Política de privacidade do Aldeo

Versão 1 · 6 de outubro de 2026

Esta política vale para a versão de teste do Aldeo, distribuída pelo teste interno da Google Play só para pessoas convidadas, e descreve o que essa versão faz hoje.

1. Responsável e contato

O responsável pelos dados (controlador) é Renan Guilherme Rodrigues, que também é o encarregado pelo tratamento de dados pessoais (LGPD, art. 41). Para qualquer assunto de privacidade, escreva para [email protected].

2. O que coletamos e para quê

Conta e família. E-mail, senha (guardada de forma ilegível), nome, nome de exibição, foto opcional da galeria (enviada sem a localização), a família, os membros, os papéis, os convites e as tentativas de usá-los (contra quem tenta adivinhar o código). Servem para criar a conta e mostrar você à família.

Localização (Por perto). Com a permissão do Android, o app coleta a localização precisa do celular, inclusive com o app fechado, por um serviço com notificação fixa. Junto vão a precisão, o horário, a velocidade, a direção, a bateria e o tipo de deslocamento (do sensor de atividade física). O Wi-Fi dos locais salvos e o Bluetooth do carro ajudam a perceber chegadas e saídas, sem guardar o nome da rede, e podem ser desligados em Ajustes do rastreamento. A localização serve para mostrar você no mapa da família, avisar chegadas e saídas dos locais salvos e atender o "Atualizar agora" e o acompanhamento ao vivo. Sem a permissão, você não aparece no mapa, e o resto do app funciona.

Os outros participantes do Por perto da família (responsáveis, adultos e menores autorizados; convidados não participam) veem a sua última posição, a bateria, a velocidade e o tipo de deslocamento. O trajeto dos últimos 7 dias fica guardado, mas eles só o veem se você ligar "Permitir histórico".

Ao entrar numa família, o compartilhamento já vem ligado. Para parar:

• Pausar (só adultos), na notificação fixa: a coleta para e a família deixa de ver onde você está, até você tocar em "Localização pausada", no Por perto.
• Tirar a permissão de localização nos ajustes do Android: a família ainda vê a última posição enviada, marcada como antiga, por até 7 dias.

"Excluir histórico", em Configurações, apaga o seu trajeto, as suas chegadas e saídas e a sua posição atual, em todas as famílias. A localização para no celular até você abrir o app de novo.

Para descobrir por que o rastreio parou, coletamos dados técnicos: um identificador do aparelho criado pelo app, a fabricante, as versões do Android e do app, os ajustes de bateria, notificações e permissões e quando o serviço parou.

Avisos dos bancos (acesso às notificações). Só com o recurso ligado e o acesso dado nos ajustes do Android. O app recebe as notificações do celular, mas só procura valores em R$: usa as dos apps de banco e de vale que você escolheu e, das outras com R$, guarda no celular só o nome do app, para sugerir incluí-lo; o resto é ignorado. Para ligar a compra ao gasto, vão ao servidor o app, o horário, o valor, o estabelecimento, o tipo de compra, o meio de pagamento, os 4 últimos dígitos do cartão e um trecho do texto, sem e-mail, CPF, CNPJ, telefone, links e números longos. Só você vê os seus avisos, a menos que ligue "Compartilhar meus avisos" para os outros adultos; menores nunca veem. Você pode parar de ler e apagar os avisos quando quiser.

Gastos, notas fiscais e listas. Guardamos os gastos, as categorias, os limites, as listas, as faturas, as fontes de pagamento (com titular, saldo e limite) e os cartões (apelido e banco, nunca o número), com quem criou ou marcou cada item. A câmera serve só para ler o QR Code da nota fiscal, e a imagem não sai do celular; com o código, o app baixa a nota no portal da Secretaria da Fazenda de São Paulo e guarda a loja, os itens, os valores e as formas de pagamento.

Ditado por voz (microfone). O microfone só liga quando você toca no botão, por até 30 segundos, e o primeiro uso traz um aviso. O áudio vai a um servidor de transcrição que roda num computador de outra empresa, que usamos para isso, e volta como texto, sem ser guardado. Se esse servidor estiver fora do ar, o áudio pode ir ao Groq, mas só se você concordou no aviso. Só adultos podem concordar, e a concordância se retira em Configurações › Ditado por voz. Guardamos a versão do aviso aceito, as datas de concordância e de retirada e, por 40 dias, quem usou o ditado e quando.

Ouvir (leitura em voz alta). Livros e textos ficam no celular, e o reconhecimento do texto das páginas é feito nele. Se você autorizar a voz online, os trechos a ler vão ao Google para virar áudio, e guardamos só quanto cada pessoa usou.

Inteligência artificial (Google Gemini). Nas listas, os nomes de produtos e categorias vão ao Gemini para sugerir a categoria; isso vem ligado, e um adulto pode desligar em Organizar categorias. Nos gastos, as descrições vão ao Gemini quando um adulto pede uma sugestão ou autoriza a classificação automática das notas, com e-mails, links e números longos mascarados. Se o adulto aceitar o termo mais amplo, vão também a loja, o valor e a quantidade.

3. Com quem compartilhamos

Não vendemos dados, não mostramos anúncios e não usamos serviços de publicidade ou de análise de comportamento. Além da sua família no app, conforme os papéis e os seus ajustes, os dados só vão a:

• Supabase: servidor, banco de dados, login e arquivos.
• Google:
  • Firebase Cloud Messaging, que entrega as notificações pelo identificador do aparelho e, nos avisos de chegada e saída, leva o seu nome e o do local;
  • Maps, que recebe a região do mapa na tela;
  • Geocoder do Android, que recebe o texto da busca de endereço com a região em volta do centro do mapa (que pode ser a posição de alguém da família) e a posição do membro cuja rua o app mostra;
  • ML Kit, que lê o QR Code e o texto no celular e só manda ao Google dados técnicos de uso;
  • Gemini e voz online, como descrito acima.
• Computador de outra empresa, que usamos para a transcrição: o áudio do ditado passa por ele e não é guardado.
• ngrok: leva o áudio do ditado até esse computador e, no caminho, tem acesso ao áudio.
• Groq: reserva do ditado, só para adultos que concordaram, com retenção zero ligada.
• Secretaria da Fazenda de São Paulo: recebe a chave da nota fiscal.
• huggingface.co e github.com: recebem o seu endereço IP quando você baixa uma voz para usar sem internet.
• Cloudflare: hospeda o site onde fica esta política e recebe o endereço IP de quem o visita. Também repassa ao Gmail (Google) os e-mails enviados para [email protected]. O site não usa cookies nem análise de visitas.

O botão "Como chegar" abre o Google Maps com a posição da pessoa como destino. Também entregamos dados às autoridades quando a lei ou a Justiça exigir.

Fora do Brasil. O banco de dados fica em São Paulo. Google, ngrok, Groq, Cloudflare, huggingface.co e github.com podem tratar dados fora do país, principalmente nos Estados Unidos, assim como algumas funções do servidor da Supabase. O áudio só vai ao Groq com o seu consentimento específico (LGPD, art. 33, VIII).

4. Segurança

Todo envio usa conexão cifrada (HTTPS). No servidor, regras de acesso limitam cada família aos próprios dados, e cada pessoa ao que o papel dela permite. No celular, ficam cifrados a sessão, as posições que esperam internet e os avisos dos bancos, e o backup do Android não copia os dados do app. Se um incidente puder trazer risco ou dano relevante, avisamos as pessoas afetadas e a Autoridade Nacional de Proteção de Dados (ANPD).

5. Por quanto tempo guardamos

• Trajeto, última posição, chegadas e saídas: 7 dias.
• Acompanhamento ao vivo: 24 horas depois do fim.
• Pedidos de "Atualizar agora": 2 dias.
• Avisos dos bancos: 90 dias no servidor; no celular, até 30 dias, enquanto esperam o envio.
• Resultado da IA nos gastos: 24 horas.
• Identificador de notificações: até você sair da conta ou passar 60 dias sem uso.
• Uso do ditado: 40 dias.
• Todo o resto: enquanto a conta existir ou até você pedir a exclusão.

Registros técnicos do servidor (como endereço IP e horário) e cópias de segurança ficam com a Supabase, pelo prazo dela. Ao sair da conta, o app apaga do celular os dados da conta, menos a biblioteca do Ouvir.

6. Seus direitos

Pela LGPD (art. 18), você pode pedir a confirmação do tratamento, o acesso, a correção, a anonimização, o bloqueio ou a eliminação de dados desnecessários, a portabilidade, a eliminação dos dados tratados com consentimento, a informação sobre o compartilhamento e sobre o que acontece se você não consentir, e a revogação do consentimento. Também pode reclamar à ANPD.

Além dos controles descritos acima, o app permite remover a foto e desligar a voz online. Excluir a conta, sair da família e apagar outros dados ainda não têm botão: peça em [email protected]. Na exclusão da conta, apagamos os seus dados pessoais ou tiramos deles o que identifica você; listas e gastos da família podem continuar com ela, sem o seu nome, e guardamos só o que a lei obrigar.

7. Crianças e adolescentes

O app é para pessoas a partir de 13 anos; quem tem menos de 13 só usa com uma conta criada pelo responsável. O app não pergunta a idade: quem tem menos de 18 é cadastrado por nós como adolescente ou criança, a pedido do responsável.

A localização do menor só liga depois que um responsável autoriza, em Configurações, e o responsável pode desligá-la quando quiser. O menor não pausa, não apaga o histórico e não para de compartilhar com os responsáveis, que sempre veem a localização dele, recebem os avisos de chegada e saída e veem o diagnóstico do rastreio do celular dele. O áudio do ditado de um menor nunca vai ao Groq, e menores não veem os avisos dos bancos de outras pessoas.

8. Mudanças

Quando o app mudar, esta política muda junto, neste mesmo endereço e com a data atualizada, e avisamos as pessoas convidadas.