Política de Privacidade

Esta política explica quais dados o Corpus ("Corpus," "nós") coleta quando você usa o app Corpus para iPhone, por que coletamos, e qual controle você tem sobre eles. Escrevemos para descrever o que o app realmente faz, não um modelo genérico, então se uma seção não se aplica ao seu uso do Corpus, é porque esse tipo de dado genuinamente não é coletado.

Resumo rápido: o Corpus não tem contas de usuário. Não há nome, e-mail, ou senha ligados aos seus dados, só identificadores privados gerados no seu aparelho. Não exibimos anúncios, não vendemos dados, e não vinculamos nada que coletamos a informações de outras empresas. O app envia dados de uso e relatórios de falhas, ligados a um ID de análise aleatório, para o PostHog, um serviço de análise hospedado na UE, para entendermos como o Corpus é usado e onde ele falha. Esses dados nunca incluem nada que você registre ou escolha sobre você, como suas fotos, medidas corporais, dados de saúde, respostas da introdução ou mensagens do Coach (veja "Análise do app" na seção 1, e a seção 3 para a análise sem cookies do próprio site). Tudo abaixo explica os detalhes.

1. O que coletamos, e por quê

Fotos de check-in

Quando você completa um check-in, sua foto é enviada ao nosso servidor para gerar a análise daquele check-in (sua pontuação, percentual de gordura, FFMI, e avaliações por grupo muscular). Essa é a única coleta de dados sem a qual o Corpus não funciona, já que a análise precisa acontecer em algum lugar, e ela acontece em nossos servidores, não inteiramente no seu aparelho.

Suas fotos de check-in ficam no armazenamento protegido do Corpus no seu aparelho para que você possa navegar, comparar e exportá-las. Como o restante dos dados locais do app, fotos de check-in concluídas atualmente seguem o comportamento normal de backup do seu aparelho (por exemplo, o Backup do iCloud, se estiver ativado), em vez de serem excluídas dele. O Corpus só grava uma cópia separada na sua Fototeca se você ativar essa opção.

Não vendemos suas fotos, não as usamos para publicidade, e não as usamos para treinar nenhum modelo além de gerar a análise do seu próprio check-in. Não as compartilhamos com ninguém, a menos que você use explicitamente um recurso de compartilhamento (como um cartão de Comparação ou de Capítulos) por conta própria.

Composição corporal e métricas

Percentual de gordura, peso, IMC, FFMI, relação cintura-quadril, pontuações compostas, e avaliações por grupo muscular ficam no seu aparelho para que o Corpus possa mostrar tendências ao longo do tempo e oferecer contexto ao Coach durante uma conversa.

Dados do Apple Health (HealthKit)

Se você conectar o Apple Health durante a configuração, o Corpus lê (nunca escreve) o seguinte, para alimentar sua pontuação de Recuperação:

• Análise de sono
• Variabilidade da frequência cardíaca (VFC, SDNN)
• Frequência cardíaca em repouso
• Temperatura do pulso durante o sono
• Frequência respiratória
• Massa corporal (usada para pré-preencher seu peso no check-in)
• Contagem de passos e energia ativa gasta

Conectar o Apple Health é opcional. O Corpus nunca escreve nenhum dado de volta no Apple Health. Os dados de saúde são usados apenas para calcular sua pontuação de Recuperação e, quando relevante, para dar ao Coach contexto sobre sua recuperação quando você faz uma pergunta. Eles não são vendidos, compartilhados com anunciantes, ou usados para qualquer finalidade além do funcionamento do próprio app. Isso está de acordo com os requisitos da Apple para apps que usam HealthKit.

Identificador do aparelho

O Corpus não tem contas, cadastro, nem login. Em vez disso, um identificador privado do aparelho é gerado e armazenado com segurança (no Keychain do aparelho) na primeira vez que você abre o app. Toda requisição ao nosso servidor, incluindo análise de check-in e conversas com o Coach, é associada a esse identificador em vez do seu nome ou e-mail, porque não coletamos nenhum dos dois. Ele é separado do ID de análise descrito em "Análise do app" abaixo, e os dois nunca são unidos.

Conversas com o Coach

Mensagens enviadas ao Coach, além do histórico de check-ins, tendências, e contexto de recuperação usados para respondê-las, são enviados ao nosso provedor de IA para gerar uma resposta. O Corpus não mantém uma transcrição do Coach no próprio banco de dados. Ao fechar o Coach, o app solicita a exclusão da conversa do provedor. Se isso não puder ser concluído, vale o curto período de retenção do provedor.

Token de notificação push

Se você ativar notificações, a Apple emite um token de aparelho que usamos exclusivamente para enviar lembretes de check-in e avisos de sequência. Não o usamos para nenhuma outra finalidade.

Análise do app

Para entender como o Corpus é usado e onde ele falha, o app envia um conjunto pequeno e fixo de eventos para o PostHog, um serviço de análise, em servidores na União Europeia (PostHog Cloud EU, em Frankfurt, na Alemanha). O SDK do PostHog, incluindo o módulo de relatórios de falhas que já vem nele, é o único SDK de terceiros no app. Com exceção dos relatórios de falhas (descritos abaixo), desativamos toda a captura automática dele, como visualizações de tela e toques, então o app envia só os eventos descritos aqui. A gravação de sessão, as pesquisas e as feature flags estão desativadas, e o SDK não adiciona por conta própria detalhes do aparelho ao perfil; o PostHog copia para ele alguns detalhes básicos dos eventos, como a versão do app, a versão do iOS e o tipo de aparelho.

O ID de análise. Na primeira vez que você abre o Corpus, o app gera um ID de análise aleatório e o guarda no Keychain do aparelho (ou, se o Keychain não estiver disponível, no armazenamento do próprio app). Ele não é uma conta, nem a sua Conta Apple, nem um identificador de publicidade ou do aparelho, e é separado do identificador do aparelho descrito acima: os eventos de análise nunca levam esse identificador, e não unimos a análise aos seus check-ins, fotos ou conversas com o Coach. Quando você assina, o Corpus associa o ID de análise à compra (como o "app account token" da App Store), para que a compra possa ser relacionada aos eventos de uso do app. Como todo evento leva esse ID, a análise do app é pseudônima, e não anônima: conseguimos ver o que uma instalação do Corpus fez, mas não quem você é. O ID de análise também é o identificador que o PostHog usa para a sua instalação, então o PostHog mantém um perfil pseudônimo com esse ID, com os eventos dessa instalação e o resultado da atribuição do Apple Ads. O iOS normalmente mantém os itens do Keychain mesmo depois que um app é apagado, então, se você apagar e reinstalar o Corpus, ele normalmente continua com o mesmo ID de análise. Quando você pede a exclusão dos seus dados de análise (seção 5), excluímos do PostHog o perfil desse ID e os eventos dele; o ID em si continua no seu aparelho, então o que você fizer no Corpus depois disso volta a ser registrado com ele.

O que o app envia:

• Uso: aberturas do app, quanto tempo durou cada sessão e quais recursos você usa (por exemplo, iniciar um check-in, abrir o Coach ou comparar check-ins).
• Compras: quando uma tela de assinatura é exibida, qual plano você seleciona e se uma compra ou restauração deu certo, e, quando você começa um período de teste grátis, se o app conseguiu agendar o lembrete que ele envia antes do fim do teste. Em uma compra, o produto, o preço e a moeda, e o ID da transação original; nunca o recibo da App Store nem seus dados de pagamento.
• Progresso nos fluxos do app: quais etapas da introdução e do check-in você alcança ou conclui, se algo foi cancelado ou falhou, códigos de erro, quanto tempo as operações do próprio app levam (como a análise de um check-in) e se você permitiu as notificações quando o app pediu.
• Contexto técnico em cada evento: versão e build do app, versão do iOS, modelo do aparelho, as configurações de idioma e região do aparelho e o idioma do app, fuso horário, o país da App Store, se é uma versão do TestFlight (beta), quando o app foi instalado e um ID aleatório da sessão atual, além de alguns detalhes básicos que o SDK do PostHog adiciona, como o tipo de aparelho, se o app está rodando em um Mac ou em um simulador, e a versão do SDK.
• Atribuição do Apple Ads: uma única vez, depois que você instala o Corpus, o app pergunta ao framework AdServices da Apple se a instalação veio de uma campanha do Apple Ads e envia o resultado (como a campanha, o grupo de anúncios e a palavra-chave, ou que a instalação não veio de um anúncio). Isso não usa o identificador de publicidade do seu aparelho (IDFA) nem a Transparência de Rastreamento de Apps, e não é rastreamento.
• Relatórios de falhas: se o Corpus fechar inesperadamente por uma falha, o app envia um relatório de falha pelo rastreamento de erros do PostHog, com o mesmo ID de análise: o tipo e a mensagem do erro, um stack trace que mostra em que parte do código do Corpus o problema aconteceu, a versão e o build do app, o modelo do aparelho e a versão do iOS, além dos mesmos detalhes técnicos dos outros eventos e dos nomes das bibliotecas de código do app que aparecem no stack trace (usados para torná-lo legível). Sem conteúdo da tela e nada do que você digitou.

O que o app nunca envia: nada que você registre ou escolha sobre você ou seu corpo. Ou seja: nenhuma resposta, meta ou marco da introdução; nenhuma foto, nem os ângulos das fotos ou quantas fotos tem cada check-in (um evento só diz que um check-in foi concluído ou que uma pose foi adicionada); nenhuma medida corporal ou métrica de composição corporal (peso, percentual de gordura, pontuações e afins); nenhum dado do Apple Health; nenhuma mensagem, resposta ou tema do Coach, nem o que a sua avaliação disse; nenhum nome; e nada do que você digita. Os eventos levam apenas valores fixos, como o nome de uma etapa, um plano ou um código de erro.

Versões de desenvolvimento do Corpus nunca enviam dados de análise. As versões do TestFlight (beta) e a versão da App Store enviam, e os eventos das versões beta são marcados como beta.

O PostHog recebe seu endereço IP, porque é assim que os dados trafegam pela internet, mas configuramos o nosso projeto no PostHog para descartá-lo, então ele não é guardado. O app também desativa a busca de localização do PostHog em todos os eventos, então seu endereço IP não é usado para descobrir onde você está. Os únicos detalhes ligados à localização que temos são os listados acima: o país da sua App Store, o seu fuso horário e a configuração de região do seu aparelho (e, para uma instalação que veio de uma campanha do Apple Ads, o país dessa campanha).

Versões anteriores. As versões do Corpus anteriores à 1.3 enviam seus dados de análise e relatórios de falhas para o mesmo projeto no PostHog até você atualizar o app, com um ID aleatório gerado pelo próprio PostHog, e não com o ID de análise. Os eventos delas são mais detalhados do que a lista acima: além das aberturas do app e das telas e etapas visualizadas, eles incluem quais ângulos de foto um check-in usou ou pulou e como cada foto foi tirada (por exemplo, com o timer ou da sua Fototeca), quantas fotos foram enviadas, o quanto as fotos de uma comparação sugerida combinavam, se o Coach foi aberto sobre um check-in ou uma comparação e se uma pergunta veio de uma sugestão pronta, se a avaliação do Coach foi positiva ou negativa, e o tamanho aproximado de uma importação do Backstory, incluindo mais ou menos quantos dias dela receberam um peso do Apple Health. Eles nunca incluem suas fotos, suas medidas corporais, valores do Apple Health, mensagens do Coach, seu nome ou nada do que você digita. Como esse ID não aparece no app, não conseguimos encontrar esses eventos a partir do seu ID de análise. Eles são mantidos por até 7 anos, como o restante. A versão 1.3 enviava seus eventos de uso para um banco de dados nosso hospedado pela Supabase; essa coleta foi encerrada, e esse banco de dados foi excluído junto com os dados dele.

Usamos a análise do app apenas para manter o Corpus funcionando e melhorá-lo: saber se os recursos funcionam, em que ponto as pessoas desistem durante a introdução, como a tela de assinatura e os planos se saem, e se as campanhas do Apple Ads trazem pessoas que continuam usando o app. Não a usamos para publicidade, não a vendemos, não a compartilhamos com corretores de dados, nem a combinamos com dados de outras empresas. Quando uma lei como o RGPD (GDPR) da União Europeia ou a LGPD brasileira exige uma base legal, nos apoiamos no nosso legítimo interesse em manter o Corpus funcionando e em melhorá-lo. A seção 4 explica onde esses dados ficam armazenados, e a seção 5, por quanto tempo os mantemos e como pedir a exclusão.

Além disso, se você escolheu compartilhar dados de análise com desenvolvedores de apps nos Ajustes do seu iPhone (Privacidade e Segurança e depois Análise e Melhorias), a Apple também pode compartilhar conosco relatórios de falhas e estatísticas de uso, de acordo com a política de privacidade da Apple.

2. O que não fazemos

• Nenhum SDK de publicidade e nenhum SDK de atribuição de anúncios de terceiros. A única atribuição de instalação é a verificação do próprio AdServices da Apple, descrita em "Análise do app", que não usa identificador de publicidade.
• Nenhum SDK de rastreamento entre empresas, e nenhuma gravação de sessão ou de tela. O único SDK de terceiros no app é o do PostHog (incluindo o módulo de relatórios de falhas que já vem nele), para a análise do app e os relatórios de falhas, com a gravação de sessão desativada (veja "Análise do app" acima). A análise do site é separada (veja "Análise do site" abaixo).
• Não vendemos, alugamos, ou negociamos seus dados com ninguém, por nenhum motivo.
• Não vinculamos seus dados a informações de outras empresas para fins de publicidade (ou seja, nenhum "rastreamento" conforme definido pelo framework de Transparência de Rastreamento de Apps da Apple), e não usamos corretores de dados.
• Não unimos o ID de análise do app com a análise do site, com o identificador do aparelho usado nos check-ins e no Coach, nem com qualquer conta.

3. Análise do site (getcorpus.app)

Este site usa separadamente o PostHog, hospedado na UE, para medir tráfego agregado e quais páginas e links são úteis. A análise do site é totalmente separada da do app: projeto do PostHog diferente, identidade diferente, e nunca unidas. Ela roda em modo sem cookies, sem id de visitante persistente e sem perfis de pessoas, e só envia um pequeno conjunto de eventos definidos deliberadamente (visualizações de página, cliques no botão da App Store, aberturas de FAQ, e semelhantes) sem conteúdo livre. Configuramos o PostHog para descartar seu endereço IP e pular a busca de localização. Não usamos banner de cookies porque a análise do site não usa cookies de rastreamento nem constrói perfis entre sites; em vez disso, um cookie de preferência próprio do site lembra se você desativou a análise abaixo. Esse cookie de preferência é o único cookie que este site define para fins de análise.

4. Onde seus dados são armazenados e processados

Fotos de check-in e mensagens do Coach são processadas pelo backend e provedor de IA do Corpus para fornecer a análise ou resposta solicitada. O Corpus não mantém fotos, métricas ou transcrições do Coach no próprio banco de dados. Registros operacionais limitados, como identificador do aparelho, endpoint, horário e metadados de uso de tokens, são mantidos por até 14 dias para operar o serviço e prevenir abuso. Fotos, métricas e preferências locais ficam em armazenamento protegido do aparelho; como observado acima, fotos de check-in concluídas atualmente seguem o comportamento normal de backup do seu aparelho. A análise do app e os relatórios de falhas (veja "Análise do app" na seção 1) ficam armazenados pelo PostHog na União Europeia (PostHog Cloud EU, em Frankfurt, na Alemanha), em um projeto do PostHog separado do projeto do site.

Estes prestadores de serviço processam dados em nosso nome:

• A Supabase, Inc. hospeda o backend do Corpus, que recebe as solicitações de check-in e do Coach e mantém os registros operacionais descritos acima. A Supabase processa esses dados conforme o seu Acordo de Processamento de Dados (DPA), que inclui as Cláusulas Contratuais Padrão da Comissão Europeia para transferências internacionais. Veja a política de privacidade da Supabase.
• O nosso provedor de IA gera as análises de check-in e as respostas do Coach a partir das fotos, métricas e mensagens enviadas a ele, como descrito na seção 1.
• A Apple processa compras, downloads da App Store, notificações push, atribuição do Apple Ads, relatórios de falhas que você escolher compartilhar, e os backups do iCloud que você fizer, de acordo com a política de privacidade da Apple.
• A PostHog, Inc. processa a análise e os relatórios de falhas do app (seção 1) e a análise sem cookies deste site (seção 3) na UE, em projetos separados, conforme o seu Acordo de Processamento de Dados (DPA). Veja a política de privacidade do PostHog.

5. Retenção e exclusão de dados

Seus check-ins, fotos e métricas ficam no seu aparelho até que você os exclua no app ou exclua o app. Como o Corpus não tem conta, não há perfil em nuvem nem biblioteca de fotos no servidor para excluir. Registros operacionais são excluídos automaticamente após 14 dias. Uma conversa com o Coach é excluída ao fechar o Coach quando possível, com o curto período de retenção do provedor como alternativa.

Os eventos de análise do app e os relatórios de falhas ficam no PostHog por até 7 anos, o período de retenção do nosso projeto no PostHog. Você pode pedir a exclusão antes disso a qualquer momento: envie um e-mail para support@getcorpus.appcom o ID de análise que aparece nos Ajustes do app, e excluiremos do PostHog o perfil desse ID e os eventos dele. Apagar o app não exclui os dados de análise que já foram enviados.

6. Seus direitos

Dependendo de onde você mora, você pode ter direitos de acessar, corrigir, exportar, ou excluir seus dados pessoais, e de se opor a ou restringir certos processamentos. Como o Corpus não coleta seu nome ou e-mail e não tem conta, boa parte disso já está nas suas mãos: seus check-ins, fotos e métricas ficam no seu aparelho, e você pode removê-los a qualquer momento excluindo-os no app ou excluindo o app, como descrito acima. Para os registros operacionais e a análise do app descritos na seção 5 (no caso da análise, inclua o ID de análise que aparece nos Ajustes do app), ou para qualquer solicitação que isso não cubra, entre em contato conosco em support@getcorpus.app.

7. Privacidade de crianças

O Corpus não é direcionado a crianças menores de 13 anos (ou a idade mínima equivalente na sua jurisdição), e não coletamos dados de crianças abaixo dessa idade de forma consciente.

8. Mudanças nesta política

Se esta política mudar de forma relevante, atualizaremos a data de "Última atualização" acima e, para mudanças significativas, avisaremos você dentro do app.

9. Contato

Perguntas sobre esta política ou seus dados podem ser enviadas para support@getcorpus.app.