Política de privacidade
Esta política explica, em linguagem simples, quais dados o Dueto trata, por quê, com quem eles passam e como você controla tudo isso, conforme a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018).
1. Quem é responsável
Controlador: indicado na ficha do app na Google Play.
Encarregado pelo tratamento de dados: indicado na ficha do app.
Contato para qualquer assunto de privacidade: e-mail indicado na ficha do app.
2. O que o Dueto trata
| Dado | Para quê | Quem vê |
|---|---|---|
| E-mail e senha (a senha fica só como código embaralhado, nunca em texto) | Criar a conta e entrar | Só você |
| Nome exibido, emoji, cor e foto de perfil (se você escolher uma) | Identificar você na casa e nas agendas compartilhadas | Você, as pessoas da casa e as pessoas de cada agenda compartilhada de que você participa |
| Código de convite e quem faz parte da casa | Ligar as pessoas do grupo | As pessoas da casa |
| Agendas compartilhadas: nome da agenda, quando ela foi criada, quem aceitou participar e quando cada pessoa entrou | Dividir atividades e lembretes com outras pessoas | Só quem participa da agenda |
| Código de convite de cada grupo (seis caracteres, sem dado pessoal) | Montar o link para chamar pessoas. O Dueto não guarda o e-mail nem o telefone de quem você chama | As pessoas do grupo; quem recebe o link entra no grupo |
| Novidades dos grupos: o tipo (alguém entrou, saiu ou foi tirado, o grupo mudou de nome, você passou a cuidar do grupo, o grupo foi apagado, rotinas novas), o nome do grupo e os nomes de quem agiu, copiados no momento | Mostrar no app o que aconteceu no grupo. Não viram notificação do sistema | Só quem recebe cada novidade. Ficam 30 dias; ao excluir a conta, os seus nomes saem das novidades dos outros |
| Atividades (título, notas, repetição, meta, lembrete, itens de uma tarefa) e registros (feito, pulado, quantidades como ml de água) | Função principal: rotina, histórico e sequência | Você e a outra pessoa da casa (somente leitura para ela) |
| Anexos: fotos, arquivos, links com pré-visualização e notas | Guardar contexto das atividades | Você e a outra pessoa da casa |
| Agendas Google e Outlook que você conectar: conta, e-mail da conta, título, início, fim e situação dos eventos (sem local nem participantes) | Mostrar seus compromissos no Dueto | Só você |
| Agendas do celular (lidas no aparelho, só se você permitir): o nome de cada agenda, o e-mail da conta dela e os próximos compromissos (com a antecedência dos lembretes de cada um e o link da reunião do Meet, Teams ou Zoom, para você entrar com um toque). O e-mail aparece na tela só para você reconhecer a conta, no próprio aparelho Avisos das agendas: começam desligados. Se você ligar, o Dueto agenda no próprio celular um aviso por compromisso, com o título, o nome da agenda, o horário e o local Cópia para a sua agenda: a chave "Copiar para o Google Agenda" começa desligada. Só com ela ligada, o Dueto escreve na sua agenda do celular o título, as notas e os horários das atividades suas que você criar ou editar depois de ligar. Cada evento leva uma marca interna nas notas (e, no iPhone, no endereço do evento) para o Dueto reconhecê-lo. O aparelho guarda só o momento em que você ligou a chave | Mostrar eventos, adicionar atividades à agenda e, se você ligar a chave, ver as suas atividades também na sua agenda | Só você; não sobem ao servidor, e o e-mail da conta nunca sai do aparelho. O que é copiado vai para a agenda do seu celular, e quem a sincroniza é a sua conta (Google, por exemplo), não o Dueto, que não envia isso ao próprio servidor. Desligar a chave não apaga o que já foi copiado |
| Texto do pedido ao assistente, lista das suas atividades (título, ícone e repetição) e nomes das suas agendas, título de atividade nova para sugerir categoria; no "Ajuste com IA" da água, a frase que você disser com a meta, o copo e as horas de acordar e dormir de agora | Gerar o plano de mudanças, a categoria e os horários da água | Serviço de IA, só durante o pedido (veja o item 4). O Dueto guarda uma cópia no servidor (linha seguinte) |
| Preferências do app: horário de silêncio, aparência e cor do app, resumos, se o questionário da rotina já foi respondido, apelidos e cores das agendas conectadas, itens ocultos da agenda | Manter as suas escolhas ao trocar de celular ou reinstalar o app | Só você |
| O seu jeito de beber água, se você contar no "Ajuste com IA": as horas das refeições, de acordar e de dormir e até que horas quer lembrete | Montar os horários da água sem atrapalhar as refeições | Só você; fica só no celular. Com o aceite da IA, a frase vai ao serviço de IA só durante o pedido (linha acima); sem ele, é entendida no próprio celular |
| Conteúdo dos pedidos ao assistente: o que você falou ou escreveu (a voz vira texto no seu celular e o áudio nunca sai dele), se foi falado ou escrito, a lista das suas atividades e os nomes das suas agendas que foram junto, e o que a IA respondeu. No ajuste da água, a sua frase, a meta, o copo e as horas de acordar e dormir | Entender o que as pessoas pedem e melhorar o assistente | Só a equipe do Dueto, no servidor. Você não vê esse registro no app, e ele não é compartilhado com mais ninguém. Some em 90 dias ou quando você excluir a conta |
| Registro dos pedidos à IA: quando foi, se foi o assistente ou a sugestão de categoria, o resultado, o modelo usado e o tamanho do pedido. Também o seu plano e um eventual bloqueio por abuso | Limitar o uso por pessoa e por casa, e o custo, e evitar abuso | Só o servidor |
| Assinatura do Dueto Mais, se você assinar: quem assinou, o plano (mensal ou anual), o estado (teste, ativa, cancelada com data para acabar e assim por diante), as datas de início e de validade, se renova, e o registro de que a casa e a pessoa já usaram o teste de 14 dias. Nunca o número do cartão: quem cobra é a Google Play | Liberar o Dueto Mais para a casa, mostrar o estado e a data, aplicar os limites e não repetir o teste | Você; a outra pessoa da casa vê que a casa tem o Dueto Mais, o nome de quem assinou, até quando vale e se renova (veja a seção 5) |
| Contagens por dia sobre o Dueto Mais: quantas vezes a tela foi aberta, uma compra foi iniciada, um limite foi atingido (e de que tipo) e o assistente recusou um pedido (e por qual motivo) | Saber se a oferta está clara e se os limites estão bem ajustados | Só quem mantém o app. Os totais não têm ligação com nenhuma conta nem pessoa. Para ninguém inflar esses totais, o servidor também conta, por pessoa e por dia, quantos eventos ela enviou, e apaga essa conta em um a dois dias |
| Relatórios de erro: tipo do erro, versão do app, sistema e modelo do aparelho, tela, mensagem técnica (e-mails, tokens e valores digitados são removidos antes do envio) | Corrigir falhas | Só quem mantém o app |
O que não fazemos: não há anúncios, não vendemos dados, não criamos perfil para publicidade e não usamos seus dados para treinar modelos. O áudio da sua voz nunca sai do aparelho: a fala vira texto no próprio celular (ou no serviço de reconhecimento de fala do Android, quando o aparelho não tem um offline).
Dados de saúde e bem-estar: o Dueto traz hábitos como água, creatina e academia. Você pode escrever o que quiser em títulos e notas; tratamos tudo com o mesmo cuidado, só para a função do app, e nunca para fins de publicidade.
3. Por que podemos tratar (bases legais)
- Execução do contrato (art. 7º, V): conta, casa, atividades, registros, anexos e sincronização. Também a assinatura do Dueto Mais: o estado da compra, as datas e a regra do teste de 14 dias são o que permite cumprir o que você contratou.
- Consentimento (art. 7º, I): assistente de IA (aviso antes do primeiro envio), agendas Google/Outlook e do celular, microfone, notificações. Você retira quando quiser em Ajustes → Conta e dados, desconectando a agenda ou nas permissões do Android.
- Legítimo interesse (art. 7º, IX): limite de uso da IA, relatórios de erro (desligáveis em Ajustes → Conta e dados → Avisar quando o app falhar) e segurança.
4. Com quem os dados passam
| Quem | O que recebe | Onde |
|---|---|---|
| Supabase (banco de dados, autenticação e arquivos) | Conta, perfil, atividades, registros, anexos, preferências do app, agendas conectadas, contagens e relatórios de erro | São Paulo, Brasil |
| OpenRouter, que encaminha ao modelo de IA (OpenAI GPT e, na falha, Google Gemini; para classificar cada item, Liquid AI e Baseten) | Texto do pedido ao assistente, lista de atividades (título, ícone, repetição), nomes das agendas, títulos para classificar e a frase do ajuste da água | Estados Unidos |
| RevenueCat, serviço que confirma a compra com a Google Play e informa o estado da assinatura (só se você abrir a tela do Dueto Mais ou assinar) | Um código da sua conta (não é o seu e-mail), o produto, as datas e o estado da assinatura. Também o que qualquer conexão revela, como o endereço IP e a versão do app. O Dueto não envia à RevenueCat o seu e-mail, o seu nome, as suas atividades nem identificadores do aparelho | Estados Unidos |
| Google Play (Google), que cobra a assinatura | O pagamento, com cartão ou outra forma, o valor, as cobranças e os reembolsos. Fica entre você e a Google, que decide como tratar esses dados. O Dueto não recebe nada disso (veja a seção 5) | Conforme a Google |
| Google e Microsoft | Autorização para ler a sua agenda, quando você conecta | Estados Unidos |
| Sites dos links que você anexa | O endereço IP do seu aparelho, quando o app busca a pré-visualização | Variável |
A outra pessoa da casa vê o que você cria na casa (atividades, registros e anexos) em modo somente leitura. Suas agendas conectadas e do celular não são compartilhadas com ela.
Agendas compartilhadas: quando você cria uma atividade numa agenda compartilhada, todas as pessoas que aceitaram participar dela veem, editam e recebem o lembrete (inclusive anexos e o histórico de “feito” do grupo). Só entra quem recebe o link de convite e aceita, e a outra pessoa da sua casa só vê a agenda se também participar dela. Ao sair da agenda, você deixa de ver tudo dela; o que você criou fica com as outras pessoas, e os arquivos que você enviou saem junto.
Apagar um grupo: só quem cuida do grupo pode apagá-lo. Cada pessoa que fica e tem casa recebe uma cópia pessoal do que era útil: as rotinas do grupo que ainda estavam em uso, os registros que ela mesma fez, as notas e os links, e as fotos e os arquivos que ela mesma enviou. A outra pessoa da casa dela passa a ver essa cópia, só para leitura, como vê o resto do que é dela. Quem apagou não recebe cópia, e os arquivos que enviou ao grupo são removidos. O que alguém marcou sem internet depois de o grupo ser apagado se perde.
Novidades dos grupos: os avisos de entrada, saída, nome novo e grupo apagado aparecem só dentro do app, para quem participa. O Dueto não manda notificação do sistema por isso. Cada novidade fica por 30 dias, e é apagada antes se você excluir a conta (os nomes de quem agiu saem das novidades dos outros).
Transferência internacional: o envio ao serviço de IA e às agendas de Google e Microsoft leva dados para os Estados Unidos, com o seu consentimento específico (art. 33, VIII). Se não quiser, não use o assistente nem conecte essas agendas: o restante do app funciona normalmente.
Transferência internacional na assinatura: o envio à RevenueCat também leva dados para os Estados Unidos. Aqui a base é outra: o envio é necessário para executar a assinatura que você pediu (art. 33, IX, com o art. 7º, V). Ele só acontece se você abrir a tela do Dueto Mais ou tiver uma assinatura. Quem nunca faz isso não envia nada à RevenueCat, e o restante do app funciona normalmente.
Decisões automáticas: o Dueto não toma sozinho nenhuma decisão sobre você. O assistente só propõe, e nada é salvo sem a sua confirmação. O Panorama é calculado no próprio celular, com as suas rotinas, e serve só para você. Nada disso é usado para criar perfil, publicidade ou qualquer avaliação feita por terceiros.
Aprender a sua rotina: para lembrar no momento certo, o app aprende no próprio celular, a partir dos seus registros e dos momentos em que você o abre, o horário em que você costuma fazer cada atividade. Esse aprendizado fica só no aparelho, não vai para o nosso servidor, pode ser desligado e apagado em Ajustes › Lembretes ("Esquecer o que aprendi") e some quando você sai da conta.
Localização: só se você ligar "Usar meus lugares" ou aceitar o aviso ao chegar a um lugar. O app guarda apenas o centro dos lugares onde você costuma fazer cada atividade (nunca o trajeto), no próprio celular, e não envia a sua localização ao nosso servidor nem a terceiros. Para o aviso ao chegar, o Android avisa o app quando você entra ou sai de um desses lugares, mesmo com o app fechado. Desligar "Usar meus lugares" apaga os lugares.
Cookies: nem o app nem estas páginas usam cookies ou ferramentas de rastreamento.
Também podemos divulgar dados se uma lei ou ordem judicial exigir.
5. Assinatura do Dueto Mais
Esta seção só vale se você abrir a tela do Dueto Mais ou assinar. As regras da assinatura estão nos Termos de uso. Aqui está quem vê o quê.
| Quem | O que vê |
|---|---|
| Google Play | Tudo do pagamento: a sua conta Google, a forma de pagamento, o cartão, o valor, as cobranças e os reembolsos. A Google é responsável por esses dados, com a política própria dela. O Dueto não vê o seu cartão nem guarda dado de pagamento. |
| RevenueCat (operador, Estados Unidos) | Um código da sua conta no Dueto, o produto, as datas e o estado da assinatura, e a confirmação da compra feita pela Google Play. Trata esses dados por conta do Dueto, só para esse fim. |
| Dueto (nosso servidor, em São Paulo) | Quem assinou, o plano, o estado, as datas de início e de validade, se renova e se a casa e a pessoa já usaram o teste. Recebemos o aviso de cada mudança da RevenueCat e conferimos o estado verdadeiro antes de liberar o Dueto Mais. Também temos contagens por dia, sem identificar ninguém. |
| A outra pessoa da casa | Que a casa tem o Dueto Mais, o nome de quem assinou, até quando vale e se renova. Não vê o pagamento. Só quem assinou gerencia a assinatura. |
Excluir a conta não cancela a assinatura. A assinatura é da Google Play: cancele antes, em Google Play → Pagamentos e assinaturas → Assinaturas. Ao excluir a conta, apagamos as linhas da assinatura e pedimos à RevenueCat que apague o seu cadastro. Se ela não responder, guardamos só o código da conta já excluída (sem e-mail nem nome) até conseguir apagar lá. A Google guarda os registros de pagamento dela, conforme a política dela. Se você assinava, a casa volta ao plano Grátis, sem apagar o que foi guardado.
O que a pessoa precisa saber para decidir está também no app, antes de comprar: preço total, renovação e como cancelar.
6. Por quanto tempo guardamos
- Conta e conteúdo: até você excluir a conta.
- Registros desfeitos e anexos excluídos: ficam marcados como excluídos por 90 dias (para sumirem também nos outros aparelhos) e depois são apagados de vez. Eventos das agendas conectadas que saem da janela exibida: 30 dias.
- Preferências do app: até você excluir a conta.
- Novidades dos grupos: 30 dias para cada pessoa que as recebe, e os nomes de quem agiu saem delas quando essa pessoa exclui a conta.
- Relatórios de erro: 90 dias.
- Registro dos pedidos à IA: 100 dias, ou até a exclusão da conta, o que vier primeiro. Sobra apenas o total do dia (quantos pedidos e quanto custaram), sem ligação com nenhuma conta.
- Conteúdo dos pedidos ao assistente: 90 dias, ou até a exclusão da conta, o que vier primeiro. O provedor de IA só processa o pedido e devolve a resposta.
- Assinatura (quem assinou, estado, datas, eventos de cobrança e registro do teste): até você excluir a conta. As contagens por dia não identificam ninguém e não têm prazo.
- Cópias de segurança do banco: até 30 dias depois da exclusão, quando se apagam sozinhas.
7. Seus direitos
Você pode, a qualquer momento: confirmar que tratamos seus dados e acessá-los (estão no app; também dá para exportar relatório em PDF/HTML e a agenda em .ics), corrigi-los (editando perfil e atividades), pedir a eliminação (veja abaixo), pedir cópia dos dados por e-mail, saber com quem compartilhamos (esta página), retirar consentimentos e reclamar à Autoridade Nacional de Proteção de Dados (ANPD).
Excluir a conta e todos os dados: no app, em Ajustes → Conta e dados → Excluir minha conta; ou nesta página, mesmo sem o app instalado. A exclusão apaga a sua conta, seu conteúdo, os arquivos, os dados da assinatura (inclusive o cadastro na RevenueCat) e revoga as agendas conectadas. Ela não cancela a assinatura na Google Play: cancele antes (seção 5). A outra pessoa da casa continua com o que é dela; se não restar ninguém na casa, ela também é apagada. Nas agendas compartilhadas, o que você criou e não é arquivo fica com as pessoas que continuam nelas; seus arquivos enviados são removidos.
8. Segurança
- Toda comunicação usa HTTPS. O aviso de cobrança que a RevenueCat envia ao nosso servidor só é aceito com uma senha secreta, e nunca damos o Dueto Mais só pelo que esse aviso diz: conferimos o estado da compra antes.
- O banco aplica regras de acesso por linha: cada casa só enxerga os próprios dados, cada pessoa só altera o que é seu e uma agenda compartilhada só é lida por quem aceitou participar.
- Fotos e arquivos ficam num espaço privado, acessível só à casa (e, nos anexos de agenda compartilhada, a quem participa dela). A foto de perfil também pode ser vista por quem participa de uma agenda compartilhada com você.
- Os acessos às suas agendas ficam cifrados (AES-256) no servidor e nunca no aparelho.
- Não guardamos o áudio da sua voz.
Nenhum sistema é infalível. Em caso de incidente que possa causar dano relevante, avisaremos você e a ANPD, nos termos da lei.
9. Permissões do Android
| Permissão | Para quê |
|---|---|
| Notificações e alarmes exatos | Lembretes na hora marcada, mesmo após reiniciar o aparelho |
| Microfone | Falar com o assistente, no app ou no widget (a voz vira texto no aparelho) |
| Câmera e fotos (seletor do sistema) | Anexar imagens às atividades |
| Calendário | Mostrar eventos das agendas do celular que você escolher e adicionar atividades à agenda, quando você pede. Se você ligar a chave "Copiar para o Google Agenda" (que começa desligada), escrever na sua agenda o título, as notas e os horários das suas atividades |
| Internet | Sincronizar com o servidor |
Cada permissão é pedida só quando necessária e pode ser revogada nos Ajustes do Android.
10. Crianças e adolescentes
O Dueto é destinado a maiores de 18 anos. Se soubermos de conta de menor, ela será excluída.
11. Mudanças nesta política
Se algo mudar de forma relevante (por exemplo, novo tipo de dado ou novo operador), atualizaremos esta página, trocaremos a data de vigência e avisaremos no app antes de a mudança valer.
12. Fale com a gente
Dúvidas, pedidos de cópia ou de exclusão: e-mail indicado na ficha do app. Respondemos em até 15 dias.