Política de privacidade Dietabis

Versão 1.0 de 25 de outubro de 2026 — em vigor desde 25 de outubro de 2026.

1. Responsável pelo tratamento

O responsável pelo tratamento dos dados, na aceção do RGPD (Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho), é (adiante «Responsável» ou «Vendedor»):

CodeDriven Sebastian Rosiński
N.º de IVA (UE): PL6351828443
Morada: ul. Nowa 27/18, 43-190 Mikołów, Polónia
Contacto para questões de proteção de dados: kontakt@codedriven.pl

O Responsável não designou um encarregado da proteção de dados — para todas as questões relativas a dados pessoais, contacte-nos através do endereço acima. Pode escrever-nos em português.

2. O essencial

Na Dietabis não cria uma conta nem nos dá o seu nome, endereço de e-mail, peso ou outros dados de saúde. A Aplicação não exige registo — o acesso aos conteúdos comprados está associado apenas à sua conta na Loja (Google Play / App Store), e não a uma conta na Aplicação. Abaixo explicamos também que dados técnicos têm, mesmo assim, de ser gerados para verificar a sua compra e lhe entregar os conteúdos.

3. Dados que NÃO recolhemos

A Aplicação não pede o nome, apelido ou endereço de e-mail — só os recebemos se nos escrever (ver ponto 4, «Dados que nos fornece»).

A Aplicação e o seu criador também não recolhem nem pedem, propositadamente:

peso, altura, idade ou outros dados relativos à saúde,
dados de localização,
dados de acesso a serviços de terceiros (incluindo o Cookidoo®).

A Aplicação Dietabis não tem um sistema de contas de utilizador.

4. Dados que nos fornece

Correspondência — se nos escrever para kontakt@codedriven.pl (reclamação, declaração de resolução do contrato, pedido relativo a dados, comunicação sobre uma receita base), tratamos o seu endereço de e-mail e o conteúdo da mensagem apenas para dar seguimento ao assunto (artigo 6.º, n.º 1, alíneas b) e f), do RGPD), durante o tempo necessário para o encerrar e durante o prazo de prescrição de eventuais pretensões.

5. Dados no seu dispositivo — e dados que têm de sair dele

As informações seguintes são guardadas apenas localmente, no dispositivo do Utilizador, e não são enviadas ao Vendedor:

as trocas de refeições feitas no plano,
os pratos favoritos (marcados com o coração),
os pacotes de conteúdos (ementas) transferidos e guardados para uso sem internet,
os comprovativos de compra (nome do Produto, preço, data da compra e texto do consentimento prestado) — visíveis em Definições → As suas compras,
as definições da Aplicação (p. ex., o país escolhido, o tema, o plano escolhido e a respetiva variante, a lista de Produtos adquiridos e o estado do interruptor das ligações para as receitas base),
as respostas ao assistente «Escolher a dieta» (sexo, idade, altura, peso, atividade, objetivo, preferências, número de refeições) — os cálculos (IMC, necessidades estimadas) são feitos apenas no dispositivo; as respostas podem também ser apagadas separadamente, escolhendo «Apagar respostas do assistente» nas Definições.

Pode apagar estes dados a qualquer momento, escolhendo «Apagar dados do dispositivo» nas Definições da Aplicação, ou desinstalando a Aplicação — ambas as operações apagam definitivamente os dados locais.

O armazenamento destas informações no dispositivo e o acesso a elas pela Aplicação são estritamente necessários para prestar as funcionalidades que solicita expressamente (artigo 5.º, n.º 2, alínea b), da Lei n.º 41/2004, de 18 de agosto), pelo que não pedimos um consentimento separado. A Aplicação não utiliza cookies nem tecnologias semelhantes para fins publicitários ou analíticos.

«Apagar dados do dispositivo» não apaga o identificador aleatório da instalação nem a cópia do histórico de compras guardada no dispositivo pelo serviço de compras (RevenueCat) — são necessários para o processamento das compras, razão pela qual, depois de apagar os dados, a Aplicação continua a reconhecer os Produtos comprados. São apagados com a desinstalação da Aplicação. No Android, a Aplicação tem a cópia de segurança do sistema desativada (tanto na nuvem como na transferência de dados entre dispositivos), pelo que a desinstalação os apaga sem possibilidade de recuperação. No iOS não é possível desativá-la: restaurar o iPhone a partir de uma cópia de segurança do iCloud ou do computador pode recuperar os dados da Aplicação, incluindo o identificador do serviço de compras. Depois de reinstalar a Aplicação ou num novo dispositivo, o acesso aos Produtos comprados é recuperado com a função «Restaurar compras», nas Definições, que lê o histórico de compras da conta da Loja (Google Play ou App Store).

Esclarecemos ainda: a informação sobre o Produto (dieta × nível de kcal) que comprou não fica apenas no dispositivo. É enviada à RevenueCat como histórico de compras e — em cada transferência de conteúdos — ao nosso servidor, juntamente com um identificador aleatório da instalação, que não contém dados identificativos (pseudonimização, na aceção do artigo 4.º, ponto 5, do RGPD), e com o endereço IP. Sem isso, não é possível verificar que tem direito aos conteúdos comprados.

6. Destinatários e subcontratantes

O funcionamento da Aplicação exige recorrer aos serviços das entidades seguintes, que tratam dados na medida descrita abaixo:

RevenueCat (RevenueCat, Inc., EUA) — fornecedor da infraestrutura de compras na aplicação, subcontratante que atua por conta do Responsável. Trata o identificador aleatório da instalação (app_user_id), o histórico de compras de Produtos, as definições regionais e a moeda e — em ligação com a comunicação de rede — o endereço IP do dispositivo, necessários para verificar que a cópia da Aplicação tem direito a receber o conteúdo do Produto comprado. A RevenueCat não recebe do Vendedor o nome, apelido ou endereço de e-mail do Utilizador; a recolha de identificadores do dispositivo (p. ex., o identificador de publicidade) está desativada na Aplicação.
Supabase (contrato com a Supabase Pte. Ltd., Singapura; projeto do Responsável na região de Frankfurt, UE) — fornecedor da infraestrutura que disponibiliza o catálogo de dietas e o conteúdo das ementas após a verificação da compra. Para a função de servidor que entrega o conteúdo comprado, a Aplicação envia o identificador do Produto comprado e o identificador aleatório da instalação (além do código do país escolhido, que serve apenas para entregar o conteúdo próprio desse país); servem para verificar a compra na RevenueCat e para limitar abusos (limite de pedidos por identificador e por endereço IP). Para limitar abusos, a base de dados guarda apenas resumos criptográficos (SHA-256 com sal) do endereço IP e do identificador da instalação, nunca os seus valores originais. A transferência da pré-visualização gratuita (1 dia de exemplo) envia à mesma função apenas o identificador do produto e o código do país escolhido, sem o identificador da instalação — porque a pré-visualização não exige verificação da compra. A transferência do catálogo de dietas e do estado do interruptor das ligações não envia qualquer identificador (com o catálogo é enviado apenas o código do país escolhido). Esta infraestrutura é configurada pelo próprio Vendedor — nesta medida, a Supabase é subcontratante. Em todos estes casos, no âmbito do processamento dos pedidos de rede, a Supabase trata os registos (logs) habituais do servidor, incluindo o endereço IP do dispositivo, na medida típica do funcionamento de qualquer serviço na internet (segurança, diagnóstico, limitação de abusos).
Cloudflare (Cloudflare, Inc., EUA) — fornecedor da rede de distribuição de conteúdos a partir da qual a Aplicação transfere as fotografias dos pratos (endereço img.codedriven.pl). Na transferência de uma fotografia, a Cloudflare trata o endereço IP do dispositivo, o endereço do ficheiro transferido e os cabeçalhos habituais do pedido, para entregar o ficheiro e proteger o serviço, como subcontratante. A transferência de uma fotografia não envia o identificador da instalação nem informação sobre compras.
Fornecedor do serviço de correio eletrónico da caixa kontakt@codedriven.pl — no âmbito da correspondência (ponto 4).
Loja (Google Play / App Store) — processa o pagamento dos Produtos como responsável pelo tratamento autónomo e independente dos dados de faturação e de pagamento do Utilizador. O Vendedor não tem acesso aos dados do cartão de pagamento nem aos pormenores de faturação tratados pela Loja.

Os dados podem também ser comunicados a autoridades públicas, se tal decorrer de uma obrigação legal.

Segurança. Toda a comunicação da Aplicação com os servidores é feita por ligação cifrada (HTTPS). Recolhemos apenas os dados necessários para verificar a compra e entregar os conteúdos e, para limitar abusos, guardamos apenas resumos criptográficos com sal, e não os endereços IP ou identificadores originais. Apenas o Responsável tem acesso à configuração dos serviços.

7. Transferências de dados para fora do Espaço Económico Europeu

Supabase — os dados da Aplicação (base de dados e função de servidor) são guardados na região de Frankfurt, na União Europeia. A parte no contrato de subcontratação é a Supabase Pte. Ltd., com sede em Singapura, e é possível o acesso aos dados a partir de um país terceiro (p. ex., no âmbito do suporte técnico ou por subcontratantes ulteriores); como a Comissão Europeia não adotou uma decisão de adequação relativamente a Singapura, essa transferência baseia-se nas cláusulas contratuais-tipo adotadas pela Comissão (Decisão de Execução (UE) 2021/914; artigo 46.º, n.º 2, alínea c), do RGPD).
RevenueCat — a RevenueCat, Inc. tem sede nos Estados Unidos e trata dados nos EUA. À data desta versão da política, a RevenueCat não consta da lista de participantes do EU-U.S. Data Privacy Framework, pelo que a transferência se baseia nas cláusulas contratuais-tipo (Decisão de Execução (UE) 2021/914; artigo 46.º, n.º 2, alínea c), do RGPD) previstas no acordo de tratamento de dados da RevenueCat.
Cloudflare — a Cloudflare, Inc. tem sede nos Estados Unidos e participa no EU-U.S. Data Privacy Framework, abrangido por uma decisão de adequação da Comissão Europeia (Decisão de Execução (UE) 2023/1795; artigo 45.º do RGPD); o acordo de tratamento de dados da Cloudflare prevê ainda cláusulas contratuais-tipo para as transferências não abrangidas por esse quadro.

Pode obter uma cópia das garantias aplicadas (cláusulas contratuais-tipo) escrevendo para kontakt@codedriven.pl.

8. Fundamentos jurídicos do tratamento

Os dados descritos no ponto 6 são tratados com base:

no artigo 6.º, n.º 1, alínea b), do RGPD — na medida necessária à execução do contrato de fornecimento do conteúdo digital comprado (verificação da compra, entrega do conteúdo do Produto),
no artigo 6.º, n.º 1, alínea f), do RGPD — interesse legítimo do Vendedor em garantir a segurança do serviço, prevenir abusos e manter o bom funcionamento da infraestrutura (registos do servidor, limites de pedidos, entrega do catálogo e das fotografias) e, no caso da correspondência, em dar resposta aos pedidos e em declarar, exercer ou defender direitos num processo.

A comunicação do identificador aleatório da instalação e do endereço IP é condição para a compra e para a transferência dos conteúdos — sem eles não é possível verificar a compra nem entregar o Produto. Escrever-nos é facultativo.

9. Prazo de conservação

Resumos criptográficos no limite de pedidos (Supabase) — as entradas com mais de 2 dias destinam-se a ser apagadas e são eliminadas por lotes durante o processamento de pedidos seguintes; contêm apenas o resumo e o contador de pedidos.
Registos do servidor Supabase (incluindo o endereço IP) — durante o período de conservação de registos do plano do serviço, no máximo 7 dias.
Registos da Cloudflare — durante o período decorrente das condições do serviço da Cloudflare, na medida necessária para entregar o ficheiro e proteger o serviço.
Identificador da instalação e histórico de compras (RevenueCat) — durante o período em que disponibilizamos o conteúdo dos Produtos comprados para transferência e restauro (ponto 12 dos termos de utilização) e, depois, até serem apagados pelo Responsável; antes disso, a pedido do Utilizador (ponto 11), sabendo que, depois de apagados, não será possível confirmar a compra na transferência dos conteúdos.
Correspondência — durante o tempo necessário para encerrar o assunto e, depois, até ao fim do prazo de prescrição de eventuais pretensões.

10. Sem definição de perfis nem publicidade

A Aplicação não faz definição de perfis dos Utilizadores, não apresenta publicidade nem comunica dados sobre o comportamento do Utilizador a terceiros para fins de marketing. O Responsável não toma decisões relativas aos Utilizadores baseadas exclusivamente no tratamento automatizado que produzam efeitos jurídicos ou que os afetem significativamente de forma similar (artigo 22.º do RGPD).

11. Direitos do titular dos dados

O Utilizador tem o direito de acesso aos dados, de retificação, de apagamento, de limitação do tratamento, de portabilidade e de oposição ao tratamento baseado no artigo 6.º, n.º 1, alínea f), do RGPD. Para exercer estes direitos, pode contactar o Vendedor através de kontakt@codedriven.pl.

Como a Aplicação não tem contas de utilizador, o próprio Responsável não consegue associar o identificador aleatório da instalação a uma pessoa concreta (artigo 11.º do RGPD). Para exercer os direitos relativos aos dados de compras, indique na mensagem o número da encomenda que consta do comprovativo de compra da Loja — permitirá encontrar o identificador correspondente. Os resumos criptográficos do limite de pedidos não são associados a nenhuma pessoa — são apagados ao fim de 2 dias (ponto 9).

12. Direito de apresentar reclamação

O Utilizador tem o direito de apresentar reclamação a uma autoridade de controlo, se considerar que o tratamento dos seus dados viola o RGPD (artigo 77.º do RGPD). Em Portugal, a autoridade de controlo nacional é a Comissão Nacional de Proteção de Dados — CNPD (artigo 3.º da Lei n.º 58/2019, de 8 de agosto), Av. D. Carlos I, 134, 1.º, 1200-651 Lisboa, https://www.cnpd.pt. Como o Responsável está estabelecido na Polónia, a autoridade de controlo principal é o Presidente do Gabinete de Proteção de Dados Pessoais da Polónia (Prezes Urzędu Ochrony Danych Osobowych — UODO), ul. Stanisława Moniuszki 1A, 00-014 Varsóvia, https://uodo.gov.pl; a reclamação apresentada à CNPD é tratada no âmbito da cooperação entre autoridades de controlo prevista nos artigos 56.º e 60.º do RGPD. A lista das autoridades de controlo dos Estados-Membros é publicada pelo Comité Europeu para a Proteção de Dados: https://www.edpb.europa.eu/about-edpb/our-members_en.

13. Alterações à política de privacidade

O Vendedor pode atualizar a presente política de privacidade, em especial em caso de alteração do âmbito dos dados tratados, dos prestadores de serviços ou da lei. A versão em vigor está sempre disponível nas Definições da Aplicação e em https://codedriven.pl/realizacje/dietabis/pt/polityka-prywatnosci/. Os Utilizadores serão informados das alterações da mesma forma que das alterações aos termos de utilização (ponto 10 dos termos de utilização): através da atualização do texto nas Definições da Aplicação, de uma informação na Aplicação na abertura seguinte e da publicação da nova versão no endereço público https://codedriven.pl/realizacje/dietabis/pt/polityka-prywatnosci/.