Política de Privacidade

1. Introdução e Compromisso com a Privacidade

A ListaFit ("nós", "nosso" ou "Plataforma"), acessível por meio do domínio listafit.app, é uma aplicação web que gera listas de compras a partir de prescrições nutricionais utilizando inteligência artificial. Este documento descreve como coletamos, utilizamos, armazenamos, compartilhamos e protegemos os dados pessoais dos usuários ("você" ou "Titular") em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD — Lei n. 13.709/2018) e demais normas aplicáveis a proteção de dados no Brasil.

Ao utilizar a ListaFit, você declara ter lido e compreendido esta Política de Privacidade. Caso não concorde com qualquer disposição aqui descrita, solicitamos que descontinue o uso da Plataforma.

2. Dados Coletados

Coletamos diferentes categorias de dados pessoais conforme a sua interação com a Plataforma:

2.1. Dados de Identificação e Autenticação

Ao realizar login por meio do Google OAuth, coletamos automaticamente:

• Nome completo;
• Endereço de e-mail;
• Foto de perfil (URL fornecida pelo Google).

Não temos acesso a sua senha do Google. A autenticação é realizada inteiramente pelo protocolo OAuth 2.0, e a ListaFit recebe apenas os dados listados acima.

2.2. Arquivos Enviados (Prescrições Nutricionais)

Para utilizar o serviço principal da Plataforma, você envia arquivos contendo prescrições nutricionais em formato PDF ou imagem. Esses arquivos podem conter:

• Nome do paciente e do nutricionista;
• Dados do plano alimentar (refeições, alimentos, quantidades);
• Eventuais informações de saúde presentes no documento (peso, altura, restrições alimentares).

Esses arquivos são armazenados no Supabase Storage e enviados a API da OpenAI para processamento por inteligência artificial (GPT-4o Vision). Tratamos esses dados como dados pessoais sensíveis nos termos do art. 5, II, da LGPD, quando contiverem informações relacionadas a saúde.

2.3. Dados de Pagamento

Para processar pagamentos via PIX, coletamos e enviamos ao nosso processador de pagamentos (AbacatePay):

• CPF ou CNPJ;
• Número de celular.

A ListaFit não armazena dados de CPF/CNPJ ou celular em seus próprios servidores. Esses dados são transmitidos diretamente ao AbacatePay para a finalização da transação.

2.4. Dados de Uso e Transações

Armazenamos internamente:

• Saldo de créditos da conta;
• Historico de transações (compra de créditos, uso de créditos para processamento de prescrições);
• Historico de prescrições processadas e dietas geradas.

3. Base Legal para o Tratamento de Dados

O tratamento dos seus dados pessoais fundamenta-se nas seguintes bases legais previstas no art. 7 da LGPD:

• Execução de contrato (art. 7, V): Os dados de identificação, arquivos enviados e dados de pagamento são necessários para a prestação do serviço contratado — isto é, o processamento da prescrição nutricional e a geração da lista de compras.
• Consentimento (art. 7, I e art. 11, I): O envio de prescrições nutricionais que possam conter dados de saúde (dados sensíveis) é realizado mediante o seu consentimento expresso, manifestado no ato do upload do arquivo. Você pode revogar esse consentimento a qualquer momento, conforme descrito na Seção 8.
• Interesse legitimo (art. 7, IX): Utilizamos dados de uso e transações para aprimorar a Plataforma, prevenir fraudes e garantir a segurança do serviço.
• Cumprimento de obrigação legal (art. 7, II): Podemos reter determinados dados para cumprimento de obrigações fiscais, contábeis ou regulatórias.

4. Finalidade do Tratamento de Dados

Os seus dados pessoais são tratados para as seguintes finalidades:

• Prestação do serviço: Autenticar sua identidade, processar prescrições nutricionais por meio de IA, gerar listas de compras personalizadas e gerenciar seu saldo de créditos.
• Processamento de pagamentos: Viabilizar a compra de créditos por meio de PIX, utilizando os dados transmitidos ao AbacatePay.
• Comunicação: Enviar notificações relacionadas ao serviço, como confirmações de pagamento ou alterações nos Termos de Uso.
• Segurança e prevenção a fraudes: Monitorar atividades suspeitas, prevenir abusos e proteger a integridade da Plataforma.
• Melhoria do serviço: Analisar dados agregados e anonimizados para aprimorar a experiência do usuário e a precisão do processamento de prescrições.
• Cumprimento de obrigações legais: Atender a requisições de autoridades competentes e cumprir obrigações fiscais e regulatórias.

5. Compartilhamento de Dados com Terceiros

A ListaFit compartilha dados pessoais com os seguintes prestadores de serviço, estritamente para as finalidades descritas nesta Política:

5.1. OpenAI (Estados Unidos)

As prescrições nutricionais enviadas por você são transmitidas a API da OpenAI (modelo GPT-4o Vision) para extração automatizada dos dados do plano alimentar. A OpenAI processa os arquivos de acordo com sua Política de Privacidade e Política de Uso de Dados da API. Dados enviados via API não são utilizados pela OpenAI para treinamento de modelos.

5.2. Supabase (Estados Unidos)

O Supabase e utilizado como infraestrutura de banco de dados (PostgreSQL), autenticação (Google OAuth) e armazenamento de arquivos (Storage). Todos os dados da Plataforma — incluindo informações de perfil, prescrições e dietas — são armazenados nos servidores do Supabase. O acesso aos dados é protegido por políticas de Row Level Security (RLS), garantindo que cada usuário acesse apenas seus próprios dados.

5.3. AbacatePay (Brasil)

O AbacatePay e o processador de pagamentos utilizado para transações via PIX. Os dados de CPF/CNPJ e celular informados por você são transmitidos diretamente ao AbacatePay para a criação e processamento da cobrança. A ListaFit não armazena esses dados.

5.4. Vercel (Estados Unidos)

A Plataforma é hospedada na Vercel, que pode ter acesso a logs de requisições HTTP contendo endereços IP, User-Agent e outros metadados técnicos. A Vercel processa esses dados conforme sua própria política de privacidade.

A ListaFit não vende, aluga ou comercializa seus dados pessoais com terceiros para fins de marketing, publicidade ou qualquer outra finalidade não descrita nesta Política.

6. Armazenamento e Segurança dos Dados

Empregamos medidas técnicas e organizacionais adequadas para proteger seus dados pessoais contra acesso não autorizado, destruição, perda, alteração ou qualquer forma de tratamento inadequado, incluindo:

• Comunicação criptografada via HTTPS/TLS em todas as transmissões de dados;
• Autenticação segura via OAuth 2.0 (sem armazenamento de senhas);
• Políticas de Row Level Security (RLS) no banco de dados, garantindo isolamento dos dados entre usuários;
• Variaveis de ambiente protegidas para chaves de API e credenciais de serviços terceiros;
• Middleware de autenticação que protege rotas privadas da aplicação.

Embora adotemos as melhores práticas de segurança disponíveis, nenhum sistema de transmissão ou armazenamento de dados é completamente inviolável. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos Titulares, a ListaFit comunicará a Autoridade Nacional de Proteção de Dados (ANPD) e os Titulares afetados, conforme disposto no art. 48 da LGPD.

7. Retenção de Dados

Os seus dados pessoais serão retidos pelos seguintes períodos:

• Dados de conta (nome, e-mail, foto): Mantidos enquanto a sua conta estiver ativa. Após a exclusão da conta, os dados serão eliminados em até 30 (trinta) dias, salvo obrigação legal de retenção.
• Prescrições nutricionais e dietas: Mantidas enquanto a conta estiver ativa ou conforme necessário para a prestação do serviço. Você pode solicitar a exclusão a qualquer momento.
• Dados de transações e pagamentos: Retidos pelo período de 5 (cinco) anos após a transação, em conformidade com obrigações fiscais e contábeis previstas na legislação brasileira.
• Logs e dados técnicos: Retidos por até 6 (seis) meses para fins de segurança e depuração.

Após o término do período de retenção ou mediante solicitação do Titular, os dados serão eliminados ou anonimizados de forma irreversível, exceto quando a retenção for necessária para cumprimento de obrigação legal ou regulatória (art. 16 da LGPD).

8. Direitos do Titular dos Dados

Nos termos do art. 18 da LGPD, você tem direito a, a qualquer momento, solicitar:

• Confirmação de tratamento: Confirmar se realizamos o tratamento de seus dados pessoais.
• Acesso aos dados: Obter uma cópia dos dados pessoais que mantemos sobre você.
• Correção: Solicitar a correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários: Requerer o tratamento adequado de dados excessivos ou em desconformidade com a LGPD.
• Portabilidade: Solicitar a transferência dos seus dados pessoais a outro fornecedor de serviço, conforme regulamentação da ANPD.
• Eliminacao dos dados: Solicitar a exclusão dos dados pessoais tratados com base no seu consentimento, exceto nas hipóteses de retenção previstas no art. 16 da LGPD.
• Informação sobre compartilhamento: Ser informado sobre as entidades publicas e privadas com as quais compartilhamos seus dados.
• Revogação do consentimento: Revogar o consentimento dado para o tratamento de dados pessoais a qualquer momento, mediante requisição expressa, sem afetar a licitude do tratamento realizado anteriormente.
• Oposição: Opor-se ao tratamento de dados realizado com base em hipóteses que não dependam de consentimento, caso haja descumprimento da LGPD.

Para exercer qualquer desses direitos, entre em contato conosco pelo e-mail nunesarthur.dev@gmail.com. Responderemos a sua solicitação no prazo de 15 (quinze) dias úteis, conforme previsto na legislação aplicavel.

9. Cookies e Tecnologias de Rastreamento

A ListaFit utiliza cookies estritamente necessários para:

• Autenticação: Manter sua sessão ativa após o login via Google OAuth (cookies de sessão do Supabase);
• Preferências: Armazenar preferências de interface, como o tema selecionado (claro/escuro).

A ListaFit não utiliza cookies de terceiros para fins de publicidade, marketing comportamental ou rastreamento cross-site. Não utilizamos ferramentas de analytics de terceiros como Google Analytics, Facebook Pixel ou similares.

Por se tratarem de cookies estritamente necessários ao funcionamento do serviço, não é requerido consentimento específico para sua utilização, conforme orientações da ANPD.

10. Transferência Internacional de Dados

Para a prestação do serviço, seus dados pessoais podem ser transferidos e processados em servidores localizados nos Estados Unidos da América, por meio dos seguintes prestadores:

• OpenAI: Processamento de prescrições nutricionais por inteligência artificial;
• Supabase: Armazenamento de dados e autenticação;
• Vercel: Hospedagem da aplicação e entrega de conteudo.

Essa transferência internacional de dados é realizada com fundamento no art. 33, II, da LGPD (quando o controlador oferecer e comprovar garantias de cumprimento dos princípios e direitos do titular), e no art. 33, IX (quando a transferencia for necessária para a execução de contrato entre o titular e o controlador). Os prestadores mencionados adotam medidas de segurança compatíveis com os padrões exigidos pela LGPD e por regulamentações internacionais de proteção de dados.

11. Dados de Crianças e Adolescentes

A ListaFit não é direcionada a crianças ou adolescentes menores de 18 (dezoito) anos. Não coletamos intencionalmente dados pessoais de menores de idade. Caso tomemos conhecimento de que dados de um menor foram coletados sem o consentimento adequado do responsável legal, adotaremos medidas imediatas para eliminar tais dados, em conformidade com o art. 14 da LGPD.

Se você é pai, mãe ou responsável legal e acredita que seu filho menor de idade forneceu dados a Plataforma, entre em contato conosco pelo e-mail indicado na Seção 13.

12. Alterações nesta Política de Privacidade

A ListaFit reserva-se o direito de atualizar esta Política de Privacidade a qualquer momento, para refletir mudanças em nossas práticas de tratamento de dados, em serviços de terceiros utilizados ou em exigências legais e regulatórias.

Em caso de alterações substanciais, notificaremos você por meio do e-mail cadastrado em sua conta ou por aviso destacado na Plataforma. A data da "Última atualização" no topo deste documento sera sempre revisada para refletir a versão vigente.

O uso continuado da Plataforma após a publicação de alterações constitui sua aceitação da Política de Privacidade atualizada.

13. Contato e Encarregado pelo Tratamento de Dados Pessoais

Para duvidas, solicitações ou reclamações relacionadas a esta Política de Privacidade ou ao tratamento de seus dados pessoais, entre em contato com o nosso Encarregado pelo Tratamento de Dados Pessoais (DPO):

Caso você entenda que o tratamento de seus dados pessoais foi realizado em desconformidade com a legislação vigente, você tem o direito de apresentar reclamação perante a Autoridade Nacional de Proteção de Dados (ANPD), por meio do site www.gov.br/anpd.