Política de Privacidade da Corenta

Esta tradução é apenas informativa; o texto em turco é o juridicamente vinculante.

Versão: 3.4 Vigência / última atualização: 20 de outubro de 2026 Publicado por: Mertcan Demir — empresa individual que opera sob o nome comercial "Teta Studio" ("Teta Studio", "nós") Idioma: turco

Histórico de alterações

• 3.4 — 20 de outubro de 2026: A linha de registros de erro do §3 agora descreve o que o aplicativo realmente registra: tempos de lentidão no aplicativo móvel, o rastro de telas e ações anexado a um erro (telas de saúde excluídas), o tipo de conexão e o endereço IP nos registros do servidor. Nenhuma nova atividade de tratamento foi acrescentada.
• 3.3 — 19 de outubro de 2026: Incluído o alcance global: a Corenta é oferecida em mais de um país pelas lojas de aplicativos (§2); foram acrescentadas uma seção sobre o GDPR para usuários na UE/EEE (§5) e os direitos obrigatórios de cada país (§8). Os papéis e as atividades de tratamento não mudaram.
• 3.2 — 19 de outubro de 2026: Versão de publicação; vigência a partir de 19 de outubro de 2026. Foram retiradas da seção de identificação as linhas de MERSİS e KEP, que estavam vazias.
• 3.1 — 18 de outubro de 2026: Incluídos os recursos adicionados em 18 de outubro de 2026: grupos da clínica, figurinhas e créditos, desafios, selos e cartão fidelidade, liga de estúdios, cartão de perfil portátil do profissional, convite de estúdio, Estúdio Fundador, Corenta Lab, Descobrir v2 (vídeo, aula experimental, posição patrocinada), marcação de teste repetido, vínculo de aparelho e reembolso parcial da loja. Foi criado o novo §5-A (recursos de comunidade e dados de saúde). O §6 virou uma lista de cookies e SDKs. O §10 ganhou regras de grupos e desafios para menores de idade. A frase do compromisso de privacidade foi vinculada ao texto. Recursos desativados não foram descritos neste texto.
• 3.0 — 11 de outubro de 2026: O texto foi reescrito com base na revisão de conformidade de 11 de outubro de 2026 (achados F05, F06, F07, F09, F11, F12, F17, F22, F23). Foram retiradas expressões típicas de nota de auditoria interna, como "UNKNOWN", "deve ser verificado" e "este texto não faz declaração", e em seu lugar foram escritos fatos verificados no código. Os dois papéis da Teta Studio (operador nos dados da clínica e controlador nas próprias atividades) foram separados. A identificação foi corrigida para empresa individual (as expressões "pessoa jurídica/sociedade" foram retiradas). A transferência internacional foi redigida conforme o art. 9 da Lei nº 6.698 na versão posterior a 2024. O link de exportação, a exclusão de anexos, o envio de e-mails e as medidas de segurança passaram a ter a mesma redação dos demais textos legais. A expressão "medição sem identidade" foi corrigida para "medição pseudonimizada". A frase "a Corenta não envia e-mails de marketing" foi substituída pela regra de mensagens promocionais, que exige autorização à parte e registro no İYS.
• 2.2 — 10 de outubro de 2026: A Expo (Expo Push Notification Service) foi retirada da lista de suboperadores.
• 2.1 — 4 de outubro de 2026: A denominação foi atualizada.
• 2.0 — 4 de outubro de 2026: O texto de trabalho de 2 de outubro de 2026 foi fixado como versão.
• 1.0 — 7 de julho de 2026: versão publicada anterior.

1. Quem somos e nossos dois papéis

A Corenta oferece software web e mobile para que negócios de pilates clínico, fisioterapia, reformer, bem-estar/massagem e yoga cuidem de agendamentos, pacotes, clientes, anamnese, sessões e repasses. A Corenta é operada por Mertcan Demir, como empresa individual sob o nome comercial "Teta Studio". A empresa individual não tem personalidade jurídica própria.

Na Corenta, os dados pessoais são tratados em dois papéis diferentes:

A informação sobre os dados da clínica é dada no aviso de privacidade da própria clínica; o aviso ao cliente exibido no aplicativo é mostrado com essa finalidade, em nome da clínica. O detalhamento das atividades em que a Teta Studio é controladora está no Aviso de Privacidade KVKK — KVKK (Türkiye Kişisel Verilerin Korunması Kanunu) —, na Parte C — Aviso sobre a Conta e a Plataforma Corenta.

2. Identificação e contato

• Controlador (para as atividades próprias da Teta Studio): Mertcan Demir — empresa individual sob o nome comercial "Teta Studio"
• Número de identificação fiscal: 2771408706
• Endereço: Kavaklıdere Mahallesi, Esad Caddesi No:12/1, Çankaya/Ankara 06680
• Contato geral e pedidos com base na KVKK: hello@corenta.app
• Suporte: support@corenta.app
• Área de atendimento: a Corenta é oferecida globalmente pela App Store e pelo Google Play, nos países em que essas lojas atuam. Esta política se aplica ao usuário de qualquer país; ficam ressalvadas as normas obrigatórias de proteção de dados do país em que você está.

Se você é cliente e seu pedido diz respeito a registros mantidos pela sua clínica, dirija-o primeiro à sua clínica (ver §8).

3. Dados que coletamos

A Corenta não trata número de cartão nem código de segurança (CVV). Os pagamentos da assinatura são cobrados pela Apple App Store e pelo Google Play.

4. Finalidades e bases legais

O aviso de privacidade não é um consentimento. O aplicativo mostra o aviso numa etapa à parte e registra a confirmação "Li e entendi". O consentimento para dados de saúde e a autorização para mensagens promocionais são separados e opcionais. Se você não der o consentimento para dados de saúde, continua usando sua conta e as funções básicas de agendamento; apenas os recursos de saúde ficam indisponíveis.

5. Com quem compartilhamos e transferência internacional

Seus dados não são vendidos nem compartilhados para publicidade; são criptografados com TLS durante a transmissão e tratados apenas pelos provedores de infraestrutura abaixo, que prestam o serviço (detalhes: Lista de Suboperadores). Os dados em repouso (banco de dados e armazenamento de arquivos) ficam criptografados na infraestrutura do provedor de hospedagem (Supabase). As informações mostradas a outros usuários nos grupos, na liga, no Lab e no Descobrir não são venda nem compartilhamento para publicidade; aparecem como parte do recurso que você ou seu estúdio usa, dentro dos limites descritos no §5-A.

Pode haver transferência a autoridades públicas competentes apenas nos casos previstos em lei e nos limites do pedido.

As mensagens e as mensagens de grupo são tratadas pelo serviço de transmissão em tempo real do Supabase (Realtime), e os vídeos dos estúdios, no armazenamento de arquivos do Supabase; nenhum provedor novo foi acrescentado para isso. A posição patrocinada (Boost) não usa rede nem SDK de publicidade; os estúdios patrocinados aparecem na própria lista da Corenta com a etiqueta "Patrocinado", e nenhum dado de usuário é transferido ao anunciante.

Transferência internacional: todos os provedores acima tratam dados fora da Turquia. A hospedagem na Alemanha também é uma transferência internacional no sentido da Lei nº 6.698. Como essas transferências são regulares e contínuas, não se baseiam em consentimento explícito; vão se apoiar numa das condições de tratamento dos arts. 5 e 6 da Lei e, conforme o art. 9/4-c, nos contratos-padrão publicados pelo Kişisel Verileri Koruma Kurulu (Kurul). Na data deste texto, os contratos-padrão ainda não foram assinados com os provedores nem comunicados ao Kurul. Cada contrato será comunicado ao Kurul em até 5 dias úteis a partir da assinatura, e esta seção será atualizada com a lista de provedores e datas. Não há decisão de adequação publicada pelo Kurul sobre esses países (última verificação: 11 de outubro de 2026).

Usuários na UE/EEE (GDPR): como a Corenta também é oferecida pela App Store e pelo Google Play a pessoas na União Europeia e no Espaço Econômico Europeu, o GDPR (UE 2016/679) se aplica, conforme o art. 3/2-a, ao tratamento referente a essas pessoas. Os papéis não mudam: nos dados da clínica, a Teta Studio é operadora; nas próprias atividades, é controladora. As bases legais são a execução do contrato (art. 6/1-b), o legítimo interesse (art. 6/1-f), a obrigação legal (art. 6/1-c) e o consentimento à parte (art. 6/1-a); os dados de saúde se baseiam no art. 9/2-a ou no art. 9/2-h. O banco de dados e os arquivos ficam hospedados na UE (Frankfurt). As transferências a provedores fora da UE/EEE (Vercel, Google, Apple) se baseiam em mecanismos de transferência previstos nos arts. 45 e 46 do GDPR, como as Cláusulas Contratuais-Padrão da UE ou o Quadro de Privacidade de Dados UE-EUA dos provedores. Detalhes e direitos: Declaração GDPR.

5-A. Recursos de comunidade e crescimento — dados de saúde e visibilidade

Dados de saúde são dados pessoais sensíveis. Os recursos abaixo não mostram nem compartilham registros de saúde (anamnese, anotação de sessão, medidas):

• Grupos da clínica: só os membros aprovados do grupo e a equipe da clínica veem as mensagens. Seu nome aparece no formato "Ana S."; seu telefone e seu e-mail não são mostrados. Você dá um aceite expresso para entrar e pode sair quando quiser. As mensagens são texto livre: pedimos que você não compartilhe informações de saúde (dor, diagnóstico, medicamento, tratamento) no grupo; informações de saúde compartilhadas podem ser denunciadas e ocultadas pela equipe. A equipe pode ocultar ou apagar uma mensagem contrária às regras, silenciar um membro ou retirá-lo do grupo; uma mensagem denunciada por três membros diferentes é ocultada automaticamente. Não há mensagens individuais entre clientes.
• Desafios dentro do estúdio: a participação é opcional. O quadro mostra só seu nome, a inicial do sobrenome e o número de sessões frequentadas; dor, medidas ou peso não são usados.
• Liga de estúdios: os estúdios aparecem só com apelido ou código; o nome real do estúdio, a cidade, o porte e os nomes de clientes e profissionais não são mostrados. A pontuação vem apenas do XP das missões semanais.
• Cartão de perfil do profissional: traz apenas o total de sessões, a nota verificada com pelo menos 5 comentários e os selos; não contém informações de clientes nem dados de saúde. Só o profissional vê e compartilha o cartão.
• Selos de clientes e cartão fidelidade: os selos não são públicos. Ao calcular um selo, o conteúdo dos registros de saúde não é lido; alguns selos verificam apenas se um registro existe ou quantos existem (por exemplo, o envio do formulário de anamnese).
• Descobrir v2: os vídeos dos estúdios são exibidos publicamente depois de revisados pela Corenta; obter a autorização das pessoas que aparecem no vídeo é responsabilidade do estúdio. A posição patrocinada é sempre exibida com a etiqueta "Patrocinado" e separada da ordenação orgânica; estúdios da categoria fisioterapia não aparecem como patrocinados. Se você está vinculado a um estúdio, o Descobrir não mostra estúdios concorrentes para você. A busca é feita pelo estado/município ou pela área do mapa que você escolher; a localização do seu aparelho não é coletada.
• Corenta Lab e Estúdios Fundadores: as sugestões e os comentários do Lab ficam visíveis para os outros estúdios participantes; o nome do estúdio só aparece se você escolher. Na lista de Estúdios Fundadores, o nome do estúdio só aparece se o estúdio autorizar.

Quando você exclui sua conta, sua participação nos grupos é apagada; o texto das mensagens de grupo que você já enviou permanece no grupo, sem a identificação de quem enviou. Você pode apagar suas próprias mensagens quando quiser.

6. Cookies, SDKs e tecnologias semelhantes

• Painel web de gestão: são usados cookies de sessão obrigatórios para manter seu acesso. Sem esses cookies não é possível entrar.
• Site de apresentação (corenta.app): o código do site neste repositório guarda sua preferência de idioma e de aparência apenas no armazenamento local do navegador (localStorage).
• Aplicativo mobile: os tokens de sessão ficam no cofre seguro de chaves do aparelho (armazenamento seguro baseado em iOS Keychain / Android Keystore).
• Não são usados cookies nem scripts de análise, publicidade ou rastreamento de terceiros. Se isso mudar, este texto será atualizado antes do uso de cookies, e a autorização necessária será pedida à parte.

SDKs e serviços do sistema no aplicativo mobile (em 18 de outubro de 2026, apps/mobile/package.json):

O aplicativo mobile não tem SDK de publicidade, identificador de publicidade (IDFA/AAID), análise ou rastreamento; a permissão de rastreamento (tracking) do iOS não é pedida. O código de conexão do Sentry (região UE) para monitoramento de erros está pronto, mas desativado: como o endereço de conexão não foi informado, nenhum dado é enviado. Antes de ativá-lo, este texto e a Lista de Suboperadores serão atualizados.

7. Prazos de guarda e exclusão da conta

Principais regras de guarda (tabela completa: Política de Retenção e Descarte de Dados):

Exclusão da conta: você pode excluir sua conta pelo próprio aplicativo. Página para pedir a exclusão pela web: corenta.app/account-deletion. Quando a exclusão é confirmada, o acesso à sua conta termina imediatamente. Nome, e-mail, telefone, imagem de perfil, dados de identificação e contato do cliente e os campos de saúde (tipo sanguíneo, alergias, condições crônicas, medicamentos) são apagados. Seu registro de autenticação e seus arquivos (imagem de perfil, anexos da anamnese, arquivos de exportação e comprovantes de pagamento) são excluídos de forma definitiva num processo em segundo plano de trinta dias. Os documentos de verificação do profissional não entram nessa exclusão automática; para eles, você pode fazer o pedido pelo hello@corenta.app.

Os registros que a clínica tem obrigação de manter (anotações de sessão, formulários de anamnese, medidas, registros de pagamento e de repasse) são guardados com o vínculo pessoal desfeito no momento da exclusão. O texto livre das anotações de sessão não é alterado na exclusão; por isso, esses registros não são considerados anônimos em nenhuma hipótese. Eles são guardados com acesso restrito durante o prazo da obrigação da clínica e descartados ao final desse prazo. Resíduos técnicos em backups são apagados ao fim do ciclo de backup.

8. Seus direitos e como exercê-los

Pelo art. 11 da Lei nº 6.698, você tem direito de saber se seus dados pessoais são tratados, de pedir informações, de conhecer a finalidade do tratamento, de saber a quais terceiros eles foram transferidos, de pedir correção e exclusão, de pedir que essas medidas sejam comunicadas aos terceiros, de se opor ao resultado de uma análise automatizada e de pedir reparação de danos.

• Registros da clínica (agendamento, anamnese, anotação de sessão etc.): faça seu pedido à sua clínica. Pedidos desse tipo que chegam à Corenta são encaminhados à clínica.
• Registros em que a Corenta é controladora: escreva para hello@corenta.app.
• Os pedidos são respondidos gratuitamente em até 30 dias.
• Se a legislação do seu país lhe der direitos adicionais (por exemplo, na UE/EEE, acesso, retificação, apagamento, limitação, portabilidade e oposição nos termos dos arts. 15 a 22 do GDPR), você também pode exercê-los pelos mesmos endereços. Fica ressalvado seu direito de reclamar à autoridade de proteção de dados do seu país.
• A tela "Baixar meus dados" do aplicativo entrega seus dados em JSON e, quando o arquivo pode ser preparado, também em ZIP, por um link pessoal válido por 7 dias. A tela "Excluir minha conta" permite exercer diretamente o direito de exclusão.

9. Segurança

Medidas verificadas no código e na configuração:

• Os dados de cada clínica são separados por políticas de segurança em nível de linha (RLS); a regra padrão é negar o acesso.
• Os dados de saúde podem ser vistos pelo próprio cliente, pelo profissional responsável e pelo gestor autorizado da clínica. As anotações de sessão que o profissional compartilha com a equipe também podem ser vistas pelos demais profissionais da clínica. O acesso da equipe só é possível com o módulo de saúde correspondente ativado.
• Anotações de sessão enviadas não podem ser alteradas nem apagadas.
• O modo de suporte dura no máximo 30 minutos e, por padrão, é somente leitura; o acesso a dados de saúde exige aprovação à parte; não é possível escrever em dados de saúde. A equipe de suporte não vê o e-mail nem o telefone do cliente.
• Os dados são criptografados com TLS durante a transmissão.
• Nas telas do aplicativo mobile que mostram dados de saúde, a captura e a gravação de tela são bloqueadas.
• As contas de administração da plataforma exigem autenticação em duas etapas (MFA).

Nenhum sistema pode ter garantia absoluta de segurança. Em caso de incidente com dados, a Teta Studio informa a clínica sem demora e em até 24 horas sobre os dados da clínica em que é operadora; sobre os dados em que é controladora, comunica o Kurul em até 72 horas.

10. Crianças e adolescentes

A conta na Corenta é para pessoas com 18 anos completos. O cadastro de clientes menores de idade e o processo de informação e consentimento são responsabilidade da clínica e devem ser conduzidos por meio dos pais ou do responsável legal. O aplicativo ainda não tem um fluxo próprio para responsáveis de clientes menores de idade.

Regra adicional nos recursos de comunidade (18 de outubro de 2026): clientes com data de nascimento registrada e menores de 18 anos não podem participar de desafios nem de grupos da comunidade; só podem ser adicionados a grupos de aula convidados pela equipe da clínica. Se a data de nascimento não estiver registrada, a declaração "tenho mais de 18 anos" é pedida para participar de um desafio; nos grupos, o cliente sem data de nascimento registrada é considerado adulto.

11. Revogação de autorizações e mensagens promocionais

• Consentimento para dados de saúde: você pode revogá-lo quando quiser em Perfil → tela KVKK/Dados; após a revogação, nenhum dado de saúde novo é registrado.
• Notificações de campanhas da clínica: você pode desativá-las em Perfil → Configurações de notificações. Notificações transacionais, como confirmação de agendamento, cancelamento e lembrete de sessão, não dependem dessa autorização.
• E-mails promocionais: a Corenta só envia e-mails promocionais se você tiver dado uma autorização à parte e ela estiver registrada no İYS (İleti Yönetim Sistemi). Você pode recusá-los gratuitamente pelo link de recusa presente em cada mensagem promocional ou pelo hello@corenta.app. E-mails do período de teste, de convite de equipe e de suporte são mensagens de serviço.
• Permissões do sistema operacional (notificações, fotos; Face ID/digital, se o bloqueio do aplicativo estiver ativo): podem ser desativadas nas configurações do aparelho. O aplicativo não pede permissão de câmera, microfone, localização, contatos ou calendário.

Medição pseudonimizada do produto: para melhorar o produto, podem ser medidos eventos de uso agregados, apenas no servidor e com um identificador pseudonimizado da clínica. Essa medição não inclui endereço IP, dados de saúde nem rastreamento de origem ou de publicidade. O identificador pseudonimizado da clínica tem natureza de pseudônimo; num negócio de uma só pessoa, pode ser associado a essa pessoa. Este recurso está desativado no momento; antes de ser ativado, este texto será atualizado.

12. Alterações

Sempre que esta política mudar, ela será publicada com número de versão, data e histórico de alterações. Em mudanças importantes, haverá um aviso dentro do aplicativo.

Versão 3.4 · 20 de outubro de 2026