Política de Privacidade

Data de vigência: 12 de outubro de 2026

O Lifeline guarda os grandes momentos da sua vida. Esta política explica, em palavras simples, quais dados o app coleta, para onde eles vão, por quanto tempo são mantidos e o que você pode fazer a respeito. Nós a escrevemos de acordo com o que o app realmente faz; quando algo não é criptografado ou é compartilhado com outra empresa, nós dizemos.

1. Quem é o responsável

O Lifeline é feito por Konstantin Tikhaev, um desenvolvedor individual com sede em Israel (“nós”). Ele é o controlador dos seus dados pessoais.

Contato: founder@theplacewelive.org. Respondemos a perguntas e solicitações sobre privacidade em até 30 dias, geralmente bem antes.

2. Em resumo

Suas memórias ficam guardadas na sua conta para que você possa vê-las em qualquer um dos seus dispositivos. Não vendemos seus dados e não exibimos anúncios.
Você pode criptografar qualquer memória com uma senha mestra. Então as palavras dela (o texto, suas reflexões, as perguntas da IA e suas respostas) são criptografadas no seu celular antes de chegarem aos nossos servidores, e nós não conseguimos lê-las. O título, a data, as emoções, a música, as fotos, os vídeos e as notas de voz não são criptografados.
Os recursos de IA são opcionais e apenas para pessoas com 18 anos ou mais. Nada é enviado à IA até você confirmar sua idade e concordar no app. Quando você os usa, as partes das suas memórias de que eles precisam vão para o modelo Gemini do Google por meio do nosso servidor.
As estatísticas de uso, os relatórios de falhas e a mensuração de anúncios com a Meta ficam desativados até você permitir: o app pergunta uma vez, e o SDK da Meta nem é iniciado antes de você permitir. Você pode mudar sua resposta em Perfil > Privacidade > Estatísticas de uso. No iPhone, a Meta também precisa do seu “Permitir” no aviso de rastreamento da Apple.
Você pode exportar todas as suas memórias gratuitamente e excluir sua conta dentro do próprio app.

3. O que coletamos e por quê

3.1 Sua conta

Endereço de e-mail e nome, informados por você ou pelo Google ou pela Apple quando você entra com eles, para identificar sua conta e escrever para você sobre ela (por exemplo, o código de verificação).
Um ID de usuário criado pelo Firebase Authentication.
O link da sua foto de perfil do Google, se você entrar com o Google.
O idioma e suas configurações (notificações, sons, chaves da IA, exibição).
Modo convidado: você pode experimentar o Lifeline sem e-mail. Uma conta de convidado é anônima e guarda até 5 memórias; como qualquer conta, ela é salva na nossa nuvem com seu ID anônimo. Quando um convidado sai da conta, a conta de convidado e suas memórias são excluídas, no celular e na nossa nuvem.

Nunca recebemos sua senha do Google ou da Apple.

3.2 Suas memórias

Cada memória pode conter um título, uma data, um texto, suas reflexões, uma emoção com uma palavra sua e a intensidade dela, fotos, um vídeo, notas de voz, uma música do Spotify (o ID dela no Spotify), um som ambiente e as perguntas da IA com suas respostas. Nós as guardamos para mostrar sua linha do tempo, sincronizar seus dispositivos e trazer memórias de volta em “Neste dia”.

As memórias são salvas primeiro no seu celular (para que o app funcione offline) e depois sincronizadas com sua conta na nuvem do Google (Firebase). As fotos são recodificadas antes do envio, o que remove os dados de localização delas (EXIF). Vídeos e áudios são enviados como estão; se um arquivo de vídeo contiver dados de localização, eles permanecem no arquivo.

3.3 Memórias criptografadas

Quando você define uma senha mestra, pode criptografar qualquer memória (“Criptografar esta memória” ao escrevê-la ou editá-la):

O texto, as reflexões e as perguntas e respostas da IA são criptografados no seu dispositivo com AES-256-GCM, usando uma chave aleatória. Nossos servidores guardam essa chave apenas encapsulada: com uma chave derivada da sua senha (PBKDF2) e, se você criar uma em Perfil, com sua chave de recuperação. Nós não conseguimos desencapsulá-la.
O título, a data, as emoções (inclusive a sua própria palavra), a música, as fotos, os vídeos, as notas de voz e seus nomes não são criptografados, para que a linha do tempo, a busca e “Neste dia” possam funcionar.
Com uma chave de recuperação, você pode definir uma nova senha e manter tudo. Sem a senha e sem a chave de recuperação, ninguém consegue abrir as memórias criptografadas, nem mesmo nós.
Se você ativar o desbloqueio com Face ID, impressão digital ou o código do seu celular, uma chave fica guardada para isso no armazenamento seguro do seu celular. Os dados biométricos nunca saem do seu celular.
As notificações e o widget da tela inicial nunca mostram o título nem as palavras de uma memória criptografada.

As memórias que você não criptografa são protegidas em trânsito (TLS) e em repouso nos servidores do Google, mas não são criptografadas com a sua própria chave.

3.4 Recursos de IA

A IA no Lifeline é opcional e apenas para pessoas com 18 anos ou mais. Nada é enviado à IA até você confirmar sua idade e concordar no app; você pode desligar a IA a qualquer momento em Perfil, o que também revoga seu consentimento. Além da chave principal, há chaves próprias para as perguntas, para os padrões mensais e para a Bússola da vida com “O que veio depois de momentos parecidos”.

Quando um recurso de IA é executado, nosso servidor envia ao modelo Gemini do Google apenas o que esse recurso precisa:

Perguntas ao salvar uma memória (se “Perguntas sobre as memórias” estiver ativado): o título, o texto, a data, a emoção e suas reflexões de “Impacto” e “Lição aprendida” de cada nova memória que você não criptografa.
Perguntas sobre uma memória: o título, a data, o texto e a emoção dela com a sua própria palavra para essa emoção, e as perguntas que você pediu para substituir; na segunda rodada, suas respostas à primeira; com o Premium, as datas, os títulos, as emoções e as primeiras linhas de até três memórias anteriores com o mesmo sentimento ou as mesmas palavras.
Padrão do mês: as datas, os títulos e as emoções das memórias daquele mês, o início do texto delas e suas reflexões de “Impacto” e “Lição aprendida”; com o Premium, ele também é atualizado toda semana.
Bússola da vida: as datas, os títulos, as emoções e as primeiras linhas das suas memórias.
O que veio depois de momentos parecidos: a memória e até cinco memórias anteriores com a mesma emoção (títulos, primeiras linhas, trechos curtos das reflexões).
Nota de voz para texto: a gravação daquela única nota.
Tradução dos resultados de IA salvos, ou das notícias de “No mundo”, para o seu idioma.

Memórias criptografadas e memórias que você pediu para não trazer de volta nunca são enviadas automaticamente: nem quando você as salva, nem nos padrões ou na Bússola da vida, nem como memórias anteriores ao lado de outra. Elas só são enviadas quando você mesmo pede perguntas ou “O que veio depois de momentos parecidos” sobre aquela memória; uma criptografada, somente depois que você confirma isso para aquela memória, e o texto dela é descriptografado no seu celular apenas para essa solicitação.

Usamos o Gemini como serviço pago. Pelos termos do Google para serviços pagos, o Google não usa seus prompts nem as respostas para melhorar seus produtos; ele mantém registros por um tempo limitado para detectar abusos e por motivos legais. Os resultados da IA (perguntas, padrões, a bússola, previsões) ficam salvos na sua conta para que você possa vê-los novamente. Quando você exclui ou criptografa uma memória, as perguntas e previsões sobre ela são removidas e ela é retirada de outras previsões; um padrão mensal ou uma Bússola da vida que a incluía permanece até ser gerado de novo ou até você excluí-lo.

A tela “O que a IA vê” do app descreve tudo isso dentro do app.

3.5 Voz

As notas de voz gravadas ficam guardadas com a memória, como as fotos (sem criptografia).
O ditado ao vivo usa o reconhecimento de fala do seu celular (Apple ou Google). No Android, o Lifeline pede o reconhecimento no próprio celular quando ele está disponível; caso contrário, e no iPhone, a Apple ou o Google podem processar o áudio nos servidores deles, conforme os próprios termos. O Lifeline em si não envia esse áudio para lugar nenhum.
“Para texto” envia uma gravação ao Gemini (veja 3.4). Nosso servidor exclui a cópia temporária logo em seguida.

3.6 Música e “No mundo”

Spotify: quando você pesquisa uma música, o texto da pesquisa passa pelo nosso servidor até o Spotify. Guardamos na memória apenas o ID da faixa. Se você conectar o app do Spotify para tocar músicas, essa conexão é entre o seu celular e o Spotify, conforme os termos do Spotify.
“No mundo” (Premium): para mostrar as notícias e as músicas da data de uma memória, seu celular consulta a Wikipedia e as paradas da Billboard para essa data. Apenas a data é enviada; como em qualquer site, esses serviços veem o endereço IP do seu dispositivo.

3.7 Compras

Os pagamentos são processados pela Apple (App Store) ou pelo Google (Google Play); nunca vemos o seu cartão. Para desbloquear o Premium, nosso servidor verifica sua compra com a Apple ou o Google e guarda na sua conta o produto, o token da transação ou da compra e a data de expiração. Um registro de cada recibo usado (com o seu ID de usuário) é mantido por 90 dias a partir do primeiro uso da compra, para que a mesma compra não possa desbloquear outra conta.

3.8 Estatísticas de uso e relatórios de falhas

Se você permitir as estatísticas de uso (o app pergunta uma vez; nada é enviado antes da sua resposta), o app envia, para entender quais recursos são usados e corrigir erros:

Eventos do Firebase Analytics (por exemplo: uma memória foi criada, quantas palavras ela tem, mídia adicionada, uma tela aberta, uma compra, IA usada), com um ID de instância do app e, no Android, o ID de publicidade do seu dispositivo (no iPhone, o Firebase não coleta o identificador de publicidade). O Google estima seu país e sua cidade a partir do seu endereço IP. Nunca o conteúdo das suas memórias.
Relatórios de falhas e registros de erros do Firebase Crashlytics (modelo do dispositivo, versão do sistema operacional, versão do app, o que deu errado).

Você pode mudar sua resposta a qualquer momento em Perfil > Privacidade > Estatísticas de uso. A escolha vale para o celular em que você a faz.

3.9 Mensuração de anúncios com a Meta

Usamos o Meta App Events para ver quais dos nossos anúncios levam a instalações e compras. Ele recebe eventos como cadastro, início de um teste, compra do Premium (com o valor e a moeda) e abertura do app (com a versão do app), junto com informações do dispositivo e, quando permitido, o ID de publicidade do seu dispositivo (no iPhone, só se você permitir o rastreamento). Nunca nada do que você escreve.

O SDK da Meta só é iniciado depois que você permite as estatísticas de uso quando o app pergunta (no iPhone, só depois que você também permite o rastreamento); antes disso, o app não entra em contato com a Meta de forma alguma. Isso para quando você desativa as estatísticas de uso.
No iPhone, também é preciso o seu “Permitir” no aviso de rastreamento da Apple (App Tracking Transparency), exibido logo em seguida. Você pode mudar isso em Ajustes do iOS > Privacidade e Segurança > Rastreamento.
No Android, você também pode redefinir ou excluir seu ID de publicidade nas configurações do Android.

3.10 Notificações

“Neste dia”, os lembretes de um passo que você planejou e “Um olhar para trás a cada poucos meses” são programados no seu celular. Eles mostram o título de uma memória (nunca o de uma memória criptografada) ou uma frase neutra. “Um olhar para trás a cada poucos meses” não cita nenhuma memória nem nenhum sentimento.
As notificações push (por exemplo, sobre o seu teste, ou um lembrete se você não abre o app há algum tempo; este último pode ser desativado em “De vez em quando, um empurrãozinho para escrever”) precisam de um token push, que guardamos na sua conta. Elas nunca contêm suas memórias.

3.11 Verificações de segurança

O Firebase App Check (Google Play Integrity no Android, App Attest no iPhone) confirma que as solicitações vêm do app verdadeiro. Nosso servidor também mantém contadores de curta duração para limitar abusos (por exemplo, com que frequência um e-mail com código pode ser enviado).

3.12 Memórias compartilhadas

Você pode convidar pessoas para guardar uma memória juntos. Compartilhar é sempre escolha sua; nada é compartilhado até você convidar alguém ou aceitar um convite.

O que os outros veem: o título e a data da memória, as fotos e vídeos que cada um adiciona, a música de quem a começou (as músicas do Spotify dessa pessoa), a conversa, e o nome e a foto de perfil de cada membro (do Google ou uma que você escolher no perfil). O que eles não veem: o seu texto, as suas emoções, as suas reflexões e as perguntas da IA com as suas respostas. Cada um mantém o seu.
Na primeira vez que você convida alguém: as fotos e vídeos que a memória tem nesse momento (sem as notas de voz) são copiados para a memória compartilhada, onde os outros os veem.
O que guardamos: a memória compartilhada com os seus membros, as fotos, vídeos e mensagens adicionados e os convites. Fotos e mensagens compartilhadas não são criptografadas com a sua senha mestra.
Convites: quando você convida alguém por e-mail, enviamos o convite para esse endereço pelo nosso provedor de e-mail, a Resend, que recebe o endereço, o título da memória e o seu nome. Se o endereço pertencer a uma conta Lifeline, o convite também aparece no app dessa pessoa. Caso contrário, guardamos apenas uma forma embaralhada (hash) do endereço por 7 dias, para que o convite encontre a conta se ela for criada com esse endereço. Um convite no app de uma pessoa espera por 60 dias; os links de convite valem por 7 dias.
Denúncias e bloqueio: você pode denunciar uma mensagem ou uma foto; a denúncia, com o texto da mensagem, chega até nós por e-mail (pela Resend). Analisamos as denúncias e removemos o que viola as nossas regras. Você pode bloquear uma pessoa: os convites dela deixam de chegar a você e você não vê as mensagens e fotos dela.
Sair: você pode sair de uma memória compartilhada a qualquer momento; excluir a sua cópia também faz você sair. As suas fotos, vídeos e mensagens ficam para os outros, a menos que você escolha removê-los. Se você excluir a sua conta, eles são removidos. Uma memória compartilhada é excluída quando o último membro sai.

4. Quem recebe os dados

Não vendemos nem alugamos seus dados.

Prestadores de serviços que tratam dados em nosso nome, vinculados a termos de tratamento de dados que exigem uma proteção dos seus dados igual ou equivalente à desta política:

Google (Firebase e Google Cloud): login, banco de dados, armazenamento de arquivos, funções de servidor, notificações push, análises, relatórios de falhas, App Check.
Google (API do Gemini): recursos de IA, somente após o seu consentimento.
Resend: envia nossos e-mails (por exemplo, o seu código de verificação e os seus convites); recebe o seu endereço de e-mail e, num convite, o endereço da pessoa convidada, o título da memória e o seu nome; as denúncias de conteúdo compartilhado chegam até nós por ela.

Empresas que recebem dados conforme os próprios termos, quando você usa o recurso que precisa delas:

Meta Platforms: mensuração de anúncios, conforme descrito em 3.9.
Spotify: pesquisa e reprodução de músicas.
Apple e Google: login com Apple ou Google, pagamentos e os serviços da plataforma do seu celular (ditado, notificações).
Wikipedia (Wikimedia Foundation) e Billboard: a data de uma memória, para “No mundo”.

Podemos divulgar dados se a lei exigir, para proteger a segurança de uma pessoa ou como parte da transferência do app para um novo proprietário (nós avisaríamos você antes).

5. Onde os dados são armazenados

Nosso banco de dados, nossos arquivos e nossas funções de servidor ficam no Google Cloud, nos Estados Unidos. Os serviços de análise e de IA do Google e nossos outros prestadores podem tratar dados em outros países. Se você mora fora dos Estados Unidos, seus dados são transferidos para lá. Nossos prestadores usam as cláusulas contratuais-padrão da Comissão Europeia ou salvaguardas equivalentes para essas transferências; escreva para nós para receber uma cópia das salvaguardas aplicáveis.

6. Por quanto tempo mantemos os dados

Sua conta e suas memórias: até você excluí-las ou excluir sua conta.
Memórias excluídas: removidas do nosso banco de dados e do armazenamento de arquivos imediatamente, junto com as perguntas e previsões sobre elas. As cópias de recuperação e os backups são excluídos em até 40 dias.
Fotos, vídeos e notas de voz que você tira de uma memória: excluídos do armazenamento de arquivos em até 30 dias; as cópias deles numa memória compartilhada ficam lá para os outros (veja 3.12).
Depois que você exclui sua conta: seu perfil, suas memórias, seus arquivos, os resultados da IA e os registros do serviço são excluídos imediatamente. As cópias de recuperação e os backups são excluídos em até 40 dias; os logs do nosso servidor expiram em até 30 dias; os registros de recibos usados, no máximo 90 dias depois do primeiro uso da compra.
Análises e relatórios de falhas: mantidos pelo Google pelo período definido nas nossas configurações do Firebase (relatórios de falhas, cerca de 90 dias; eventos de análise, no máximo 14 meses).
Registros de solicitações de IA no Google: por um tempo limitado, conforme os termos do Google para a API do Gemini.
E-mails que enviamos e dados na Meta: conforme as próprias regras de retenção da Resend e da Meta.

7. Suas escolhas e seus direitos

Exportar: Perfil > Meus dados > Arquivo completo gera um único ZIP com cada memória em texto, suas fotos, vídeos e notas de voz, gratuitamente. As memórias criptografadas são incluídas depois que você digita sua senha; dentro do ZIP elas não estão criptografadas, então guarde o arquivo em segurança. Para obter uma cópia de qualquer outro dado que mantemos (por exemplo, os resultados da IA ou suas configurações), escreva para nós.
Corrigir: edite qualquer memória ou o seu perfil a qualquer momento.
Excluir: exclua qualquer memória, ou toda a sua conta em Perfil > Excluir Conta. Você também pode escrever para nós a partir do endereço de e-mail da sua conta, e nós a excluiremos para você. Excluir a conta não cancela uma assinatura: cancele-a na App Store ou no Google Play.
Revogar o consentimento: desligue a IA em Perfil; desative as estatísticas de uso; mude o rastreamento nos Ajustes do iOS; desative as notificações no app ou nas configurações do seu celular. Você também pode revogar a qualquer momento o consentimento para guardar suas memórias, dado quando você começa a usar o Lifeline, excluindo sua conta ou escrevendo para nós; como o Lifeline não funciona sem guardar suas memórias, nesse caso excluímos sua conta e suas memórias.

Dependendo de onde você mora (por exemplo, segundo o GDPR na UE e no Reino Unido, a CCPA na Califórnia ou a Lei de Proteção da Privacidade de Israel), você tem o direito de acessar seus dados, corrigi-los, excluí-los, recebê-los em formato portátil, restringir o tratamento deles ou se opor a ele, e revogar o consentimento. Para exercer qualquer um desses direitos, escreva para founder@theplacewelive.org. Você também pode apresentar uma reclamação à autoridade de proteção de dados do seu país.

Bases legais (UE/Reino Unido): guardamos e sincronizamos suas memórias para prestar o serviço que você pediu (contrato) e, como as memórias podem revelar informações sensíveis, por exemplo sobre a sua saúde, com base no seu consentimento explícito, dado quando você começa a usar o Lifeline. Os recursos de IA, as estatísticas de uso, os relatórios de falhas e a mensuração de anúncios se baseiam no seu consentimento, que você pode revogar a qualquer momento. A segurança e a prevenção de abusos se baseiam no nosso legítimo interesse em manter o serviço seguro.

Califórnia: não vendemos informações pessoais. Compartilhar eventos com a Meta para mensuração de anúncios pode ser considerado “compartilhamento” (sharing) segundo a CCPA; isso só acontece se você permitir as estatísticas de uso, e desativá-las exclui você desse compartilhamento (opt-out).

8. Crianças e adolescentes

Você precisa ter pelo menos 16 anos para usar o Lifeline. Se você tem de 13 a 15 anos, só pode usá-lo com a permissão de um dos pais ou de um responsável legal, que também dá por você o consentimento para guardar suas memórias; você confirma isso quando começa a usar o app. Os recursos de IA são apenas para pessoas com 18 anos ou mais, porque os termos do nosso fornecedor de IA exigem isso: o app pede que você confirme sua idade antes de a IA ser usada. Se soubermos que alguém com menos de 16 anos usa o Lifeline sem a permissão de um dos pais ou de um responsável legal, excluiremos a conta; se soubermos que alguém com menos de 18 anos usa a IA, desligaremos a IA.

9. Segurança

Os dados trafegam por conexões criptografadas (TLS) e são criptografados em repouso nos servidores do Google. Nossas regras de segurança limitam o acesso aos seus dados à sua conta; o código do nosso servidor só os lê para executar os recursos que você usa. As memórias criptografadas recebem, além disso, criptografia com a sua própria chave. Nenhum sistema é perfeitamente seguro; se um incidente de segurança afetar seus dados pessoais, avisaremos você e as autoridades conforme a lei exigir.

10. Nosso site

Quando você visita nosso site, o Firebase Hosting (Google) mantém logs padrão do servidor (endereço IP, navegador, página solicitada) por segurança. O site não carrega nada de outros serviços: suas fontes, scripts e imagens vêm do nosso próprio site. Ele não usa cookies e não tem análises, contas nem formulários.

11. Alterações

Quando alterarmos esta política, atualizaremos a data acima e mostraremos a nova versão no app. Se uma alteração for significativa, avisaremos você no app antes de ela entrar em vigor.