SEUS DADOS, SUAS ESCOLHAS
Política de Privacidade
1. Seus registros e suas fotos ficam no seu aparelho. Só vão para a nuvem se você ligar o backup.
2. No iPhone, as fotos do backup são criptografadas de ponta a ponta. Os registros de saúde na nuvem têm a criptografia do provedor, não de ponta a ponta.
3. A análise de refeição por IA envia só a foto ou o texto que você escolher, e só depois de você autorizar.
4. Não vendemos os seus dados, não exibimos anúncios e não usamos dados de saúde para publicidade.
5. Pelo app, você corrige, exporta e apaga os seus dados. O que não estiver no app, você pede por e-mail.
1. Quem é o controlador
O leve é um aplicativo para adultos em tratamento com medicamentos da classe GLP-1. Ele registra o tratamento, o peso, a rotina e os efeitos, e devolve leituras sobre esses registros.
Para os efeitos da Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais, a LGPD), o controlador dos dados pessoais tratados no leve é Carlos Henrique Borges, pessoa física residente no Brasil, que desenvolve e opera o leve com o nome de fantasia Alvor Labs. Endereço: Rua Doutor Guomide, 002. E-mail: alvorlabs@icloud.com.
O encarregado pelo tratamento de dados pessoais (artigo 41 da LGPD) é o próprio Carlos Henrique Borges, no mesmo e-mail.
Esta política vale para o app leve no iPhone, para a versão web de demonstração e para o site useleveapp.com.br. Ainda não existe app do leve para Android. Se você mora nos Estados Unidos ou no México, as versões em inglês e em espanhol trazem também as regras específicas desses países.
2. Que dados tratamos
Tratamos só o que o app precisa para funcionar e para as finalidades da seção 4. A conta é opcional: sem ela, os seus registros ficam só no aparelho.
2.1. Dados de saúde (dados pessoais sensíveis)
A LGPD classifica dados referentes à saúde como dados pessoais sensíveis (artigo 5º, II). Estes são os que o app trata:
| Categoria | O que entra |
|---|---|
| Tratamento | medicamento, dose, frequência, dia e horário da aplicação, data de início, mudanças de dose, pausas no acompanhamento e, se você controlar, o estoque da caneta |
| Aplicações | data, hora, dose e local de cada aplicação |
| Corpo | pesagens, altura, idade (só o número), sexo, percentual estimado de gordura, peso inicial e meta de peso |
| Efeitos | os efeitos colaterais que você marca, com intensidade e data |
| Rotina | alimentos e proteína registrados (nome e gramas), água, sono, exercícios e treino de força, passos e energia ativa (quando vêm do Apple Saúde) e os check-ins da semana |
| Condições declaradas | as respostas do cadastro sobre diabetes tipo 2, pressão alta, colesterol ou triglicerídeos altos, apneia do sono, SOP (ovários policísticos), doença renal ou no fígado, refluxo forte ou gastroparesia, câncer medular de tireoide (ou MEN2) na família, pancreatite, problema de vesícula, gravidez ou amamentação e uso de insulina ou sulfonilureia; servem para adaptar orientações, a meta de proteína e o relatório |
| Plano | objetivos e compromisso escolhidos no cadastro, ritmo escolhido, nível de treino de força, meta de proteína e se você já usa o medicamento ou vai começar |
| Fotos de progresso | imagens do seu corpo, com a data |
| Fotos de refeição | a foto do prato que você salva num registro de alimento |
No cadastro, a data de nascimento serve só para calcular a idade, e o perfil guarda só a idade. O rascunho do cadastro, que guarda as respostas até você concluir, fica no aparelho e é apagado ao concluir, ao recomeçar ou depois de 7 dias.
2.2. Dados da conta (só se você criar uma)
| Tipo de conta | O que tratamos |
|---|---|
| "Guardar na nuvem" | só um identificador aleatório; esta conta não tem e-mail nem nome |
| Entrar com a Apple | o identificador da Apple, o e-mail que a Apple informar (pode ser o endereço de retransmissão, se você escolher ocultar o seu) e o nome, se você compartilhar |
| Entrar com o Google | o identificador do Google, o e-mail e o nome informados pelo Google |
| Entrar com e-mail | o endereço de e-mail e o código de 6 dígitos que enviamos para confirmar o acesso |
"Proteger com a Apple" liga a sua conta Apple à conta criada pelo "Guardar na nuvem", mantendo o mesmo identificador. No iPhone, a sessão da conta fica guardada no Chaveiro do aparelho.
2.3. Dados de uso e dados técnicos
| Categoria | O que entra |
|---|---|
| Estatísticas de uso | os eventos listados na seção 8, cada um com um código aleatório do aparelho, a versão do app e o sistema; nenhum valor de saúde |
| Código do pedido de análise | um código aleatório do aparelho, que vai junto com cada pedido de análise de refeição |
| Dados de conexão | como em qualquer acesso à internet, os nossos fornecedores recebem o endereço IP e dados técnicos da conexão quando o app ou o site se comunicam com eles |
2.4. Dados de assinatura
A compra é feita na App Store da Apple. Nós não recebemos, não vemos e não guardamos o número do seu cartão, dados bancários ou endereço de cobrança. Pela RevenueCat, recebemos o estado da assinatura (ativa, em período grátis, cancelada ou expirada), o produto, as datas e o identificador da transação. A RevenueCat também recebe a sua resposta a "Como você chegou até o leve?", o código de indicação digitado e, no iPhone, o token de atribuição de anúncios da Apple (AdServices), que diz se você chegou por um anúncio na App Store, sem identificador de publicidade.
2.5. Atendimento
Se você nos escrever, tratamos o seu e-mail e o conteúdo da mensagem para responder e manter o histórico do atendimento.
2.6. O que não tratamos
O app não usa a sua localização, não lê os seus contatos e não usa o identificador de publicidade do iPhone (IDFA). Não rastreamos você em apps ou sites de outras empresas, e por isso o app não pede a permissão de rastreamento do iPhone. O idioma e a região do aparelho são lidos no próprio aparelho, para escolher o idioma do app e os números de emergência; com o app em inglês ou espanhol, o idioma vai junto no pedido de análise de refeição, para a resposta vir nesse idioma.
3. De onde vêm os dados
- De você, no cadastro e em cada registro que faz no app.
- Do seu aparelho, para os dados de uso e técnicos da seção 2.3.
- Do Apple Saúde, só se você autorizar, tipo por tipo, na tela de permissões do iPhone. O leve pode ler peso, altura, percentual de gordura, sono, treinos, minutos de exercício, energia ativa, passos, água e proteína; na primeira leitura, ele busca até 60 dias de histórico. Com a sua autorização, ele também grava no Apple Saúde as pesagens, o sono, os treinos, a água e a proteína que você registra no leve. Você desliga cada tipo em Perfil › Ajustes › Privacidade e integrações › Apple Saúde e revoga a permissão no app Saúde do iPhone. Os dados do Apple Saúde nunca são usados para publicidade, marketing ou mineração de dados.
- Da Apple e da RevenueCat, para o estado da assinatura e a atribuição de anúncios da App Store.
- Da Apple ou do Google, quando você entra com uma dessas contas (seção 2.2).
Não compramos listas, não enriquecemos o seu perfil com dados de terceiros e não fazemos raspagem de dados na internet.
4. Para que usamos e com que base legal
A LGPD exige uma base legal para cada finalidade. Para dados de saúde, as hipóteses são as do artigo 11.
| Finalidade | Dados usados | Base legal |
|---|---|---|
| Fazer o app funcionar no seu aparelho: guardar os registros, calcular tendência, projeção, ritmo e leituras, disparar os lembretes que você ligou e montar o relatório em PDF | saúde, tratamento, corpo, rotina, condições e plano (seção 2.1) | esses dados ficam no seu aparelho e não chegam até nós (seção 4.1); o app os usa ali para prestar o serviço que você contratou: execução de contrato (art. 7º, V) e, para os dados de saúde, exercício regular de direitos em contrato (art. 11, II, "d") |
| Guardar a cópia de segurança na nuvem e permitir a troca de aparelho | os seus registros e, com autorização própria, as fotos de progresso e de refeição salvas | consentimento (art. 11, I), dado por uma ação sua, com a frase de autorização junto do botão (seção 5.1) |
| Estimar alimentos e proteína de uma refeição | a foto ou o texto que você envia naquele momento | consentimento (art. 11, I), pedido na tela "Usar IA nas refeições?" antes da primeira análise (seção 6.1) |
| Ler e gravar dados no Apple Saúde | os tipos que você autorizar | consentimento (art. 11, I), dado na tela de permissões do iPhone, tipo por tipo |
| Estatísticas de uso: saber se o app funciona, em que etapa as pessoas desistem e quantas assinam | eventos de uso com um código aleatório do aparelho, sem nenhum valor de saúde (seção 8) | legítimo interesse (art. 7º, IX), com minimização e pseudonimização; você pode se opor (seção 8.1) |
| Saber de onde vêm as assinaturas | a resposta a "Como você chegou até o leve?", o código de indicação digitado e o token de atribuição de anúncios da Apple, sem identificador de publicidade | legítimo interesse (art. 7º, IX); você pode se opor por e-mail (seção 12.2) |
| Criar e manter a sua conta, se você criar uma | os dados da seção 2.2 | execução de contrato (art. 7º, V) |
| Liberar e manter a assinatura, prevenir fraude e abuso | estado da assinatura, identificador da conta ou da compra e, no serviço de análise, o endereço IP, usado só para limitar tentativas | execução de contrato (art. 7º, V) e legítimo interesse (art. 7º, IX) |
| Avisar do lançamento no Android quem pediu pelo site | e-mail, plataforma, origem e página (seção 15) | consentimento (art. 7º, I), dado ao enviar o formulário |
| Responder a você e manter o histórico do atendimento | e-mail e conteúdo da mensagem | execução de contrato (art. 7º, V) e legítimo interesse (art. 7º, IX) |
| Cumprir obrigação legal ou regulatória e defender direitos em processo | o mínimo necessário | art. 7º, II e VI; art. 11, II, "a" e "d" |
4.1. Os dados de saúde que ficam no aparelho
Os dados de saúde que você informa no cadastro e nos registros ficam guardados no seu aparelho. Enquanto ficam ali, nós não recebemos esses dados e não temos acesso a eles. Hoje o app não tem uma tela própria de consentimento para esses dados, e por isso não apresentamos o consentimento como base para o uso deles no aparelho. Eles só saem do aparelho por uma ação sua: ao ligar o backup (seção 5) ou ao pedir uma análise de refeição (seção 6). Cada um desses caminhos pede a sua autorização, com aviso na tela, e você pode revogá-la quando quiser (seção 12).
4.2. Se você não quiser
Sem os dados básicos do tratamento (medicamento, dose e peso), o app não consegue montar o plano nem as leituras. Os recursos opcionais (conta, backup, fotos no backup, análise de refeição, Apple Saúde, lembretes e compartilhamento da linha) podem ser recusados, e o resto do app continua funcionando.
Não vendemos os seus dados. Não exibimos anúncios. Não usamos os seus dados para publicidade direcionada, nossa ou de terceiros. Não compartilhamos dados de saúde para obter vantagem econômica, prática vedada pelo artigo 11, §4º, da LGPD. Não enviamos os seus dados para seguradoras, planos de saúde, empregadores, farmacêuticas ou corretores de dados. Não usamos os seus dados para treinar modelos de inteligência artificial. O app não tem SDK de publicidade nem de rastreamento.
5. Backup na nuvem e fotos
5.1. Quando o backup liga
- "Guardar na nuvem", no cadastro ou em Perfil › Ajustes › Conta e backup: cria uma conta sem e-mail nem nome e liga o backup dos registros. No iPhone, liga também o backup das fotos, criptografadas de ponta a ponta. A frase junto do botão diz isso antes do toque: "Ao tocar em Guardar na nuvem, você autoriza o backup dos seus dados de saúde e das suas fotos, criptografadas no iPhone antes do envio."
- Criar uma conta ou entrar com Apple, Google ou e-mail: liga o backup dos registros, e a tela avisa isso antes. As fotos pedem uma autorização separada.
- "Ativar backup nesta conta", em Conta e backup, quando você já tem conta e o backup está desligado.
5.2. O que vai para a nuvem
Com o backup ligado, o app guarda no Supabase, em servidores nos Estados Unidos, uma cópia dos seus registros: perfil, aplicações, pesagens, diário, alimentos, exercícios, check-ins e conquistas, inclusive o que veio do Apple Saúde. A cópia é enviada alguns segundos depois de cada mudança e quando você abre o app, se houver conexão. Existe uma cópia por conta, e cada envio substitui o anterior.
Os registros de saúde não têm criptografia de ponta a ponta. Eles viajam criptografados, ficam criptografados em repouso pelo provedor e ficam protegidos por regras de acesso que só deixam a sua conta ler a sua cópia. O histórico do Copiloto não vai para a nuvem.
5.3. Fotos no backup
No iPhone, as fotos de progresso e as fotos de refeição salvas são criptografadas no próprio aparelho antes do envio, com AES-GCM de 256 bits (criptografia de ponta a ponta). O Supabase recebe só o conteúdo criptografado e alguns dados de cada foto sem criptografia: tipo (corpo ou refeição), data e hora, tamanho e códigos de verificação do arquivo. A chave fica guardada no iPhone e, com as Chaves do iCloud ligadas, sincroniza pelo seu iCloud. Nós não temos essa chave e não vemos o conteúdo das fotos. O app mostra um código de recuperação depois de confirmar a sua identidade com Face ID ou com o código do iPhone. Guarde esse código.
Para recuperar as fotos em outro iPhone, você precisa entrar na mesma conta do leve e ter a chave no mesmo iCloud, ou digitar o código de recuperação. Na conta sem e-mail, voltar à mesma conta num iPhone novo depende de a sessão guardada no Chaveiro do iPhone vir junto (backup no iCloud, backup criptografado no computador ou Início Rápido) ou de você ter usado "Proteger com a Apple". O e-mail sozinho não recupera a chave. Sem a chave e sem o código, não conseguimos abrir essas fotos por você.
Fora do iPhone (por exemplo, na versão web), não existe proteção de ponta a ponta. Ali, as fotos só vão para o backup se você tocar em "Incluir fotos sem ponta a ponta", e a tela avisa que elas terão só a criptografia do provedor.
Limpeza automática. Depois de cada envio confirmado, o app apaga da nuvem as fotos que a cópia não usa mais e que têm mais de 24 horas, como as que você apagou no app e as cópias antigas sem ponta a ponta. O backup não envia fotos de corpo à IA e não as usa para treinar nenhum modelo.
5.4. Pausar, desinstalar e o backup do seu iPhone
"Pausar backup automático" interrompe os envios e retira as autorizações de backup, mas a última cópia continua na nuvem até você apagar a conta ou usar "Recomeçar do zero". Desinstalar o app não apaga a cópia na nuvem. No iPhone, a sessão da conta fica no Chaveiro e continua lá depois de desinstalar: se você instalar o app de novo, ele encontra a cópia e oferece trazê-la de volta.
Os registros e as fotos guardados no aparelho podem entrar no backup que você faz do seu próprio iPhone (no iCloud ou num computador), sob a sua conta Apple e as regras da Apple. Fora a chave das fotos nas Chaves do iCloud, o leve não usa o iCloud para guardar os seus dados.
6. Análise de refeição, Copiloto e compartilhamento
6.1. Análise de refeição com IA
Antes da primeira análise, o app pergunta "Usar IA nas refeições?" e explica que a foto do prato ou a descrição vai para a Groq, o provedor de inteligência artificial, com retenção zero. A autorização vale para as análises seguintes naquela conta e naquele aparelho. Você revoga em Proteína › Privacidade da IA, e o app pede de novo antes da próxima análise.
Em cada análise, o app envia por conexão criptografada ao nosso serviço de análise, que roda na Cloudflare, a foto reduzida (JPEG com até 1280 pixels no maior lado; se a redução falhar, vai a foto original) ou o texto que você escreveu (de 3 a 600 caracteres). Junto vão: a prova de que você assina (a sessão de uma conta com Apple, Google ou e-mail, ou o seu identificador na RevenueCat), um código aleatório do aparelho e, com o app em inglês ou espanhol, o idioma. O serviço confere a sua conta no Supabase ou a assinatura na RevenueCat, usa o endereço IP só para limitar tentativas e manda para a Groq apenas a foto ou o texto, com as instruções da análise, sem nenhum identificador seu.
O serviço de análise não guarda a foto nem o texto, e os registros técnicos dele não incluem o conteúdo da refeição. A conta do leve na Groq está configurada com retenção zero: a Groq processa o conteúdo para devolver a estimativa e não o guarda. A resposta vem no idioma do app, é uma estimativa e pode errar: você revisa antes de salvar. A foto que você salva no registro fica no aparelho e só entra no backup com a autorização da seção 5. Fotos de progresso e backups nunca vão para a IA.
Hoje a análise usa a Groq. Se trocarmos de provedor, atualizaremos esta política e pediremos de novo a sua autorização no app antes de enviar qualquer refeição ao novo provedor.
6.2. Copiloto guiado
O Copiloto oferece perguntas prontas e monta as respostas no próprio aparelho, a partir dos seus registros e de conteúdo revisado. Ele não usa a internet nem provedor de IA, não é um chat livre, não é consulta médica e não altera dose ou prescrição. O histórico fica só no aparelho, fora do backup, e sai em Apagar conversa.
6.3. Relatório, linha compartilhada e lembretes
O relatório em PDF é gerado no aparelho e sai pela folha de compartilhar do iPhone, para quem você escolher. Nós não recebemos o relatório. "Compartilhar minha linha" também gera a imagem no aparelho: os quilos só aparecem se você ligar "Mostrar os quilos", e a imagem vai só para quem você escolher. Os lembretes são notificações locais, agendadas no próprio iPhone, sem servidor de notificações.
7. Leituras automáticas
O leve usa cálculo automatizado para produzir tendência de peso, projeção de chegada à meta, ritmo, correlações entre efeitos e ciclo da dose, nível estimado do medicamento e estimativa de alimentos. Essas leituras são informativas: não são diagnóstico, não são prescrição, não são promessa de resultado e não substituem a avaliação de um profissional de saúde. Estimativas e projeções podem errar.
Nenhuma dessas leituras produz efeito jurídico. Ainda assim, na forma do artigo 20 da LGPD, você pode pedir a revisão de qualquer leitura e explicação sobre os critérios usados, escrevendo para o contato da seção 18.
8. Estatísticas de uso
Para saber se o app funciona e em que etapa as pessoas desistem, o leve registra eventos de uso. Cada evento leva o nome do evento, um código aleatório criado no próprio aparelho, um detalhe curto quando houver, a versão do app, o sistema (iOS ou web) e a hora. Os eventos ficam numa tabela do leve no Supabase, nos Estados Unidos, na qual o app só consegue acrescentar linhas, nunca ler.
Os eventos são: abertura do app, enviado desde a primeira vez que o app abre; início e conclusão do cadastro; exibição da tela de assinatura, com o plano selecionado; toque em assinar; assinatura iniciada, com ou sem período grátis; código de oferta resgatado; registro salvo; análise por IA (se foi por foto ou por texto); relatório gerado; semana fechada; imagem da linha compartilhada (se mostrava os quilos, sim ou não, nunca os números); e presente de assinatura enviado, quando esse recurso estiver disponível. Nos eventos do cadastro e da tela de assinatura vão também a sua resposta a "Como você chegou até o leve?" e o código de indicação digitado, se houver.
O que não vai: nenhum valor de saúde (peso, dose, efeito, refeição ou foto), nenhum nome, e-mail ou identificador da sua conta. O código do aparelho não se liga à sua conta. As versões de teste do app e os testes no computador não enviam eventos. Sem conexão, até 20 eventos esperam no aparelho e vão no envio seguinte.
8.1. Como desligar
A partir da versão 1.0.4 do app, você desliga em Perfil › Ajustes › Privacidade e integrações › Estatísticas de uso. O interruptor vem ligado. Desligado, nenhum evento sai do aparelho, e os eventos que esperavam na fila são descartados. Nas versões até a 1.0.3, o app não tem esse interruptor: você pode se opor por e-mail, e nós explicamos o limite da seção 8.2. Atualizar o app e desligar o interruptor resolve.
8.2. O que já foi enviado
Como o código do aparelho é aleatório e não se liga a você, não conseguimos encontrar os eventos de uma pessoa para mostrar, corrigir ou apagar, nem a pedido. Por isso não prometemos apagar eventos já enviados. Eles não levam nome, e-mail nem dados de saúde, e são apagados automaticamente quando completam 24 meses. "Recomeçar do zero" troca o código do aparelho, e os eventos seguintes não se ligam aos anteriores.
9. Onde os dados ficam e por quanto tempo
| Dado | Onde fica | Por quanto tempo |
|---|---|---|
| Registros de saúde e perfil | no seu aparelho | até você apagar; o diário guarda os últimos 120 dias com registro, e a lista de alimentos, os 300 itens mais recentes |
| Rascunho do cadastro | no seu aparelho | até concluir o cadastro, recomeçar ou passar 7 dias |
| Histórico do Copiloto | no seu aparelho | até "Apagar conversa" ou "Recomeçar do zero" |
| Cópia dos registros na nuvem | Supabase (EUA), só com o backup ligado | até você apagar a conta ou usar "Recomeçar do zero"; pausar o backup mantém a última cópia |
| Fotos de progresso e de refeição | no aparelho e, se autorizado, no Supabase (EUA) | no aparelho, até você apagar; na nuvem, até a foto sair da cópia (a limpeza da seção 5.3 a remove depois de 24 horas), até você apagar a conta ou usar "Recomeçar do zero" |
| Conta | Supabase (EUA) | até você usar "Apagar conta e dados na nuvem" ou pedir por e-mail; "Recomeçar do zero" apaga a cópia, mas não a conta |
| Estatísticas de uso | Supabase (EUA) | apagadas automaticamente aos 24 meses |
| Foto ou texto enviado à análise | só em trânsito | não é guardado pelo serviço de análise nem pela Groq |
| Autorização da análise de refeição | no seu aparelho | até você revogar |
| Assinatura | Apple e RevenueCat (EUA) | enquanto houver assinatura e, depois, até você pedir a exclusão do seu cadastro na RevenueCat; a Apple guarda o histórico de compras segundo as regras dela |
| Mensagens de atendimento | caixa de e-mail do leve (iCloud) | pelo tempo necessário para resolver o seu pedido e guardar a prova do atendimento |
| Lista de espera do Android | Supabase (EUA) | enquanto a lista servir para o aviso do lançamento no Android, ou até você pedir para sair |
Encerrado o prazo ou a finalidade, os dados são eliminados ou anonimizados, salvo as hipóteses de guarda do artigo 16 da LGPD.
10. Com quem compartilhamos
Compartilhamos o mínimo necessário, e só com fornecedores que tratam os dados para prestar o serviço ao leve (operadores). Eles se comprometem, pelos seus termos de serviço, a proteger os dados com confidencialidade e segurança e a usá-los só para prestar esse serviço. Só usamos fornecedores cujos compromissos dão aos seus dados proteção igual à descrita nesta política.
| Operador (país) | Para quê | O que recebe |
|---|---|---|
| Supabase (EUA; servidores na região us-east-1, Virgínia do Norte) | conta, banco de dados, backup autorizado, estatísticas de uso e lista de espera | dados da conta, a cópia dos registros, as fotos autorizadas (no iPhone, só o conteúdo criptografado e os dados da seção 5.3), os eventos de uso e os e-mails da lista de espera |
| Cloudflare (EUA) | roda o serviço de análise de refeição e protege o site contra robôs | a foto ou o texto da refeição em trânsito, a prova de assinatura, o idioma, o endereço IP e dados da conexão; não guarda o conteúdo da refeição |
| Groq (EUA) | estima alimentos e proteína da refeição | só a foto ou o texto enviado para análise, com retenção zero; não recebe identificador seu, fotos de progresso nem o histórico do Copiloto |
| RevenueCat (EUA) | valida e acompanha a assinatura | o identificador do app na RevenueCat (um código anônimo dela ou, se você tiver conta, o identificador da sua conta), as compras e o estado da assinatura, a resposta a "Como você chegou até o leve?", o código de indicação e, no iPhone, o token de atribuição de anúncios da Apple, sem IDFA; não recebe fotos nem dados de saúde |
| Expo (EUA) | entrega de atualizações do app | o endereço IP, dados técnicos do aparelho e do app (como o sistema e a versão do app) e um código aleatório de instalação criado pelo sistema de atualizações |
| Apple (EUA) | App Store e compras (StoreKit), Entrar com a Apple, atribuição de anúncios da App Store (AdServices), Apple Saúde no seu aparelho, Chaves do iCloud (chave das fotos) e o e-mail do iCloud, que envia o código de acesso e recebe o atendimento | dados da compra e do login com a Apple, o token de atribuição sem IDFA, a chave das fotos (guardada no seu iCloud) e o seu e-mail, quando enviamos o código ou respondemos ao atendimento; o que você autoriza no Apple Saúde fica no seu aparelho |
| Google (EUA) | Entrar com o Google | os dados do login com a sua conta Google |
A Apple e o Google também tratam os dados da compra e do login segundo as políticas deles, como controladores independentes. O Apple Saúde fica no seu iPhone, sob o seu controle: o que o leve grava ali segue as regras da Apple.
Também podemos comunicar dados quando houver ordem judicial ou requisição de autoridade competente. Se o leve for vendido ou reorganizado, avisaremos você antes, e quem assumir o leve fica obrigado a esta política.
11. Transferência internacional
Todos os operadores da seção 10 ficam nos Estados Unidos. O banco de dados do leve, que guarda as contas, as cópias de backup, as fotos autorizadas, as estatísticas de uso e a lista de espera, fica no Supabase, na região us-east-1 (Virgínia do Norte, Estados Unidos). Por isso, quando os seus dados saem do aparelho, eles são transferidos para fora do Brasil:
- Backup e conta (Supabase): só quando você liga o backup ou cria uma conta; ficam até você apagar (seção 9).
- Análise de refeição (Cloudflare e Groq): só quando você pede uma análise; só em trânsito, sem cópia guardada.
- Assinatura (Apple e RevenueCat): enquanto houver assinatura (seção 9).
- Estatísticas de uso (Supabase): até 24 meses.
- Login, e-mail e atualizações do app (Apple, Google e Expo): quando você usa esses recursos.
- Lista de espera (Supabase): enquanto servir para o aviso do lançamento no Android.
Base da transferência. Essas transferências são necessárias para prestar o serviço que você pediu, e por isso se apoiam no artigo 33, IX, combinado com o artigo 7º, V, da LGPD. Os dados de saúde só vão para os Estados Unidos por uma ação sua: ligar o backup ou pedir uma análise de refeição. Quem trata os dados e as medidas de segurança estão nas seções 10 e 13, e os seus direitos, inclusive o de reclamar à ANPD, na seção 12. Você pode pedir mais informações sobre essas transferências pelo contato da seção 18, e respondemos em até 15 dias.
12. Os seus direitos e como exercer
O artigo 18 da LGPD garante a você, a qualquer momento e sem custo:
- Confirmação e acesso: saber se tratamos dados seus e obter cópia deles.
- Correção de dado incompleto, inexato ou desatualizado.
- Anonimização, bloqueio ou eliminação de dado desnecessário, excessivo ou tratado em desconformidade.
- Portabilidade a outro fornecedor, mediante requisição expressa.
- Eliminação dos dados tratados com base no seu consentimento.
- Informação sobre com quem compartilhamos dados.
- Informação sobre a possibilidade de não consentir e as consequências disso (seção 4.2).
- Revogação do consentimento, a qualquer tempo.
- Oposição a tratamento fundado em legítimo interesse.
- Revisão de decisões automatizadas, na forma do artigo 20.
12.1. O que você faz dentro do app
- Ver e corrigir: cada registro é editável na tela em que foi criado.
- Exportar os registros: Perfil › Ajustes › Conta e backup › Exportar ou restaurar arquivo gera um arquivo JSON, sem criptografia, com perfil, aplicações, pesagens, diário, alimentos e exercícios. As fotos de progresso saem uma a uma pela galeria de fotos do leve: toque na foto e depois em "Levar". As fotos de refeição, o histórico do Copiloto e o e-mail não entram no arquivo.
- Apagar tudo, no aparelho e na nuvem: Perfil › Ajustes › Recomeçar do zero apaga os registros, as fotos, o histórico do Copiloto, as preferências do Apple Saúde e o código das estatísticas deste aparelho. Se houver uma conta aberta no app, apaga também a cópia dos registros e as fotos na nuvem, mesmo com o backup pausado, e sai da conta. Faça isso com internet: sem conexão, a cópia na nuvem não é apagada. "Recomeçar do zero" não apaga: a conta em si, a autorização da análise de refeição, a chave das fotos nas Chaves do iCloud, os dados na RevenueCat, o histórico de compras na Apple e as estatísticas já enviadas.
- Apagar a conta: Perfil › Ajustes › Conta e backup › Apagar conta e dados na nuvem apaga as fotos na nuvem, a cópia dos registros e a conta, sai da conta na RevenueCat (o cadastro lá continua; peça a exclusão por e-mail) e depois apaga os dados deste aparelho. Funciona com a conta aberta no app.
- Revogar autorizações: backup em "Pausar backup automático"; análise de refeição em Proteína › Privacidade da IA; Apple Saúde em Perfil › Ajustes › Privacidade e integrações › Apple Saúde e no app Saúde do iPhone; lembretes nos Ajustes do leve ou do iPhone; estatísticas de uso pelo interruptor da seção 8.1, a partir da versão 1.0.4.
12.2. O que você pede por e-mail
Escreva para alvorlabs@icloud.com para: receber a cópia do que guardamos na nuvem sobre a sua conta; apagar uma conta que você não consegue mais abrir no app (por exemplo, a conta sem e-mail num aparelho que não existe mais); apagar o seu cadastro na RevenueCat, inclusive os dados de origem da assinatura; se opor às estatísticas de uso ou à medição de origem das assinaturas; e qualquer outro pedido desta seção. Confirmamos o recebimento e respondemos em até 15 dias. Podemos pedir informações para confirmar que o pedido é mesmo seu. Quando corrigirmos ou apagarmos dados a seu pedido, avisamos os operadores que guardam cópia deles.
12.3. Limites que você precisa conhecer
- Estatísticas de uso: como explicado na seção 8.2, não conseguimos encontrar os eventos de uma pessoa, porque o código do aparelho é aleatório e não se liga a ela. Eles são apagados automaticamente aos 24 meses.
- Chave das fotos: fica nas Chaves do iCloud da sua conta Apple, e o app não a apaga. Sem as fotos na nuvem, ela não abre nada.
- Autorização da análise de refeição: fica no aparelho até você revogá-la.
Se você não ficar satisfeito com a nossa resposta, pode reclamar à Agência Nacional de Proteção de Dados (ANPD) ou aos órgãos de defesa do consumidor.
13. Segurança
- Todo tráfego entre o app, o site e os serviços é criptografado em trânsito (HTTPS/TLS).
- Os dados guardados na nuvem ficam criptografados em repouso pelo provedor, com regras de acesso que só deixam cada conta ler a própria cópia.
- No iPhone, as fotos do backup são criptografadas no aparelho antes do envio (seção 5.3).
- A chave pública que vai dentro do app não abre as cópias de backup: ler ou mudar uma cópia exige a sessão da própria conta. O acesso administrativo usa outra credencial, que não fica no app.
- As chaves secretas dos serviços de terceiros, como a da Groq, ficam no servidor, nunca no app.
- No iPhone, a sessão da conta fica no Chaveiro do aparelho, e o código de recuperação das fotos só aparece depois de Face ID ou do código do iPhone.
Nenhum sistema é infalível. Se você identificar uma falha de segurança, escreva para o contato da seção 18 antes de divulgá-la publicamente, e trataremos o relato com prioridade.
14. Crianças e adolescentes
O leve é destinado a maiores de 18 anos. No cadastro, a data de nascimento só é aceita com 18 anos ou mais; é uma declaração sua. Não coletamos intencionalmente dados de crianças ou adolescentes. Se soubermos que um dado foi fornecido por menor de 18 anos, ele será eliminado. Se você é responsável e acredita que isso ocorreu, escreva para o contato da seção 18.
15. O site do leve
- O site não usa cookies de publicidade, não usa pixels de redes sociais e não faz rastreamento entre sites.
- O site passa pela Cloudflare, que recebe o endereço IP de quem visita, usa um cookie técnico de segurança contra robôs (__cf_bm) e pode rodar no navegador um pequeno código de verificação para distinguir pessoas de robôs. Esse cookie é necessário para proteger o site.
- O clique no botão da App Store é contado com a página e a campanha do link, com um código aleatório que nasce e morre com a página, sem acompanhar você entre visitas.
- Se você chegou por um link de parceiro, o código desse link fica guardado no seu navegador e vale por até 90 dias, para saber de onde veio um pedido de aviso ou um clique. Ele sai quando você apaga os dados do site no navegador.
- O formulário "Avisar no Android" guarda o seu e-mail, a plataforma, a origem (inclusive o código do link de parceiro, se houver) e a página, só para avisar do lançamento.
- A página do cartão para consultórios gera o QR code com um serviço externo (api.qrserver.com), que recebe o endereço de destino e, como qualquer site, o endereço IP de quem abre a página.
- A versão web de demonstração guarda os registros no armazenamento do seu navegador. Se você entrar numa conta por ela, valem as regras de conta e backup desta política, sem a proteção de ponta a ponta das fotos.
16. Incidentes de segurança
Se um incidente de segurança puder causar risco ou dano relevante a você, comunicaremos a ANPD e você em até 3 dias úteis contados de quando soubermos que dados pessoais foram afetados, na forma do artigo 48 da LGPD e do regulamento da ANPD. O aviso vai dizer quais dados foram atingidos, como estavam protegidos, os riscos, o que fizemos para reduzir o problema, a data em que soubemos e como falar conosco. Ele chega pelo e-mail da conta, quando houver, e por aviso neste site. Como a conta do "Guardar na nuvem" não tem e-mail, o aviso no site fica publicado por pelo menos três meses.
17. Mudanças nesta política
Podemos atualizar esta política para refletir mudanças no app ou na lei. A versão vigente fica sempre nesta página, com a data no topo. Se a mudança for relevante, avisaremos antes de ela valer, destacando o que mudou nesta página e, quando tivermos o seu e-mail, também por e-mail. Quando a lei exigir, pediremos o seu consentimento de novo. Você pode pedir as versões anteriores por e-mail.
17.1. O que mudou na versão 5.0
- O controlador e o encarregado passam a ser identificados pelo nome, com endereço.
- A conta é opcional, e "Guardar na nuvem" e o login com Apple, Google ou e-mail estão descritos com o que cada um liga.
- A proteção de ponta a ponta das fotos está descrita como funciona hoje no iPhone, em produção.
- A base legal dos dados de saúde que ficam no aparelho foi corrigida, e o consentimento aparece só onde existe uma ação sua.
- A análise de refeição descreve o pedido de autorização, a Groq e a retenção zero.
- As estatísticas de uso ganharam uma seção própria, com o interruptor da versão 1.0.4, o limite do código aleatório e o prazo de 24 meses.
- "Recomeçar do zero" e "Apagar conta" estão descritos com o que cada um apaga de verdade.
- A transferência para os Estados Unidos está descrita com o país, a região e a base da LGPD.
- Entraram: a gravação no Apple Saúde, o compartilhamento da linha, os lembretes locais, o backup do próprio iPhone, a Expo, a lista de espera do site, o cookie da Cloudflare, o QR code do cartão para consultórios e o prazo de 3 dias úteis para incidentes.
18. Como falar conosco
Privacidade, exercício de direitos e contato com o encarregado: alvorlabs@icloud.com. Carlos Henrique Borges (Alvor Labs), pessoa física residente no Brasil. Endereço: Rua Doutor Guomide, 002.