Privacidade – Oriveli

1. Controlador

Christian Hermann & Martina Hermann GbR, An Rainen 3, 72525 Münsingen, Alemanha; e-mail: apps@bitbeans.de.

2. Dados tratados

Todos os dados do diário permanecem no aparelho. Registros, sintomas, medições, medicamentos, refeições, anotações, episódios, perfil, rascunhos, lembretes e ajustes são salvos localmente com criptografia AES-256-GCM. A chave fica no armazenamento de chaves do aparelho (Android Keystore ou chaveiro do iOS, vinculada a este aparelho) e não sai dele. Não há conta, cadastro nem sincronização na nuvem. O backup do sistema Android e a transferência de aparelho estão desativados para o Oriveli; no iOS os arquivos do app ficam fora do backup.

Dois pequenos armazenamentos ficam fora dessa criptografia e por isso não contêm nenhum dado de saúde: o do widget da tela inicial, que o launcher precisa conseguir ler, com o dia do último registro diário e três rótulos, e a fila de confirmações de toma tocadas em uma notificação, que guarda apenas o identificador do lembrete, o horário previsto e o momento do toque. Ali não há nome de medicamento, sintoma, medição nem anotação.

Se você ativar a importação do Health Connect (Android) ou do Apple Saúde (iOS), o Oriveli lê somente os tipos de dados que você libera um a um: duração do sono, frequência cardíaca em repouso, passos, peso, pressão arterial e saturação de oxigênio. A permissão é pedida ao sistema operacional separadamente para cada tipo e tudo vem desativado de fábrica. O Oriveli apenas lê e nunca escreve nada de volta; no máximo os últimos 30 dias são lidos. Os valores são salvos criptografados no aparelho como os seus próprios registros; nós não os recebemos. Você pode desativar a importação no app e retirar a permissão no Health Connect ou nos ajustes do iOS em Saúde. Os registros já importados permanecem até você excluí-los no histórico.

Tempo e polens ficam desativados até você ativá-los. Você escolhe o lugar em uma lista que acompanha o app; essa busca roda inteiramente no aparelho e não envia nada. O Oriveli não pede permissão de localização. Com a função ativada, no máximo uma vez por dia o lugar arredondado para 0,1 grau – cerca de 10 quilômetros – vai para a MET Norway, na Noruega, junto com uma identificação do app formada por nome, versão e um endereço de contato, como exigem as condições desse serviço. O arquivo de polens do serviço meteorológico alemão é baixado inteiro e sem qualquer indicação de lugar; a região de polens é determinada pelo próprio aparelho e só existem valores de polens para regiões da Alemanha. Como em qualquer requisição de rede, o seu endereço IP fica tecnicamente visível para os dois. Nenhum dado de saúde e nenhum identificador são transmitidos. Se você desativar a função, nada mais é enviado e o lugar salvo é esquecido.

Para compra, restauração e a cota de análises com IA, o app cria um identificador de convidado anônimo e aleatório e o guarda no armazenamento de chaves do aparelho. Ele não contém nome nem e-mail e não é um identificador de publicidade ou do fabricante. Junto com a plataforma da loja, o identificador do produto e o comprovante de compra, ele é enviado ao nosso backend AppCore para verificar a assinatura e registrar o direito de uso.

Durante a compra e a restauração o app envia ainda eventos técnicos fixos ao mesmo backend: nome do evento, etapa do fluxo, motivo de erro fixo, plataforma, versão do app e identificador do produto. Eles nos ajudam a identificar compras interrompidas ou malsucedidas. Não contêm dados de saúde.

Uma análise com IA só transfere dados depois que você consentiu, viu a prévia e confirmou aquele pedido específico. A prévia mostra cada item na íntegra e o app cancela o envio se o pacote não corresponder à prévia confirmada. O que é enviado é um resumo: período, áreas selecionadas, nomes dos campos, contagens de valores e dias, indicações de origem como “Health Connect” e as unidades usadas. Na comparação “relações” somam-se os valores de grupo de uma única pergunta feita por você: número de dias por grupo, média, mediana, valor mais baixo e mais alto, a diferença e a duração do período comparado. O valor mais baixo e o mais alto são medições reais suas, porém sem data e sem vínculo com um registro específico. Textos de anotações, fotos, registros datados individuais, nome, e-mail, local e dados de compra não são enviados; identificadores de campos e registros são antes substituídos por números sequenciais. A comparação em si é calculada no aparelho; o modelo apenas redige o resultado.

Lembretes e lembretes de medicação são agendados exclusivamente pelo sistema operacional no aparelho. Nada é enviado a um servidor para isso. De fábrica o texto não menciona a doença nem o medicamento, porque pode aparecer na tela bloqueada; nomes de medicamentos só aparecem se você ativar isso expressamente. Ao tocar em “Tomado” na notificação, surge um registro no diário criptografado. O widget da tela inicial mostra apenas se o dia de hoje já foi registrado, e nenhum valor de saúde. Os cartões de sugestão em “Hoje” são gerados inteiramente no aparelho comparando listas fixas de palavras-chave com as suas anotações; nesse processo nada é enviado.

O relatório médico em PDF, a exportação em CSV ou texto e o backup são gerados no aparelho; nenhum servidor participa. Pelo menu de compartilhamento você decide para onde o arquivo vai. O backup é criptografado com a sua própria frase-senha (PBKDF2-HMAC-SHA256 com 600.000 iterações, AES-256-GCM); sem ela ninguém consegue abri-lo, nem nós. O relatório e a exportação CSV são propositalmente não criptografados para que um consultório consiga lê-los: trate-os como um documento de saúde. Valores importados do Health Connect ou do Apple Saúde e os valores salvos de tempo e polens são registros comuns e por isso são incluídos se estiverem dentro do período e da área escolhidos.

O app não contém publicidade, SDKs de análise ou rastreamento, rastreamento publicitário nem perfis de uso. Não criamos perfis sobre você, não vendemos dados pessoais e não repassamos dados de saúde a redes de publicidade ou corretores de dados.

3. Finalidades e bases legais

As funções do diário rodam no aparelho; ali não tratamos dados por você. O mesmo vale para os valores do Health Connect ou do Apple Saúde: eles são lidos e salvos apenas pelo seu aparelho. Compra, restauração e direito de uso da assinatura são tratados para executar o contrato (art. 6(1)(b) do GDPR). A sessão de convidado anônima, os eventos fixos de compra e a contagem da cota servem à segurança, à prevenção de abusos e ao funcionamento correto (art. 6(1)(f) do GDPR). Tempo e polens só são consultados se você ativar a função; a base é o seu consentimento (art. 6(1)(a) do GDPR), revogável a qualquer momento ao desativá-la. A análise com IA trata dados de saúde e ocorre exclusivamente com base no seu consentimento explícito (art. 9(2)(a) combinado com o art. 6(1)(a) do GDPR), dado antes da primeira análise e revogável a qualquer momento com efeito para o futuro. Sem esses consentimentos, todas as demais funções continuam disponíveis.

4. Destinatários e prestadores de serviço

Usamos a Cloudflare para o nosso backend AppCore na UE. Nele funcionam a sessão de convidado anônima, a verificação do comprovante da loja, a cota de análises com IA e o encaminhamento de uma análise confirmada. Para redigir a análise recorremos à xAI (Grok, api.x.ai) nos EUA como operadora. Se você ativar tempo e polens, o app consulta o Instituto Meteorológico da Noruega (MET Norway, api.met.no) e o serviço meteorológico alemão (opendata.dwd.de); a MET Norway recebe o lugar arredondado, o DWD nenhuma indicação de lugar, e nenhum dos dois recebe dados de saúde. Apple e Google processam compra e pagamento como fornecedores independentes. Health Connect e Apple Saúde são serviços do seu sistema operacional; os valores lidos ali permanecem no aparelho e não chegam até nós. Não usamos redes de publicidade, corretores de dados ou serviços de analytics.

5. Transferências internacionais

Nosso backend roda na Cloudflare, na UE. A MET Norway fica na Noruega e o serviço meteorológico alemão na Alemanha; ambos estão no Espaço Econômico Europeu, portanto não há transferência para país terceiro. Apenas o resumo que você confirmou é transferido para a xAI nos EUA para ser redigido. Baseamos essa transferência em um contrato de operador com cláusulas contratuais padrão da UE e no seu consentimento explícito. Sem consentimento não há transferência para um país terceiro.

6. Publicidade e rastreamento

O app não contém publicidade, SDKs de análise ou rastreamento nem rastreamento publicitário. Não criamos perfis publicitários, não vendemos dados pessoais e não repassamos dados de saúde a redes de publicidade ou corretores de dados.

7. Retenção e segurança

Os dados locais permanecem no aparelho até você excluí-los no app ou pelas configurações do sistema. Dados de tempo em cache com mais de 48 horas são descartados pelo próprio app. No servidor guardamos a sessão de convidado anônima e o direito de uso da assinatura enquanto forem necessários para verificação, restauração, prevenção de abusos e obrigações legais. O pacote de IA e a resposta não são armazenados nem registrados; contamos apenas uso e custo, sem conteúdo. Todas as transmissões são criptografadas e os dados locais do diário usam AES-256-GCM.

8. Excluir dados e conta

“Excluir todos os dados” nos ajustes remove registros, perfil, rascunhos, lembretes, ajustes, os arquivos de backup e exportação dentro do app e a chave no aparelho; o que sobrar deixa de ser legível. Lembretes agendados são cancelados, a fila de confirmações de toma é esvaziada e o widget da tela inicial esquece o dia do último registro. Não há conta a ser excluída. Arquivos que você já compartilhou permanecem onde os salvou. Para pedidos sobre a sessão de convidado anônima ou o direito de uso, escreva para apps@bitbeans.de informando a plataforma e a data aproximada da compra, para que possamos localizar o registro. A assinatura em si é gerenciada na Apple ou no Google.

9. Seus direitos

Nos termos da lei, você tem direitos de acesso, correção, exclusão, limitação, portabilidade e oposição. O consentimento pode ser retirado para o futuro. Você também pode reclamar a uma autoridade de proteção de dados; o LfDI Baden-Württemberg é responsável pela nossa sede.

10. Health Connect e Apple Saúde

O Oriveli usa valores do Health Connect e do Apple Saúde exclusivamente para as funções que você mesmo ativou: registrar, exibir e revisar os seus valores no seu próprio diário neste aparelho. Ao fazê-lo, cumprimos os requisitos de uso limitado (Limited Use) das permissões do Health Connect do Google Play e as regras da Apple para o HealthKit.

Na prática: não transferimos esses valores para os nossos servidores nem para terceiros. Não os usamos para publicidade, marketing ou revenda e não os repassamos a corretores de dados, serviços de informação, seguradoras ou empregadores. Ninguém aqui os lê; eles não nos são tecnicamente acessíveis. O Oriveli apenas lê e não escreve nada de volta no Health Connect ou no Apple Saúde.

Se valores importados passarem a fazer parte de uma análise com IA, isso só acontece quando você confirma aquela análise individualmente, e apenas as informações resumidas descritas na seção 2 são transferidas. Você pode retirar a liberação por tipo de dado a qualquer momento: no app com o respectivo interruptor e no sistema pelo Health Connect ou pelos ajustes do iOS em Saúde.

11. Fontes e licenças

Tempo: baseado em dados da MET Norway (CC BY 4.0), resumidos em médias diárias. Índice de risco de polens e regiões de polens: Quelle: Deutscher Wetterdienst (CC BY 4.0). Lista de lugares: GeoNames (CC BY 4.0).

Essas informações servem à sua própria observação. São valores de previsão e de índice para uma região, não uma medição no local onde você está, e não verificamos a sua exatidão.