Política de Privacidade do Hardn

Última atualização: 30 de agosto de 2026

O Hardn é um app de treino de força. Esta política descreve o que ele guarda, onde guarda e o que você pode fazer com isso. Ela foi escrita a partir do código que está no ar, não de um modelo — cada item abaixo corresponde a uma tabela ou a uma rota que existe de verdade.

O resumo, em quatro linhas

• O Hardn é um app com conta. Você entra com o Google, e os seus treinos vão para um servidor nosso, no Brasil, por conexão cifrada.
• Do Google recebemos o seu identificador, o e-mail, o nome e a foto do perfil — nada além disso, e nunca a sua senha.
• Não há anúncio, não há rastreador, e não vendemos nem compartilhamos nada.
• Você pode exportar tudo e apagar tudo, de dentro do app, quando quiser.

1. Quem é o responsável

O Hardn é mantido por Cassiano (hardn.fit). Para qualquer assunto desta política, incluindo exercício dos seus direitos: privacidade@hardn.fit.

2. O que fica no seu aparelho

O app guarda uma cópia local de tudo, no armazenamento privado do Android, para funcionar com a rede ruim da academia:

• Treinos, exercícios, séries, cargas e repetições
• Rotinas que você monta
• Medidas corporais (peso, circunferências) e anotações
• Preferências: unidade (kg/lb), tempo de descanso, lembretes, tema
• A foto ou o ícone que você escolhe para o perfil

Essa cópia é o que faz o app registrar série no subsolo sem sinal. Ela sobe para o servidor assim que houver rede — o servidor é onde o seu histórico realmente mora, e é por isso que trocar de celular não apaga nada.

3. O que vai para o servidor

Usar o Hardn é ter conta, e ter conta é ter os treinos guardados fora do aparelho. Vão para o servidor:

O login com o Google

Entrar é a primeira tela, e é a única forma de entrar.

O Google nos entrega um token assinado com quatro coisas: um identificador seu (sub), o e-mail, o nome e o endereço da foto do perfil. Guardamos os quatro.

• A sua senha do Google nunca passa por aqui. Você a digita no Google, não no Hardn, e nós recebemos só o token — que verificamos contra as chaves públicas do próprio Google antes de aceitar.
• Quem identifica você é o sub, não o e-mail. É o que faz trocar de endereço não perder o seu histórico.
• Não pedimos telefone, data de nascimento, documento nem contatos, e não acessamos nada além do perfil básico — nem a sua agenda, nem os seus arquivos, nem o seu Gmail.

Não pedimos cadastro anônimo, e não existe conta sem pessoa: a conta é sua, e é isso que permite devolver o histórico quando o celular sumir.

Relatórios de falha

Quando o app fecha sozinho, um relatório vai para o Sentry, que hospeda esse serviço para nós. Ele contém a pilha do erro, a versão do app, o modelo do aparelho e o nome da tela em que aconteceu.

Nenhum treino, medida, carga ou e-mail vai junto. Isso não é promessa: o app desliga explicitamente a coleta de dado pessoal, os rastros de rede e os de interação, e filtra qualquer mensagem que mencione essas palavras antes de enviar. Sem isso, um relatório de falha carregaria o que você digitou na tela — que aqui é o seu peso.

Existe por uma razão só: um app que fecha na sua mão é invisível para nós. Você desinstalaria, e nós nunca saberíamos por quê.

O assistente

Quando você pergunta alguma coisa ao assistente, e só então, o nosso servidor manda para a OpenAI o contexto necessário para a resposta fazer sentido:

• a data de hoje;
• o seu primeiro nome, para o assistente falar com você e não com uma conta;
• os seus últimos 8 treinos concluídos: o título que você deu, a data, e quantos exercícios e séries teve cada um;
• a melhor carga de cada um dos 12 exercícios mais recentes, com a data da última vez;
• se você usa quilo ou libra;
• as 12 últimas falas da conversa — as suas e as respostas dele, incluindo os resumos de treino que ele mandou por conta própria;
• as frases que ele guardou sobre você (a lista de "O que ele sabe sobre mim", explicada mais abaixo): todas elas, em toda pergunta;
• o treino que está acontecendo, se você estiver treinando naquele momento: o nome do treino, há quanto tempo começou, e cada exercício com as séries já marcadas e a melhor carga do dia.

E o que ele pode consultar durante a resposta. Além do resumo acima, o assistente pode pedir ao nosso servidor mais quatro coisas, e só quando a sua pergunta precisa delas:

• o histórico de um exercício — cada dia em que você o fez, com carga e repetições, de até cinco anos atrás;
• um resumo de um período que você mencionar: treinos, séries, volume, tempo de cardio e os exercícios que mais apareceram;
• as suas rotinas, com os exercícios e as séries planejadas;
• as suas medidas corporais, incluindo o peso, quando a pergunta for sobre isso.

Cada consulta dessas é feita em nome da sua conta e só dela: não existe forma de o assistente pedir o treino, a rotina ou o peso de outra pessoa, nem por engano nem se alguém tentar induzi-lo a isso. E ele só lê — o assistente não altera, não apaga e não cria nada sozinho. Quando ele monta um treino, quem aperta o botão que vira rotina é você.

O que NÃO vai junto: o seu @usuário, o seu e-mail, o identificador da sua conta, as anotações que você escreveu nos treinos, as fotos, e qualquer coisa de outra pessoa — o que os seus amigos treinam nunca entra na sua conversa.

A conversa fica guardada. Desde 29 de agosto de 2026, o que você e o assistente escrevem fica no nosso servidor, e não só no celular. Antes disso a conversa vivia apenas na memória do app: fechar o app apagava tudo, e trocar de aparelho começava do zero.

Guardamos porque uma conversa que some não é uma conversa — e porque sem um lugar onde ela mora, o assistente nunca pode te contar nada por conta própria, como o resumo do seu treino.

• Cada abertura do app começa uma conversa nova. Desde 30 de agosto de 2026, as anteriores ficam num histórico, alcançável pelo ícone de balão no alto da tela do Treinador. É arrumação, e não guarda a mais: elas já ficavam.
• O que fica junto da fala: quando a resposta desenha um gráfico, os números daquele gráfico são guardados com ela. São os seus próprios treinos, somados — nada que o app já não soubesse.
• Por quanto tempo: 180 dias. Depois disso as falas mais antigas são apagadas sozinhas.
• Como apagar antes: na tela do Treinador, no menu ⋯ do alto, em "Apagar esta conversa". Apaga a conversa que está aberta — do celular e do servidor —, e não dá para desfazer. As outras do histórico ficam. Os seus treinos não são afetados.
• Para apagar todas de uma vez: Configurações › Sobre e seus dados › Excluir conta leva a conversa inteira junto, como leva todo o resto.
• Quem lê: ninguém além de você. A conversa é consultada pela sua conta e só por ela, do mesmo jeito que os seus treinos.
• Excluir a conta leva a conversa junto, como leva todo o resto.

Ele lembra do que você contar. Quando você diz algo sobre você que vale para sempre — uma lesão, o seu objetivo, um aparelho que a sua academia não tem, quantos dias por semana você treina —, o assistente guarda uma frase curta sobre aquilo, para levar em conta nas próximas conversas. Sem isso ele montaria, amanhã, um treino com o exercício que machuca o seu ombro.

• Você vê tudo, e apaga o que quiser: na tela do Treinador, no menu do canto superior, em "O que ele sabe sobre mim". Cada linha tem um X.
• No máximo 20 frases. Ao chegar na vigésima primeira, a mais antiga sai.
• O que ele NÃO guarda aqui: o que muda toda semana (a carga de hoje, como você dormiu) e o que já está nos seus dados — treinos, cargas, rotinas e medidas ele lê direto, e não copia para cá.
• Excluir a conta leva estas frases junto.

A análise da sua semana, que chega sem você pedir. Até 29 de agosto de 2026 esta seção dizia que não havia nada automático. Passou a haver uma coisa: toda segunda de manhã, o nosso servidor pede ao modelo uma análise da sua semana e manda por notificação.

• Só se você treinou. Semana sem treino não gera análise, e nada chega.
• Nunca de madrugada. Ela sai entre 9h e 21h no seu horário.
• O que vai para a OpenAI: os números da sua semana — quantos treinos, séries, volume, tempo, séries por exercício e os recordes batidos — mais o mesmo contexto de sempre. Nada de novo sobre você.
• Onde fica: na aba Análise, dentro do Treinador. As últimas 26 semanas ficam guardadas ali, para você comparar.
• Como desligar: o interruptor no pé daquela aba. Desligado, nenhuma chamada é feita por você.

O texto do resumo vira uma mensagem do Treinador na sua conversa, e tocar na notificação abre ela. Fora isso, nada acontece se você não abrir o assistente e digitar — e o resto do app funciona igual se você nunca usar essa aba.

A OpenAI trata esses dados como cliente de API, o que na política dela significa que não são usados para treinar modelo. Ainda assim: se algo do seu treino é particular a ponto de você não querer que saia daqui, não pergunte sobre aquilo.

As notificações

Para o app conseguir avisar você sobre o que acontece fora dele — alguém curtiu o seu treino, um recado de quem cuida do Hardn — o aparelho recebe um identificador de instalação gerado pelo Google Firebase, e o nosso servidor guarda esse identificador junto com a sua conta e o fuso horário do aparelho.

O identificador não diz quem você é: ele é um endereço de entrega. Guardamos também o fuso porque a regra de não incomodar ninguém de madrugada só funciona no horário de quem recebe.

O que sai daqui: o identificador, o título e o texto da notificação, para o Firebase entregar. Nada de e-mail e nenhuma foto.

O texto da análise semanal é uma exceção, e ela é sua. Desde 30 de agosto de 2026, o aviso que chega na segunda de manhã é escrito pelo assistente com um número do seu treino dentro — "você subiu 12% de volume nesta semana" — e com o seu primeiro nome. Ele viaja no corpo da notificação, então passa pelo Firebase como qualquer outra.

É a única notificação com dado de treino dentro, e ela existe porque um aviso que não diz nada não vale a interrupção. Desligue-a no interruptor do pé da aba Análise, e nenhum número seu sai por esse caminho.

Você desliga as notificações no próprio Android, por assunto — o app usa canais separados para o treino, os lembretes, os recados, o social e os avisos —, e desliga os recados do gato em Configurações › Notificações.

O identificador daquele aparelho é apagado do servidor quando você sai da conta e quando sai do feed; ao excluir a conta, todos são.

O que NÃO é coletado

Não há SDK de anúncio, de analytics ou de rastreamento no app. Não coletamos localização, contatos, agenda, lista de aplicativos, identificador de propaganda nem qualquer dado de navegação.

O Firebase entra só com o serviço de mensagens descrito acima: nem Google Analytics, nem Crashlytics, nem qualquer outro produto dele.

4. Dado sensível de saúde

Peso corporal, medidas e histórico de treino são dados pessoais sensíveis relativos à saúde (LGPD, Art. 5º, II). Tratamos assim:

• O envio acontece com o seu consentimento explícito, dado ao criar a conta: a tela de entrada diz, antes do botão, que entrar significa aceitar esta política. Revogar é excluir a conta, e o botão está dentro do app.
• Nada disso vai para o feed. O que você publica é o que está na seção 5, e peso, medidas e fotos não estão lá — nem com botão, nem com configuração.
• O tráfego é cifrado com TLS, e o app recusa falar com qualquer endereço que não seja https://.
• Os backups do servidor são cifrados com chave pública, e a chave que os abre não fica no servidor.
• Nenhum desses dados é usado para publicidade, perfilamento ou decisão automatizada de qualquer tipo.
• Uma exceção, e ela é escrita porque existe: um aviso do app pode ser enviado a quem não treina há N dias ou a quem treinou nos últimos N dias. É uma consulta feita na hora, por uma pessoa, para escolher quem recebe um recado — não há pontuação, não há classificação guardada, nada decide nada sobre você e o resultado não sai do envio. Desligar "Recados" em Perfil › Configurações › Notificações tira você desse alcance.

5. O feed: o que as outras pessoas veem

O feed é a parte do Hardn em que outras pessoas entram. Por isso ele tem uma seção só dele, e uma base legal diferente do resto.

A base legal aqui é o consentimento (LGPD, Art. 7º, I), e não a execução do contrato que cobre o seu treino (Art. 7º, V). A diferença é prática: consentimento é revogável a qualquer momento, e revogar não custa a sua conta.

O que é público

A foto do perfil

Opcional, e ela substitui a que veio do Google. A partir de 22/08/2026 ela sai do aparelho: sem isso, a cara que você escolhe aparece só para você, e todo mundo continua te vendo com a foto da conta Google — ou com uma letra.

O caminho é o mesmo da foto do post, logo abaixo: os metadados são apagados na reescrita, o endereço é derivado do conteúdo, e ela fica no armazenamento em São Paulo. Escolher as iniciais ou um dos ícones do app não envia imagem nenhuma — vai só o nome da escolha.

Trocar de foto tira a anterior do armazenamento na mesma rotina de 6 horas que apaga a foto de post apagado.

A capa do perfil

A faixa larga atrás do seu nome. Opcional, e desde 25/08/2026 ela também sai do aparelho — antes disso ela existia só no seu celular, e quem abrisse o seu perfil via a imagem padrão do app.

Ela segue exatamente o caminho da foto do perfil, acima: é recortada no seu aparelho antes de sair, os metadados são apagados na reescrita, o endereço é derivado do conteúdo, e ela fica no armazenamento em São Paulo. Trocar ou remover manda a anterior para a mesma rotina de 6 horas.

Quem vê: quem pode ver o seu perfil. Perfil fechado não entrega a capa a estranho — ela viaja na mesma resposta do perfil, e herda a mesma regra.

A foto do post

Opcional, sempre. Quando você escolhe uma, ela é enviada para o nosso servidor, que faz três coisas antes de guardá-la:

1. Confere que é mesmo uma imagem, pelos primeiros bytes do arquivo e não pelo nome dele.
2. Reescreve a imagem do zero, o que apaga todos os metadados — principalmente a localização, que a câmera grava sem avisar e que entregaria onde você treina, no mesmo horário, todo dia.
3. Reduz e recomprime, para o feed não gastar a internet de quem o lê.

Ela fica num armazenamento de objetos da Linode, em São Paulo, e é acessível por um endereço que ninguém consegue adivinhar — o nome do arquivo é derivado do próprio conteúdo. Quem tiver o endereço vê a foto, e é por isso que ela é opcional: se a imagem não pode circular, não a publique.

Apagar o post apaga a foto junto. O post some do feed na hora; os bytes da imagem saem do armazenamento em até 6 horas, que é o intervalo da rotina que os apaga. Dizer "na hora" para os dois seria mais bonito e não seria verdade.

O que NUNCA é público

Peso corporal, medidas e fotos de progresso. Não existe botão de tornar públicos, e isso não é esquecimento: são dados do seu corpo, e oferecer o botão seria criar um vetor de arrependimento que não dá para desfazer.

Também não são públicos: o seu e-mail, os seus aparelhos, as suas anotações de treino, as suas rotinas e os treinos que você não publicou.

O treino terminado vai para o feed

Isto mudou em 19/08/2026, e a política muda junto — descrever um comportamento que o app não tem mais seria pior do que não descrever nada.

A tela de fim de treino é a tela de publicar: ela mostra o que você fez e pergunta o nome e a foto. Ao sair dela, o treino vai para o feed.

Quatro saídas, e nenhuma delas exige falar com a gente:

• o interruptor "Publicar treinos no feed", em Perfil › Configurações, que desliga a publicação para todos os treinos, inclusive os seguintes. É a principal, e é a que resolve de uma vez: ele fica guardado na sua conta, e não no celular, então vale em qualquer aparelho onde você entrar e continua valendo depois de reinstalar o app;
• o gesto de voltar, na própria tela de publicar. Sair dela sem tocar em Publicar não publica aquele treino, e ele continua inteiro no seu histórico;
• "apagar", em qualquer post já publicado, a qualquer momento;
• o perfil privado, que tira os seus posts do alcance de quem não te segue.

O consentimento é pedido no cadastro, antes do primeiro treino, e a tela que o pede diz exatamente isto.

Revogar

Em Perfil › Configurações › Sair do feed: o perfil volta a privado, todos os seus posts saem do ar e o seu @usuário é liberado. A conta continua, e o treino continua.

Duas coisas que é honesto dizer, porque nenhum app consegue prometer o contrário: quem viu um post pode ter guardado, e despublicar não desfaz o que já foi visto; e o @usuário liberado fica reservado por 12 meses antes de voltar ao mercado, para ninguém herdar as suas menções.

Denúncia

Quando alguém denuncia um post ou um perfil, guardamos uma cópia do conteúdo denunciado, quem denunciou, quem foi denunciado e o motivo. Sem a cópia, apagar o post no segundo seguinte apagaria a prova junto.

Essa é a única exceção à regra de que excluir a conta apaga tudo: a denúncia sobrevive, sem o vínculo com nenhuma das duas pessoas — os dois identificadores viram nulos. Denúncia resolvida é apagada em 180 dias. Denúncia em aberto fica até ser respondida.

6. Onde ficam, e por quanto tempo

O servidor é api.hardn.fit, hospedado na Linode, em território brasileiro.

• Seus dados ficam enquanto a conta existir. Não há expiração automática: um treino de três anos atrás continua lá porque ele é seu histórico.
• Treino apagado vira uma marca de exclusão, que é o que avisa seus outros aparelhos de que aquilo saiu. A marca é removida em 90 dias.
• Registros técnicos de sincronização são removidos em 30 dias.
• Conta excluída é apagada na hora, e junto vão todos os treinos, séries, rotinas, medidas, aparelhos, o e-mail, o vínculo com a sua conta Google e tudo do feed: posts, quem você segue, bloqueios e silenciamentos. Backups já gravados são substituídos no ciclo de retenção, em até 14 dias.

7. Com quem compartilhamos

Com ninguém. Não vendemos, não alugamos e não compartilhamos seus dados com anunciantes, corretores de dados ou parceiros comerciais.

As únicas empresas que tocam a infraestrutura:

• Linode/Akamai — hospeda o servidor.
• Sentry — recebe os relatórios de falha descritos acima. Não recebe treino, medida nem e-mail.
• Let's Encrypt — emite o certificado que cifra a conexão. Não recebe dado seu.
• Google — autentica o seu login e distribui o app na Play Store. O que o Google coleta ao você entrar, e na loja, é regido pela política dele, não por esta. Nós só recebemos o token descrito na seção 3.
• Google Firebase — entrega as notificações. Recebe o identificador de instalação do seu aparelho e o texto da notificação, e nada mais. É a única parte do Firebase que este app usa.
• OpenAI — responde o que você pergunta ao assistente. Recebe a lista exata descrita em "O assistente", na seção 3, e só no momento em que você pergunta. Não recebe nome, e-mail, peso, medida nem foto.

Só entregamos dado a autoridade mediante ordem judicial, e apenas o que a ordem determinar.

Transferência internacional

O servidor e os seus treinos ficam no Brasil. Três coisas saem do país, e a LGPD (Art. 33) manda dizer quais:

• O login, para o Google, nos Estados Unidos. É o que acontece quando você toca em "Continuar com o Google": o Google confirma quem você é e nos devolve o token descrito na seção 3.
• Os relatórios de falha, para o Sentry, nos Estados Unidos. Eles não contêm treino, medida nem e-mail — só a pilha do erro, o modelo do aparelho e a versão do app.
• O contexto do assistente, para a OpenAI, nos Estados Unidos, e só quando você pergunta. É a lista exata da subseção "O assistente", na seção 3.

A sua medida, o seu peso corporal e as suas fotos não saem do Brasil.

O treino sai num caso só, e é o que você mesmo dispara ao perguntar ao assistente — sem nome, sem e-mail e sem identificador de conta junto. As duas primeiras transferências acontecem porque são necessárias para o app funcionar e para consertá-lo quando ele quebra (Art. 33, II, "d" e "f"); a terceira acontece com o seu consentimento, dado no ato de perguntar (Art. 33, VIII), e não acontece se você não usar o assistente. As três empresas oferecem garantias contratuais de proteção equivalentes às da LGPD.

8. Seus direitos, e como exercê-los agora

A LGPD (Art. 18) garante acesso, correção, portabilidade, exclusão e revogação do consentimento. No Hardn, os quatro primeiros são botões:

A exclusão da conta é imediata e definitiva. Não há lixeira, e o suporte não consegue recuperar — nem para você. É por isso que o app pede confirmação antes.

Para qualquer direito que não caiba num botão, escreva para privacidade@hardn.fit.

9. Segurança

• Conexão cifrada com TLS 1.2+, obrigatória.
• O token da sua SESSÃO é guardado no servidor apenas como hash SHA-256: um vazamento do banco não entrega acesso a nenhuma conta.
• O identificador de notificação (seção 3) é outra coisa, e é guardado como está: ele não abre a sua conta — é um endereço de entrega, e o Firebase só entrega se ele estiver inteiro. Ele some quando você sai da conta, quando sai do feed e quando exclui a conta.
• Um usuário não alcança dado de outro. Isso é garantido por chave estrangeira composta no banco, e não por verificação em código — a diferença importa, porque a primeira não tem como ser esquecida.
• Limite de requisições por origem e por conta, contra abuso.
• Backups diários, cifrados, guardados fora do servidor.

Nenhum sistema é perfeito. Se descobrir uma falha, escreva para privacidade@hardn.fit — respondemos e creditamos quem reportar.

10. Crianças

O Hardn não é destinado a menores de 13 anos e não coletamos dados de crianças conscientemente. Se souber que uma criança nos enviou dados, escreva e apagaremos.

11. Mudanças nesta política

Se algo aqui mudar de forma relevante, a data no topo muda e o app avisa antes de a mudança valer. Alterações que ampliem o que é coletado exigirão o seu consentimento de novo — não valem por silêncio.

12. Encarregado de dados

privacidade@hardn.fit

Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd.