Aviso de privacidade

Tudo que é pessoal. Esses dados são gravados no IndexedDB do navegador e só saem daqui, criptografados, se você ligar a sincronização:

• Perfil: idade, sexo, altura, peso e nível de atividade.
• Histórico de peso, com as datas em que você registrou.
• Dietas montadas: refeições, alimentos, quantidades e metas.
• Treinos: divisões, exercícios, séries, cargas e o histórico das sessões.
• Alimentos que você cadastrar por conta própria.
• Preferências de uso do aplicativo.

Nós não temos acesso a nada disso. Com a sincronização desligada, não existe cópia no servidor para olhar. Com ela ligada, existe uma cópia — fechada neste aparelho, com uma chave que nunca sai dele.

Ela vem desligada e só liga se você pedir, na sua conta. Antes de ligar, a tela mostra exatamente o que está escrito aqui, e a data desta versão do aviso fica registrada junto com o seu consentimento — dado de saúde é dado pessoal sensível (LGPD art. 5º, II; RGPD art. 9), e consentimento para esse tipo de dado precisa ser específico e destacado (LGPD art. 11, I; RGPD art. 9(2)(a)).

Com a sincronização ligada, o servidor fica sabendo:

• que esta conta existe, e o endereço de e-mail dela;
• quando ela sincronizou pela última vez, e de quantos aparelhos;
• quantos registros criptografados ela guarda, e qual o tamanho deles.

E não fica sabendo mais nada: nem um quilo, nem um alimento, nem uma série, nem uma data de nascimento, nem uma dieta. Nem o assunto de cada registro — ele viaja como um bloco opaco, e o rótulo que diria do que ele trata não existe no banco.

A chave que abre esses blocos é criada no seu aparelho e protegida pela sua frase de segurança. Nem a frase nem o código de recuperação têm coluna em servidor nenhum, e não é possível redefinir nenhum dos dois.

Desligar a sincronização apaga do servidor, no mesmo instante, os registros criptografados e a chave embrulhada. Sobra o registro do consentimento, com a data em que ele foi dado e a data em que foi retirado, porque retirar o consentimento é um ato que precisa poder ser comprovado (RGPD art. 7(3)). Esse registro tem três coisas: a conta, duas datas e a versão deste aviso.

A conta é a sua entrada no aplicativo. Quem opera o cadastro é a Neon, dentro do nosso próprio banco de dados, e o que fica guardado é:

• seu endereço de e-mail, e se ele já foi confirmado;
• um hash da senha de entrada — nunca a senha em si, e nunca a frase de segurança da sincronização, que não sai do aparelho;
• uma linha por aparelho conectado, com a data de expiração e também o endereço IP e a identificação do navegador de quem entrou. Isso é dado pessoal, vem do serviço de autenticação, e está escrito aqui em vez de ficar subentendido;
• um campo que registraria uma sessão aberta em seu nome pela plataforma. Ele existe no esquema do serviço de autenticação, e é justamente por isso que a criptografia é a proteção que importa aqui: uma sessão obtida de qualquer maneira ainda alcança só blocos ilegíveis;
• provas de curta duração para confirmar o e-mail e redefinir a senha, apagadas assim que são usadas.

O serviço também cria tabelas de organização e de convite que este aplicativo não usa e mantém vazias — uma delas guardaria o e-mail de um terceiro, se algum dia fosse usada. Uma verificação conta as linhas dessas tabelas, em vez de confiar nesta frase.

O modo profissional é opcional. Quem o ativa passa a ter no servidor, ligado à conta:

• o nome profissional que você escrever;
• o conselho regional e o número do CRN, que conferimos à mão no cadastro público do conselho;
• as áreas de atuação que você marcar;
• a situação da conferência (em verificação, conferido ou recusado) e as datas do pedido e da conferência.

Nenhum dado de paciente fica nesse perfil. Ele não aparece em busca nenhuma: a busca de nutricionistas ainda não existe, e quando existir, aparecer nela será uma escolha sua.

Um nutricionista que atende pelo DietKit pode criar uma ficha sua na consulta, antes mesmo de você ter o aplicativo. Essa ficha fica no servidor, ligada à conta dele, e guarda:

• o seu nome, a data de nascimento, o sexo e a altura, que as equações de gasto de energia e de gordura usam;
• o objetivo do acompanhamento, nas palavras dele;
• um e-mail ou celular, se ele anotar, para mandar o convite;
• as anotações dele sobre o acompanhamento, que você não vê.

Quem decide sobre essa ficha é o nutricionista: ela é o registro profissional dele, e é a ele que se pede acesso, correção ou exclusão. O DietKit guarda a ficha para ele e mais ninguém: nenhum outro nutricionista a encontra, e nós não a usamos para nada.

A ficha é o prontuário que o nutricionista é obrigado a guardar: prontuário eletrônico tem guarda permanente e só pode ser eliminado 20 anos depois do último registro (Resolução CFN nº 594/2017). Por isso ela continua guardada mesmo depois que o acompanhamento termina, e é o nutricionista quem responde por ela.

Aceitar liga a sua conta à ficha que ele fez de você, e você escolhe o que compartilhar. Peso e dieta fazem parte de qualquer acompanhamento; avaliações, treinos registrados e fotos de progresso são escolhas suas, uma a uma. O que você compartilha passa a ficar no servidor, legível para você e para ele, e para mais ninguém.

Hoje o app envia as suas pesagens, os treinos registrados e as avaliações que você mesmo fizer — os dois últimos só se você marcou. Ele envia quando você abre o aplicativo, e só se algo mudou. O que você comeu e as fotos de progresso ainda não saem do aparelho. Uma conta que não aceitou nenhum convite não envia nada.

Se você apaga um registro no app, ele some do servidor no próximo envio. Se você deixa de compartilhar um tipo de dado, ou encerra o acompanhamento, o que tinha sido enviado daquele tipo é apagado do servidor na mesma hora.

Guardamos o registro de cada consentimento: o que você marcou, a data e a versão deste aviso que estava na tela. Mudar o que compartilha encerra o registro anterior e abre um novo, para que fique claro o que valia em cada momento.

Você encerra o acompanhamento quando quiser, em Conta › Meu acompanhamento. A partir dali nada mais do seu app é compartilhado. A ficha que o nutricionista fez de você, com as avaliações, as dietas e as anotações dele, é prontuário e continua com ele.

Fora a conta, os blocos criptografados, o perfil profissional e as fichas de pacientes descritos acima, o servidor recebe pouca coisa, e nada que identifique você. Ainda assim, vale listar de forma honesta:

• Quando você busca um alimento, o termo digitado vai até o servidor para consultar a tabela TACO. Ele viaja no endereço da requisição e, por isso, aparece nos logs de infraestrutura descritos no item abaixo. Não é gravado em banco de dados nenhum e não é associado a você — mas sai do aparelho, e isso precisa estar escrito aqui.
• Como em qualquer site, a hospedagem (Vercel) registra as requisições em logs de infraestrutura, que incluem endereço IP, identificação do navegador e o endereço acessado. São registros operacionais, mantidos para segurança e diagnóstico, não usados para montar perfis nem cruzados com o que você faz no aplicativo.

Nenhum dado do seu perfil, do seu peso ou das suas dietas acompanha essas requisições.

• Não há perfil seu no servidor, a não ser nos dois casos descritos acima: o perfil profissional, se você o ativar, e a ficha que um nutricionista criar para você. Para usar o aplicativo é preciso ter uma conta, e ela guarda só o seu endereço de e-mail e a senha. Peso, dietas, treinos e fotos continuam neste aparelho e só saem dele criptografados, se você ligar a sincronização.
• Não usamos cookies de rastreamento. O armazenamento local existe para guardar os seus dados, não para seguir você.
• Não há nenhuma ferramenta de análise de audiência — nem as que se apresentam como “sem cookies”. Elas identificam visitantes a partir do IP e do navegador, o que continua sendo dado pessoal.
• Não há publicidade, e não há venda nem compartilhamento de dados com terceiros. Não existe o que vender.

Tudo o que sai do aparelho fica na União Europeia, em Frankfurt, na Alemanha: o banco de dados, o serviço de contas ao lado dele e as funções que respondem pelo aplicativo. Duas empresas participam disso, e nenhuma outra:

• Neon — banco de dados e serviço de contas, na região eu-central-1, em Frankfurt.
• Vercel — hospedagem do site e execução das funções, também em Frankfurt, e os logs de infraestrutura citados acima.

Os e-mails de confirmação de endereço e de redefinição de senha são enviados pelo próprio serviço de contas da Neon, que hoje não permite configurar outro remetente nem informa publicamente qual provedor de envio usa por baixo. A pergunta está feita; quando houver resposta, o nome aparece aqui.

Não há transferência para fora da União Europeia. O responsável por este aplicativo está em Portugal, então guardar dados na Alemanha é tratamento doméstico sob o RGPD; e para quem está no Brasil, a Resolução CD/ANPD nº 32/2026 reconhece a União Europeia e o EEE como de proteção adequada, o que enquadra essa transferência no art. 33, I, da LGPD.

Prazo é coisa que se diz com número, não com “pelo tempo necessário”:

• Registros criptografados e chave embrulhada: enquanto a sincronização estiver ligada. Desligou, são apagados no mesmo instante — não vão para lixeira nenhuma.
• Conta e sessões: enquanto a conta existir. Apagar a conta apaga o cadastro, as sessões, os registros criptografados, a chave, o registro do consentimento e o perfil profissional, se houver, tudo junto e na hora — sem carência e sem lixeira. A exceção é a conta de um nutricionista que guarda fichas de pacientes: ela não é apagada enquanto as fichas existirem, porque elas são prontuários que ele é obrigado a guardar. Se você é paciente e apaga a sua conta, a ficha que o nutricionista fez de você continua com ele, sem a ligação com a sua conta. Uma sessão encerrada some ao sair, com uma janela de até 5 minutos em que ela ainda pode parecer válida por causa do cache do serviço de contas.
• Registro de consentimento: enquanto a conta existir, mesmo depois de você desligar a sincronização, pelo motivo explicado acima. Ele vai embora junto com a conta.
• Cópia de segurança do banco: o Neon, que o hospeda, mantém uma janela técnica de restauração de até 1 dia. Nela existe o estado anterior do banco, com o que acabou de ser apagado — ilegível, porque a chave saiu junto. Depois disso, não existe nem essa janela.
• Logs de infraestrutura: ficam com a Vercel, pelo prazo curto da política dela, e não são copiados para nenhum banco nosso.

A LGPD garante acesso, correção, portabilidade e exclusão dos seus dados pessoais. Aqui isso não depende de pedido nenhum, porque os dados estão com você:

• Acessar e corrigir: direto nas telas do aplicativo.
• Levar embora: a exportação gera um arquivo com tudo que está guardado.
• Apagar: limpar os dados do site no navegador remove tudo, de forma definitiva.
• Sobre a conta: dá para trocar a senha e apagar a conta inteira pelas telas da própria conta.
• Retirar o consentimento: é só desligar a sincronização. Vale dali em diante e não torna ilegítimo o que foi feito antes.

Para os logs de infraestrutura citados acima, o pedido pode ser feito pelo canal de contato no fim desta página.

Se você achar que alguma coisa aqui está errada, escreva primeiro para o contato no fim desta página. Você também pode reclamar a uma autoridade: a CNPD, em Portugal (RGPD art. 77), ou a ANPD, no Brasil.

Guardar tudo no aparelho tem um custo, e esconder isso seria desonesto: com a sincronização desligada, se você limpar os dados do navegador, trocar de aparelho ou desinstalar o aplicativo, seus registros somem. Não temos como recuperar, porque não temos cópia. Exporte seus dados de tempos em tempos.

Com a sincronização ligada existe cópia, mas ela é ilegível sem a sua chave: se você esquecer a frase de segurança e perder o código de recuperação, os blocos continuam lá e não abrem para ninguém — nem para você, nem para nós. Não existe “redefinir”: é isso que a palavra criptografado significa aqui.

Se este aviso mudar, a data no topo muda junto. O histórico completo das alterações é público no repositório do projeto.

O responsável pelo tratamento destes dados — controlador e, também, encarregado — é Jackson Sieben, em Portugal. Pedidos sobre privacidade, inclusive acesso, correção e exclusão, podem ser enviados para:

Dúvidas sobre o funcionamento do aplicativo também podem ser abertas no repositório público do projeto: