Welleva1 · Quem somos
O Welleva é um aplicativo de bem-estar para iOS. Esta política explica como tratamos seus dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018) e, quando aplicável, com o GDPR.
Para qualquer questão sobre privacidade, escreva para privacidade@welleva.app.
2 · O princípio que orienta tudo
O Welleva foi construído como um aplicativo local-first. Cerca de 90% dos recursos funcionam inteiramente no seu aparelho, usando o HealthKit e o armazenamento local do iOS. O servidor existe apenas para o que é tecnicamente impossível fazer offline.
Isso não é uma promessa de conduta — é uma característica da arquitetura. O aplicativo simplesmente não possui código para enviar ao servidor os dados listados na próxima seção, e o servidor descarta silenciosamente qualquer campo fora da sua lista de permissões.
3 · O que nunca sai do seu aparelho
Os dados abaixo são processados exclusivamente no seu iPhone e nunca são transmitidos aos nossos servidores:
- Séries de frequência cardíaca e variabilidade da frequência cardíaca (HRV)
- Rotas de GPS de caminhadas, corridas e treinos
- Fotos de progresso corporal
- Amostras brutas do HealthKit de qualquer tipo
- O modelo do seu Digital Twin e os padrões identificados pelo Cause & Effect Engine
- Sua localização exata (latitude e longitude), em qualquer circunstância
- Áudio do microfone — a calibração de ambiente é local, transitória e não gera arquivo nem upload
- Séries brutas de acelerometria ou de pulso usadas pelo despertador inteligente e pelo Lucid Dream Coach
Se você usa o iCloud, esses dados podem ser sincronizados entre os seus dispositivos pela sua própria conta Apple, sob a política de privacidade da Apple. Nós não temos acesso a esse conteúdo.
4 · O que coletamos
4.1 Conta
Ao entrar com a Apple, recebemos um identificador de usuário e, se você optar por compartilhar, seu e-mail e nome. O identificador da Apple é armazenado apenas como um hash com chave — um vazamento do nosso banco não revelaria o identificador original. Se você usar o recurso "Ocultar meu e-mail" da Apple, receberemos apenas o endereço de encaminhamento anônimo.
4.2 Agregados diários
Se você usa desafios, ligas ou o Health Wrapped, o aplicativo envia totais diários — um registro por dia, sem qualquer detalhamento por horário. Por exemplo: total de passos do dia, minutos totais de sono, calorias consumidas no dia. Nunca a série de medições que compõe esses totais.
4.3 Fotos de refeições
Quando você fotografa um prato para análise nutricional, a imagem é enviada ao nosso servidor e encaminhada ao provedor de inteligência artificial. Antes de sair do seu aparelho a imagem é reprocessada, o que remove os metadados EXIF, incluindo coordenadas de GPS. A imagem é apagada dos nossos servidores em até 24 horas e nunca é usada para treinar modelos.
Este tratamento exige consentimento específico, que você pode revogar a qualquer momento sem perder o restante do aplicativo.
4.4 Social
Nome de usuário, nome de exibição, foto de perfil, lista de amizades, participação em desafios e publicações de conquistas. Você controla, de forma granular, quais métricas seus amigos podem ver — e por padrão quase todas estão desativadas.
4.5 Nearby (opcional)
Se você ativar o Nearby, o aplicativo converte sua posição em um geohash de baixa precisão no próprio aparelho e descarta as coordenadas. Armazenamos apenas essa área aproximada de cerca de 5 km — suficiente para sugerir alguém para caminhar junto, inútil para localizar uma pessoa. O registro expira automaticamente e existe apenas um por usuário, de modo que nenhum histórico de deslocamento é formado.
4.6 Recursos que rodam no aparelho
Alguns recursos leem sinais sensíveis e os processam inteiramente no seu iPhone ou Apple Watch. Nada do sinal bruto chega aos nossos servidores.
-
Temperatura do pulso durante o sono (
appleSleepingWristTemperature) — usamos apenas a amostra agregada da noite como contexto. Não é um fluxo contínuo e não é enviada ao servidor. - Calibração de ambiente por microfone — o áudio é analisado no momento, na memória do aparelho, e descartado. Não gravamos, não guardamos e não enviamos áudio.
- Despertador inteligente e Lucid Dream Coach — a detecção da janela de despertar e o estímulo acontecem localmente, entre iPhone e Watch. Se você optar por sincronizar o histórico, enviamos somente o resultado resumido que você mesmo declara — nunca séries de frequência cardíaca ou de movimento.
Você pode retirar o consentimento desses recursos a qualquer momento sem perder o restante do aplicativo.
4.7 Sincronização entre aparelhos
Se você usa mais de um dispositivo, o app pode espelhar na sua conta os domínios que ele mantém localmente: sessões de jejum, planos e registros de medicação e suplementos, noites de sono e as sessões dos recursos adaptativos. Esses dados são dados de saúde sensíveis, trafegam pelo canal autenticado, entram na exportação e são apagados junto com a conta. Eles nunca são copiados para a telemetria de produto.
O que é espelhado é sempre o resumo que o aplicativo já calculou — nunca a série de amostras que o originou. A seção 3 descreve essa fronteira em detalhe. A sincronização é opcional: com ela desligada, esses domínios permanecem apenas no seu aparelho.
4.8 Assinatura
Recebemos da Apple notificações sobre o estado da sua assinatura. Não temos acesso aos seus dados de pagamento — cartão, endereço de cobrança ou qualquer informação financeira ficam exclusivamente com a Apple.
4.9 Uso e diagnóstico
Eventos de uso do produto a partir de uma lista fixa de nomes permitidos (por exemplo, "refeição registrada", "paywall visualizado"). As propriedades desses eventos aceitam apenas valores simples e limitados em tamanho, de modo que dados de saúde não podem ser transmitidos por esse caminho. Registramos também o endereço IP de forma pseudonimizada para limitar abuso.
5 · Para que usamos
| Dado | Finalidade |
|---|---|
| Identificador da conta | Autenticar você e manter sua sessão |
| Agregados diários | Desafios, ligas, percentis do Wrapped e continuidade entre dispositivos |
| Foto do prato | Estimar o conteúdo nutricional da refeição |
| Dados sociais | Operar amizades, desafios e o feed de conquistas |
| Geohash do Nearby | Sugerir pessoas próximas para atividades, com sua autorização |
| Dados sincronizados entre aparelhos | Manter o mesmo histórico em todos os seus dispositivos, quando você ativa a sincronização |
| Estado da assinatura | Liberar os recursos do plano contratado |
| Eventos de uso | Entender o que funciona no produto e corrigir problemas |
| IP pseudonimizado | Prevenir abuso, fraude e uso automatizado |
Dados do HealthKit
Os dados que você autoriza o Welleva a ler do HealthKit são usados exclusivamente para os recursos de bem-estar do próprio aplicativo. Não os divulgamos a terceiros sem o seu consentimento expresso, não os usamos para publicidade, marketing, mineração de dados baseada em uso ou pesquisa, e não os vendemos nem os compartilhamos com corretores de dados, seguradoras ou empregadores. O aplicativo também não grava no HealthKit informação falsa ou imprecisa. Isso vale tanto por decisão nossa quanto por exigência das App Store Review Guidelines.
Rastreamento
O Welleva não rastreia você. Não usamos o identificador de publicidade (IDFA), não combinamos seus dados com informações de outras empresas e não compartilhamos nada com corretores de dados para fins de publicidade ou medição — por isso o aplicativo não exibe o pedido de permissão de rastreamento do iOS.
6 · Bases legais (LGPD art. 7º e 11)
- Execução de contrato — conta, assinatura e funcionamento do aplicativo.
- Consentimento específico e destacado — dados de saúde (art. 11, I), análise de fotos por IA, recursos sociais e Nearby. Cada um é solicitado separadamente e pode ser revogado a qualquer momento.
- Legítimo interesse — segurança, prevenção a fraude e melhoria do produto, sempre com dados minimizados.
- Cumprimento de obrigação legal — guarda de registros fiscais e de transações.
7 · Com quem compartilhamos
Compartilhamos o mínimo necessário, apenas com operadores que executam funções específicas:
| Operador | O que recebe | Para quê |
|---|---|---|
| Provedor de IA | A imagem da refeição, sem metadados | Estimar itens e macronutrientes |
| Apple | Transações e notificações de assinatura | Processar pagamentos e assinaturas |
| Infraestrutura de nuvem | Dados em repouso e em trânsito | Hospedar a aplicação |
| Serviço de e-mail | Seu e-mail, se você entrou na lista de espera | Avisar sobre o lançamento |
Não há compartilhamento com anunciantes, corretores de dados ou terceiros para fins de marketing.
Todo operador é contratado por escrito e obrigado a oferecer proteção de dados equivalente à descrita nesta política, no mesmo nível exigido pelo Apple Developer Program License Agreement e pelas App Store Review Guidelines. Nenhum deles pode tratar seus dados para finalidade própria, retê-los além do necessário ou subcontratar sem a nossa autorização. O provedor de inteligência artificial usado na análise de refeições é a Anthropic (Claude), que não treina modelos com o conteúdo enviado pela API.
8 · Por quanto tempo guardamos
| Dado | Retenção |
|---|---|
| Fotos de refeição | Até 24 horas |
| Check-ins do Nearby | Até 24 horas, conforme você definir |
| Arquivos de exportação | 7 dias |
| Registros de requisição | 90 dias |
| Conta e agregados | Enquanto a conta existir |
| Jejum, medicação, sono e recursos adaptativos | Enquanto a conta existir |
| Registros excluídos por você | 90 dias como marcador, para propagar a exclusão aos seus outros aparelhos |
| Registros fiscais e de assinatura | Conforme prazo legal aplicável |
| Conta excluída | Dados pessoais apagados; registro anonimizado |
9 · Seus direitos
A LGPD garante a você direitos que o Welleva implementa diretamente no aplicativo, sem necessidade de pedido por e-mail:
- Acesso e portabilidade — exporte tudo o que temos sobre você em JSON ou CSV, em Ajustes → Privacidade → Exportar meus dados.
- Exclusão — solicite a exclusão da conta no aplicativo. Você tem 14 dias para mudar de ideia; depois disso os dados pessoais são apagados e o registro é anonimizado, de forma irreversível.
- Revogação de consentimento — desative qualquer finalidade específica sem perder o restante do aplicativo.
- Correção — edite seus dados de perfil a qualquer momento.
- Informação sobre compartilhamento — a seção 7 desta política.
- Oposição e revisão — escreva para privacidade@welleva.app.
Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).
10 · Segurança
- Tráfego cifrado em trânsito (TLS) e dados cifrados em repouso.
- Identificadores de terceiros e endereços IP armazenados apenas como hash com chave.
- Autenticação com tokens de curta duração e rotação de credenciais, com detecção de reuso.
- Requisições que geram custo são limitadas por quota individual e, no aplicativo distribuído pela App Store, exigem atestação de dispositivo (App Attest).
- Registro de auditoria para ações sensíveis, com dados sensíveis redigidos.
- Backups e testes de restauração periódicos.
Nenhum sistema é perfeitamente seguro. Em caso de incidente que possa gerar risco relevante, comunicaremos você e a ANPD nos prazos previstos em lei.
11 · Menores de idade
O Welleva não se destina a menores de 13 anos. O recurso Nearby exige 17 anos ou mais, verificado pela data de nascimento informada. Se soubermos que criamos uma conta para uma criança sem a autorização devida, ela será excluída.
12 · Transferência internacional
Alguns operadores, como o provedor de IA e a Apple, processam dados fora do Brasil. Essas transferências ocorrem com base em cláusulas contratuais e salvaguardas compatíveis com o art. 33 da LGPD.
13 · Mudanças nesta política
Se mudarmos algo relevante, avisaremos no aplicativo antes de a mudança valer, e pediremos novo consentimento quando a lei exigir. Cada versão tem data e identificador, e o histórico fica disponível mediante solicitação.
14 · Contato e encarregado
Encarregado pelo tratamento de dados pessoais (DPO):
privacidade@welleva.app
Suporte geral: suporte@welleva.app
Respondemos a solicitações de titulares em até 15 dias.