Política de Privacidade

• Conta (apenas se você fizer login): seu e-mail, nome e identificador da conta Google ou Apple.
• Dados de nutrição e saúde que você registra: alimentos, refeições e refeições salvas, registros diários (calorias e macros), peso e % de gordura, e suas metas — e, se você usar o card “Corpo” do Progresso, medidas corporais e fotos de progresso, que ficam só no seu aparelho: nunca vão para os nossos servidores, para o backup da sua conta, para a IA nem para as estatísticas.
• Preferências: idioma, tema e configurações de lembrete, guardadas no aparelho.
• Diagnóstico e uso: eventos de uso pseudônimos e relatórios de falha, ligados a um identificador aleatório de instalação — sem seu nome, e-mail ou os alimentos que você registra. Se você fizer login, esse identificador fica registrado junto da sua conta (veja Notificações), e os eventos de uso podem ser associados a ela. Você pode desligar em Ajustes → Privacidade.
• Health Connect (Android, opcional): as pesagens que você importa de outros apps e, se você ligar “Mostrar atividade”, os passos e as calorias ativas do dia, guardados só no seu aparelho e só se você escolher somar a atividade à meta — veja a seção Health Connect.
• App Saúde (iPhone, opcional): as pesagens que você importa de outros apps e, se você ligar “Mostrar atividade”, os passos e as calorias ativas do dia, guardados só no seu aparelho e só se você escolher somar a atividade à meta — veja a seção Apple Health.
• Recursos de IA (opcional, só se você ativar, no app ou no site da sua conta): o que você envia a um recurso de IA e as respostas são processados e não ficam guardados no nosso banco de dados, salvo uma resposta que você denunciar e escolher incluir; guardamos dados de uso (ligados ao identificador de instalação, no app, ou à sua conta, no site) e o registro do seu consentimento — veja a seção Recursos de IA.
• Anúncios (plano grátis): os dados técnicos que cada pedido de anúncio leva ao Google AdMob, como endereço IP, informações do aparelho e do app e as interações com o anúncio — nunca seus dados de alimentação ou saúde. Veja a seção Anúncios.
• Assinatura (opcional, Android): o status da sua assinatura do Nutriva Pro e os dados da compra no Google Play, processados pela RevenueCat e ligados ao identificador de instalação. Veja a seção Assinatura.

Para manter o app estável e melhorá-lo, o Nutriva registra eventos de uso pseudônimos (ex.: "registro adicionado") e relatórios de falha. Esses dados vão para dois destinos:

• O servidor do próprio Nutriva (nutrivaapp.com; versões antigas do app ainda usam nutriva.oliviobecker.dev), operado por nós.
• Google Firebase — Analytics e Crashlytics —, que processa esses dados em nosso nome.

Os eventos são ligados a um identificador aleatório de instalação. Se você nunca fizer login, esse identificador não fica ligado a nenhuma conta; se fizer, ele fica registrado junto da sua conta para os avisos do Nutriva (veja Notificações) — mesmo depois de você sair da conta, até excluí-la —, e aí os eventos podem ser associados a ela. Eles não incluem seu nome, seu e-mail, o texto que você digita nem os alimentos que você registra: de uma busca sem resultado guardamos apenas o tamanho do texto, nunca o texto. Os relatórios de falha trazem o stack trace, o modelo do aparelho e a versão do sistema e do app — nunca seu diário.

O evento de abertura leva também o país do seu aparelho — a região configurada no sistema, no nível de país, nunca a sua localização —, porque precisamos saber se o app funciona bem em cada mercado onde está no ar. E uma única vez, logo depois de instalar, registramos de qual campanha veio a instalação, quando veio de alguma: só o nome da origem, do meio e da campanha, sem nenhum identificador de clique.

Não guardamos seu endereço IP junto desses dados: ele é usado apenas no momento do envio, para conter abuso, e não é gravado no nosso banco. Eventos com mais de 13 meses são apagados automaticamente. Fazemos isso porque temos interesse legítimo em manter o app funcionando bem — e por isso você pode se opor a qualquer momento: o botão em Ajustes → Privacidade desliga de uma vez o servidor do Nutriva e o Firebase, e apaga o que ainda não tinha sido enviado.

O Nutriva tem recursos opcionais de inteligência artificial (IA): registrar uma refeição descrevendo-a por texto, por voz ou por foto; editar uma refeição com uma frase; o coach do dia, a sugestão da próxima refeição e a revisão da semana; padrões e análises de nutrientes; alternativas de alimentos; Pergunte ao Nutriva; e cardápios, trocas de refeição e receitas. Alguns deles também podem ser oferecidos no site da sua conta (veja No site da sua conta, abaixo). Eles ficam desligados até você ativá-los, e só depois de você ler e aceitar um aviso de consentimento no app — ou, para os do site, no próprio site. No app, seu diário continua no seu aparelho; no site, a IA lê a cópia de backup que o app sincronizou com a sua conta. O registro manual funciona sem eles. Esses recursos precisam de internet e podem não estar disponíveis em todos os aparelhos ou países.

O que é enviado. Só o que um recurso de IA precisa, e só quando você o usa:

• Registro por texto ou voz: o texto que você digitou ou ditou.
• Registro por foto: a foto que você tirou ou escolheu, reduzida no aparelho, e a frase curta opcional que você escrever ou ditar junto com ela. Nosso servidor remove os metadados da foto — como a localização — antes de repassá-la. Na leitura da tabela nutricional, a foto da tabela de uma embalagem, reduzida e tratada da mesma forma, só para preencher o cadastro do alimento.
• Edição de refeição: o que você pediu e os itens daquela refeição (nome, quantidade e unidade).
• Coach, próxima refeição, revisão da semana, padrões, nutrientes e Pergunte ao Nutriva: números resumidos do seu diário (totais e médias de calorias, macros e fibras, também por refeição, e de sódio, de hoje e de até 8 semanas anteriores), os nomes das suas refeições, os alimentos que você registrou hoje (nome, quantidade e valores nutricionais) e os nomes dos que você mais registra, suas metas de calorias e macros e o seu objetivo (perder, manter ou ganhar peso); na próxima refeição, também alimentos candidatos tirados dos que você registra ou marcou como favoritos, com seus valores nutricionais; nas perguntas, também a sua preferência de unidades (métricas ou imperiais), o texto da pergunta e o das anteriores na mesma conversa.
• Alternativas de alimentos: o alimento que você está vendo, uma lista de alimentos parecidos da base do app e o que você digitou.
• Cardápios, trocas e receitas: uma lista dos alimentos que você costuma registrar ou marcou como favoritos, com seus valores nutricionais, sua dieta e suas exclusões (por exemplo, vegetariana ou sem glúten, que podem revelar convicções ou condições de saúde) e o que você digitou.

Cada pedido leva também o seu idioma, o país do aparelho, o nome da refeição e a hora do dia, quando o recurso usa esses dados. Não enviamos seu nome, e-mail, peso, idade, sexo, altura nem o seu diário completo.

No site da sua conta. Em account.nutrivaapp.com, o site da sua conta pode oferecer a revisão da semana, os padrões, os nutrientes e o Pergunte ao Nutriva — só esses: no site não há registro por texto, voz ou foto, edição de refeições, coach, próxima refeição, alternativas, cardápios nem receitas, e o site nunca grava nada no seu diário. Eles só existem para quem ligou o backup com login no app, porque, no site, o pedido é montado no servidor do Nutriva a partir da cópia de backup que o app sincronizou com a sua conta. Ficam desligados até você ler e aceitar o aviso de consentimento do site, em Minha conta → Assistente, confirmando que tem 18 anos ou mais. Essa escolha é separada da do app: ativar ou desativar a IA no site não muda o app, e vice-versa.

O que vai para a OpenAI, no site: números resumidos do seu diário — totais e médias diárias de calorias, macros (proteínas, carboidratos e gorduras) e fibras, também por refeição — da semana escolhida e da anterior a ela (revisão da semana), dos últimos 28 a 56 dias (padrões e nutrientes) ou dos últimos 7 a 28 dias (Pergunte ao Nutriva); os nomes das suas refeições e dos alimentos que você mais registra; suas metas de calorias e macros e o seu objetivo (perder, manter ou ganhar peso); e, no Pergunte ao Nutriva, também os alimentos que você registrou hoje (nome e quantidade), a hora local, a sua preferência de unidades (métricas ou imperiais), a pergunta e as perguntas e respostas anteriores da mesma conversa. Cada pedido leva também o seu idioma e o seu país — o do idioma configurado no navegador ou, se ele não indicar um, o da sua conexão à internet, informado pelo Cloudflare, a rede que entrega os nossos sites. O site informa ao nosso servidor o fuso horário do navegador, que usamos para calcular o seu dia e as suas semanas e para aplicar os limites de uso. No site, não enviamos seu nome, e-mail, peso, idade, sexo, altura, dados de sódio nem o seu diário completo. O uso da IA no site fica ligado à sua conta, e não a um identificador de aparelho: a OpenAI recebe só um código derivado do identificador interno da sua conta, que não permite chegar a ele, usado para detectar abuso. Os resultados e a conversa ficam só na aba do navegador — somem quando você a fecha, recarrega a página ou sai da conta —, e nada disso é salvo no armazenamento do navegador.

Para quem vai. Tudo passa primeiro pelo servidor do Nutriva, que confere o seu consentimento e os limites de uso e repassa o pedido à OpenAI, nos Estados Unidos, que processa os dados como operadora (prestadora de serviço) a serviço do Nutriva, seguindo nossas instruções. Nem o app nem o site falam diretamente com a OpenAI. A OpenAI não recebe o seu identificador de instalação: recebe só um código derivado dele, que não permite chegar ao identificador, usado para detectar abuso. Pelos termos da API da OpenAI, esses dados não são usados para treinar os modelos dela. Para usar a IA, o app registra o aparelho no nosso servidor com o mesmo identificador aleatório de instalação e o fuso horário do aparelho, que usamos para aplicar os limites de uso e conter abuso.

O que guardamos e por quanto tempo. O Nutriva não guarda no seu banco de dados o que você envia à IA nem as respostas: fotos, textos e números são processados só na memória, durante o pedido (e por alguns minutos, apenas para responder a uma nova tentativa automática do mesmo pedido). Guardamos só dados de uso, ligados ao identificador aleatório de instalação — ou, no site, à sua conta: qual recurso foi usado, quando, o resultado, a plataforma e a versão do app (no site, “web” e a versão do site), o país, o modelo, a quantidade de texto processada (tokens) e o custo. Esses registros são apagados automaticamente após 13 meses. Guardamos também o registro do seu consentimento — a versão do aviso que você aceitou, quando ativou e quando desativou a IA — como prova da sua escolha. Se você avaliar ou denunciar uma resposta, guardamos a avaliação e o motivo por 90 dias e, se você marcar a opção de incluir a resposta, também o texto dela — nunca o que você digitou. Os dados de uso da IA do site, o registro do consentimento dado no site e as avaliações e denúncias feitas nele entram na exportação dos seus dados (o arquivo JSON, em Minha conta → Dados e privacidade) e são apagados na hora se você excluir a conta; se um pedido ainda estiver em andamento nesse momento, o registro dele é apagado em algumas horas. No app, alguns resultados (como o coach do dia, a revisão da semana, os cardápios e as receitas) ficam guardados no seu aparelho; no site, nenhum resultado fica guardado.

A OpenAI não guarda os pedidos para uso posterior pelo Nutriva (nós desligamos esse armazenamento), mas pode manter os dados de cada pedido por até 30 dias para monitorar abuso e depois os apaga, salvo se a lei exigir que os mantenha.

Base legal e transferência internacional. Tratamos esses dados com base no seu consentimento, dado no app — ou, para os recursos do site, no site — antes do primeiro uso. Como o seu diário é informação de saúde — um dado pessoal sensível —, esse consentimento é específico e destacado (LGPD, art. 11, I; no Canadá, consentimento expresso, como a PIPEDA exige para informações sensíveis). Ao ativar a IA, você também consente com a transferência desses dados para os Estados Unidos, onde a OpenAI os processa (LGPD, art. 33, VIII). Registramos a versão do aviso aceita e a data, e, se o aviso mudar de forma relevante, pedimos o seu consentimento de novo.

Voz. Quando você dita, quem transforma a fala em texto é o serviço de reconhecimento de voz do seu aparelho (em geral o do Google, no Android, ou o da Apple, no iPhone), que pode processar o áudio nos servidores dessas empresas, sob os termos delas. O Nutriva não recebe nem guarda o áudio — só o texto resultante.

Verificação do aparelho. Para conter abuso, podemos exigir que o app e o aparelho passem por uma verificação de integridade antes de usar a IA. No Android, é a verificação de integridade do Google Play (Play Integrity): o app pede um atestado ao Google Play e o nosso servidor o confere junto ao Google. No iPhone, é o App Attest da Apple: o app pede à Apple que certifique o app e o aparelho, e o nosso servidor confere esse certificado por conta própria, sem contatar a Apple. Nos nossos registros fica só o resultado (aprovado, ou o motivo da recusa), a plataforma e a versão do app — nem o identificador de instalação nem o atestado. Aparelhos que não passam nessa verificação podem ficar sem os recursos de IA; o resto do app continua funcionando. O site da sua conta não tem essa verificação, que é só do app: ali, o acesso à IA depende do login na sua conta.

Só para adultos. Os recursos de IA são destinados a maiores de 18 anos: você confirma isso ao ativá-los, e o app e o site da sua conta os escondem se a idade do seu perfil for menor que 18 (no site, a do perfil sincronizado).

Não é aconselhamento médico. As respostas da IA são estimativas geradas automaticamente e podem errar. No app, nada entra no seu diário sem você revisar e confirmar; no site, a IA só mostra resultados e nunca altera o seu diário. Veja também os Termos de Uso.

Estatísticas de uso. Os eventos de uso da IA (por exemplo, se um pedido deu certo) seguem as regras de Diagnóstico acima e nunca incluem o que você enviou nem a resposta. O site da sua conta não envia eventos de uso.

Como desativar. Você pode desativar os recursos de IA a qualquer momento: no app, em Ajustes → Recursos de IA; no site da sua conta, em Minha conta → Assistente → Desativar recursos de IA. Uma escolha não muda a outra: desativar no site não desativa no app, e vice-versa. A partir daí, nada mais vai para a IA por ali; o que já foi processado segue os prazos acima. Desativar a IA não afeta o resto do app nem do site. Para pedir que apaguemos antes os dados de uso da IA ligados ao seu aparelho ou à sua conta, fale conosco.

O plano grátis do Nutriva pode mostrar anúncios. Quem os serve é o Google AdMob, e eles são sempre não personalizados: não são escolhidos com base no seu perfil, nos seus interesses ou no que você faz em outros apps e sites.

• Sem identificador de publicidade: o app não lê o identificador de publicidade do aparelho e, no iPhone, não pede permissão para rastrear você entre apps e sites.
• Seus dados de alimentação e saúde nunca vão para os anúncios: nenhum pedido de anúncio leva alimentos, refeições, peso, metas, o que você digita ou o nome da tela em que você está.
• O que o AdMob recebe: como em qualquer anúncio em app, cada pedido leva o endereço IP (que o Google usa para estimar uma localização aproximada), informações do aparelho e do app, o identificador de conjunto de apps (app set ID) no Android e as interações com o anúncio, como exibições e toques. O Google usa esses dados para exibir o anúncio, limitar quantas vezes ele aparece, medir o desempenho e prevenir fraudes; veja como o Google usa dados de apps parceiros. O Firebase do Nutriva não é ligado ao AdMob nem ao Google Ads.
• Quando não aparecem: nunca durante o registro de refeições nem nas boas-vindas, e não nos primeiros dias depois da instalação. Quem informa no perfil ter menos de 18 anos e quem assina o Nutriva Pro não vê anúncios; nesses casos, o app nem inicia o sistema de anúncios.
• Estatísticas: as estatísticas de uso do Nutriva registram só onde um anúncio apareceu, o formato e se ele carregou, nunca o conteúdo do anúncio.

O Nutriva Pro é uma assinatura opcional que remove todos os anúncios e aumenta os limites dos recursos de IA. O que já era grátis continua grátis. Por enquanto, a assinatura é vendida só no Android, pelo Google Play.

• Pagamento: a compra é feita e cobrada pelo Google Play, com a forma de pagamento da sua conta Google. O Nutriva nunca vê os dados do seu cartão.
• RevenueCat: usamos a RevenueCat (Estados Unidos), em nosso nome, para validar a compra com o Google Play e saber se a assinatura está ativa. Ela recebe o identificador aleatório de instalação do app, usado como identificador da compra, os dados da compra que o Google Play informa (produto, datas, status da assinatura e identificadores da transação) e as informações técnicas do app e do aparelho necessárias para isso.
• No nosso servidor: guardamos o plano, o início e o fim do período e o identificador da transação na loja, ligados ao identificador de instalação, para liberar o Pro. Quando o Pro vem de uma oferta, sem compra, guardamos da mesma forma o plano e as datas do benefício.
• Cancelamento e reembolso: você cancela quando quiser no Google Play (Pagamentos e assinaturas → Assinaturas), e o Pro segue até o fim do período já pago. Reembolsos seguem as regras do Google Play. Desinstalar o app não cancela a assinatura.

O lembrete diário é agendado no próprio aparelho: se você ativar, usamos a permissão de notificações para enviá-lo no horário que você escolher.

Novidades e dicas são mensagens ocasionais que o Nutriva envia pelo nosso servidor — novidades do app, dicas e incentivos para manter o hábito — por meio do Firebase Cloud Messaging (no iPhone, sobre o serviço de notificações da Apple). Você decide em Ajustes → Notificações → Novidades e dicas: no iPhone vem desligado, e elas só chegam se você ligar; no Android vem ligado, e você pode desligar ali mesmo. Desligado, o aparelho sai da lista de envio de novidades e o nosso servidor deixa de mandar a ele campanhas e mensagens automáticas, mesmo depois de você sair da conta.

Para receber essas mensagens, o aparelho registra no nosso servidor um token de notificação e essa escolha — com ou sem login. Esse registro leva também o identificador aleatório de instalação, a plataforma e a versão do app, o idioma e o fuso horário do aparelho, e o Nutriva usa os eventos de uso desse identificador para decidir quais mensagens enviar (por exemplo, a quem instalou há alguns dias e ainda não registrou nada) e para medir se elas funcionam. Sem login, esse registro fica ligado só ao identificador de instalação, e a nenhuma conta; se você fizer login, o mesmo registro passa a ficar também junto da sua conta. O token em si só serve para a entrega e nunca vai para as estatísticas de uso. Com login, o registro — e com ele a ligação entre o identificador e a sua conta — é apagado junto com a conta se você a excluir; sair da conta não o apaga. Sem login, ele é apagado quando você nos pede a exclusão dos dados dessa instalação (veja Seus direitos). Você também pode desligar qualquer notificação a qualquer momento nos ajustes do sistema.

Se você ligar o Health Connect em Ajustes, o Nutriva grava no Health Connect do seu aparelho cada alimento registrado (calorias, carboidratos, proteínas, gorduras e fibras, o nome do alimento e a refeição, num horário aproximado da refeição) e cada pesagem, e lê as pesagens gravadas lá por outros apps (a sua balança, por exemplo) para mostrá-las no seu progresso. Se você ligar também “Mostrar atividade”, ele lê os passos e as calorias ativas do dia para mostrá-los em Hoje. Por padrão é só para consulta: nada é guardado e a sua meta não muda. Se você escolher em Ajustes somar à meta do dia parte das calorias ativas (“Calorias de atividade na meta”), ele também lê uma vez, depois da meia-noite, o total do dia anterior e guarda as calorias ativas de cada dia dos últimos dois meses, só no seu aparelho, para o histórico julgar cada dia pela meta que ele teve; voltar a “Não somar” apaga esses dias. Tudo isso acontece só no seu aparelho, pelo Health Connect do Android, e só depois de você ligar e conceder as permissões na tela do próprio Health Connect. Outros apps só veem esses dados sob as permissões que você der a eles no Health Connect.

Nada do que o Nutriva lê do Health Connect vai para os nossos servidores nem para as estatísticas de uso. As pesagens importadas passam a fazer parte do seu diário: se você fizer login e ligar o backup, elas são guardadas junto com ele, como qualquer outra pesagem, e um assistente que você conectar com permissão de leitura (veja Aplicativos conectados) também as vê. Você pode desligar tudo em Ajustes → Health Connect (e, se quiser, apagar o que o Nutriva gravou lá), revogar as permissões ou apagar os dados no app do Health Connect a qualquer momento.

Se você ligar o app Saúde em Ajustes, o Nutriva grava no app Saúde do seu iPhone cada alimento registrado (calorias, carboidratos, proteínas, gorduras e fibras e o nome do alimento, num horário aproximado da refeição) e cada pesagem, e lê as pesagens gravadas lá por outros apps (a sua balança, por exemplo) para mostrá-las no seu progresso. Se você ligar também “Mostrar atividade”, ele lê os passos e as calorias ativas do dia para mostrá-los em Hoje. Por padrão é só para consulta: nada é guardado e a sua meta não muda. Se você escolher em Ajustes somar à meta do dia parte das calorias ativas (“Calorias de atividade na meta”), ele também lê uma vez, depois da meia-noite, o total do dia anterior e guarda as calorias ativas de cada dia dos últimos dois meses, só no seu aparelho, para o histórico julgar cada dia pela meta que ele teve; voltar a “Não somar” apaga esses dias. Tudo isso acontece só no seu iPhone, pelo HealthKit da Apple, e só depois de você ligar e permitir na folha do próprio app Saúde. Outros apps só veem esses dados sob as permissões que você der a eles no app Saúde.

Nada do que o Nutriva lê do app Saúde vai para os nossos servidores nem para as estatísticas de uso, e nada disso é usado para publicidade. As pesagens importadas passam a fazer parte do seu diário: se você fizer login e ligar o backup, elas são guardadas junto com ele, como qualquer outra pesagem, e um assistente que você conectar com permissão de leitura (veja Aplicativos conectados) também as vê. Você pode desligar tudo em Ajustes → App Saúde (e, se quiser, apagar o que o Nutriva gravou lá), ou mudar as permissões e apagar os dados no app Saúde a qualquer momento.