Política de privacidade

Também disponível em English Deutsch Español Français Italiano 日本語

Vigente em 8 de novembro de 2026 · Última atualização em 9 de novembro de 2026

Onederland é um app de acompanhamento de peso e medicamentos GLP-1. Esta política abrange iPhone, iPad e Android, incluindo testes de Android antes do lançamento público. Onederland é operado por Micktron LLC (“nós” ou “nosso”), que é responsável pelos dados pessoais descritos nesta política. Ela explica o que permanece no seu celular, o que sai dele, quem recebe, por que, por quanto tempo e suas escolhas. Na App Store, Onederland está publicado atualmente sob a conta de desenvolvedor de Steven Giles enquanto essa conta é transferida para Micktron LLC.

Versão resumida

O que você registra (doses, pesos, alimentos, notas, efeitos colaterais, configurações) é armazenado no seu celular, e os recursos abaixo enviam partes disso para fora do aparelho. Backups vão para o seu próprio iCloud Drive (apenas iPhone) ou para um arquivo que você salva; não temos acesso a nenhum dos dois.
Alguns recursos enviam dados para fora do seu celular para funcionar, e os recursos de IA pedem sua permissão primeiro: o insight diário envia um resumo dos seus dias recentes para um provedor de modelo de IA, após você permitir; o registro de alimentos por IA envia a descrição ou foto da sua refeição para um provedor de modelo de IA, após você permitir; a comparação corporal 3D envia suas duas fotos corporais para um serviço 3D, após você permitir.
Se você fizer login, manteremos o ID da sua conta Apple ou Google, e o nome e e-mail que a Apple ou o Google compartilham conosco.
Usamos serviços para estatísticas (que você pode desativar no app), relatórios de erros e assinaturas. Linkrunner e RevenueCat também compartilham eventos de instalação, registro, teste e assinatura, além de informações de correspondência com parceiros de publicidade para medição e atribuição de anúncios, conforme descrito na seção 2. Não enviamos dados de saúde ou de medicamentos para redes de publicidade.
iPhone: Quando você abre o link de convite de um amigo, antes do app ser instalado, a solicitação do seu navegador vai para o Linkrunner, nosso serviço de links e atribuição, com seu endereço IP, o user agent do seu navegador e o código de indicação do amigo presente no link. Sem a sua permissão de acompanhamento, o app não envia nada ao Linkrunner, e um link de convite não pode ser associado à sua instalação. Somente se você permitir o acompanhamento, o app executa uma verificação de instalação que pergunta ao Linkrunner se um link de convite ou anúncio o trouxe, para que o código de indicação de um amigo chegue ao app, e contata o Linkrunner toda vez que inicia. Ele então envia os detalhes do seu dispositivo, o ID do fornecedor, um ID de instalação, um token de atribuição da Apple, seu identificador de publicidade, o ID da sua conta após o login, os links que você abre nas telas do Onederland Plus e seu endereço IP, a partir do qual o Linkrunner calcula sua localização aproximada (a seção 2 os lista).
Acompanhamento no Android: somente se você permitir no app, o Linkrunner recebe detalhes do dispositivo e da instalação, seu endereço IP, o ID da sua conta após o login e os links que você abre nas telas do Onederland Plus (seção 2). Nunca enviamos seu ID de publicidade. Sem permissão, o app não envia nada ao Linkrunner. Abrir um link de convite no seu navegador ainda envia a solicitação descrita acima.
Nunca vendemos seus dados e nunca usamos dados de saúde para publicidade.

1. Dados armazenados no seu celular

O app mantém um banco de dados no seu celular com o que você registra e o que ele lê do Apple Health (iPhone) ou Health Connect (Android) com a sua permissão:

doses e suas notas;
pesos e medidas corporais, pressão arterial, glicose no sangue;
alimentos, água e nutrição;
sono, passos e outras atividades;
notas, check-ins e efeitos colaterais;
metas, lembretes e configurações;
insights diários;
comparações 3D.

Estão protegidos pela proteção de dados do seu iPhone ou, no Android, pelo armazenamento privado do app, pelo sandbox do Android e pela criptografia de armazenamento do seu celular. Relatórios (PDF, CSV) e imagens de compartilhamento são criados no seu celular e só saem dele quando você os compartilha.

iPhone: Backups. Quando você toca em "Fazer backup agora", o app grava um arquivo de backup de tudo o que você registrou, incluindo as fotos e modelos 3D mantidos no seu iPhone, na pasta do app no seu próprio iCloud Drive. Você também pode exportar um para Arquivos. Esses arquivos estão na sua conta do iCloud, sob seu controle; nós não temos acesso a eles.

iPhone: Fotos e modelos 3D. A comparação corporal 3D salva suas fotos e modelos no seu iPhone. Se você ativar "Salvar no iCloud Drive" na tela de comparação corporal 3D, ele salvará os novos no seu iCloud Drive. A chave fica desativada, a menos que seu iCloud Drive já contenha comparações 3D de uma versão anterior do app; nesse caso, ela permanece ativada e a tela informará isso.

Apple Health. O app lê apenas os tipos que você permitir:

peso, altura e composição corporal;
pressão arterial e glicose no sangue;
passos, distância, energia ativa e minutos de exercício;
sono;
nutrição e água;
sexo e data de nascimento.

Ele grava de volta o peso, a pressão arterial, a alimentação e a água que você registra, a menos que você desative isso nas Configurações. No iOS e iPadOS 26.5, ele não lê nem grava a pressão arterial. Por conta própria, o app envia dados do Apple Health para fora do seu celular apenas no resumo do insight diário, depois que você permite o insight (seção 2); caso contrário, eles saem apenas em relatórios, imagens de compartilhamento e backups que você escolha fazer ou compartilhar. Nunca são usados para publicidade ou marketing e nunca são vendidos.

Backups no Android. Configurações › Backups salva um arquivo dos seus dados registrados, incluindo fotos e modelos 3D locais, em um local escolhido por você, como o Google Drive. O app não se conecta ao seu Drive; você controla o arquivo e nós não podemos acessá-lo. O backup automático na nuvem do Android e a transferência de dispositivo para dispositivo estão desativados para o Onederland. Nada é copiado para sua Conta do Google, a menos que você mesmo salve um arquivo lá.

Fotos e modelos 3D no Android. Os arquivos são salvos no armazenamento privado do app, sem pasta na nuvem. Além de enviar fotos escolhidas para gerar uma comparação com sua permissão (seção 2), esses arquivos locais saem do celular apenas quando você escolhe compartilhá-los ou fazer backup. O seletor de fotos do Android concede ao app acesso apenas às fotos que você selecionar.

Health Connect (Android). Cada tipo requer sua permissão: peso, altura, gordura corporal e massa magra; pressão arterial e glicose; passos, distância, energia ativa e sessões de exercício; sono; nutrição e hidratação. O app grava o peso, a pressão arterial, a alimentação e a água que você registra, a menos que seja desativado nas Configurações. A leitura em segundo plano e o acesso a dados com mais de 30 dias são permissões opcionais. Esses registros aparecem ao lado das suas doses e peso registrados e auxiliam em previsões, relatórios e no insight diário. Por conta própria, o app envia dados do Health Connect para fora do seu celular apenas no resumo do insight, depois que você permite (seção 2); caso contrário, eles saem apenas em relatórios, imagens ou backups que você escolha fazer ou compartilhar. Nunca são usados para anúncios ou marketing, vendidos ou compartilhados com plataformas de publicidade, corretores de dados ou revendedores. A cópia do app é armazenada localmente e removida ao redefinir ou desinstalar. Gerencie o acesso e exclua os dados que o app gravou em Health Connect › Permissões do app › Onederland (o caminho varia conforme o celular).

Permissões do Android. Notificações (Android 13+) auxiliam nos lembretes de dose e refeição; Alarmes e lembretes permitem horários exatos de lembretes, caso contrário, os horários são aproximados; Câmera auxilia em leituras de código de barras e fotos de refeições. Estas são solicitadas no contexto. Altere as notificações e o acesso à câmera em Configurações do Android › Apps › Onederland, e o acesso ao alarme em Configurações › Apps › Acesso especial a apps › Alarmes e lembretes. Iniciar na inicialização restaura os lembretes após reiniciar ou alterações de horário. Internet e estado da rede conectam-se aos serviços abaixo; o Google Play Billing gerencia compras e restauração, e o install referrer do Play auxilia na atribuição após o consentimento. Essas permissões normais não possuem um aviso de tempo de execução separado. As permissões do Health Connect são controladas separadamente, conforme descrito acima. O app não solicita a permissão de ID de Publicidade.

2. Dados que saem do seu celular, por recurso

Recurso	O que é enviado	Quem recebe	Por que	Por quanto tempo é mantido
Insight diário (aba Onederland), apenas depois que você permite	Até 7 dias de totais diários (calorias, proteínas, carboidratos, gorduras, fibras, água, passos, energia ativa, minutos de exercício, minutos e estágios do sono); sua unidade de peso, altura, peso mais recente, inicial e meta, sexo, idade em anos, medicamento, dose e intervalo de dosagem, e configurações de meta; sua última dose, a de hoje e a próxima; efeitos colaterais que você registrou (com quaisquer palavras digitadas em "Outro"); humor e energia do check-in; seu idioma; e o texto de até 14 notas recentes (até 280 caracteres cada, com e-mails, links e números de telefone removidos)	Nosso servidor (hospedado na Cloudflare), que o encaminha via Cloudflare AI Gateway e OpenRouter para o provedor do modelo de IA, atualmente a OpenAI. Nem o ID da sua conta nem o ID do dispositivo são enviados	Para escrever seu insight diário e o foco de hoje	Nosso servidor não o armazena; mantém apenas uma contagem de solicitações por conta ou dispositivo para limites diários. Excluir sua conta exclui as contagens vinculadas a ela. Uma limpeza que ocorre sempre que uma solicitação é contada exclui contagens com mais de 8 dias, portanto, uma contagem pode permanecer por mais tempo quando não há solicitações. O Cloudflare AI Gateway é instruído a não registrá-lo. OpenRouter e OpenAI o mantêm sob suas próprias políticas e nossas configurações de conta com eles, por exemplo, para monitorar abusos; não combinamos retenção zero com eles
Registro de alimentos por IA (Onederland Plus), apenas após você permitir	A refeição que você descreve (até 2.000 caracteres) ou a foto que você tira, recodificada sem localização ou outros metadados, qualquer nota que você adicione e seu idioma	Como a análise diária	Para estimar calorias e nutrientes	Como a análise diária
Verificação de rótulo, sob a mesma permissão	A imagem do rótulo nutricional e o nome do produto do Open Food Facts (não a sua foto)	Como a análise diária	Para verificar os números de um produto escaneado	Como a análise diária
Escaneamento de código de barras	O número do código de barras	Open Food Facts, um banco de dados público de alimentos, diretamente do app; nenhum ID de conta ou dispositivo é enviado	Para procurar o produto	Política própria do Open Food Facts
Comparação corporal 3D (Onederland Plus, logado), apenas após você permitir	Suas duas fotos (no Android, as que você escolhe no seletor de fotos), recodificadas sem metadados	Nosso servidor e, depois, fal.ai, um serviço de modelos 3D. Somente se você fez uma comparação na qualidade Detalhada ou Texturizada anteriormente, e portanto ainda pode escolher essas qualidades, a fal.ai também envia as fotos para sua parceira Tripo, que constrói esses modelos sob seus próprios termos. Para todos os demais, as fotos vão apenas para a fal.ai	Para construir seus modelos 3D	A fal.ai é instruída a não manter cópias das solicitações e resultados, e a excluir as fotos armazenadas e os modelos criados uma hora após a criação. Fotos e modelos feitos antes desta política entrar em vigor não foram configurados para expirar na fal.ai; nós os excluímos. Se suas fotos forem para a Tripo, ela mantém o que recebe sob seus próprios termos, os quais não controlamos. Nosso servidor mantém o resultado de cada comparação com sua conta até que você exclua a conta: links para os arquivos, que param de funcionar assim que a fal.ai os exclui, e, para a qualidade Rápida, os pontos-chave do corpo e parâmetros de forma relatados pelo modelo. Ele também lê esse registro para ver se você já fez uma comparação na qualidade Detalhada ou Texturizada anteriormente
Entrar com Apple	Seu ID da conta Apple e, no primeiro acesso, o nome e e-mail que a Apple compartilha (muitas vezes um endereço de retransmissão privado que você pode desativar nas configurações da Apple)	Nosso servidor	Sua conta, manutenção do Onederland Plus em seus dispositivos, indicações e exclusão da sua conta	Até que você exclua sua conta
Assinaturas (iPhone)	Suas compras e recibos, um ID de usuário do app (seu ID da conta Apple quando conectado, caso contrário, um ID aleatório) e fatos como a data da primeira compra, total pago e códigos de indicação; a cada solicitação, detalhes do dispositivo (modelo, versão do SO, versão do app, idioma e país da App Store), o identificador do fornecedor, que a Apple fornece aos apps deste desenvolvedor no seu iPhone, e se o acompanhamento é permitido	RevenueCat, nosso serviço de assinatura, e nosso servidor, que mantém uma cópia do status da assinatura que a RevenueCat relata para o seu ID de usuário do app (o plano, período de teste ou pago, data de término e IDs de transação da App Store); a Apple processa o pagamento e nós nunca vemos os detalhes do pagamento	Para fornecer o Onederland Plus, restaurar compras e conceder recompensas de indicação; eventos de assinatura também suportam a medição de anúncios da Meta descrita abaixo	A RevenueCat mantém esses registros para restaurar compras, inclusive após a exclusão da conta, a menos que você nos peça para excluí-los (seção 4). Mantemos essa cópia do status enquanto a assinatura estiver ativa. Quando uma data de término é fornecida, a limpeza acionada por notificações de assinatura posteriores remove cópias com mais de 30 dias após essa data; cópias podem permanecer por mais tempo enquanto a limpeza estiver pendente ou se nenhuma data de término for fornecida. A exclusão da conta remove a cópia do status existente e os links de compra associados à sua conta; isso não exclui os registros da RevenueCat nem cancela sua assinatura. Um registro de exclusão vinculado a um hash do seu ID de usuário do app bloqueia atualizações de status para esse ID enquanto for mantido. Após expirar, notificações de assinatura posteriores podem recriar a cópia do status.
Indicações	Seu código de indicação e o código que você usou; o status de pagamento das assinaturas envolvidas (se a pessoa que você convidou, ou você, começou a pagar, com o plano e a data de renovação); e os registros de recompensa (qual mês gratuito foi ganho, para quem e quando foi aplicado)	Nosso servidor	Recompensas de indicação	Até que você exclua sua conta; registros compartilhados com outra pessoa são anonimizados. Após você excluir sua conta, mantemos apenas um hash com chave da assinatura da loja que recebeu ou ganhou uma recompensa de indicação, sem ID de conta ou ID de compra, para que a mesma assinatura não possa ganhar uma recompensa novamente.
Sessão do dispositivo	Um ID aleatório para esta instalação, a plataforma e a versão do app	Nosso servidor	Conexões seguras, limites e prevenção de fraudes	1 hora (a sessão); 10 minutos (limites de taxa)
Estatísticas, a menos que você as desative	A partir da versão 3.0.9, conclusão genérica da configuração, retorno diário ao primeiro plano, resultados de paywall e compra, e ações de compartilhamento/aplicação de indicação sem códigos; categoria de plano neutra, preço e moeda. Eventos usam um ID de época de medição aleatório, idioma do app, região configurada, build e esquema, além de detalhes técnicos de dispositivo e rede do SDK. Uma região configurada não é a localização física; a geolocalização por IP do Mixpanel está desativada. Nenhuma atividade de saúde, visualizações de tela de recursos de saúde, detalhes de refeições, códigos de indicação, IDs de conta ou e-mail são enviados ao Mixpanel. Versões instaladas mais antigas podem continuar enviando seu conjunto de eventos anterior até serem atualizadas.	Mixpanel	Para entender como o app é usado e melhorá-lo	Sob a retenção do Mixpanel para nosso projeto, até que o excluamos a seu pedido
Medição opcional na 3.0.9, apenas quando habilitada para o lançamento e permitida separadamente	Vinculação de aquisição e assinatura: nosso servidor associa um ID de medição aleatório a resultados de assinatura verificados da RevenueCat e rótulos de aquisição neutros e registrados, e então envia os resultados sanitizados ao Mixpanel. Isso vincula como você encontrou o app com a configuração, retornos, testes, inícios pagos, renovações, reembolsos e expiração. A medição do Google é uma escolha separada exclusiva para Android: o Google Analytics for Firebase recebe um ID de instância do app, eventos automáticos de ciclo de vida e engajamento do app, dados de dispositivo e rede, versão e idioma do app, dados de aquisição e geografia aproximada derivada do IP. A conclusão genérica da configuração e os resultados de assinatura verificados da RevenueCat também são enviados ao Google através do nosso servidor. O Google usa isso para medição de apps e publicidade. Nenhuma atividade de saúde, códigos de indicação brutos, IDs de conta ou e-mail vão para qualquer destino de estatísticas. O Google não recebe ID de publicidade; a personalização de anúncios e públicos de publicidade estão desativadas. O Firebase não é adicionado ao iPhone ou a este site. A medição de publicidade do Google pode usar o Google Ads quando vinculado. Diagnósticos automáticos de primeira compra podem incluir um nome ou ID de produto neutro, preço, moeda, quantidade e status de teste; eles não são contagens de pagadores verificados.	Nosso servidor, Mixpanel; separadamente, Google Analytics for Firebase no Android (Google)	Para conectar a aquisição com o uso neutro do app e resultados de assinatura verificados; a escolha separada do Google também suporta a medição de publicidade	Nosso servidor mantém vínculos de permissão revogáveis e registros de entrega. Cada provedor de estatísticas mantém os dados recebidos sob as configurações de retenção do nosso projeto; entre em contato conosco para solicitar a exclusão. Ambas as novas escolhas começam desativadas. Você pode retirar qualquer uma delas nas Configurações; desativar as estatísticas de uso revoga ambas e interrompe medições futuras. Isso por si só não apaga os dados já recebidos. Os coletores permanecem desativados até que as divulgações de lançamento e configurações correspondentes estejam prontas. A retenção de usuário/evento do Google é definida para 2 meses antes da ativação. Os vínculos de permissão de medição e registros de entrega do nosso servidor expiram sob um contrato de 90 dias, renovados apenas enquanto o consentimento for válido, e são excluídos na retirada do consentimento ou exclusão da conta.
Relatórios de erro	Logs de erro, rastros de desempenho e detalhes técnicos (dispositivo, SO, versão do app, a tela e os endereços de solicitação envolvidos); sem ID da conta	Sentry	Para encontrar e corrigir erros	Sob a retenção da Sentry para o nosso plano
Links de convite, verificação de instalação e medição de anúncios	iPhone: Quando você abre o link de convite de um amigo, antes do app ser instalado: a solicitação do seu navegador ao Linkrunner (app.onederland.fit), que inclui seu endereço IP e o user agent do seu navegador, e o código de indicação do amigo presente no link. Apenas se você permitir o acompanhamento (e então toda vez que o app inicia): detalhes do dispositivo (modelo, versão do SO, idioma e região, fuso horário, tamanho da tela, versão do app, tipo de conexão, user agent do navegador web do seu iPhone e quando você abriu o app pela primeira vez); o identificador do fornecedor, que a Apple fornece aos apps deste desenvolvedor no seu iPhone; um ID aleatório para esta instalação; um token da Apple que permite ao Linkrunner perguntar à Apple se uma campanha do Apple Search Ads levou à instalação; seu status de permissão de acompanhamento; seu identificador de publicidade; seu ID de conta assim que você fizer login; os endereços web dos links que você abre nas telas do Onederland Plus (os termos, a política de privacidade e Gerenciar assinatura); e seu endereço IP, a partir do qual o Linkrunner determina sua localização aproximada (país, estado e cidade). Sem a sua permissão, o app não envia nada ao Linkrunner, e um link de convite não pode ser associado à sua instalação.	Linkrunner; a Meta recebe eventos de instalação e registro e informações de correspondência, e o Google Ads é vinculado para medição de conversão do app (veja abaixo)	Para descobrir se um link de convite ou anúncio trouxe você, para que o código de indicação de um amigo chegue ao app, e para saber quais campanhas de anúncios e links de convite trazem pessoas para o app	Sob a política de retenção do Linkrunner
Fazer login com o Google (Android, se você usar)	Seu ID da conta do Google e, no primeiro login, o nome e e-mail que o Google compartilha	Nosso servidor	Sua conta, manutenção do Onederland Plus em seus dispositivos, indicações e exclusão de conta	Até que você exclua sua conta
Verificação de instalação e medição de anúncios no Android, apenas após você permitir o acompanhamento no app	Modelo do dispositivo, versão do SO, idioma, região, versão do app e tipo de conexão; Android ID (atribuído a apps assinados por nós no seu celular), ID de instalação, nome da operadora, user agent do web-view, endereço de rede local, referenciador de instalação do Google Play com horário do clique e, se aplicável, referenciador de instalação da Meta; seu endereço IP, do qual o Linkrunner deriva a localização aproximada; seu ID de conta após o login; e links abertos nas telas do Onederland Plus (termos, política de privacidade e Gerenciar assinatura). O ID de publicidade e o App Set ID nunca são coletados pelo Linkrunner. Sem consentimento, o app não envia nada; com consentimento, ele faz contato ao iniciar o app. A solicitação de convite do navegador pré-instalação descrita na linha do iPhone também se aplica ao Android.	Linkrunner; a Meta recebe eventos de instalação e registro e informações de correspondência, e o Google Ads é vinculado para medição de conversão do app (veja abaixo)	Associar um link de convite ou anúncio à sua instalação, entregar um código de indicação e medir campanhas	Sob a política de retenção do Linkrunner

Logs do servidor. Os logs do nosso servidor (Cloudflare) registram eventos técnicos, como qual parte do nosso servidor o app chamou e quaisquer códigos de erro. Eles não registram seu endereço IP, sua localização, os detalhes do seu dispositivo ou o conteúdo de suas solicitações; alguns eventos incluem um ID aleatório para uma instalação ou conta. Eles são mantidos por 7 dias.

Nosso site. onederland.fit é operado por Micktron LLC e hospedado e distribuído pela Cloudflare. A Cloudflare processa os endereços IP dos visitantes e informações das solicitações para disponibilizar e proteger o site e fornecer estatísticas agregadas de tráfego. Durante a migração, algumas solicitações ainda podem ser atendidas pelo nosso antigo provedor de hospedagem AWS. Depois de concluída a desativação da infraestrutura da migração, a AWS não será mais usada para o site. Também usamos o Google Analytics para medir visitas a páginas públicas, fontes de tráfego e cliques para a App Store e o Google Play, com identificadores de cookies, localização aproximada e informações do dispositivo e do navegador. Não enviamos informações de saúde, dados de formulários, IDs de usuário, códigos de convite nem parâmetros de consulta das URLs ao Google Analytics. O Google não registra nem armazena endereços IP individuais no Google Analytics. No Espaço Econômico Europeu (EEE), Reino Unido e Suíça, os cookies de estatísticas só são usados após você aceitar; nos demais países, as estatísticas ficam ativadas por padrão. Cookies de publicidade, Google Signals e personalização de anúncios ficam desativados. Os dados de eventos são mantidos por até 2 meses. Escolha Recusar ou use Configurações de estatísticas em qualquer página para retirar o consentimento; também respeitamos Do Not Track e Global Privacy Control como recusa. Sua preferência de estatísticas e sua resposta à sugestão de idioma ficam salvas no navegador. O Google processa os dados de estatísticas conforme sua política de privacidade.

Mensuração e atribuição de publicidade (iPhone, iPad e Android). O Linkrunner envia eventos de instalação e registro para a Meta (Facebook e Instagram) por meio da API de Conversões da Meta, com identificadores de correspondência disponíveis e informações de atribuição dos dados do Linkrunner descritos acima. O Linkrunner também está vinculado ao Google Ads como um provedor de análise de apps de terceiros; essa conexão permite que o Google receba eventos de instalação e conversão no app, além de identificadores de dispositivo, instalação e campanha disponíveis. O RevenueCat envia eventos de início de teste e assinatura para a Meta por meio de sua API de Conversões, incluindo o horário do evento, produto de assinatura, receita e moeda, um ID de usuário do app com hash e identificadores de dispositivo disponíveis, endereço IP, detalhes do app e do dispositivo e status de acompanhamento. Esses serviços usam essas informações para atribuir instalações, registros, testes e assinaturas a anúncios e mensurar o desempenho da campanha.

Permissão e identificadores de correspondência. No iPhone e iPad, o app envia identificadores de dispositivo para essa correspondência de rede de publicidade apenas depois que você permite o acompanhamento por meio do aviso de permissão da Apple. Para o RevenueCat, isso inclui o identificador de publicidade, o identificador do fornecedor, o endereço IP e detalhes do dispositivo. No Android, o RevenueCat coleta identificadores de correspondência apenas depois que você permite o acompanhamento no app. No Android 13 ou posterior, o app não solicita acesso ao ID de publicidade, portanto o RevenueCat não consegue obter um que seja utilizável. Em versões anteriores, o RevenueCat pode recebê-lo se as configurações de anúncios do seu sistema permitirem. O RevenueCat não usa o Android ID ou o App Set ID em seu lugar. A coleta de ID de publicidade do Linkrunner permanece desativada no Android. Os caminhos de atribuição de instalação separados abaixo não autorizam a correspondência de rede de publicidade.

Sem dados de saúde ou medicação para publicidade. Não enviamos registros do Apple Health ou Health Connect, nomes ou doses de medicamentos, peso, alimentação, sintomas, notas, fotos do corpo ou atividade de recursos de saúde para a Meta, Google Ads ou outras redes de publicidade. Os eventos de publicidade descrevem a instalação ou o registro no Onederland e a atividade de teste ou assinatura; o recebimento deles informa ao parceiro de publicidade que você usa ou assina o Onederland. O Linkrunner, o RevenueCat e os parceiros de publicidade retêm os dados recebidos sob suas políticas e configurações de conta aplicáveis. A retirada da permissão de acompanhamento interrompe a nova coleta do app conforme descrito na seção 4; isso não exclui automaticamente os registros ou identificadores que eles já possuem.

Mensuração de aquisição de assinatura (iPhone e Android). O RevenueCat também recebe a atribuição de instalação vinculada ao ID de usuário do seu app para mensurar quais campanhas levam a assinaturas pagas. No iPhone, seu SDK coleta um token de atribuição do Apple AdServices para que o RevenueCat possa recuperar detalhes de campanha, grupo de anúncios e palavras-chave da Apple; isso não requer permissão de acompanhamento. No Android, as versões atuais enviam apenas rótulos de campanha e fonte primária registrados do referenciador de instalação do Google Play, depois que você permite a escolha separada de mensuração de aquisição e assinatura. Esses caminhos de atribuição de instalação são separados do compartilhamento de rede de publicidade descrito acima. O RevenueCat mantém a atribuição em seus registros de clientes, inclusive após a exclusão da conta, a menos que você nos peça para excluí-los.

Assinaturas do Google Play (Android). Seu token de compra, ID de usuário do app (ID da conta Google quando logado, caso contrário, um ID aleatório), data da primeira compra, total pago e códigos de indicação vão para o RevenueCat, nosso serviço de assinatura. O RevenueCat mantém esses registros para restaurar compras, inclusive após a exclusão da conta, a menos que você nos peça para excluí-los (seção 4). Nosso servidor mantém uma cópia separada do status da assinatura para o ID de usuário do seu app (plano, período de teste ou pago, data de término e identificadores de transação do Google Play) para fornecer o Plus, restaurar compras e conceder recompensas de indicação; ele não armazena o token de compra do Google Play. Mantemos essa cópia de status enquanto a assinatura estiver ativa. Quando uma data de término é fornecida, a limpeza acionada por notificações de assinatura posteriores remove cópias com mais de 30 dias após essa data; as cópias podem permanecer por mais tempo enquanto a limpeza estiver pendente ou se nenhuma data de término for fornecida. A exclusão da conta remove a cópia de status existente e os links de compra associados à sua conta; isso não exclui os registros do RevenueCat nem cancela sua assinatura. Um registro de exclusão vinculado a um hash do ID de usuário do seu app bloqueia atualizações de status para esse ID enquanto for retido (181 dias por padrão). Após a expiração, notificações de assinatura posteriores podem recriar a cópia de status. O Google Play processa o pagamento; nós nunca vemos os detalhes do pagamento.

As ferramentas do site calculam apenas no seu navegador. O que você insere não é enviado ao Onederland nem a ninguém, e as ferramentas não salvam suas entradas.

3. Por que usamos seus dados (bases legais)

Para fornecer o app e os recursos que você solicita: o insight diário, registro de alimentação por IA, comparação de corpo em 3D, sua conta, assinaturas e indicações. Isso é necessário para executar nosso contrato com você.
Com seu consentimento: acesso ao Apple Health, por meio da folha de permissão da Apple; o que o insight diário, o registro de alimentação por IA e a comparação de corpo em 3D enviam, por meio da folha de permissão do app, que pergunta antes que qualquer coisa seja enviada (você pode desativar cada um em Configurações › IA e estatísticas); a verificação de instalação e a mensuração de anúncios do Linkrunner, e a coleta de identificadores de dispositivo do RevenueCat para correspondência da Meta, por meio da permissão de acompanhamento da Apple no iPhone e iPad, ou a escolha de acompanhamento no app no Android. As escolhas separadas de mensuração de aquisição e assinatura no Android e as escolhas de mensuração do Google também exigem seu consentimento. A seção 2 descreve os dados e os parceiros de publicidade.
Nossos interesses legítimos: estatísticas e relatórios de erros, para manter o app funcionando e aprimorá-lo; a solicitação de link de convite, que envia ao Linkrunner, sem perguntar, seu endereço IP, o agente do usuário do seu navegador e o código de indicação do amigo quando você abre um link de convite de um amigo, para que, se você permitir o acompanhamento no app posteriormente, o convite de um amigo possa ser aplicado e possamos saber quais links de convite trazem pessoas para o app; atribuição padrão do Apple Search Ads no iPhone, que usa o Apple AdServices no iPhone para mensurar quais campanhas levam a assinaturas pagas, sem dados de saúde, separadamente da correspondência de rede de publicidade; segurança e prevenção de fraudes.
Obrigações legais: manter os registros que a lei exige.

Não usamos seus dados para tomar decisões que tenham efeitos legais ou semelhantes sobre você. O insight diário é escrito por IA a partir dos seus registros. Não é um conselho médico.

Consentimento Android: O acesso ao Health Connect utiliza sua própria tela de permissão. Os recursos de IA solicitam permissão antes de enviar, como mencionado acima. As verificações de instalação e a medição de anúncios do Linkrunner exigem seu consentimento de acompanhamento no app; nada é enviado pelo app ao Linkrunner sem isso, e o Linkrunner nunca coleta o ID de publicidade. A mesma escolha de acompanhamento rege a coleta de identificadores de dispositivo do RevenueCat para correspondência com a Meta, incluindo um possível ID de publicidade em versões mais antigas do Android, conforme descrito na seção 2. A solicitação de convite via navegador pré-instalação permanece sob os interesses legítimos descritos acima.

4. Suas escolhas e direitos

Apple Health e Health Connect: altere o que o app lê ou grava no app Saúde (Compartilhamento › Apps › Onederland) ou Ajustes do iOS no iPhone, ou no Health Connect (Configurações › Health Connect › Permissões de apps › Onederland na maioria dos celulares Android). Pare de gravar em qualquer um dos serviços nos Ajustes do Onederland.
Recursos de IA: a análise diária, o registro de alimentos por IA e a comparação corporal 3D solicitam permissão antes do primeiro envio e não enviam nada se você escolher "Agora não". Ative ou desative qualquer um deles a qualquer momento em Ajustes › IA e estatísticas. Se o que um recurso envia for alterado, ele solicitará novamente. Uma verificação de rótulo faz parte do registro de alimentos por IA: ele envia a imagem do rótulo de um produto escaneado do Open Food Facts (nunca sua própria foto), e apenas depois que você permitiu as estimativas de alimentos por IA. A comparação corporal 3D envia suas fotos apenas quando você inicia uma comparação, e somente após sua permissão.
iPhone e iPad: Acompanhamento: permita ou negue no aviso, e altere a qualquer momento em Ajustes › Privacidade e Segurança › Acompanhamento. Sem sua permissão, o app não envia nada ao Linkrunner, e um link de convite não pode ser associado à sua instalação. O RevenueCat coleta identificadores de dispositivo para correspondência com a Meta apenas após a permissão de acompanhamento. A revogação interrompe a nova coleta desses identificadores de correspondência e futuras solicitações do app ao Linkrunner quando o app atualiza a escolha de acompanhamento. Isso não exclui automaticamente os dados já recebidos pelo RevenueCat, Linkrunner, Meta ou Google, nem cancela sua assinatura. A solicitação do navegador ao abrir um link de convite de um amigo ocorre antes da instalação e é separada; use "Fale conosco" abaixo para se opor ou solicitar a exclusão.
Estatísticas: desative "Compartilhar estatísticas de uso" em Ajustes › IA e estatísticas; o app então para de enviar eventos de estatísticas.
iPhone: iCloud Drive: ative ou desative "Salvar no iCloud Drive" na tela de comparação corporal 3D. "Fazer backup agora" só é executado quando você toca nele.
Excluir sua conta: no app, Configurações › Conta › Excluir conta. Isso exclui, em nosso servidor, sua conta e perfil; seus tokens de login e revoga o "Iniciar sessão com a Apple"; e seus links de compras, a cópia do status da sua assinatura, seus registros de comparação 3D e os contadores de uso vinculados à sua conta. O "Continuar com o Google" não deixa tokens conosco para revogar; remova o Onederland dos apps conectados nas configurações da sua Conta Google, se desejar. Registros de indicação compartilhados são anonimizados. Sua assinatura continua até que você a cancele nos ajustes da sua Conta Apple (iPhone) ou Google Play › Pagamentos e assinaturas › Assinaturas (Android). Solicitar a exclusão da conta sem o app.
Excluir tudo o que você registrou no seu celular: Ajustes › Redefinir app. Exclua backups no iCloud Drive ou Arquivos (iPhone), ou os arquivos de backup que você salvou (Android).
Fale conosco: para acessar, corrigir, exportar ou excluir o que nós e nossos processadores mantemos sobre você, incluindo no RevenueCat, Mixpanel, Sentry, fal.ai e Linkrunner. Envie um e-mail para support@micktron.dev. Respondemos em até 30 dias, ou conforme exigido pela lei da sua região.

Europa, Reino Unido e Suíça. Você tem os direitos de acesso, retificação, exclusão, restrição, portabilidade e oposição, e de retirar o consentimento a qualquer momento. Você pode fazer uma reclamação à sua autoridade de proteção de dados.

iPhone e iPad: Califórnia. Você tem os direitos de saber, excluir, corrigir e limitar o uso de informações pessoais sensíveis. Não vendemos informações pessoais. A solicitação de link de convite via navegador e os dados consentidos do Linkrunner estão descritos na seção 2. O Linkrunner compartilha eventos de instalação e registro e informações de correspondência com a Meta e está vinculado ao Google Ads para medição de conversão; o RevenueCat compartilha eventos de teste e assinatura e informações de correspondência com a Meta. A lei da Califórnia pode tratar isso como compartilhamento para publicidade comportamental cross-context. Retire a permissão de acompanhamento em Ajustes › Privacidade e Segurança › Acompanhamento, e use "Fale conosco" para se opor ou solicitar a exclusão.

Escolhas Android: permita ou negue o acompanhamento no aviso do app, e altere em Ajustes do Onederland › IA e estatísticas › Permitir a medição de anúncios? Sem consentimento, o app não envia nada ao Linkrunner e não pode associar um convite à sua instalação; também interrompe a nova coleta de identificadores de dispositivo do RevenueCat para correspondência com a Meta. Separadamente, em Configurações do Android › Privacidade › Anúncios, exclua seu ID de publicidade ou use "Opt out of Ads Personalization" em versões mais antigas; o caminho varia conforme o celular. Esta configuração do sistema afeta o ID de publicidade, portanto, desative também a escolha no app para interromper a atribuição do Linkrunner e a nova coleta de identificadores de correspondência do RevenueCat. A revogação não apaga automaticamente as informações já recebidas pelos provedores nem cancela sua assinatura. A solicitação de convite pré-instalação do navegador é separada; use "Fale conosco" para se opor ou solicitar a exclusão. Altere notificações, câmera e alarmes conforme descrito na seção 1.

Califórnia — Android: os mesmos direitos se aplicam. Não vendemos informações pessoais. Abrir um link de convite envia a solicitação do navegador descrita acima. Somente com o consentimento no app, o app envia ao Linkrunner os dados Android da seção 2 e coleta identificadores de dispositivo do RevenueCat para correspondência com a Meta. O Linkrunner compartilha eventos de instalação e registro e informações de correspondência com a Meta e está vinculado ao Google Ads para medição de conversão; o RevenueCat compartilha eventos de teste e assinatura e informações de correspondência com a Meta. Isso pode ser considerado compartilhamento para publicidade comportamental cross-context. Retire o consentimento em Ajustes do Onederland › IA e estatísticas › Permitir a medição de anúncios? O Linkrunner nunca coleta o ID de publicidade; o RevenueCat pode recebê-lo em versões mais antigas do Android se as configurações do seu sistema permitirem (seção 2).

5. Dados de saúde do consumidor (Washington, Nevada e leis semelhantes)

Categorias coletadas: medicamentos e doses, pesos e medidas corporais, pressão arterial e glicose, alimentação e nutrição, atividade e sono, efeitos colaterais e notas, e fotos do corpo para modelos 3D.
Finalidades: as funcionalidades da seção 2.
Fontes: você, e Apple Health ou Health Connect com sua permissão.
Compartilhados com: Cloudflare, OpenRouter e OpenAI, para a análise diária e registro de alimentação por IA, somente após você permitir cada funcionalidade; fal.ai, para modelos 3D, e, somente se você tiver feito uma comparação na qualidade Detalhada ou Texturizada anteriormente, seu parceiro Tripo, somente após você permitir a comparação corporal 3D.
Nunca vendidos. Direitos: conforme a seção 4, e de retirar o consentimento.

6. Onde os dados são processados

Nosso servidor roda na Cloudflare. Nossos processadores estão sediados em, ou processam dados nos, Estados Unidos e outros países: Cloudflare, OpenRouter, OpenAI, fal.ai, RevenueCat, Mixpanel, Sentry e Linkrunner. O Linkrunner processa dados na Índia (sua localização principal), nos Estados Unidos e na União Europeia. Meta e Google também recebem os dados de medição de publicidade da seção 2 e podem processá-los nos Estados Unidos e em outros países. O Tripo recebe fotos da fal.ai apenas para pessoas que fizeram uma comparação 3D Detalhada ou Texturizada anteriormente. Quando dados pessoais do EEA, do Reino Unido ou da Suíça vão para um país sem uma decisão de adequação, a transferência baseia-se em salvaguardas apropriadas nos termos de processamento de dados do processador, como as Cláusulas Contratuais Padrão da Comissão Europeia, com o Adendo do Reino Unido e as emendas suíças, ou o Quadro de Privacidade de Dados UE-EUA e suas extensões do Reino Unido e Suíça onde o processador for certificado.

Cada processador usa seus dados apenas para nos fornecer seu serviço e os protege conforme descrito nesta política. Os parceiros de publicidade Meta e Google recebem os dados de eventos e correspondência descritos na seção 2 sob suas próprias políticas de privacidade e termos de publicidade aplicáveis. Onde o Tripo constrói modelos 3D, ele o faz sob seus próprios termos.

No Android, o Google (Google Play, Continuar com o Google e serviços do Google Play) recebe o que esses serviços precisam para funcionar, sob os próprios termos e política de privacidade do Google.

7. Segurança

Dados em trânsito são criptografados (HTTPS). No iPhone, os tokens de login são mantidos no Keychain e o banco de dados usa a proteção de dados do iOS. No Android, os tokens de login são criptografados com uma chave no Android Keystore, e o banco de dados fica no armazenamento privado do app, protegido pelo sandbox do Android e pela criptografia de armazenamento do seu celular. Em nosso servidor, os tokens de atualização que emitimos para seu login são armazenados apenas como hashes. Dois tipos de token não são hasheados: os tokens de sessão e de acesso de curta duração (válidos por uma hora e um dia), que expiram sozinhos, e o token de atualização que a Apple nos fornece quando você faz login, que mantemos apenas para que possamos revogá-lo quando você excluir sua conta. O banco de dados e o armazenamento de chave-valor do nosso servidor estão na Cloudflare, que os criptografa em repouso (AES-256, com chaves gerenciadas pela Cloudflare). Nenhum sistema é perfeitamente seguro, portanto, não podemos garantir segurança absoluta.

8. Crianças

Onederland é para adultos. Você deve ter 18 anos ou mais para usá-lo, e não coletamos conscientemente dados de ninguém mais jovem. Se descobrirmos que coletamos, os excluiremos.

9. Alterações

Atualizaremos esta política quando o app mudar a forma como lida com os dados, alteraremos a data acima e postaremos qualquer alteração relevante nesta página antes que ela seja aplicada. Se o que a análise diária, o registro de alimentação por IA ou a comparação corporal 3D enviam for alterado, o app pedirá sua permissão novamente antes de enviar.

O operador agora é Micktron LLC. Esta atualização adiciona divulgações do Android, incluindo Health Connect e Google Play. A disponibilidade pública no Android é anunciada separadamente.

10. Contato

Onederland é fornecido por Micktron LLC. Contato: support@micktron.dev