Política de Privacidade

O ScaleAi é operado por Diego Horvatti, que é o controlador dos seus dados. O contato para qualquer assunto de privacidade, incluindo pedidos da LGPD e, para quem está na União Europeia, do GDPR, é contact@horvatti.com.

Coletamos apenas o que o aplicativo precisa para funcionar. Você fornece quase todos eles diretamente. Não compramos dados nem cruzamos informações de terceiros.

• Cadastro: nome, e-mail, telefone (opcional), gênero e data de nascimento.
• Dados de saúde e exercício: peso, altura, medidas corporais, percentual de gordura, treinos realizados, séries, cargas, repetições e anotações que você escreve.
• Alimentação: refeições, alimentos e metas nutricionais que você registra.
• Fotos de progresso e fotos de refeição: apenas as que você escolhe enviar.
• Conversas com o assistente de IA: as mensagens que você escreve, quando aciona o assistente.
• Dados técnicos: modelo do aparelho, sistema operacional, versão do app e registros de erro, usados para corrigir falhas.
• Dados de acesso: endereço IP e identificação do dispositivo, registrados quando você entra na conta, para reconhecer aparelhos conhecidos e avisar sobre acessos novos.

Peso, altura, medidas corporais, percentual de gordura, registros de treino e alimentação e fotos de progresso são dados pessoais sensíveis pela LGPD e categoria especial de dados pelo artigo 9 do GDPR.

Tratamos esses dados com base no seu consentimento explícito: ao registrar uma medida, um treino, uma refeição ou uma foto, você consente com o tratamento daquele dado para montar seus gráficos, históricos e comparações dentro do aplicativo. Você pode retirar o consentimento a qualquer momento apagando o registro, apagando a foto ou excluindo a conta — sem que isso afete o que já foi feito antes da retirada.

Não usamos esses dados para publicidade, não os vendemos e não os compartilhamos com anunciantes, seguradoras, empregadores ou qualquer terceiro com finalidade comercial.

• Autenticar você e manter sua conta funcionando.
• Registrar e exibir sua evolução de treino, medidas e alimentação.
• Responder às suas perguntas quando você aciona o assistente de IA.
• Enviar e-mails operacionais: verificação de conta, recuperação de senha, alerta de novo acesso e avisos sobre exclusão de conta.
• Corrigir erros do aplicativo a partir de registros técnicos de falha.
• Proteger a conta contra acesso indevido.

Cada uso dos seus dados se apoia em uma base legal. Em linguagem simples, é assim que se divide (artigo 6 do GDPR, e as bases equivalentes da LGPD):

• Execução do contrato: manter sua conta, autenticar o acesso, guardar e exibir o que você registra de treino e dieta, e enviar os e-mails operacionais que fazem o serviço funcionar.
• Consentimento: dados de saúde, fotos de progresso e de refeição, e o uso do assistente de IA. Você dá esse consentimento ao registrar o dado ou ao acionar o assistente, e pode retirá-lo apagando o dado ou a conta.
• Interesse legítimo: segurança da conta, prevenção de acesso indevido e fraude, e correção de erros do aplicativo a partir de registros técnicos de falha. Você pode se opor a esses tratamentos escrevendo para o e-mail de contato.
• Cumprimento de obrigação legal: quando a lei exigir que a gente guarde ou entregue alguma informação.

Não vendemos seus dados. Compartilhamos apenas com os serviços necessários para o app existir, e cada um recebe só o mínimo para cumprir sua função:

• Supabase: banco de dados e armazenamento das suas fotos, na região us-west-2 (Oregon, Estados Unidos).
• Vercel: hospedagem da API e do site.
• Google (SMTP do Gmail): envio das mensagens de verificação, recuperação de senha, alerta de novo acesso e avisos de exclusão.
• OpenRouter e Google (modelos Gemini): quando você aciona o assistente de IA, recebem as mensagens da conversa, os dados do seu perfil e do seu dia (treino e dieta) que dão contexto, e a foto da refeição quando você envia uma. Nada disso é enviado se você não usa o assistente.
• OpenFoodFacts: quando você escaneia um código de barras, recebe apenas o código de barras, sem nenhum dado seu.
• ipwho.is: quando um acesso novo dispara o alerta de segurança, recebe o endereço IP daquele acesso para resolver a cidade aproximada que aparece no e-mail.
• OpenStreetMap: recebe apenas a coordenada aproximada dessa cidade — nunca o seu endereço IP, o seu nome ou qualquer outro dado da conta — para devolver a imagem de mapa embutida no e-mail de alerta.

Seus dados são armazenados e processados nos Estados Unidos: o banco de dados e as fotos ficam no Supabase, região us-west-2 (Oregon), e a API e o site rodam na Vercel. Os demais serviços listados acima também podem processar dados fora do Brasil e da União Europeia.

Esses provedores tratam os dados como operadores, sob contrato, e as transferências para fora do Espaço Econômico Europeu se apoiam nas cláusulas contratuais padrão previstas nos contratos de tratamento de dados de cada um deles. Se quiser saber mais sobre essas salvaguardas, escreva para o e-mail de contato.

Enquanto sua conta existir. Quando você pede a exclusão, ela é agendada para 30 dias corridos, e nesse período você pode voltar atrás entrando no aplicativo e cancelando. Passado o prazo, tudo é apagado em definitivo, em todas as tabelas, sem cópia residual.

Dois tipos de registro têm prazo próprio, mais curto ou preso à existência da conta:

• Registros técnicos de falha (mensagem do erro, tela, versão do app e modelo do aparelho): apagados automaticamente 90 dias depois da última ocorrência, por uma rotina diária. Servem só para corrigir bugs.
• Endereço IP e identificação do dispositivo do último acesso: guardados enquanto a conta existir, para reconhecer aparelhos conhecidos e avisar você quando um acesso novo aparecer. Cada aparelho guarda apenas o último IP usado, não um histórico. Some junto com a conta quando ela é excluída.

Pela LGPD e, para quem está na União Europeia, pelo GDPR, você pode a qualquer momento:

• Acessar seus dados e saber o que tratamos sobre você.
• Corrigir informações incorretas ou incompletas do seu perfil, direto no aplicativo.
• Apagar sua conta e tudo que está nela: Configurações → Excluir conta, ou pelo formulário em scale.horvatti.com/delete-account.
• Portar seus dados: Configurações → Exportar dados gera um arquivo em formato aberto e legível por máquina, que você pode guardar ou levar para outro serviço.
• Limitar o tratamento, pedindo que a gente pare de usar certos dados enquanto uma contestação sua é analisada.
• Se opor a tratamentos que fazemos por interesse legítimo, como os registros de segurança.
• Retirar o consentimento dos dados de saúde, das fotos e do assistente de IA, apagando os registros ou a conta, sem que isso invalide o que foi tratado antes.
• Pedir explicações sobre qualquer tratamento, escrevendo para o e-mail de contato. Respondemos em até 30 dias.

Se você achar que tratamos seus dados de forma indevida, fale com a gente primeiro pelo e-mail de contato — costuma ser mais rápido. Mas você não precisa passar por nós: pode reclamar diretamente à Autoridade Nacional de Proteção de Dados (ANPD).

Se você estiver na União Europeia, também pode reclamar à autoridade de proteção de dados do seu país de residência, de trabalho ou do lugar onde aconteceu o problema.

As senhas são guardadas com hash, nunca em texto puro. O tráfego entre o aplicativo e a API é criptografado. O acesso ao banco é restrito e as sessões usam tokens com expiração. Acessos de aparelhos desconhecidos disparam um e-mail de alerta para você.

O ScaleAi não é destinado a menores de 13 anos. Em países da União Europeia onde a idade mínima local para consentimento digital é maior, vale a idade local. Se soubermos que uma conta pertence a alguém abaixo dessa idade, ela será removida.

Se alterarmos algo relevante, avisaremos por e-mail ou dentro do aplicativo antes da mudança entrar em vigor. A data no topo desta página indica a última revisão.