Política de Privacidade

O resumo

• os dados do bebê ficam no seu celular. Eles só vão para o nosso servidor se você criar uma conta e concordar em compartilhar com a família;
• não temos anúncios, não vendemos dados e não rastreamos você em outros apps;
• o servidor fica nos Estados Unidos;
• você vê, exporta e exclui tudo no próprio app, em Perfil › Privacidade.

Quem cuida dos seus dados

O controlador dos dados é The North Brothers Tecnologia Ltda, com sede em Chapecó (SC). Para qualquer assunto de privacidade, fale com o encarregado pelo e-mail no fim desta página. Respondemos em até 15 dias.

Quais dados tratamos

No seu celular, sem precisar de conta:

• do bebê: apelido, data de nascimento, semanas de gestação (se nasceu prematuro), se o pediatra liberou começar antes dos 6 meses, método de introdução, fatores de risco de alergia (eczema moderado ou grave, alergia já diagnosticada, histórico na família) e restrições escolhidas pela família (sem leite, sem glúten, vegetariano);
• do diário: alimento, data e hora, aceitação, reação (nenhuma, leve ou preocupante), nota e foto, se você quiser;
• dos alergênicos e dos pratos: o que já foi oferecido, a resposta à pergunta “o pediatra liberou?”, os lembretes que você pediu, os pratos da semana e o que você já tem em casa;
• quem mais cuida do bebê e as suas escolhas de notificação. Esses dois nunca saem do celular.

O que sai do celular, e quando

• assinatura: um código aleatório da família e os dados da compra (produto, datas, se está no teste, a loja e o recibo). Nunca os dados do bebê;
• conta: o e-mail, se você entra com código por e-mail. Se entra com a Apple, guardamos só o identificador que a Apple nos dá, sem o seu nome e sem o seu e-mail. Também guardamos o nome que você usa na família (por exemplo, “Avó Lúcia”) e o seu papel;
• compartilhamento com a família: só depois do consentimento de um dos pais ou do responsável, os dados do bebê, do diário (com as fotos), dos alergênicos e dos pratos vão para o servidor, para a família ver a mesma coisa em vários celulares. Guardamos também quem consentiu, quando e com qual versão do texto;
• fotos: são reduzidas no celular antes de sair, e o app apaga as informações que a câmera grava na foto, como data, local e modelo do aparelho;
• registros técnicos: a cada acesso ao servidor, o endereço IP, a data e a hora, o tipo de aparelho e o endereço chamado. Não registramos e-mail, nome nem data de nascimento;
• falhas do app: quando o app trava ou dá erro, vai para a Sentry um relatório com o tipo do erro, o ponto do código onde ele aconteceu, o modelo do aparelho e as versões do sistema e do app. Também vai o início e o fim de cada uso do app, com um código aleatório da instalação, para medir quantas vezes ele abre sem travar. A mensagem do erro, que pode trazer texto do app, é apagada no celular antes de sair. Quando a falha é do próprio sistema (iOS ou Android), vai a mensagem técnica do sistema;
• uso do app: contamos na PostHog alguns passos (abrir o app, terminar o cadastro, o primeiro registro, começar o teste, assinar e entrar numa família), com códigos aleatórios do aparelho e da sessão, dados técnicos do aparelho (modelo, sistema, versão do app, idioma, fuso horário e tipo de rede) e, quando há, o plano e o papel na família. Não ligamos essa contagem à sua conta nem ao seu e-mail.

Para que usamos e com qual base legal

• fazer o app funcionar, manter a sua conta e a família: execução do contrato (LGPD, art. 7º, V);
• dados do bebê, inclusive os de saúde, e fotos no servidor: consentimento específico e destacado de um dos pais ou do responsável (LGPD, arts. 11, I, e 14, § 1º);
• assinatura: execução do contrato (LGPD, art. 7º, V);
• segurança e registros técnicos: legítimo interesse e cumprimento de obrigação legal (LGPD, art. 7º, II e IX);
• relatórios de falha e contagem de uso: legítimo interesse, para corrigir erros e melhorar o app (LGPD, art. 7º, IX);
• prova do consentimento: cumprimento de obrigação legal (LGPD, art. 8º, § 2º).

Dados de criança e de saúde

Fatores de risco, reações, restrições e notas podem conter informação de saúde, que é dado sensível (LGPD, art. 11). Os dados do bebê são dados de criança e são tratados no melhor interesse dela (LGPD, art. 14).

Antes do primeiro envio ao servidor, o app mostra o que vai, para onde vai e quem vê, e pede que um dos pais ou o responsável concorde. Você pode parar de compartilhar quando quiser, em Perfil › Família: os dados do bebê saem do servidor e continuam no seu celular. Se a pessoa que consentiu sai da família ou exclui a conta, o compartilhamento para até um admin concordar de novo.

Não usamos inteligência artificial para gerar orientação de saúde, e o app não faz diagnóstico.

Quem vê os seus dados

• as pessoas que você convida para a família, conforme o papel: admin, cuidador ou visualizador. Todas veem os dados do bebê, o diário e as fotos;
• quem recebe um link dos pratos da semana: o link é criado por um admin, mostra só os pratos (sem o nome do bebê) e vale por 7 dias, ou até ser revogado;
• quem recebe o relatório em PDF ou a semana exportada: o arquivo é feito no seu celular e só sai quando você o envia;
• a Cloudflare, que hospeda o servidor, o banco de dados, as fotos e os registros técnicos e envia o e-mail com o código de acesso;
• a RevenueCat, que gere a assinatura e recebe o código aleatório da família, os dados da compra e dados técnicos do aparelho para validá-la (como idioma e moeda). Nunca recebe os dados do bebê;
• a Sentry, que recebe os relatórios de falha para corrigirmos erros, e a PostHog, que recebe a contagem de uso para sabermos em que passo as pessoas desistem. Nenhuma das duas recebe os dados do bebê, o seu e-mail, o seu nome ou o código da sua conta;
• a Apple e o Google, que cobram a assinatura e, no caso da Apple, fazem o login com a Apple;
• autoridades, só quando a lei ou uma ordem judicial exigir.

Onde os dados ficam

O servidor do Pratinho fica na Cloudflare, com banco de dados (D1) e arquivos (R2) nos Estados Unidos. A RevenueCat, a Sentry e a PostHog também ficam nos Estados Unidos. Isso é transferência internacional de dados (LGPD, art. 33).

Para os dados do bebê, o consentimento do compartilhamento diz isso de forma destacada antes do primeiro envio (art. 33, VIII). Os dados da conta e da assinatura vão para lá porque o serviço depende disso (art. 33, IX). As lojas, a RevenueCat, a Sentry e a PostHog seguem também as próprias políticas de privacidade.

Por quanto tempo guardamos

• no celular: até você excluir no app ou desinstalar;
• no servidor: enquanto a conta existir. Ao excluir a conta ou parar de compartilhar, apagamos os dados do banco e as fotos na hora. Nas cópias de segurança do banco, eles somem em até 30 dias;
• prova do consentimento (quem, quando e qual versão): enquanto a família existir no servidor, mesmo depois que a pessoa sai. Se a família for excluída, fica só um recibo com códigos, sem e-mail, nome nem dado do bebê, por mais 5 anos;
• registros técnicos: até 7 dias;
• relatórios de falha: até 30 dias, na Sentry. Contagem de uso: até 1 ano, na PostHog. Depois disso, elas apagam;
• registros de acesso (IP, data e hora): 6 meses, por obrigação do Marco Civil da Internet (art. 15), e depois são apagados;
• compras: na RevenueCat, enquanto durar o nosso contrato com ela; nas lojas, pelos prazos legais e fiscais delas.

Seus direitos

Pela LGPD (art. 18), você pode pedir a qualquer momento: confirmação de que tratamos seus dados e acesso a eles; correção; anonimização, bloqueio ou eliminação do que for desnecessário; portabilidade; eliminação dos dados tratados com consentimento; informação sobre com quem compartilhamos; e revogação do consentimento.

Muita coisa você faz sozinho no app, em Perfil › Privacidade: ver, exportar (arquivo JSON) e excluir, mesmo sem assinatura. Para o resto, escreva para o encarregado. Se não ficar satisfeito, você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

Como excluir a sua conta e os dados

No app: Perfil › Privacidade › “Excluir todos os dados”. Sem assinatura, o mesmo botão fica em “Seus dados”, na tela da assinatura. Sem o app, escreva para o encarregado; confirmamos que a conta é sua antes de apagar.

Excluir a conta não cancela a assinatura: cancele na loja, como explicam os Termos de Uso. A exclusão apaga:

• os dados do bebê e o diário deste celular;
• se você tem conta: a conta, a sua participação nas famílias e, se você deu o consentimento, os dados do bebê e as fotos no servidor. Se você é o único admin, a família inteira sai do servidor, e o app avisa quantas pessoas perdem o diário. Se a família continua com outro admin, fica nela só o registro do seu consentimento (quem, quando e qual versão), como prova;
• se entrou com a Apple: pedimos à Apple que cancele a autorização do login com a Apple.

Câmera, fotos e notificações

O app só pede acesso à câmera ou às fotos quando você adiciona uma foto ao registro. As notificações são locais (feitas pelo próprio celular, sem servidor), só para o que você ligar em Perfil › Notificações, e não mostram o nome do bebê na tela de bloqueio.

Segurança

Os dados viajam criptografados. As fotos ficam num espaço privado e só abrem por um endereço assinado que vence em 10 minutos. Os códigos de login, as sessões, os convites e os links ficam guardados só como hash, e a credencial da Apple fica cifrada. Nenhum sistema é totalmente imune a falhas; se houver um incidente que possa causar risco relevante, avisaremos você e a ANPD, como a lei exige.

Emergência

O guia de engasgo funciona sem internet, sem conta e sem assinatura. Em emergência, ligue 192.

Mudanças nesta política

Quando o texto muda, a versão e a data no topo mudam também. Se a mudança for relevante, avisamos antes de ela valer e pedimos um novo consentimento quando a lei exigir.