Privacidade, escrita para pessoas.

Conta e conteúdo

Esta política se aplica ao lim, também identificado como Ferrari/Daily Habits durante o desenvolvimento, com identificador com.generativesynesthesia.dailyhabits. Generative Synesthesia é a marca do desenvolvedor. O desenvolvedor identificado no App Store Connect é responsável pelo serviço.

O login Apple ou Google fornece um identificador e, quando disponíveis, nome e e-mail. Um link seguro de curta duração pode recuperar uma conta previamente estabelecida por um canal. O login não conecta automaticamente o Google Calendar. Tarefas, rotinas, preferências, conversas, memória do assistente, notas autorizadas, lembretes e registros de ações ficam no Supabase, vinculados à sua conta. O app também mantém dados locais para exibição e recuperação.

O Lim trata um identificador da instalação, token de notificação e estado da autorização para entregar lembretes solicitados e vinculá-los à instalação correta. O Apple App Attest fornece uma chave e provas de integridade usadas para proteger pedidos de IA contra abuso; a chave privada permanece no Secure Enclave do aparelho. Os controles de segurança também tratam IP das solicitações, horários, contadores de limite e registros técnicos limitados de falha. Esses registros não incluem intencionalmente conteúdo de mensagens, notas, tarefas, áudio, fotos ou calendários.

Compartilhamento com prestadores

O Lim exige que cada destinatário listado, incluindo Supabase, OpenAI, Mixpanel e RevenueCat, forneça proteção de dados igual ou equivalente à descrita nesta política e à exigida pelas Diretrizes de Revisão da Apple no seu âmbito de atuação. O compartilhamento limita-se às finalidades abaixo. O tratamento internacional segue os termos e as salvaguardas de transferência aplicáveis.

Supabase — Dados: identificadores/conteúdo da conta, credenciais/contexto de agendas autorizadas, áudios/imagens enviados e registros de segurança. Finalidade: hospedagem, autenticação, armazenamento e processamento do servidor. Local: projeto do Lim nos Estados Unidos (us-east-2); suporte pode operar internacionalmente. Retenção: conteúdo da conta até exclusão; áudios não enviados 24 horas, feedback opcional 180 dias, registros financeiros/de segurança limitados por até 35 dias após exclusão, salvo obrigação legal maior. Controles: desconectar integrações, retirar autorização de IA ou excluir a conta Lim no app; são ações distintas.

OpenAI — Dados: mensagens e contexto relevante de tarefas, notas autorizadas, memórias/preferências, nomes de agendas selecionadas e títulos/horários/fusos de eventos, áudios enviados e imagens submetidas à análise por IA. Finalidade: respostas, organização, acompanhamento, transcrição e análise solicitados. Local: processamento remoto internacional, inclusive nos Estados Unidos. Retenção: logs contra abuso de texto/imagens/embeddings normalmente por até 30 dias, com exceções legais/de segurança; transcrição não documenta retenção de estado da aplicação nem de monitoramento contra abuso. O histórico salvo pelo Lim segue esta política. Controles: autorização separada antes do primeiro pedido, inclusive antes do login; retirar em Privacidade e dados bloqueia novos pedidos de IA da conta após confirmação do servidor.

Mixpanel — Dados: eventos opcionais de abertura/navegação, referência aleatória da instalação e identificadores técnicos de entrega/sessão. Finalidade: melhorar navegação e onboarding. Local: Estados Unidos. Retenção: até cinco anos, salvo exclusão anterior; eventos antigos não são associados à exclusão da conta. Controles: desativado por padrão; ative/desative Permitir análises de uso em Ajustes → Privacidade → Privacidade e dados, separadamente da IA e dos Termos. Para acesso/exclusão de eventos antigos, contate o suporte de privacidade com a referência da instalação mostrada no app.

RevenueCat — Dados: identificador da conta Lim, produtos, transações/recibos, datas e status da assinatura. Finalidade: verificar acesso, restaurar compras e prevenir fraude. Local: tratamento internacional, inclusive nos Estados Unidos. Retenção: obrigações de restauração, segurança e legais do provedor; excluir a conta não apaga automaticamente registros de compra. Controles: gerenciar/cancelar com a Apple; exclusão da conta Lim e suporte de privacidade para registros que possam ser eliminados.

Apple — Dados: identificador/nome/e-mail de login quando usado, transações/recibos App Store, tokens/dados de entrega de notificações e comprovações de integridade App Attest. O Apple Calendar opcional é lido no aparelho; contexto selecionado chega ao Lim/OpenAI apenas quando habilitado e necessário. Finalidade: acesso, compras, notificações, integridade e calendário. Local/retenção: regiões, ajustes e obrigações legais da Apple; compras/eventos externos podem permanecer após exclusão do Lim. Controles: permissões iOS, conexões/assinaturas Apple e exclusão da conta Lim.

Google — Dados: identificador/nome/e-mail de login quando usado; apenas com conexão separada do Calendar, credenciais, agendas selecionadas e eventos. Finalidade: autenticação e recursos de calendário solicitados. Local/retenção: tratamento internacional conforme regras Google; o Lim remove suas credenciais/cache ao desconectar, enquanto eventos e registros obrigatórios seguem a retenção Google. Controles: desconectar Calendar no Lim ou revogar nas conexões da Conta Google. O login não conecta o Calendar.

Meta/WhatsApp — Apenas vínculos antigos de teste; a primeira versão iOS não oferece controles de novas conexões WhatsApp. Dados: identificador/número vinculado e mensagens trocadas com o Lim. Finalidade: conversas na integração antiga. Local/retenção: tratamento internacional conforme termos Meta/WhatsApp; mensagens entregues permanecem até exclusão no respectivo serviço, histórico Lim até exclusão no Lim. Controles: suporte de privacidade para desconectar vínculo antigo; excluir mensagens entregues no WhatsApp.

Microsoft — Dados: identificadores de perfil/conta, e-mails em modo de leitura e credenciais de autorização/sessão, somente quando você conecta Outlook/Hotmail/Microsoft 365. Finalidade: acesso autorizado à caixa e sincronização contínua. Local/retenção: infraestrutura internacional Microsoft e retenção aplicável do provedor; o Lim remove seus dados do conector ao desconectar ou excluir a conta. Controles: desconectar no Lim ou revogar o acesso delegado do aplicativo na conta Microsoft.

Seu plano inicial, antes de entrar na conta

Quando você pede à Lim um plano inicial antes de entrar na conta, a descrição das suas tarefas, a intenção escolhida, o fuso horário e o idioma passam pelo nosso servidor e são enviados ao provedor de IA configurado. O serviço usa o horário atual para interpretar datas e devolve um rascunho para você revisar. Esse pedido, por si só, não cria uma conta, não salva tarefas em uma conta nem ativa lembretes.

O áudio enviado nesse fluxo de plano inicial vai à OpenAI para transcrição. O serviço pré-conta não cria uma gravação de chat armazenada nem uma mensagem de conversa a partir desse áudio. As mensagens de voz do chat após entrar na conta ficam no histórico da conta conforme descrito abaixo.

Para prevenir abuso, esses serviços processam identificadores de instalação e endereços IP das solicitações e armazenam identificadores transformados por hash com contadores de limite de pedidos. Não incluímos o texto das tarefas, o áudio nem as respostas do provedor nos registros de erro da aplicação. O processamento e a retenção pelos provedores de IA seguem os termos aplicáveis de seus serviços.

Feedback opcional do onboarding

Se você selecionar Outro motivo nas perguntas do onboarding e continuar, salvaremos a pergunta e a opção escolhidas com a explicação que você decidir fornecer, para entender as necessidades das pessoas e melhorar o app. Escrever uma explicação é opcional. O app pode manter um envio pendente no dispositivo e enviá-lo quando houver conexão.

Esse feedback fica separado no Supabase, com um identificador aleatório de sessão, um identificador de envio, idioma, versão do texto da pergunta, data de envio e indicação de onboarding ou prévia de desenvolvimento. Não associamos automaticamente nome, e-mail ou identificador da conta Lim ao registro. O texto livre pode conter informações pessoais que você decidir escrever; o feedback não é anônimo. Administradores do projeto podem acessá-lo para pesquisa de produto. Uma rotina diária de retenção apaga registros com mais de 180 dias.

Apagar os dados da sua conta Lim não apaga automaticamente esse feedback pré-conta, pois ele não está vinculado à conta. Para pedidos de privacidade sobre o feedback, use o contato abaixo; podemos precisar de informações que ajudem a localizar o envio. Aplicam-se também os controles separados de prevenção de abuso descritos acima.

Conversas, notas, memória e IA

Mensagens, respostas, gravações de voz enviadas, transcrições e histórico de ações ficam na sua conta na nuvem. A Lim processa seu pedido com a conversa recente e informações relevantes da conta, como tarefas, preferências, memórias salvas, notas que você permite que o assistente use e detalhes de agendas conectadas. Quando necessário, pode recuperar trechos de conversas anteriores e notas autorizadas. O histórico de conversas dos testes anteriores permanece até você apagá-lo ou excluir sua conta Lim.

Memórias salvas são preferências ou informações usadas para personalizar respostas futuras. Em Ajustes → Privacidade → Privacidade e dados → O que a Lim sabe sobre mim, você pode consultar, editar ou apagar essas memórias. Apagar uma memória interrompe seu uso como memória ativa, mas não apaga mensagens ou notas em que você compartilhou a informação. Registros mínimos de alteração e exclusão podem permanecer para impedir atualizações duplicadas ou desatualizadas.

Google Calendar, somente quando conectado

Uma autorização separada do Google permite consultar a lista de agendas e ler ou alterar eventos. Você seleciona até dez agendas e, opcionalmente, um destino para novos eventos. O servidor guarda credenciais cifradas, e-mail da conta, identificadores e nomes de agendas, identificadores e títulos dos eventos, horários, fusos, disponibilidade e registros de sincronização. A atualização periódica cobre os sete dias anteriores e os próximos noventa; consultas específicas do assistente podem consultar outros períodos limitados.

A conexão continua funcionando com o iPhone fechado. Nomes de agendas e detalhes relevantes dos eventos podem ser enviados ao provedor de IA configurado para responder aos seus pedidos e evitar conflitos de horário. Credenciais, listas de participantes, locais e descrições de eventos não são fornecidos como contexto de calendário. O conteúdo dos eventos não autoriza ações. O lim cria, altera ou exclui eventos Google somente a seu pedido; esta integração não convida participantes nem envia e-mails de convite.

Dados recebidos do Google são usados para as funções de calendário e assistente pessoal que você solicita, não para anúncios nem para treinar modelos generalizados de IA. O uso e a transferência dessas informações seguem a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado: https://developers.google.com/terms/api-services-user-data-policy.

Desconecte em Ajustes → Conexões → Google Calendar para remover as credenciais e o cache da agenda salvos no lim. Os eventos permanecem no Google Calendar. Você também pode revogar a autorização nas conexões da sua Conta Google. O histórico de conversas e ações pode conter detalhes de pedidos anteriores até você apagar seus dados do lim.

Conexões WhatsApp de versões anteriores

Conectar o WhatsApp vincula seu identificador e número do WhatsApp à sua conta da Lim. As mensagens enviadas à Lim e suas respostas passam pela Meta/WhatsApp e pelo nosso servidor e integram o mesmo histórico de conversas na nuvem. A IA processa essas mensagens como os pedidos feitos pelo app. Essa conexão não dá acesso às suas outras conversas do WhatsApp nem à sua lista de contatos.

A conexão e a gestão de WhatsApp não estão disponíveis na primeira versão para iOS. Se você vinculou o WhatsApp durante os testes, contate o suporte de privacidade para gerenciar ou desconectar esse vínculo. Desconectar interrompe o uso futuro do vínculo; o histórico da Lim e as mensagens já entregues ao WhatsApp permanecem até serem apagados em cada serviço. Os lembretes usam o app ou a configuração do Google Calendar; o envio de lembretes pelo WhatsApp está desativado na versão atual.

Calendário Apple e outras permissões

O Calendário Apple é uma integração opcional separada, executada no dispositivo. Leituras e alterações por EventKit exigem permissão do iOS e execução no iPhone. Se você habilitar o contexto de calendário no chat, títulos e horários são enviados ao servidor e ao provedor de IA. A edição direta na Timeline usa o editor do Calendário Apple. Desconectar o Google Calendar não desativa o Calendário Apple, nem o contrário.

Nas mensagens de voz do chat após entrar na conta, o microfone grava mensagens que só são enviadas quando você escolhe enviá-las. O áudio enviado fica protegido no Supabase e é enviado à OpenAI para transcrição; o texto integra a conversa. Uploads não enviados são removidos após 24 horas. Câmera e fotos servem às evidências opcionais de conclusão; a revisão opcional por IA processa a imagem enviada. Notificações e alarmes usam as permissões e configurações que você habilita.

IA, prestadores e compartilhamento de dados

A OpenAI é o provedor de IA usado nesta versão. Sua API processa o conteúdo necessário para responder aos pedidos, transcrever áudios enviados e localizar informações relevantes. A OpenAI informa que não usa dados da API para treinar modelos por padrão, salvo quando o cliente da API ativa o compartilhamento. Este aviso descreve essas condições padrão; não promete retenção zero pelo provedor.

Nos pedidos de texto, imagem e recuperação de informações, a OpenAI pode manter conteúdo em registros de monitoramento de abuso, normalmente por até 30 dias, com prazos maiores possíveis por motivos legais ou de segurança. A Lim solicita que as respostas geradas não sejam guardadas como estado da API, mas isso não elimina todos os registros de segurança nem caches temporários de processamento. A API de transcrição documenta ausência de retenção de estado e de monitoramento de abuso; o áudio e o histórico salvos pela Lim seguem nossas regras próprias abaixo.

A transmissão e o armazenamento cifrados e os controles de acesso protegem os dados, mas a OpenAI precisa processar o conteúdo para prestar o serviço. O monitoramento de segurança do provedor pode envolver acesso autorizado. Essas proteções não tornam o conteúdo enviado anônimo nem impedem todo acesso pelo provedor. Referências oficiais: https://developers.openai.com/api/docs/guides/your-data e https://openai.com/security-and-privacy/.

Antes de ativar os recursos de IA, inclusive o plano inicial antes de entrar na conta, o Lim pede sua permissão explícita para enviar o conteúdo e o contexto relevante descritos à OpenAI pelo Supabase. O assistente depende desse processamento e não é ativado sem sua autorização. Aceitar os Termos de Serviço ou contratar uma assinatura não substitui essa permissão. Antes do login, a escolha fica no rascunho do onboarding no aparelho. Em uma conta autenticada, o servidor registra a autorização de IA, sua versão e data; o app também mantém registros locais dos aceites.

Para retirar a autorização, abra Ajustes → Privacidade → Privacidade e dados → Retirar autorização para processamento de IA. Após a confirmação do servidor, a pausa bloqueia novos pedidos de IA da conta, inclusive acompanhamentos agendados que usam IA, e encerra a sessão neste iPhone. Se a conexão falhar, o app informa que a confirmação está pendente e mantém o pedido de pausa para nova tentativa. A IA agendada pode continuar até o servidor confirmar. A pausa não recolhe conteúdo já enviado ao provedor nem garante cancelar um processamento já iniciado.

Pausar a IA não apaga seus dados, cancela a assinatura, desconecta o Google Calendar nem exclui tarefas, eventos ou lembretes existentes que não dependam de novo processamento por IA. Gerencie esses itens separadamente em Conexões, na agenda, nos controles de exclusão da conta e nas assinaturas da Apple. Os controles de conta, exclusão e assinatura continuam acessíveis sem ativar o assistente.

O Supabase armazena a conta e os conteúdos descritos acima e executa o serviço do assistente. A OpenAI processa mensagens e o contexto relevante para respostas e ações solicitadas; a OpenAI também transcreve mensagens de voz enviadas. O processamento de IA ocorre remotamente, não apenas no iPhone. O Lim exige que seus prestadores tratem dados pessoais somente para o serviço contratado, apliquem proteções equivalentes às desta política e cumpram as exigências aplicáveis de privacidade e segurança.

Compartilhamos dados de usuário do Google somente com os prestadores necessários para entregar as funções solicitadas: o Supabase hospeda autenticação, credenciais cifradas, armazenamento protegido e funções de servidor; a OpenAI pode processar nomes de agendas, títulos e horários de eventos selecionados que sejam relevantes para responder a um pedido ou evitar conflito de horário. Tokens de autorização do Google, listas de participantes, locais e descrições de eventos não são compartilhados com o provedor de IA. O Google processa a autorização e as operações da API Calendar conforme seus próprios termos.

Esses prestadores processam dados em nosso nome para operar o Lim. Não vendemos dados de usuário do Google, não os compartilhamos com plataformas de publicidade ou corretores de dados e não os usamos para publicidade personalizada, decisões de crédito ou treinamento de modelos generalizados de IA. Podemos compartilhar dados limitados quando exigido por lei ou necessário para investigar abuso de segurança. Não há outro compartilhamento com terceiros sem antes obter o consentimento explícito do usuário.

Compras e assinaturas

A Apple processa as compras da App Store. A RevenueCat recebe o identificador da sua conta Lim, produto da assinatura, dados de transação e recibo, datas de compra e vencimento e estado da assinatura para verificar o acesso, restaurar compras e prevenir fraude. O Lim não recebe os dados do seu cartão. Excluir sua conta Lim não cancela uma assinatura da App Store nem apaga automaticamente registros que a Apple ou a RevenueCat precisem manter. Gerencie ou cancele a assinatura nos ajustes da sua conta Apple.

Seus controles e pedidos de privacidade

Revise as permissões do dispositivo nos Ajustes do iOS. Gerencie planejamento diário, horário de silêncio e notificações em Ajustes → Preferências, e o acesso às agendas em Ajustes → Conexões. Para um vínculo WhatsApp estabelecido durante os testes, contate o suporte de privacidade. As notas têm controles próprios para permitir ou impedir seu uso pelo assistente. Você pode desconectar serviços opcionais sem sair da Lim.

Use o contato abaixo para pedir acesso, correção, exclusão ou uma cópia dos seus dados, retirar o consentimento quando ele for a base do tratamento ou exercer outros direitos previstos na legislação aplicável. Podemos precisar verificar a titularidade da conta antes de atender. Usamos dados para fornecer as funções solicitadas, manter a segurança e a confiabilidade e cumprir obrigações legais. Esta versão não exige uma opção separada de recusa de publicidade: não vendemos dados pessoais, não os usamos para publicidade direcionada nem rastreamos você em apps e sites de outras empresas.

Retenção, exclusão e segurança

Sair encerra a sessão e atividades do app no dispositivo, mas não exclui sua conta Lim. Ajustes → Privacidade → Conta, privacidade e exclusão → Excluir conta Lim remove permanentemente tarefas, notas, conversas, gravações, memórias, conexões, operações pendentes e dados locais do Lim. A exclusão pode terminar de forma assíncrona; o Lim mantém a conta fechada durante a limpeza e confirma a conclusão no app. Eventos já salvos no Calendário Apple ou Google permanecem nesses serviços. A identidade compartilhada de acesso da Generative Synesthesia e dados de outros produtos permanecem disponíveis.

Um recibo mínimo de exclusão é mantido para impedir que os dados apagados do Lim sejam recuperados. Registros financeiros e de segurança limitados permanecem por até 35 dias após a exclusão, salvo prazo maior exigido por lei. Uploads de áudio não enviados são removidos após 24 horas, feedback opcional do onboarding após 180 dias e o conteúdo da conta permanece até você excluir o item ou a conta Lim. Registros de prestadores necessários para restauração de compra, prevenção a fraude ou cumprimento legal seguem as obrigações aplicáveis desses prestadores. Utilizamos transporte cifrado, isolamento por conta e credenciais restritas de servidor; os tokens de renovação do Google são cifrados em repouso. Prestadores podem processar dados internacionalmente. Nenhum sistema garante segurança absoluta.

Contato e atualizações

O app não se destina a menores de 13 anos. Para acesso, correção, portabilidade, exclusão, retirada de consentimento ou suporte, contate pull.notifications.app@gmail.com. Durante testes pelo TestFlight, você também pode usar Enviar comentários da versão beta. Nunca envie senhas, códigos de autorização ou conteúdo privado no relato. Generative Synesthesia é a marca do desenvolvedor; o desenvolvedor identificado para o Lim na App Store é o operador do serviço e controlador dos dados. Esta página é atualizada quando o serviço muda.

Análises mínimas de produto com o Mixpanel

Somente se você ativar Permitir análises de uso em Ajustes → Privacidade → Privacidade e dados, o Lim usa Mixpanel para aberturas, início/fim e navegação do onboarding e visitas a Timeline, Notas e Mensagens. Uma referência aleatória da instalação e identificadores técnicos de entrega/sessão vinculam eventos em uma instalação, sem associação à conta Lim nem entre aparelhos.

Nomes, e-mails, respostas do onboarding, mensagens, voz, notas, títulos de tarefas, conteúdo do calendário, textos livres, compras e resultados de assinatura não são enviados ao Mixpanel. Captura automática de interações, perfis, gravação de sessões, identificadores publicitários, integrações publicitárias, detalhes do aparelho e enriquecimento de localização por IP ficam desativados. A infraestrutura de rede necessariamente recebe um endereço IP ao entregar o evento, mas o Lim não o armazena como propriedade do evento nem o usa para derivar localização.

Essas análises são desativadas por padrão e exigem escolha própria e opcional, independente da autorização de IA, dos Termos e da assinatura. Antes dessa escolha, o app não inicializa Mixpanel nem envia eventos. Eventos anteriores à autorização não são reenviados. Você pode desativar a coleta futura imediatamente no mesmo controle do app, sem contatar suporte nem perder acesso. Para acesso/exclusão de eventos antigos, contate pull.notifications.app@gmail.com com a referência da instalação mostrada no Lim.

O Mixpanel processa esses eventos nos Estados Unidos como prestador do Lim, conforme termos aplicáveis de tratamento e salvaguardas de transferência. A configuração padrão atual do projeto pode reter os eventos por até cinco anos, salvo exclusão anterior. Como esses eventos deliberadamente não são vinculados a uma conta Lim, excluir a conta não os identifica nem os apaga automaticamente; pode ser feita uma solicitação de privacidade separada.

Conexões opcionais de e-mail Gmail e Outlook

Conectar Gmail ou Outlook/Hotmail/Microsoft 365 é opcional e exige autorização separada do provedor. Entrar no Lim ou conectar uma agenda não conecta uma caixa de e-mail. O Lim solicita leitura do Gmail ou Mail.Read delegado da Microsoft e permissões básicas de perfil/sessão. Esta versão não envia, responde, exclui ou altera e-mails.

O Lim lê cabeçalhos, texto e convites estruturados dos últimos 30 dias e acompanha novas mensagens, inclusive arquivadas e pastas. Spam, lixeira, enviados e rascunhos ficam de fora. Anexos e links externos não são analisados. O texto relevante é processado pela OpenAI para encontrar cobranças, renovações, prazos e reuniões; achados são estimativas quando indicado e exigem revisão antes de salvar no Lim ou exportar por uma conexão de agenda autorizada.

O Supabase guarda credenciais de autorização cifradas, endereço conectado, identificadores/cursores de sincronização, versões processadas, achados/evidências extraídos, preferências, registros de custo e recibos de ações, isolados pela sua conta. Credenciais nunca são enviadas à OpenAI. Desconectar interrompe o processamento pendente e remove credenciais e dados extraídos; tarefas/eventos aceitos e histórico genérico do chat permanecem até exclusão separada. Excluir a conta Lim também remove dados do conector. Você pode revogar o acesso na conta Google ou Microsoft. Avisos opcionais de e-mail são independentes do resumo diário; a entrega por WhatsApp exige conexão e adesão próprias e não inclui remetentes, valores ou conteúdo dos e-mails.

O uso e a transferência de informações recebidas das APIs Google pelo Lim seguem a Política de Dados de Usuários dos Serviços de API Google, incluindo os requisitos de Uso Limitado https://developers.google.com/terms/api-services-user-data-policy. Dados Google não são usados em publicidade nem para treinar modelos generalistas de IA/ML. Acesso humano fica restrito à sua permissão explícita ou a finalidades necessárias de segurança/obrigações legais permitidas pela política. Os dados de e-mail são compartilhados apenas para oferecer os recursos visíveis e finalidades descritos aqui, sujeitos às proteções e à retenção dos provedores descritas acima.