9. Incidentes. Notificação ao Profissional em até 48 a 72 horas após a ciência, com natureza do incidente, dados e titulares afetados, consequências prováveis e medidas adotadas.
10. Assistência. O Meridian auxilia, na medida do razoável, em relatórios de impacto (RIPD), consultas à ANPD e obrigações de segurança.
11. Auditoria. O Profissional pode solicitar informações para demonstrar conformidade e, com aviso prévio de 15 dias e sem prejudicar a segurança de outros clientes, auditoria de conformidade documental, no máximo uma vez por ano.
12. Devolução e eliminação. No fim do contrato o Meridian disponibiliza a exportação por 5 dias e depois elimina ou anonimiza os dados, salvo guarda legal. Backups expiram em até 7 dias.
13. Responsabilidade. Segue a cláusula 14 dos Termos de Uso do Profissional e os arts. 42 a 45 da LGPD.