Esta é uma tradução. A versão em inglês é a que vale. English

Política de Privacidade

Em vigor desde 18 de outubro de 2026. Atualizada em 22 de outubro de 2026: o Marrow agora é publicado pela Marrow Health LLC.

O Marrow foi feito para que quase não haja nada a coletar. Os seus dados de saúde ficam no seu iPhone, no Apple Health e no banco de dados local do próprio Marrow. Não existe conta do Marrow nem análise de uso. A única cópia dos seus dados de saúde em um servidor que operamos é o espelho opcional do MCP na nuvem, que só existe se você o ativar e desaparece quando você o desativa.

Esta política abrange o app Marrow para iOS e os serviços em marrowhealthapp.com e skeletonarmy.tech. O Marrow é publicado pela Marrow Health LLC, uma sociedade de responsabilidade limitada (LLC) da Geórgia (EUA). Dúvidas: [email protected].

1. O que fica no seu aparelho

Tudo, por padrão. Em detalhes:

• Todas as métricas do Apple Health que o Marrow lê, incluindo passos, frequência cardíaca, sono, treinos, medidas corporais e as demais categorias que você autorizar.
• O seu registro de alimentos, incluindo refeições, nutrientes, porções e qualquer foto que você tenha tirado.
• O seu registro de treinos, as metas e as configurações do app.
• Tokens de acesso de qualquer servidor ou agente com que você se emparelhe, guardados no Keychain do iOS.

Esses dados são armazenados no banco de dados local do Marrow, dentro da sandbox do app no seu iPhone. O Marrow não guarda os seus dados de saúde no iCloud. Se você tem backups do iPhone ativados, o backup do seu aparelho é regido pela política de privacidade da Apple, não pela nossa.

2. O que sai do seu aparelho, e apenas quando você pede

Fotos de refeições que você escolhe escanear

Quando você registra um alimento por foto, essa imagem é enviada ao serviço de fotos do Marrow e encaminhada à API Gemini do Google, que devolve uma estimativa do que é o alimento e da sua nutrição. Detalhes que importam:

• A imagem é recodificada antes de ser enviada, o que remove os metadados EXIF, incluindo a localização por GPS, o modelo da câmera e os horários.
• A foto não é gravada em disco no nosso servidor. Ela é mantida na memória durante a requisição e descartada.
• O Marrow usa um nível pago da API do Google, no qual o Google não usa o conteúdo enviado para treinar ou melhorar os seus modelos. O Google pode reter o conteúdo brevemente para monitoramento de abuso e conformidade legal, conforme os Termos da API Gemini.
• Nenhum dado de saúde, nome, e-mail ou identificador de conta é enviado com a foto. O Google recebe a imagem e nada mais sobre você.
• O registro com IA é opcional. A entrada manual não envia nada. A busca de alimentos consulta os alimentos do USDA embutidos no app, no celular, e envia ao Open Food Facts apenas as palavras que você digita, para encontrar alimentos de marcas. Ela nunca envia imagem nem áudio.

Descrições em texto e por voz que você escolhe registrar

Quando você registra um alimento digitando uma descrição ou falando, esse texto ou esse pequeno trecho de áudio é enviado ao serviço de alimentos do Marrow e encaminhado à API Gemini do Google, que devolve uma transcrição (no caso do áudio) e uma estimativa dos alimentos e da sua nutrição. O trecho e o texto são mantidos na memória durante a requisição e descartados. Nada é gravado em disco no nosso servidor. Valem os mesmos termos da API do Google que para as fotos. Nenhum dado de saúde nem identidade viaja junto.

MCP na nuvem (Marrow Pro): uma cópia privada no nosso servidor

Isso é opcional, vem desativado por padrão e é o único caso em que guardamos dados de saúde. Quando você o ativa, o app cria um espelho em um servidor que operamos e o mantém atualizado em segundo plano: as suas métricas do Apple Health, refeições, treinos, séries de musculação, sono e as suas metas diárias, os mesmos registros que o app mostra. Em troca, o ChatGPT, o Claude ou o Gemini podem ler essa cópia a qualquer hora, inclusive com o seu celular em repouso. Detalhes que importam:

• O link que o app dá a você identifica o seu espelho, mas não consegue lê-lo. Toda IA precisa fazer login, e o login só se completa quando você digita no Marrow o código da página de login e o aprova. Você pode negar qualquer pedido.
• O espelho fica armazenado em um servidor nos Estados Unidos, protegido por tokens de acesso armazenados com hash. Tecnicamente podemos lê-lo enquanto existir, não o fazemos, e registramos apenas caminhos de requisição e códigos de status, nunca tokens nem conteúdo. O tráfego passa pela Cloudflare, que encerra o TLS.
• Se você também ativar Permitir gravação por IA (Marrow 1.3.4 e mais recentes. Desativado por padrão), uma IA que você aprovou pode pedir para adicionar ou alterar registros: refeições, água, peso, treinos, sono, sintomas, humor e as suas metas. O pedido fica retido no espelho até o seu celular buscá-lo e aplicá-lo, e permanece lá com o resto da cópia para que possa ser desfeito. Enquanto a chave estiver ativada, o espelho também guarda o token de notificação push da Apple do seu celular, usado apenas para avisar o celular de que há algo esperando. Desativar a chave remove o token. A notificação em si não carrega nenhum dado de saúde.
• Quem recebe o que a IA lê. Cada resposta que a sua IA dá é produzida pelo provedor dela (a Anthropic para o Claude, a OpenAI para o ChatGPT, o Google para o Gemini) a partir dos registros que o serviço desse provedor leu da sua cópia a pedido seu. O que eles guardam e como usam é regido pelos termos desse provedor, não pelos nossos. Não enviamos nada a nenhum provedor de IA por conta própria.
• Por quanto tempo a cópia é mantida. Enquanto o MCP na nuvem está ativado, e não mais: tocar em Desconectar e excluir a cópia exclui o espelho imediatamente, junto com todos os tokens, pedidos de gravação na fila e tokens de push que pertencem a ele. Um espelho que foi criado mas nunca recebeu um envio do celular é excluído depois de sete dias. Se você excluir o app sem desconectar antes, a cópia permanece até você nos pedir para removê-la (veja a seção 6). Não conseguimos distinguir um app excluído de um celular que está apenas offline. Revogar uma IA conectada interrompe as leituras dela na hora.
• Logs do servidor. O servidor do Conectar registra uma linha por requisição: o método, o caminho, o código de status e o horário. Nunca os dados, nunca um token. Esses logs são rotacionados e excluídos em até 30 dias.

Compras

O Marrow Pro é vendido pela Apple. A Apple cuida do pagamento, do teste grátis, das renovações, do cancelamento e dos reembolsos, e nós nunca vemos o seu cartão, nome ou ID Apple. O app confere o seu direito de acesso com a Apple no aparelho. Não operamos nenhum servidor de compras e não guardamos registros de compra ligados à sua identidade (veja Análise de assinaturas abaixo). Quando o app fala com o nosso serviço de alimentos, ele informa se o aparelho está no Pro (uma palavra, para que o serviço aplique o limite diário correto) e qual é a versão do app. Nenhuma das duas informações é ligada a você.

Análise de assinaturas (RevenueCat)

Para ver como o Marrow Pro está indo (testes iniciados, assinaturas mantidas ou canceladas, receita), o app informa eventos de compra à RevenueCat, um serviço de análise de assinaturas. O que ela recebe: a transação da App Store (qual plano, quando, a faixa de preço e se renovou), um identificador anônimo que a RevenueCat gera para a instalação e detalhes básicos do aparelho, como a versão do iOS e a versão do app. Ela não recebe o seu nome, e-mail, ID Apple nem nenhum dado de saúde, e não a usamos para publicidade. A Apple continua sendo a vendedora. A RevenueCat apenas observa as transações que a Apple já fez.

Uma verificação de versão

Toda vez que o Marrow vem para o primeiro plano, ele baixa um arquivo minúsculo do nosso servidor que diz quais versões do app ainda têm suporte. A requisição não carrega nenhum identificador. Ela indica apenas o país da App Store em que o seu celular compra (por exemplo, EUA), para que os preços mostrados no app correspondam à sua loja. O nosso servidor não guarda nada dela além do registro de conexão comum descrito abaixo. Se a sua versão estiver abaixo do mínimo, o app mostra uma tela de atualização em vez de rodar.

Apple Watch

O app do relógio recebe do iPhone, pelo Watch Connectivity da Apple, os totais de hoje, as suas metas e as suas refeições recentes, e devolve a água e as refeições que você registra no pulso. Esse tráfego fica entre os seus dois dispositivos. O relógio guarda os números mais recentes para as complicações. Ele não lê nada do app Saúde no relógio e não tem nenhuma permissão do Saúde. Uma refeição ditada no relógio é transformada em palavras pelo watchOS e depois tratada exatamente como uma descrição digitada, acima.

Fotos de exercícios

As fotos da biblioteca de exercícios não vêm embutidas. Quando você abre um exercício, o app busca as duas fotos dele em um repositório público de código aberto hospedado no GitHub (free-exercise-db). O GitHub vê uma requisição de imagem comum vinda do seu endereço IP e nada mais: nenhum identificador, nenhum dado de saúde e nada sobre o seu treino. As fotos ficam em cache no celular depois disso.

Cardápios do campus (Marrow Pro)

Se você escolhe uma universidade, o app baixa os cardápios publicados dela de um arquivo estático no nosso servidor. A sua escolha de universidade é guardada no seu aparelho. A requisição não carrega nenhum identificador nem dado de saúde.

Um identificador aleatório do aparelho, apenas para limitar requisições

O registro com IA (foto, texto e voz) nos custa dinheiro a cada requisição, então é limitado por aparelho por dia: três por dia no plano grátis, um limite maior no Marrow Pro. Para contar as requisições, o app gera um identificador aleatório na primeira vez que você escaneia, o guarda no seu Keychain e o envia com as requisições de foto. Ele não é o seu ID Apple, não é o número de série do aparelho, não é um identificador de publicidade e não deriva de nada sobre você ou o seu hardware. O nosso servidor guarda apenas uma contagem do dia atual, e as linhas de ontem são excluídas quando o dia vira. Ele nunca é compartilhado e nunca é ligado a dados de saúde, porque nunca recebemos dados de saúde.

Códigos de barras e buscas de alimentos

Quando você escaneia um código de barras ou busca um alimento, o número do código de barras ou o texto da busca é enviado ao Open Food Facts, um banco de dados aberto de alimentos, para consultar produtos de marcas. Nenhum identificador nem dado de saúde vai junto. O Marrow também traz embutido no app um banco de dados USDA FoodData Central, então os alimentos genéricos são encontrados offline, sem nenhuma requisição de rede.

Tudo o que você exporta deliberadamente

O objetivo do Marrow é justamente deixar você levar os seus próprios dados. Quando você exporta um arquivo, executa uma automação, emparelha um servidor ou conecta um agente de IA por MCP, os seus dados vão para onde você mandar. Se você apontar uma automação para o seu próprio servidor, esse servidor recebe os seus dados de saúde e valem as regras de quem o opera. Não estamos no meio dessa conexão, não a vemos e não podemos recuperá-la para você. Escolha destinos em que você confia.

3. O que o nosso servidor registra em log

O serviço de alimentos grava uma linha por requisição contendo: um timestamp, quanto tempo a requisição levou, o código de status HTTP, o tamanho do envio em bytes, o nome do modelo, quantos alimentos foram detectados e contagens de tokens. Ele não registra a imagem, os alimentos identificados, o identificador do seu aparelho, o seu endereço IP nos logs da aplicação nem nenhum dado de saúde.

Este site. O marrowhealthapp.com conta visitas com o Cloudflare Web Analytics: quais páginas são vistas, qual site enviou o visitante e o navegador, o tipo de dispositivo e o país. Ele não define cookies, não faz fingerprinting e não segue você para outros sites. O app não envia nada para ele.

4. O que nunca fazemos

Estes são compromissos, não padrões que poderíamos mudar em silêncio. Esta seção existe em parte porque a Diretriz 5.1.3 de Revisão da App Store da Apple rege os apps de saúde, e nos submetemos a ela de forma explícita:

• Nunca usamos dados de saúde para publicidade. O Marrow não exibe anúncios de nenhum tipo, nossos ou de terceiros.
• Nunca vendemos, alugamos nem trocamos os seus dados, com corretores de dados ou com qualquer outra pessoa.
• Nunca compartilhamos dados de saúde com terceiros para marketing, e nunca os compartilhamos para uso independente deles.
• Nunca guardamos os seus dados de saúde no iCloud.
• Nunca usamos dados de saúde para nenhuma finalidade além do seu benefício direto dentro do app, como pesquisa ou criação de perfis, sem o seu consentimento separado.
• Não usamos nenhum SDK de publicidade ou rastreamento nem relatório de falhas. O único serviço de análise no app, a RevenueCat, vê eventos de compra e nunca dados de saúde. O Marrow não pede a permissão de Transparência de Rastreamento de Apps porque não rastreia você.
• Não exigimos conta, então não guardamos endereço de e-mail, senha nem perfil seu.

5. Permissões do Apple Health

O Marrow lê do Apple Health apenas as categorias que você aprova, e quem controla isso por inteiro é o iOS. Você pode revisar ou revogar qualquer categoria a qualquer momento em Ajustes, Privacidade e Segurança, Saúde, Marrow. O Marrow também grava de volta no Apple Health, como os alimentos que você registra e os treinos que você grava, quando você permite. Se você deixa uma IA conectada registrar por você, os registros que ela adiciona a seu pedido (incluindo sono, sintomas e estado de espírito) são gravados do mesmo modo, e apenas para os tipos que você permitir. Revogar uma permissão interrompe novas leituras imediatamente. Os dados já sincronizados no banco de dados local do Marrow permanecem lá até você excluí-los ou excluir o app.

6. Como excluir os seus dados

Exclua o app Marrow e tudo o que ele guardou é excluído junto, já que tudo fica na sandbox do app. Não há conta no servidor para encerrar. A única exceção é a cópia opcional do Conecte sua IA: toque em Desconectar e excluir a cópia no cartão MCP na nuvem antes de excluir o app e a cópia some na hora. Se você já excluiu o app com o Conectar ainda ativado, escreva para o endereço abaixo com o seu link do Conectar (o link do cartão MCP na nuvem, se você ainda o tiver) ou a data aproximada em que ativou o Conectar, e excluiremos a cópia em até 30 dias. Não conseguimos encontrá-la pelo seu nome, porque a cópia não carrega nenhum. Os dados no Apple Health pertencem ao Apple Health e são gerenciados no app Saúde. Os dados que você exportou para os seus próprios destinos são seus para excluir lá. Os arquivos que você exportou para os seus próprios dispositivos também são seus.

7. Segurança

Todas as requisições de rede usam TLS. Os servidores emparelhados e o servidor MCP no aparelho são autenticados com tokens bearer gerados no seu aparelho e guardados no Keychain. O servidor no aparelho vem desativado e só escuta na sua rede local quando você o ativa, e você pode revogar um token desemparelhando o servidor no app. O Conecte sua IA funciona no sentido contrário: os tokens dele são tokens OAuth emitidos pelo nosso servidor do Conectar à IA que você aprovou (com PKCE, vida curta e renovação), armazenados com hash no servidor, e todos eles são revogados por Desconectar. Para relatar um problema de segurança, escreva para o endereço abaixo com “Security” no assunto, ou veja o security.txt.

8. Crianças

O Marrow não é direcionado a crianças menores de 13 anos, e não coletamos informações delas conscientemente. Não temos contas, então não temos como identificar a idade de um usuário.

9. Seus direitos

Segundo leis como o GDPR e a CCPA, você tem direitos de acessar, corrigir, excluir e portar os seus dados pessoais, e de se opor a certos tratamentos. A arquitetura do Marrow atende a isso por concepção: os seus dados já estão em seu poder, exportáveis em formatos abertos a qualquer momento e excluíveis ao remover o app. Não vendemos informações pessoais, então não há nada de que optar por sair. Se você acredita que guardamos algo sobre você e quer que seja removido, escreva para [email protected] e agiremos em até 30 dias.

10. Alterações

Se esta política mudar de um modo que afete o que sai do seu aparelho, atualizaremos a data de vigência no topo e descreveremos a mudança nas notas de versão do app. O uso continuado depois de uma mudança significa que você aceita a política atualizada.

11. Contato

Marrow Health LLC
[email protected]