Política de Privacidade

O Lifelyst é operado por Zion Bernardo dos Santos, que atua como controlador dos dados pessoais na forma da Lei Geral de Proteção de Dados (Lei nº 13.709/2018).

Esta política vale igualmente para o site lifelyst.com.br e para o app para Android distribuído pela Google Play — o app é o mesmo serviço, com a mesma conta e os mesmos dados.

O encarregado pelo tratamento de dados pessoais (o “DPO” do artigo 41 da LGPD) é o próprio Zion Bernardo dos Santos. Ele é quem recebe as reclamações e comunicações dos titulares e da Autoridade Nacional de Proteção de Dados.

Contato para qualquer assunto de privacidade, inclusive os pedidos da seção 8 e o contato com o encarregado: comercial.lifelyst@gmail.com.

Estas origens, e nenhuma outra:

• Cadastro — nome, sobrenome e e-mail. A senha é guardada apenas como hash (bcrypt): nem nós conseguimos lê-la. Se você entrar com o Google, recebemos o identificador da sua conta Google e o e-mail, e não a sua senha.
• Verificação em duas etapas, só se você ligar — a chave compartilhada com o seu app autenticador, guardada criptografada, e os códigos de recuperação, guardados apenas como hash.
• O que você escreve no app — tarefas, listas, anotações, rotina, metas, eventos, cadernos de estudo, e os registros de saúde (alimentação, água, exercícios, sono, cuidados pessoais e o histórico de peso) e de finanças (ganhos, despesas, contas fixas, parcelas, orçamentos, caixinhas, investimentos e valores a receber). Opcionalmente idade, peso, altura e foto de perfil.
• Dados de outras pessoas que você anota — por exemplo, o nome de quem te deve em A receber. Só existem porque você digitou, ficam visíveis apenas para você, e não são usados para contatar ninguém.
• A Lys (a assistente), só quando você a usa — a frase que você escreve ou dita (“comprei uma calça de 100 reais”) é enviada a um provedor de inteligência artificial para virar um formulário preenchido. O Lifelyst não guarda a frase: ela é usada, devolvida como sugestão na sua tela e descartada (o que o provedor faz com ela está na seção 5). Guardamos apenas quantas vezes você usou a Lys no mês, para o limite do seu plano. Se você denunciar uma resposta, aí sim a frase daquela vez chega a nós por e-mail — porque sem ela não há como apurar.
• As correções que você manda à Lys — se você tocar em “Não era isso” e disser o que queria, a frase daquela vez fica guardada, junto com o que a Lys entendeu e o que você corrigiu. Serve só para a equipe revisar e ensinar a Lys; o aviso aparece antes de você enviar. Não mostramos quem mandou a quem revisa, e ela sai junto com a exclusão da sua conta. Uma correção aprovada pode virar frase de teste da Lys, reescrita sem nada que identifique você.
• Ditar em vez de digitar — o microfone é o do próprio navegador. Dependendo do aparelho, o navegador envia o áudio aos servidores do fabricante dele (no Chrome, o Google) para transformar fala em texto, sob a política de privacidade desse fabricante. O Lifelyst recebe só o texto, nunca o áudio, e nada é gravado. Digitar funciona igual e não usa microfone nenhum.
• Extrato OFX, se você importar — o arquivo é lido no servidor e apenas os lançamentos que você confirmar na tela de conferência são gravados. O arquivo em si não fica guardado.
• Notificações no celular, só se você ligar — o endereço de entrega que o navegador do seu aparelho gera e as chaves que cifram a mensagem, mais o nome do aparelho para você o reconhecer na lista. Não é o número do seu telefone, não identifica você fora do serviço, e desligar a notificação (aqui ou no próprio navegador) apaga o registro.
• Convites de família — quando você convida alguém, guardamos o e-mail dessa pessoa até que ela aceite ou recuse. Se ela ainda não tiver conta, o convite espera pelo cadastro dela. Cancelar o convite apaga esse registro, e ele também é apagado se qualquer um dos dois excluir a conta.
• Denúncias — se você denunciar um item do mural da família, o motivo e o comentário que você escrever são enviados à equipe. Veja exatamente o que vai junto na seção 7.
• Registros técnicos — data e hora de acesso, seção visitada e erros da aplicação, além de marcas de uso do próprio app (quais novidades você já viu, quais passos do tutorial concluiu, quais alarmes já tocaram). Servem para manter o serviço de pé e entender o que está quebrado. Não fazemos perfilamento.
• Proteção contra invasão — para limitar tentativas repetidas de login e de redefinição de senha, o endereço IP e o e-mail digitado são usados como contador temporário. Esse contador não fica ligado à sua conta e expira sozinho em pouco tempo.
• Assinatura, só se você assinar um plano pago — valor, ciclo, data e situação de cada cobrança, além dos identificadores que o Mercado Pago (no site) ou a Google Play (no app para Android) devolvem. Nenhum dado de cartão passa por aqui: você o informa diretamente a um desses dois, e o Lifelyst não o recebe, não o vê e não teria onde guardá-lo.

• Fazer o app funcionar: mostrar a você o que você registrou, nas telas do serviço.
• Autenticar o seu acesso, manter a sessão e, se você ligar, pedir a segunda etapa.
• Tocar o alarme dos compromissos do Calendário e dos blocos da Rotina, conforme você configurar.
• Enviar e-mails que você pediu: redefinição de senha e, se você ligar cada opção, o resumo diário e o aviso de conta a vencer. Também avisos sobre a própria conta, como a confirmação de exclusão e as boas-vindas a um plano pago.
• Enviar notificações no celular, se você ligar essa opção.
• Compartilhar com o seu grupo familiar apenas os itens que você marcar como compartilhados.
• Mostrar o aviso de novidades quando o Lifelyst mudar, se você não o desligar.
• Processar pagamentos e liberar os recursos do plano contratado.
• Entender a frase que você escreve ou dita para a Lys e devolver o formulário preenchido — sempre para você conferir e salvar. A Lys nunca grava nada sozinha.
• Analisar denúncias feitas no mural da família e denúncias de respostas da Lys.
• Manter a segurança e diagnosticar falhas.

Não usamos os seus dados para publicidade, não os vendemos e não os cedemos a terceiros para fins comerciais.

• Execução de contrato (art. 7º, V) — cadastro, autenticação, o funcionamento das seções do app (incluindo o alarme, que pode ser desligado em Configurações) e o processamento da assinatura.
• Consentimento (art. 7º, I e art. 11, I) — dados de saúde, foto de perfil, resumo diário e aviso de vencimento por e-mail, notificações no celular, verificação em duas etapas e conexão com o Google Agenda. Cada um deles depende de você ligar ou registrar, e pode ser desligado de novo em Configurações, a qualquer momento e sem justificativa. A Lys também: ela só envia alguma coisa quando você escreve uma frase e pede para entender — não usar é simplesmente não abrir.
• Legítimo interesse (art. 7º, IX) — registros técnicos de acesso e erro, contadores contra tentativas de invasão e análise de denúncias, na medida necessária para a segurança e a manutenção do serviço.
• Cumprimento de obrigação legal (art. 7º, II) — registros de pagamento exigidos pela legislação fiscal e de defesa do consumidor.

Apenas com a infraestrutura que faz o serviço existir:

• Vercel — hospedagem da aplicação.
• Neon — banco de dados, em servidor na região de São Paulo.
• Google — apenas se você conectar o Google Agenda ou entrar com a conta Google. Lemos os eventos do seu calendário para trazê-los ao app e guardamos os tokens de acesso necessários para isso. O acesso é somente leitura: o Lifelyst nunca cria, altera ou apaga nada na sua agenda. Você pode desconectar a qualquer momento em Configurações — ao desconectar, apagamos os eventos importados e os tokens — e revogar o acesso também na sua conta Google.O uso e a transferência para qualquer outro app de informações recebidas das APIs do Google seguem a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado. Os dados do Google são usados só para mostrar seus compromissos dentro do Lifelyst: não são vendidos, não são usados para anúncios e não são usados para treinar modelos de inteligência artificial. Ninguém da equipe os lê, a não ser com a sua autorização (por exemplo, para resolver um problema que você relatou), por segurança ou quando a lei exigir.
• Gmail (SMTP) — entrega dos e-mails do serviço.
• Serviços de push do navegador (Google, Apple ou Mozilla, conforme o aparelho) — apenas se você ligar as notificações. Eles entregam a mensagem ao seu celular. O texto vai cifrado com uma chave que só o seu navegador tem, então o intermediário transporta sem conseguir ler.
• Mercado Pago — apenas se você assinar pelo site. Recebe o seu e-mail e um identificador interno da sua conta, para saber de quem é o pagamento. É o Mercado Pago quem coleta e guarda os dados do seu cartão, sob a política de privacidade dele.
• Google Play — apenas se você assinar pelo app para Android. A compra acontece na sua conta Google, sob as regras e a política de privacidade do Google; o Lifelyst recebe só o comprovante da assinatura (identificador do pedido e situação) para liberar o plano.
• OpenAI — apenas quando você usa a Lys. Recebe a frase que você escreveu ou ditou, e devolve o formulário preenchido; não recebe o seu nome, o seu e-mail, nem qualquer outro dado da sua conta. Pela política da OpenAI para a API, o conteúdo enviado não é usado para treinar os modelos dela. Ela pode guardar a frase por até 30 dias, só para detectar abuso, e depois a apaga.
• Fontes de cotação (brapi, Binance, AwesomeAPI e Yahoo Finance) — apenas se você usar a carteira de investimentos. Elas recebem somente o código do ativo (por exemplo, PETR4 ou BTC) para devolver o preço. Nenhum dado seu, nem a quantidade que você tem, é enviado.

Nada do que você registrou no app — saúde, finanças, anotações — é enviado a nenhum desses provedores além do armazenamento e da entrega que cada um faz. A única exceção é a frase que você mesmo escreve naLys, e apenas no momento em que você a usa. Não há nenhum outro compartilhamento: sem anunciantes, sem redes sociais, sem ferramentas de análise de comportamento.

Transferência internacional. Os provedores acima ficam fora do Brasil, e por isso os seus dados são processados e armazenados no exterior — principalmente nos Estados Unidos e na União Europeia. Isso vale para a hospedagem e o banco de dados (onde a sua conta inteira fica), para o envio de e-mails e para a Lys.

O fundamento é o artigo 33, inciso IX, da LGPD: a transferência é necessária para executar o contrato de uso do serviço que você aceitou — sem ela não há onde hospedar o Lifelyst nem como entregar um e-mail. No caso da Lys, que é opcional e só roda quando você escreve nela, vale também o inciso VIII: o seu consentimento específico, dado no momento em que você a usa.

Os países de destino nem sempre oferecem o mesmo grau de proteção da LGPD. Por isso o Lifelyst escolhe provedores que assumem contratualmente obrigações equivalentes às da lei brasileira, e envia a cada um o mínimo necessário — a Lys, por exemplo, recebe a frase e nada mais: nem o seu nome, nem o seu e-mail, nem qualquer outro dado da sua conta.

Todos são necessários ou guardam uma preferência sua — nenhum de propaganda ou rastreamento:

• lifelyst_session — mantém você conectado. Dura 30 dias.
• lifelyst_2fa — guarda, por alguns minutos, que a primeira etapa do login já foi feita, enquanto você digita o código da segunda.
• lifelyst-collapsed — lembra quais painéis você deixou recolhidos.
• lifelyst-menu — lembra se você recolheu o menu lateral.
• lifelyst-primeiros-passos — lembra que você já dispensou o guia de boas-vindas.
• lifelyst-convite-resumo e lifelyst-convite-push — lembram que você dispensou os convites para ligar o resumo diário e as notificações.
• google_oauth_state, google_oauth_from e google_login_state — protegem contra fraude o login e a conexão com o Google. Duram 10 minutos.

O tema claro ou escuro que você escolhe fica no armazenamento local do seu navegador, e não num cookie: ele nunca é enviado ao servidor.

Esta é a principal situação em que outra pessoa vê o que está na sua conta, e vale a pena ser exato sobre ela.

• Nada é compartilhado por padrão. Todo item nasce privado. Ele só passa a ser visto por alguém depois que você marca “compartilhar com a família”, um item de cada vez.
• O item compartilhado aparece na seção correspondente de cada membro — Afazeres, Metas, Calendário ou Anotações — com uma marca indicando que é da família e quem o publicou. Os membros podem ver e editar: concluir, alterar e somar progresso.
• A carteira da casa, em Finanças, é compartilhada por natureza: o que é lançado nela é visto por todos do grupo. A sua carteira pessoal continua só sua.
• Apagar e publicar continuam sendo só seus. Nenhum familiar pode excluir um item que você criou, nem marcar como compartilhado algo que você deixou privado.
• Qualquer membro pode tirar um item do espaço comum. Isso não apaga nada: o item volta a existir apenas na sua seção, inteiro.
• Sair do grupo desliga tudo automaticamente. Ao sair, ou ao ser removido, o que você havia compartilhado deixa de ser compartilhado — para que aquilo que você dividiu com uma casa nunca reapareça na tela de outra.
• Denúncia. Qualquer membro pode denunciar um item compartilhado por outra pessoa como ofensivo ou suspeito. Nesse caso, a equipe do Lifelyst recebe por e-mail o título e o conteúdo daquele item, o motivo e o comentário da denúncia, o nome do grupo e o e-mail de quem denunciou e de quem publicou — e usa isso apenas para analisar o caso. Quem publicou não é avisado de quem fez a denúncia.

A LGPD (art. 18) garante a você, entre outros, o direito de:

• confirmar que tratamos os seus dados e acessá-los;
• corrigir dados incompletos ou desatualizados;
• pedir a exclusão dos dados tratados com base no consentimento;
• receber os seus dados em formato legível por máquina (portabilidade);
• revogar o consentimento a qualquer momento.

Tudo isso você faz sozinho, sem pedir nada a ninguém. Em Configurações → Segurança:

• Baixar meus dados — gera na hora um arquivo .json com o seu perfil e todos os seus registros, em formato legível por máquina. Senhas e códigos de recuperação (que são apenas hash), a chave da verificação em duas etapas e os tokens de acesso ao Google ficam de fora por segurança.
• Excluir minha conta — apaga a conta e todos os registros associados a ela numa única operação, de forma irreversível. Você confirma digitando o seu e-mail, e recebe um aviso por e-mail assim que terminar. Também dá para começar por esta página, sem instalar nada.

Duas exceções, e são só duas: os registros técnicos de erro deixam de ter qualquer ligação com você (o identificador é removido) em vez de serem apagados, porque servem para manter o serviço de pé; e o registro de ações administrativas é mantido sem o seu nome, como histórico de segurança do serviço. Nenhum dos dois contém conteúdo que você tenha escrito.

Enquanto a sua conta existir. Depois de um pedido de exclusão, os dados são removidos do banco; cópias de segurança que ainda contenham o seu conteúdo são substituídas no ciclo normal de backup, em até 90 dias.

Você também pode escolher, em Configurações, que as tarefas concluídas sejam apagadas sozinhas depois de um prazo. Essa opção nasce desligada.

Uma ressalva sobre pagamento: o histórico de cobranças que fica aqui é apagado junto com a conta, mas o registro da transação continua existindo no Mercado Pago ou na Google Play, que são quem processou o dinheiro e têm obrigações fiscais próprias sobre ele. Esse prazo é definido por eles e pela legislação tributária, não por nós.

Os e-mails de denúncia ficam na caixa de entrada da equipe pelo tempo necessário para analisar o caso e atender eventual pedido das autoridades.

Conexões por HTTPS, senha guardada apenas como hash, sessão em cookie httpOnly assinado, limite de tentativas de login, verificação em duas etapas opcional, banco de dados com acesso restrito e credenciais fora do código-fonte. Nenhum sistema é imune a incidentes: se houver um que possa gerar risco relevante a você, comunicaremos por e-mail e à Autoridade Nacional de Proteção de Dados, como manda o art. 48 da LGPD.

As anotações que você marca como Senha recebem um cuidado a mais: o conteúdo é gravado criptografado (AES-256-GCM), com a chave guardada fora do banco de dados. Na prática, quem obtivesse uma cópia do banco — um vazamento, um backup extraviado — não conseguiria ler nada.

Por isso mesmo, uma anotação dessa categoria não pode ser compartilhada com o grupo familiar, por nenhum caminho: publicá-la significaria abri-la na tela de outras pessoas, e o cadeado no banco deixaria de proteger o que quer que fosse. Se você mover para Senha uma anotação que já estava compartilhada, o compartilhamento é desligado junto, no mesmo instante.

E o limite disso, dito com todas as letras: a chave vive no nosso servidor, então essa criptografia não impede que nós tecnicamente consigamos abrir o conteúdo. O título da anotação também não é criptografado, porque é o que aparece na listagem — evite escrever a senha nele. Para as senhas mais críticas (banco, e-mail principal), recomendamos um gerenciador de senhas dedicado, e não o Lifelyst.

O Lifelyst não é destinado a menores de 13 anos. Entre 13 e 18, o uso deve acontecer com consentimento e acompanhamento dos pais ou responsáveis — o que é especialmente relevante nas seções de saúde e de finanças.

Se algo mudar de forma relevante, a data no topo é atualizada e avisamos por e-mail ou por um aviso dentro do app antes de a mudança valer. Continuar usando o serviço depois disso significa concordar com a versão nova.