Política de privacidade
Atualizada em 24 de setembro de 2026
Resumo
O Duck Habits é gratuito, sem anúncios e sem rastreamento. Seus hábitos, registros, compromissos da agenda e metas ficam guardados no seu próprio aparelho. Nós não vendemos, não compartilhamos e não analisamos seus dados.
A conta é opcional. Sem conta, nenhum dado seu sai do aparelho.
Quem é o responsável
Este aplicativo é desenvolvido por Raul Passos Gardini, controlador dos dados para fins da LGPD (Lei 13.709/2018) e do GDPR (Regulamento Geral de Proteção de Dados da União Europeia). Contato para qualquer assunto de privacidade, inclusive como encarregado: rap.gardini@gmail.com.
Dados guardados no seu aparelho
Tudo o que você cadastra no app (hábitos, registros diários, compromissos da agenda, metas, o nome opcional usado na saudação e preferências como tema e idioma) é armazenado localmente, em um banco de dados no próprio aparelho ou navegador.
Esses dados são usados apenas para o funcionamento do app: mostrar seus hábitos, calcular sequências e estatísticas, exibir os widgets e agendar lembretes.
No celular, eles ficam no armazenamento privado do app, que outros apps não acessam e que o próprio sistema criptografa quando o aparelho tem senha (iOS e Android). O banco de dados do app não tem uma camada extra de criptografia própria. Na versão web, os dados ficam no armazenamento do navegador, deste site.
Você pode ligar o bloqueio do app em Conta > Privacidade: ele pede Face ID, digital ou o código do aparelho para abrir o app e esconde o conteúdo na lista de apps recentes. A biometria é verificada pelo próprio sistema; o app nunca recebe sua digital nem seu rosto. Os registros de erro do app não incluem o conteúdo dos seus dados.
Conta e sincronização (opcional)
Se você criar uma conta, coletamos seu e-mail e uma senha (armazenada de forma criptografada pelo provedor de autenticação) e enviamos uma cópia dos seus dados do app para a nuvem, apenas para sincronizá-los entre os seus aparelhos e protegê-los contra perda. A conta recebe um identificador interno aleatório, que não é usado para nenhuma outra finalidade.
O serviço de nuvem utilizado é o Supabase (supabase.com), que atua como operador dos dados. A conexão é criptografada e cada conta só consegue acessar os próprios dados. Para proteger as contas contra abuso, o Supabase registra dados técnicos de acesso, como endereço IP e horário de login.
No celular, a sessão da conta fica guardada no armazenamento seguro do sistema (Keychain no iPhone, Keystore no Android), nunca em texto simples.
Ao criar uma conta ou trocar a senha, o app verifica se a senha escolhida já apareceu em vazamentos de dados conhecidos, usando o serviço gratuito Have I Been Pwned (haveibeenpwned.com). A senha nunca é enviada: só os 5 primeiros caracteres de um resumo criptográfico (hash SHA-1) dela, que correspondem a centenas de senhas diferentes, e a comparação final é feita no próprio aparelho.
Você pode sair da conta a qualquer momento: os dados da conta são apagados deste aparelho, continuam na nuvem e voltam quando você entrar de novo. Também pode excluí-la em Conta > Conta e sincronização > Excluir conta, o que apaga permanentemente a conta e todos os dados guardados na nuvem.
Por que tratamos seus dados (bases legais)
Dados da conta e da sincronização: para prestar o serviço que você pediu ao criar a conta (execução de contrato; art. 7º, V, da LGPD e art. 6(1)(b) do GDPR).
Dados técnicos de acesso, verificação de senhas vazadas e cópias de segurança da nuvem: para manter as contas seguras e evitar perda de dados (legítimo interesse; art. 7º, IX, da LGPD e art. 6(1)(f) do GDPR).
Não tomamos decisões automatizadas sobre você nem criamos perfis.
Quem mais recebe dados
Só com conta: Supabase (banco de dados e autenticação na nuvem) e GitHub (guarda uma cópia de segurança semanal do banco da nuvem, criptografada com uma chave que só o desenvolvedor tem). Na criação ou troca de senha: Have I Been Pwned, apenas o trecho do hash descrito acima.
A versão web e as atualizações do app são entregues pela Expo (expo.dev), que, como qualquer servidor, registra dados técnicos de acesso (como endereço IP) para operar o serviço.
Essas empresas podem tratar dados fora do Brasil e da União Europeia (por exemplo, nos Estados Unidos). Usamos apenas provedores que assumem, em contrato, obrigações de proteção de dados compatíveis com a LGPD e o GDPR, como as cláusulas contratuais padrão.
Não vendemos nem compartilhamos dados com mais ninguém, e só os entregaríamos a uma autoridade por ordem legal.
Por quanto tempo guardamos
No aparelho: até você apagar os dados, sair da conta ou desinstalar o app.
Na nuvem: enquanto a conta existir. O app também guarda na sua conta as 3 cópias de segurança semanais mais recentes, que você vê e restaura na aba Conta. Ao excluir a conta, tudo isso é apagado na hora; só as cópias de segurança criptografadas do banco (GitHub) duram até 90 dias, até serem apagadas automaticamente, e não são usadas para mais nada.
Notificações
Os lembretes são notificações locais, agendadas pelo próprio aparelho. Não usamos servidor de notificações nem identificadores de push.
Backup
A função de backup gera um arquivo com os seus dados, que você salva ou compartilha onde quiser. O arquivo é texto simples, sem criptografia: guarde-o em um lugar seguro. Nós não temos acesso a esse arquivo.
O que não fazemos
Não exibimos anúncios, não usamos ferramentas de análise ou rastreamento, não coletamos localização, contatos, fotos ou identificadores de publicidade e não vendemos dados.
Seus direitos (LGPD e GDPR)
Você pode pedir a confirmação de que tratamos seus dados, acessar, corrigir, exportar (portabilidade) e apagar seus dados, saber com quem são compartilhados e se opor a um tratamento ou limitá-lo.
Quase tudo pode ser feito pelo próprio app, a qualquer momento: exportar em Conta > Backup, corrigir editando os itens, apagar em Conta > Apagar dados e, para os dados da nuvem, em Conta > Conta e sincronização > Excluir conta. Para o resto, escreva para o e-mail acima: respondemos em até 15 dias.
Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD, gov.br/anpd) ou, na União Europeia, à autoridade de proteção de dados do seu país.
Como excluir sua conta
No app (celular ou web, em habits-raul.expo.app): Conta > Conta e sincronização > Excluir conta. A conta e todos os dados dela na nuvem são apagados na hora.
Sem acesso ao app: envie um e-mail para rap.gardini@gmail.com a partir do endereço da conta, pedindo a exclusão. Ela é feita em até 15 dias e confirmada por e-mail.
O que é apagado: e-mail, senha, identificador da conta, todos os dados sincronizados (hábitos, registros, agenda, metas, nome e preferências) e as cópias de segurança da conta. O que fica: nada é usado depois da exclusão; só as cópias de segurança criptografadas do banco da nuvem duram até 90 dias, até serem apagadas automaticamente. Os dados guardados no aparelho continuam lá até você apagá-los (Conta > Apagar dados) ou desinstalar o app.
Crianças
O app não é direcionado a crianças menores de 13 anos e não coleta intencionalmente dados delas. Menores de 13 anos não devem criar uma conta; se isso acontecer, escreva para o e-mail acima e a conta será excluída.
Alterações
Se esta política mudar, a nova versão será publicada nesta página e dentro do app, com a data de atualização.