Política de privacidade

O MenuChef guarda o mínimo para funcionar, não vende nada seu e não mostra anúncio. Abaixo está tudo que sai do seu aparelho: o que é, para onde vai, por quê, com que autorização e por quanto tempo fica.

O MenuChef é operado por Thatsme LTDA, CNPJ 48.657.854/0001-71. Fale com a gente em contato@menuchef.app.br.

Na palavra da LGPD, a Thatsme LTDA é a controladora desses dados, e esse e-mail é o canal para tudo que está aqui: dúvida, pedido, reclamação, exercício de direito. É também o canal de comunicação com o encarregado pelo tratamento de dados pessoais (art. 41).

Um link, uma foto, um PDF, um print, um texto colado ou um áudio ditado. Isso vai para o nosso servidor e de lá para a infraestrutura de IA do Google (Gemini), que lê e devolve a receita em passos.

A gente pergunta antes. Antes da primeira leitura, numa tela própria ("A leitura passa por IA de terceiros"), você autoriza o envio — e pode retirar a autorização quando quiser, em Conta. Sem ela, o app não lê nada.

COM CONTA, a receita lida também entra na sua conta, para estar nos seus outros aparelhos (veja "Sua conta, se você criar uma").

O QUE FICA: a leitura pronta — ingredientes, passos, macros, crédito ao autor — e o endereço de onde ela veio. Isso mora num cache do nosso servidor que não tem o seu nome nem o do seu aparelho: a chave dele é o endereço da página ou uma impressão digital do arquivo. É esse cache que impede a gente de cobrar você duas vezes pela mesma receita, e é ele que faz a próxima pessoa que mandar o mesmo link receber na hora. A leitura é compartilhada; quem mandou, não.

O QUE NÃO FICA: a foto, o PDF, o print e o áudio que você mandou. Eles passam, são lidos e não são guardados — nem aqui, nem no fornecedor. A exceção é a capa: a primeira foto vira a capa da receita e fica como a foto do prato pronto (veja "A câmera, o prato e o escâner").

REEL E TIKTOK. Quando a legenda não basta, uma máquina nossa baixa o áudio ou o vídeo do post e manda para o Google ler. O arquivo fica numa pasta temporária que é apagada no fim do trabalho, e vive no serviço do fornecedor pelo prazo que a API dele define. Vídeo do YouTube vai direto, sem passar por nós.

BASE LEGAL: o seu consentimento (LGPD, art. 7º, I) e a execução do contrato que você tem com a gente (art. 7º, V).

Quando você liga o Sous-Chef, o áudio do microfone vai para uma sala da LiveKit, a infraestrutura que leva a conversa em tempo real. O Sous-Chef é um programa nosso que roda dentro dessa infraestrutura, no serviço de nuvem da LiveKit, nos Estados Unidos. Cada parte da conversa passa por um fornecedor, e cada um recebe uma coisa diferente:

· O SEU ÁUDIO vai para a LiveKit, que o transporta, e para a Deepgram, que o transcreve. Para saber quando você terminou de falar, o Sous-Chef usa um detector de voz que roda dentro do próprio programa e um modelo de fim de frase da LiveKit, que olha o texto já transcrito.
· O TEXTO do que você falou vai para a OpenAI, junto com o que o Sous-Chef precisa para responder: a receita aberta e o passo em que você está, o que está na tela, os nomes das receitas do seu acervo, a sua lista de compras e as restrições e alergias que você marcou ou contou a ele. Um modelo da OpenAI lê isso e escreve a resposta. O modelo que responde não recebe o seu áudio, só o texto (na reserva, a transcrição pode ser da OpenAI, como explicado abaixo).
· A RESPOSTA do Sous-Chef, em texto, vai para a Fish Audio, que a transforma em voz. Ela não recebe o seu áudio nem a transcrição: recebe só o que o Sous-Chef vai dizer — que às vezes repete algo que você contou, como o nome de um ingrediente.
· QUANDO VOCÊ PEDE PARA ELE OLHAR, a foto segue o caminho do escâner, descrito na próxima seção: vai para o Google. Durante a conversa, uma descrição em texto do que o escâner viu é enviada à OpenAI, nunca a foto. Essa descrição fica no contexto da conversa por até 10 minutos após a captura.
· SE UMA PEÇA FALHAR no meio da conversa, outra assume para a voz não parar, e recebe o mesmo que a peça que ela substitui: a OpenAI pode transcrever o seu áudio no lugar da Deepgram, a Anthropic pode ler o texto e escrever a resposta no lugar da OpenAI, e a OpenAI pode fazer a voz no lugar da Fish Audio.

O PRIMEIRO ENCONTRO. No primeiro toque no Sous-Chef, ele pode fazer uma apresentação curta por voz (até 3 minutos) usando o app de verdade: abre uma receita, manda os ingredientes para a lista e marca um timer de teste. Para isso, e só depois da autorização da tela "Antes de eu abrir o ouvido" na versão nova (a de quem aceitou a anterior não vale para esta), o app manda ao Sous-Chef: "Para apresentar o app, também enviamos suas respostas sobre o que procura, quantas vezes quer cozinhar, seus gostos e o número de pessoas, junto das receitas que você escolher." São só essas quatro respostas da entrada e a identificação das receitas — nunca as restrições ou incômodos de versões antigas da entrada. Elas passam pela sala da LiveKit e vão ao modelo da OpenAI (ou, na reserva, da Anthropic), só durante a apresentação: quando ela termina, ou quando você recusa, dorme o Sous-Chef, sai do app ou retira a autorização, esse contexto sai da conversa e do aparelho. O MenuChef não guarda essas respostas no servidor, salvo o que for dito na conversa se você autorizou guardar o texto da conversa. Do encontro fica só o estado (oferecido, começado, terminado ou dispensado, com as horas), para não repetir a apresentação: com conta, na sua conta, até você apagá-la; sem conta, só no iPhone, até você apagar os dados de convidado.

Também aqui a gente pergunta antes, em "Antes de eu abrir o ouvido", e também aqui dá para retirar a autorização em Conta. São duas autorizações separadas: quem aceitou mandar a foto do caderno não aceitou mandar a voz.

O MICROFONE abre quando você liga o Sous-Chef e continua aberto enquanto ele estiver ligado — inclusive fora da receita, se você for à lista de compras, por exemplo, e com a tela apagada. Ele fecha quando você desliga, tocando no mesmo botão (se ele estiver cochilando, o primeiro toque o acorda), ou quando você se despede dele; e fecha sozinho depois de um bom tempo sem conversa e sem timer pela frente. A partir da versão 1.0.1, quando a conversa fica em silêncio o Sous-Chef cochila: a sala fecha, e o próprio iPhone fica atento só à palavra "Chef" para acordá-lo. Esse reconhecimento acontece no aparelho, e nenhum áudio sai do telefone enquanto ele cochila; o indicador laranja do iPhone continua aceso nesse tempo, porque o microfone segue aberto para ouvir o "Chef". Quando ele ouve "Chef", a sala volta e a frase que você disse em seguida entra na conversa. Se o iPhone não reconhece fala no próprio aparelho, se você não autorizou o reconhecimento de fala ou se o cochilo estiver indisponível no momento, ele não cochila: a conversa segue aberta e fecha sozinha depois de dez minutos de silêncio.

O SEU ÁUDIO NÃO VIRA ARQUIVO no MenuChef: nem no iPhone, nem no nosso servidor, nem no programa do Sous-Chef. Ele é processado no ato da conversa.

O TEXTO DA CONVERSA, SE VOCÊ QUISER. É opcional e vem desligado. Se você autorizar, em Conta › Dados, o nosso servidor guarda o texto do que você e o Sous-Chef disseram e as ações que ele fez na tela. A equipe do MenuChef pode ler esse texto para melhorar o Sous-Chef, e um modelo da OpenAI pode lê-lo uma vez, para avaliar as respostas do Sous-Chef, sem guardá-lo; o texto e a avaliação são apagados em 60 dias. O áudio não fica: só o texto. Como a conversa pode ter dados de saúde (alergias, intolerâncias), pedimos essa autorização à parte, e a base legal é o seu consentimento específico (LGPD, art. 11, I). Você desliga a qualquer momento em Conta › Dados. Com a autorização ligada, o texto (nunca o áudio) também fica no painel técnico da LiveKit, o provedor da sala de voz, nos Estados Unidos, pelo prazo que ela define. Sem a sua autorização, esse painel recebe só registros técnicos do programa, sem o que foi dito.

AS RESTRIÇÕES E ALERGIAS que você conta ao Sous-Chef ficam guardadas no seu iPhone, com a frase do jeito que você disse, para ele te avisar nas próximas receitas. Elas não sobem para a sua conta (a não ser dentro do texto da conversa, se você autorizou guardá-lo); vão para o modelo que responde (o da OpenAI ou, na reserva, o da Anthropic) só durante a conversa, e somem do aparelho quando você as apaga ou apaga o conteúdo do app.

O QUE FICA DE CADA CONVERSA são números, para cobrar certo e consertar o que trava: quanto tempo a sala ficou aberta, quantos segundos foram transcritos e falados, quantos tokens o modelo usou, quais fornecedores atenderam e, a cada vez que o Sous-Chef responde, quanto tempo cada etapa levou. Os números da sessão ficam ligados à sua conta e ao aparelho; quando você apaga a conta, eles perdem esse vínculo e ficam só como custo, sem dono. Os de cada resposta são registros de uso do app (veja "Uso do app"). Quando a voz é recusada (sem assinatura, presente vencido, minutos esgotados), guardamos a conta, o aparelho, o motivo e a hora por 365 dias, para entender onde a porta fecha. Nenhum desses registros tem o conteúdo da conversa.

SEM REDE, o Sous-Chef por voz não funciona: o app avisa e o resto continua — receita, passos, timers e alarmes funcionam sem internet.

O QUE CADA EMPRESA FAZ com o que recebe — se guarda, por quanto tempo, se usa para melhorar os próprios serviços — segue o contrato dela com a gente e a política de privacidade dela: LiveKit (a sala da conversa), Deepgram (transcrição), OpenAI (o modelo que responde) e Fish Audio (a voz); na reserva, se um deles falhar, OpenAI (transcrição e voz) e Anthropic (o modelo que responde). Um ponto a gente já sabe e prefere dizer: o modelo de voz da Fish Audio que usamos hoje é o gratuito, e as condições dele permitem que a Fish Audio use os pedidos para melhorar os próprios modelos. O que vai para ela é só a fala do Sous-Chef.

BASE LEGAL: o seu consentimento (art. 7º, I), dado na tela "Antes de eu abrir o ouvido". Essa tela nomeia as empresas, inclusive as da reserva, e diz que o áudio não é gravado; ela ainda não fala das restrições e alergias, que a LGPD trata como dado de saúde (art. 11), nem de que esses fornecedores ficam fora do Brasil. Uma próxima versão do app vai perguntar isso na própria tela. Até lá, se você não quiser que uma restrição sua vá para o modelo, não a conte ao Sous-Chef — o resto da conversa funciona sem ela.

A FOTO DO PRATO PRONTO (ou a primeira foto que você mandou para ler) fica no seu aparelho e vira a capa da receita. Se você quiser, ela também é salva no seu app Fotos, com a assinatura do MenuChef e o crédito ao autor da receita. A permissão que o app pede é de SOMENTE ADICIONAR: a gente nunca lê a sua fototeca.

SEM CONTA, essa foto não sai do aparelho. COM CONTA, uma cópia reduzida da capa (até 720 pixels) é guardada na sua conta, para a receita aparecer com foto nos seus outros aparelhos. Ela vai embora quando você apaga a receita ou a conta.

A foto do escâner (o ingrediente ou a panela que você mostra ao Sous-Chef) é enviada ao nosso servidor e lida por um modelo de IA na hora, sem ser guardada no servidor. Durante a conversa, o Sous-Chef pode reler essa foto para responder o que você perguntar, por até 10 minutos; ela fica só na memória do aparelho e some quando a conversa acaba.

O modelo de IA é do Google. Junto com a foto vão alguns textos, para a resposta servir àquela hora: onde você está (mercado, bancada ou panela), o nome da receita e o passo em que você está, o papel do ingrediente ali, os nomes da sua lista de compras, as fichas da nossa despensa e, quando houver, a pergunta que você fez. Esses textos também não são guardados no servidor. Sem internet, a foto nem sai: o app diz que precisa de rede e entrega a ficha curada, que funciona offline.

BASE LEGAL: o seu consentimento (art. 7º, I) e a execução do contrato (art. 7º, V).

O app funciona inteiro sem conta.

Se você entrar com a Apple, recebemos o seu nome e o seu e-mail — ou o e-mail de repasse, se você escolher esconder o seu — e o identificador opaco que a Apple devolve. Os três ficam guardados no seu iPhone, e o token de identidade é trocado por uma sessão no nosso servidor, que cria a sua linha lá. A chave dessa sessão mora no Chaveiro do iPhone, marcada para não viajar em backup nenhum.

Guardamos também, do lado de cá, uma chave que a Apple nos dá no instante da entrada e que serve para uma coisa só: DESFAZER esse login do lado dela no dia em que você apagar a conta. Sem ela, o MenuChef continuaria listado em Ajustes › Apple Account › Login com a Apple depois de você ter apagado tudo. Ela morre junto com a sua conta.

QUEM ENTROU ANTES DESTA VERSÃO não tem essa chave guardada — ela só passou a ser pedida quando a função existiu. Nesses casos a conta é apagada daqui do mesmo jeito, mas a autorização continua listada do lado da Apple até você tirá-la à mão em Ajustes › Apple Account › Login com a Apple › MenuChef › Parar de usar.

COM CONTA, a conta é a dona do seu acervo: as suas receitas (com as edições, as pastas e a cópia reduzida da capa) e a sua lista de compras ficam guardadas no nosso servidor, sob a sua identidade, e voltam quando você entra em outro aparelho. Ao SAIR da conta, o que é dela sai deste aparelho e volta quando você entrar de novo.

SEM CONTA, as receitas e a lista ficam só no seu iPhone. A gente não tem cópia delas.

BASE LEGAL: execução do contrato (art. 7º, V).

Registramos quais telas foram abertas e quais ações aconteceram, para entender onde o app trava e onde ele confunde. Junto com cada evento vai um carimbo, e é honesto dizer o que tem nele: um identificador do aparelho fornecido pelo sistema, um identificador da sessão, a versão do app, a versão do iOS, o modelo do iPhone, a região e o idioma configurados no aparelho, uma região aproximada derivada do fuso horário, o ambiente da loja e o seu plano.

O identificador do aparelho é o mesmo para os apps da mesma empresa e some quando você desinstala. Sozinho, ele não diz quem você é. MAS, SE VOCÊ TEM CONTA, a gente liga esse identificador a ela em dois casos: quando você usa o Sous-Chef (cada sessão de voz guarda a conta e o aparelho) e quando você assina (a assinatura vale em até três aparelhos, e guardamos quais são). Com isso, o nosso painel interno consegue juntar os registros de uso daquele aparelho à sua conta. A região vem dos Ajustes, não de localização: o app não pede acesso ao GPS e não tem a sua localização.

DOIS EVENTOS LEVAM O QUE VOCÊ ESCREVEU, e os dois só acontecem quando você toca. Quando a leitura falha e você avisa que aquilo ERA uma receita, o link inteiro vai junto — é o que permite a gente olhar aquele link. Quando você abre o "Deu ruim" e nada da lista serve, o que você escrever chega aqui. Nos demais casos de falha vai só o domínio da fonte, nunca o endereço completo.

COM O SOUS-CHEF LIGADO, cada resposta dele gera um registro só com tempos e contadores: quanto demorou para transcrever, para pensar e para começar a falar, quantos tokens o modelo usou e em que região o Sous-Chef rodou. Nunca o que foi dito.

Esses registros são apagados automaticamente depois de 13 meses.

DE ONDE VEIO A INSTALAÇÃO. Uma vez por instalação, o app pede à Apple um código do serviço AdServices e o manda ao nosso servidor, que pergunta à Apple se a instalação veio de um anúncio do Apple Ads. Guardamos só a resposta — "anúncio" ou "orgânico" —, junto do identificador do aparelho, que pode estar ligado à sua conta como explicado acima. Esse código não identifica você e não exige a permissão de rastreamento.

Não usamos rastreamento entre apps nem entre sites, e não pedimos permissão para isso porque não fazemos isso. Não existe publicidade dentro do MenuChef.

BASE LEGAL: legítimo interesse (art. 7º, IX) — manter o app funcionando e consertar o que quebra. Você pode se opor: escreva para contato@menuchef.app.br.

Quem cobra é a Apple. A gente nunca vê cartão, nem número, nem fatura sua.

O que chega até nós é o recibo assinado pela Apple e os avisos do ciclo de vida da assinatura — compra, renovação, cancelamento, falha de cobrança, reembolso. A gente guarda o recibo como ele veio, mais o estado da assinatura, as datas e qual produto é, ligado à sua conta.

O PRESENTE DO SOUS-CHEF, EM DUAS FASES. Sem conta, o app dá 1 dia (24 horas) de Sous-Chef por aparelho, contado do primeiro acesso ao app. Para isso a gente registra a hora desse primeiro acesso, um identificador do aparelho guardado no Chaveiro do iPhone e uma prova de que o app foi baixado da App Store (um código derivado do recibo da Apple, não o seu Apple ID), e pergunta à Apple, por um serviço chamado DeviceCheck, uma coisa só: se este iPhone já usou o presente. A Apple guarda esse bit do lado dela, por aparelho e por desenvolvedor; é o que impede o mesmo dia de ser reaberto com uma reinstalação. Depois desse dia, o app oferece 14 dias para quem entra com a Apple, uma vez por conta que nunca recebeu o presente; os 14 dias começam no aceite, não antes, e nada é cobrado nem renovado sozinho. Juntos, o dia e os 14 dias somam no máximo 60 minutos de conversa por voz.

O REGISTRO DO PRESENTE (as datas de início e fim, o saldo de voz usado e a ligação entre o aparelho e a conta, quando você entra) fica enquanto a identidade existir, inclusive depois de vencido, e sai quando você apaga a conta ou os dados de convidado. O bit da Apple não é apagado por nós: segue o ciclo dele. Por isso, depois de uma exclusão, o aparelho continua sem direito a outro dia, e a gente não guarda perfil escondido para reconhecer quem apagou.

APARELHO DE SEGUNDA MÃO. Se o bit da Apple diz que o aparelho já usou o presente e ele não está ligado a ninguém, o app mostra um código de atendimento e o botão "Pedir revisão do presente", que abre um e-mail para contato@menuchef.app.br só com esse código, o motivo e a versão do app. A gente pede a menor evidência possível de que o aparelho mudou de mãos, registra a decisão com uma justificativa curta e, se aprovar, libera uma vez o restante das 24 horas contadas do seu primeiro acesso (que pode já ter acabado). O registro da revisão sai junto com os seus dados. Recusar não bloqueia o uso grátis, a compra nem a restauração.

A SEGUNDA CHANCE DO PRESENTE. De vez em quando, a gente oferece de novo, uma vez, os 14 dias a quem tem conta, está sem presente ativo e não assina: quem recusou, quem nunca viu a oferta e quem já teve o presente e ele acabou. Os 14 dias começam no aceite, nada é cobrado nem renovado sozinho, e o saldo novo nunca passa de 60 minutos de voz. Para valer uma vez por conta e uma vez por aparelho, o REGISTRO DA CAMPANHA guarda, ligado à conta: em que grupo ela estava no dia do corte (por exemplo, presente vencido ou nunca recebido), quando a oferta foi mostrada, quando foi aceita e em qual aparelho (o mesmo identificador do Chaveiro), e as datas do presente anterior. Se o primeiro encontro com o Sous-Chef volta a ser oferecido, guarda também uma cópia sem conteúdo de como ele estava (a etapa e as datas). Não vai fala, receita nem nada do que você disse. O registro da campanha sai quando você apaga a conta.

OS LIMITES DE USO. Para não deixar a conta da casa ser drenada, a gente conta quantas leituras e quantas chamadas de voz saíram de cada conta ou de cada aparelho, e quantos tokens cada chamada gastou. São contadores e números, nunca o conteúdo do que você mandou.

AS MÉTRICAS DO PRESENTE E DO ENCONTRO. Para saber se a oferta funciona, registramos, sem conteúdo: quando o dia de convidado começou e quando o app viu que ele acabou; quando a oferta dos 14 dias foi mostrada, adiada, dispensada, aceita ou falhou (cancelamento, rede ou inelegibilidade); e, do primeiro encontro, a etapa, a duração, se a conta é de convidado ou não, o motivo da saída, se a ferramenta deu certo e a latência. Não vai quiz, receita, fala, segredo, token nem identificador pessoal num campo de texto; o custo vem do registro da voz descrito acima.

BASE LEGAL: execução do contrato (art. 7º, V); obrigação legal e fiscal para o registro financeiro (art. 7º, II); e legítimo interesse para a prevenção a fraude e abuso (art. 7º, IX).

Em menuchef.app.br/criadores você pode se inscrever para gravar vídeos curtos pagos com o MenuChef. Isso é do site, não do app: usar o app não inscreve ninguém.

O QUE FICA: o seu nome; o seu @ no Instagram ou no TikTok; a sua cidade e o estado; como você cozinha; de que assunto você fala; o modelo do seu iPhone; o link do vídeo de teste que você mandou; quanto você cobra por vídeo, se você disser; o seu email; a sua declaração de que tem 18 anos ou mais; de qual link você veio (por exemplo, do destaque do Instagram), sem nada além do nome do link; o texto da autorização que você marcou, com a data e a hora; e, por até 2 dias, um código pseudonimizado feito a partir do endereço da sua conexão, que só serve para barrar inscrição em série. O endereço em si não é guardado.

PARA QUÊ: só para esta seleção. A gente lê a inscrição, assiste ao vídeo pelo link que você mandou e, se o seu perfil combinar, te chama por email ou por mensagem direta. Os dados não entram em lista de email, não são usados para anúncio e não são passados para ninguém.

ONDE FICA: no nosso banco de dados, no Supabase, que só o nosso servidor abre. Nenhum email sai automaticamente desta inscrição.

POR QUANTO TEMPO: até 90 dias depois do fim da seleção. Passado esse prazo, a inscrição é apagada automaticamente. Se a gente te chamar para gravar, o que for combinado (pagamento, uso dos vídeos) passa a valer pelo acordo escrito entre a gente e você, não por este formulário.

SÓ PARA MAIORES DE 18 ANOS: se alguém com menos de 18 anos se inscreveu, a gente apaga a inscrição assim que souber.

APAGAR ANTES: escreva para contato@menuchef.app.br pedindo a exclusão, com o email que você usou na inscrição. A gente apaga e te responde.

BASE LEGAL: o seu consentimento (art. 7º, I), dado na caixa do formulário. Você pode retirá-lo a qualquer momento pelo mesmo email.

A gente não lê a sua fototeca, os seus arquivos, os seus contatos, as suas mensagens nem o seu histórico. Vai só o que você manda.

O app não pede localização e não tem como saber onde você está. O único código de terceiro dentro dele é o kit da LiveKit, que conecta a conversa por voz e só entra em ação quando você liga o Sous-Chef. Não há kit de analítica nem de anúncio, não há pedido de rastreamento e não há anúncio.

Não vendemos, não alugamos e não trocamos dado seu com ninguém.

Estes, e nenhum a mais:

Google (Gemini) — lê o que você manda para virar receita e olha a foto do escâner.
LiveKit — leva o áudio da conversa com o Sous-Chef em tempo real, hospeda o programa do Sous-Chef, percebe quando você terminou de falar e, se você autorizou, guarda o texto da conversa no painel técnico dela.
Deepgram — recebe o áudio do que você fala ao Sous-Chef e transcreve.
OpenAI — recebe o texto da sua fala, com a receita, a tela, o acervo, a lista e as restrições, e escreve a resposta do Sous-Chef. Se você autorizou guardar o texto da conversa, pode receber esse texto mais uma vez, depois da conversa, para avaliar as respostas do Sous-Chef. Durante a conversa, recebe também a descrição em texto do que o escâner viu, nunca a foto; ela fica no contexto da conversa por até 10 minutos após a captura. Na reserva, quando a Deepgram ou a Fish Audio falham, a OpenAI também transcreve o seu áudio ou faz a voz.
Anthropic — só na reserva, quando o modelo da OpenAI falha: recebe o mesmo texto e escreve a resposta do Sous-Chef.
Fish Audio — recebe a resposta do Sous-Chef, em texto, e faz a voz.
Supabase — hospeda o nosso servidor e o nosso banco de dados (a sua conta, as suas receitas, a sua lista e os contadores de uso) e as inscrições de criadores do site.
Fly.io — hospeda a máquina que baixa o vídeo e o áudio do Instagram e do TikTok para serem lidos.
Cloudflare — hospeda este site. Como todo servidor de site, recebe o endereço IP da sua conexão e os pedidos de página que o seu navegador faz.
Apple — cuida do login com a Apple, das compras, do DeviceCheck e da resposta sobre o Apple Ads.

Os que tratam alguma coisa por ordem nossa o fazem sob contrato, e a Apple é a plataforma onde o app vive. Com UMA EXCEÇÃO, que já está na seção do áudio: no modelo gratuito que usamos, a Fish Audio pode usar os pedidos — a fala do Sous-Chef, em texto — para melhorar os próprios modelos. Fora ela, nenhum deles recebe o seu dado para usar por conta própria.

Se um dia esta lista mudar — outro modelo, outra empresa —, o app pergunta de novo antes de continuar, e o "sim" que você deu para o arranjo anterior não vale para o novo. Já foi assim uma vez.

Saem, e é justo que você saiba. As empresas que tratam alguma coisa por ordem nossa são estrangeiras, e os servidores delas ficam fora do país — principalmente nos Estados Unidos. A Apple também é, e o que vai para ela — o login, a compra, o DeviceCheck e o Apple Ads — segue a política de privacidade dela, não a nossa.

Na conversa por voz, o próprio Sous-Chef roda nos Estados Unidos, no serviço da LiveKit, e a Deepgram, a OpenAI e a Fish Audio, e, na reserva, a Anthropic, tratam o que recebem fora do Brasil, conforme o contrato com cada uma.

A LGPD chama isso de transferência internacional (art. 33) e pede uma base para ela. A nossa são os contratos de API que a gente assinou com cada fornecedor, que trazem as cláusulas de proteção de dados deles (art. 33, II).

As duas telas de autorização — a da leitura e a do áudio — dizem para qual empresa o dado vai antes de ele ir, mas ainda não dizem que essas empresas ficam fora do Brasil. Uma próxima versão do app vai dizer isso na própria tela; até lá, é esta seção que diz.

Se você não quiser que nada seu saia do país, o caminho existe e é honesto: não autorize a leitura nem o áudio. O app continua servindo para escrever receita à mão, cozinhar com timer e guardar o seu acervo.

O SEU ÁUDIO: não fica. Não vira arquivo em lugar nenhum.

A FOTO, O PDF E O ÁUDIO QUE VOCÊ MANDA PARA LER: não ficam no servidor. Passam, são lidos, acabam. A primeira foto vira a capa da receita, e a capa fica como as outras.

A LEITURA PRONTA DA RECEITA, no cache: fica enquanto o cache existir. Ela não tem o seu nome nem o do seu aparelho, e é reaproveitada por quem mandar a mesma fonte.

A CONVERSA COM O SOUS-CHEF: o áudio não fica, e o texto da conversa só é guardado se você autorizar (Conta › Dados): aí a equipe do MenuChef pode lê-lo para melhorar o Sous-Chef, e ele é apagado em 60 dias (a cópia no painel da LiveKit segue o prazo dela). Os números de cada sessão (duração, contadores, quais fornecedores atenderam) ficam com a sua conta; quando você a apaga, eles perdem o dono e ficam só como custo.

AS RECUSAS DA VOZ (conta, aparelho, motivo e hora): 365 dias, ou até você apagar a conta.

AS SUAS RESTRIÇÕES E ALERGIAS: ficam só no seu iPhone, até você apagá-las ou apagar o conteúdo do app. Se você autorizou guardar o texto da conversa, o que você contar sobre elas fica nesse texto por 60 dias.

O VÍNCULO ENTRE O SEU APARELHO E A SUA CONTA: fica enquanto a conta existir.

AS SUAS RECEITAS, AS CÓPIAS REDUZIDAS DAS CAPAS, A SUA LISTA DE COMPRAS E A SUA CONTA: ficam enquanto você quiser, e vão embora quando você apagar a conta.

OS REGISTROS DE USO DO APP: são apagados automaticamente depois de 13 meses. Até lá estão gravados evento a evento, com o identificador do aparelho, e a gente os apaga antes, a pedido — é só escrever.

A ORIGEM DA INSTALAÇÃO ("anúncio" ou "orgânico"): hoje não tem prazo automático de descarte. A gente apaga a pedido.

O RECIBO DA APPLE E A LINHA DA SUA ASSINATURA: ficam, mesmo depois de você apagar a conta, porque são registro financeiro e respondem à Apple, ao reembolso e à contabilidade. O que some deles é o VÍNCULO com você — a linha continua, órfã, sem dono.

A CORTESIA E A CHAVE DE REVOGAÇÃO DA APPLE: são apagadas junto com a conta.

O REGISTRO DO PRESENTE E DO ENCONTRO: enquanto a identidade (conta ou convidado) existir, inclusive depois de vencido; sai com a exclusão.

O RECIBO DA EXCLUSÃO DO CONVIDADO: 24 horas, e então é apagado. Ele guarda só o número da operação e uma impressão digital (hash) da credencial apagada, para a mesma exclusão poder ser repetida se a resposta se perder; não dá acesso a nada.

A INSCRIÇÃO DE CRIADORES DO SITE: até 90 dias depois do fim da seleção, e então é apagada automaticamente. O código pseudonimizado da conexão, 2 dias. Antes disso, a pedido.

A LGPD (art. 18) te dá uma lista de direitos. Aqui está cada um com o caminho de verdade, e não só o nome dele.

APAGAR A SUA CONTA. No app, em Conta › Apagar conta › Excluir tudo. Isso apaga a sua identidade, as suas receitas, as capas e a sua lista de compras do nosso servidor, apaga as linhas da cortesia, o que a gente guardava da sua voz (as recusas e qualquer registro de conversa, exceto a cópia que a LiveKit guarda no painel técnico dela, que segue o prazo dela) e os registros de uso dos aparelhos ligados à sua conta, desfaz o login com a Apple do lado da Apple e apaga o conteúdo deste aparelho. É definitivo e não tem desfazer. A tela só confirma depois que o servidor responder: se a rede falhar, nada é apagado e você tenta de novo.

APAGAR OS DADOS DE CONVIDADO, sem conta Apple. No app, em Conta › "Apagar meus dados como convidado" (ou, antes de escolher como entrar, "Apagar dados deste aparelho", na abertura). Não pede login: a prova é a credencial de convidado guardada no Chaveiro deste iPhone. Apaga do nosso servidor o registro do presente deste aparelho, as respostas e o estado do encontro, as conversas e recusas da voz, os pedidos de leitura, os contadores de uso desse convidado e os registros de uso do aparelho desde que este convidado chegou a ele (se o aparelho nunca foi ligado a uma conta), e então apaga deste iPhone a pasta do convidado (receitas e lista), as respostas da entrada, a autorização e os marcadores do presente e do encontro. Os números das sessões de voz ficam só como custo, sem dono, e o que já foi gasto do presente não volta. Não cancela assinatura da Apple: a compra continua restaurável sem conta, sem trazer de volta o que foi apagado nem o presente. Se o convidado já foi levado para uma conta, o caminho é Apagar conta. Se a rede falhar, nada local é apagado e a exclusão fica guardada para repetir; o recibo de 24 horas descrito acima cobre a resposta perdida. Se não der para provar que os dados são seus, o app diz isso, oferece o suporte e a remoção só deste iPhone, sem afirmar que apagou o servidor. A exclusão vale para este aparelho: outros iPhones com a mesma conta da App Store guardam os próprios dados de convidado, e o contador de leituras grátis do mês, que é compartilhado entre eles, só sai quando não sobra nenhum. Sem perfil escondido, apagar e voltar como convidado novo também zera esse contador de leituras grátis; o dia de Sous-Chef não volta, porque o bit da Apple continua.

O QUE A EXCLUSÃO NÃO APAGA, e a gente prefere dizer: a linha da sua assinatura, que é registro financeiro e perde o vínculo com você em vez de sumir; os números das suas sessões de voz, que ficam só como custo, sem conta e sem aparelho; e os registros de uso de um aparelho que nunca foi ligado à sua conta (sem voz e sem assinatura nele). Para apagar esses também, escreva e diga de qual aparelho; a gente apaga.

RETIRAR O CONSENTIMENTO. Em Conta, "Retirar a autorização de leitura" para o que você manda, e "Retirar a autorização do áudio" para a voz. São dois botões porque são duas autorizações. Retirando a da leitura, o app para de ler receitas novas até você autorizar de novo; as que já estão na Cozinha continuam suas. Retirando a do áudio, uma conversa em curso cai na hora.

SABER O QUE A GENTE TEM, PEDIR CÓPIA, CORRIGIR, PEDIR PORTABILIDADE, SE OPOR AO TRATAMENTO POR LEGÍTIMO INTERESSE, OU PEDIR A ANONIMIZAÇÃO. Hoje isso não tem botão no app: é por e-mail, em contato@menuchef.app.br, e a gente responde em até 15 dias.

SABER COM QUEM COMPARTILHAMOS: está duas seções acima, com nome e função de cada um.

RECLAMAR. Se a nossa resposta não te servir, a Autoridade Nacional de Proteção de Dados (ANPD) recebe reclamação de titular em gov.br/anpd.

O MenuChef não é feito para crianças e o app não pede idade — então a gente não tem como saber quem está do outro lado. (A inscrição de criadores do site é só para maiores de 18 anos e pede essa declaração.) Não tratamos dado de criança de propósito e não fazemos nenhum perfil de ninguém.

Se você é responsável por uma criança que usou o app e quer que a gente apague o que houver, escreva para contato@menuchef.app.br e a gente apaga.

Este site é estático. Ele não grava cookie, não usa armazenamento local, não tem script de terceiro e não tem medidor de audiência. Até as fontes são servidas daqui mesmo, e não de um provedor de fora.

Quer dizer: navegar por estas páginas não deixa nada no seu navegador. Quem hospeda o site é a Cloudflare, que recebe, como qualquer hospedagem, o endereço IP da sua conexão e as páginas que você pede; a gente não usa isso para medir audiência nem para nada além de servir o site. Os dados do formulário de inscrição de criadores saem só quando você toca em "Enviar inscrição", e vão direto para o nosso servidor.

O banco não é aberto: cada tabela tem regra de acesso por linha, e as tabelas sensíveis são inalcançáveis por qualquer chave que o app carregue. As chaves dos fornecedores de IA nunca saem do nosso servidor — o app manda o pedido e recebe a resposta, sem nunca ver a chave. Tudo trafega por conexão cifrada. A chave da sua sessão fica no Chaveiro do iPhone, marcada para não sair em backup.

Nada disso é promessa de que nunca vai acontecer nada. Se acontecer um incidente que possa te trazer risco, a gente avisa você e a ANPD, como a lei manda (art. 48).

Se o destino dos seus dados mudar — outro modelo, outra empresa, mais coisa saindo do que saía —, o app pergunta de novo antes de continuar, e o "sim" que você deu para o arranjo anterior não vale. Isso não é uma frase bonita: é como o app está escrito, e já foi cumprido.

Para mudanças menores, a data no topo desta página é o que vale. Quando a mudança for grande, a gente avisa dentro do app.

Atualizada em 9 de novembro de 2026.