O que coletamos, e o que não

Quem responde e o que está coberto

A Salve Software é a controladora dos dados tratados no aplicativo Rotuz e no site rotuz.salvesoftware.com. Este documento vale para os dois, e informa o que é coletado, com que finalidade, com quem é compartilhado e como você exerce seus direitos.

O encarregado pelo tratamento de dados pessoais, na forma do artigo 41 da Lei 13.709/2018, é Angelo Omar Menti. Ele recebe reclamações e pedidos dos titulares e presta os esclarecimentos devidos.

Para qualquer assunto relacionado a dados pessoais, incluindo pedidos de acesso ou exclusão, o canal é contact@salvesoftware.com.

O Rotuz avalia rótulos de produtos. Ele não pede peso, altura, exame nem diagnóstico, e não pretende conhecer você. A única coisa que ele aceita sobre a sua alimentação é você marcar quais ingredientes prefere evitar, e a seção sobre metas diz o que isso guarda.

O que não sai do seu aparelho

O histórico do que você escaneou fica gravado apenas no aparelho, num banco local. Ele não é enviado aos nossos servidores, não é copiado quando você cria conta e não é recuperável por nós. Se você desinstalar o aplicativo, ele se perde, e não temos como devolvê-lo.

Também permanecem apenas no aparelho as suas preferências de idioma e tema, a marcação das dicas que já foram exibidas e o cache dos produtos consultados, que existe para o aplicativo continuar funcionando sem internet.

A câmera é a única permissão que o aplicativo solicita. Ela é usada no momento da leitura, para reconhecer o código de barras e, quando você opta por cadastrar um produto, para fotografar a embalagem. Não há acesso à sua galeria, aos seus contatos, à sua localização ou ao microfone.

Conta, e por que ela é opcional

É possível usar o Rotuz sem criar conta. Nesse caso, o aplicativo gera um identificador do aparelho e o envia ao nosso servidor, que cria um registro anônimo para reconhecer o aparelho nas próximas vezes e guardar preferências. Esse registro não contém nome, e-mail ou telefone.

Ao criar uma conta, os dados abaixo passam a existir no mesmo registro. A senha é guardada como hash, nunca em texto legível.

Ao criar conta, mandamos um link para confirmar que o endereço é seu. Fica gravada a data da confirmação e, até o link ser usado ou vencer, um código embaralhado que não permite reconstruir o link. O mesmo vale para o pedido de exclusão.

A base legal é a execução do contrato, prevista no artigo 7º, inciso V, da Lei 13.709/2018, já que sem esses dados o serviço contratado não funciona.

As metas alimentares, e onde elas ficam

O Premium inclui as metas alimentares. Você marca o que prefere evitar entre sódio alto, açúcar adicionado, corante artificial, gordura industrial e ultraprocessados. São cinco opções fechadas, todas sobre a composição do alimento.

A lista do que você marcou fica gravada na sua conta, e é a única coisa que sai do aparelho aqui. Ela existe para as suas metas acompanharem você quando trocar de celular.

A comparação entre o produto escaneado e as suas metas acontece dentro do aparelho, sobre o que já está no cache local. Não sabemos quais produtos furaram a sua meta, nem quantos, nem quando: esse resultado nunca é enviado.

Marcar uma meta não é declarar doença, e o aplicativo não pergunta por que você evita algo. Ainda assim, a escolha pode dizer algo sobre você, e por isso ela é opcional, tratada com base no seu consentimento, dado opção por opção. Desmarcar apaga a marcação, e cancelar o Premium para de avaliá-la.

Quando você cadastra um produto

Se um produto não está na base, o aplicativo oferece cadastrá-lo; se já está e os dados estão errados, oferece recadastrá-lo. Nos dois casos o fluxo é opcional e sempre parte de uma ação sua, e o que é coletado é o mesmo.

A leitura do rótulo acontece dentro do seu aparelho. O que segue para o nosso servidor é o texto reconhecido, junto do código de barras, do nome, da marca e da categoria que você confirmou. As fotos da embalagem são enviadas e armazenadas apenas se o cadastro for concluído.

Para interpretar a tabela nutricional, o texto lido do rótulo é enviado ao Gemini, do Google. Vai o texto, nunca as suas fotos, e isso só acontece quando você escolhe cadastrar.

Cadastrar exige conta, e o que você manda não vai direto para a base pública: entra numa fila de revisão. Enquanto está em análise, o produto existe só para você, e quem consulta aquele código de barras não o encontra.

Aprovado, ele passa a integrar a base pública e fica associado à sua conta, para que você possa acompanhar suas contribuições. Recusado, não é publicado, e o motivo da recusa fica registrado.

Esse crédito é público. Junto do produto aparece um nome de exibição montado com o que vem antes do arroba no seu e-mail, trocando ponto, traço e sublinhado por espaço: um endereço como nome.sobrenome@ vira Nome Sobrenome. Quem escanear aquele código de barras vê esse nome, e vale escolher o endereço da conta sabendo disso.

A embalagem fotografada é do produto, não sua; ainda assim, evite enquadrar pessoas ou documentos ao capturar.

Quem revisa o que você manda

A fila de revisão é operada num painel de administração, que só abre para conta com papel de administrador. Quem revisa vê o cadastro como ele chegou: as fotos da embalagem, a tabela nutricional interpretada, os aditivos encontrados e o texto cru lido do rótulo.

Na aba de contas, a curadoria vê o e-mail, a data de criação, o plano, quantos produtos a conta cadastrou e quantas denúncias ela fez. Isso existe para separar erro isolado de quem manda dado inventado em série, e não para conhecer você.

Você também pode denunciar um produto errado. Ficam gravados o código de barras, o motivo escolhido numa lista fechada e a conta que denunciou, uma denúncia por pessoa por produto. Excluída a conta, a denúncia permanece na fila sem vínculo com você, porque o sinal é sobre o produto.

Quando uma conta é impedida de cadastrar, ficam gravados a data, o motivo escolhido numa lista fechada e quem decidiu. Essa restrição tira o cadastro de produto, não o aplicativo: escanear e consultar continuam valendo.

Nenhuma rota da API concede o papel de administrador. Ele é atribuído direto no banco, e o painel entra com um token de escopo próprio, que dura oito horas: o token do aplicativo não abre o painel, nem quando a conta dele é administradora.

Notificações, e o que elas guardam

O aplicativo pode avisar quando um cadastro seu é aprovado ou recusado, e quando uma restrição de cadastro entra ou sai. São esses quatro avisos e nenhum além deles: notificação aqui não serve para promoção nem para trazer você de volta.

Para entregar o aviso, guardamos o identificador de notificação do aparelho, a plataforma e o idioma dele, associados à sua conta. Esse identificador é emitido pelo sistema operacional e não diz quem você é.

A permissão é sua, e o sistema pergunta antes. Recusando, ou desligando depois, o aplicativo continua inteiro e você vê a decisão ao abrir a tela dos seus cadastros. Quando o aparelho deixa de aceitar entregas, o identificador é apagado.

O site, e a medição que depende de você

Navegar pelo site não exige conta. O idioma escolhido, o tema e a sua resposta sobre medição ficam guardados no próprio navegador e não são enviados a lugar nenhum. As fontes são servidas por nós, e não pelo Google Fonts, de modo que abrir uma página não comunica a sua visita a terceiros.

Usamos o Google Analytics 4 para entender quais páginas cumprem seu papel e de onde vêm os downloads do aplicativo. Enquanto você não responder ao aviso, nada disso é carregado: nenhum arquivo é baixado, nenhum identificador é criado e nenhuma requisição sai do seu navegador em direção ao Google.

A base legal aqui é o seu consentimento, previsto no artigo 7º, inciso I. Ele pode ser revogado a qualquer momento pelo link no rodapé, com o mesmo esforço de uma aceitação.

Se você aceitar, passam a existir os identificadores abaixo, e a cada página são enviados esse identificador, o endereço visitado, a página de origem, o idioma do navegador, a resolução da tela, o endereço IP e a identificação do navegador.

São três eventos, e nenhum além deles: abertura de página, clique nos botões de download e clique para abrir a metodologia. Não veiculamos publicidade, não fazemos remarketing e não acompanhamos você em outros sites.

Medição e estabilidade do aplicativo

O aplicativo utiliza três serviços do Firebase. O Analytics registra eventos de uso, como telas abertas e escaneamentos realizados, sem o conteúdo do que foi escaneado. O Crashlytics envia relatórios quando o aplicativo falha, contendo o rastro do erro, o modelo do aparelho e a versão do sistema. O Performance Monitoring mede tempo de resposta e de carregamento.

Esses serviços operam sob o legítimo interesse de manter o aplicativo funcional e diagnosticável, conforme o artigo 7º, inciso IX. Eles não recebem o seu histórico, os produtos que você consultou nem as suas metas.

Com quem os dados são compartilhados

Não vendemos, alugamos nem trocamos dados pessoais. O compartilhamento se limita aos operadores necessários para o serviço funcionar.

A cobrança da assinatura é feita inteiramente pela App Store ou pelo Google Play. Não temos acesso ao seu cartão nem aos seus dados de pagamento; recebemos apenas a confirmação de que a assinatura existe e até quando vale.

Os dados de produto vêm em parte do Open Food Facts, base colaborativa aberta sob licença ODbL. Trata-se de informação sobre alimentos, não sobre pessoas.

Por quanto tempo guardamos

Os dados da conta permanecem enquanto ela existir. Solicitada a exclusão, o registro e os dados associados são apagados em até trinta dias. O que a lei obriga a guardar, e por quanto tempo, está na seção sobre apagar a conta.

Os produtos que você cadastrou permanecem na base pública, porque passam a ser informação sobre alimentos e não sobre você. Ao excluir a conta, o vínculo entre eles e a sua pessoa é desfeito.

O cadastro recusado e o registro de uma restrição de cadastro duram o que a conta durar: excluída a conta, os dois vão junto. Eles existem para sustentar a decisão e o caminho de volta dela.

O identificador de notificação dura enquanto o aparelho aceitar entregas. Ele é apagado na primeira recusa do sistema, e também na exclusão da conta.

Os cookies de medição do site expiram em cerca de treze meses, ou antes, se você revogar o consentimento ou limpar os dados do navegador.

Transferência internacional

Google, Cloudflare, Apple, Expo, Resend e Vercel processam dados fora do Brasil. Essas transferências ocorrem na forma do artigo 33 da Lei 13.709/2018, pelo mecanismo de cláusulas contratuais, e se restringem ao necessário para a prestação do serviço. A Resolução CD/ANPD nº 19/2024 fixa as cláusulas-padrão exigidas nesses contratos.

Como protegemos

O artigo 46 da Lei 13.709/2018 obriga a adotar medidas capazes de proteger os dados. As nossas são as seguintes.

• todo tráfego entre o aplicativo, o site e os nossos servidores trafega cifrado
• senhas são guardadas como hash derivado por scrypt, e não podem ser revertidas
• a emissão de sessão exige prova de integridade do aparelho, emitida pelo próprio sistema operacional
• há limite de tentativas por minuto na criação de conta e de sessão
• o acesso ao banco é restrito às pessoas que precisam dele para operar o serviço
• o acesso administrativo depende de papel atribuído fora da API e de token de escopo próprio, que expira em oito horas

Nenhuma medida elimina risco por completo. Se ocorrer incidente de segurança com risco relevante aos seus direitos, comunicaremos você e a Autoridade Nacional de Proteção de Dados, como exige o artigo 48.

Seus direitos

O artigo 18 da Lei 13.709/2018 assegura a você confirmação da existência de tratamento, acesso aos dados, correção de informação incompleta ou desatualizada, anonimização ou eliminação, portabilidade, informação sobre compartilhamento e revogação do consentimento.

Parte disso está sob o seu controle direto, sem precisar falar conosco:

• apagar o histórico local removendo os dados do aplicativo, ou desinstalando-o
• revogar a medição do site pelo link no rodapé, e limpar cookies pelo navegador
• alterar suas metas e o país do perfil dentro do aplicativo, a qualquer momento
• cancelar a assinatura pela App Store ou pelo Google Play

O artigo 20 garante ainda pedir revisão de decisão tomada unicamente por máquina. Aprovar um cadastro, recusá-lo e restringir uma conta são decisões de uma pessoa, não de um algoritmo. Automáticos são a leitura do rótulo e o cálculo da nota, e sobre esses você pode pedir os critérios, que também estão abertos na página de metodologia.

Para exclusão de conta, acesso ou qualquer outro pedido, escreva para contact@salvesoftware.com. O prazo de resposta é de quinze dias. Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados.

Como apagar a sua conta

Use a página rotuz.salvesoftware.com/account/delete: você informa o e-mail da conta e recebe um link de confirmação, que vale por uma hora. Não é preciso ter o aplicativo instalado, nem reinstalá-lo.

Nada é apagado ao abrir o link. A exclusão só acontece quando você clica no botão da página, porque leitor de e-mail costuma abrir endereços sozinho.

Confirmada a identidade, a conta e os dados ligados a ela são apagados em até trinta dias: o e-mail, a senha, o vínculo com os aparelhos, as metas alimentares, os cadastros que ainda estavam em análise e o identificador de notificação.

Duas coisas continuam, pelo mesmo motivo. Os produtos que você cadastrou e foram aprovados seguem na base, e as denúncias que você fez seguem na fila. As duas passam a existir sem vínculo com você, porque são informação sobre alimentos, não sobre a sua pessoa.

Os registros de acesso à aplicação ficam guardados por seis meses, sob sigilo, porque o artigo 15 da Lei 12.965/2014 obriga a guardá-los. Esse prazo corre mesmo depois da exclusão, e vencido ele os registros são descartados.

Cancelar a assinatura é passo separado, e é feito na App Store ou no Google Play. Apagar a conta aqui não interrompe a cobrança lá.

Crianças e adolescentes

O Rotuz não se destina a menores de treze anos e não coleta dados dessa faixa de forma consciente. Se tomarmos conhecimento de um cadastro nessas condições, ele será excluído. Responsáveis podem solicitar a remoção pelo canal de contato.

Dos treze aos dezoito, o uso depende de autorização de quem responde pelo adolescente. O artigo 14 da Lei 13.709/2018 manda tratar dado dessa faixa no melhor interesse dela, e é por isso que o aplicativo não pede dado de saúde de ninguém, não monta perfil de publicidade e não condiciona o uso a entregar mais do que o necessário.

Alterações neste documento

Mudanças relevantes na coleta serão refletidas aqui antes de entrarem em vigor. Quando afetarem algo que dependa de consentimento, ele será solicitado novamente, mesmo a quem já havia respondido.