Política de Privacidade

Quem cuida dos seus dados

Esta política descreve o aplicativo Umdia e o site umdia.app. O Umdia é uma ferramenta de apoio comportamental e bem-estar para pessoas com 18 anos ou mais no Brasil. Os dados sobre recuperação são tratados como informações sensíveis de saúde.

A identificação dos responsáveis e o canal para pedidos de privacidade aparecem no quadro de contato desta página.

O que você informa e para quê

Usamos os dados que você fornece para manter sua conta, guardar sua jornada, mostrar seus próprios registros e oferecer as funções que você escolhe.

• Conta: e-mail, credenciais de acesso, confirmação de e-mail, declaração de maioridade, idioma e fuso horário. Servem para autenticação, recuperação de acesso e configuração da conta.
• Jornada: comportamento acompanhado, objetivo, início e períodos anteriores, humor, vontade, energia, gatilhos, diário, reflexões, compromissos, planos de apoio e datas marcadas. Servem ao acompanhamento pessoal e aos resumos descritivos.
• Estimativas financeiras: valores, frequência e moeda que você informa. Não acessamos sua conta bancária nem usamos essas estimativas para avaliar crédito.
• Contatos de apoio: nome, canal de contato e relação opcional que você digita para acessar uma pessoa de confiança. Este fluxo não importa a agenda do aparelho. Evite cadastrar informações desnecessárias de outras pessoas.
• Preferências e atividades locais: aparência, nome privado, foto escolhida, lembretes e histórico do quiz. Algumas informações, como o histórico do quiz, não são sincronizadas entre aparelhos.
• Segurança e escolhas: identificadores de instalação e sessão, registros de aparelhos, chaves públicas e histórico de consentimentos. Servem para proteger o acesso e registrar suas decisões.
• Comunidade: nome público, arroba, foto opcional, publicações, respostas, aceite das diretrizes, denúncias, bloqueios, pedidos de novos espaços e pedidos de revisão, com os motivos, estados e datas correspondentes. Esses dados servem à participação escolhida, à exibição de conteúdo e aos controles de segurança e moderação quando a função estiver disponível.

O que fica no aparelho e o que vai para a conta

O app mantém dados no aparelho para funcionar com continuidade, inclusive sem conexão. Criar ou acessar uma conta envia os dados necessários à autenticação. O envio da jornada depende do consentimento e da confirmação de vínculo com a conta; falhas de rede podem deixar alterações pendentes de sincronização.

O conteúdo da jornada sincronizada é cifrado no aparelho antes do envio. Textos privados usam armazenamento protegido ou são guardados cifrados. A recuperação de conteúdo em outro aparelho depende da conta, da sincronização e dos controles de segurança; registros que não chegaram ao servidor podem não ser recuperáveis.

O Umdia configura o iOS para excluir os arquivos locais da jornada e as fotos do backup do aparelho. Não conte com o iCloud para recuperar esses arquivos. Esse controle não comprova a remoção de cópias antigas; a recuperação por meio da conta depende da sincronização e dos controles de segurança descritos acima.

A recuperação das chaves é assistida pelo servidor. Não prometemos que somente você tenha possibilidade técnica de acesso, nem que este seja um sistema de conhecimento zero. Os controles de acesso e a operação do serviço de chaves precisam corresponder ao que é descrito na versão final desta política.

A foto escolhida para uso privado fica no aparelho. Associá-la ao perfil da Comunidade é uma escolha separada que pode enviar uma cópia ao servidor quando essa função estiver disponível. Nome público, arroba e foto de Comunidade não devem ser confundidos com os registros privados de recuperação.

O conteúdo que você escolhe enviar à Comunidade segue um fluxo separado dos registros privados. Publicações, respostas e fotos podem ser acessadas pelo serviço para exibição e moderação; não recebem o mesmo envelope cifrado da jornada antes do envio. Enviar conteúdo não garante sua publicação.

Consentimento e funções opcionais

O tratamento dos registros de recuperação depende de uma escolha específica, registrada com finalidade, versão e data. O consentimento para dados de saúde é separado da permissão de notificações. Você pode consultar e retirar sua permissão em Dados e privacidade.

Na implementação atual, retirar a permissão de saúde conduz à exclusão dos dados locais ou, quando existe vínculo remoto, ao fluxo de exclusão da conta. Apagar apenas o aparelho não retira a cópia mantida na conta.

Lembretes locais dependem da sua escolha e das permissões do sistema. Notificações remotas não estão ativas na candidata examinada. O componente OneSignal está presente, mas exige configuração e consentimento antes do uso; a localização está desabilitada no adaptador do app.

Não há publicidade comportamental, analytics de uso ou envio automático de relatórios de falha configurados no aplicativo examinado. Isso não significa ausência de registros técnicos de segurança, de acesso ao site ou de entrega de e-mails nos serviços que o atendem.

Dados usados na assinatura

O fluxo de assinatura Apple está implementado localmente, mas a venda e sua operação com produto real ainda dependem de validação. Quando usado, o fluxo associa a compra a um identificador da sua conta Umdia enviado à Apple e consulta o produto, a elegibilidade à oferta e o estado e a validade da assinatura para conferir o acesso Pro.

A Apple processa o pagamento. O Umdia não coleta os dados do seu cartão neste fluxo nem envia os registros de recuperação à Apple para verificar a assinatura. O vínculo da compra à conta serve ao acesso e à restauração, sem finalidade publicitária.

Na implementação examinada, a confirmação do acesso Pro é mantida em memória pelo aplicativo e verificada novamente durante o uso. A integração de verificação com o servidor Umdia foi implementada e testada localmente, mas ainda não está ativada em produção nem validada com compras reais. Nessa integração, provas assinadas são verificadas e o servidor conserva metadados da assinatura e seu vínculo à conta, inclusive após a exclusão para impedir reutilização não autorizada e conciliar pedidos de recuperação. O prazo e as condições dessa retenção ainda precisam ser definidos e conferidos antes da operação comercial. Excluir a conta Umdia não cancela a assinatura nem apaga os registros de compra na Apple.

Recuperar uma assinatura depois de excluir a conta é diferente de usar Restaurar compras na mesma conta. O procedimento separado exige confirmação de titularidade e não recupera os registros excluídos da jornada. Está implementado e testado localmente; sua validação com a Apple e as condições finais de retenção continuam pendentes.

Compartilhamento e serviços externos

Não vendemos seus registros de recuperação nem os destinamos a anúncios. A operação depende de serviços de hospedagem do site e da API, armazenamento e entrega de e-mails de confirmação e recuperação. A lista final de operadores, países e garantias de transferência internacional precisa estar confirmada antes da publicação desta política.

O site do Umdia usa a Cloudflare. A API e seu banco de dados são hospedados na Hostinger, na região de São Paulo, Brasil. Usamos o Resend para enviar e-mails de confirmação de conta e recuperação de acesso. Esse serviço recebe o endereço de destino e o conteúdo necessário à mensagem de autenticação. Os registros privados de recuperação não fazem parte dessas mensagens. Conforme a documentação do Resend consultada em 23/10/2026, os dados armazenados pelo serviço ficam nos Estados Unidos; a região de envio escolhida para o domínio não altera esse local de armazenamento. A Resend declara análise amostral de e-mails para segurança, sem treinamento; não corresponde à integração planejada de suporte.

Existe também um fluxo preparado para avisar a equipe sobre solicitações de novos espaços da Comunidade. Quando habilitado, o aviso contém o identificador e a data do pedido, sem o tema ou o e-mail do solicitante. Sua ativação na implantação ainda não foi confirmada. Esse aviso interno não é uma notificação de decisão de moderação ao participante.

O e-mail de suporte usa o Hostinger Mail. A conexão planejada com o ChatGPT ainda não foi concluída. O fluxo pretendido é permitir a leitura das mensagens e a sugestão de respostas pelo ChatGPT, com revisão dos responsáveis antes do envio. Antes de ativar essa conexão, é preciso conferir as permissões de acesso e as condições de tratamento e retenção dos terceiros envolvidos.

A exportação gera um arquivo no aparelho. Ao compartilhar esse arquivo ou uma imagem de progresso, você escolhe o destino pela ferramenta do sistema; a cópia passa a seguir também as regras do destinatário. Confira a prévia e os campos selecionados antes de enviar.

Ao tocar em um telefone de ajuda, endereço externo ou link de e-mail, você passa a usar o serviço escolhido. Não envie ao suporte por e-mail senhas, códigos de verificação, chaves, documentos ou relatos pessoais da sua jornada.

Por quanto tempo os dados ficam guardados

Os registros locais permanecem até a exclusão no app ou a remoção dos arquivos da instalação. Alguns itens protegidos pelo sistema podem sobreviver à desinstalação; o aplicativo possui limpeza de vestígios na reinstalação. Desinstalar o app não exclui sua conta no servidor.

Excluir a conta inicia a remoção remota e a limpeza local conforme as etapas mostradas no app. Na implementação verificada, isso remove os registros sincronizados da jornada e suas chaves e revoga o acesso, mas conserva comprovantes de consentimento e exclusão, eventos de auditoria, sessões revogadas e alguns metadados da conta. Retirar o nome e o e-mail desses registros não os torna automaticamente anônimos. A política específica de prazo e descarte desses comprovantes ainda está em revisão; não afirmamos eliminação imediata de todas as cópias.

O Umdia adotou como metas uma janela de 30 dias para backups próprios e até 30 dias para logs exclusivamente de diagnóstico. A implantação e a verificação dessas rotinas ainda não foram concluídas. Esses prazos não se aplicam automaticamente a auditoria, registros de acesso, incidentes, compras ou cópias mantidas pelos fornecedores. A versão final informará as regras efetivamente operadas; este rascunho não promete que todas as cópias já sejam descartadas em 30 dias.

O Umdia definiu para os atendimentos comuns do suporte a retenção por até 60 dias corridos após o encerramento do atendimento. Reabrir o mesmo assunto inicia novo prazo somente após o novo encerramento. Dados e anexos desnecessários devem ser removidos antes; pedidos de exclusão podem ser atendidos antes do limite. Obrigações legais ou disputas concretas podem exigir conservar somente o necessário, com motivo documentado, acesso restrito e revisão.

O descarte deve abranger mensagens recebidas, enviadas, anexos, demais cópias operacionais acessíveis à equipe e Lixeira. Essa é uma regra do Umdia, não um prazo de retenção da Hostinger. O descarte manual deverá integrar a conferência diária do suporte; sua execução ainda precisa ser validada. A retenção e a exclusão dos backups mantidos pelo provedor de e-mail ainda precisam ser confirmadas. Antes da conexão planejada com o ChatGPT, também será necessário conferir a retenção e a exclusão de eventuais registros da IA e dados derivados.

Uma retomada encerra um período e inicia outro, preservando a história. Isso não é uma exclusão. Arquivos que você exportou ou enviou a terceiros não são apagados quando a conta é excluída.

Acesso, correção, exportação e exclusão

Você pode pedir confirmação do tratamento, acesso, correção, informações sobre compartilhamento, portabilidade, eliminação e revogação do consentimento, conforme a LGPD e as condições aplicáveis. Para solicitações que não consegue concluir no aplicativo, escreva para o canal de privacidade indicado nesta página. Informe qual direito deseja exercer e as categorias envolvidas, sem enviar o conteúdo do diário. O atendimento desses direitos é gratuito.

Em Dados e privacidade, você pode exportar as categorias selecionadas deste aparelho. A opção Exportar dados da conta solicita nova confirmação de identidade e reúne os dados mantidos no servidor, incluindo cadastro, consentimentos, participação na Comunidade, assinaturas e registros administrativos próprios. Os registros privados sincronizados continuam cifrados nesse arquivo; a exportação do aparelho fornece os textos locais legíveis. Apagar dados deste aparelho e excluir a conta são ações diferentes; confira a explicação antes de confirmar.

Alguns registros não têm edição ou exclusão individual na interface atual. Para esses casos, solicite a análise pelo canal de privacidade. Podemos precisar confirmar sua identidade de forma proporcional para proteger seus dados; não envie senha, código de login, chave de recuperação ou documento de identidade no primeiro contato.

Para confirmação e acesso, a LGPD prevê resposta simplificada imediata ou declaração completa em até 15 dias, conforme aplicável. Quando não for possível atender de imediato outro pedido, a resposta deve explicar o motivo e as providências cabíveis. Esse prazo de 15 dias não é um prazo universal para qualquer solicitação nem substitui outras regras aplicáveis.

Você também pode procurar a Agência Nacional de Proteção de Dados (ANPD). O uso por crianças e adolescentes não integra o público do produto; comunique situações desse tipo pelo canal de privacidade.

Segurança e atualizações

A comunicação do aplicativo com a API usa conexões cifradas, proteção de sessão e controles por conta. Nenhum sistema elimina todos os riscos: proteja seu aparelho, senha e e-mail, e confira os destinos dos arquivos que compartilhar.

A política será atualizada quando as práticas mudarem. A versão e a data de vigência permitem identificar o texto aplicável. Alterações que exijam um novo consentimento precisam ser apresentadas antes do tratamento correspondente. A versão de rascunho desta página não modifica o consentimento já registrado no app.