Política de privacidade — Food Moments

Data de entrada em vigor: 19 de setembro de 2026. Esta política está disponível em inglês, alemão, neerlandês, espanhol, francês e português; a versão inglesa é a vinculativa.

O Food Moments estima o valor nutricional das suas refeições a partir de fotografias e das suas próprias palavras. A aplicação foi construída para que os seus dados continuem a ser seus: sem publicidade, sem rastreio e sem nome — a sua conta não é mais do que o seu endereço de e-mail. Tudo o que regista é guardado nessa conta, nos nossos próprios servidores na União Europeia, com os dias recentes no seu iPhone; é isso que permite a um iPhone novo recuperar tudo, e vem com dois botões que mantêm os dados seus também na prática: um descarrega tudo, o outro apaga tudo. O que é enviado para onde — e o único fluxo que pode sair da UE — é descrito com precisão abaixo; a análise por IA e o ditado só começam depois de ter dado o seu consentimento na aplicação, e só olhamos para as suas refeições propriamente ditas se nos convidar a fazê-lo (§11).

1. Quem é o responsável

O responsável pelo tratamento é a Smart Backoffice Solutions B.V., Saal van Zwanenbergweg 11, 5026 RM Tilburg, Países Baixos, inscrita no registo comercial neerlandês (KvK) com o número 90141482. Contacto: info@smart-backoffice.nl.

2. O que a aplicação trata, e onde fica

Guardado na sua conta, nos nossos servidores na União Europeia:

Este armazenamento corre na Microsoft Azure na Europa Ocidental (§4). O seu iPhone mantém à mão aproximadamente as duas últimas semanas e vai buscar os dias mais antigos quando volta a eles; iniciar sessão num iPhone novo restaura tudo. Eliminar a aplicação, por isso, já não elimina os seus dados — eliminar a sua conta sim, por completo e na própria aplicação (§6, §8).

A sua conta é deliberadamente mínima: o seu endereço de e-mail, e nada mais — sem nome, sem palavra-passe. Inicia sessão com um código de seis dígitos de utilização única que lhe enviamos por e-mail; cada iPhone em que inicia sessão recebe a sua própria sessão, que acaba quando termina sessão. Base jurídica da conta e do armazenamento dos seus dados de refeições nela: a execução do nosso contrato consigo (art. 6.º, n.º 1, al. b) do RGPD) — este armazenamento é o serviço — e, como as refeições podem dizer algo sobre a sua saúde, o seu consentimento explícito, que dá ao criar a conta (art. 9.º, n.º 2, al. a) do RGPD). Eliminar a conta retira-o.

Apple Health, se ativar «Obter dados de atividade do Apple Health»: a aplicação lê a sua energia em repouso e ativa neste iPhone para definir o objetivo de energia do dia. As medições ficam no Apple Health — nunca são enviadas ao modelo de IA, nunca usadas para publicidade, e a aplicação nunca escreve no Health. O que a sua conta guarda é o resultado: o objetivo de energia de cada dia, juntamente com o total de calorias gastas a partir do qual foi calculado — guardado com os seus objetivos diários, para que um dia passado mantenha o seu verdadeiro objetivo num iPhone novo.

Operamos ainda um gateway por onde passa cada pedido de análise e de ditado, descrito no §3. Não guarda nada do conteúdo das suas refeições — fotografias, notas e gravações atravessam-no e desaparecem assim que a resposta regressa. O que guarda, sim, são um identificador técnico do seu dispositivo e um registo de cada pedido para efeitos de utilização razoável, ambos explicados no §3.

Enviado para a análise de uma refeição (apenas com o seu consentimento, ver §3):

Enviado quando dita uma nota (apenas com o seu consentimento, ver §3):

Guardado apenas no seu iPhone, enquanto algo está por terminar:

Ambas ficam no armazenamento privado da aplicação no seu iPhone, protegidas pela encriptação do iOS e excluídas das cópias de segurança do iPhone; nenhuma é alguma vez carregada para a sua conta.

Enviado quando digitaliza um código de barras ou este é encontrado numa fotografia:

Enviado automaticamente se a aplicação bloquear, encravar ou usar demasiado processador ou armazenamento:

Analisado para que a aplicação funcione melhor — detalhes técnicos, nunca o que comeu:

Partilhado por si, diretamente do seu iPhone para outro (nada passa por nós):

3. Análise de refeições por IA — o seu consentimento

Para calcular uma estimativa, a aplicação envia os dados acima indicados para um modelo de IA (OpenAI GPT) em execução em servidores Microsoft Azure na União Europeia, na nossa própria implementação. O que a aplicação envia é usado para calcular a sua estimativa nutricional — e, apenas se tiver ativado «Ajude a melhorar o Food Moments», para melhorar a aplicação como descreve o §11. Não é usado para treinar modelos de IA. A sua conta não tem nome, e o modelo de IA não vê nada dela: o que chega ao modelo é a refeição, não quem você é.

Cada pedido passa primeiro pelo nosso próprio gateway. É um pequeno servidor que operamos na Microsoft Azure na União Europeia. Existe para que as credenciais do serviço de IA não estejam dentro da aplicação, onde qualquer pessoa as poderia extrair do ficheiro descarregado e gerar custos por nossa conta. O gateway verifica se um pedido vem realmente de uma cópia não modificada do Food Moments num dispositivo Apple genuíno — através do App Attest da Apple — e se pertence a uma conta com sessão iniciada, para que os limites de utilização razoável sejam contados por conta e não por telefone, e encaminha-o. Numa análise, insere no pedido as suas fotografias a partir do armazenamento da sua conta; de resto, não lê o que envia e não guarda qualquer cópia. Para a utilização razoável e o controlo de custos, regista, por conta, uma linha por cada pedido: quando, de que tipo, que modelo, quanto tempo demorou, quantos dados e quanta capacidade de cálculo usou, a que refeição dizia respeito e se foi bem-sucedido. As suas fotografias, notas e gravações nunca aparecem nestes registos nem nos seus logs, e os registos são eliminados com a sua conta.

Para essa verificação, o seu iPhone cria uma chave criptográfica que nunca sai do dispositivo, e o gateway guarda o identificador dessa chave juntamente com um contador que impede que um pedido intercetado seja repetido. Esse identificador é um valor aleatório criado por esta instalação da aplicação: não contém nome, endereço de e-mail nem número de série do dispositivo. Enquanto tiver sessão iniciada, os nossos registos associam-no à sessão da sua conta, pelo que o tratamos como dado pessoal. É criado na primeira vez que a aplicação comunica com o nosso servidor — quando inicia sessão — e eliminar a aplicação torna-o inútil. Base jurídica deste único dado técnico: o nosso interesse legítimo em proteger o serviço contra abusos (art. 6.º, n.º 1, al. f) do RGPD).

A aplicação pede o seu consentimento explícito antes da primeira análise (base jurídica: art. 6.º, n.º 1, al. a) do RGPD, e art. 9.º, n.º 2, al. a) do RGPD, porque as refeições podem dizer algo sobre a sua saúde). Pode retirar o consentimento a qualquer momento em Definições → Privacidade; a análise fica então desativada até voltar a aceitar, e o resto da aplicação continua a funcionar.

O ditado tem o seu próprio consentimento, com uma diferença que vale a pena ler. Uma nota falada é transformada em texto por um modelo de voz, também na nossa própria implementação Microsoft Azure — mas essa implementação é do tipo Global Standard, porque o modelo de voz que a aplicação usa não é oferecido como implementação fixada à UE. A Microsoft encaminha cada pedido para o centro de dados que tiver capacidade, que pode estar fora da União Europeia, incluindo nos Estados Unidos. O ditado é, assim, a única parte do Food Moments cujos dados podem sair da UE; o §5 descreve as garantias aplicáveis. A aplicação pergunta antes do seu primeiro ditado (igualmente art. 6.º, n.º 1, al. a) do RGPD) e pode retirar esse consentimento no mesmo local; o ditado fica então desativado e uma nota pode sempre ser escrita — uma nota que apenas escreve, sem ditar nela, permanece dentro da União Europeia, na sua conta como tudo o resto.

As fotografias de refeições e as notas podem revelar incidentalmente algo sobre si — uma dieta, uma alergia, uma prática de jejum. Minimizamos isso enviando apenas a refeição em análise, mantendo os resultados na sua própria conta, onde só você lhes acede, e não guardando nada disso no nosso gateway.

4. Prestadores de serviços

Não partilhamos dados com mais ninguém. Não vendemos dados. A aplicação não contém SDK de análise nem de publicidade. Esta política abrange a aplicação; o site smart-backoffice.nl tem a sua própria declaração de privacidade e só usa o Google Analytics depois de aceitar o respetivo aviso de cookies.

5. Transferências internacionais

A análise de refeições está fixada na EU Data Zone do Azure e é tratada na União Europeia. O gateway por onde passa (§3), o armazenamento por trás da sua conta (§2) e o serviço que envia os e-mails com códigos de acesso e ligações de exportação (§4) encontram-se também na União Europeia, pelo que nada disso acrescenta uma transferência.

O ditado não. A sua implementação de voz é global, pelo que o áudio de um ditado — e as últimas frases da nota até esse momento, escritas ou ditadas, enviadas com ele para que palavras e nomes se mantenham coerentes — pode ser tratado fora do EEE, incluindo nos Estados Unidos. Essa transferência está coberta pelas cláusulas contratuais-tipo da UE do Data Protection Addendum da Microsoft, a par das medidas complementares da Microsoft: cifragem em trânsito e em repouso, nenhuma utilização dos dados para treinar modelos e nenhuma conservação para além do controlo de abusos transitório descrito no §4. A Microsoft participa ainda no Quadro de Privacidade de Dados UE-EUA, para o qual a Comissão Europeia adotou uma decisão de adequação em 10 de julho de 2023. Nada que o identifique acompanha uma gravação, e as suas refeições, fotografias e histórico nunca fazem parte de um pedido de ditado.

Se preferir que nada seu saia da UE, escreva as suas notas e não dite: a aplicação é plenamente utilizável sem ditado, e o consentimento de ditado pode ser retirado a qualquer momento em Definições → Privacidade.

Na medida em que a Microsoft, enquanto empresa global, possa em casos excecionais tratar dados de suporte ou telemetria fora do EEE, aplicam-se como garantias os compromissos do EU Data Boundary da Microsoft e as mesmas cláusulas contratuais-tipo.

6. Conservação

Os dados da sua conta são conservados até que os elimine — é para isso que serve uma conta. Uma refeição individual elimina-se deslizando-a, nos nossos servidores tal como no telefone; Definições → Conta → Eliminar conta apaga de uma vez tudo o que temos — refeições, fotografias, perfil, sessões e qualquer ficheiro de exportação ainda à espera. Eliminar a aplicação já não apaga nada: inicie sessão de novo e está tudo de volta; elimine a conta quando quiser que tudo desapareça.

Tudo o que rodeia a conta é efémero. Um código de acesso funciona uma vez e expira ao fim de cerca de dez minutos. O zip de Descarregar todos os meus dados é eliminado do nosso servidor alguns dias depois de ter sido criado (a ligação de descarga deixa de funcionar ao fim de 24 horas) e, como qualquer ficheiro eliminado, continua depois recuperável na nossa cópia de segurança durante até 35 dias. O que envia para uma análise ou um ditado não é guardado no nosso gateway — é encaminhado e depois desaparece — e a conservação transitória da Microsoft está descrita no §4.

No seu iPhone, uma refeição ou uma correção por terminar e uma gravação de ditado que ainda aguarda o seu texto são conservadas apenas pelo tempo descrito no §2: até as terminar ou cancelar, ou até o texto chegar — e nunca para além de terminar sessão ou eliminar a sua conta.

O identificador de dispositivo descrito no §3 é conservado porque é contra ele que um pedido é verificado; ainda não é eliminado automaticamente quando uma instalação deixa de usar o serviço, pelo que o eliminamos a pedido — escreva para o endereço do §1 indicando que pretende remover o registo do seu dispositivo. A associação à sua conta termina quando termina sessão ou elimina a conta. Não nos diz nada sobre o que come.

Os registos de utilização razoável do §3 — a linha por pedido e as contagens por semana e por mês — são conservados com a sua conta e eliminados com ela.

Os diagnósticos de falhas (§2) são conservados durante 90 dias e depois eliminados automaticamente — tempo suficiente para detetar e corrigir um problema, não um registo permanente.

Ajude a melhorar o Food Moments (§11) não acrescenta armazenamento próprio: as suas refeições ficam na sua conta. Uma cópia de trabalho feita para uma comparação é eliminada quando a comparação termina e, em qualquer caso, no prazo de 30 dias após desativar a opção.

Mantemos cópias de segurança. A sua conta é a única cópia completa das suas refeições — no iPhone ficam apenas os dias recentes —, por isso fazemos cópias de segurança dela. As fotografias e os ficheiros podem ser repostos para qualquer momento dos últimos 30 dias, e o resto da sua conta é escrito todas as noites num ficheiro datado, conservado igualmente 30 dias. Um ficheiro que tenha sido eliminado — uma fotografia, ou um ficheiro noturno que saiu desse prazo — continua recuperável durante até mais 35 dias antes de desaparecer definitivamente. Tudo isto permanece, com os restantes dados, na União Europeia e não é usado para mais nada. Uma consequência, dita com clareza: eliminar a sua conta apaga de imediato tudo o que temos em serviço, mas o que subsistir nessas cópias de segurança desaparece à medida que sai desses prazos — as fotografias em cerca de cinco semanas, as cópias noturnas da sua conta no máximo em 66 dias — e não no mesmo instante.

7. Segurança

Tudo o que é enviado sai do seu dispositivo por ligações encriptadas (TLS), e no dispositivo os seus dados estão protegidos pela encriptação integrada do iOS e pelo seu código de desbloqueio. Os dados da sua conta vivem agora também nos nossos servidores, por isso são protegidos lá, em vez de o serem por não existirem: estão guardados na Microsoft Azure na União Europeia e encriptados em repouso; só podem ser alcançados através da própria aplicação, porque cada pedido tem de provar — através do App Attest da Apple (§3) — que vem de uma cópia não modificada do Food Moments e transportar uma sessão válida da sua conta; as sessões são por dispositivo e terminam quando termina sessão; e o servidor guarda os tokens de sessão apenas como hashes, pelo que uma cópia roubada dos nossos registos não permitiria a ninguém iniciar sessão como você. Não há palavras-passe para roubar: um código de acesso chega por e-mail, funciona uma vez e morre ao fim de minutos.

8. Os seus direitos

Ao abrigo do RGPD, tem direito de acesso, retificação, apagamento, limitação, portabilidade e oposição, e o direito de retirar o consentimento a qualquer momento sem afetar a licitude do tratamento anterior à retirada. A aplicação foi construída para que os exerça diretamente, sem escrever a ninguém:

Para tudo o resto, ou em caso de dúvidas, escreva para info@smart-backoffice.nl — respondemos no prazo de um mês. Tem ainda o direito de apresentar reclamação junto de uma autoridade de controlo; nos Países Baixos é a Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl), em Portugal a CNPD (cnpd.pt) — pode dirigir-se à autoridade do seu próprio país.

9. Crianças

O Food Moments não se destina a crianças, e não tratamos conscientemente dados de crianças. Se acredita que uma criança criou uma conta, escreva para o endereço do §1 e nós eliminá-la-emos.

10. Alterações

Se os fluxos de dados da aplicação mudarem, esta política é atualizada antes de a alteração ser lançada, com a data de entrada em vigor acima.

Todas as alterações são publicadas na página de suporte. As pequenas — redação, gramática, uma gralha, um esclarecimento que não altera o que acontece aos seus dados — são anunciadas aí e em mais lado nenhum.

Uma alteração com implicações substanciais para os seus dados é anunciada também na aplicação, antes de produzir efeitos. E um fluxo de dados verdadeiramente novo que trate o que fotografa, escreve ou diz — como fazem a análise e o ditado — exige mais do que um anúncio: só começa depois de o ter aceitado. Um novo sinal técnico sobre a própria aplicação, como os diagnósticos de falhas do §2, não muda nada na forma como as suas refeições ou a sua conta são tratadas; é comunicado em vez de sujeito à sua aceitação, tal como já acontece com o identificador de dispositivo do §3.

11. Ajudar a melhorar o Food Moments — só se o ativar

O Food Moments melhora ao ver onde as suas estimativas falham, e a quantidade no prato é onde falham mais. Em Definições → Ajude a melhorar o Food Moments existe um interruptor que nos permite usar as suas refeições exatamente para isso. Fica desativado a menos que o ative.

O que autoriza quando o ativa. Nós — as pessoas da Smart Backoffice Solutions B.V. que fazem o Food Moments, e mais ninguém — podemos ver as refeições na sua conta: as fotografias, as suas notas e correções, as estimativas e o respetivo histórico, e as medições de tamanho que acompanham as fotografias. Usamo-las para uma única finalidade: descobrir onde e porquê as estimativas da aplicação falham, e verificar se uma alteração à aplicação as melhora. Para verificar uma alteração, podemos voltar a submeter uma refeição à análise com as instruções melhoradas, na mesma implementação Microsoft Azure na União Europeia que analisa as suas refeições (§4); a resposta é comparada com a original e nunca altera a refeição na sua cronologia. As refeições podem dizer algo sobre a sua saúde — uma dieta, uma alergia, quanto come —, por isso isto exige o seu consentimento explícito (art. 9.º, n.º 2, al. a) e art. 6.º, n.º 1, al. a) do RGPD). O interruptor é esse consentimento: a sua legenda diz com o que concorda, ativá-lo é concordar, e a aplicação mostra a data em que o fez.

O que nunca autoriza. As suas refeições não são usadas para treinar modelos de IA, nem os nossos nem os de ninguém. Não são partilhadas com ninguém, não são vendidas, não são publicadas e não são usadas para publicidade. O que aprendemos é conservado como conclusões gerais e totais («a primeira estimativa desviava-se em média 15 %») que não apontam para si. Ninguém o contactará por causa disso.

Onde ficam as suas refeições. Na sua conta, na União Europeia, como até aqui. Quando uma comparação precisa de uma cópia de trabalho — uma fotografia ao lado da sua estimativa antiga e da nova —, essa cópia é guardada apenas nos nossos próprios computadores encriptados, enquanto a comparação decorrer, e eliminada depois.

Desativá-lo. Pode desativá-lo no mesmo local a qualquer momento, tão facilmente como o ativou; os seus outros iPhones acompanham a alteração em poucos minutos. A partir daí deixamos de ver as suas refeições e eliminamos sem demora qualquer cópia de trabalho delas, no máximo no prazo de 30 dias. A retirada não anula o que foi feito antes dela (art. 7.º, n.º 3 do RGPD), e as conclusões gerais que já não apontam para si mantêm-se. Nada mais na aplicação muda, num caso ou no outro. Eliminar a sua conta também o desativa, e iniciar sessão com outra conta começa com ele desativado.