Política de privacidade

Quem cuida dos seus dados

O aplicativo Cabana é da ALC Intermediação e Representação Ltda., inscrita no CNPJ 66.279.691/0001-12, com sede em Brasília/DF, Brasil. É ela a controladora dos dados pessoais tratados aqui, na definição da Lei Geral de Proteção de Dados (Lei 13.709/2018).

Esta política vale para o aplicativo e para este site. Ela está escrita para ser lida — se alguma parte não estiver clara, escreva para [email protected] e nós reescrevemos.

O que fica no seu aparelho

A Cabana funciona inteira sem conta, sem cadastro e sem internet. Enquanto você não criar uma conta, tudo o que você escreve — o diário, o humor, os nomes das metas, os recados em áudio, a sua criatura — fica no seu telefone, e nada disso chega até nós. Se no seu telefone estiver ligada a cópia de segurança do Android, o Android leva parte disso para a sua conta do Google; logo abaixo, explicamos o que vai e o que fica.

Nesse caso não existe nada nosso para acessar, entregar ou apagar: nós não temos o dado. Isso não é uma promessa de não olhar; é a ausência do dado no nosso lado.

O texto do diário, a nota de humor, o título das metas e os recados em áudio ficam guardados cifrados no próprio aparelho, com uma chave que nasce ali e nunca sai dele. O nome que você deu à criatura e o quanto ela cresceu ficam legíveis no arquivo do app — some tudo junto do telefone quando você apaga.

O que o Android guarda por conta própria

O Android guarda algumas coisas da Cabana por conta própria, sem passar por nós. A principal é a cópia de segurança do Android: se o backup estiver ligado no seu telefone, o Android copia para a sua conta do Google — não para a nossa — o que a Cabana precisa para devolver a sua criatura num telefone novo, mesmo sem conta na Cabana. A Google informa que essa cópia fica num espaço que nem você nem outros apps conseguem abrir; nós não temos acesso a ela. A mesma cópia vai junto quando você passa os dados de um telefone para o outro, na hora de configurar o novo.

Sem a cifra do app, a cópia leva o que a Cabana guarda no telefone: a sua criatura com o nome que você deu e o que ela tem e veste; as metas e o que você já cumpriu; as aventuras; o andamento do cuidado de vocês, como os dias em que você cuidou dela; a sua assinatura, se você assina; as suas escolhas de lembretes e da casa; a data de nascimento e o país que você informou; as contagens de uso e as fichas de quebra do app, as mesmas que nos chegam somadas por dia; e, se você tem conta, o identificador dela, sem a senha e sem a sessão. O diário, o humor, as lembranças, o título das metas que você escreveu e o nome de quem te fez bem vão nela cifrados — e a chave dessa cifra não vai: ela fica no seu telefone. Por isso, num telefone novo, a criatura volta e o que você escreveu não abre: ninguém tem a chave, nem a Google, nem nós.

Ficam fora da cópia: a chave; a sessão da sua conta (num telefone novo, você entra de novo); o que você contou ao app sobre como está — como o «Hoje não estou bem» e o «Hoje não dá» — e os sinais de dia difícil que ele guarda, como o dia em que te ofereceu linhas de apoio; o que a sua criatura já te disse, que revela essas coisas; o que você contou à casa sobre o lugar onde está, como «Tá chovendo aqui» ou «Estou viajando»; a cidade que você digitou; e o índice da busca na sua memória.

Desinstalar a Cabana não apaga essa cópia: se você instalar o app de novo com a mesma conta do Google, o Android a devolve antes de você abri-lo. A cópia que fica é sempre a do último backup — quando o Android faz um novo, ele substitui o anterior.

Para tirar a Cabana dessa cópia, há dois caminhos. Pelo app: use «Apagar tudo», em Seus dados, e deixe o app instalado até o próximo backup do Android, que acontece no máximo uma vez por dia — em geral à noite, com o telefone parado e no Wi-Fi; a cópia nova, já sem os seus dados, substitui a antiga. Pelas configurações do telefone, na parte de backup: em alguns telefones dá para desligar o backup só da Cabana, e em todos dá para desligar o backup do telefone inteiro, o que vale para todos os apps. A Google informa que desligar o backup apaga as cópias guardadas na sua conta.

O histórico de notificações do Android, se estiver ligado no seu telefone, guarda o texto dos avisos recentes — o que a sua criatura disse e, às vezes, o nome dela —, mesmo depois do «Apagar tudo»; e o mesmo texto chega ao seu relógio e aos apps a quem você deu acesso às notificações, que podem guardá-lo. O app não alcança esse histórico nem esses apps. Para limpá-lo, desligue o histórico de notificações nas configurações de notificações do telefone; no Android, desligar apaga o que estava guardado.

Quando você toca em «Copiar» num código da Cabana — o de um contato ou o de um ovo de presente —, o código vai para a área de transferência do telefone, que é do Android e do seu teclado, não do app. Para tirá-lo de lá, copie outra coisa por cima; se o seu teclado guarda um histórico do que você copia, apague o código nele também.

O que sobe com a conta, e só se você quiser

Se você criar uma conta e ligar a sincronização — para não perder a sua criatura ao trocar de telefone —, aí sim algumas coisas sobem para o nosso servidor: a sua criatura, as suas metas, os seus registros de humor, as suas reflexões, as aventuras e o seu inventário. A conta serve para um telefone novo, não para dois ao mesmo tempo: o que você apagar num não some do outro.

Sobe também o seu e-mail, que é o que identifica a conta, e a data de cada mudança, que é como o telefone e o servidor sabem quem está mais atualizado.

Os recados em áudio nunca sobem. A contagem de passos, quando você liga esse recurso para uma meta, nunca sobe: ela é lida, usada naquele instante e descartada.

O que sobe, mas nós não conseguimos ler

O texto do seu diário, a sua nota de humor e o título das metas que você escreveu sobem cifrados. A chave que abre essa cifra nasce no seu aparelho, fica guardada nele e nunca é enviada para nós.

Na prática: o que está no nosso servidor é um bloco embaralhado que nem nós conseguimos abrir. Se alguém invadisse o servidor inteiro, não leria uma linha do seu diário.

Isso tem uma consequência que você precisa saber: se pedir uma cópia dos seus dados, quem consegue montá-la é o seu aparelho, não o nosso servidor. Por isso o botão de levar uma cópia fica dentro do app, em Seus dados.

Quando você escreve o nome de outra pessoa

Uma vez por semana a Cabana pergunta quem te fez bem. Se você responder com um nome, esse nome é de outra pessoa — e ela não escolheu estar aqui. Por isso ele recebe o tratamento mais restrito do aplicativo.

O nome fica cifrado no seu aparelho e não sobe para os nossos servidores em nenhuma hipótese, nem quando você cria uma conta. Nós não o temos, não o usamos para nada e não o cruzamos com coisa alguma. Ele existe para que a sua criatura possa te oferecer escrever uma carta para essa pessoa, e para mais nada.

Se você escrever a carta e escolher mandar, o aplicativo gera um link e abre o compartilhador do seu telefone — você decide se manda e por onde. A carta inteira viaja dentro do próprio link, na parte que os navegadores não enviam ao servidor: nós não recebemos, não guardamos e não conseguimos ler o que você escreveu nem para quem foi. Não existe do nosso lado uma lista de cartas ou de destinatários.

A consequência disso é honesta e precisa ser dita: como a carta não fica conosco, não há como apagá-la depois de mandada — quem recebeu o link tem a carta. É o mesmo que acontece com uma mensagem enviada por qualquer aplicativo.

Há uma exceção, e ela é sua escolha: se você convidar alguém para ser a sua madrinha, o e-mail dessa pessoa vai para o nosso servidor, porque é por ele que o convite sai. Ela recebe um e-mail dizendo quem convidou, pode aceitar ou recusar num toque, e pode sair depois — sair apaga o e-mail dela do nosso lado, na hora. Enquanto ela não aceita, o convite expira sozinho e o e-mail vai junto. Nada mais dela fica conosco: nem nome, nem o que você escreve, nem o que a sua criatura faz.

Se você apagar o nome no aplicativo, ele some do aparelho. Fora o e-mail de uma madrinha convidada, se a pessoa nomeada quiser saber o que temos sobre ela, a resposta é: nada — e [email protected] responde isso por escrito a quem perguntar.

Para que usamos

Para o app funcionar: mostrar a sua criatura, guardar as suas metas, lembrar o que você já escreveu, e devolver tudo isso quando você trocar de telefone.

Para nada mais. Não usamos o que você escreve para publicidade, não montamos perfil seu, não vendemos e não cedemos nada a ninguém para fins comerciais.

O app conta, de forma anônima, quantas vezes certas coisas acontecem — quantas vezes ele foi aberto, por exemplo — para sabermos o que precisa melhorar. Essa contagem não tem identificador nenhum, não tem hora e não tem uma letra do que você escreveu. Esses números vão para o nosso servidor, somados por dia, sem nada que diga quem é você — e você pode desligar a contagem quando quiser, em «Seus dados», dentro do app. Desligar para de contar — a ficha de quebra, abaixo, também — e apaga do aparelho o que ainda não subiu; o que já chegou ao servidor fica lá, somado por dia e sem nada que leve até você.

Quando o app quebra, sobe junto uma ficha técnica da quebra: o tipo do erro e os três primeiros lugares do nosso próprio código onde ele passou — algo como `StateError | tela_casa.dart:123`. É o que nos permite achar e consertar o defeito em vez de só saber que alguém fechou. Ela vai pelo mesmo caminho das contagens: somada por dia, sem nada que diga quem é você, e sem uma letra do que você escreveu — nem a mensagem do erro, que às vezes repete o texto que estava sendo lido, entra aí.

Com quem dividimos

Com quem opera a infraestrutura: o serviço que guarda o banco de dados da conta sincronizada, e o serviço que envia o e-mail de confirmação. Eles tratam o dado por nossa conta e não podem usá-lo para outra coisa.

Sobre o e-mail, um prazo que você precisa saber: quem envia guarda o registro do envio — o endereço de destino e o assunto, nunca o conteúdo da sua conta — por até 30 dias, e depois apaga sozinho. Esse registro não é apagado no instante em que você apaga a conta, porque o serviço não oferece essa exclusão; o que existe é esse prazo, correndo sempre. Vale igual para o e-mail de quem você convidou para ser sua madrinha: ele fica lá pelo mesmo tempo e some do mesmo jeito.

Com as lojas de aplicativos, quando você assina: quem processa o pagamento é a Google Play ou a Apple, e nós não recebemos nem guardamos o número do seu cartão.

Com quem confirma a assinatura para o app: o RevenueCat. Ele guarda um identificador da sua conta e o histórico da assinatura — nunca o seu e-mail nem o número do cartão — e, quando você apaga a conta, esse registro é apagado junto.

Mesmo sem conta, o app fala com o RevenueCat: ele recebe um identificador aleatório, criado neste aparelho, sem nome e sem e-mail — e, se você comprar, o registro da compra. O «Apagar tudo» tira esse identificador do aparelho, e um novo nasce no lugar. O registro antigo fica no RevenueCat, sem o seu nome e sem o seu e-mail, e nada no aparelho leva mais até ele — a não ser que você toque em «Já assinei antes» com a mesma conta da Google Play: aí a compra liga o identificador novo a ele. Se houve compra, o que leva até ele é o número do pedido, que está no recibo da Google Play: para pedir que esse registro seja apagado, escreva para [email protected] com esse número. Apagar — a conta ou tudo — não cancela uma assinatura: para cancelar, é na Google Play.

Com a Cloudflare, só se você ligar a busca na sua memória: o modelo que faz a busca é baixado de um endereço nosso (modelos.cabanapp.com), entregue pela rede da Cloudflare, uma empresa dos Estados Unidos. Nesse download ela recebe o endereço IP do seu aparelho, e nada do que você escreveu: a busca acontece dentro do aparelho.

Com autoridade pública, se houver ordem legal. Se isso acontecer e a lei permitir avisar, nós avisamos.

Os dados saem do Brasil

O servidor que guarda a conta sincronizada fica fora do Brasil. Isso é uma transferência internacional de dados, e ela só acontece se você criar uma conta e ligar a sincronização.

Quando você liga a sincronização, nós pedimos o seu consentimento especificamente para essa transferência, separado do consentimento de usar o app. Você pode recusar e continuar usando a Cabana inteira no seu aparelho.

Lembrando o que está acima: o conteúdo do que você escreve atravessa cifrado, e nós não temos a chave.

O mesmo vale para a busca na sua memória: se você ligar, o modelo vem de um endereço nosso entregue pela Cloudflare, uma empresa dos Estados Unidos, e o que atravessa nesse download é só o endereço IP do seu aparelho.

Por quanto tempo guardamos

Enquanto a sua conta existir. Você pode apagá-la a qualquer momento. Pelo app, o apagamento é completo: as linhas somem do banco, o registro da assinatura é apagado, o que está neste aparelho é apagado e a chave da sua cifra é revogada; a cópia de segurança do Android, na sua conta do Google, é trocada no backup seguinte, se o app continuar instalado. Por este site, somem as linhas do banco e o registro da assinatura; o que ficou no aparelho sai pelo app ou desinstalando-o, e a cópia de segurança do Android, pelos caminhos explicados acima.

Do pedido de apagar feito pelo app, o servidor guarda um recibo: o resumo de um código que o seu aparelho sorteou e a data. O identificador da sua conta fica nele só até o pedido terminar — em geral, segundos —, e o seu e-mail nunca entra. É pelo recibo que o app fica sabendo, se a resposta do pedido se perder no caminho, se a conta foi apagada.

Se a conta ficar dois anos sem nenhum acesso, nós a apagamos e avisamos por e-mail antes.

O que estiver no seu aparelho sai quando você desinstalar o app, ou por Seus dados dentro dele; a cópia de segurança do Android, não: ela fica na sua conta do Google até sair por um dos caminhos explicados acima.

Os seus direitos

A lei brasileira te dá o direito de confirmar que existe tratamento, acessar os dados, corrigir o que estiver errado, pedir cópia, pedir a eliminação, saber com quem compartilhamos, e revogar o consentimento.

Você exerce todos eles dentro do app, em Seus dados, ou escrevendo para [email protected]. Nós respondemos em até 15 dias.

Revogar o consentimento da sincronização não apaga o app: ele volta a funcionar só no seu aparelho, como no começo.

Idade

A Cabana é para pessoas de 14 anos ou mais, e o app avisa isso antes de começar.

Criar uma conta segue a idade de consentimento do lugar onde você mora. Na União Europeia e no Espaço Econômico Europeu ela é de 16 anos hoje, e o app diz isso antes de pedir qualquer dado. O app inteiro continua sendo para 14 anos ou mais: a idade da conta não muda a do produto.

Se você tem entre 14 e 18, os seus dados têm proteção reforçada por lei, e a nossa regra é a mesma que a lei manda: coletar o mínimo, no seu melhor interesse, e nunca condicionar o uso do app a fornecer mais dado do que o necessário. É por isso que o app inteiro funciona sem conta.

Nós não temos nenhuma camada social com estranhos, nenhum ranking, nenhuma comparação com outras pessoas e nenhum anúncio.

Segurança

O que você escreve é cifrado no aparelho antes de ser guardado, e continua cifrado se subir para o servidor. A chave fica no cofre do sistema operacional do seu telefone.

O acesso ao banco é limitado por conta: uma conta não alcança a linha de outra.

Se acontecer um incidente de segurança que possa te trazer risco, nós avisamos você e a Agência Nacional de Proteção de Dados.

A Cabana não é um serviço de saúde

A Cabana não é um dispositivo médico e não diagnostica, trata, cura nem previne nenhuma condição médica. Nada aqui substitui profissional de saúde — se você precisa de ajuda, procure um, e o app tem uma porta para linhas de apoio, sempre visível.

O que o app faz é guardar o que você escreve e mostrar de volta para você. Ele não lê o seu diário, não interpreta o que você sentiu e não faz nenhuma avaliação sobre você.

Se esta política mudar

Mudança que altere a finalidade do tratamento é avisada dentro do app, antes de valer, e você pode recusar.

Esta versão é de 2026-11-12.

Falar com a gente

[email protected] — para qualquer pedido sobre os seus dados, e para qualquer dúvida sobre esta política.

ALC Intermediação e Representação Ltda. · CNPJ 66.279.691/0001-12 · Brasília/DF, Brasil.