Política de privacidade

O MenuChef guarda o mínimo para funcionar, não vende nada seu e não mostra anúncio. Abaixo está tudo que sai do seu aparelho: o que é, para onde vai, por quê, com que autorização e por quanto tempo fica.

O MenuChef é operado por Thatsme LTDA, CNPJ 48.657.854/0001-71. Fale com a gente em [email protected].

Na palavra da LGPD, a Thatsme LTDA é a controladora desses dados, e esse e-mail é o canal para tudo que está aqui: dúvida, pedido, reclamação, exercício de direito. É também o canal de comunicação com o encarregado pelo tratamento de dados pessoais (art. 41).

Um link, uma foto, um PDF, um print, um texto colado ou um áudio ditado. Isso vai para o nosso servidor e de lá para a infraestrutura de IA do Google (Gemini), que lê e devolve a receita em passos.

A gente pergunta antes. Antes da primeira leitura, numa tela própria ("A leitura passa por IA de terceiros"), você autoriza o envio — e pode retirar a autorização quando quiser, em Conta. Sem ela, o app não lê nada.

COM CONTA, a receita lida também entra na sua conta, para estar nos seus outros aparelhos (veja "Sua conta, se você criar uma").

O QUE FICA: a leitura pronta — ingredientes, passos, macros, crédito ao autor — e o endereço de onde ela veio. Isso mora num cache do nosso servidor que não tem o seu nome nem o do seu aparelho: a chave dele é o endereço da página ou uma impressão digital do arquivo. É esse cache que impede a gente de cobrar você duas vezes pela mesma receita, e é ele que faz a próxima pessoa que mandar o mesmo link receber na hora. A leitura é compartilhada; quem mandou, não.

O QUE NÃO FICA: a foto, o PDF, o print e o áudio que você mandou. Eles passam, são lidos e não são guardados — nem aqui, nem no fornecedor.

REEL E TIKTOK. Quando a legenda não basta, uma máquina nossa baixa o áudio ou o vídeo do post e manda para o Google ler. O arquivo fica numa pasta temporária que é apagada no fim do trabalho, e vive no serviço do fornecedor pelo prazo que a API dele define. Vídeo do YouTube vai direto, sem passar por nós.

BASE LEGAL: o seu consentimento (LGPD, art. 7º, I) e a execução do contrato que você tem com a gente (art. 7º, V).

Quando você liga o Sous-Chef, o áudio do microfone vai para uma sala da LiveKit, a infraestrutura que leva a conversa em tempo real. O Sous-Chef é um programa nosso que roda dentro dessa infraestrutura, no serviço de nuvem da LiveKit, nos Estados Unidos. Cada parte da conversa passa por um fornecedor, e cada um recebe uma coisa diferente:

· O SEU ÁUDIO vai para a LiveKit, que o transporta, e para a Deepgram, que o transcreve. Para saber quando você terminou de falar, o Sous-Chef usa um detector de voz que roda dentro do próprio programa e um modelo de fim de frase da LiveKit, que olha o texto já transcrito.
· O TEXTO do que você falou vai para a OpenAI, junto com o que o Sous-Chef precisa para responder: a receita aberta e o passo em que você está, o que está na tela, os nomes das receitas do seu acervo, a sua lista de compras e as restrições e alergias que você marcou ou contou a ele. Um modelo da OpenAI lê isso e escreve a resposta. A OpenAI não recebe o seu áudio.
· A RESPOSTA do Sous-Chef, em texto, vai para a Fish Audio, que a transforma em voz. Ela não recebe o seu áudio nem a transcrição: recebe só o que o Sous-Chef vai dizer — que às vezes repete algo que você contou, como o nome de um ingrediente.
· QUANDO VOCÊ PEDE PARA ELE OLHAR, a foto segue o caminho do escâner, descrito na próxima seção: vai para o Google, e o que ele viu volta para a conversa como uma frase curta.

Também aqui a gente pergunta antes, em "Antes de eu abrir o ouvido", e também aqui dá para retirar a autorização em Conta. São duas autorizações separadas: quem aceitou mandar a foto do caderno não aceitou mandar a voz.

O MICROFONE abre quando você liga o Sous-Chef e continua aberto enquanto ele estiver ligado — inclusive fora da receita, se você for à lista de compras, por exemplo. Ele fecha quando você desliga, tocando no mesmo botão. A partir da versão 1.0.1, quando a conversa fica em silêncio o Sous-Chef cochila: a sala fecha, e o próprio iPhone fica atento só à palavra "Chef" para acordá-lo. Esse reconhecimento acontece no aparelho, e nenhum áudio sai do telefone enquanto ele cochila; quando ele ouve "Chef", a sala volta e a frase que você disse em seguida entra na conversa.

O SEU ÁUDIO NÃO VIRA ARQUIVO no MenuChef: nem no iPhone, nem no nosso servidor, nem no programa do Sous-Chef. Ele é processado no ato da conversa.

O TEXTO DA CONVERSA NÃO FICA GUARDADO. O nosso servidor só guardaria o registro da conversa (o que foi dito e o que o Sous-Chef fez na tela) de quem autorizasse isso numa tela própria, e esta versão do app não pede essa autorização. Se isso mudar, o app pergunta antes, numa tela nova, e esta política diz por quanto tempo o texto fica.

AS RESTRIÇÕES E ALERGIAS que você conta ao Sous-Chef ficam guardadas no seu iPhone, com a frase do jeito que você disse, para ele te avisar nas próximas receitas. Elas não sobem para a sua conta; vão para o modelo da OpenAI só durante a conversa, e somem do aparelho quando você as apaga ou apaga o conteúdo do app.

O QUE FICA DE CADA CONVERSA são números, para cobrar certo e consertar o que trava: quanto tempo a sala ficou aberta, quantos segundos foram transcritos e falados, quantos tokens o modelo usou, quais fornecedores atenderam e, a cada vez que o Sous-Chef responde, quanto tempo cada etapa levou. Os números da sessão ficam ligados à sua conta e ao aparelho; quando você apaga a conta, eles perdem esse vínculo e ficam só como custo, sem dono. Os de cada resposta são registros de uso do app (veja "Uso do app"). Quando a voz é recusada (sem assinatura, presente vencido, minutos esgotados), guardamos a conta, o aparelho, o motivo e a hora por 365 dias, para entender onde a porta fecha. Nenhum desses registros tem o conteúdo da conversa.

SEM REDE, o Sous-Chef por voz não funciona: o app avisa e o resto continua — receita, passos, timers e alarmes funcionam sem internet.

O QUE CADA EMPRESA FAZ com o que recebe — se guarda, por quanto tempo, se usa para melhorar os próprios serviços — segue o contrato dela com a gente e a política de privacidade dela: LiveKit (a sala da conversa), Deepgram (transcrição), OpenAI (o modelo que responde) e Fish Audio (a voz). Um ponto a gente já sabe e prefere dizer: o modelo de voz da Fish Audio que usamos hoje é o gratuito, e as condições dele permitem que a Fish Audio use os pedidos para melhorar os próprios modelos. O que vai para ela é só a fala do Sous-Chef.

BASE LEGAL: o seu consentimento (art. 7º, I), dado na tela "Antes de eu abrir o ouvido". Essa tela nomeia as quatro empresas e diz que o áudio não é gravado; ela ainda não fala das restrições e alergias, que a LGPD trata como dado de saúde (art. 11), nem de que esses fornecedores ficam fora do Brasil. Uma próxima versão do app vai perguntar isso na própria tela. Até lá, se você não quiser que uma restrição sua vá para o modelo, não a conte ao Sous-Chef — o resto da conversa funciona sem ela.

A FOTO DO PRATO PRONTO fica no seu aparelho e vira a capa da receita. Se você quiser, ela também é salva no seu app Fotos, com a assinatura do MenuChef e o crédito ao autor da receita. A permissão que o app pede é de SOMENTE ADICIONAR: a gente nunca lê a sua fototeca.

SEM CONTA, essa foto não sai do aparelho. COM CONTA, uma cópia reduzida da capa (até 720 pixels) é guardada na sua conta, para a receita aparecer com foto nos seus outros aparelhos. Ela vai embora quando você apaga a receita ou a conta.

A FOTO DO ESCÂNER — o ingrediente que você mostra ao Sous-Chef na feira ou na bancada, ou a panela que você pede para ele olhar — é enviada ao nosso servidor e lida na hora por um modelo de IA do Google. Junto com ela vão alguns textos, para a resposta servir àquela hora: onde você está (mercado, bancada ou panela), o nome da receita e o passo em que você está, o papel do ingrediente ali, os nomes da sua lista de compras, as fichas da nossa despensa e, quando houver, a pergunta que você fez. Nada disso, nem a foto, é guardado. Sem internet, ela nem sai: o app diz que precisa de rede e entrega a ficha curada, que funciona offline.

BASE LEGAL: o seu consentimento (art. 7º, I) e a execução do contrato (art. 7º, V).

O app funciona inteiro sem conta.

Se você entrar com a Apple, recebemos o seu nome e o seu e-mail — ou o e-mail de repasse, se você escolher esconder o seu — e o identificador opaco que a Apple devolve. Os três ficam guardados no seu iPhone, e o token de identidade é trocado por uma sessão no nosso servidor, que cria a sua linha lá. A chave dessa sessão mora no Chaveiro do iPhone, marcada para não viajar em backup nenhum.

Guardamos também, do lado de cá, uma chave que a Apple nos dá no instante da entrada e que serve para uma coisa só: DESFAZER esse login do lado dela no dia em que você apagar a conta. Sem ela, o MenuChef continuaria listado em Ajustes › Apple Account › Login com a Apple depois de você ter apagado tudo. Ela morre junto com a sua conta.

QUEM ENTROU ANTES DESTA VERSÃO não tem essa chave guardada — ela só passou a ser pedida quando a função existiu. Nesses casos a conta é apagada daqui do mesmo jeito, mas a autorização continua listada do lado da Apple até você tirá-la à mão em Ajustes › Apple Account › Login com a Apple › MenuChef › Parar de usar.

COM CONTA, a conta é a dona do seu acervo: as suas receitas (com as edições, as pastas e a cópia reduzida da capa) e a sua lista de compras ficam guardadas no nosso servidor, sob a sua identidade, e voltam quando você entra em outro aparelho. Ao SAIR da conta, o que é dela sai deste aparelho e volta quando você entrar de novo.

SEM CONTA, as receitas e a lista ficam só no seu iPhone. A gente não tem cópia delas.

BASE LEGAL: execução do contrato (art. 7º, V).

Registramos quais telas foram abertas e quais ações aconteceram, para entender onde o app trava e onde ele confunde. Junto com cada evento vai um carimbo, e é honesto dizer o que tem nele: um identificador do aparelho fornecido pelo sistema, um identificador da sessão, a versão do app, a versão do iOS, o modelo do iPhone, a região e o idioma configurados no aparelho, uma região aproximada derivada do fuso horário, o ambiente da loja e o seu plano.

O identificador do aparelho é o mesmo para os apps da mesma empresa e some quando você desinstala. Sozinho, ele não diz quem você é. MAS, SE VOCÊ TEM CONTA, a gente liga esse identificador a ela em dois casos: quando você usa o Sous-Chef (cada sessão de voz guarda a conta e o aparelho) e quando você assina (a assinatura vale em até três aparelhos, e guardamos quais são). Com isso, o nosso painel interno consegue juntar os registros de uso daquele aparelho à sua conta. A região vem dos Ajustes, não de localização: o app não pede acesso ao GPS e não tem a sua localização.

DOIS EVENTOS LEVAM O QUE VOCÊ ESCREVEU, e os dois só acontecem quando você toca. Quando a leitura falha e você avisa que aquilo ERA uma receita, o link inteiro vai junto — é o que permite a gente olhar aquele link. Quando você abre o "Deu ruim" e nada da lista serve, o que você escrever chega aqui. Nos demais casos de falha vai só o domínio da fonte, nunca o endereço completo.

COM O SOUS-CHEF LIGADO, cada resposta dele gera um registro só com tempos e contadores: quanto demorou para transcrever, para pensar e para começar a falar, quantos tokens o modelo usou e em que região o Sous-Chef rodou. Nunca o que foi dito.

Esses registros são apagados automaticamente depois de 13 meses.

DE ONDE VEIO A INSTALAÇÃO. Uma vez por instalação, o app pede à Apple um código do serviço AdServices e o manda ao nosso servidor, que pergunta à Apple se a instalação veio de um anúncio do Apple Ads. Guardamos só a resposta — "anúncio" ou "orgânico" —, junto do identificador do aparelho e longe da sua conta. Esse código não identifica você e não exige a permissão de rastreamento.

Não usamos rastreamento entre apps nem entre sites, e não pedimos permissão para isso porque não fazemos isso. Não existe publicidade dentro do MenuChef.

BASE LEGAL: legítimo interesse (art. 7º, IX) — manter o app funcionando e consertar o que quebra. Você pode se opor: escreva para [email protected].

Quem cobra é a Apple. A gente nunca vê cartão, nem número, nem fatura sua.

O que chega até nós é o recibo assinado pela Apple e os avisos do ciclo de vida da assinatura — compra, renovação, cancelamento, falha de cobrança, reembolso. A gente guarda o recibo como ele veio, mais o estado da assinatura, as datas e qual produto é, ligado à sua conta.

A CORTESIA DO SOUS-CHEF. Para abrir a janela, a gente grava o identificador da sua conta e o do seu aparelho, e pergunta à Apple, por um serviço chamado DeviceCheck, uma coisa só: se este iPhone já usou a cortesia antes. A Apple guarda esse bit do lado dela, por aparelho e por desenvolvedor. É o que impede a mesma janela de ser reaberta com uma reinstalação.

OS LIMITES DE USO. Para não deixar a conta da casa ser drenada, a gente conta quantas leituras e quantas chamadas de voz saíram de cada conta ou de cada aparelho, e quantos tokens cada chamada gastou. São contadores e números, nunca o conteúdo do que você mandou.

BASE LEGAL: execução do contrato (art. 7º, V); obrigação legal e fiscal para o registro financeiro (art. 7º, II); e legítimo interesse para a prevenção a fraude e abuso (art. 7º, IX).

Em menuchef.app.br/criadores você pode se inscrever para gravar vídeos curtos pagos com o MenuChef. Isso é do site, não do app: usar o app não inscreve ninguém.

O QUE FICA: o seu nome; o seu @ no Instagram ou no TikTok; a sua cidade e o estado; como você cozinha; de que assunto você fala; o modelo do seu iPhone; o link do vídeo de teste que você mandou; quanto você cobra por vídeo, se você disser; o seu email; a sua declaração de que tem 18 anos ou mais; de qual link você veio (por exemplo, do destaque do Instagram), sem nada além do nome do link; o texto da autorização que você marcou, com a data e a hora; e, por até 2 dias, um código pseudonimizado feito a partir do endereço da sua conexão, que só serve para barrar inscrição em série. O endereço em si não é guardado.

PARA QUÊ: só para esta seleção. A gente lê a inscrição, assiste ao vídeo pelo link que você mandou e, se o seu perfil combinar, te chama por email ou por mensagem direta. Os dados não entram em lista de email, não são usados para anúncio e não são passados para ninguém.

ONDE FICA: no nosso banco de dados, no Supabase, que só o nosso servidor abre. Nenhum email sai automaticamente desta inscrição.

POR QUANTO TEMPO: até 90 dias depois do fim da seleção. Passado esse prazo, a inscrição é apagada automaticamente. Se a gente te chamar para gravar, o que for combinado (pagamento, uso dos vídeos) passa a valer pelo acordo escrito entre a gente e você, não por este formulário.

SÓ PARA MAIORES DE 18 ANOS: se alguém com menos de 18 anos se inscreveu, a gente apaga a inscrição assim que souber.

APAGAR ANTES: escreva para [email protected] pedindo a exclusão, com o email que você usou na inscrição. A gente apaga e te responde.

BASE LEGAL: o seu consentimento (art. 7º, I), dado na caixa do formulário. Você pode retirá-lo a qualquer momento pelo mesmo email.

A gente não lê a sua fototeca, os seus arquivos, os seus contatos, as suas mensagens nem o seu histórico. Vai só o que você manda.

O app não pede localização e não tem como saber onde você está. O único código de terceiro dentro dele é o kit da LiveKit, que conecta a conversa por voz e só entra em ação quando você liga o Sous-Chef. Não há kit de analítica nem de anúncio, não há pedido de rastreamento e não há anúncio.

Não vendemos, não alugamos e não trocamos dado seu com ninguém.

Estes, e nenhum a mais:

Google (Gemini) — lê o que você manda para virar receita e olha a foto do escâner.
LiveKit — leva o áudio da conversa com o Sous-Chef em tempo real, hospeda o programa do Sous-Chef e percebe quando você terminou de falar.
Deepgram — recebe o áudio do que você fala ao Sous-Chef e transcreve.
OpenAI — recebe o texto da sua fala, com a receita, a tela, o acervo, a lista e as restrições, e escreve a resposta do Sous-Chef.
Fish Audio — recebe a resposta do Sous-Chef, em texto, e faz a voz.
Supabase — hospeda o nosso servidor e o nosso banco de dados (a sua conta, as suas receitas, a sua lista e os contadores de uso) e as inscrições de criadores do site.
Fly.io — hospeda a máquina que baixa o vídeo e o áudio do Instagram e do TikTok para serem lidos.
Cloudflare — hospeda este site. Como todo servidor de site, recebe o endereço IP da sua conexão e os pedidos de página que o seu navegador faz.
Apple — cuida do login com a Apple, das compras, do DeviceCheck e da resposta sobre o Apple Ads.

Os que tratam alguma coisa por ordem nossa o fazem sob contrato, e a Apple é a plataforma onde o app vive. Com UMA EXCEÇÃO, que já está na seção do áudio: no modelo gratuito que usamos, a Fish Audio pode usar os pedidos — a fala do Sous-Chef, em texto — para melhorar os próprios modelos. Fora ela, nenhum deles recebe o seu dado para usar por conta própria.

Se um dia esta lista mudar — outro modelo, outra empresa —, o app pergunta de novo antes de continuar, e o "sim" que você deu para o arranjo anterior não vale para o novo. Já foi assim uma vez.

Saem, e é justo que você saiba. As empresas que tratam alguma coisa por ordem nossa são estrangeiras, e os servidores delas ficam fora do país — principalmente nos Estados Unidos. A Apple também é, e o que vai para ela — o login, a compra, o DeviceCheck e o Apple Ads — segue a política de privacidade dela, não a nossa.

Na conversa por voz, o próprio Sous-Chef roda nos Estados Unidos, no serviço da LiveKit, e a Deepgram, a OpenAI e a Fish Audio tratam o que recebem fora do Brasil, conforme o contrato com cada uma.

A LGPD chama isso de transferência internacional (art. 33) e pede uma base para ela. A nossa são os contratos de API que a gente assinou com cada fornecedor, que trazem as cláusulas de proteção de dados deles (art. 33, II).

As duas telas de autorização — a da leitura e a do áudio — dizem para qual empresa o dado vai antes de ele ir, mas ainda não dizem que essas empresas ficam fora do Brasil. Uma próxima versão do app vai dizer isso na própria tela; até lá, é esta seção que diz.

Se você não quiser que nada seu saia do país, o caminho existe e é honesto: não autorize a leitura nem o áudio. O app continua servindo para escrever receita à mão, cozinhar com timer e guardar o seu acervo.

O SEU ÁUDIO: não fica. Não vira arquivo em lugar nenhum.

A FOTO, O PDF E O ÁUDIO QUE VOCÊ MANDA PARA LER: não ficam. Passam, são lidos, acabam.

A LEITURA PRONTA DA RECEITA, no cache: fica enquanto o cache existir. Ela não tem o seu nome nem o do seu aparelho, e é reaproveitada por quem mandar a mesma fonte.

A CONVERSA COM O SOUS-CHEF: o áudio não fica, e o texto não é guardado. Os números de cada sessão (duração, contadores, quais fornecedores atenderam) ficam com a sua conta; quando você a apaga, eles perdem o dono e ficam só como custo.

AS RECUSAS DA VOZ (conta, aparelho, motivo e hora): 365 dias, ou até você apagar a conta.

AS SUAS RESTRIÇÕES E ALERGIAS: ficam só no seu iPhone, até você apagá-las ou apagar o conteúdo do app.

O VÍNCULO ENTRE O SEU APARELHO E A SUA CONTA: fica enquanto a conta existir.

AS SUAS RECEITAS, AS CÓPIAS REDUZIDAS DAS CAPAS, A SUA LISTA DE COMPRAS E A SUA CONTA: ficam enquanto você quiser, e vão embora quando você apagar a conta.

OS REGISTROS DE USO DO APP: são apagados automaticamente depois de 13 meses. Até lá estão gravados evento a evento, com o identificador do aparelho, e a gente os apaga antes, a pedido — é só escrever.

A ORIGEM DA INSTALAÇÃO ("anúncio" ou "orgânico"): hoje não tem prazo automático de descarte. A gente apaga a pedido.

O RECIBO DA APPLE E A LINHA DA SUA ASSINATURA: ficam, mesmo depois de você apagar a conta, porque são registro financeiro e respondem à Apple, ao reembolso e à contabilidade. O que some deles é o VÍNCULO com você — a linha continua, órfã, sem dono.

A CORTESIA E A CHAVE DE REVOGAÇÃO DA APPLE: são apagadas junto com a conta.

A INSCRIÇÃO DE CRIADORES DO SITE: até 90 dias depois do fim da seleção, e então é apagada automaticamente. O código pseudonimizado da conexão, 2 dias. Antes disso, a pedido.

A LGPD (art. 18) te dá uma lista de direitos. Aqui está cada um com o caminho de verdade, e não só o nome dele.

APAGAR A SUA CONTA. No app, em Conta › Apagar conta › Excluir tudo. Isso apaga a sua identidade, as suas receitas, as capas e a sua lista de compras do nosso servidor, apaga as linhas da cortesia, o que a gente guardava da sua voz (as recusas e qualquer registro de conversa) e os registros de uso dos aparelhos ligados à sua conta, desfaz o login com a Apple do lado da Apple e apaga o conteúdo deste aparelho. É definitivo e não tem desfazer. A tela só confirma depois que o servidor responder: se a rede falhar, nada é apagado e você tenta de novo.

O QUE A EXCLUSÃO NÃO APAGA, e a gente prefere dizer: a linha da sua assinatura, que é registro financeiro e perde o vínculo com você em vez de sumir; os números das suas sessões de voz, que ficam só como custo, sem conta e sem aparelho; e os registros de uso de um aparelho que nunca foi ligado à sua conta (sem voz e sem assinatura nele). Para apagar esses também, escreva e diga de qual aparelho; a gente apaga.

RETIRAR O CONSENTIMENTO. Em Conta, "Retirar a autorização de leitura" para o que você manda, e "Retirar a autorização do áudio" para a voz. São dois botões porque são duas autorizações. Retirando a da leitura, o app para de ler receitas novas até você autorizar de novo; as que já estão na Cozinha continuam suas. Retirando a do áudio, uma conversa em curso cai na hora.

SABER O QUE A GENTE TEM, PEDIR CÓPIA, CORRIGIR, PEDIR PORTABILIDADE, SE OPOR AO TRATAMENTO POR LEGÍTIMO INTERESSE, OU PEDIR A ANONIMIZAÇÃO. Hoje isso não tem botão no app: é por e-mail, em [email protected], e a gente responde em até 15 dias.

SABER COM QUEM COMPARTILHAMOS: está duas seções acima, com nome e função de cada um.

RECLAMAR. Se a nossa resposta não te servir, a Autoridade Nacional de Proteção de Dados (ANPD) recebe reclamação de titular em gov.br/anpd.

O MenuChef não é feito para crianças e o app não pede idade — então a gente não tem como saber quem está do outro lado. (A inscrição de criadores do site é só para maiores de 18 anos e pede essa declaração.) Não tratamos dado de criança de propósito e não fazemos nenhum perfil de ninguém.

Se você é responsável por uma criança que usou o app e quer que a gente apague o que houver, escreva para [email protected] e a gente apaga.

Este site é estático. Ele não grava cookie, não usa armazenamento local, não tem script de terceiro e não tem medidor de audiência. Até as fontes são servidas daqui mesmo, e não de um provedor de fora.

Quer dizer: navegar por estas páginas não deixa nada no seu navegador. Quem hospeda o site é a Cloudflare, que recebe, como qualquer hospedagem, o endereço IP da sua conexão e as páginas que você pede; a gente não usa isso para medir audiência nem para nada além de servir o site. Os dados do formulário de inscrição de criadores saem só quando você toca em "Enviar inscrição", e vão direto para o nosso servidor.

O banco não é aberto: cada tabela tem regra de acesso por linha, e as tabelas sensíveis são inalcançáveis por qualquer chave que o app carregue. As chaves dos fornecedores de IA nunca saem do nosso servidor — o app manda o pedido e recebe a resposta, sem nunca ver a chave. Tudo trafega por conexão cifrada. A chave da sua sessão fica no Chaveiro do iPhone, marcada para não sair em backup.

Nada disso é promessa de que nunca vai acontecer nada. Se acontecer um incidente que possa te trazer risco, a gente avisa você e a ANPD, como a lei manda (art. 48).

Se o destino dos seus dados mudar — outro modelo, outra empresa, mais coisa saindo do que saía —, o app pergunta de novo antes de continuar, e o "sim" que você deu para o arranjo anterior não vale. Isso não é uma frase bonita: é como o app está escrito, e já foi cumprido.

Para mudanças menores, a data no topo desta página é o que vale. Quando a mudança for grande, a gente avisa dentro do app.

Atualizada em 20 de outubro de 2026.