Política de privacidade

Última atualização: 2026-10-12

Esta página é uma tradução. Se houver diferenças, prevalece a versão em inglês.

1. Quem somos

O Holdfast é um app para iPhone para quem decidiu não procurar mais o ex ou a ex. Ele é publicado por um desenvolvedor independente, chamado aqui de “o desenvolvedor do Holdfast” ou “nós”.

O desenvolvedor do Holdfast é o controlador dos poucos dados pessoais descritos aqui e pode ser contatado em app.holdfast@proton.me.

2. O que não coletamos

• Sem cadastro. O app nunca pede seu nome, seu e-mail, seu número de telefone nem uma senha.
• Sem análise, anúncios ou rastreamento. O app não contém software de análise nem de publicidade, não usa identificador de publicidade e não rastreia você entre apps ou sites.
• Sem localização, contatos, microfone ou câmera.
• Nenhuma cópia do que você escreve. Nada do que você escreve no app está em um servidor nosso.
• Nada é vendido. Não vendemos dados pessoais nem os compartilhamos para publicidade.

3. O que fica no seu iPhone

O que segue é guardado apenas no seu aparelho:

• sua contagem e o histórico dela;
• os contatos que você registrou e as anotações deles;
• seus motivos, e as fotos que você anexou a eles;
• as entradas do seu diário;
• suas mensagens não enviadas;
• seus check-ins;
• quando você abriu o Aguenta firme e como terminou;
• quais lições você leu;
• seus ajustes;
• sua conversa com o coach.

Tudo isso fica no armazenamento do próprio app, uma pasta privada que só o app e os widgets dele conseguem ler. A proteção de arquivos do iOS criptografa esses arquivos quando o seu iPhone tem código, e o que você escreveu não pode ser lido enquanto o aparelho está bloqueado. Os arquivos entram nos backups do seu aparelho (Backup do iCloud, ou backup no computador) se você tiver backups ativados, conforme os termos da Apple e os seus ajustes.

O app não tem nenhum servidor que receba nada disso. Não conseguimos ver esse conteúdo e não conseguimos recuperá-lo para você.

Os widgets mostram a sua contagem. Nunca mostram seus motivos nem nada do que você escreveu.

Exportar. Você → Privacidade → Exportar tudo o que escrevi cria um único arquivo de texto com sua contagem e o histórico dela, os contatos registrados, seus motivos, seu diário, suas mensagens não enviadas, seus check-ins e sua conversa com o coach. As fotos não fazem parte do arquivo.

Apagar tudo. Você → Privacidade → Apagar tudo remove do aparelho tudo o que está acima, inclusive qualquer arquivo de exportação criado pelo app, depois de uma confirmação. Não dá para desfazer. Uma exportação que você salvou ou compartilhou em outro lugar é uma cópia separada, que continua onde você a colocou.

4. O coach: a única exceção

O coach é uma conversa por escrito, redigida por um software. Nada é enviado até você concordar em uma tela do app que diz o que é enviado e para onde vai, diz que quem escreve a resposta é um serviço de IA de fora do Holdfast, e leva a esta política, que diz qual é. Se você nunca abrir o coach, ou voltar dessa tela, nada sai do seu aparelho.

O que é enviado, por uma conexão criptografada (HTTPS), cada vez que você manda uma mensagem:

• o que você escreve para o coach;
• a conversa até ali (as suas linhas e as do coach, no máximo as vinte últimas);
• o dia da sua contagem, como número;
• se você registrou um contato nos últimos três dias (sim ou não, nada além disso);
• a voz escolhida (suave ou direta) e o idioma do app;
• onde a conversa foi aberta (pelo Aguenta firme, ou pela tela do coach);
• seus motivos, em palavras, somente se você ativar “Compartilhar meus motivos com o coach”. A opção fica desativada até você ativá-la, e você pode desativá-la de novo nas opções do coach;
• junto com o pedido, nos cabeçalhos: seu identificador anônimo (seção 5), a versão do app e uma prova da Apple de que o pedido vem de uma cópia autêntica do app.

Seu diário, suas mensagens não enviadas, seus check-ins, as anotações dos seus contatos e suas fotos nunca são enviados.

Para onde vai. O pedido chega ao relay do Holdfast, um pequeno programa que mantemos na Cloudflare (um Cloudflare Worker). O relay passa o texto, com as instruções do coach, para um serviço de IA que escreve a resposta: a OpenAI, pela API dela. O relay não envia o seu identificador anônimo à OpenAI.

O que o relay faz com isso. Antes de devolver a resposta, ele faz o serviço de moderação da OpenAI verificar o texto dela, para filtrar conteúdo nocivo. Depois devolve a resposta ao seu aparelho e não guarda nenhuma mensagem, nenhuma resposta e nenhum motivo. O que ele guarda está na seção 7.

O que a OpenAI faz com isso. A OpenAI processa o texto para produzir a resposta. Pedimos que ela não armazene a troca (a opção “store” da API fica desativada). Segundo a política publicada pela OpenAI, os dados enviados pela API não são usados para treinar nem melhorar os modelos dela, a menos que o cliente opte por compartilhá-los, e nós não optamos. A OpenAI pode manter pedidos e respostas em seus registros de monitoramento de abuso por até 30 dias, ou por mais tempo quando a lei exigir. Veja a página da OpenAI sobre o controle de dados na API (em inglês).

O que você decide escrever. O que você conta ao coach depende de você. Pode tocar na sua saúde, na sua vida íntima ou em outros assuntos sensíveis; ao enviar depois de concordar, você consente que isso seja usado para escrever a resposta. Por favor, não escreva nomes, endereços nem números de telefone, seus ou de outras pessoas.

Mudar de ideia. Você pode retirar a sua concordância quando quiser: no coach, abra o menu … → Voz e o que é compartilhado → Retirar minha concordância. Nada mais é enviado até você concordar de novo. A conversa continua no seu aparelho enquanto você não a limpar, o que dá para fazer no mesmo menu. Apagar tudo também remove a sua concordância. Retirar não muda o que foi processado antes.

5. O identificador anônimo

Na primeira vez que é aberto, o app cria no seu aparelho um identificador aleatório (um UUID). Ele não é derivado do seu nome, da sua Conta Apple nem do seu aparelho. Fica guardado nas Chaves do aparelho, com uma cópia nos ajustes do app. O app o mostra em Você → Sobre → ID de suporte (toque para copiar).

Ele identifica esta instalação perante dois serviços: o nosso relay, que o usa para contar as mensagens ao coach e verificar o seu plano, e a RevenueCat, que gerencia as compras (seção 6). O Holdfast não o vincula a um nome nem a uma Conta Apple. O relay o transforma imediatamente em um hash unidirecional com sal e usa apenas esse hash no que guarda e nos seus registros.

Apagar tudo não remove esse identificador (uma compra continua ligada à sua Conta Apple), e ele pode permanecer nas Chaves depois que o app é removido, para que as mensagens grátis ao coach e as suas compras continuem ligadas à mesma instalação. Para pedir que os contadores do relay e o registro na RevenueCat sejam apagados, escreva para app.holdfast@proton.me informando o seu ID de suporte.

6. Compras

O Holdfast Plus é comprado pelas compras dentro do app da Apple. A Apple cuida do pagamento; o Holdfast nunca vê os dados do seu cartão.

As compras são gerenciadas com a RevenueCat, que atua para nós como operadora. Ela recebe o identificador anônimo, o identificador do aparelho para o fornecedor (IDFV, que o iOS atribui aos apps de um mesmo desenvolvedor no seu aparelho), a situação das suas compras e da sua assinatura, o país da App Store e informações básicas do aparelho e do app (como as versões do app e do iOS). O app entra em contato com a RevenueCat ao abrir, para saber o seu plano e os preços atuais, quer você compre algo ou não. Quando você usa o coach, o nosso relay pergunta à RevenueCat se esse identificador tem o Plus.

7. O que o nosso relay guarda

O relay existe apenas para o coach. Sob o hash com sal, nunca sob o identificador em si, ele guarda:

• três contadores: as mensagens grátis ao coach já usadas, as mensagens enviadas ao coach hoje e as enviadas neste mês (o contador diário é removido quando começa um novo dia e o mensal quando começa um novo mês, às 00:00 UTC);
• dados do App Attest (a verificação de integridade do aparelho feita pela Apple): o id da chave criada pelo seu aparelho, a chave pública dela, a data do registro e um contador que impede que um pedido seja repetido;
• o seu plano (Plus ou não, e até quando), em cache por no máximo 24 horas, para não consultar a RevenueCat a cada mensagem.

Registros. O relay grava uma linha por pedido, só com metadados: um id do pedido, o hash com sal, o endpoint, o status, o tempo de resposta, a versão do app, o modelo de IA que respondeu, a contagem de tokens e códigos fixos sobre o que aconteceu (um código de erro, como o pedido foi verificado, qual contador foi usado). Os registros nunca contêm o que você escreveu, a resposta, os seus motivos, o identificador em si, nem se uma resposta indicou ajuda de emergência.

Dados de conexão. Como em qualquer serviço de internet, a Cloudflare, que hospeda o relay, trata o seu endereço IP e os dados habituais de um pedido para prestar e proteger o serviço. O relay em si não registra o seu endereço IP.

8. Notificações, Face ID, fotos

• As notificações são locais. O app as agenda no seu aparelho. Não existe servidor de push, e não sabemos quando uma delas aparece. Seus motivos e seu diário nunca aparecem em uma notificação.
• O Face ID é tratado pelo iOS. Se você ativar o bloqueio do app, o iOS confere o seu rosto, a sua digital ou o seu código e informa ao app apenas se a verificação passou. O app nunca vê dados biométricos.
• As fotos são escolhidas com o seletor do sistema. O app recebe só a foto que você escolhe e não tem nenhum outro acesso à sua fototeca. A cópia que ele guarda fica no aparelho.
• As linhas de ajuda são listadas por país. O app escolhe o país pelo ajuste de região do seu iPhone, no próprio aparelho; ele não usa a sua localização.
• Relatórios da Apple. O app não contém ferramenta de relatório de falhas. Se, nos ajustes do iPhone, você escolheu compartilhar dados de análise com os desenvolvedores, a Apple pode nos mostrar relatórios de falhas e números de uso que não identificam você.

9. E-mails de suporte e este site

Se você nos escrever, recebemos o seu endereço de e-mail e o que você escreveu, e usamos isso só para responder. Se você denunciar uma resposta do coach (toque e segure a resposta → Denunciar esta resposta), o app abre um e-mail para nós com o texto dessa resposta; nada é enviado se você não enviar esse e-mail, e ele contém o que você decidir enviar. Nossa caixa de e-mail é hospedada pela Proton. Apagamos os e-mails de suporte quando deixam de ser necessários, e a pedido.

Este site não grava cookies, não executa scripts e não carrega nada de outros sites. A hospedagem, na Cloudflare, trata o seu endereço IP e os dados habituais de um pedido para exibi-lo e protegê-lo.

10. Prestadores de serviço

Compartilhamos dados apenas com os prestadores abaixo, e apenas para as finalidades descritas aqui.

Também podemos divulgar informações quando a lei exigir, por exemplo diante de uma ordem judicial válida. Como não temos nomes nem conteúdo, haveria muito pouco a divulgar.

11. Onde os dados são tratados

O que você escreve fica no seu aparelho, onde quer que você esteja. Os dados descritos nas seções 4 a 7 podem ser tratados fora do seu país, em especial nos Estados Unidos. Quando o GDPR ou o GDPR do Reino Unido se aplica, essas transferências se apoiam nos mecanismos previstos nessas normas: uma decisão de adequação, onde existir, ou as cláusulas contratuais padrão incluídas nos termos de tratamento de dados do prestador.

12. Por quanto tempo os dados são guardados

13. Finalidades e bases legais

Usamos os dados acima apenas para fazer o coach funcionar, gerenciar as compras e as mensagens grátis, manter o serviço seguro e justo, e responder a você. Não os usamos para publicidade nem para criar perfis, não tomamos sobre você decisões automatizadas com efeitos jurídicos ou de impacto semelhante, e não usamos o que você escreve para treinar modelos de IA.

Quando o GDPR ou o GDPR do Reino Unido se aplica, as bases legais são:

• o seu consentimento (artigo 6(1)(a), e artigo 9(2)(a) para informações sensíveis que você decidir escrever): o envio do que você escreve para o coach, e dos seus motivos se você ativar essa opção;
• a execução de um contrato (artigo 6(1)(b)): gerenciar as compras, verificar o seu plano e contar as mensagens grátis ao coach;
• o interesse legítimo (artigo 6(1)(f)): manter o relay seguro e evitar abusos (App Attest, o limite diário, os registros de metadados), e responder aos e-mails de suporte. Esses interesses se limitam ao que um serviço pequeno precisa para continuar disponível, e não envolvem nenhum conteúdo.

O que fica no seu iPhone não é tratado por nós: nunca o recebemos.

14. Seus direitos (EEE, Reino Unido, Suíça)

O GDPR, o GDPR do Reino Unido e a lei suíça dão a você o direito de acessar os seus dados pessoais, de pedir que sejam corrigidos ou apagados, de restringir o tratamento ou de se opor a ele, de recebê-los em formato portável e de retirar o consentimento a qualquer momento, sem afetar o que foi feito antes. Em um app sem cadastro, isso significa na prática:

• Acesso e portabilidade. Quase tudo está no seu aparelho. Exportar tudo o que escrevi dá uma cópia a você.
• Correção. Você pode editar no app o que escreveu e a data da sua contagem.
• Eliminação. Apagar tudo remove tudo do aparelho. A conversa com o coach também pode ser limpa separadamente.
• Retirada do consentimento. Veja “Mudar de ideia” na seção 4.
• O que o relay guarda (seção 7) não tem nenhum conteúdo e está ligado apenas a um hash com sal. Não temos nome nem e-mail para localizar você (artigo 11 do GDPR). Envie o seu ID de suporte (Você → Sobre → ID de suporte) e encontraremos essas entradas e as apagaremos.
• Os dados de compras ficam com a Apple e com a RevenueCat, sob o identificador anônimo. Escreva para nós informando o seu ID de suporte e pediremos que o registro na RevenueCat seja apagado.

Escreva para app.holdfast@proton.me. Respondemos em até um mês, sem custo. Você também tem o direito de reclamar à autoridade de proteção de dados do lugar onde mora ou trabalha: no Reino Unido, o ICO; na Suíça, o FDPIC.

Se você mora em outro lugar, a lei local pode dar direitos parecidos. No Brasil, a LGPD dá a você, entre outros, o direito de confirmar a existência de tratamento, de acessar, corrigir e eliminar dados e de revogar o consentimento, além do direito de reclamar à ANPD. Valem as mesmas respostas, e você pode nos escrever no mesmo endereço.

15. Califórnia

Esta seção é para quem mora na Califórnia e usa os termos da California Consumer Privacy Act (CCPA). Reconhecemos esses direitos quer a lei se aplique ou não a um desenvolvedor do nosso porte.

• Não vendemos informações pessoais nem as compartilhamos para publicidade comportamental entre contextos. Não fizemos isso nos últimos doze meses, inclusive com menores de 16 anos.
• Categorias coletadas nos últimos doze meses: identificadores (o identificador anônimo, o hash com sal dele, o identificador para o fornecedor enviado à RevenueCat e o endereço IP que as nossas hospedagens tratam em trânsito); informações comerciais (situação das compras e da assinatura); atividade na internet ou em redes (os metadados dos pedidos da seção 7); e, somente se você usar o coach, o texto que você escreve, que apenas passa para produzir a resposta e não é guardado por nós. Tudo vem do seu aparelho.
• Finalidades e destinatários. Usamos essas informações para as finalidades da seção 13 e as divulgamos apenas aos prestadores da seção 10.
• As informações pessoais sensíveis que você possa escrever para o coach servem apenas para escrever a resposta, não para deduzir algo sobre você.
• Seus direitos: saber o que temos e receber uma cópia, pedir que seja apagado ou corrigido, e não sofrer desvantagem por ter pedido. A maioria dos pedidos se resolve no seu aparelho: Exportar tudo o que escrevi e Apagar tudo. Para o restante, escreva para app.holdfast@proton.me; você pode usar um agente autorizado. Como não temos nome nem e-mail, conferimos um pedido com o ID de suporte que ele informa, não com a sua identidade.
• Os prazos de retenção estão na seção 12. Não oferecemos incentivos financeiros em troca de informações pessoais.

16. Segurança

• Toda conexão é criptografada (HTTPS).
• Os pedidos ao relay são verificados com o App Attest da Apple, e o relay guarda identificadores apenas como hashes com sal.
• Os registros do relay são limitados, por construção, a uma lista fixa de metadados.
• No seu aparelho, o que você escreveu está sob a proteção de arquivos do iOS, o identificador está nas Chaves, e você pode ativar o bloqueio do app.

Nenhum sistema é perfeitamente seguro. Se um incidente colocar as suas informações em risco, agiremos rapidamente e avisaremos você e as autoridades quando a lei exigir.

17. Crianças

O Holdfast não é direcionado a crianças com menos de 13 anos, e não coletamos conscientemente informações pessoais delas. Onde a lei do seu país fixa uma idade maior para concordar com o uso dos seus dados, não use o coach antes dessa idade sem a concordância de um dos pais ou de um responsável. Se você acredita que uma criança usou o coach, escreva para nós e ajudaremos a apagar o que for possível encontrar.

18. Alterações

Atualizaremos esta política quando o app ou os prestadores mudarem, e mudaremos a data no topo. Se uma alteração precisar da sua concordância, o app pedirá de novo.

19. Contato

O desenvolvedor do Holdfast
E-mail: app.holdfast@proton.me