Política de Privacidade

O Odonel é um aplicativo para a família organizar o dia a dia (agenda, listas, conversa, saúde, dinheiro, documentos) e conviver com famílias amigas na Vila. Está em fase de testes (beta) e só entra quem recebe convite.

Controlador

[CONTROLADOR — nome completo e CPF, ou razão social e CNPJ]

Endereço

[ENDEREÇO]

Encarregado (DPO)

Eduardo Carneiro Vasques · [E-MAIL DO ENCARREGADO]

Endereço do app

https://casa.odonel.com.br (provisório)

Nesta política, “nós” é o controlador acima; “você” é quem usa o app; “família” ou “casa” é o grupo de pessoas que moram juntas e usam o app juntas; “responsável” é quem administra a casa (pai, mãe ou outro responsável legal).

Para revisão do advogado: definir se o controlador será pessoa física ou jurídica. Se for pessoa jurídica com fins econômicos, conferir a guarda de registros de acesso (Marco Civil da Internet, art. 15 — 6 meses) e o papel de cada família (o uso doméstico da própria família é excluído da LGPD pelo art. 4º, I, mas nós, que oferecemos o serviço, somos controladores).

• Não vendemos dados, não mostramos anúncios e o app não tem rastreadores nem ferramentas de análise de terceiros.
• Os dados ficam num servidor no Brasil. A cópia de segurança vai para o Google Drive criptografada (o Google não consegue ler).
• Dentro da casa, cada informação tem regra de quem vê: o que é só seu, o que é da família, o que os responsáveis legais veem dos filhos.
• Saúde, ciclo menstrual e relações são dados sensíveis: ficam com regras mais fechadas, e o ciclo, as relações, o diário e as senhas são guardados cifrados.
• A inteligência artificial é opcional: só lê um trecho de livro quando ligada, e só lê um exame com a permissão explícita da pessoa (ou, na criança, de um responsável legal), dada depois de um aviso — sem decisão, nada vai.
• Você pode baixar uma cópia dos seus dados e excluir a sua conta dentro do app.

Só o que você (ou um responsável da sua casa) coloca no app, mais o mínimo técnico para ele funcionar com segurança:

Conta e perfil

Nome, apelido, e-mail (é o login), senha (guardada só como resumo criptográfico — bcrypt; ninguém consegue ler), data de nascimento (obrigatória: dela dependem a idade, as proteções de criança, as vacinas e os exames recomendados), sexo biológico e gênero (opcionais), cor e personagem (aparência no Modo casa), papel na casa e as casas de que você faz parte.

Família e vínculos

Quem mora em cada casa, quem é responsável legal de cada filho, pedidos de vínculo, separação (a casa antiga vira arquivo só leitura até a data da saída) e o calendário de guarda compartilhada.

Dia a dia

Recados do mural (com fotos e GIFs), enquetes, pergunta do dia, cápsulas do tempo, listas (mercado, tarefas, presentes), rotinas da casa (o que se repete, quem faz e quem marcou como feita ou pulada), cardápio, agenda e compromissos (com anexos), agendas externas ligadas por link .ics, conversa da família e conversas a dois (com reações), viagens, filmes/séries/músicas/livros/jogos, pets, escola (grade, provas, notas), atividades em família, pontos e conquistas.

Dinheiro e documentos

Contas a pagar, boletos e comprovantes, contas bancárias, cartões, extratos e faturas que você envia (OFX, CSV ou PDF), categorias, receitas. Documentos (RG, CNH, passaporte…) com número, validade e anexos. O app não se conecta ao seu banco: só lê os arquivos que você envia.

Saúde (dado sensível)

Ficha (tipo sanguíneo, alergias, condições, plano e médico, contato de emergência, gestação), remédios e doses tomadas, exames e laudos (arquivos e resultados), vacinas e doses, exames preventivos registrados, sintomas, medidas importadas do app Saúde do iPhone (passos, frequência cardíaca, sono, peso, pressão etc., em resumos por dia), carteirinha do plano, e — só se a própria pessoa ligar — ciclo menstrual e relações (só adultos).

Localização

A última posição de quem compartilha (filho: sempre que o app está aberto; adulto: só se ligar), chegadas e saídas das zonas da casa (histórico de 30 dias), pedidos de localização e a posição enviada num SOS. O app de site só pega a posição com o app aberto.

Área pessoal e senhas

Minha área (diário, anotações e metas — cifrados por pessoa) e Senhas da casa (Wi-Fi, streaming… — cifradas por casa).

Vila (entre famílias)

Amizades entre famílias, posts, comentários, reações, presenças em encontros, conversas entre famílias, recados na porta, desafios, concursos, partidas de jogos e a posição do seu personagem na praça 3D (só na memória do servidor, enquanto a Vila está aberta — não fica guardada).

Denúncias e bloqueios na Vila: quando você denuncia algo, guardamos o tipo, o motivo, a sua explicação (se escrever), a sua casa e uma cópia do que foi denunciado como estava na hora — para o administrador do app poder decidir mesmo que o autor apague. Quem vê a denúncia de um adulto: ele, os responsáveis da casa dele e o administrador, que vê a casa, não o nome. Denúncia feita por criança ou adolescente: só ela e quem modera — nem os responsáveis dela (a moderação decide se conversa com a família). Se ela marcar “é sobre meu responsável” ou “meus responsáveis podem atrapalhar”, ninguém que seja responsável dela, more com ela ou esteja envolvido pode ver — nem o administrador, se for da família: a denúncia vai para um moderador independente (um adulto cadastrado pelo administrador, que aceitou um termo de sigilo). Enquanto não houver um, a denúncia fica trancada (o administrador vê só que existe uma aguardando, sem nada dela) e a criança vê na hora os canais oficiais: 190, Disque 100, SaferNet, Conselho Tutelar e CVV 188. Mensagem de conversa a dois denunciada só aparece para quem denunciou e para quem modera. A pessoa ou a família denunciada nunca fica sabendo quem denunciou. O bloqueio guarda só quem bloqueou quem. Se a sua conta for excluída, os seus bloqueios somem e as denúncias que você fez ficam, sem o seu nome.

Dados técnicos e de segurança

Aparelhos com avisos ligados (endereço de entrega do aviso e tipo de aparelho), registro de atividades da casa (quem fez o quê — sem o conteúdo de saúde, ciclo ou diário), tentativas de login (com o IP, para travar ataques), espaço usado por pessoa e, nos links de saúde compartilhados com profissionais, cada abertura e download (com IP e navegador de quem abriu).

O app não lê seus contatos, e-mails, SMS nem o rolo da câmera: só o arquivo que você escolhe enviar. Fotos enviadas pelo compartilhamento perdem os dados de localização (EXIF/GPS) no servidor.

Usamos os dados só para fazer o app funcionar para a sua família — nunca para publicidade, perfil de consumo ou venda.

Conta, casa e módulos do dia a dia

prestar o serviço que você pediu ao criar a conta — execução de contrato (LGPD, art. 7º, V)

Saúde, ciclo e relações

guardar e organizar a sua saúde e a dos seus filhos — consentimento específico e destacado (art. 11, I); de crianças e adolescentes, de um dos pais ou responsável legal (art. 14, § 1º)

Leitura de exames por IA

preencher o formulário a partir do arquivo — consentimento específico e destacado (art. 11, I; criança: art. 14, § 1º), dado depois de um aviso com o que vai, para quem e para quê, com a versão do aviso registrada; transferência internacional consentida (art. 33, VIII)

Localização e SOS

segurança da família e pedido de ajuda — consentimento do adulto; para os filhos, decisão dos responsáveis legais no melhor interesse da criança (art. 14); no SOS, também a proteção da vida (art. 7º, VII, e art. 11, II, “e”)

Segurança, registro de atividades e tentativas de login

proteger as contas e apurar abusos — legítimo interesse (art. 7º, IX) e segurança (art. 46)

Cópia de segurança

não perder os dados da família — legítimo interesse (art. 7º, IX) e segurança (art. 46)

Avisos no celular

avisar compromissos, remédios, mensagens — execução de contrato (art. 7º, V); você liga e desliga por aparelho e por assunto

Previsão do tempo, mapas, GIFs

funções que você usa — execução de contrato (art. 7º, V)

Para revisão do advogado: bases legais acima são a leitura técnica provável; confirmar cada uma (em especial: se o consentimento para saúde precisa de uma tela própria e destacada no primeiro uso da Saúde, além do aceite destes termos; e o Enunciado CD/ANPD nº 1/2023, que admite as bases dos arts. 7º e 11 para crianças e adolescentes, sempre no melhor interesse).

O app é feito para famílias, então guarda dados de filhos menores de idade. Por isso:

• Só um adulto (18 anos ou mais) cria uma casa. A conta de um filho só é criada por um responsável da casa, que indica quem são os responsáveis legais dele — ao fazer isso, o responsável dá o consentimento pelos dados do filho (LGPD, art. 14).
• Os responsáveis legais veem os dados do filho (saúde, documentos, escola, dinheiro pessoal, localização, Minha área e conversas a dois — só leitura, com aviso na tela do filho). Exceção: o ciclo menstrual da filha só aparece para eles se ela escolher mostrar; relações nunca são registradas por menores.
• Para um filho pequeno (bebê, sem aparelho próprio), um responsável legal pode criar uma conta sem e-mail e sem senha, cuidada pelos responsáveis: quem cria dá a autorização do art. 14 e os outros responsáveis legais são avisados e podem recusar. A criança usa o app quando o responsável empresta o aparelho — ela entra na conta dela, sem ver nada da conta do adulto, e para voltar é preciso a senha (ou o PIN do aparelho) do responsável. Quando a família quiser, a criança assume a conta criando o próprio e-mail e a senha.
• Padrasto/madrasta não veem o que é só do enteado, a não ser que todos os responsáveis legais o incluam.
• Na Vila, criança de outra família aparece pela faixa de idade (ex.: “adolescente, 15 a 17 anos”), não pelo nome, a não ser que todas as casas dela liberem. Adulto de outra família nunca conversa a sós com uma criança; entre crianças de casas diferentes, por padrão, só figurinhas e frases prontas (texto livre só com a aprovação de todos os responsáveis legais). Ninguém vê a idade exata.
• Quando pai e mãe discordam, vale a regra mais protetora. Aos 18 anos, o controle passa para o próprio filho.
• Não usamos dados de crianças para publicidade nem para perfis, e as mecânicas do app evitam prender (sem sequências diárias, sem prêmio aleatório, sem placar de curtidas).

Para revisão do advogado: conferir a adequação ao ECA Digital (Lei nº 15.211/2025) e às regras das lojas para apps usados por menores (Google Play — política de Famílias e público-alvo; Apple — classificação etária).

Dados de saúde e de vida sexual são sensíveis (LGPD, art. 5º, II, e art. 11). No app:

• Cada pessoa vê a própria saúde; os responsáveis legais veem a dos filhos; um adulto vê a de outro adulto só se ele compartilhar (e ver não dá direito de editar).
• Ciclo menstrual e relações são opcionais, guardados cifrados (AES-256-GCM, com chave própria de cada pessoa) e não aparecem no Hoje, nos avisos, no relatório, no 3D, no Painel da casa nem na IA. Relações: só adultos, só a data e o tipo de proteção, e ninguém mais vê.
• O relatório para profissionais de saúde só é compartilhado pela própria pessoa adulta (ou pelo responsável, para o filho), por link com PIN e prazo (1 a 90 dias), que pode ser revogado. Cada abertura fica registrada. Login e senha de laboratório nunca vão no relatório.
• A leitura de exames por IA envia o arquivo do exame à Anthropic (EUA) — veja a seção de compartilhamento. Só funciona se o administrador ligou a IA e com a permissão explícita: antes do primeiro uso aparece um aviso (o que vai — o arquivo do exame —, para quem — a Anthropic, nos EUA, como operadora — e para quê); sem decisão, a IA não lê. Cada adulto decide pelos próprios exames; exame de criança só com a permissão de um responsável legal dela e sem nenhuma recusa. Se o texto do aviso mudar, a permissão é pedida de novo. Permitir e revogar ficam registrados em Meus consentimentos; ao revogar, a leitura que ainda não saiu é cancelada.
• Nunca registramos conteúdo de saúde em logs.

• Da casa toda: mural, agenda (menos compromissos privados), listas da família, cardápio e conversa da família.
• Só adultos da casa: contas e dinheiro “da casa”, documentos da casa.
• Só você (e seus responsáveis legais, se você é filho): Minha área, contas pessoais, compromissos e listas “só minhas”.
• Conversa a dois: só as duas pessoas — exceto a de um filho, que os responsáveis legais podem ler.
• Responsáveis da casa: ajustes e cadastro das pessoas. Administrador do sistema (uma pessoa): credenciais das integrações, IA e backup — ele não vê pelo app os dados de outras famílias.
• Famílias amigas na Vila: só o nome da casa, quem mora (crianças pela faixa de idade) e o que vocês publicarem para elas. Nunca agenda, listas, conversas da família, dinheiro, saúde, documentos, escola, senhas, fotos, diários ou localização.
• Painel da casa (tablet ou monitor pareado por um responsável): agenda do dia sem privados, tempo, cardápio, mercado, tarefas, rotinas de hoje, recados e aniversários — nunca saúde, dinheiro, documentos, conversas, senhas, diário ou localização. Quem estiver perto da tela vê o que ela mostra.

O detalhe está em Ajustes → Como a casa funciona e em Vila → O que a outra família vê de vocês.

Não vendemos nem cedemos dados. Para funcionar, o app usa os serviços abaixo. Para cada um, dizemos exatamente o que sai e quando:

Google Drive — uso limitado. O componente de backup usa a permissão drive.file do Google (só os arquivos que ele mesmo cria, no Drive da conta do administrador que autorizou). O uso e a transferência de informações recebidas das APIs do Google seguem a Política de Dados do Usuário dos Serviços de API do Google, inclusive os requisitos de Uso Limitado. A autorização pode ser revogada em myaccount.google.com/permissions.

Consultas a conteúdo público (sem nenhum dado pessoal, feitas pelo servidor): Projeto Gutenberg e Wikisource (livros em domínio público) — recebe o termo buscado na estante e o livro escolhido; Wikcionário e Wikipédia (consultas no leitor) — recebe a palavra ou expressão marcada no livro; Ministério da Saúde (gov.br) — calendário de vacinação e notícias de campanhas — recebe nada: o servidor lê páginas públicas; MusicBrainz, TVmaze e Wikidata (favoritos: artistas, atores, filmes e séries) — recebe o nome digitado na busca de um favorito e, depois, o código público do artista/ator para ver lançamentos (nunca quem gosta dele); Mapas Culturais e agendas públicas (.ics) que a casa escolher — recebe nada da família: o servidor lê a agenda pública de eventos da cidade (o endereço que o responsável colou).

Links que você toca (ex.: “abrir no Mapas”, “mandar pelo WhatsApp”, sites de atividades): quando você toca, o seu aparelho abre o outro serviço, que passa a tratar os dados conforme a política dele. “Abrir no Mapas” manda só aquele ponto, sem nome.

Também podemos fornecer dados quando a lei ou uma ordem judicial exigir.

Para revisão do advogado: conferir os contratos/termos de cada operador (Hostinger, Google, Anthropic, GIPHY, Open-Meteo, OpenStreetMap) e se cabe contrato de operador (LGPD, art. 39) ou só os termos de serviço deles.

O servidor principal fica no Brasil. Saem do país: a cópia de segurança cifrada (Google, EUA — ilegível para o Google), o arquivo de exame ou o trecho de livro enviado à IA (Anthropic, EUA — só quando ligada e, nos exames, com a permissão explícita), os avisos (cifrados, pelos serviços da Apple, Google, Mozilla ou Microsoft), a busca de endereço e os quadradinhos do mapa (OpenStreetMap, Reino Unido), as coordenadas aproximadas da casa (~1 km) para a previsão do tempo (Open-Meteo) e a palavra buscada no GIPHY (EUA). O Modo casa 3D, as letras e as miniaturas dos GIFs vêm do próprio servidor: o aparelho não fala com esses serviços.

Essas transferências ocorrem para cumprir o serviço que você pediu e, no caso da IA, com o seu consentimento específico (LGPD, art. 33).

Para revisão do advogado: enquadrar cada transferência no art. 33 e na Resolução CD/ANPD nº 19/2024 (cláusulas-padrão contratuais); para a Anthropic, verificar se os termos comerciais trazem as garantias exigidas e por quanto tempo a Anthropic guarda o que recebe.

• Conexão sempre criptografada (HTTPS com HSTS) e política de conteúdo que impede código de outros sites na página.
• Senhas de login guardadas só como resumo (bcrypt); login trava depois de várias tentativas erradas; trocar a senha derruba as outras sessões; “sair de todos os aparelhos”.
• Cofre de credenciais das integrações cifrado com AES-256-GCM; a chave-mestra fica fora do banco.
• Minha área (diário), ciclo e relações cifrados com chave própria de cada pessoa; Senhas da casa cifradas por casa (AES-256-GCM).
• Cópia de segurança externa cifrada antes de sair do servidor; banco de dados sem porta aberta para a internet.
• Separação entre famílias verificada em toda consulta ao banco (uma família nunca lê dado de outra) e regras de quem vê por papel, testadas automaticamente.
• Arquivos servidos só a quem pode ver; links de saúde compartilhada com token guardado só como resumo, PIN e bloqueio após 5 erros.
• Transparência: quem administra o servidor tem acesso técnico ao banco de dados (que não é cifrado por inteiro — só as partes indicadas acima). Esse acesso é usado só para manutenção, segurança e cópias de segurança, nunca para ler o conteúdo das famílias.

• Os dados ficam enquanto a conta e a casa existirem, ou até alguém apagar (cada item pode ser apagado por quem tem permissão).
• Localização: só a última posição; chegadas e saídas por 30 dias; parar de compartilhar apaga a posição e o histórico. Resposta “só desta vez” a um pedido: 24 horas.
• Itens enviados pelo “compartilhar para o app” e não usados: 24 horas. Arquivos enviados e não usados: apagados depois de 2 dias.
• Cópias de segurança: 30 dias no servidor e versões anteriores por 30 dias no Google Drive (cifradas). Um dado apagado pode continuar nessas cópias até elas vencerem.
• Registro de atividades, tentativas de login e acessos aos links de saúde: [PRAZO DE GUARDA DOS REGISTROS — hoje não são apagados automaticamente].

Excluir a conta: em Excluir minha conta (a conta para de entrar na hora e é apagada de vez em 7 dias; até lá dá para cancelar). São apagados a conta e os dados pessoais (saúde, Minha área, ciclo, localização, dinheiro e documentos pessoais, preferências). O que a pessoa escreveu ou postou para a família (conversa da casa, mural, enquetes, cápsulas, vila) e o que organizou para a casa fica com a família, sem o nome (“Ex-integrante”, sem foto nem cor), mas as fotos e arquivos que a pessoa mandou na conversa da casa são apagados; as conversas a dois ficam só para a outra pessoa ler, sem as fotos e arquivos que quem saiu mandou. Conta de filho: só com a confirmação de todos os responsáveis legais. Quem não consegue entrar pede ao administrador do sistema, que confere a identidade antes. As cópias de segurança guardam o que foi apagado até vencerem (30 dias) e só servem para recuperar o app depois de um problema. Baixar uma cópia dos seus dados: Ajustes → Baixar uma cópia dos meus dados.

Para revisão do advogado: definir prazos para registros (sugestão técnica: 6 meses para acessos/logins, por analogia ao Marco Civil, art. 15) e o que acontece com dados de uma casa quando o último responsável sai.

Pela LGPD (art. 18), você pode pedir: confirmação de que tratamos seus dados; acesso; correção; anonimização, bloqueio ou eliminação do que for desnecessário ou excessivo; portabilidade; eliminação dos dados tratados com consentimento; saber com quem compartilhamos; saber o que acontece se não consentir; e revogar o consentimento a qualquer momento.

Muita coisa você faz sozinho no app: corrigir o cadastro, apagar itens, permitir ou revogar a IA nos seus exames, parar de compartilhar a localização, desligar avisos, baixar uma cópia e excluir a conta. Para o resto, escreva ao encarregado, Eduardo Carneiro Vasques, em [E-MAIL DO ENCARREGADO]. Respondemos em até 15 dias (art. 19, II). Pedidos sobre os dados de um filho são feitos pelos responsáveis legais.

Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD) — gov.br/anpd.

A IA (Claude, da Anthropic) só sugere: preenche o formulário de um exame para você conferir, explica um trecho de livro, ou resume uma notícia oficial de vacinação. Nenhuma decisão sobre você é tomada só pela IA. Cada pessoa tem um limite de pedidos por mês no beta.

Regras automáticas do app (exames recomendados, vacinas, previsão do ciclo) seguem tabelas fixas e públicas (Ministério da Saúde/INCA) e são informativas — não substituem o profissional de saúde. Você pode pedir revisão de qualquer tratamento automatizado (art. 20).

Usamos só cookies essenciais e de preferência — nenhum cookie de publicidade ou de análise:

No próprio aparelho (sem enviar a ninguém) o app guarda preferências do leitor de livros (fundo, letra), medições do livro aberto, preferências do Modo casa e quais alertas já tocaram nesta sessão. O app instalado não guarda dados da família em cache para uso sem internet — só a página “sem conexão”.

Se acontecer um incidente que possa causar risco ou dano relevante, comunicaremos a ANPD e as pessoas afetadas, dizendo o que aconteceu, quais dados e o que fazer, nos prazos da regulamentação.

Para revisão do advogado: conferir a Resolução CD/ANPD nº 15/2024 (comunicação de incidente — prazo de 3 dias úteis) e montar o plano de resposta.

Quando mudarmos algo relevante, a versão muda, avisamos dentro do app e, quando a lei exigir, pedimos o seu aceite de novo. O aceite registra a versão e a data.

Encarregado (DPO)

Eduardo Carneiro Vasques · [E-MAIL DO ENCARREGADO]

Controlador

[CONTROLADOR]

Endereço

[ENDEREÇO]

Veja também os Termos de Uso.