Política de Privacidade

Controlador dos dados

Controlador é a pessoa jurídica a quem compete as decisões sobre o tratamento de dados pessoais (LGPD art. 5º, VI). No caso do Numo:

Encarregado pela proteção de dados (DPO)

Nomeamos um Encarregado pela Proteção de Dados (art. 41 da LGPD) responsável por receber comunicações de titulares e da ANPD, orientar colaboradores e executar demais atribuições determinadas pelo controlador.

Bases legais

O tratamento de dados pessoais só ocorre quando há base legal prevista nos artigos 7º (dados em geral) e 11 (dados sensíveis, incluindo saúde). Utilizamos:

• Execução de contrato (art. 7º, V): para prestar o Serviço contratado
• Consentimento (art. 7º, I e art. 11, I): para dados sensíveis de saúde e finalidades específicas (marketing, compartilhamento com profissional)
• Obrigação legal (art. 7º, II): para guarda fiscal, tributária e cumprimento de ordem judicial
• Legítimo interesse (art. 7º, IX): para segurança, prevenção a fraude, analytics agregados e melhoria do Serviço
• Proteção da vida (art. 7º, VII e 11, II, c): emergências médicas comprovadas
• Tutela da saúde em procedimento profissional (art. 11, II, f): quando dados sensíveis são tratados por nutricionista/personal trainer vinculado

Dados que coletamos

4.1 Dados cadastrais

• Nome completo
• Email
• Senha (armazenada com hash Argon2id — nunca em texto claro)
• Papel (cliente, nutricionista, personal trainer, administrador)
• Número de registro profissional (CRN/CREF) — para profissionais
• Foto de perfil (opcional)
• Telefone (opcional)

4.2 Dados sensíveis de saúde (art. 5º, II da LGPD)

• Peso, altura, idade, gênero
• Objetivo nutricional (perda de peso, ganho de massa, manutenção, etc.)
• Condições pré-existentes declaradas (diabetes, hipertensão, alergia alimentar, restrição)
• Medicamentos em uso declarados (apenas se você informar no prontuário)
• Resultados de exames laboratoriais submetidos
• Medidas antropométricas (circunferências, dobras cutâneas)
• Fotos para análise de composição corporal (Body3D)
• Registros de refeições, hidratação e atividade física
• Humor/energia/sono (se ativos no app)

4.3 Conteúdo enviado

• Fotos de alimentos (analisadas por IA)
• Áudios descrevendo refeições (transcritos e analisados)
• Textos livres (observações, metas, anotações)
• Documentos anexados (comprovação de vínculo acadêmico para desconto de estudante)

4.4 Dados de pagamento

Processados pela Pagar.me (Stone). Armazenamos apenas: últimos 4 dígitos do cartão, bandeira, status e ID da transação. Não armazenamos número completo de cartão, CVV ou senha do banco.

• Chave Pix (quando você cadastra para receber comissão de afiliado)
• Histórico de transações (valores, datas, status)

4.5 Dados de uso

• Logs de acesso: data/hora, IP (anonimizado após 6 meses), user-agent
• Interações com o aplicativo (telas visitadas e recursos utilizados), quando você ativa a opção de compartilhar dados de uso em Configurações
• Métricas de visitas às páginas públicas, origem da campanha, cliques em botões, rolagem, seções visualizadas e tempo de engajamento coletadas pelo Google Analytics 4 apenas quando você autoriza essa opção
• Quando você autoriza a medição de campanhas: identificadores da Meta, visitas às páginas públicas de campanha, cliques nas lojas e o valor, moeda e identificador de compras efetivamente pagas
• Preferências (idioma, sistema de unidades, notificações)
• Token do dispositivo para push notifications (opcional)

4.6 Dados técnicos

• Modelo e sistema operacional do dispositivo
• Versão do app/browser
• Identificador anônimo do dispositivo

4.7 Quizzes públicos do site

Ao concluir um quiz, guardamos as alternativas escolhidas, o tipo de quiz, o resultado exibido e, quando presentes no link, parâmetros de campanha. Usamos esses dados para entender interesses e melhorar a apresentação do Numo. O quiz não pede diagnósticos, medidas corporais ou exames.

Nome (opcional) e email só são vinculados às respostas se você preencher o formulário final e autorizar o contato. O formulário de contato é destinado a maiores de 18 anos. O resultado e o download do aplicativo não dependem desse envio. Você pode pedir a exclusão do contato pelo endereço indicado na seção Como exercer seus direitos.

Como coletamos

• Diretamente de você: no cadastro, ao preencher formulários e ao usar o Serviço
• Automaticamente: via cookies essenciais e logs de servidor
• Inferência por IA: quando a IA identifica alimentos numa foto ou macros em um plano, o resultado é um dado derivado que tratamos com a mesma base legal do dado original
• De terceiros autorizados: quando você usa "Entrar com Google" ou sincroniza Google Calendar (mediante seu consentimento explícito)
• De profissional vinculado: quando nutricionista/personal trainer cadastra você como paciente, com seu consentimento

Nunca compramos dados de listas de terceiros e não fazemos web scraping de dados pessoais.

Finalidades e bases legais por finalidade

Compartilhamento

Não vendemos, alugamos ou trocamos dados pessoais com terceiros para marketing. Compartilhamentos se dão exclusivamente com:

7.1 Operadores (processadores contratados)

Operadores tratam dados em nosso nome, sob contrato de DPA (Data Processing Agreement):

7.2 Profissionais vinculados

Quando você convida um nutricionista/personal trainer ou aceita um convite, seus dados (incluindo sensíveis de saúde) são compartilhados com o profissional para fins de acompanhamento. Você pode revogar o acesso a qualquer momento em Configurações → Profissionais vinculados.

7.3 Obrigações legais

Podemos ser obrigados a compartilhar dados mediante ordem judicial, ordem administrativa de autoridade competente ou para exercer direitos em processos judiciais. Nestes casos, compartilhamos o mínimo necessário e, quando legalmente possível, notificamos você.

7.4 Sucessão empresarial

Em caso de fusão, aquisição ou venda de ativos da Aster Tech, dados pessoais podem ser transferidos ao sucessor, que ficará obrigado a observar esta Política ou outra igualmente protetiva. Você será notificado com pelo menos 30 dias de antecedência.

7.5 Conteúdo profissional opt-in (receitas públicas)

Profissionais (nutricionistas, personal trainers) podem optar voluntariamente por publicar receitas no catálogo público do Numo. Ao ativar essa opção em uma receita, os seguintes dados ficam visíveis para qualquer usuário do app:

• Nome profissional ou de exibição
• Foto/logo profissional (logo da clínica ou avatar pessoal)
• Número de registro profissional (CRN/CREF)
• Especialidade declarada

Base legal: consentimento (art. 7º, I da LGPD), revogável a qualquer momento desativando o toggle "Pública no catálogo Numo" na edição da receita. Após a revogação, sua identidade deixa de ser exibida em novas requisições. Receitas privadas ou marcadas apenas para acompanhamento individual nunca expõem essas informações.

Transferência internacional de dados

Alguns operadores (Google, Cloudflare, Apple) processam dados em servidores fora do Brasil. A LGPD (art. 33) permite transferência internacional quando:

• O país de destino oferece grau de proteção adequado (reconhecido pela ANPD), ou
• O controlador oferece garantias contratuais (cláusulas padrão, DPA, certificações), ou
• Houver consentimento específico do titular para a transferência

Para o Google Gemini, dados são transmitidos via TLS 1.3, processados em tempo real e não são retidos pelo Google para treinamento de modelos conforme Termos de Serviço da API Gemini.

Retenção e exclusão

Mantemos dados pessoais apenas pelo tempo necessário para as finalidades declaradas:

Exclusão da conta

Você pode excluir sua conta no painel em Configurações → Conta → Excluir conta. Após confirmação por email, os dados são anonimizados ou apagados em até 30 dias, preservados apenas os dados com retenção legal obrigatória (acima).

Dados vinculados a prontuário profissional (exames, anamneses, planos) ficam disponíveis para o profissional responsável conforme obrigação do conselho de classe (CRN/CREF), sem identificação ativa do titular.

Segurança

Adotamos medidas técnicas e organizacionais para proteger seus dados:

Técnicas

• Criptografia em trânsito: TLS 1.3 obrigatório (HTTP redireciona para HTTPS)
• Criptografia em repouso: AES-256 no banco de dados e nos backups
• Senhas com hash Argon2id (padrão OWASP)
• Tokens de autenticação PASETO v4.local (mais seguros que JWT)
• Refresh token com rotação e revogação
• Rate limiting e proteção contra força bruta (15 tentativas/hora)
• WAF da Cloudflare contra ataques OWASP top 10
• Monitoramento 24/7 de logs e alertas de segurança
• Auditoria de acesso a dados sensíveis (quem acessou o quê, quando)

Organizacionais

• Acesso mínimo necessário (least privilege) para colaboradores
• Treinamento periódico de equipe em LGPD e segurança
• Contratos de confidencialidade com todos os colaboradores e operadores
• Política de desenvolvimento seguro (code review, SAST, dependências auditadas)
• Backups diários com retenção 90 dias em localidade geográfica distinta
• Plano de resposta a incidentes testado periodicamente

Apesar de todas as medidas, nenhum sistema é 100% imune. Se suspeitar de acesso não autorizado à sua conta, altere a senha imediatamente e contate privacidade@astertechltda.com.

Seus direitos

A LGPD (art. 18) garante a você, como titular dos dados, os seguintes direitos:

1. Confirmação da existência de tratamento
2. Acesso aos dados pessoais que possuímos sobre você
3. Correção de dados incompletos, inexatos ou desatualizados
4. Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade
5. Portabilidade dos dados a outro fornecedor, em formato estruturado e interoperável (JSON)
6. Eliminação dos dados tratados com consentimento (salvo hipóteses legais)
7. Informação sobre compartilhamento com entidades públicas e privadas
8. Informação sobre a possibilidade de não fornecer consentimento e as consequências
9. Revogação do consentimento a qualquer momento
10. Oposição a tratamento realizado com fundamento em hipótese de dispensa de consentimento, quando houver descumprimento da LGPD
11. Revisão de decisões tomadas unicamente com base em tratamento automatizado (ver seção 15)

Como exercer seus direitos

Para exercer qualquer direito acima:

1. Canal preferencial (para titulares com conta): painel em Configurações → Privacidade → Solicitar meus dados
2. Email: envie pedido para privacidade@astertechltda.com com:
   • Nome completo e email da conta
   • Direito que deseja exercer
   • Documento de identidade (RG/CNH com foto) para verificação de identidade

Prazo de resposta: até 15 dias, conforme art. 19 da LGPD. Em casos de complexidade elevada, podemos estender o prazo mediante justificativa por escrito.

Gratuidade: o atendimento é gratuito e ilimitado para o primeiro pedido de cada tipo de direito em cada período de 12 meses. Pedidos manifestamente infundados ou repetitivos podem gerar cobrança administrativa proporcional.

Cookies e tecnologias similares

O Numo utiliza cookies e armazenamento local para:

• Essenciais (sempre ativos): autenticação (PASETO), sessão, preferências de idioma, CSRF protection. Sem estes, o Serviço não funciona.
• Funcionais: lembrar configurações (tema, unidade métrica/imperial, código de referência afiliado)
• Métricas de uso (opcionais): Google Analytics 4 nas páginas públicas do site após sua escolha, incluindo visitas, cliques, rolagem e tempo com a página em foco; métricas de uso do aplicativo em Configurações
• Campanhas (opcionais e separadas): Pixel da Meta nas páginas públicas de campanha, cookies _fbp e _fbc, clique para as lojas, eventos de instalação/abertura do aplicativo e compras confirmadas enviadas pelo servidor. No iOS, solicitamos também a permissão de rastreamento do sistema.

Os eventos opcionais do aplicativo descrevem interações com telas e recursos. Não incluem alimentos consumidos, fotos, áudio ou informações do perfil nutricional. Identificadores de instalação podem permitir associar eventos do mesmo aparelho e não são dados anônimos.

Você pode aceitar, recusar ou alterar cada opção no aviso de privacidade e em “Preferências de cookies” no rodapé. No aplicativo, a opção de campanhas fica em Configurações. A revogação interrompe novos eventos no dispositivo e cancela envios pendentes no servidor assim que a preferência é sincronizada. Eventos já recebidos por terceiros estão sujeitos às políticas de retenção deles.

Menores de idade

O Numo é direcionado a maiores de 18 anos. Menores entre 13 e 17 anos podem utilizar o Serviço apenas com consentimento específico e em destaque dos pais ou responsáveis legais, conforme art. 14 da LGPD. Não aceitamos cadastros de menores de 13 anos.

Ao identificar uso por menor sem consentimento, a conta é imediatamente suspensa e os dados excluídos em até 5 dias úteis. Se você é pai/responsável e identificar tal situação, contate privacidade@astertechltda.com.

Decisões automatizadas e IA

O Numo utiliza inteligência artificial (Google Gemini) para:

• Identificar alimentos em fotos e estimar porções
• Transcrever áudios
• Gerar propostas de plano alimentar
• Interpretar exames laboratoriais (pré-análise)
• Calcular medidas corporais via Body3D

Para solicitar revisão, entre em contato com o profissional responsável (se houver vínculo) ou com privacidade@astertechltda.com.

Incidentes e notificação

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Aster Tech cumprirá as obrigações do art. 48 da LGPD:

1. Notificação à ANPD (Autoridade Nacional de Proteção de Dados) em prazo razoável (orientação: até 72h)
2. Comunicação aos titulares afetados pelo email cadastrado, descrevendo: natureza do incidente, dados afetados, medidas tomadas e orientações
3. Publicação de aviso público em numonutri.com quando o escopo for amplo
4. Revisão interna para mitigação e prevenção de recorrência

Alterações nesta Política

Podemos atualizar esta Política periodicamente. Alterações substanciais serão comunicadas por email e notificação in-app com pelo menos 30 dias de antecedência. A versão vigente estará sempre disponível em numonutri.com/privacy.

Versões anteriores ficam arquivadas por 5 anos e podem ser consultadas mediante solicitação ao DPO.

Contato e ANPD

Canais Numo

Autoridade de controle

Caso você entenda que seus direitos não foram atendidos, pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD):