🪺 Política de Privacidade — Nesto Família

Versão beta-1 · Última atualização: 10/10/2026.

Versão beta, sujeita a revisão. Esta versão vale para o período de testes e para o lançamento inicial. Ela ainda não passou por revisão de advogado e pode mudar. Quando mudar de forma relevante, avisaremos no app antes, e pediremos de novo sua autorização quando ela for necessária.

1. Em poucas palavras

• O Nesto Família guarda os dados da sua família para a sua família.
• Nada é vendido. Seus dados não são usados para anúncios.
• Usamos só os fornecedores necessários para o app funcionar: Google (Firebase e Google Cloud), Anthropic (assistente), Open-Meteo (clima), Photon/komoot (busca de lugares) e as lojas Apple e Google Play (assinatura e login). A lista completa está na seção 9.
• Parte dos dados fica nos Estados Unidos: as fotos e documentos (inclusive fotos de crianças e de documentos de saúde) e os backups, além do assistente e de serviços do Google (seções 6 e 10).
• Dados de saúde e dados das crianças têm regras mais rígidas: pedimos autorização específica do responsável, os registros de saúde ficam cifrados no aparelho, nunca vão para a IA e nunca são usados para anúncios.
• O assistente, só depois de você autorizar, recebe sua pergunta como você escreveu e um resumo da agenda, das tarefas e das listas, com os nomes cadastrados dos membros e dos pets trocados por rótulos (“Criança 1”, “Adulto 2”, “Pet 1”), sem saúde, sem finanças e sem o local dos eventos. Apelidos, nomes de outras pessoas e lugares que você escrever podem ir como estão (seção 7).
• Não usamos ferramenta de análise de uso (Analytics) nesta versão. Só enviamos relatórios de falha (seção 8).
• Você pode ver, exportar, corrigir e apagar seus dados, e excluir sua conta dentro do app.

2. Quem cuida dos seus dados

• Controlador: Fernando Freitas, pessoa física, no Brasil.
• Canal de privacidade (encarregado): Fernando Freitas, pelo e-mail privacidade@nestofamilia.com.br.

3. Quais dados tratamos, para quê e com que base legal

O que não coletamos: localização contínua, contatos do aparelho, identificador de publicidade, eventos de uso (Analytics) e dados de fora do que vocês registram.

• Leitura de nota fiscal: a foto é lida no próprio aparelho e não é enviada a servidor.
• Importação de extrato (OFX ou CSV): o arquivo é lido no aparelho. Só os lançamentos que você confirma entram no Nesto Família.
• Clima e busca de lugares: só com sua permissão de localização, o app envia direto do aparelho à Open-Meteo e ao Photon a posição arredondada a cerca de 1 km. A posição não passa pelos nossos servidores e não é guardada (seção 9).

4. Dados das crianças e dos adolescentes

Esta seção explica, de forma simples, como cuidamos dos dados de quem tem menos de 18 anos.

Crianças até 11 anos

• Não têm login nem senha. Existem só como perfil que o pai, a mãe ou o responsável cria e gerencia.
• Ao cadastrar uma criança, o responsável declara que é pai, mãe ou responsável legal e autoriza o Nesto Família a guardar os dados que ele registrar. A tela dessa autorização está em construção (veja o aviso de transição).
• Pedimos só o necessário: nome ou apelido, data de nascimento e sexo (a curva de crescimento da OMS é diferente para meninos e meninas). A foto é opcional.

Adolescentes de 12 a 17 anos

• Nesta versão beta, não têm login. Existem só como perfil que o responsável cria e gerencia, com as mesmas regras das crianças.
• O login de adolescente por convite do responsável virá numa versão futura. Antes disso, esta seção será atualizada e avisaremos no app.
• O recurso de ciclo menstrual não fica disponível para menores de 18 anos.

Para todos os menores de 18 anos

• Quem vê: só os adultos com conta na família. Os dados de saúde de uma criança ou de um adolescente não aparecem para cuidadores sem permissão de saúde.
• Saúde: só é registrada com a autorização específica do responsável, os registros ficam cifrados no aparelho, nunca vão para a IA e nunca são usados para anúncios. As fotos de documentos que você anexar ficam no armazenamento de arquivos, nos Estados Unidos (seção 6).
• Fotos: a foto do perfil da criança é opcional e fica no armazenamento de arquivos do Google, nos Estados Unidos (seções 6 e 10).
• IA: nenhum dado de saúde cadastrado de criança ou de adolescente vai ao assistente. O nome cadastrado é trocado por um rótulo (“Criança 1”) com a faixa de idade (por exemplo, “3 a 6 anos”), e a data de nascimento não vai. Apelidos que você escrever na pergunta ou num título podem ir como estão.
• Anúncios e perfis: não criamos perfil de comportamento de crianças ou adolescentes, não usamos ferramenta de análise de uso e não usamos os dados deles para publicidade.
• Revogar e apagar: o responsável pode revogar a autorização e apagar o perfil e os dados a qualquer momento, em Perfil → Privacidade. Qualquer um dos responsáveis da família pode fazer isso.
• Segundo responsável: quando o outro pai, a outra mãe ou outro responsável entra por convite, ele vê o mesmo aviso e também pode revogar.

5. Dados de saúde

• Autorização própria: antes do primeiro registro de saúde, o app pede sua autorização em tela separada, com a caixa desmarcada. Sem ela, você continua usando agenda, listas e o resto do app. Essa tela está em construção (veja o aviso de transição).
• Cifrados no aparelho: os campos de saúde ficam cifrados no seu aparelho (AES-GCM, com a chave guardada no Keychain do iPhone ou no Keystore do Android). No servidor, não há uma cifra adicional nossa: ficam protegidos pela criptografia em repouso padrão do Google Cloud, como os demais dados.
• Fotos de documentos de saúde (receitas, exames, carteira de vacina) não são cifradas no aparelho: vão para o armazenamento de arquivos do Google, nos Estados Unidos, com a criptografia em repouso padrão do Google Cloud. Anexe só o que for necessário.
• Quem vê: os adultos com conta na família. O ciclo menstrual (só para maiores de 18 anos), só a própria pessoa, nem os outros adultos, inclusive no backup.
• Backup: o backup automático do Premium não leva dados de saúde nem de ciclo e só o administrador acessa.
• Nunca: os dados de saúde não vão para a IA, não são usados para anúncios e não alimentam ferramenta de análise de uso.
• Revogar: em Perfil → Privacidade, você desliga a autorização. O app pergunta se você quer apagar os registros ou só parar de registrar.

6. Onde os dados ficam

7. Assistente com IA: o que vai e o que não vai

Antes da primeira mensagem, o app mostra um aviso e pede sua autorização. Se você não autorizar, o assistente fica desligado e o resto do app continua igual.

O que vai ao nosso servidor em São Paulo e dele à Anthropic, PBC, nos Estados Unidos, para gerar a resposta:

• sua pergunta e as últimas mensagens da conversa (até um limite), como você escreveu, só com a troca de nomes descrita abaixo;
• um resumo da agenda, das tarefas, das listas, do cardápio e das rotinas dos próximos dias;
• os membros da família como rótulos (“Adulto 1”, “Criança 2”), com a faixa de idade (0-1, 1-3, 3-6, 6-12, 12-17 ou adulto), e os participantes de um evento também só pelos rótulos;
• os animais de estimação como “Pet 1”, com a espécie.

Como funciona a troca de nomes. Trocamos pelos rótulos os nomes dos membros e dos pets como estão cadastrados no Nesto Família, onde quer que apareçam: no título de um evento, de uma tarefa ou de um item de lista, e na sua pergunta. A troca vale com ou sem acento e com maiúsculas ou minúsculas (“João”, “joao”), pelo nome completo, pelo primeiro nome e por nomes compostos (“Ana Clara”). A troca de volta para os nomes reais é feita por nós, no servidor, antes de a resposta chegar ao app; a Anthropic não recebe essa lista.

O que a troca não pega, e por isso pode ir como você escreveu:

• apelidos e variações que não estão no cadastro (“Joãozinho”, “Juca”);
• nomes de pessoas que não são da família (o médico, a professora, a vizinha);
• lugares e outros detalhes que você escrever (a escola, o bairro, um endereço).

O que não vai, do que está cadastrado no Nesto Família: nomes e sobrenomes dos membros e dos pets, datas de nascimento, sexo, dados de saúde (remédios, vacinas, consultas, crescimento, ciclo, hidratação, treino), itens da lista da farmácia, finanças (contas, orçamentos e lançamentos), local dos eventos, fotos e documentos.

Filtro de títulos. Tarefas, compromissos e rotinas cujo título parece de saúde (por exemplo, “pediatra”, “vacina”, “gripe”, “dor de dente”) ou de dinheiro (por exemplo, “cartão”, “fatura”, “boleto”, “pix”, ou um valor em reais) ficam fora do resumo, e valores em reais são tirados dos itens de lista. Esse filtro é automático, por palavras, e pode deixar passar algum título escrito de outro jeito.

Cuidados:

• Comandos simples são resolvidos no próprio aparelho, sem enviar nada.
• Não gravamos o conteúdo das conversas nos registros (logs) do servidor.
• A Anthropic trata esses dados como nossa fornecedora, pelos termos comerciais da API dela: não usa esses dados para treinar modelos e os apaga em até 30 dias. Ela só guarda por mais tempo se a lei exigir ou se a conversa for marcada pelos sistemas dela como possível violação das regras de uso (nesse caso, por até 2 anos).
• Mesmo com os nomes trocados, o resumo continua sendo dado pessoal para nós (art. 13, §4º, da LGPD), e o tratamos como tal.
• O que você escreve na pergunta vai como está. Se você escrever um dado de saúde, um valor, um apelido ou o nome de alguém de fora da família, ele vai junto. Por isso pedimos que não escreva dados de saúde nem nomes de outras pessoas no assistente.
• Registro da autorização: guardamos no servidor qual texto você autorizou (versão), a data e hora, a plataforma e a versão do app. Revogar marca o registro como revogado, sem apagá-lo (seções 11 e 13).
• O assistente não dá orientação de saúde nem financeira. Ele não está disponível para menores de 18 anos (conferido pela data de nascimento) nem para cuidadores, e isso é conferido no servidor.
• Você pode desligar o assistente a qualquer momento em Perfil → Privacidade. Quando este texto muda de forma relevante, o app pede sua autorização de novo.

8. Análise de uso e relatórios de falha

• Sem Analytics no beta. Nesta versão, o app não usa o Google Analytics for Firebase nem outra ferramenta de análise de uso: não enviamos eventos de uso, não usamos identificador de publicidade (IDFA no iPhone, AD_ID no Android) e não fazemos rastreamento entre apps e sites (“tracking”).
• Se um dia voltarmos a usar, será só com uma lista fechada de eventos, sem identificador de publicidade, sem dado de saúde, sem dado de criança ou de adolescente e com opção de desligar no Perfil. Antes disso, atualizaremos esta Política e avisaremos no app.
• Crashlytics (Firebase Crashlytics): quando o app trava, enviamos um registro técnico do erro (o ponto do código que falhou, o modelo do aparelho, a versão do sistema e do app e um identificador de instalação) para corrigir. Ele não leva o conteúdo que você registra.

9. Com quem compartilhamos

Só com os fornecedores necessários, que tratam os dados em nosso nome (operadores):

• Não vendemos e não cedemos dados a terceiros para marketing.
• Podemos ter de entregar dados a autoridades quando a lei ou uma ordem judicial exigir.
• Dentro da família, os dados aparecem para os membros conforme o papel de cada um (seção 4 e Termos de Uso, seção 4).

10. Transferência para fora do Brasil

Alguns dados saem do Brasil (art. 33 da LGPD). Para os Estados Unidos, vão:

• ao Google: as fotos dos membros (inclusive das crianças), as fotos de documentos (inclusive de saúde) e os backups, guardados no armazenamento de arquivos em US-EAST1; os dados de login, os tokens de notificação e os relatórios de falha; e, até 15/11/2026, o processamento das funções do servidor para versões antigas do app (us-central1);
• à Anthropic: a pergunta e o resumo com rótulos do assistente (seção 7).

A posição arredondada e o texto da busca de lugares vão direto do aparelho à Open-Meteo (servidores na Europa e na América do Norte) e ao Photon (servidores na Alemanha), quando você usa o clima ou a busca de lugares. Essa transferência é necessária para fazer o que você pediu (art. 33, IX).

Os Estados Unidos não têm decisão de adequação da ANPD. Por isso:

• Google Cloud (armazenamento de arquivos, banco de dados e funções do servidor): os termos de tratamento de dados do Google Cloud incluem as cláusulas-padrão contratuais aprovadas pela ANPD (art. 33, II, “b”).
• Anthropic e os demais serviços do Google (login, notificações e relatórios de falha): os termos de tratamento de dados desses serviços ainda não trazem as cláusulas-padrão da ANPD. Nesses casos, o envio se apoia em ser necessário para prestar o serviço que você usa ou pediu (art. 33, IX). No assistente, ele só acontece depois do aviso e da sua autorização na primeira mensagem.
• Nenhum dado de saúde cadastrado e nenhum nome cadastrado de criança é transferido para a IA.
• As fotos de documentos de saúde e as fotos das crianças são dado sensível e dado de menor transferidos ao Google nos EUA para o armazenamento: tratamos isso com o consentimento específico de saúde e do responsável (seções 4 e 5) e com as cláusulas-padrão da ANPD nos termos do Google Cloud.
• O banco de dados fica no Brasil. As funções do servidor ficam no Brasil, com a cópia temporária nos EUA até 15/11/2026.

11. Excluir sua conta e seus dados

• Excluir minha conta: em Perfil → Privacidade → Excluir minha conta (opção em construção; até ela chegar, peça por e-mail, como abaixo). Apaga sua conta de login, seu perfil na família, seus dados de saúde e de ciclo, seus tokens, seus arquivos e suas autorizações. Se você entrou com a Apple, também revogamos o acesso do Nesto Família à sua conta Apple.
• Se você é o único administrador: o app pede para passar a administração a outro adulto ou excluir a família inteira.
• Excluir a família (só o administrador): apaga todos os registros e arquivos da família, de forma irreversível.
• Perfis de criança são apagados pelo administrador, a qualquer momento, ou junto com a família.
• Por e-mail: você também pode pedir a exclusão escrevendo para privacidade@nestofamilia.com.br, sem reinstalar o app.
• Prazos: a exclusão no banco é imediata. Cópias técnicas mantidas pelos fornecedores (como backups do banco e relatórios de falha) são apagadas nos prazos padrão de cada um. Depois da exclusão, guardamos só o registro das suas autorizações (qual autorização, a versão do texto e as datas de quando deu e revogou) por 5 anos, para provar o que aconteceu se houver questionamento, e depois apagamos.
• Excluir o app do aparelho não exclui a conta nem cancela a assinatura.

12. Seus direitos (art. 18 da LGPD)

Você pode pedir, a qualquer momento:

1. a confirmação de que tratamos seus dados;
2. o acesso aos seus dados;
3. a correção de dados incompletos, errados ou desatualizados;
4. a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desacordo com a LGPD;
5. a portabilidade dos dados (Perfil → Backup e exportação gera um arquivo legível por máquina). O registro das suas autorizações ainda não entra nesse arquivo: peça por privacidade@nestofamilia.com.br e enviamos;
6. a eliminação dos dados tratados com seu consentimento;
7. a informação sobre com quem compartilhamos seus dados (seção 9);
8. a informação sobre a possibilidade de não autorizar e o que acontece se você não autorizar (você continua usando o resto do app);
9. a revogação do consentimento (Perfil → Privacidade);
10. a oposição a um tratamento feito por legítimo interesse, como os relatórios de falha (art. 18, §2º);
11. a revisão de decisões tomadas só por meios automatizados que afetem seus interesses (art. 20). O assistente só sugere, e nada acontece sem sua confirmação.

Como pedir: a maior parte está no próprio app (Perfil → Privacidade e Perfil → Backup e exportação). Para o resto, escreva para privacidade@nestofamilia.com.br. Podemos pedir uma confirmação de identidade. Respondemos em até 15 dias (art. 19, II).

Pais e responsáveis exercem esses direitos pelos filhos.

Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd (art. 18, §1º).

13. Por quanto tempo guardamos

Contas inativas: no plano Free, se a conta ficar 2 anos sem uso, avisamos por e-mail e no app e, se ela continuar sem uso, excluímos a conta e os dados como na seção 11. Contas com assinatura ativa não são excluídas por inatividade. Quando a assinatura acaba, a conta passa a seguir a regra do Free.

14. Segurança

• Isolamento por família em toda leitura e escrita, verificado no servidor.
• Saúde cifrada no aparelho. Conexões sempre cifradas (HTTPS).
• O app usa o App Check do Firebase, que atesta que o pedido vem do app verdadeiro.
• Permissões do cuidador aplicadas no servidor. O assistente é negado no servidor a menores de 18 anos e a cuidadores.
• Nenhum sistema é 100% seguro. Se você notar algo estranho, avise em privacidade@nestofamilia.com.br.

15. Se acontecer um incidente

Se houver um incidente de segurança que possa causar risco ou dano relevante a você (por exemplo, acesso indevido a dados de saúde ou de crianças), avisamos você e a ANPD no prazo da regulamentação (Resolução CD/ANPD nº 15/2024, hoje 3 dias úteis a partir de quando soubermos), dizendo o que aconteceu, quais dados foram afetados, os riscos e o que estamos fazendo. Mantemos registro interno de todos os incidentes, mesmo os que não precisam ser comunicados.

16. Anúncios

O Nesto Família não mostra anúncios e não tem links de parceiro nesta versão. Se um dia tiver, a Política muda antes, com aviso no app. Mesmo nesse caso: nunca em telas de saúde, nunca para adolescentes ou em perfis de criança, nunca com segmentação por comportamento e nunca com dados de saúde ou de menores.

17. Mudanças nesta Política

Esta é uma versão beta e vai mudar, inclusive depois da revisão de advogado. Quando a mudança for relevante, avisamos no app antes e, se precisar, pedimos de novo sua autorização. A versão em vigor fica sempre nesta página, com a versão e a data no topo.

18. Contato

Fernando Freitas, controlador e canal de privacidade: privacidade@nestofamilia.com.br.

Termos de Uso · Política de Privacidade · Contato: contato@nestofamilia.com.br