Política de Privacidade

Última atualização: 26 de outubro de 2026

O Ponte guarda o registro do dia a dia de uma criança com TDAH e/ou autismo — o que aconteceu, o que ajudou, o laudo, o plano da escola. É informação sobre a saúde de uma criança, e das mais íntimas que existem. Esta política diz, sem rodeio, o que o app guarda, com quem isso pode ser dividido e o que você pode fazer a respeito.

1. Quem responde por estes dados

O Ponte é desenvolvido e operado de forma independente, no Brasil, e é o controlador dos dados descritos aqui, nos termos da Lei Geral de Proteção de Dados (Lei 13.709/2018).

Para qualquer assunto desta política — uma dúvida, um pedido de acesso, de correção ou de exclusão, uma reclamação —, escreva para oi@ponteapp.com.br. Respondemos em até 15 dias.

Encarregado pelo tratamento de dados (art. 41 da LGPD)

A lei exige que o controlador indique um encarregado — a pessoa que recebe as reclamações e comunicações dos titulares e da ANPD, presta os esclarecimentos e providencia o que for pedido — e que divulgue publicamente esse contato. É o que esta seção faz.

O Ponte é operado por uma pessoa só, e a função de encarregado é exercida por quem responde pela operação do Ponte. O canal é oi@ponteapp.com.br — o mesmo endereço do parágrafo acima, e isso é de propósito: um segundo endereço que ninguém lê seria pior para você do que um só que é lido todo dia.

Escreva para lá tanto para exercer um direito seu quanto para questionar a forma como tratamos os dados, e diga que o assunto é para o encarregado. Se um dia essa função passar a ser exercida por uma pessoa ou empresa diferente de quem opera o Ponte, o nome aparece aqui.

2. Sobre quem são os dados, e quem autoriza

Quase tudo que o Ponte guarda é sobre uma criança. Quem cria a conta, aceita esta política, dá cada autorização e opera o app é o adulto responsável por ela.

A criança não faz cadastro, não tem senha e não tem conta própria. Quando ela usa o Ponte, é numa tela sem login, aberta pelo responsável no aparelho dela.

Se você não é o responsável legal pela criança, não use o Ponte para registrar dados sobre ela.

Uma escolha nossa que vale dizer: o perfil de apoio tem um campo perguntando se a criança concordou em construí-lo. Não é obrigatório e o app não bloqueia nada com base na resposta. Ele está lá porque um registro sobre alguém deveria, sempre que possível, ser feito com essa pessoa.

3. O que o Ponte guarda

Da sua conta

• Seu e-mail e sua senha. A senha é guardada pelo serviço de autenticação que usamos em formato que não permite lê-la de volta; nós não vemos a sua senha.
• Entrar com o Google, se você quiser. Você pode criar sua conta e entrar com uma Conta do Google ou com e-mail e senha — a escolha é sua, e as duas levam à mesma conta. Se você usar o Google, ele nos envia nome, e-mail e foto de perfil. O nome preenche a saudação do app (você pode trocá-lo em Configurações › Dados da conta), o e-mail identifica a conta, e a foto não é usada em lugar nenhum do Ponte — ela chega junto e fica guardada pelo serviço de autenticação, e é por isso que está declarada aqui.
• Entrar com a Apple, no iPhone e no iPad, se você quiser. A Apple nos envia um identificador da sua conta Apple e um e-mail — o seu, ou um endereço de retransmissão da própria Apple, se você escolher ocultar o seu; nesse caso, os e-mails do Ponte chegam a você por esse endereço. Só na primeira vez, ela pode enviar também o seu nome, que preenche a saudação do app. Quando você exclui a conta, pedimos à Apple que revogue o acesso do Ponte à sua conta Apple.
• O e-mail de quem você convidar para cuidar junto, com o papel e as permissões daquele convite. Cada convite tem um código que a pessoa convidada pode usar se entrar com outro e-mail. O código fica guardado sem acesso pelo app até o convite ser aceito ou vencer (30 dias), e quem tem o código pode aceitar o convite — envie só para quem você está convidando.
• Seu nome, se você quiser dar um. É opcional e serve para uma coisa só: o app cumprimentar você pelo nome. Não vai para lugar nenhum fora da sua conta, e você pode apagá-lo quando quiser em Configurações › Dados da conta.
• Em que sistema a conta começou: iPhone, Android ou navegador. Só o nome do sistema, sem modelo nem versão, para sabermos em que aparelhos o Ponte é usado. Fica junto da conta e sai com ela.
• O que você escrever no “Fale conosco” do app: a mensagem, o tipo (sugestão, problema, elogio), a versão do app, o sistema do aparelho, a tela de onde você escreveu e o e-mail da sua conta, para podermos responder. A mensagem fica guardada no banco junto da sua conta e sai com ela; uma cópia chega por e-mail a quem opera o Ponte (ver a seção 7 e a seção 10).

Da criança

• Nome, data de nascimento (opcional), se tem TDAH, se tem autismo ou se está em investigação, e as anotações que você escrever.
• O perfil de apoio: forças, interesses, como ela se comunica, preferências sensoriais, sinais de sobrecarga, o que ajuda, o que evitar, necessidades de previsibilidade, autonomia e as preferências que ela mesma expressou.
• Os ajustes de experiência e de acessibilidade que você definiu para ela.

O diário — dados sobre saúde

• Humor, sono, alimentação, se a medicação foi tomada, o tipo e a descrição do que aconteceu, o contexto antes, o ambiente sensorial, energia, desconforto físico, mudança de rotina, o que ela precisou, o apoio oferecido e se ajudou, quanto tempo levou para se recuperar, observações, a perspectiva da própria criança e qual cuidador escreveu cada registro (incluindo, quando você escolhe levar uma observação ao diário, a pessoa que cuidava por algumas horas).
• A página do dia, se você preencher: como a criança se sentiu, como foi o dia (comer, beber água, se comunicar, brincar, seguir a rotina, se movimentar), como foi a noite e a hora de dormir e de acordar, quantas vezes fez xixi, cocô e escovou os dentes, e o recado do dia. Ela só vai no link do diário se você marcar "Incluir a página do dia" ao criar o link.
• Se você começar um registro e não terminar, o que já foi preenchido fica guardado só neste aparelho, para você continuar depois. Esse rascunho não é enviado ao Ponte e é apagado quando você salva, descarta ou sai da conta, ou depois de 7 dias.

A rotina

• Atividades, passos e fotos, o que foi concluído, os pedidos de ajuda, de pausa e de "não consigo hoje", os dias marcados como fora da rotina, pontos, recompensas e resgates. Se você quiser, pode gravar a sua voz para cada etapa da rotina — a criança ouve o passo na voz de casa. Essa gravação fica guardada como as fotos, não é o áudio temporário do diário (ver seção 10). As fotos e as vozes gravadas da rotina aparecem para a criança e também para quem você convidar com a permissão de ver a rotina (os papéis Escola e Cuidador já vêm com ela).
• As palavras, as fotos e a voz que a família gravar do jogo "Palavras do meu mundo" (a criança toca na figura e ouve a palavra), que aparecem na tela da própria criança e para quem você convidar com a permissão de ver a rotina. Essa voz gravada fica guardada como as fotos — não é o áudio temporário do diário (ver seção 10). A exceção é sua: a partir da versão 1.36 você pode exportar só o texto das palavras para um app de comunicação alternativa, sem as fotos e sem a voz (ver seção 5).

Agenda e profissionais

• Compromissos e lembretes, e a ficha dos profissionais que você cadastrar (nome, especialidade, contato).

Documentos — dados sobre saúde

• Laudo, CIPTEA e PEI, com data de vencimento.

A consulta

• As perguntas que você anota para levar ao profissional, e a resposta que ele deu.

O cartão de quem cuida

• Da pessoa que você cadastra: o nome, a relação com a criança e o número de WhatsApp, que você mesmo informa. Ela não tem conta no Ponte.
• Da criança, para o cartão: os remédios (dose e horários), a alimentação (favoritos, o que não come, bebidas, reações), os contatos para ligar, como acalmar e do que ela gosta.
• De cada turno: o período, as crianças incluídas e o que a pessoa registrou — remédio dado (com a hora), refeições, observações e pedidos de ajuda —, com quem registrou cada um.

O compartilhamento

• Cada link criado: o que ele mostra, o período, o prazo, o limite de visitas, se nomeia a criança, quantas visitas teve e quando foi a última; e para quem você disse que é o link (escola, terapeuta, médico, cuidador ou outra pessoa) e, se você quiser, um nome para lembrar — isso só você vê, nunca vai para quem recebe.
• Os destinatários de links agora incluem quem cuida da criança por algumas horas: o link temporário dessa pessoa, descrito acima e na seção 5, também fica guardado com o prazo escolhido.

Aparelho e pagamento

• Um identificador de notificação por aparelho, para os lembretes chegarem e, também, para as mensagens da equipe do Ponte descritas abaixo.
• A data da última vez que o app foi aberto na sua conta, para mandar o aviso de volta: se você ficar uma semana sem abrir o Ponte, um aviso curto, no máximo um por semana e só três seguidos. Ele pode trazer o primeiro nome da criança, sai pelo Firebase Cloud Messaging e pode ser desligado em Configurações › Aviso para voltar.
• Os dias em que o app foi aberto na sua conta — só a data, sem hora e sem o que foi feito —, para entendermos se as famílias voltam a usar o Ponte depois do cadastro. Cada data fica guardada por até 400 dias.
• Pesquisa de saída. Se o Ponte sair de todos os aparelhos da sua conta (percebemos isso quando um aviso nosso deixa de chegar a qualquer um deles), podemos mandar um único e-mail, alguns dias depois, perguntando o motivo. Responder é opcional: um toque numa das opções abre uma página do nosso site, e a resposta só é gravada quando você confirma ali. A resposta, e o texto que você quiser escrever, ficam com a sua conta e são apagados com ela. Para não receber, responda SAIR a qualquer e-mail nosso.
• Ao excluir a conta pelo app, você pode, se quiser, dizer o motivo. Essa resposta é guardada sem nada que identifique você ou a sua conta, junto com a versão do app e o sistema do aparelho, e é apagada em até 400 dias.
• Mensagens da equipe do Ponte sobre o uso do app — por exemplo, um convite para uma pesquisa opcional —, por e-mail ou notificação, no máximo uma por semana. Para parar: no e-mail, responda SAIR; na notificação, desligue o aviso em Configurações. A pesquisa, quando houver, é opcional e fica no serviço indicado no próprio link; o que você responder lá segue a política desse serviço.
• Se você assinar, o comprovante da compra emitido pela loja em que você assinou: o Google Play ou a App Store. O pagamento é processado pelo Google ou pela Apple: o Ponte não recebe e não guarda dados do seu cartão. Guardamos só o necessário para liberar o acesso: qual plano, a data de validade e o identificador da compra na loja.

Áudio do diário, temporariamente

• Se você registrar falando, o áudio sobe para uma área temporária, é enviado para transcrição e apagado assim que a transcrição termina. Ele não fica guardado junto do registro. Ver a seção 6.

O que o Ponte não faz

O app não tem SDK de publicidade nem de rastreamento de terceiros: nada do que você registra é vendido, usado para anúncio ou enviado para montar um perfil seu. Dentro do aplicativo, a medição é a contagem de quais telas são abertas e, a partir da versão 1.35.5, de seis marcos de uso, sem conteúdo nenhum, descrita na seção 11 — ela não leva nada do que você escreve, e você pode desligá-la em Configurações › Privacidade e consentimentos. O site que você está lendo agora também mede acesso, e a mesma seção 11 conta como. Não vendemos os seus dados, não os usamos para publicidade e não usamos o que você escreve para treinar modelos de inteligência artificial.

4. As seis autorizações

Elas ficam em Configurações → Privacidade e consentimentos, cada uma num interruptor próprio. Ligar e desligar é decisão sua, a qualquer momento.

Desde 28 de setembro de 2026, cada vez que uma autorização é dada ou retirada, o Ponte registra quando foi e qual versão do texto dela estava valendo. Esse histórico não pode ser alterado pelo app, serve para provar o que você autorizou e quando, e é apagado junto com a conta.

5. Compartilhamento: sempre por escolha sua

Nenhum dado da criança sai do app sozinho. Ele sai por um toque seu: quando você cria um link, ou quando gera um arquivo e escolhe para onde mandá-lo (ver "Arquivos que você gera no aparelho", no fim desta seção). O link é montado por você:

• Campo a campo — você marca o que aparece na página (o evento, as categorias, humor, contexto, rotina, apoio, medicação, observações) e o que fica de fora.
• Período — quantos dias para trás a página cobre.
• Prazo — a data em que o link para de valer.
• Limite de visitas — opcional. Atingido o limite de visitas, o link não abre para mais ninguém; quem já visitou ainda consegue reabrir por até 12 horas, até você parar o link.
• Nome — você escolhe se a página nomeia a criança ou não.

Você vê, para cada link, quantas visitas ele teve e quando foi a última. E pode revogá-lo a qualquer momento.

Uma honestidade sobre o "quem": o app registra cada visita — qual link, o que foi aberto e quando — e não guarda o endereço de IP de quem abre. Para contar as visitas a um link, o navegador de quem recebe guarda um identificador aleatório, que não diz quem é a pessoa; o Ponte guarda só uma versão embaralhada dele, diferente para cada link. Recarregar a página na mesma visita não conta de novo. O "quem" vem de você saber a quem entregou cada link. Isso foi decidido assim de propósito: a trilha existe para você auditar o seu link, não para rastrear a terapeuta. Essa trilha completa, acesso por acesso, sai no seu export enquanto existir: ela fica guardada até 90 dias depois que o link deixa de valer, e então é apagada (ver seção 10).

Os documentos (laudo, CIPTEA, PEI) e as fotos da rotina nunca entram na página de um link de terapeuta ou escola. As fotos dos passos e as vozes gravadas aparecem na tela da própria criança (no app ou pelo link que você criou para o aparelho dela) e para quem entra com a própria conta e recebeu de você a permissão de ver a rotina.

Quem cuida da criança por algumas horas

Isto depende da sexta autorização, "Quem cuida da criança" (seção 4). Você pode dar a uma babá, avó ou outra pessoa de confiança um link temporário, o "Cartão de quem cuida". Quem recebe o link não tem conta no Ponte: guardamos apenas o nome, a relação com a criança e o número de WhatsApp que você informou ao criar o link.

O que a página mostra: só o primeiro nome da criança (sem foto), os remédios ativos com dose e horários, a alimentação (favoritos, o que ela não come, bebidas e reações), os contatos para ligar, como acalmar (o que ajuda, o que evitar e os sinais de sobrecarga) e do que ela gosta. A mensagem do WhatsApp não cita a criança nem remédio. O Ponte não envia nada pelo WhatsApp: o app apenas abre, no seu próprio celular, um link wa.me ou a folha de compartilhamento do sistema, e é você quem envia. Nenhum servidor nosso manda mensagem pelo WhatsApp ou pela Meta.

Até quando vale: o link vale só até o horário que você escolher, entre 15 minutos e 24 horas, e você pode encerrá-lo antes. Se você revogar a autorização "Quem cuida da criança" em Configurações › Privacidade, qualquer link aberto deixa de funcionar na hora.

O que quem cuida pode registrar: remédio dado, refeições, observações e um pedido de ajuda, que avisa por notificação os responsáveis pela criança na sua família. O pedido de ajuda chega como "<nome de quem cuida> pediu ajuda", com a mensagem que a pessoa digitou; o remédio dado, como "<nome> deu o remédio", com o primeiro nome da criança e "agora" — nunca o nome do remédio; e a refeição, como "<nome> anotou uma refeição", com o primeiro nome da criança. Essas notificações passam pelo Firebase Cloud Messaging (seção 7).

Onde ficam os registros: na conta da família, no histórico "Dias com quem cuida", até você excluir a criança ou a conta. As observações só vão para o diário se você escolher.

Quem não vê: nada disso aparece para a escola nem para o terapeuta (as contas de colaborador deles não enxergam o cartão), e os links de profissionais não incluem esse conteúdo.

Arquivos que você gera no aparelho

O app também monta alguns arquivos no próprio aparelho. Você escolhe o destino na folha de compartilhamento do sistema — WhatsApp, e-mail, a agenda do celular, outro app:

• O resumo da consulta, em PDF — o mesmo que você confere na tela antes de enviar ou imprimir.
• O relatório de padrões, em PDF (a partir da versão 1.36), na tela "Padrões e médias": o nome da criança, o período, a média de humor, quantos registros houve, os momentos difíceis e as mudanças de rotina, e os apoios que mais ajudaram, do jeito que você os escreveu.
• A agenda, em arquivo .ics (a partir da versão 1.36), para o calendário do aparelho: o nome da criança e, de cada compromisso, o título, o dia e a hora, o tipo, o profissional, o local, se é online e as suas observações. Os cancelados também vão, marcados como cancelados, para que o calendário saiba que não valem mais.
• As palavras do jogo "Palavras do meu mundo", em arquivo .obf (a partir da versão 1.36), para um app de comunicação alternativa: o nome da criança, as palavras, as sílabas e os grupos. As fotos e as vozes gravadas não vão.

Antes de o arquivo sair, você vê o que vai nele — na tela de conferência do resumo, ou num aviso que pede a sua confirmação. O Ponte não envia esses arquivos a servidor nenhum e não registra para onde eles foram. Depois de enviado, o arquivo fica com quem o recebeu: não tem prazo, teto de aberturas nem revogação, e revogar uma autorização não o alcança. Quem você convidou e pode ver o diário ou a rotina daquela criança também consegue gerar esses arquivos, no aparelho dele.

6. Inteligência artificial, e a saída do país

O Ponte usa inteligência artificial em cinco operações. Todas dependem de uma única autorização — "Autorizo enviar conteúdo para IA", a do adulto responsável pela criança (ver "Quando quem registra é alguém que você convidou", nesta seção). Nenhuma delas acontece se essa autorização estiver desligada: o servidor recusa a chamada antes de qualquer coisa chegar ao provedor.

As cinco são diferentes entre si, e o que sai em cada uma também é:

• Sugerir passos de uma atividade. Sai apenas o título como você o digitou (se ele tiver o nome da criança, o nome vai junto), sem idade, diagnóstico ou perfil da criança. Vai para a Anthropic. Até 22 de setembro de 2026, nas versões anteriores à 1.35.5, essa sugestão não dependia desta autorização (saía só o título).
• Transcrever o áudio. O arquivo de áudio que você gravou vai para a OpenAI, que devolve o texto.
• Estruturar o relato. O texto — o que você falou e foi transcrito, ou o que você digitou — vai para a Anthropic, que separa o relato nos campos do diário. Antes de sair, o nome da criança (completo e em partes) é trocado por “a criança” no texto, e normalmente recolocado na volta. Você revisa e edita tudo antes de salvar.
• Escrever a prosa do resumo da consulta. Aqui o diário não vai. Vão números e contagens já apurados pelo próprio app (o período, quantos registros, o que se repetiu, o que ajudou). O campo do nome da criança não vai: ela é chamada de “a criança”, e o Ponte normalmente recoloca o primeiro nome no texto quando ele volta, já no Brasil. Nos rótulos escritos à mão que entram nesses números, o nome também é trocado. Vai para a Anthropic.
• Agrupar os apoios que se repetem, na tela de padrões. Saem apenas os rótulos de apoio e quantas vezes cada um apareceu — por exemplo, "respirar fundo: 12". Os rótulos vão como você os escreveu (se um rótulo tiver o nome da criança, o nome vai junto). Nunca o texto do diário e nunca as datas. Vai para a Anthropic. O que volta também é filtrado: o app só aceita de volta rótulos que ele mesmo enviou, na grafia em que você os escreveu.

No registro sem IA, o texto é escrito pelo reconhecimento de voz do sistema do seu celular, fora do Ponte; em muitos aparelhos Android, esse reconhecimento é feito pelo Google.

Quando quem registra é alguém que você convidou

Quem cuida junto, a terapeuta ou a escola usam a IA pela autorização do responsável pela criança, nunca pela própria. Se ela estiver ligada, o áudio e o texto que essa pessoa gravar ou digitar no diário da criança seguem o mesmo caminho descrito acima — OpenAI para transcrever, Anthropic para estruturar — e o áudio é apagado do mesmo jeito. O áudio temporário só pode ser aberto ou apagado por quem o gravou e por você. Se a autorização estiver desligada, nada disso acontece, para ninguém que cuide daquela criança.

Se foi você quem recebeu o convite: o seu interruptor "Autorizo enviar conteúdo para IA" vale para as crianças que você mesmo cadastrou. Nas crianças de outra família, vale o do responsável por elas.

Transferência internacional de dados (art. 33 da LGPD)

A Anthropic e a OpenAI processam esses dados nos Estados Unidos. Isso significa que, na transcrição, na estruturação do diário, na prosa da consulta e no agrupamento de apoios, dados sobre a saúde de uma criança saem do Brasil. Na sugestão de passos, sai do Brasil apenas o título da atividade.

Dito com todas as letras:

• O que sai: o título da atividade; o áudio que você gravou; o texto do relato do diário; as contagens do período; e os rótulos de apoio com as suas contagens. Títulos, áudio e rótulos vão como você os escreveu ou falou; só no rascunho do diário e no resumo da consulta o nome da criança é trocado antes do envio. Nada além disso.
• Para onde: OpenAI (transcrição) e Anthropic (as outras quatro), ambas nos Estados Unidos.
• Para quê: exclusivamente para produzir a resposta daquela chamada — a transcrição, os campos preenchidos, o texto do resumo, os grupos de apoio. Não usamos esses dados para treinar modelos.
• Quando: somente enquanto a autorização "Autorizo enviar conteúdo para IA" estiver ligada. Desligue-a e nenhuma das cinco operações chega aos provedores.

Se você não quer que nada saia do país, deixe essa autorização desligada. O resto do Ponte — o diário escrito à mão, a rotina, a agenda, os documentos, o compartilhamento com terapeuta e escola, o resumo da consulta sem a prosa — continua funcionando inteiro, e sem sair do Brasil.

O que nunca vai para a IA

Os documentos (laudo, CIPTEA, PEI), as fotos, a agenda, os profissionais, os dados da sua conta e o campo do nome da criança (o nome completo e o primeiro nome cadastrados). O nome só pode ir se você mesmo o escrever num título de atividade, num rótulo de apoio ou no que fala no áudio; no rascunho do diário e no resumo da consulta ele é trocado por “a criança” antes do envio. A OpenAI recebe só o áudio, para transcrever.

O áudio

Assim que a transcrição termina, o arquivo é apagado da área temporária — na mesma chamada, tanto quando dá certo quanto quando dá errado, por qualquer caminho que a operação tome. Se o envio for interrompido antes de chegar lá (o app fechou, a conexão caiu), o arquivo pode permanecer um tempo a mais nessa área temporária antes de ser removido: uma limpeza automática roda de hora em hora e apaga o que já passou de uma hora ali, então mesmo esse caso termina em no máximo cerca de duas horas.

Em nenhum dos casos o áudio entra no seu histórico nem fica guardado junto do registro: o que fica salvo é o texto que você revisou, e apagar o registro apaga esse texto.

7. Onde os dados ficam, e quem tem acesso

O banco de dados e os arquivos ficam no Brasil, na região de São Paulo do Supabase, nosso provedor de infraestrutura. Alguns serviços ficam fora do país, cada um com um pedaço diferente: as chamadas de IA vão para a Anthropic e a OpenAI, nos Estados Unidos — dependem da sua autorização, e a seção 6 as descreve inteiras; as notificações passam pelo Firebase Cloud Messaging, do Google, também nos Estados Unidos; os relatórios de erro do aplicativo vão para o Sentry, na União Europeia; a verificação contra robôs, no cadastro e na entrada com senha, é feita pela Cloudflare, empresa dos Estados Unidos, na rede dela, que tem servidores em vários países — a seção 8 explica; e a medição de uso do aplicativo vai para o Google, nos Estados Unidos; os avisos internos de operação (por exemplo, a chegada de uma mensagem do “Fale conosco”) chegam a quem opera o Ponte pelo Telegram, com o e-mail parcialmente oculto e sem nenhum conteúdo do diário, da criança ou de saúde; e, para quem baixa o app na App Store, a Apple nos entrega apenas números agregados e anônimos (quantos downloads e visitas à página do app), sem identificar ninguém. Este site é servido pela Cloudflare, e a medição de acesso do site vai para o Google Analytics, também nos Estados Unidos — a seção 11 descreve essa parte inteira.

WhatsApp

O Ponte não manda mensagens pelo WhatsApp nem pela Meta. Ao compartilhar o link de quem cuida, o app só abre um link wa.me ou a folha de compartilhamento no seu celular; quem envia é você.

E-mail

Os e-mails do Ponte — a confirmação do cadastro, a recuperação de senha, a troca de e-mail, os convites que você manda, as mensagens da equipe do Ponte e as mensagens do “Fale conosco” — são enviados pela Resend, empresa dos Estados Unidos. Ela recebe o endereço de destino e o conteúdo de cada e-mail: no convite, o e-mail de quem convida e o de quem é convidado (o nome da criança nunca vai no convite); no “Fale conosco”, o texto que você escreveu. O que é escrito para oi@ponteapp.com.br — pedidos ao encarregado, pedidos de exclusão, respostas — também passa pela Resend e é encaminhado para a caixa de e-mail de quem opera o Ponte, no Gmail, do Google, nos Estados Unidos. Essas mensagens ficam nessa caixa enquanto forem necessárias para atender você; peça a exclusão delas pelo mesmo endereço quando quiser.

Cópia de segurança

Todo dia é feita uma cópia de segurança do banco de dados e dos arquivos (fotos, documentos, vozes gravadas), para o Ponte poder se recuperar de um defeito ou de um acidente. A cópia é cifrada antes de sair (AES-256, com uma senha que só quem opera o Ponte tem) e guardada no OneDrive, da Microsoft, na conta de quem opera o Ponte — o que pode significar servidores fora do Brasil, mas sem a senha o conteúdo é ilegível. Ficam só as 30 cópias mais recentes: cada uma é descartada depois de 30 dias.

O relatório de erro existe para descobrirmos que alguma coisa quebrou antes de você precisar avisar. Ele leva o tipo do erro, o ponto do código onde aconteceu, o modelo do aparelho e a versão do app. Não leva o que você escreveu no diário, o nome nem a data de nascimento da criança, a transcrição do áudio, o seu e-mail, nem o conteúdo das telas — isso é retirado no próprio aparelho, antes de sair.

Dentro do app, o acesso é decidido pelo banco de dados, linha a linha: cada leitura confere se você é responsável por aquela criança, ou um cuidador com aquela permissão específica. Não é uma checagem de tela.

Você pode convidar outro adulto para cuidar junto, com as permissões que você escolher. Os documentos e o identificador de notificação de cada pessoa ficam fora desse compartilhamento.

Transferência internacional: quem, onde e por quê (Resolução CD/ANPD nº 19/2024)

Resumo, por fornecedor, de quem recebe dados fora do Brasil:

• OpenAI (Estados Unidos): transcrever o áudio do diário. Só com “Autorizo enviar conteúdo para IA” ligada.
• Anthropic (Estados Unidos): estruturar o relato, sugerir passos, escrever a prosa do resumo e agrupar apoios. Só com a mesma autorização ligada.
• Google — Firebase Cloud Messaging (Estados Unidos): entregar as notificações, cujo texto pode trazer o primeiro nome da criança. Nas de quem cuida, o texto traz o nome de quem cuida e, no pedido de ajuda, a mensagem que a pessoa digitou; o nome de um remédio nunca vai.
• Google — Firebase Analytics / Google Analytics (Estados Unidos): medição de uso do aplicativo, que você pode desligar e que nunca acontece no modo criança, e medição de acesso deste site.
• Cloudflare (Estados Unidos, rede global): servir o site e os links, e a verificação contra robôs.
• Sentry (União Europeia): relatório de falha técnica do aplicativo, sem nome, e-mail, conteúdo do diário ou dado da criança — a limpeza acontece no próprio aplicativo, antes do envio.
• Resend (Estados Unidos): envio dos e-mails.
• Telegram (alertas de operação para quem opera o Ponte, com o e-mail parcialmente oculto e sem conteúdo do diário, da criança ou de saúde).
• Google — Gmail (Estados Unidos): a caixa de oi@ponteapp.com.br, onde chegam os pedidos de titulares e as mensagens do “Fale conosco”.
• Microsoft — OneDrive (possivelmente fora do Brasil): guarda das cópias de segurança, cifradas antes de sair.

Garantias: os termos de tratamento de dados de cada fornecedor, que limitam o uso à prestação do serviço, exigem segurança e confidencialidade e, no caso da OpenAI e da Anthropic, proíbem o uso para treinar modelos; e, para a IA, o seu consentimento específico e em destaque (LGPD, art. 33, VIII). Para pedir a cópia das cláusulas e termos aplicáveis a qualquer um deles, escreva para oi@ponteapp.com.br: respondemos em até 15 dias.

8. Segurança

• Todo o tráfego entre o app, o site e os servidores é criptografado (HTTPS).
• A sua sessão fica no armazenamento seguro do sistema operacional do aparelho, não em texto puro.
• Se você entra com e-mail e senha, pode passar a entrar pela biometria do aparelho, em vez de digitar a senha toda vez.
• Para barrar programas que tentam criar contas ou adivinhar senhas em massa, o app faz uma verificação invisível da Cloudflare (Turnstile) quando você cria a conta, entra com e-mail e senha (inclusive pela digital), confirma a sua senha, pede para redefinir a senha ou o PIN, ou pede de novo o e-mail de confirmação. Ela não aparece na tela e usa só sinais técnicos da conexão — o endereço de IP, a identificação do navegador embutido no app e a assinatura técnica da conexão segura — para distinguir uma pessoa de um robô. Não recebe o seu e-mail, a sua senha nem nada sobre a criança. Quem entra pelo Google ou pela Apple não passa por ela. A Cloudflare também usa esses sinais para melhorar a própria detecção de robôs, como descreve o adendo de privacidade do Turnstile.
• O modo criança tem um PIN de saída, para a criança usar o aparelho sem alcançar o restante do app.
• Nenhuma medida é perfeita. Se acontecer um incidente de segurança com risco relevante para você, comunicaremos você e a Autoridade Nacional de Proteção de Dados (ANPD).

9. Os seus direitos

A LGPD garante a você confirmação e acesso aos dados, correção, anonimização, bloqueio ou eliminação, portabilidade, informação sobre com quem foram compartilhados, e revogação do consentimento.

No Ponte, os dois principais ficam em Configurações: exportar tem tela própria, em Dados da conta; excluir é um cartão à parte, direto no painel.

• Exportar meus dados (em Configurações → Dados da conta) — gera um arquivo com tudo: perfis, o diário inteiro (sem o corte de 30 dias de quem está sem assinatura), rotina, agenda, profissionais, documentos, perguntas da consulta, colaboradores, as suas autorizações com as datas, os links criados e a trilha de acesso de cada um. A exportação não depende de assinatura: o direito do titular não é item de plano pago.
• Excluir conta (cartão em Configurações, que abre um diálogo de confirmação) — apaga a conta e os dados. Pede a senha da sua conta ou, se você entra pelo Google, a confirmação pela sua Conta do Google — e um login recente. As fotos, os documentos e os áudios gravados do jogo e das etapas da rotina são removidos antes de a conta ser apagada; se essa limpeza falhar, o Ponte tenta de novo sozinho, de hora em hora, até terminar — nenhum arquivo fica para trás e você não precisa repetir o pedido.

Sem o app instalado, você também pode pedir a exclusão da conta por e-mail: os passos estão em ponteapp.com.br/excluir-conta.

Revogar consentimento: qualquer uma das seis autorizações, a qualquer momento, em Configurações. Para o que não tem botão, escreva para oi@ponteapp.com.br.

10. Por quanto tempo guardamos

• O que você registra fica enquanto a conta existir, ou até você apagar.
• Quem cuida por algumas horas: a lista de pessoas fica até você removê-la (as pessoas arquivadas continuam na lista para o histórico poder ser lido) ou até a conta ser excluída. Os turnos e o que foi registrado neles ficam até você excluir a criança ou a conta. O segredo do link é guardado só como um código irreversível (hash), e o link deixa de funcionar no horário escolhido, quando você o encerra ou quando você revoga a autorização.
• O áudio do registro por voz fica na área temporária o tempo da transcrição, e é apagado ao fim dela — dê certo ou dê errado. Se o envio for interrompido antes de chegar lá, o arquivo pode permanecer um tempo a mais: uma limpeza automática roda de hora em hora e apaga o que já passou de uma hora nessa área. É o mesmo que a seção 6 descreve, e é o prazo máximo que o áudio tem. Ele nunca passa a fazer parte do seu histórico.
• A voz que a família gravar — para o jogo "Palavras do meu mundo" e para as etapas da rotina — é a exceção: ela fica guardada como as fotos — no Brasil, visível na tela da própria criança e para quem você convidar com a permissão de ver a rotina — enquanto a conta existir, ou até você apagar aquela palavra ou etapa, ou a conta. Diferente do áudio do diário, ela não é temporária.
• Um link de compartilhamento deixa de valer no prazo que você definiu, ao atingir o teto de aberturas, ou quando você o revoga. Quando isso acontece, o segredo daquele link é apagado do nosso banco, diariamente: fica o registro de que você o criou, o que ele mostrava e quantas vezes foi aberto — some a chave que abria a página, porque ela já não serve para nada. A trilha de cada abertura (quando e o que foi aberto) fica mais 90 dias depois que o link deixa de valer, para você conferir e exportar, e então é apagada, também automaticamente.
• Ao excluir a conta, os dados são apagados do banco e dos arquivos na hora. Eles continuam dentro das cópias de segurança cifradas feitas antes da exclusão (seção 7) por até 30 dias, até a última dessas cópias ser descartada. Não usamos essas cópias para recuperar dados de uma conta excluída.
• As mensagens trocadas por e-mail (o “Fale conosco” e o que você escrever para oi@ponteapp.com.br) ficam na caixa de e-mail de quem opera o Ponte enquanto forem necessárias para atender você, e não saem sozinhas quando a conta é excluída: peça a exclusão delas pelo mesmo endereço. A Resend guarda um registro de cada envio por um período limitado, conforme o plano contratado.
• Os provedores (Supabase, Cloudflare, Resend) guardam registros técnicos de cada acesso — horário, endereço de IP, o tipo de pedido — por poucos dias, para diagnóstico e segurança, e os apagam sozinhos.

11. Medição de uso: o aplicativo e este site

No aplicativo

Desde 3 de setembro de 2026, o aplicativo registra quais telas são abertas. Antes disso ele não media nada, e nós não tínhamos como saber o que as famílias usam, o que passa despercebido e onde o caminho trava — o que nos deixava melhorando o Ponte no escuro. A partir da versão 1.35.5 do aplicativo, também são registrados seis marcos de uso, sem conteúdo nenhum — como cadastrar uma criança ou concluir uma atividade (esta, só quando é você quem conclui nas telas de adulto) — que mostram quais partes do app as famílias realmente usam.

No modo criança, nada é medido. Enquanto o modo criança está aberto — no app ou no link do aparelho da criança —, nenhuma tela, nenhum marco e nenhuma coleta automática do Google Analytics acontece; a medição volta quando o adulto sai com o PIN ou a senha. Concluir uma atividade no modo criança não é contado como marco.

O que é enviado, e só isso: o nome da tela (por exemplo “agenda”, “diário”, “modo criança”) e o momento em que ela foi aberta; e seis marcos de uso, cada um só com o nome e o momento: uma criança foi cadastrada, uma atividade foi criada, uma atividade foi concluída, uma compra foi iniciada, uma compra foi confirmada, uma restauração de compra foi iniciada. Junto vão as informações que o serviço coleta sozinho sobre o aparelho — modelo, versão do sistema, versão do app, idioma e uma noção aproximada de região — e um identificador da instalação, que distingue um aparelho de outro sem dizer quem você é.

O que nunca é enviado: nome seu ou da criança, e-mail, data de nascimento, diagnóstico, nada do diário, nenhuma foto, nenhum documento, nenhum áudio, nenhuma palavra que você tenha escrito ou gravado; os marcos não dizem qual criança, qual atividade, qual plano nem qual valor. O nome da tela não carrega conteúdo junto — saber que alguém abriu o diário não é saber o que ele diz.

Você pode desligar. Em Configurações › Privacidade e consentimentos, o item “Ajudar a melhorar o Ponte” vem ligado e pode ser desligado a qualquer momento. Desligar interrompe a coleta inteira naquele aparelho, e não só o registro de telas. A escolha vale por aparelho, porque a medição é por instalação.

Publicidade, não. O identificador de publicidade do aparelho não é coletado, e os sinais de anúncio ficam desligados no próprio aplicativo: não veiculamos anúncios e não montamos público para anunciante nenhum.

Transferência internacional (art. 33 da LGPD): essa medição é processada pelo Google (Firebase Analytics / Google Analytics) nos Estados Unidos.

Neste site

Esta página e a página inicial de ponteapp.com.br são servidas pela Cloudflare.

Desde 2 de setembro de 2026, medimos o acesso a este site com o Google Analytics. É uma medição separada da do aplicativo: serve para saber quantas pessoas chegam aqui, por onde vieram e no que clicam — sem isso não temos como saber o que está funcionando.

Como funciona, exatamente:

• Antes de você responder ao aviso, nenhum cookie é gravado. A medição começa com o armazenamento desligado: contamos a visita, a página, a origem e os cliques sem guardar nada no seu navegador e sem um identificador que siga você de uma visita para a outra.
• Se você aceitar, o Google Analytics passa a gravar cookies próprios (_ga) para reconhecer visitas repetidas do mesmo navegador. É só isso que muda.
• A sua escolha fica guardada no próprio navegador (em localStorage, não em cookie) e vale para este aparelho. Para mudar de ideia a qualquer momento: abrir as preferências de medição — o mesmo link fica no rodapé das páginas do site.
• Publicidade, não. Os consentimentos de anúncio do Google ficam desligados sempre, inclusive para quem aceita: não veiculamos anúncios e não montamos público para anunciante nenhum.

O que é enviado ao Google: o endereço da página, o site que trouxe você, idioma, tipo de aparelho e de navegador, uma noção aproximada de região, e os cliques que marcamos (entrar na lista, quero testar, abrir o Grupo, abrir a Play). O endereço de IP é usado pelo Google para deduzir a região e não é armazenado no Google Analytics 4. Nunca enviamos e-mail, nome, nem dado nenhum de criança — nada disso existe neste site.

Transferência internacional (art. 33 da LGPD): o Google Analytics processa esses dados nos Estados Unidos. Os dados de evento ficam retidos por 2 meses e os de usuário por 14 meses; depois disso o Google os apaga.

A lista de espera foi encerrada em 25 de setembro de 2026, quando o Ponte chegou à Google Play, e o site não recebe mais e-mails para ela. Enquanto esteve aberta, guardamos apenas o e-mail digitado, numa planilha nossa, para avisar do lançamento — ele não é usado para mais nada. Para que o seu seja apagado, escreva para oi@ponteapp.com.br.

As fontes desta página são carregadas do Google Fonts, então o seu navegador faz uma requisição aos servidores do Google ao abrir a página.

12. Crianças e adolescentes

Os dados aqui são sobre uma criança, e o Ponte trata isso como o art. 14 da LGPD manda: o tratamento acontece com o consentimento específico e em destaque do pai, da mãe ou do responsável legal — que é exatamente quem cria a conta, aceita esta política e dá cada uma das seis autorizações, cada uma no seu momento (a de registrar ao criar a conta; a de compartilhar ao criar o primeiro link; as demais ao usar cada recurso).

O app não permite que a criança crie uma conta. No modo criança, ela pode voluntariamente concluir etapas, pedir ajuda ou pausa e indicar como está se sentindo; essas respostas ficam vinculadas à conta do responsável e às autorizações correspondentes. Nenhuma atividade é condicionada a fornecer informação além do necessário.

O ECA Digital (Lei 15.211/2025, em vigor desde 17 de março de 2026, e o Decreto 12.880/2026) protege crianças e adolescentes em produtos digitais. O que o Ponte faz a respeito:

• Nenhuma medição de uso no modo criança: nem telas, nem marcos, nem coleta automática do Google Analytics. O relatório de falha técnica (Sentry) continua, sem dado pessoal.
• Tempo de uso e supervisão: cada criança tem um limite diário no modo criança, de 60 minutos por padrão (a família escolhe entre 15 minutos e 3 horas, ou sem limite). Faltando 5 minutos a criança é avisada e, ao chegar no limite, vê “Por hoje é só. Amanhã tem mais”; o responsável pode conceder +15 minutos para o dia, com o PIN ou a senha no app, ou pelo painel. O tempo é somado por dia (horário de Brasília) e o responsável vê “hoje” e “últimos 7 dias”. A tela inicial do modo criança, no app e no link, mostra sempre o aviso “Quem cuida de você acompanha o que você faz aqui”.
• Sem anúncios, sem identificador de publicidade, sem perfilamento e sem venda de dados.
• Sem recompensa aleatória e sem sequência de dias: os pontos vêm só de tarefas combinadas pela família.
• IA sem o campo do nome da criança: o Ponte não envia esse campo. No rascunho do diário e no resumo da consulta, o nome escrito no texto é trocado por “a criança” antes do envio e normalmente recolocado na volta. O que a família diz no áudio (enviado à OpenAI para transcrição), digita no título de uma atividade (sugestão de passos) ou num rótulo de apoio (agrupamento de apoios) vai como foi escrito. Detalhes na seção 6.
• Link para o profissional: ele não inclui o que a criança marcou sozinha, a menos que a família ligue a opção “Incluir o que a criança marcou”.
• Faixa etária: o aplicativo é para responsáveis, maiores de 18 anos, que declaram no cadastro: “Sou maior de 18 anos e sou mãe, pai ou responsável legal pelas crianças que vou cadastrar. Li a Política de Privacidade.” Essa declaração é registrada no histórico de autorizações, com a versão desta política e a data. O modo criança é pensado para crianças a partir de 3 anos, sempre sob supervisão de quem cuida.
• Canal de denúncia e dúvidas, sem custo: oi@ponteapp.com.br ou “Fale conosco” no aplicativo.

O resumo público da nossa avaliação de riscos está em ponteapp.com.br/seguranca-infantil.

13. Mudanças nesta política

Se algo mudar, a data no topo desta página muda junto. Se a mudança alterar de forma relevante o que fazemos com os seus dados, avisaremos antes de ela passar a valer.

14. Como falar com a gente