Política de privacidade

Só aquilo sem o que o acesso, a sincronização e a correspondência com o desenvolvedor não funcionam:

• o seu endereço de e-mail — não em texto simples, mas como uma transformação irreversível com uma chave secreta: a partir dela não dá para recuperar o endereço, embora um endereço conhecido possa ser comparado com ela;
• o seu identificador de conta no Google ou na Apple, se você entrou assim — transformado da mesma maneira;
• as sessões: só uma impressão do token do seu cookie, nunca o token, e a hora em que você entrou;
• os códigos dos e-mails de acesso — com hash, válidos por dez minutos;
• contadores de pedidos, para que um código não possa ser adivinhado por força bruta;
• a sua correspondência com o desenvolvedor, se você a usou — veja a seção própria abaixo;
• um acesso não concluído: um fluxo iniciado e não terminado fica no servidor por minutos e expira sozinho;
• as suas recargas, se você recarregou o saldo de reconhecimento: o valor, o horário e o identificador do pagamento na empresa que o recebeu (o número do cartão fica com ela);
• uma lista dos seus aparelhos — só o identificador aleatório que o aparelho inventou para si e quando ele se conectou pela última vez. Nem modelo, nem sistema, nem nome: a lista responde a “quantos são e se estão vivos”, e a mais nada;
• cópias de segurança da base de dados inteira, feitas uma vez por hora e guardadas por até 14 dias — para que uma falha não leve as contas de todo mundo junto. O que elas contêm e por quanto tempo, veja Por quanto tempo cada coisa é guardada.

Onde fica o servidor. O servidor, a base de trabalho e as cópias locais funcionam no provedor de hospedagem Railway (EUA), na região de Singapura. Os dados de trabalho de pessoas da União Europeia e do Reino Unido são, portanto, armazenados fora desses territórios. As cópias externas criptografadas ficam no Cloudflare R2 sob a jurisdição da União Europeia.

O seu diário mora tanto no seu aparelho quanto no servidor — mas no servidor ele é criptografado. Entradas, prévias das fotos, suas cópias ampliadas e registros de peso moram no armazenamento do seu navegador, e uma cópia lacrada vai para o servidor: a chave dela existe só no seu aparelho. O servidor consegue ver que entradas foram acrescentadas e quando — e não consegue ver o que você comeu, quanto, nem quanto você pesa.

Nós também não conseguimos ler o seu diário. Não é uma promessa de bom comportamento; é assim que o sistema é construído — nós não temos a chave. O que traz um preço que você deve saber antes: perca o código de recuperação junto com o aparelho e ninguém consegue trazer o diário de volta, nem nós. Não haveria de onde restaurá-lo. O código aparece nas Configurações, em “Dados” — anote e guarde em algum lugar que não seja o seu celular.

O servidor também guarda as versões em conflito — e isso é a seu favor. Se uma entrada foi editada em dois aparelhos, vale a edição mais recente, e a que perdeu não é jogada fora: ela fica no servidor por um mês, lacrada do mesmo jeito, e o aplicativo pode mostrá-la a você. Senão, “se consertou sozinho” seria a nossa palavra contra a sua memória. Nós também não conseguimos lê-la, claro — ela está no mesmo envelope de todo o resto.

A imagem de perfil é uma foto escolhida por você ou um animal integrado. Ela fica no seu dispositivo e entra no seu arquivo de backup. Ela só chega ao servidor se você ligar a sincronização da imagem: ela tem uma chave própria na seção “Dados”, separada da sincronização de configurações e desligada até você ligá-la. Aí o servidor guarda uma única cópia atual, em um envelope à parte lacrado com o seu código de recuperação: só os seus dispositivos conseguem abri-lo. Não enviamos a imagem ao modelo nem aos amigos. O envelope tem o mesmo tamanho, seja foto ou animal: o servidor vê só que existe uma cópia, o número da versão e quando ela mudou. Desligar a sincronização apaga o envelope na hora; fica um registro técnico sem imagem — o número da versão e a hora em que foi desligada — pelo qual os seus outros dispositivos sabem que ela está desligada. Excluir a conta apaga esse registro também. As cópias de segurança do servidor guardam o que foi apagado por até 14 dias — veja Por quanto tempo cada coisa é guardada.

A sincronização do Health também armazena dados de controle no servidor: chaves públicas de verificação do telefone, permissões de execução, destinos de registros com hash e limites de versão, estados de operações, cancelamentos e transferências antigas. Não contém valores do Health, IDs de registros do sistema, nomes de dispositivos ou notas. Os dados são apagados com a conta; operações e estados entram na exportação do servidor, chaves públicas de verificação não.

As configurações só vão para o servidor se você ligar a sincronização delas. Metas, perfil (nome, sexo, ano de nascimento, altura, nível de atividade, objetivo, ritmo, peso-alvo, o que levar em conta e o que você não come), meta de água, divisão das refeições, funções do diário, configurações de alimentação, o registro de ajustes da meta, ações rápidas, unidades, o tema do cartão de compartilhamento e duas chaves — uma avaliação de produto oculta e uma busca na base aberta desligada — viajam num só envelope, lacrado com a mesma chave do diário. Parte disso citamos à parte, porque pode dar pistas sobre a sua fé ou a sua saúde: o conjunto pronto e as metas de alimentação (por exemplo, “À base de plantas” ou “Sem álcool”), a lista do que você não come e as suas próprias palavras nas configurações de alimentação — palavras de alerta e exceções — viajam no mesmo envelope, lacradas do mesmo jeito. Isso é ligado por uma chave própria na seção “Dados”; até você ligar, as configurações não são enviadas a lugar nenhum. Desliga-se no mesmo lugar — a cópia do servidor é apagada na hora, e a sincronização é desligada em todos os seus aparelhos. O servidor vê que o envelope existe, quando mudou, qual o tamanho dele e quando a sincronização foi desligada — e não o que está dentro. O tema do app, o idioma, os lembretes, a conexão com o Apple Saúde e a sua própria chave de provedor de reconhecimento nunca saem do aparelho: eles pertencem ao aparelho, não a você.

Seu país de residência, se você escolheu um, fica salvo neste aparelho. Ele vai no arquivo de backup junto com o idioma e é apagado com as suas outras configurações pessoais quando outra pessoa passa a usar o aparelho. Ele não faz parte do envelope de sincronização das configurações, e não o deduzimos do endereço IP nem do idioma da interface. Ao nosso servidor o código do país vai como campo do pedido só com um pedido de reconhecimento pela chave do Snapfork e só com o interruptor “Levar meu país em conta” ligado — de passagem, lá ele não fica (veja “Para onde os dados vão, sim”). A linha “Sugerido pelo aparelho” na escolha do país é calculada no próprio aparelho — pela região do sistema, pelo fuso horário ou pela região nas configurações de idioma do navegador — e não escolhe nada sozinha.

Um arquivo de backup continua sendo exportado e guardado por você. Ele não é criptografado, e é o único jeito de ler o seu diário sem o código.

Não pedimos aos provedores de acesso o seu nome, sobrenome nem foto de perfil — só a confirmação do endereço de e-mail. Um nome que você mesmo digitar no perfil só chega ao servidor dentro do envelope lacrado das configurações, e só se a sincronização das configurações estiver ligada; nós não conseguimos lê-lo.

Isto é sobre o aplicativo para iPhone. Ele ainda não está na App Store, e o que segue descreve como ele vai se comportar quando sair. O site não tem nada disso: num navegador não há contêiner de app nem esse tipo de backup.

Um backup do iPhone leva os dados dos apps para o iCloud — é assim que o backup funciona, não é algo que o nosso app faça. Se o seu diário entra nele é decisão sua, e por padrão ele não entra. Você é perguntado na primeira abertura e pode mudar a resposta a qualquer momento: Configurações → “Dados” → “Diário no backup do iCloud”.

O que se descreve aqui é o mecanismo, não o resultado, e isso não é evasiva: depois que você responde, a frase “o meu diário está no iCloud” é verdadeira para alguns leitores e falsa para outros. Diga sim e o backup é feito e guardado pela Apple, pelas regras da Apple — é a cópia dela, não a nossa: nós não a vemos nem conseguimos abri-la. Diga não, ou não diga nada, e a pasta do app é marcada como excluída do backup, então o diário não vai para lá.

Nada disso mexe no arquivo de backup que você mesmo exporta: esse você faz e guarda onde quiser. O que entra nele vindo dos amigos está descrito em Amigos.

O app tem uma seção “Prevenção” — material de referência sobre recomendações publicadas de check-ups preventivos, selecionadas por idade, sexo e as suas respostas. Essas respostas são dados de saúde, e nós as tratamos com mais rigor do que o diário. A seção só abre depois de um consentimento à parte na tela de introdução; enquanto você não o der, ela não salva nada.

O que fica guardado. Onde você é atendido (o país); se você fuma, parou ou nunca fumou — com os maços-ano e o ano em que parou; se planeja uma gravidez; quais itens por órgão se aplicam a você; as marcas “feito” com o mês e o tipo de exame; os itens adiados; o botão “Nada sobre emagrecer” e quando você deu o consentimento. Do perfil, a seção lê o ano de nascimento, o sexo, o objetivo e a lista “O que você não come” — mas não o seu peso. Diagnósticos, histórico familiar e resultados de exames a seção não pergunta nem guarda.

Onde. No seu aparelho, no armazenamento do app. No app para iPhone, as respostas ficam lacradas com uma chave vinculada àquele telefone: um backup pode restaurá-la no mesmo aparelho, mas não transferi-la para outro. No backup do iCloud as respostas só entram lacradas, e em outro telefone nada consegue abri-las — lá a seção começa do zero. No navegador, as respostas ficam no armazenamento dele, como o diário.

Para o servidor — só lacradas e só se você decidir. As respostas de saúde vão para o servidor só se você ligar a sincronização delas entre aparelhos, e então lacradas com uma chave que só existe nos seus aparelhos, como o diário e as configurações. Essa sincronização tem o próprio botão e o próprio consentimento; vem desligada por padrão e só funciona dentro da sincronização das configurações — mas ligar esta não liga aquela. Se você informou que é atendido na Rússia, as respostas não vão para o servidor nem com a sincronização ligada.

Para onde nunca vão. Nem para o modelo de linguagem, nem para os amigos, nem para os dados do aparelho anexados a uma mensagem ao suporte. No arquivo de backup (o botão “Exportar JSON”) elas não entram por padrão: uma caixa de seleção à parte as inclui — e aí lembre que esse arquivo não é criptografado.

Ocultar, desligar a sincronização, apagar — três ações diferentes. “Ocultar a seção” tira a seção de vista e não mexe nas respostas. “Desligar e apagar as respostas do servidor” apaga a cópia do servidor, e os seus outros aparelhos apagam a deles na próxima sincronização; neste aparelho as respostas ficam. “Apagar as respostas deste aparelho” apaga as respostas aqui e, com a sincronização ligada, na próxima sincronização também no servidor e nos seus outros aparelhos; junto com as respostas, o consentimento é retirado, e a seção recomeça pela tela de introdução. Excluir a conta leva a cópia do servidor junto com todo o resto; quanto tempo vivem os backups do banco de dados está em Por quanto tempo cada coisa é guardada.

Fotografias de refeições, embalagens ou rótulos são enviadas para reconhecimento, e por onde elas viajam depende de qual chave assina o pedido. São dois caminhos, e a escolha é sua:

• Com a sua própria chave a fotografia vai do seu aparelho direto para a plataforma cuja chave você informou, sem passar pelo nosso servidor. Nós não a vemos nem a guardamos. A plataforma é escolha sua; hoje o app envia a fotografia para nove endereços e não conhece outros:
  • Google Gemini — generativelanguage.googleapis.com
  • OpenAI — api.openai.com
  • Grok xAI — api.x.ai
  • DeepSeek — api.deepseek.com
  • Qwen — dashscope-intl.aliyuncs.com
  • Mistral AI — api.mistral.ai
  • Llama Meta — api.llama.com
  • Poe — api.poe.com
  • OpenRouter — openrouter.ai
  A lista está embutida no app e na política de segurança do navegador, então a fotografia não pode ir a lugar nenhum além da plataforma que você escolheu. O app também reconhece a chave de uma décima plataforma, Claude, mas não envia nada para lá: ela só libera o acesso pelo navegador com um cabeçalho especial que a própria plataforma chama de perigoso, e nós não o usamos.
• A partir daí valem os termos da plataforma, não os nossos, e eles não são iguais em todo lugar. No Google, por exemplo, eles diferem até entre os níveis de uma mesma chave: no nível grátis ele se reserva o direito de usar o que você envia para melhorar os produtos dele; no nível pago, não. Não resumimos os termos das outras: eles mudam sem nós, e devem ser lidos na fonte. Como obter uma chave está escrito nas configurações do aplicativo, ao lado do campo da chave.
• Com a chave do Snapfork a fotografia passa pelo nosso servidor, onde o pedido é assinado, e de lá via OpenRouter — a plataforma que a entrega ao provedor do modelo. Ela não fica guardada aqui: nem o arquivo, nem uma cópia num registro; o que fica é uma linha de números — modelo, tokens, custo; para quem chegou por um convite, até o convite ser contado, também a data local (veja “Links de convite”). Em todo pedido dizemos à plataforma que não passe por provedores que retêm o que recebem.

O aplicativo começa pela sua própria chave e só passa para a nossa depois que a sua falha — ou vai direto para a nossa se o modelo que você escolheu não olha fotografias. Esse é o padrão, e uma opção nas configurações o desliga — aí a fotografia nunca passa pelo nosso servidor, em nenhuma circunstância.

Comida em palavras, e recalcular a partir de uma descrição. Quando você descreve uma refeição em texto, o texto que você digitou é enviado para reconhecimento pelos mesmos dois caminhos de uma fotografia, para que o modelo estime calorias, proteínas, gorduras e carboidratos. Quando você pede ao aplicativo para recalcular os números de um item a partir da descrição dele, a descrição do item — o que diz o campo de nome — vai para o modelo do mesmo jeito. A descrição de uma refeição também leva o peso total dela, se você o informou, e os nomes de produtos da sua biblioteca junto com quanto de cada um você costuma comer (a porção em gramas), que ajudam o modelo a reconhecer o que ele já conhece e a julgar o peso; os mesmos nomes da biblioteca, com as porções em gramas, vão também com a fotografia de um prato. A descrição de uma refeição, assim como uma fotografia, leva também o idioma da interface, para que o modelo nomeie os pratos nele. O texto não fica guardado aqui, assim como a fotografia: só fica a linha de números.

Seu país de residência, se você escolheu um. Uma foto, um rótulo ou uma descrição de uma refeição levam também, junto com o idioma da interface, o código de duas letras do seu país, para que o modelo reconheça pratos locais e tamanhos de porção. Com a chave do Snapfork, o código do país vai pelo nosso servidor até a plataforma de reconhecimento; com sua própria chave vai direto para a plataforma, sem passar por nós. Nosso servidor só o repassa: como com uma foto, no log de chamadas ficam só o modelo, os tokens e o custo (para quem foi convidado, também a data local; veja “Links de convite”). O recálculo de um item e a classificação de produtos por grupos nunca recebem o país, e sua lista “Não como” nunca vai para o modelo. Isso se desativa com o interruptor “Levar meu país em conta” na seção “Reconhecimento de comida”.

O texto da sua busca de produtos — se você tocou em “Buscar no Open Food Facts (on-line)”. O aplicativo tem uma tela de Produtos: ela busca nos seus próprios produtos e no catálogo baixado no seu aparelho, e tudo isso acontece sem rede nenhuma. Quando o catálogo não tem o que você procura, aparece um botão “Buscar no Open Food Facts (on-line)” embaixo da lista. Com esse toque — e só com ele — o que você digitou no campo de busca sai do seu aparelho para o Open Food Facts, sem passar pelo nosso servidor: nós nem vemos esse texto nem o guardamos. Não há autocompletar enquanto você digita nem pedido em segundo plano: sem o toque, nada sai.

Nada mais vai junto com esse texto: nenhuma entrada do diário, nenhuma fotografia, nenhum peso, nenhum identificador de conta — o pedido não precisa de nada disso, e o aplicativo não acrescenta nada. A partir daí valem os termos do Open Food Facts, não os nossos. Uma opção desliga isso: Configurações → Produtos por código de barras → “Buscar no Open Food Facts (on-line) com um toque”; desligada, ela tira o próprio botão, e nada sai. Procurar um produto pelo código da embalagem, e buscar no catálogo baixado, nunca vão à rede — nem com a opção ligada nem desligada.

O aplicativo baixa a base de produtos do nosso servidor como arquivo de um país ou, quando disponível, do núcleo mundial; o endereço nomeia a base escolhida (por exemplo, /products/de.2026-09-24.csv). O nome da base baixada e o seu endereço IP ficam visíveis para o nosso servidor e para a Cloudflare, que processa as requisições a snapfork.app. O caminho e o endereço IP podem constar nos registros da Railway. O prazo de retenção depende das configurações dos provedores e precisa ser verificado antes do lançamento. Um arquivo de país já instalado pode ser oferecido para atualização. O país do arquivo não precisa ser seu país de residência; o núcleo mundial não o indica. A requisição sai sem o cookie de login. O aplicativo não vincula o download a uma conta. A base só é baixada pelo botão em Configurações; depois, a busca nela funciona sem rede.

Os e-mails com o código de acesso passam pelo provedor de e-mail escolhido pelo responsável pelo serviço. Além do que está listado aqui, nada é repassado a ninguém: não há análise, nem publicidade, nem script de terceiros no site ou no aplicativo.

No próprio e-mail, o provedor acrescenta um contador de abertura — uma pequena imagem carregada do servidor dele quando o e-mail é aberto. Por ela ele sabe que o e-mail foi aberto e quando; os programas de e-mail que baixam as imagens direto também mostram a ele o endereço de onde o e-mail foi lido. No nosso plano isso não pode ser desligado. O e-mail do jeito que nós o montamos não tem imagem nem link nenhum.

O site conta as visitas por conta própria, sem cookies e sem scripts de mais ninguém. O que chega à base são números diários: página, idioma, de onde veio a visita. Nem o endereço IP nem o User-Agent são guardados de forma nenhuma — eles viram uma chave com um sal diário, e o próprio sal não é gravado em lugar nenhum, então nem nós conseguimos cruzar dois dias. O cabeçalho Sec-GPC é respeitado: com ele, nada é contado.

As configurações do aplicativo têm uma seção “Suporte”: você pode escrever sobre algo quebrado ou algo que falta, e receber a resposta no mesmo lugar. É uma conversa, não um formulário — o que significa que ela fica guardada no servidor: senão não haveria onde responder.

O que fica guardado é o texto das suas mensagens e as respostas do desenvolvedor, ligados à sua conta. Só os leem aqueles cujos endereços confirmados o responsável pelo serviço colocou na lista de desenvolvedores: a lista é fechada, fica nas configurações do servidor, e ninguém mais vê a correspondência. Ao lado dela não há endereço de e-mail nem nome — o servidor, de todo modo, não os guarda em texto simples —, e a conversa é mantida com um diário, não com uma pessoa.

Os dados do aparelho só são anexados se você marcar a opção, e antes de enviar você vê exatamente o texto que vai viajar: a versão do aplicativo e da base de dados, a plataforma e o navegador, o idioma, o tamanho da janela, a tela de onde você escreve e o código da falha, se você veio de uma, quantas entradas e pesagens você tem como números simples, se o aparelho estava com rede, se o app foi aberto pelo ícone ou numa aba do navegador, se o modo de depuração está ligado e se há uma chave de plataforma definida — “sim” ou “não”, nunca a chave em si. Nenhuma entrada do diário, fotografia, registro de peso ou campo do perfil vai ali.

O e-mail de aviso que chega ao desenvolvedor não contém nem o texto da mensagem nem o seu identificador: só “há uma mensagem nova na conversa”. O conteúdo da correspondência nunca chega ao provedor de e-mail e nunca aparece nos registros do servidor.

O aplicativo pode dar a você um link de convite permanente. Quem se cadastrar por ele ganha de presente reconhecimentos com a nossa chave enquanto o link tiver presentes, e você ganha os seus quando essa pessoa tiver reconhecido comida com a chave do Snapfork em dois dias diferentes (contados pelo calendário local dela), até esgotar o limite de recompensas. Nada mais muda: ninguém ganha acesso ao diário de outra pessoa.

Para isso, o aplicativo envia, a cada reconhecimento com a chave do Snapfork, a data local do aparelho. Ela só fica guardada para quem chegou por um link, enquanto o convite não for contado e quem convidou não tiver apagado a conta, e por no máximo 30 dias. Uma data que não existe em nenhum fuso horário é recusada: essa chamada, como uma sem data, é contada pelo fuso das outras datas dessa pessoa e, sem elas, pelo horário universal. Se as datas dela não baterem (mudança, aparelhos em fusos diferentes, mudança de horário), toda a contagem dela segue o horário universal.

O que fica guardado é o fato de que uma conta chegou pelo link de outra: qual link, quando e se a recompensa foi ganha. É um registro de uma ligação entre duas pessoas, então é guardado no mínimo e não é mostrado a ninguém: quem convidou só vê números — quantos chegaram, quantos deles reconheceram comida com a chave do Snapfork em dois dias diferentes, quantos reconhecimentos recebeu e quantos presentes restam no link. Nem nome, nem endereço, nem momento de acesso. Não dizemos quem aceitou, porque isso seria contar a um terceiro que uma pessoa específica começou a manter um diário alimentar.

O link em si traz um código e nada sobre você. Abri-lo é contado pelo contador de visitas como uma campanha própria — só o rótulo: o código nunca chega ao contador, senão os números diários virariam uma tabela de quais links funcionam.

Excluir uma conta remove o link e o registro de onde aquela conta veio; os lançamentos de recompensa ficam, sem o identificador da conta, porque é por eles que se contam os limites de quanto pode ser dado.

A exportação “O que o servidor guarda sobre você” traz os seus links, inclusive os revogados, o registro de como e quando você chegou e se a recompensa foi ganha, quantas pessoas chegaram pelos seus links e quantas delas contaram — só como número —, os seus lançamentos de recompensa e quantos presentes ainda restam no seu link. Quem convidou você e quem chegou pelo seu link não são nomeados no arquivo.

Os lançamentos de recarga se comportam do mesmo jeito: excluir uma conta os deixa no lugar, mas eles param de nomear alguém. O motivo não é contabilidade, e sim você — um banco pode contestar um pagamento um mês depois de a conta sumir, e sem valores não haveria com o que responder a essa contestação. O saldo que sobrar é queimado na exclusão, e isso é registrado como um lançamento próprio: o dinheiro pelo qual nenhum serviço foi prestado fica visível como exatamente isso, em vez de se dissolver na receita.

Se você está ligado a um amigo e permitiu que ele veja a sua semana, a sua semana sai do seu aparelho — derivada do seu diário, são exatamente dois fatos por dia dos últimos sete dias: se você anotou alguma coisa e, se você compartilhou isso à parte, se você ficou dentro da sua própria meta. Além disso, há quantos dias seguidos você anota. Não o que você comeu, não quantas calorias, não o seu peso — nada disso entra na semana, em nenhum nível de compartilhamento. Fora a semana, a um amigo só chega o que você mesmo envia: uma nota de uma lista fixa de incentivos ou um cartão de produto — veja abaixo.

Você vê a semana de um amigo só se compartilhou a sua semana com ele, e o fato da meta dele só se também compartilhou a sua meta; do lado do seu amigo, o nosso app mostra a ele sobre você exatamente tanto quanto mostra a você sobre ele: o seu aparelho mostra a semana de um amigo só com consentimento mútuo. O fato da sua meta vai para o seu amigo num envelope criptografado sempre que você compartilhou a sua meta com ele, mas é mostrado a ele só se ele também compartilhou a meta dele com você. O consentimento é pedido por amizade e por nível, e registramos com qual texto você concordou: se o sentido desse texto mudar, perguntamos de novo em vez de ampliá-lo em silêncio. Dá para desfazer em qualquer dia, e há dois botões: “parar de compartilhar” mantém a amizade, “apagar a amizade” remove a ligação e apaga o que cada um viu do outro.

Um cartão de produto só sai quando você mesmo o envia. Na tela de amigos você pode enviar a um amigo um produto da sua biblioteca. O cartão leva o nome, os números por 100 g (calorias, proteínas, gorduras e carboidratos), o código de barras, se houver, e de onde vêm os números; açúcar, gordura saturada, sal e fibras só se vierem de um rótulo, de uma leitura de código de barras ou do catálogo. Ele não leva peso, nem data, nem nada sobre quando ou quanto você comeu. Ele viaja lacrado no mesmo envelope que uma nota, do mesmo tamanho e pelo mesmo caminho, então o servidor não distingue um cartão de uma nota. O que fazer com ele o seu amigo decide: nada chega ao diário nem à biblioteca dele até ele salvar uma entrada com o cartão, e um cartão que ninguém aceitou some depois de sete dias. Para um mesmo amigo você pode enviar no máximo cinco cartões por dia, contando para trás a partir do envio, e não da meia-noite. “Retirar” apaga o envelope no servidor, e o cartão sai da tela do seu amigo na próxima troca dele; se ele já adicionou, o produto fica com ele. Apagar a amizade apaga no servidor os cartões entre vocês junto com a ligação.

Há uma exceção — o arquivo de backup que você mesmo exporta: ele não é criptografado, e leva a semana do seu amigo — exatamente o que você viu dele. As respostas e os cartões de produto não estão nele. Apagar uma amizade apaga o que foi visto aqui e no aparelho, mas não chega aos arquivos que você já salvou: o que acontece com eles depende de você.

Bloqueio. O botão “Bloquear” no cartão de um amigo encerra a ligação na hora — como “apagar a amizade”, junto com os envelopes nos dois sentidos — e impede que vocês dois se convidem de novo: nenhum convite entre vocês será mais aceito. Para isso, o servidor guarda quem bloqueou quem, e desde quando — sem motivo e sem uma palavra sua — até você desbloquear na lista “Bloqueados” da mesma tela ou até um de vocês apagar a conta. Não avisamos o outro lado: ele vê o mesmo que depois de “apagar a amizade” — a amizade terminou, e o seu link de convite não funciona para ele, como um vencido. Desbloquear não traz a amizade de volta: a ligação só é criada se um de vocês aceitar o link do outro. A exportação “O que o servidor guarda sobre você” traz as suas amizades do jeito que o servidor as guarda: a sua chave pública, as ligações com o dia em que cada uma começou, os seus convites, os seus bloqueios, se houver, e os envelopes seus e para você — lacrados: só o seu aparelho com as suas amizades ou o do amigo consegue abri-los. Um amigo aparece no arquivo como um identificador de conta, não pelo nome; a chave dele, os envelopes dele para outras pessoas e os bloqueios feitos contra você não estão lá, nem os níveis e os consentimentos — eles ficam no aparelho.

Não conseguimos ler nada disso — desde que a chave seja autêntica. O conteúdo viaja lacrado com uma chave que não temos, todo envelope tem o mesmo tamanho, e nem o tamanho revela quantos dias há dentro. Mas algumas coisas nós vemos, sim, e dizemos isso com clareza:

• quem está ligado a quem, e desde quando;
• a sua chave pública;
• que você tem um cofre da chave de amigos, e quando ele mudou; enquanto um pedido para zerar os seus amigos estiver pendente, o próprio pedido e quando ele passa a valer, além de um segundo texto cifrado do cofre, do mesmo tamanho fixo;
• quando você abre a tela de amigos — é aí que o seu aparelho busca a caixa de entrada e, se você compartilhou a sua semana, a envia — e quando um envelope com uma nota ou um cartão foi enviado ou retirado; e, se os seus amigos estão em vários aparelhos com a chave comum, quando você aceitou o cartão de produto de um amigo ou o recusou;
• que existem convites, e quantos.

O que não vemos: o que está dentro, quanto há lá e como você chamou o seu amigo no seu próprio aparelho. O seu amigo vê quando a sua semana foi atualizada pela última vez — é a última vez que você abriu a tela de amigos.

Essa ressalva sobre a chave não é força de expressão. As chaves que vocês trocam passam pelo nosso servidor — o que significa que, em teoria, poderíamos trocá-las. Você pode conferir: trinta e dois dígitos calculados a partir das duas chaves públicas precisam bater para você e para o seu amigo. Nós oferecemos essa verificação em vez de exigi-la — e, até fazê-la, você confia que o servidor entregou a chave verdadeira. A tela da amizade sempre mostra se ela foi verificada.

Se você sincroniza o seu diário, a chave privada de amigos viaja entre os seus aparelhos pelo mesmo caminho que o diário: no cofre da chave de amigos, lacrado com a chave do seu diário, que nós não temos. Lá ficam também as suas permissões, as suas verificações e os nomes que você deu aos amigos. Por isso seus amigos estão disponíveis em todo aparelho onde o código da chave do diário foi digitado, revogar uma permissão num aparelho vale para todos, e a verificação é comum: não é preciso comparar os dígitos uma segunda vez. A verificação vale para a chave inteira do seu amigo, e se a chave de um amigo já verificado mudar, a sua semana não vai para ele até você comparar os dígitos de novo. Enquanto seus amigos não estiverem na chave comum, a tela de amigos oferece a passagem para ela: sem amigos e sem convites pendentes dá para fazer isso a qualquer momento, mas quando você já tem amigos ou um convite pendente a passagem — assim como transferir os amigos para cá — troca uma chave em que outros já confiam e por isso só é possível logo depois de entrar na conta. Ao gerar um código novo, você pode trocar também a chave de amigos e, nos ajustes da conta, sair da conta nos outros aparelhos (também só logo depois de entrar): é assim que se desliga um aparelho perdido. A ordem é esta: sincronize os seus outros aparelhos, gere um código novo e depois saia da conta neles. O código novo tira do aparelho perdido as novas entradas do diário no servidor, a troca da chave de amigos tira dele as novas semanas dos amigos, e sair da conta tira o acesso dele ao servidor; o que já está no aparelho perdido fica nele. Seus amigos verão então uma chave nova e poderão comparar os dígitos de novo. Quando a chave de amigos muda, o servidor também apaga o que estava esperando por você sob a chave anterior — semanas dos amigos, notas e cartões de produto: a chave nova não os abre, e seus amigos mandam novos. Se o código se perdeu, dá para zerar os amigos com o botão “Zerar os amigos” — logo depois de entrar na conta (com o código do e-mail, com o Google ou com a Apple). Para zerar, o aparelho precisa do código da chave do diário; se ele também não tiver, crie antes um código novo — é uma chave do diário nova. O pedido de zerar passa a valer depois de um dia, a menos que nesse tempo o app seja aberto com rede em algum aparelho com o seu código: um aparelho assim retira o pedido sozinho, mesmo sem abrir a tela de amigos — o que quer dizer que o código está com você. Depois de zerar, a chave muda, as verificações são desfeitas e será preciso permitir de novo o compartilhamento da sua semana. A metade privada da chave de amigos nunca vai para o seu arquivo de backup; no próprio aparelho, ela fica na cópia local do cofre, no mesmo banco de dados do aparelho que a chave do diário, e o backup do aparelho, se você deixou o diário entrar nele, a leva junto com a chave do diário.

Sem sincronização ou sem a chave comum de amigos, a chave que lacra a sua semana fica guardada no seu aparelho e nunca viaja — nem para nós, nem para o seu arquivo de backup. Então, num aparelho novo, as amizades precisam ser confirmadas de novo. Seus amigos vivem em um aparelho só, e o servidor só troca sua chave enquanto você ainda não tem amigos nem convites pendentes ou numa transferência (só logo depois de entrar na conta) — com um backup num aparelho novo e ainda vazio ou com “Transferir para cá”: eles param no anterior (“Trazer de volta para cá”), e compartilhar sua semana precisa ser permitido de novo.

Quanto dura cada coisa: um convite não aceito vale 30 dias e funciona uma vez; a sua semana fica no servidor até a próxima e é apagada na hora quando uma amizade termina ou você passa para um aparelho novo — assim que um aparelho novo e ainda vazio restaurar o seu backup ou você confirmar a transferência na tela de amigos — e, com a chave comum de amigos, também quando você passa para ela, quando a chave de amigos é trocada junto com um código novo e quando o pedido de zerar passa a valer; as notas duram sete dias; o cofre da chave de amigos fica até a conta ser excluída; a ligação dura até ser encerrada ou até a conta ser excluída. As funções sociais não são oferecidas a ninguém cujo perfil diga ter menos de 16 anos.

Você pode ter no máximo 50 amigos, e esse teto é nosso, não do produto: quanto mais longa a lista, mais ligações o servidor conhece. Os convites têm limite pelo mesmo motivo — cinco ativos ao mesmo tempo, dez por dia.

Exatamente um no domínio inteiro: a sessão de acesso. Ele é técnico, só é colocado quando você entra, dura até 180 dias desde o último acesso e não é visível para nada além do aplicativo. Antes de você entrar não há nenhum — e depois ele vai junto com cada página daqui, esta incluída, porque o site e o aplicativo respondem num mesmo endereço. Não há aviso porque não se pede consentimento para o cookie sem o qual não dá para entrar, e não há mais nada a perguntar: nem análise, nem publicidade.

Cada finalidade tem sua própria base legal no RGPD (artigos 6 e 9):

• Execução do contrato (art. 6(1)(b)) — o que o serviço que você pede precisa para funcionar: conta, login e e-mails com código, a cópia lacrada do seu diário, o reconhecimento com a chave do Snapfork junto com o idioma e o país, o download da base de produtos, a conversa com o desenvolvedor, os links de convite e a mecânica da amizade: a ligação, as chaves, o cofre da chave de amigos, a entrega dos envelopes, os bloqueios de novo convite, e as notas e os cartões de produto — que você mesmo envia e que não precisam de consentimento para compartilhar a sua semana.
• Consentimento (art. 6(1)(a)) — a sincronização das configurações: é ligada separadamente e pode ser retirada a qualquer momento com o mesmo interruptor.
• Consentimento explícito (art. 9(2)(a)) — as respostas de saúde e a sincronização delas, retiradas com os botões da seção, e a sua semana para um amigo: cada amizade e cada nível de compartilhamento precisam do próprio consentimento, retirado com o botão “Parar de compartilhar”.
• Interesse legítimo (art. 6(1)(f)) — backups do banco de dados, registros do provedor de hospedagem, o contador de visitas e os registros anonimizados de recargas guardados para disputas de pagamento. Você pode se opor escrevendo para o endereço abaixo (art. 21).

Você também pode reclamar à autoridade de proteção de dados do seu país.

O registro de chamadas ao modelo fica armazenado no servidor enquanto a conta existir.

A exportação do servidor inclui o seu registro de chamadas ao modelo: dia, hora, tipo de pedido, modelo, origem do pagamento, estado, tokens e custo em dólares americanos, além da data local da pessoa convidada enquanto ela estiver armazenada. O registro não contém fotos, textos dos pedidos nem respostas do modelo; o resumo criptográfico do endereço IP não é exportado.

Sessão — até 180 dias desde o último acesso. Código por e-mail — 10 minutos. Números diários do contador — por tempo indeterminado, mas eles não contêm nada sobre uma pessoa. Conta — até você excluí-la. Correspondência com o desenvolvedor — exatamente tanto quanto a conta: ela vai junto com a conta e não tem prazo próprio. Escolhemos de propósito não dar um prazo próprio: seria uma promessa de apagar segundo um calendário, e não há calendário — então a promessa seria falsa desde a primeira vez que alguém conferisse.

A data local de quem foi convidado: no máximo 30 dias; sai antes se o convite for contado ou se quem convidou apagar a conta (veja “Links de convite”).

As entradas do diário no servidor — enquanto a conta existir. Elas não têm prazo próprio, e isso é uma decisão, não um esquecimento. O servidor guarda uma cópia lacrada do diário por causa do seu segundo aparelho — e uma cópia que some sozinha não serve para um segundo aparelho: ele não teria de onde recuperar o que o servidor esqueceu, e o diário nele ficaria, sem aviso, mais curto do que no outro. As entradas vão junto com a conta e só com ela: exclua-a, e a cópia lacrada do diário sai da base de dados do servidor na hora, e das cópias de segurança à medida que elas giram — quanto tempo isso leva está dito no fim desta seção. O diário no próprio aparelho continua seu e é apagado à parte.

Os trinta dias citados abaixo não são das entradas em si, e os dois prazos não devem ser confundidos. Trinta dias é a vida das prévias das fotos (no aparelho e no servidor) , das cópias ampliadas no servidor e das versões de entradas que perderam um conflito de sincronização. Os três tipos de dados ficam AO LADO de uma entrada, não no lugar dela: o que vai embora é uma imagem ou um rascunho anterior da linha, enquanto a própria entrada continua onde está. Os prazos no servidor contam na base de dados de trabalho do servidor; nas cópias de segurança dela, uma imagem ou uma versão pode sobreviver a eles por até 14 dias — veja o último parágrafo desta seção.

Prévias das fotos das refeições — 30 dias. O aplicativo guarda uma cópia pequena da imagem ao lado da entrada e a apaga do aparelho trinta dias depois de a foto ser tirada. A entrada fica: só a imagem vai embora. Este prazo nós citamos, justamente porque aqui existe um calendário — a limpeza roda toda vez que o aplicativo abre e logo depois de um backup ser restaurado —, e dá para conferir abrindo um dia antigo. O arquivo original da câmera não é guardado no diário. Junto com esta prévia, a entrada mantém no aparelho uma cópia ampliada e comprimida pelo mesmo prazo. O arquivo de backup que você exporta inclui essa cópia sem criptografia.

Uma foto adiada — no aparelho, por no máximo 30 dias. Uma foto que você deixa para reconhecer depois fica no aparelho inteira, não como prévia: até ser reconhecida e você salvar a entrada, e por no máximo trinta dias depois de ser tirada. Quando o prazo acaba, a foto é apagada, e o lembrete da refeição fica, para você anotá-la na mão. Ela sai do aparelho só no momento do reconhecimento — pelo mesmo caminho de qualquer outra foto (veja Para onde os dados vão, sim). A foto inteira enviada para reconhecimento não é guardada no nosso servidor. Se você salvar uma entrada, a prévia e a cópia ampliada comprimida dela são armazenadas separadamente, lacradas com a sua chave, como explicado abaixo.

No servidor a prévia vive pelo mesmo prazo — no máximo trinta dias. Ela vai para lá lacrada, junto com o diário, para poder aparecer no seu segundo aparelho; nós não conseguimos abri-la, assim como não conseguimos abrir as entradas. O servidor conta o prazo a partir do dia em que a imagem chegou, não do dia em que foi tirada: ele não sabe o dia em que foi tirada — isso está dentro do texto cifrado. Então a prévia sai primeiro do aparelho e depois do servidor, e a limpeza roda num calendário, uma vez por dia, e não “algum dia”.

Cópias ampliadas de fotos de refeições — no servidor por no máximo 30 dias. Se uma entrada tiver uma, o aplicativo a envia separada da prévia, criptografada com a sua chave. O servidor vê apenas o texto criptografado; o endereço da foto está dentro da entrada criptografada. Outro aparelho baixa a cópia quando você abre a foto. O servidor a apaga na limpeza diária, contando desde a chegada, e imediatamente ao apagar a conta. A exportação inclui o mesmo texto criptografado.

Versões de entradas que perderam um conflito de sincronização — no máximo trinta dias. Quando você edita uma entrada, substitui a versão anterior dela; o servidor não joga fora a anterior na hora, e sim a guarda à parte — para que “se consertou sozinho” não seja a nossa palavra contra a sua memória. Você pode vê-las e trazê-las de volta no aplicativo, no cartão de versões em conflito. Elas ficam lacradas, como as entradas: também não conseguimos abri-las. A limpeza roda num calendário, uma vez por dia — e é por isso que citamos o prazo aqui.

Uma versão assim pode ir embora antes do prazo, e é mais honesto dizer isso com clareza: por entrada o servidor guarda no máximo vinte delas, e a vigésima primeira desloca a mais antiga. É um limite técnico contra código descontrolado, não uma promessa de guardar vinte. A versão atual de uma entrada não é tocada nem pelo prazo nem pelo limite: é o seu diário, e só vai embora junto com a conta.

Cópias de segurança do servidor — até 14 dias. Uma vez por hora o servidor copia a base de dados inteira — um seguro para o dia em que um disco com defeito ou uma atualização quebrada levariam as contas de todo mundo. Das cópias das últimas 48 horas guarda-se uma por hora, das mais antigas uma por dia, e uma cópia com mais de 14 dias é apagada na próxima rotação de hora. As cópias só são apagadas por um servidor em funcionamento: enquanto ele está desligado, todas ficam, e quando ele volta as vencidas vão embora na hora. Uma ressalva: a cópia mais recente sempre fica — mesmo vencida, se as cópias novas pararam de dar certo — até a próxima que dê certo, porque uma cópia velha serve mais do que uma prateleira vazia. Uma cópia contém exatamente o que a base de dados tinha naquela hora, e da mesma forma. O que é lacrado com a sua chave — o diário, as prévias, as configurações, a imagem de perfil, as versões em conflito, o cofre da chave de amigos — continua lacrado na cópia, e não temos chave para isso; o que o servidor vê abertamente — a correspondência com o desenvolvedor, quem é amigo de quem — ele vê também na cópia. É por isso que todo prazo acima é um prazo na base de dados de trabalho: o que foi apagado lá — pela limpeza ou junto com a conta — fica nas cópias de segurança no máximo 14 dias depois disso, exceto nos casos acima. Catorze dias é um limite superior, não uma promessa de guardar: uma cópia pode ir embora antes, por exemplo quando falta espaço no disco.

Cópia externa — expiração prevista após 35 dias. Uma vez por dia, o servidor envia uma cópia da base ao Cloudflare R2 sob a jurisdição da União Europeia. Todo o arquivo é criptografado antes do envio com uma chave separada para as cópias. O prazo de expiração previsto é de 35 dias. Depois, o R2 exclui os objetos de forma assíncrona, por isso o armazenamento real pode durar mais. Os dados apagados da base de trabalho permanecem nas cópias externas até que essas cópias sejam efetivamente excluídas.

Em 9 de outubro de 2026, o armazenamento externo também contém uma cópia de 2 de outubro de 2026, criada antes da ativação da criptografia do arquivo completo. Essa cópia antiga está sujeita à mesma regra de expiração prevista.

No aplicativo: configurações → “Excluir a conta”. Isso apaga a conta, todas as formas de acesso dela, todas as sessões e toda a correspondência com o desenvolvedor; no acesso pela Apple também revoga a permissão do lado da Apple. O que o servidor guardava para a sincronização também vai junto com a conta: a cópia lacrada do seu diário, as prévias das fotos, a cópia lacrada das suas configurações, a imagem de perfil lacrada, o registro das versões em conflito e a lista dos seus aparelhos — nada disso fica na base de dados do servidor. O mesmo vale para as suas ligações de amizade, a sua chave pública, o cofre da chave de amigos, os envelopes entre você e os seus amigos, os seus convites de amizade e os bloqueios de novo convite. As cópias de segurança de hora em hora ainda guardam isso por até 14 dias, da mesma forma, e depois também some delas (desde que o servidor estivesse funcionando e as cópias novas dessem certo); como as cópias funcionam está descrito em Por quanto tempo cada coisa é guardada. Os números diários do contador de visitas ficam: eles não contêm nada sobre uma pessoa e não podem ser removidos por conta, porque não há conta neles. O diário no seu aparelho é apagado por um botão separado — ele é só seu, e não vamos decidir o destino dele por você.

Esta política muda junto com o serviço; a data no topo da página é a da última edição. As mudanças importantes são anunciadas aqui, e não por e-mail: o servidor não guarda nenhum endereço para o qual possa escrever — só uma impressão dele.

O controlador dos dados — quem decide o que é guardado aqui e responde por isso — é uma pessoa física, não uma empresa: por trás do Snapfork não há pessoa jurídica. Essa pessoa é Oleksandr Trifonov. Tudo sobre o serviço, incluindo os pedidos sobre os seus próprios dados, vai para o endereço abaixo. O que esse arranjo significa na prática está na página sobre quem está por trás.

Perguntas, acesso aos seus próprios dados e exclusão — pela página de perguntas ou escrevendo para hello@snapfork.app.