Privacidade no Caloplate

O que acontece com a foto da sua refeição

Quando você fotografa uma refeição, a imagem é reduzida e transmitida pelo serviço BUILDFrame a um prestador de IA (Google, modelo de imagem Gemini); lá, um modelo de imagem avalia o que está no prato. O resultado volta pelo mesmo caminho para o seu celular.

Participam prestadores que trabalham por nossa conta: um provedor de hospedagem (Netlify) que opera o serviço BUILDFrame, recebe a foto e a repassa, um intermediário para solicitações de IA (OpenRouter; ambos com sede nos EUA) e o operador do modelo de imagem (Google). Nesse percurso, a foto pode passar por servidores nos EUA. Essa transferência é protegida: pelo EU-U.S. Data Privacy Framework ou pelas cláusulas contratuais padrão da Comissão Europeia. Quem quiser conhecer os destinatários em detalhe e receber uma cópia das garantias pode escrever para info@buildframe.de.

Nesse processo, a foto sai do seu dispositivo. Não afirmamos o contrário.

Nada que identifique você é enviado junto com a imagem: nenhum nome, nenhum endereço de e-mail, nenhum identificador do dispositivo, nenhum ID de publicidade, nenhuma localização. A solicitação consiste na imagem e em nada mais.

O modelo de imagem em si é executado em data centers na União Europeia. Esse caminho é fixo: se falhar, você recebe uma mensagem de erro — não há desvio silencioso para outro país.

O que fica no dispositivo

O Caloplate lê códigos de barras e tabelas nutricionais no dispositivo — com o framework Vision da Apple. Nesses dois casos nenhuma imagem sai do seu telefone, tenha você permitido a análise ou não. No código de barras, porém, os dígitos lidos saem; veja abaixo «O que acontece com o código de barras e a busca de produtos».

Seu nome (se você o informar), seu diário, seus dados corporais, seu plano, seu histórico de peso, suas fotos de progresso, sua foto de perfil e suas configurações ficam apenas no armazenamento do app no seu dispositivo. O Caloplate não os transmite. Como os dados de qualquer app, eles podem fazer parte de um backup do seu dispositivo (iCloud ou computador); isso você controla com a Apple.

De cada refeição que você fotografa, Caloplate guarda uma cópia reduzida da foto no seu dispositivo, para que você a reconheça em “Hoje” e no Histórico. Essa cópia não é transmitida e é apagada junto com a refeição.

Do Saúde da Apple, o Caloplate lê apenas o que você permite (veja «Saúde»). Esses valores ficam no dispositivo.

Se você usa o widget, ele recebe o resumo do dia (calorias e água) pelos mecanismos da Apple no mesmo dispositivo. Isso não passa por nós.

Se você usa o Apple Watch, o app do relógio mostra o resumo do dia (calorias, macros, água, treinos) e envia a água que você bebe e seus treinos para o iPhone. Isso acontece diretamente entre o relógio e o iPhone pela conexão da Apple, não por nós. Se você permitir, o relógio mede seus batimentos durante um treino e os mostra para você: eles não são guardados, não são enviados ao iPhone nem a nós e não são gravados no Saúde. O relógio não mantém diário; ele guarda apenas o último resumo recebido e o treino em andamento.

Quando necessário, o Caloplate traduz nomes de alimentos com a função de tradução da Apple no dispositivo e guarda os resultados no dispositivo.

Um breve registro técnico das suas últimas análises (tempos, tipos de erro, últimos códigos de barras lidos) também fica no dispositivo e não é transmitido.

A cota grátis — três análises de fotos, cinco dias — fica guardada no seu dispositivo, no chaveiro: dois contadores e dois momentos (sua primeira abertura e a última hora vista), sem nome, sem identificador e sem servidor. Essa marcação permanece também depois de apagar o app e depois de «Apagar todos os dados», para que a cota grátis não recomece a cada vez. Ela não passa para outro dispositivo e não é transmitida.

Por quanto tempo a imagem é armazenada

O serviço BUILDFrame não armazena sua foto. Ele a recebe, a repassa para a análise e devolve o resultado; depois disso, ela não está mais lá.

Cada solicitação impõe duas condições aos provedores: seus dados não podem ser usados para treinar modelos e não podem ser armazenados (zero data retention). Se um provedor não puder garantir isso, a solicitação é recusada em vez de flexibilizada em silêncio.

Os termos de privacidade dos prestadores envolvidos se aplicam além deste texto.

O que registramos para controlar custos

Para cada análise, são registrados: data e hora, modelo utilizado, número de tokens, tamanho da imagem em bytes, duração e, em caso de erro, o tipo do erro. Isso serve exclusivamente para acompanhar custos e erros. Esses registros ficam nos logs do nosso provedor de hospedagem e são excluídos lá automaticamente após no máximo 7 dias.

Não são registrados: a imagem, o resultado, os alimentos reconhecidos e seu endereço de remetente. Seu endereço IP é usado apenas de forma transitória e em forma de hash para limitar o número de solicitações; ele não é armazenado nem repassado.

Cada solicitação leva além disso um identificador da versão do app, igual para todas as instalações. Ele mostra apenas que a solicitação vem do app Caloplate genuíno e não diz nada sobre você.

O que acontece com o código de barras e a busca de produtos

Quando você escaneia um código de barras, o Caloplate lê os dígitos no aparelho e com eles pergunta ao banco de dados público Open Food Facts o que se sabe sobre esse código. Para isso, os dígitos saem do seu telefone.

Junto vai um identificador dizendo que a consulta vem do Caloplate. Ele não diz nada sobre quem você é.

A foto do código de barras fica no aparelho. O Open Food Facts é um projeto sem fins lucrativos na França, portanto dentro da UE; por quanto tempo registra as consultas é decisão do Open Food Facts e não nossa.

Se preferir não enviar dígitos, insira os valores nutricionais à mão — isso funciona sem nenhuma transmissão.

Se você digitar na busca um termo de pelo menos três caracteres, o Caloplate consulta além disso o Open Food Facts por produtos de marca correspondentes. Também para isso o termo de busca sai do seu telefone, igualmente só com o identificador de que a solicitação vem do Caloplate. Se você não quiser enviar termos de busca, escolha alimentos nas listas ou insira os valores nutricionais à mão.

Se você assinar o Caloplate Pro

Uma assinatura acontece inteiramente pela Apple. O Caloplate não vê dados de pagamento, número de cartão nem endereço de cobrança — quem recebe isso é a Apple, não nós.

O app pergunta à Apple se sua assinatura está ativa — ao iniciar e quando você a consulta. Não guardamos nada disso em servidor.

O Caloplate não cria comprovante de compra próprio. Se uma assinatura está ativa, quem responde é somente a Apple — a partir de um recibo assinado que o sistema gerencia no seu dispositivo. O Caloplate o lê e guarda no dispositivo apenas o último resultado (ativa ou não, e até quando), para que o app não precise esperar a Apple ao iniciar.

Se você não quiser

Você pode revogar a análise a qualquer momento. A revogação vale imediatamente: depois disso, nenhuma foto sai mais do seu dispositivo.

Depois disso, Caloplate continua utilizável: código de barras, tabela nutricional e tudo o que você insere manualmente continuam funcionando.

O que Caloplate não faz

Nenhuma rede de publicidade. Nenhum rastreamento entre apps. Nenhuma divulgação dos seus dados a terceiros para fins próprios deles e nenhuma venda. As transmissões descritas neste texto (foto para a análise, dígitos do código de barras e termos de busca para o Open Food Facts) servem apenas ao que você aciona no app. Nenhuma criação de perfil.

Saúde

Caloplate estima. Cada número é uma estimativa. Caloplate não é um dispositivo médico e não substitui orientação médica nem de medicina nutricional.

Saúde da Apple: somente se você permitir, o Caloplate lê passos, energia ativa e os intervalos de tempo dos seus treinos (quando ocorreram, não quais exercícios) — para mostrar seu movimento, elevar sua meta diária se você quiser e não contar duas vezes um esporte inserido à mão. Na configuração, o Caloplate também lê, se você quiser, sua altura, peso, ano de nascimento e sexo para preencher seus dados. O Caloplate não grava nada no Saúde. Esses valores ficam no seu dispositivo e não são transmitidos. O que o Caloplate pode ler, você decide a qualquer momento nos ajustes do iOS. No relógio, o Caloplate lê seus batimentos durante um treino, se você permitir: apenas para exibir, sem guardar.

Dados de saúde têm proteção especial pelo art. 9 do GDPR. O Caloplate os trata somente com base no seu consentimento e somente no seu dispositivo.

Quem é responsável

O responsável pelo tratamento dos seus dados é Alessandro Gerola. Você pode nos escrever em info@buildframe.de.

O endereço completo e os demais dados do fornecedor estão em Informações legais.

Com que base

Tratamos a análise de fotos com base no seu consentimento (art. 6, n.º 1, alínea a, do GDPR). Você o dá antes que a primeira foto saia do aparelho e pode retirá-lo a qualquer momento nos ajustes.

Baseamos a consulta do código de barras, a busca de produtos e o processamento de uma assinatura na execução do contrato com você (art. 6, n.º 1, alínea b, do GDPR).

Baseamos o controle de custos e a marcação da cota grátis em nosso interesse legítimo de poder operar o serviço e protegê-lo contra abuso (art. 6, n.º 1, alínea f, do GDPR).

Tratamos dados do Saúde da Apple com base no seu consentimento (art. 6, n.º 1, alínea a, e art. 9, n.º 2, alínea a, do GDPR). Você o dá na caixa de diálogo do sistema do iOS e pode revogá-lo lá a qualquer momento.

Seus direitos

Você tem direito de acesso, retificação, exclusão, limitação do tratamento, portabilidade e oposição.

A maior parte você pode fazer por conta própria, sem nos perguntar: seu diário, seus dados corporais, suas fotos e seu histórico estão no seu dispositivo. Você apaga uma refeição no app; a foto vai junto. Com «Apagar todos os dados» no perfil, você remove tudo o que o Caloplate guardou no dispositivo — diário, dados corporais, fotos, foto de perfil, backups e exportações. Ficam de fora a escolha do idioma, o último estado da assinatura informado pela Apple e a marcação da cota grátis. Se você apagar o app, tudo vai junto, exceto essa marcação, que permanece no chaveiro.

Para o restante escreva para info@buildframe.de.

Você também tem o direito de apresentar reclamação a uma autoridade de proteção de dados.