Política de Privacidade

Versão beta · Em vigor desde 10 de setembro de 2026 · Última atualização: 9 de outubro de 2026

O cadastro mudou em 2 de outubro de 2026: começa pelas perguntas e termina no número de celular, não pede mais e-mail e passa a perguntar, de forma opcional, o sexo biológico, a prova para a qual você treina, o estilo alimentar e como você conheceu o FuelBalance; o esporte pode ser também academia, Hyrox ou outro, com o nome que você digitar (seções 3.1 e 3.2). Para quem já concluiu o cadastro, nada muda.

A semana de treino entra em 3 de outubro de 2026: o cadastro passa a perguntar, de forma opcional, em quais dias você treina, quais são fortes, em que horário e quanto dura o treino forte. Quem já tem conta pode responder em Perfil → Minha semana (seção 3.2).

Os lembretes chegam ao iPhone a partir de 4 de outubro de 2026: no app do iPhone, quem ativar os lembretes de refeição recebe os avisos pelo serviço de notificações da Apple (seção 3.14). Para quem usa o Android ou o navegador, nada muda.

Os dados de uso mudam em 4 de outubro de 2026: as versões do app publicadas a partir dessa data passam a enviar à Amplitude, além das telas abertas e dos botões tocados, se algumas ações deram certo ou falharam (com o tipo da falha, nunca o texto do erro), cada passo do cadastro inicial como uma tela e algumas características da conta: o plano, se o Strava e a leitura de saúde estão conectados, se os lembretes estão ligados e o idioma do app (seção 3.8). O seu nome e o seu número de celular continuam fora.

Relatórios de falha a partir de 4 de outubro de 2026: as versões do app do celular publicadas a partir dessa data enviam ao Google (Firebase Crashlytics) um relatório técnico quando o app trava ou encontra um erro: o tipo do erro, o ponto do código e dados do aparelho — sem o identificador da sua conta, e sem que o app inclua neles o conteúdo dos seus registros (seção 3.20).

A permissão para a IA, a partir de 7 de outubro de 2026: as versões do app publicadas a partir dessa data só enviam dados ao Google Gemini depois que você toca em Permitir na tela "Antes de usar a IA", que aparece ao abrir a tela inicial pela primeira vez e, se você tiver respondido Agora não, de novo na primeira análise de refeição ou na primeira mensagem à Fuel.IA. Dá para recusar e continuar registrando pelos atalhos e à mão, e para retirar a permissão depois (seção 5). Guardamos na sua conta a resposta, quando ela foi dada e a versão do texto que você viu (seções 3.4 a 3.6 e 5).

O limite do plano gratuito, a partir de 7 de outubro de 2026: nas versões do app publicadas a partir dessa data, quando o limite do plano gratuito está valendo, a conta gratuita registra até 3 refeições por dia, por texto, pelos atalhos ou pelos favoritos; a Fuel.IA (a conversa e os insights do dia) e o registro por foto e por voz ficam no plano pago. Nesse caso, o app não pede o insight do dia ao Google Gemini. Para aplicar o limite, contamos por dia as refeições registradas e as perguntas à Fuel.IA, e guardamos só os números e um código aleatório de cada pergunta, nunca o texto dela (seções 3.6 e 3.19).

A assinatura dentro do app, a partir de 6 de outubro de 2026: as versões do app publicadas a partir dessa data podem vender o plano pago pela própria loja do celular — Google Play no Android e App Store no iPhone. Quem compra assim paga à loja, e a loja avisa o FuelBalance por meio da RevenueCat, que passa a constar como fornecedora (seções 3.19, 6.1 e 8). Para quem não compra nada, nada muda.

O aviso depois do treino, em 5 de outubro de 2026: quem conectou o Strava e ativou os lembretes recebe uma notificação quando um treino novo chega ao Strava e nenhuma refeição foi registrada depois dele. Esta política passa a descrever esse aviso nesta data (seções 3.7 e 3.14), em que ele também passa a sugerir quanto repor de proteína e de carboidrato, calculado com o peso e o objetivo do seu perfil. Para quem não conectou o Strava ou não ativou os lembretes, nada muda.

Compartilhar com um nutricionista ou treinador, a partir de 9 de outubro de 2026: pelo FuelBalance Pro, um profissional que te convidar — por um link ou digitando o seu número de celular, que usamos só para achar a sua conta — pode ver os escopos que você escolher — refeições, corpo, sono —, por 180 dias, e cada vez que ele abrir os seus dados fica registrado para você ver. Só acontece se você autorizar (seção 3.21). Até autorizar, nada muda para você.

A leitura do Health Connect (Android) e do Apple Saúde (iOS) vale a partir de 1º de outubro de 2026 e só acontece se você autorizar (seção 3.18). Até autorizar, nada muda para você.

As mudanças sobre o login por celular (número e código por SMS no lugar do Google e da Apple, com o número guardado pelo Firebase Authentication) valem a partir de 28 de setembro de 2026. Até essa data, os dados das contas existentes seguem a versão anterior desta política.

Esta política explica como o aplicativo FuelBalance (Android e iOS) e o site https://fuelbalance.app tratam os seus dados pessoais hoje. Ela descreve o que o app e o site fazem nesta fase beta, inclusive o que ainda não existe. Não é uma lista de planos.

#Resumo

• O FuelBalance está em fase beta e o uso é gratuito; um plano pago está sendo implantado, assinado pelo site, onde quem cobra é a Stripe, ou dentro do app, onde quem cobra é a loja do celular — Google Play ou App Store (seção 3.19). Ele compara as refeições que você registra com o seu gasto estimado do dia: o metabolismo basal, calculado pelo app, mais as calorias dos treinos vindas do Strava.
• Quem responde pelos seus dados é Paulo F O de Souza, empresário individual (CNPJ 61.942.112/0001-56). Para qualquer assunto, escreva para contact@pfengineer.tech.
• Idade, sexo biológico (opcional), peso, altura, gordura corporal, metas, refeições, fotos de pratos e treinos são dados de saúde. Para esses dados em geral, o app ainda não tem uma tela própria de consentimento: as telas de consentimento que existem são a do envio à IA do Google e a do convite do FuelBalance Pro, para mostrar seus dados a um nutricionista ou treinador que você escolher (seção 3.21); o outro aviso é o da tela em que você digita o número de celular. A seção 5 explica o que isso significa.
• A IA do Google (Gemini) só recebe seus dados depois que você permite, numa tela própria que aparece antes do primeiro envio; dá para recusar e para retirar a permissão depois (seção 5). Com a permissão, fotos e descrições de refeições, suas mensagens à Fuel.IA e um resumo do seu dia vão ao Google. O resumo inclui idade, peso, metas, as refeições registradas no dia (item por item, com horário) e os treinos do Strava. Nome, e-mail e identificador da conta não vão.
• Nossa conta no Gemini é paga por nós; você não paga nada. Nessa modalidade, o Google diz que não usa esse conteúdo para melhorar os produtos dele, mas guarda um registro dele por 55 dias para detectar abusos.
• Se você conectar o Strava, guardamos as atividades importadas na sua conta sem prazo de exclusão automática, inclusive dados que podem mostrar o percurso.
• Usamos a Amplitude, que guarda os dados nos Estados Unidos, para medir o uso do app e do site. Ela recebe as telas abertas, os botões tocados e se algumas ações deram certo ou falharam, junto com o identificador da sua conta, algumas características dela (plano, conexões, idioma) e dados do aparelho, mas não o conteúdo dos seus registros, o seu nome nem o seu número de celular. Hoje não há opção no app para desligar isso.
• Quando o app do celular trava ou encontra um erro, ele envia ao Firebase Crashlytics, do Google, um relatório técnico: o tipo do erro, o ponto do código e dados do aparelho. O relatório não leva o identificador da sua conta, e o app não inclui nele o conteúdo dos seus registros; a seção 3.20 explica o único caso que não controlamos. Hoje não há opção no app para desligar isso.
• Não vendemos dados pessoais, não mostramos publicidade e não compartilhamos seus dados para marketing de terceiros.
• A conta pode ser excluída pelo app, na hora, em Perfil → Configurações → Conta (instruções em https://fuelbalance.app/excluir-conta/). Baixar uma cópia dos seus dados continua sendo por e-mail: respondemos e concluímos em até 15 dias.
• O FuelBalance é para maiores de 18 anos, mas o app ainda não verifica a idade.
• A seção 14 lista o que você talvez espere encontrar e ainda não existe, e o que fazer no lugar.

#1. Quem é o responsável pelos seus dados

O FuelBalance é oferecido por PAULO F O DE SOUZA, empresário individual, nome fantasia PF Engenharia de Software e Arquitetura, inscrito no CNPJ sob o nº 61.942.112/0001-56, com endereço na Rua José Santos Junior, 169 – Campo Belo – São Paulo/SP – CEP 04609-010. Ele também usa a marca PFEngineer. Nesta política, "FuelBalance", "nós" e "a gente" se referem a ele.

Somos o controlador dos seus dados pessoais: decidimos para que e como eles são usados.

• Encarregado pelo tratamento de dados pessoais: Paulo Felipe Oliveira de Souza.
• Canal único de contato: contact@pfengineer.tech. Use esse e-mail para suporte, dúvidas de privacidade, pedidos sobre os seus direitos, exclusão de dados e reclamações.

Os pedidos são lidos e atendidos manualmente por nós. Respondemos e concluímos os pedidos — dúvidas, reclamações, exclusão da conta e pedidos sobre os seus dados, como receber uma cópia ou apagar os dados — em até 15 dias (seção 11).

#2. A quem esta política se aplica e em que fase estamos

• Usuários do app FuelBalance, que entram com o número de celular e um código enviado por SMS.
• Visitantes do site fuelbalance.app.
• Pessoas que entraram na lista de espera pelo site.

O FuelBalance está em fase beta: é uma versão de testes que ainda muda com frequência. O uso é gratuito e um plano pago está sendo implantado: quando você assina, o pagamento acontece numa página da Stripe ou na loja do seu celular, e o app nunca vê os dados do seu cartão (seção 3.19). Quando algo que afete seus dados mudar, atualizamos esta política (seção 15).

Hoje, a única fonte de treinos é o Strava. As integrações com Garmin Connect e TrainingPeaks não existem no app, e nenhum dado é coletado por elas. A Fuel.IA por voz, no chat, e o botão "Voz" da tela de registro existem (seções 3.5 e 3.4).

#3. Quais dados tratamos, de onde vêm e para quê

A LGPD chama de dados pessoais sensíveis os dados referentes à saúde. No FuelBalance, tratamos como dados de saúde: idade combinada com peso e altura, peso-alvo e data-alvo, objetivo corporal, metabolismo basal estimado, pesagens e gordura corporal, refeições, fotos e descrições de pratos, calorias e macronutrientes, saldo do dia, insights da IA, conversas com a Fuel.IA e dados de treino, como frequência cardíaca, potência e calorias.

#3.1 Conta e login

• Como funciona: você informa o número do seu celular e recebe por SMS um código de uso único. O envio do SMS e a verificação do código são feitos pelo Firebase Authentication, do Google, que cria a conta no primeiro acesso e dá acesso a ela nos seguintes. Para evitar abuso, o Firebase pode confirmar que o pedido vem do app verdadeiro (pelo Play Integrity, no Android) ou mostrar uma verificação reCAPTCHA do Google; no Android, o código pode ser lido do SMS automaticamente.
• Dados: o identificador da conta criado pelo Firebase, o número de celular e as datas de criação e do último acesso. Na primeira tela do cadastro inicial pedimos também o seu nome, para o app saber como te chamar, a menos que a conta já tenha um; ele fica guardado no seu perfil no banco de dados do app. Não pedimos e-mail nem senha. Contas que se cadastraram antes dessa mudança guardam o e-mail informado naquele cadastro.
• Onde ficam: no Firebase Authentication, do Google, que processa esses dados nos Estados Unidos. O número de celular fica no Firebase Authentication e, junto com o nome (e, nas contas que o informaram, o e-mail do cadastro), no seu perfil no banco de dados do app (Cloud Firestore).
• Nome exibido: o nome que você informa no cadastro. Contas criadas antes do cadastro com nome usam o nome da conta do Strava (seção 3.7) ou "Atleta".
• Contas criadas antes com Google ou Apple: continuam com o identificador, o nome, o e-mail e a foto que o Google ou a Apple entregaram na época (e, com a opção da Apple de ocultar o e-mail, o endereço de encaminhamento da Apple), guardados no Firebase Authentication e copiados para o perfil no banco de dados quando o cadastro inicial foi concluído. Em Configurações, essas contas podem vincular um número de celular: o número passa a dar acesso à mesma conta, com os mesmos dados. Se o número já estiver ligado a outra conta, o vínculo é recusado e nada muda.
• Para quê: criar e manter sua conta, identificar você e separar os seus dados dos de outras pessoas.
• Uso do número e do e-mail: não enviamos novidades, ofertas nem publicidade para o seu número. Ele recebe os códigos que você pede e, nas contas sem e-mail, avisos sobre a sua própria conta (remoção de conteúdo, suspensão ou encerramento, como descrevem os Termos de Uso, seção 5), nunca marketing. Não enviamos novidades nem ofertas para o seu e-mail; nas contas que têm e-mail, usamos ele para responder pedidos seus e para avisos sobre a sua conta e sobre mudanças nestes documentos ou no serviço.
• Base legal: execução do contrato, ou seja, dos Termos de Uso.

#3.2 Cadastro inicial e perfil

• Dados que você informa: objetivo (desempenho, perder gordura, manter o peso ou ganhar massa), esporte principal (ciclismo, corrida, triatlo, duatlo, academia, Hyrox ou outro, e então o nome que você digitar), idade, altura e peso e, se o objetivo for perder gordura ou ganhar massa, o peso-alvo e o ritmo que você escolhe, em porcentagem do seu peso por semana. São opcionais: o sexo biológico (feminino ou masculino; dá para deixar sem resposta), usado só no cálculo do metabolismo basal; a prova para a qual você treina (seção 3.15); o estilo alimentar (alto carboidrato, mediterrâneo, periodização de carboidrato ou à base de plantas); e a semana de treino: os dias em que você treina, quais deles são fortes, o horário dos treinos em dias úteis e no fim de semana (antes das 7h, manhã, almoço, tarde ou noite) e quanto dura o treino forte. Se você não escolher um estilo alimentar no cadastro, a tela inicial pergunta de novo a partir do terceiro dia de uso.
• Dados calculados pelo app: metabolismo basal estimado, saldo-alvo do dia, que o app chama de "meta do dia" (seção 12), e a data-alvo do peso, calculada a partir do peso-alvo e do ritmo que você escolhe ou, quando há uma prova principal, a data da prova.
• Dados técnicos: fuso horário do celular, datas de criação e de atualização do perfil, a data da última mudança na semana de treino e a indicação de que o cadastro foi concluído.
• Como chegam: o app faz as perguntas uma tela por vez. Quem ainda não tem conta responde antes de criá-la: as respostas ficam só na memória do app — não vão para nenhum servidor nem ficam gravadas no aparelho — até você confirmar o seu número de celular, na tela que vem depois do plano (seção 3.1). Aí a conta é criada e tudo é gravado de uma vez. Se você sair no meio ou fechar o app ou a aba, nada fica guardado. Se o número já tiver uma conta com o cadastro concluído, você só entra nela: as respostas desta vez são descartadas e o que estava na conta não muda. Quem já entrou na conta responde do mesmo jeito e grava tudo ao tocar em "Salvar meu plano". Depois do plano salvo aparece a tela de conexão com o Strava, que dá para pular. A idade é um número livre: o app não confere se você tem 18 anos (seção 13).
• O que você pode mudar no app: peso, peso-alvo, objetivo e data-alvo, na tela de perfil; a semana de treino, em Perfil → Minha semana, onde também dá para apagá-la ("Não tenho semana fixa"). Para corrigir idade, altura, sexo, esporte ou estilo alimentar, escreva para nós.
• Para quê: calcular o metabolismo basal, o saldo-alvo e o saldo do dia, acompanhar sua meta, dar contexto à IA (seção 3.6), agrupar seus registros pelos dias do seu fuso horário e, com a semana de treino, planejar o que comer na véspera e antes de cada treino. A semana de treino não vai para a IA nem para a Amplitude.
• Base legal: consentimento para dados de saúde. Hoje o app não coleta esse consentimento de forma específica e destacada, como a LGPD exige (seção 5).
• Como você conheceu o FuelBalance (opcional): depois que o plano é salvo, uma última pergunta, que dá para pular, oferece Instagram, Strava, amigo ou equipe, treinador ou assessoria, prova ou evento, Google, ChatGPT ou outra IA, e outro. Guardamos a resposta e a data dela no seu perfil, para saber por onde os atletas chegam e onde vale divulgar o FuelBalance. Ela não vai para a IA nem para a Amplitude, e ninguém mais a vê. Base legal: legítimo interesse (art. 7º, IX). Para se opor, é só pular a pergunta; se já respondeu, peça por e-mail que a apaguemos.

#3.3 Pesagens

• Dados: peso do dia, percentual de gordura corporal (opcional), a data e a origem do registro. O peso e a gordura corporal mais recentes também são copiados para o seu perfil e recalculam o metabolismo basal.
• Como chegam: você registra no app ou, se você autorizar, elas vêm do Health Connect / Apple Saúde (seção 3.18), escritas lá pelo app da sua balança. Um dia que você registrou à mão nunca é substituído pelo que vem de lá. Hoje não é possível apagar uma pesagem pelo app. Para isso, escreva para nós.
• Para quê: mostrar sua evolução e dar contexto à IA, que recebe o percentual de gordura corporal, há quantos dias foi a última pesagem e a variação de peso e de massa magra.
• Base legal: consentimento para dados de saúde. Hoje o app não coleta esse consentimento de forma específica e destacada, como a LGPD exige (seção 5).

#3.4 Refeições

Como você registra hoje:

• Antes do primeiro envio ao Gemini, por foto, texto ou voz, o app mostra a tela "Antes de usar a IA" e só envia se você tocar em Permitir (seção 5). Sem a permissão, nada vai ao Gemini; uma foto é lida só no próprio celular, como descrito abaixo.
• Foto, pela câmera do app ou escolhida na galeria: com a permissão, a foto vai ao Google Gemini, que identifica os alimentos, as porções, as calorias e os macronutrientes. Quando você não permite, ou quando o Gemini não responde (sem internet, limite de uso ou erro), o app tenta reconhecer o prato no próprio celular, com o ML Kit do Google. O reconhecimento no celular não envia a foto, mas ela já pode ter chegado ao Google na tentativa com o Gemini que falhou (por exemplo, por limite de uso).
• Texto: a descrição que você escreve vai ao Gemini.
• Chat com a Fuel.IA: se a sua mensagem parecer o relato de uma refeição, o texto também vai ao Gemini para montar uma sugestão de registro. Ela só é salva se você tocar para confirmar.
• Atalhos da seção "Rápidos" (gel, barra, isotônico, whey e banana): são salvos com um toque, com valores fixos, sem IA.
• Voz: o botão "Voz" da tela de registro aparece onde há reconhecimento de fala — no celular, o do próprio aparelho (do Google, no Android; da Apple, no iPhone); no navegador, o dele (Chrome, Edge e Safari; o Firefox não tem, e lá o botão segue como "Em breve"). O app pede a permissão de microfone, e quem escuta é esse reconhecimento, que pode processar o áudio nos servidores dessas empresas conforme as configurações do aparelho ou do navegador; o app recebe só o texto. Esse texto vai ao Gemini para identificar os alimentos, como acontece com a descrição digitada. Quando a Fuel.IA por voz está disponível, o botão "Voz" abre essa conversa com a Fuel.IA (seção 3.5): você conta o que comeu, a conversa segue o mesmo caminho descrito lá — inclusive a resposta falada pelo Text-to-Speech — e os alimentos identificados voltam para você confirmar aqui. Não guardamos o áudio nem a transcrição: o que fica salvo é a refeição, se você confirmar.

Revisão antes de salvar: numa refeição analisada por foto ou texto, você pode corrigir calorias, proteínas, carboidratos e gorduras de cada item e remover itens. O nome e a quantidade dos itens não podem ser editados. Refeições sugeridas no chat só podem ser confirmadas ou descartadas.

Dados guardados: título e horário da refeição, tipo de refeição (por exemplo café da manhã ou pré-treino), forma de registro e, para cada item, nome, quantidade, gramas quando a quantidade estiver em gramas, um emoji, calorias, proteínas, carboidratos, gorduras, fibras e o grau de confiança da estimativa. Também guardamos os totais do dia (seção 3.7). Não guardamos a foto nem o texto que você escreveu.

Favoritos: você pode guardar uma refeição registrada como favorita, para repetir em outro dia. Guardamos o nome dado a ela (a lista dos alimentos), os itens com os mesmos dados de uma refeição e os totais, até você removê-la nos próprios favoritos.

Fotos:

• A foto é enviada ao Gemini com os metadados gravados nela. Uma foto escolhida da galeria é reduzida para até 1280 pixels de largura antes do envio, mas o app copia para ela os metadados originais, inclusive a localização onde foi tirada, quando existir. Se não quiser isso, desligue a gravação de localização na câmera do celular antes de fotografar ou escolha uma foto sem localização.
• O app não apaga a foto depois da análise. A cópia fica na área temporária do app no celular até o sistema limpá-la ou você desinstalar o app.
• Fotografe só o prato. Evite pessoas, documentos e telas na imagem.

Depois de salvar: você pode mudar o horário ou apagar as refeições do dia, na lista da tela inicial. Refeições de dias anteriores só podem ser apagadas por pedido por e-mail.

Base de alimentos compartilhada: quando você salva um item com quantidade em gramas (por exemplo "150 g") e esse alimento ainda não existe na base, o app cria uma entrada com:

• o nome do alimento, como aparece na refeição;
• os valores nutricionais por 100 g e um contador de uso;
• as datas de criação e atualização;
• o identificador da sua conta, que criou a entrada.

As regras do nosso banco de dados permitem que qualquer conta conectada ao app leia essas entradas e aumente o contador de uso delas. Elas não são apagadas quando você apaga a refeição. Se você pedir por e-mail, removemos as entradas que você criou. Quando você pede a exclusão da conta, retiramos delas o identificador da sua conta (seção 11). Evite dar a alimentos nomes que identifiquem você ou outras pessoas.

• Para quê: calcular o que você consumiu, montar seu diário e seu histórico e calcular o saldo do dia.
• Base legal: consentimento (art. 11, I) para o envio à IA, pedido na tela "Antes de usar a IA" antes do primeiro envio e revogável a qualquer momento (seção 5). Para os demais dados de saúde desta seção, hoje o app não coleta o consentimento de forma específica e destacada, como a LGPD exige (seção 5).

#3.5 Fuel.IA (chat com a IA)

• Só com a sua permissão: nada do chat vai ao Gemini antes de você tocar em Permitir na tela "Antes de usar a IA" (seção 5). Sem ela, a Fuel.IA mostra só a saudação fixa e pede a permissão quando você manda a primeira mensagem.
• O que vai ao Google Gemini: ao abrir o chat, o resumo do seu perfil e do seu dia descrito na seção 3.6, junto com uma saudação fixa gerada pelo app, para que a Fuel.IA escreva a primeira linha sobre o seu dia antes mesmo de você digitar; depois, a cada mensagem sua, as mensagens da conversa aberta e o mesmo resumo. A saudação com o seu primeiro nome que aparece na tela não faz parte do que é enviado.
• Fuel.IA por voz: o ícone de microfone do chat abre a Fuel.IA por voz. O app pede a permissão de microfone e usa o reconhecimento de fala do próprio celular (do Google, no Android; da Apple, no iPhone), que pode processar o áudio nos servidores dessas empresas conforme as configurações do aparelho; o app recebe só o texto transcrito. Esse texto vai ao Gemini como uma mensagem do chat, com o resumo da seção 3.6, e a resposta da Fuel.IA — que pode conter suas calorias, macronutrientes, peso e metas — vai ao Google Cloud Text-to-Speech, que a devolve em áudio. Esse pedido passa por uma função nossa no Google Cloud, hospedada em São Paulo, que fala com o Text-to-Speech por nós; ela não guarda o texto nem o áudio. A Fuel.IA por voz funciona no celular e no app web. A saudação falada não inclui o seu nome. Não guardamos o áudio, a transcrição nem a resposta: as falas aparecem na conversa do chat e somem com ela. Se você disser que comeu algo, o texto também vai ao Gemini para montar a sugestão de registro (seção 3.4).
• Armazenamento: não guardamos as conversas nos nossos servidores. Elas ficam na memória do app enquanto o chat está aberto e somem quando você o fecha. O Google guarda as solicitações e as respostas da Gemini API por 55 dias, para detectar abusos (seção 6.1).
• Cuidado: evite enviar diagnósticos, remédios ou dados de outras pessoas.
• Respostas erradas: não há botão para reportar uma resposta. Se ela estiver errada ou for ofensiva ou perigosa, escreva para contact@pfengineer.tech com a data e o texto.
• Base legal: consentimento (art. 11, I) para o envio à IA, pedido na tela "Antes de usar a IA" antes do primeiro envio e revogável a qualquer momento (seção 5). Para os demais dados de saúde desta seção, hoje o app não coleta o consentimento de forma específica e destacada, como a LGPD exige (seção 5).

#3.6 Insight do dia e o resumo enviado à IA

• Quando o insight é gerado: ao abrir a tela inicial, se você tiver permitido o uso da IA (seção 5), o app pede ao Gemini uma mensagem curta e uma recomendação de proteínas, carboidratos e gorduras para o dia — inclusive num dia ainda sem registros, a partir do seu perfil, quando o peso já é conhecido. Sem a permissão, nada é enviado e a mensagem do dia vem de regras do próprio app (um insight já gerado no mesmo dia pode continuar aparecendo). Na conta gratuita, quando o limite do plano está valendo, o insight também não é pedido ao Gemini: o cartão aparece desfocado, com a mensagem das regras do app por baixo (seção 3.19). Um novo pedido só acontece quando os números do dia mudam ou você troca o idioma.
• O resumo enviado, no insight e na Fuel.IA, contém:
  • esporte (o nome que você digitou, se escolheu outro), objetivo, idade, peso, altura e peso-alvo;
  • o estilo alimentar, quando você escolheu um (o sexo biológico não vai);
  • número de refeições, calorias e macronutrientes consumidos no dia;
  • calorias gastas nos treinos do dia e, para cada treino vindo do Strava, o nome que você deu à atividade, o tipo, as calorias, a distância e a duração;
  • saldo do dia, calculado aqui como o consumido menos só as calorias dos treinos, e saldo-alvo;
  • metabolismo basal estimado, informado como um número separado;
  • a meta de ingestão do dia e quanto ainda cabe, calculados a partir dos números acima (na Fuel.IA, também divididos pelas refeições principais que faltam);
  • quando existirem, percentual de gordura corporal, variação de peso e variação de massa magra;
  • a hora e o dia da semana no momento da conversa (só na Fuel.IA, não no insight);
  • a data-alvo do peso e, calculados a partir dela e do seu peso, o ritmo semanal necessário e o limite prudente;
  • faixas de referência calculadas pelo app a partir do seu peso, objetivo e tipo de dia (proteína por dia e por refeição, gordura mínima e carboidrato em dia de treino);
  • o tipo de dia de treino (descanso, leve, longo ou recuperação), os minutos de treino de hoje e o tipo e os minutos de treino de ontem;
  • para cada treino, o horário de início e fim, se as calorias foram medidas pelo Strava, estimadas ou são desconhecidas e, quando existirem, a frequência cardíaca e a potência médias;
  • se a janela pós-treino está aberta ou fechada e o horário em que o último treino terminou (só na Fuel.IA);
  • para cada refeição do dia, o horário, o tipo de refeição, o título quando for diferente do tipo, as calorias e os macronutrientes e, para cada item, o nome e a quantidade (não vão a foto, o texto original, o emoji nem o identificador do alimento); na Fuel.IA, também há quanto tempo foi a última refeição e quais refeições e lanches ainda faltam;
  • a fibra consumida no dia;
  • na Fuel.IA, a recomendação de macronutrientes já gerada para o dia e quanto falta de cada uma;
  • os totais de ontem: calorias consumidas e proteína, calorias de treino, número de refeições e de treinos;
  • quantos dias seguidos você registrou algo;
  • há quantos dias foi a última pesagem;
  • quando você tiver uma prova cadastrada, a prova principal ou a próxima: o nome que você deu à prova, modalidade, distância, altimetria, meta de tempo, duração estimada pelo app, data, quantos dias faltam e a fase de preparação (seção 3.15);
  • quando você registrar o sono: as horas dormidas na noite passada, as fases (leve, profundo e REM) e o HRV da manhã, se informados, a média das suas últimas noites e o seu HRV comparado com a sua própria média dos 7 dias anteriores (seção 3.16);
  • avisos calculados pelo app quando se aplicam: meta de ingestão abaixo do metabolismo basal, treino sem calorias medidas e idade abaixo de 18 anos.
• O que não vai: nome, e-mail, identificador da conta e foto de perfil. Atenção: o nome da atividade no Strava, o título da refeição, o nome dos itens da refeição e o nome da prova são textos livres (o app remove links, e-mails e sequências longas de dígitos antes de enviar). Se tiverem outra informação pessoal, ela vai junto.
• O que guardamos: o insight do dia (mensagem, tom e macronutrientes recomendados) e um código com os números que o geraram: calorias consumidas e gastas, metabolismo basal, saldo-alvo, número de refeições e de treinos, o idioma e, quando houver, o identificador, a data e a fase da prova, e as horas dormidas e o HRV da noite passada.
• Base legal: consentimento (art. 11, I) para o envio à IA, pedido na tela "Antes de usar a IA" antes do primeiro envio e revogável a qualquer momento (seção 5). Para os demais dados de saúde desta seção, hoje o app não coleta o consentimento de forma específica e destacada, como a LGPD exige (seção 5).

#3.7 Strava (se você conectar)

Conectar o Strava é opcional.

• Como a conexão acontece: ao tocar em Conectar (logo depois do cadastro inicial, na tela inicial ou em Configurações), o app abre direto a página de autorização do Strava. No celular, a página abre numa aba do navegador do sistema; no app web, no próprio navegador. O navegador volta para o nosso site com um código, e quem troca esse código pelas chaves de acesso é uma função nossa no Google Cloud, hospedada em São Paulo — nem o navegador nem o app veem a chave secreta ou as chaves de acesso. O app não mostra antes uma tela própria sobre os dados importados. Pedimos ao Strava permissão de leitura do perfil e das atividades, inclusive as privadas (read e activity:read_all).
• Logo após a autorização: importamos seu perfil e suas 30 atividades mais recentes. Depois, a cada vez que a tela inicial carrega, importamos as atividades novas.
• Quando um treino novo chega ao Strava: o Strava avisa o nosso servidor. Esse aviso traz só o identificador da atividade, o identificador da sua conta no Strava e o horário, e fica guardado para o mesmo treino não ser tratado duas vezes. Com ele, uma função nossa busca a atividade no Strava e decide se manda o aviso depois do treino (seção 3.14). Essa busca não grava a atividade: ela só entra no seu histórico quando a tela inicial carrega.
• Dados do perfil guardados: identificador de atleta no Strava, nome, sobrenome, foto, cidade e país.
• Dados de cada atividade guardados: nome, tipo, data e hora, distância, tempo em movimento, velocidade média, potência média, frequência cardíaca média, ganho de elevação e calorias estimadas. Guardamos também a resposta completa que o Strava envia para a atividade, que pode incluir o traçado resumido do percurso e as coordenadas de início e fim.
• Dados calculados a partir deles: calorias gastas, saldo do dia, distância total, número de treinos, um resumo do treino principal do dia no histórico ("nome da atividade · km") e o estado da conexão (identificador de atleta, permissões e datas de sincronização).
• Onde aparecem: só para você, na tela inicial e no histórico, para qualquer data. Também entram no resumo enviado ao Gemini (seção 3.6) e no código guardado com o insight.
• Prazo: ficam na sua conta sem exclusão automática. Atividades apagadas ou alteradas no Strava depois de importadas não são atualizadas no FuelBalance.
• Chaves de acesso: ficam no nosso servidor (Firestore, em athletes/{seu id}/private/strava), gravadas e lidas apenas pelas nossas funções no Google Cloud; as regras do banco negam esse caminho a qualquer app — no celular e no navegador. A conexão é da conta: vale nos dois lugares ao mesmo tempo e sobrevive a sair da conta e a trocar de aparelho.
• Chaves antigas no celular: versões anteriores do app guardavam as chaves no armazenamento seguro do aparelho. A versão atual apaga essas chaves do celular na primeira vez que roda; se a conexão era só do celular, o Strava aparece como desconectado e reconectar é um toque. No iPhone, o armazenamento antigo (Keychain) pode ter entrado no backup criptografado do aparelho.
• Desconectar: o link em Configurações — no celular e no navegador — revoga o nosso acesso no Strava e apaga as chaves; os treinos já importados continuam na sua conta até você pedir a exclusão deles por e-mail ou excluir a conta. Sair da conta não desfaz a conexão. Você também pode revogar o acesso nas configurações do próprio Strava (https://www.strava.com/settings/apps).
• O próprio Strava trata os seus dados conforme a política de privacidade dele (https://www.strava.com/legal/privacy).
• Base legal: consentimento para dados de saúde. Hoje o app não coleta esse consentimento de forma específica e destacada, como a LGPD exige (seção 5). A conexão só acontece se você autorizar na página do Strava.

#3.8 Dados de uso do app (Amplitude)

Eventos enviados: cada tela aberta (por exemplo tela inicial, histórico, registro de refeição, chat, perfil e Configurações), toques em alguns botões, com poucas informações sobre o toque, e o resultado de algumas ações:

• login e vínculo do celular: que você pediu o código por SMS ou o reenvio dele e em qual tela (login ou Configurações), e que abriu a opção de vincular telefone. O número e o código não vão nos eventos;
• registro de refeição: o modo escolhido (foto ou texto), que você pediu a análise, a quantidade de itens confirmados, que você usou um atalho da seção "Rápidos" (sem dizer qual), que editou valores, removeu um item ou mudou a quantidade de um alimento (sem dizer qual alimento nem quanto) e o grau de confiança da sugestão do reconhecimento no celular que você escolheu;
• chat: que você enviou uma mensagem e o tamanho dela em caracteres, a quantidade de itens de uma refeição sugerida que você registrou e que você mudou a quantidade de um alimento dela (sem dizer qual nem quanto);
• outros: abas usadas, que você abriu o app tocando numa notificação (e a tela para a qual ela levou), que você abriu um treino, a Fuel.IA (e de onde), a pesagem, o objetivo, o perfil ou as Configurações, tocou em registrar refeição (e de onde) ou em conectar o Strava (e a partir de qual tela), apagou uma refeição (deslizando ou pelo botão), mudou o horário de uma refeição, confirmou um objetivo (sem dizer qual), trocou o idioma (português ou inglês), abriu estes documentos (e de onde), tocou em assinar (mensal ou anual, e de onde), tocou na Fuel.IA, nos insights dela ou na estratégia de prova estando no plano gratuito, viu a tela do Pro (e o que levou até ela: o limite de refeições do dia, a Fuel.IA, a foto ou a voz, os insights ou a estratégia de prova), saiu do cadastro inicial pela primeira tela, tocou em salvar o plano ao terminá-lo, confirmou o número de celular no fim dele ou, por ele, entrou numa conta que já existia;
• cadastro inicial: cada passo do cadastro conta como uma tela aberta (por exemplo o passo do objetivo ou o da semana de treino), sem as respostas que você deu nele;
• resultado das ações: se a ação deu certo ou falhou e, quando falha, o tipo da falha (por exemplo "sem conexão" ou "limite do plano"), nunca o texto do erro. Vale para: o envio e a confirmação do código por SMS (no login e no vínculo do celular, e se foi um reenvio); a análise de uma refeição (com o modo e a quantidade de itens encontrados) e o salvamento dela (pela tela de registro ou pela Fuel.IA); a resposta da Fuel.IA; a conexão e a desconexão do Strava; a autorização da leitura de saúde (seção 3.18); a ativação dos lembretes de refeição; o salvamento do plano no fim do cadastro, de uma pesagem (sem o valor) e de uma prova (sem dizer qual), e a exclusão de uma prova; a exclusão da conta; e a assinatura, quando o plano passa a pago com o app aberto;
• sessões: início e fim de cada sessão de uso do app, enviados automaticamente pela Amplitude.

Identificadores: o identificador da sua conta do FuelBalance e um identificador do aparelho gerado pela Amplitude. O seu nome e o seu número de celular não vão para a Amplitude.

Características da conta: junto com o identificador, a Amplitude guarda o plano (gratuito, em período de teste ou Pro, e se a assinatura foi cancelada), se o Strava está conectado, se a leitura de saúde está autorizada, se os lembretes de refeição estão ligados e o idioma escolhido no app. Servem para comparar o uso entre grupos de contas, por exemplo quem assina e quem não assina.

Dados técnicos: sistema operacional e versão, modelo, fabricante e marca do aparelho, versão do app, versão da API do Android, idioma, plataforma e país.

O que desligamos no app: o app não inclui nos eventos endereço IP, cidade, região, operadora, latitude e longitude, identificador de publicidade, App Set ID nem IDFV, e não usa a localização do aparelho. Os eventos não levam texto de mensagens, fotos, nomes de alimentos, calorias, macronutrientes, peso, gordura corporal, o objetivo escolhido nem dados de treino.

Endereço IP: como em qualquer conexão pela internet, o endereço IP do seu celular chega aos servidores da Amplitude quando os eventos são enviados. Configuramos o app para não incluir esse endereço nos eventos.

Uso pela própria Amplitude: os termos de serviço da Amplitude permitem que ela use os dados que enviamos, inclusive com aprendizado de máquina, para melhorar os serviços dela (seção 7).

• Onde: servidores da Amplitude nos Estados Unidos (seção 8).
• Para quê: entender como o app é usado, encontrar problemas e decidir melhorias.
• Base legal: legítimo interesse. Hoje não há opção no app para desligar esse envio. Se você se opuser por e-mail, apagamos na Amplitude os dados de uso ligados ao identificador da sua conta, mas hoje não conseguimos impedir que o app continue enviando novos eventos enquanto você o usar. Para parar o envio, deixe de usar o app e peça a exclusão da conta.

#3.9 Dados técnicos e conexões

• Configuração remota: ao abrir, o app consulta o Firebase Remote Config, do Google, para saber os endereços destes documentos. Para isso, o Firebase usa um identificador de instalação do app e dados técnicos do app e do aparelho.
• Conexões diretas: o seu celular se conecta diretamente aos servidores do Google (Firebase e Gemini), do Strava e da Amplitude. Todos eles recebem o endereço IP da conexão.
• Registros de acesso: hoje não mantemos registros de acesso próprios (endereço IP, data e hora). Os fornecedores podem manter registros técnicos conforme as regras deles.
• Base legal: legítimo interesse, para o app funcionar e ficar seguro.

#3.10 Permissões do celular

• Câmera: pedida quando você abre a câmera para fotografar uma refeição.
• Fotos: você escolhe a foto no seletor do sistema. O app recebe só a foto escolhida.
• Microfone e reconhecimento de fala: pedidos quando você abre a Fuel.IA por voz pelo ícone de microfone do chat (seção 3.5) ou usa o botão "Voz" para registrar uma refeição (seção 3.4). O reconhecimento de fala é o do sistema do celular ou, no app web, o do navegador.

• Health Connect (Android) e Apple Saúde (iOS): pedidos só quando você toca em Conectar em Configurações → Conectores. São três permissões de leitura — peso, gordura corporal e sono — e nada mais (seção 3.18). O app não pede permissão de escrita e não tem como gravar nada lá.

O FuelBalance não acessa a localização do celular por GPS nem os seus contatos.

#3.11 Dados guardados no seu celular

• Cópia local do banco de dados: o Firebase mantém no celular uma cópia dos dados que o app leu ou gravou, para funcionar sem internet: perfil, refeições, pesagens, insights, totais do dia e atividades do Strava, inclusive a resposta completa do Strava.
  • Essa cópia não é apagada quando você sai da conta. Ela some quando você desinstala o app ou limpa os dados dele nas configurações do celular.
  • No Android, o backup automático do sistema não foi desativado no app, então essa cópia pode ir para o backup da sua conta Google. No iPhone, ela pode entrar no backup do iCloud, conforme as suas configurações.
  • Se você empresta ou compartilha o celular, leve isso em conta.
• Chaves de acesso ao Strava: veja a seção 3.7.
• Preferência de idioma: guardada num armazenamento local do app.
• Conexão com o Health Connect ou o Apple Saúde: uma anotação local de que você conectou (no iOS) ou desconectou (no Android), com a data, para o app saber se deve ler. Não sai do celular.
• Fotos de refeição: na área temporária do app (seção 3.4).
• Registro do sistema (log): todas as versões do app escrevem no registro do sistema do celular alguns dados técnicos, como o identificador da conta ao salvar refeições, o cadastro e a conexão com o Strava, e os nomes dos alimentos identificados. As versões de desenvolvimento, que podem ser usadas em testes, escrevem também o texto das mensagens à Fuel.IA, o resumo enviado à IA, as respostas da IA e as leituras e gravações no banco de dados. Esse registro fica no celular e pode ser lido por quem conectar o aparelho a um computador com ferramentas de desenvolvedor.
• Login no Strava pelo navegador: se você entrou no Strava pelo navegador do celular para conectar, essa sessão é controlada pelo navegador e pelo Strava.

#3.12 Site fuelbalance.app

Visitas ao site (Amplitude)

• Dados: páginas vistas (endereço completo da página, inclusive parâmetros do link como ?lang=pt, domínio, caminho e título), início e fim das sessões, um identificador aleatório do navegador e da sessão, o navegador e o sistema (informados pelo navegador), idioma e horário.
• O que está desligado: gravação de sessão, cliques, formulários, origem de campanhas, downloads, desempenho, erros de rede e o endereço IP nos eventos. O site também não aceita que essas opções sejam religadas pelo painel da Amplitude. Atenção: como o endereço completo da página é enviado, parâmetros que estiverem no link (por exemplo utm_source) vão junto.
• Identificador: fica no armazenamento de sessão do navegador e some quando você fecha a aba. O site não usa cookies para identificar você.
• Endereço IP: chega aos servidores da Amplitude na conexão, como em qualquer acesso pela internet.
• Onde: Estados Unidos (seção 8).
• Para quê: medir o interesse no FuelBalance e melhorar o site.
• Base legal: legítimo interesse. O site não tem botão para recusar essa medição. Você pode bloquear scripts de terceiros no seu navegador ou escrever para nós.

As páginas desta política e dos Termos de Uso não carregam a Amplitude nem outros serviços de terceiros.

Idioma do site: se você escolhe um idioma, o site guarda essa escolha no armazenamento local do navegador (fb_lang) até você limpar os dados do navegador.

Hospedagem: o site é entregue pelo Firebase Hosting, do Google, que recebe o endereço IP e os dados técnicos que o navegador envia em qualquer acesso.

Lista de espera

• Dados: nome (opcional; se ficar em branco, guardamos um travessão), e-mail, idioma da página, data e hora do cadastro e a origem "landing".
• Onde ficam: são enviados do seu navegador direto para o nosso banco de dados no Google Cloud Firestore, na região de São Paulo.
• Para quê: como diz o formulário, enviar o convite para o beta e novidades do FuelBalance. Não usamos a lista para outra finalidade e não a compartilhamos.
• Base legal: consentimento, dado ao enviar o formulário.
• Para sair: escreva para contact@pfengineer.tech. A remoção é feita manualmente. Hoje não há link automático de descadastro.

Instagram: o link do nosso perfil no Instagram só leva você ao site da Meta se você clicar nele.

Link de download (fuelbalance.app/baixar): essa página não carrega a Amplitude nem outro serviço de terceiros e não guarda nada. Ela só verifica, no seu próprio navegador, se o aparelho é Android, iPhone ou computador, para escolher o destino: no Android, abre a Google Play; no iPhone, a App Store; no computador, mostra um QR code. Para a Google Play vai junto a etiqueta de campanha que já está no link (por exemplo, instagram), que a loja usa para contar de onde vieram as instalações. Nada sobre você entra nessa etiqueta. Para a App Store não vai nada além do endereço do app. Na Google Play vale a política de privacidade do Google; na App Store, a da Apple.

#3.13 Quando você fala com a gente

Se você escrever para contact@pfengineer.tech, tratamos seu nome, seu e-mail, o conteúdo da mensagem e o histórico da conversa, para responder e resolver o pedido.

• Base legal: execução do contrato, cumprimento de obrigação legal nos pedidos sobre direitos da LGPD e exercício regular de direitos.
• Se a mensagem trouxer dados de saúde, usamos esses dados só para atender o pedido.

#3.14 Lembretes e aviso depois do treino, por notificação (opcional)

• Como funciona: em Configurações você pode ativar lembretes de refeição. O aparelho pede a permissão de notificações e registra um token de push — um identificador criado pelo Firebase Cloud Messaging, do Google, que permite entregar avisos a esse aparelho. No iPhone, a entrega passa também pelo serviço de notificações da Apple (APNs): o Google repassa o aviso à Apple, que o leva ao aparelho.
• Dados: o token, a plataforma (web, Android ou iPhone), o fuso horário do aparelho e, no Android, se a versão instalada do app mostra ela mesma o aviso depois do treino (é o que traz o botão descrito abaixo), guardados no seu perfil no banco de dados (pushTokens). Para o aviso depois do treino, também o horário do último aviso enviado, guardado no seu perfil.
• Para quê: para dois avisos, e só eles. Nunca usamos os tokens para marketing.
  • Lembretes de refeição: um aviso às 9h, 13h, 16h e 19h quando a refeição daquela janela ainda não foi registrada. Quem já registrou não recebe.
  • Aviso depois do treino, só para quem também conectou o Strava (seção 3.7): quando um treino de 20 minutos ou mais chega ao Strava, terminou há menos de 3 horas e você ainda não registrou nenhuma refeição depois dele. No máximo um aviso a cada 4 horas. Quando o canal do WhatsApp está ativo e a sua última mensagem para nós tem menos de 23 horas, o aviso vai por lá, no lugar da notificação (seção 3.17).
• O que o aviso depois do treino diz, e com quais dados: o título traz o nome que você deu ao treino no Strava, a distância e as calorias dele. O texto sugere quanto repor de proteína e, nos treinos de uma hora ou mais, de carboidrato — por exemplo "25–30 g de proteína e 80–95 g de carboidrato". Esses gramas são calculados no nosso servidor com o peso e o objetivo do seu perfil e com a duração do treino: o peso e o objetivo não vão escritos no aviso, mas a sugestão vem deles. Sem peso no perfil, o aviso traz só a faixa geral de proteína. O aviso também dá exemplos de alimentos nessas quantidades — por exemplo "1 scoop de whey + 1 fatia de queijo branco" —, escolhidos pela hora em que ele chega e pelo estilo alimentar do seu perfil: quem marcou alimentação à base de plantas recebe só alimentos vegetais. O estilo alimentar também não vai escrito no aviso. São dados de saúde (seção 5).
• Por onde o aviso passa: o texto de cada aviso é entregue pelo Firebase Cloud Messaging, do Google, e, no iPhone, também pela Apple. Ele pode aparecer na tela bloqueada do aparelho, conforme os ajustes de notificação do seu celular. Tocar num aviso abre o app na tela de registrar refeição. O aviso depois do treino traz também um botão Registrar refeição, que leva à mesma tela. No Android, para as versões do app que mostram esse botão, o aviso chega ao aparelho como dados e é o próprio app que o desenha na tela, com o mesmo texto; ele não é guardado em lugar nenhum além da notificação.
• Como desligar: desative os lembretes em Configurações — o aparelho deixa de receber na hora os lembretes e o aviso depois do treino (não há um botão só para o aviso), e o token continua guardado, marcado como desligado, até você excluir a conta — ou bloqueie as notificações: as do site, no navegador; as do app, nos ajustes do celular. Desconectar o Strava (seção 3.7) também encerra o aviso depois do treino.
• Base legal do aviso depois do treino: consentimento para dados de saúde. Hoje o app não coleta esse consentimento de forma específica e destacada, como a LGPD exige (seção 5).

#3.15 Provas

• Dados: nome da prova, data, modalidade, distância (opcional; no triatlo e no duatlo, a de cada etapa), altimetria (opcional), importância (A, B ou C), meta de tempo (opcional, em horas, minutos e segundos), o peso que você quer ter no dia da prova (opcional) e se ela é o seu objetivo principal. Quando você escolhe a prova na lista do app, guardamos também qual prova da lista foi (um identificador público, igual para todos). A prova principal também é copiada para o seu perfil.
• Como chegam: você escolhe na lista das principais provas do Brasil que vem no app, no cadastro inicial ou em Perfil → Provas, onde também pode digitar a sua. A lista traz só informações públicas dos sites dos organizadores (nome, data, cidade, distâncias) e fica no próprio app: buscar e navegar nela não envia nada para nós. Você pode editar e apagar provas pelo app.
• Para quê: mostrar quantos dias faltam, marcar o dia no calendário do histórico, ajustar a meta do dia e dar contexto à IA (seção 3.6). Quando uma prova é o objetivo principal, a data dela vira o prazo do peso-alvo e a meta do dia não pede déficit na última semana antes da prova, no dia da prova e nos dois dias seguintes. Na tela inicial, o app mostra em quantos dos últimos 7 dias o saldo ficou perto da meta, calculado a partir dos totais do dia que já guardamos.
• Base legal: consentimento para dados de saúde. A prova, junto com o peso e as metas, diz respeito ao seu treino e à sua alimentação. Hoje o app não coleta esse consentimento de forma específica e destacada, como a LGPD exige (seção 5).

#3.16 Sono e HRV

• Dados: horas dormidas na noite passada, a divisão em sono leve, profundo e REM (opcional), o HRV da manhã em milissegundos (opcional), a data (a manhã em que você acordou) e a origem do registro.
• Como chegam: você informa no app, no cartão Descanso da tela inicial, ou, se você autorizar, a noite vem do Health Connect / Apple Saúde (seção 3.18), escrita lá pelo app do seu relógio. Uma noite que você registrou à mão nunca é substituída pelo que vem de lá. Você pode corrigir a noite pelo app. Hoje não é possível apagar um registro de sono pelo app. Para isso, escreva para nós. O HRV continua sendo só o que você digita: não lemos HRV de lugar nenhum.
• Para quê: mostrar a noite no cartão Descanso, a média das suas últimas 7 noites e o HRV comparado com a sua própria média dos 7 dias anteriores — nunca com uma tabela populacional — e dar contexto à IA (seção 3.6): uma noite curta muda a recomendação do dia.
• Base legal: consentimento para dados de saúde. Hoje o app não coleta esse consentimento de forma específica e destacada, como a LGPD exige (seção 5).

#3.17 Conversa no WhatsApp

Hoje este canal está em pausa. Quem escreve recebe uma única mensagem automática pedindo para usar o app, e nada do que foi enviado é baixado, analisado ou guardado. O que está descrito abaixo é como o canal funciona quando está ativo, e vale para as conversas que já aconteceram.

• Quem conversa com quem: o canal é operado pelo FuelBalance no número de WhatsApp Business divulgado por nós. Quem fala do nosso lado é um programa, não uma pessoa. Nós só respondemos: nunca iniciamos uma conversa com alguém que não escreveu antes.
• Dados: o seu número de telefone, o seu nome de perfil no WhatsApp quando ele vem na entrega, o conteúdo do que você manda (texto, foto do prato, áudio, legenda e toques nos botões), o identificador de cada mensagem e o momento da última mensagem que você nos enviou.
• Como chegam: pela Plataforma do WhatsApp Business, da Meta. A Meta entrega as mensagens ao nosso servidor e, como em qualquer conversa de WhatsApp, trata esses dados segundo os termos e a política de privacidade dela.
• Para quê: identificar a refeição e registrá-la no seu dia, responder o que você perguntar sobre o seu dia, criar a sua conta quando você pedir, lembrar da refeição se você ativar os lembretes e, para quem conectou o Strava, mandar por aqui o aviso depois do treino (seção 3.14) quando a sua última mensagem para nós tem menos de 23 horas.
• O que acontece com a foto e o áudio: são enviados ao Gemini, do Google, para serem lidos, exatamente como as refeições registradas pelo app (seções 3.4 e 6.1). Nós não guardamos a foto nem o áudio: o que fica é o resultado, ou seja, os itens, as quantidades, as calorias e os macros da refeição.
• O que fica guardado no nosso servidor: a refeição no seu dia; o estado da conversa, para "isso mesmo" e "ajustar" fazerem sentido (o que você mandou antes da conta existir fica por alguns minutos e depois é descartado); os identificadores das mensagens já respondidas, para não responder duas vezes; o momento da sua última mensagem; e, se você ativar os lembretes, essa escolha com a data.
• A sua conta nasce na conversa: se você não tem conta e toca em Criar minha conta, o seu número de WhatsApp vira o seu login no FuelBalance, e esse toque é o seu aceite dos Termos de Uso e desta política. Enquanto você não toca, nada do que você mandou é analisado.
• Dado de saúde: a foto do prato, o que você escreve sobre o que comeu e as perguntas sobre o seu dia são dados de saúde, e a resposta da Fuel.IA usa o resumo do seu dia (seção 3.6).
• Base legal: consentimento para dados de saúde. O aceite é o toque em Criar minha conta; hoje ele não é coletado de forma específica e destacada para cada finalidade, como a LGPD exige (seção 5).
• Como sair: escreva "parar lembretes" para desligar os lembretes, bloqueie o número no WhatsApp para não receber mais nada, ou peça a exclusão da conta (seção 11). O aviso depois do treino deixa de chegar por aqui se você desconectar o Strava ou passar 23 horas sem nos escrever. Apagar a conversa no seu celular não apaga o que já foi registrado no seu dia.

#3.18 Health Connect (Android) e Apple Saúde (iOS)

Essa conexão é opcional e começa desligada. Ela existe para você não digitar o que a sua balança e o seu relógio já anotaram.

• Dados: peso, percentual de gordura corporal e sono — a duração da noite e, quando o seu relógio registra, a divisão em sono leve, profundo e REM. Lemos os últimos 30 dias.
• Como chegam: você toca em Conectar em Configurações → Conectores e o próprio sistema (Health Connect, no Android; Apple Saúde, no iOS) pergunta o que você autoriza. Quem escreveu esses números lá foi o app da sua balança ou do seu relógio, não nós. Depois de autorizado, o app lê quando abre e quando você volta para ele.
• Só leitura: o FuelBalance não grava nada no Health Connect nem no Apple Saúde, e não pede permissão para isso. Também não lemos treinos de lá: os treinos vêm do Strava (seção 3.7), e ler os dois contaria o gasto do dia duas vezes.
• Para quê: virar as suas pesagens (seção 3.3) e as suas noites (seção 3.16) dentro do app, com as mesmas finalidades e o mesmo destino descritos lá. O que você registrou à mão nunca é substituído.
• Onde fica: no seu registro no Firestore, junto com o que você digita, e sujeito aos mesmos prazos e à mesma exclusão (seções 9 e 11). Nada disso vai para a Amplitude, que só fica sabendo se a leitura está autorizada (seção 3.8), nem é usado para publicidade — nós não mostramos publicidade.
• Como desligar: dentro do app, em Configurações → Conectores → Desconectar: a leitura para na hora. No Android, o Health Connect retira a permissão quando o app é fechado. No iOS, o app deixa de ler, mas a permissão do sistema continua até você tirá-la em Ajustes → Saúde → Acesso de apps. Fora do app, no Android: Health Connect → Permissões do app → FuelBalance. Revogar interrompe a leitura na hora. O que já foi copiado para o seu dia continua no app: para apagar, peça a exclusão (seção 11).
• Base legal: consentimento para dados de saúde. Aqui o consentimento é o do próprio sistema, específico por tipo de dado e revogável a qualquer momento — é o ponto do app em que ele mais se aproxima do que a LGPD exige (seção 5).

#3.19 Assinatura e pagamento (Stripe, Google Play e App Store)

Há dois caminhos para assinar, e em nenhum deles o FuelBalance vê os dados do seu cartão.

Pelo site. Ao tocar em assinar no FuelBalance web, você é levado a uma página de pagamento hospedada pela Stripe (buy.stripe.com), que é quem cobra. No WhatsApp, quando os registros ou a pergunta gratuitos do dia acabam, a resposta pode trazer os links dessa mesma página (seção 3.17).

• Dados que você informa na página da Stripe: e-mail, nome, número de telefone e os dados do cartão. Nada disso passa pelo FuelBalance: a página é da Stripe, e o app nunca vê, recebe ou guarda número de cartão.
• O que o FuelBalance manda junto: o identificador da sua conta, anexado ao endereço da página de pagamento. É só isso, e serve para uma coisa — saber de quem é o pagamento quando a Stripe nos avisa. Sem ele, o dinheiro chega sem dono.
• O que a Stripe nos devolve: avisos automáticos de que um pagamento entrou, falhou ou de que a assinatura acabou, com o identificador do cliente na Stripe. Do nosso lado guardamos apenas o estado do seu plano (gratuito ou pago, até quando vale, e se o pagamento falhou) e a ligação entre o identificador do cliente na Stripe e o da sua conta.
• O telefone: a página de pagamento pede o número porque a nota fiscal e o atendimento sobre cobrança precisam dele. Não usamos esse número para mandar mensagem de divulgação, no WhatsApp nem em lugar nenhum — e ele não é, necessariamente, o mesmo número com que você entra no app.
• Para quê: cobrar a assinatura, liberar os recursos pagos e manter o plano em dia.
• Base legal: execução de contrato (art. 7º, V) e, para a guarda fiscal dos pagamentos, obrigação legal (art. 7º, II).
• A Stripe também é controladora dos dados de pagamento que recebe: ela tem obrigações próprias de prevenção à fraude e de regulação financeira, e trata esses dados segundo a política de privacidade dela.
• Nota fiscal: a emissão é nossa, fora da Stripe, e usa o nome informado na compra.

Pela loja do celular. No app do Android a assinatura pode ser comprada pelo Google Play, e no app do iPhone pela App Store: a tela de compra é da loja, o pagamento é feito à loja com a forma de pagamento da sua conta nela, e é a loja quem cobra, renova, cancela e reembolsa, pelas regras dela. Entre a loja e o FuelBalance fica a RevenueCat, um serviço que confirma a compra junto à loja e nos avisa quando ela entra, renova, falha ou acaba.

• Dados que a loja recebe: os da sua conta na loja (Google ou Apple) e a forma de pagamento cadastrada nela. Nada disso passa pelo FuelBalance.
• O que o FuelBalance manda à RevenueCat: o identificador da sua conta no FuelBalance, para que a compra seja ligada a ela, e o que o app precisa para falar com a loja (identificadores do aparelho e da instalação gerados pelo próprio serviço, o modelo e a versão do sistema). Não mandamos nome, e-mail, telefone nem o que você registra no app.
• O que a RevenueCat guarda: o identificador da sua conta, os identificadores da sua compra na loja (não o número do cartão) e o histórico da assinatura — início, renovações, cancelamento, reembolso, falha de cobrança. Ela trata esses dados como nossa operadora, pelos termos dela.
• O que nos chega de volta: avisos automáticos de que a assinatura começou, renovou, teve a cobrança recusada, foi cancelada, pausada ou reembolsada, com a data até a qual vale. Do nosso lado guardamos apenas o estado do seu plano (gratuito ou pago, por qual loja, até quando vale, e se o pagamento falhou), do mesmo jeito que para a Stripe.
• Restaurar compras: o botão com esse nome pede à loja as compras já feitas na sua conta nela — num celular novo, por exemplo — e liga o plano à sua conta no FuelBalance.
• Para quê: cobrar a assinatura, liberar os recursos pagos e manter o plano em dia.
• Base legal: execução de contrato (art. 7º, V).
• Google e Apple são controladoras dos dados de pagamento que recebem nas lojas delas, e os tratam segundo as políticas de privacidade delas.

O limite do plano gratuito. Quando a assinatura está à venda, o plano gratuito registra até 3 refeições por dia, por texto, pelos atalhos ou pelos favoritos, e a Fuel.IA (a conversa e os insights do dia) e o registro por foto e por voz ficam no plano pago; o plano pago não tem limite.

• O que contamos, por dia: quantas análises de refeição a IA fez, quantas refeições você registrou pelos atalhos e pelos favoritos e quantas perguntas você fez à Fuel.IA, no app e no WhatsApp. Guardamos também um código aleatório de cada pergunta, criado pelo app, para que tentar de novo uma resposta que falhou não conte duas vezes. Não guardamos o texto da pergunta nem o que foi registrado nessa contagem.
• Onde fica: na sua conta, um registro por dia. Os números da IA e das perguntas são escritos pelo nosso servidor; o dos atalhos e favoritos, pelo app, e as regras do banco de dados só deixam ele aumentar.
• Para quê: aplicar o limite do plano gratuito e saber quanto o serviço custa para cada plano.
• Base legal: execução de contrato (art. 7º, V).
• Por quanto tempo: enquanto a conta existir; são apagados com ela (seção 11).
• Nota fiscal e reembolso: quem emite o comprovante e processa reembolsos de compras feitas na loja é a própria loja, pelas regras dela.

#3.20 Relatórios de falha (Firebase Crashlytics)

Vale para o app do celular (Android e iPhone), nas versões publicadas a partir de 4 de outubro de 2026. O app web não envia relatórios de falha.

• Quando: quando o app trava ou encontra um erro que não conseguiu tratar. O relatório é montado no aparelho e enviado, em geral, na próxima vez que o app abre.
• O que vai no relatório: o tipo do erro (por exemplo, "erro de formato") e, quando existe, o código dele (por exemplo, permission-denied); a sequência de funções que estavam em execução; o momento da falha; e o identificador e a versão do app. Segundo a documentação do Google, o Crashlytics acrescenta sozinho dados do aparelho e do estado dele naquele momento: modelo, arquitetura do processador, quantidade de memória e de espaço em disco, nome e versão do sistema, se o sistema está modificado (root ou jailbreak), se o app estava em segundo plano, a rotação da tela e se o sensor de proximidade estava acionado.
• Identificadores: identificadores de instalação e de sessão criados pelo Firebase. Eles distinguem um aparelho e uma sessão de uso dos outros, mas não são o identificador da sua conta: o relatório não nos diz quem você é.
• O texto do erro: nos erros do próprio app, o app envia só o tipo do erro e descarta o texto, porque ele pode repetir um trecho do que o app estava processando — o nome de um alimento, um número. O caso que não controlamos: quando a falha acontece num componente do sistema ou de uma biblioteca, quem monta o relatório é o Crashlytics, e ele inclui o nome e a mensagem técnica desse erro. Essa mensagem é escrita pelo componente, não pelo app, e não temos como filtrá-la.
• O que não faz parte do relatório: fotos, refeições, peso, treinos, mensagens, o número de celular e o identificador da sua conta.
• Endereço IP: chega aos servidores do Google na conexão, como em qualquer acesso pela internet.
• Onde e por quanto tempo: servidores do Google, que podem ficar fora do Brasil (seção 8). O Google informa que guarda os relatórios por 90 dias.
• Para quê: saber que o app falhou, em qual versão e em qual ponto do código, para corrigir.
• Base legal: legítimo interesse. Hoje não há opção no app para desligar esse envio. Como o relatório não leva o identificador da sua conta, não conseguimos localizar nem apagar os relatórios de uma pessoa específica, nem quando ela exclui a conta: eles saem sozinhos depois de 90 dias.

#3.21 Compartilhar com um nutricionista ou treinador (FuelBalance Pro, opcional)

Vale a partir de 9 de outubro de 2026 e só acontece se você autorizar.

• Como funciona: um nutricionista (CRN) ou profissional de educação física (CREF) cadastrado no FuelBalance Pro te manda um link de convite (ou um pedido pelo seu celular, como no item seguinte). Ao abrir o link, com a sua conta, você vê o nome, o conselho e o número de registro dele, escreve o nome pelo qual ele vai te chamar e escolhe o que ele pode ver, em escopos separados. Ele só passa a ver alguma coisa depois que você toca em Permitir acesso. O nome, o conselho e o número de registro são informados pelo próprio profissional; liberamos cada cadastro à mão ou, quando o profissional envia a foto da carteira do conselho e ela confere com o que ele digitou, na hora, de forma automática; hoje não conferimos o registro junto ao conselho, então a liberação automática confia na foto.
• Convite pelo seu celular: em vez do link, o profissional pode digitar o seu número de celular no painel. Usamos o número só para procurar uma conta do FuelBalance com ele; o número digitado não fica guardado. Se a conta existir e tiver o cadastro concluído, você recebe um pedido na tela Profissionais com acesso — com o nome, o conselho e o número de registro do profissional e a data — e, se as notificações estiverem ligadas no aparelho e o app estiver atualizado, um aviso. Ver pedido leva ao mesmo convite do link; Recusar não mostra nada seu e não avisa o profissional, e os pedidos dele pelo seu número não chegam mais. O profissional nunca fica sabendo se o número tem conta no FuelBalance: a resposta é a mesma nos dois casos, e o painel oferece abrir o WhatsApp dele, com a mensagem e o link escritos, para ele mandar ao número. Essa conversa é entre vocês, pelo WhatsApp, fora do FuelBalance. Para evitar abuso, contamos quantos números cada profissional tenta por dia (só a contagem, não os números), e o mesmo pedido não chega mais de uma vez por semana.
• O que ele pode ver, por escopo:
  • Refeições: dos 14 dias que terminaram ontem e do dia de hoje — por dia, as calorias ingeridas, a proteína, o carboidrato, a gordura, a fibra e o número de refeições; ao abrir um desses dias, cada refeição com o horário, a forma de registro (foto, texto, voz ou à mão), os itens, as quantidades, os gramas, a confiança da análise e o texto que você escreveu ou falou. Dias mais antigos, não. As fotos também não, porque não ficam guardadas.
  • Corpo: as pesagens e o percentual de gordura dos últimos 180 dias (menos os que vieram do Strava), a altura, a idade, o sexo, o metabolismo basal estimado pelo app, o peso-alvo e o prazo.
  • Sono: as horas de cada noite, as fases e o HRV da manhã, dos últimos 14 dias.
  • Sempre, junto com qualquer escopo: o nome que você escreveu no convite, o seu esporte e o seu objetivo.
• O que ele nunca vê: treinos, gasto calórico, saldo, metas de saldo e os insights da Fuel.IA — eles vêm do Strava ou são calculados com dados dele, e o Strava não permite mostrá-los a outra pessoa —; o nome que está no seu perfil (ele vê só o que você escrever no convite), o número de celular e o e-mail; a conversa com a Fuel.IA; as fotos.
• Como ele vê: o profissional não acessa o nosso banco de dados. A cada leitura, um servidor nosso confere que a sua autorização está ativa e dentro do prazo e entrega só os escopos que você permitiu, cortados campo a campo e limitados às janelas acima.
• Prazo e como tirar o acesso: o acesso vale 180 dias. Em Configurações → Profissionais com acesso você vê quem tem acesso, o que pode ver e até quando, e tira o acesso ali mesmo, a qualquer momento: vale na hora. Excluir a sua conta também encerra todos os acessos.
• Quem viu meus dados: cada vez que o profissional abre os seus dados — a lista do dia, a sua ficha ou um dia em detalhe — fica registrado: o dia, quantas vezes, o que foi aberto e, num dia em detalhe, qual dia. Você vê esse registro na mesma tela. Ele é gravado antes de os dados saírem do nosso servidor: se a gravação falhar, o profissional não recebe nada. Na lista de atletas do profissional aparecem só o nome que você escreveu, os escopos e as datas do acesso, sem registro — inclusive depois que você tira o acesso, para que ele saiba que o acesso acabou.
• O registro do consentimento: guardamos cada autorização e cada retirada, sem que o app possa alterá-las. Na autorização: o profissional, os escopos, a data, a versão e o idioma do texto e uma impressão digital (hash SHA-256) do texto exato que você leu na tela. Na retirada: o profissional, a data e quem encerrou o acesso (você, ou a exclusão da conta do profissional).
• O que o profissional faz com o que viu: ele recebe esses dados para te acompanhar e passa a responder por eles, segundo a LGPD e as regras do conselho dele, inclusive o sigilo profissional. O que ele já viu ou anotou fica com ele depois que você tira o acesso, como numa consulta.
• Base legal: consentimento específico e destacado (art. 11, I), dado na tela do convite, por escopo e por profissional.

Se você é o profissional: guardamos o nome, o conselho, o número de registro e o e-mail que você informa, o estado do cadastro (aguardando ou liberado), o código do seu link de convite, os limiares que você ajusta na triagem, a lista de atletas que te deram acesso e quantos números de celular você tentou em cada dia (só a contagem; os números não ficam guardados), além da conta de login por celular (seção 3.1). Se você enviar, no cadastro, a foto da sua carteira do conselho (opcional), ela vai ao Google Gemini (seção 6.1), que lê o nome, o conselho, a região, o número de registro, se há uma validade vencida e se a foto parece editada ou é foto de tela ou de cópia. Não pedimos à IA nem guardamos os outros dados da carteira (CPF, RG, data de nascimento, filiação), e a foto não fica guardada: guardamos só o que foi lido e a nota. A nota é calculada por uma regra nossa, que compara o que foi lido com o que você digitou — o conselho e o número precisam bater exatamente, e o nome ao menos pelo primeiro e pelo último —; com 80% ou mais, o painel abre na hora, sem análise humana. Abaixo disso, uma pessoa confere. A decisão automática só libera: ela nunca recusa nem suspende um cadastro, e você pode pedir revisão de qualquer decisão sobre o seu cadastro pelo e-mail da seção 16 (art. 20 da LGPD). Lemos no máximo 5 fotos por conta por dia. Base legal: execução de contrato (art. 7º, V) e legítimo interesse (art. 7º, IX) em conferir quem pode receber dados de saúde de atletas. Usamos o e-mail só para os avisos do cadastro — que ele chegou e que o painel foi liberado —, enviados pela Resend (seção 6.1). Base legal: execução de contrato (art. 7º, V). Depois de liberado, você exclui a conta pelo próprio painel, e isso encerra na hora os acessos que os atletas te deram; enquanto o cadastro aguarda ou está suspenso, peça a exclusão ou uma correção por e-mail (seção 16). O seu nome, o conselho, o número de registro e o identificador da sua conta continuam nos registros dos atletas que te deram acesso — o acesso encerrado, os registros de consentimento e "Quem viu meus dados" — enquanto as contas deles existirem: é a prova, para eles, de quem viu os seus dados.

#4. Resumo das finalidades e bases legais

#5. Consentimento para dados de saúde: como funciona hoje

A LGPD permite tratar dados de saúde com o consentimento específico e destacado da pessoa. Queremos ser claros sobre como isso acontece hoje no FuelBalance:

• O envio ao Google Gemini tem uma tela de consentimento própria. Ao abrir a tela inicial pela primeira vez — e, se você tiver respondido Agora não, de novo antes do primeiro envio: a primeira análise de refeição ou a primeira mensagem à Fuel.IA — o app mostra a tela "Antes de usar a IA": diz o que vai ao Google, o que o Google faz com isso e o que continua funcionando sem a IA, com os botões Permitir e Agora não. Sem o Permitir, nada vai ao Gemini. Guardamos na sua conta a resposta, a data em que ela foi dada ou retirada, a versão do texto que você viu e o tipo de aparelho, para podermos demonstrar o consentimento.
• Para retirar esse consentimento, escreva para contact@pfengineer.tech pedindo para desligar a IA: registramos a retirada na sua conta e, a partir dela, o app para de enviar, sem custo; se você quiser usar a IA de novo, ele pergunta outra vez. Quando a opção Usar a IA do Google estiver disponível em Configurações → Inteligência artificial, dá para desligar também por lá, na hora.
• Mostrar seus dados a um nutricionista ou treinador também tem tela própria. No convite do FuelBalance Pro, você escolhe os escopos e toca em Permitir acesso; guardamos o registro com a impressão digital do texto que você leu, e você tira o acesso em Configurações → Profissionais com acesso (seção 3.21).
• Para o resto, ainda não há telas de consentimento. Não há opções separadas para autorizar ou recusar o uso de dados de saúde, a transferência para fora do Brasil ou a importação do Strava.
• Fora a tela da IA e a do convite do FuelBalance Pro, o único aviso aparece na tela em que você digita o número de celular — no fim do cadastro inicial ou, para quem já tem conta, no login: "Ao continuar, você concorda com os Termos de Uso e a Política de Privacidade", com links para os dois documentos. No cadastro, as perguntas vêm antes desse aviso, mas as respostas só são gravadas depois que você confirma o número (seção 3.2); a tela de conexão com o Strava vem depois.
• Tratamos seus dados de saúde a partir do momento em que você confirma o número no fim do cadastro, depois desse aviso — antes disso, as respostas ficam só no seu aparelho — e, daí em diante, conforme você usa o app ou conecta o Strava.
• Não guardamos registro de quando você viu o aviso nem da versão destes documentos naquele momento.
• Dá para usar o app sem a IA. Recusando a IA, você continua registrando pelos atalhos da seção "Rápidos" e à mão, e a mensagem do dia é calculada no próprio app; a análise por foto, texto e voz com o Gemini, a Fuel.IA e o insight ficam desligados. As outras escolhas separadas que existem hoje são não conectar o Strava e não autorizar a leitura do Health Connect ou do Apple Saúde.

Se você não concorda, não use o app. Se já usou, escreva para contact@pfengineer.tech pedindo a exclusão dos seus dados (seção 11).

Para retirar o seu consentimento, a qualquer momento e sem custo, escreva para o mesmo e-mail. Como o app não funciona sem esses dados, atender a retirada significa apagar seus dados de saúde, o que na prática encerra o uso da conta. A retirada vale dali em diante.

#6. Com quem compartilhamos

Não vendemos dados pessoais, não mostramos publicidade e não compartilhamos seus dados com parceiros ou para marketing de terceiros.

#6.1 Fornecedores que usamos para prestar o serviço

Sobre esses fornecedores:

• Google Gemini: usamos a API do Gemini com faturamento ativo, o que a enquadra como serviço pago nos termos da Gemini API (versão atualizada em 28 de abril de 2026). Nesses termos, o Google diz que não usa as solicitações nem as respostas para melhorar os produtos dele, que as trata como operador, conforme o aditamento de tratamento de dados do Google para produtos em que ele é operador, e que as registra só para detectar e prevenir violações da Política de Uso Proibido dele e para divulgações exigidas por lei ou por autoridades. Diz também que esses dados podem ser guardados temporariamente em qualquer país onde o Google ou seus agentes tenham instalações. Na página de políticas de uso da Gemini API, o Google informa que guarda as solicitações, o contexto enviado e as respostas por 55 dias para esse fim e que funcionários autorizados do Google podem acessar esses dados para revisão humana. Os termos: https://ai.google.dev/gemini-api/terms
• Meta (WhatsApp): a conversa acontece dentro do WhatsApp, então a Meta trata esses dados também por conta própria, segundo os termos e a política de privacidade dela (https://www.whatsapp.com/legal/privacy-policy). Não assinamos contrato negociado com a Meta: valem os termos padrão da Plataforma do WhatsApp Business. O conteúdo das mensagens é protegido por criptografia de ponta a ponta entre você e o nosso servidor, e é no nosso servidor que ele é lido para gerar a resposta.
• ML Kit: segundo a documentação do Google, o ML Kit envia dados como informações do aparelho e do app, identificadores do aparelho ou da instalação, métricas de desempenho, configuração, tamanho das entradas e saídas e códigos de erro. Não envia a foto.
• Contratos: não assinamos contratos negociados com nenhum desses fornecedores. Usamos os termos padrão de cada um, que já trazem regras de tratamento de dados: os termos do Firebase incluem os termos de tratamento de dados do Firebase; os termos pagos da Gemini API remetem ao aditamento de tratamento de dados do Google para produtos em que ele é operador; e os termos de serviço da Amplitude incluem um aditamento de tratamento de dados. O aditamento da Amplitude não traz cláusulas-padrão aprovadas pela ANPD nem outro mecanismo da LGPD para a transferência aos Estados Unidos (seção 8).
• Políticas de privacidade: Google (https://policies.google.com/privacy) e Amplitude (https://amplitude.com/privacy).

#6.2 Serviços que você usa diretamente

Estas empresas tratam seus dados por conta própria, conforme as políticas delas:

• Google e Apple, para quem criou a conta antes com o Google ou a Apple e ainda tem esses dados ligados a ela (https://policies.google.com/privacy e https://www.apple.com/legal/privacy/).
• Apple, que entrega as notificações no iPhone — os lembretes e o aviso depois do treino, com o texto deles — para quem ativa os lembretes no app (seção 3.14) (https://www.apple.com/legal/privacy/).
• Sua operadora de celular, que entrega os SMS com o código (e, nas contas sem e-mail, os avisos sobre a sua conta).
• Strava, quando você conecta a sua conta (https://www.strava.com/legal/privacy).
• Meta (Instagram), só se você clicar no link do nosso perfil no site.

#6.3 Autoridades

Podemos fornecer dados quando a lei exigir ou por ordem de autoridade competente, limitados ao necessário. Também podemos usar dados para nos defender em processos judiciais, administrativos ou arbitrais.

Antes de atender, conferimos se o pedido tem base legal e se vem de quem diz vir. Pedido sem fundamento, ou mais amplo do que a lei permite, é recusado e contestado pelos meios cabíveis. Entregamos o mínimo que responde ao que foi perguntado — nunca a conta inteira quando a pergunta é sobre um dia.

Guardamos um registro de cada solicitação: quem pediu, o que pediu, quando, com que fundamento, o que foi entregue e quem decidiu. Até a data desta política esse registro está vazio — nenhuma autoridade pediu dado de usuário do FuelBalance.

#6.4 Profissionais que você autoriza

Se você der acesso a um nutricionista ou treinador pelo FuelBalance Pro, ele vê os escopos que você escolheu, enquanto o acesso valer, e responde pelo que viu segundo a LGPD e as regras do conselho dele (seção 3.21). Ninguém recebe seus dados por esse caminho sem o seu Permitir acesso.

#7. O que não fazemos

• Não vendemos dados pessoais.
• Não mostramos publicidade e não usamos seus dados para publicidade.
• Não compartilhamos seus dados para marketing de terceiros nem com parceiros comerciais.
• Não compartilhamos dados de saúde para obter vantagem econômica.
• Não usamos seus dados para estatísticas vendidas ou cedidas a terceiros, para pesquisas ou para treinar modelos de IA. Atenção: os termos de serviço da Amplitude permitem que ela use os dados de uso que enviamos, inclusive com aprendizado de máquina, para melhorar os serviços dela. Esses dados não incluem o conteúdo dos seus registros (seção 3.8).
• Não usamos identificadores de publicidade e não rastreamos você em outros apps ou sites.
• Não enviamos à Amplitude o conteúdo dos seus registros (fotos, textos, alimentos, calorias, peso, metas ou treinos), o seu nome nem o seu número de celular.
• Não incluímos nos relatórios de falha o identificador da sua conta nem o conteúdo dos seus registros; nos erros do próprio app, nem o texto do erro (seção 3.20).
• Não escrevemos nada no Health Connect nem no Apple Saúde, e não lemos de lá nada além de peso, gordura corporal e sono (seção 3.18).

#8. Transferência internacional de dados

Alguns dados saem do Brasil. Esta tabela mostra para onde vão e em quais condições.

Não assinamos cláusulas-padrão contratuais com nenhum fornecedor. Para a Gemini API, os termos de serviço pago remetem ao aditamento de tratamento de dados do Google para produtos em que ele é operador, e a versão desse aditamento de 7 de maio de 2026 inclui cláusulas-padrão contratuais aprovadas pela ANPD. Os termos de tratamento de dados do Firebase e o aditamento da Amplitude não trazem essas cláusulas. A pedido, enviamos gratuitamente uma cópia das cláusulas do Google. Se quiser mais informações sobre alguma transferência, escreva para nós.

Sobre a transferência ao Google Gemini: o que é enviado e para quê está nas seções 3.4 a 3.6; por quanto tempo o Google guarda e em que países, na seção 6.1. Nós respondemos pelo tratamento como controlador e o Google atua como operador. Seus direitos, inclusive o de apresentar petição à ANPD, estão na seção 11.

#9. Por quanto tempo guardamos

Hoje não há exclusão automática de dados da conta. Eles ficam guardados enquanto a conta existir ou até você excluí-la (pelo app ou por e-mail).

#10. Segurança e incidentes

O que fazemos hoje:

• A comunicação entre o app, o site e os serviços que usamos é criptografada (HTTPS).
• As regras do banco de dados fazem com que cada conta só consiga ler e alterar os próprios dados. Há duas exceções: a base de alimentos compartilhada, que qualquer conta conectada pode ler e cujo contador de uso qualquer conta conectada pode aumentar, e a lista de espera, em que só é possível criar inscrições, sem login, e ninguém consegue lê-las pelo app ou pelo site.
• O login é feito com o número de celular e um código de uso único enviado por SMS e verificado pelo Firebase Authentication. Não há senhas. Quem tem acesso ao seu celular ou ao seu chip pode receber o código: proteja o aparelho e peça à operadora um PIN para o chip. Se você cancelar ou perder a linha, a operadora pode repassar o número a outra pessoa, que passaria a receber o código e a entrar na sua conta. Avise-nos antes de cancelar a linha para trocarmos o número ou excluirmos a conta.
• As chaves de acesso ao Strava ficam só no nosso servidor, num caminho do banco de dados que nenhum app consegue ler; a troca do código pelas chaves acontece nas nossas funções, e a chave secreta do Strava vive no cofre de segredos do Google Cloud.
• Não enviamos nome, e-mail ou identificador da conta à IA, nem endereço IP, localização ou identificadores de publicidade nos eventos de uso.
• As páginas desta política e dos Termos não carregam serviços de terceiros.

O que ainda não fazemos e você deve saber: a cópia local não é apagada quando você sai da conta, as fotos não são apagadas do celular depois da análise e a base de alimentos pode ser lida por outras contas (seções 3.4 e 3.11).

Nenhum sistema é totalmente seguro. Proteja seu celular com senha ou biometria.

Incidentes: se ocorrer um incidente de segurança que possa trazer risco ou dano relevante a você, comunicaremos a ANPD e as pessoas afetadas, como exige a LGPD, dizendo o que aconteceu, quais dados foram afetados e o que você pode fazer.

#11. Seus direitos e como exercê-los

A LGPD garante a você, gratuitamente:

1. Confirmação de que tratamos seus dados.
2. Acesso aos seus dados.
3. Correção de dados incompletos, inexatos ou desatualizados.
4. Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei.
5. Portabilidade dos seus dados a outro fornecedor.
6. Eliminação dos dados tratados com base no seu consentimento.
7. Informação sobre com quem compartilhamos seus dados (seção 6).
8. Informação sobre a possibilidade de não consentir e as consequências (seção 5).
9. Revogação do consentimento (seção 5).
10. Oposição a tratamentos baseados em legítimo interesse, como a análise de uso do app e do site.
11. Revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses (seção 12).

O que dá para fazer pelo app hoje:

• corrigir peso, peso-alvo, objetivo e data-alvo, na tela de perfil;
• registrar novas pesagens;
• apagar refeições do dia ou mudar o horário delas, na lista da tela inicial;
• desconectar o Strava, pelo link em Configurações;
• excluir a conta, em Configurações → Conta, com confirmação em dois toques — apaga tudo na hora (veja abaixo);
• sair da conta, pelo ícone de saída no topo da tela Perfil (a conexão com o Strava é da conta e continua de pé).

Todo o resto, por e-mail para contact@pfengineer.tech. Por exemplo:

• excluir a conta, se você preferir não fazer — ou não conseguir fazer — pelo app;
• receber uma cópia dos seus dados em formato eletrônico;
• corrigir idade, altura ou esporte;
• apagar pesagens, refeições de dias anteriores ou os dados importados do Strava;
• se opor ao envio de dados de uso à Amplitude e pedir a exclusão, na Amplitude, dos dados ligados à sua conta (seção 3.8);
• retirar o consentimento;
• pedir a revisão de uma estimativa ou recomendação.

Exclusão da conta: pelo app (Configurações → Conta) a exclusão é imediata e faz tudo de uma vez: apagamos a sua conta de login e os dados guardados sob a sua conta no banco de dados (perfil, pesagens, refeições, totais do dia, insights, dados do Strava, registros de lembretes e registros antigos), devolvemos ao Strava a autorização que você tinha dado, retiramos o identificador da sua conta das entradas que você criou na base de alimentos compartilhada e registramos o pedido de exclusão dos dados de uso na Amplitude, concluído em até 15 dias. O pedido por e-mail faz o mesmo, concluído em até 15 dias, e na resposta dizemos o que foi apagado e o que não pôde ser apagado, e por quê. Os registros dos avisos de treino novo que o Strava nos mandou (seção 9) não entram nessa exclusão: para apagá-los, peça por e-mail. Se você pedir, apagamos também sua inscrição na lista de espera. Não conseguimos apagar a cópia que está no seu celular ou nos backups do aparelho: para isso, desinstale o app ou limpe os dados dele. Instruções completas, inclusive sem o app: https://fuelbalance.app/excluir-conta/.

Prazos: respondemos a todo pedido em até 15 dias. A confirmação de que tratamos seus dados e o acesso em formato simplificado são enviados assim que lermos o seu pedido. A declaração completa, com a origem dos dados, os critérios usados e a finalidade, sai em até 15 dias contados do pedido. Os demais pedidos sobre os seus dados, como receber uma cópia, corrigir ou apagar dados e excluir a conta, são concluídos em até 15 dias.

Identificação: para proteger sua conta, pedimos que você nos informe o número de celular da conta e, nas contas antigas, que o pedido venha do e-mail cadastrado nela. Como não guardamos e-mail das contas criadas pelo celular, e quando o e-mail for o oculto da Apple, combinamos com você uma forma de confirmar que a conta é sua.

Se não ficar satisfeito com a nossa resposta, ou se não respondermos no prazo, você pode apresentar petição à Agência Nacional de Proteção de Dados (ANPD) (https://www.gov.br/anpd/). A ANPD pede que você mostre que fez o pedido para a gente antes, por exemplo com o e-mail que enviou, e aceita a sua própria declaração quando não houver outra prova. Você também pode procurar o Procon da sua cidade ou a Justiça, sem precisar falar com a gente antes. O consumidor.gov.br (https://www.consumidor.gov.br/) só recebe reclamações contra fornecedores cadastrados na plataforma.

#12. Estimativas e inteligência artificial

O FuelBalance faz cálculos e recomendações automáticas. Todos são estimativas e não são diagnóstico, prescrição nem orientação médica ou nutricional (veja os Termos de Uso).

• Metabolismo basal: calculado pela fórmula de Mifflin-St Jeor com peso, altura, idade e, se você informou, o sexo biológico. Sem o sexo, usamos o valor intermediário entre as constantes masculina e feminina, que fica até 83 kcal por dia longe de qualquer uma das duas. O resultado pode ser bem diferente do seu metabolismo real.
• Saldo do dia: na tela inicial e no histórico, é o que você consumiu menos o gasto estimado do dia (metabolismo basal estimado mais as calorias dos treinos). No resumo enviado à IA (seção 3.6), o saldo informado é o consumido menos só as calorias dos treinos, e o metabolismo basal vai como um número separado. Por isso, o saldo da tela pode não bater com o que a Fuel.IA ou o insight dizem.
• Saldo-alvo do dia (no app, a "meta" de saldo do dia): com peso-alvo e data-alvo, os quilos que faltam, contados a cerca de 7.700 kcal por quilo, divididos pelos dias até a data. O valor tem um teto: para perder, o ritmo de 0,7% do seu peso por semana, e nunca mais que 1.000 kcal por dia; para ganhar, 0,5% do peso por semana, e nunca mais que 500 kcal por dia. Quando o app já conhece a sua semana de treino, ele pede um pouco menos nos dias de treino pesado e um pouco mais nos dias leves, sem mudar o total da semana. Abaixo de 18 anos, o app nunca pede déficit nem marca prazo. Sem peso-alvo e data-alvo, o saldo-alvo é 500 kcal abaixo para perder gordura, 0 para manter o peso ou para desempenho e 300 kcal acima para ganhar massa. Perto de uma prova principal, vale a regra da seção 3.15.
• Calorias gastas nos treinos: vêm do Strava. Como a lista de atividades do Strava não traz calorias, o app usa o trabalho informado em quilojoules como se fosse o mesmo número em kcal. Atividades sem esse valor, como muitas corridas sem medidor de potência, contam 0 kcal.
• Refeições: o Gemini identifica alimentos e porções e estima calorias e macronutrientes. Quando o reconhecimento no celular é usado, o app só tem uma tabela interna com seis alimentos comuns (arroz, feijão, frango, carne, banana e ovo). Para os demais, calorias e macronutrientes ficam zerados até você corrigi-los.
• Insight e recomendação de macronutrientes: gerados pelo Gemini a partir do resumo da seção 3.6, com a sua permissão; sem ela, a mensagem do dia vem de regras do próprio app.
• Fuel.IA: as respostas são geradas por inteligência artificial, não por uma pessoa.

Hoje não há botão para reportar respostas da IA. Se uma resposta ou estimativa estiver errada ou for ofensiva ou perigosa, ou se você quiser entender os critérios usados e pedir uma revisão, escreva para contact@pfengineer.tech.

#13. Crianças e adolescentes

O FuelBalance não é destinado a menores de 18 anos. O app lida com metas de peso, déficit calórico e uma IA de nutrição (a Fuel.IA), e os termos da API do Gemini também exigem 18 anos ou mais.

O que acontece hoje:

• o cadastro pede a idade, mas o app não confere nem bloqueia quem informa menos de 18 anos;
• a pergunta de idade vem antes da tela de conexão com o Strava, mas a resposta não impede a conexão;
• não direcionamos conteúdo nem marketing a crianças e adolescentes;
• a idade que você informa fica guardada no seu perfil, e nós temos acesso a ela; se a idade informada for menor que 18, ou se soubermos por outro meio que a conta pertence a menor de 18 anos, avisamos pelo canal da seção 5 dos Termos de Uso (o e-mail da conta, quando houver; nas contas sem e-mail, SMS no número da conta) e, depois do prazo previsto nos Termos de Uso (seção 13), encerramos a conta e apagamos os dados. Durante esse prazo, o titular ou o responsável legal pode pedir uma cópia dos dados.

Se você é mãe, pai ou responsável e acredita que um menor usa o FuelBalance, escreva para contact@pfengineer.tech.

#14. O que ainda não existe e o que fazer no lugar

Esta tabela não é uma promessa de que esses recursos vão existir. Ela mostra como agir hoje.

#15. Mudanças nesta política

• Publicamos cada nova versão neste endereço, com a data de atualização no topo.
• Se a mudança alterar a finalidade, a forma ou a duração do tratamento, o compartilhamento de dados ou quem é o controlador, avisaremos por e-mail, a quem tem e-mail na conta ou está na lista de espera, pelo menos 15 dias antes de ela valer, dizendo o que mudou. Contas criadas pelo celular não nos informam e-mail: para elas, publicamos a nova versão neste endereço com a mesma antecedência, e o app ainda não mostra esse aviso. Se a mudança usar seus dados de saúde para uma finalidade nova, ela não se aplica aos seus dados só por causa desse aviso nem porque você continuou usando o app: para isso, precisaremos do seu consentimento para a nova finalidade. Nas demais mudanças, se você discordar, pode retirar o consentimento e pedir a exclusão dos seus dados.
• Correções de redação que não mudam o tratamento de dados, e mudanças que só reduzem o tratamento, são publicadas com a nova data, sem aviso prévio.
• Recursos novos e opcionais que só tratam ou compartilham dados depois de uma autorização própria, dada numa tela específica (como a seção 3.21), valem na data da publicação: até você autorizar, nada muda para você.
• Uma mudança nesta política nunca amplia, sozinha, o que você autorizou antes.

#16. Legislação e contato

Esta política segue as leis brasileiras, em especial a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018), o Marco Civil da Internet (Lei nº 12.965/2014) e o Código de Defesa do Consumidor (Lei nº 8.078/1990).

• Controlador: PAULO F O DE SOUZA, empresário individual, nome fantasia PF Engenharia de Software e Arquitetura, CNPJ 61.942.112/0001-56
• Endereço: Rua José Santos Junior, 169 – Campo Belo – São Paulo/SP – CEP 04609-010
• Encarregado: Paulo Felipe Oliveira de Souza
• E-mail: contact@pfengineer.tech