Política de Privacidade

Parte (a) — Política de Privacidade

1. Quem somos (identificação do controlador) — Art. 9º, III

O controlador dos dados é Fernando Lisboa, pessoa física responsável pelo aplicativo Refogando (https://www.refogando.com).

Como o Refogando é operado por pessoa física, não há razão social nem CNPJ associados; o contato oficial é o e-mail de privacidade indicado abaixo.

2. Contato do controlador — Art. 9º, IV; Art. 41

• Canal de privacidade e exercício de direitos: privacidade@refogando.com, atendido pelo próprio controlador.
• O Refogando é agente de tratamento de pequeno porte e, como permite a Resolução CD/ANPD nº 2/2022 (art. 11), não indicou encarregado (DPO); este canal cumpre essa função.
• Prazo de resposta: respondemos a pedidos dos titulares em até 15 dias corridos (LGPD, Art. 19, II).

3. Para que usamos seus dados (finalidade específica) — Art. 9º, I; Art. 6º, I

Tratamos dados pessoais apenas para finalidades específicas e informadas. Cada atividade segue o padrão Dados / Finalidade / Base legal / Retenção.

A exportação (Editar perfil → Seus dados) traz o que os itens 3.1 a 3.6 descrevem ligado à sua conta, menos as credenciais (o hash da senha e os tokens do login com o Google, que não saem por segurança) e a lista de quem segue você (vai só a contagem, porque seguir é escolha de outra pessoa). A Descoberta na web está detalhada na Parte (b).

3.1. Conta de usuário e autenticação

Dados

e-mail, nome/identificador de exibição (handle), senha (guardada só como hash), foto de perfil, biografia, links, idioma preferido e nível de habilidade padrão; e se você quer o seu nome nas cópias que outras pessoas publicam das suas receitas. Se você entra com o Google, recebemos do Google o seu nome, e-mail e foto, e guardamos os tokens desse login.

Finalidade

criar e manter sua conta, autenticar o acesso e permitir o uso do app. O seu nome, o @, a foto, a bio e os links ficam numa página pública (/u/seu-@), que qualquer pessoa vê, mesmo sem conta, e que buscadores podem indexar; ali aparecem também quem você segue e quem segue você. O seu nome e o @ aparecem ainda nas receitas que você publica, nas avaliações que escreve, na busca de cozinheiros e nas notificações que outras pessoas recebem quando você as segue ou avalia uma receita delas. Quando alguém publica uma cópia de uma receita sua ("Criar minha versão" ou "Clonar"), a página dela mostra "Baseada na receita … de @você", com link para a sua, enquanto a sua estiver publicada (é o seu direito de autor de ter o nome indicado, Lei 9.610/98, art. 24, II); você pode desligar isso em Editar perfil ou retirar o seu nome de uma cópia na página dela. E-mail, restrições alimentares e conteúdo privado nunca aparecem.

Base legal

execução de contrato com o titular (os Termos de Uso) — Art. 7º, V da LGPD.

Retenção

enquanto a conta existir. Se você eliminar a conta, anonimizamos na hora os dados de identificação e apagamos a senha, o login do Google e todas as sessões. Um cadastro com e-mail e senha que não é confirmado é apagado depois de 48 horas; para barrar reenvios abusivos, guardamos por 90 dias só um código derivado do e-mail, que não permite recuperá-lo.

3.2. Conteúdo criado no app (receitas, coleções, avaliações, Cardápio, listas de compras e Despensa)

Dados

receitas que você cria, salva, avalia e organiza; as fotos que você envia (removemos no envio os metadados, como a localização); conteúdo textual que você escreve; o seu Cardápio (as refeições planejadas por dia, com as porções e as anotações livres que você escreve, como "jantar fora"); as suas listas de compras (nome da lista e itens, com quantidade, unidade, receita de origem e a marcação de comprado); e a sua Despensa (os nomes dos itens que você diz ter em casa e, se você a editar, a sua lista de básicos).

Finalidade

entregar a funcionalidade do app (guardar e exibir seu conteúdo, montar coleções, feed e busca, planejar refeições, montar listas de compras e mostrar o que dá pra fazer com o que você tem em casa). Para a busca, o título, a descrição e os ingredientes de cada receita, inclusive das privadas, vão ao Google (Gemini), que devolve um vetor de busca; para traduzir, a receita vai à Anthropic.

Base legal

execução de contrato — Art. 7º, V.

Retenção

enquanto a conta existir ou até você apagar o conteúdo. Se você eliminar a conta, apagamos na hora tudo o que é só seu: receitas privadas, salvos, coleções, listas de compras, Cardápio, Despensa, quem você segue e quem segue você, e as notificações. As receitas que você publicou e as avaliações que escreveu ficam no Refogando sem o seu nome, porque outras pessoas salvaram, avaliaram ou planejaram com elas; as fotos das avaliações são apagadas 180 dias depois. Se quiser que uma receita pública suma, apague-a antes de eliminar a conta.

3.3. Criação com IA, imagens e tradução

Dados

o que você pede à IA: o texto livre, o formulário de criação (com as restrições marcadas no pedido) e a conversa; os pedidos e refinos de imagem e, quando você pede para editar uma foto, a própria foto; o pedido à Sugestão de cardápio (refeições, porções e uma nota livre opcional), enviado com o título e a classificação das receitas candidatas e não guardado por nós; os registros de uso (data e, quando houver, modelo, tokens e custo, sem o conteúdo); e os ingredientes escritos à mão que não estão no vocabulário: os que se repetem entram, sem o seu nome, numa lista para a curadoria ampliar o vocabulário; e as cozinhas novas que você escreve em "Outra", que entram, sem o seu nome, numa fila da curadoria e, se aprovadas, viram opção para todos.

Finalidade

gerar receitas e imagens de pratos, escolher o cenário da foto, traduzir receitas entre português e inglês, extrair ingredientes de um texto, sugerir um cardápio com receitas existentes, revisar imagens geradas com um pedido de estilo ou editadas por IA quando viram a foto de uma receita publicada, ampliar o vocabulário de ingredientes e de cozinhas e controlar limites de uso e custo.

Base legal

execução de contrato — Art. 7º, V; e legítimo interesse para prevenção de abuso/controle de custo, para a revisão das imagens pela curadoria e para ampliar o vocabulário — Art. 7º, IX.

Retenção

os pedidos de texto e as conversas ficam enquanto a conta existir (você pode apagar a conversa de cada criação) e são apagados se você eliminar a conta; os pedidos de imagem não são guardados, só a imagem gerada. Uma sugestão de cardápio só é guardada como refeição planejada se você a aceitar. Os registros de uso são apagados depois de 24 meses (os de extração de ingredientes, depois de 30 dias); se você eliminar a conta antes, eles ficam até lá sem nada que identifique você.

3.4. Atribuição de receitas importadas da web ("Descoberta na web")

Detalhada na Parte (b). Em resumo: guardamos nome do autor/site e URL de origem, só para dar crédito. Base legal: legítimo interesse — Art. 7º, IX —, com o teste de balanceamento documentado (o fato de o próprio autor ter publicado o nome pesa a favor).

3.5. Restrições alimentares salvas

Dados

as Restrições alimentares que você salva no perfil (ex.: vegana, sem glúten, sem frutos do mar), escolhidas de uma lista fixa — sem texto livre. É dado pessoal sensível (Art. 5º, II da LGPD): pode revelar saúde ou convicção religiosa. Só você vê: não aparece no perfil público. Junto delas guardamos a data e a versão do texto com que você consentiu, como prova do consentimento (Art. 8º, §2º).

Finalidade

uma só: pré-marcar os seus próprios pedidos — criação de receita, Sugestão de cardápio e busca —, sempre com aviso e mudáveis em cada pedido. Elas só vão ao provedor de IA (Anthropic, nos Estados Unidos) dentro de um pedido em que você as mantém marcadas.

Base legal

consentimento específico e destacado — Art. 11, I —, dado ao salvar (o texto fica junto do botão e informa que o app funciona no Brasil e a IA, nos Estados Unidos, Art. 33, VIII) e revogável a qualquer momento desmarcando todas e salvando.

Retenção

até você desmarcá-las ou excluir a conta (a data e a versão do consentimento saem junto); entram na exportação dos seus dados e são apagadas na exclusão da conta.

3.6. Segurança da conta e prevenção de abuso

Dados

o endereço IP e o navegador (user agent) de cada sessão de login; o IP nos limites de tentativas das rotas de conta (como login, cadastro e senha), apagado em até 2 horas após a última tentativa, e, só na memória, para limitar o ritmo do formulário de Seus direitos e da Descoberta; as denúncias que você faz sobre receitas ou avaliações; as decisões de moderação sobre o seu conteúdo ou a sua conta (por exemplo, uma imagem escondida do público ou o bloqueio da geração de imagens), com o motivo; e, se a equipe encerrar a sua conta (conta de alguém com menos de 16 anos ou violação grave dos Termos de Uso), um registro dessa decisão: o motivo, de uma lista fechada, a data, se as suas receitas públicas e avaliações foram removidas e se tentamos avisar você por e-mail.

Finalidade

proteger a sua conta, impedir abuso e uso excessivo de recursos pagos e moderar o conteúdo público.

Base legal

legítimo interesse — Art. 7º, IX (com avaliação de legítimo interesse registrada); para o registro do encerramento da conta, exercício regular de direitos — Art. 7º, VI.

Retenção

a sessão vale 7 dias, renovados com o uso, e é apagada em até 1 dia depois de vencer, com o IP e o navegador; o IP dos limites de tentativas, em até 2 horas após a última tentativa; as denúncias ficam enquanto o conteúdo denunciado existir; as decisões de moderação, enquanto a conta ou o conteúdo existir (se você eliminar a conta, ficam sem nada que identifique você); o registro do encerramento da conta pela equipe, por 5 anos, para a nossa defesa num eventual processo, ligado só à conta já anonimizada e sem nenhum outro dado seu.

3.7. Registros técnicos

Dados

quando algo dá errado, registramos o formato da página (sem o endereço completo nem o que foi buscado), o método, o tipo de erro e um código técnico; se o erro aconteceu no seu navegador, também uma mensagem curta, de até 160 caracteres, em que e-mails, nomes de usuário, identificadores, endereços, tokens e números longos são mascarados. O navegador envia esse relato sem cookies; o IP de quem envia é usado só na memória, para limitar o número de relatos, e não é gravado. As linhas que nós escrevemos não trazem IP, cookies, identificador da sua conta nem o conteúdo das suas receitas. Num erro inesperado do servidor, a plataforma (Next.js) grava também a mensagem técnica e o rastro do erro, que em casos raros pode trazer um trecho do dado que estava sendo processado. A Vercel, que hospeda o app, registra por conta própria o IP, o navegador e o endereço de cada página pedida (que pode trazer o termo de uma busca).

Finalidade

descobrir e corrigir erros e manter o app seguro.

Base legal

legítimo interesse — Art. 7º, IX.

Retenção

não vão para o nosso banco de dados: ficam nos registros da Vercel por até 30 dias e são apagados por ela.

3.8. Pedidos de titulares (formulário de Seus direitos)

Dados

o tipo de pedido, o link ou o nome que você informa, a sua mensagem, o idioma e, se você quiser, um e-mail para resposta; e um registro de auditoria de cada pedido (datas, tipo, o canal, o motivo de uma recusa e, quando algo é removido, só um código que comprova a remoção, nunca o dado em si).

Finalidade

atender o seu pedido e comprovar que o atendemos.

Base legal

cumprimento de obrigação legal — Art. 7º, II (Arts. 18 e 19) — e, para o registro de auditoria e a guarda dos e-mails como prova, exercício regular de direitos — Art. 7º, VI.

Retenção

o pedido é apagado 12 meses depois de encerrado; o registro de auditoria, depois de 5 anos; os e-mails trocados pelo canal de privacidade ficam guardados por até 5 anos, como prova do atendimento.

3.9. Busca

Dados

o termo que você digita na busca, com ou sem conta.

Finalidade

encontrar receitas: o termo é transformado num vetor de busca pelo Google (Gemini) e, se você está conectado e a Descoberta na web está ativa, enviado à Brave restrito aos sites aprovados.

Base legal

execução de contrato para quem tem conta; legítimo interesse — Art. 7º, IX — para visitantes.

Retenção

não guardamos o termo (ver 3.7 sobre os registros da hospedagem).

4. Como e por quanto tempo tratamos (forma e duração) — Art. 9º, II

• Como: os dados são tratados por meios eletrônicos, em servidores de prestadores de serviço contratados (item 5). Aplicamos medidas de segurança compatíveis (Art. 46): acesso só com autenticação, senhas guardadas como hash, conexões sempre cifradas (HTTPS), remoção dos metadados das fotos enviadas e cada conteúdo privado aparece só para o dono, com uma exceção: os ingredientes fora do vocabulário que se repetem e as cozinhas novas que você escreve em "Outra" chegam à curadoria sem o seu nome (item 3.3). Quando a foto de uma receita publicada é uma imagem gerada com um pedido de estilo seu ou editada por IA, ela entra numa fila de revisão da curadoria, que vê a imagem, o título da receita, o seu nome e o seu @; as outras imagens da galeria e as de receitas privadas ficam fora da fila. As imagens ficam em endereços públicos que não são listados nem fáceis de adivinhar.
• Por quanto tempo: mantemos cada dado apenas pelo tempo necessário à finalidade que o justifica ou por obrigação legal. Ao encerrar a finalidade, eliminamos ou anonimizamos os dados (Arts. 15, 16 e 12). Os prazos de cada tratamento estão no item 3. Fazemos uma cópia de segurança do banco por semana e guardamos as três mais recentes: o que é apagado ou anonimizado sai delas em até 4 semanas. Cópias temporárias do banco usadas para testar mudanças são apagadas quando o teste termina.

5. Com quem compartilhamos (uso compartilhado) — Art. 9º, V

Não vendemos dados pessoais. Compartilhamos dados só com os prestadores abaixo, estritamente para operar o app. Quase todos são operadores (tratam dados em nosso nome, sob contrato); no login com o Google, o Google é um provedor independente da sua conta Google (item 6):

Finalidade do compartilhamento: exclusivamente a operação técnica das funções acima; nenhum parceiro recebe dados para finalidade própria de marketing. Se você usa o login do Google, a sua foto do Google é carregada dos servidores do Google, que recebem o IP de quem vê a sua foto no Refogando (perfil, busca e lista de cozinheiros, listas de seguidores e notificações).

Transferência internacional: as funções do app rodam na Vercel em São Paulo, onde ficam também o banco de dados (Neon) e as imagens; a Vercel e a Neon são empresas dos Estados Unidos, e o suporte e os registros técnicos delas (item 3.7) podem ser tratados lá. Anthropic, Google, Brave e Resend processam nos Estados Unidos, e a caixa de e-mail fica na Suíça (Proton). Usamos o Art. 33, IX da LGPD: a transferência é necessária para executar o serviço que você pede (Art. 7º, V) ou para atender pedidos de titulares (Art. 7º, II). Com o Google (Gemini), valem também as cláusulas-padrão contratuais da ANPD que o Google incorpora ao contrato (Art. 33, II, "b"). As restrições alimentares salvas só vão aos Estados Unidos, para a IA, com o seu consentimento específico (Art. 33, VIII). Nenhum prestador de IA pode usar o seu conteúdo para treinar modelos.

6. Responsabilidades dos agentes de tratamento — Art. 9º, VI; Arts. 37–39

• Fernando Lisboa atua como controlador e é responsável pelas decisões sobre o tratamento.
• Os prestadores do item 5 atuam como operadores, tratando dados conforme nossas instruções e sob contrato; no login com o Google, o Google atua como provedor independente da sua conta Google.
• Mantemos registro das operações de tratamento (Art. 37) e adotamos medidas de segurança (Art. 46). Em caso de incidente de segurança com risco relevante, comunicamos a ANPD e os titulares (Art. 48).

7. Seus direitos (direitos do titular) — Art. 9º, VII; Art. 18

Você, titular dos dados, tem os direitos garantidos pelo Art. 18 da LGPD, mediante requisição, entre eles:

1. Confirmação da existência de tratamento;
2. Acesso aos dados;
3. Correção de dados incompletos, inexatos ou desatualizados;
4. Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
5. Portabilidade a outro fornecedor, mediante requisição;
6. Eliminação dos dados tratados com consentimento (ressalvadas as hipóteses do Art. 16);
7. Informação sobre entidades com as quais compartilhamos dados;
8. Informação sobre a possibilidade de não fornecer consentimento e as consequências;
9. Revogação do consentimento;
10. Quando o tratamento se basear em legítimo interesse, o direito de opor-se e de solicitar informações (Art. 18, §2º, e Art. 37).
11. Revisão de decisões tomadas unicamente por tratamento automatizado que afetem os seus interesses (Art. 20) — fora limites automáticos iguais para todos (cotas diárias de IA, limites de tentativas, remoção de cadastro não confirmado), o Refogando não toma esse tipo de decisão; você pode pedir revisão pelo canal de privacidade.

Como exercer: baixe uma cópia dos seus dados ou exclua a sua conta em Editar perfil → Seus dados; para o resto, use a página Seus Direitos (/seus-direitos) ou escreva para privacidade@refogando.com. Respondemos em até 15 dias corridos (Art. 19, II), sem custo. Você também pode peticionar à Autoridade Nacional de Proteção de Dados (ANPD).

8. Cookies e armazenamento no navegador

Usamos só cookies e armazenamento estritamente necessários para o app funcionar. Não há cookies de publicidade, de análise ou de terceiros; por isso não pedimos consentimento para eles (Guia de cookies da ANPD).

9. Crianças e adolescentes

O Refogando é destinado a pessoas com 16 anos ou mais e não é dirigido a crianças. Adolescentes de 16 e 17 anos podem ter conta; para eles, como para todos, as receitas novas nascem privadas, não há publicidade, perfilamento nem localização, as restrições alimentares só são guardadas com consentimento, e tratamos os dados no melhor interesse deles (LGPD, Art. 14). O perfil público e as avaliações aparecem para todos, como em qualquer conta (item 3.1). Se soubermos que uma conta é de alguém com menos de 16 anos, avisamos pelo e-mail da conta e, se a idade não for confirmada, eliminamos a conta e o que ela publicou.

10. Alterações desta política

Podemos atualizar esta política. Cada versão fica registrada abaixo, com a data e o que mudou. Se a mudança alterar algo que você autorizou com consentimento, avisamos com destaque no lugar onde você o deu, e você pode revogá-lo ali.

• v1 — 2026-07-03: primeira versão publicada.
• v2 — 2026-10-13: Cardápio, listas de compras, Despensa e restrições alimentares salvas.
• v3 — 2026-10-23: revisão interna completa: eliminação e prazos de retenção, login com o Google, perfil público, busca e revisão de imagens pela curadoria, segurança e registros técnicos, cópias de segurança, cookies, transferência internacional (restrições salvas tratadas nos Estados Unidos), pedidos de titulares e canal de privacidade.
• v3.1 — 2026-10-23: idade mínima de 16 anos (seção 9), Termos de Uso como contrato da conta (item 3.1) e o navegador lembrar o aviso de mudança (item 8).
• v3.2 — 2026-10-23: a curadoria revisa só a foto de receitas publicadas; as outras imagens da galeria e as de receitas privadas ficam fora da fila (item 3.3 e seção 4).
• v3.3 — 2026-10-23: guardamos a data e a versão do texto com que você consentiu com as restrições salvas, como prova do consentimento (item 3.5); o aviso de mudança das restrições deixa de ficar no navegador e aparece até você salvar de novo (seção 8).
• v3.4 — 2026-10-23: quando a equipe encerra uma conta, guardamos por 5 anos um registro da decisão (motivo, data, se o conteúdo público foi removido e se tentamos avisar a pessoa por e-mail), sem outro dado pessoal (item 3.6); o aviso de encerramento por e-mail entra nos envios do Resend (item 5).
• v3.5 — 2026-10-23: a cópia que outra pessoa publica de uma receita sua mostra "Baseada na receita … de @você", com link; você pode desligar isso em Editar perfil ou retirar o seu nome de uma cópia, e guardamos essa escolha (item 3.1).
• v3.6 — 2026-10-23: as funções do app passaram a rodar em São Paulo, junto do banco de dados; a IA continua nos Estados Unidos, e o texto do consentimento das restrições salvas diz isso (itens 3.5 e 5).

Parte (b) — "Descoberta na web"

b.1. O que é a Descoberta na web

O Refogando pode mostrar, na busca, alguns links de receitas de sites externos (marcados "da web"), a partir de uma lista fechada de domínios que aprovamos um a um (allowlist; provedor de busca: Brave). Se você clica e confirma, o app importa aquela receita para a sua coleção privada.

• A busca nunca cria nem republica conteúdo de terceiros. Linkar ≠ importar; importar ≠ republicar.
• A allowlist é a fonte única de domínios (gerida por admin; com limites de domínios consultados e de resultados por busca).
• Guard-rails técnicos já implementados: respeito ao robots.txt (RFC 9309), User-Agent identificado (RefogandoBot/1.0), rate-limit de cortesia e busca/import só por ação explícita do usuário — nunca crawl automático de fundo.

b.2. Quem é o titular do dado aqui

O dado pessoal tratado nesta feature é o nome do autor/publisher da receita de terceiro — ou seja, o titular é o autor da receita externa, e não o usuário do app. Essa distinção importa para o exercício de direitos (item b.5).

b.3. Que dados coletamos, para quê, com que base e por quanto tempo

Dados

Apenas dois campos de atribuição, gravados só em receitas importadas: o nome legível do autor/site e a URL pública de origem. Toda receita que não é importada deixa esses dois campos vazios.

O que NÃO coletamos

Não copiamos a foto (a receita importada nasce sem imagem) nem o texto de apresentação (headnote): da receita, trazemos só o título, os ingredientes e o modo de preparo, este com o texto como o site o publicou. A cópia fica privada, creditada e não pode ser publicada.

Finalidade

Dar o crédito à fonte ("fonte: … (link)") — cumprindo o direito moral de atribuição (Lei 9.610/98) — e mandar tráfego de volta ao site de origem. A atribuição é obrigatória, não opcional.

Base legal

Legítimo interesse — LGPD Art. 7º, IX —, com o teste de balanceamento documentado (Art. 10). O fato de o próprio autor ter publicado o nome com a receita pesa a favor no balanceamento (Art. 7º, §§ 3º e 4º).

Retenção

Enquanto a receita importada existir na coleção privada do usuário, ou até o autor pedir a remoção do nome (item b.5), ou até o usuário apagar a receita. Ao remover o nome, o crédito passa a exibir apenas o site (host) derivado da URL.

b.4. Compartilhamento nesta feature

Para encontrar os links externos, consultamos o provedor de busca Brave (operador), enviando o termo de busca restrito aos domínios da allowlist. A importação é uma cópia feita a pedido do usuário, guardada de forma privada na conta dele — não é republicada nem compartilhada com terceiros.

b.5. Direitos do titular (autor da receita externa) e como exercer — Art. 18

Se você é autor de uma receita que foi importada para o Refogando e quer remover o seu nome da atribuição, você tem esse direito (Art. 18, IV; e o direito de oposição ao tratamento fundado em legítimo interesse, Art. 18, §2º).

• A remoção padrão zera só o nome; a URL de origem permanece, porque o crédito à fonte é obrigatório, e o crédito passa a exibir o nome do site (host) derivado da URL. Se a própria URL identifica você (por exemplo, o seu nome no endereço do blog) ou se você se opõe ao tratamento como um todo, desvinculamos também a URL.
• Se você é o dono do site ou dos direitos sobre o conteúdo e não quer cópias no Refogando, apagamos as receitas importadas do seu site e o tiramos da lista de sites aprovados.
• A remoção não é reversível para o nome original — o que é adequado ao direito de remoção.

Contato para esta finalidade: privacidade@refogando.com — resposta em até 15 dias. Você também pode usar o formulário público na página Seus Direitos (/seus-direitos).