Política de Privacidade

Última atualização: 21 de outubro de 2026 · Versão 1.2

1. Quem somos

O Pétala é um planner digital para organização pessoal e bem-estar, disponível para iPhone e Android e no site petalaplanner.com.br.

O aplicativo é operado por B2L Gestão em Saúde, CNPJ 62.319.887/0001-32, com sede em Rua Severino Araújo de Lima, 128, Freguesia do Ó, São Paulo/SP, CEP 02927-040, que atua como controladora dos dados pessoais tratados aqui, nos termos da Lei Geral de Proteção de Dados (Lei nº 13.709/2018).

2. Quais dados coletamos

Coletamos apenas o necessário para o app funcionar e falar com você do jeito certo.

2.1 Dados que você nos dá

2.2 Dados coletados automaticamente

• Versão do app e sistema (iPhone ou Android) — enviados em cada conexão com nossos servidores, para manter a compatibilidade entre versões do app.
• Registros de acesso — data, hora e endereço IP de cadastro, login e recuperação de senha, guardados pelo serviço de autenticação para a segurança da conta e porque a lei exige (Marco Civil da Internet, art. 15).
• Estado da assinatura e dos pagamentos — informado pela Asaas (pago, vencido, estornado), para liberar ou encerrar o acesso.
• Endereço IP no momento do pagamento com cartão — repassado à Asaas, que o exige para prevenção a fraude.

O Pétala não usa ferramenta externa de monitoramento de erros: quando algo dá errado no app, nenhum relatório, dado de travamento ou identificador do aparelho é enviado automaticamente. Se quiser nos contar o que aconteceu, é pelo feedback do app (o botão "Enviar para o suporte"), com o que você mesma escrever.

2.3 Lista de espera do site

Ao entrar na lista de espera, guardamos nome, e-mail, forma de tratamento e o registro do seu consentimento (data, hora e o texto exato que você aceitou). Você pode sair da lista pelo link de cancelamento em qualquer e-mail que enviarmos — e, se excluir a sua conta, o cadastro na lista sai junto (se a ferramenta da lista não responder na hora, tentamos de novo — seção 7).

2.4 A agenda do seu celular

Se você ligar a opção de ver a agenda do celular no Pétala (por exemplo, o Google Agenda configurado no aparelho), o app pede a permissão do sistema e lê os seus compromissos para mostrá-los junto dos seus e sugerir pausas entre eles. Essa leitura acontece só no aparelho: os eventos da agenda do celular não são enviados aos nossos servidores, não entram na cópia da nuvem nem na exportação, e o Pétala nunca altera a agenda do celular. Você pode desligar a opção no app ou tirar a permissão nos ajustes do celular a qualquer momento.

2.5 Dados do Google Agenda

Além da agenda do celular, você pode conectar o seu Google Agenda direto (Configurações › Google Agenda). Isso é opcional, não é o login do Pétala, e só acontece quando você toca em "Conectar com o Google" e autoriza na tela do próprio Google.

• O que é lido: com as permissões só de leitura calendar.calendarlist.readonly e calendar.events.readonly, o Pétala lê a lista das suas agendas (nome, cor e o identificador de cada uma — que, em algumas agendas, é um endereço de e-mail —, para você escolher quais mostrar) e, das agendas que você escolher, de cada compromisso: título, início e fim, se é de dia inteiro, se está como ocupado ou livre, a sua resposta ao convite, quantas pessoas foram convidadas e se há link de chamada. Do login do Google, só o e-mail da conta, para mostrar qual está conectada. Não lemos a descrição dos eventos, o local, anexos, nem o nome ou o e-mail de quem foi convidado.
• Para que: mostrar esses compromissos na agenda do Pétala, junto dos seus, e sugerir pausas e respiros entre reuniões ("Pétala lê o seu dia"). Nada além disso.
• Onde fica: só no seu aparelho. A autorização do Google (o token de acesso) fica guardada pelo próprio sistema de login do Google no celular, e os compromissos lidos ficam numa cópia local que não é enviada aos nossos servidores, não entra na cópia da nuvem nem na exportação de dados. A leitura vai direto do celular ao Google, sem passar pelo Pétala.
• Compartilhamento: esses dados não são compartilhados, vendidos nem usados para publicidade ou para treinar inteligência artificial, e nenhuma pessoa da equipe tem acesso a eles. O Pétala nunca cria, altera nem apaga nada no seu Google Agenda.
• Como revogar: em Configurações › Google Agenda › "Desconectar e apagar deste celular", o Pétala pede ao Google para retirar o acesso e apaga tudo o que foi lido. O mesmo acontece quando você sai da conta ou a exclui. Você também pode retirar o acesso a qualquer momento pela sua conta Google, em myaccount.google.com/connections — e, quando o Google deixa de autorizar, o app apaga a cópia local na próxima leitura.

O uso e a transferência, pelo Pétala, de informações recebidas das APIs do Google seguirão a Política de Dados do Usuário dos Serviços de API do Google (https://developers.google.com/terms/api-services-user-data-policy), incluindo os requisitos de Uso Limitado. (Pétala's use and transfer of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.)

2.6 O que NÃO coletamos

• Não pedimos acesso a contatos nem à localização.
• Microfone: só quando você toca em "Gravar áudio" no Ritual, para gravar um desabafo no diário emocional. O app não escuta nem grava nada fora disso, e nenhum áudio é transcrito ou analisado (seção 3.1).
• Fotos e câmera: só quando você escolhe anexar um print a um feedback — o sistema abre a galeria, e só a imagem que você escolher é enviada (e só com a conta aberta: sem conta, o feedback vai só com o texto).
• Não usamos identificador de publicidade nem rastreamos você em outros apps e sites.
• Não vendemos seus dados. Nunca.
• Não usamos seu diário emocional nem seu ciclo menstrual para publicidade, segmentação ou treino de modelos de inteligência artificial.

3. Dados sensíveis: diário emocional e ciclo menstrual

3.1 Humor e diário emocional

• Registrar humor é opcional. O app funciona inteiro sem isso.
• O consentimento vale para registrar e para guardar na nuvem. Antes do primeiro registro, o app pergunta se você autoriza. Sem autorização, nada é registrado. Quem já tinha registros de humor ou diário antes da versão 1.1 escolhe, uma vez, entre autorizar ou apagar esses registros — e eles não vão para a nuvem até a resposta (se você já tinha conta na versão anterior, o que ela enviou continua na nuvem até você responder).
• "Guardar só neste aparelho". Se preferir, os registros emocionais ficam só no celular e não vão para a nuvem. Nesse caso, eles não são recuperados se você trocar de aparelho ou reinstalar o app.
• O desabafo que você manda apagar nunca é salvo. Quando você escolhe "desabafei, pode apagar", o texto não chega a ser gravado em nenhum banco de dados.
• Revogar é tão fácil quanto autorizar (seção 8). Ao revogar, o app para de enviar esses dados e a cópia guardada na nuvem é sempre apagada; você escolhe se os registros continuam só no seu aparelho ou se são apagados também.
• Áudios do diário. Gravar um desabafo em áudio é opcional e faz parte do mesmo consentimento do diário emocional. O áudio (até 3 minutos) fica: no seu celular, numa pasta interna do app que não entra no backup do iCloud nem do Google; e, com a sua conta, na nuvem do Pétala, no mesmo servidor do resto do planner — a não ser que você tenha escolhido "guardar só neste aparelho". Num outro celular da sua conta, o áudio só é baixado quando você toca para ouvir. Nenhum áudio é transcrito, analisado, usado para identificar a sua voz ou mostrado à equipe. Você pode ouvir antes de guardar, descartar sem guardar, e apagar um áudio a qualquer momento — ele sai do celular, da nuvem e dos seus outros aparelhos. Revogar o consentimento, "Apagar meus registros" e excluir a conta apagam os áudios junto com o resto do diário. Na exportação dos seus dados, cada áudio vai como um arquivo de som (.m4a) ao lado do arquivo dos dados.

3.2 Ciclo menstrual (a partir da versão 1.1)

• É opcional, para qualquer pessoa que menstrua, e só começa quando você liga o recurso e autoriza o tratamento.
• Guardamos só datas: o início e o fim de cada menstruação, a duração média do ciclo e da menstruação e se você quer ver a fase nas notificações. Não pedimos sintomas, fluxo, atividade sexual, método contraceptivo nem nada além disso.
• Para que serve: mostrar a fase do ciclo em que você está, estimar a próxima menstruação e adaptar lembretes e sugestões do dia. O cálculo é feito no próprio aparelho.
• Nunca é usado para publicidade, segmentação ou treino de inteligência artificial, e nunca é compartilhado nem vendido. O painel interno da equipe não mostra esses dados.
• Na tela bloqueada, as notificações não citam menstruação nem fase, a menos que você escolha o contrário.
• "Guardar só neste aparelho" também vale para o ciclo.
• Desligar o recurso apaga os dados do ciclo, no aparelho e na nuvem (o app pede confirmação antes).
• Cifrado de ponta a ponta. As datas do ciclo e as durações médias são cifradas no seu aparelho antes de irem para a nuvem. A chave que abre esse conteúdo fica guardada no armazenamento protegido do seu celular e, no nosso servidor, só aparece trancada por outra chave, que nasce da senha da sua conta — e a senha nós não guardamos em forma legível. Assim, o servidor guarda só conteúdo cifrado, e nem a equipe do Pétala consegue ler as datas do seu ciclo. Ficam legíveis no servidor apenas se o recurso está ligado, se você quer ver a fase nas notificações e o horário técnico em que cada registro mudou (necessário para sincronizar seus aparelhos).
• Se você esquecer a senha. Como só a sua senha destranca essa chave, nós não temos como recuperar a cópia do ciclo que está na nuvem. Se algum aparelho seu ainda tiver o ciclo, é só entrar nele com a senha nova: ele tranca a chave de novo e a cópia volta a abrir nos outros. Se não houver nenhum, o app explica e oferece recomeçar: o que estiver no seu aparelho continua e volta para a nuvem protegido pela senha nova, e só o que existia apenas na cópia antiga se perde. Ao trocar a senha pelo app, num aparelho que já tem o seu ciclo, nada disso acontece: a chave é trancada de novo com a senha nova na hora.
• As previsões são estimativas. O Pétala não é método contraceptivo, não serve para planejar ou evitar gravidez e não faz diagnóstico. Na dúvida, procure um profissional de saúde.

3.3 Quem consegue ver esses dados

• Outras pessoas usuárias, não. No nosso banco de dados, regras de acesso por conta (row level security) só liberam as suas linhas para a sua conta — e essas regras são conferidas por testes automáticos.
• O painel administrativo da equipe não mostra humor, diário (nem os áudios dele) nem ciclo: ele foi construído sem acesso a essas tabelas.
• A equipe técnica que administra o servidor tem, como em qualquer serviço, acesso privilegiado ao banco de dados para mantê-lo funcionando. Esse acesso é restrito a poucas pessoas e ao necessário para operar o serviço, e não é usado para consultar o conteúdo do seu diário, humor ou ciclo. O ciclo menstrual é cifrado de ponta a ponta (seção 3.2): mesmo com esse acesso, as datas dele não podem ser lidas. Já o humor e o diário ainda não têm criptografia de ponta a ponta: eles são protegidos pelas regras acima, pela criptografia da conexão e pelo controle de acesso ao servidor.

O Pétala não é um serviço de saúde e não substitui acompanhamento profissional. Se você estiver passando por sofrimento emocional intenso, procure ajuda: o CVV atende gratuitamente, 24 horas por dia, no número 188.

4. Sua conta, a nuvem e onde seus dados ficam

O Pétala é um aplicativo local-first: o banco de dados principal fica no seu próprio aparelho, e o app funciona sem internet. Além dele, existe a cópia na nuvem, ligada à sua conta.

• A conta é pedida (e-mail e senha) porque é ela que guarda a cópia do seu planner na nuvem — para você não perder nada ao trocar de celular ou reinstalar o app —, sincroniza seus aparelhos e vincula a sua assinatura. Quem já usava o Pétala sem conta antes da versão 1.1 pode adiar a criação por alguns dias, e os dados do aparelho nunca são apagados por isso.
• O que vai para a nuvem: seu perfil e preferências, o conteúdo do planner (seção 2.1) e — só com a sua autorização e se você não escolher "guardar só neste aparelho" — humor, diário e ciclo menstrual.
• O que fica só no aparelho: a agenda do celular (seção 2.4), o Google Agenda conectado (seção 2.5), o tamanho do texto e outros ajustes do próprio aparelho, e os registros sensíveis que você escolheu guardar só nele.
• No aparelho, o banco do app fica na área privada do Pétala e é excluído dos backups do iCloud e do Google: a cópia de segurança é a da sua conta, não a do sistema.
• Na nuvem, os dados ficam num servidor próprio (banco de dados PostgreSQL) contratado da DigitalOcean, localizado nos Estados Unidos, no data center de Nova York da DigitalOcean (North Bergen, Nova Jersey).

Como o servidor fica fora do Brasil, há transferência internacional de dados, feita com as garantias do art. 33 da LGPD, por meio das cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024).

5. Por que tratamos cada dado (base legal)

Você pode retirar o consentimento a qualquer momento, sem custo, pelo próprio app (seção 8). A retirada não afeta os tratamentos já realizados de forma lícita. Negar o consentimento para humor, diário ou ciclo só desliga esses recursos: o resto do app continua funcionando.

6. Com quem compartilhamos

Compartilhamos o mínimo necessário, com operadores que nos prestam serviço e estão obrigados contratualmente a proteger seus dados:

• O Pétala não guarda os dados do seu cartão. Eles são digitados na nossa tela e enviados, numa conexão protegida, diretamente à Asaas no momento do pagamento — não são gravados no nosso banco, no seu aparelho nem em registros do sistema. Nos planos recorrentes, quem guarda o cartão para as renovações é a Asaas.
• As notificações do Pétala são agendadas no próprio aparelho: nenhum conteúdo delas passa por servidores de notificação.
• Spotify: tocar numa playlist abre o Spotify; o Pétala não envia nenhum dado seu para ele.
• Google Agenda: se você conectar, o app pede os seus compromissos ao Google direto do celular; o Pétala não envia nenhum dado seu ao Google além do necessário para essa leitura e não repassa a ninguém o que recebe (seção 2.5).

7. Por quanto tempo guardamos

• Dados do planner e do perfil: enquanto sua conta existir.
• Google Agenda e agenda do celular: só no aparelho, substituídos a cada leitura (de uma semana atrás a cinco semanas à frente) e apagados quando você desconecta ou desliga a opção, sai da conta ou a exclui. Os do Google Agenda também saem se o app passar uma semana sem conseguir atualizá-los.
• Humor, diário (inclusive os áudios) e ciclo: na nuvem, enquanto sua conta existir e o consentimento estiver valendo — um áudio que você apaga sai na hora do celular e, na próxima sincronização, da nuvem. Revogar o consentimento apaga a cópia da nuvem, sempre; você escolhe se os registros ficam só no seu aparelho ou se são apagados também. Desligar o ciclo apaga os dados dele no aparelho e na nuvem.
• Registro dos consentimentos (o que você aceitou ou recusou, a versão do texto e quando): enquanto a conta existir; é apagado junto com ela.
• Chave do ciclo trancada pela sua senha (seção 3.2): enquanto a conta existir, mesmo com o ciclo desligado (sozinha ela não revela nada); é apagada junto com a conta. No aparelho, a chave sai quando você sai da conta ou a exclui.
• Após excluir a conta: apagamos os dados imediatamente. Hoje não mantemos cópias de segurança (backups) do banco de dados: o que é apagado sai de vez. Se passarmos a manter, esta política vai dizer por quanto tempo.
• Hash do e-mail: depois da exclusão da conta, guardamos só um código (hash SHA-256) calculado a partir do seu e-mail. Ele não permite ler o endereço, mas permite reconhecer, se o mesmo e-mail for usado de novo, que o teste grátis já foi utilizado. Ele nasce quando você confirma o e-mail (é quando o teste grátis começa): um cadastro nunca confirmado não deixa esse código. Fica guardado enquanto o Pétala oferecer período de teste.
• Feedback: o texto, por até 2 anos (e é apagado junto com a conta, se você estava com ela aberta ao enviar; o enviado sem conta não fica ligado a você); o print anexado (só aceito com a conta aberta) é apagado automaticamente em até 180 dias.
• Registros de acesso: pelo prazo mínimo de 6 meses exigido pelo Marco Civil da Internet.
• Lista de e-mails: até você cancelar a inscrição ou excluir a conta. Se, na exclusão, a ferramenta da lista (Brevo) não responder, guardamos o seu e-mail cifrado, só para tentar de novo tirá-lo de lá, por até 30 dias — e ele é apagado assim que a remoção dá certo.
• Registros de compra (plano, valor, datas, situação do pagamento, e-mail e CPF usados na cobrança): pelo prazo exigido pela legislação tributária e de defesa do consumidor, mesmo depois de excluída a conta — são a prova de que a cobrança existiu e de que foi cancelada ou devolvida.

8. Seus direitos (LGPD) e onde exercê-los no app

A LGPD garante a você, sobre seus dados, o direito de:

• Confirmar que tratamos seus dados e acessá-los;
• Corrigir dados incompletos ou desatualizados;
• Solicitar anonimização, bloqueio ou eliminação de dados desnecessários ou tratados de forma irregular;
• Levar seus dados para outro serviço (portabilidade);
• Eliminar os dados tratados com base em consentimento;
• Saber com quem compartilhamos seus dados;
• Ser informado sobre as consequências de negar o consentimento;
• Revogar o consentimento a qualquer momento.

O que a exclusão não apaga, e por quê: o hash do e-mail e os registros de compra (seção 7). A exclusão pela web apaga o que está nos nossos servidores; o que está no seu celular continua lá até você apagar o app ou usar a exclusão dentro dele.

Para qualquer outro pedido, escreva para [email protected]. Respondemos em até 15 dias.

9. Segurança

• Comunicação com nossos servidores sempre por conexão criptografada (HTTPS/TLS).
• Isolamento por conta no banco de dados: as regras de acesso liberam apenas as suas linhas, inclusive para o diário emocional e o ciclo menstrual.
• Ciclo menstrual cifrado no aparelho (AES-256-GCM) antes de ir para a nuvem. A chave fica no armazenamento protegido do celular (Keychain no iPhone, Keystore no Android) e, no servidor, só trancada por uma chave derivada da sua senha (PBKDF2-SHA-256, com pelo menos 600 mil iterações). O servidor recusa datas do ciclo que cheguem sem cifra.
• Senhas nunca são armazenadas em texto legível, e senhas novas criadas no app atualizado e no site têm pelo menos 8 caracteres.
• Os códigos de 6 dígitos enviados por e-mail valem por 20 minutos, e há limite de tentativas por conexão. O botão do e-mail só confirma quando você toca nele na página que ele abre.
• Acesso interno restrito ao mínimo necessário para operar o serviço.
• No aparelho, os dados ficam na área privada do app. Recomendamos manter o bloqueio de tela do celular ligado.

Nenhum sistema é infalível. Em caso de incidente de segurança com risco relevante a você, comunicaremos você e a ANPD, como exige o art. 48 da LGPD.

10. Crianças e adolescentes

O Pétala é destinado a pessoas com 16 anos ou mais, e o cadastro pede essa declaração. Não coletamos intencionalmente dados de crianças. Se identificarmos uma conta criada por menor de 16 anos sem consentimento dos responsáveis, ela será excluída. Responsáveis podem solicitar a exclusão pelo e-mail de contato.

11. Mudanças nesta política

Se esta política mudar de forma relevante, avisaremos pelo app e por e-mail com pelo menos 15 dias de antecedência. Se a mudança alcançar um tratamento feito com base no seu consentimento, pediremos o consentimento de novo. A data e a versão estão sempre no topo desta página, e as mudanças, no histórico de versões.

12. Contato e Encarregado de Dados

Encarregada pelo Tratamento de Dados Pessoais (DPO): Lari Nascimento
E-mail: [email protected]
Controladora: B2L Gestão em Saúde — CNPJ 62.319.887/0001-32

Você também pode registrar reclamação junto à Autoridade Nacional de Proteção de Dados (ANPD): gov.br/anpd.

13. Histórico de versões