Resumo da Política de Privacidade do Menuli

Última atualização: 11 de novembro de 2026 (o nome do app, Menuli). Antes: 20 de outubro de 2026.

Este é um resumo da nossa Política de Privacidade (versão completa em espanhol; também em inglês) para quem vive no Brasil.

Quem é o controlador

Juan Francisco Jiménez Martín (juanfrandevs), desenvolvedor independente na Espanha. NIF 74929807Q. Endereço: Avda. Hernán Núñez de Toledo 12, 29018 Málaga (Espanha). Telefone: +34 952 22 86 39. Canal de comunicação com os titulares e com a ANPD: juanfrandevs@gmail.com.

Quais dados tratamos e para quê

Conta sem cadastro: um identificador aleatório, para guardar seus cardápios. Não pedimos nome nem e-mail.
Sua casa e suas preferências: quantas pessoas comem, porções, estilo de comida e tempo para cozinhar, para montar o cardápio e a lista de compras.
Alergias e restrições, dados do corpo (ano de nascimento, sexo, altura, peso, atividade, meta, ritmo e meta definida à mão), o que você registra que come (prato, porção, calorias e macros e a hora em que você registra; para «algo fora do cardápio», o nome que você escrever) e seus pesos: são dados pessoais sensíveis de saúde. Você não é obrigado a fornecê-los nem a autorizá-los: o app funciona sem eles. As alergias valem sempre no seu celular e só ficam nos nossos servidores com o seu consentimento específico; os dados do corpo, o registro e os pesos só são guardados com o consentimento de saúde, também no celular. Você pode revogar cada um a qualquer momento em Profile → Privacy and consent (o app aparece em inglês no Brasil). Sem o consentimento de saúde não se registra nada, nem só no celular. Ao revogá-lo, a meta, os dados do corpo, o registro e os pesos são apagados dos nossos servidores e de todos os seus aparelhos. Para confirmar que você é adulto pedimos a idade ou a data de nascimento, mas só guardamos o ano; nunca perguntamos por que você escolhe registrar sem meta ou sem números. As alergias guardadas com consentimento também são contadas, de forma agregada e anônima, para melhorar o catálogo de receitas. Sem consentimento, as alergias continuam valendo no seu celular e não saem dele.
Se você vincular uma conta Google ou Apple: o e-mail e o identificador dessa conta (com Google, também o nome e o link da foto do perfil, que o app não usa). Na primeira vinculação, escrevemos para esse e-mail para confirmar (interesse legítimo na segurança da conta, um só e-mail, sem publicidade).
E-mails do serviço: a confirmação do contrato Premium quando verificamos uma assinatura nova (obrigação legal da lei espanhola de consumo, art. 98.7 do TRLGDCU) e, se você apagar a conta e tinha Google ou Apple vinculado, a confirmação do apagamento (lemos o e-mail antes de apagar e não o guardamos depois).
Se você assinar: o plano, a loja e a validade. O pagamento é feito pela loja; não vemos seus dados de pagamento.
Código do dispositivo: um código derivado do celular, para que a semana grátis seja uma por dispositivo.
Avisos de segurança: uma vez por semana o app olha a tendência do seu peso e o que você registra. Se a sua meta é perder peso e ele cai rápido demais, aumenta sua meta e avisa, e não a baixa dessa cifra nas 4 semanas seguintes; se o peso fica abaixo do saudável para a sua altura, ou pela idade já não propomos perder, passa a manter. Nos outros casos (perda rápida sem meta de perder, ou o que você registra muitas vezes abaixo do mínimo) sugere falar com o seu médico, sem mudar a meta. Nunca diminui a meta sem que você peça. Não é diagnóstico nem conselho médico. Nenhuma notificação leva dados de saúde.
Lembretes no celular (criar a semana, as compras, o batch, o fim da semana grátis e o temporizador do batch): começam desligados, você escolhe quais ativar e ficam só no seu celular, sem passar pelos nossos servidores. O lembrete de se pesar fica com os seus ajustes do registro, sob o consentimento de saúde.
Mensagens no app (novidades, dicas e avisos do serviço, no sino da tela inicial): o texto é o mesmo para todos; o que você leu ou dispensou fica só no seu celular.
Novidades do app (funções novas, dicas de cozinha e, ao ativá-las, alguns e-mails de boas-vindas) por notificação ou por e-mail, só se você aceitar (uma por celular para as notificações; uma por conta para o e-mail): guardamos o identificador de notificações desse celular (dado pelo Google Firebase ou pela Apple), ou o seu e-mail e idioma na nossa lista de novidades na Brevo, e qual novidade foi enviada e quando. No máximo uma por semana, sem preços nem ofertas, e quem recebe nunca é escolhido por dados de saúde. Cada envio por e-mail é uma campanha da Brevo, que registra se você abriu o e-mail e o que clicou. Você cancela com um toque em Profile → Notifications and email ou pelo link de cada e-mail (nesse caso a Brevo guarda o cancelamento para não voltar a escrever).
Analytics (Google Firebase), só se você aceitar neste celular: quais telas e funções você usa, modelo do celular e região aproximada. Nunca alergias, dados do corpo, o que você registra, seus pesos ou o que você escreve. Relatórios de falhas (Firebase Crashlytics), também só se você aceitar, para corrigir erros.
Inteligência artificial: os cardápios não são feitos por IA. Na sessão de batch, se você aceitar, um serviço de IA (OpenAI ou, como reserva, DeepSeek ou Gemini) recebe apenas as receitas do catálogo, nenhum dado seu. Ao registrar algo fora do cardápio, se você aceitar à parte (um consentimento próprio, pedido na primeira vez), «Calcular com IA» envia só à OpenAI o texto que você escreveu, o idioma e a refeição, sem o seu identificador, para estimar as calorias; antes, um filtro da OpenAI e o próprio modelo verificam se o texto fala em se machucar ou em deixar de comer e, nesse caso, o app não calcula nada e mostra onde pedir ajuda conforme o país em que o celular está (no Android, o da rede móvel; no iPhone, a região dos ajustes): na Espanha, o 024; nos EUA, nos seus territórios com o 988 e no Canadá, o 988; nos demais países, só o número de emergência e o seu médico), sem guardar essa verificação; no Brasil, o CVV atende pelo 188, embora o app não o mostre; é um dado de saúde, não fica nos nossos servidores e a OpenAI pode guardá-lo até 30 dias para evitar abusos, sem treinar com ele. O resultado é aproximado: você o revisa antes de salvar.

Não há publicidade, não vendemos nem cedemos dados e não fazemos rastreamento entre apps. O app é para maiores de 18 anos.

Com quem compartilhamos

Os dados são tratados por nossa conta, como operadores e com contrato, por Supabase (servidores na União Europeia, Irlanda), Google Firebase (UE e EUA; analytics, falhas e, no Android, a entrega das novidades por notificação), Apple (EUA; a entrega das novidades por notificação no iPhone) e Brevo (França; os e-mails do app e, se você aceitar, as novidades). A Apple e o Google distribuem o app e cobram as assinaturas como controladores próprios. Só entregamos dados a autoridades quando a lei ou uma ordem judicial obriga.

Por quanto tempo

Enquanto você tiver a conta. Ao apagá-la, os dados somem da nossa base na hora e das cópias de segurança em até 30 dias. Dos e-mails do serviço não guardamos o conteúdo, só quando saíram (e, na confirmação do Premium, os dados do contrato: plano, loja, data e preço); a Brevo guarda o registro de cada envio (destinatário, assunto e data) por 30 dias. Contas sem cadastro e sem uso são apagadas após 12 meses. O código do dispositivo é guardado até 24 meses após o uso da semana grátis. Os dados de analytics por evento, 14 meses; os relatórios de falhas, 90 dias. O identificador de notificações, enquanto as novidades estiverem ativadas nesse celular (ou até 270 dias sem o celular aparecer); qual novidade foi enviada, 13 meses; o seu e-mail na lista da Brevo, até você cancelar no app ou apagar a conta (as ordens de inclusão e exclusão, até a Brevo confirmar e mais 30 dias).

Seus direitos (LGPD, art. 18)

Você pode pedir: confirmação de que tratamos seus dados; acesso; correção; anonimização, bloqueio ou eliminação dos dados desnecessários ou excessivos; portabilidade; eliminação dos dados tratados com seu consentimento; informação sobre com quem os compartilhamos e sobre a possibilidade de não dar o consentimento e suas consequências; e revogação do consentimento.

Apagar a conta e todos os dados: no app, Profile → Delete my account and data. É imediato.
Revogar um consentimento ou desligar o analytics: Profile → Privacy and consent.
Exportar ou apagar o seu registro e os seus pesos: em Profile → My goal → How logging looks, em dois arquivos CSV (o registro e os pesos) ou com um toque, de graça.
O resto: escreva para juanfrandevs@gmail.com. Respondemos ao acesso completo em até 15 dias, de graça.
Você pode reclamar à Agência Nacional de Proteção de Dados (gov.br/anpd).

Transferência internacional

A coleta é feita diretamente por nós, a partir da Espanha. Nossos operadores guardam os dados na União Europeia e podem acessá-los dos EUA ou de Singapura com as cláusulas contratuais padrão da Comissão Europeia e o Data Privacy Framework UE-EUA (Google).