Política de Privacidade – Tattvue

Última atualização: 24 de agosto de 2026

Esta política explica em palavras simples quais dados o aplicativo Tattvue trata, por que isso acontece e quais direitos você tem.

1. Responsável pelo tratamento

Theodor Staubach
An der Bogenheide 45
16348 Wandlitz
Alemanha

E-mail: contact@tattvue.com

Encarregado pelo tratamento de dados pessoais (art. 41 da LGPD), para usuários no Brasil: Theodor Staubach, no endereço acima, e-mail contact@tattvue.com. Detalhes na seção 11.1.

2. Que dados tratamos

2.1 Dados da conta

No cadastro (e-mail e senha, ou acesso pelo Google ou pela Apple) armazenamos:

• seu endereço de e-mail
• sua senha, exclusivamente como hash criptográfico (bcrypt): em nenhum momento podemos ver sua senha real
• se você entrar pelo Google: um identificador único atribuído pelo Google à sua conta Google (nenhum outro dado dessa conta)
• se você entrar pela Apple ("Continuar com a Apple"): um identificador único atribuído pela Apple à sua conta Apple e o endereço de e-mail contido no comprovante assinado pela Apple. Se você usar a função "Ocultar meu e-mail" da Apple, recebemos apenas um endereço de encaminhamento anônimo, não o seu endereço real. Não pedimos seu nome nem o armazenamos
• o momento em que você criou sua conta
• seu saldo atual (quantas imagens e motivos ainda tem)
• de cada uma das suas criações de imagem, uma linha técnica: momento, duração, número de tentativas internas, qual modelo fez o cálculo, se foi uma imagem gratuita ou paga, o veredito da nossa verificação automática de qualidade e se a verificação de autenticidade do seu aparelho teve êxito. O que aparece na imagem não consta ali. Precisamos dessa linha para duas coisas: para contar seu saldo e os limites diários, e para saber quanto a operação custa por imagem e onde a qualidade cai

2.2 Identificador do dispositivo

Armazenamos um identificador do seu dispositivo (no iPhone, o chamado "Identifier for Vendor", ou IDFV). Esse identificador é atribuído pelo sistema operacional, vale apenas para o nosso aplicativo e não permite nenhuma conclusão sobre você como pessoa. Se você apagar o aplicativo, o seu dispositivo atribui um identificador novo ao reinstalá-lo. Isso não afeta a marca que a Apple deixa no dispositivo para o nosso aplicativo a pedido nosso (seção 8): ela sobrevive a uma reinstalação e até a uma restauração do dispositivo. Ela contém apenas a informação de se a imagem de teste gratuita já foi usada.

Precisamos dele para três coisas:

• para que a imagem de teste gratuita não possa ser obtida repetidamente por meio da criação de novas contas
• para que o crédito por um convite (seção 2.5) não possa ser recebido várias vezes no mesmo dispositivo
• para contar as solicitações por dispositivo com as quais freamos o uso excessivo (seção 2.7)

Para a estatística de uso da seção 2.8 não o utilizamos mais: assim é desde 21 de agosto de 2026. Ali é registrado, em seu lugar, um identificador que só existe enquanto o aplicativo está aberto.

2.3 Suas fotos e as imagens geradas

A foto do corpo que você envia e o motivo da tatuagem são tratados exclusivamente na memória do nosso servidor e não são armazenados. Assim que a geração termina, eles já não existem do nosso lado.

Durante a geração, o nosso servidor mede na sua foto duas coisas no ponto que você marcou: o brilho da superfície e o quão fina é a sua textura. Ambos são valores puramente fotográficos. Eles determinam duas coisas: com quais instruções de desenho iniciamos a geração – um fundo escuro precisa de contrastes diferentes de um fundo claro, caso contrário o motivo mal se distingue – e se avisamos você de antemão que um desenho colorido pode parecer colado sobre a pele clara. Esse aviso volta para você e para mais ninguém. Os valores em si são usados exclusivamente durante a geração em curso; não são armazenados, não são registrados e não são repassados a nenhum terceiro. Ao Google não vai nenhuma indicação sobre a sua pele, apenas a instrução de desenho que dela decorre.

Dito com sinceridade: numa foto do corpo podem aparecer cicatrizes, sinais ou doenças de pele, e o brilho medido de uma área de pele depende tanto da luz, da sombra e da câmera quanto do seu tom de pele. Por isso mantemos a medição deliberadamente de uma forma que não gera nenhuma classificação da sua pessoa: não formamos grupos, não nomeamos nenhum tom de pele, não reconhecemos pessoas, não deduzimos características de saúde e não guardamos nada sobre nenhum desses pontos. Nenhuma indicação sobre você sai do nosso sistema, nem para o Google. Portanto, não tratamos categorias especiais de dados pessoais na acepção do art. 9.º do RGPD. A base legal do tratamento da sua foto consta da seção 6.

A imagem final é guardada por no máximo 24 horas no nosso banco de dados. O motivo protege você: uma geração leva de 60 a 90 segundos. Sem esse armazenamento temporário, sua imagem estaria perdida se o aplicativo travasse ou fosse fechado nesse intervalo, e seu saldo teria sido consumido de todo modo. Assim, ela é oferecida a você na próxima vez que abrir o aplicativo.

Além disso:

• Apagamos a imagem assim que seu aplicativo confirma o recebimento completo, portanto normalmente após alguns minutos.
• Há uma exceção para a imagem de teste gratuita: dela guardamos adicionalmente a versão sem marca d'água. Essa versão permanece mesmo depois da confirmação de recebimento, para que possamos entregá-la sem uma nova geração caso você decida comprar depois. Ela também é apagada após 24 horas, no máximo – e imediatamente assim que tiver sido entregue uma vez.
• Se você não a recolher, ela é apagada automaticamente após 24 horas, no máximo.
• Ela só pode ser recuperada com um número de retirada aleatório e impossível de adivinhar, gerado pelo próprio aplicativo, e apenas a partir da sua conta.
• Se uma imagem expirar sem que você a tenha visto, devolvemos o saldo consumido (no máximo três vezes por conta).

Não criamos nenhuma galeria de imagens nos nossos servidores, e nenhuma pessoa da nossa equipe olha as suas imagens. Elas são verificadas automaticamente: antes da geração, um programa do Google avalia cada imagem enviada quanto a mostrar conteúdo permitido – veja a seção 2.9.

O aplicativo guarda ainda o seu resultado no seu dispositivo para que você possa encontrá-lo mais tarde. Essa cópia fica com você: não é transmitida para nós, não temos acesso a ela e você pode apagá-la no aplicativo a qualquer momento. Além disso, você pode passá-la para a galeria de fotos do seu dispositivo com "Salvar em Fotos" ou repassá-la por "Compartilhar": ambas as ações acontecem exclusivamente no seu dispositivo e sob seu controle.

O acesso do aplicativo à sua câmera e às suas fotos é gerenciado pelo sistema operacional e autorizado por você ali. Você pode retirá-lo a qualquer momento nas configurações do seu dispositivo.

2.4 Seus textos para os motivos

Se você gerar um motivo de tatuagem a partir de uma descrição em texto, esse texto é transmitido ao Google Cloud (Vertex AI) para tratamento. Não armazenamos suas descrições.

2.5 Códigos de convite e de presente

Cada conta recebe um código de convite pessoal. Se alguém usar seu código, armazenamos a ligação entre sua conta e a conta da pessoa convidada, apenas para creditar exatamente uma vez o saldo prometido.

No caso de um código de presente, armazenamos qual conta o utilizou e quando, para que o mesmo código não possa ser usado mais de uma vez.

2.6 Comentários e avaliações

Ambos são voluntários:

• Polegar para cima ou para baixo abaixo de uma imagem: armazenamos a avaliação e o momento. A imagem em si não é armazenada.
• Avaliação do aplicativo em estrelas (1–5) com texto livre opcional: armazenamos as estrelas e seu texto. Por favor, não informe dados pessoais ali; não é necessário.

Ambos estão vinculados à sua conta para que o mesmo comentário não seja contado duas vezes.

2.7 Dados técnicos e proteção contra abuso

Para que os custos de processamento não explodam por causa de abuso, contamos:

• solicitações por endereço IP, por no máximo 24 horas. Armazenamos o seu endereço IP junto com um número: nenhum dado de imagem e nenhuma ligação com a sua conta. O mesmo vale para o acesso, a redefinição de senha, o formulário de contato e o recorte de um motivo antes do cadastro: também ali contamos por endereço IP.
• solicitações por conta, por dia civil e por hora. Esses contadores se apagam sozinhos: após no máximo dois dias ou após três horas, respectivamente.
• solicitações por identificador do aparelho, por hora e por dia civil. Esses contadores também se apagam sozinhos, após três horas ou dois dias.
• solicitações de todas as pessoas usuárias em conjunto, como freio de emergência, e o número de imagens de teste gratuitas por hora. Esses números não estão atribuídos a nenhuma pessoa.

2.8 Estatística de uso

Para vermos em que ponto do aplicativo as pessoas ficam presas, contamos quais etapas são concluídas. De cada etapa guardamos exatamente três coisas: o nome da etapa, o momento e um identificador aleatório da sua sessão atual – em usuários com sessão iniciada, também a conta.

Esse identificador de sessão NÃO é o identificador do dispositivo da seção 2.2. Ele é criado de novo assim que você abre o aplicativo e existe apenas na memória: no seu aparelho ele não é guardado em lugar nenhum. Se você fechar o aplicativo, ele some; na próxima vez que abrir, você recebe outro. Ele serve apenas para manter juntas as etapas de um mesmo percurso; ao longo de vários inícios do aplicativo não reconhecemos você por meio dele. Isso nos custa precisão – vemos quantos percursos houve, não quantas pessoas usaram o aplicativo – e é um preço que pagamos de propósito. Até 21 de agosto de 2026 constava aqui o identificador do dispositivo; os registros anteriores a essa data ainda o contêm e são apagados, como todos os demais, após no máximo seis meses.

As etapas contadas estão fixadas de forma fechada. São: foto escolhida, motivo gerado, motivo enviado, prosseguir com o motivo, motivo deslocado, prévia vista, botão criar pressionado, resultado visto, polegar indicado, página de oferta vista, compra concluída.

Em três dessas etapas acrescenta-se um único dado técnico: o estilo de motivo escolhido, se o polegar foi para cima ou para baixo, e qual produto foi comprado. Nada além disso.

Expressamente NÃO são guardados:

• suas fotos nem as imagens geradas
• suas descrições de motivos nem qualquer outro texto que você digite
• seu endereço IP
• sua localização

Esses números servem unicamente para melhorar o aplicativo. Não criamos com eles perfis publicitários, não mostramos nada personalizado e não repassamos nada a redes de publicidade.

Os registros são apagados automaticamente após, no máximo, seis meses. Se você apagar a sua conta, o vínculo com ela desaparece imediatamente.

2.9 Verificação automática do conteúdo das suas imagens

Antes de criarmos uma prévia, um programa do Google verifica cada imagem que você envia: sua foto do corpo e seu desenho. Ele avalia apenas uma coisa: se a imagem mostra conteúdo permitido.

O resultado é uma única palavra: tudo certo, ou uma indicação de qual limite foi ultrapassado. Não recebemos mais nada e não guardamos nada disso. Nenhuma pessoa da nossa equipe olha a sua imagem.

Por que isso existe: sem essa verificação poderiam ser criados pelo aplicativo conteúdos que não podemos nem queremos criar – por exemplo símbolos anticonstitucionais ou representações de crianças. A base legal é o nosso legítimo interesse em oferecer um serviço lícito (art. 6.º, n.º 1, alínea f, do RGPD; art. 10 da LGPD); sem ela teríamos de desativar completamente o envio de imagens.

Se a sua imagem for recusada, dizemos o motivo e você pode escolher outra. Seu saldo não é debitado por isso.

2.10 Verificação de idade pela Apple

O aplicativo é para pessoas com 18 anos ou mais. Além da sua própria declaração, perguntamos ao seu iPhone se a Apple tem uma indicação de idade registrada para este aparelho.

Não recebemos data de nascimento nem idade. O aplicativo fica sabendo exatamente um de três resultados: maior de idade, menor de idade, ou nenhuma informação. Esse resultado não sai do seu aparelho, não vai para o nosso servidor e não é armazenado em lugar nenhum – ele decide naquele mesmo instante se uma conta pode ser criada.

Se a Apple indicar idade abaixo de 18 anos, não criamos conta. Se a Apple não indicar nada, na maioria dos países vale apenas a sua própria declaração; em algumas regiões com obrigação legal de verificação de idade não podemos criar conta sem indicação.

A base é a nossa obrigação legal de verificar a idade e, onde não exista tal obrigação, o nosso legítimo interesse em manter menores afastados de um serviço que não se destina a eles.

2.11 Atualizações do aplicativo

Para que as falhas desapareçam rapidamente, o aplicativo pode recarregar partes do seu programa sem que você precise instalar uma nova versão pela App Store. Para isso, a cada inicialização ele pergunta uma vez ao serviço de atualização do nosso prestador Expo (650 Industries, Inc., EUA) se há algo novo disponível. Isso acontece em segundo plano e não atrasa a inicialização.

Nessa solicitação são transmitidos:

• seu endereço IP – tecnicamente inevitável em qualquer solicitação na internet
• um identificador aleatório da sua instalação, criado na primeira inicialização e guardado no seu aparelho
• a indicação «iOS», qual versão do aplicativo está em execução no seu aparelho e por qual canal ele recebe atualizações
• os números internos da versão do programa em execução e daquela que falhou por último ao iniciar

Se o aplicativo travou na inicialização anterior, também é enviada a mensagem de erro desse travamento, cortada em 1024 caracteres. Ela serve para impedir que uma atualização defeituosa seja entregue novamente.

O identificador aleatório não contém nenhuma referência à sua pessoa, nem à sua conta, nem a um número de aparelho da Apple. Se você apagar o aplicativo, ele some; em uma reinstalação surge um novo. Ele não tem relação com a marca que a Apple guarda no seu aparelho para nós (seção 8): aquela sobrevive a uma reinstalação, esta não.

Dessas solicitações não obtemos nenhuma análise sobre você. Elas não entram na estatística de uso da seção 2.8, não são vinculadas à sua conta e não servem para publicidade.

Se houver uma versão nova, o aplicativo a baixa pela mesma rede; nisso seu endereço IP também está tecnicamente envolvido. A Expo não informa publicamente por quanto tempo mantém o registro dessas solicitações, por isso não podemos indicar um prazo a você.

3. Para que usamos seus dados

• administração da sua conta (cadastro, acesso, redefinição de senha)
• disponibilização da função própria do aplicativo (gerar uma prévia de tatuagem)
• verificação do seu saldo (quantas imagens ainda tem)
• processamento de convites e códigos de presente
• melhoria do aplicativo com base nos seus comentários voluntários e na estatística de uso da seção 2.8
• proteção contra abuso e uso excessivo

Não vendemos seus dados, não os repassamos para fins publicitários e não criamos perfis publicitários. O aplicativo não contém componentes de publicidade nem componentes de redes externas de análise ou publicidade, e não rastreia você em outros aplicativos ou sites. O único componente externo que abre por conta própria uma conexão para fora é a função de atualização da seção 2.11, que não mede nenhum comportamento de uso. A estatística de uso da seção 2.8 funciona exclusivamente no nosso próprio servidor.

4. Destinatários dos seus dados (operadores)

Utilizamos os seguintes prestadores de serviço. Cada um recebe apenas os dados de que precisa para a sua tarefa:

Todos os prestadores mencionados estão obrigados à confidencialidade (tratamento por conta de terceiros conforme o art. 28 do RGPD, na medida em que seja aplicável). No caso da Apple e do Google, isso vale apenas na medida em que atuam por nossa conta: para o acesso, para o processamento da compra na loja de aplicativos e para a informação de aparelho da entrada "Apple (DeviceCheck)", essas empresas decidem sozinhas as finalidades e os meios e são, nessa medida, controladoras por direito próprio e não operadoras nossas.

5. Onde seus dados são tratados

Parte dos nossos prestadores trabalha dentro da União Europeia e parte nos Estados Unidos; além disso, um tratamento ocorre em todo o mundo:

• servidor do aplicativo: UE – Vercel, região Frankfurt ("fra1")
• banco de dados com os dados da conta e o armazenamento temporário de 24 horas: UE – Neon, região Frankfurt ("eu-central-1")
• contadores de proteção contra abuso: UE – Upstash, região Frankfurt ("fra1")
• geração do motivo e da prévia e a verificação automática de conteúdo: em todo o mundo – Google
• atribuição das suas compras à sua conta: EUA – RevenueCat
• proteção contra abuso da imagem de teste: EUA – Apple (DeviceCheck)
• download de atualizações do programa: EUA – Expo, entregue pelas redes da Cloudflare e da Google
• envio dos nossos e-mails: Irlanda – Resend, enviados a partir da região Irlanda ("eu-west-1"); a administração desse serviço fica nos EUA

Desde 24 de agosto de 2026 o servidor, o banco de dados e os contadores estão em Frankfurt am Main, na Alemanha. Até então estavam nos Estados Unidos. Os antigos armazenamentos norte-americanos estão desconectados do aplicativo desde a mudança e não recebem mais escrita; uma cópia dos dados como estavam em 24 de agosto de 2026 continua lá, até que a apaguemos.

"Em todo o mundo" não é cautela, é exatidão: dirigimo-nos ao Google pelo seu ponto de acesso global, porque o modelo de imagem só é oferecido ali. O Google distribui o pedido pelos seus próprios centros de dados e declara expressamente que os dados podem ser armazenados de forma transitória ou em cache em qualquer país em que o Google ou os seus agentes mantenham instalações. O local de tratamento não fica, portanto, fixado a um país. Não podemos dizer a você onde a sua foto do corpo é calculada no momento em que você toca em "Gerar". Ela não é armazenada em lugar nenhum. Isso vale para os dois caminhos pelos quais podemos chegar ao Google: pelo Google Cloud (Vertex AI) e diretamente pela API do Gemini.

No envio de e-mails precisamos apontar uma limitação. Nossa prestadora Resend envia os e-mails a partir da Irlanda, mas guarda os dados sobre eles nos Estados Unidos. A própria Resend afirma isso: a escolha da região de envio não determina onde os dados de cliente são armazenados; dados da conta, metadados dos e-mails, registros e as chamadas da interface ficam nos EUA, independentemente da região escolhida. Seu endereço de e-mail sai portanto da União Europeia na recuperação de senha e no formulário de contato. Preferimos dizer isso a passar a impressão de que tudo permanece na Europa.

Para os tratamentos nos Estados Unidos vale o seguinte: os Estados Unidos não são automaticamente considerados um país com nível equivalente de proteção de dados. A transferência para lá baseia-se, portanto, nos art. 44 e seguintes do RGPD, concretamente na decisão de adequação da Comissão Europeia sobre o Quadro de Privacidade de Dados UE-EUA, de 10 de julho de 2023 (na medida em que o respetivo prestador esteja certificado nele) e, de forma complementar, nas cláusulas contratuais-tipo da Comissão Europeia.

Para a transferência ao Google não nos apoiamos na decisão de adequação sobre o Quadro de Privacidade de Dados UE-EUA: essa decisão abrange apenas os Estados Unidos, e aqui é precisamente o local de tratamento que não está fixado. A base ali são exclusivamente as cláusulas contratuais-tipo da Comissão Europeia, que o Google incorpora nas suas condições de tratamento de dados.

Ainda assim, com sinceridade: não é possível excluir por completo que autoridades dos EUA acessem dados tratados ali. Estão afetados seu endereço de e-mail do envio pela Resend, seu identificador de usuário e de dispositivo junto com seu histórico de compras na RevenueCat e os dados das solicitações de atualização da seção 2.11. Seu saldo e sua imagem final estão em Frankfurt desde 24 de agosto de 2026 e já não são afetados. Sua foto do corpo e seu motivo não são armazenados.

E também para os sistemas em Frankfurt permanece uma limitação que não escondemos: Vercel, Neon e Upstash são empresas sediadas nos Estados Unidos. Seus dados ficam em Frankfurt, mas o acesso a eles a partir dos EUA – por exemplo por funcionários durante a manutenção – é tecnicamente possível. A esse acesso aplicam-se as mesmas cláusulas contratuais-tipo da Comissão Europeia indicadas acima.

6. Bases legais

Conta, geração de imagens, saldo, compras: execução do contrato de uso, art. 6.º, n.º 1, alínea b) do RGPD. Isso vale também para o acesso pelo Google ou pela Apple, se você escolher esse caminho.

Fotos do corpo e os valores medidos a partir delas (seção 2.3): execução do contrato de uso, art. 6.º, n.º 1, alínea b), do RGPD. Sem a sua foto o aplicativo não consegue prestar a sua única função – a prévia. Ao fazê-lo não tratamos nenhuma categoria especial de dados pessoais nos termos do art. 9.º, n.º 1, do RGPD; os motivos constam da seção 2.3.

Proteção contra abuso, identificador do dispositivo, contadores: interesse legítimo em um serviço que funcione e seja acessível, art. 6.º, n.º 1, alínea f) do RGPD.

Download de atualizações do programa (seção 2.11): interesse legítimo em corrigir rapidamente falhas e brechas de segurança sem precisar esperar por uma nova versão na App Store, art. 6.º, n.º 1, alínea f), do RGPD. Você pode se opor a esse tratamento nos termos do art. 21.º do RGPD; a verificação de atualizações, porém, não pode ser desligada para aparelhos individuais – nesse caso só poderíamos indicar o caminho das atualizações pela App Store.

Estatística de uso (seção 2.8): interesse legítimo em melhorar o aplicativo onde os usuários ficam presos, art. 6.º, n.º 1, alínea f) do RGPD. Você pode se opor a esse tratamento nos termos do art. 21.º do RGPD – você mesmo e de imediato: nas configurações do aplicativo, em „Privacidade", está o interruptor „Estatística de uso". Se você o desligar, seu aplicativo deixa de enviar qualquer registro de contagem; essa configuração permanece até você mudá-la novamente. Sua oposição produz efeito por meio desse interruptor, e um e-mail não pode substituí-lo: sem conta, os registros levam apenas um identificador de sessão que já não existe após o próximo início do aplicativo, de modo que não podemos atribuí-los a você (art. 11.º, n.º 2, do RGPD). Se você estiver conectado, apagamos, mediante pedido para contact@tattvue.com, os registros guardados na sua conta.

Comentários e avaliações: seu consentimento, art. 6.º, n.º 1, alínea a) do RGPD, que você dá voluntariamente.

Acesso à câmera e às fotos: sua autorização no sistema operacional, revogável a qualquer momento.

7. Prazos de conservação

• Os dados da conta são conservados enquanto a sua conta existir.
• As fotos do corpo e os motivos não são armazenados (seção 2.3).
• As imagens finais são apagadas assim que o aplicativo confirma o recebimento e, no máximo, após 24 horas (seção 2.3).
• Na imagem de teste gratuita, a versão sem marca d'água permanece até a sua entrega posterior, também por no máximo 24 horas (seção 2.3).
• Os códigos de "esqueci minha senha" expiram após pouco tempo e depois são invalidados.
• Os contadores de proteção contra abuso se apagam sozinhos após, no máximo, dois dias.
• Comentários e avaliações são conservados enquanto a sua conta existir; se você apagar a conta, eles desaparecem com ela.
• As linhas técnicas das suas criações de imagem (seção 2.1) são conservadas enquanto a sua conta existir; se você apagar a conta, elas desaparecem com ela.
• Os registros da estatística de uso (seção 2.8) são apagados automaticamente após, no máximo, seis meses.
• As solicitações de atualização da seção 2.11 ficam com o nosso prestador Expo, não conosco. A Expo não informa publicamente por quanto tempo as registra, por isso não podemos indicar um prazo. O identificador aleatório no seu aparelho desaparece assim que você apaga o aplicativo.

8. Seus direitos

Você tem direito de acesso aos seus dados, de retificação, de eliminação, de limitação do tratamento e de portabilidade. Além disso, pode opor-se a um tratamento baseado no nosso interesse legítimo e retirar a qualquer momento, com efeitos para o futuro, um consentimento que tenha dado.

Apagar a conta: você pode apagar sua conta a qualquer momento no aplicativo, em Configurações, "Apagar conta". A eliminação ocorre imediatamente. Ela abrange os dados da sua conta, as suas criações de imagens, as suas avaliações e os seus comentários, todas as imagens de resultado ainda guardadas temporariamente e o vínculo entre as suas compras e a sua conta. O saldo restante expira e não é reembolsado. Em alternativa, basta um e-mail curto para contact@tattvue.com; nesse caso apagamos sua conta no prazo de 30 dias e confirmamos isso a você.

Duas coisas permanecem, e de propósito: primeiro, continuamos a lembrar que no seu dispositivo já foi usada uma imagem de teste gratuita – sem essa anotação, a imagem gratuita poderia ser obtida quantas vezes se quisesse apagando a conta e cadastrando-se de novo. Para isso são guardados apenas um identificador do dispositivo e uma data, sem vínculo com você; nós os apagamos após 24 meses. Segundo, a pedido nosso a Apple deixa no seu dispositivo uma marca que impede a mesma coisa. Essa marca fica com a Apple, não conosco, e nós não podemos apagá-la – nem mesmo se você pedir.

Você também tem o direito de apresentar reclamação a uma autoridade de controle de proteção de dados. A autoridade competente para nós é: Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg, Stahnsdorfer Damm 77, 14532 Kleinmachnow, Alemanha. Se você residir em Portugal, pode igualmente dirigir-se à Comissão Nacional de Proteção de Dados (CNPD), Av. D. Carlos I, 134, 1200-651 Lisboa, www.cnpd.pt.

8.1 Decisões automatizadas

Em três pontos deste aplicativo um programa decide sozinho, sem que ninguém da nossa parte olhe. Duas dessas decisões determinam se você pode usar o aplicativo. Por isso explicamos aqui como elas funcionam, o que significam para você e como você pode contestá-las (art. 13, 2, f e art. 22 do RGPD; art. 20 da LGPD).

Primeiro: se criamos uma conta para você. Ao criar uma conta, o aplicativo consulta o sinal de idade do seu aparelho (seção 2.10). Em dois casos não criamos conta: se o seu aparelho informar expressamente uma idade abaixo de 18 anos e se o seu aparelho não informar idade alguma, mas o sistema operacional nos disser expressamente que ele está em uma região onde a verificação de idade é exigida por lei. Nos dois casos nenhum contrato conosco chega a existir. Se o seu aparelho não informar nada, nada acontece: o cadastro segue normalmente.

Segundo: se uma conta existente pode continuar sendo usada. A cada abertura do aplicativo consultamos o mesmo sinal de novo. Se o seu aparelho informar agora expressamente uma idade abaixo de 18 anos, encerramos sua sessão e bloqueamos o acesso, mesmo que você tenha pago por créditos ou por uma assinatura. Aqui bloqueia apenas o "abaixo de 18" expresso; a falta de sinal não bloqueia.

Terceiro: se tratamos a sua imagem. Antes de cada prévia, um programa verifica a sua foto corporal e o seu motivo (seção 2.9). Se recusar, não geramos prévia alguma. Essa decisão afeta apenas aquela tentativa: sua conta permanece, seu saldo não é debitado e você pode escolher outra imagem na hora.

O que não acontece: não montamos nenhum perfil sobre você. Nenhuma dessas decisões leva em conta seu nome, seu comportamento no aplicativo, suas compras ou suas imagens anteriores. Não há pontuação, nem previsão, nem avaliação da sua pessoa. Cada uma das três decisões avalia exatamente um valor: o sinal do seu aparelho ou o veredicto sobre aquela única imagem.

Por que isso é automático: não podemos celebrar contrato sobre este aplicativo com menores de idade (seção 9) e não podemos gerar determinados conteúdos. Uma verificação manual não é possível em um aplicativo que responde em segundos. Por isso baseamos as duas decisões de idade no art. 22, 2, a do RGPD: elas são necessárias para a celebração e a execução do contrato com você.

Seu direito a uma pessoa: se você foi bloqueado mesmo sendo maior de idade, escreva para contact@tattvue.com ou use o formulário de contato em tattvue.com/pt/contacto. Uma pessoa, e não outro programa, vai analisar o seu caso. Você pode nos apresentar o seu ponto de vista e contestar a decisão; é o seu direito segundo o art. 22, 3 do RGPD, e no Brasil segundo o art. 20 da LGPD, que lhe garante a revisão de decisões tomadas unicamente com base em tratamento automatizado. Vale o mesmo se você achar que uma imagem foi recusada indevidamente. Respondemos no prazo de um mês (art. 12, 3 do RGPD).

Dito com franqueza, para você saber o que esperar: o sinal de idade nasce no seu aparelho e não sai dele (seção 2.10). Portanto não podemos consultar o que o seu aparelho informou nem sobrescrever esse dado - não temos nenhum botão que simplesmente desfaça um bloqueio. O que podemos fazer é descobrir com você a causa do bloqueio e dizer como resolvê-lo. A alavanca está quase sempre com você, nos ajustes do seu iPhone: na sua conta Apple, o ajuste "Faixa etária para apps" define se o seu aparelho compartilha a sua faixa etária com aplicativos; a data de nascimento por trás pertence à sua conta Apple e pode ser alterada lá. A sua data de nascimento em si nunca chega até nós.

9. Idade mínima

O aplicativo é destinado a pessoas com 18 anos ou mais. Não se dirige nem a crianças nem a adolescentes. Só tratamos seus dados se você for maior de idade; não está previsto o consentimento de pais ou responsáveis, porque o aplicativo não está aberto a menores de idade. Se soubermos que uma pessoa menor de idade criou uma conta, nós a apagamos junto com os dados associados.

Observe também que tatuar-se de verdade está sujeito a limites de idade próprios na Alemanha e na maioria dos outros países; uma prévia neste aplicativo não substitui nenhuma dessas regras.

10. Alterações desta política

Se o aplicativo mudar, adaptamos esta política. Vale sempre a versão disponível no aplicativo e no nosso site. Em caso de alterações substanciais, avisamos você no aplicativo.

11.1 Usuários no Brasil: quem responde e a quem você se dirige

Se você usa o aplicativo no Brasil, aplica-se a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, LGPD). Tudo o que está descrito acima vale sem alteração: os mesmos dados, as mesmas finalidades, os mesmos prazos. Os pontos a seguir complementam isso e prevalecem em caso de divergência.

Controlador (art. 5º, VI, da LGPD): Theodor Staubach, An der Bogenheide 45, 16348 Wandlitz, Alemanha.

Encarregado pelo tratamento de dados pessoais (art. 41 da LGPD): Theodor Staubach, no mesmo endereço, e-mail contact@tattvue.com. Ele é o canal de comunicação entre você, nós e a ANPD. Você pode dirigir-se a esse endereço em todas as questões relativas aos seus dados, em português. Não temos filial, agência nem escritório no Brasil; a lei não exige um representante no país, apenas um canal acessível.

Atendemos os pedidos recebidos por esse canal em português e sem custo para você.

11.2 Bases legais segundo os arts. 7º e 11 da LGPD

A seção 6 indica as bases legais do RGPD, que valem em Portugal. No Brasil valem estas:

• conta, geração de imagens, saldo, compras, códigos de convite e de presente: execução do contrato de uso do qual você é parte, a seu pedido – art. 7º, V, da LGPD
• proteção contra abuso, identificador do dispositivo e contadores da seção 2.7: legítimo interesse em manter o serviço funcionando e acessível – art. 7º, IX, da LGPD; quanto à prevenção à fraude na identificação e autenticação, também o art. 11, II, "g"
• estatística de uso da seção 2.8: legítimo interesse em melhorar o aplicativo – art. 7º, IX, da LGPD
• comentários e avaliações: seu consentimento – art. 7º, I, da LGPD
• acesso à câmera e às fotos: sua autorização no sistema operacional, revogável a qualquer momento

Dados pessoais sensíveis: como explicado na seção 2.3, mantemos a medição de brilho deliberadamente de uma forma que não gera nenhuma classificação da sua pessoa e não repassamos nenhuma indicação sobre a sua pele. Por isso não tratamos dado pessoal sensível na acepção do art. 5º, II, da LGPD. O tratamento da sua foto do corpo apoia-se na execução do contrato de uso do qual você é parte, a seu pedido – art. 7º, V, da LGPD.

11.3 Seus direitos segundo o art. 18 da LGPD

A qualquer momento e mediante requisição, você tem direito a:

• confirmação da existência de tratamento
• acesso aos dados
• correção de dados incompletos, inexatos ou desatualizados
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD
• portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa
• eliminação dos dados tratados com base no seu consentimento, ressalvadas as hipóteses do art. 16 da LGPD
• informação sobre as entidades públicas e privadas com as quais compartilhamos seus dados – elas estão nomeadas na seção 4
• informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa
• revogação do consentimento

Além disso, você pode se opor a tratamento fundado no legítimo interesse (art. 18, § 2º, da LGPD) e solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses (art. 20 da LGPD). Isso vale, em especial, para a recusa automática de uma foto ou de um motivo pela nossa verificação de conteúdo e para o bloqueio automático quando os limites de uso da seção 2.7 são atingidos: basta escrever para contact@tattvue.com e uma pessoa reexamina o caso.

Basta um e-mail para contact@tattvue.com. Respondemos de imediato ou, quando isso não for possível, no prazo de quinze dias (art. 19, II, da LGPD).

11.4 Transferência internacional de dados (art. 33 da LGPD)

Seus dados saem do Brasil. Informamos você previamente sobre o caráter internacional dessas operações; a seção 5 mostra quem trata o quê e onde.

Destinatários na União Europeia – a operação do servidor (Vercel, região Frankfurt „fra1"), o banco de dados da conta e o armazenamento temporário das imagens (Neon, região Frankfurt), os contadores de proteção contra abuso (Upstash, região Frankfurt) e o nosso próprio tratamento na Alemanha: a transferência apoia-se no art. 33, I, da LGPD. Em 26 de janeiro de 2026 a ANPD reconheceu a União Europeia como organismo internacional com grau de proteção de dados adequado ao previsto na LGPD (Resolução CD/ANPD nº 32/2026). Até 24 de agosto de 2026 o servidor, o banco de dados e os contadores estavam nos Estados Unidos e apoiavam-se no art. 33, IX; uma cópia dos dados daquela data continua lá, até que a apaguemos.

Destinatários nos Estados Unidos – a atribuição das suas compras (RevenueCat), a proteção da imagem de teste gratuita (Apple, DeviceCheck), o download de atualizações do programa (Expo, seção 2.11) e a administração do envio dos nossos e-mails (Resend, seção 5 – o envio parte da Irlanda, mas os dados sobre ele ficam nos EUA): para os Estados Unidos não existe decisão de adequação da ANPD. Essas transferências são necessárias para a execução do contrato de uso do qual você é parte, a seu pedido, e apoiam-se no art. 33, IX, da LGPD, combinado com o art. 7º, V.

Destinatário sem país determinado – a geração do motivo e da prévia e a verificação automática de conteúdo (Google, seção 5): o tratamento ocorre em todo o mundo, e não conseguimos indicar um país. Também aqui não existe decisão de adequação da ANPD. A transferência é necessária para a execução do contrato de uso do qual você é parte, a seu pedido, e apoia-se no art. 33, IX, da LGPD, combinado com o art. 7º, V.

Sobre as cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024): com a RevenueCat, a Apple, a Expo e a Resend não firmamos essas cláusulas – para essas transferências vale o art. 33, IX, indicado acima. Já o Google incorpora cláusulas aprovadas pela ANPD no seu Cloud Data Processing Addendum, e elas se aplicam na medida em que utilizamos o Google Cloud (Vertex AI), como descrito na seção 4. Se e quando firmarmos outras, atualizaremos esta política e disponibilizaremos uma cópia mediante solicitação enviada para contact@tattvue.com.

Dito com sinceridade, como já na seção 5: não é possível excluir por completo que autoridades dos Estados Unidos acessem dados tratados ali.

11.5 Autoridade, prazos e o que não fazemos

Autoridade: você pode apresentar reclamação à Agência Nacional de Proteção de Dados (ANPD), www.gov.br/anpd. A autoridade alemã indicada na seção 8 não é competente para você.

Incidentes de segurança: se ocorrer um incidente de segurança que possa acarretar risco ou dano relevante a você, comunicamos a ANPD e você, nos termos do art. 48 da LGPD.

Não vendemos seus dados pessoais, não os repassamos para fins publicitários e não criamos perfis publicitários.