Política de privacidade

Quem é o controlador

O Pepvida é operado por FLUIRE HUB LTDA, controladora dos dados tratados no aplicativo, com sede em Av. Luiz Antônio Rocha e Silva, 90, Jardim Europa, Uberlândia — MG, Brasil, e inscrita no CNPJ sob o n.º 68.096.547/0001-76. Para qualquer assunto de privacidade — inclusive exercício de direitos —, o canal é privacidade@pepvida.app.

Esta política vale para o aplicativo Pepvida e para o site pepvida.app. Ela é escrita em português simples de propósito: uma política que só um advogado entende não informa ninguém.

Esta é a versão brasileira da política, escrita segundo a LGPD, e é a que o site pepvida.app publica. Quem usa o Pepvida no Espaço Econômico Europeu tem outra responsável, a FLUIRE HUB, UNIPESSOAL, LDA, constituída em Portugal, e uma versão própria deste texto, escrita segundo o RGPD, que o aplicativo mostra em português de Portugal e em espanhol. Para essas pessoas, é essa versão que vale — não esta.

Base legal: dado de saúde é dado sensível

Tudo o que você registra no Pepvida — aplicações, compostos, efeitos colaterais, peso, sono, altura, sexo biológico, fotos de progresso — é dado pessoal sensível na definição do art. 11 da Lei Geral de Proteção de Dados (Lei 13.709/2018), porque diz respeito à sua saúde.

Para dado sensível a LGPD não aceita “interesse legítimo”. A base legal que usamos é o consentimento específico e destacado (art. 11, I), pedido no primeiro acesso ao app, com data e versão registradas. Sem esse aceite, o app não abre — não existe caminho para usar o Pepvida sem que você tenha consentido explicitamente.

Você pode revogar o consentimento a qualquer momento excluindo a conta pelo próprio app. A revogação encerra o tratamento e apaga os registros, como descrito abaixo.

O analytics de uso tem base legal própria e separada: o consentimento do art. 7º, I, da LGPD, pedido à parte do consentimento de dado sensível e recusável sem nenhuma consequência — o app funciona igual. Você liga e desliga quando quiser em Ajustes › Privacidade, sem excluir a conta.

A declaração de origem — o código de indicação, ou o registro de que ninguém indicou — não é dado de saúde e também tem base legal própria: o legítimo interesse do art. 7º, IX, da LGPD, em saber por onde a captação acontece e em acertar a comissão de quem indica. Você pode se opor a esse uso pelo canal de privacidade, e o app continua funcionando igual.

O que é coletado

Só o que você digita, e o mínimo necessário para a conta funcionar:

• Identificação da conta: e-mail (ou o identificador do login social que você escolher) e a data do aceite de consentimento.
• Registros de protocolo: composto pelo nome que você informar, frascos e quantidades de estoque, aplicações com data, hora e local no corpo, esquema de degraus que você transcrever e observações que você escrever.
• Registros de acompanhamento: efeitos colaterais com intensidade e data, peso, sono, hidratação, macros e check-ins.
• Dados do corpo para o cálculo de metas: altura, ano de nascimento, sexo biológico, nível de atividade e o objetivo que você escolher — só se você responder ao questionário de macros. Pular deixa tudo em branco, e o app continua funcionando igual.
• Fotos: de progresso e de frasco, quando você optar por enviá-las.
• Conversas com o assistente educacional: a pergunta enviada e a resposta gerada, para que a conversa continue fazendo sentido.
• De onde você veio: o código de indicação que você escrever no primeiro acesso — ou o registro de que ninguém indicou, quando essa for a sua resposta — e a data em que você respondeu. Se o código estiver errado, fica guardado só quantas tentativas houve, que é o que impede alguém de ficar adivinhando códigos.

A declaração de origem serve para duas coisas, e nenhuma delas mexe no seu acompanhamento: saber por onde o Pepvida chegou até você e, quando o código é de um parceiro nosso, pagar a comissão de quem indicou. Responder “Ninguém me indicou” vale exatamente o mesmo — e quem responde não recebe desconto, brinde nem nenhum outro benefício por isso.

Não coletamos localização, contatos, agenda, dados de outros aplicativos de saúde sem que você conecte explicitamente, nem qualquer identificador de publicidade.

Além do que você digita, o app envia as marcas técnicas do fluxo de entrada descritas em “Como medimos os primeiros passos no app” — elas não levam identificador de pessoa nem nada que você tenha registrado.

Onde os dados ficam e quem alcança

Os registros ficam em banco de dados gerenciado (Supabase, sobre infraestrutura de nuvem), com isolamento por conta aplicado no próprio banco: cada linha carrega o dono, e a regra de acesso impede que uma conta leia, altere ou apague a linha de outra. Isso não depende de o aplicativo se comportar bem — é o banco que recusa.

Fotos ficam em armazenamento privado. Não existe endereço público para elas: o acesso é assinado, temporário e vinculado à sua conta. Uma foto sua não é alcançável por link solto.

Os dados trafegam cifrados (TLS) e são armazenados cifrados em repouso pelo provedor. A sessão fica cifrada no armazenamento seguro do próprio aparelho.

Com quem compartilhamos (e com quem não)

O que você registra — composto, dose, unidade, local de aplicação, peso, sono, sintoma, foto e texto — nunca entra em ferramenta de analytics, publicidade ou perfilamento de terceiro. Isso vale igual com as estatísticas de uso ligadas ou desligadas: ligá-las não abre exceção nenhuma a esta linha. Não vendemos, não alugamos e não cedemos seus registros para nenhuma finalidade comercial, e não existe publicidade dentro do app.

O app tem analytics de uso, e ele é opcional e desligado por padrão. Com ele desligado, que é como o app começa, não sai um único evento. Se você ligar, ele registra que telas você abriu e que funções usou — nunca o que você registrou. Um registro de dose conta que houve um registro; não diz o composto, a quantidade, a unidade nem o local de aplicação. Não existe, em nenhum evento, um campo onde caiba texto que você escreveu. A ressalva honesta é esta: mesmo sem conteúdo nenhum, saber que um aparelho registrou uma dose já diz que alguém ali acompanha um tratamento. É por isso que ligar depende de você, que o identificador nasce no seu aparelho e não se liga à sua conta, e que desligar apaga esse identificador na hora.

Os operadores que tratam dados por nossa conta, e o motivo de cada um:

• Supabase — banco de dados, autenticação e armazenamento de arquivos. É onde os registros vivem.
• Anthropic — modelo de linguagem que responde o assistente educacional e que lê a foto do prato quando você digitaliza uma refeição. Do assistente, recebe apenas o texto da conversa que você iniciar. Da digitalização, recebe a foto do prato, enviada só para estimar os macros daquela refeição. A foto não é guardada por nós — não vai para o nosso banco de dados nem para o armazenamento de arquivos, e não aparece em nenhum registro nosso. Para nós ela existe apenas em trânsito — do seu aparelho, pela nossa função de servidor, até o modelo — e é descartada assim que os macros voltam; o que fica salvo é o resultado: calorias, proteína, carboidrato, gordura e os itens do prato. No seu aparelho a cópia temporária que a câmera ou a galeria cria na pasta de cache do aplicativo é apagada pelo próprio app assim que a foto é lida — inclusive quando o envio falha. Fotos que você mesmo guardou na galeria continuam suas: o app não mexe nelas. Nem o texto nem a foto são usados para treinar modelo. O que acontece com a imagem dentro da Anthropic a partir daí é regido pelos termos dela, não pelos nossos — não prometemos aqui um prazo de descarte que não seja nosso para cumprir. Se você não usar o assistente nem a digitalização, nada é enviado.
• Sentry — diagnóstico de falhas do aplicativo. Recebe o relato técnico de um erro e nada além dele: tipo do erro, mensagem, rastro de pilha, a tela e a operação que falharam, a versão do app e a data. No relato não existe nenhum campo onde caiba o que você escreveu ou registrou — doses, peso, sintomas, fotos e conversas com o assistente não são enviados. Mensagem e rastro ainda passam por um filtro que apaga e-mail, identificadores internos e credenciais antes de sair do aparelho; mesmo assim, mensagem de erro é texto técnico, e pode conter um trecho do que a biblioteca devolveu. O relato viaja pela rede, então o endereço de IP do aparelho é visível a quem o recebe — e a Sentry está configurada para não armazenar esse IP. Os dados ficam na União Europeia (Alemanha).
• PostHog — analytics de uso do app, só se você tiver ligado. Recebe o nome da tela ou da função usada, a versão do app, o sistema operacional e o idioma — e nada além disso. O identificador é um número gerado no seu aparelho, que não existe em nenhuma tabela nossa e não está ligado à sua conta nem ao seu e-mail; o PostHog está configurado para não criar perfil de pessoa e para não guardar o endereço IP. Os dados ficam na União Europeia. Desligar em Ajustes › Privacidade apaga esse identificador e interrompe a coleta na hora.
• Cloudflare — hospedagem do site pepvida.app e medição da audiência do site. O app não passa por aqui. Como todo servidor que entrega uma página, recebe o pedido, o endereço de IP e o navegador de quem visita. Do que é MEDIDO, porém, nada fica gravado no seu aparelho — sem cookie, sem armazenamento local, sem identificador de visitante —, e é por isso que este site não exibe pedido de consentimento de cookie. O que fica guardado é um contador por dia, página, ação (abrir uma pergunta, usar o conversor, ir para a App Store), origem do clique, país e tipo de aparelho: sem IP, sem navegador, sem identificador e sem hora, de modo que nenhuma linha corresponde a uma pessoa. Não existe interruptor porque não existe nada seu para desligar. Nada disto toca o que você registra no app — o site não alcança a sua conta. O contador fica na União Europeia.
• Apple e Google — distribuição do app e processamento de pagamento, se houver assinatura. Eles não recebem seus registros de saúde.

Parte desses operadores processa dados fora do Brasil. A transferência internacional acontece sob cláusulas contratuais que exigem nível de proteção compatível com a LGPD.

Como medimos os primeiros passos no app

Para saber em que ponto as pessoas param antes de começar a usar o Pepvida, o app envia para o nosso próprio servidor uma marca a cada passo da entrada: abrir o app, cada tela do primeiro acesso, entrar na conta, o consentimento, ver a oferta de assinatura e assinar.

Junto com a marca vai um número aleatório que existe só durante aquele uso do app — nasce quando o app abre e é descartado quando o app fecha —, mais o sistema, a versão do app e o canal de distribuição. Nada além disso.

O nosso servidor não guarda nem registra o endereço de IP, não existe identificador que sobreviva ao fechamento do app e nada disso se liga à sua conta, ao seu e-mail ou aos seus registros de saúde. A marca diz que alguém chegou àquele passo, e só.

Uma ressalva honesta: os registros técnicos da infraestrutura que hospeda esse servidor podem conter o IP do pedido por um período curto, e esse prazo está sendo confirmado com o fornecedor. Esses registros também não se ligam à sua conta nem aos seus registros de saúde.

Esta medição é independente do interruptor de estatísticas de uso: ela continua acontecendo mesmo com ele desligado. O motivo é simples — o pedido de estatísticas é um dos últimos passos da entrada, então medir só quem aceitou mostraria apenas o caminho de quem ficou, que é justamente quem não desistiu. Sem esta marca, não daria para saber onde as pessoas desistem.

As marcas em bruto são apagadas depois de 90 dias. O que fica é só a contagem por dia — quantas vezes cada passo aconteceu —, sem nada que aponte para uma pessoa.

Por quanto tempo guardamos

Enquanto sua conta existir. Os registros são o histórico que você criou — apagá-los por conta própria seria justamente o problema que o Pepvida se propõe a resolver.

Quando você exclui a conta, os registros e as fotos são apagados. Podem permanecer, por prazo limitado, apenas: (a) cópias em backup operacional, sobrescritas no ciclo normal de retenção do provedor, em até 30 dias; e (b) registros que a lei obrigue a manter, como comprovantes fiscais de uma assinatura, pelo prazo legal — e esses não contêm dado de saúde.

Os eventos de analytics de uso, quando você o tiver ligado, ficam no PostHog enquanto o nosso plano os retiver — hoje, um ano. Não guardamos analytics além disso e podemos pedir a exclusão a qualquer momento. Desligar o analytics apaga o identificador do aparelho, quebrando o vínculo com o que foi coletado antes.

Seus direitos, e onde exercer

A LGPD (art. 18) garante confirmação de tratamento, acesso, correção, portabilidade, eliminação, informação sobre compartilhamento e revogação do consentimento. Dois deles ficam a um toque de distância, sem precisar falar com ninguém:

• Exportar — em Você › Privacidade › Exportar meus dados. Você recebe o que registrou em formato legível.
• Excluir a conta — em Você › Privacidade › Excluir conta. O caminho completo está em exclusão de conta.

Para os demais direitos, escreva para privacidade@pepvida.app. Respondemos em até 15 dias.

Menores de idade

O Pepvida é classificado para maiores de 17 anos e não se destina a menores. Não coletamos conscientemente dados de crianças ou adolescentes. Se identificarmos uma conta nessa situação, ela é excluída.

Mudanças nesta política

Se algo material mudar — nova finalidade, novo operador, mudança de base legal —, avisamos no app antes de a mudança valer, e pedimos consentimento de novo quando a lei exigir. A data de atualização no topo é sempre a da última revisão.