Privacidade no Jairo

Versão técnica consolidada de 20 de outubro de 2026 (inventário F07/F15 com 71 tabelas). A identificação final do controlador, contato e prazos legais de retenção dependem de aprovação do responsável antes da publicação comercial.

Dados e finalidades

A conta usa identificadores Google/Apple, nome e e-mail, sessões e credenciais protegidas. Perfil, metas, preferências e registros de alimentação, água, medidas, treino e GLP-1 (protocolo, doses, estoque, check-ins, intestino, sintomas e dúvidas) são sincronizados no serviço e copiados no dispositivo para continuidade da rotina. Não coletamos fotos de saúde nesta versão.

Em assinaturas, indicações e saques, o serviço processa o plano e canal contratados (Stripe Express Checkout com Apple Pay/Google Pay na web, Woovi Pix Automático na web e Apple App Store / Google Play via RevenueCat no mobile), linhagem de assinatura, faturas e valores em centavos, código de indicação, comissões (30% sobre o valor pago por até 12 meses com hold de 7 dias), compensações pós-saque e, exclusivamente para afiliados que solicitam saque via Pix Out, dados de beneficiário (CPF/CNPJ, nome e chave Pix) criptografados no servidor (AES-256-GCM) e exibidos com máscara. Relatórios financeiros e cálculo de LTV operam sob segregação de funções (RBAC) e nunca acessam dados clínicos ou de saúde.

Autorizações independentes

O consentimento de planos personalizados (versão planning-v1) é registrado no questionário e pode ser retirado em Privacidade. O chat educativo usa sessão válida e aceite dos termos (versão terms-ai-v1), enviando ao provedor Google Vertex AI apenas pergunta e tema quando habilitado. O aceite dos termos não autoriza planos personalizados, resumos pessoais ou atendimento clínico automaticamente. A retirada da autorização de planos interrompe novos usos e solicita cancelamento do trabalho em curso; dados já enviados não podem ser recuperados do provedor.

Resumos pessoais (versão summary-v1) dependem de autorização própria e revisão antes de compartilhar. O atendimento humano do plano Nutri exige plano vigente, vínculo ativo com o nutricionista verificado (CRN) e consentimento específico por escopo (versão professional-v1: chat, resumo, alimentação/água, medidas, treinos e contexto GLP-1), protegido por barreira de época (link_epoch).

Limpeza e exclusão

Apagar histórico remove todos os registros de rotina, inclusive arquivados, séries de treino, sintomas, intestino, perguntas e estoque. Conta, perfil, protocolo GLP-1 (sem data da última aplicação), preferências, favoritos, lista de compras e planos permanecem. A limpeza incrementa uma barreira para impedir replay de filas antigas.

Excluir conta bloqueia imediatamente o acesso, revoga sessões, expurga saúde, planos, respostas, preferências, vínculos e mensagens Nutri, e revoga credenciais Apple antes de apagar a identidade. Assinaturas web ativas (Stripe/Woovi) têm o cancelamento da renovação enfileirado automaticamente (subscription.cancel); assinaturas da App Store e Google Play devem ser canceladas no gerenciamento da respectiva loja. Registros financeiros obrigatórios permanecem vinculados a um sujeito pseudônimo sem login (privacy_financial_subject), com código de indicação neutralizado e dados de beneficiário/chave Pix removidos (removed), e a trilha de auditoria operacional (operational_audit_log) tem identificadores pseudonimizados (redacted), pelo prazo definido em PRIVACY_FINANCIAL_RETENTION_DAYS.

Cópias, backups e limites

Um aparelho offline não pode ser apagado remotamente: a limpeza ocorre quando reconecta e valida a barreira. Logout comum conserva recuperação; exclusão remove as cópias associadas à conta. Backups do servidor exigem retenção e expurgo eventual definidos pelo operador; a restauração deve reaplicar tombstones antes de liberar o serviço. Logs técnicos não devem conter saúde, prompts, e-mail, CPF, chave Pix, cookies ou tokens. Corpus editorial e orçamento agregado não são histórico pessoal.

Galeria, downloads e resumos compartilhados com terceiros não são apagados pelo Jairo. Retenção do fornecedor de IA, PSP e lojas depende de seus contratos e políticas; nas lojas App Store e Google Play, as declarações refletem coleta vinculada à conta para funcionalidade do app (nunca declarar “nenhum dado coletado”).

Como exercer suas escolhas

Use Privacidade no aplicativo ou o recurso público de exclusão com a mesma identidade. Consulte também os Termos de uso e condições comerciais. Não é necessário aguardar o fim do período pago para excluir a conta.

Contato do responsável: privacidade@usejairo.com. Este contato não substitui a confirmação de identidade no fluxo de exclusão.