Política de Privacidade

01Controladora e abrangência

A controladora é a CHARYA SAÚDE E BEM-ESTAR LTDA, responsável pelo produto WellBet, inscrita no CNPJ sob o nº 58.363.389/0001-10, com sede na Avenida Barão de Tefé, nº 27, sala 801, Rio de Janeiro/RJ, CEP 20.220-460 («CHARYA», «WellBet» ou «nós»).

Esta Política se aplica ao aplicativo WellBet, ao site wellbet.com.br, aos canais de suporte e, quando disponíveis, aos recursos sociais e de comunidade. O uso do serviço também está sujeito aos Termos de Uso.

02Dados que tratamos

• Cadastro e identidade: nome legal, e-mail, CPF, data de nascimento, idade e credenciais da conta.
• Perfil corporal: sexo biológico, altura, peso inicial e demais pesagens informadas.
• Desafio e cotação: meta, prazo, valor em jogo, proposta de recompensa, multiplicador, versão do modelo econômico, perfil usado no cálculo, status, histórico e resultado.
• Pagamento: chave Pix, identificadores da cobrança e do pagamento, valores, datas, status e informações de conciliação fornecidas pelo banco ou provedor de pagamento.
• Carteira: saldo disponível para saque via Pix, prêmios, validade, solicitações de saque, ajustes e histórico do livro-razão.
• Evidências de pesagem: vídeos e respectivos metadados, que podem conter imagem, voz, corpo, ambiente, balança e informações técnicas da captura.
• Acompanhamento opcional: atividades, hábitos, medições, notas e fotos que você escolher registrar.
• Suporte e exceções: mensagens, anexos e, somente quando necessário para analisar uma solicitação médica, documentação mínima sobre gravidez, doença, acidente ou internação.
• Comunicações transacionais: destinatário, tipo de mensagem, data, estado de entrega, falha ou devolução e, quando o rastreamento estiver habilitado no provedor, abertura e clique em links do e-mail.
• Dados técnicos e de segurança: data, hora, endereço IP, versão do aplicativo, sistema operacional, tipo de dispositivo, identificadores técnicos, registros de acesso, falhas e eventos de segurança.
• Registro de aceite: versões dos Termos de Uso, do Regulamento Oficial e do aviso de privacidade, data e hora do aceite, origem do cadastro, endereço IP e agente do dispositivo.
• Administração e compliance: decisões de revisão, pagamento, devolução e banimento, suas justificativas, evidências, confirmações, autor, data e hora, endereço IP, agente do dispositivo e demais registros de auditoria.
• Uso e analytics: telas e ações no funil, plataforma, idioma e identificador pseudonimizado. A configuração do aplicativo não inclui no payload e-mail, CPF, chave Pix, peso ou vídeo. O provedor recebe a conexão de rede e pode processar o endereço IP e inferir localização aproximada, conforme a configuração do projeto.
• Comunidade, quando disponível: nome de exibição, foto, publicações, comentários, reações, denúncias, bloqueios e a visibilidade escolhida.

Peso, informações médicas e outros dados capazes de revelar saúde são dados pessoais sensíveis. Imagem e vídeo também podem receber a proteção aplicável a dados biométricos quando usados para identificar ou autenticar uma pessoa.

Durante a gravação, a presença de um rosto pode ser detectada localmente no próprio dispositivo apenas para orientar o enquadramento. A WellBet não recebe nem conserva um modelo biométrico separado produzido por essa verificação local. O vídeo de pesagem, por sua vez, é enviado como evidência e analisado conforme esta Política e o Regulamento.

A versão atual não solicita telefone como dado cadastral independente. Ele será tratado apenas se você usar um número como chave Pix ou o informar voluntariamente ao suporte. Não solicitamos referências pessoais, testemunhas de pesagem, dados de cartão, histórico de crédito ou consultas a SPC/Serasa para operar o serviço atual.

03Como obtemos os dados

• Diretamente de você, no cadastro, desafio, pesagem, acompanhamento e suporte.
• Automaticamente, pelo aplicativo, site, infraestrutura e ferramentas de segurança e analytics.
• Do Stark Bank e de participantes do arranjo Pix, para confirmar, conciliar, pagar, devolver ou investigar uma transação.
• De autoridades ou fontes legalmente acessíveis, quando necessário para cumprir uma obrigação, responder a uma ordem válida ou exercer direitos em uma disputa.

04Por que usamos os dados

• Criar e proteger sua conta, confirmar elegibilidade e prestar suporte.
• Calcular a proposta, aplicar limites de segurança, ativar o desafio e apurar seu resultado.
• Verificar a autenticidade das pesagens, prevenir fraude e permitir revisão humana.
• Gerar, conciliar, pagar ou devolver transações Pix.
• Enviar comunicações transacionais sobre conta, desafio, prazo, pesagem, pagamento e suporte.
• Viabilizar acompanhamento e, quando disponíveis, publicação, interação, denúncia, bloqueio e moderação de conteúdo social.
• Manter a segurança e a disponibilidade, diagnosticar falhas, medir o funil e melhorar o produto.
• Cumprir obrigações legais e regulatórias, atender ordens válidas, prevenir ilícitos e exercer direitos em processos ou disputas.
• Comprovar a manifestação eletrônica de aceite dos documentos vigentes no momento do cadastro.

05Bases legais

Para dados pessoais não sensíveis, usamos, conforme a finalidade:

• Execução de contrato e procedimentos preliminares (art. 7º, V, da LGPD), para cadastro, proposta, desafio, pesagem, pagamento, suporte e recursos solicitados por você.
• Cumprimento de obrigação legal ou regulatória (art. 7º, II), para registros obrigatórios e atendimento a autoridades competentes.
• Exercício regular de direitos (art. 7º, VI), para auditorias, contestações, prevenção de perdas e defesa em processos.
• Legítimo interesse (art. 7º, IX), somente para dados não sensíveis e após avaliação de necessidade e impacto, em segurança, prevenção de abuso, analytics pseudonimizado e melhoria do serviço.
• Consentimento (art. 7º, I), quando uma funcionalidade opcional o exigir; ele poderá ser revogado para tratamentos futuros.

Para dados pessoais sensíveis, usamos, conforme o caso:

• Exercício regular de direitos, inclusive em contrato (art. 11, II, «d»), para executar e comprovar o desafio, revisar contestações e resguardar direitos.
• Prevenção à fraude e segurança do titular (art. 11, II, «g»), em processos de identificação e autenticação eletrônica, respeitados seus direitos e liberdades fundamentais.
• Consentimento específico e destacado (art. 11, I), quando solicitado para uma finalidade opcional que não se apoie nas hipóteses anteriores.

Não usamos legítimo interesse como base legal para tratar dados pessoais sensíveis.

06Cálculos e decisões automatizadas

Antes do pagamento, sistemas automatizados usam idade, sexo biológico, altura, peso inicial declarado, meta, prazo e valor em jogo para verificar elegibilidade e limites de segurança e calcular uma proposta preliminar de recompensa. Em termos gerais, metas mais difíceis dentro dos limites aceitos podem resultar em valores diferentes; metas incompatíveis com os controles do produto são recusadas.

Depois da aprovação da pesagem inicial, o peso verificado substitui o peso declarado e a mesma versão do modelo recalcula e fixa a recompensa, o total a receber e a meta oficial em quilogramas. O valor em jogo, o percentual de perda e o prazo permanecem os escolhidos. Preservamos a versão do modelo e um retrato dos dados usados para que mudanças futuras não alterem retroativamente o desafio ativo.

A análise automática pode bloquear uma evidência ou sinalizar inconsistências, mas a decisão oficial sobre a gravação é realizada por revisor humano. Banimento e liberação de prêmio também exigem decisões humanas próprias e separadas. Você pode pedir informações sobre os critérios e solicitar revisão de uma decisão que afete seus interesses por privacidade@wellbet.com.br. Não divulgaremos detalhes que comprometam a segurança antifraude ou segredos comerciais, mas forneceremos explicação útil dentro dos limites legais.

07Com quem compartilhamos

Nós não vendemos dados pessoais e não os usamos para publicidade comportamental de terceiros. Podemos compartilhar o mínimo necessário com:

• Stark Bank e participantes do Pix: identidade, CPF, chave Pix, valores e dados transacionais para cobrança, conciliação, pagamento, devolução e prevenção de fraude.
• AWS: computação, banco de dados, armazenamento privado de evidências, filas, segurança e logs.
• Cloudflare: DNS, rede, proteção contra ataques, WAF e entrega do site e da API.
• Vercel: hospedagem e entrega do site público e do console administrativo, inclusive logs técnicos necessários à operação e à segurança.
• PostHog: analytics de produto com identificador pseudonimizado, eventos do funil — inclusive faixa de valor e duração do desafio — e dados técnicos da conexão. O payload configurado pela WellBet não inclui e-mail, CPF, chave Pix, peso ou vídeo.
• Resend: envio de e-mails transacionais e processamento das mensagens enviadas ao suporte, inclusive dados de entrega e, quando habilitados, eventos de abertura e clique.
• Google: autenticação de contas administrativas e de revisão previamente autorizadas, com identificador, e-mail, dados básicos do perfil e tokens técnicos necessários à vinculação e à sessão, quando esse método de acesso for utilizado; e Google Tag Manager, no site público, para administrar tags de medição habilitadas conforme a configuração e as escolhas de privacidade aplicáveis.
• Revisores autorizados: acesso temporário e controlado às evidências estritamente necessárias para verificar pesagens ou moderar conteúdo, sob dever de confidencialidade.
• Autoridades, assessores e sucessores: quando exigido por lei, ordem válida, defesa de direitos ou operação societária sujeita a deveres de proteção e confidencialidade.

Exigimos dos operadores proteção compatível com o tratamento e limitamos o acesso à finalidade contratada. A lista poderá mudar se substituirmos um fornecedor por serviço equivalente; alterações materiais serão refletidas nesta Política.

08Transferência internacional

AWS, Cloudflare, Vercel, PostHog, Resend e Google podem processar ou armazenar dados fora do Brasil, especialmente nos Estados Unidos, ou em infraestrutura global. Nessas transferências adotamos os mecanismos aplicáveis da LGPD e da Resolução CD/ANPD nº 19/2024, inclusive cláusulas contratuais, avaliação de fornecedores e medidas de segurança. Informações adicionais podem ser solicitadas ao canal de privacidade.

09Retenção e eliminação

Guardamos cada categoria pelo tempo necessário à finalidade informada e depois a eliminamos ou anonimizamos, salvo obrigação legal, ordem de autoridade ou necessidade de preservar direitos. Os principais critérios são:

• Conta e perfil: durante a relação com você e até a conclusão do pedido de exclusão, ressalvados registros que precisem ser preservados.
• Evidências de pesagem: durante o desafio, a liquidação e o período de retenção configurado para revisão, contestação e prevenção de fraude; depois, são eliminadas pela rotina de expurgo da infraestrutura. Uma obrigação de preservação ou disputa poderá suspender o expurgo com acesso restrito.
• Acompanhamento e conteúdo: enquanto você mantiver o registro ou a conta, salvo conteúdo moderado que precise ser preservado temporariamente para investigar denúncia, segurança ou exercício de direitos.
• Pagamentos e auditoria: durante os prazos legais e prescricionais aplicáveis a obrigações financeiras, fiscais, contábeis, prevenção de fraude e defesa de direitos. Isso inclui as autorizações e justificativas registradas nas revisões, liberações de prêmio, devoluções e banimentos.
• Cotação contratada: valor da recompensa, multiplicador e versão do modelo econômico permanecem vinculados ao registro financeiro durante os prazos aplicáveis. Após a exclusão da conta e o encerramento das obrigações, idade, sexo biológico e altura preservados no retrato da cotação são eliminados; registramos apenas quando essa eliminação ocorreu.
• Aceites legais: durante a relação contratual e pelos prazos prescricionais necessários para compliance, auditoria e exercício regular de direitos. Após a exclusão da conta, a evidência pode ser mantida de forma pseudonimizada e com acesso restrito.
• Registros de acesso a aplicações: por pelo menos seis meses, nos termos do Marco Civil da Internet, ou por período maior quando houver ordem válida ou outra base legal.
• Suporte: pelo tempo necessário para atender a solicitação e resguardar direitos; documentos médicos são minimizados e eliminados quando não forem mais necessários.
• Analytics: conforme a configuração de retenção do projeto e de forma pseudonimizada, apenas enquanto útil para medir e melhorar o produto.

10Seus direitos

Você pode solicitar confirmação do tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários, portabilidade quando regulamentada, informação sobre compartilhamentos, oposição a tratamento irregular, revisão de decisão automatizada e revogação do consentimento quando ele for a base legal.

• Excluir a conta: use Perfil → Excluir conta no aplicativo. Se estiver sem acesso, use a página pública de exclusão. O aplicativo registra o pedido imediatamente. Se houver aposta aguardando pagamento, desafio ativo ou em liquidação, prêmio ganho aguardando liberação manual, saldo válido, saque Pix ou devolução pendente, a conclusão fica agendada. Resolvidas essas obrigações, a rotina automática apaga as credenciais, exclui os dados de acompanhamento e anonimiza ou preserva com acesso restrito os registros necessários, conforme os critérios desta Política. Falhas temporárias ao remover vídeos ou fotos permanecem em uma fila de novas tentativas até a confirmação do armazenamento.
• Demais solicitações: escreva para privacidade@wellbet.com.br. Podemos pedir informações proporcionais para confirmar sua identidade e proteger a conta.

Você também pode peticionar à Autoridade Nacional de Proteção de Dados e aos órgãos de defesa do consumidor.

11Menores de 18 anos

A WellBet é exclusiva para maiores de 18 anos. Não coletamos intencionalmente dados de crianças ou adolescentes. Se identificarmos uma conta de menor, impediremos sua participação e eliminaremos ou restringiremos os dados conforme a lei e a necessidade de segurança.

12Segurança e incidentes

Adotamos medidas técnicas e organizacionais proporcionais ao risco, como criptografia em trânsito e em repouso, armazenamento privado de evidências, controle de acesso, registro de atividades, gestão de segredos e proteção de rede. Nenhum sistema é infalível. Incidentes capazes de causar risco ou dano relevante serão avaliados, contidos e comunicados à ANPD e aos titulares afetados quando exigido pela legislação.

13Alterações e contato

Podemos atualizar esta Política para refletir mudanças no produto, fornecedores ou legislação. A versão vigente e sua data ficam publicadas nesta página. Mudanças materiais serão comunicadas por meio adequado antes de produzirem efeitos, quando necessário.

Para dúvidas, direitos de titular ou contato com o responsável pelo canal de privacidade, escreva para privacidade@wellbet.com.br.