Política de privacidade

Quem é o responsável pelo tratamento

O Pepvida é operado pela FLUIRE HUB, UNIPESSOAL, LDA, sociedade constituída em Portugal, com sede em Rua de Vila d'Este, Lote 58 1º Esq. F, 4430-569 Vila Nova de Gaia, Portugal, e o número único de matrícula e de pessoa coletiva 518350126, que é a responsável pelo tratamento dos dados dos utilizadores no Espaço Económico Europeu. Para qualquer assunto de privacidade — incluindo o exercício de direitos —, o canal é privacidade@pepvida.app.

Esta política aplica-se ao tratamento que fazemos através da app Pepvida. Está escrita em português simples de propósito: uma política que só um jurista entende não informa ninguém.

Esta é a versão europeia da política: a que se aplica a quem usa o Pepvida no Espaço Económico Europeu, e a que a app mostra em português de Portugal e em espanhol. O site pepvida.app publica, por enquanto, apenas a versão brasileira, escrita segundo a lei brasileira e com outra responsável, a FLUIRE HUB LTDA. Se uma ligação desta política o levar ao site e encontrar lá um texto diferente, é este, o da app, que vale para si.

Base legal: dados de saúde são categoria especial

Tudo o que regista no Pepvida — administrações, compostos, efeitos secundários, peso, sono, altura, sexo biológico, fotos de progresso — é dado de categoria especial na aceção do artigo 9.º, n.º 1, do Regulamento Geral sobre a Proteção de Dados (Regulamento (UE) 2016/679), porque diz respeito à sua saúde.

Para esta categoria o RGPD parte de uma proibição: o tratamento só é lícito se se aplicar uma das exceções do artigo 9.º, n.º 2. A que usamos é o consentimento explícito (artigo 9.º, n.º 2, alínea a)), pedido no primeiro acesso à app, com data e versão registadas. Sem esse aceite, a app não abre — não existe caminho para usar o Pepvida sem ter consentido explicitamente.

O consentimento pode ser retirado a qualquer momento, eliminando a conta na própria app. A retirada faz cessar o tratamento e apaga os registos, como se descreve abaixo, e não compromete a licitude do tratamento efetuado com base no consentimento antes de este ser retirado (artigo 7.º, n.º 3).

A analítica de utilização tem base legal própria e separada: o consentimento do artigo 6.º, n.º 1, alínea a), pedido à parte do consentimento de dados de saúde e recusável sem qualquer consequência — a app funciona igual. Pode ligá-la e desligá-la a qualquer momento em Ajustes › Privacidade, sem eliminar a conta.

A declaração de origem — o código de indicação, ou o registo de que ninguém o indicou — não é dado de saúde e tem também base legal própria: o interesse legítimo do artigo 6.º, n.º 1, alínea f), em saber por onde a captação acontece e em acertar a comissão de quem indica. Pode opor-se a esta utilização (artigo 21.º) pelo canal de privacidade, e a app continua a funcionar igual.

O que é recolhido

Só o que introduz, e o mínimo necessário para a conta funcionar:

• Identificação da conta: e-mail (ou o identificador do início de sessão social que escolher) e a data do aceite do consentimento.
• Registos de protocolo: o composto pelo nome que indicar, frascos e quantidades de stock, administrações com data, hora e local no corpo, o esquema de escalões que transcrever e as observações que escrever.
• Registos de acompanhamento: efeitos secundários com gravidade e data, peso, sono, hidratação, macros e check-ins.
• Dados do corpo para o cálculo de metas: altura, ano de nascimento, sexo biológico, nível de atividade e o objetivo que escolher — só se responder ao questionário de macros. Saltar deixa tudo em branco, e a aplicação continua a funcionar na mesma.
• Fotos: de progresso e de frasco, quando optar por enviá-las.
• Conversas com o assistente educativo: a pergunta enviada e a resposta gerada, para que a conversa continue a fazer sentido.
• De onde veio: o código de indicação que escrever no primeiro acesso — ou o registo de que ninguém o indicou, quando essa for a sua resposta — e a data em que respondeu. Se o código estiver errado, fica guardado apenas quantas tentativas houve, que é o que impede alguém de andar a adivinhar códigos.

A declaração de origem serve para duas coisas, e nenhuma delas mexe no seu acompanhamento: saber por onde o Pepvida chegou até si e, quando o código é de um parceiro nosso, pagar a comissão de quem indicou. Responder “Ninguém me indicou” vale exatamente o mesmo — e quem responde não recebe desconto, oferta nem nenhum outro benefício por isso.

Não recolhemos localização, contactos, agenda, dados de outras apps de saúde sem uma ligação explícita da sua parte, nem qualquer identificador de publicidade.

Além do que escreve, a app envia as marcas técnicas do fluxo de entrada descritas em “Como medimos os primeiros passos na app” — não levam identificador de pessoa nem nada do que tenha registado.

Onde os dados ficam e quem lhes chega

Os registos ficam numa base de dados gerida (Supabase, sobre infraestrutura de nuvem alojada em São Paulo, Brasil), com isolamento por conta aplicado na própria base de dados: cada linha carrega o dono, e a regra de acesso impede que uma conta leia, altere ou apague a linha de outra. Isto não depende de a app se comportar bem — é a base de dados que recusa.

As fotos ficam em armazenamento privado. Não existe endereço público para elas: o acesso é assinado, temporário e ligado à sua conta. Uma foto sua não é alcançável por um link solto.

Os dados circulam cifrados (TLS) e são armazenados cifrados em repouso pelo fornecedor. A sessão fica cifrada no armazenamento seguro do próprio aparelho.

Com quem partilhamos (e com quem não)

O que regista — composto, administração, unidade, local de aplicação, peso, sono, sintoma, foto e texto — nunca entra em ferramenta de analítica, publicidade ou definição de perfis de terceiros. Isto vale igual com as estatísticas de utilização ligadas ou desligadas: ligá-las não abre exceção nenhuma a esta linha. Não vendemos, não alugamos e não cedemos os seus registos para nenhuma finalidade comercial, e não existe publicidade dentro da app.

A app tem analítica de utilização, e ela é opcional e desligada por omissão. Com ela desligada, que é como a app começa, não sai um único evento. Se a ligar, recolhe que ecrãs abriu e que funções usou — nunca o que registou. Um registo de administração conta que houve um registo; não diz o composto, a quantidade, a unidade nem o local de aplicação. Não existe, em nenhum evento, um campo onde caiba texto que tenha escrito. A ressalva honesta é esta: mesmo sem conteúdo nenhum, saber que um aparelho registou uma administração já diz que alguém ali acompanha um tratamento. É por isso que ligar depende de si, que o identificador nasce no seu aparelho e não se liga à sua conta, e que desligar apaga esse identificador de imediato.

Os subcontratantes que tratam dados por nossa conta, e o motivo de cada um:

• Supabase — base de dados, autenticação e armazenamento de ficheiros. É onde os registos vivem.
• Anthropic — modelo de linguagem que responde no assistente educativo e que lê a foto do prato quando digitalizar uma refeição. Do assistente, recebe apenas o texto da conversa que iniciar. Da digitalização, recebe a foto do prato, enviada só para estimar os macros dessa refeição. A foto não é guardada por nós — não vai para a nossa base de dados nem para o armazenamento de ficheiros, e não aparece em registo nenhum nosso. Para nós existe apenas em trânsito — do aparelho, pela nossa função de servidor, até ao modelo — e é descartada assim que os macros regressam; o que fica guardado é o resultado: calorias, proteína, hidratos de carbono, gordura e os itens do prato. No aparelho, a cópia temporária que a câmara ou a galeria cria na pasta de cache da aplicação é apagada pela própria app assim que a fotografia é lida — inclusive quando o envio falha. As fotografias que guardou na galeria continuam suas: a app não lhes toca. Nem o texto nem a foto são usados para treinar modelos. O que acontece com a imagem dentro da Anthropic a partir daí rege-se pelos termos dela, não pelos nossos — não se promete aqui um prazo de eliminação que não nos caiba cumprir. Se não usar o assistente nem a digitalização, nada é enviado.
• Sentry — diagnóstico de falhas da app. Recebe o relato técnico de um erro e nada além dele: tipo do erro, mensagem, rasto da pilha, o ecrã e a operação que falharam, a versão da app e a data. No relato não existe nenhum campo onde caiba o que escreveu ou registou — doses, peso, sintomas, fotos e conversas com o assistente não são enviados. A mensagem e o rasto passam ainda por um filtro que apaga e-mail, identificadores internos e credenciais antes de saírem do aparelho; mesmo assim, uma mensagem de erro é texto técnico, e pode conter um excerto do que a biblioteca devolveu. O relato viaja pela rede, por isso o endereço IP do aparelho é visível a quem o recebe — e a Sentry está configurada para não armazenar esse IP. Os dados ficam na União Europeia (Alemanha).
• PostHog — analítica de utilização da app, só se a tiver ligado. Recebe o nome do ecrã ou da função usada, a versão da app, o sistema operativo e o idioma — e nada além disso. O identificador é um número gerado no seu aparelho, que não existe em nenhuma tabela nossa e não está ligado à sua conta nem ao seu endereço de e-mail; a PostHog está configurada para não criar perfil de pessoa e para não guardar o endereço IP. Os dados ficam na União Europeia. Desligar em Ajustes › Privacidade apaga esse identificador e interrompe a recolha de imediato.
• Cloudflare — alojamento do site pepvida.app e medição da audiência do site. A app não passa por aqui. Como qualquer servidor que entrega uma página, recebe o pedido, o endereço IP e o navegador de quem visita. Do que é MEDIDO, porém, nada fica gravado no seu aparelho — sem cookie, sem armazenamento local, sem identificador de visitante —, e é por isso que este site não mostra pedido de consentimento de cookie. O que fica guardado é um contador por dia, página, ação (abrir uma pergunta, usar o conversor, ir à App Store), origem do clique, país e tipo de aparelho: sem IP, sem navegador, sem identificador e sem hora, de modo que nenhuma linha corresponde a uma pessoa. Não existe interruptor porque não existe nada seu para desligar. Nada disto toca o que regista na app — o site não alcança a sua conta. O contador fica na União Europeia.
• Apple e Google — distribuição da app e processamento de pagamento, caso haja subscrição. Não recebem os seus registos de saúde.

Parte destes subcontratantes trata dados fora do Espaço Económico Europeu. A base de dados do Pepvida está alojada no Brasil (São Paulo), e essa transferência assenta nas cláusulas contratuais-tipo aprovadas pela Comissão Europeia — as garantias adequadas do artigo 46.º, n.º 2, alínea c), do RGPD. A Sentry trata os dados dentro da União Europeia, pelo que aí não há transferência. Para os subcontratantes sediados nos Estados Unidos, a transferência assenta na decisão de adequação aplicável ou, na sua falta, nas cláusulas contratuais-tipo aprovadas pela Comissão Europeia.

Como medimos os primeiros passos na app

Para saber em que ponto as pessoas param antes de começarem a usar o Pepvida, a app envia para o nosso próprio servidor uma marca em cada passo da entrada: abrir a app, cada ecrã do primeiro acesso, entrar na conta, o consentimento, ver a oferta de subscrição e subscrever.

Com a marca segue um número aleatório que só existe durante aquela utilização da app — nasce quando a app abre e é descartado quando a app fecha —, mais o sistema, a versão da app e o canal de distribuição. Nada mais do que isto.

O nosso servidor não guarda nem regista o endereço IP, não existe identificador que sobreviva ao fecho da app e nada disto se liga à sua conta, ao seu endereço de e-mail ou aos seus registos de saúde. A marca diz que alguém chegou àquele passo, e mais nada.

Uma ressalva honesta: os registos técnicos da infraestrutura que aloja esse servidor podem conter o IP do pedido durante um período curto, e esse prazo está a ser confirmado junto do fornecedor. Esses registos também não se ligam à sua conta nem aos seus registos de saúde.

Esta medição é independente do interruptor de estatísticas de utilização: continua a acontecer mesmo com ele desligado. A razão é simples — o pedido de estatísticas é um dos últimos passos da entrada, por isso medir só quem aceitou mostraria apenas o percurso de quem ficou, que é justamente quem não desistiu. Sem esta marca, não seria possível saber onde as pessoas desistem.

As marcas em bruto são apagadas ao fim de 90 dias. O que fica é só a contagem por dia — quantas vezes aconteceu cada passo —, sem nada que aponte para uma pessoa.

Durante quanto tempo guardamos

Enquanto a conta existir. Os registos são o histórico que criou — apagá-los por iniciativa nossa seria justamente o problema que o Pepvida se propõe resolver.

Quando a conta é eliminada, os registos e as fotos são apagados. Podem permanecer, por prazo limitado, apenas: (a) cópias de segurança operacionais, sobrescritas no ciclo normal de retenção do fornecedor, no prazo de 30 dias; e (b) registos que a lei obrigue a conservar, como comprovativos fiscais de uma subscrição, pelo prazo legal — e esses não contêm dados de saúde.

Os eventos de analítica de utilização, quando a tiver ligado, ficam na PostHog enquanto o nosso plano os retiver — hoje, um ano. Não guardamos analítica para além disso e podemos pedir a sua eliminação a qualquer momento. Desligar a analítica apaga o identificador do aparelho, quebrando a ligação com o que foi recolhido antes.

Os seus direitos, e onde exercê-los

O RGPD garante-lhe o direito de aceder aos seus dados (artigo 15.º), de os retificar (artigo 16.º), de os apagar (artigo 17.º), de limitar o tratamento (artigo 18.º), de os receber num formato portável (artigo 20.º), de se opor ao tratamento (artigo 21.º) e de não ficar sujeito a decisões automatizadas com efeitos significativos (artigo 22.º) — o Pepvida não toma nenhuma. Dois desses direitos ficam a um toque de distância, sem ser preciso falar com ninguém:

• Exportar — em Perfil › Privacidade (RGPD) › Exportar os meus dados. Recebe o que registou num formato legível.
• Eliminar a conta — em Perfil › Privacidade (RGPD) › Eliminar a minha conta. O caminho completo está em eliminação de conta.

Para os restantes direitos, escreva para privacidade@pepvida.app. Respondemos no prazo de um mês a contar da receção do pedido (artigo 12.º, n.º 3). Se considerar que o tratamento dos seus dados viola o RGPD, tem o direito de apresentar reclamação a uma autoridade de controlo (artigo 77.º). Como a responsável está estabelecida em Portugal, a autoridade competente é a Comissão Nacional de Proteção de Dados (CNPD), em www.cnpd.pt — mas pode sempre reclamar à autoridade do Estado-Membro onde reside, onde trabalha ou onde ocorreu a alegada violação.

Menores de idade

O Pepvida está classificado para maiores de 17 anos e não se destina a menores. Não recolhemos conscientemente dados de crianças ou adolescentes. Se identificarmos uma conta nessa situação, é eliminada.

Alterações a esta política

Se algo material mudar — nova finalidade, novo subcontratante, mudança de base legal —, avisamos na app antes de a alteração produzir efeitos, e voltamos a pedir consentimento quando a lei o exigir. A data de atualização no topo é sempre a da última revisão.