Tribbo Fit
🔒
Política de Privacidade
Tribbo Fit
Última atualização: 28 de outubro de 2026  ·  Versão 2.4

Esta política descreve como a Tribbo coleta, usa e protege seus dados pessoais e de saúde. Ao utilizar o aplicativo, você concorda com os termos aqui descritos. Leia com atenção antes de criar sua conta.

01Dados coletados e finalidade

Dados de cadastro

Para criar sua conta coletamos:

  • Nome completo — identificação e personalização do app
  • Endereço de e-mail — autenticação, recuperação de senha e comunicações transacionais
  • Senha — armazenada em hash seguro via Supabase Auth; nunca acessamos sua senha em texto simples

Ao usar login social (Sign In with Apple ou Google Sign-In), recebemos nome e e-mail diretamente do provedor de identidade, conforme as permissões que você autorizar.

Dados de saúde

O núcleo do app é o acompanhamento da sua rotina de saúde. Coletamos:

  • Dados biométricos: peso, altura, IMC (calculado localmente)
  • Sono: horário de dormir, horas dormidas
  • Bem-estar: humor (escala 1–5), disposição (escala 1–5)
  • Hidratação: mililitros consumidos diariamente, meta diária de água
  • Nutrição: refeições do dia, alimentos, horários, check de refeições realizadas; suplementos com dose e horário
  • Treino: exercícios cadastrados, séries, repetições, descanso, plano de treino ativo, registro de treino realizado e duração
  • Check-in diário: respostas às perguntas de bem-estar, Tribbo Score calculado

Foto de perfil

Opcional. Armazenada no Supabase Storage. Usada exclusivamente para exibição no seu perfil dentro do app.

Push tokens

Armazenamos o token de notificação push gerado pelo seu dispositivo via Expo. Usado exclusivamente para enviar notificações que você configura no app (lembretes de check-in, refeições, treino, hidratação e insights de saúde).

Planos enviados por upload

Se você enviar arquivos PDF de planos nutricionais ou de treino, esses arquivos são processados por Inteligência Artificial para extração estruturada das informações. Após o processamento, o conteúdo extraído é armazenado no seu perfil. Os arquivos brutos não são armazenados permanentemente.

Dados de uso e diagnóstico

Coletamos dados de erros pelo Sentry e dados de uso do app pelo PostHog (veja a seção 3), para corrigir falhas e melhorar o app. O que cada um recebe está descrito na seção 3.

02Como os dados são usados

Seus dados são utilizados exclusivamente para:

  • Fornecer as funcionalidades do app: dashboard de saúde, Tribbo Score, planos alimentares e de treino, acompanhamento de hidratação
  • Personalizar conteúdo e insights gerados pelo Coach IA com base no seu histórico
  • Enviar notificações push que você habilitou nas configurações
  • Gerar relatórios semanais de progresso entregues via notificação
  • Identificar e corrigir erros técnicos no aplicativo
  • Cumprir obrigações legais e regulatórias

Nunca vendemos seus dados. Seus dados de saúde não são compartilhados com anunciantes, seguradoras, empregadores ou qualquer terceiro para fins comerciais não relacionados às funcionalidades do app.

03Compartilhamento com terceiros

Compartilhamos dados apenas com os prestadores de serviço abaixo, cada um só com o necessário para a sua função. Não vendemos dados. Nenhum dado de saúde vai para a Meta. Para o PostHog não vão peso, altura, medidas, condições de saúde, dores, restrições, nomes de alimentos ou exercícios, sono, humor nem respostas do check-in (veja o item PostHog).

Supabase

Banco de dados, autenticação, armazenamento de arquivos e as rotinas agendadas do app (como o resumo semanal). Recebe todos os dados do app, inclusive os de saúde, para guardá-los e fazer o app funcionar. Servidores em us-west-2 (Oregon, Estados Unidos). Política de privacidade do Supabase.

Anthropic (Claude)

Inteligência artificial do Coach, do resumo semanal, do registro de refeições por foto ou texto e da leitura de planos enviados (PDF ou foto). Recebe os dados de saúde necessários para cada resposta (por exemplo, check-ins, refeições, treinos, peso e metas) ou a imagem e o arquivo enviados. A Anthropic não usa esses dados para treinar modelos. Política de privacidade da Anthropic.

RevenueCat

Gestão das assinaturas. Recebe o identificador da sua conta Tribbo e o status da assinatura (plano, datas, renovação), para liberar ou retirar o acesso Premium. No Android, também recebe identificadores do aparelho e repassa à Meta os eventos de compra, para medir anúncios. Não recebe dados de saúde. Política de privacidade do RevenueCat.

Apple App Store e Google Play

Processam o pagamento das assinaturas. Não temos acesso aos dados do seu cartão ou forma de pagamento.

Apple e Google (login)

Se você entrar com Apple ou Google, eles confirmam sua identidade e nos repassam nome e e-mail, conforme o que você autorizar. Política de privacidade da Apple · Política de privacidade do Google.

Meta (SDK do Facebook)

Medição de anúncios. Recebe eventos do app (instalação, abertura, cadastro, fim do cadastro inicial, tela de assinatura vista, início e conclusão de assinatura, com o valor do plano) e, no iPhone só se você permitir o rastreamento, o identificador de publicidade do aparelho. Não recebe nenhum dado de saúde, nem respostas do questionário. Veja a seção 14. Política de privacidade da Meta.

Meta Pixel (site tribbofit.com.br)

Medição de anúncios no site. Só é carregado se você tocar em "Aceitar" na faixa de cookies. Recebe as páginas visitadas, o toque nos botões da App Store ou do Google Play (com a loja escolhida), dados técnicos do navegador, o endereço IP e o cookie da Meta (_fbp). Não recebe dados de saúde, e-mail nem telefone, nem nada do que você digita na calculadora. Se você recusar, o pixel não é carregado. Para mudar a escolha, veja a seção 14. Política de privacidade da Meta.

Google Analytics 4 (site tribbofit.com.br)

Estatísticas de visitas ao site. Só é carregado se você tocar em "Aceitar" na faixa de cookies. Recebe as páginas visitadas, a origem da visita (por exemplo, "instagram / anúncio / lançamento"), o toque nos botões das lojas, dados técnicos do navegador e do aparelho, o endereço IP e os cookies do Google Analytics (_ga). Não recebe dados de saúde, e-mail nem telefone, nem nada do que você digita na calculadora. Política de privacidade do Google.

Pixel do TikTok (site tribbofit.com.br)

Medição de anúncios do TikTok no site. Só é carregado se você tocar em "Aceitar" na faixa de cookies. Recebe as páginas visitadas, o toque nos botões das lojas, dados técnicos do navegador, o endereço IP e o cookie do TikTok (_ttp). Não recebe dados de saúde, e-mail nem telefone. Política de privacidade do TikTok.

PostHog

Análise de uso do app, para entender o que funciona e melhorar as telas. Recebe o identificador da conta e o e-mail; idade, gênero, objetivo e nível de treino; as escolhas do cadastro que não são de saúde (por exemplo, quantas refeições por dia, onde você come, orçamento e como conheceu o Tribbo); e eventos de uso, como telas abertas, botões tocados e ações concluídas. Alguns eventos levam números de uso sem identificar o que foi: calorias de uma refeição registrada, número de copos de água do dia, duração e calorias estimadas de um treino e a nota de alimentação do check-in. Não recebe peso, altura, medidas, condições de saúde, dores, restrições alimentares, nomes de alimentos ou de exercícios, sono, humor nem as respostas do check-in. Política de privacidade do PostHog.

Sentry

Monitoramento de erros. Recebe o identificador e o e-mail da conta, para sabermos de quem é o erro, e dados técnicos do aparelho e do erro. Não enviamos dados de saúde ao Sentry. Política de privacidade do Sentry.

Resend

Envio de e-mails do app, como aviso do fim do período grátis, confirmação de exclusão de conta e respostas ao seu contato. Recebe seu nome, seu e-mail e o texto do e-mail. Política de privacidade do Resend.

Expo (EAS)

Compilação, distribuição e atualizações do app, e envio das notificações push. Recebe dados técnicos do app e, nas notificações enviadas pelo servidor (como o resumo semanal), o token do aparelho e o texto da notificação. Política de privacidade da Expo.

Apple Push Notification service e Firebase Cloud Messaging (Google)

Entregam as notificações no iPhone e no Android. Recebem o token do aparelho e o texto da notificação.

Open Food Facts

Base aberta de produtos usada quando você lê um código de barras. Recebe só o número do código de barras, enviado pelo nosso servidor, sem nenhum dado seu. Política de privacidade do Open Food Facts.

Transferências internacionais: Supabase, Anthropic, RevenueCat, Meta, Google, TikTok, PostHog, Sentry, Resend e Expo processam dados fora do Brasil (principalmente nos EUA). Essas transferências são necessárias para o funcionamento do app e seguem as garantias contratuais de cada prestador, conforme a LGPD.

04Dados de assinatura

Quando você contrata um plano Premium, coletamos e armazenamos:

  • Status da assinatura (ativo, cancelado, expirado);
  • Tipo de plano contratado (mensal, semestral, anual);
  • Data de início e de expiração da assinatura;
  • Origem do acesso Premium (assinatura paga, cortesia, ou conta interna).

Não armazenamos dados do seu cartão de crédito ou informações financeiras — esses dados ficam exclusivamente com a Apple, o Google, e o RevenueCat, conforme suas respectivas políticas.

05Cancelamento e reembolso

Você pode cancelar sua assinatura a qualquer momento pelas configurações da sua conta na App Store ou no Google Play. Ao cancelar, o acesso Premium permanece ativo até o fim do período já pago.

Nos primeiros 7 dias após a contratação inicial, você tem direito à devolução integral do valor pago, conforme o Art. 49 do Código de Defesa do Consumidor. Para solicitar, entre em contato pelo atendimento.app.kora@gmail.com ou diretamente pela loja de origem da compra.

06Retenção de dados
  • Dados de conta e saúde: mantidos enquanto sua conta estiver ativa
  • Check-ins e histórico: retidos indefinidamente para permitir visualização de evolução de longo prazo
  • Push tokens: atualizados a cada sessão; tokens obsoletos são removidos automaticamente
  • Arquivos PDF de upload: processados e descartados após extração; não são armazenados permanentemente
  • Dados de erro (Sentry): retidos por até 90 dias conforme política padrão do Sentry
  • Contagem de cliques nos links de download do site: guardada por até 24 meses e depois apagada automaticamente. Não identifica ninguém (veja a seção 14).
  • Após exclusão da conta: todos os dados pessoais são removidos permanentemente dos nossos sistemas em até 30 dias, exceto quando houver obrigação legal de retenção

Exclusão de conta

Você pode solicitar a exclusão da sua conta a qualquer momento diretamente no app (Perfil → Configurações → Excluir conta) ou pelo e-mail atendimento.app.kora@gmail.com. A exclusão é irreversível e remove todos os seus dados de saúde, check-ins e histórico.

07Seus direitos (LGPD)

Em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018), você tem os seguintes direitos:

  • Acesso: obter confirmação de que seus dados são tratados e acessar uma cópia
  • Correção: solicitar correção de dados incompletos, inexatos ou desatualizados
  • Anonimização ou bloqueio: solicitar que dados desnecessários sejam anonimizados ou bloqueados
  • Exclusão: solicitar eliminação dos dados tratados com base no seu consentimento
  • Portabilidade: solicitar a portabilidade dos seus dados para outro serviço
  • Revogação do consentimento: retirar o consentimento a qualquer momento, sem prejuízo das operações realizadas anteriormente
  • Informação: ser informado sobre as entidades com quem compartilhamos seus dados
  • Oposição: se opor a tratamento realizado em descumprimento da LGPD

Para exercer qualquer um desses direitos, entre em contato pelo e-mail atendimento.app.kora@gmail.com. Responderemos em até 15 dias úteis.

A base legal para o tratamento dos seus dados de saúde é o consentimento (Art. 7º, I, e Art. 11, I da LGPD), obtido no momento do cadastro. O tratamento para finalidades operacionais essenciais também se fundamenta no legítimo interesse e no cumprimento de contrato.

08Segurança

Adotamos as seguintes medidas técnicas e organizacionais para proteger seus dados:

  • Criptografia em trânsito: toda comunicação entre o app e nossos servidores utiliza TLS/HTTPS
  • Criptografia em repouso: dados armazenados no Supabase são criptografados em disco
  • Row Level Security (RLS): políticas de banco de dados que garantem que cada usuário acesse apenas seus próprios dados
  • Senhas com hash: senhas são armazenadas usando bcrypt via Supabase Auth
  • Autenticação JWT: sessões protegidas por tokens de curta duração
  • Acesso restrito: apenas membros da equipe com necessidade técnica têm acesso à infraestrutura
  • Monitoramento contínuo: erros e anomalias são monitorados via Sentry

Nenhum sistema é 100% seguro. Em caso de incidente de segurança que afete seus dados, notificaremos os usuários afetados nos prazos previstos pela LGPD.

09Menores de idade

O Tribbo é destinado exclusivamente a pessoas com 18 anos ou mais. Não coletamos intencionalmente dados de menores de 18 anos. Se identificarmos que uma conta pertence a um menor, ela será encerrada imediatamente e os dados removidos.

Se você acredita que um menor forneceu dados para o Tribbo, entre em contato pelo e-mail atendimento.app.kora@gmail.com para que possamos tomar as providências necessárias.

10Notificações push

O Tribbo pode enviar notificações push para o seu dispositivo, sempre com sua autorização prévia. Os tipos de notificação disponíveis são:

  • Lembretes de check-in diário
  • Lembretes de refeições e suplementos
  • Lembretes de treino
  • Lembretes de hidratação
  • Insights proativos de saúde (insights diários gerados por IA)
  • Resumo semanal de progresso

Você pode gerenciar ou desativar cada tipo de notificação individualmente nas configurações do app (Perfil → Notificações). Também é possível desativar todas as notificações nas configurações do seu sistema operacional a qualquer momento.

Armazenamos apenas o token técnico necessário para o envio. Não compartilhamos tokens de push com terceiros para fins publicitários.

11Inteligência Artificial

O Tribbo utiliza modelos de linguagem da Anthropic (Claude) em duas funcionalidades:

Coach IA

Quando você interagir com o Coach no aplicativo, dados do seu perfil de saúde — incluindo check-ins recentes, plano alimentar, plano de treino e histórico de hidratação — são enviados à API da Anthropic para geração de insights personalizados. Esses dados são transmitidos de forma segura via HTTPS e não são armazenados pela Anthropic para treinamento de modelos.

Processamento de planos (upload de PDF)

Quando você envia um PDF de plano nutricional ou de treino, o conteúdo do arquivo é transmitido à API da Anthropic para extração estruturada das informações (refeições, horários, exercícios, séries etc.). O arquivo bruto não é retido; apenas os dados extraídos são salvos no seu perfil.

A IA gera conteúdo informativo com base nos seus dados e não substitui orientação médica, nutricional ou de educação física profissional. Consulte sempre um profissional de saúde qualificado antes de tomar decisões relacionadas à sua saúde.

Decisões automatizadas

O Tribbo não utiliza IA para tomar decisões automatizadas com efeitos jurídicos ou significativos sobre você. Todos os insights gerados são informativos e a decisão de agir cabe exclusivamente ao usuário.

12Grupo VIP de assinantes (WhatsApp)

Depois de assinar, você pode escolher entrar no Grupo VIP de assinantes, com contato direto com o fundador, novidades em primeira mão e brindes nos desafios. A participação é opcional e só acontece se você informar seu WhatsApp e marcar a caixa "Quero receber o convite pelo WhatsApp".

O que guardamos

  • O número de WhatsApp que você informou
  • A data e a hora em que você marcou a caixa, o texto exato que aceitou e o local do app onde aceitou

Para que usamos

Só para te enviar o convite do grupo e falar com você sobre o Grupo VIP. Seu número não é usado para anúncios, não é enviado à Meta para fins de publicidade nem a ferramentas de análise de uso, e não é vendido nem cedido a ninguém. Ao entrar no grupo, seu número fica visível para os outros participantes, como em qualquer grupo do WhatsApp, e o uso do WhatsApp segue a política de privacidade do próprio WhatsApp.

Como sair

Você pode sair do grupo a qualquer momento direto no WhatsApp. Para que a gente apague seu número e não te chame mais, escreva para atendimento.app.kora@gmail.com ou avise no próprio WhatsApp. Ao registrar a sua saída, apagamos o número e guardamos apenas a data em que você saiu. Se você excluir sua conta, esses dados também são apagados.

13Como você conheceu o Tribbo

No cadastro, perguntamos como você conheceu o Tribbo (por exemplo, Instagram, TikTok, indicação, anúncio, busca na loja ou YouTube). A resposta fica no seu perfil e também vai, junto com o identificador da sua conta, para a nossa ferramenta de análise de uso do app (PostHog). Usamos essa informação apenas de forma agregada, para entender quais canais trazem pessoas ao Tribbo. Não é um dado de saúde e não é compartilhada para fins publicitários.

14Medição de anúncios e rastreamento (app e site)

No app

Usamos o SDK da Meta (Facebook) para medir se os nossos anúncios trazem pessoas ao Tribbo. Ele registra eventos do app como instalação, cadastro, conclusão do cadastro inicial, visualização da tela de assinatura e início e conclusão de assinatura. Nenhum dado de saúde é enviado: treinos, refeições, peso, sono e as respostas do questionário nunca vão para a Meta.

No iPhone, antes da tela de assinatura, mostramos uma explicação e o iOS pede a sua permissão de rastreamento (App Tracking Transparency). Se você permitir, o identificador de publicidade do aparelho pode ser usado para relacionar a sua instalação ao anúncio que você viu. Se não permitir, esse identificador não é usado e o app funciona normalmente, sem nenhuma diferença nas funcionalidades.

Registramos se você permitiu ou não, na nossa ferramenta de análise de uso. Você pode mudar a escolha quando quiser em Ajustes do iPhone → Privacidade e Segurança → Rastreamento. No Android, o identificador de publicidade segue as configurações de anúncios do seu aparelho.

No site (Meta Pixel, Google Analytics e Pixel do TikTok)

No site tribbofit.com.br, inclusive nos links curtos como /ig e /tt, usamos o Meta Pixel, o Google Analytics 4 e o Pixel do TikTok para saber quais anúncios e perfis trazem visitas e quantas pessoas tocam nos botões da App Store e do Google Play. Eles só são carregados se você tocar em "Aceitar" na faixa de cookies. Se você tocar em "Recusar" ou não escolher nada, nenhum deles é carregado e o site funciona normalmente. Nos links curtos, que levam direto para a loja, eles só são carregados se você já tiver aceitado antes neste navegador. Nenhum dado de saúde, e-mail ou telefone vai para a Meta, o Google ou o TikTok.

A sua escolha fica salva no seu navegador. Para mudar, toque no botão abaixo: a faixa aparece de novo e, se você tinha aceitado, os cookies da Meta, do Google Analytics e do TikTok deste site são apagados. Limpar os dados do site no navegador também apaga a escolha.

Contagem de cliques sem cookie

Quando você abre um link de download do site (como /ig, /tt ou /download) ou toca em um botão da App Store ou do Google Play, contamos esse clique no nosso servidor (Supabase, servidor nos Estados Unidos), mesmo sem o aceite dos cookies. Gravamos apenas: de onde veio o link (por exemplo, "instagram / anúncio / lançamento / vídeo 3"), o tipo de aparelho (iPhone, Android ou computador), qual link foi usado, se foi aberto dentro do app do Instagram ou do TikTok, e a data e a hora. Não gravamos o endereço IP, não usamos cookies e não criamos nenhum identificador, então não dá para saber quem clicou nem juntar dois cliques da mesma pessoa. Como em qualquer acesso à internet, o provedor do servidor recebe o endereço IP para entregar a resposta e pode mantê-lo em registros técnicos temporários. Os números são usados só de forma agregada, para saber quais canais trazem downloads, e ficam guardados por até 24 meses.

15Contato e encarregado de dados

Para dúvidas, exercício de direitos, solicitações de exclusão ou qualquer questão relacionada à privacidade, entre em contato:

E-mail de atendimento

atendimento.app.kora@gmail.com

Prazo de resposta: até 15 dias úteis

Esta Política de Privacidade pode ser atualizada periodicamente. Notificaremos usuários ativos sobre alterações relevantes por e-mail ou notificação no app com pelo menos 15 dias de antecedência. A data da última atualização consta sempre no topo deste documento.

Este documento é publicado em português e inglês. Em caso de divergência entre as versões em português e inglês deste documento, a versão em português prevalece.

🔒
Privacy Policy
Tribbo Fit
Last updated: October 28, 2026  ·  Version 2.4

This policy describes how Tribbo collects, uses, and protects your personal and health data. By using the app, you agree to the terms described here. Please read carefully before creating your account.

01Data collected and purpose

Account data

To create your account we collect:

  • Full name — identification and app personalization
  • Email address — authentication, password recovery, and transactional communications
  • Password — stored as a secure hash via Supabase Auth; we never access your password in plain text

When using social login (Sign In with Apple or Google Sign-In), we receive name and email directly from the identity provider according to the permissions you grant.

Health data

The core of the app is tracking your health routine. We collect:

  • Biometric data: weight, height, BMI (calculated locally)
  • Sleep: bedtime, hours slept
  • Well-being: mood (1–5 scale), energy (1–5 scale)
  • Hydration: milliliters consumed daily, daily water goal
  • Nutrition: daily meals, foods, schedules, meal completion check; supplements with dose and time
  • Workout: registered exercises, sets, reps, rest time, active workout plan, workout completion log and duration
  • Daily check-in: well-being questionnaire responses, Tribbo Score calculation

Profile photo

Optional. Stored in Supabase Storage. Used exclusively to display your profile picture within the app.

Push tokens

We store the push notification token generated by your device via Expo. Used exclusively to send notifications you configure in the app (check-in reminders, meals, workouts, hydration, and health insights).

Uploaded plans

If you upload PDF files of nutrition or workout plans, these files are processed by Artificial Intelligence for structured data extraction. After processing, the extracted content is stored in your profile. Raw files are not permanently stored.

Usage and diagnostic data

We collect error data via Sentry and app usage data via PostHog (see section 3) to fix issues and improve the app. What each one receives is described in section 3.

02How data is used

Your data is used exclusively to:

  • Provide app features: health dashboard, Tribbo Score, meal and workout plans, hydration tracking
  • Personalize content and insights generated by the AI Coach based on your history
  • Send push notifications you have enabled in settings
  • Generate weekly progress reports delivered via notification
  • Identify and fix technical errors in the application
  • Comply with legal and regulatory obligations

We never sell your data. Your health data is not shared with advertisers, insurers, employers, or any third party for commercial purposes unrelated to app features.

03Third-party sharing

We share data only with the service providers below, each one only with what it needs for its purpose. We do not sell data. No health data goes to Meta. PostHog does not receive weight, height, body measurements, health conditions, pain, restrictions, food or exercise names, sleep, mood or check-in answers (see the PostHog item).

Supabase

Database, authentication, file storage and the app's scheduled routines (such as the weekly summary). Receives all app data, including health data, to store it and run the app. Servers in us-west-2 (Oregon, United States). Supabase privacy policy.

Anthropic (Claude)

Artificial intelligence for the Coach, the weekly summary, logging meals by photo or text and reading uploaded plans (PDF or photo). Receives the health data needed for each answer (for example, check-ins, meals, workouts, weight and goals) or the image and file you send. Anthropic does not use this data to train models. Anthropic privacy policy.

RevenueCat

Subscription management. Receives your Tribbo account identifier and subscription status (plan, dates, renewal) to grant or remove Premium access. On Android, it also receives device identifiers and forwards purchase events to Meta for ad measurement. It does not receive health data. RevenueCat privacy policy.

Apple App Store and Google Play

Process subscription payments. We have no access to your card or payment method.

Apple and Google (sign-in)

If you sign in with Apple or Google, they confirm your identity and send us your name and email, as you authorize. Apple privacy policy · Google privacy policy.

Meta (Facebook SDK)

Ad measurement. Receives app events (install, open, sign-up, completion of the initial questionnaire, subscription screen viewed, subscription started and completed, with the plan value) and, on iPhone only if you allow tracking, the device advertising identifier. It does not receive any health data or questionnaire answers. See section 14. Meta privacy policy.

Meta Pixel (tribbofit.com.br website)

Ad measurement on the website. It only loads if you tap "Aceitar" (Accept) on the cookie banner. Receives the pages you visit, taps on the App Store or Google Play buttons (with the store chosen), technical browser data, your IP address and the Meta cookie (_fbp). It does not receive health data, email or phone number, or anything you type into the calculator. If you decline, the pixel is not loaded. To change your choice, see section 14. Meta privacy policy.

Google Analytics 4 (tribbofit.com.br website)

Website visit statistics. It only loads if you tap "Aceitar" (Accept) on the cookie banner. Receives the pages you visit, where the visit came from (for example, "instagram / ad / launch"), taps on the store buttons, technical browser and device data, your IP address and the Google Analytics cookies (_ga). It does not receive health data, email or phone number, or anything you type into the calculator. Google privacy policy.

TikTok Pixel (tribbofit.com.br website)

TikTok ad measurement on the website. It only loads if you tap "Aceitar" (Accept) on the cookie banner. Receives the pages you visit, taps on the store buttons, technical browser data, your IP address and the TikTok cookie (_ttp). It does not receive health data, email or phone number. TikTok privacy policy.

PostHog

App usage analytics, to understand what works and improve the screens. Receives the account identifier and email; age, gender, goal and training level; non-health sign-up choices (for example, meals per day, where you eat, budget and how you found Tribbo); and usage events, such as screens opened, buttons tapped and actions completed. Some events carry usage numbers without identifying what was logged: calories of a logged meal, number of glasses of water in the day, duration and estimated calories of a workout and the check-in nutrition score. It does not receive weight, height, body measurements, health conditions, pain, food restrictions, food or exercise names, sleep, mood or check-in answers. PostHog privacy policy.

Sentry

Error monitoring. Receives the account identifier and email, so we know whose error it is, plus technical device and error data. We do not send health data to Sentry. Sentry privacy policy.

Resend

Sending app emails, such as the free trial ending notice, account deletion confirmation and replies to your messages. Receives your name, your email and the email text. Resend privacy policy.

Expo (EAS)

Building, distributing and updating the app, and sending push notifications. Receives technical app data and, for notifications sent by the server (such as the weekly summary), the device token and the notification text. Expo privacy policy.

Apple Push Notification service and Firebase Cloud Messaging (Google)

Deliver notifications on iPhone and Android. Receive the device token and the notification text.

Open Food Facts

Open product database used when you scan a barcode. Receives only the barcode number, sent by our server, with no data about you. Open Food Facts privacy policy.

International transfers: Supabase, Anthropic, RevenueCat, Meta, Google, TikTok, PostHog, Sentry, Resend and Expo process data outside Brazil (mainly in the US). These transfers are necessary for the app to work and follow each provider's contractual safeguards, in accordance with the LGPD.

04Subscription data

When you subscribe to a Premium plan, we collect and store:

  • Subscription status (active, canceled, expired);
  • Plan type (monthly, semi-annual, annual);
  • Subscription start and expiration dates;
  • Source of Premium access (paid subscription, complimentary, or internal account).

We do not store your credit card data or financial information — this data remains exclusively with Apple, Google, and RevenueCat, according to their respective policies.

05Cancellation and refunds

You can cancel your subscription at any time through your account settings in the App Store or Google Play. When you cancel, Premium access remains active until the end of the period already paid for.

Within the first 7 days after your initial subscription, you are entitled to a full refund of the amount paid, in accordance with Article 49 of Brazil's Consumer Protection Code. To request a refund, contact us at atendimento.app.kora@gmail.com or directly through the store where you made the purchase.

06Data retention
  • Account and health data: retained while your account is active
  • Check-ins and history: retained indefinitely to enable long-term progress tracking
  • Push tokens: updated each session; obsolete tokens are removed automatically
  • Uploaded PDF files: processed and discarded after extraction; not permanently stored
  • Error data (Sentry): retained for up to 90 days per Sentry's default policy
  • Click counts on the website's download links: kept for up to 24 months and then deleted automatically. They do not identify anyone (see section 14).
  • After account deletion: all personal data is permanently removed from our systems within 30 days, unless there is a legal retention obligation

Account deletion

You may request account deletion at any time directly in the app (Profile → Settings → Delete account) or by email at atendimento.app.kora@gmail.com. Deletion is irreversible and removes all your health data, check-ins, and history.

07Your rights (LGPD)

In compliance with Brazil's General Data Protection Law — LGPD (Law No. 13,709/2018), you have the following rights:

  • Access: obtain confirmation that your data is being processed and access a copy
  • Correction: request correction of incomplete, inaccurate, or outdated data
  • Anonymization or blocking: request that unnecessary data be anonymized or blocked
  • Deletion: request elimination of data processed based on your consent
  • Portability: request portability of your data to another service
  • Revocation of consent: withdraw consent at any time, without prejudice to prior processing
  • Information: be informed about the entities with whom we share your data
  • Objection: object to processing carried out in non-compliance with the LGPD

To exercise any of these rights, contact us at atendimento.app.kora@gmail.com. We will respond within 15 business days.

The legal basis for processing your health data is consent (Art. 7, I, and Art. 11, I of the LGPD), obtained at registration. Processing for essential operational purposes is also based on legitimate interest and contract performance.

08Security

We implement the following technical and organizational measures to protect your data:

  • Encryption in transit: all communication between the app and our servers uses TLS/HTTPS
  • Encryption at rest: data stored in Supabase is encrypted on disk
  • Row Level Security (RLS): database policies ensuring each user accesses only their own data
  • Password hashing: passwords are stored using bcrypt via Supabase Auth
  • JWT authentication: sessions protected by short-lived tokens
  • Restricted access: only team members with technical need have access to infrastructure
  • Continuous monitoring: errors and anomalies are monitored via Sentry

No system is 100% secure. In the event of a security incident affecting your data, we will notify affected users within the timeframes required by the LGPD.

09Minors

Tribbo is intended exclusively for users aged 18 and over. We do not intentionally collect data from minors under 18. If we identify that an account belongs to a minor, it will be terminated immediately and the data removed.

If you believe a minor has provided data to Tribbo, please contact us at atendimento.app.kora@gmail.com so we can take the necessary steps.

10Push notifications

Tribbo may send push notifications to your device, always with your prior authorization. Available notification types include:

  • Daily check-in reminders
  • Meal and supplement reminders
  • Workout reminders
  • Hydration reminders
  • Proactive health insights (AI-generated daily insights)
  • Weekly progress summaries

You can manage or disable each notification type individually in app settings (Profile → Notifications). You may also disable all notifications in your device's operating system settings at any time.

We only store the technical token required for delivery. We do not share push tokens with third parties for advertising purposes.

11Artificial Intelligence

Tribbo uses language models from Anthropic (Claude) in two features:

AI Coach

When you interact with the Coach in the app, data from your health profile — including recent check-ins, meal plan, workout plan, and hydration history — is sent to Anthropic's API to generate personalized insights. This data is transmitted securely via HTTPS and is not stored by Anthropic for model training.

Plan processing (PDF upload)

When you upload a nutrition or workout plan PDF, the file content is transmitted to Anthropic's API for structured data extraction (meals, schedules, exercises, sets, etc.). The raw file is not retained; only the extracted data is saved to your profile.

AI-generated content is informational and does not replace professional medical, nutritional, or fitness guidance. Always consult a qualified healthcare professional before making health-related decisions.

Automated decisions

Tribbo does not use AI to make automated decisions with legal or significant effects on you. All generated insights are informational and acting on them is entirely at the user's discretion.

12Subscribers' VIP Group (WhatsApp)

After subscribing, you may choose to join the Subscribers' VIP Group, with direct contact with the founder, early news and prizes in challenges. Joining is optional and only happens if you enter your WhatsApp number and check the box "Quero receber o convite pelo WhatsApp" ("I want to receive the invitation on WhatsApp").

What we store

  • The WhatsApp number you entered
  • The date and time you checked the box, the exact text you accepted and the place in the app where you accepted it

What we use it for

Only to send you the group invitation and to talk to you about the VIP Group. Your number is not used for advertising, is not sent to Meta for advertising purposes or to usage analytics tools, and is not sold or shared with anyone. Once you join the group, your number is visible to the other members, as in any WhatsApp group, and your use of WhatsApp is subject to WhatsApp's own privacy policy.

How to leave

You can leave the group at any time directly in WhatsApp. To have your number deleted and stop being contacted, write to atendimento.app.kora@gmail.com or let us know on WhatsApp. When we record that you left, we delete the number and keep only the date you left. If you delete your account, this data is deleted as well.

13How you found Tribbo

During sign-up, we ask how you found Tribbo (for example, Instagram, TikTok, a referral, an ad, a store search or YouTube). The answer is stored in your profile and is also sent, together with your account identifier, to our app usage analytics tool (PostHog). We only use this information in aggregate, to understand which channels bring people to Tribbo. It is not health data and is not shared for advertising purposes.

14Ad measurement and tracking (app and website)

In the app

We use the Meta (Facebook) SDK to measure whether our ads bring people to Tribbo. It records app events such as install, sign-up, completion of the initial questionnaire, viewing the subscription screen and starting and completing a subscription. No health data is sent: workouts, meals, weight, sleep and questionnaire answers never go to Meta.

On iPhone, before the subscription screen, we show an explanation and iOS asks for your tracking permission (App Tracking Transparency). If you allow it, the device's advertising identifier may be used to link your install to the ad you saw. If you don't, that identifier is not used and the app works normally, with no difference in features.

We record whether you allowed it or not in our usage analytics tool. You can change your choice at any time in iPhone Settings → Privacy & Security → Tracking. On Android, the advertising identifier follows your device's ad settings.

On the website (Meta Pixel, Google Analytics and TikTok Pixel)

On the tribbofit.com.br website, including short links such as /ig and /tt, we use the Meta Pixel, Google Analytics 4 and the TikTok Pixel to learn which ads and profiles bring visits and how many people tap the App Store and Google Play buttons. They only load if you tap "Aceitar" (Accept) on the cookie banner. If you tap "Recusar" (Decline) or make no choice, none of them is loaded and the website works normally. On short links, which go straight to the store, they only load if you have already accepted in this browser. No health data, email or phone number goes to Meta, Google or TikTok.

Your choice is saved in your browser. To change it, tap the button below: the banner shows up again and, if you had accepted, this website's Meta, Google Analytics and TikTok cookies are deleted. Clearing the website's data in your browser also clears your choice.

Cookie-free click counting

When you open a download link on the website (such as /ig, /tt or /download) or tap an App Store or Google Play button, we count that click on our server (Supabase, server in the United States), even without cookie consent. We only record: where the link came from (for example, "instagram / ad / launch / video 3"), the type of device (iPhone, Android or computer), which link was used, whether it was opened inside the Instagram or TikTok app, and the date and time. We do not record the IP address, do not use cookies and do not create any identifier, so it is not possible to know who clicked or to link two clicks from the same person. As with any internet access, the server provider receives the IP address to deliver the response and may keep it in temporary technical logs. The numbers are only used in aggregate, to learn which channels bring downloads, and are kept for up to 24 months.

15Contact and data protection officer

For questions, exercising rights, deletion requests, or any privacy-related matter, please contact us:

Support email

atendimento.app.kora@gmail.com

Response time: up to 15 business days

This Privacy Policy may be updated periodically. We will notify active users of significant changes by email or in-app notification at least 15 days in advance. The date of the last update is always shown at the top of this document.

This document is published in Portuguese and English. In case of discrepancy between the Portuguese and English versions of this document, the Portuguese version shall prevail.