Aviso de privacidade do Dula

• Os seus dados de saúde são seus. A gente não vende, não aluga e não troca os seus dados, e não faz publicidade com eles.
• Não existe nenhum rastreador de análise ou de publicidade dentro do aplicativo. A sua fase, o seu peso e o que você come não chegam a nenhuma plataforma de anúncio ou de métricas.
• Você decide o que compartilhar, uma permissão de cada vez, e pode voltar atrás quando quiser. Retirar uma permissão não apaga nada do que é seu.
• A sua nutricionista só vê o que você autorizou. Se você retirar a permissão, ela para de ver na hora.
• A gente não treina modelos de inteligência artificial com os seus dados nem com as suas fotos.
• A gente nunca usa a sua fase, uma perda ou um sinal de crise para escolher quem recebe uma mensagem.
• Você pode pedir acesso, correção ou exclusão a qualquer momento, e a gente responde no prazo da lei.

O Dula é operado pela equipe que o desenvolve. Este aviso segue a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018). A identificação completa do controlador (razão social e CNPJ a definir) e o nome do encarregado serão incluídos na versão revisada deste aviso.

Quatro palavras se repetem aqui: titular é a pessoa de quem os dados são — você; controlador é quem decide o que é feito com eles; operador é quem os trata por conta do controlador; encarregado é a pessoa a quem você pode reclamar.

Sobre tudo o que você registra no aplicativo, o controlador é o Dula. Você é a titular desses dados e eles ficam guardados na sua conta, ligados a você e a mais ninguém.

Se você ligar a sua conta à sua nutricionista, esse combinado tem três partes. Você autoriza; a gente mostra a ela exatamente isso; e o que ela anota no prontuário dela passa a ser tratado por ela, como controladora, sob as regras do Conselho Federal de Nutricionistas. Os pedidos sobre esse prontuário são feitos a ela; os que são sobre o aplicativo, a nós.

Se você convidar um acompanhante — seu parceiro, sua parceira ou alguém que ajuda em casa —, essa pessoa tem conta própria e vê a comida da casa. Ela não vê o seu peso nem nenhum número do seu corpo, o seu registro de refeições, os seus exames, o seu diário, as suas condições de saúde nem a data do exame, da consulta ou do parto.

Da sua conta: e-mail, senha cifrada, data de criação e registros técnicos de acesso.

Do seu perfil: a sua fase, a data prevista do parto, condições, restrições e objetivos que você contar, e as mudanças de fase ao longo do tempo.

Do seu dia a dia: refeições, sintomas depois de comer, água, peso, glicemia, suplementos, o que tem na despensa, a lista de compras, o cardápio da semana, e as perguntas que você faz por texto.

Do bebê e das crianças da casa: a introdução alimentar, os alimentos oferecidos, o avanço nos alérgenos e, se você autorizar, as medidas de crescimento. Esses dados são da criança e você responde por eles como mãe ou responsável legal (LGPD art. 14).

Dos momentos difíceis: você pode contar que passou por uma perda, ou pedir para parar de ver números. Isso fica guardado só para mudar o jeito como o aplicativo fala com você. Existe um dado sobre tempo de afastamento que é guardado e nunca aparece em nenhuma tela: você não é contada nem cobrada por ter ficado longe.

Da Rede de mães: as suas mensagens e comentários, e a sua participação nas rodas.

Do acompanhamento e do pagamento: o vínculo com a sua nutricionista, as consultas, o identificador do aparelho para receber avisos e, quando existir plano, o registro do pagamento. A teleconsulta por vídeo está pronta e desligada: nenhuma chamada acontece hoje.

Quase tudo isso é dado pessoal sensível — dado referente à saúde (LGPD art. 5º, II). É por isso que quase nada acontece com esses dados sem um sim específico seu.

• Criar e manter a sua conta — execução de contrato (LGPD art. 7º, V) — por exemplo: entrar com e-mail e senha.
• Responder sobre a comida da sua fase — consentimento específico e destacado para dado de saúde (LGPD art. 11, I) — por exemplo: guardar que você está no segundo trimestre para a resposta sobre um queijo já vir certa.
• Guardar o que você registra — consentimento específico e destacado (LGPD art. 11, I) — por exemplo: manter as suas refeições e os seus sintomas para você acompanhar.
• Mostrar o que você autorizou à sua nutricionista — consentimento específico e destacado (LGPD art. 11, I); o tratamento pela sua nutricionista, no atendimento dela, se ampara na tutela da saúde por profissional de saúde (art. 11, II, “f”) — por exemplo: ela ver o retrato dos seus nutrientes.
• Acompanhar a alimentação do seu bebê — hoje esses dados são guardados sob a permissão “Guardar o seu perfil e as suas informações de saúde”, dada por você como responsável. Uma permissão separada e em destaque para os dados da criança (LGPD art. 14, §1º) será pedida em uma próxima versão.
• Enviar avisos e lembretes que você pediu — consentimento (LGPD art. 7º, I) — por exemplo: o lembrete do suplemento.
• Participar da Rede de mães — consentimento (LGPD art. 11, I) — por exemplo: publicar uma mensagem numa roda.
• Cobrar e comprovar um pagamento, quando existir plano — execução de contrato e obrigação legal e fiscal (LGPD art. 7º, V e II) — por exemplo: o comprovante do Pix.
• Manter a segurança e a trilha de auditoria — obrigação legal e legítimo interesse (LGPD art. 7º, II e IX), só sobre dados que não são de saúde — por exemplo: os registros de acesso exigidos pelo Marco Civil.

Onde a base é o consentimento, ele é pedido separado e destacado, com a finalidade escrita na tela, e pode ser retirado a qualquer momento. Retirar não apaga nada: apenas para o que aquele sim autorizava.

A maioria fica em Perfil › Suas permissões. Algumas ficam onde você as usa: os avisos em “Avisos e mensagens”, o acesso do acompanhante na tela dele, e o Modo Cuidado em “Fases e recomeços”. Cada uma é separada, diz o que autoriza e pode ser retirada ali mesmo. Nenhuma vem marcada de antemão.

• Guardar o seu perfil e as suas informações de saúde — faz cada resposta vir filtrada para a sua fase, e é sob ela que ficam hoje os registros de alimentação da criança.
• Reconhecer alimentos por foto — a função está desligada, então nenhuma imagem sai do aparelho hoje.
• Ajudar com preços da sua região — envia só o preço de um item e o seu estado, sem nada que identifique você ou onde você comprou.
• Mostrar o seu perfil, o seu registro e o seu peso à sua nutricionista — é ela, e só ela.
• Mostrar como a comida te cai — os sintomas que você anotou depois de comer.
• Mostrar o retrato dos seus nutrientes — o resumo, não as suas refeições uma por uma.
• Mostrar os seus suplementos do dia — um dia sem marcar não vira falta: sem sequência, nota ou placar.
• Mostrar as crianças da sua casa — as medidas da criança, só para a nutricionista que acompanha vocês. O acompanhante nunca as vê.
• Compartilhar a comida da casa — o acompanhante passa a ver o cardápio da semana, a lista de compras, o que já tem em casa, as receitas do cardápio, o que a casa evita nessa fase, quem come em casa e as restrições de cada um, a leitura de rótulo pelo Selo, as ofertas do bebê, os dias de cozinha para o freezer e a listinha de preparo de uma viagem.
• Participar da Rede de mães — entrar nas rodas e escrever nelas.
• Guardar o registro do Modo Cuidado — o modo funciona no aparelho de qualquer jeito; a permissão decide se ele fica guardado do nosso lado.
• Avisos no aplicativo e mensagens no WhatsApp — lembretes e confirmação de consulta. Nunca propaganda.
• Avisos da sua nutricionista — as mensagens que ela manda para você.

As permissões que nomeiam a sua nutricionista valem só para ela: se você trocar de profissional, o sim antigo não passa para a nova.

• Nunca usa a sua fase, uma perda, um recomeço ou um sinal de crise para escolher quem recebe uma mensagem. Essa informação muda o jeito como o aplicativo fala com você, e nada além disso — é o princípio da finalidade (LGPD art. 6º, I e II) e o limite do sim que você deu (art. 11, I).
• Nenhuma decisão sobre o seu acesso, o seu preço ou o seu cuidado é tomada por máquina. O aplicativo só ajusta sozinho o jeito de falar com você — por exemplo, esconder números — e você desfaz esse ajuste em Perfil quando quiser.
• Não mostra a ninguém — nem à sua nutricionista, nem ao acompanhante — nada além do que você autorizou.
• Não usa os seus dados para treinar modelos e não os entrega a plataformas de anúncio.

Só com os fornecedores necessários para o aplicativo funcionar, todos como operadores, recebendo apenas o que a tarefa exige:

• Supabase — banco de dados, entrada na conta e armazenamento de arquivos. É onde os seus dados ficam guardados.
• Resend (Estados Unidos) — envia os e-mails de acesso, como o de redefinição de senha; recebe o seu e-mail e o link do e-mail.
• Anthropic — o modelo que dá nome a alimentos. Hoje recebe só o texto que você escreve naquela pergunta e devolve nomes. Não recebe o seu nome, o seu e-mail, a sua fase, o seu peso nem o seu histórico, e os termos comerciais dela proíbem usar isso para treinar. O reconhecimento por foto está desligado: nenhuma imagem sua é enviada. À parte disso, quando a sua nutricionista pede um rascunho de inteligência artificial no Dula Pro, os dados que você autorizou a compartilhar com ela — o que pode incluir o seu nome — são enviados naquele momento, por uma ação dela.
• Expo — o serviço que entrega os avisos ao seu celular. Recebe o identificador do aparelho e o texto do aviso.
• Open Food Facts — a base pública consultada quando você lê um código de barras que ainda não está no nosso catálogo. Recebe o código e o endereço de internet do aparelho, e nada da sua conta.
• Mercado Pago — só quando existir plano e só se você escolher pagar. Recebe o valor, a descrição e o seu e-mail, para gerar o Pix; nenhum dado de saúde. Hoje está desligado.
• Meta (WhatsApp) — só se você ativar essa permissão: recebe o seu número e o texto da confirmação ou do lembrete de consulta. Sem ela, nenhuma mensagem sai.

A sua localização não é compartilhada com ninguém. Na tela “Onde comprar”, e só enquanto ela está aberta, o aplicativo lê a sua localização aproximada no próprio aparelho para mostrar feiras perto de você. Essa posição não é guardada nem enviada.

Três funções estão prontas e desligadas, sem nenhum fornecedor contratado: a busca de mercados por um fornecedor externo, a transcrição de áudio e a teleconsulta por vídeo. Quando alguma for ativada, o fornecedor e onde ele processa os dados serão nomeados aqui com pelo menos 30 dias de antecedência, antes de qualquer dado sair.

Alguns botões abrem outro aplicativo no seu celular, como o WhatsApp ou o iFood, com um texto que você mesma escolheu compartilhar. Dali em diante valem as regras deles; nada da sua conta é enviado por nós.

Fora essa lista, só compartilhamos dados por determinação legal ou judicial, e avisamos você quando pudermos.

Todas são opcionais, pedidas no momento em que fazem falta, e o aplicativo continua funcionando se você disser não.

• Câmera — ler um código de barras. A foto de alimentos está desligada hoje.
• Fotos — escolher uma imagem que já está no seu aparelho para anexar a um registro seu.
• Microfone — gravar um áudio para mandar à sua nutricionista, quando você prefere falar a escrever.
• Notificações — receber os lembretes e avisos que você pediu.
• Localização — mostrar feiras perto de você na tela “Onde comprar”, só enquanto ela está aberta, sem guardar a sua posição.

Supabase, onde os seus dados ficam guardados, Anthropic, Expo, Resend e Meta processam dados nos Estados Unidos; o Open Food Facts é um serviço público internacional. A transferência se apoia hoje em cláusulas contratuais de proteção de dados; a adequação delas às cláusulas-padrão da ANPD (Resolução CD/ANPD nº 19/2024) está em conclusão, e a versão revisada dirá a situação de cada fornecedor. A região em que o banco de dados fica hospedado será indicada na versão revisada deste aviso.

Os seus dados trafegam e ficam guardados com criptografia. O acesso é isolado por pessoa: as regras do banco de dados impedem que alguém leia os dados de outra. A sua sessão fica guardada no cofre do próprio aparelho.

Parte do que você já viu — a fase, o cardápio, a lista, as receitas — também fica nesse cofre, para o aplicativo funcionar sem internet. Sair da conta não apaga essa cópia: ela fica no aparelho, presa à sua conta, e some quando você encerra a conta.

Na Rede de mães, a moderadora que lê a sua mensagem antes de ela aparecer vê um identificador aleatório, e não o seu nome nem o seu apelido. Isso não é anonimato absoluto: por ordem judicial, o vínculo pode ser recuperado.

Se acontecer um incidente de segurança que possa causar risco ou dano relevante a você, a gente comunica você e a Autoridade Nacional de Proteção de Dados (ANPD). O aviso diz o que aconteceu, quais dados foram atingidos e o que fazer. Ele sai em até três dias úteis contados do momento em que soubermos do incidente (art. 48 da LGPD e Resolução CD/ANPD nº 15/2024). Notou algo estranho na sua conta? Escreva pelo canal de contato: e-mail de contato a definir.

• O que você registra fica enquanto a sua conta existir. Você pode apagar um registro a qualquer momento: ele deixa de aparecer para você e para qualquer pessoa, e é apagado de vez quando você encerra a conta.
• A foto que você anexa a um registro fica por até 180 dias. Se você não escreveu nada junto com ela, é apagada em 7 dias — era a entrada de um cálculo, não um diário. O que você escreveu continua.
• Os registros de acesso. Não guardamos o endereço de internet do seu aparelho no nosso banco de dados. Os registros de acesso existem nos provedores de hospedagem pelo prazo padrão deles; a guarda de seis meses prevista no Marco Civil da Internet (art. 15) está sendo configurada.
• O registro de um pagamento é guardado pelo prazo legal e fiscal.
• O registro de uma permissão que você deu ou retirou fica como prova de que ela existiu e de quando acabou, porque a lei põe essa prova do nosso lado (LGPD art. 8º, §2º).
• O prontuário da sua nutricionista, se ela já tiver aberto um sobre você, e a prova do seu consentimento ficam guardados pelo prazo do conselho profissional (20 anos, Resolução CFN 594/2017), e o seu cadastro lá é anonimizado em vez de excluído.

Não existe uma regra de apagar a conta por falta de uso, e a gente não vai fingir que existe: enquanto você não pedir, a sua conta fica.

A qualquer momento, sem justificar e sem custo, você pode pedir (LGPD art. 18):

• confirmação de que a gente trata dados seus, e acesso a eles;
• correção de um dado incompleto ou errado;
• anonimização, bloqueio ou eliminação de dado desnecessário, excessivo ou tratado em desconformidade com a lei;
• portabilidade dos seus dados para outro fornecedor;
• eliminação dos dados tratados com base no seu consentimento;
• informação sobre com quem a gente compartilhou dados seus;
• informação sobre o que acontece se você disser não a alguma coisa e revogação de qualquer consentimento — as permissões você mesma retira, no aplicativo, sem falar com ninguém;
• oposição a um tratamento que não dependa do seu consentimento, quando ele estiver em desacordo com a lei; e revisão de decisão tomada apenas por máquina que afete os seus interesses (LGPD art. 18, §2º, e art. 20).

Ainda não existe um botão de exportar ou de apagar a conta dentro do aplicativo. Enquanto ele não existe, o caminho é o canal de contato: e-mail de contato a definir. A gente responde de imediato, em formato simplificado, ou por completo em até 15 dias (LGPD art. 19, I e II). Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

Quando você apaga a sua conta, as suas mensagens e os seus comentários na Rede de mães são apagados junto com ela. O que outras mães escreveram em resposta continua lá, sem qualquer referência a você. Sobre o prontuário da sua nutricionista, quem responde é ela: se um pedido desses chegar até nós, a gente avisa você e encaminha.

O Dula é para maiores de 18 anos. Ao criar a conta você declara ter 18 anos ou mais. Se soubermos de uma conta de menor, ela é encerrada e os dados são apagados, exceto o que a lei nos obrigar a guardar.

Os dados do seu bebê e das crianças da casa são tratados no melhor interesse delas, com o seu consentimento como responsável legal (LGPD art. 14). Servem para acompanhar a alimentação da criança e nada além disso, e você pode apagá-los quando quiser. A permissão separada e em destaque prevista no art. 14, §1º será pedida em uma próxima versão.

Este aviso ainda vai passar por revisão jurídica. Uma mudança relevante é publicada aqui com a data nova e, assim que o aplicativo tiver essa tela, avisada nele antes de valer. Uma finalidade nova que dependa de consentimento é pedida de novo — a gente não reaproveita um sim antigo.

• 3 de setembro de 2026 — primeira versão.
• Guardamos as versões anteriores; peça uma pelo canal de contato.

Para qualquer coisa sobre os seus dados, para falar com o encarregado (a pessoa a quem você pode reclamar) ou para relatar um problema de segurança, escreva pelo canal de contato: e-mail de contato a definir.

Sobre as regras de uso do aplicativo, leia também os termos de uso do Dula.