Acordo de
Processamento de Dados

Operador: Nexus Athletics, com sede no Brasil, acessível em nexusathletics.com.br. Responsável pelo DPO: privacy@nexusathletics.com.br.

Controlador: A entidade (clube, centro de treinamento, associação ou pessoa física responsável) que contratou os serviços da Nexus Athletics e em cujo nome os dados pessoais dos atletas são tratados. O Controlador é identificado pelo Head Coach que funda a equipe na plataforma e confirma expressamente, mediante marcação da caixa "Li e aceito o Acordo de Processamento de Dados" no momento da fundação da equipe, ter lido e concordado com este DPA — aceite cujos dados (data, hora e IP) ficam registrados para fins de prova.

Este DPA rege o tratamento, pela Nexus Athletics na qualidade de Operador, dos dados pessoais de atletas e membros da equipe fornecidos pelo Controlador, com as seguintes finalidades exclusivas:

• Modelagem fisiológica e prescrição de carga de treino (Banister, Kalman, Digital Twin);
• Gestão de competições, resultados e periodização;
• Geração de relatórios de desempenho e análise de prontidão;
• Comunicação operacional com atletas (verificação de email, notificações de treino);
• Cumprimento de obrigações legais e regulatórias.

O Operador não utilizará os dados para fins próprios, como marketing, treinamento de modelos de IA com dados identificados, ou compartilhamento com terceiros não autorizados.

A Nexus Athletics se compromete a:

• Tratar os dados somente conforme instruções documentadas do Controlador, salvo obrigação legal;
• Manter criptografia AES-256-GCM para dados sensíveis em repouso e TLS 1.3 em trânsito;
• Garantir que colaboradores e subprocessadores com acesso aos dados estejam vinculados a obrigações de confidencialidade;
• Notificar o Controlador em até 72 horas após ciência de incidente de segurança que afete os dados tratados;
• Disponibilizar mecanismos para que o Controlador exercite os direitos dos titulares (exportação, correção, exclusão);
• Não realizar transferências internacionais de dados sem garantias adequadas (cláusulas contratuais padrão ou equivalente);
• Manter registros de tratamento (ROPA) atualizados;
• Excluir ou devolver os dados ao Controlador ao término do contrato, salvo obrigação legal de retenção.

O Controlador se compromete a:

• Coletar e fornecer dados pessoais de atletas apenas com base legal adequada (consentimento, contrato ou legítimo interesse);
• Obter consentimento parental/tutelar para atletas menores de 18 anos antes de cadastrá-los na plataforma;
• Informar os atletas sobre o uso da Nexus Athletics no tratamento de seus dados, indicando a Política de Privacidade;
• Não fornecer dados de terceiros sem autorização;
• Comunicar à Nexus Athletics qualquer solicitação de titular que exija ação do Operador.

A Nexus Athletics pode utilizar subprocessadores para entrega do serviço. Os subprocessadores atuais são:

• Provedor de nuvem (infraestrutura): servidores localizados no Brasil ou com cláusulas contratuais de proteção equivalentes à LGPD;
• Serviço de email transacional: utilizado exclusivamente para envio de notificações operacionais;
• Serviço de monitoramento de erros: sem transferência de dados pessoais identificados.

Qualquer alteração relevante nos subprocessadores será comunicada ao Controlador com 30 dias de antecedência.

A Nexus Athletics fornece ao Controlador ferramentas para atender os direitos previstos no Art. 18 da LGPD:

• Acesso: exportação completa dos dados do atleta em JSON;
• Correção: edição direta via painel do treinador ou do atleta;
• Exclusão: deleção em cascata com anonimização de logs de auditoria;
• Portabilidade: exportação em formato estruturado e legível por máquina;
• Revogação de consentimento: disponível nas configurações da conta.

Solicitações que exijam ação direta da Nexus Athletics devem ser encaminhadas ao DPO em privacy@nexusathletics.com.br. Prazo de resposta: 15 dias corridos (Art. 19 LGPD).

Em caso de incidente que possa acarretar risco ou dano relevante aos titulares, a Nexus Athletics:

• Notificará o Controlador em até 72 horas da ciência do incidente;
• Fornecerá descrição da natureza dos dados afetados, medidas adotadas e recomendações;
• Colaborará com o Controlador na notificação à ANPD, quando aplicável.

Os prazos de retenção seguem exatamente os definidos na Política de Privacidade (Seção 5), aplicáveis também no contexto deste DPA:

• Dados de saúde e biométricos (sensíveis): enquanto o atleta estiver ativo na equipe. Excluídos em até 30 dias após exclusão da conta, cancelamento da equipe ou revogação do consentimento;
• Dados de performance e treino: enquanto o atleta estiver ativo na equipe. Excluídos em até 30 dias após exclusão da conta;
• Logs de auditoria: 5 anos, prazo técnico de segurança e rastreabilidade de incidentes (anonimizados — identificador do titular substituído — após exclusão da conta);
• Sessões e tokens: 90 dias de inatividade, após os quais são excluídos automaticamente.

Ao término do contrato, o Controlador pode exportar todos os dados antes da exclusão definitiva. Após 30 dias do cancelamento, os dados são permanentemente removidos, salvo obrigação legal que exija prazo diferente.

Este DPA vigora enquanto o contrato de prestação de serviços entre as partes estiver ativo. O Controlador pode rescindir o contrato a qualquer momento pelas configurações da conta, respeitado o prazo de aviso de 30 dias para exportação dos dados.

Em caso de violação material deste DPA por qualquer das partes, a parte prejudicada pode rescindir com aviso de 15 dias, sem prejuízo de responsabilidades por danos causados.

A Nexus Athletics não será responsável por tratamentos realizados pelo Controlador em desconformidade com a LGPD ou com as instruções deste DPA. O Controlador é responsável pela legalidade da base de coleta dos dados fornecidos à plataforma.

A responsabilidade contratual da Nexus Athletics perante o Controlador, por danos causados por incidentes de segurança, limita-se ao valor pago pelo Controlador nos 12 meses anteriores ao incidente, exceto em casos de dolo ou culpa grave.

Essa limitação é de natureza exclusivamente contratual, entre as partes deste DPA. Ela não afeta nem limita eventuais sanções administrativas aplicadas pela ANPD (Art. 52 da LGPD), tampouco o direito de indenização dos titulares de dados afetados, que são disciplinados diretamente pela lei e independem do que as partes aqui convencionam entre si.

Este DPA é regido pela legislação brasileira, em especial a Lei nº 13.709/2018 (LGPD) e o Marco Civil da Internet (Lei nº 12.965/2014). As partes elegem o foro da Comarca de São Paulo — SP para dirimir eventuais litígios, com renúncia a qualquer outro, por mais privilegiado que seja.

Para questões relacionadas a este DPA, proteção de dados ou exercício de direitos:

• Email do DPO: privacy@nexusathletics.com.br
• Endereço: Nexus Athletics — São Paulo, SP, Brasil
• Prazo de resposta: até 15 dias corridos