Privacidade do Tharpa Health

Política de Privacidade

1. Quais dados coletamos

Coletamos só o que você informa ou autoriza. Não pedimos CPF nem documentos.

Conta:

• E-mail e senha. A senha nunca é guardada como texto, só um código derivado dela.
• O nome como você quer ser chamado.
• Data de nascimento. Ela serve para calcular sua idade e para saber se a conta precisa da autorização de um responsável.
• Um ID público no formato TH-XXXX-XXXX. Ele identifica sua conta sem mostrar seu e-mail, mas continua ligado a ela: não é anônimo.
• Plano de acesso (gratuito, completo ou período de teste), códigos de convite usados e a confirmação do seu e-mail.
• Preferências do app, como as medidas que aparecem na tela e o intervalo do lembrete de água.

Perfil de saúde:

• Peso, peso meta, altura, objetivo, nível de atividade física e exposição ao sol.
• Sexo biológico, usado só no cálculo das metas (calorias, proteína, água).
• Identidade de gênero, opcional, usada só para o app e a IA falarem com você do jeito certo. Sem ela, a linguagem é neutra.
• Se você faz tratamento com medicamento e a dose.
• Se a sua conta confirmou a data de nascimento depois de salvar altura ou peso fora do comum para adultos, guardamos na conta a altura e o peso daquele momento, só para não perguntar de novo (item 10).

Registros que você faz:

• Refeições: alimento, calorias, proteína, carboidratos, gordura e horário.
• Água e outras bebidas, incluindo suplemento tomado junto (como whey ou creatina) e a quantidade.
• Pesagens.
• Medidas com fita: cintura, abdômen, quadril, pescoço, peito, braços e coxas (cada lado) e panturrilha.
• Sinais vitais digitados, como pressão, glicose, oxigenação, gordura corporal e metabolismo basal.
• Sintomas, com intensidade e observação.
• Check-in do dia: ânimo, energia, fome e observação.
• Tratamento com medicamento: aplicações (data, dose, local, próxima dose, observação) e estoque de ampolas.
• Fotos de progresso do corpo (pose, data e peso do dia) e as análises feitas sobre elas.
• Fotos de refeição, enviadas para a análise nutricional.
• O que você escreve no chat com a IA e nas mensagens de sugestão ou erro.

Ciclo menstrual (opcional):

• Só existe se você ligar o módulo de ciclo menstrual, em Sua conta, na seção Privacidade e seus dados. Qualquer pessoa pode ligar, e ligar é o seu consentimento para este módulo (item 3).
• Os dias em que você marca menstruação, com o fluxo: leve, médio ou intenso.
• O que você quiser registrar em cada dia, tudo opcional: cólica de 0 a 10, humor, energia, horas de sono, libido, corrimento, sinais de pele e cabelo (acne, oleosidade, queda de cabelo, aumento de pelos), TPM e uma anotação livre, que só você vê.
• Para maiores de 18 anos, e só com uma autorização própria pedida na primeira vez: se houve relação sexual no dia, com ou sem proteção. É dado sobre vida sexual, que a lei trata como sensível. Ele nunca aparece para responsável, acompanhante nem para a IA, e você pode parar de registrar quando quiser.
• As estimativas que o app calcula a partir desses registros: a próxima menstruação, a janela fértil e a fase do ciclo. Elas são calculadas no nosso servidor, só com o seu próprio histórico.

Gravidez (opcional):

• Só existe se você marcar que está grávida no registro do ciclo e aceitar o acompanhamento. Aceitar é o seu consentimento para este módulo (item 3).
• A informação de que você está grávida, a data do primeiro dia da última menstruação e, se você informar, a data provável do parto dada pelo médico. Com elas o app calcula a semana da gestação e a data provável do parto.
• Se você informar, o sexo do bebê (menina, menino ou que prefere a surpresa) e a cor que escolher para a tela da gravidez (rosa ou azul). O app só pergunta o sexo a partir da 16ª semana, e você pode mudar ou apagar quando quiser.
• Se você faz tratamento com medicamento: se o médico liberou de novo o aviso de dose, que fica pausado durante a gravidez até você dizer que sim.
• Se você informar, o seu peso de antes da gravidez, para calcular a faixa de ganho de peso recomendada. A tela da gravidez também mostra o peso e a pressão que você já registra no app.
• Se o seu peso ficar abaixo do de antes da gravidez e você tocar em "Já avaliei com o médico": o peso daquele momento e o dia, para o app não repetir o aviso enquanto o peso não cair de novo. Só você vê. Se você tocar em "Já procurei atendimento" no aviso de sangramento da tela da gravidez: o último dia de sangramento marcado, para o app não repetir o aviso até um sangramento novo. Só você vê.
• Enquanto a gravidez está em acompanhamento, o cartão "Menstruação de hoje" sai da tela inicial. Se o ciclo estiver ligado e houver dias de menstruação marcados depois do início da gravidez, a tela da gravidez lembra que, na gestação, sangramento é sinal para procurar atendimento.
• Enquanto a gravidez está em acompanhamento, a semana da gestação e o peso de antes também ajustam as metas do dia (calorias sem déficit e proteína da gestação) e trocam os cartões de perda de peso pelo ganho de peso na gravidez. O objetivo que você gravou no perfil não muda e volta a valer quando a gestação termina.
• Se você tirar fotos da barriga na tela Corpo: as fotos, com a data. A semana de cada foto é calculada pela data da gestação, e não é gravada na foto. Elas seguem as mesmas regras das fotos do corpo (o topo da foto, onde fica a cabeça, é cortado no seu aparelho; só você vê) e ficam guardadas depois que você encerra o acompanhamento, até você apagar a foto, os dados da gravidez ou a conta. Se você medir a barriga com a fita, a medida fica com as outras medidas.
• Se você informar, se a gravidez é de um bebê, de gêmeos ou de três ou mais, para tirar a faixa de ganho de peso, que nesse caso a equipe do pré-natal orienta, e mostrar as observações da semana.
• As consultas e exames que você registrar: a data, o tipo, o profissional, as suas anotações e o resultado. Se você quiser, também as fotos dos laudos, que ficam guardadas no nosso servidor para você ver em qualquer aparelho, até você apagar o registro, os dados da gravidez ou a conta.
• Se você encerrar o acompanhamento, como a gestação terminou: o bebê nasceu, houve uma perda ou você prefere não dizer.
• Se você ligar o aviso diário da gravidez: que ele está ligado e o horário escolhido. O texto de cada dia é fixo, igual para todas as gestantes na mesma semana, e não usa IA.
• Se você indicar um parceiro: quem é a conta dele no Tharpa Health, quando você o convidou, quando ele aceitou, quando você confirmou e quando o vínculo terminou; o que você liberou para ele ver, desde quando e quando desligou (e, nas fotos da barriga, se incluiu as que já tinha tirado); e, se você liberar os sinais de alerta, cada sinal que você registrar para avisá-lo. O código do convite é guardado só como um resumo criptográfico e vale 48 horas.
• Da gravidez, a IA recebe só o que está no item 4 (a semana, o trimestre e o número de bebês, ao analisar a foto do prato e o crescimento da barriga, se você ligar "Comentários da IA na gravidez"). Nada da gravidez aparece para responsável ou acompanhante. Se você, sendo maior de 18 anos, indicar um parceiro, ele vê a semana da gestação, o mês provável do parto e o conteúdo da semana, e só o que você liberar, item por item (item 6). Enquanto a gravidez está em acompanhamento, a previsão da menstruação fica suspensa, inclusive no que o responsável vê.
• Treinos: enquanto a gravidez está em acompanhamento, os Treinos mostram as categorias de vídeos da gestação. Para isso o app só consulta se há gravidez em acompanhamento; nenhum dado novo é guardado, e o app não envia nenhum dado seu ao YouTube. O vídeo abre no YouTube, e o que você assiste lá segue as regras dele.
• Parceiro na gravidez: se você aceitar o convite de uma gestante e ela confirmar, guardamos o vínculo (de quem você é parceiro, desde quando e quando terminou). Você vê, na aba Gravidez, a semana da gestação dela, o mês provável do parto, o conteúdo da semana e a categoria de vídeos "Como apoiar na gestação", e só o que ela decidir liberar.

Tharpa Walks: caminhada, corrida, ciclismo e trilha (opcional):

• Só existe se você ligar o Walks, no botão do Walks, e autorizar o uso da localização. Autorizar é o seu consentimento para este módulo (item 3).
• A localização do seu celular (latitude e longitude, com a precisão que o aparelho informa). Ela é lida enquanto a tela do Walks está aberta, para mostrar onde você está antes de começar, e só é GUARDADA enquanto você grava uma atividade, do Iniciar ao Terminar. No aplicativo Android, a gravação continua com a tela apagada ou com outro app aberto: o celular mostra uma notificação fixa enquanto grava, e o percurso vai ao servidor a cada 30 segundos, com uma chave que só vale para aquela gravação. Fora de uma gravação, o app não usa a localização com a tela apagada. Com o Walks desligado, o app não usa a localização. Fora de uma gravação, a localização só é lida uma vez, quando você toca em "Atualizar minha região" em Pessoas perto. Nesse caso guardamos só a região aproximada, nunca o ponto.
• De cada atividade: o tipo, o início e o fim, o tempo em movimento, a distância, o ritmo, as calorias estimadas pelo seu peso, o título que você der, o percurso no mapa e os trechos em que o GPS ficou sem sinal. Nas atividades gravadas pelo relógio, também a média e o máximo do batimento. A atividade também entra no seu diário de exercícios, sem a localização.
• Enquanto a gravação não termina, o percurso fica guardado no seu celular e, a cada minuto, também no nosso servidor, para não se perder se o app for fechado ou os dados do celular forem apagados no meio. Essa cópia sai do celular e do servidor quando a atividade é salva ou descartada.
• As medalhas que você ganhar (pelos quilômetros somados e por semanas seguidas com atividade), a zona de privacidade que escolher e, se um relógio também mandar a mesma atividade pelo Health Connect, qual dos dois registros vale no seu diário.
• Trechos (opcional): se você marcar um trecho numa atividade sua, guardamos o nome, o desenho do pedaço marcado e, de cada atividade que você salvar depois e que passar por ele, o tempo e o dia da passagem. Só você vê os seus trechos e os seus tempos; ninguém mais, nem em ranking.
• Relógio (opcional): se você ligar o relógio no cartão "Relógio (Wear OS)" da tela do Walks, as atividades gravadas pelo relógio usam o GPS do próprio relógio. Ao terminar, o relógio passa a atividade para o seu celular, que a manda ao nosso servidor; ela é guardada e mostrada como as atividades gravadas pelo celular, com as mesmas regras. O relógio também mede o batimento durante a atividade. Ao terminar, a média e o máximo do batimento daquela atividade vão com ela para o seu celular e para o nosso servidor; se você ligar "Guardar o batimento das atividades do relógio" no cartão do relógio (um consentimento próprio, desligado por padrão), eles ficam guardados junto da atividade; desligado, não são guardados. Só você os vê: no detalhe da atividade e no seu diário de exercícios. Eles não aparecem em publicação, grupo, clube, mural, Status, ranking nem para seguidores, e não vão para a inteligência artificial. Saem junto quando você apaga a atividade, os dados do Walks ou a conta; desligar a opção deixa de guardar dali em diante, sem apagar os já guardados. A atividade gravada pelo celular não tem batimento. Quem tem menos de 18 anos não tem o batimento da atividade guardado. Para o relógio poder mandar as atividades, guardamos só uma versão embaralhada (hash) da chave dele; a chave deixa de valer quando você desliga o relógio, desliga o Walks, apaga os dados do Walks ou apaga a conta. Quem tem menos de 18 anos usa o relógio só com a autorização do responsável para o Walks, como no celular.
• Zona de privacidade: ligada por padrão, com 300 metros (você ajusta de 200 a 500). Guardamos o percurso inteiro, que só você vê, e uma segunda versão sem os pontos perto do começo e do fim. Só uma versão cortada pode chegar a outra pessoa: o responsável principal e o acompanhante de quem tem menos de 18 anos (item 10) e, se você ligar "Publicar as atividades com o trajeto", quem vê as suas publicações e, nos grupos em que você compartilhar a atividade, os membros — nesse caso o corte é de pelo menos 200 metros do começo e do fim, mesmo com a zona desligada.
• Nada do percurso vai para a IA. Se você tem menos de 18 anos, o responsável principal que autorizou o Walks, e o acompanhante que ele aprovou, veem cada atividade sua: a data, o tipo, a distância, o tempo e o percurso sem o começo e o fim (item 10). O responsável que tem a categoria Atividade liberada vê, como já via, os minutos e as calorias do dia.
• Compartilhar: a imagem do treino é montada no seu celular, com o percurso já sem a zona de privacidade, sem o horário e sem a localização do arquivo. Nada é enviado ao nosso servidor. O que você postar em outra rede segue as regras dela.
• Fotos do Walks (opcional, plano pago): até 3 por atividade e 300 por conta, com a legenda que você escrever (até 140 caracteres). A foto é redesenhada no seu celular antes do envio, sem os dados do arquivo (EXIF), onde a câmera guarda a localização. O servidor recusa foto que chegue com esses dados.
• Publicações do Walks (opcional): se você ligar "Publicar as atividades com o trajeto", cada atividade que você salvar dali em diante vira uma publicação no seu perfil, com o mapa do trajeto cortado (sem pelo menos 200 metros do começo e do fim, ou a sua zona de privacidade, se for maior), o tipo, o título, a distância, o ritmo (ou a velocidade), o tempo, o dia e a hora em que você começou, e as fotos que você puser nela. Guardamos, de cada publicação, o traço já cortado, se o trajeto ou a publicação estão ocultos, a situação na moderação e quando foi publicada. Uma atividade salva antes de você ligar só vira publicação se você escolher publicá-la, uma a uma, com "Publicar com o trajeto"; cada escolha fica registrada no histórico de consentimentos, à prova de adulteração. Se você apagar a publicação de uma atividade, ela não volta a ser publicada.
• Perfil do Walks: seu primeiro nome, a foto de perfil do Walks (opcional), a biografia (opcional, até 150 caracteres), se o perfil está visível ou privado (privado é o padrão), o seu código de convite do Walks, se você ligou "Aparecer para pessoas perto" (desligado é o padrão) e os ajustes "Aparecer na busca pelo nome" (ligado é o padrão), "Só eu vejo meus seguidores e quem eu sigo" (desligado é o padrão), quem vê os seus stories ("Todos" ou "Só seguidores") e se quem você segue e segue você pode marcar você (ligado é o padrão).
• Pessoas perto (opcional): se você ligar "Aparecer para pessoas perto", guardamos uma região aproximada, o centro de um quadrado de uns 2 km. Ela NÃO é o ponto onde você está. O seu celular usa o GPS uma vez, quando você toca em "Atualizar minha região", e calcula o quadrado antes de enviar. A região não muda sozinha e não usa o GPS dos treinos. Guardamos também quando você a definiu e quantas buscas e atualizações você fez no dia (o limite contra quem tenta varrer a busca), e, por um dia, quais pessoas foram sugeridas a você em cada distância (para as sugestões não mudarem a cada vez que você abre o Walks). Desligar apaga a região e essas sugestões na hora. Se você ligou "Aparecer para pessoas perto", a sua região aproximada também entra, junto com a de outros membros, no cálculo da distância aproximada de um grupo público para sugerir grupos a quem procura. Ninguém vê a sua região nem a do grupo: só uma faixa ("até 10 km"), e só quando o grupo tem pelo menos três membros com a opção ligada.
• Seguidores do Walks: quem você segue, quem segue você, os pedidos para seguir (os que você fez e os que recebeu) e quando cada um foi feito e aceito. Quando você e outra pessoa se seguem, uma pode marcar a outra nas fotos.
• Curtidas e visualizações do Walks: as fotos e os stories que você curtiu e quando, e os stories que você viu e quando. Das suas fotos, você vê quantas curtidas recebeu e quem curtiu; dos seus stories, quem viu e quem curtiu — o primeiro nome e a foto de perfil do Walks de cada pessoa. Do mesmo jeito, quem publicou uma foto ou um story vê que você curtiu, e quem publicou um story vê que você o viu.
• Comentários do Walks: os comentários que você escreve nas fotos e nas publicações (o texto, quando, em qual foto ou publicação e a quem você respondeu), a situação de cada um na moderação, e as suas fotos e publicações em que você desligou os comentários. Quem pode ver a foto ou a publicação vê o seu comentário junto do seu primeiro nome e da foto de perfil do Walks — mesmo que o seu perfil seja privado. Nas suas fotos e publicações, você vê os comentários de quem pode vê-las e pode apagar qualquer um.
• Stories do Walks (opcional, plano pago): a foto que você postar como story, sem os dados do arquivo (EXIF), com a data. Cada story fica no ar por 24 horas e depois é apagado do servidor. Se você ligou "Publicar as atividades com o trajeto" e marcar "Status" ao salvar uma atividade, vai também um story com o mapa cortado da publicação e os números, e cada foto vai com o traço cortado e os números por cima. Esses stories seguem quem vê os seus stories e saem na hora se você ocultar o trajeto, ocultar ou apagar a publicação ou desligar a opção.
• Marcações do Walks: em quais fotos você marcou quais pessoas (só quem você segue e segue você), e em quais fotos você foi marcado, se aprovou e quando.
• Chat do Walks (opcional): as mensagens que você troca com quem você segue e segue você — o texto, as fotos que você mandar (plano pago; redesenhadas no seu celular antes do envio, sem os dados do arquivo, inclusive a localização) e as atividades que você compartilhar (só o tipo, o dia e a foto da atividade, se a pessoa puder vê-la; nunca o percurso, o horário, a distância ou o tempo), com a data e quando cada uma some; quando você leu cada conversa; e quando mandamos o último aviso de mensagem nova. Só você e a outra pessoa da conversa veem as mensagens. As mensagens são temporárias (item 8).
• Planos de treino do Walks (opcional): o nome do plano, as metas de cada semana (modalidade, distância ou tempo, e o dia, se você escolher), quantas semanas ele dura e quando começou; e, num plano com outras pessoas, quem está nele, quem convidou quem e quando cada um entrou. O progresso da semana não é guardado: o app o calcula, a cada vez, com as atividades que você gravou.
• Grupos do Walks (opcional): os grupos e clubes que você cria ou de que participa (nome, foto, descrição, modalidade, a cidade ou região que você escrever, se é público ou fechado, a meta do grupo e o prazo, o seu papel e quando entrou ou pediu para entrar); como o grupo terminou (meta cumprida ou não, o resultado e a data) e a medalha, se ele cumpriu a meta com você dentro; as atividades que você escolher compartilhar num grupo ou clube; os comentários que você escrever nas atividades do mural (o texto, quando, em qual atividade e a quem você respondeu) e a situação de cada um na moderação, e as suas atividades do mural em que você desligou os comentários; as mensagens da conversa do grupo (temporárias); os desafios de que você participa (quando entrou e quando concluiu); e as denúncias que você fizer. O progresso da meta e dos desafios e os rankings não são guardados: o app os calcula, a cada vez, com as atividades que você gravou.
• Desafios premiados (opcional, só adultos). Se você participar de um desafio premiado, guardamos que você participa, a versão do regulamento que você aceitou e quando, as atividades suas que a nossa revisão marcou (e a decisão), e, se você vencer, a sua posição e quando avisamos. O aceite do regulamento fica no mesmo registro protegido dos outros aceites.
• Avisos no mural. Os admins de um grupo — e, nos clubes, quem administra o clube — podem fixar um aviso curto (até 500 caracteres, sem link nem foto) no topo do mural. Os membros recebem uma notificação "Novo aviso em {grupo}", sem o texto, no máximo uma por dia por grupo. Só quem é do grupo vê o aviso. O aviso de um admin aparece com o primeiro nome dele; o da equipe do Tharpa e o da conta do clube oficial aparecem como "Equipe Tharpa". O aviso fica até ser trocado ou tirado, e sai com o grupo apagado, 30 dias depois do fim do grupo, quando quem escreveu sai do grupo, apaga os dados do Walks ou a conta. Os avisos que você escreveu entram em "Exportar meus dados".
• Comentários desligados. Os admins do grupo e a equipe do Tharpa podem desligar os comentários do grupo inteiro. Desligados, ninguém comenta e os comentários que já existem ficam escondidos — não são apagados — até serem religados. Se a equipe desligou, só a equipe religa.
• Moderação. Para moderação e segurança, a equipe do Tharpa pode ver o conteúdo dos grupos e clubes do Walks, inclusive a conversa do grupo, a qualquer momento. Cada acesso fica registrado. O registro (quem acessou, quando, qual grupo e o que foi aberto) é guardado por 2 anos e só a equipe o vê.
• Banir, silenciar e penalidades. Os admins de um grupo podem aceitar ou recusar quem pede para entrar, banir um membro (ele não volta àquele grupo até ser desbanido) e silenciá-lo no grupo por 1 hora, 24 horas, 7 dias ou por tempo indeterminado. A equipe do Tharpa pode silenciar uma pessoa no app inteiro e aplicar penalidades — não entrar em grupos e clubes e/ou não comentar —, com prazo ou por tempo indeterminado. Quem foi silenciado ou penalizado vê o que não pode e até quando, nunca quem denunciou. Esses registros não saem com "Apagar meus dados do Walks"; saem quando vencem ou são retirados, ou com a conta apagada.
• Provas de denúncia. Quando alguém denuncia um conteúdo no Walks, guardamos uma cópia do que foi denunciado (o texto e, se for foto, a foto) e o contexto mínimo — quem publicou, quando e onde. A cópia continua guardada mesmo que o autor apague o conteúdo ou a conta, por 6 meses depois da decisão da denúncia, ou por mais tempo se houver caso aberto ou pedido de autoridade, até o fim dele. Só a equipe do Tharpa acessa, cada acesso fica registrado, e a cópia pode ser entregue a autoridade competente. Base legal: exercício regular de direitos e cumprimento de obrigação legal ou ordem de autoridade (LGPD, art. 7º, II e VI, e art. 16, I), e o Marco Civil da Internet (Lei 12.965/2014), quanto ao atendimento de ordem judicial. A denúncia também é enviada ao e-mail da equipe do Tharpa, com o nome de usuário e o e-mail cadastrado de quem denunciou e de quem foi denunciado, para que a equipe possa agir e, se preciso, responder a autoridade.
• Quem você bloqueou, as denúncias que você fez (o que foi denunciado, o motivo e o detalhe que você escrever) e as denúncias sobre as suas fotos, as suas publicações, os seus comentários ou o seu perfil (sem dizer a você quem denunciou), e as denúncias de conversas e de mensagens do Chat, com o conteúdo denunciado (item 8).
• Quem vê: o percurso inteiro de cada atividade, só você. A distância, o tempo e o horário também são só seus — seguidor ou não —, a não ser nas atividades publicadas, se você ligar "Publicar as atividades com o trajeto" (abaixo), e no que você escolher mostrar num grupo ou desafio do Walks (abaixo); e, se você tem menos de 18 anos, o seu responsável principal e o acompanhante, como no item 10. O gráfico "Sua evolução" (distância e ritmo por semana) também é só seu. Num plano de treino com outras pessoas, quem está no plano e segue você e é seguido por você vê, só enquanto vocês se seguirem e estiverem no mesmo plano, se cada meta da semana foi feita e a distância somada da semana nas modalidades do plano — nunca o percurso, o mapa, o horário, o lugar ou o dia de cada atividade. Num grupo do Walks, os membros veem o seu primeiro nome, a foto do seu perfil e, nos rankings, a distância somada da semana na modalidade do grupo e quanto você somou para a meta do grupo; veem as atividades que você escolher compartilhar no grupo, mesmo com o seu perfil privado — a foto (depois de aprovada, quando houver moderação), o tipo, o título, a distância, o ritmo e o tempo e, se você ligou "Publicar as atividades com o trajeto", o mesmo mapa cortado da publicação — e as mensagens que você mandar na conversa do grupo. Os comentários que você escrever no mural de um grupo ou clube aparecem para os membros dele, com o seu primeiro nome e a foto do seu perfil do Walks, mesmo com o seu perfil privado; quem compartilhou a atividade e os admins do grupo podem apagá-los, e quem compartilhou pode desligar os comentários da atividade. Num desafio, quem também participa vê o seu primeiro nome, a foto do perfil, a distância somada e o progresso no período. No grupo e no desafio, nunca o percurso inteiro, o lugar, o dia ou o horário de cada atividade. Qualquer adulto do Walks vê o nome, a foto, a descrição, a cidade, a meta, o prazo, o progresso e quantas pessoas tem um grupo ativo — não quem está nele —, e a lembrança de um grupo que cumpriu a meta (a meta, o resultado e a data). Os clubes do Walks (como o Clube oficial Tharpa Health) são comunidades sem meta nem prazo, criadas e cuidadas pela equipe do Tharpa: qualquer adulto do Walks vê o nome, a foto, a descrição e quantas pessoas tem um clube — não quem está nele —; os membros, o mural, o ranking da semana e os desafios do clube, só quem é do clube, pelas mesmas regras dos grupos. Os desafios do Clube oficial Tharpa Health são a exceção: qualquer adulto do Walks os vê e participa sem entrar no clube; quem participa aparece no ranking do desafio para os outros participantes, como nos desafios do app. No ranking de um desafio premiado, quem participa vê o seu primeiro nome, a foto do seu perfil (se puder vê-la) e os seus números no desafio (km, atividades, dias). A equipe do Tharpa vê, das atividades em revisão, o dia, a modalidade, a distância, a duração, a velocidade média e a quantidade de pontos de GPS, para conferir se a atividade é válida. Ninguém vê o percurso, o lugar ou o horário por causa do desafio. O patrocinador não recebe os seus dados. As medalhas dos grupos que cumpriram a meta com você e os selos dos desafios que você concluiu aparecem no seu perfil para quem pode ver o seu perfil, pela mesma regra das fotos. Quem bloqueou você, ou foi bloqueado por você, não vê nada seu no grupo. No Chat, só as duas pessoas da conversa veem as mensagens; se vocês deixarem de se seguir, a conversa fica só para leitura, e se uma bloquear a outra, ela some para as duas. Quem vê as suas fotos é decidido pelo seu perfil, não por atividade. Perfil privado (o padrão): só os seguidores que você aprovou veem as suas fotos, os seus stories, a sua biografia e as suas listas. Perfil visível (pede a autorização das fotos públicas): qualquer adulto do Walks pode seguir você sem pedir, e os seus seguidores e os outros adultos do Walks veem as fotos, os stories e a biografia. Tudo isso pode passar pela moderação do Tharpa Health antes de aparecer; quando há moderação antes, quem você segue de volta vê na hora, e os outros seguidores e os outros adultos do Walks veem depois que a moderação aprovar. Qualquer pessoa pode denunciar, e três denúncias escondem o conteúdo até a análise; o Tharpa Health pode recusar ou retirar o que desrespeitar as regras. Quem pode ver uma foto ou uma publicação pode comentá-la, e os comentários seguem a mesma regra: aparecem para quem vê a foto ou a publicação, com o primeiro nome e a foto de perfil do Walks de quem comentou; a dona pode apagar qualquer comentário e desligar os comentários de cada foto ou publicação. Com o perfil visível, você pode deixar os stories só para seguidores. Junto da foto vão a legenda, o seu primeiro nome, a foto de perfil do Walks, o tipo da atividade e o dia. Se você ligar "Publicar as atividades com o trajeto", cada atividade salva dali em diante, e cada atividade anterior que você escolher publicar, vira uma publicação, que segue a mesma regra das fotos (perfil privado: só os seguidores que você aprovou; perfil visível: os adultos do Walks, com a moderação quando houver; bloqueio e três denúncias escondem): vão o mapa cortado, o tipo, o título, a distância, o ritmo, o tempo, o dia e a hora, o seu primeiro nome, a foto de perfil do Walks e as fotos da atividade. A publicação entra na linha do tempo de quem segue você e na aba Publicações do seu perfil e, se você marcar "Status" ao salvar, no seu status por 24 horas, pela regra dos stories. Você pode esconder o trajeto de uma atividade (sem foto, a publicação some), ocultar ou apagar a publicação, e desligar a opção, o que tira todas as publicações da vista dos outros na hora. A foto entra na linha do tempo de quem segue você; com o perfil visível, qualquer adulto do Walks a vê no seu perfil e, de vez em quando, como sugestão na linha do tempo. Você pode ocultar uma foto (ela continua sua, e só você vê) ou apagá-la a qualquer momento. Qualquer adulto do Walks pode achar o seu perfil pela busca, pelo seu nome (se você deixar ligada a opção "Aparecer na busca pelo nome", que nasce ligada) ou pelo seu código (RUN-XXXX-XXXX), com o perfil visível ou privado; quem não segue um perfil privado vê só o primeiro nome e a foto de perfil do Walks (quando há moderação antes, depois de aprovada) e pode pedir para seguir. Se você ligar "Aparecer para pessoas perto", quem também ligou pode ver você nas sugestões de "Pessoas perto" da tela inicial do Walks, sem procurar pelo seu nome, e quem usar o filtro "Perto de mim" vê, além disso, só uma faixa de distância, entre as opções de 5 a 2.000 km (5, 10, 20, 50, 100, 250, 500, 1.000 ou 2.000 km), nunca a distância exata nem a sua região (nas sugestões, a mesma faixa, o seu primeiro nome e a foto de perfil do Walks aprovada; quem você bloqueou ou que bloqueou você não vê, e quem você já segue não aparece como sugestão). Quem segue você e quem você segue aparecem para quem pode ver o seu perfil (com o perfil privado, só para os seus seguidores), a não ser que você ligue "Só eu vejo meus seguidores e quem eu sigo". Quando alguém que você segue e que segue você marca você numa foto, o seu primeiro nome só aparece nela para os outros depois que você aprovar, e você pode tirar a marcação a qualquer momento.
• Fotos que você publicou antes de 02/10/2026 em atividades marcadas "só eu" ficaram ocultas: continuam suas e só você as vê, e você pode desocultar quando quiser. As fotos que estavam para "amigos" ou "público" passaram a seguir a regra do seu perfil.

Dados do seu aparelho (opcional):

• Se você instalar o aplicativo Tharpa no Android e autorizar no Health Connect, ele lê do seu celular dados como passos, distância, calorias, exercícios, batimentos, sono, VO2 máximo, composição corporal, temperatura da pele e alertas de apneia do sono ou ritmo irregular (o que o seu relógio ou o Samsung Health fornecer).
• Cada celular lê só os dados de quem está nele. Para ligar, o app gera um código de pareamento de uso único, válido por 15 minutos. Guardamos o nome do aparelho.

Notificações e uso:

• A inscrição de notificação do seu navegador ou celular (um endereço técnico e chaves de criptografia), se você ativar as notificações.
• Os avisos da sua caixa de avisos no app.
• Quantas vezes cada recurso de IA foi usado pela conta e o custo estimado. O conteúdo das perguntas não entra nesse registro.
• O histórico de aceites, recusas, autorizações, declarações e confirmações de idade (ver itens 8 e 9).
• Avisos de que uma conta pode ser de um menor, com a observação escrita por quem avisou e a decisão da equipe (item 10).

2. Para que usamos

• Mostrar seu histórico, calcular metas e acompanhar seu progresso.
• Gerar análises e sugestões por inteligência artificial (item 4).
• Enviar lembretes e avisos que você ativou, como o lembrete de água e o parabéns no aniversário.
• Enviar e-mails do serviço: código de confirmação, redefinição de senha e pedido de autorização a um responsável.
• Permitir que outra pessoa acompanhe seu resumo diário, quando você autoriza (item 6).
• Cuidar da autorização de responsáveis por menores de 18 anos (item 10).
• Responder suas sugestões e relatos de erro.
• Mostrar o seu ciclo menstrual — o histórico, os gráficos e as estimativas —, se você ligar esse módulo.
• Desenhar o percurso das atividades que você grava no Walks (pelo celular ou pelo relógio), contar tempo, distância e ritmo, mostrar a você o batimento medido pelo relógio, dar as medalhas e mostrar a sua evolução por semana a você; marcar sozinhas as metas do seu plano de treino com as atividades que você grava; e, num plano com outras pessoas, mostrar a quem está nele e se segue mutuamente com você o progresso da semana (metas feitas e distância somada) e avisar quem você convidar, se você ligar esse módulo.
• Mostrar as fotos que você publicar no Walks aos seus seguidores ou, com o perfil visível e a sua autorização, aos outros adultos do Walks; permitir seguir, aceitar pedidos, achar pessoas pelo nome ou pelo código e, entre quem ligou "Aparecer para pessoas perto", pela proximidade e por sugestões de pessoas perto; curtir e comentar fotos e publicações e avisar a dona de um comentário novo (sem o texto do comentário); mostrar a sua biografia, as suas listas de seguidores e de quem você segue e os seus stories a quem pode vê-los; permitir marcar nas fotos quem você segue e segue você, com a aprovação de quem foi marcado; apagar os stories depois de 24 horas; moderar o que vai para quem não segue você e as fotos de perfil que aparecem na busca; receber e tratar denúncias; aplicar os bloqueios que você fizer; se você ligar "Publicar as atividades com o trajeto", publicar cada atividade salva no seu perfil, com o mapa cortado, os números, o dia e a hora, para quem pode ver o seu perfil; organizar os grupos e os desafios de que você participa; calcular sozinho a meta do grupo, o seu progresso nos desafios e os rankings com as atividades que você grava; encerrar o grupo no prazo, transformá-lo em lembrança e dar a medalha quando a meta é cumprida; mostrar no grupo as atividades que você escolher compartilhar e, se você pedir, pôr a foto no seu status; sugerir grupos públicos perto de você (se o Pessoas perto estiver ligado); entregar as mensagens da conversa do grupo e avisar que chegou mensagem nova; e moderar o que for denunciado.
• Entregar as mensagens do Chat do Walks entre as duas pessoas da conversa, avisar você de mensagem nova e apagar as mensagens quando vencem.
• Mostrar ao parceiro que você indicar na gravidez a semana da gestação, o mês provável do parto, o conteúdo da semana e o que você liberar; avisá-lo quando você registrar um sinal de alerta, se você liberar; e mostrar a ele e a você as categorias de vídeos da gestação, se você pedir.
• Provar, se preciso, que um consentimento foi dado, e cumprir a lei.

As estimativas do ciclo (próxima menstruação, janela fértil e fase) saem do que você mesma registrou e podem variar, ainda mais quando o ciclo é irregular. Elas não são método contraceptivo nem de planejamento familiar, e o módulo não diagnostica nada: só um profissional de saúde pode fazer isso.

Não vendemos seus dados e não usamos seus dados de saúde para anúncios.

3. Bases legais

Dados de saúde são dados pessoais sensíveis pela LGPD. Nós os tratamos com o seu consentimento, dado de forma específica e destacada na tela de aceite. Sem esse aceite, o app não libera o uso.

Os dados da conta (e-mail, senha, plano) são tratados para prestar o serviço que você pediu. O histórico de consentimentos é mantido para cumprir a lei e para defender direitos em caso de questionamento.

O marcador do teste grátis (item 8) é mantido por legítimo interesse, para evitar que o teste seja usado mais de uma vez pela mesma pessoa. Ele não guarda o e-mail, só um código feito a partir dele.

Para menores de 18 anos, o consentimento é dado por um dos pais ou pelo responsável legal (item 10).

O módulo de ciclo menstrual tem consentimento PRÓPRIO, separado do aceite desta Política. Ele é opcional: enquanto você não ligar o módulo, não há nada de ciclo guardado. Para ligar, você lê o texto do módulo e marca que autoriza; esse aceite fica no mesmo histórico à prova de adulteração (item 9), com o seu documento e a sua versão. Desligar o módulo é retirar esse consentimento. A base legal é a mesma dos demais dados de saúde — consentimento específico e destacado para dado pessoal sensível —, pedida à parte porque este dado é mais íntimo e o módulo é opcional.

O registro de relação sexual tem um consentimento a mais, separado até do consentimento do módulo de ciclo: só existe para maiores de 18 anos, é pedido na primeira vez que você usa o campo, fica no mesmo histórico à prova de adulteração, e retirar essa autorização faz o campo sumir sem mexer no resto do módulo. O que você já registrou continua guardado até você apagar os dados do ciclo.

O acompanhamento da gravidez também tem consentimento PRÓPRIO, pedido quando você marca que está grávida. Ele fica no mesmo histórico à prova de adulteração (item 9). Para retirar esse consentimento, use Apagar meus dados da gravidez, na tela Gravidez: os dados saem na hora, e o pedido fica registrado nesse histórico.

Indicar um parceiro na gravidez tem consentimento PRÓPRIO (documento gestacao_parceiro), separado do consentimento da gravidez: é compartilhamento de dado pessoal sensível com outra pessoa, e por isso é pedido de forma específica e destacada a cada convite. Ele fica no mesmo histórico à prova de adulteração (item 9). Desfazer o vínculo é retirar esse consentimento, e fica registrado. Só maiores de 18 anos indicam um parceiro. Do lado do parceiro, o aceite do convite também fica registrado nesse histórico, e a sua confirmação também. Cada item que você libera ao parceiro (data exata do parto, sexo do bebê, consultas e exames marcados, fotos da barriga, ganho de peso, pressão e sinais de alerta) tem consentimento próprio (documento gestacao_parceiro_itens), pedido na hora de ligar, com o nome do item. Ligar e desligar ficam no histórico à prova de adulteração (item 9).

O Walks também tem consentimento PRÓPRIO para o uso da localização, pedido na primeira vez que você o abre. Ele fica no mesmo histórico à prova de adulteração (item 9). Desligar o Walks é retirar esse consentimento: o app para de usar a localização, e o que você já gravou continua guardado até você usar Apagar meus dados do Walks, na tela do Walks.

Para quem tem menos de 18 anos, o Walks pede DUAS autorizações: a do responsável principal (walks_menor_responsavel), que ele dá em Sua conta, e depois a do próprio menor, num texto próprio para menores. As duas ficam no histórico à prova de adulteração (item 9). O responsável retira em Sua conta › Menores sob sua responsabilidade › Gerenciar › Tharpa Walks: a gravação para na hora, e o que já foi gravado continua guardado até ser apagado.

Perfil visível do Walks: o seu consentimento próprio (run_fotos_publicas), registrado no histórico à prova de adulteração. Retirar é desligar em Walks › Perfil › ☰ Configurações e atividade › Privacidade do perfil, e o perfil fica privado na hora. Com o perfil privado, as fotos que só os seus seguidores aprovados veem seguem o consentimento do Walks (localizacao_run); você tira alguém dos seus seguidores quando quiser (remover seguidor ou bloquear).

Publicações do Walks com o trajeto: o seu consentimento próprio (walks_trajeto_publico), opcional, registrado no histórico à prova de adulteração. Retirar é desligar "Publicar as atividades com o trajeto" em Walks › Perfil › ☰ Configurações e atividade › Privacidade do perfil: as publicações saem da vista dos outros na hora, e nada é apagado.

Batimento das atividades do relógio: o seu consentimento próprio (walks_batimento_relogio), opcional e desligado por padrão, registrado no histórico à prova de adulteração. Retirar é desligar "Guardar o batimento das atividades do relógio" no cartão "Relógio (Wear OS)" da tela do Walks: o app deixa de guardar o batimento das próximas atividades, e o que já foi guardado não é apagado.

Pessoas perto do Walks: o seu consentimento próprio (walks_perto_de_mim), registrado no histórico à prova de adulteração. Retirar é desligar "Aparecer para pessoas perto" em Walks › Perfil › ☰ Configurações e atividade: a sua região é apagada na hora e você sai do filtro "Perto de mim" e das sugestões de pessoas perto. Se a opção "Aparecer na busca pelo nome" estiver ligada, você continua podendo ser achado pelo nome, sem distância.

Busca pelo nome no Walks: o legítimo interesse de permitir que adultos que usam o Walks se encontrem, com os limites do item 1 (só o primeiro nome e a foto de perfil de quem tem perfil privado — quando há moderação antes, já aprovada —, 30 buscas por dia, nunca um menor), o bloqueio, que tira você da busca da outra pessoa, e a opção "Aparecer na busca pelo nome": desligar em Walks › Perfil › ☰ Configurações e atividade › Privacidade do perfil tira você da busca pelo nome na hora (o seu código continua achando você).

Marcações do Walks: a sua aprovação de cada marcação. Sem ela, a foto não aparece nas suas marcadas e o seu nome não aparece na foto para os outros. Você pode tirar a marcação a qualquer momento.

Chat do Walks: a execução do serviço que você pede ao mandar uma mensagem (LGPD, art. 7º, V). A guarda do conteúdo denunciado até a decisão: o legítimo interesse de manter o Walks seguro e de responder à denúncia (art. 7º, IX). Planos de treino do Walks: a execução do serviço que você pediu ao criar ou entrar num plano; mostrar o seu progresso da semana a outras pessoas só acontece se você entrar num plano com elas (aceitar o convite ou convidar), e você sai do plano quando quiser.

Grupos do Walks: a execução do serviço que você pediu ao criar ou entrar num grupo ou desafio, e ao compartilhar uma atividade num grupo (art. 7º, V). A sugestão de grupos perto usa o seu consentimento do "Aparecer para pessoas perto" (art. 7º, I), que você retira desligando a opção. A guarda do conteúdo denunciado até a decisão, e a de um grupo escondido por denúncia por até 30 dias para a revisão: o legítimo interesse de manter um ambiente seguro e de cumprir a lei (art. 7º, IX e II).

Desafios premiados: para organizar o desafio que você escolheu e cumprir o regulamento que você aceitou (art. 7º, V, da LGPD), e para evitar fraude e garantir que o prêmio vá para quem cumpriu de verdade (legítimo interesse, art. 7º, IX). Se a lei exigir dados para a entrega do prêmio (por exemplo, para imposto), pediremos só esses, só ao vencedor (art. 7º, II).

Moderação, denúncias e bloqueios: o legítimo interesse de manter o app seguro para quem usa, e o cumprimento das regras das lojas de aplicativos para conteúdo publicado por usuários.

4. Inteligência artificial

As análises de foto de refeição, de foto do corpo, de medidas, o chat, as dicas sobre sintomas, a estimativa de alimento digitado e a leitura do check-in são feitas por inteligência artificial, no Google Gemini.

Usamos o Google Gemini em dois níveis. Primeiro tentamos o nível gratuito: nele, o Google pode usar o que enviamos (a foto ou o texto do pedido e os dados do perfil abaixo) para melhorar os produtos dele, e pessoas do Google podem revisar esse conteúdo. Só quando o nível gratuito não responde, o mesmo pedido vai para o nível pago, em que o Google não usa o conteúdo para melhorar os produtos dele. Contas de menores de 18 anos usam sempre o nível pago. Na gravidez, o que leva dado da gestação à IA (a semana, o trimestre e o número de bebês, e as fotos da barriga) também vai sempre ao nível pago.

Enviamos à IA o necessário para cada resposta: a foto ou o texto do pedido e dados do perfil que adaptam a resposta, como idade, sexo biológico, altura e peso, nível de atividade, identidade de gênero e, para adultos fora da gravidez, o objetivo e se faz tratamento com o medicamento registrado em Tratamento.

• Foto do corpo: o topo da foto, onde fica a cabeça, é cortado no seu próprio aparelho antes do envio. Você confere e ajusta o corte. A cabeça não sai do celular nem fica guardada. Mesmo assim, a foto continua sendo um dado pessoal: tatuagens, cicatrizes e formato do corpo podem identificar alguém.
• Foto do prato: se a IA responde na hora, a imagem não é guardada no servidor. Se a IA estiver ocupada, a foto espera numa fila no servidor e a imagem é apagada assim que a análise fica pronta ou, se a IA não conseguir analisar, quando o app desiste de tentar. O resultado da análise (os alimentos reconhecidos e os números) fica 24 horas na lista de análises recentes, para você consultar, corrigir ou refazer. Depois ele é apagado, e o que você salvou continua no diário.
• Chat: as conversas não ficam guardadas no servidor.
• Ciclo menstrual: nada do que você registra no módulo de ciclo vai para a IA. As estimativas são conta de calendário feita no nosso servidor, a partir do seu próprio histórico.
• Gravidez: se você ligar "Comentários da IA na gravidez" (um aceite próprio, que você desliga quando quiser), ao analisar a foto do prato ou refazer o comentário dele, a IA recebe só que você é gestante, a semana, o trimestre e o número de bebês, para o comentário ser adequado à gestação (sem dieta de emagrecimento e sem citar remédios). Se você pedir o comentário do crescimento da barriga, a IA recebe a foto da barriga e a anterior, cortadas no topo como as fotos do corpo, e só que você é gestante, a semana e o número de bebês; ela comenta só o crescimento entre as fotos, sem diagnóstico, sem % de gordura e sem estimar o bebê. Nada mais da gravidez vai para a IA: nem as datas da menstruação ou do parto, nem consultas, exames, laudos, sintomas, o peso de antes ou o seu nome. Com a gravidez em acompanhamento, a IA também deixa de receber o seu objetivo do perfil e se você faz tratamento com medicamento, e o chat responde como um assistente de nutrição e bem-estar geral (sem metas de perda de peso). O que leva dado da gravidez à IA vai sempre para o nível pago do Gemini; os outros pedidos seguem a regra de todos os adultos. A semana e a data provável do parto continuam sendo conta de calendário feita no nosso servidor.
• Walks: nenhuma localização nem percurso vai para a IA. Distância, tempo, ritmo e calorias são contas feitas no nosso servidor.
• As respostas da IA são estimativas e sugestões. Elas não substituem médico, nutricionista ou outro profissional de saúde.

5. Com quem compartilhamos

Só com os prestadores necessários para o app funcionar. Cada um recebe apenas o que precisa para a sua parte:

• Hospedagem e rede: o serviço que hospeda o app e o servidor, e por onde passam todas as conexões.
• Banco de dados: onde ficam a conta, os registros e as fotos do corpo.
• Armazenamento das fotos do Walks: Cloudflare (serviço R2), que guarda as imagens (também as fotos do Chat). Elas só são entregues a quem pode vê-las, pelo nosso servidor.
• Parceiro na gravidez: só a pessoa que você indicar, que aceitar o convite e que você confirmar: a semana da gestação, o mês provável do parto e só os itens que você liberar (item 6).
• Outras pessoas do Walks: só o que você publicar, nas condições do item 1. Qualquer adulto do Walks que procurar pelo seu nome (se você não desligar "Aparecer na busca pelo nome") ou pelo seu código vê o seu primeiro nome e a foto de perfil do Walks (quando há moderação antes, depois de aprovada). Se você ligar "Aparecer para pessoas perto", quem também ligou vê, no filtro "Perto de mim" e nas sugestões de pessoas perto, também a faixa de distância. Quem pode ver o seu perfil vê também a sua biografia, os seus stories e, se você não ligar "Só eu vejo", quem segue você e quem você segue. Quem você marcar numa foto vê essa foto. Quem publicou uma foto que você curtiu, ou um story que você curtiu ou viu, vê o seu primeiro nome e a foto de perfil do Walks na lista de quem curtiu ou de quem viu. No Chat, a pessoa com quem você conversa recebe as mensagens que você manda a ela, e só ela. Num plano de treino, as pessoas do plano que seguem você e são seguidas por você veem se cada meta da semana foi feita e a distância somada da semana.
• Outras pessoas do Walks: no grupo, nos desafios e no seu perfil (medalhas e selos), o que está no item 1 ("Quem vê"). Patrocinadores de desafios: alguns desafios do app ou do Clube oficial Tharpa Health podem ter um patrocinador, identificado na tela ("Patrocinado por…"). O patrocinador não recebe nenhum dado seu — nem o seu nome, nem se você participa, nem o seu progresso. O link do patrocinador abre fora do app, e o que acontece no site dele segue a política dele.
• Inteligência artificial: o Google Gemini, que gera as análises e respostas de IA. No nível gratuito, que tentamos primeiro, o Google pode usar o conteúdo enviado para melhorar os produtos dele (item 4).
• E-mail: o serviço que envia os e-mails do app. Nas mensagens de sugestão ou erro, leva seu e-mail e seu ID público até a nossa caixa de entrada.
• Serviço de notificação do seu navegador ou celular (por exemplo Google, Mozilla, Apple ou Samsung): entrega as notificações. O texto vai cifrado, e esse serviço não consegue lê-lo.

O app também busca as notícias publicadas no site do Tharpa Group para a caixa de avisos. Essa busca não envia nenhum dado seu.

Os dados do Samsung Health e do Health Connect vêm do seu celular para nós. Não enviamos seus dados à Samsung nem ao Google por esse caminho.

Podemos ter de entregar dados a autoridades quando a lei ou uma ordem judicial obrigar.

6. Compartilhamento que você decide

Em Sua conta, na seção Outras pessoas, você pode gerar um código de acompanhamento. Ele vale por 15 minutos e serve uma vez só. Quem digitar o código passa a ver o seu resumo diário: passos e atividade, água, calorias e proteína, e peso.

Além do resumo, você pode liberar, para cada pessoa que acompanha você, mais duas coisas. As duas começam desligadas, e você liga ou desliga quando quiser, em Outras pessoas, no bloco Quem vê o seu resumo:

• Refeições do dia (lista): nome, calorias e hora de cada refeição, sem fotos. A pessoa pode ver os dias anteriores, até 90 dias atrás.
• Sono: horas dormidas na última noite, hora de dormir e de acordar, e a média de 7 noites. Vem do relógio ou do celular, pelo Health Connect.

Quem acompanha por código nunca vê fotos, sintomas, check-ins, sinais vitais, ciclo menstrual nem conversas com a IA. Contas de menores de 18 anos não liberam refeições nem sono por código: o compartilhamento de menor, quando o responsável permite, é só o resumo diário.

Ampola dividida: se você dividir a ampola de tirzepatida com outra conta do Tharpa Health, por código ou pela sua conexão, e a outra pessoa aceitar, cada uma vê a data e a dose das aplicações da outra feitas com aquela ampola, e o estoque passa a contar as aplicações das duas. Nada mais da saúde de ninguém é compartilhado por isso. Qualquer uma das duas encerra a divisão quando quiser, e o aceite fica no histórico de consentimentos.

Parceiro na gravidez: se você é maior de 18 anos e está com a gravidez em acompanhamento, pode convidar outra conta adulta do Tharpa Health, na tela Gravidez, em Parceiro. O convite é um código de uso único que vale 48 horas. Quando a pessoa aceita, você vê quem é e confirma ou recusa; só depois da sua confirmação ela ganha a aba Gravidez, com a semana da sua gestação, o mês provável do parto e o conteúdo da semana, e nos Treinos os vídeos de como apoiar na gestação. Em Gravidez › Parceiro › O que {nome} vê, você pode liberar, um por um, e todos começam desligados: a data exata do parto; o sexo do bebê (só menina ou menino); as consultas e exames marcados (data e tipo, nunca anotação, resultado ou laudo); as fotos da barriga (só as novas, ou também as que já tirou); o ganho de peso na gestação e a faixa (nunca o seu peso); a pressão; e os sinais de alerta que você registrar, com um aviso a ele. Desligado, ele deixa de ver na hora. Ele nunca vê a data da última menstruação, o ciclo, os sintomas, os laudos, as anotações, os comentários da IA nem nenhum outro dado seu. Você vê quem é o parceiro e desde quando. Há um parceiro por gestação. Você desfaz o vínculo quando quiser; o parceiro também pode sair (e você é avisada). O vínculo termina sozinho se você encerrar ou desligar o acompanhamento, apagar os dados da gravidez ou a conta, ou se o parceiro apagar a conta dele. Não é possível criar o vínculo entre contas que se bloquearam no Walks, e um bloqueio depois do aceite termina o vínculo. O seu consentimento, o aceite do parceiro, a sua confirmação e cada fim do vínculo ficam no histórico à prova de adulteração (item 9).

• As duas contas veem, uma da outra, o nome escolhido para ser chamada no app e o e-mail, na lista de conexões.
• Você pode também compartilhar de volta com quem você acompanha. Isso é uma autorização separada.
• Você pode desconectar ou parar de compartilhar quando quiser, sem passo extra.
• Cada autorização e cada desconexão ficam registradas no histórico à prova de adulteração (item 9).
• Cada liberação e cada desligamento de categoria ficam registrados no histórico à prova de adulteração (item 9).

7. Onde os dados ficam

O banco de dados fica em servidores nos Estados Unidos. O app e o servidor rodam numa rede que atende de vários países. Os serviços de IA e de e-mail também podem tratar dados fora do Brasil. Você pode pedir a lista com o nome de cada prestador pelo e-mail [email protected].

Por isso existe transferência internacional de dados. Ela acontece só para prestar o serviço, com os prestadores listados no item 5.

As fotos do Walks ficam no armazenamento da Cloudflare (R2), que também pode guardar dados fora do Brasil.

8. Por quanto tempo guardamos

Em geral, enquanto sua conta existir. Há regras próprias:

• Fotos do corpo: ficam as 60 mais recentes. As mais antigas são apagadas automaticamente. As análises escritas continuam.
• Foto do prato: não é guardada no servidor depois da análise (item 4). O resultado da análise fica 24 horas na lista de análises recentes e depois é apagado.
• Chat com a IA: não é guardado.
• Análise que junta foto e medidas: fica só a mais recente.
• Avisos: aparecem na caixa por 24 horas. Depois disso, ou se você fechar um aviso, ele some da tela, mas continua guardado para o mesmo aviso não chegar de novo. É apagado junto com a conta.
• Códigos temporários: confirmação de e-mail, pareamento de aparelho e código de acompanhamento valem 15 minutos. O link de nova senha vale 1 hora.
• Sessão no app: até 30 dias sem precisar entrar de novo.
• Histórico de consentimentos e de compartilhamentos: é guardado sem prazo, mesmo depois de apagar a conta, porque é a prova de que cada autorização foi dada. Ele guarda só códigos internos, a versão do documento, a ação e a data. Não guarda seu e-mail nem seus dados de saúde.
• Concordâncias do adolescente e categorias liberadas no compartilhamento: ficam no histórico de consentimentos, sem prazo, como as demais autorizações. O histórico guarda só códigos internos, a categoria, a versão do texto, a ação e a data.
• Avisos de que uma conta pode ser de um menor: ficam enquanto a conta avisada existir. Se quem avisou apagar a própria conta, o aviso perde a ligação com ela.
• Ciclo menstrual: os dias marcados e os registros diários ficam enquanto a conta existir. Desligar o módulo não apaga nada — ele só sai das telas e para de aceitar registro, e você pode ligar de novo depois.
• Apagar os dados do ciclo: em Privacidade e seus dados, o botão Apagar meus dados do ciclo apaga todos os dias e todos os registros na hora, sem volta, mesmo com o módulo desligado. No histórico de consentimentos fica só a linha que prova que o pedido foi cumprido, com a quantidade de dias e de registros apagados — nunca uma data, um sintoma ou uma anotação.
• Fotos do Walks: enquanto você não apagar a foto, a atividade, os dados do Walks ou a conta. Se o plano pago acabar, as fotos continuam; só não dá para postar novas. Recusada pela moderação, a foto continua sua (só você vê) até você apagá-la.
• Publicações do Walks: enquanto você não apagar a publicação, a atividade, os dados do Walks ou a conta. Desligar a opção só as tira da vista dos outros.
• Denúncias: enquanto a conta denunciada existir. As que você fez ficam depois que você apaga a sua conta, sem ligação com você, porque são o histórico da moderação sobre outra pessoa.
• Bloqueios: até você desbloquear, ou até uma das contas ser apagada.
• A região de Pessoas perto: enquanto a opção estiver ligada. Desligar, apagar os dados do Walks ou apagar a conta a apaga na hora. A contagem de buscas do dia e as sugestões do dia são apagadas no dia seguinte.
• Seguidores, pedidos e curtidas do Walks: enquanto você não deixar de seguir, remover o seguidor, recusar o pedido, descurtir, bloquear, apagar os dados do Walks ou a conta. Uma foto apagada leva as curtidas dela. As curtidas e as visualizações de um story somem junto com ele, em 24 horas ou quando ele é apagado.
• Comentários do Walks: enquanto você não apagar o comentário, a dona da foto ou da publicação não o apagar, a foto ou a publicação não for apagada, ou até você apagar os dados do Walks ou a conta (aí saem os que você escreveu e os que estão nas suas fotos e publicações). Um bloqueio apaga os comentários de uma pessoa nas fotos e publicações da outra, menos o que tem denúncia aberta, que fica guardado — escondido de todos — até a moderação decidir. Um comentário tirado pela moderação fica guardado, visível só para quem o escreveu, até ser apagado por um desses caminhos.
• Stories do Walks: 24 horas. Depois disso, o story sai da tela na hora e é apagado do servidor e do armazenamento na limpeza seguinte (duas vezes por dia). Você pode apagar antes. As denúncias de um story saem junto com ele.
• Biografia do Walks: enquanto você não trocar, apagar, apagar os dados do Walks ou a conta.
• Marcações do Walks: enquanto você (ou quem postou) não tirar a marcação, a foto existir e nenhuma das duas contas bloquear a outra ou apagar os dados do Walks.
• Mensagens do Chat do Walks: temporárias. Texto e atividades compartilhadas somem 30 dias depois de enviados; fotos, 7 dias. Depois disso a mensagem sai da tela na hora e é apagada do servidor e do armazenamento na limpeza seguinte (duas vezes por dia). Você pode apagar uma mensagem sua antes: ela some para as duas pessoas e fica "Mensagem apagada". Conversa sem mensagens há 30 dias é apagada.
• Conteúdo denunciado no Chat: a mensagem denunciada (ou as últimas 20 mensagens, quando se denuncia a conversa), com as fotos, fica guardada até a moderação decidir — mesmo que já tenha vencido ou sido apagada. Decidida a denúncia, o conteúdo é apagado e fica só o registro (o motivo, as datas e a decisão), como as outras denúncias.
• Planos de treino do Walks: enquanto você estiver no plano. Sair do plano, apagar os dados do Walks ou a conta tira você dele na hora; um convite que você recusa ou que é desfeito sai na hora. Se você criou o plano e sai, ele continua para quem está nele (com o nome e as metas que você escreveu) e passa para quem entrou primeiro; sem mais ninguém, o plano é apagado. Um bloqueio tira você do plano criado pela outra pessoa (e ela do seu).
• Grupos do Walks: enquanto você estiver no grupo ou no desafio. Sair tira você na hora (e as atividades que você compartilhou no mural daquele grupo). Os comentários no mural ficam enquanto a atividade estiver no mural: saem quando ela sai (você tira, apaga a atividade ou sai do grupo), quando você apaga o comentário, e com o mural, 30 dias depois do fim do grupo. Um comentário denunciado fica guardado até a decisão da equipe; depois fica só o registro da denúncia. Os clubes não terminam: o que você compartilhou no mural de um clube fica até você tirar ou sair do clube. Quando o grupo termina — meta cumprida ou prazo vencido —, ele fica como lembrança (a meta, o resultado, a data e, se cumprida, a medalha) para os membros, e a conversa e o mural são apagados 30 dias depois (dá tempo de salvar as fotos; você é avisado). As mensagens da conversa já somem sozinhas antes disso: texto em 30 dias e fotos em 7 dias. Um grupo escondido por denúncia procedente fica guardado por até 30 dias, para a revisão, e depois é apagado. Uma mensagem denunciada fica guardada até a decisão da equipe e depois o conteúdo é apagado (fica só o registro da denúncia: motivo, data e decisão). A data em que você concluiu um desafio (o selo) e a medalha de um grupo ficam enquanto você estiver no desafio ou no grupo. Se você criou um grupo e sai, ele continua para quem está nele e passa para outra pessoa; sem mais ninguém, o grupo é apagado.
• Desafios premiados: a participação e as revisões saem quando você sai do desafio, apaga os dados do Walks ou a conta; o registro do aceite fica, como os outros aceites. A marca de vencedor sai junto com a conta.
• Os tempos de cada passagem por um trecho do Walks ficam 90 dias; depois, só o seu melhor tempo em cada trecho, enquanto o trecho existir.
• Parceiro na gravidez: o vínculo fica enquanto existir a gravidez em acompanhamento e as duas contas. Depois de terminado, o registro de quem foi o parceiro e das datas fica até você apagar os dados da gravidez ou a conta. O registro do que você liberou e desligou fica junto com o do vínculo. Os sinais de alerta registrados saem quando você os apaga, desliga os sinais de alerta ou o vínculo termina. O código do convite vale 48 horas e serve uma vez.
• Teste grátis: a data de começo e de fim ficam enquanto a conta existir. Para o teste valer uma vez por pessoa, guardamos um marcador do e-mail em forma de código (hash, sem "+apelido" e, no Gmail, sem pontos). Ao apagar a conta, ele perde a ligação com ela e é apagado 2 anos depois do fim do teste.
• Código da troca de endereço do app: 2 minutos, e serve uma vez. Só o código em forma de hash fica no servidor.

Quando você apaga a conta, o app apaga na hora, sem volta, seu cadastro e seus registros: refeições, água, peso, medidas e sinais vitais, sintomas, check-ins, passos e exercícios, os dias e os registros do ciclo menstrual, tratamento e estoque, fotos e análises do corpo, fotos que ainda esperavam análise, a análise que junta foto e medidas, aparelhos pareados, inscrições de notificação, avisos, códigos, conexões de compartilhamento, e as fotos, o perfil e os bloqueios, os seguidores e quem você segue, os pedidos, as curtidas, os comentários (os que você escreveu e os que estão nas suas fotos e publicações), a biografia, os stories, as marcações, as publicações e os planos de treino do Walks, a sua participação nos grupos e desafios (as suas atividades saem dos murais e as medalhas saem; os grupos de que você era o principal passam a outra pessoa ou, sem ninguém, são apagados), as mensagens que você mandou no Chat e nas conversas dos grupos do Walks (do outro lado fica "Mensagem apagada") e as fotos delas, e o vínculo de parceiro na gravidez (se você era o parceiro, o vínculo termina, o que estava liberado desliga e os sinais de alerta saem; a gestante continua vendo só que houve um parceiro e as datas). A contagem de uso da IA continua existindo só como estatística, sem ligação com você. Se você era responsável por um menor, a autorização termina e seu e-mail sai do registro dela.

9. Segurança

• Todas as conexões usam HTTPS.
• Senhas guardadas só como hash: PBKDF2-SHA256, com sal e 100 mil iterações (contas muito antigas podem manter o formato anterior, bcrypt, até a troca da senha). Tokens de aparelho e códigos de pareamento e de acompanhamento também são guardados só como hash.
• O rosto sai das fotos do corpo antes do envio (item 4).
• Notificações cifradas de ponta a ponta até o seu aparelho.
• Ações sensíveis, como pedir ou dar autorização de responsável, exigem e-mail confirmado.
• A área de administração é restrita. O servidor confere quem pode fazer cada coisa. Ela mostra dados de cadastro e contagens de uso, não o conteúdo dos seus registros de saúde. Na conferência de idade, mostra só qual critério pediu a confirmação (altura ou peso), sem os valores.
• O histórico de consentimentos só recebe registros novos, nunca é editado. Cada registro carrega um código (hash) ligado ao anterior, então qualquer alteração no passado fica detectável.

Nenhum sistema é infalível. Se houver um incidente de segurança que possa trazer risco ou dano relevante a você, avisaremos você e a ANPD, como manda a lei.

10. Menores de 18 anos

Não há idade mínima. Menores de 18 anos só usam o Tharpa Health com a autorização de um dos pais ou do responsável legal. O consentimento para tratar os dados de saúde do menor é dado por esse responsável. A idade é calculada pela data de nascimento informada no cadastro.

Como a autorização funciona:

• O menor confirma o próprio e-mail e informa o e-mail do responsável. Enquanto não houver autorização, a conta fica pausada.
• O responsável recebe um e-mail e um aviso no app. Ele precisa ter conta no Tharpa Health, com e-mail confirmado, e ser maior de 18 anos.
• Em Sua conta, na seção Menores sob sua responsabilidade, o responsável aprova ou recusa. Para aprovar, ele marca a declaração: “Declaro que sou o responsável legal por esta pessoa e autorizo o uso do Tharpa Health e o tratamento dos dados de saúde dela.”
• Na aprovação, o responsável confirma ou corrige a data de nascimento do menor, e a data dele passa a valer. Ele também define o sexo biológico usado nas metas e, se quiser, a identidade de gênero do menor.
• Se a data informada pelo responsável for de 18 anos ou mais, não há o que aprovar: o pedido é encerrado, os dois lados são avisados, e a pessoa segue como adulta, aceitando esta Política por conta própria.
• Com a conta pausada, o menor ainda pode pedir a autorização de novo, ver o perfil, exportar os dados, mandar sugestão e apagar a conta. Nada é apagado enquanto espera.
• Cada pedido, aprovação, recusa, mudança e encerramento fica no histórico à prova de adulteração.

O que o responsável vê e faz:

• Vê só as categorias que ele escolher. Começam ligadas: Atividade, Hidratação, Alimentação (totais) e Peso. Começam desligadas: Refeições do dia (lista, sem imagens), Sono, Sintomas, Check-in do dia, Sinais vitais e Ciclo menstrual.
• Nunca vê fotos do corpo, análises do corpo, conversas com a IA nem registros de remédio.
• Só lê. Não edita nem apaga registros do menor.
• Pode mudar as categorias, permitir ou não que o menor compartilhe dados com outras pessoas, e retirar a autorização. Se retirar, a conta do menor volta a ficar pausada, sem apagar nada.
• O menor vê quem acompanha a conta e o que essa pessoa vê naquele momento, os pedidos esperando resposta e o que ele concordou em compartilhar. Os dois lados se identificam pelo nome escolhido para ser chamado no app, pelo e-mail e pelo ID público. Só o responsável pode desfazer o vínculo.

O que mostram Sono, Sintomas, Check-in do dia, Sinais vitais e Ciclo menstrual:

• Sono: horas dormidas na última noite, hora de dormir e de acordar, e a média de 7 noites.
• Sintomas: os sintomas registrados no dia, com a hora e a intensidade (quando informada). Não mostra anotações. Um sintoma escrito à mão aparece só como “Outro sintoma”.
• Check-in do dia: ânimo, energia e fome do dia, na escala do app. Não mostra anotações.
• Sinais vitais: a última leitura do dia de pressão, batimentos, oxigenação, glicose e temperatura da pele. Não mostra composição corporal (gordura, massa muscular, água corporal).
• Ciclo menstrual: três coisas, e nada mais — se está menstruando hoje, a previsão da próxima menstruação e a cólica do dia. Nunca libido, corrimento, humor, energia, sono, pele e cabelo, TPM nem a anotação livre: a anotação é só de quem escreveu, e não aparece para o responsável nem para o acompanhante em nenhuma idade.

Sintomas, check-ins, sinais vitais e ciclo menstrual seguem a idade do menor, calculada pela data de nascimento confirmada pelo responsável:

• Até 11 anos, o responsável principal pode ligar essas categorias.
• De 12 a 17 anos, ligar uma delas é um pedido. Ela só aparece se o próprio adolescente concordar no app, em Sua conta. Ele lê o texto e toca em Concordo ou Não concordo. Pode desfazer quando quiser, sem explicar. Se recusar ou desfizer, a categoria é desligada, o responsável é avisado, e para ver de novo ele precisa pedir outra vez.
• Quando a criança completa 12 anos, essas categorias ficam suspensas até ela concordar. O responsável e o adolescente são avisados.
• Cada pedido, concordância, recusa, desfazimento e suspensão fica no histórico à prova de adulteração, com a versão do texto de concordância.

Como a idade é conferida:

• No cadastro, a data de nascimento é pedida sem dizer o que ela muda. A explicação sobre a autorização aparece depois de a conta ser criada.
• Se uma conta com data de adulto salvar altura abaixo de 1,40 m ou peso abaixo de 30 kg, o app pede só uma confirmação da data. Nada é bloqueado nem pausado, e a mesma pergunta não se repete para as mesmas medidas. Por esse caminho, a data só pode ser corrigida para uma idade menor. A resposta fica no histórico, sem as medidas, e a equipe pode conferir quais contas confirmaram.
• Um adulto com e-mail confirmado pode avisar, em Menores sob sua responsabilidade, que a conta de um ID público é do filho ou da filha, com uma observação opcional. O aviso não pausa a conta: a equipe analisa. Se confirmar, corrige a data (a conta passa a precisar de autorização, e o pedido vai para o e-mail de quem avisou); se não, descarta. A resposta a quem avisou é sempre a mesma e não revela nada da outra conta. Cada decisão fica registrada.
• Para usar o acompanhamento de tirzepatida, a pessoa declara: “Declaro que tenho 18 anos ou mais e que uso tirzepatida com prescrição de um profissional de saúde.” A declaração tem versão e fica no histórico. Quem já registrava o tratamento continua vendo os próprios dados e declara uma vez antes de registrar algo novo.

Segundo responsável (acompanhante):

• Outro adulto, com e-mail confirmado, pode pedir para acompanhar o menor em Sua conta, na opção Acompanhar um menor pelo ID, usando o ID público do menor.
• O pedido vai para o responsável principal, que aprova ou recusa. Há no máximo um acompanhante por menor.
• O acompanhante vê o mesmo que o principal escolheu, só para leitura, incluindo a regra da idade: o que espera a concordância do adolescente também não aparece para ele.
• O principal pode remover o acompanhante, e o acompanhante pode sair a qualquer momento. Se a autorização principal terminar, o acompanhamento termina junto.

Regras próprias para menores:

• O tratamento com tirzepatida não está disponível. As telas de tratamento somem e o perfil não aceita marcar o uso.
• Não há fotos do corpo nem análise do corpo. Fotos enviadas antes da regra não aparecem na tela, mas continuam na exportação e podem ser apagadas.
• A IA adapta as sugestões à idade: o peso é avaliado pelo IMC para idade e sexo (curvas da OMS), ajuste na alimentação só é sugerido se esse critério indicar sobrepeso ou obesidade, e sempre com indicação de procurar um profissional.
• Compartilhar dados com outras pessoas só se o responsável permitir.
• O menor não troca a data de nascimento pelo app. Depois da aprovação, só o responsável principal corrige a data, informando o motivo, e o menor é avisado. Se houver erro, o menor pode pedir ao responsável ou em Sugestão ou erro? Me conta.
• Menores não contratam o plano pago pelo app: quem assina é o responsável principal, a partir da conta dele. Quando existirem anúncios, menores não verão anúncio personalizado, e menores de 13 anos não verão anúncio nenhum.
• Gravidez: a gestante menor de 18 anos vê as categorias de vídeos da gestação nos Treinos, mas não indica parceiro, e menor de 18 anos não pode ser parceiro de gestação de ninguém.
• Tharpa Walks: o menor pede ao responsável na tela do Walks, e o responsável principal autoriza ou recusa em Sua conta, lendo e marcando o texto da autorização. Só depois o menor liga o Walks, com o próprio aceite. O menor usa só a gravação (gravar, pelo celular ou pelo relógio, histórico, medalhas e evolução). O responsável principal e o acompanhante veem cada atividade (data, tipo, distância, tempo e o percurso sem o começo e o fim, pela zona de privacidade); só o principal autoriza ou retira. Se o responsável retirar a autorização, a gravação para na hora e o que já foi gravado fica guardado até o menor apagar (em Apagar meus dados do Walks) ou a conta ser apagada. Aos 18 anos a autorização termina junto com o vínculo, e a pessoa aceita o Walks por conta própria. Os trechos não existem para quem tem menos de 18 anos.
• Fotos, stories, publicações, linha do tempo, perfil do Walks, biografia, seguidores, listas de seguidores, busca, marcações, pedidos para seguir, curtidas, comentários, denúncias, bloqueios, o Chat e os planos de treino com outras pessoas não estão disponíveis para quem tem menos de 18 anos. O app não mostra fotos nem perfis de outras pessoas a menores, ninguém acha um menor pela busca (pelo nome, pelo código ou em Perto de mim) nem o vê nas sugestões de pessoas perto, ninguém conversa com um menor no Walks, ninguém marca um menor numa foto, e o servidor recusa o pedido.
• Menores de 18 anos não usam os Grupos do Walks nem os clubes: não criam nem entram em grupos ou clubes, não participam de desafios nem da conversa dos grupos, não compartilham atividades em grupos, não comentam nem veem comentários nos murais, não ganham medalhas e não aparecem para ninguém neles. Também não veem desafios patrocinados nem qualquer conteúdo de patrocinador.
• Menores de 18 anos não veem nem participam de desafios premiados.

Aos 18 anos, o vínculo termina sozinho e os responsáveis são avisados. A pessoa passa a decidir por conta própria e precisa aceitar esta Política de novo. Se a conta do responsável for apagada, a autorização termina e o menor precisa pedir outra.

11. Notificações e avisos

• Notificações no celular ou no navegador, só se você permitir: lembrete de água, parabéns no dia do aniversário (com o nome que você escolheu e a idade, nunca a data de nascimento) , avisos sobre autorização de responsável, mensagem nova no Chat do Walks (com a conversa fechada, "Nova mensagem de" e o primeiro nome, sem o conteúdo, no máximo uma a cada 5 minutos por conversa) e, se você ligar na tela Gravidez, uma dica por dia sobre a sua semana da gestação, no horário que escolher. Essa notificação mostra só "Sua dica do dia chegou", sem a palavra gravidez, porque pode aparecer na tela bloqueada; a dica fica dentro do app.
• No Walks e no plano: a conversa de um grupo manda um aviso "Nova mensagem em {nome do grupo}", sem o conteúdo, no máximo um a cada poucos minutos; um comentário novo numa foto ou publicação sua manda "Novo comentário de" e o primeiro nome, sem o texto, no máximo um por foto ou publicação a cada 5 minutos. A caixa de avisos (e a notificação, se você permitir) também avisa quando o prazo de um grupo é estendido, quando o grupo cumpre a meta ou termina sem ela (e que a conversa e o mural serão apagados em 30 dias), quando uma denúncia é decidida e, no teste grátis, quando faltar menos de 2 dias e quando ele terminar.
• Caixa de avisos dentro do app: análise pronta, leitura do check-in pela IA, recados da equipe do app e notícias de saúde publicadas no site do Tharpa Group e a dica do dia da gravidez.
• Parceiro na gravidez: se a gestante liberar os sinais de alerta e registrar um, o parceiro recebe uma notificação: "{nome} registrou um sinal de alerta: procure atendimento junto com ela". Ela pode aparecer na tela bloqueada do celular dele. Qual foi o sinal, ele vê só dentro do app.
• Você pode desligar o lembrete de água em Sua conta e bloquear as notificações nas configurações do celular ou do navegador.

12. Cookies e armazenamento no aparelho

O app em si não usa cookies nem ferramentas de rastreamento ou estatística. Ele guarda no seu próprio aparelho só o que precisa para funcionar:

• Sua sessão, para você não precisar entrar toda vez.
• O tema escolhido (claro ou escuro), o intervalo do lembrete de pesagem e o último suplemento usado.
• Se você já dispensou algumas mensagens de boas-vindas.
• A versão do aplicativo Android, durante o uso.
• Uma foto ainda não analisada (já cortada, no caso do corpo), por até 24 horas, para ela não se perder se o app fechar.
• A foto de cada análise de prato, por até 24 horas, para você poder refazer a análise. Ela só sai do aparelho de novo se você pedir para refazer.
• Para onde abrir o app quando você toca numa notificação.
• Se você fechou o aviso do teste grátis.
• Na troca para o endereço novo do app, as preferências acima são levadas uma vez do endereço antigo para o novo, junto com a sua sessão, por um código que vale 2 minutos.

Ao sair da conta, a sessão é apagada do aparelho.

Anúncios do Google (plano gratuito, a partir de 13 anos). Quando o app mostrar anúncios, o Google AdSense pode usar cookies e identificadores do aparelho para mostrar, limitar a repetição e medir os anúncios. O script do Google só é carregado nas telas que podem ter a faixa de anúncio, e nunca para menores de 13 anos; hoje ele também não é carregado no plano pago nem no teste grátis. Para adolescentes, e para adultos que não escolheram anúncios personalizados, o pedido vai marcado como não personalizado. Os cookies do Google seguem a política de privacidade do Google. Você muda a sua escolha em Sua conta › Cookies e anúncios.

13. Anúncios e pagamentos

O plano pago é cobrado pelo Mercado Pago, e o app não recebe nem guarda os dados do seu cartão. O teste grátis de 7 dias não pede cartão e não cobra nada.

O plano gratuito pode mostrar anúncios do Google AdSense, numa faixa fixa no rodapé de algumas telas, acima da barra de botões:

• Antes do primeiro anúncio, o adulto escolhe entre anúncios personalizados e não personalizados, num consentimento separado (Sua conta › Cookies e anúncios). Até escolher, valem os não personalizados.
• Menores de 13 anos não veem anúncios. De 13 a 17 anos, só não personalizados e adequados à idade.
• Não há anúncio nas telas de gravidez, ciclo, corpo, tratamento, chat com a IA, câmera e aceites.
• Seus dados de saúde nunca são usados para escolher anúncios, e o Tharpa Health não envia ao Google seus dados de saúde, fotos, medidas ou refeições.
• Hoje, o plano pago e o teste grátis não mostram anúncios.

14. Seus direitos

Você pode acessar, corrigir, exportar e apagar seus dados, e retirar o consentimento. A maior parte disso se faz no próprio app, em Sua conta. O documento “Seus direitos e a LGPD” explica cada direito e onde exercê-lo.

15. Mudanças nesta Política

Esta Política vale a partir de 15/09/2026. Ela será revisada por um advogado. Se mudar algo relevante, o app pede o seu aceite de novo antes de continuar.

Cada versão tem data. Quando houver mudança relevante, o app mostra a nova versão e pede o seu aceite antes de continuar. Se você não aceitar, pode apagar a conta pela própria tela de aceite.

16. Quem somos e contato

O Tharpa Health é um aplicativo de acompanhamento de saúde. O controlador dos dados é o Tharpa Group, empresário individual, CNPJ 50.150.833/0001-07.

Contato e pedidos sobre dados: [email protected]. O Encarregado pelo tratamento de dados pessoais (DPO) atende no mesmo e-mail.

Seus direitos e a LGPD

1. Seus direitos e onde exercê-los

Os caminhos abaixo ficam em Sua conta, salvo quando indicado.

• Saber se tratamos seus dados: sim, tratamos os dados que você registra. A Política de Privacidade lista todos.
• Acessar seus dados: tudo o que você registrou aparece nas telas do app. Para ter uma cópia completa, toque em Exportar meus dados.
• Corrigir dados: use Editar perfil (peso, meta, objetivo). Registros como refeições, água e sintomas podem ser corrigidos ou apagados na tela onde aparecem. A data de nascimento de menor de 18 anos é corrigida pelo responsável principal. O que não der para corrigir no app, peça em Sugestão ou erro? Me conta ou pelo e-mail.
• Portabilidade: Exportar meus dados gera um relatório formatado (HTML) com todos os seus registros, organizado por tipo e com datas, que abre no navegador e pode ser impresso ou salvo como PDF, para você guardar ou levar a outro serviço. As imagens das fotos do corpo não vão no arquivo por causa do tamanho, mas o arquivo diz quantas existem. Elas ficam no app, em Corpo, na Linha do tempo. Se precisar dos dados em outro formato, peça pelo e-mail.
• O parceiro na gravidez entra em Exportar meus dados: a gestante vê quem é (ou foi) o parceiro, desde quando, o que liberou e quando, e os sinais de alerta registrados; o parceiro vê de quem é (ou foi) parceiro e desde quando. Os dados da gestação não vão na cópia do parceiro.
• O ciclo menstrual entra em Exportar meus dados: os dias marcados, com o fluxo, e os registros de cada dia, inclusive as suas anotações. Eles saem na cópia mesmo que o módulo esteja desligado, porque continuam guardados até você apagá-los. É dado sensível: guarde o arquivo com cuidado.
• Eliminação: Apagar minha conta apaga seu cadastro e seus registros, na hora e sem volta. Uma foto do corpo pode ser apagada sozinha em Corpo, na Linha do tempo. Os dados do ciclo menstrual também podem ser apagados sozinhos, sem apagar a conta, em Privacidade e seus dados, em Ciclo menstrual, no botão Apagar meus dados do ciclo. Os dados da gravidez, inclusive as fotos da barriga, podem ser apagados sozinhos na tela Gravidez, no botão Apagar meus dados da gravidez. Os dados do Tharpa Walks podem ser apagados sozinhos na tela do Walks, no botão Apagar meus dados do Walks, e cada atividade pode ser apagada sozinha. O vínculo de parceiro na gravidez pode ser desfeito a qualquer momento, pela gestante (Gravidez › Parceiro) ou pelo parceiro (Gravidez › Sair do acompanhamento). Cada item liberado ao parceiro se desliga em Gravidez › Parceiro › O que {nome} vê, e cada sinal de alerta registrado pode ser apagado ali.
• As fotos do Walks entram em Exportar meus dados (com a imagem, a legenda, se está oculta, a situação na moderação e quantas curtidas recebeu), junto de quem você segue, de quem segue você, dos pedidos para seguir, das curtidas que você deu (nas fotos e nos stories, e os stories que você viu) e dos comentários que você escreveu (com o texto, em qual foto ou publicação e de quem; dos comentários nas suas fotos e publicações, só quantos são — o texto é de quem escreveu). Cada atividade publicada vem na cópia com a situação da publicação (oculta ou não, trajeto oculto ou não, moderação e data), sem coordenadas. A cópia traz também os grupos e desafios de que você participa (com a meta, o prazo, como o grupo terminou e a medalha), as atividades que você compartilhou nos murais e as mensagens que você mandou nos grupos e ainda não sumiram. Cada foto pode ser apagada sozinha em Walks › Perfil, e Apagar meus dados do Walks apaga também as fotos, as publicações, o perfil, os bloqueios, os seguidores e quem você segue, os pedidos, as curtidas e os comentários (os seus e os que estão nas suas fotos e publicações), tira você de todos os grupos e desafios, apaga as suas mensagens e medalhas e tira as suas atividades dos murais. Se você ligou "Aparecer para pessoas perto", a cópia traz a região guardada (o centro do quadrado), a data e cada vez que você ligou ou desligou a opção. Apagar meus dados do Walks apaga também a região. A cópia traz também a biografia, os seus ajustes do Walks, os stories no ar (a data e a situação; a imagem está no app enquanto o story estiver no ar) e as marcações que você fez e as em que foi marcado. A cópia traz os seus trechos do Walks (o nome, o desenho sem coordenadas, o melhor tempo e as passagens guardadas). Cada trecho pode ser apagado sozinho; as passagens saem também com a atividade de onde vieram; e tudo sai com Apagar meus dados do Walks e com a conta.
• A cópia traz as conversas do Chat do Walks (com quem) e as mensagens que você mandou e ainda não venceram; das fotos, só que foram mandadas (as imagens são temporárias e estão no app). As mensagens da outra pessoa não vêm: são dados dela. A cópia traz também os seus planos de treino.
• Saber com quem compartilhamos: a Política lista os prestadores. Em Outras pessoas você vê quem acompanha seu resumo e o que cada pessoa vê. Menores veem, na própria conta, quem é o responsável, o que ele vê e os pedidos esperando resposta.
• Saber o que acontece se não consentir: sem o consentimento, o app não pode tratar seus dados de saúde e não libera o uso. A tela de aceite oferece Recusar e apagar a conta.
• Retirar o consentimento: veja o item 2.
• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desacordo com a lei: peça pelo e-mail.
• Oposição a um tratamento que você considere irregular: peça pelo e-mail.
• Revisão de decisões automatizadas: as análises da IA são sugestões e não decidem nada sobre você. Se quiser que uma análise seja revista por uma pessoa, peça pelo e-mail.

2. Consentimento: como dar e como retirar

Na primeira vez que você usa o app, e sempre que a Política muda de forma relevante, aparece a tela Sua privacidade. Você marca que leu e concorda, e toca em Aceitar e continuar. O aceite fica registrado com a versão e a data, num histórico que não pode ser alterado sem que isso fique visível.

Você pode retirar cada autorização quando quiser:

• Consentimento da Política: em Sua conta, na seção Privacidade e seus dados, toque em Retirar consentimento e confirme. Se preferir, peça pelo e-mail. Para menores de 18 anos, quem retira é o responsável (item 4). A retirada é registrada no histórico. Sem consentimento, o app volta para a tela de aceite e não segue adiante; você pode aceitar de novo ou apagar a conta. Retirar o consentimento não apaga sozinho o que já foi registrado: para isso, use Apagar minha conta.
• Compartilhamento com outra pessoa: em Outras pessoas, desconecte ou pare de compartilhar. Refeições do dia e Sono podem ser desligados para cada pessoa, no bloco Quem vê o seu resumo.
• Consentimento do módulo de ciclo menstrual: em Sua conta, na seção Privacidade e seus dados, abra Ciclo menstrual e toque em Desligar o módulo. Desligar é a retirada desse consentimento: fica registrada no histórico, o ciclo sai das telas na hora e o app para de aceitar registro. Nada é apagado, e você pode ligar de novo quando quiser. Para apagar, use Apagar meus dados do ciclo, no mesmo lugar — são duas coisas separadas de propósito, para quem só quer sumir com a tela não perder o histórico sem querer.
• Concordância do adolescente (12 a 17 anos) com Sintomas, Check-in do dia, Sinais vitais ou Ciclo menstrual: em Sua conta, desfaça quando quiser, sem explicar. A categoria deixa de aparecer para o responsável e para o acompanhante.
• Dados do aparelho: em Meus aparelhos, desconecte o aparelho. Você também pode tirar a permissão nas configurações do Health Connect no celular.
• Notificações: desligue o lembrete de água em Lembrete de água (notificação), ou bloqueie as notificações nas configurações do celular ou do navegador. O aviso diário da gravidez se desliga no próprio interruptor, na tela Gravidez; ele também para sozinho quando você encerra o acompanhamento, desliga o módulo ou apaga os dados da gravidez.
• Autorização de responsável por menor: em Menores sob sua responsabilidade, abra o menor e toque em Retirar autorização. Quem é acompanhante toca em Deixar de acompanhar.
• Publicar as atividades com o trajeto (walks_trajeto_publico): em Walks › Perfil › ☰ Configurações e atividade › Privacidade do perfil, desligue "Publicar as atividades com o trajeto". As publicações saem da vista dos outros na hora; nada é apagado (para apagar, use Apagar a publicação ou Apagar meus dados do Walks).
• Guardar o batimento das atividades do relógio (walks_batimento_relogio): no cartão "Relógio (Wear OS)" da tela do Walks, desligue "Guardar o batimento das atividades do relógio". O app deixa de guardar o batimento das próximas atividades; nada é apagado (para apagar, apague a atividade, os dados do Walks ou a conta).
• Comentários da IA na gravidez (gestacao_ia): na tela Gravidez, desligue "Comentários da IA na gravidez". A IA deixa de receber a linha da gestação e as fotos da barriga na hora. O aceite também cai sozinho quando você encerra o acompanhamento, desliga o módulo ou apaga os dados da gravidez.

Retirar uma autorização não torna ilegal o que foi feito enquanto ela valia. Cada retirada também fica registrada.

3. Como falar com o Encarregado

• Escreva para [email protected]. No assunto, diga qual direito você quer exercer.
• Envie do e-mail cadastrado na conta e informe seu ID público (aparece em Sua conta, no formato TH-XXXX-XXXX). Isso ajuda a confirmar que o pedido é seu, sem pedir documentos. Se não tiver acesso a esse e-mail, podemos pedir outra forma de confirmação.
• Pelo app, você também pode escrever em Sugestão ou erro? Me conta. A mensagem chega com seu e-mail e seu ID.
• Respondemos o quanto antes. A confirmação de que tratamos seus dados e o acesso simples ficam disponíveis na hora, no próprio app. Uma declaração completa é enviada em até 15 dias, como prevê a lei.
• Os pedidos são gratuitos.

4. Direitos de menores de 18 anos

Menores de 18 anos têm os mesmos direitos. Como o consentimento é dado pelo responsável, alguns pedidos passam por ele:

• O responsável dá e retira o consentimento, em Sua conta, na seção Menores sob sua responsabilidade.
• O responsável escolhe o que acompanha e pode mudar isso a qualquer momento. O menor sempre vê, na própria conta, o que está sendo acompanhado.
• De 12 a 17 anos, Sintomas, Check-in do dia, Sinais vitais e Ciclo menstrual só aparecem para o responsável se o próprio adolescente concordar, em Sua conta. Ele pode recusar ou desfazer quando quiser, sem explicar (Política de Privacidade, item 10).
• Do ciclo menstrual, o responsável e o acompanhante veem só se está menstruando hoje, a previsão da próxima menstruação e a cólica do dia. A anotação livre nunca é compartilhada, em nenhuma idade.
• O próprio menor pode ver os próprios dados, exportá-los em Exportar meus dados e apagar a conta em Apagar minha conta, mesmo com a conta pausada.
• A cópia dos dados do menor traz as atividades do Walks (com o desenho do percurso, sem coordenadas) e cada pedido e resposta da autorização do Walks. A cópia do responsável traz cada decisão que ele tomou sobre o Walks do menor, sem as atividades.
• Pedidos sobre dados do menor podem ser feitos pelo responsável ou pelo menor pelo e-mail [email protected]. Pedidos do responsável são conferidos contra o vínculo registrado no app.
• Aos 18 anos, o vínculo termina automaticamente, e a pessoa passa a exercer todos os direitos sozinha, começando por um novo aceite da Política.

5. Reclamar à ANPD

Se você achar que seus direitos não foram respeitados, pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD), pelo site gov.br/anpd. Pedimos que fale com o Encarregado antes, porque assim resolvemos mais rápido, mas isso não é obrigatório.

Você também pode procurar os órgãos de defesa do consumidor.

6. Quem é quem

• Titular: você, a pessoa a quem os dados se referem.
• Controlador: Tharpa Group, empresário individual, CNPJ 50.150.833/0001-07, que decide como os dados são tratados no Tharpa Health.
• Encarregado (DPO): atende você e a Autoridade Nacional de Proteção de Dados (ANPD) pelo e-mail [email protected].
• ANPD: o órgão público que fiscaliza o cumprimento da LGPD.

Seus dados de saúde são dados sensíveis. Por isso a lei exige o seu consentimento e cuidados extras.