Política de Privacidade

Última atualização: 17 de setembro de 2026

O Ponte guarda o registro do dia a dia de uma criança com TDAH e/ou autismo — o que aconteceu, o que ajudou, o laudo, o plano da escola. É informação sobre a saúde de uma criança, e das mais íntimas que existem. Esta política diz, sem rodeio, o que o app guarda, com quem isso pode ser dividido e o que você pode fazer a respeito.

1. Quem responde por estes dados

O Ponte é desenvolvido e operado de forma independente, no Brasil, e é o controlador dos dados descritos aqui, nos termos da Lei Geral de Proteção de Dados (Lei 13.709/2018).

Para qualquer assunto desta política — uma dúvida, um pedido de acesso, de correção ou de exclusão, uma reclamação —, escreva para oi@ponteapp.com.br. Respondemos em até 15 dias.

Encarregado pelo tratamento de dados (art. 41 da LGPD)

A lei exige que o controlador indique um encarregado — a pessoa que recebe as reclamações e comunicações dos titulares e da ANPD, presta os esclarecimentos e providencia o que for pedido — e que divulgue publicamente esse contato. É o que esta seção faz.

O Ponte é operado por uma pessoa só, e a função de encarregado é exercida por quem responde pela operação do Ponte. O canal é oi@ponteapp.com.br — o mesmo endereço do parágrafo acima, e isso é de propósito: um segundo endereço que ninguém lê seria pior para você do que um só que é lido todo dia.

Escreva para lá tanto para exercer um direito seu quanto para questionar a forma como tratamos os dados, e diga que o assunto é para o encarregado. Se um dia essa função passar a ser exercida por uma pessoa ou empresa diferente de quem opera o Ponte, o nome aparece aqui.

2. Sobre quem são os dados, e quem autoriza

Quase tudo que o Ponte guarda é sobre uma criança. Quem cria a conta, aceita esta política, dá cada autorização e opera o app é o adulto responsável por ela.

A criança não faz cadastro, não tem senha e não tem conta própria. Quando ela usa o Ponte, é numa tela sem login, aberta pelo responsável no aparelho dela.

Se você não é o responsável legal pela criança, não use o Ponte para registrar dados sobre ela.

Uma escolha nossa que vale dizer: o perfil de apoio tem um campo perguntando se a criança concordou em construí-lo. Não é obrigatório e o app não bloqueia nada com base na resposta. Ele está lá porque um registro sobre alguém deveria, sempre que possível, ser feito com essa pessoa.

3. O que o Ponte guarda

Da sua conta

• Seu e-mail e sua senha. A senha é guardada pelo serviço de autenticação que usamos em formato que não permite lê-la de volta; nós não vemos a sua senha.
• Entrar com o Google, se você quiser. Você pode criar sua conta e entrar com uma Conta do Google ou com e-mail e senha — a escolha é sua, e as duas levam à mesma conta. Se você usar o Google, ele nos envia nome, e-mail e foto de perfil. O nome preenche a saudação do app (você pode trocá-lo em Configurações › Dados da conta), o e-mail identifica a conta, e a foto não é usada em lugar nenhum do Ponte — ela chega junto e fica guardada pelo serviço de autenticação, e é por isso que está declarada aqui. Não há login com Apple.
• O e-mail de quem você convidar para cuidar junto, com o papel e as permissões daquele convite.
• Seu nome, se você quiser dar um. É opcional e serve para uma coisa só: o app cumprimentar você pelo nome. Não vai para lugar nenhum fora da sua conta, e você pode apagá-lo quando quiser em Configurações › Dados da conta.

Da criança

• Nome, data de nascimento (opcional), se tem TDAH, se tem autismo ou se está em investigação, e as anotações que você escrever.
• O perfil de apoio: forças, interesses, como ela se comunica, preferências sensoriais, sinais de sobrecarga, o que ajuda, o que evitar, necessidades de previsibilidade, autonomia e as preferências que ela mesma expressou.
• Os ajustes de experiência e de acessibilidade que você definiu para ela.

O diário — dados sobre saúde

• Humor, sono, alimentação, se a medicação foi tomada, o tipo e a descrição do que aconteceu, o contexto antes, o ambiente sensorial, energia, desconforto físico, mudança de rotina, o que ela precisou, o apoio oferecido e se ajudou, quanto tempo levou para se recuperar, observações, a perspectiva da própria criança e qual cuidador escreveu cada registro.

A rotina

• Atividades, passos e fotos, o que foi concluído, os pedidos de ajuda, de pausa e de "não consigo hoje", os dias marcados como fora da rotina, pontos, recompensas e resgates. Se você quiser, pode gravar a sua voz para cada etapa da rotina — a criança ouve o passo na voz de casa. Essa gravação fica guardada como as fotos, não é o áudio temporário do diário (ver seção 10).
• As palavras, as fotos e a voz que a família gravar do jogo "Palavras do meu mundo" (a criança toca na figura e ouve a palavra), que aparecem apenas na tela da própria criança dentro do app. Essa voz gravada fica guardada como as fotos — não é o áudio temporário do diário (ver seção 10).

Agenda e profissionais

• Compromissos e lembretes, e a ficha dos profissionais que você cadastrar (nome, especialidade, contato).

Documentos — dados sobre saúde

• Laudo, CIPTEA e PEI, com data de vencimento.

A consulta

• As perguntas que você anota para levar ao profissional, e a resposta que ele deu.

O compartilhamento

• Cada link criado: o que ele mostra, o período, o prazo, o teto de aberturas, se nomeia a criança, quantas vezes foi aberto e quando foi a última vez.

Aparelho e pagamento

• Um identificador de notificação por aparelho, para os lembretes chegarem.
• Se você assinar, o comprovante da compra emitido pelo Google Play. O pagamento é processado pelo Google: o Ponte não recebe e não guarda dados do seu cartão.

Áudio do diário, temporariamente

• Se você registrar falando, o áudio sobe para uma área temporária, é enviado para transcrição e apagado assim que a transcrição termina. Ele não fica guardado junto do registro. Ver a seção 6.

O que o Ponte não faz

O app não tem SDK de publicidade nem de rastreamento de terceiros: nada do que você registra é vendido, usado para anúncio ou enviado para montar um perfil seu. A única medição dentro do aplicativo é a contagem de quais telas são abertas, descrita na seção 11 — ela não leva nada do que você escreve, e você pode desligá-la em Configurações › Privacidade e consentimentos. O site que você está lendo agora também mede acesso, e a mesma seção 11 conta como. Não vendemos os seus dados, não os usamos para publicidade e não usamos o que você escreve para treinar modelos de inteligência artificial.

4. As cinco autorizações

Elas ficam em Configurações → Privacidade e consentimentos, cada uma num interruptor próprio. Ligar e desligar é decisão sua, a qualquer momento.

5. Compartilhamento: sempre por escolha sua

Nenhum dado da criança sai do app sozinho. Ele sai quando você cria um link, e o link é montado por você:

• Campo a campo — você marca o que aparece na página (o evento, as categorias, humor, contexto, rotina, apoio, medicação, observações) e o que fica de fora.
• Período — quantos dias para trás a página cobre.
• Prazo — a data em que o link para de valer.
• Teto de aberturas — opcional; atingido o teto, o link não abre mais.
• Nome — você escolhe se a página nomeia a criança ou não.

Você vê, para cada link, quantas vezes ele foi aberto e quando foi a última vez. E pode revogá-lo a qualquer momento.

Uma honestidade sobre o "quem": o app registra cada abertura — qual link, o que foi aberto e quando. Ele não guarda o endereço de IP nem qualquer outra coisa que identifique a pessoa do outro lado. O "quem" vem de você saber a quem entregou cada link. Isso foi decidido assim de propósito: a trilha existe para você auditar o seu link, não para rastrear a terapeuta. Essa trilha completa, acesso por acesso, sai no seu export.

Os documentos (laudo, CIPTEA, PEI) e as fotos da rotina nunca entram na página do terapeuta ou da escola. As fotos dos passos aparecem apenas na tela da própria criança, aberta pelo link que você criou para o aparelho dela.

6. Inteligência artificial, e a saída do país

O Ponte usa inteligência artificial em quatro operações. Todas as quatro dependem de uma única autorização sua — "Autorizo enviar áudio/texto do diário para IA" — e nenhuma delas acontece se essa autorização estiver desligada: o servidor recusa a chamada antes de qualquer coisa sair do aparelho.

As quatro são diferentes entre si, e o que sai em cada uma também é:

• Transcrever o áudio. O arquivo de áudio que você gravou vai para a OpenAI, que devolve o texto.
• Estruturar o relato. O texto — o que você falou e foi transcrito, ou o que você digitou — vai para a Anthropic, que separa o relato nos campos do diário. Você revisa e edita tudo antes de salvar.
• Escrever a prosa do resumo da consulta. Aqui o diário não vai. Vão números e contagens já apurados pelo próprio app (o período, quantos registros, o que se repetiu, o que ajudou) e o primeiro nome da criança, para que o texto possa chamá-la pelo nome em vez de dizer "a criança" o tempo todo. Vai para a Anthropic.
• Agrupar os apoios que se repetem, na tela de padrões. Saem apenas os rótulos de apoio e quantas vezes cada um apareceu — por exemplo, "respirar fundo: 12". Nunca o texto do diário, nunca o nome da criança, nunca as datas. Vai para a Anthropic. O que volta também é filtrado: o app só aceita de volta rótulos que ele mesmo enviou, na grafia em que você os escreveu.

Transferência internacional de dados (art. 33 da LGPD)

A Anthropic e a OpenAI processam esses dados nos Estados Unidos. Isso significa que, nas quatro operações acima, dados sobre a saúde de uma criança saem do Brasil.

Dito com todas as letras:

• O que sai: o áudio que você gravou; o texto do relato do diário; as contagens do período mais o primeiro nome da criança; e os rótulos de apoio com as suas contagens. Nada além disso.
• Para onde: OpenAI (transcrição) e Anthropic (as outras três), ambas nos Estados Unidos.
• Para quê: exclusivamente para produzir a resposta daquela chamada — a transcrição, os campos preenchidos, o texto do resumo, os grupos de apoio. Não usamos esses dados para treinar modelos.
• Quando: somente enquanto a autorização "Autorizo enviar áudio/texto do diário para IA" estiver ligada. Desligue-a e nenhuma das quatro operações sai do aparelho.

Se você não quer que nada saia do país, deixe essa autorização desligada. O resto do Ponte — o diário escrito à mão, a rotina, a agenda, os documentos, o compartilhamento com terapeuta e escola, o resumo da consulta sem a prosa — continua funcionando inteiro, e sem sair do Brasil.

Uma exceção, declarada

Ao criar uma atividade da rotina, o app pode sugerir os passos. Nesse caso sai do aparelho apenas o título que você digitou — por exemplo, "escovar os dentes". Nenhum dado da criança, nenhum registro do diário, nenhum nome. Por isso essa sugestão não depende da autorização de IA. Ela também é atendida pela Anthropic, nos Estados Unidos.

O que nunca vai para a IA

Os documentos (laudo, CIPTEA, PEI), as fotos, a agenda, os profissionais, os dados da sua conta e o nome completo da criança.

O áudio

Assim que a transcrição termina, o arquivo é apagado da área temporária — na mesma chamada, tanto quando dá certo quanto quando dá errado, por qualquer caminho que a operação tome. Se o envio for interrompido antes de chegar lá (o app fechou, a conexão caiu), o arquivo pode permanecer um tempo a mais nessa área temporária antes de ser removido: uma limpeza automática roda de hora em hora e apaga o que já passou de uma hora ali, então mesmo esse caso termina em no máximo cerca de duas horas.

Em nenhum dos casos o áudio entra no seu histórico nem fica guardado junto do registro: o que fica salvo é o texto que você revisou, e apagar o registro apaga esse texto.

7. Onde os dados ficam, e quem tem acesso

O banco de dados e os arquivos ficam no Brasil, na região de São Paulo do Supabase, nosso provedor de infraestrutura. Alguns serviços ficam fora do país, cada um com um pedaço diferente: as chamadas de IA vão para a Anthropic e a OpenAI, nos Estados Unidos — dependem da sua autorização, e a seção 6 as descreve inteiras; as notificações passam pelo Firebase Cloud Messaging, do Google, também nos Estados Unidos; os relatórios de erro do aplicativo vão para o Sentry, na União Europeia; a verificação contra robôs, no cadastro e na entrada com senha, é feita pela Cloudflare, empresa dos Estados Unidos, na rede dela, que tem servidores em vários países — a seção 8 explica; e a medição de uso do aplicativo vai para o Google, nos Estados Unidos. Este site é servido pela Cloudflare, e a medição de acesso do site vai para o Google Analytics, também nos Estados Unidos — a seção 11 descreve essa parte inteira.

O relatório de erro existe para descobrirmos que alguma coisa quebrou antes de você precisar avisar. Ele leva o tipo do erro, o ponto do código onde aconteceu, o modelo do aparelho e a versão do app. Não leva o que você escreveu no diário, o nome nem a data de nascimento da criança, a transcrição do áudio, o seu e-mail, nem o conteúdo das telas — isso é retirado no próprio aparelho, antes de sair.

Dentro do app, o acesso é decidido pelo banco de dados, linha a linha: cada leitura confere se você é responsável por aquela criança, ou um cuidador com aquela permissão específica. Não é uma checagem de tela.

Você pode convidar outro adulto para cuidar junto, com as permissões que você escolher. Os documentos e o identificador de notificação de cada pessoa ficam fora desse compartilhamento.

8. Segurança

• Todo o tráfego entre o app, o site e os servidores é criptografado (HTTPS).
• A sua sessão fica no armazenamento seguro do sistema operacional do aparelho, não em texto puro.
• Se você entra com e-mail e senha, pode passar a entrar pela biometria do aparelho, em vez de digitar a senha toda vez.
• Para barrar programas que tentam criar contas ou adivinhar senhas em massa, o app faz uma verificação invisível da Cloudflare (Turnstile) quando você cria a conta, entra com e-mail e senha (inclusive pela digital), confirma a sua senha, pede para redefinir a senha ou o PIN, ou pede de novo o e-mail de confirmação. Ela não aparece na tela e usa só sinais técnicos da conexão — o endereço de IP, a identificação do navegador embutido no app e a assinatura técnica da conexão segura — para distinguir uma pessoa de um robô. Não recebe o seu e-mail, a sua senha nem nada sobre a criança. Quem entra pelo Google não passa por ela. A Cloudflare também usa esses sinais para melhorar a própria detecção de robôs, como descreve o adendo de privacidade do Turnstile.
• O modo criança tem um PIN de saída, para a criança usar o aparelho sem alcançar o restante do app.
• Nenhuma medida é perfeita. Se acontecer um incidente de segurança com risco relevante para você, comunicaremos você e a Autoridade Nacional de Proteção de Dados (ANPD).

9. Os seus direitos

A LGPD garante a você confirmação e acesso aos dados, correção, anonimização, bloqueio ou eliminação, portabilidade, informação sobre com quem foram compartilhados, e revogação do consentimento.

No Ponte, os dois principais ficam em Configurações: exportar tem tela própria, em Dados da conta; excluir é um cartão à parte, direto no painel.

• Exportar meus dados (em Configurações → Dados da conta) — gera um arquivo com tudo: perfis, o diário inteiro (sem o corte de 30 dias do plano gratuito), rotina, agenda, profissionais, documentos, perguntas da consulta, colaboradores, as suas autorizações com as datas, os links criados e a trilha de acesso de cada um. A exportação não depende de assinatura: o direito do titular não é item de plano pago.
• Excluir conta (cartão em Configurações, que abre um diálogo de confirmação) — apaga a conta e os dados. Pede a senha da sua conta ou, se você entra pelo Google, a confirmação pela sua Conta do Google — e um login recente. As fotos, os documentos e os áudios gravados do jogo e das etapas da rotina são removidos antes de a conta ser apagada; se essa limpeza falhar, a exclusão não é dada como concluída, para que nenhum arquivo fique órfão.

Revogar consentimento: qualquer uma das cinco autorizações, a qualquer momento, em Configurações. Para o que não tem botão, escreva para oi@ponteapp.com.br.

10. Por quanto tempo guardamos

• O que você registra fica enquanto a conta existir, ou até você apagar.
• O áudio do registro por voz fica na área temporária o tempo da transcrição, e é apagado ao fim dela — dê certo ou dê errado. Se o envio for interrompido antes de chegar lá, o arquivo pode permanecer um tempo a mais: uma limpeza automática roda de hora em hora e apaga o que já passou de uma hora nessa área. É o mesmo que a seção 6 descreve, e é o prazo máximo que o áudio tem. Ele nunca passa a fazer parte do seu histórico.
• A voz que a família gravar — para o jogo "Palavras do meu mundo" e para as etapas da rotina — é a exceção: ela fica guardada como as fotos — no Brasil, e só na tela da própria criança — enquanto a conta existir, ou até você apagar aquela palavra ou etapa, ou a conta. Diferente do áudio do diário, ela não é temporária.
• Um link de compartilhamento deixa de valer no prazo que você definiu, ao atingir o teto de aberturas, ou quando você o revoga. Quando isso acontece, o segredo daquele link é apagado do nosso banco, diariamente: fica o registro de que você o criou, o que ele mostrava e quem o abriu — some a chave que abria a página, porque ela já não serve para nada.
• Ao excluir a conta, os dados são apagados. Cópias de segurança de rotina do provedor de infraestrutura podem conter o dado por um período curto até serem sobrescritas.

11. Medição de uso: o aplicativo e este site

No aplicativo

Desde 3 de setembro de 2026, o aplicativo registra quais telas são abertas. Antes disso ele não media nada, e nós não tínhamos como saber o que as famílias usam, o que passa despercebido e onde o caminho trava — o que nos deixava melhorando o Ponte no escuro.

O que é enviado, e só isso: o nome da tela (por exemplo “agenda”, “diário”, “modo criança”), o momento em que ela foi aberta, e as informações que o serviço coleta sozinho sobre o aparelho — modelo, versão do sistema, versão do app, idioma e uma noção aproximada de região — junto de um identificador da instalação, que distingue um aparelho de outro sem dizer quem você é.

O que nunca é enviado: nome seu ou da criança, e-mail, data de nascimento, diagnóstico, nada do diário, nenhuma foto, nenhum documento, nenhum áudio, nenhuma palavra que você tenha escrito ou gravado. O nome da tela não carrega conteúdo junto — saber que alguém abriu o diário não é saber o que ele diz.

Você pode desligar. Em Configurações › Privacidade e consentimentos, o item “Ajudar a melhorar o Ponte” vem ligado e pode ser desligado a qualquer momento. Desligar interrompe a coleta inteira naquele aparelho, e não só o registro de telas. A escolha vale por aparelho, porque a medição é por instalação.

Publicidade, não. O identificador de publicidade do aparelho não é coletado, e os sinais de anúncio ficam desligados no próprio aplicativo: não veiculamos anúncios e não montamos público para anunciante nenhum.

Transferência internacional (art. 33 da LGPD): essa medição é processada pelo Google (Firebase Analytics / Google Analytics) nos Estados Unidos.

Neste site

Esta página e a página inicial de ponteapp.com.br são servidas pela Cloudflare.

Desde 2 de setembro de 2026, medimos o acesso a este site com o Google Analytics. É uma medição separada da do aplicativo: serve para saber quantas pessoas chegam aqui, por onde vieram e no que clicam — sem isso não temos como saber o que está funcionando.

Como funciona, exatamente:

• Antes de você responder ao aviso, nenhum cookie é gravado. A medição começa com o armazenamento desligado: contamos a visita, a página, a origem e os cliques sem guardar nada no seu navegador e sem um identificador que siga você de uma visita para a outra.
• Se você aceitar, o Google Analytics passa a gravar cookies próprios (_ga) para reconhecer visitas repetidas do mesmo navegador. É só isso que muda.
• A sua escolha fica guardada no próprio navegador (em localStorage, não em cookie) e vale para este aparelho. Para mudar de ideia a qualquer momento: abrir as preferências de medição — o mesmo link fica no rodapé das páginas do site.
• Publicidade, não. Os consentimentos de anúncio do Google ficam desligados sempre, inclusive para quem aceita: não veiculamos anúncios e não montamos público para anunciante nenhum.

O que é enviado ao Google: o endereço da página, o site que trouxe você, idioma, tipo de aparelho e de navegador, uma noção aproximada de região, e os cliques que marcamos (entrar na lista, quero testar, abrir o Grupo, abrir a Play). O endereço de IP é usado pelo Google para deduzir a região e não é armazenado no Google Analytics 4. Nunca enviamos e-mail, nome, nem dado nenhum de criança — nada disso existe neste site.

Transferência internacional (art. 33 da LGPD): o Google Analytics processa esses dados nos Estados Unidos. Os dados de evento ficam retidos por 2 meses e os de usuário por 14 meses; depois disso o Google os apaga.

Se você entrar na lista de espera, guardamos apenas o e-mail que você digitou, numa planilha nossa, e o usamos só para avisar do lançamento. O seu endereço de IP é usado para limitar tentativas repetidas do mesmo lugar e é descartado em no máximo uma hora — ele não é gravado junto do e-mail. Para sair da lista, escreva para oi@ponteapp.com.br.

As fontes desta página são carregadas do Google Fonts, então o seu navegador faz uma requisição aos servidores do Google ao abrir a página.

12. Crianças e adolescentes

Os dados aqui são sobre uma criança, e o Ponte trata isso como o art. 14 da LGPD manda: o tratamento acontece com o consentimento específico e em destaque do pai, da mãe ou do responsável legal — que é exatamente quem cria a conta, aceita esta política e dá cada uma das cinco autorizações, cada uma no seu momento (a de registrar ao criar a conta; a de compartilhar ao criar o primeiro link; as demais ao usar cada recurso).

O app não é feito para a criança criar conta, e não pede dados diretamente a ela. Nenhuma atividade da criança dentro do app é condicionada a fornecer mais informação do que o necessário.

13. Mudanças nesta política

Se algo mudar, a data no topo desta página muda junto. Se a mudança alterar de forma relevante o que fazemos com os seus dados, avisaremos antes de ela passar a valer.

14. Como falar com a gente