Política de Privacidade do SaveSelf

Versões do app: o controle de iPhone ativo e o marcador de exclusão descritos abaixo se aplicam a partir da versão 1.0.1. Na versão 1.0.0, use apenas um iPhone por Conta Apple; ela não aplica esse controle.

Última atualização: 16 de outubro de 2026

O SaveSelf é um app de segurança para famílias e pessoas próximas: cada pessoa escolhe o que compartilha (localização e alertas de SOS) com quem faz parte do seu círculo.

Esta política explica quais dados o app usa, onde eles ficam, quem pode vê-los, por quanto tempo e como você controla tudo isso, de acordo com a Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018). Se você mora fora do Brasil, veja também a seção 12.

1. Resumo em linguagem simples

• Não temos servidor. O que você compartilha fica guardado no seu próprio iCloud (os registros da ligação com cada pessoa ficam no iCloud de quem criou o convite; seção 3), e não em computadores do SaveSelf.
• Nós não vemos seus dados. Não temos acesso à sua localização nem aos seus alertas.
• Você decide quem vê o quê, pessoa por pessoa: localização e alertas são escolhas separadas, e você pode mudar ou desligar quando quiser. Ao se conectar com alguém, seu nome, foto, telefone e o estado do seu iPhone (bateria, último sinal e permissão de localização) já aparecem para essa pessoa; localização e SOS, só se estiverem ligados. Na tela dessa escolha, o SOS já vem ligado e a localização vem desligada (seção 6).
• Nenhum dado de saúde. Esta versão não acessa o app Saúde nem dados do Apple Watch e não envia nada de saúde ou de atividade física para lugar nenhum (seção 5).
• Não pedimos seu e-mail. Para entrar, basta o "Continuar com Apple", que nos dá só o nome (se a Apple não o enviar, você escolhe o nome que o círculo vê).
• Sem anúncios, sem rastreamento, sem venda de dados, sem ferramentas de análise de uso de terceiros.
• Você pode excluir tudo em Ajustes → Excluir conta.

2. Quem é o responsável

• Controlador: Marcelo Mouro (pessoa física), desenvolvedor do SaveSelf.
• Encarregado pelo tratamento de dados (DPO): Marcelo Mouro, app.saveself@gmail.com.
• Contato para qualquer assunto de privacidade: app.saveself@gmail.com.

3. Onde seus dados ficam

O SaveSelf usa o iCloud (CloudKit), da Apple, como único lugar de armazenamento na nuvem:

• Seus dados ficam no banco de dados privado do seu iCloud, dentro do espaço do SaveSelf. Eles contam na cota do seu iCloud, não em servidores nossos.
• Para mostrar algo a uma pessoa do seu círculo, o app usa o compartilhamento do próprio iCloud (CKShare): só as pessoas que você escolheu recebem acesso de leitura àquela parte dos dados.
• Os registros da ligação entre duas pessoas (nome, identificador da conta, o que cada uma liberou, as apresentações e os recibos de "visto" e "Estou ajudando") ficam numa zona do iCloud de quem criou o convite, compartilhada só entre vocês dois, e são apagados quando a ligação termina.
• Os campos mais sensíveis (localização, telefone e foto) são gravados com a criptografia de campos do iCloud: são cifrados no seu aparelho antes de irem para a nuvem. Ficam com a proteção padrão do iCloud o nome, o estado do aparelho, o estado de segurança ("Seguro" ou "Emergência"), o tipo e o horário dos alertas (com a marca de que o alerta saiu com posição, nunca a posição em si), os recibos de "visto" e de "Estou ajudando" (nome, identificador da conta e horário), o horário de cada localização e, num SOS, até quando a localização ao vivo continua.
• A Apple opera o iCloud conforme a Política de Privacidade da Apple. Os servidores do iCloud podem ficar fora do Brasil ou do país onde você mora (transferência internacional, art. 33 da LGPD; fora do Brasil, ver a seção 12).

No seu iPhone, o app guarda ainda:

• uma cópia temporária do que você publicou e do que o círculo compartilhou com você, para abrir rápido, funcionar sem internet e reenviar o que ficou pendente (fora do backup do iPhone);
• a última posição que você publicou (latitude, longitude e horário), nos ajustes internos do app, para não reenviar a mesma posição. Ela entra no backup do iPhone e é apagada quando você para de compartilhar a localização, em "Sair" e em "Excluir conta";
• seu nome e sua identificação de acesso no Keychain do iPhone;
• os nomes das pessoas do círculo, como você os vê no app (com o nome que você tem da pessoa nos Contatos, quando há), num arquivo interno fora do backup do iPhone, para escrever as notificações de alerta mesmo com o iPhone bloqueado, junto com o registro de quais alertas e avisos já foram mostrados (para não repetir);
• dentro da cópia temporária, a lista de quem saiu do seu círculo nos últimos 30 dias (nome e data), para o histórico da aba Alertas, e a de quem você ocultou ou removeu (nome e identificador da conta), para "Pessoas ocultadas";
• a foto de perfil que você escolheu, o telefone que você informou e as suas escolhas de compartilhamento;
• o nome, a foto e o telefone do contato que você escolher para uma pessoa do círculo no seletor de contatos do iPhone: guardamos só o nome, a miniatura, o primeiro telefone e o identificador do contato, fora do backup do iPhone. O telefone serve para "Ligar" e SMS quando a pessoa não informou o dela. O seletor não pede acesso aos seus Contatos, então isso acontece mesmo sem essa permissão. Com o acesso, o nome, a foto e o telefone guardados acompanham as mudanças que você fizer nesse contato;
• se você permitir o acesso aos Contatos, o app também procura o nome e a foto de cada pessoa do círculo pelo telefone dela. Eles ficam só na memória enquanto o app está aberto e não são gravados, a não ser o nome no arquivo interno das notificações (item acima).

Quem você tem nos Contatos aparece no SaveSelf com o nome que você salvou (por exemplo, "Pai") e, abaixo, o nome que a própria pessoa escolheu. Isso vale só no seu iPhone: a pessoa e o resto do círculo continuam vendo o nome que ela escolheu. No perfil de cada pessoa, "Desvincular contato" volta ao nome e à foto que ela escolheu.

Nada disso sai do seu iPhone, com exceção do que já está descrito para o iCloud e do que entra no backup do próprio iPhone (no computador ou no Backup do iCloud, se você o usar). "Excluir conta" apaga todos esses dados deste iPhone, e "Sair" apaga parte deles (seção 8).

Um iPhone por Conta Apple. O identificador aleatório do iPhone, o estado da conta e a hora da alteração ficam numa área privada do seu iCloud, sem acesso do círculo. Ao excluir a conta, esse controle mínimo permanece para impedir que outro iPhone atualizado recrie os dados. Ele fica até você reativar a conta ou apagar os dados do SaveSelf no iCloud. Atualize o app e saia dele nos outros iPhones; versões antigas não respeitam esse controle.

Uma retirada de localização pendente fica neste iPhone, fora do backup, só com o identificador da conta e a intenção de apagar, sem coordenadas. Se outra conta iCloud entrar, a retirada espera a conta original voltar com internet e este iPhone estar ativo. Até o iCloud confirmar, a última posição ainda pode estar visível.

4. Quais dados usamos e para quê

O SaveSelf não pede nem recebe o seu e-mail.

SMS de emergência: na tela do SOS, "Enviar SMS" abre o app Mensagens com um texto pronto para a pessoa escolhida (do círculo ou um contato que você escolher), com a sua última posição, quando o iPhone tiver uma, e o horário dela (link do Mapas da Apple), mesmo que você não compartilhe a localização com essa pessoa no SaveSelf. A mensagem só sai se você tocar em enviar no Mensagens, pela sua operadora ou pelo iMessage; ela não passa pelo SaveSelf nem pelo iCloud do app.

Notificações: o SOS e o aviso de que um alerta foi encerrado chegam por notificação do iCloud com um texto genérico; o nome da pessoa é colocado no seu iPhone, a partir dos dados que ela já compartilha com você (se a notificação do iCloud não chegar, o app cria o mesmo aviso quando atualizar o círculo). Os outros avisos são criados pelo próprio app no seu iPhone, a partir do que ele já recebeu do círculo, sem enviar nada a ninguém: alguém entrou no seu círculo e espera a sua escolha, alguém pediu para se conectar com você, alguém saiu do seu círculo e, durante o seu SOS, o lembrete de que a sua localização ao vivo vai acabar. A notificação de teste que você pede em Ajustes → Notificações também é criada só no seu iPhone. O SaveSelf não envia notificações de publicidade.

A Apple não entrega ao SaveSelf a foto nem o Memoji da sua Conta Apple. Por isso a foto que o círculo vê é a que você escolher no próprio app; sem ela, cada pessoa vê a foto que tiver de você nos contatos dela ou as suas iniciais. Da mesma forma, quem tem você nos Contatos pode ver você com o nome que salvou (por exemplo, "Mãe"), só no iPhone dela.

Modo demonstração: usa pessoas e dados fictícios gerados no próprio aparelho. Nada é enviado nem compartilhado (nem um SOS acionado durante a demonstração), e ela termina quando você sai dela ou fecha o app.

5. Dados de saúde

• Esta versão do SaveSelf não coleta, não guarda e não compartilha dados de saúde. O app não pede acesso ao app Saúde (HealthKit), não lê dados do Apple Watch (como frequência cardíaca, quedas, sono, atividade ou treinos) e não envia nada disso ao iCloud nem a ninguém do círculo.
• Os alertas desta versão são só os de SOS, que você aciona. O app não gera alertas automáticos a partir de dados de saúde.
• Um recurso de saúde poderá existir no futuro, como opção. Se existir, ele só vai funcionar com o seu consentimento específico e destacado, dado no próprio iPhone e, separadamente, para cada pessoa com quem você quiser compartilhar; os dados de saúde não serão guardados no iCloud, e sim num serviço próprio, com proteção descrita aqui antes. Esta política será atualizada e você será avisado dentro do app antes de o recurso valer (seção 13).

6. Quem vê o quê

• O compartilhamento é sempre de mão única e por pessoa: você ver a localização de alguém não dá a essa pessoa acesso à sua, e vice-versa.
• Ao se conectar com alguém, você escolhe, para essa pessoa, se ela vê sua localização e se recebe seus alertas. Nome, foto, telefone e estado do aparelho são vistos por todo o círculo desde a conexão, sem precisar ligar nada, e a tela da escolha diz isso.
• Na tela da escolha, "Alertas (SOS)" já vem ligado e "Localização" vem desligada, porque avisar quem você escolheu numa emergência é o motivo principal do círculo. A tela diz, antes de você continuar, para quem o seu SOS vai chegar, e você pode desligar ali mesmo. Se você deixar tudo desligado ("Escolher depois"), nada além do perfil é compartilhado, e o app continua lembrando que a escolha está pendente e avisa no Início quando ninguém recebe o seu SOS. Dá para mudar a qualquer momento em Ajustes → Privacidade e no perfil de cada pessoa.
• Ao ligar a localização para alguém, o app explica a permissão "Sempre" e mostra o pedido do iOS; você pode manter "Durante o uso".
• Quem recebe seus alertas mas não vê sua localização recebe o SOS só com o horário, sem nenhuma posição.
• Quem está ajudando: se você tocar em "Estou ajudando" num alerta de alguém, seu nome, o identificador da sua conta (para o app reconhecer você) e o horário vão para essa pessoa e, por meio dela, para as outras pessoas que recebem os alertas dela, mesmo as que não estão conectadas a você. Da mesma forma, quando você aciona o SOS, quem recebe os seus alertas vê quem está ajudando você.
• Sugestões de ligação: quem está no círculo de alguém do seu círculo pode ver seu nome e recebe o identificador da sua conta, só para o app sugerir que vocês se liguem. A ligação só acontece se você aceitar o pedido. Se você pedir para se conectar com alguém sugerido, o pedido (com seu nome) é repassado automaticamente pelo app de quem tem vocês dois no círculo. Recusar um pedido ou ignorar uma sugestão não avisa a outra pessoa, e dá para desfazer em "Pessoas ocultadas".
• O estado que o círculo vê de você:
  • quem recebe seus alertas vê "Seguro" (nenhum alerta seu em aberto nas últimas 24 horas e sinal do aparelho nas últimas 6 horas), "Emergência" (quando há um SOS seu em aberto, das últimas 24 horas) ou "Indisponível";
  • quem não recebe seus alertas vê só "Ativo" (seu aparelho deu sinal nas últimas 6 horas) ou "Indisponível", nunca "Seguro" nem um estado de perigo deduzido.
  • "Seguro" e "Ativo" não garantem que está tudo bem: dizem apenas que não há alerta aberto e que o aparelho deu sinal, e por isso aparecem sempre com a idade do sinal (por exemplo, "Seguro · sinal há 2 h"). "Indisponível" também não significa perigo, só que faltam dados recentes.
  • Só quem acionou um alerta pode encerrá-lo. Um alerta aberto há mais de 24 horas deixa de contar como emergência.
• Nós (SaveSelf) não vemos nada disso. A única empresa envolvida é a Apple, como provedora do iCloud, das notificações, dos mapas (o endereço aproximado de uma posição é obtido com o serviço de mapas da Apple) e do "Continuar com Apple".

7. Bases legais

Pela LGPD, as bases são:

• Consentimento (art. 7º, I): para localização, contatos, notificações e para cada compartilhamento que você ativa. Você dá esse consentimento nas permissões do iOS e nas escolhas dentro do app, e pode revogá-lo a qualquer momento.
• Execução do serviço que você pediu (art. 7º, V): nome, identificador da conta e estado do aparelho, sem os quais o círculo não funciona.
• Proteção da vida e da incolumidade física (art. 7º, VII): envio dos seus alertas de SOS às pessoas que você escolheu para recebê-los (na tela da escolha, o SOS já vem ligado, com a frase que diz para quem ele vai, e você pode desligá-lo antes de continuar ou a qualquer momento depois), e os recibos de "visto" e "Estou ajudando" que acompanham um alerta.

Esta versão não trata dados pessoais sensíveis (art. 5º, II), como dados de saúde. Para quem está no Espaço Econômico Europeu ou no Reino Unido, as bases equivalentes estão na seção 12.

8. Por quanto tempo

• Localização: guardamos só a posição mais recente, que é substituída a cada atualização. Não há histórico de localização nesta versão.
• Parar de compartilhar a localização apaga a última posição publicada: o círculo deixa de vê-la, não só de receber novas.
• Alertas: ficam no seu iCloud até você excluir a conta, para você e o círculo entenderem o que aconteceu. No app, aparecem os dos últimos 30 dias.
• Sair do círculo ou remover uma pessoa: o acesso dela aos seus dados é retirado no iCloud, e o app dela avisa que você saiu do círculo dela. O nome, a foto e o telefone do contato que você tinha escolhido para ela são apagados deste iPhone na próxima atualização do círculo (se o círculo ficar vazio, só em Sair ou Excluir conta). Quem você remove fica em "Pessoas ocultadas" (Ajustes → Meu Círculo → Pessoas), para não voltar como sugestão, até você tocar em "Mostrar de novo".
• Quem saiu do seu círculo: o nome e a data ficam 30 dias neste iPhone, no histórico da aba Alertas.
• Sair (Ajustes → Sair): o app pede confirmação e, se houver um SOS seu aberto, oferece encerrá-lo antes. Depois, tenta retirar do círculo sua última localização, para de enviar dados deste iPhone e apaga dele sua foto de perfil, seu telefone, sua última posição, suas preferências de alertas, os nomes, as fotos e os telefones de contatos e os nomes usados nas notificações.
  • Uma retirada de localização pendente fica neste iPhone, fora do backup, só com o identificador da conta e a intenção de apagar, sem coordenadas. Se outra conta iCloud entrar, a retirada espera a conta original voltar com internet e este iPhone estar ativo. Até o iCloud confirmar, a última posição ainda pode estar visível.
  • Continuam neste iPhone, para quando você voltar a entrar, o seu nome e sua identificação de acesso no Keychain, a sua escolha geral de compartilhar a localização (se você a desligou, ela continua desligada) e a cópia do círculo, com os seus alertas (e a posição de cada um, quando houver) e o que você mostra a cada pessoa. A cópia pertence à conta iCloud do aparelho e é apagada se outra conta iCloud entrar. Excluir conta apaga tudo isso.
  • O resto do que está no seu iCloud (perfil e alertas) continua lá, e o círculo continua vendo seu nome, foto, telefone e último sinal. Para apagar, use Excluir conta.
  • O mesmo "Sair" acontece sozinho quando o app percebe que você desconectou o "Continuar com Apple" do SaveSelf nos Ajustes do iPhone ou que outra conta iCloud entrou neste iPhone (nesse caso, também a escolha geral da localização volta ao padrão, porque é outra pessoa). O app confere isso ao abrir e antes de enviar dados, também em segundo plano, e a tela de entrada explica o motivo.
• Excluir conta (Ajustes → Excluir conta): apaga do seu iCloud tudo o que o SaveSelf guardou, retira você de todos os círculos e apaga os dados do app neste iPhone. As cópias temporárias no aparelho de quem via seus dados são apagadas na próxima atualização do app dessas pessoas.
  • Se a parte no iCloud não terminar (sem conexão, por exemplo), nada é apagado deste iPhone: o app para de enviar dados, inclusive o SOS, e mostra "Exclusão da conta em andamento" com "Concluir" até terminar.
  • Com o mesmo SaveSelf em outro iPhone com a sua Conta Apple, saia dele antes (seção 3): ele poderia recriar o que foi excluído.
  • Os recibos de "visto" e de "Estou ajudando" que você deixou em alertas de outras pessoas fazem parte do histórico do alerta delas: seu nome e o horário continuam no app de quem acionou o alerta por até 30 dias, e o "Estou ajudando" (com seu nome e o identificador da sua conta) continua também no iCloud dessa pessoa, visível para quem recebe os alertas dela, até ela excluir a conta.
• Desconectar o "Continuar com Apple": o SaveSelf não tem servidor. Ele não envia a lugar nenhum o código nem o token que a Apple entrega ao entrar, não os troca por tokens de acesso da Apple e não guarda nenhum token; neste iPhone ficam só o identificador que a Apple dá ao SaveSelf e o seu nome, que Excluir conta apaga. Por isso não existe token para o app revogar, e Excluir conta não desfaz sozinho o vínculo da sua Conta Apple com o SaveSelf. Para desfazê-lo, vá em Ajustes do iPhone → [seu nome] → Iniciar sessão com a Apple → SaveSelf → Apagar. Em outras versões do iOS, o caminho e o nome do botão podem ser um pouco diferentes. O app mostra esse caminho ao confirmar Excluir conta e no resumo desta política.
• Desinstalar o app não apaga o que está no seu iCloud, e o círculo continua vendo os últimos dados que você publicou. Para apagar, use Excluir conta antes de desinstalar (se já desinstalou, instale de novo, entre com a mesma conta e use Excluir conta).

9. Segurança

• Sem servidor próprio: não existe um banco de dados do SaveSelf que possa vazar.
• Campos sensíveis criptografados pelo iCloud antes de sair do aparelho.
• Identificação guardada no Keychain; arquivos locais com a proteção de dados do iOS.
• Nenhum SDK de terceiros, anúncios ou ferramentas de análise dentro do app.

Nenhum sistema é totalmente imune a falhas. Se acontecer um incidente de segurança que possa trazer risco a você, avisaremos você e a Autoridade Nacional de Proteção de Dados (ANPD), como manda a LGPD, e também a autoridade do seu país, se você mora fora do Brasil e a lei de lá exigir.

10. Seus direitos

Pela LGPD (art. 18), você pode:

• Confirmar e acessar os dados: tudo o que você compartilha aparece no próprio app (seu perfil e o que cada pessoa vê de você).
• Corrigir: nome, telefone e foto em Ajustes.
• Revogar o consentimento: desligar cada compartilhamento no app ou as permissões em Ajustes do iPhone (Privacidade e Segurança → Serviços de Localização e Contatos; Notificações).
• Eliminar: Ajustes → Excluir conta.
• Saber com quem compartilhamos: somente as pessoas do seu círculo que você escolheu, quem está no círculo delas (seu nome e o identificador da sua conta, para sugerir ligações e, se você tocar em "Estou ajudando", para o app reconhecer quem ajuda; seção 6) e a Apple, como provedora do iCloud.
• Portabilidade: não guardamos cópia dos seus dados. O que você informou (nome, telefone e foto) está no próprio app e pode ser copiado dali.
• Reclamar à ANPD (www.gov.br/anpd) ou, fora do Brasil, à autoridade de proteção de dados do seu país (seção 12).

Como não temos acesso aos seus dados, a maior parte desses pedidos é resolvida por você mesmo no app. Para qualquer dúvida, escreva para app.saveself@gmail.com; responderemos em até 15 dias.

11. Crianças e adolescentes

O SaveSelf pode ser usado por famílias com crianças e adolescentes. O uso por menores de 18 anos deve ser feito com o conhecimento e o consentimento de pelo menos um dos pais ou responsável legal (art. 14 da LGPD), que também deve acompanhar o que o menor compartilha e com quem. O app não exibe publicidade nem coleta dados para outras finalidades além das descritas aqui. Nos Estados Unidos, no Espaço Econômico Europeu e no Reino Unido, valem também as regras da seção 12.

12. Se você mora fora do Brasil

O SaveSelf é feito no Brasil, e esta política segue a LGPD. Se você mora em outro país, tudo o que ela diz vale também para você: o app não tem servidor, anúncios nem rastreamento, e nós não temos acesso aos seus dados. Além disso:

• Seus direitos: os direitos da seção 10 valem também fora do Brasil. Você os exerce no próprio app ou escrevendo para app.saveself@gmail.com; responderemos em até 15 dias.
• Reclamação: você pode reclamar à autoridade de proteção de dados do país onde mora; no Reino Unido, é a ICO (ico.org.uk).
• Bases legais no Espaço Econômico Europeu (EEE) e no Reino Unido: as bases equivalentes às da seção 7, pelo RGPD (GDPR) e pelo UK GDPR, são o consentimento (art. 6(1)(a)), para localização, contatos, notificações e cada compartilhamento que você ativa, que você pode revogar a qualquer momento; a execução do serviço que você pediu (art. 6(1)(b)), para nome, identificador da conta e estado do aparelho; e os interesses vitais (art. 6(1)(d)), para o envio dos seus alertas de SOS às pessoas que você escolheu e os recibos de "visto" e "Estou ajudando" que os acompanham.
• Transferência internacional: seus dados ficam no iCloud, operado pela Apple, que pode guardá-los em servidores fora do seu país, com as salvaguardas descritas na Política de Privacidade da Apple. O app não envia nenhum dado seu ao desenvolvedor, que fica no Brasil.
• Crianças: nos Estados Unidos, menores de 13 anos só podem usar o SaveSelf se um dos pais ou responsável configurar o app para eles e acompanhar o uso. No EEE e no Reino Unido, quem tem menos que a idade de consentimento digital do seu país (de 13 a 16 anos, conforme o país) só pode usar o app com o consentimento de um dos pais ou responsável. Em qualquer país, valem também a seção 11 e as leis locais sobre o consentimento de menores. O app não envia ao desenvolvedor nenhum dado de ninguém, inclusive de crianças, e o responsável pode apagar tudo no iPhone da criança, em Ajustes → Excluir conta.

13. Mudanças nesta política

Quando esta política mudar, atualizaremos a data no topo e, se a mudança for relevante (por exemplo, um novo tipo de dado, como dados de saúde, ou a introdução de uma assinatura), avisaremos dentro do app antes de ela valer.

14. Contato

Marcelo Mouro — app.saveself@gmail.com