Política de privacidade

O que fica no seu celular

O app guarda seu diário, peso, plano, medidas, fotos de progresso do corpo e configurações no próprio armazenamento, no seu celular. As fotos de progresso nunca são enviadas a lugar nenhum e não fazem parte do backup no nosso servidor. As pequenas fotos dos pratos que o app guarda para a revisão semanal e as fotos que você mostra ao coach também ficam no celular; só saem dele como parte de uma solicitação à IA (veja abaixo). No modo de reconhecimento “No aparelho”, a foto nem sequer sai do celular. (Se o Backup do iCloud estiver ativado no iOS, o backup do iPhone feito pela própria Apple inclui os arquivos do 17 Fit, como acontece com qualquer app.)

Do app Saúde, o 17 Fit só lê passos, calorias ativas e peso — para calcular seu gasto de energia a partir do quanto você realmente se movimenta — e não grava nada lá. Você mesmo concede e retira esse acesso: app Saúde → seu perfil → Apps → 17 Fit. O Apple Watch não tem conexão própria com o nosso servidor: o relógio troca dados apenas com o seu iPhone. Uma balança de cozinha Bluetooth se conecta diretamente ao celular.

O que fica no nosso servidor

• Uma conta anônima: um identificador aleatório; uma impressão digital (HMAC) do identificador do seu aparelho, para que seus dados voltem depois de reinstalar o app; a plataforma e a versão do sistema; e as datas em que a conta foi criada e usada pela última vez. Nunca pedimos e‑mail nem número de telefone, e só pedimos um nome no Acompanhamento — qualquer apelido serve. O token de acesso é guardado apenas como hash.
• Um backup dos dados do app, enquanto a sincronização estiver ativada: o diário, seu peso (incluindo as pesagens lidas do app Saúde), medidas, plano e cardápio, água, jejum, suplementos, configurações, sua conversa com o coach, o que o coach lembra sobre você, o dossiê do Coach Ultimate e os passos e calorias ativas lidos do app Saúde. Nenhuma foto entra nele. Você pode desativá‑lo e apagá‑lo do servidor em Perfil → Configurações → Dados → Privacidade e dados.
• Um registro das solicitações à IA: o horário, o tipo de solicitação, o modelo, o número de tokens, o custo, quanto tempo levou e — se a solicitação falhou — o texto de erro do provedor; no caso de um rascunho com IA feito por um especialista, também o vínculo de acompanhamento para o qual ele foi feito. Os limites diários do plano são contados a partir dele. As fotos, o texto das solicitações e as próprias respostas não são guardados.
• Suas avaliações das respostas do coach (polegar para cima ou para baixo, com motivos e um comentário, se você adicionar) — para melhorar o coach. A pergunta e a resposta só vão junto se você mesmo ativar “Incluir a pergunta e a resposta”; seus registros e fotos, nunca.
• Sua assinatura: o identificador da transação na App Store, o produto e o plano, se é mensal ou anual, se é um período de teste, a data de vencimento, se a renovação automática está ativada e se houve reembolso — para que o plano que você pagou funcione. Nunca vemos seus dados de pagamento: quem faz a cobrança é a Apple.
• Eventos de uso: a conclusão da configuração inicial, o primeiro registro, a abertura da tela Planos, compras, limites atingidos, cartões compartilhados, importações e etapas do Acompanhamento (uma chave compartilhada, uma proposta decidida) — para vermos o que funciona no app. Nunca o conteúdo do seu diário. O app os envia apenas ao nosso próprio servidor, nunca a terceiros; eles são guardados por 180 dias. Com a sincronização desativada, nenhum é registrado nem enviado.
• Convites: se você chegou por um link de indicação ou digitou um código de convite, guardamos de quem era o código e quando — para creditar os dias de Pro a vocês dois.
• Acompanhamento, se você usar: o nome ou apelido que você escolher e uma foto de perfil opcional; as chaves de acesso e o que cada uma libera; comentários, mudanças propostas e um histórico de acessos (quem mudou o quê e quando o seu especialista viu seus dados). Um especialista vê apenas as seções que você liberar — o dossiê do coach de IA também, só se você liberá‑lo — e apenas enquanto durar o acesso; no celular dele, seus dados ficam só na memória do app e nunca se misturam aos dados dele. Fotos do corpo e das refeições nunca são compartilhadas. No nível Conduz, as mudanças no seu cardápio, suplementos, metas, água e jejum são aplicadas sem a sua confirmação: você vê cada uma e pode desfazê‑la a qualquer momento. Quando um especialista no nível Aconselha ou Conduz toca em “Rascunho com IA”, o app dele envia ao provedor de IA, por meio do nosso servidor, a parte dos seus dados que está liberada para ele: seu perfil e metas, restrições alimentares, as duas últimas semanas em números e seus alimentos habituais, a tendência do seu peso, o cardápio e os suplementos — sem o seu nome nem qualquer identificador.
• Seu endereço IP é usado apenas para limitar quantas contas podem ser criadas, e quantas chaves de acesso e códigos de convite podem ser testados, a partir de um mesmo endereço por hora. Ele fica só na memória do servidor e nunca é gravado no banco de dados. A Cloudflare, cuja rede transporta a conexão, também o vê (veja abaixo).

IA

• O que vai para a IA. Fotos de refeições, de cardápios de restaurante e de rótulos nutricionais, refeições que você fala ou digita, receitas (uma foto, um texto ou o texto de uma página de um link) e perguntas ao coach passam pelo nosso servidor até o provedor do modelo — a OpenAI (EUA) ou a DeepSeek (China). Se um provedor falhar, o outro assume a mesma solicitação, para que sua resposta não se perca. O Coach Ultimate usa a DeepSeek: se você mostrar uma foto, um modelo da DeepSeek descreve a foto e outro responde a partir dessa descrição. Só se a DeepSeek falhar, a OpenAI responde no lugar dela. Quando você sai da conversa, o modelo do dia a dia (OpenAI ou DeepSeek, como acima) faz um resumo dela e atualiza o dossiê do Coach Ultimate.
• A internet. Quando o Open Food Facts não conhece um código de barras, ou você busca pelo nome um prato de restaurante, o código ou o nome passa pelo nosso servidor até a busca na web do DeepSeek, e um modelo do DeepSeek lê os resultados para obter os valores nutricionais do produto. O que ele encontra fica no nosso servidor como um item comum do catálogo — o produto e seus valores nutricionais, sem nenhum vínculo com você ou com a sua conta —, para que a próxima pessoa que escanear receba na hora. O link de uma receita que o celular não conseguiu abrir, ou uma receita que você busca pelo nome, vai da mesma forma para o leitor de páginas do DeepSeek. Quando o Coach Ultimate busca fontes, a busca do DeepSeek recebe a consulta do coach e a sua pergunta. Seu diário, seu nome e seus identificadores nunca fazem parte de uma busca na internet.
• Voz. O reconhecimento de fala da Apple transforma o que você diz em texto — no iPhone, no Apple Watch ou na Siri; se isso acontece no aparelho ou nos servidores da Apple, quem decide é o sistema. Só o texto chega ao nosso servidor: nunca recebemos uma gravação da sua voz.
• Apple Intelligence. Com o iOS 26 em um iPhone com a Apple Intelligence ativada e o app em português, inglês, alemão, espanhol, francês ou italiano (ou, a partir do iOS 26.1, em holandês, norueguês, sueco ou turco), uma refeição que você fala ou digita é entendida no próprio iPhone, e o texto fica lá. Só se o modelo do aparelho não conseguir entendê‑la, o texto vai para o nosso servidor, como descrito acima.
• O que o coach vê. Um resumo dos seus registros: seu perfil e metas, restrições alimentares, os alimentos de hoje e dos últimos dias em números, o cardápio da semana, peso e medidas, água, jejum, vitaminas e suplementos e — se o app Saúde estiver conectado — passos e calorias ativas. Também qualquer dia do diário que ele consultar para responder, o que ele lembra sobre você (“O que eu lembro”), as fotos que você mostrar a ele e, no caso do Coach Ultimate, o dossiê. Para a revisão semanal dos seus pratos, a IA recebe as fotos dos pratos da semana — no máximo uma por dia — e os números da semana.
• O app não acrescenta nome nem dados de contato a nenhuma solicitação; o que você mesmo escreve no chat vai como foi escrito. O provedor processa a solicitação segundo os próprios termos; a proteção de dados nesses países pode ser mais fraca do que na UE.

O que não fazemos

• Não exibimos anúncios nem incorporamos rastreadores de publicidade ou ferramentas de análise de terceiros que acompanhem o que você faz no app.
• Não vendemos seus dados, não traçamos o seu perfil e não tomamos decisões automatizadas com efeitos jurídicos.
• Compartilhamos dados apenas quando um recurso que você usa não funciona sem isso: com o provedor de IA, para as suas solicitações e para os rascunhos com IA de um especialista que você convidou; com a Apple, para pagamentos e reconhecimento de fala; com um especialista que você convidar para o Acompanhamento — só o que você liberar; e com a Cloudflare, a rede que transporta todo o tráfego para o nosso site e o nosso servidor e que vê endereços IP.
• Algumas coisas o celular faz diretamente, sem o nosso servidor. Quando você busca um produto pelo código de barras ou pelo nome, o celular envia a busca direto ao banco de dados Open Food Facts, que vê a busca e o seu endereço IP, mas não a sua conta; só um código que ele não conhece segue pelo nosso servidor até a busca na internet (veja “IA”). O próprio celular abre o link de uma receita, como faria um navegador — nosso servidor só lê a página se o celular não conseguir —, e baixa o “Modelo ampliado no aparelho” do Hugging Face, se você escolher instalá‑lo.
• Para identificar a comida no enquadramento para a foto automática e reconhecer fotos no modo “No aparelho”, o celular usa o modelo ML Kit, do Google. Ele não envia imagens a lugar nenhum, mas envia ao Google estatísticas técnicas sobre o próprio funcionamento: o modelo do aparelho e a versão do sistema, a versão do app, um identificador de instalação, além da velocidade e dos erros.

Por quanto tempo guardamos

O backup e a conta existem enquanto você usa o app. O registro das solicitações à IA fica no histórico da conta — ele é necessário para os limites e para a nossa própria contabilidade. Os eventos de uso são guardados por 180 dias. Um acompanhamento encerrado fica no histórico do cliente por 90 dias e depois é apagado. Uma vez por dia, o banco de dados é salvo num snapshot (uma cópia instantânea) no mesmo servidor; os snapshots com mais de duas semanas são apagados, então os dados apagados somem deles dentro desse prazo.

Como apagar

• Desativar a sincronização (Perfil → Configurações → Dados → Privacidade e dados) — o servidor para de receber dados novos, e o app para de enviar eventos de uso. A IA continua funcionando como antes.
• Apagar meus dados do servidor — todo o backup no servidor (diário, peso, configurações e tudo o mais que foi sincronizado), suas avaliações das respostas do coach e tudo o que é seu no Acompanhamento (chaves, vínculos com as respectivas conversas e históricos, seu nome e sua foto) são apagados de uma vez, e a sincronização é desativada. Os vínculos em que você é o especialista são encerrados; suas mensagens continuam no histórico do cliente. A conta, o plano e o registro de IA continuam, para que o app e a assinatura sigam funcionando; tudo o que está no celular fica como está.
• Apagar tudo — o mesmo no servidor e, além disso, tudo neste celular: o diário, o peso, o plano, as configurações, as fotos de progresso, as fotos dos pratos e as fotos que você mostrou ao coach. Sua assinatura continua, e o app recomeça do zero.
• Backup em arquivo — no mesmo lugar, se você quiser levar seus dados com você.
• A memória do coach — qualquer fato em “O que eu lembro” e qualquer item do dossiê do Coach Ultimate pode ser alterado ou removido direto no app.
• Excluir a conta por completo — a pedido: escreva para nós e apagamos a conta com a impressão digital do aparelho, o backup, suas avaliações do coach, o Acompanhamento, os eventos de uso, os convites e o registro da assinatura. Só duas coisas ficam, sem vínculo com nenhuma conta: as linhas do registro de IA, como números de custo anônimos, e os avisos da Apple sobre mudanças na assinatura.
• Uma assinatura é cancelada no seu iPhone ou iPad: Ajustes → seu nome → Assinaturas. Excluir a conta não a cancela.

Seus direitos

Tratamos esses dados para executar o nosso contrato com você (para que a sincronização e os limites do seu plano funcionem) e com base no nosso legítimo interesse em manter o serviço funcionando e livre de abusos. Se você está na UE, no EEE ou no Reino Unido, tem os direitos de acesso, retificação, eliminação, portabilidade dos dados e oposição, e pode apresentar uma reclamação à autoridade de proteção de dados do seu país. A maioria deles você exerce com um toque no próprio app (veja acima); para os demais, basta nos escrever. O acesso ao app Saúde, à câmera, ao microfone e ao reconhecimento de fala pode ser retirado a qualquer momento nos Ajustes do iOS e no app Saúde.