Português (Brasil)

Política de Privacidade - Altum Trail Run

Versão: 2.8 | Data de vigência: 29 de outubro de 2026

Controlador de dados

Altum Tecnologia LTDA, CNPJ 67.094.887/0001-03, sediada no Brasil, desenvolvedora do aplicativo Altum Trail Run. Contato: contato@altumtrailrun.com.

1. Quais Dados Coletamos

1.1 Dados Pessoais

• Nome completo
• Endereço de e-mail
• Data de nascimento
• Sexo

1.2 Dados Sensíveis de Saúde e Performance

• Peso e altura
• Frequência cardíaca (repouso, máxima, zonas)
• Percepção subjetiva de esforço (RPE)
• Índice VDOT e dados de performance
• Histórico completo de treinos e atividades
• Dados de GPS, elevação e percurso
• Dados nutricionais e de hidratação
• Histórico de lesões, dor e fadiga (relatados pelo usuário)
• Treinos importados de relógios e apps de saúde que você conectar (seção 1.4)

1.3 Dados de Uso

• Informações de acesso e navegação no aplicativo
• Dispositivo e sistema operacional
• Endereço IP (armazenado em formato hash unidirecional para fins de auditoria de consentimento)

1.4 Relógios e apps de saúde conectados

Conectar um relógio ou app de saúde é opcional e depende da sua autorização, dada na tela da própria fonte (COROS, Polar, Garmin) ou do sistema (Apple Saúde, Health Connect). Só lemos dados depois dessa autorização, e somente os listados abaixo:

• COROS: lemos o resumo das suas atividades (data e hora, tipo, duração, distância, ritmo, frequência cardíaca média e máxima, subida e calorias). Das atividades ao ar livre, guardamos também o trajeto de GPS simplificado, que aparece no mapa do cartão de compartilhar. Também enviamos os próximos treinos de corrida do seu plano para o calendário de treinos da sua conta COROS, para que apareçam no relógio.
• Polar: lemos o resumo dos treinos sincronizados com o Polar Flow (data e hora, tipo, duração, distância, frequência cardíaca média e máxima, calorias e nome do aparelho). Das atividades ao ar livre, guardamos também o trajeto de GPS simplificado, que aparece no mapa do cartão de compartilhar. As amostras de altitude do treino servem apenas para calcular a subida e não são guardadas. Nada é enviado à Polar.
• Apple Saúde (iPhone, HealthKit): lemos os treinos registrados no app Saúde (data e hora, tipo, duração, distância, subida, frequência cardíaca, calorias e nome do aparelho). O Altum nunca grava dados no app Saúde. Se você permitir, o iPhone avisa o Altum quando entra um treino novo no Saúde, e ele é enviado mesmo com o app fechado.
• Health Connect (Android): usado para receber os treinos do Garmin Connect. Pedimos permissão de leitura de exercícios, distância, subida e frequência cardíaca, e lemos apenas os registros gravados pelo app Garmin Connect. Se você der também a permissão de leitura em segundo plano, o Altum lê os treinos novos do Garmin Connect com o app fechado, a cada cerca de 15 minutos. O Altum nunca grava dados no Health Connect.
• Garmin: ao conectar sua conta Garmin pelo Altum, recebemos o resumo das atividades sincronizadas com o Garmin Connect depois da conexão (data e hora, tipo, duração, distância, ritmo, frequência cardíaca média e máxima, subida, calorias e modelo do aparelho). Das atividades ao ar livre, guardamos também o trajeto de GPS simplificado, que aparece no mapa do cartão de compartilhar. Também enviamos os próximos treinos do seu plano para o calendário do Garmin Connect e o percurso da sua prova para o relógio. Em versões anteriores do app, os treinos do Garmin chegavam pelo Health Connect e pelo Apple Saúde, como descrito acima.

O que não lemos: rota de GPS (além do trajeto simplificado citado acima), sono, peso, ciclo menstrual, medicamentos, registros clínicos ou qualquer outro dado dessas fontes. Caminhadas, pedaladas e outras modalidades que chegam junto são descartadas.

Para que usamos: exclusivamente para marcar os treinos do seu plano como feitos, calcular seu volume e sua subida, ajustar o plano e o Altum Score, e preencher seu volume de treino no cadastro.

Uso limitado: os dados vindos do HealthKit, do Health Connect, da COROS, da Polar e da Garmin nunca são usados para publicidade, nunca são vendidos, não vão para a mensuração de anúncios descrita na seção 3, não são usados para treinar modelos de inteligência artificial e não são compartilhados com terceiros, exceto com os operadores de infraestrutura da seção 3, na medida necessária para o serviço funcionar, ou por obrigação legal. Nenhum desses dados, nem o que derivamos deles, é processado por sistemas de inteligência artificial. Pessoas da equipe só acessam esses dados a seu pedido (suporte), por segurança ou por exigência legal. O uso de informações recebidas do Health Connect segue a Política de Permissões do Health Connect, incluindo os requisitos de uso limitado.

Credenciais: nunca vemos sua senha da COROS, da Polar ou da Garmin. Os tokens de acesso que elas nos fornecem ficam guardados com criptografia (AES-256).

Como desconectar: em Configurações → Relógios conectados, a qualquer momento. Ao desconectar pelo Altum, apagamos o acesso e as atividades importadas daquela fonte. Você também pode revogar a permissão no app Saúde, no Health Connect, na COROS, no Polar Flow ou nas configurações do Garmin Connect. Treinos e percursos que já enviamos à COROS ou ao Garmin Connect ficam lá até você apagá-los no app da marca.

Serviços independentes: COROS, Polar, Apple, Google e Garmin tratam seus dados segundo as próprias políticas de privacidade, e o Altum não controla esse tratamento. As marcas citadas pertencem aos seus donos; o Altum não é afiliado a elas.

2. Base Legal para Tratamento (LGPD, GDPR e UK GDPR)

Esta Política atende à Lei Geral de Proteção de Dados brasileira (Lei 13.709/2018), ao Regulamento Geral de Proteção de Dados da União Europeia (Regulamento (UE) 2016/679) e ao UK GDPR — o GDPR conforme incorporado ao direito do Reino Unido pela seção 3 do European Union (Withdrawal) Act 2018. Em conformidade com os artigos 7 e 11 da LGPD, e com os artigos 6 e 9 do GDPR e do UK GDPR, o tratamento dos seus dados ocorre nas seguintes bases legais:

• Consentimento explícito (Art. 11, I): para coleta e tratamento de dados sensíveis de saúde e performance (peso, altura, frequência cardíaca, RPE, VDOT, GPS, histórico de treinos e dados importados de relógios e apps de saúde que você conectar).
• Execução contratual (Art. 7, V): para dados necessários à criação e manutenção da conta do usuário (nome, e-mail, data de nascimento, sexo).
• Legítimo interesse (Art. 7, IX): para dados de uso e analytics agregados, visando a melhoria do serviço, e para segurança (detecção de fraude, auditoria de acesso).
• Cumprimento de obrigação legal (Art. 7, II): retenção de logs conforme Marco Civil da Internet (Lei 12.965/2014).

3. Compartilhamento de Dados (Sub-processadores)

Seus dados podem ser compartilhados com os seguintes prestadores de serviço (operadores), estritamente para o funcionamento da plataforma. Mantemos Acordo de Tratamento de Dados (DPA) com cada um deles e listamos o escopo de dados transmitidos.:

• Lojas de aplicativo (Apple App Store, Google Play): processamento das assinaturas. Dados de cobrança (cartão, conta) ficam sob a política de cada loja — o Altum não armazena nem recebe informações de pagamento.
• Intermediador de assinaturas in-app: recebe apenas identificador interno do usuário e status da assinatura (ativa, cancelada, em trial) para sincronizar o acesso Pro. Não recebe dados de pagamento nem informações de saúde.
• Infraestrutura de banco de dados e autenticação: armazenamento em servidores localizados nos Estados Unidos. Transferência internacional ocorre sob cláusulas-padrão contratuais da ANPD (Resolução CD/ANPD nº 19/2025).
• Serviço de e-mail transacional: envio de e-mails de verificação e notificações da conta. Nenhum dado de perfil, saúde ou treino é enviado — apenas o endereço destinatário e o texto do e-mail.
• Mensuração de anúncios (Meta Platforms): quando você instala ou abre o aplicativo, o SDK da Meta registra esse evento junto com dados técnicos do aparelho (modelo, sistema operacional, endereço IP e identificadores do aplicativo), apenas para medirmos se nossos anúncios no Instagram e no Facebook geram instalações. Não enviamos nome, e-mail, dados de treino ou de saúde, não pedimos permissão de rastreamento no iPhone e não coletamos o identificador de publicidade do aparelho.

Nenhum dado pessoal é vendido ou alugado. O único compartilhamento ligado a publicidade é a mensuração de instalações descrita acima, que não inclui dados de conta, de treino ou de saúde. O Altum não utiliza inteligência artificial na operação do serviço. O motor de prescrição e adaptação de treino é totalmente determinístico e roda integralmente em nossa infraestrutura. Nenhum dado de usuário, seja bruto, derivado ou agregado, é jamais enviado a qualquer modelo ou provedor de inteligência artificial, nem usado para treinar, ajustar ou avaliar qualquer modelo.

As cinco categorias acima são todos os operadores que utilizamos, cada um sob Acordo de Tratamento de Dados. A identificação nominal e os acordos correspondentes ficam disponíveis mediante solicitação em contato@altumtrailrun.com. A relação datada dos operadores está em altumtrailrun.com/sub-processors. Você será notificado com 30 dias de antecedência sobre qualquer alteração.

4. Retenção de Dados

Categoria	Prazo	Base legal
Conta ativa (perfil, treinos, atividades)	Enquanto a conta estiver ativa	Execução contratual
Após exclusão da conta	Até 180 dias	Cumprimento de obrigação legal/regulatória
Logs de aplicação	6 meses	Marco Civil da Internet, Art. 15
Logs de conexão	12 meses	Marco Civil da Internet, Art. 13
Registros de consentimento	5 anos após revogação	LGPD, comprovação
Códigos de verificação de e-mail	7 dias após expiração	Limitação de finalidade
Atividades importadas de relógios e apps de saúde	Enquanto a fonte estiver conectada; apagadas ao desconectar	Consentimento

Após os prazos acima, os dados são eliminados de forma definitiva ou anonimizados de forma irreversível.

5. Segurança

• Toda comunicação entre o aplicativo e nossos servidores utiliza criptografia em trânsito (TLS/HTTPS).
• Senhas são armazenadas com hash criptográfico via Supabase Auth.
• Endereços IP em registros de consentimento são armazenados em formato hash unidirecional (SHA-256 com pepper).
• O acesso aos dados é restrito à equipe técnica autorizada, com controle de permissões e auditoria de acesso a dados sensíveis.
• Realizamos revisões periódicas de segurança.

6. Direitos do Titular (LGPD Art. 18)

Você tem os seguintes direitos em relação aos seus dados pessoais, exercíveis a qualquer momento. Respondemos solicitações em até 15 dias (LGPD) ou 45 dias para residentes nos Estados Unidos (CCPA/CPRA):

• Acesso: solicitar uma cópia dos dados que possuímos sobre você.
• Correção: solicitar a atualização de dados incompletos, inexatos ou desatualizados.
• Exclusão: solicitar a eliminação dos seus dados pessoais. Você será convidado a exportar seus dados antes da exclusão, e receberá confirmação por escrito assim que a exclusão for concluída.
• Portabilidade: receber uma cópia dos seus dados em formato estruturado e legível por máquina (JSON + CSV), entregue a você.
• Anonimização: alternativa à exclusão que preserva dados estatísticos agregados sem identificação.
• Revogação de consentimento: retirar o consentimento para tratamento de dados sensíveis a qualquer momento, escrevendo para contato@altumtrailrun.com ou por altumtrailrun.com/support. Como o tratamento desses dados é indispensável para gerar e adaptar o plano de treino, a revogação implica o encerramento do uso do serviço: excluímos a conta, com confirmação por escrito.
• Revisão de decisão automatizada (Art. 20): solicitar revisão humana de recomendações do motor de adaptação de treino.
• Informação: ser informado sobre com quem seus dados são compartilhados.

7. Direitos de Residentes nos Estados Unidos

Se você reside nos EUA, você possui direitos adicionais conforme as leis estaduais aplicáveis (CCPA/CPRA, VCDPA, CPA, CTDPA, UCPA, OCPA, TDPSA e outras):

• Right to know, delete, correct, portability: equivalentes aos direitos LGPD acima.
• Right to opt-out of sale/share/profiling: não vendemos seus dados. Honramos o sinal Global Privacy Control (GPC) como opt-out.
• Right to limit use of sensitive personal information: aplicável a dados de saúde e localização.
• Residentes de Washington e Nevada (My Health My Data Act e NV SB370): o tratamento de dados de saúde do consumidor depende de consentimento específico, e não vendemos esses dados sob nenhuma hipótese.
• Direito de recurso: se negarmos um pedido relativo aos seus direitos, informaremos o motivo por escrito e você pode contestar a decisão escrevendo para contato@altumtrailrun.com com o assunto “Recurso”. Respondemos em até 45 dias, com justificativa fundamentada. Persistindo a discordância, você pode acionar a autoridade de proteção de dados competente ou o Procurador-Geral do seu estado.
• Agente autorizado: você pode nomear alguém para exercer seus direitos em seu nome. Para proteger sua conta, pedimos comprovação da autorização e podemos solicitar que você confirme a própria identidade diretamente.

8. Menores de Idade

A idade mínima para criar conta varia conforme o país, nos termos da seção 4 dos Termos de Uso: 16 anos no Espaço Económico Europeu e no Reino Unido (GDPR Art. 8, no limite adotado por Alemanha e Áustria), 14 anos no Brasil, e 13 anos nos Estados Unidos (COPPA) e nos demais países. Abaixo desse limite não coletamos nenhum dado. Enquanto o país não tiver sido identificado, aplicamos o limite mais alto (16 anos). Menores de 18 anos só podem usar o Altum com a conta criada e supervisionada pelo responsável legal, que aceita os Termos em nome do menor. Funcionalidades de ultra distância e treino de força máxima permanecem restritas a maiores de 18 anos.

9. Incidentes de Segurança

Em caso de incidente de segurança que envolva dados pessoais, a Autoridade Nacional de Proteção de Dados (ANPD) será comunicada em até 3 dias úteis conforme Resolução CD/ANPD nº 15/2024, e os titulares afetados serão notificados em prazo razoável. Para residentes nos EUA com dados de saúde afetados, a notificação seguirá a FTC Health Breach Notification Rule (16 CFR Part 318) no prazo de 60 dias.

10. Encarregado de Dados (DPO)

Designamos um Encarregado pelo Tratamento de Dados Pessoais conforme LGPD Art. 41.

E-mail do DPO: contato@altumtrailrun.com

11. Canal de Contato

Para exercer qualquer direito previsto nesta política, esclarecer dúvidas ou registrar solicitações relacionadas à privacidade, entre em contato:

E-mail geral: contato@altumtrailrun.com
Canal de privacidade (formulário): altumtrailrun.com/support

12. Alterações

Esta política poderá ser atualizada periodicamente. O usuário será notificado sobre alterações relevantes e, quando aplicável, deverá fornecer novo consentimento. O histórico de versões está disponível mediante solicitação.

Altum Trail Run
Altum Tecnologia LTDA · CNPJ 67.094.887/0001-03
Contato: contato@altumtrailrun.com

English

Privacy Policy - Altum Trail Run

Version: 2.8 | Effective date: October 29, 2026

Data controller

Altum Tecnologia LTDA, Brazilian company registration (CNPJ) 67.094.887/0001-03, based in Brazil, developer of the Altum Trail Run app. Contact: contato@altumtrailrun.com.

1. What Data We Collect

1.1 Personal Data

• Full name
• Email address
• Date of birth
• Sex

1.2 Sensitive Health and Performance Data

• Weight and height
• Heart rate (resting, maximum, zones)
• Rating of perceived exertion (RPE)
• VDOT index and performance data
• Complete training and activity history
• GPS, elevation, and route data
• Nutrition and hydration data
• History of injuries, pain, and fatigue (self-reported)
• Workouts imported from watches and health apps you connect (section 1.4)

1.3 Usage Data

• Access and navigation information within the app
• Device and operating system
• IP address (stored as a one-way hash for consent audit purposes)

1.4 Connected watches and health apps

Connecting a watch or health app is optional and requires your authorization, given on the source's own screen (COROS, Polar, Garmin) or the system's (Apple Health, Health Connect). We only read data after that authorization, and only the data listed below:

• COROS: we read the summary of your activities (date and time, type, duration, distance, pace, average and maximum heart rate, elevation gain and calories). For outdoor activities, we also store a simplified GPS route, shown on the map of the share card. We also send the upcoming running workouts of your plan to the training calendar of your COROS account, so they show up on your watch.
• Polar: we read the summary of workouts synced with Polar Flow (date and time, type, duration, distance, average and maximum heart rate, calories and device name). For outdoor activities, we also store a simplified GPS route, shown on the map of the share card. The altitude samples of a workout are used only to calculate elevation gain and are not stored. Nothing is sent to Polar.
• Apple Health (iPhone, HealthKit): we read the workouts recorded in the Health app (date and time, type, duration, distance, elevation gain, heart rate, calories and device name). Altum never writes data to the Health app. If you allow it, your iPhone notifies Altum when a new workout lands in Health, and it is sent even with the app closed.
• Health Connect (Android): used to receive workouts from Garmin Connect. We request read permission for exercise, distance, elevation gained and heart rate, and we only read records written by the Garmin Connect app. If you also grant background read permission, Altum reads new Garmin Connect workouts with the app closed, about every 15 minutes. Altum never writes data to Health Connect.
• Garmin: when you connect your Garmin account in Altum, we receive the summary of activities synced with Garmin Connect after the connection (date and time, type, duration, distance, pace, average and maximum heart rate, elevation gain, calories and device model). For outdoor activities, we also keep the simplified GPS track, shown on the map of the share card. We also send the upcoming workouts of your plan to your Garmin Connect calendar and your race course to your watch. In earlier versions of the app, Garmin workouts arrived through Health Connect and Apple Health, as described above.

What we do not read: GPS routes (other than the simplified track mentioned above), sleep, weight, menstrual cycle, medications, clinical records or any other data from these sources. Walks, rides and other activity types that come along are discarded.

What we use it for: only to mark the workouts of your plan as done, calculate your volume and elevation gain, adjust your plan and Altum Score, and fill in your training volume during sign-up.

Limited use: data from HealthKit, Health Connect, COROS, Polar and Garmin is never used for advertising, is never sold, does not go to the ad measurement described in section 3, is not used to train artificial intelligence models and is not shared with third parties, except with the infrastructure processors in section 3, to the extent needed for the service to work, or when required by law. None of this data, nor anything we derive from it, is processed by artificial intelligence systems. Team members only access this data at your request (support), for security or when required by law. The use of information received from Health Connect will adhere to the Health Connect Permissions policy, including the Limited Use requirements.

Credentials: we never see your COROS, Polar or Garmin password. The access tokens they give us are stored encrypted (AES-256).

How to disconnect: in Settings → Connected watches, at any time. When you disconnect in Altum, we delete the access and the activities imported from that source. You can also revoke the permission in the Health app, Health Connect, COROS, Polar Flow or your Garmin Connect settings. Workouts and courses we already sent to COROS or Garmin Connect stay there until you delete them in that brand's app.

Independent services: COROS, Polar, Apple, Google and Garmin process your data under their own privacy policies, and Altum does not control that processing. The brands mentioned belong to their owners; Altum is not affiliated with them.

2. Legal Basis for Processing (LGPD, GDPR and UK GDPR)

This Policy meets the requirements of the Brazilian General Data Protection Law (Law 13.709/2018), the EU General Data Protection Regulation (Regulation (EU) 2016/679), and the UK GDPR — the GDPR as it forms part of the law of England and Wales, Scotland and Northern Ireland by virtue of section 3 of the European Union (Withdrawal) Act 2018. In compliance with Articles 7 and 11 of the LGPD, and Articles 6 and 9 of the GDPR and UK GDPR, your data is processed under the following legal bases:

• Explicit consent (Art. 11, I): for the collection and processing of sensitive health and performance data (weight, height, heart rate, RPE, VDOT, GPS, training history and data imported from watches and health apps you connect).
• Performance of contract (Art. 7, V): for data required to create and maintain the user account (name, email, date of birth, sex).
• Legitimate interest (Art. 7, IX): for usage data and aggregated analytics, for the purpose of improving the service, and for security (fraud detection, access auditing).
• Compliance with legal obligation (Art. 7, II): log retention as required by the Brazilian Internet Framework Act (Law 12.965/2014).

3. Data Sharing (Sub-processors)

Your data may be shared with the following service providers (processors), strictly for the operation of the platform. We maintain a Data Processing Agreement (DPA) with each of them and list the scope of data transmitted.:

• App stores (Apple App Store, Google Play): subscription processing. Billing data (card, account) is subject to each store's policy — Altum does not store or receive payment information.
• In-app subscription intermediary: receives only the user's internal identifier and subscription status (active, canceled, in trial) to synchronize Pro access. Does not receive payment data or health information.
• Database and authentication infrastructure: storage on servers located in the United States. International transfer takes place under the ANPD's standard contractual clauses (ANPD Resolution CD/ANPD No. 19/2025).
• Transactional email service: sending of verification emails and account notifications. No profile, health, or training data is sent — only the recipient address and the email text.
• Ad measurement (Meta Platforms): when you install or open the app, the Meta SDK records that event together with technical device data (model, operating system, IP address and app identifiers), solely so we can measure whether our ads on Instagram and Facebook lead to installs. We do not send your name, email, training or health data, we do not ask for tracking permission on iPhone, and we do not collect the device advertising identifier.

No personal data is sold or rented. The only sharing related to advertising is the install measurement described above, which includes no account, training or health data. Altum does not use artificial intelligence in the operation of the service. The training prescription and adaptation engine is fully deterministic and runs entirely on our infrastructure. No user data, whether raw, derived, or aggregated, is ever sent to any artificial-intelligence model or provider, nor used to train, fine-tune, or evaluate any model.

The five categories above are every processor we use, each under a Data Processing Agreement. Their names and the corresponding agreements are available on request at contato@altumtrailrun.com. The dated list of processors is published at altumtrailrun.com/sub-processors. You will be notified 30 days in advance of any changes.

4. Data Retention

Category	Term	Legal basis
Active account (profile, workouts, activities)	While the account is active	Performance of contract
After account deletion	Up to 180 days	Compliance with legal/regulatory obligation
Application logs	6 months	Brazilian Internet Framework Act, Art. 15
Connection logs	12 months	Brazilian Internet Framework Act, Art. 13
Consent records	5 years after revocation	LGPD, evidentiary purposes
Email verification codes	7 days after expiration	Purpose limitation
Activities imported from watches and health apps	While the source is connected; deleted on disconnect	Consent

After the terms above, data is permanently deleted or irreversibly anonymized.

5. Security

• All communication between the app and our servers uses encryption in transit (TLS/HTTPS).
• Passwords are stored with cryptographic hashing via Supabase Auth.
• IP addresses in consent records are stored as a one-way hash (SHA-256 with pepper).
• Access to data is restricted to authorized technical staff, with permission controls and access auditing for sensitive data.
• We perform periodic security reviews.

6. Data Subject Rights (LGPD Art. 18)

You have the following rights regarding your personal data, exercisable at any time. We respond to requests within 15 days (LGPD) or 45 days for United States residents (CCPA/CPRA):

• Access: request a copy of the data we hold about you.
• Correction: request the update of incomplete, inaccurate, or outdated data.
• Deletion: request the erasure of your personal data. You will be invited to export your data before deletion, and you will receive written confirmation once deletion is completed.
• Portability: receive a copy of your data in a structured, machine-readable format (JSON + CSV), delivered to you.
• Anonymization: alternative to deletion that preserves aggregated statistical data without identification.
• Withdrawal of consent: withdraw consent for the processing of sensitive data at any time by writing to contato@altumtrailrun.com or via altumtrailrun.com/support. Because processing this data is indispensable to generating and adapting the training plan, withdrawal means ending use of the service: we delete the account, with written confirmation.
• Review of automated decision (Art. 20): request human review of recommendations from the training adaptation engine.
• Information: be informed about who your data is shared with.

7. Rights of United States Residents

If you reside in the U.S., you have additional rights under applicable state laws (CCPA/CPRA, VCDPA, CPA, CTDPA, UCPA, OCPA, TDPSA, and others):

• Right to know, delete, correct, portability: equivalent to the LGPD rights above.
• Right to opt-out of sale/share/profiling: we do not sell your data. We honor the Global Privacy Control (GPC) signal as an opt-out.
• Right to limit use of sensitive personal information: applicable to health and location data.
• Washington and Nevada residents (My Health My Data Act and NV SB370): processing of consumer health data depends on specific consent, and we do not sell that data under any circumstances.
• Right to appeal: if we deny a request relating to your rights, we will tell you why in writing, and you may appeal the decision by writing to contato@altumtrailrun.com with the subject “Appeal”. We respond within 45 days with a reasoned explanation. If you still disagree, you may contact the competent data protection authority or your state Attorney General.
• Authorized agent: you may appoint someone to exercise your rights on your behalf. To protect your account we ask for proof of the authorization, and we may ask you to confirm your own identity directly.

8. Minors

The minimum age to create an account depends on the country, as set out in section 4 of the Terms of Use: 16 in the European Economic Area and the United Kingdom (GDPR Art. 8, at the threshold adopted by Germany and Austria), 14 in Brazil, and 13 in the United States (COPPA) and elsewhere. Below that limit we collect no data at all. Until the country has been identified, we apply the highest limit (16). Users under 18 may only use Altum with an account created and supervised by a legal guardian, who accepts the Terms on the minor's behalf. Ultra-distance and maximum-strength training features remain restricted to users 18 and over.

9. Security Incidents

In the event of a security incident involving personal data, Brazil's National Data Protection Authority (ANPD) will be notified within 3 business days pursuant to ANPD Resolution CD/ANPD No. 15/2024, and affected data subjects will be notified within a reasonable time. For U.S. residents with health data affected, notification will follow the FTC Health Breach Notification Rule (16 CFR Part 318) within 60 days.

10. Data Protection Officer (DPO)

We have appointed a Data Protection Officer in accordance with LGPD Art. 41.

DPO email: contato@altumtrailrun.com

11. Contact Channel

To exercise any right set forth in this policy, clarify questions, or submit privacy-related requests, contact us:

General email: contato@altumtrailrun.com
Privacy channel (form): altumtrailrun.com/support

12. Changes

This policy may be updated periodically. Users will be notified of material changes and, where applicable, must provide new consent. The version history is available upon request.

Altum Trail Run
Altum Tecnologia LTDA · CNPJ 67.094.887/0001-03
Contact: contato@altumtrailrun.com

Español

Política de Privacidad - Altum Trail Run

Versión: 2.8 | Fecha de vigencia: 29 de octubre de 2026

Controlador de datos

Altum Tecnologia LTDA, CNPJ 67.094.887/0001-03, con sede en Brasil, desarrolladora de la aplicación Altum Trail Run. Contacto: contato@altumtrailrun.com.

1. Qué datos recopilamos

1.1 Datos personales

• Nombre completo
• Dirección de correo electrónico
• Fecha de nacimiento
• Sexo

1.2 Datos sensibles de salud y rendimiento

• Peso y altura
• Frecuencia cardíaca (reposo, máxima, zonas)
• Percepción subjetiva del esfuerzo (RPE)
• Índice VDOT y datos de rendimiento
• Historial completo de entrenamientos y actividades
• Datos de GPS, elevación y recorrido
• Datos nutricionales y de hidratación
• Historial de lesiones, dolor y fatiga (reportados por el usuario)
• Entrenamientos importados de relojes y apps de salud que conectes (sección 1.4)

1.3 Datos de uso

• Información de acceso y navegación en la aplicación
• Dispositivo y sistema operativo
• Dirección IP (almacenada en formato hash unidireccional para fines de auditoría de consentimiento)

1.4 Relojes y apps de salud conectados

Conectar un reloj o una app de salud es opcional y depende de tu autorización, dada en la pantalla de la propia fuente (COROS, Polar, Garmin) o del sistema (Apple Salud, Health Connect). Solo leemos datos después de esa autorización, y únicamente los que se indican a continuación:

• COROS: leemos el resumen de tus actividades (fecha y hora, tipo, duración, distancia, ritmo, frecuencia cardíaca media y máxima, desnivel positivo y calorías). De las actividades al aire libre, guardamos también el recorrido GPS simplificado, que aparece en el mapa de la tarjeta para compartir. También enviamos los próximos entrenamientos de carrera de tu plan al calendario de entrenamientos de tu cuenta COROS, para que aparezcan en el reloj.
• Polar: leemos el resumen de los entrenamientos sincronizados con Polar Flow (fecha y hora, tipo, duración, distancia, frecuencia cardíaca media y máxima, calorías y nombre del dispositivo). De las actividades al aire libre, guardamos también el recorrido GPS simplificado, que aparece en el mapa de la tarjeta para compartir. Las muestras de altitud del entrenamiento sirven solo para calcular el desnivel positivo y no se guardan. No se envía nada a Polar.
• Apple Salud (iPhone, HealthKit): leemos los entrenamientos registrados en la app Salud (fecha y hora, tipo, duración, distancia, desnivel positivo, frecuencia cardíaca, calorías y nombre del dispositivo). Altum nunca escribe datos en la app Salud. Si lo permites, el iPhone avisa a Altum cuando entra un entrenamiento nuevo en Salud, y se envía incluso con la app cerrada.
• Health Connect (Android): se usa para recibir los entrenamientos de Garmin Connect. Pedimos permiso de lectura de ejercicio, distancia, desnivel positivo y frecuencia cardíaca, y solo leemos los registros escritos por la app Garmin Connect. Si también das el permiso de lectura en segundo plano, Altum lee los entrenamientos nuevos de Garmin Connect con la app cerrada, cada unos 15 minutos. Altum nunca escribe datos en Health Connect.
• Garmin: al conectar tu cuenta Garmin desde Altum, recibimos el resumen de las actividades sincronizadas con Garmin Connect después de la conexión (fecha y hora, tipo, duración, distancia, ritmo, frecuencia cardíaca media y máxima, desnivel positivo, calorías y modelo del dispositivo). De las actividades al aire libre, guardamos también el trazado GPS simplificado, que aparece en el mapa de la tarjeta para compartir. También enviamos los próximos entrenamientos de tu plan al calendario de Garmin Connect y el recorrido de tu carrera al reloj. En versiones anteriores de la app, los entrenamientos de Garmin llegaban por Health Connect y Apple Salud, como se describe arriba.

Lo que no leemos: ruta GPS (salvo el trazado simplificado mencionado arriba), sueño, peso, ciclo menstrual, medicamentos, registros clínicos ni ningún otro dato de estas fuentes. Las caminatas, salidas en bicicleta y otras modalidades que lleguen junto se descartan.

Para qué los usamos: exclusivamente para marcar como hechos los entrenamientos de tu plan, calcular tu volumen y tu desnivel, ajustar el plan y el Altum Score, y completar tu volumen de entrenamiento en el registro.

Uso limitado: los datos que vienen de HealthKit, Health Connect, COROS, Polar y Garmin nunca se usan para publicidad, nunca se venden, no van a la medición de anuncios descrita en la sección 3, no se usan para entrenar modelos de inteligencia artificial y no se comparten con terceros, salvo con los encargados de infraestructura de la sección 3, en la medida necesaria para que el servicio funcione, o por obligación legal. Ninguno de estos datos, ni lo que derivamos de ellos, es procesado por sistemas de inteligencia artificial. Las personas del equipo solo acceden a estos datos a petición tuya (soporte), por seguridad o por exigencia legal. El uso de la información recibida de Health Connect cumple la Política de Permisos de Health Connect, incluidos los requisitos de uso limitado.

Credenciales: nunca vemos tu contraseña de COROS, Polar o Garmin. Los tokens de acceso que nos entregan se guardan cifrados (AES-256).

Cómo desconectar: en Ajustes → Relojes conectados, en cualquier momento. Al desconectar desde Altum, eliminamos el acceso y las actividades importadas de esa fuente. También puedes revocar el permiso en la app Salud, en Health Connect, en COROS, en Polar Flow o en los ajustes de Garmin Connect. Los entrenamientos y recorridos que ya enviamos a COROS o a Garmin Connect se quedan allí hasta que los borres en la app de la marca.

Servicios independientes: COROS, Polar, Apple, Google y Garmin tratan tus datos según sus propias políticas de privacidad, y Altum no controla ese tratamiento. Las marcas citadas pertenecen a sus dueños; Altum no está afiliado a ellas.

2. Base legal para el tratamiento (LGPD)

Esta Política cumple con la Ley General de Protección de Datos brasileña (Ley 13.709/2018), el Reglamento General de Protección de Datos de la Unión Europea (Reglamento (UE) 2016/679) y el UK GDPR — el GDPR tal como se incorpora al derecho del Reino Unido por la sección 3 del European Union (Withdrawal) Act 2018. De conformidad con los artículos 7 y 11 de la LGPD, y los artículos 6 y 9 del GDPR y del UK GDPR, el tratamiento de sus datos se realiza bajo las siguientes bases legales:

• Consentimiento explícito (Art. 11, I): para la recopilación y tratamiento de datos sensibles de salud y rendimiento (peso, altura, frecuencia cardíaca, RPE, VDOT, GPS, historial de entrenamientos y datos importados de relojes y apps de salud que conectes).
• Ejecución contractual (Art. 7, V): para datos necesarios para la creación y mantenimiento de la cuenta del usuario (nombre, correo electrónico, fecha de nacimiento, sexo).
• Interés legítimo (Art. 7, IX): para datos de uso y analytics agregados, con el fin de mejorar el servicio, y para seguridad (detección de fraude, auditoría de acceso).
• Cumplimiento de obligación legal (Art. 7, II): retención de logs conforme al Marco Civil de Internet (Ley 12.965/2014).

3. Compartición de datos (subprocesadores)

Sus datos pueden ser compartidos con los siguientes prestadores de servicios (operadores), estrictamente para el funcionamiento de la plataforma. Mantenemos un Acuerdo de Tratamiento de Datos (DPA) con cada uno de ellos y detallamos el alcance de los datos transmitidos.:

• Tiendas de aplicaciones (Apple App Store, Google Play): procesamiento de las suscripciones. Los datos de cobro (tarjeta, cuenta) están sujetos a la política de cada tienda — Altum no almacena ni recibe información de pago.
• Intermediario de suscripciones in-app: recibe únicamente el identificador interno del usuario y el estado de la suscripción (activa, cancelada, en trial) para sincronizar el acceso Pro. No recibe datos de pago ni información de salud.
• Infraestructura de base de datos y autenticación: almacenamiento en servidores localizados en los Estados Unidos. La transferencia internacional se realiza bajo cláusulas contractuales estándar de la ANPD (Resolución CD/ANPD n.º 19/2025).
• Servicio de correo electrónico transaccional: envío de correos electrónicos de verificación y notificaciones de la cuenta. No se envía ningún dato de perfil, salud o entrenamiento — solo la dirección de destino y el texto del correo.
• Medición de anuncios (Meta Platforms): cuando instalas o abres la aplicación, el SDK de Meta registra ese evento junto con datos técnicos del dispositivo (modelo, sistema operativo, dirección IP e identificadores de la aplicación), únicamente para medir si nuestros anuncios en Instagram y Facebook generan instalaciones. No enviamos nombre, correo electrónico, datos de entrenamiento ni de salud, no pedimos permiso de rastreo en el iPhone y no recopilamos el identificador de publicidad del dispositivo.

Ningún dato personal se vende ni se alquila. El único intercambio relacionado con publicidad es la medición de instalaciones descrita arriba, que no incluye datos de cuenta, de entrenamiento ni de salud. Altum no utiliza inteligencia artificial en la operación del servicio. El motor de prescripción y adaptación del entrenamiento es totalmente determinístico y se ejecuta íntegramente en nuestra infraestructura. Ningún dato de usuario, sea bruto, derivado o agregado, se envía jamás a ningún modelo o proveedor de inteligencia artificial, ni se utiliza para entrenar, ajustar o evaluar ningún modelo.

Las cinco categorías anteriores son todos los operadores que utilizamos, cada uno bajo un Acuerdo de Tratamiento de Datos. Su identificación nominal y los acuerdos correspondientes están disponibles previa solicitud en contato@altumtrailrun.com. La relación fechada de los operadores está en altumtrailrun.com/sub-processors. Se le notificará con 30 días de antelación cualquier cambio.

4. Retención de datos

Categoría	Plazo	Base legal
Cuenta activa (perfil, entrenamientos, actividades)	Mientras la cuenta esté activa	Ejecución contractual
Tras eliminación de la cuenta	Hasta 180 días	Cumplimiento de obligación legal/regulatoria
Logs de aplicación	6 meses	Marco Civil de Internet, Art. 15
Logs de conexión	12 meses	Marco Civil de Internet, Art. 13
Registros de consentimiento	5 años tras la revocación	LGPD, acreditación
Códigos de verificación de correo electrónico	7 días tras la expiración	Limitación de finalidad
Actividades importadas de relojes y apps de salud	Mientras la fuente esté conectada; se eliminan al desconectar	Consentimiento

Tras los plazos anteriores, los datos se eliminan de forma definitiva o se anonimizan de forma irreversible.

5. Seguridad

• Toda comunicación entre la aplicación y nuestros servidores utiliza cifrado en tránsito (TLS/HTTPS).
• Las contraseñas se almacenan con hash criptográfico vía Supabase Auth.
• Las direcciones IP en los registros de consentimiento se almacenan en formato hash unidireccional (SHA-256 con pepper).
• El acceso a los datos está restringido al equipo técnico autorizado, con control de permisos y auditoría de acceso a datos sensibles.
• Realizamos revisiones periódicas de seguridad.

6. Derechos del titular (LGPD Art. 18)

Usted tiene los siguientes derechos en relación con sus datos personales, ejercibles en cualquier momento. Respondemos a las solicitudes en un máximo de 15 días (LGPD) o 45 días para residentes en los Estados Unidos (CCPA/CPRA):

• Acceso: solicitar una copia de los datos que tenemos sobre usted.
• Corrección: solicitar la actualización de datos incompletos, inexactos o desactualizados.
• Eliminación: solicitar la eliminación de sus datos personales. Se le invitará a exportar sus datos antes de la eliminación, y recibirá confirmación por escrito una vez completada la eliminación.
• Portabilidad: recibir una copia de sus datos en formato estructurado y legible por máquina (JSON + CSV), entregada a usted.
• Anonimización: alternativa a la eliminación que preserva datos estadísticos agregados sin identificación.
• Revocación del consentimiento: retirar el consentimiento para el tratamiento de datos sensibles en cualquier momento, escribiendo a contato@altumtrailrun.com o mediante altumtrailrun.com/support. Como el tratamiento de estos datos es indispensable para generar y adaptar el plan de entrenamiento, la revocación implica el fin del uso del servicio: eliminamos la cuenta, con confirmación por escrito.
• Revisión de decisión automatizada (Art. 20): solicitar revisión humana de las recomendaciones del motor de adaptación del entrenamiento.
• Información: ser informado sobre con quién se comparten sus datos.

7. Derechos de residentes en los Estados Unidos

Si reside en EE. UU., tiene derechos adicionales conforme a las leyes estatales aplicables (CCPA/CPRA, VCDPA, CPA, CTDPA, UCPA, OCPA, TDPSA y otras):

• Right to know, delete, correct, portability: equivalentes a los derechos LGPD anteriores.
• Right to opt-out of sale/share/profiling: no vendemos sus datos. Respetamos la señal Global Privacy Control (GPC) como opt-out.
• Right to limit use of sensitive personal information: aplicable a datos de salud y localización.
• Residentes de Washington y Nevada (My Health My Data Act y NV SB370): el tratamiento de datos de salud del consumidor depende de consentimiento específico, y no vendemos esos datos bajo ninguna circunstancia.
• Derecho de apelación: si denegamos una solicitud relativa a sus derechos, se lo comunicaremos por escrito con el motivo, y usted puede apelar la decisión escribiendo a contato@altumtrailrun.com con el asunto “Apelación”. Respondemos en un plazo de 45 días con una justificación fundamentada. Si persiste el desacuerdo, puede acudir a la autoridad de protección de datos competente o al Fiscal General de su estado.
• Agente autorizado: puede designar a alguien para ejercer sus derechos en su nombre. Para proteger su cuenta solicitamos prueba de la autorización, y podemos pedirle que confirme su propia identidad directamente.

8. Menores de edad

La edad mínima para crear una cuenta varía según el país, conforme a la sección 4 de los Términos de Uso: 16 años en el Espacio Económico Europeo y el Reino Unido (RGPD Art. 8, en el límite adoptado por Alemania y Austria), 14 años en Brasil y 13 años en Estados Unidos (COPPA) y en los demás países. Por debajo de ese límite no recopilamos ningún dato. Mientras no se haya identificado el país, aplicamos el límite más alto (16 años). Los menores de 18 años solo pueden usar Altum con una cuenta creada y supervisada por su responsable legal, quien acepta los Términos en nombre del menor. Las funcionalidades de ultra distancia y entrenamiento de fuerza máxima siguen restringidas a mayores de 18 años.

9. Incidentes de seguridad

En caso de un incidente de seguridad que involucre datos personales, la Autoridad Nacional de Protección de Datos (ANPD) será notificada en un plazo máximo de 3 días hábiles conforme a la Resolución CD/ANPD n.º 15/2024, y los titulares afectados serán notificados en un plazo razonable. Para residentes en EE. UU. con datos de salud afectados, la notificación seguirá la FTC Health Breach Notification Rule (16 CFR Part 318) en el plazo de 60 días.

10. Encargado de Datos (DPO)

Hemos designado un Encargado del Tratamiento de Datos Personales conforme a la LGPD Art. 41.

Correo del DPO: contato@altumtrailrun.com

11. Canal de contacto

Para ejercer cualquier derecho previsto en esta política, aclarar dudas o registrar solicitudes relacionadas con la privacidad, contáctenos:

Correo general: contato@altumtrailrun.com
Canal de privacidad (formulario): altumtrailrun.com/support

12. Modificaciones

Esta política podrá actualizarse periódicamente. El usuario será notificado de las modificaciones relevantes y, cuando corresponda, deberá proporcionar un nuevo consentimiento. El historial de versiones está disponible previa solicitud.

Altum Trail Run
Altum Tecnologia LTDA · CNPJ 67.094.887/0001-03
Contacto: contato@altumtrailrun.com

Français

Politique de confidentialité - Altum Trail Run

Version : 2.8 | Date d'entrée en vigueur : 29 octobre 2026

Responsable du traitement

Altum Tecnologia LTDA, CNPJ 67.094.887/0001-03, basée au Brésil. Contact : contato@altumtrailrun.com.

1. Données que nous collectons

1.1 Données personnelles

• Nom complet
• Adresse e-mail
• Date de naissance
• Sexe

1.2 Données sensibles de santé et de performance

• Poids et taille
• Fréquence cardiaque (repos, maximale, zones)
• Perception subjective de l'effort (RPE)
• Indice VDOT et données de performance
• Historique complet des entraînements et activités
• Données GPS, dénivelé et parcours
• Données nutritionnelles et d'hydratation
• Historique des blessures, douleurs et fatigue (déclarés par l'utilisateur)
• Séances importées depuis les montres et applications de santé que vous connectez (section 1.4)

1.3 Données d'utilisation

• Informations d'accès et de navigation dans l'application
• Appareil et système d'exploitation
• Adresse IP (stockée sous forme de hash unidirectionnel à des fins d'audit du consentement)

1.4 Montres et applications de santé connectées

Connecter une montre ou une application de santé est facultatif et nécessite votre autorisation, donnée sur l'écran de la source elle-même (COROS, Polar, Garmin) ou du système (Apple Santé, Health Connect). Nous ne lisons des données qu'après cette autorisation, et uniquement celles listées ci-dessous :

• COROS : nous lisons le résumé de vos activités (date et heure, type, durée, distance, allure, fréquence cardiaque moyenne et maximale, dénivelé positif et calories). Pour les activités en extérieur, nous conservons aussi le tracé GPS simplifié, affiché sur la carte du visuel de partage. Nous envoyons aussi les prochaines séances de course de votre plan au calendrier d'entraînement de votre compte COROS, pour qu'elles apparaissent sur la montre.
• Polar : nous lisons le résumé des séances synchronisées avec Polar Flow (date et heure, type, durée, distance, fréquence cardiaque moyenne et maximale, calories et nom de l'appareil). Pour les activités en extérieur, nous conservons aussi le tracé GPS simplifié, affiché sur la carte du visuel de partage. Les échantillons d'altitude de la séance servent uniquement à calculer le dénivelé positif et ne sont pas conservés. Rien n'est envoyé à Polar.
• Apple Santé (iPhone, HealthKit) : nous lisons les séances enregistrées dans l'app Santé (date et heure, type, durée, distance, dénivelé positif, fréquence cardiaque, calories et nom de l'appareil). Altum n'écrit jamais de données dans l'app Santé. Si vous l'autorisez, l'iPhone prévient Altum lorsqu'une nouvelle séance arrive dans Santé, et elle est envoyée même app fermée.
• Health Connect (Android) : utilisé pour recevoir les séances de Garmin Connect. Nous demandons l'autorisation de lecture de l'exercice, de la distance, du dénivelé positif et de la fréquence cardiaque, et nous ne lisons que les enregistrements écrits par l'app Garmin Connect. Si vous accordez aussi l'autorisation de lecture en arrière-plan, Altum lit les nouvelles séances de Garmin Connect app fermée, environ toutes les 15 minutes. Altum n'écrit jamais de données dans Health Connect.
• Garmin : lorsque vous connectez votre compte Garmin depuis Altum, nous recevons le résumé des activités synchronisées avec Garmin Connect après la connexion (date et heure, type, durée, distance, allure, fréquence cardiaque moyenne et maximale, dénivelé positif, calories et modèle de l'appareil). Pour les activités en extérieur, nous conservons aussi le tracé GPS simplifié, affiché sur la carte de la carte de partage. Nous envoyons également les prochaines séances de votre plan au calendrier Garmin Connect et le parcours de votre course à votre montre. Dans les versions précédentes de l'app, les séances Garmin arrivaient via Health Connect et Apple Santé, comme décrit ci-dessus.

Ce que nous ne lisons pas : tracé GPS (hormis le tracé simplifié mentionné ci-dessus), sommeil, poids, cycle menstruel, médicaments, dossiers cliniques ni aucune autre donnée de ces sources. Les marches, sorties vélo et autres activités reçues en même temps sont écartées.

À quoi elles servent : uniquement à marquer les séances de votre plan comme réalisées, calculer votre volume et votre dénivelé, ajuster le plan et l'Altum Score, et pré-remplir votre volume d'entraînement à l'inscription.

Utilisation limitée : les données issues de HealthKit, Health Connect, COROS, Polar et Garmin ne sont jamais utilisées à des fins publicitaires, ne sont jamais vendues, ne vont pas à la mesure publicitaire décrite à la section 3, ne servent pas à entraîner des modèles d'intelligence artificielle et ne sont pas partagées avec des tiers, sauf avec les sous-traitants d'infrastructure de la section 3, dans la mesure nécessaire au fonctionnement du service, ou en cas d'obligation légale. Aucune de ces données, ni rien de ce que nous en dérivons, n'est traitée par des systèmes d'intelligence artificielle. Les membres de l'équipe n'y accèdent qu'à votre demande (support), pour la sécurité ou sur exigence légale. L'utilisation des informations reçues de Health Connect respecte la Politique d'autorisations de Health Connect, y compris les exigences d'utilisation limitée.

Identifiants : nous ne voyons jamais votre mot de passe COROS, Polar ou Garmin. Les jetons d'accès qu'ils nous fournissent sont stockés chiffrés (AES-256).

Comment déconnecter : dans Paramètres → Montres connectées, à tout moment. Lorsque vous déconnectez depuis Altum, nous supprimons l'accès et les activités importées de cette source. Vous pouvez aussi révoquer l'autorisation dans l'app Santé, Health Connect, COROS, Polar Flow ou les paramètres de Garmin Connect. Les séances et parcours déjà envoyés à COROS ou à Garmin Connect y restent jusqu'à ce que vous les supprimiez dans l'app de la marque.

Services indépendants : COROS, Polar, Apple, Google et Garmin traitent vos données selon leurs propres politiques de confidentialité, et Altum ne contrôle pas ce traitement. Les marques citées appartiennent à leurs propriétaires ; Altum n'y est pas affilié.

2. Base légale du traitement (LGPD, RGPD et UK GDPR)

Cette Politique satisfait aux exigences de la Loi Générale de Protection des Données brésilienne (Loi 13.709/2018), du Règlement Général sur la Protection des Données de l'Union européenne (Règlement (UE) 2016/679) et du UK GDPR — le RGPD tel qu'incorporé au droit du Royaume-Uni par la section 3 de l'European Union (Withdrawal) Act 2018. Conformément aux articles 7 et 11 de la LGPD, et aux articles 6 et 9 du RGPD et du UK GDPR, le traitement de vos données repose sur les bases légales suivantes :

• Consentement explicite (Art. 11, I) : pour la collecte et le traitement des données sensibles de santé et de performance (poids, taille, fréquence cardiaque, RPE, VDOT, GPS, historique des entraînements et données importées depuis les montres et applications de santé que vous connectez).
• Exécution du contrat (Art. 7, V) : pour les données nécessaires à la création et au maintien du compte utilisateur (nom, e-mail, date de naissance, sexe).
• Intérêt légitime (Art. 7, IX) : pour les données d'utilisation et les analytics agrégés, en vue de l'amélioration du service, et pour la sécurité (détection de fraude, audit d'accès).
• Respect d'une obligation légale (Art. 7, II) : conservation des journaux conformément au Marco Civil da Internet brésilien (Loi 12.965/2014).

3. Partage des données (sous-traitants)

Vos données peuvent être partagées avec les prestataires de services suivants (sous-traitants), strictement pour le fonctionnement de la plateforme. Nous maintenons un Accord de traitement des données (DPA) avec chacun d'eux et détaillons la portée des données transmises. :

• Boutiques d'applications (Apple App Store, Google Play) : traitement des abonnements. Les données de facturation (carte, compte) relèvent de la politique de chaque boutique — Altum ne stocke ni ne reçoit d'informations de paiement.
• Intermédiaire d'abonnements in-app : reçoit uniquement l'identifiant interne de l'utilisateur et le statut de l'abonnement (actif, annulé, en essai) pour synchroniser l'accès Pro. Ne reçoit ni données de paiement ni informations de santé.
• Infrastructure de base de données et d'authentification : stockage sur des serveurs situés aux États-Unis. Le transfert international a lieu sous les clauses contractuelles types de l'ANPD (Résolution CD/ANPD n° 19/2025).
• Service d'e-mail transactionnel : envoi des e-mails de vérification et des notifications du compte. Aucune donnée de profil, de santé ou d'entraînement n'est envoyée — seulement l'adresse destinataire et le texte de l'e-mail.
• Mesure des publicités (Meta Platforms) : lorsque vous installez ou ouvrez l'application, le SDK de Meta enregistre cet événement avec des données techniques de l'appareil (modèle, système d'exploitation, adresse IP et identifiants de l'application), uniquement pour mesurer si nos publicités sur Instagram et Facebook génèrent des installations. Nous n'envoyons ni votre nom, ni votre e-mail, ni vos données d'entraînement ou de santé, nous ne demandons pas l'autorisation de suivi sur iPhone et nous ne collectons pas l'identifiant publicitaire de l'appareil.

Aucune donnée personnelle n'est vendue ni louée. Le seul partage lié à la publicité est la mesure des installations décrite ci-dessus, qui n'inclut aucune donnée de compte, d'entraînement ou de santé. Altum n'utilise pas d'intelligence artificielle dans l'exploitation du service. Le moteur de prescription et d'adaptation de l'entraînement est entièrement déterministe et fonctionne intégralement sur notre infrastructure. Aucune donnée d'utilisateur, qu'elle soit brute, dérivée ou agrégée, n'est jamais envoyée à un quelconque modèle ou fournisseur d'intelligence artificielle, ni utilisée pour entraîner, ajuster ou évaluer un quelconque modèle.

Les cinq catégories ci-dessus sont l’ensemble des sous-traitants que nous utilisons, chacun sous accord de traitement des données. Leur identification nominative et les accords correspondants sont disponibles sur demande à contato@altumtrailrun.com. La liste datée des sous-traitants est publiée à altumtrailrun.com/sub-processors. Vous serez informé avec un préavis de 30 jours de toute modification.

4. Conservation des données

Catégorie	Durée	Base légale
Compte actif (profil, entraînements, activités)	Tant que le compte est actif	Exécution du contrat
Après suppression du compte	Jusqu'à 180 jours	Respect d'une obligation légale/réglementaire
Journaux d'application	6 mois	Marco Civil da Internet, Art. 15
Journaux de connexion	12 mois	Marco Civil da Internet, Art. 13
Enregistrements de consentement	5 ans après révocation	LGPD, preuve
Codes de vérification d'e-mail	7 jours après expiration	Limitation de la finalité
Activités importées depuis les montres et applications de santé	Tant que la source est connectée ; supprimées à la déconnexion	Consentement

À l'issue des durées ci-dessus, les données sont supprimées de manière définitive ou anonymisées de manière irréversible.

5. Sécurité

• Toute communication entre l'application et nos serveurs utilise le chiffrement en transit (TLS/HTTPS).
• Les mots de passe sont stockés avec un hash cryptographique via Supabase Auth.
• Les adresses IP dans les enregistrements de consentement sont stockées sous forme de hash unidirectionnel (SHA-256 avec pepper).
• L'accès aux données est réservé à l'équipe technique autorisée, avec contrôle des permissions et audit des accès aux données sensibles.
• Nous réalisons des revues de sécurité périodiques.

6. Droits de la personne concernée (LGPD Art. 18)

Vous disposez des droits suivants concernant vos données personnelles, exerçables à tout moment. Nous répondons aux demandes dans un délai de 15 jours (LGPD) ou 45 jours pour les résidents des États-Unis (CCPA/CPRA) :

• Accès : demander une copie des données que nous détenons à votre sujet.
• Rectification : demander la mise à jour de données incomplètes, inexactes ou obsolètes.
• Suppression : demander l'effacement de vos données personnelles. Vous serez invité à exporter vos données avant leur suppression, et vous recevrez une confirmation écrite une fois la suppression effectuée.
• Portabilité : recevoir une copie de vos données dans un format structuré et lisible par machine (JSON + CSV), remise à vous.
• Anonymisation : alternative à la suppression qui préserve les données statistiques agrégées sans identification.
• Retrait du consentement : retirer le consentement au traitement des données sensibles à tout moment, en écrivant à contato@altumtrailrun.com ou via altumtrailrun.com/support. Le traitement de ces données étant indispensable à la génération et à l’adaptation du plan d’entraînement, le retrait entraîne la fin de l’utilisation du service : nous supprimons le compte, avec confirmation écrite.
• Réexamen d'une décision automatisée (Art. 20) : demander un examen humain des recommandations du moteur d'adaptation de l'entraînement.
• Information : être informé sur les destinataires du partage de vos données.

7. Droits des résidents des États-Unis

Si vous résidez aux États-Unis, vous disposez de droits supplémentaires en vertu des lois d'État applicables (CCPA/CPRA, VCDPA, CPA, CTDPA, UCPA, OCPA, TDPSA et autres) :

• Right to know, delete, correct, portability : équivalents aux droits LGPD ci-dessus.
• Right to opt-out of sale/share/profiling : nous ne vendons pas vos données. Nous honorons le signal Global Privacy Control (GPC) comme opt-out.
• Right to limit use of sensitive personal information : applicable aux données de santé et de localisation.
• Résidents de Washington et du Nevada (My Health My Data Act et NV SB370) : le traitement des données de santé du consommateur dépend d’un consentement spécifique, et nous ne vendons ces données en aucun cas.
• Droit de recours : si nous refusons une demande relative à vos droits, nous vous en indiquerons le motif par écrit, et vous pouvez contester la décision en écrivant à contato@altumtrailrun.com avec l’objet « Recours ». Nous répondons sous 45 jours avec une justification motivée. En cas de désaccord persistant, vous pouvez saisir l’autorité de protection des données compétente ou le procureur général de votre État.
• Mandataire autorisé : vous pouvez désigner une personne pour exercer vos droits en votre nom. Pour protéger votre compte, nous demandons une preuve de l’autorisation et pouvons vous demander de confirmer vous-même votre identité.

8. Mineurs

L’âge minimum pour créer un compte dépend du pays, conformément à la section 4 des Conditions d’utilisation : 16 ans dans l’Espace économique européen et au Royaume-Uni (RGPD Art. 8, au seuil retenu par l’Allemagne et l’Autriche), 14 ans au Brésil, et 13 ans aux États-Unis (COPPA) et dans les autres pays. En dessous de cette limite, nous ne collectons aucune donnée. Tant que le pays n’a pas été identifié, nous appliquons la limite la plus élevée (16 ans). Les moins de 18 ans ne peuvent utiliser Altum qu’avec un compte créé et supervisé par un représentant légal, qui accepte les Conditions au nom du mineur. Les fonctionnalités d’ultra-distance et d’entraînement de force maximale restent réservées aux utilisateurs de plus de 18 ans.

9. Incidents de sécurité

En cas d'incident de sécurité impliquant des données personnelles, l'Autorité Nationale brésilienne de Protection des Données (ANPD) sera informée dans un délai de 3 jours ouvrés conformément à la Résolution CD/ANPD n° 15/2024, et les personnes concernées seront notifiées dans un délai raisonnable. Pour les résidents des États-Unis dont les données de santé sont affectées, la notification suivra la FTC Health Breach Notification Rule (16 CFR Part 318) dans un délai de 60 jours.

10. Délégué à la protection des données (DPO)

Nous avons désigné un Délégué au traitement des données personnelles conformément à l'article 41 de la LGPD.

Courriel du DPO : contato@altumtrailrun.com

11. Canal de contact

Pour exercer tout droit prévu par la présente politique, poser des questions ou déposer des demandes relatives à la confidentialité, contactez-nous :

Courriel général : contato@altumtrailrun.com
Canal de confidentialité (formulaire) : altumtrailrun.com/support

12. Modifications

Cette politique peut être mise à jour périodiquement. L'utilisateur sera informé des modifications importantes et, le cas échéant, devra fournir un nouveau consentement. L'historique des versions est disponible sur demande.

Altum Trail Run
Altum Tecnologia LTDA · CNPJ 67.094.887/0001-03
Contact : contato@altumtrailrun.com