POLÍTICA DE PRIVACIDADE

Última atualização: julho de 2026

1. TERMOS E INTRODUÇÃO

A Luna encripta os teus dados de saúde no teu dispositivo (AES-256) antes de estes chegarem aos nossos servidores — a nós chega apenas texto cifrado ilegível. No modo Standard, é possível a recuperação da palavra-passe (a chave está protegida do lado do servidor); só no modo Max Privacy é que apenas a tua Recovery Key tem acesso. Para o coaching de IA opcional, o teu dispositivo forma categorias anonimizadas antes de cada pedido; os valores de texto simples encriptados (por exemplo, diário, nomes de medicamentos) nunca saem do teu dispositivo (ver a secção «Coaching assistido por IA»).

Enquanto responsável pelo tratamento de dados na aceção do RGPD (doravante «a APP», «a empresa», «nós»), adotamos medidas adequadas para garantir a segurança e a proteção dos seus dados pessoais quando utiliza a APP. Atuamos como responsável pelo tratamento porque decidimos sobre as finalidades e os meios do tratamento dos seus dados pessoais. A presente Política de Privacidade explica como recolhemos, utilizamos, armazenamos e partilhamos os seus dados pessoais quando visita os nossos sítios web ou interage com um dos nossos serviços.


2. O RESPONSÁVEL PELO TRATAMENTO

O responsável pelo tratamento de dados pessoais nos termos do Regulamento Geral sobre a Proteção de Dados (RGPD) é:

ICOSO CONSULTING S.L.U. („Luna FemTech")
Titular e Administrador: Daniel Osorio Fernandez
Calle Juan de Herrera, Núm 18, Planta 4 y 5
39002 Santander (Cantabria), España
NIF: ES B55469902
Registo Comercial de Santander, Folha S-37849
www.luna-femtech.com
Contacto de proteção de dados: privacy@icoso.es
Apoio ao utilizador: support@luna-femtech.com
(c) 2026 Todos os direitos reservados.


3. DADOS DE CONTACTO DO ENCARREGADO DA PROTEÇÃO DE DADOS (DPO)

Está nomeado um Encarregado da Proteção de Dados (DPO), contactável através do seguinte endereço:
privacy@icoso.es

A nomeação de um Encarregado da Proteção de Dados é obrigatória nos termos do art. 37.º, n.º 1, alínea c), do RGPD, uma vez que a atividade principal consiste no tratamento em grande escala de categorias especiais de dados pessoais (dados de saúde).


4. TRATAMENTO DE DADOS PESSOAIS

Tratamos os dados pessoais dos utilizadores apenas quando tal é necessário para o funcionamento adequado. A recolha e o tratamento só ocorrem depois de o utilizador ter dado o seu consentimento. Existe uma exceção quando é impossível obter esse consentimento antes de o tratamento se tornar necessário, bem como no caso de obrigações estabelecidas por lei ou por autoridade.

• Dados de identidade/contacto: endereço de e-mail, nome de apresentação/nome de utilizador, identidade OAuth (início de sessão através de Apple/Google).
• Dados de subscrição: identificador de subscrição pseudonimizado (SHA-256) e estado da subscrição. O processamento do pagamento é efetuado exclusivamente através da respetiva loja (Apple/Google); não recebemos quaisquer dados bancários, de cartão ou de faturação.
• Dados técnicos: endereço IP (máx. 7 dias para deteção de ataques), informações do dispositivo/sistema operativo (apenas em relatórios de falha depurados).
• Dados de utilização: informações sobre a forma como utiliza a nossa aplicação, bem como os nossos produtos e serviços.
• Definições da aplicação: idioma, esquema de cores, metadados da lógica de lembretes.
• Dados de saúde: os seus dados de saúde, tais como ciclo, sintomas, disposições, temperatura basal, diário, valores hormonais, doenças autodeclaradas, medicamentos, tipo de alimentação, alergias, método contracetivo e medidas corporais, estão sujeitos a uma proteção particularmente elevada. São, sem exceção, encriptados no seu dispositivo (AES-256-GCM) antes de serem transmitidos — o nosso servidor guarda apenas texto cifrado.

Ao tratamento de dados de saúde aplicam-se os seguintes princípios:
◦ Consentimento: os dados de saúde só podem, em regra, ser tratados se o titular dos dados consentir expressamente.
◦ Limitação das finalidades: os dados só podem ser utilizados para a finalidade previamente definida (por exemplo, acompanhamento do ciclo e autobservação para fins de bem-estar).
◦ Minimização dos dados: só podem ser recolhidos tantos dados quantos os estritamente necessários.
◦ Segurança: os dados de saúde devem ser armazenados e protegidos com especial cuidado (por exemplo, através de encriptação).

Tratamos os seus dados, entre outras formas, através de interações diretas (o utilizador fornece-nos dados quando cria uma conta, utiliza funcionalidades, entra em contacto connosco ou nos envia comentários), bem como através da recolha automatizada de dados técnicos durante o funcionamento da aplicação.

Gestão e retirada do consentimento: os consentimentos dados podem ser retirados a qualquer momento. O consentimento para o coaching de IA opcional («Sofía») é gerido na aplicação em Definições; a autorização para a importação de dados de saúde (Apple HealthKit / Google Health Connect) é retirada nas definições do dispositivo do seu sistema operativo; a sua região em matéria de proteção de dados é gerida na aplicação em Definições. A retirada produz efeitos para o futuro e não afeta a licitude do tratamento efetuado até esse momento.


5. COACHING DE ALIMENTAÇÃO E ESTILO DE VIDA ASSISTIDO POR IA („SOFÍA")

Caso utilize a funcionalidade Premium opcional de coaching de IA, tratamos — com base no seu consentimento expresso (art. 6.º, n.º 1, alínea a), e art. 9.º, n.º 2, alínea a), do RGPD) — informações relacionadas com a saúde, a fim de lhe fornecer dicas individuais de alimentação e estilo de vida conscientes do ciclo. As informações utilizadas para o efeito são anonimizadas no seu dispositivo antes de serem transmitidas: são transmitidos exclusivamente padrões categorizados (por exemplo, fase do ciclo, frequências agregadas de sintomas e disposições, tipo de alimentação, alergias, doenças como categorias fixas, medicamentos como classes de substâncias ativas, valores hormonais sem data). Não são transmitidos o seu nome, o seu identificador de utilizador, datas exatas, texto livre do diário, nem nomes de preparados ou de marcas. O tratamento por IA é efetuado através da Amazon Web Services (AWS Bedrock) exclusivamente na região da UE de Frankfurt; não ocorre qualquer transmissão dos conteúdos para os EUA. As entradas não são armazenadas de forma permanente nem utilizadas para treinar os modelos de IA.

A Luna e a Sofía destinam-se exclusivamente a fins de bem-estar, estilo de vida e autobservação. Não se destinam ao diagnóstico, tratamento, prevenção ou previsão de doenças. A Sofía é um sistema assistido por IA; as respostas são geradas de forma automatizada e podem ser incompletas, imprecisas ou inadequadas à sua situação individual. A Sofía não substitui o aconselhamento médico, psicológico ou nutricional.

Não ocorre qualquer decisão exclusivamente automatizada na aceção do art. 22.º do RGPD que produza efeitos jurídicos na sua esfera ou que o afete de forma similarmente significativa. As previsões, indicações e respostas de IA destinam-se exclusivamente à autobservação e ao apoio ao bem-estar.


6. UTILIZAÇÃO DOS SEUS DADOS

Os seus dados de contacto (endereço de e-mail) não são, em caso algum, partilhados com terceiros. Tratamos os dados de utilização e os dados técnicos para disponibilizar e melhorar a funcionalidade da aplicação, identificar e resolver problemas, bem como garantir a estabilidade e a segurança dos serviços. Para efeitos de desenvolvimento, recolhemos e analisamos comentários e dados de utilização de forma agregada.

• Cumprimento de obrigações contratuais: tratamos os seus dados para cumprir os nossos contratos e garantir a utilização adequada dos nossos serviços.
• Apoio ao cliente: para prestar apoio, tratamos o seu nome, os seus dados de contacto, o seu histórico de comunicação e o conteúdo dos seus pedidos.
• Gestão da conta: tratamos o seu endereço de e-mail e os seus dados de início de sessão para autenticar a sua conta e proporcionar-lhe um acesso seguro.
• Cumprimento de disposições legais: tratamos os seus dados para cumprir obrigações legais, fiscais e contabilísticas.

Notificações: os lembretes (por exemplo, de eventos do ciclo ou de toma) são agendados e acionados exclusivamente de forma local no seu dispositivo. Não operamos qualquer serviço de push externo para o efeito e não armazenamos tokens de push; para os lembretes, nenhum dado de saúde sai do seu dispositivo. Pode desativar as notificações a qualquer momento na aplicação ou nas definições do sistema do seu dispositivo.

Importação de dados de saúde (Apple HealthKit / Google Health Connect): caso ative esta funcionalidade opcional, importamos sinais passivos de saúde (por exemplo, sono, frequência cardíaca em repouso, temperatura corporal) sob a forma de resumos encriptados, a fim de melhorar as informações sobre o ciclo (art. 9.º, n.º 2, alínea a)). A autorização pode ser retirada a qualquer momento nas definições do dispositivo.

Funcionalidade de código de barras (Premium): ao ler opcionalmente o código de barras de um produto, é transmitido exclusivamente o número do código de barras (EAN) através do nosso servidor para a base de dados de produtos Open Food Facts, a fim de consultar o nome do produto. Não são transmitidos quaisquer dados de saúde nem qualquer identificador de utilizador neste processo.

Sem tratamento de localização: a Luna não trata quaisquer dados de GPS ou de localização. Na pesquisa opcional de locais (por exemplo, pesquisa de cidades), é transmitido através do nosso servidor exclusivamente o termo de pesquisa que introduziu para o serviço de mapas Nominatim (OpenStreetMap). A atribuição da sua região em matéria de proteção de dados é derivada da região do dispositivo configurada (código de país), e não da sua localização exata.


7. ELIMINAÇÃO DOS DADOS E PRAZO DE CONSERVAÇÃO

Os seus dados pessoais são eliminados ou a sua utilização é limitada logo que deixe de existir necessidade do seu armazenamento. Podem, contudo, ser conservados durante mais tempo quando tal for exigido pelo direito da UE ou nacional aplicável.

Quando elimina a sua conta (Definições → Eliminar conta), os seus dados são imediatamente removidos dos sistemas ativos. As cópias residuais em cópias de segurança técnicas encriptadas são eliminadas no prazo de 7 dias no âmbito do ciclo rotativo de cópias de segurança. Um registo interno de eliminação assegura que os dados entretanto eliminados não voltam a surgir, mesmo em caso de eventual restauro de uma cópia de segurança.

• Tratamento com base num consentimento ou num interesse legítimo: os dados são armazenados até que declare a sua retirada ou oposição e/ou o interesse legítimo cesse.
• Dados contratuais: são conservados durante a vigência da relação contratual e, posteriormente, enquanto subsistirem obrigações legais de conservação (por exemplo, 10 anos por força de disposições fiscais e comerciais). Os comprovativos com relevância fiscal (por exemplo, relativos ao identificador de subscrição pseudonimizado) são conservados na medida legalmente exigida. Os próprios dados de faturação/pagamento residem exclusivamente na respetiva loja (Apple/Google) e não connosco.


8. DADOS, COOKIES, FICHEIROS DE REGISTO E TERCEIROS

Quando visita o nosso sítio web ou a APP, o seu dispositivo transmite automaticamente dados de registo aos nossos servidores (por exemplo, ao iniciar sessão ou ao carregar/descarregar informações). Dados de registo recolhidos: endereço IP do dispositivo, configuração do sistema, data e hora do acesso. Os endereços IP são armazenados até 7 dias para detetar e prevenir ataques; posteriormente, são eliminados ou anonimizados. Estes dados são tratados nos servidores da Hetzner Online GmbH (UE).

Cookies e armazenamento local: a própria aplicação não utiliza cookies. O sítio web luna-femtech.com utiliza exclusivamente armazenamento local (localStorage) tecnicamente necessário para guardar a sua escolha de idioma — não utilizamos cookies de rastreio, pixéis de contagem nem quaisquer analytics.

Subcontratantes e subsubcontratantes: pode encontrar informações detalhadas sobre a transmissão de dados aos nossos subcontratantes e subsubcontratantes na nossa lista sempre atualizada em www.luna-femtech.com/sub.


9. OS SEUS DIREITOS

Nos termos do RGPD, tem os direitos de acesso (art. 15.º), retificação (art. 16.º), apagamento (art. 17.º), limitação (art. 18.º), oposição (art. 21.º), portabilidade dos dados (art. 20.º), retirada do consentimento (art. 7.º, n.º 3), bem como o direito de apresentar reclamação junto de uma autoridade de controlo.

Pode desencadear o acesso e a exportação (art. 15.º/20.º) diretamente na aplicação (Definições → Descarregar dados; exportação em JSON legível por máquina). O apagamento é efetuado imediatamente através de Definições → Eliminar conta. O comprovativo dos consentimentos dados é registado; em caso de alteração de versão das políticas, é obtido um novo consentimento.

a) Direito de acesso: pode obter a qualquer momento, gratuitamente, informação sobre os dados pessoais armazenados a seu respeito, bem como uma cópia desses dados.
b) Direito de retificação: pode solicitar a retificação de dados incorretos ou incompletos.
c) Direito ao apagamento: pode solicitar o apagamento dos seus dados pessoais quando não existam outros fundamentos jurídicos para o tratamento.
d) Direito à limitação do tratamento: pode solicitar a limitação do tratamento dos seus dados.
e) Direito de oposição: pode opor-se a qualquer momento ao tratamento baseado em interesses legítimos.
f) Direito à portabilidade dos dados: pode receber os dados que forneceu num formato de uso corrente e transmiti-los a outros prestadores de serviços.
g) Direito de retirada do consentimento: pode retirar o seu consentimento a qualquer momento, com efeitos para o futuro (ver secção 4).
h) Direito de reclamação: tem o direito de apresentar reclamação junto de uma autoridade de controlo. A autoridade de controlo competente é a Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid, España, www.aepd.es. Independentemente disso, pode igualmente dirigir-se à autoridade de controlo da proteção de dados do seu local de residência habitual ou de trabalho.


10. FUNDAMENTO JURÍDICO DO TRATAMENTO DE DADOS

As operações de tratamento assentam nos seguintes fundamentos jurídicos nos termos do RGPD:
• Execução de um contrato (art. 6.º, n.º 1, alínea b)): o tratamento é necessário para executar um contrato consigo ou para adotar medidas pré-contratuais.
• Consentimento (art. 6.º, n.º 1, alínea a); para dados de saúde, art. 9.º, n.º 2, alínea a)): quando nos dá o seu consentimento expresso, podemos tratar os seus dados para as finalidades acordadas.
• Interesses legítimos (art. 6.º, n.º 1, alínea f)): segurança e combate à fraude, estabilidade e melhoria técnica de produtos, serviços e aplicação — desde que os seus direitos e liberdades fundamentais não prevaleçam.
• Obrigação legal (art. 6.º, n.º 1, alínea c)): cumprimento de disposições legais, fiscais e contabilísticas.


11. DIVULGAÇÃO E TRANSMISSÃO DOS SEUS DADOS A TERCEIROS

Para cumprir obrigações legais, podemos divulgar dados a entidades públicas, autoridades judiciais ou outras entidades oficiais. Os subcontratantes e subsubcontratantes atuam na qualidade de subcontratantes e devem dispor de medidas de proteção adequadas.

O alojamento e o tratamento por IA são efetuados integralmente na UE. Uma transmissão para os EUA ocorre exclusivamente para a OpenAI (geração de imagens; apenas termos de pesquisa), a RevenueCat (identificador de subscrição pseudonimizado), bem como a Apple/Google (pagamento) — em cada caso salvaguardada por cláusulas contratuais-tipo da UE. Detalhes na lista de subsubcontratantes (www.luna-femtech.com/sub).


12. ATUALIZAÇÕES E LÍNGUA DO CONTRATO

Reservamo-nos o direito de atualizar esta Política de Privacidade de tempos a tempos, sobretudo para a adaptar a alterações legais. A versão em vigor em cada momento é publicada em www.luna-femtech.com/data e produz efeitos com a sua publicação. Em caso de divergências entre o texto alemão e o texto espanhol, prevalece, em razão do local da prestação do serviço, a versão espanhola.


13. AVISOS LEGAIS E CONDIÇÕES DE UTILIZAÇÃO

Nas nossas Condições de Utilização (www.luna-femtech.com/terms) encontra todas as informações legais, bem como a ficha de identificação (imprint). A utilização da Luna pressupõe uma idade mínima de 16 anos. Os termos relativos a pessoas referem-se a todos os possíveis géneros, orientações, formas jurídicas ou entidades coletivas.