Política de Privacidade

Quem é o responsável

O Sabzy é desenvolvido e operado por Boburmirzo Khudoyberdiev, um desenvolvedor independente sediado no Uzbequistão. Para qualquer assunto desta política, inclusive pedidos sobre os seus dados, escreva para mirzo.7767@gmail.com.

O que o aplicativo guarda

Tudo o que você registra é gravado num banco de dados no seu dispositivo:

• Seu perfil — altura, peso atual, peso desejado, data de nascimento ou idade, sexo, nível de atividade e a meta que você escolheu. É a partir disso que a meta diária de calorias é calculada.
• Seu registro — refeições e seus alimentos, calorias e macronutrientes, o horário de cada entrada e qualquer foto que você tenha anexado.
• Água e pesagens — os copos que você marca e os pesos que você anota ao longo do tempo.
• Ajustes do aplicativo — unidades, idioma, lembretes e quantas análises com IA você já usou.

Se o iCloud estiver conectado no seu dispositivo, esse banco de dados é espelhado no banco privado do iCloud da sua própria Conta Apple. Esse armazenamento é seu: está sujeito à política de privacidade da Apple, ocupa o seu espaço do iCloud, e o desenvolvedor do Sabzy não tem como lê-lo. Sair do iCloud, ou desligar o iCloud para o Sabzy nos Ajustes, interrompe o espelhamento.

Entrar na conta

O Sabzy funciona sem conta nenhuma, e é assim que ele começa: tudo o que está acima fica no seu telefone e no seu próprio iCloud, e nada disso chega até nós. Entrar é algo que você escolhe no Perfil, e existe para duas coisas: ler o mesmo diário em um segundo aparelho e entrar em um grupo.

A entrada é feita pela Apple ou pelo Google. Não há senha em lugar nenhum do aplicativo, portanto também não há nenhuma que possamos guardar ou perder. O que o Firebase Authentication mantém por nós é um identificador de conta e o endereço de e-mail que o provedor entrega — no Entrar com a Apple isso pode ser um endereço de encaminhamento que você desliga quando quiser, e o aplicativo funciona igual nos dois casos.

Depois que você entra, seu perfil, suas refeições, suas pesagens e sua água são espelhados no Cloud Firestore, e as miniaturas das refeições e sua foto de perfil no Cloud Storage, em uma pasta que as regras de segurança abrem para a sua conta e para nenhuma outra. O documento de perfil carrega mais quatro coisas que não fazem parte do seu registro: se há assinatura ativa, sobre qual produto e até quando; os tokens de notificação dos aparelhos em que você entrou; um ponteiro para o grupo em que você está; e um carimbo de qual plataforma e qual versão do app escreveu por último. O banco de dados fica na União Europeia — Bélgica e Países Baixos — e as funções que administram os grupos, em Frankfurt.

Sair da conta interrompe o espelhamento e deixa a cópia onde está. Perfil › Conta › Excluir conta a remove: cada refeição, pesagem, registro de água e dia publicado, depois o documento do perfil, a pasta de fotos e a própria conta. Com a Apple, o aplicativo ainda revoga o token emitido pela Apple — é isso que torna a exclusão inteira em vez de pela metade.

Grupos

Um grupo é uma assinatura compartilhada: uma pessoa paga e todas as que ela convidar têm Premium enquanto o plano estiver ativo. Quem paga não está coberto por ele — um plano para cinco são cinco pessoas além dela — e assina o Sabzy Pro como qualquer outra, se quiser. Para entrar é preciso um código de convite de quem administra o grupo; sem ele ninguém consegue adicionar você. Cada pessoa fica em um grupo por vez, e sair é um botão.

O que as outras pessoas do grupo veem sobre você:

• O nome e a foto que você definiu no Perfil — quem não tiver nome definido aparece como «Member».
• Sua sequência, sua melhor sequência, seu objetivo e como seu peso se moveu nos últimos trinta dias, em um único número.
• De cada dia: calorias, proteína, carboidratos, gordura e fibra, suas metas daquele dia, água, seus passos do Apple Saúde, quantas refeições você registrou e se o dia caiu dentro da sua faixa de calorias.
• As próprias refeições — nomes dos pratos, horários e fotos.

Não existe uma chave que estreite essa lista, e nunca existiu. O que alguém do seu grupo vê é o que a tela de entrada mostra a você antes de digitar o código: suas calorias e macros, suas refeições com as fotos, para que lado seu peso está indo, sua sequência e sua atividade — e continua assim enquanto você estiver no grupo. O que interrompe isso é sair.

O Sabzy escreve três parágrafos curtos para um grupo: um sobre a semana, um sobre o dia até agora e um sobre um único integrante, na página dessa pessoa. Neles aparecem nomes de pessoas e nomes de pratos, e é de propósito — «alguém passou do alvo em dois dias» não ajuda ninguém, enquanto «Aziz comeu uma fatia grande de bolo no café da manhã de terça» é algo em que um treinador pode agir. Os nomes aparecem exatamente como estão definidos no Perfil, e as refeições exatamente como foram registradas. Só quem está no seu grupo os lê, e essas mesmas refeições e fotos já estão abertas para essas pessoas, então um parágrafo não lhes mostra nada que não pudessem abrir sozinhas.

Entrar em um grupo publica seus últimos trinta dias de uma vez, para que o grupo não olhe para uma tela vazia. Sair interrompe qualquer publicação seguinte, e excluir sua conta apaga os dias publicados junto com todo o resto. Ninguém fora do seu grupo consegue ler nada disso: as regras do banco de dados não deixam mais ninguém entrar.

As notificações do grupo — alguém entrou, a sequência de alguém chegou a um número redondo, a assinatura está prestes a acabar — são entregues pelo Firebase Cloud Messaging: o aplicativo registra um token de notificações na sua conta e guarda em que idioma escrever para você. As notificações do grupo são desligadas no Perfil, e sair da conta remove o token.

O que sai do seu dispositivo

Google

Fotos, áudio e descrições de refeições são enviados aos modelos Gemini do Google através do Firebase AI Logic e processados lá para produzir o resultado que você vê. O Sabzy não guarda cópia da foto, do áudio nem do texto em nenhum servidor que controle, e uma requisição dessas não leva nome, e-mail nem identificador de conta — apenas a imagem, o áudio ou o texto e a instrução de analisá-lo. O tratamento que o Google dá a esses dados é regido pela política de privacidade do Google.

Os parágrafos de um grupo vão para esses mesmos modelos e são a exceção ao que está acima. Para escrever um deles, o app envia ao Google o nome de perfil de cada integrante que será mencionado e os nomes das refeições que se destacaram, junto com números que o aparelho já calculou. Não envia endereço de e-mail, identificador de conta nem fotografia. O parágrafo volta para os as outras pessoas do seu grupo, que já podem abrir essas refeições sozinhos — mas escrevê-lo é uma requisição ao Google, e é isso que essa requisição leva.

Relatórios de uso e de falhas

O Sabzy usa dois serviços do Google Firebase: o Analytics, que conta o que acontece no app, e o Crashlytics, que captura o rastro da pilha quando o app para. São eles que avisam que uma tela confunde ou que uma versão quebra em um iOS específico, sem que ninguém precise escrever para contar.

Vêm ligados por padrão e não existe no aplicativo nenhum ajuste que os desligue. A versão 1.4 tinha um e a 1.6 o retirou. Excluir o aplicativo os interrompe. Preferimos dizer isso com todas as letras a descrever um controle que não existe.

O que é enviado:

• Eventos de uma lista fechada que o próprio app define: a configuração inicial terminou, uma foto foi analisada, uma refeição foi registrada, a tela de assinatura apareceu, uma compra deu certo ou falhou, e qual de um conjunto nomeado de controles foi tocado. Não há texto livre em nenhum deles: cada valor é um número que o app calculou ou uma de poucas palavras escolhidas de antemão.
• O nome da tela em que você está, de uma lista fechada de cerca de vinte.
• Alguns fatos sobre a instalação e não sobre o momento: se há assinatura ativa e em qual prazo, o quanto você avançou no uso do app, se os lembretes estão ligados, se os recursos de IA estão permitidos, se a câmera está permitida e o idioma do app.
• Os números que poderiam apontar uma pessoa ou um instante vão de propósito em faixas, não exatos. A idade chega como «35–44» e o tempo até a primeira refeição registrada como «menos de 5 minutos» ou «no mesmo dia».
• O que o SDK do Firebase acrescenta por conta própria: um identificador desta instalação, o modelo do aparelho, a versão do iOS, o idioma e uma localização aproximada — no máximo em nível de cidade — deduzida do endereço IP da conexão.
• Do Crashlytics, quando o app para: o rastro da pilha, o modelo do aparelho e a versão do iOS, e há quanto tempo o app estava rodando.

O que não é enviado: nada do que você fotografa, fala, digita, pesa ou come. Sem altura, sem peso, sem meta de calorias, sem o objetivo que você escolheu, sem nome de prato. Os fatos presos ao identificador de instalação excluem de propósito qualquer atributo de saúde: um identificador que sobrevive a uma sessão não é lugar para isso.

Não há identificador de publicidade. O app não vincula o framework AdSupport da Apple e nunca pede permissão de rastreamento, porque não segue você até os aplicativos e sites de outras empresas. É exatamente isso que o manifesto de privacidade dele para a App Store declara.

O Firebase é operado pelo Google, que processa esses relatórios em nosso nome em infraestrutura que pode estar fora do seu país, sob os termos e a política de privacidade do próprio Google. Eles não vão para mais lugar nenhum e nada do que contêm é vendido. O Google apaga os eventos de analytics automaticamente quando vence o período de retenção definido para o projeto; os relatórios de falha ficam guardados enquanto a falha ainda vale a pena corrigir.

O Firebase anexa o identificador de instalação dele a esses relatórios, e não temos como ligar esse identificador a você — esse é o ponto e também o limite: não conseguimos achar suas linhas para apagá-las a pedido. Apagar o app interrompe as novas, e o próprio identificador não sobrevive a isso.

O catálogo compartilhado de produtos

Quando você escaneia um código de barras que o Sabzy precisa buscar, os dados do produto — código, nome, marca, calorias e macronutrientes por 100 g e tamanho da porção — são gravados num catálogo hospedado num banco público do iCloud, para que outras pessoas que escaneiem o mesmo produto tenham resposta imediata. Essa entrada é sobre o produto, não sobre você: ela não carrega identificador algum do dispositivo ou de quem escaneou, e não pode ser ligada ao seu registro.

Pagamentos

As assinaturas são vendidas pela Apple na App Store. A Apple processa o pagamento; números de cartão, endereços de cobrança e os dados da sua Conta Apple nunca são vistos pelo Sabzy nem pelo seu desenvolvedor. O que o aplicativo recebe é o comprovante assinado da compra emitido pela Apple. Para um plano de grupo, o app passa esse comprovante a uma Cloud Function própria em Frankfurt, que confere a assinatura da Apple e lê o plano do conteúdo assinado em vez de acreditar no que o app diz. A Apple também escreve direto nessa mesma função, pelas App Store Server Notifications, para que uma renovação ou um cancelamento chegue a um grupo cujo dono não abre o app há um mês.

Como esses terceiros ficam vinculados a esta política

Cada parte citada acima é obrigada, pelos termos sob os quais foi contratada, a proteger os dados que recebe no mesmo padrão que esta política estabelece, e nenhuma delas pode usá-los para fins próprios, montar um perfil ou repassá-los adiante. Nada além do que a tabela descreve é enviado a elas.

O app vincula dez kits de desenvolvimento de terceiros, e todos os dez são do Google. Nove vêm do Firebase: Analytics e Crashlytics, descritos acima; App Check; AI Logic, que leva uma foto, uma nota de voz ou uma descrição até o Gemini; Authentication, Cloud Firestore, Cloud Storage e Cloud Functions, que juntos são a conta, a sincronização e os grupos; e Cloud Messaging, que entrega as notificações de um grupo. O décimo é o Google Sign-In, uma das duas formas de entrar. Não há kit de anúncios nem de rastreamento de nenhum tipo, e não existe empresa controladora, subsidiária ou coligada com acesso aos seus dados — o Sabzy é um desenvolvedor independente, então não há mais ninguém a quem os dados possam chegar.

O App Check merece um parágrafo próprio, porque roda no seu aparelho a cada chamada a um serviço do Google e nada mais aqui o descreve. Antes de cada chamada, ele pede à Apple que ateste que a requisição vem de uma cópia genuína do Sabzy em um aparelho Apple genuíno — por App Attest onde o hardware permite, e por DeviceCheck onde o App Attest não existe — e envia junto com a chamada o token de vida curta que a Apple emite. O token diz algo sobre o app e sobre o aparelho, e nada sobre você. É o que permite publicar o Sabzy sem uma chave de API própria que alguém pudesse arrancar de dentro dele.

Um nome na tabela acima não é do Google. O código de barras que você escaneia vai para o Open Food Facts, um banco de dados aberto de produtos alimentícios mantido por uma associação francesa sem fins lucrativos. Ele recebe o número do código e nada mais — nenhuma conta, nenhum identificador de aparelho, nenhum pedaço do seu registro — e responde com o produto. O que volta está publicado sob a Open Database License, e o que o Open Food Facts faz com a requisição é regido pelos termos e pela política de privacidade dele.

O app Saúde

A integração com o Saúde é opcional e fica desligada até você ligá-la. Quando está ligada:

• O Sabzy lê o que o seu dia já acumulou: a energia ativa que você queimou, sua contagem de passos, a distância caminhada e corrida e os treinos registrados por qualquer app do seu telefone ou do seu relógio. A tela de Atividade mostra tudo isso, e as calorias restantes do dia levam em conta o quanto você se movimentou.
• O Sabzy grava a energia, proteína, carboidrato, gordura e fibra que você registra, e qualquer pesagem que você anota, para que seus outros aplicativos continuem sincronizados.

Com uma exceção, os dados do Saúde são trocados apenas entre o app e o Apple Saúde no seu aparelho. Todo o resto que o app lê não vai para o Google, não é escrito no catálogo compartilhado e não fica no iCloud — esses números são lidos quando uma tela precisa deles e não são salvos em lugar nenhum. Nunca são usados para publicidade.

A exceção é a sua contagem de passos. Se você estiver em um grupo, os passos daquele dia são publicados junto com o resto dos totais do dia, e os outros integrantes os veem como veem suas calorias e sua água. Esse único número é a única coisa do Saúde que sai do seu aparelho — nada mais da lista acima vai junto, e a variação de peso que o grupo vê é calculada pelas pesagens que você registra no Sabzy, não pelo Saúde. Se você não estiver em um grupo, nada do Saúde sai do seu aparelho.

Permissões que o aplicativo pede

• Câmera — para fotografar uma refeição ou escanear um código de barras.
• Biblioteca de fotos — apenas para você escolher uma foto de refeição que já tem. O aplicativo lê a foto escolhida e mais nada.
• Microfone — para gravar a descrição falada de uma refeição.
• Notificações — lembretes que você mesmo configura, como a pesagem semanal, e as notificações do próprio grupo, se você estiver em um. São duas chaves separadas no Perfil.
• Saúde — como descrito acima.
• Recursos de IA — sua concordância de que uma foto, uma nota de voz ou uma descrição digitada possa ser enviada ao Google. A mesma chave governa as notas escritas, inclusive as que um grupo recebe. Nada é enviado antes disso.

Qualquer uma delas pode ser recusada. As cinco primeiras são retiradas no aplicativo Ajustes; os recursos de IA são desligados dentro do próprio Sabzy, em Perfil › Ajustes. Recusar uma desativa o recurso que precisa dela, e mais nada.

O que o Sabzy não faz

• Nenhum kit de anúncios e nenhum kit de rastreamento. O app vincula dez kits de terceiros, todos do Google; estão listados acima, e nenhum deles está ali para seguir você.
• Nenhuma publicidade e nenhum identificador de publicidade.
• Nenhum rastreamento por outros aplicativos ou sites.
• Nenhum perfil montado sobre você e nenhuma decisão automatizada com efeitos jurídicos ou similares.
• Nenhuma venda ou compartilhamento de informação pessoal, sob qualquer definição e para qualquer finalidade.

Por quanto tempo os dados ficam

Seu diário fica no seu aparelho até você apagá-lo. Excluir o aplicativo apaga o banco de dados do aparelho. Se o espelhamento no iCloud estava ligado, a cópia no seu iCloud é removida em Ajustes › seu nome › iCloud › Gerenciar armazenamento › Sabzy.

Se você entrou na conta, a cópia no Cloud Firestore e no Cloud Storage é mantida enquanto a conta existir. Depois disso, não: Perfil › Conta › Excluir conta a apaga antes de a conta ir embora, e não mantemos backup do qual ela pudesse voltar. Os totais diários publicados para um grupo vão junto, e sair de um grupo interrompe a gravação de novos.

Os eventos de uso e os relatórios de falhas mantidos pelo Firebase são apagados pelo Google quando o prazo de retenção do projeto expira, e excluir o aplicativo impede que surjam novos. As entradas do catálogo compartilhado de produtos são dados nutricionais de produtos comerciais e ficam guardadas por tempo indeterminado; como não contêm nada sobre você, apagar seus dados não as afeta.

Crianças

O Sabzy não é direcionado a crianças menores de 13 anos e não coleta nada delas conscientemente. Se você acredita que uma criança forneceu informações pessoais pelo aplicativo, escreva para o endereço acima e elas serão removidas.

Seus direitos

Como o aplicativo guarda seu diário no seu próprio aparelho, você exerce a maior parte dos direitos diretamente: vê tudo no aplicativo, altera ou apaga qualquer registro e remove tudo excluindo o aplicativo e seus dados no iCloud. Se você entrou na conta, Perfil › Conta › Excluir conta faz o mesmo com a cópia do nosso lado, em um passo e sem escrever para ninguém.

Para quem lê isto no Espaço Econômico Europeu e no Reino Unido, as bases legais do artigo 6 do GDPR são estas. Tudo o que o aplicativo faz para lhe dar aquilo que você pediu — guardar o diário, reconhecer uma foto, sincronizar uma conta que você criou, administrar um grupo do qual você participa — é feito com base no artigo 6(1)(b), a execução de um contrato com você. Os relatórios de uso e de falhas são tratados com base no artigo 6(1)(f), nosso interesse legítimo em saber que o aplicativo funciona — por isso não trazem nada sobre sua saúde e por isso existe a chave no Perfil. Dados de saúde são categoria especial pelo artigo 9 e só são tratados com o seu consentimento explícito, dado na janela de permissão da Saúde e ali mesmo revogado.

Se você está no Espaço Econômico Europeu ou no Reino Unido, o GDPR lhe dá o direito de acessar, corrigir, apagar, restringir e se opor ao tratamento dos seus dados pessoais, além da portabilidade. Se você está na Califórnia, a CCPA lhe dá os direitos de saber, apagar, corrigir e recusar a venda ou o compartilhamento — observando que o Sabzy não vende nem compartilha informação pessoal. No Brasil, a LGPD assegura direitos equivalentes de confirmação, acesso, correção, anonimização, portabilidade e eliminação. Para exercer qualquer um deles, ou para reclamar, escreva para mirzo.7767@gmail.com.

Alterações desta política

Se esta política mudar, a data no topo muda junto, e uma mudança relevante é publicada aqui antes de entrar em vigor. O aplicativo não tem como lhe enviar uma mensagem, então ela aparece nesta página. A versão em vigor fica sempre neste endereço.