Política de Privacidade

1. Quem é o Controlador

O Controlador dos dados pessoais tratados na Plataforma é:

RIVLO LTDA, sociedade empresária limitada. CNPJ: 63.649.226/0001-38 Endereço: Quadra C 11, 15 – Taguatinga Centro (Taguatinga) – Brasília/DF – CEP 72010-110 Contato de suporte e Canal LGPD / Privacidade: suporte@rivlo.com.br

O Canal LGPD / Privacidade recebe solicitações de titulares e comunicações sobre proteção de dados. A identificação e o contato do encarregado, quando designado, podem ser solicitados por esse canal.

2. Definições

• Dados pessoais: informações relacionadas a pessoa natural identificada ou identificável.
• Dados pessoais sensíveis: dados sobre, por exemplo, saúde, vida sexual, biometria etc.
• Titular: pessoa natural a quem os dados se referem.
• Tratamento: qualquer operação com dados pessoais (coleta, uso, armazenamento, compartilhamento, exclusão etc.).

3. Quais dados coletamos

Podemos coletar, conforme uso da Plataforma:

3.1. Dados de cadastro e conta

Nome, e-mail, data de nascimento para confirmar a elegibilidade 18+, sexo informado no cadastro (masculino, feminino ou “prefiro não informar”), códigos temporários de autenticação quando aplicável, identificadores internos de conta e identificadores de login social quando você escolher entrar com Google ou Apple. A data de nascimento é vinculada à conta, mas nunca é enviada ao analytics.

O sexo informado é usado em estimativas do aplicativo, como o gasto calórico, e para separar as médias da comunidade descritas na seção 3.12. Quem prefere não informar continua usando a Plataforma normalmente, sem essas estimativas e fora dessas médias.

3.2. Dados de uso e conteúdo

Interações dentro da Plataforma (ex.: treinos criados, preferências, histórico de treinos, cargas, repetições, duração, percepção de esforço, progresso, amizades, mensagens privadas e mensagens de chat/IA, registros de atividades), mensagens enviadas ao suporte e conteúdos que você inserir voluntariamente.

3.3. Dados técnicos

Endereço IP, datas e horários de acesso, identificadores de sessão, logs, tipo de navegador/dispositivo, sistema operacional e informações de desempenho/segurança.

3.4. Dados de pagamento

Informações relacionadas a cobranças (status, datas, valores, método e identificadores de compra). O pagamento de assinaturas no aplicativo é processado pela App Store ou Google Play. Nos fluxos profissionais de cobrança via Asaas, quando utilizados, também podem ser solicitados dados fiscais e cadastrais, como CPF/CNPJ, nome, e-mail, telefone e endereço, necessários ao cadastro e à cobrança no provedor. Não envie senhas, códigos de acesso ou números completos de cartão ao suporte.

3.5. Dados sensíveis (quando aplicável)

A Plataforma pode permitir que o usuário informe peso, altura, idade, objetivos, limitações físicas, lesões, dores, condições de saúde, alimentação ou dados similares. Esses dados podem ser sensíveis quando revelarem informação de saúde e devem ser fornecidos apenas voluntariamente e para a finalidade apresentada na respectiva tela. No construtor assistido v3, medidas e histórico não são usados para escolher o treino; a pergunta de saúde desse construtor guarda Sim/Não mediante consentimento específico e serve exclusivamente ao bloqueio preventivo. A Alimentação tem uma pergunta de segurança própria, descrita na seção 3.15. A Rivlo não substitui avaliação médica, nutricional, fisioterapêutica ou de educação física.

Quando você vincula um profissional de educação física ou nutrição à sua conta, duas coleções específicas ficam disponíveis, ambas opcionais:

• Ficha de saúde (anamnese): questionário de prontidão para atividade física (PAR-Q), condições de saúde declaradas, classes de medicamento em uso, situação de gestação e trimestre, liberação obstétrica, restrições de movimento por região e lado, presença e intensidade de dor no momento, além de disponibilidade de treino, objetivo, experiência e um campo livre;
• Avaliação física: peso, altura, percentual de gordura, perímetros corporais, dobras cutâneas, densidade corporal, massa gorda, massa magra e o sexo biológico usado no cálculo.

Preencher a ficha de saúde é opcional e não é exigido para aceitar o vínculo nem para usar a Plataforma. Cada escopo de acesso é consentido separadamente, com o texto exato da finalidade exibido no momento da escolha e registrado para auditoria. Você pode consultar quem leu a sua ficha e quando, revogar qualquer escopo e apagar a ficha a qualquer momento em Configurações, sem encerrar a conta.

3.6. Câmera, fotos e imagens

Quando disponível no aplicativo, a Plataforma pode solicitar acesso à câmera ou permitir o envio de fotos/imagens, por exemplo para foto de perfil, registro visual, compartilhamento de treino ou funcionalidades relacionadas. O acesso à câmera ocorre somente mediante permissão do usuário no dispositivo. As imagens fornecidas voluntariamente podem ser armazenadas e tratadas para disponibilizar a funcionalidade solicitada, suporte, segurança e melhoria da experiência. Você pode revogar a permissão de câmera nas configurações do dispositivo.

O uso dos recursos de IA pode enviar mensagens, treinos, contexto pertinente e arquivos selecionados à OpenAI, no exterior. Antes do primeiro envio nesse escopo, o aplicativo solicita autorização explícita e registra a escolha na conta. Uma autorização válida é lembrada nos próximos pedidos e pode ser revogada em Configurações > Privacidade > OpenAI. A aceitação dos Termos não concede essa autorização automaticamente; os recursos manuais permanecem disponíveis.

Na importação de treino, o texto, as fotos e os arquivos selecionados são enviados pelo backend da Rivlo a provedores de IA no exterior para transcrever a ficha. O aviso exibido antes de cada nova importação identifica Anthropic e OpenAI quando essa opção está disponível. Somente uma ação explícita após esse aviso autoriza a Anthropic naquela importação; a OpenAI pode receber o material como alternativa se a tentativa principal falhar. Sem essa autorização, inclusive em aplicativos antigos, o processamento continua limitado à OpenAI. Aceitar estes documentos ou já ter autorizado a OpenAI não autoriza a Anthropic, outros recursos ou importações futuras. O arquivo inteiro pode conter nomes, observações e dados de terceiros: remova informações desnecessárias e envie somente material que você tenha direito de compartilhar. A transcrição exige sua revisão antes de salvar; você pode usar o editor manual sem enviar arquivos à IA.

Na identificação de exercício por foto, a imagem do aparelho é enviada pelo backend da Rivlo à OpenAI para reconhecer características visíveis e sugerir exercícios compatíveis. Evite fotografar pessoas, telas, etiquetas ou dados pessoais desnecessários. A foto não é gravada no banco da Rivlo: cópias temporárias do aplicativo são removidas ao concluir, cancelar ou expirar a preparação, enquanto o registro técnico da análise, o consumo da cota e os exercícios criados permanecem vinculados à conta sem os bytes da imagem. Na Alimentação, analisar uma foto de refeição ou rótulo com IA é um envio separado e autorizado, descrito na seção 3.15; anexar uma foto privada ao diário é armazenamento, não autorização de análise por IA. Busca, criação e registro manuais permanecem disponíveis sem esses envios.

Após o processamento, a Rivlo inicia a limpeza das cópias temporárias. Quando usa a API de arquivos da OpenAI, solicita também a exclusão desses arquivos no provedor. O envio à Anthropic é feito na requisição, sem criar um arquivo na API de arquivos dela. Isso não equivale a eliminação instantânea em todos os sistemas. A OpenAI informa que dados da API não são usados para treinamento por padrão e que registros de monitoramento de abuso podem ser mantidos por até 30 dias, com exceções legais ou de segurança. A opção técnica store: false evita o armazenamento da resposta como histórico, mas não elimina essas outras retenções. Consulte https://developers.openai.com/api/docs/guides/your-data para as condições da OpenAI. A Anthropic informa que não usa entradas e saídas da API comercial para treinamento por padrão e que as elimina normalmente em até 30 dias, com exceções contratuais, legais e de segurança. Isso não é exclusão imediata nem garantia de retenção zero. Consulte https://privacy.claude.com/en/articles/7996866-how-long-do-you-store-my-organization-s-data para as condições da Anthropic.

Imagens que você publica — foto de perfil e fotos em publicações do feed e da Comunidade — passam por uma verificação automática de conteúdo antes de ficarem visíveis a outras pessoas. O aplicativo pode fazer uma triagem prévia no próprio aparelho, e o servidor da Rivlo analisa a imagem com um classificador executado nele mesmo. Em seguida, uma cópia reduzida da imagem (até 768 pixels, sem os metadados do arquivo) é enviada pelo backend da Rivlo à OpenAI, no exterior, para detectar símbolos de ódio e extremismo e ler textos visíveis na foto; quando a análise do servidor ou a triagem do aparelho não é conclusiva, essa cópia também é verificada pela moderação da OpenAI quanto a nudez, violência e automutilação. Imagens sinalizadas não são publicadas. Guardamos um registro técnico de cada verificação — o resultado e um identificador calculado a partir do arquivo; o registro não contém a imagem — para segurança, suporte e prevenção a abuso. As condições da OpenAI sobre uso e retenção de dados da API, descritas acima, também se aplicam a esse envio. Imagens de mensagens privadas não passam por esse envio (seção 3.9).

3.7. Apple Saúde e Health Connect

No aplicativo nativo, você pode conectar voluntariamente a Rivlo ao Apple Saúde/HealthKit ou ao Health Connect. Ao instalar e abrir a Rivlo no Apple Watch ou no relógio Wear OS emparelhado, o relógio recebe do celular um resumo dos seus treinos, da sua hidratação e, quando a atividade diária estiver ativada, dos seus passos do dia e permite enviar ações de registro de séries, descanso e água. Esses registros seguem os mesmos fluxos privados da conta usados no celular; credenciais de acesso não são enviadas ao relógio. No Wear OS, a comunicação usa os serviços do Google Play: além de Bluetooth, o transporte pode passar pela infraestrutura do Google com criptografia de ponta a ponta. A leitura de frequência cardíaca pelo app do relógio está desativada nesta versão. Mediante permissões separadas, a Rivlo pode gravar treinos concluídos, importar peso e percentual de gordura e, se você ativar “Usar atividade diária”, ler energia ativa, basal ou total, passos e resumos de treinos para estimar seu gasto diário.

Energia, passos e resumos de treinos externos são reduzidos a resumos diários e mantidos no armazenamento privado do aplicativo neste aparelho, por até 14 dias. O total de passos de cada dia encerrado também forma um histórico de passos guardado neste aparelho, por até 1.200 dias, que é apagado quando você sai da conta no aparelho ou exclui a conta. O resumo de passos do dia pode também ser exibido no Apple Watch ou Wear OS emparelhado, com armazenamento privado no relógio; o histórico completo e os demais resumos de atividade não são enviados a ele. Energia e resumos de treinos externos não são enviados ao backend, Railway, PostgreSQL, provedores de IA, anúncios, analytics, ranking ou Comunidade, com uma exceção: se você calcular a meta estimada da Alimentação com Usar atividade diária ligado, o gasto diário usado no cálculo e a indicação da sua origem são guardados na conta junto com a meta. Quando o gasto informado pelo aparelho é corrigido para a faixa plausível, guardamos também o gasto originalmente informado e a indicação do ajuste. Os resumos de cada dia continuam no aparelho. A Rivlo não lê frequência cardíaca bruta, sono, pressão, diagnósticos ou prontuários nesta versão.

Os passos podem sair do aparelho por duas escolhas independentes. Se você ativar “Medalhas de passos”, o total de passos de cada dia, a meta diária de passos vigente naquele dia, o fuso horário, a plataforma de origem (Apple Saúde ou Health Connect) e o horário da leitura são enviados ao backend da Rivlo e guardados na sua conta para calcular as medalhas de passos. O histórico diário é privado; as medalhas e o progresso delas seguem a visibilidade do seu perfil. Os dados enviados para medalhas não são usados em anúncios, analytics ou ranking, nem enviados a provedores de IA. Desativar a opção interrompe novos envios e mantém na conta o histórico já enviado e as conquistas, que são excluídos junto com a conta. Separadamente, se você autorizar “Passos na IA”, os chats normal e durante o treino podem enviar ao backend da Rivlo e à OpenAI, no exterior, até 30 dias de passos, metas diárias, plataforma de origem e horário da leitura para responder suas perguntas junto ao restante do contexto autorizado. Essa opção não exige Medalhas de passos. Revogar a autorização interrompe novos envios e a reutilização de respostas marcadas com esse contexto. Os resumos brutos de passos não são guardados no histórico do chat, mas as respostas podem conter essas informações e permanecem até a exclusão da conversa ou da conta.

Peso e percentual de gordura seguem o fluxo privado de evolução da conta. Identificadores externos dessas medições são transformados em hash antes do armazenamento no servidor, e as medições importadas não são usadas para publicidade, marketing, ranking, Comunidade ou enviadas a provedores de IA.

Para tornar o histórico compreensível, uma medida importada pode mostrar somente uma origem genérica controlada, como Apple Watch, balança conectada ou o app de saúde compatível. A Rivlo não armazena o identificador bruto do dispositivo. Quando a mesma medida chega por mais de uma fonte no mesmo intervalo curto, ela é tratada como um único ponto de evolução. Você pode desativar cada sincronização separadamente ou revogar as permissões nas configurações do aparelho. Ao desativar a atividade diária ou desconectar a integração, os resumos locais de atividade de até 14 dias são apagados, e o histórico de passos do aparelho continua até você sair da conta. Você também pode solicitar a remoção dos registros criados pela Rivlo; Apple e Google tratam os dados mantidos em seus respectivos sistemas conforme suas próprias políticas.

3.8. Notificações no dispositivo

Com sua permissão, o aplicativo nativo pode registrar um identificador técnico do aparelho para enviar notificações operacionais por meio do Expo Push Service e das plataformas Apple Push Notification Service e Firebase Cloud Messaging. Esses avisos podem incluir convites, desafios, atualizações da conta e comunicados importantes.

Você pode recusar ou revogar a permissão nas configurações do aparelho sem perder a central de notificações dentro da Rivlo. Mensagens promocionais não são enviadas por push sem consentimento específico, e o conteúdo exibido na tela bloqueada é limitado para proteger dados pessoais.

3.9. Amigos e mensagens privadas

O aplicativo nativo permite localizar uma conta somente pelo @username completo, enviar e responder solicitações de amizade e trocar mensagens de texto e imagens depois que a amizade for aceita. Você também pode enviar a foto ou o card escolhido no compartilhamento de um treino concluído. Na busca e no cartão de amizade são exibidos apenas nome, foto e @username; e-mail, dados de saúde, medidas e histórico de treinos não são compartilhados.

Nas configurações de Privacidade, você pode aceitar novas solicitações de qualquer pessoa, somente de pessoas com ao menos um amigo em comum ou de ninguém. A escolha afeta apenas novos pedidos: solicitações já recebidas continuam disponíveis para você aceitar ou recusar. Amigos existentes não são removidos pela mudança dessa preferência.

Mensagens privadas, imagens e treinos estruturados enviados nelas são armazenados no backend Railway/PostgreSQL e disponibilizados apenas aos dois participantes. Imagens são mantidas como arquivos privados e o aplicativo gera acessos temporários para exibi-las. Ao compartilhar um treino, a Rivlo guarda uma cópia sanitizada da estrutura planejada, sem e-mail ou identificadores internos do titular; o destinatário pode visualizar essa cópia e, se desejar, adicioná-la à própria biblioteca. Mensagens e anexos privados não são enviados a provedores de IA, ranking, Comunidade ou analytics. Para segurança, as imagens enviadas em mensagens privadas passam por uma verificação automática feita somente no servidor da Rivlo, sem envio a terceiros: imagens identificadas como nudez explícita não são entregues ao destinatário, e registramos o resultado e um identificador calculado a partir do arquivo — o registro não contém a imagem. Antes da verificação, a imagem é convertida para um formato padrão, o que remove os metadados do arquivo, como a localização. Separadamente, quando você escolhe de forma explícita publicar um treino em um grupo, essa cópia estruturada fica visível aos membros atuais do grupo e pode ser adicionada por eles às respectivas bibliotecas. Ao remover uma amizade, o histórico permanece em modo somente leitura; ao bloquear, a conversa deixa de aparecer e novas solicitações ou mensagens são impedidas.

Quando uma mensagem for denunciada, somente a mensagem selecionada — incluindo sua imagem, se houver —, os identificadores necessários e o motivo da denúncia serão disponibilizados à equipe autorizada para moderação. O conteúdo poderá ser ocultado quando violar estes Termos ou a legislação.

A tela de Privacidade também permite consultar e desbloquear contas bloqueadas. O desbloqueio volta a permitir que as contas se encontrem e interajam conforme suas preferências atuais, mas não restaura automaticamente amizade, solicitação ou conversa.

Notificações de novas mensagens identificam o remetente, mas não exibem o texto nem a imagem da mensagem no push ou na tela bloqueada.

3.10. Ranking público e controles de visibilidade

A conta participa por padrão do ranking público geral. Para cada posição, são exibidos nome, @username, colocação e a pontuação usada naquela classificação, como dias treinados no período. A foto não é exibida. Ao abrir uma pessoa pelo ranking, o conteúdo disponível respeita a visibilidade do perfil dela; um perfil privado continua privado. Situação Premium, detalhes dos treinos, e-mail, medidas corporais e identificadores internos de conta não são exibidos no ranking.

Você pode deixar de participar a qualquer momento em Perfil > Privacidade, sem apagar treinos, histórico ou métricas privadas. Uma opção de saída já registrada continua sendo respeitada; a ausência de escolha explícita significa participação com nome e @username visíveis. Essa preferência não afeta rankings e desafios internos de grupos dos quais você decidiu participar.

Mesmo após sair, você continua podendo consultar a classificação e visualizar suas próprias métricas sem posição pública. Registros históricos restritos à administração podem ser mantidos quando necessários para auditoria, segurança e integridade do serviço.

3.11. Métricas internas no aplicativo nativo

Desde a tela inicial, o aplicativo mede etapas e tempo do onboarding sem vínculo com a conta, usando identificadores aleatórios de instalação e fluxo, plataforma, versão, idioma e fuso horário. Após criar a conta, a medição de uso e qualidade segue a preferência vigente. Novos eventos só recebem vínculo quando essa opção está ativada em Privacidade; não há associação retroativa. A ausência de nome ou e-mail não torna os registros anônimos: são tratados como dados pessoais pseudonimizados. A oposição na entrada ou em Configurações > Privacidade interrompe a coleta local imediatamente; quando sincronizada, o servidor elimina os eventos individuais correspondentes, preservadas as exceções legais e provas mínimas da oposição.

Os eventos medem ações e resultados, não o conteúdo: uma mensagem pode gerar apenas a categoria 'mensagem enviada'; um compartilhamento, apenas destino e sucesso; uma sincronização de saúde, apenas conexão, categorias autorizadas e resultado técnico. Texto, mídia, valores de saúde e destinatários não entram no payload analítico.

A finalidade é melhorar a experiência, corrigir erros, medir adoção, avaliar retenção, planejar produto e operação e produzir análises empresariais agregadas. A Rivlo não vende esses dados, não os usa para rastrear você entre apps e sites de terceiros e não solicita permissão ATT para esse sistema.

Relatórios agregados fornecidos pela App Store e pelo Google Play, assim como registros necessários de compras, segurança, fraude e obrigações legais, seguem suas próprias bases e não dependem do consentimento de analytics de produto.

Métricas técnicas de Apple Saúde e Health Connect exigem uma autorização separada e não incluem peso, passos, calorias, frequência cardíaca ou outros valores. A revogação apaga os eventos técnicos de saúde sem desconectar a integração nem apagar os dados operacionais solicitados pelo usuário.

Somente administradores autorizados podem abrir uma inspeção individual para suporte, privacidade, segurança, correção ou depuração. Esse acesso exige justificativa, revalida a permissão administrativa em cada leitura e é auditado. A justificativa permanece cifrada em repouso. O inspetor não exibe mensagens, fotos, prompts de IA nem valores importados de saúde.

As categorias de evento podem incluir, somente após consentimento de produto e, quando aplicável, autorização adicional de métricas técnicas de saúde:

• abertura, sessão, telas visitadas e origem de navegação
• criação, edição, início, retomada, abandono e conclusão de treinos
• uso do editor, importação, busca de exercícios, IA, compartilhamento e Comunidade
• exposição a ofertas, checkout e estado de compras confirmado pelas lojas
• permissão, entrega e abertura de notificações
• erros, tempo de inicialização, latência, uso offline, versão do app e classe geral do dispositivo

O sistema de analytics bloqueia expressamente:

• nome, e-mail, telefone ou @username dentro do evento analítico
• senha, código temporário, token de sessão, push token, receipt ou identificador de compra
• texto de busca, mensagem, comentário, denúncia, nota livre, prompt ou resposta de IA
• foto, imagem, URI, arquivo, EXIF ou link completo
• peso, gordura corporal, passos, calorias, frequência cardíaca ou outro valor de saúde
• IDFA, Advertising ID ou identificador destinado a publicidade entre apps

3.12. Médias da comunidade

No aplicativo nativo, assinantes Premium podem ver, na tela de um exercício, médias da comunidade calculadas a partir dos treinos registrados na Plataforma: carga média, repetições médias, 1RM estimado médio (fórmula de Epley) e a quantidade média de treinos em que o exercício foi feito, separadas por sexo (masculino ou feminino).

Essas médias são estatísticas agregadas. Primeiro calculamos um resumo por pessoa, para que cada pessoa conte uma única vez, e depois a média entre as pessoas. O cálculo é refeito uma vez por semana com os treinos dos últimos 12 meses, os valores são arredondados e cada média só é exibida quando pelo menos 5 pessoas do mesmo sexo registraram o exercício no período; a quantidade de pessoas aparece apenas em faixas, como “10+”. Nome, @username, foto, perfil, treinos individuais ou qualquer dado que identifique quem contribuiu nunca são exibidos.

Ficam de fora contas da equipe, contas de teste, contas com exclusão solicitada, contas sem maioridade confirmada (menores de 18 anos ou com a idade ainda não verificada), exercícios personalizados, séries de aquecimento, séries que o aplicativo marca como concluídas automaticamente ao encerrar um treino e pessoas que não informaram o sexo ou preferiram não informar. O resultado semanal guarda somente os números agregados, sem identificador de conta, e apenas as quatro versões mais recentes são mantidas.

As médias descrevem o que outras pessoas registraram; não são meta, recomendação de carga nem avaliação do seu desempenho. Base legal: legítimo interesse, com as salvaguardas acima. Se você não quiser que seus treinos entrem nessas médias, peça pelo Canal LGPD (seção 10); a exclusão passa a valer a partir do recálculo semanal seguinte.

3.13. Localização aproximada no Social

Para priorizar pessoas, publicações e grupos da sua região, a Rivlo usa somente cidade, estado e país, vinculados à sua conta. A localização do aparelho é opcional: explicamos a finalidade antes de pedir a permissão do sistema, e uma localização aproximada é suficiente. As coordenadas são usadas temporariamente no aparelho para consultar o serviço de geocodificação do sistema operacional; não são enviadas ao backend da Rivlo, guardadas por esse recurso ou usadas para rastreamento em segundo plano. A sua região não é exibida no seu perfil.

Sem a localização do aparelho, usamos uma estimativa de região pelo endereço IP da conexão. Para essa consulta, o backend envia somente o IP ao serviço GeoJS (https://www.geojs.io/), por conexão criptografada, sem nome, e-mail, identificador de conta ou conteúdo do usuário. A consulta está sujeita à política do provedor (https://www.geojs.io/privacy/). A estimativa pode ser imprecisa, especialmente em redes móveis e VPNs; quando não conseguimos obtê-la, o Social continua disponível com a ordenação geral. Esse recurso guarda somente a região resultante, sua origem e a preferência de permissão, sem guardar o IP consultado.

Você pode ativar a localização aproximada ou escolher usar apenas a estimativa por IP em Configurações > Localização no Social. Ao desativar a localização do aparelho e sincronizar essa decisão, a região anterior do aparelho é substituída pela estimativa disponível ou removida quando não há estimativa. A exclusão da conta apaga a preferência e a região privada mantidas por esse recurso.

Ao criar um grupo, vincular uma região é uma escolha separada. A tela mostra qual região será publicada e permite escolher cidade e estado ou apenas estado. Na opção apenas estado, a cidade é excluída dos dados do grupo. Essa região fica visível nas superfícies em que o grupo pode ser descoberto, conforme a visibilidade do próprio grupo; desativar a localização do aparelho não altera automaticamente os grupos já criados. Não enviamos a região a provedores de IA, anúncios ou eventos analíticos.

3.14. Medição opcional de anúncios no aplicativo nativo

A integração publicitária nativa com Meta está desativada nas versões atualmente distribuídas. Nas versões que forem configuradas e publicadas com essa integração, ela começa desligada e só pode ser autorizada por uma pessoa adulta autenticada em Configurações > Privacidade > Medição de campanhas. Essa escolha é separada de métricas internas, métricas técnicas de saúde, emails promocionais, cookies do site e aceite dos Termos. Recusar não bloqueia o uso da Rivlo, a contratação de assinaturas ou a restauração de compras.

Após essa autorização, o SDK da Meta pode enviar eventos de abertura do aplicativo em primeiro plano e dados técnicos do aplicativo e do dispositivo para medir anúncios e atribuir instalações. Um identificador gerado pelo SDK, chamado Facebook anonymous ID ($fbAnonId), também é associado à identidade de assinatura da conta no RevenueCat para atribuir eventos financeiros verificados, como início de teste, contratação e renovação. Apesar do nome, esse identificador não garante anonimato: pode permitir associação pelo dispositivo ou pela conta. O RevenueCat processa produto, valor, moeda, datas e estado da compra e transmite os eventos financeiros à Meta; o SDK do app não repete esses eventos. A integração descrita não envia eventos de cadastro à Meta.

No iOS, a medição exige também autorização de rastreamento na janela do sistema (ATT). Se você recusar essa permissão, a medição nativa com Meta permanece desligada. Esta configuração não coleta IDFA ou Advertising ID do Google e não envia nome, email, telefone, data de nascimento, treinos, medidas, dados de Apple Saúde ou Health Connect, mensagens, fotos, prompts ou conteúdo de IA para publicidade.

Você pode desativar a medição em Configurações > Privacidade a qualquer momento. A desativação interrompe os novos eventos do SDK neste aparelho antes da comunicação com o servidor. Se estiver offline, a retirada fica pendente e é reenviada quando houver conexão; a limpeza dos identificadores publicitários no RevenueCat também pode ficar pendente até ser confirmada. Uma limpeza pendente impede nova autorização de envio. Eventos já recebidos por terceiros e relatórios já produzidos não são apagados instantaneamente por essa ação; você pode solicitar informações ou eliminação pelo Canal LGPD, observadas as retenções aplicáveis descritas nesta Política.

A medição depende da escolha do usuário, da versão instalada, das permissões, da conectividade e das regras de atribuição da Meta e das lojas. Não identifica todas as instalações nem garante vincular cada instalação ou pagamento a uma campanha. Parâmetros de campanha no site não atravessam, por si só, uma nova instalação pela App Store.

3.15. Alimentação, planejamento e metas estimadas

A Alimentação do aplicativo nativo mantém diário, planejamento de refeições, metas estimadas e respostas somente depois da autorização específica para o diário, com texto, idioma, versão, decisão, hora e hash registrados pelo servidor. O aceite dos Termos não concede essa autorização. Pergunta de segurança, IA, métricas técnicas e estatísticas nutricionais possuem finalidades e escolhas separadas.

Com a autorização do diário, guardamos alimentos e bebidas registrados, quantidade, medida, refeição, data, horário e uma cópia dos valores nutricionais do momento do registro; alimentos, receitas, medidas, favoritos e refeições salvas próprios; recorrências usadas para sugerir novamente o que você costuma registrar; horários e preferências de exibição; respostas de rotina, refeições por dia, estilo alimentar, restrições e alimentos evitados, orçamento alimentar e suplementos; metas, dados usados no cálculo e o gasto diário descrito na seção 3.7. O planejamento guarda refeições futuras, porções, horários, padrões semanais, variações por data, versões e decisões. Planejamento não é consumo registrado.

Fotos que você escolhe anexar ao diário são guardadas como arquivos privados, acessíveis ao titular por links temporários. A foto anexada não é enviada à IA automaticamente. Remover ou substituir a foto, revogar o diário ou excluir a conta retira o vínculo e limpa os arquivos reservados para refeições que não tenham outra referência; um arquivo também usado em mensagem ou outra finalidade segue o ciclo dessa finalidade. A exportação inclui os metadados e vínculos das fotos.

A pergunta de segurança é opcional. Sim ou Não autorizam guardar somente a resposta, sem qual situação se aplica, para as proteções nutricionais. Prefiro não responder não concede autorização para uma resposta de saúde. Com Sim, não calculamos meta de calorias, escondemos calorias por padrão e desligamos metas de perda. A resposta não vai a IA, anúncios, analytics ou ao profissional vinculado. Você pode corrigir ou revogar; o estado mínimo da espera de 7 dias após Sim permanece para impedir que recusa ou revogação removam a proteção, sem guardar a situação clínica. A autorização do diário revogada também revoga essa autorização.

Usamos os registros para mostrar o diário e análises descritivas, organizar o planejamento, calcular metas, avisar sobre perda de peso acima do limite do recurso, apresentar check-in quando disponível e enviar lembretes se você ativar. O check-in usa diário e histórico de peso para calcular uma proposta que você decide aceitar ou manter; guarda estados de cálculo, propostas e decisões versionados. Esses cálculos não enviam os dados a uma IA externa nem registram consumo automaticamente. A biblioteca permite consultar os modelos gerais originais sem adaptar seu conteúdo. Em Meu cardápio, o aplicativo usa meta atual, refeições e horários, estilo alimentar, alimentos evitados, orçamento alimentar e ingredientes marcados nas preferências de receitas para selecionar alimentos e adaptar porções por cálculos no aparelho. A resposta de segurança e o vínculo profissional verificam a elegibilidade, sem enviar a situação clínica ao autor dos modelos. Guardamos no aparelho somente identificadores de modelo, escolhas e alternativa e um identificador calculado do contexto nesse arquivo de escolhas, sem metas ou respostas de saúde. Ao escolher Usar este cardápio, as refeições revisadas podem ser salvas no planejamento de hoje e no padrão dos próximos dias; substituir um planejamento existente exige confirmação. No ajuste de porções planejadas, o servidor lê a meta atual, os registros do diário e as refeições futuras selecionadas no dia para calcular uma proposta limitada; aplicar exige revisão e confirmação e grava as versões de porções e decisões necessárias à operação. Cardápios adaptados e ajustes respeitam proteções e vínculos profissionais e não alteram a meta canônica, planos profissionais ou refeições já consumidas. Nem geração, nem aplicação registra consumo automaticamente. A consulta e esses cálculos não enviam seus dados ao autor dos modelos ou a outro nutricionista, não iniciam atendimento nutricional e não declaram validação clínica individual de cada resultado.

A fonte principal de composição do catálogo de alimentos é TACO, 4ª edição revisada e ampliada, Campinas, 2011, de autoria do NEPA/UNICAMP; USDA FoodData Central é secundária do catálogo. O catálogo identifica também referências revisadas e alimentos próprios. A biblioteca de modelos gerais preserva os valores declarados nos materiais do autor e seus arredondamentos, sem recálculo automático pela Rivlo a partir de TACO ou USDA. Buscar ou registrar alimentos não envia dados pessoais a essas fontes. O scanner lê o código de barras no aparelho e pode enviar apenas o número à API da Rivlo para localizar alimento privado; não guarda nem envia a imagem da câmera. Nesta versão, não há consulta a Open Food Facts nem publicação automática em catálogos externos.

Descrever uma refeição por texto ou ditado, analisar foto de refeição ou ler rótulo com IA exige autorização específica antes do envio ao backend e à OpenAI, no exterior. Somente o texto ou imagem escolhido e o contexto mínimo da análise são enviados; resposta de segurança e registros importados de peso ou gordura do app de saúde não acompanham esse envio. A Rivlo reprocessa as imagens para remover metadados como localização. Texto, foto e resultado da extração não são persistidos pelo ledger operacional; o resultado fica temporariamente em memória para resposta e repetição idempotente. Dados que você revisar e confirmar são guardados no diário ou catálogo privado. Essas imagens de análise são distintas das fotos que você decide anexar ao diário.

No iPhone, o reconhecimento de fala iniciado pela Rivlo é executado somente no próprio aparelho. Sem suporte local, a captura não começa e permanece a digitação. No Android, o reconhecedor Google/sistema pode processar áudio fora do aparelho conforme o provedor e idioma; não prometemos reconhecimento Android sempre offline. A Rivlo não grava o áudio nem o envia à OpenAI. O texto transcrito aparece para edição antes de analisar; a permissão do microfone não autoriza envio de texto ou foto à IA.

As condições de processamento e retenção da OpenAI descritas na seção 3.6 também se aplicam à análise de refeições e rótulos. A opção técnica store: false não elimina todas as retenções do provedor. A Rivlo não declara que sua organização tenha Zero Data Retention sem confirmação contratual. Você pode recusar IA e registrar manualmente. No chat, enviar Alimentação e água exige a autorização adicional da seção 4.7; o consentimento do diário sozinho não permite o envio.

Metadados operacionais de uso da análise alimentar, sem texto, foto ou resultado, são retidos por até 35 dias. O saldo mínimo de uso diário pode permanecer por até 48 horas e os dias gratuitos já usados são guardados enquanto a conta existir para evitar reinício da oferta. Revogar o diário apaga o ledger operacional e o resultado temporário, mas não reinicia dias gratuitos, cotas ou reservas financeiras. Os registros de decisão e contabilização necessários permanecem sob as regras da seção 7; resultados de custo incertos não são tratados como pedidos gratuitos. A exclusão da conta remove os registros de oferta vinculados, observadas as provas e retenções aplicáveis.

Diário e planejamento são privados e não são disponibilizados ao nutricionista vinculado nesta versão; compartilhamento profissional futuro exige escopo próprio. Publicar uma refeição no Social é ação explícita na tela de compartilhamento e usa o público escolhido. A cópia publicada pode conter alimentos, porções e valores nutricionais e permanece independente de uma edição ou exclusão do registro original. Revogar o diário retira os anexos alimentares publicados; publicações com outro conteúdo conservam esse outro conteúdo, e publicações exclusivamente alimentares são removidas. Isso não recupera cópias já feitas por destinatários.

Contagens agregadas de uso não incluem valores de saúde nem identificam você. Eventos de métricas técnicas só são enviados com autorização própria e categorias fechadas; não incluem nomes de alimentos, texto, calorias, peso, nutrientes, resposta de segurança ou preferência de esconder números. Estatísticas internas com valores nutricionais, metas, água e gênero do perfil exigem outra autorização opcional, separada: mostram apenas grupos de pelo menos 10 pessoas, sem registros individuais. Retirar essa autorização elimina sua conta dos próximos cálculos sem apagar o diário. Autorizações anteriores do diário ou de métricas técnicas não concedem esse propósito.

Não usamos dados de Alimentação para publicidade, não os vendemos nem os usamos para treinar inteligência artificial. Para funcionar sem conexão, o app mantém cópia privada de dias recentes e de registros pendentes, apagada ao sair da conta, excluir a conta ou revogar o diário. Análises Premium e ajustes que precisam de servidor não recebem aprovação offline.

Em Configurações > Privacidade você pode exportar e revogar a autorização do diário. A revogação apaga registros, vínculos de fotos, alimentos e receitas próprios, favoritos, refeições salvas, planejamento, recorrências, metas e respostas alimentares; revoga a pergunta de segurança e as estatísticas nutricionais; e limpa os anexos alimentares publicados. Horários das refeições, preferências de exibição, peso e água já registrados permanecem em suas respectivas áreas. Estados mínimos de segurança, cotas, oferta e auditoria seguem as retenções acima e da seção 7. A exclusão da conta segue a seção 7.

3.16. Captura manual de corrida e percurso privado

Quando você inicia uma corrida ao ar livre e autoriza o GPS, o aplicativo usa posições precisas e horários para calcular distância, ritmo, voltas, qualidade do sinal e o traçado da sessão. O pedido é precedido de uma explicação na tela. No Android, a captura iniciada com o aplicativo visível pode continuar durante a sessão com a tela apagada ou outro app aberto, por um serviço com notificação persistente; não é solicitada permissão de localização permanente para essa finalidade. Pausar, encerrar ou descartar a sessão, sair da conta ou trocar de conta interrompe a captura. É possível continuar sem GPS e informar a distância, e a modalidade esteira não pede localização.

Os pontos ficam no banco local do aplicativo, separados por conta e servidor, e não são enviados à Rivlo por padrão. A escolha Salvar percurso privado na minha conta autoriza o envio daquele percurso ao backend Railway/PostgreSQL. Essa escolha fica desativada inicialmente e é separada da autorização de localização para grupos, de Apple Saúde e Health Connect, de analytics e da medição de campanhas. O resultado que você decide salvar pode incluir duração, distância, ritmo, voltas, blocos escolhidos, origem da distância, qualidade do sinal, esforço e observações que você informar; não é necessário enviar o percurso para salvar esse resumo.

No servidor, somente a conta titular pode consultar o percurso privado. Coordenadas não integram feed, grupos, ranking, analytics ou publicidade e não são enviadas a provedores de IA. Ao compartilhar uma corrida, é enviado apenas o resumo escolhido, sem coordenadas. A visualização padrão do trajeto é desenhada no aparelho, sem envio dos pontos a um serviço de mapas de terceiros.

Você pode apagar somente o percurso, preservando o resumo, ou excluir toda a corrida. A decisão é mantida quando há perda de conexão e a sincronização propaga a exclusão aos aparelhos da mesma conta; um envio atrasado não recria o percurso excluído no servidor. A exclusão da conta abrange também resultados e percursos. A cópia particular dos seus dados inclui os resultados e os percursos que você optou por guardar na conta. Os registros permanecem até a exclusão por você ou pelo encerramento da conta, observadas as retenções legais e de backups descritas na seção 7.

4. Para que usamos os dados (finalidades) e bases legais

Tratamos dados pessoais para:

4.1. Prestação do serviço e execução do contrato

Confirmar a elegibilidade 18+, criar e gerenciar conta, autenticar acesso, disponibilizar funcionalidades, suporte e comunicações operacionais. Base legal: execução de contrato e procedimentos preliminares relacionados.

4.2. Cobranças e comprovação de transações

Processar pagamentos, emitir comprovantes/relatórios e prevenir fraudes relacionadas a cobrança. Base legal: execução de contrato, cumprimento de obrigação legal/regulatória, legítimo interesse e exercício regular de direitos.

4.3. Segurança e prevenção a fraude/abuso

Monitorar acessos, detectar uso indevido, proteger contas, manter integridade da Plataforma (inclusive logs). Base legal: legítimo interesse, prevenção à fraude, cumprimento legal e exercício regular de direitos.

Isso inclui a verificação automática de conteúdo de textos e imagens descrita nas seções 3.6 e 3.9. Três recusas por conteúdo de ódio, em texto ou imagem, dentro de 24 horas suspendem por até 24 horas a publicação no feed e na Comunidade, os comentários e o envio de mensagens privadas. Por ser uma decisão tomada por tratamento automatizado que afeta seus interesses, você pode pedir a revisão pelo suporte (seção 10).

4.4. Melhoria do produto e análises

A finalidade das métricas opcionais é compreender uso, corrigir falhas e planejar melhorias, com base em consentimento específico. Revogar em Configurações > Privacidade interrompe a coleta, inclusive por instalação, sem perda de funcionalidades. Para outras finalidades com dados pessoais não sensíveis, eventual legítimo interesse depende de necessidade, balanceamento com os direitos do titular e salvaguardas; não substitui consentimento quando exigido nem autoriza tratar dados sensíveis. Logs essenciais de autenticação, segurança, pagamento e cumprimento legal seguem finalidades e bases próprias.

4.5. Comunicações

Enviar avisos operacionais (ex.: mudanças no serviço, segurança, recuperação de conta). Base legal: execução de contrato e legítimo interesse.

No site, Meta Pixel e atribuição de campanhas dependem da autorização de marketing nas preferências de cookies, desativada por padrão. Você pode revogá-la a qualquer momento. Comunicações promocionais devem oferecer opção de descadastramento e não se confundem com avisos necessários da conta.

4.6. Cumprimento legal e exercício de direitos

Atender obrigações legais/regulatórias, ordens de autoridades, auditorias e resguardar direitos em disputas.

4.7. Funcionalidades de IA

Podemos usar dados inseridos pelo usuário e contexto da conta para explicar conceitos, descrever registros, calcular métricas ou produzir análises solicitadas no chat, sem decidir o que a pessoa deve executar. No aplicativo nativo, antes de cada pedido ao chat de IA, inclusive atalhos de envio automático, uma confirmação identifica a OpenAI e informa quais dados podem acompanhar o pedido. Recusar impede esse envio, sem impedir os recursos manuais. No construtor assistido de musculação e calistenia do aplicativo nativo, o usuário é o autor: escolhe a quantidade de dias, cada exercício do catálogo, séries e repetições. A Rivlo abre a estrutura, organiza essas escolhas e calcula a distribuição muscular; perfil, medidas e histórico não são usados para escolher ou prescrever o treino. Geração personalizada, edição automática, substituição e recomendação pelo chat estão desativadas.

Na identificação por foto de aparelho, a análise recebe somente a imagem autorizada e o contexto mínimo do catálogo. Perfil, medidas, histórico e conversa não acompanham a foto. O resultado sugere opções compatíveis e exige escolha explícita antes de alterar o treino; um exercício novo pode ser salvo na biblioteca privada como parte da análise, mesmo que o usuário não o adicione à sessão atual.

O estado versão 3 desse construtor pode guardar modalidade, quantidade de dias e semanas, equipamentos informados, dia ativo, exercícios selecionados, séries, repetições, aprovações, revisão e identificador técnico do rascunho. Rascunhos dos fluxos personalizados anteriores não são retomados automaticamente. O registro manual de corrida da seção 3.16 é independente desse construtor e não habilita geração de treinos de corrida por IA.

Em “Meus modelos”, guardamos uma cópia da ficha escolhida pelo usuário, incluindo nome, modalidade, exercícios, séries, repetições, duração e identificador da ficha de origem. Esses dados permanecem privados na conta, não são enviados ao provedor de IA e servem somente para listar o modelo e criar outra ficha quando o usuário solicitar. Excluir um modelo não apaga fichas que já tenham sido criadas a partir dele.

Antes da pergunta de segurança, solicitamos consentimento específico para guardar somente uma resposta Sim/Não sobre dor, lesão ou sintoma agudo no estado da conversa. A finalidade exclusiva é bloquear preventivamente a continuidade e orientar avaliação profissional; não solicitamos diagnóstico. A pessoa pode recusar e seguir para o planejador manual. A resposta não é enviada ao provedor de IA nem ao analytics e pode ser eliminada com a exclusão da conversa ou da conta.

Peso, percentual de gordura, energia e resumos de treinos externos importados do Apple Saúde ou Health Connect não são incluídos no contexto enviado a provedores de IA. Passos só são incluídos mediante a autorização específica “Passos na IA”, descrita na seção 3.7. Com a autorização adicional “Alimentação e água na IA”, o chat pode cruzar alimentos, porções e nutrientes do dia, metas existentes e resumos dos últimos 30 dias de alimentação e hidratação com o contexto de treinos e medidas permitido. A resposta da pergunta de segurança da Alimentação não é enviada, e o modo sem números é respeitado. Alimentos criados pela IA ficam no catálogo privado do titular e seus valores são identificados como estimativas quando não vêm de uma fonte do catálogo. Registros dependem da revisão e confirmação do titular. Você pode recusar ou revogar cada autorização no chat ou em Privacidade; a revogação interrompe novos envios e a reutilização desse contexto de respostas anteriores, sem apagar as respostas já salvas.

O uso de chat, importação e identificação por foto é opcional. Não inclua diagnósticos, documentos ou informações de terceiros desnecessários à sua solicitação. A IA pode produzir erros; você controla o envio e deve revisar os resultados.

4.8. Dados de saúde e autorizações específicas

Dados que revelam saúde exigem hipótese própria do artigo 11 da LGPD. Ficha de saúde, acesso profissional, bloqueio preventivo, diário e planejamento alimentar, pergunta de segurança, IA alimentar e estatísticas nutricionais exigem autorização específica para sua finalidade, e não presumida pelo aceite dos Termos. Você pode recusar ou revogar cada escolha, com impacto no recurso dependente e as retenções mínimas explicadas nesta Política. As permissões do sistema operacional controlam Apple Saúde/Health Connect e não autorizam publicidade ou usos incompatíveis.

4.9. Médias da comunidade

Gerar as estatísticas agregadas descritas na seção 3.12, exibidas a assinantes Premium como referência na tela de cada exercício. Base legal: legítimo interesse, com resumo por pessoa, grupo mínimo de 5 pessoas, arredondamento, faixas no lugar da contagem exata e direito de oposição pelo Canal LGPD.

4.10. Alimentação e metas estimadas

Manter o diário, o planejamento e as metas estimadas, aplicar proteções, apresentar análises e check-in, gerar e adaptar cardápios e calcular propostas de ajuste de porções quando disponíveis, e contar o uso sem valores de saúde, conforme a seção 3.15. Base legal: consentimento específico para dados sensíveis (artigo 11, I, da LGPD), revogável em Configurações > Privacidade. Geração e adaptação de cardápios e ajuste de porções exigem o propósito food-diary.v2; a autorização food-diary.v1 permanece válida somente para o escopo anterior e não é promovida para os usos novos. IA, pergunta de segurança, estatísticas nutricionais e métricas técnicas têm autorizações próprias e não herdam essa autorização. Retenções mínimas de segurança, limites de uso e auditoria estão descritas nas seções 3.15 e 7; a transferência internacional segue a seção 6.

5. Com quem compartilhamos dados

Podemos compartilhar dados somente quando necessário para as finalidades acima, por exemplo com operadores e parceiros tecnológicos:

• Vercel: hospedagem e distribuição do frontend da Plataforma;
• Railway: hospedagem do backend, APIs e banco de dados PostgreSQL (PostgreSQL é a tecnologia do banco, não um destinatário independente);
• Cloudflare: DNS, segurança, roteamento e proteção de borda quando aplicável;
• Resend: envio de e-mails transacionais, como códigos de acesso e comunicações operacionais;
• Serviços de armazenamento de arquivos: armazenamento de imagens e arquivos enviados pelo usuário;
• Asaas: processamento de pagamentos, assinaturas, Pix, cartão, status de cobrança, emissão de notas fiscais, antifraude e conciliação;
• Apple App Store, Google Play, Google e Apple: quando a contratação, verificação de compra ou autenticação ocorrer por lojas de aplicativos ou login social;
• Anthropic: somente transcrição de fichas quando você autoriza explicitamente o aviso daquela importação, conforme a seção 3.6;
• OpenAI: respostas e análises solicitadas no chat, transcrição dos arquivos de importação, identificação de aparelhos pelas fotos autorizadas, análise autorizada de texto e fotos de refeições e de rótulos e verificação automática de conteúdo das imagens publicadas, conforme as seções 3.6, 3.15 e 4.7. O áudio do ditado alimentar não é enviado à OpenAI pela Rivlo. Imagens de mensagens privadas e a resposta de segurança não são enviadas;
• Expo Push Service, Apple Push Notification Service e Firebase Cloud Messaging (Google): entrega de notificações autorizadas, com token técnico do dispositivo e conteúdo do aviso;
• Sentry: registro técnico de erros do aplicativo e do servidor, para detectar e corrigir falhas. O evento leva apenas o identificador interno da conta, a rota e o tipo de erro; e-mail, nome, endereço IP, corpo da requisição, parâmetros da URL, conteúdo de mensagem, prompt de IA e valores de saúde são removidos antes do envio;
• Profissional de educação física ou nutrição que você vincula à conta: controlador independente que recebe nome e e-mail e, somente no escopo concedido, ficha de saúde, medidas e plano. Cada escopo é consentido separadamente, o acesso é registrado e você pode revogar. O diário e o planejamento alimentar pessoal não são disponibilizados ao profissional nesta versão;
• RevenueCat: gestão e verificação de assinaturas das lojas; na versão nativa com medição de campanhas habilitada e autorizada, também associa o identificador do SDK Meta à identidade de assinatura e transmite eventos financeiros para atribuição, conforme a seção 3.14;
• Meta: no site, somente com consentimento de marketing para Pixel e atribuição; na versão nativa configurada, somente com a autorização separada de medição de campanhas e, no iOS, ATT autorizado, para os eventos e identificadores descritos na seção 3.14;
• Ferramentas de e-mail, suporte, segurança e hospedagem: atendimento, comunicação operacional, proteção e manutenção da Plataforma.

Também podemos compartilhar para cumprimento legal, ordens judiciais/administrativas e proteção de direitos.

6. Transferência internacional

Fornecedores de infraestrutura, IA, notificações, suporte e armazenamento podem tratar dados fora do Brasil, inclusive nos Estados Unidos. A transferência precisa atender tanto à base legal do tratamento quanto a um mecanismo válido do artigo 33 da LGPD e da regulamentação da ANPD; a contratação de um fornecedor, por si só, não dispensa essas exigências.

Pelo Canal LGPD você pode solicitar informações sobre destinatários, países, finalidade, duração e mecanismo de transferência aplicável, bem como cópia das cláusulas pertinentes, resguardados segredos comerciais. Esta política não equivale a consentimento genérico para qualquer transferência internacional.

7. Retenção e exclusão

Mantemos dados pessoais:

• Enquanto sua conta estiver ativa e pelo tempo necessário para as finalidades desta Política; e
• Após o encerramento, pelo prazo necessário para cumprir obrigações legais, prevenir fraudes, resolver disputas e resguardar direitos.

Logs/registros de acesso: quando aplicável como provedor de aplicação, mantemos registros de acesso sob sigilo e segurança pelo prazo legal (ex.: 6 meses), nos termos do Marco Civil da Internet.

Na exclusão de conta, apagamos ou anonimizamos perfil, amizades, solicitações, mensagens privadas, treinos, progresso, chat, ranking, diário alimentar, arquivos privados vinculados, alimentos e receitas próprios, planejamento, metas, decisões e demais conteúdos da conta, mantendo somente registros necessários a obrigações legais, antifraude, auditoria, transações ou exercício regular de direitos. Arquivos usados em outras finalidades e as limpezas externas seguem seus próprios fluxos; não prometemos exclusão instantânea de backups ou cópias feitas por destinatários.

Na exclusão da conta pelo aplicativo, também tentamos remover do sistema de saúde os registros escritos pela Rivlo. Se a permissão estiver revogada ou o aparelho estiver indisponível, o titular ainda pode removê-los diretamente no Apple Saúde ou Health Connect.

As classes do sistema de métricas possuem os seguintes prazos técnicos padrão, sujeitos a obrigação legal ou exercício regular de direitos:

• eventos de produto vinculados: 395 dias;
• eventos de instalação nunca vinculados: 30 dias;
• rejeições técnicas e comprovantes de processamento: 30 dias;
• registros de entrega de push: 90 dias;
• métricas técnicas de Apple Saúde e Health Connect: 90 dias;
• arquivos de exportação prontos: 7 dias;
• sessões temporárias de inspeção individual: 15 minutos;
• agregados sem identificação: 36 meses;
• registros financeiros anonimizados: até 5 anos;
• auditoria mínima da decisão de consentimento: durante a conta e por até 5 anos após a última decisão;
• prova mínima de exclusão sem e-mail e protegida por HMAC: 5 anos.

Ao revogar analytics, a coleta local para e a fila pendente é descartada sem envio. A decisão fica pendente quando o aparelho está offline. Ao sincronizar, o servidor revoga o vínculo e elimina os eventos individuais correspondentes, respeitadas as exceções legais e as provas mínimas de consentimento. Não são prometidas anonimização irreversível de identificadores nem exclusão instantânea de backups. Você também pode pedir eliminação pelo Canal LGPD ou excluir a conta, observadas as retenções legais.

A retirada da medição de campanhas segue o fluxo separado da seção 3.14. Ao solicitar exclusão da conta, a autorização de novos envios é encerrada e o servidor agenda a remoção dos identificadores publicitários nas identidades de assinatura pertencentes à conta no RevenueCat. Uma fila técnica mínima de identificadores operacionais pode permanecer após a remoção da conta apenas até confirmar essa limpeza externa; ela não contém identificadores publicitários, email ou conteúdo de saúde. Isso não elimina automaticamente eventos já entregues à Meta, relatórios agregados ou registros de compra sujeitos às retenções e políticas aplicáveis.

No aplicativo nativo, abra Perfil > Configurações > Privacidade > Excluir conta, confirme o e-mail da conta e a ação final. No site, utilize Excluir conta na área de Perfil. Sem acesso ao app, solicite a exclusão pelo canal público https://rivlo.com.br/excluirconta ou por suporte@rivlo.com.br, sem necessidade de reinstalar o aplicativo.

A confirmação inicia o pedido e encerra o acesso; a remoção dos dados ocorre em processamento seguro em segundo plano e não é instantânea. O suporte pode informar o andamento e as retenções aplicáveis após verificar a titularidade. Excluir a conta não cancela automaticamente assinaturas da App Store ou Google Play: cancele também a renovação na loja para evitar novas cobranças.

8. Segurança da informação

Adotamos medidas técnicas e administrativas para proteger dados contra acessos não autorizados e situações acidentais ou ilícitas (ex.: perda, destruição, alteração, comunicação indevida).

Nenhum sistema é completamente infalível; por isso, trabalhamos com melhoria contínua de controles.

Incidentes de segurança: quando um incidente puder acarretar risco ou dano relevante aos titulares, adotaremos providências e realizaremos comunicações exigidas pela LGPD.

9. Cookies e tecnologias de rastreamento

No site, usamos cookies e tecnologias similares nas seguintes categorias:

• Necessários: login, segurança, sessão, preferências funcionais e funcionamento da Plataforma;
• Métricas internas do site: uso, navegação, erros e desempenho; a categoria começa desativada e depende da sua escolha no banner;
• Marketing e atribuição: Meta Pixel, eventos de checkout/compra e parâmetros UTM, fbclid ou gclid, somente com consentimento de marketing.

Você pode gerenciar cookies nas configurações do navegador e na central de preferências de cookies da Plataforma. Ao revogar marketing, a Rivlo bloqueia novos disparos de pixel/atribuição e limpa identificadores locais conhecidos quando tecnicamente possível.

O banner de cookies do site não autoriza a medição no aplicativo nativo. As métricas internas do app são descritas na seção 3.11; a medição opcional com Meta e RevenueCat nas versões nativas configuradas tem controle próprio, descrito na seção 3.14. A integração publicitária nativa permanece desativada nas versões atualmente distribuídas. Detalhes sobre cookies do site: https://rivlo.com.br/politicadecookies.

10. Direitos do titular e como exercer

Você pode solicitar, nos termos da LGPD, confirmação de tratamento, acesso, correção, anonimização, bloqueio ou eliminação, portabilidade, cópia dos seus dados, informações sobre compartilhamento, revisão quando aplicável, oposição e revogação de consentimento.

Para "confirmação de existência" e "acesso", a LGPD prevê resposta imediata (simplificada) ou completa em até 15 dias.

Canal: suporte@rivlo.com.br

Podemos solicitar somente informações necessárias para confirmar sua identidade e proteger sua conta. Analytics pode ser recusado ou revogado em Configurações > Privacidade, interrompendo a coleta sem bloquear funcionalidades. Medição de campanhas, emails promocionais, cookies do site e métricas técnicas de saúde têm controles separados.

Em Configurações > Privacidade, você pode solicitar uma cópia dos seus dados. Os direitos são exercidos gratuitamente, nos limites legais. Também é possível peticionar à ANPD e aos órgãos de defesa do consumidor. A revisão de decisões tomadas unicamente por tratamento automatizado pode ser solicitada quando afetarem seus interesses.

11. Crianças e adolescentes

A Plataforma é destinada exclusivamente a pessoas com 18 anos ou mais. A data de nascimento é validada no servidor e não é enviada ao analytics. Cadastros declarados como menores são recusados; contas existentes identificadas como menores ficam restritas a suporte, exportação e exclusão para permitir o encerramento seguro e o exercício dos direitos do titular.

12. Alterações desta Política

Atualizações serão publicadas com versão e data. Mudanças relevantes de finalidade, compartilhamento ou direitos devem ser comunicadas de forma destacada; quando o tratamento depender de consentimento, uma nova finalidade incompatível exige nova autorização antes do uso. A continuidade do uso não substitui essa autorização. Versões anteriores podem ser solicitadas pelo Canal LGPD.