A CalAlly é um contador de calorias com IA. Para fazer o seu trabalho, ela trata informações sobre o seu corpo, as suas refeições e os seus objetivos. Nos termos do GDPR, isso são dados de saúde, uma categoria especial que recebe a proteção mais forte no direito da UE. Esta página explica exatamente o que coletamos, por quê, para quem enviamos e como você recupera esses dados.
Quem somos e como falar conosco
A CalAlly é a controladora dos dados pessoais descritos nesta página.
Para qualquer dúvida sobre privacidade, para exercer os seus direitos ou para solicitar uma cópia das salvaguardas que usamos nas transferências internacionais, escreva para support@calally.com. Respondemos em até 30 dias.
Quais dados coletamos
Dados da conta. Seu endereço de e-mail e o nome com o qual você se cadastra. Se você entrar com a Apple ou com o Google, recebemos o identificador que esses serviços nos devolvem.
Dados de saúde (categoria especial, GDPR art. 9). Este é o núcleo do aplicativo e queremos ser diretos sobre isso:
- Peso, altura, idade e sexo
- Medidas corporais que você inserir
- Seu objetivo (perder, manter, ganhar) e a sua meta
- Preferências alimentares e restrições alimentares. Elas podem revelar indiretamente uma crença religiosa ou uma condição médica, e é exatamente por isso que recebem a proteção do art. 9
- Fotos das suas refeições e de rótulos nutricionais
- Fotos de progresso do seu corpo, se você escolher salvá-las
- Contagem de passos do Apple Health, se você conectá-lo
Apple Health (HealthKit). Conectar o Apple Health é opcional e você controla quais dados nos envia. Os dados que você compartilha a partir do HealthKit nunca são usados para marketing ou publicidade, e nunca são transferidos a terceiros para fins de marketing ou publicidade. Nós os usamos apenas para tornar as suas metas de calorias mais precisas. Você pode revogar a permissão a qualquer momento no aplicativo Saúde do iOS, e aquilo que você compartilha com o HealthKit também é regido pelos termos e pela política de privacidade da própria Apple.
Dados de uso. As refeições que você registra, as perguntas que você faz ao coach de IA e as respostas dele.
Dados técnicos. Registros de segurança e de erros necessários para manter o serviço funcionando e para detectar abusos.
Não usamos rastreadores de publicidade, não operamos uma rede de anúncios e não vendemos nada a corretores de dados. A CalAlly é um aplicativo iOS nativo: ela não usa cookies. Nosso site, calally.com, usa um cookie para lembrar seu idioma e carrega a central de ajuda apenas se você a abrir. Veja a Política de cookies.
Por que os dados de saúde exigem proteção especial
Os dados de saúde são uma categoria especial nos termos do GDPR art. 9, e é por isso que os descrevemos por completo acima e mantemos curta e identificada a lista de quem os recebe. Nós os tratamos com base no art. 6(1)(a), consentimento e no art. 6(1)(b), execução do contrato que você celebra quando cria uma conta e pede ao aplicativo que monte o seu plano nutricional.
Na prática: ao se cadastrar, você aceita os Termos e esta Política de Privacidade, e o aplicativo passa a tratar os dados de corpo, refeições e objetivos que você insere para entregar o plano nutricional, a análise das refeições e o coach de IA. Esses recursos são o próprio serviço, então não funcionam sem esses dados. Se você não quiser que esse tratamento aconteça, não crie uma conta, ou exclua a que você tem. Veja como interromper o tratamento abaixo.
Bases legais
| Finalidade | Base legal |
|---|---|
| Criação de conta e gestão de usuários | art. 6(1)(b), execução de um contrato |
| Plano nutricional, análise de refeições, coach de IA | art. 6(1)(a), consentimento e art. 6(1)(b), execução de um contrato |
| Compartilhamento de dados com os fornecedores de IA listados abaixo | art. 6(1)(a), consentimento e art. 6(1)(b), execução de um contrato |
| Segurança, prevenção de abusos, registros técnicos | art. 6(1)(f), legítimo interesse |
Com quem compartilhamos os seus dados
A CalAlly não constrói os próprios modelos de IA nem o próprio banco de dados. Usamos fornecedores identificados, e esta é a lista completa de quem recebe o quê. Não há outros.
| Fornecedor | O que recebe | Onde |
|---|---|---|
| Supabase | Tudo o que é armazenado: perfil, dados de saúde, refeições, fotos de progresso, conversas com o coach | Estados Unidos (us-east-2, Ohio, infraestrutura na AWS) |
| Google (Gemini API) | Texto da refeição, fotos da refeição, fotos de rótulos, mensagens para o coach, contexto do perfil | Estados Unidos |
| Groq | Gravações de voz, transcritas com Whisper | Estados Unidos |
| Langfuse Cloud | Entradas e saídas do coach, além do seu ID de usuário | União Europeia |
| RevenueCat | Status da assinatura e um identificador de usuário do aplicativo | Estados Unidos |
| Sentry | Relatórios de falhas e de erros, com o seu ID de usuário | Estados Unidos |
| Apple, Google | Somente autenticação OAuth | Estados Unidos |
| Open Food Facts | Apenas o número do código de barras. Nenhum dado pessoal | União Europeia |
| Featurebase | O feedback que você envia, com o seu ID de usuário | Infraestrutura do fornecedor |
Cada um desses fornecedores atua como operador seguindo as nossas instruções, sob um acordo de tratamento de dados. Eles não estão autorizados a usar os seus dados para finalidades próprias.
Dados transferidos para fora da UE
O nosso banco de dados fica nos Estados Unidos, e vários fornecedores acima têm sede nos EUA: Supabase, Google, Groq, RevenueCat, Sentry, Apple e Featurebase. Não escondemos isso.
A salvaguarda geral em que nos apoiamos são as Cláusulas Contratuais Padrão adotadas pela Comissão Europeia, incorporadas ao acordo de tratamento de dados que temos com cada um desses fornecedores. Esse é o mecanismo que cobre a Supabase, que armazena os dados da sua conta e os seus dados de saúde, e é também o mecanismo previsto no adendo de tratamento de dados da Groq.
Alguns fornecedores possuem, além disso, autocertificação no EU-US Data Privacy Framework. O Google é um deles. O Data Privacy Framework é uma certificação voluntária à qual cada empresa adere individualmente, portanto ele não cobre os fornecedores dos EUA como grupo, e só o citamos para aqueles que estão de fato na lista. Quando um fornecedor não é certificado, valem apenas as Cláusulas Contratuais Padrão.
Você pode nos pedir uma cópia das salvaguardas que se aplicam aos seus dados escrevendo para support@calally.com.
Por quanto tempo guardamos os seus dados
As fotos de refeições e as gravações de voz não são armazenadas. Elas são enviadas para tratamento, analisadas e descartadas. Não mantemos um arquivo delas.
Dados da conta, dados de saúde, fotos de progresso e conversas com o coach são mantidos enquanto a sua conta estiver ativa. Quando você exclui a sua conta dentro do aplicativo, esses dados são apagados imediatamente. Quando você nos pede para apagá-los por e-mail, fazemos isso em até 30 dias.
Registros técnicos e de segurança são mantidos por 1 dia e depois são rotacionados. Os rastros pseudonimizados do coach de IA armazenados no Langfuse são mantidos por 30 dias.
Como interromper o tratamento e excluir a sua conta
Não existe um botão separado que desative o tratamento dos dados de saúde mantendo a sua conta. O plano nutricional, a análise de refeições e o coach de IA são o serviço, então a forma de interromper o tratamento é excluir a sua conta:
- Abra o aplicativo CalAlly.
- Vá até a aba Perfil, role até Ações da conta e toque em Excluir conta. Isso apaga o seu perfil, os seus dados de saúde, as suas refeições, as suas fotos de progresso e as suas conversas com o coach. A exclusão é imediata e não pode ser desfeita.
Se preferir, escreva para support@calally.com e nós fazemos isso por você, em até 30 dias.
Excluir a sua conta interrompe o tratamento a partir daquele momento. Isso não desfaz o tratamento que já ocorreu enquanto a conta estava ativa.
O procedimento completo, inclusive como excluir dados específicos sem excluir a sua conta, está na página de exclusão de conta.
Os seus direitos
Nos termos do GDPR, você tem o direito de:
- Acessar os dados pessoais que temos sobre você
- Retificar dados que estejam errados ou incompletos
- Apagar os seus dados, o "direito ao esquecimento"
- Limitar o tratamento em determinadas circunstâncias
- Portabilidade dos dados, recebendo os seus dados em um formato legível por máquina
- Opor-se ao tratamento baseado no nosso legítimo interesse
- Retirar o consentimento a qualquer momento, excluindo a sua conta conforme descrito acima
- Apresentar uma reclamação a uma autoridade de controle. Na Itália, essa autoridade é o Garante per la protezione dei dati personali (www.garanteprivacy.it)
Para exercer qualquer um deles, escreva para support@calally.com.
Crianças
A CalAlly não se destina a crianças. Você precisa ter pelo menos 16 anos para criar uma conta, que é a idade de consentimento digital na Itália. Se descobrirmos que temos dados pertencentes a alguém abaixo dessa idade, nós os apagamos.
Alterações nesta política
Atualizamos esta página quando a forma como tratamos os dados muda, por exemplo quando adicionamos ou removemos um fornecedor. A data no topo sempre reflete a última revisão. Se uma mudança for significativa, avisamos você no aplicativo antes que ela entre em vigor.