Política de Privacidade da Corenta

Esta tradução é disponibilizada apenas para fins informativos; o texto juridicamente vinculativo é o texto em turco.

Versão: 3.4 Em vigor desde / última atualização: 20 de outubro de 2026 Editor: Mertcan Demir — empresário em nome individual que exerce a atividade com a designação comercial "Teta Studio" ("Teta Studio", "nós") Idioma: Turco

Registo de alterações

• 3.4 — 20 de outubro de 2026: A linha dos registos de erros no §3 foi detalhada de acordo com o comportamento real da aplicação: tempos de lentidão no telemóvel, o rasto de ecrãs e operações que acompanha um erro (exceto ecrãs de saúde), o tipo de ligação e o endereço IP nos registos do servidor. Não foi acrescentada nenhuma nova atividade de tratamento.
• 3.3 — 19 de outubro de 2026: Âmbito global incorporado: a Corenta é disponibilizada em vários países através das lojas (§2); foram acrescentadas uma secção sobre o RGPD para utilizadores na UE/EEE (§5) e os direitos obrigatórios específicos de cada país (§8). As funções e as atividades de tratamento não se alteraram.
• 3.2 — 19 de outubro de 2026: Versão de publicação; data de entrada em vigor: 19 de outubro de 2026. Foram retiradas da secção de identificação as linhas vazias relativas ao MERSİS e ao KEP.
• 3.1 — 18 de outubro de 2026: Foram incorporadas as funcionalidades acrescentadas em 18 de outubro de 2026: grupos da clínica, autocolantes e créditos, desafios, distintivos e cartão de fidelização, liga de estúdios, cartão de perfil portátil do profissional, convite entre estúdios, Estúdio Fundador, Corenta Lab, Descobrir v2 (vídeo, aula experimental, posição patrocinada), sinalização de repetição do período experimental, associação de dispositivos, reembolso parcial pela loja. Foi acrescentado um novo §5-A (funcionalidades de comunidade e dados de saúde). O §6 foi convertido numa lista de cookies e SDK. Foram acrescentadas ao §10 regras sobre grupos e desafios para menores. A frase relativa ao compromisso de privacidade foi associada ao texto. As funcionalidades desativadas não foram incluídas neste texto.
• 3.0 — 11 de outubro de 2026: O texto foi integralmente reescrito com base na auditoria de conformidade de 11 de outubro de 2026 (constatações F05, F06, F07, F09, F11, F12, F17, F22, F23). Foram eliminadas expressões próprias de notas de auditoria interna, como "UNKNOWN", "deve ser verificado" e "este texto não presta qualquer declaração", e substituídas por factos verificados no código. Foram separadas as duas funções da Teta Studio (subcontratante dos dados da clínica e responsável pelo tratamento nas suas próprias atividades). Os dados de identificação foram corrigidos para empresário em nome individual (foram eliminadas as expressões "pessoa coletiva/sociedade"). A transferência internacional foi redigida de acordo com a versão posterior a 2024 do artigo 9.º da Lei n.º 6698 de Proteção de Dados Pessoais da Turquia (KVKK). A ligação de exportação, a eliminação de anexos, o envio de e-mails e as medidas de segurança foram alinhados com uma redação única com os restantes textos jurídicos. A expressão "medição anónima" foi corrigida para "medição pseudonimizada". A frase "A Corenta não envia e-mails de marketing" foi substituída pela regra relativa às mensagens promocionais, sujeitas a consentimento separado e a registo no İYS (Sistema de Gestão de Mensagens da Turquia).
• 2.2 — 10 de outubro de 2026: A Expo (Expo Push Notification Service) foi retirada dos registos de subcontratantes ulteriores.
• 2.1 — 4 de outubro de 2026: Foi atualizada a redação da designação comercial.
• 2.0 — 4 de outubro de 2026: O texto de trabalho de 2 de outubro de 2026 foi fixado como versão.
• 1.0 — 7 de julho de 2026: versão publicada anterior.

1. Quem somos e as nossas duas funções

A Corenta disponibiliza software web e móvel para que os negócios de pilates clínico, fisioterapia, reformer, bem-estar/massagem e ioga façam a gestão das marcações, pacotes, clientes, anamnese, sessões e remunerações. A Corenta é explorada por Mertcan Demir enquanto empresário em nome individual, com a designação comercial "Teta Studio". O empresário em nome individual não tem personalidade jurídica própria.

Na Corenta, os dados pessoais são tratados em duas funções diferentes:

A informação sobre os dados da clínica é prestada através do aviso de privacidade da própria clínica; o aviso de privacidade para clientes apresentado na aplicação é mostrado, para esse efeito, em nome da clínica. O detalhe das atividades em que a Teta Studio é responsável pelo tratamento consta da Parte C — Informação sobre a Conta e a Plataforma Corenta do Aviso de Privacidade KVKK.

2. Identificação e contactos

• Responsável pelo tratamento (para as atividades próprias da Teta Studio): Mertcan Demir — empresário em nome individual com a designação comercial "Teta Studio"
• N.º de identificação fiscal: 2771408706
• Morada: Kavaklıdere Mahallesi, Esad Caddesi No:12/1, Çankaya/Ankara 06680
• Contacto geral e pedidos KVKK: hello@corenta.app
• Apoio: support@corenta.app
• Área de serviço: A Corenta é disponibilizada globalmente através da App Store e do Google Play, nos países onde estas lojas operam. A presente política aplica-se aos utilizadores de todos os países, sem prejuízo das normas imperativas de proteção de dados do país onde se encontra.

Se for cliente e o seu pedido disser respeito a registos mantidos pela sua clínica, dirija-o primeiro à sua clínica (ver §8).

3. Dados que recolhemos

A Corenta não trata números de cartão nem códigos de segurança (CVV). Os pagamentos da subscrição são cobrados através da Apple App Store e do Google Play.

4. Finalidades de utilização e fundamentos jurídicos

O aviso de privacidade não constitui um consentimento. A aplicação apresenta o aviso de privacidade num passo separado e regista a declaração "Li e compreendi". O consentimento para dados de saúde e o consentimento para mensagens promocionais são separados e facultativos. Caso não dê o consentimento para dados de saúde, continua a poder utilizar a sua conta e as funções básicas de marcação; apenas as funções de saúde ficam indisponíveis.

5. Com quem partilhamos e transferência internacional

Os dados do titular não são vendidos nem partilhados para fins publicitários; são cifrados com TLS durante a transmissão e tratados apenas pelos prestadores de infraestrutura abaixo indicados, que prestam o serviço (detalhe: Lista de Subcontratantes Ulteriores). Os dados em repouso (base de dados e armazenamento de ficheiros) são guardados de forma cifrada na infraestrutura do prestador de alojamento (Supabase). As informações apresentadas a outros utilizadores nos grupos, na liga, no Lab e no Descobrir não constituem venda nem partilha para fins publicitários; surgem como parte da funcionalidade utilizada pelo titular ou pelo seu estúdio, dentro dos limites descritos no §5-A.

A comunicação de dados a instituições e organismos públicos habilitados só pode ocorrer nos casos previstos na legislação e nos limites do pedido.

As mensagens e as mensagens de grupo são tratadas através do serviço de entrega em tempo real da Supabase (Realtime) e os vídeos dos estúdios no armazenamento de ficheiros da Supabase; não foi acrescentado qualquer novo prestador para este efeito. Não é utilizada qualquer rede publicitária nem SDK publicitário para a posição patrocinada (Boost); os estúdios patrocinados são apresentados na própria lista da Corenta com a indicação "Patrocinado" e nenhum dado de utilizador é transferido para anunciantes.

Transferência internacional: Todos os fornecedores acima referidos tratam dados fora da Turquia. O alojamento na Alemanha constitui igualmente uma transferência internacional na aceção da Lei n.º 6698. Sendo estas transferências regulares e contínuas, não se baseiam no consentimento explícito; basear-se-ão numa das condições de tratamento dos artigos 5.º e 6.º da Lei e, nos termos do art. 9.º/4-c, nos contratos-tipo publicados pelo Conselho de Proteção de Dados Pessoais (Kurul). À data deste texto, os contratos-tipo ainda não foram assinados com os fornecedores nem notificados ao Conselho. Cada contrato será notificado ao Conselho no prazo de 5 dias úteis a contar da data de assinatura, e esta secção será atualizada com a lista de fornecedores e datas. Não existe qualquer decisão de adequação publicada pelo Conselho relativamente a estes países (última verificação: 11 de outubro de 2026).

Utilizadores na UE/EEE (RGPD): Uma vez que a Corenta é também disponibilizada, através da App Store e do Google Play, a pessoas na União Europeia e no Espaço Económico Europeu, o RGPD (UE 2016/679) aplica-se aos tratamentos relativos a essas pessoas, nos termos do art. 3.º, n.º 2, alínea a). As funções não se alteram: nos dados das clínicas, a Teta Studio é subcontratante; nas suas próprias atividades, é responsável pelo tratamento. Os fundamentos jurídicos são a execução do contrato (art. 6.º, n.º 1, alínea b)), o interesse legítimo (art. 6.º, n.º 1, alínea f)), a obrigação jurídica (art. 6.º, n.º 1, alínea c)) e o consentimento separado (art. 6.º, n.º 1, alínea a)); os dados de saúde baseiam-se no art. 9.º, n.º 2, alínea a) ou h). A base de dados e os ficheiros são alojados na UE (Frankfurt). As transferências para fornecedores fora da UE/EEE (Vercel, Google, Apple) baseiam-se em mecanismos de transferência previstos nos arts. 45.º–46.º do RGPD, como as Cláusulas Contratuais-Tipo da UE ou o Quadro de Privacidade de Dados UE-EUA dos fornecedores. Detalhes e direitos: Declaração RGPD.

5-A. Funcionalidades de comunidade e crescimento — dados de saúde e visibilidade

Os dados de saúde são dados pessoais de categoria especial. As funcionalidades seguintes não apresentam nem partilham registos de saúde (anamnese, nota de sessão, medição):

• Grupos da clínica: Apenas os membros aprovados do grupo e a equipa da clínica veem as mensagens. O nome do titular aparece no formato "Ayşe K."; o telefone e o e-mail não são apresentados. A adesão exige consentimento explícito e é possível sair a qualquer momento. As mensagens são texto livre: pede-se que não sejam partilhadas no grupo informações de saúde (dor, diagnóstico, medicação, tratamento); as informações de saúde partilhadas podem ser denunciadas e ocultadas pela equipa. A equipa pode ocultar ou eliminar uma mensagem contrária às regras e silenciar um membro ou removê-lo do grupo; uma mensagem denunciada por três membros diferentes é ocultada automaticamente. Não existem mensagens individuais entre clientes.
• Desafio dentro do estúdio: A participação é facultativa. Na tabela figuram apenas o nome próprio, a inicial do apelido e o número de sessões frequentadas; a dor, as medições e o peso não são utilizados.
• Liga de estúdios: Os estúdios aparecem apenas com um pseudónimo ou um código; não são apresentados o nome real do estúdio, a cidade e a dimensão, nem os nomes de clientes e profissionais. A pontuação é calculada exclusivamente a partir do XP das tarefas semanais.
• Cartão de perfil do profissional: Contém apenas o número total de sessões, a classificação verificada com pelo menos 5 avaliações e os distintivos; não contém informações sobre clientes nem dados de saúde. Apenas o profissional vê e partilha o cartão.
• Distintivos do cliente e cartão de fidelização: Os distintivos não são públicos. No cálculo dos distintivos não é lido o conteúdo dos registos de saúde; alguns distintivos verificam apenas se um registo existe ou quantos existem (por exemplo, o envio do formulário de anamnese).
• Descobrir v2: Os vídeos dos estúdios são apresentados publicamente após análise da Corenta; a obtenção da autorização das pessoas que aparecem no vídeo é da responsabilidade do estúdio. A posição patrocinada é sempre apresentada com a indicação "Patrocinado" e separada da classificação orgânica; os estúdios da categoria de fisioterapia não são apresentados como patrocinados. Se o titular estiver inscrito num estúdio, o Descobrir não lhe apresenta estúdios concorrentes. A pesquisa é feita pela província/distrito ou pela área do mapa escolhida; a localização do dispositivo não é recolhida.
• Corenta Lab e Estúdios Fundadores: As propostas e os comentários do Lab são visíveis para os restantes estúdios participantes; o nome do estúdio só é apresentado se o estúdio o escolher. O nome de um estúdio só figura na lista de Estúdios Fundadores se o estúdio o autorizar.

Quando a conta é eliminada, a participação nos grupos é eliminada; o texto das mensagens de grupo enviadas anteriormente permanece no grupo, sem as informações do remetente. As próprias mensagens podem ser eliminadas a qualquer momento.

6. Cookies, SDK e tecnologias semelhantes

• Painel de administração web: São utilizados cookies de sessão estritamente necessários para manter a sessão iniciada. Sem estes cookies não é possível iniciar sessão.
• Sítio promocional (corenta.app): O código do sítio neste repositório guarda a preferência de idioma e de aparência apenas no armazenamento local do navegador (localStorage).
• Aplicação móvel: Os tokens de sessão são guardados no armazenamento seguro de chaves do dispositivo (armazenamento seguro baseado no iOS Keychain / Android Keystore).
• Não são utilizados cookies nem scripts de análise, publicidade ou rastreamento de terceiros. Caso tal se altere, este texto será atualizado antes da utilização de qualquer cookie e o consentimento necessário será pedido separadamente.

SDK e serviços do sistema na aplicação móvel (em 18 de outubro de 2026, apps/mobile/package.json):

A aplicação móvel não contém SDK de publicidade, identificador publicitário (IDFA/AAID), análise ou rastreamento; a autorização de rastreamento (tracking) do iOS não é pedida. O código de ligação para a monitorização de erros com o Sentry (região da UE) está preparado, mas desativado: como não foi configurado qualquer endereço de ligação, nenhum dado é enviado. Antes da sua ativação, o presente texto e a Lista de Subcontratantes Ulteriores serão atualizados.

7. Prazos de conservação e eliminação da conta

Principais regras de conservação (tabela completa: Política de Conservação e Eliminação de Dados):

Eliminação da conta: Pode eliminar a sua conta a partir da aplicação. Página web para pedido de eliminação: corenta.app/account-deletion. Quando a eliminação é confirmada, o acesso à conta é imediatamente cortado. São apagados o nome, o e-mail, o telefone, a imagem de perfil, os dados de identificação/contacto do cliente e os campos de saúde (grupo sanguíneo, alergias, doenças crónicas, medicação). O registo de autenticação e os ficheiros (imagem de perfil, anexos da anamnese, ficheiros de exportação e comprovativos de pagamento) são apagados definitivamente num processo em segundo plano de trinta dias. Os documentos de verificação do profissional não estão abrangidos por esta eliminação automática; relativamente a estes documentos, pode apresentar um pedido através de hello@corenta.app.

Os registos que a clínica está obrigada a conservar (notas de sessão, formulários de anamnese, medições, registos de pagamentos e remunerações) são conservados com desvinculação da pessoa no momento da eliminação. O texto livre das notas de sessão não é alterado na eliminação; por esse motivo, estes registos não são considerados anónimos em todos os casos. São conservados com acesso restrito durante o prazo da obrigação da clínica e eliminados no fim desse prazo. Os resíduos técnicos nas cópias de segurança são apagados no fim do ciclo de cópias de segurança.

8. Os seus direitos e pedidos

Nos termos do art. 11.º da Lei n.º 6698, tem o direito de saber se os seus dados pessoais são tratados, de pedir informações, de conhecer a finalidade do tratamento, de conhecer os terceiros a quem foram transferidos, de pedir a retificação e o apagamento, de pedir que essas operações sejam comunicadas a terceiros, de se opor a um resultado decorrente de uma análise automatizada e de pedir a reparação de danos.

• Registos da clínica (marcações, anamnese, notas de sessão, etc.): Dirija o seu pedido à sua clínica. Os pedidos deste tipo que cheguem à Corenta são reencaminhados para a clínica.
• Registos de que a Corenta é responsável pelo tratamento: Escreva para hello@corenta.app.
• Os pedidos são respondidos gratuitamente no prazo máximo de 30 dias.
• Se a legislação do país onde se encontra lhe conferir direitos adicionais (por exemplo, na UE/EEE, os direitos de acesso, retificação, apagamento, limitação, portabilidade e oposição previstos nos arts. 15.º–22.º do RGPD), pode exercê-los através dos mesmos endereços. Fica salvaguardado o seu direito de apresentar reclamação à autoridade de proteção de dados do país onde se encontra.
• O ecrã "Transferir os meus dados" da aplicação disponibiliza os seus dados em JSON e, quando o ficheiro puder ser preparado, também em ZIP, através de uma ligação pessoal válida durante 7 dias. O ecrã "Eliminar a minha conta" permite exercer diretamente o direito ao apagamento.

9. Segurança

Medidas verificadas no código e na configuração:

• Os dados de cada clínica são separados por políticas de segurança ao nível das linhas (RLS); a regra predefinida é recusar o acesso.
• Os dados de saúde podem ser vistos pelo próprio cliente, pelo profissional que lhe está atribuído e pelo administrador autorizado da clínica. As notas de sessão que o profissional partilhou com a equipa podem também ser vistas pelos restantes profissionais da clínica. O acesso do pessoal é possível enquanto o módulo de saúde em causa estiver ativado.
• As notas de sessão enviadas não podem ser alteradas nem eliminadas.
• O modo de apoio dura no máximo 30 minutos e é, por predefinição, apenas de leitura; o acesso a dados de saúde exige aprovação separada; não é possível escrever nos dados de saúde. O pessoal de apoio não vê o e-mail nem o telefone do cliente.
• Os dados são cifrados em trânsito com TLS.
• Nos ecrãs móveis que mostram dados de saúde, as capturas de ecrã e a gravação de ecrã são bloqueadas.
• As contas de administração da plataforma exigem autenticação de dois fatores (MFA).

Não é possível garantir a segurança absoluta de qualquer sistema. Em caso de violação de dados, a Teta Studio informa a clínica sem demora e, no máximo, no prazo de 24 horas relativamente aos dados da clínica de que é subcontratante; relativamente aos dados de que é responsável pelo tratamento, notifica o Conselho no prazo de 72 horas.

10. Crianças

A conta Corenta destina-se a pessoas com 18 anos completos. O registo de clientes menores e o processo de informação/consentimento são da responsabilidade da clínica e devem ser realizados através de um progenitor ou tutor. A aplicação ainda não dispõe de um fluxo separado para os progenitores de clientes menores.

Regra adicional para as funcionalidades de comunidade (18 de outubro de 2026): os clientes cuja data de nascimento esteja registada e que tenham menos de 18 anos não podem participar em desafios nem em grupos de comunidade; só podem ser adicionados a grupos de aula para os quais a equipa da clínica os convide. Se a data de nascimento não estiver registada, é pedida a declaração "tenho mais de 18 anos" para participar num desafio; nos grupos, o cliente sem data de nascimento registada é considerado maior de idade.

11. Retirada de consentimentos e mensagens promocionais

• Consentimento para dados de saúde: Pode retirá-lo a qualquer momento em Perfil → KVKK/Dados; após a retirada, não são registados novos dados de saúde.
• Notificações de campanha da clínica: Pode desativá-las em Perfil → Definições de notificações. As notificações transacionais, como a confirmação da marcação, o cancelamento e o lembrete da sessão, não dependem deste consentimento.
• E-mails promocionais: A Corenta só envia e-mails promocionais se tiver dado consentimento separado e se este tiver sido registado no Sistema de Gestão de Mensagens (İleti Yönetim Sistemi, İYS). Pode recusá-los gratuitamente através da ligação de cancelamento incluída em cada mensagem promocional ou através de hello@corenta.app. Os e-mails do período experimental, de convite de equipa e de apoio são mensagens de serviço.
• Permissões do sistema operativo (notificações, fotografias; Face ID/impressão digital, se o bloqueio da aplicação estiver ativado): podem ser desativadas nas definições do dispositivo. A aplicação não pede permissão de acesso à câmara, ao microfone, à localização, aos contactos ou ao calendário.

Medição pseudonimizada do produto: Para melhorar o produto, podem ser medidos eventos de utilização agregados apenas do lado do servidor, com um identificador pseudonimizado da clínica. Esta medição não inclui endereços IP, dados de saúde nem rastreamento de origem/publicidade. O identificador pseudonimizado da clínica tem natureza de pseudónimo; num negócio de uma só pessoa, pode ser associado a essa pessoa. Esta funcionalidade está atualmente desativada; este texto será atualizado antes da sua ativação.

12. Alterações

Sempre que esta política for alterada, será publicada com número de versão, data e registo de alterações. Em caso de alterações importantes, será feita uma notificação na aplicação.

Versão 3.4 · 20 de outubro de 2026