Política de Privacidade

1. Introdução

A Intercept ("nós", "nosso" ou "aplicativo") valoriza a privacidade dos nossos usuários. Esta Política de Privacidade descreve como coletamos, usamos, armazenamos e protegemos suas informações pessoais quando você usa nosso aplicativo de saúde e bem-estar.

Ao usar o Intercept, você concorda com a coleta e uso de informações de acordo com esta política. Esta política está em conformidade com a Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018), o Regulamento Geral sobre a Proteção de Dados da União Europeia (GDPR) e a Lei de Privacidade do Consumidor da Califórnia (CCPA).

2. Dados que Coletamos

Coletamos os seguintes tipos de dados para fornecer e melhorar nossos serviços:

2.1 Dados de Saúde e Biométricos

• Registros de alimentação e nutrição (entrada manual, análise de fotos, consultas a APIs de alimentos)
• Peso corporal, percentual de gordura corporal e medidas corporais
• Dados de hidratação e consumo de cafeína
• Registros de exercícios e treinos (incluindo via integrações opcionais com Apple Health, Google Health Connect, Withings, Strava e Fitbit)
• Padrões de sono, frequência cardíaca, variabilidade da frequência cardíaca (HRV), frequência cardíaca de repouso, VO2Max e pressão arterial (via integrações com plataformas de saúde e Withings)
• Dados de composição corporal de balanças inteligentes conectadas via Bluetooth ou Withings (peso, gordura corporal, massa muscular, percentual de água)
• Registros de impulsos alimentares e interceptações (alimento, quantidade, horário, duração da pausa e desfecho)
• Fotos de refeições e rótulos enviadas para reconhecimento por IA — processadas em tempo real pelo Claude Vision e DESCARTADAS imediatamente após a análise. Nenhuma foto é armazenada em nossos servidores nem utilizada para treinar modelos de IA. Apenas o resultado da análise (texto/macros) é mantido no seu histórico nutricional
• Sinalização de risco de transtorno alimentar (edSafetyFlag), gerada a partir de respostas opcionais no onboarding. Quando ativada, desabilita automaticamente o rastreamento calórico e o coaching proativo. Esta flag é dado sensível e mantida cifrada até a exclusão da conta

2.2 Dados Comportamentais e Emocionais (Sensíveis)

• Estados emocionais durante impulsos alimentares, escolhidos em 6 categorias fixas: estresse, tédio, ansiedade, tristeza, fadiga e solidão (não há campo de texto livre para emoção, reduzindo a coleta de PII)
• Níveis de intensidade de impulsos e resultados (resistiu ou cedeu)
• Padrões de gatilhos comportamentais (horário do dia, dia da semana, contexto emocional)
• Histórico de sucessos e falhas na interceptação de impulsos
• Compromissos diários e reflexões pós-falha (texto escrito pelo usuário no Check-In Pós-Falha em 4 estágios, incluindo padrão identificado, gatilhos detectados e estratégias para a próxima vez)
• Avaliações de feedback do coach (curtir/não curtir)

2.3 Dados de Uso

• Interações com o aplicativo e histórico de uso de funcionalidades
• Preferências e configurações
• Estatísticas de progresso e dados de gamificação (sequências, pontos, níveis, conquistas)
• Duração de sessão e padrões de engajamento

2.4 Memória Semanal da Coach IA (Ember)

Com seu consentimento explícito em dupla camada (preferência local "AI_MEMORY" + cabeçalho HTTP X-Ai-Memory-Consent obrigatório em cada chamada), a coach Ember mantém uma memória semanal agregada para tornar as conversas contextuais entre dispositivos. Este resumo contém:

• Contagem agregada de vitórias e cessões da semana
• Emoção dominante (entre 6 categorias fixas: estresse, tédio, ansiedade, tristeza, fadiga, solidão)
• Período de risco canonizado (manhã/tarde/noite/madrugada) — sem horários exatos
• Narrativa curta gerada automaticamente, com sanitização para remover identificadores pessoais (PII)

2.5 Dados Técnicos

• Tipo de dispositivo, modelo e versão do sistema operacional
• Identificador único do dispositivo (usado para autenticação, armazenado com segurança)
• Logs de erros e crashes (via Sentry, com seu consentimento)
• Versão do aplicativo e plataforma (iOS/Android)

3. Como Usamos Seus Dados

• Fornecer funcionalidades personalizadas e coaching por IA
• Gerar insights de saúde, análise de padrões comportamentais e recomendações
• Sincronizar dados entre dispositivos e manter seu histórico de progresso
• Melhorar a experiência do usuário através de analytics anonimizados (com seu consentimento)
• Enviar notificações relevantes (com sua permissão)
• Realizar análises agregadas e anônimas para melhoria do serviço

3-A. Base Legal para o Tratamento

Processamos seus dados sob as seguintes bases legais, conforme exigido pelo GDPR Artigo 6, LGPD Artigo 7 e CCPA:

• Necessidade contratual (GDPR Art. 6(1)(b) / LGPD Art. 7(V)): Funcionalidades essenciais do app — registro de alimentos, acompanhamento de progresso, gerenciamento de sequência, sincronização de dados e gerenciamento de assinatura. Este tratamento é necessário para fornecer o Serviço contratado.
• Consentimento explícito (GDPR Art. 6(1)(a) + Art. 9(2)(a) / LGPD Art. 11(I)): Dados de saúde e biométricos, dados emocionais/comportamentais, integração com Apple Health/Google Health Connect, integração Withings/Strava/Fitbit, dados de balanças Bluetooth, personalização do coaching por IA, memória semanal da Ember (consentimento em DUPLA camada: preferência local + cabeçalho HTTP X-Ai-Memory-Consent), reconhecimento de alimentos por foto via Claude Vision e analytics/relatórios de erros (Mixpanel, Sentry). Você pode revogar o consentimento a qualquer momento via Configurações > Privacidade.
• Interesse legítimo (GDPR Art. 6(1)(f) / LGPD Art. 7(IX)): Prevenção de fraudes, segurança do serviço, limitação de requisições e logs técnicos essenciais. Realizamos uma Avaliação de Interesse Legítimo (LIA) confirmando que estes interesses não se sobrepõem aos seus direitos fundamentais.
• Obrigação legal (GDPR Art. 6(1)(c) / LGPD Art. 7(II)): Retenção de registros de transações financeiras conforme exigido por leis tributárias e de proteção ao consumidor.

A revogação do consentimento não afeta a legalidade do tratamento realizado antes da revogação. Após a revogação, cessaremos o tratamento das categorias de dados relevantes, embora as funcionalidades essenciais do app que dependem de tratamento contratual continuarão funcionando.

4. Armazenamento e Segurança

Seus dados são armazenados de forma segura:

• Dados sensíveis são criptografados usando AES-256
• Comunicação segura via HTTPS/TLS 1.3
• Armazenamento local protegido pelo Keychain (iOS) e Keystore (Android)
• Backups criptografados em servidores seguros
• Certificate pinning para prevenir ataques MITM

Mantemos seus dados pelo tempo necessário para fornecer os serviços ou conforme exigido por lei. Você pode solicitar a exclusão a qualquer momento.

5. Compartilhamento de Dados

Não vendemos seus dados pessoais. Podemos compartilhar dados apenas:

• Com prestadores de serviços essenciais (ex: hospedagem em nuvem)
• Quando exigido por lei ou ordem judicial
• Com seu consentimento explícito
• De forma agregada e anônima para pesquisas

6. Seus Direitos

Conforme a LGPD, você tem os seguintes direitos:

• Acesso: Solicitar cópia de todos os seus dados
• Correção: Corrigir dados incorretos ou desatualizados
• Exclusão: Solicitar a exclusão de seus dados
• Portabilidade: Receber seus dados em formato estruturado
• Revogação: Retirar consentimento a qualquer momento
• Informação: Saber com quem compartilhamos seus dados
• Oposição: Se opor ao tratamento de dados

7. Integrações de Terceiros e Operadores de Dados

O Intercept se integra com os seguintes serviços de terceiros. Todas as integrações (exceto infraestrutura essencial) são opcionais e requerem seu consentimento explícito:

7.1 Plataformas de Saúde

• Apple Health (HealthKit) — Leitura/escrita de dados de saúde, treinos, sono, frequência cardíaca e dados dietéticos. Dados permanecem no dispositivo; processados localmente.
• Google Health Connect — Leitura/escrita de atividades, sono e métricas corporais no Android. Dados permanecem no dispositivo; processados localmente.
• Withings (OAuth 2.0) — Leitura de peso, gordura corporal, massa magra, frequência cardíaca, pressão arterial e temperatura corporal. Tokens OAuth armazenados em armazenamento seguro do dispositivo; segredo do cliente tratado apenas no servidor.
• Strava (OAuth 2.0) — Sincronização de atividades de treino, distância, elevação, duração. Tokens OAuth armazenados com segurança; segredo do cliente tratado apenas no servidor.
• Fitbit (OAuth 2.0 PKCE) — Sincronização de atividades, sono, passos, peso, frequência cardíaca. Tokens armazenados em armazenamento seguro do dispositivo.
• Balanças Inteligentes Bluetooth (BLE) — Recebimento de dados de peso e composição corporal. Conexão é local dispositivo-a-dispositivo apenas; dados não são transmitidos a terceiros.

7.2 Operadores de Dados

Utilizamos os seguintes prestadores de serviços para operar o Serviço. Acordos de Processamento de Dados (DPAs) estão em vigor com cada operador conforme exigido pelo GDPR Artigo 28 e LGPD Artigo 39:

Você pode desabilitar qualquer integração opcional a qualquer momento via Configurações > Integrações ou Configurações > Privacidade. A desativação interromperá imediatamente o compartilhamento de dados com aquele serviço.

8. Menores

O Intercept não é destinado a menores de 18 anos. Realizamos verificação de idade antes de conceder acesso ao Serviço. Não coletamos intencionalmente dados de menores. Se você é pai/responsável e acredita que seu filho nos forneceu dados pessoais, entre em contato conosco imediatamente em [email protected]. Consulte também a Seção 17 (Requisitos de Idade por Jurisdição) para regras específicas por país.

9. Alterações nesta Política

Podemos atualizar esta política periodicamente. Notificaremos você sobre alterações significativas através do aplicativo ou por e-mail. Recomendamos revisar esta política regularmente.

10. Contato

Para exercer seus direitos ou tirar dúvidas sobre privacidade:

11. Transferência Internacional de Dados

Seus dados podem ser processados em servidores localizados fora do Brasil/União Europeia. Garantimos que tais transferências estão protegidas por:

• Cláusulas contratuais padrão da Comissão Europeia
• Certificações de adequação (quando aplicável)
• Medidas técnicas e organizacionais apropriadas conforme LGPD e GDPR

Provedores de infraestrutura e suas salvaguardas específicas de transferência:

Todas as transferências utilizam as Cláusulas Contratuais Padrão (SCCs) da Comissão Europeia de 2021 como mecanismo principal de transferência, complementadas por medidas técnicas incluindo criptografia em trânsito (TLS 1.3), criptografia em repouso (AES-256) e controles de acesso. Avaliamos regularmente o quadro jurídico nos países destinatários e implementamos medidas suplementares quando necessário, em conformidade com a decisão Schrems II.

12. Períodos de Retenção de Dados

Mantemos seus dados pelos seguintes períodos específicos, em conformidade com o princípio de minimização de dados (GDPR Art. 5(1)(e) / LGPD Art. 16):

• Dados de conta: Enquanto a conta estiver ativa + 30 dias após solicitação de exclusão
• Dados de saúde e comportamentais: Retidos durante todo o período em que a conta estiver ativa. Após solicitação de exclusão, os dados são removidos permanentemente em até 30 dias (veja os passos de exclusão abaixo).
• Registros de transações financeiras: Conforme exigido por leis tributárias e de proteção ao consumidor aplicáveis (normalmente 5 anos)
• Logs técnicos e de erros: 90 dias
• Dados de analytics: 2 anos (anonimizados após 6 meses; identificadores brutos excluídos após 6 meses)

Após solicitação de exclusão da conta:

1. Exclusão lógica imediata (dados não mais acessíveis por você ou nossos sistemas)
2. Exclusão física dos bancos de dados primários em até 7 dias
3. Exclusão física dos backups em até 30 dias
4. Dados anonimizados e não-reversíveis agregados podem ser retidos para análises estatísticas

12-A. Registros de Atividades de Tratamento (ROPA)

Em conformidade com o GDPR Artigo 30 e LGPD Artigo 37, mantemos Registros de Atividades de Tratamento (ROPA) detalhados documentando todas as categorias de tratamento de dados, seus propósitos, bases legais, períodos de retenção e medidas de segurança. Este registro está disponível para inspeção por autoridades de proteção de dados mediante solicitação.

13. Tomada de Decisão Automatizada

O Serviço utiliza processamento automatizado, incluindo inteligência artificial e aprendizado de máquina, das seguintes formas:

• Coaching por IA (Ember): Mensagens motivacionais personalizadas, insights comportamentais e diálogo multi-turno gerados por IA (Anthropic Claude Sonnet e Haiku; OpenAI/OpenRouter como fallback). Com seu consentimento explícito em dupla camada, a Ember usa uma memória semanal agregada (vide Seção 2.4) para contextualizar respostas. Estas saídas são apenas informativas e motivacionais — não produzem efeitos jurídicos ou efeitos significativos similares sobre você. Um algoritmo de bandit multi-armed (Thompson sampling) decide qual estilo de coach (Direto, Empático, Analítico) tende a funcionar melhor para você; você pode travar uma escolha manualmente.
• Reconhecimento de Comida e Análise Nutricional: Reconhecimento de pratos e rótulos por IA de visão (Claude Vision), Plate Scanner multi-itens e análise de descrição textual via tool-use estruturado para estimar conteúdo calórico e de macronutrientes. As fotos são DESCARTADAS imediatamente após a análise — apenas o resultado em texto é mantido. São estimativas aproximadas, não avaliações médicas.
• Detecção de Crise: Triagem automatizada por palavras-chave (autolesão, ideação suicida, jejum prolongado, purga) executada ANTES de qualquer chamada à IA. Quando detectada, a requisição é bloqueada (HTTP 409), nenhum prompt é enviado ao LLM, e o app exibe recursos locais de apoio (CVV no Brasil, NEDA nos EUA). Apenas um hash SHA-256 do input é registrado para auditoria, sem armazenar o conteúdo original.
• Triagem de Bem-Estar (ED Safety Gate): Avaliação opcional no onboarding que pode acionar a flag edSafetyFlag. Quando ativada, o app DESABILITA automaticamente o rastreamento calórico, o coaching proativo e o uso da memória da Ember em prompts. Você pode revisar e revogar essa flag em Configurações > Bem-estar.
• Detecção de Padrões Comportamentais: Aprendizado de máquina local (MiniNN, executado apenas no seu dispositivo) analisa seus padrões de impulsos, correlações de gatilhos e sinais de engajamento para personalizar sua experiência.
• Sistema de Tiers de Coaching: Restrição automatizada de conteúdo baseada em suficiência de dados (ex: cards são exibidos apenas quando existem registros alimentares suficientes). Isso garante conteúdo relevante e não enganoso.
• Inteligência de Engajamento: Análise de padrões de sessão e uso de funcionalidades para otimizar a experiência do usuário e detectar risco potencial de abandono.

Seus direitos em relação ao processamento automatizado:

• Você tem o direito de obter informações significativas sobre a lógica envolvida em qualquer processamento automatizado
• Você tem o direito de solicitar revisão humana de qualquer decisão automatizada que o afete significativamente
• Você tem o direito de expressar seu ponto de vista e contestar qualquer decisão automatizada
• Nenhuma decisão automatizada neste Serviço produz efeitos jurídicos ou efeitos significativos similares — todas as saídas são informativas e motivacionais

Não utilizamos tomada de decisão automatizada para perfilamento que produza efeitos jurídicos. Scores de engajamento e propensão são usados exclusivamente para melhoria interna do produto e nunca são compartilhados com terceiros ou usados para negar serviço.

14. Notificação de Violação de Dados

Em caso de violação de segurança que afete seus dados pessoais, notificaremos:

• Você, em até 72 horas após a identificação do incidente
• A Autoridade Nacional de Prote\u00e7\u00e3o de Dados (ANPD), conforme exigido pela LGPD
• Autoridades de prote\u00e7\u00e3o de dados da UE, conforme exigido pelo GDPR
• Outras autoridades competentes, quando aplicável

Tomaremos medidas imediatas para mitigar os efeitos da violação e prevenir recorrências.

15. Direitos CCPA (Resid. Califórnia)

Se você é residente da Califórnia, possui os seguintes direitos adicionais sob a CCPA e CPRA:

• Direito de Saber: Você pode solicitar divulgação das categorias e peças específicas de informações pessoais que coletamos sobre você nos últimos 12 meses.
• Direito de Exclusão: Você pode solicitar a exclusão de suas informações pessoais, sujeito a certas exceções.
• Direito de Recusar a Venda: NÃO vendemos suas informações pessoais a terceiros. NÃO compartilhamos suas informações pessoais para publicidade comportamental entre contextos.
• Direito à Não-Discriminação: Não discriminaremos você por exercer seus direitos sob a CCPA.
• Direito de Correção: Você pode solicitar a correção de informações pessoais imprecisas.
• Direito de Limitar o Uso de Informações Pessoais Sensíveis: Você pode limitar nosso uso de suas informações pessoais sensíveis (saúde, dados emocionais) ao que é necessário para fornecer o Serviço.

Para exercer seus direitos CCPA, entre em contato conosco em [email protected] ou use as ferramentas de exportação e exclusão de dados no app (Configurações > Gerenciamento de Dados).

16. Cookies, SDKs e Tecnologias de Rastreamento

Como aplicativo móvel, o Intercept não utiliza cookies de navegador. No entanto, utilizamos as seguintes tecnologias de rastreamento:

• SDKs de Analytics (Mixpanel): Coleta dados de eventos anonimizados e uso de funcionalidades. Requer seu consentimento opt-in. Pode ser desabilitado em Configurações > Privacidade.
• SDKs de Rastreamento de Erros (Sentry): Coleta relatórios de crash e dados de performance. Requer seu consentimento opt-in. Pode ser desabilitado em Configurações > Privacidade.
• Identificador do Dispositivo: Um ID único do dispositivo gerado no primeiro lançamento, armazenado de forma segura no Keychain (iOS) ou Keystore (Android) do seu dispositivo. Usado para autenticação e sincronização de dados.
• AsyncStorage: Armazenamento local criptografado usado para persistir o estado do app, preferências e dados em cache no seu dispositivo.
• Armazenamento Seguro (expo-secure-store): Usado para armazenar tokens sensíveis (OAuth, chaves de API) com criptografia respaldada por hardware.

Você tem controle total sobre o rastreamento opcional. Rastreamento essencial (ID do dispositivo, armazenamento local) é necessário para o funcionamento do Serviço. Todo rastreamento opcional (analytics, relatórios de erros) pode ser desabilitado a qualquer momento via Configurações > Privacidade, e respeitamos sua escolha imediatamente.

17. Requisitos de Idade por Jurisdição

O Intercept é destinado a usuários com 18 anos ou mais. Realizamos verificação de idade antes de permitir acesso ao Serviço. As seguintes regras específicas por jurisdição se aplicam:

• União Europeia (GDPR Art. 8): Idade mínima para consentimento de tratamento de dados é 16 anos (ou inferior conforme definido por estados-membros, mínimo 13). O Intercept define um requisito mais rigoroso de 18+ devido à natureza sensível dos dados de saúde e comportamentais.
• Brasil (LGPD Art. 14): O tratamento de dados de crianças (menores de 12 anos) requer consentimento específico e em destaque dos pais. Adolescentes (12-17) podem consentir com ciência dos pais. O Intercept define um requisito mais rigoroso de 18+.
• Estados Unidos (COPPA): Crianças menores de 13 anos requerem consentimento parental verificável. O Intercept define um requisito mais rigoroso de 18+.
• Califórnia (CCPA/CPRA): Proteções adicionais para consumidores menores de 16 anos. O Intercept define um requisito mais rigoroso de 18+.

Se descobrirmos que um usuário menor de 18 anos acessou o Serviço, excluiremos prontamente todos os dados associados e encerraremos o acesso. Pais ou responsáveis que acreditem que seu menor utilizou o Serviço devem nos contatar imediatamente em [email protected].

18. Histórico de Versões

Esta política é versionada para transparência. Alterações materiais são comunicadas pelo app e, quando exigido, por e-mail.

• v1.0 — Janeiro de 2026: publicação inicial.
• v1.1 — Março de 2026: expansão com direitos CCPA, divulgação completa de operadores, base legal para tratamento, decisões automatizadas, ROPA e tecnologias de rastreamento.
• v1.2 — Maio de 2026: adicionada Seção 2.4 (Memória Semanal da Coach IA "Ember") com consentimento em dupla camada e TTL de 90 dias no Cloudflare KV; explicitação do fluxo efêmero de fotos para Claude Vision (Plate Scanner e Photo Food); adição da integração Withings na lista de plataformas de saúde, operadores e transferências internacionais; adição da Detecção de Crise e do Wellbeing Screening (ED Safety Gate) em decisões automatizadas; refinamento das emoções coletadas para 6 categorias fixas; menção ao Check-In Pós-Falha em 4 estágios; menção a OpenAI/OpenRouter como provedor de IA de fallback.