Privacy Policy / Política de Privacidad
English · Español · Français · Deutsch · Italiano · Português
English
1. Data we collect
Nothing reaches us. Fodmind requires no account and has no server that holds anything about you. Nothing you write — your diary, the onboarding questionnaire, a first name if you give one, your tolerance profile, your notes — is ever sent anywhere. It is kept on your phone, and section 2 lists exactly what is kept and section 4 says how to delete it. Two optional features can send something — what you point the camera at, never anything about you — and they are described in section 3, and both are asked before the camera opens for the first time. Section 3 also covers the one thing that is not optional: the purchase check that runs every time the app starts.
2. Data stored on your device
The following is stored on your device, and none of it is sent to us or to anyone else:
- Food & symptom diary: the meals and symptoms you log.
- The onboarding questionnaire. The first time you open the app it asks ten questions: how long you have had digestive symptoms, how often, which ones, what you suspect, whether the same food can affect you differently on different days, what you have already tried, and what you would like to get back. Three of them are a safety screening — warning signs such as blood in your stool or unexplained weight loss, whether coeliac disease has been ruled out, and whether you have had an eating disorder or a difficult relationship with food. The answers are used to group what you described, to flag the reintroduction challenges that match what you suspect, and to decide whether to show you a medical warning instead of a diet. They are health data, they stay on your phone, and you can delete them — see section 4.
- A first name, if you choose to give one. The app asks near the end of the questionnaire and there is a button to skip it. It is used for exactly one sentence — the commitment you sign on the next screen — and nothing else in the app reads it.
- Tolerance profile: what you learn about your own limits during the reintroduction challenges.
- Favorites and pantry: the foods and packaged products you save.
- Foods you mark as not agreeing with you, with the symptoms you attach to them, an optional note and the date. This is what you believe about your own body rather than anything the app measured, and the app keeps it as such — it never changes a food's colour. It is health data and it stays on your phone, like the questionnaire.
- Products you have scanned recently, so a second scan of the same package does not have to be read again, and the meals you compose in My plate and the weekly menu.
- Preferences: your language, the reaction window you choose, and the switches for the two optional services.
About your phone's own backups. We say this data does not reach us, and that is true. It is not the same as saying it never leaves the device: if you have iCloud Backup or Android backup switched on, your operating system copies the app's storage — including your diary, the questionnaire answers, the foods you have marked and the name — into your own cloud account, under your control and your provider's policy, not ours. We never see it. You can exclude it by turning that backup off in your system settings.
Deleting the app permanently deletes all of this data from the device.
2b. Reminders
The app can set one notification: on the day the elimination phase you signed up for ends, to tell you that reintroduction starts. That is the step people forget, and an elimination that is never reintroduced becomes an open-ended restrictive diet.
- It is scheduled on your phone. There is no push token, no server and no device identifier: nothing is sent anywhere, and it works with no connection.
- The app asks for permission after the commitment screen, never on launch, and tells you the exact date and that there is exactly one notification before the system dialog appears.
- There are no newsletters, no streaks and no daily nudges.
- Deleting your questionnaire answers also cancels it. So does turning notifications off for the app in your system settings.
3. Third-party services
We use no analytics, no advertising and no tracking of any kind.
One optional service: barcode lookup. If you turn it on, scanning a barcode sends the number printed on the package to Open Food Facts, an open collaborative food database, to retrieve that product's ingredient list.
- Nothing of yours is sent: no name, no diary, no tolerance profile, no device identifier, no account. Only the product number.
- The app asks before the camera opens for the first time, with the switch in view, and you can turn it off again at any time in Settings.
- Open Food Facts has its own privacy policy, which applies to what their servers log.
Ingredient data retrieved this way is from Open Food Facts, licensed under the Open Database License (ODbL).
A second optional service: assisted label reading and plate recognition. These are two uses of the same camera and the same switch, and they do not send photos in the same way:
- A label photo is sent to our own server to be read by a recognition model whenever this switch is on and there is a connection: measured on real labels, the model finds far more of the ingredients than the phone on its own. With no connection, or if the server does not answer, your phone reads the label by itself and nothing leaves it.
- A plate of food is different: that photo always goes. Recognising cooked food is not something a phone can do on its own, so there is no local step to fall back on — either the photo is sent or the feature does nothing. And a photo taken at a table can catch more than the food: hands, other people, the room. Point it at the plate, and if you would rather not send it, the confirm screen lets you type the foods in by hand instead.
- Whichever of the two, only the photo and your language code are sent. No name, no diary, no tolerance profile, no account, no device identifier.
- Our server does not store the photo. It exists in memory for the seconds the reading takes and is discarded — not written to any disk, bucket or log of ours. The recognition provider, however, keeps request content for a short operational window (its own policy states 3–30 days) for debugging and abuse prevention.
- It is asked on that same first screen, as a separate switch from the barcode one, and you can turn it off in Settings.
- Our server is hosted in the European Union (Google Cloud, europe-west1). To read the text it forwards the photo to a third-party image recognition provider, which may process it outside the European Economic Area.
- With it off, the label reader still works entirely on your phone, and the plate photo is simply not offered.
Purchases. Purchases are validated through RevenueCat, a subscription infrastructure provider. This one is not optional and it is not only for people who pay: the app asks RevenueCat whether this install has an active subscription every time it starts, because that is how it knows whether to unlock Pro — including the first launch, when the answer is no.
- What is sent: an anonymous identifier that RevenueCat generates on your device and, if you have bought something, the purchase receipt issued by Apple. Nothing else — no name, no diary, no questionnaire.
- RevenueCat's servers are in the United States, so this check leaves the European Economic Area on every launch, whether or not you are a subscriber.
- We never see your payment details. Your card, your Apple Account and your billing data are handled by Apple alone and never reach us or RevenueCat.
- There are no accounts in this app, so the purchase is not tied to your name, your email or your diary. We cannot link it back to you, and we do not try to.
- RevenueCat stores this purchase history on its servers, in the United States, and has its own privacy policy. It is used to validate the purchase, restore it on a new phone and keep our own sales figures — never for advertising or tracking.
4. Your rights
Everything you create stays on your device and is never sent anywhere. You can delete it from inside the app, and here is exactly where:
- Questionnaire answers and your name: Settings → Your answers → Delete my answers. This also cancels the reminder if you had set one.
- Diary: each entry has its own delete, on the entry itself.
- Tolerance profile: reset from the reintroduction plan.
- Everything at once: uninstalling the app removes all of it from the device.
Because there are no accounts and nothing about you reaches us, there is nothing for us to hand over, correct or erase on our side, and no request you need to send us to make that happen — it is all in your hands, on your phone. If you want to ask us anything about this, the contact details are at the bottom of this page. The two optional services above stay as you left them on that first screen, and Settings lets you turn them off; the purchase check described above runs on every launch and you cannot turn it off, because without it the app cannot tell whether you have paid. None of the three carries anything that identifies you.
Español
1. Datos que recopilamos
A nosotros no nos llega nada. Fodmind no requiere cuenta y no tiene ningún servidor que guarde nada sobre ti. Nada de lo que escribes —tu diario, el cuestionario del principio, un nombre si lo das, tu perfil de tolerancia, tus notas— sale a ningún sitio. Se queda en tu móvil: el apartado 2 dice exactamente qué se guarda y el 4, cómo borrarlo. Hay dos funciones opcionales que sí envían algo —lo que enfocas con la cámara, nunca nada sobre ti— y están descritas en el apartado 3, y las dos se preguntan antes de que la cámara se abra por primera vez. El apartado 3 cuenta también lo único que no es opcional: la comprobación de compra que corre en cada arranque.
2. Datos guardados en tu dispositivo
Lo siguiente se guarda en tu dispositivo, y no se envía ni a nosotros ni a nadie:
- Diario de comidas y síntomas: las comidas y síntomas que registras.
- El cuestionario del principio. La primera vez que abres la app te hace diez preguntas: cuánto tiempo llevas con molestias digestivas, con qué frecuencia, cuáles, qué sospechas, si un mismo alimento te sienta distinto según el día, qué has probado ya y qué te gustaría recuperar. Tres de ellas son un cribado de seguridad —señales como sangre en las heces o pérdida de peso sin explicación, si te han descartado la celiaquía, y si has tenido un trastorno de la conducta alimentaria o una relación difícil con la comida—. Las respuestas sirven para agrupar lo que has descrito, para marcar los retos de reintroducción que encajan con lo que sospechas y para decidir si en vez de una dieta te enseñamos un aviso médico. Son datos de salud, se quedan en tu móvil y puedes borrarlos: ver el apartado 4.
- Un nombre, si quieres darlo. La app lo pide casi al final del cuestionario y hay un botón para saltarlo. Se usa para una sola frase —el compromiso que firmas en la pantalla siguiente— y no lo lee nada más de la app.
- Perfil de tolerancia: lo que averiguas sobre tus propios límites durante los retos de reintroducción.
- Favoritos y despensa: los alimentos y productos envasados que guardas.
- Los alimentos que marcas como que te sientan mal, con los síntomas que les pones, una nota opcional y la fecha. Eso es lo que tú crees de tu propio cuerpo, no algo que la app haya medido, y la app lo guarda como tal: nunca cambia el color de un alimento. Son datos de salud y se quedan en tu móvil, igual que el cuestionario.
- Los productos que has escaneado hace poco, para no tener que volver a leer el mismo envase, y las comidas que compones en Mi plato y en el menú semanal.
- Preferencias: el idioma, la ventana de reacción que elijas y los interruptores de los dos servicios opcionales.
Sobre las copias de seguridad de tu propio móvil. Decimos que estos datos no nos llegan, y es cierto. No es lo mismo que decir que nunca salen del dispositivo: si tienes activada la copia de seguridad de iCloud o la de Android, tu sistema operativo copia el almacenamiento de la app —incluidos tu diario, las respuestas del cuestionario, los alimentos que has marcado y el nombre— a tu propia cuenta en la nube, bajo tu control y la política de tu proveedor, no la nuestra. Nosotros no lo vemos nunca. Puedes dejarlo fuera desactivando esa copia en los ajustes de tu sistema.
Al borrar la app se eliminan permanentemente todos estos datos del dispositivo.
2b. Los avisos
La app puede programar un aviso: el día en que termina la fase de eliminación que hayas firmado, para decirte que empieza la reintroducción. Es el paso que más se olvida, y una eliminación que no se reintroduce se convierte en una dieta restrictiva sin final.
- Se programa en tu móvil. No hay token de push, ni servidor, ni identificador de dispositivo: no se envía nada a ningún sitio y funciona sin conexión.
- El permiso se pide después de la pantalla del compromiso, nunca al arrancar, y antes de que salga el diálogo del sistema se te dice la fecha exacta y que es un solo aviso.
- No hay boletines, ni rachas, ni recordatorios diarios.
- Borrar las respuestas del cuestionario lo cancela. Desactivar las notificaciones de la app en los ajustes del sistema, también.
3. Servicios de terceros
No usamos analíticas, publicidad ni rastreo de ningún tipo.
Un servicio opcional: la búsqueda por código de barras. Si la activas, escanear un código envía el número impreso en el envase a Open Food Facts, una base de datos abierta y colaborativa, para obtener la lista de ingredientes de ese producto.
- No se envía nada tuyo: ni nombre, ni diario, ni perfil de tolerancia, ni identificador del dispositivo, ni cuenta. Solo el número del producto.
- La app pregunta antes de abrir la cámara por primera vez, con el interruptor a la vista, y puedes apagarla cuando quieras en Ajustes.
- Open Food Facts tiene su propia política de privacidad, que se aplica a lo que registren sus servidores.
Los ingredientes obtenidos así proceden de Open Food Facts, bajo licencia Open Database License (ODbL).
Un segundo servicio opcional: la lectura asistida de etiquetas y el reconocimiento de platos. Son dos usos de la misma cámara y del mismo interruptor, y no envían la foto igual:
- Una etiqueta: su foto se envía a un servidor nuestro para que la lea un modelo de reconocimiento siempre que este interruptor esté encendido y haya conexión. Medido sobre etiquetas reales, el modelo encuentra bastantes más ingredientes que el móvil solo. Sin conexión, o si el servidor no contesta, tu móvil lee la etiqueta por su cuenta y no sale nada de él.
- Un plato de comida es distinto: esa foto sale siempre. Reconocer comida cocinada no es algo que un móvil sepa hacer solo, así que no hay ningún paso local al que recurrir: o sale la foto o la función no hace nada. Y una foto hecha en una mesa puede recoger más que la comida: manos, otras personas, la habitación. Apunta al plato, y si prefieres no enviarla, la pantalla de confirmación te deja escribir los alimentos a mano.
- Sea cual sea de las dos, solo se envían la foto y el código de tu idioma. Ni nombre, ni diario, ni perfil de tolerancia, ni cuenta, ni identificador del dispositivo.
- Nuestro servidor no guarda la foto. Existe en memoria los segundos que dura la lectura y se descarta: no se escribe en ningún disco, almacén ni registro nuestro. El proveedor de reconocimiento, en cambio, conserva el contenido de las peticiones durante una ventana corta (su política habla de 3 a 30 días) para depuración y prevención de abusos.
- Se pregunta en la misma pantalla que la búsqueda por código de barras, con su propio interruptor, y puedes apagarla en Ajustes.
- Nuestro servidor está alojado en la Unión Europea (Google Cloud, europe-west1). Para leer el texto reenvía la foto a un proveedor externo de reconocimiento de imagen, que puede procesarla fuera del Espacio Económico Europeo.
- Con esto apagado, el lector de etiquetas sigue funcionando entero dentro de tu móvil, y la foto de plato sencillamente no se ofrece.
Las compras. Las compras se validan a través de RevenueCat, un proveedor de infraestructura de suscripciones. Esta no es opcional, y no es solo para quien paga: la app le pregunta a RevenueCat si esta instalación tiene una suscripción activa cada vez que arranca, porque es así como sabe si desbloquear Pro — también en el primer arranque, cuando la respuesta es que no.
- Qué se envía: un identificador anónimo que RevenueCat genera en tu propio dispositivo y, si has comprado algo, el recibo que emite Apple. Nada más: ni nombre, ni diario, ni cuestionario.
- Los servidores de RevenueCat están en Estados Unidos, así que esta comprobación sale del Espacio Económico Europeo en cada arranque, seas suscriptor o no.
- Tus datos de pago no los vemos nunca. Tu tarjeta, tu cuenta de Apple y tus datos de facturación los gestiona Apple y no llegan ni a nosotros ni a RevenueCat.
- En esta app no hay cuentas, así que la compra no queda atada a tu nombre, tu correo ni tu diario. No podemos relacionarla contigo, y no lo intentamos.
- RevenueCat guarda ese historial de compra en sus servidores, en Estados Unidos, y tiene su propia política de privacidad. Sirve para validar la compra, restaurarla en un móvil nuevo y llevar nuestras propias cuentas de ventas: nunca para publicidad ni para seguirte.
4. Tus derechos
Todo lo que creas se queda en tu dispositivo y no se envía a ningún sitio. Puedes borrarlo desde la propia app, y aquí está exactamente dónde:
- Las respuestas del cuestionario y tu nombre: Ajustes → Tus respuestas →Borrar mis respuestas. Eso cancela también el aviso, si lo tenías puesto.
- El diario: cada registro se borra desde el propio registro.
- El perfil de tolerancia: se reinicia desde el plan de reintroducción.
- Todo de golpe: desinstalar la app lo elimina entero del dispositivo.
Como no hay cuentas y a nosotros no nos llega nada tuyo, no hay nada que podamos entregarte, rectificar o suprimir por nuestra parte, ni ninguna solicitud que tengas que enviarnos para conseguirlo: está todo en tu mano, en tu móvil. Si quieres preguntarnos algo sobre esto, los datos de contacto están al final de esta página. Los dos servicios opcionales de arriba se quedan como los dejaste en esa primera pantalla, y en Ajustes se apagan; la comprobación de compra que se describe arriba corre en cada arranque y no se puede apagar, porque sin ella la app no sabe si has pagado. Ninguna de las tres lleva nada que te identifique.
Français
1. Données que nous collectons
Rien ne nous parvient. Fodmind ne demande aucun compte et n’a aucun serveur qui conserve quoi que ce soit sur vous. Rien de ce que vous écrivez — votre journal, le questionnaire de démarrage, un prénom si vous le donnez, votre profil de tolérance, vos notes — n’est jamais envoyé nulle part. Tout reste sur votre téléphone ; la section 2 dit exactement ce qui est conservé et la section 4 comment l’effacer. Deux fonctions optionnelles peuvent envoyer quelque chose — ce que vous visez avec l’appareil photo, jamais rien sur vous — et elles sont décrites dans la section 3, et toutes deux sont demandées avant que l’appareil photo ne s’ouvre pour la première fois. La section 3 couvre aussi la seule chose qui n’est pas optionnelle : la vérification d’achat qui s’exécute à chaque démarrage de l’app.
2. Données conservées sur votre appareil
Ce qui suit est conservé sur votre appareil, et rien n’en est envoyé à nous ni à personne d’autre :
- Journal des repas et des symptômes : les repas et les symptômes que vous notez.
- Le questionnaire de démarrage. À la première ouverture, l’app pose dix questions : depuis combien de temps vous avez des symptômes digestifs, à quelle fréquence, lesquels, ce que vous soupçonnez, si un même aliment peut vous affecter différemment selon les jours, ce que vous avez déjà essayé et ce que vous aimeriez retrouver. Trois d’entre elles sont un dépistage de sécurité — des signes d’alerte comme du sang dans les selles ou une perte de poids inexpliquée, si la maladie cœliaque a été écartée, et si vous avez eu un trouble du comportement alimentaire ou une relation difficile avec la nourriture. Les réponses servent à regrouper ce que vous avez décrit, à signaler les tests de réintroduction qui correspondent à vos soupçons et à décider s’il faut vous montrer un avertissement médical plutôt qu’un régime. Ce sont des données de santé, elles restent sur votre téléphone et vous pouvez les effacer — voir la section 4.
- Un prénom, si vous choisissez d’en donner un. L’app le demande vers la fin du questionnaire et un bouton permet de passer. Il sert à une seule phrase — l’engagement que vous signez à l’écran suivant — et rien d’autre dans l’app ne le lit.
- Profil de tolérance : ce que vous apprenez sur vos propres limites pendant les tests de réintroduction.
- Favoris et garde-manger : les aliments et les produits emballés que vous enregistrez.
- Les aliments que vous marquez comme mal tolérés, avec les symptômes que vous y associez, une note facultative et la date. C’est ce que vous pensez de votre propre corps, pas une mesure de l’app, et l’app le garde comme tel — elle ne change jamais la couleur d’un aliment. Ce sont des données de santé et elles restent sur votre téléphone, comme le questionnaire.
- Les produits scannés récemment, pour qu’un second scan du même emballage n’ait pas à être relu, et les repas que vous composez dans Mon assiette et le menu de la semaine.
- Préférences : votre langue, la fenêtre de réaction que vous choisissez et les interrupteurs des deux services optionnels.
À propos des sauvegardes de votre téléphone. Nous disons que ces données ne nous parviennent pas, et c’est vrai. Ce n’est pas la même chose que dire qu’elles ne quittent jamais l’appareil : si la sauvegarde iCloud ou la sauvegarde Android est activée, votre système copie le stockage de l’app — y compris votre journal, les réponses au questionnaire, les aliments marqués et le prénom — dans votre propre compte cloud, sous votre contrôle et selon la politique de votre fournisseur, pas la nôtre. Nous ne le voyons jamais. Vous pouvez l’exclure en désactivant cette sauvegarde dans les réglages du système.
Supprimer l’app efface définitivement toutes ces données de l’appareil.
2b. Rappels
L’app peut programmer une notification : le jour où se termine la phase d’élimination pour laquelle vous vous êtes engagé, pour vous dire que la réintroduction commence. C’est l’étape que l’on oublie, et une élimination jamais suivie d’une réintroduction devient un régime restrictif sans fin.
- Elle est programmée sur votre téléphone. Pas de jeton push, pas de serveur, pas d’identifiant d’appareil : rien n’est envoyé nulle part, et cela fonctionne sans connexion.
- L’app demande l’autorisation après l’écran d’engagement, jamais au lancement, et vous indique la date exacte et qu’il y a exactement une notification avant que le dialogue du système n’apparaisse.
- Pas de newsletter, pas de séries, pas de relances quotidiennes.
- Effacer vos réponses au questionnaire l’annule aussi. Désactiver les notifications de l’app dans les réglages du système également.
3. Services tiers
Nous n’utilisons aucun outil d’analyse, aucune publicité et aucun suivi d’aucune sorte.
Un service optionnel : la recherche par code-barres. Si vous l’activez, scanner un code-barres envoie le numéro imprimé sur l’emballage à Open Food Facts, une base de données alimentaire ouverte et collaborative, pour récupérer la liste des ingrédients de ce produit.
- Rien de vous n’est envoyé : ni nom, ni journal, ni profil de tolérance, ni identifiant d’appareil, ni compte. Seulement le numéro du produit.
- L’app demande avant que l’appareil photo ne s’ouvre pour la première fois, l’interrupteur sous les yeux, et vous pouvez le désactiver à tout moment dans les Réglages.
- Open Food Facts a sa propre politique de confidentialité, qui s’applique à ce que ses serveurs enregistrent.
Les données d’ingrédients obtenues ainsi proviennent d’Open Food Facts, sous licence Open Database License (ODbL).
Un second service optionnel : la lecture assistée d’étiquettes et la reconnaissance d’assiettes. Ce sont deux usages du même appareil photo et du même interrupteur, et ils n’envoient pas les photos de la même façon :
- Une étiquette : sa photo est envoyée à notre propre serveur pour qu’un modèle de reconnaissance la lise, chaque fois que cet interrupteur est activé et qu’il y a une connexion. Mesuré sur des étiquettes réelles, le modèle trouve nettement plus d’ingrédients que le téléphone seul. Sans connexion, ou si le serveur ne répond pas, votre téléphone lit l’étiquette par lui-même et rien n’en sort.
- Une assiette, c’est différent : cette photo part toujours. Reconnaître un plat cuisiné n’est pas quelque chose qu’un téléphone sait faire seul, il n’y a donc pas d’étape locale de repli — soit la photo est envoyée, soit la fonction ne fait rien. Et une photo prise à table peut capter plus que la nourriture : des mains, d’autres personnes, la pièce. Visez l’assiette, et si vous préférez ne pas l’envoyer, l’écran de confirmation vous laisse saisir les aliments à la main.
- Dans les deux cas, seuls la photo et votre code de langue sont envoyés. Ni nom, ni journal, ni profil de tolérance, ni compte, ni identifiant d’appareil.
- Notre serveur ne conserve pas la photo. Elle existe en mémoire pendant les secondes que dure la lecture puis elle est écartée — jamais écrite sur un disque, un espace de stockage ni un journal à nous. Le fournisseur de reconnaissance, lui, conserve le contenu des requêtes pendant une courte fenêtre opérationnelle (sa politique indique 3 à 30 jours) à des fins de débogage et de prévention des abus.
- Il est demandé sur ce même premier écran, avec son propre interrupteur, séparé de celui du code-barres, et vous pouvez le désactiver dans les Réglages.
- Notre serveur est hébergé dans l’Union européenne (Google Cloud, europe-west1). Pour lire le texte, il transmet la photo à un fournisseur tiers de reconnaissance d’images, qui peut la traiter en dehors de l’Espace économique européen.
- Désactivé, le lecteur d’étiquettes fonctionne toujours entièrement sur votre téléphone, et la photo d’assiette n’est simplement pas proposée.
Achats. Les achats sont validés par RevenueCat, un fournisseur d’infrastructure d’abonnements. Celui-ci n’est pas optionnel et ne concerne pas que les personnes qui paient : l’app demande à RevenueCat si cette installation a un abonnement actif à chaque démarrage, parce que c’est ainsi qu’elle sait si elle doit débloquer Pro — y compris au premier lancement, quand la réponse est non.
- Ce qui est envoyé : un identifiant anonyme que RevenueCat génère sur votre appareil et, si vous avez acheté quelque chose, le reçu d’achat émis par Apple. Rien d’autre — ni nom, ni journal, ni questionnaire.
- Les serveurs de RevenueCat sont aux États-Unis : cette vérification quitte donc l’Espace économique européen à chaque lancement, que vous soyez abonné ou non.
- Nous ne voyons jamais vos données de paiement. Votre carte, votre compte Apple et vos données de facturation sont gérés par Apple seul et ne nous parviennent jamais, ni à RevenueCat.
- Il n’y a pas de comptes dans cette app, l’achat n’est donc lié ni à votre nom, ni à votre e-mail, ni à votre journal. Nous ne pouvons pas le rattacher à vous, et nous n’essayons pas.
- RevenueCat conserve cet historique d’achats sur ses serveurs, aux États-Unis, et a sa propre politique de confidentialité. Il sert à valider l’achat, à le restaurer sur un nouveau téléphone et à tenir nos propres chiffres de vente — jamais à de la publicité ni du suivi.
4. Vos droits
Tout ce que vous créez reste sur votre appareil et n’est jamais envoyé nulle part. Vous pouvez l’effacer depuis l’app, et voici exactement où :
- Réponses au questionnaire et prénom : Réglages → Vos réponses → Effacer mes réponses. Cela annule aussi le rappel si vous en aviez programmé un.
- Journal : chaque entrée a sa propre suppression, sur l’entrée elle-même.
- Profil de tolérance : réinitialisation depuis le plan de réintroduction.
- Tout d’un coup : désinstaller l’app supprime tout de l’appareil.
Comme il n’y a pas de comptes et que rien sur vous ne nous parvient, nous n’avons rien à vous remettre, à corriger ni à effacer de notre côté, et aucune demande à nous adresser pour cela — tout est entre vos mains, sur votre téléphone. Si vous voulez nous poser une question à ce sujet, les coordonnées sont en bas de cette page. Les deux services optionnels ci-dessus restent tels que vous les avez laissés sur ce premier écran, et les Réglages permettent de les désactiver ; la vérification d’achat décrite ci-dessus s’exécute à chaque lancement et ne peut pas être désactivée, car sans elle l’app ne peut pas savoir si vous avez payé. Aucun des trois ne transporte quoi que ce soit qui vous identifie.
Deutsch
1. Daten, die wir erheben
Nichts erreicht uns. Fodmind braucht kein Konto und hat keinen Server, der irgendetwas über dich speichert. Nichts von dem, was du schreibst — dein Tagebuch, der Fragebogen beim ersten Start, ein Vorname, falls du ihn angibst, dein Toleranzprofil, deine Notizen — wird je irgendwohin gesendet. Es bleibt auf deinem Handy; Abschnitt 2 sagt genau, was gespeichert wird, und Abschnitt 4, wie du es löschst. Zwei optionale Funktionen können etwas senden — das, worauf du die Kamera richtest, nie etwas über dich — und sie sind in Abschnitt 3 beschrieben, beide und beide werden gefragt, bevor sich die Kamera zum ersten Mal öffnet. Abschnitt 3 behandelt auch das Einzige, was nicht optional ist: die Kaufprüfung, die bei jedem Start der App läuft.
2. Auf deinem Gerät gespeicherte Daten
Folgendes wird auf deinem Gerät gespeichert, und nichts davon wird an uns oder an irgendjemanden gesendet:
- Tagebuch für Mahlzeiten und Beschwerden: die Mahlzeiten und Beschwerden, die du einträgst.
- Der Fragebogen beim ersten Start. Beim ersten Öffnen stellt die App zehn Fragen: seit wann du Verdauungsbeschwerden hast, wie oft, welche, was du vermutest, ob dasselbe Lebensmittel dich an verschiedenen Tagen unterschiedlich beeinflussen kann, was du schon versucht hast und was du zurückhaben möchtest. Drei davon sind ein Sicherheits-Screening — Warnzeichen wie Blut im Stuhl oder unerklärter Gewichtsverlust, ob Zöliakie ausgeschlossen wurde und ob du eine Essstörung oder ein schwieriges Verhältnis zum Essen hattest. Die Antworten dienen dazu, das Beschriebene einzuordnen, die passenden Wiedereinführungstests zu markieren und zu entscheiden, ob dir statt einer Diät ein medizinischer Hinweis gezeigt wird. Es sind Gesundheitsdaten, sie bleiben auf deinem Handy, und du kannst sie löschen — siehe Abschnitt 4.
- Ein Vorname, falls du einen angeben möchtest. Die App fragt gegen Ende des Fragebogens, und es gibt eine Schaltfläche zum Überspringen. Er wird für genau einen Satz verwendet — die Verpflichtung, die du auf dem nächsten Bildschirm unterschreibst — und nichts anderes in der App liest ihn.
- Toleranzprofil: was du bei den Wiedereinführungstests über deine eigenen Grenzen lernst.
- Favoriten und Vorratskammer: die Lebensmittel und verpackten Produkte, die du speicherst.
- Lebensmittel, die du als unverträglich markierst, mit den Beschwerden, die du ihnen zuordnest, einer optionalen Notiz und dem Datum. Das ist, was du über deinen eigenen Körper glaubst, nicht etwas, das die App gemessen hat, und die App behandelt es auch so — sie ändert nie die Farbe eines Lebensmittels. Es sind Gesundheitsdaten und sie bleiben auf deinem Handy, wie der Fragebogen.
- Kürzlich gescannte Produkte, damit ein zweiter Scan derselben Packung nicht erneut gelesen werden muss, sowie die Mahlzeiten, die du in Mein Teller und im Wochenplan zusammenstellst.
- Einstellungen: deine Sprache, das Reaktionsfenster, das du wählst, und die Schalter der beiden optionalen Dienste.
Zu den Backups deines Handys. Wir sagen, diese Daten erreichen uns nicht, und das stimmt. Das heißt nicht, dass sie das Gerät nie verlassen: Wenn iCloud-Backup oder das Android-Backup eingeschaltet ist, kopiert dein Betriebssystem den Speicher der App — inklusive Tagebuch, Fragebogenantworten, markierter Lebensmittel und Vorname — in dein eigenes Cloud-Konto, unter deiner Kontrolle und nach der Richtlinie deines Anbieters, nicht unserer. Wir sehen es nie. Du kannst es ausschließen, indem du dieses Backup in den Systemeinstellungen ausschaltest.
Das Löschen der App entfernt alle diese Daten dauerhaft vom Gerät.
2b. Erinnerungen
Die App kann eine Benachrichtigung setzen: an dem Tag, an dem die Eliminationsphase endet, zu der du dich verpflichtet hast, um dir zu sagen, dass die Wiedereinführung beginnt. Das ist der Schritt, den man vergisst, und eine Elimination ohne Wiedereinführung wird zu einer endlosen restriktiven Diät.
- Sie wird auf deinem Handy geplant. Kein Push-Token, kein Server, keine Gerätekennung: Nichts wird irgendwohin gesendet, und es funktioniert ohne Verbindung.
- Die App bittet nach dem Verpflichtungsbildschirm um Erlaubnis, nie beim Start, und nennt dir das genaue Datum und dass es genau eine Benachrichtigung gibt, bevor der Systemdialog erscheint.
- Es gibt keine Newsletter, keine Serien und keine täglichen Erinnerungen.
- Das Löschen deiner Fragebogenantworten hebt sie ebenfalls auf. Genauso das Ausschalten der Benachrichtigungen für die App in den Systemeinstellungen.
3. Dienste Dritter
Wir verwenden keine Analyse, keine Werbung und kein Tracking irgendeiner Art.
Ein optionaler Dienst: die Barcode-Suche. Wenn du sie einschaltest, sendet das Scannen eines Barcodes die auf der Packung aufgedruckte Nummer an Open Food Facts, eine offene, gemeinschaftliche Lebensmitteldatenbank, um die Zutatenliste dieses Produkts abzurufen.
- Nichts von dir wird gesendet: kein Name, kein Tagebuch, kein Toleranzprofil, keine Gerätekennung, kein Konto. Nur die Produktnummer.
- Die App fragt, bevor sich die Kamera zum ersten Mal öffnet, mit dem Schalter im Blick, und du kannst sie jederzeit in den Einstellungen wieder ausschalten.
- Open Food Facts hat eine eigene Datenschutzerklärung, die für das gilt, was seine Server protokollieren.
Die so abgerufenen Zutatendaten stammen von Open Food Facts und stehen unter der Open Database License (ODbL).
Ein zweiter optionaler Dienst: das unterstützte Lesen von Etiketten und die Erkennung von Gerichten. Das sind zwei Anwendungen derselben Kamera und desselben Schalters, und sie senden Fotos nicht auf dieselbe Weise:
- Ein Etikett: Sein Foto wird an unseren eigenen Server gesendet, damit ein Erkennungsmodell es liest, immer wenn dieser Schalter an ist und eine Verbindung besteht. Gemessen an echten Etiketten findet das Modell deutlich mehr Zutaten als das Handy allein. Ohne Verbindung, oder wenn der Server nicht antwortet, liest dein Handy das Etikett selbst, und nichts verlässt es.
- Ein Teller ist anders: Dieses Foto wird immer gesendet. Gekochtes Essen zu erkennen ist nichts, was ein Handy allein kann, also gibt es keinen lokalen Schritt, auf den man zurückfallen könnte — entweder das Foto wird gesendet, oder die Funktion tut nichts. Und ein Foto am Tisch kann mehr einfangen als das Essen: Hände, andere Personen, den Raum. Richte die Kamera auf den Teller, und wenn du es lieber nicht senden möchtest, kannst du im Bestätigungsbildschirm die Lebensmittel stattdessen von Hand eingeben.
- In beiden Fällen werden nur das Foto und dein Sprachcode gesendet. Kein Name, kein Tagebuch, kein Toleranzprofil, kein Konto, keine Gerätekennung.
- Unser Server speichert das Foto nicht. Es existiert für die Sekunden des Lesens im Arbeitsspeicher und wird dann verworfen — nie auf eine Festplatte, einen Speicher oder ein Protokoll von uns geschrieben. Der Erkennungsanbieter dagegen bewahrt Anfrageinhalte für ein kurzes betriebliches Zeitfenster auf (seine eigene Richtlinie nennt 3–30 Tage), zur Fehlersuche und zur Missbrauchsverhinderung.
- Er wird auf demselben ersten Bildschirm gefragt, mit einem eigenen Schalter getrennt vom Barcode, und du kannst ihn in den Einstellungen ausschalten.
- Unser Server wird in der Europäischen Union betrieben (Google Cloud, europe-west1). Um den Text zu lesen, leitet er das Foto an einen Drittanbieter für Bilderkennung weiter, der es außerhalb des Europäischen Wirtschaftsraums verarbeiten kann.
- Ausgeschaltet funktioniert der Etikettenleser weiterhin vollständig auf deinem Handy, und das Tellerfoto wird einfach nicht angeboten.
Käufe. Käufe werden über RevenueCat validiert, einen Anbieter von Abonnement-Infrastruktur. Das ist nicht optional und betrifft nicht nur Leute, die zahlen: Die App fragt RevenueCat bei jedem Start, ob diese Installation ein aktives Abonnement hat, denn so weiß sie, ob Pro freizuschalten ist — auch beim ersten Start, wenn die Antwort Nein lautet.
- Was gesendet wird: eine anonyme Kennung, die RevenueCat auf deinem Gerät erzeugt, und, falls du etwas gekauft hast, der von Apple ausgestellte Kaufbeleg. Sonst nichts — kein Name, kein Tagebuch, kein Fragebogen.
- Die Server von RevenueCat stehen in den USA, diese Prüfung verlässt also bei jedem Start den Europäischen Wirtschaftsraum, ob du Abonnent bist oder nicht.
- Wir sehen deine Zahlungsdaten nie. Deine Karte, dein Apple-Konto und deine Rechnungsdaten werden allein von Apple verarbeitet und erreichen weder uns noch RevenueCat.
- In dieser App gibt es keine Konten, der Kauf ist also weder an deinen Namen noch an deine E-Mail oder dein Tagebuch gebunden. Wir können ihn dir nicht zuordnen, und wir versuchen es nicht.
- RevenueCat speichert diesen Kaufverlauf auf seinen Servern in den USA und hat eine eigene Datenschutzerklärung. Er dient dazu, den Kauf zu validieren, ihn auf einem neuen Handy wiederherzustellen und unsere eigenen Verkaufszahlen zu führen — nie für Werbung oder Tracking.
4. Deine Rechte
Alles, was du erstellst, bleibt auf deinem Gerät und wird nie irgendwohin gesendet. Du kannst es in der App löschen, und zwar genau hier:
- Fragebogenantworten und Vorname: Einstellungen → Deine Antworten → Meine Antworten löschen. Das hebt auch die Erinnerung auf, falls du eine gesetzt hattest.
- Tagebuch: Jeder Eintrag hat sein eigenes Löschen, direkt am Eintrag.
- Toleranzprofil: Zurücksetzen im Wiedereinführungsplan.
- Alles auf einmal: Das Deinstallieren der App entfernt alles vom Gerät.
Da es keine Konten gibt und nichts über dich zu uns gelangt, gibt es auf unserer Seite nichts herauszugeben, zu berichtigen oder zu löschen, und keine Anfrage, die du uns dafür schicken müsstest — alles liegt in deiner Hand, auf deinem Handy. Wenn du uns dazu etwas fragen möchtest, stehen die Kontaktdaten unten auf dieser Seite. Die beiden optionalen Dienste oben bleiben so, wie du sie auf diesem ersten Bildschirm gelassen hast, und in den Einstellungen lassen sie sich ausschalten; die oben beschriebene Kaufprüfung läuft bei jedem Start und lässt sich nicht abschalten, weil die App ohne sie nicht wissen kann, ob du bezahlt hast. Keiner der drei trägt etwas, das dich identifiziert.
Italiano
1. Dati che raccogliamo
Niente arriva a noi. Fodmind non richiede alcun account e non ha alcun server che conservi qualcosa su di te. Niente di ciò che scrivi — il tuo diario, il questionario iniziale, un nome se lo dai, il tuo profilo di tolleranza, le tue note — viene mai inviato da nessuna parte. Resta sul tuo telefono; la sezione 2 elenca esattamente cosa viene conservato e la sezione 4 dice come cancellarlo. Due funzioni opzionali possono inviare qualcosa — ciò che inquadri con la fotocamera, mai qualcosa su di te — e sono descritte nella sezione 3, ed entrambe vengono chieste prima che la fotocamera si apra per la prima volta. La sezione 3 copre anche l’unica cosa che non è opzionale: la verifica dell’acquisto che viene eseguita a ogni avvio dell’app.
2. Dati conservati sul tuo dispositivo
Quanto segue è conservato sul tuo dispositivo, e niente di tutto ciò viene inviato a noi o a chiunque altro:
- Diario dei pasti e dei sintomi: i pasti e i sintomi che annoti.
- Il questionario iniziale. La prima volta che apri l’app ti fa dieci domande: da quanto tempo hai sintomi digestivi, con che frequenza, quali, cosa sospetti, se lo stesso alimento può influenzarti in modo diverso in giorni diversi, cosa hai già provato e cosa vorresti recuperare. Tre di esse sono uno screening di sicurezza — segnali d’allarme come sangue nelle feci o perdita di peso inspiegata, se la celiachia è stata esclusa, e se hai avuto un disturbo alimentare o un rapporto difficile con il cibo. Le risposte servono a raggruppare ciò che hai descritto, a segnalare le sfide di reintroduzione che corrispondono a ciò che sospetti e a decidere se mostrarti un avviso medico invece di una dieta. Sono dati sanitari, restano sul tuo telefono e puoi cancellarli — vedi la sezione 4.
- Un nome, se scegli di darlo. L’app lo chiede verso la fine del questionario e c’è un pulsante per saltarlo. Serve per una sola frase — l’impegno che firmi nella schermata successiva — e nient’altro nell’app lo legge.
- Profilo di tolleranza: ciò che impari sui tuoi limiti durante le sfide di reintroduzione.
- Preferiti e dispensa: gli alimenti e i prodotti confezionati che salvi.
- Gli alimenti che segni come mal tollerati, con i sintomi che associ, una nota facoltativa e la data. È ciò che credi del tuo corpo, non qualcosa che l’app ha misurato, e l’app lo conserva come tale — non cambia mai il colore di un alimento. Sono dati sanitari e restano sul tuo telefono, come il questionario.
- I prodotti scansionati di recente, così una seconda scansione della stessa confezione non deve essere riletta, e i pasti che componi in Il mio piatto e nel menù della settimana.
- Preferenze: la tua lingua, la finestra di reazione che scegli e gli interruttori dei due servizi opzionali.
Sui backup del tuo telefono. Diciamo che questi dati non arrivano a noi, ed è vero. Non è lo stesso che dire che non lasciano mai il dispositivo: se hai attivo il backup di iCloud o quello di Android, il tuo sistema operativo copia lo spazio dell’app — compresi il diario, le risposte al questionario, gli alimenti segnati e il nome — nel tuo account cloud, sotto il tuo controllo e secondo la policy del tuo fornitore, non la nostra. Noi non lo vediamo mai. Puoi escluderlo disattivando quel backup nelle impostazioni di sistema.
Eliminare l’app cancella definitivamente tutti questi dati dal dispositivo.
2b. Promemoria
L’app può impostare una notifica: il giorno in cui finisce la fase di eliminazione a cui ti sei impegnato, per dirti che inizia la reintroduzione. È il passaggio che si dimentica, e un’eliminazione mai seguita da una reintroduzione diventa una dieta restrittiva senza fine.
- È programmata sul tuo telefono. Nessun token push, nessun server, nessun identificativo del dispositivo: niente viene inviato da nessuna parte, e funziona senza connessione.
- L’app chiede il permesso dopo la schermata dell’impegno, mai all’avvio, e ti dice la data esatta e che c’è esattamente una notifica prima che compaia la finestra di sistema.
- Niente newsletter, niente serie, niente solleciti quotidiani.
- Cancellare le risposte al questionario la annulla. Lo stesso vale se disattivi le notifiche dell’app nelle impostazioni di sistema.
3. Servizi di terze parti
Non usiamo analisi, pubblicità né tracciamento di alcun tipo.
Un servizio opzionale: la ricerca per codice a barre. Se lo attivi, scansionare un codice a barre invia il numero stampato sulla confezione a Open Food Facts, un database alimentare aperto e collaborativo, per recuperare la lista degli ingredienti di quel prodotto.
- Niente di tuo viene inviato: né nome, né diario, né profilo di tolleranza, né identificativo del dispositivo, né account. Solo il numero del prodotto.
- L’app chiede prima che la fotocamera si apra per la prima volta, con l’interruttore in vista, e puoi spegnerlo di nuovo in qualsiasi momento nelle Impostazioni.
- Open Food Facts ha la propria informativa sulla privacy, che si applica a ciò che i suoi server registrano.
I dati sugli ingredienti ottenuti in questo modo provengono da Open Food Facts, con licenza Open Database License (ODbL).
Un secondo servizio opzionale: la lettura assistita delle etichette e il riconoscimento dei piatti. Sono due usi della stessa fotocamera e dello stesso interruttore, e non inviano le foto allo stesso modo:
- Un’etichetta: la sua foto viene inviata a un nostro server perché la legga un modello di riconoscimento, ogni volta che questo interruttore è acceso e c’è connessione. Misurato su etichette reali, il modello trova molti più ingredienti del telefono da solo. Senza connessione, o se il server non risponde, il tuo telefono legge l’etichetta da sé e non ne esce nulla.
- Un piatto è diverso: quella foto parte sempre. Riconoscere cibo cucinato non è qualcosa che un telefono sappia fare da solo, quindi non c’è un passaggio locale su cui ripiegare — o la foto viene inviata, o la funzione non fa nulla. E una foto scattata a tavola può catturare più del cibo: mani, altre persone, la stanza. Inquadra il piatto e, se preferisci non inviarla, la schermata di conferma ti lascia scrivere gli alimenti a mano.
- In entrambi i casi vengono inviati solo la foto e il tuo codice lingua. Né nome, né diario, né profilo di tolleranza, né account, né identificativo del dispositivo.
- Il nostro server non conserva la foto. Esiste in memoria per i secondi che dura la lettura e poi viene scartata — mai scritta su un disco, uno spazio di archiviazione o un registro nostro. Il fornitore del riconoscimento, invece, conserva il contenuto delle richieste per una breve finestra operativa (la sua policy indica 3–30 giorni) per debug e prevenzione degli abusi.
- Viene chiesto in quella stessa prima schermata, con un interruttore separato da quello del codice a barre, e puoi spegnerlo nelle Impostazioni.
- Il nostro server è ospitato nell’Unione europea (Google Cloud, europe-west1). Per leggere il testo inoltra la foto a un fornitore terzo di riconoscimento delle immagini, che può trattarla fuori dallo Spazio economico europeo.
- Con il servizio spento, il lettore di etichette funziona comunque interamente sul tuo telefono, e la foto del piatto semplicemente non viene proposta.
Acquisti. Gli acquisti vengono convalidati tramite RevenueCat, un fornitore di infrastruttura per abbonamenti. Questo non è opzionale e non riguarda solo chi paga: l’app chiede a RevenueCat se questa installazione ha un abbonamento attivo a ogni avvio, perché è così che sa se sbloccare Pro — compreso il primo avvio, quando la risposta è no.
- Cosa viene inviato: un identificativo anonimo che RevenueCat genera sul tuo dispositivo e, se hai comprato qualcosa, la ricevuta d’acquisto emessa da Apple. Nient’altro — né nome, né diario, né questionario.
- I server di RevenueCat sono negli Stati Uniti, quindi questa verifica lascia lo Spazio economico europeo a ogni avvio, che tu sia abbonato o no.
- Non vediamo mai i tuoi dati di pagamento. La tua carta, il tuo account Apple e i tuoi dati di fatturazione sono gestiti solo da Apple e non arrivano mai a noi né a RevenueCat.
- In questa app non ci sono account, quindi l’acquisto non è legato al tuo nome, alla tua email o al tuo diario. Non possiamo ricondurlo a te, e non ci proviamo.
- RevenueCat conserva questa cronologia degli acquisti sui suoi server, negli Stati Uniti, e ha la propria informativa sulla privacy. Serve a convalidare l’acquisto, ripristinarlo su un nuovo telefono e tenere i nostri dati di vendita — mai per pubblicità o tracciamento.
4. I tuoi diritti
Tutto ciò che crei resta sul tuo dispositivo e non viene mai inviato da nessuna parte. Puoi cancellarlo dall’app, ed ecco esattamente dove:
- Risposte al questionario e nome: Impostazioni → Le tue risposte → Cancella le mie risposte. Questo annulla anche il promemoria, se ne avevi impostato uno.
- Diario: ogni voce ha la propria eliminazione, sulla voce stessa.
- Profilo di tolleranza: si azzera dal piano di reintroduzione.
- Tutto in una volta: disinstallare l’app rimuove tutto dal dispositivo.
Poiché non ci sono account e niente su di te arriva a noi, non c’è nulla che dobbiamo consegnare, correggere o cancellare da parte nostra, e nessuna richiesta che tu debba inviarci per farlo — è tutto nelle tue mani, sul tuo telefono. Se vuoi chiederci qualcosa al riguardo, i contatti sono in fondo a questa pagina. I due servizi opzionali qui sopra restano come li hai lasciati in quella prima schermata, e nelle Impostazioni si possono spegnere; la verifica dell’acquisto descritta sopra viene eseguita a ogni avvio e non si può spegnere, perché senza di essa l’app non può sapere se hai pagato. Nessuno dei tre trasporta qualcosa che ti identifichi.
Português
1. Dados que recolhemos
Nada chega até nós. A Fodmind não exige conta e não tem nenhum servidor que guarde algo sobre ti. Nada do que escreves — o teu diário, o questionário inicial, um nome se o deres, o teu perfil de tolerância, as tuas notas — é alguma vez enviado para lado nenhum. Fica no teu telemóvel; a secção 2 diz exatamente o que se guarda e a secção 4 como o apagar. Duas funções opcionais podem enviar algo — aquilo a que apontas a câmara, nunca nada sobre ti — e estão descritas na secção 3, e ambas são perguntadas antes de a câmara abrir pela primeira vez. A secção 3 cobre também a única coisa que não é opcional: a verificação da compra, que corre de cada vez que a app arranca.
2. Dados guardados no teu dispositivo
O que se segue fica guardado no teu dispositivo, e nada disto é enviado para nós nem para mais ninguém:
- Diário de refeições e sintomas: as refeições e os sintomas que registas.
- O questionário inicial. Na primeira vez que abres a app, ela faz dez perguntas: há quanto tempo tens sintomas digestivos, com que frequência, quais, o que suspeitas, se o mesmo alimento te pode afetar de forma diferente em dias diferentes, o que já tentaste e o que gostarias de recuperar. Três delas são um rastreio de segurança — sinais de alerta como sangue nas fezes ou perda de peso inexplicada, se a doença celíaca foi excluída, e se tiveste uma perturbação alimentar ou uma relação difícil com a comida. As respostas servem para agrupar o que descreveste, assinalar os desafios de reintrodução que correspondem ao que suspeitas e decidir se te mostramos um aviso médico em vez de uma dieta. São dados de saúde, ficam no teu telemóvel e podes apagá-los — ver a secção 4.
- Um nome, se escolheres dá-lo. A app pergunta perto do fim do questionário e há um botão para saltar. É usado numa única frase — o compromisso que assinas no ecrã seguinte — e nada mais na app o lê.
- Perfil de tolerância: o que aprendes sobre os teus limites durante os desafios de reintrodução.
- Favoritos e despensa: os alimentos e os produtos embalados que guardas.
- Os alimentos que marcas como mal tolerados, com os sintomas que lhes associas, uma nota opcional e a data. É o que acreditas sobre o teu corpo, não algo que a app tenha medido, e a app guarda-o como tal — nunca muda a cor de um alimento. São dados de saúde e ficam no teu telemóvel, como o questionário.
- Os produtos lidos recentemente, para que uma segunda leitura da mesma embalagem não tenha de ser refeita, e as refeições que compões em O meu prato e no menu da semana.
- Preferências: o teu idioma, a janela de reação que escolhes e os interruptores dos dois serviços opcionais.
Sobre as cópias de segurança do teu telemóvel. Dizemos que estes dados não chegam até nós, e é verdade. Não é o mesmo que dizer que nunca saem do dispositivo: se tens a cópia de segurança do iCloud ou do Android ligada, o teu sistema operativo copia o armazenamento da app — incluindo o diário, as respostas ao questionário, os alimentos marcados e o nome — para a tua conta na nuvem, sob o teu controlo e a política do teu fornecedor, não a nossa. Nunca o vemos. Podes excluí-lo desligando essa cópia de segurança nas definições do sistema.
Apagar a app elimina definitivamente todos estes dados do dispositivo.
2b. Lembretes
A app pode agendar uma notificação: no dia em que termina a fase de eliminação a que te comprometeste, para te dizer que começa a reintrodução. É o passo de que as pessoas se esquecem, e uma eliminação nunca seguida de reintrodução torna-se uma dieta restritiva sem fim.
- É agendada no teu telemóvel. Não há token push, nem servidor, nem identificador do dispositivo: nada é enviado para lado nenhum, e funciona sem ligação.
- A app pede permissão depois do ecrã do compromisso, nunca no arranque, e diz-te a data exata e que há exatamente uma notificação antes de aparecer o diálogo do sistema.
- Não há newsletters, nem sequências, nem lembretes diários.
- Apagar as tuas respostas ao questionário também a cancela. O mesmo acontece se desligares as notificações da app nas definições do sistema.
3. Serviços de terceiros
Não usamos análise, publicidade nem rastreio de nenhum tipo.
Um serviço opcional: a pesquisa por código de barras. Se o ligares, ler um código de barras envia o número impresso na embalagem ao Open Food Facts, uma base de dados alimentar aberta e colaborativa, para obter a lista de ingredientes desse produto.
- Nada teu é enviado: nem nome, nem diário, nem perfil de tolerância, nem identificador do dispositivo, nem conta. Só o número do produto.
- A app pergunta antes de a câmara abrir pela primeira vez, com o interruptor à vista, e podes desligá-lo a qualquer momento nas Definições.
- O Open Food Facts tem a sua própria política de privacidade, que se aplica ao que os seus servidores registam.
Os dados de ingredientes obtidos desta forma vêm do Open Food Facts, sob a licença Open Database License (ODbL).
Um segundo serviço opcional: a leitura assistida de rótulos e o reconhecimento de pratos. São dois usos da mesma câmara e do mesmo interruptor, e não enviam as fotografias da mesma forma:
- Um rótulo: a sua fotografia é enviada a um servidor nosso para que a leia um modelo de reconhecimento, sempre que este interruptor esteja ligado e haja ligação. Medido em rótulos reais, o modelo encontra bastantes mais ingredientes do que o telemóvel sozinho. Sem ligação, ou se o servidor não responder, o teu telemóvel lê o rótulo por si e nada sai dele.
- Um prato é diferente: essa fotografia vai sempre. Reconhecer comida cozinhada não é algo que um telemóvel consiga fazer sozinho, por isso não há um passo local a que recorrer — ou a fotografia é enviada, ou a função não faz nada. E uma fotografia tirada à mesa pode apanhar mais do que a comida: mãos, outras pessoas, a sala. Aponta ao prato e, se preferires não a enviar, o ecrã de confirmação deixa-te escrever os alimentos à mão.
- Em qualquer dos dois casos, só se enviam a fotografia e o teu código de idioma. Nem nome, nem diário, nem perfil de tolerância, nem conta, nem identificador do dispositivo.
- O nosso servidor não guarda a fotografia. Existe em memória durante os segundos que a leitura demora e é descartada — nunca escrita em nenhum disco, armazenamento ou registo nosso. O fornecedor de reconhecimento, porém, conserva o conteúdo dos pedidos durante uma curta janela operacional (a sua política indica 3 a 30 dias) para depuração e prevenção de abusos.
- É perguntado nesse mesmo primeiro ecrã, com um interruptor separado do do código de barras, e podes desligá-lo nas Definições.
- O nosso servidor está alojado na União Europeia (Google Cloud, europe-west1). Para ler o texto, reencaminha a fotografia para um fornecedor terceiro de reconhecimento de imagem, que pode processá-la fora do Espaço Económico Europeu.
- Desligado, o leitor de rótulos continua a funcionar inteiramente no teu telemóvel, e a fotografia do prato simplesmente não é oferecida.
Compras. As compras são validadas através da RevenueCat, um fornecedor de infraestrutura de subscrições. Isto não é opcional e não é só para quem paga: a app pergunta à RevenueCat se esta instalação tem uma subscrição ativa de cada vez que arranca, porque é assim que sabe se deve desbloquear o Pro — incluindo no primeiro arranque, quando a resposta é não.
- O que é enviado: um identificador anónimo que a RevenueCat gera no teu dispositivo e, se compraste algo, o recibo de compra emitido pela Apple. Mais nada — nem nome, nem diário, nem questionário.
- Os servidores da RevenueCat estão nos Estados Unidos, por isso esta verificação sai do Espaço Económico Europeu a cada arranque, sejas ou não subscritor.
- Nunca vemos os teus dados de pagamento. O teu cartão, a tua conta Apple e os teus dados de faturação são tratados apenas pela Apple e nunca chegam a nós nem à RevenueCat.
- Não há contas nesta app, por isso a compra não está ligada ao teu nome, ao teu e-mail nem ao teu diário. Não conseguimos associá-la a ti, e não tentamos.
- A RevenueCat guarda este histórico de compras nos seus servidores, nos Estados Unidos, e tem a sua própria política de privacidade. Serve para validar a compra, repô-la num telemóvel novo e manter os nossos números de vendas — nunca para publicidade ou rastreio.
4. Os teus direitos
Tudo o que crias fica no teu dispositivo e nunca é enviado para lado nenhum. Podes apagá-lo a partir da app, e é exatamente aqui:
- Respostas ao questionário e nome: Definições → As tuas respostas → Apagar as minhas respostas. Isto também cancela o lembrete, se o tinhas agendado.
- Diário: cada registo tem o seu próprio apagar, no próprio registo.
- Perfil de tolerância: repõe-se a partir do plano de reintrodução.
- Tudo de uma vez: desinstalar a app remove tudo do dispositivo.
Como não há contas e nada sobre ti chega até nós, não há nada que tenhamos de entregar, corrigir ou apagar do nosso lado, nem nenhum pedido que precises de nos enviar para isso — está tudo nas tuas mãos, no teu telemóvel. Se quiseres perguntar-nos algo sobre isto, os contactos estão no fim desta página. Os dois serviços opcionais acima ficam como os deixaste nesse primeiro ecrã, e nas Definições desligam-se; a verificação da compra descrita acima corre a cada arranque e não se pode desligar, porque sem ela a app não consegue saber se pagaste. Nenhum dos três leva algo que te identifique.