Política de Privacidade — Go Lifter

Versão 8 · 11 de outubro de 2026

Esta política vale para o aplicativo Go Lifter, para Android. Ela é escrita para ser lida por inteiro: tem umas poucas páginas, e não há nada nela que dependa de você já saber alguma coisa.

O que mudou nesta versão. Uma coisa, e ela só vale se você a ligar:

O que mudou na versão 7, e continua valendo:

O que mudou na versão 6, e continua valendo:

O que mudou na versão 5, e continua valendo:

O que mudou na versão 4, e continua valendo:

O que mudou na versão 3, e continua valendo:

O resumo

O Go Lifter não tem conta e não tem login. Tudo que você registra fica no seu aparelho. Não existe publicidade, não existe rastreamento, não existe relatório de uso, e o app nunca pede o identificador de publicidade do Android.

Seus dados saem do aparelho em três situações, e esta política descreve as três em detalhe:

  1. Quando o Coach fala com o provedor de IA — nas suas perguntas e, se você deixar ligado, nos comentários que ele escreve por conta própria ao ver um treino ou um dia de alimentação. O provedor pode ser um cuja chave você mesmo forneceu, ou o nosso servidor (api.golister.app), que é o caminho usado por padrão numa instalação nova. A seção A exceção nomeada: o Go Lister descreve o que acontece nesse servidor, com ou sem conta.
  2. No backup automático do Android, que copia o seu histórico para o seu próprio Google Drive, como faz com qualquer app, até você desligá-lo.
  3. Quando você exporta um arquivo ou aperta enviar num e-mail que o app preparou para você ler antes.

Fora dessas três, nada sai. Não guardamos cópia do que você registra: o seu histórico de treino, as suas medidas e as suas fotos não têm servidor nenhum para onde ir. O que o nosso servidor vê são as perguntas em trânsito a caminho do modelo, e o que ele chega a guardar disso está descrito na seção daquela exceção — que hoje é o caminho padrão, e por isso deixou de ser exceção no nome apenas.

O que fica no aparelho

Não há cópia nossa do que você registra. O que existe fora do aparelho é o backup do seu Google, descrito ao fim desta seção. (As suas perguntas são outra coisa: elas passam por um servidor nosso quando o Coach usa o caminho padrão ou a sua conta do Go Lister, e o que ele chega a guardar está descrito em A exceção nomeada: o Go Lister.)

Desinstalar o app apaga tudo isso do aparelho, e não há cópia nossa em lugar nenhum para ser pedida de volta.

O backup automático do Android, que é do seu Google e não nosso

O Go Lifter mantém o backup automático do Android ligado, como a maioria dos apps. Isso significa que o seu banco de Perfil — treinos, séries, medidas corporais, as leituras de saúde já guardadas, o diário de alimentação, os objetivos, os fatos de saúde e as conversas com o Coach — é copiado para o seu próprio Google Drive, na área reservada a backups de apps, e volta quando você instala o app num aparelho novo.

Ele fica ligado por uma razão simples: desligá-lo faria você perder o histórico inteiro ao trocar de telefone, e este app não tem sincronização em nuvem para servir de rede de proteção.

Três coisas são excluídas desse backup de propósito:

Numa transferência direta de aparelho para aparelho as fotos viajam, porque essa cópia é local e criptografada ponta a ponta — ela não passa por servidor nenhum.

Esse backup é seu, está na sua conta Google e obedece às regras do Google, não às nossas. Você pode desligá-lo em Ajustes do Android → Google → Backup, e apagar o que já está lá pela mesma tela.

Health Connect

Se — e somente se — você autorizar, o app lê do Health Connect:

E escreve de volta um único tipo: alimentação — as refeições que você mesmo registrou, para que elas apareçam nos outros apps que você usa. Nenhum outro tipo é escrito.

Trinta dias, e nada além. O app pede a janela de trinta dias que o Health Connect concede por padrão. Ele não solicita READ_HEALTH_DATA_HISTORY nem READ_HEALTH_DATA_IN_BACKGROUND: não lê o seu histórico antigo e não lê nada enquanto está fechado.

Este dado é usado apenas para as funções acima. Ele não é vendido, não é compartilhado com terceiros para os fins deles, não alimenta publicidade e não treina modelo nenhum.

Ele sai do aparelho em duas circunstâncias, e só nelas: para o Coach, se você ligar um interruptor que nasce desligado — está descrito na seção seguinte, com todas as letras —, e para o backup do seu próprio Google, junto com o resto do seu histórico, como qualquer app faz e como a seção anterior explica.

Você pode revogar qualquer uma dessas permissões a qualquer momento no próprio Health Connect, e o app continua funcionando sem elas. Revogar impede novas leituras e não apaga as antigas — o que já foi lido está guardado no aparelho, e se apaga em Ajustes → Dados e saúde → Apagar dados.

A Trilha do treino

Se — e somente se — você ligar, o app guarda o que estava tocando enquanto você treinava, música ou podcast, para te contar depois o que você ouvia quando bateu um recorde e o que mais ouviu em cada treino.

Ela pede a permissão mais larga do app, e não existe uma mais estreita. O Android só diz o que está tocando a um app que tenha acesso a notificações, e esse acesso permite ler todas as notificações do aparelho. O app não lê nenhuma: as duas funções que recebem notificações estão vazias, e uma verificação automática no código do app confere que continuam vazias. O que ele usa é só a sessão de mídia — o título, o artista e o app que tocou —, e só durante um treino.

O Coach, e tudo o que ele leva daqui

O Coach é opcional. O app inteiro funciona sem ele — registrar treino, montar rotina, ler histórico, gráficos, recordes e toda a parte de alimentação não dependem de rede nem de chave.

Para ligá-lo você fornece a sua própria chave de um provedor de IA (Gemini, DeepSeek, OpenAI, OpenRouter, Groq ou qualquer endpoint compatível). Nenhuma chave vem embutida no app. As requisições vão direto do seu celular para o provedor que você escolheu — não existe servidor nosso no meio.

O que trafega

O contexto que a pergunta exige. A lista completa, porque "o contexto necessário" não é uma descrição que alguém possa conferir:

O nome do perfil vai junto, e tem um interruptor próprio, em Ajustes → Coach → Privacidade. É o nome que você deu ao perfil no app, para o Coach saber de quem ele é quando você fala dessa pessoa. O perfil padrão, Eu, não vai. O interruptor nasce ligado numa instalação nova e desligado em quem já tinha o app antes da versão 1.13.5, porque até ali esta política dizia que o nome nunca ia. Desligado, o nome não sai do aparelho, e uma verificação automática no código do app confere que ele só entra pelo interruptor.

Três interruptores controlam o resto, em Ajustes → Coach → Privacidade:

Com os dois primeiros desligados, nenhuma medida do seu corpo e nenhuma leitura do seu aparelho saem daqui — nem soltas, nem coladas num objetivo: a meta "chegar a 78 kg" continua indo, e o quanto você pesa hoje, não. O Coach é informado de que aquelas seções foram retidas, em vez de simplesmente não as receber — ele sabe que não sabe.

O que esses dois interruptores não cobrem, e é justo dizer: os fatos de saúde que você declarou. Uma lesão é o que faz o Coach programar em volta dela, e retê-la seria pedir um treino a alguém que não pode saber por que ele não pode. Se você não quer que uma lesão viaje, apague-a em vez de desligar um interruptor — e a mesma frase está na tela onde os interruptores ficam, para as duas não poderem discordar.

E o app tem uma tela que prova isto: Ajustes → Coach → O que o Coach vê monta exatamente o texto que a próxima pergunta enviaria e não envia nada. Você não precisa acreditar nesta página.

Quando o Coach fala sem você perguntar

Este interruptor nasce ligado, e é o único desta página que nasce assim tendo consequência de rede. Ele se chama Comentário automático do Coach, em Ajustes → Coach, e existe desde a versão 1.5.1.

Com ele ligado, o app fala com o provedor de IA em três situações em que você não escreveu nada:

O que trafega nesses três é o mesmo contexto de uma pergunta sua, sob os mesmos interruptores, mais o resumo do que está na tela. Desligar o comentário automático não desliga o Coach: ele volta a falar só quando você perguntar.

Dizemos isso aqui porque uma frase como "nada sai a menos que você converse com o Coach" seria falsa para quem nunca abriu essa tela de Ajustes, e é dela que este parágrafo trata.

A exceção nomeada: o Go Lister

Se você tiver assinatura Ultimate ou superior no Go Lister — outro produto do mesmo autor — pode conectá-lo em vez de trazer uma chave. Aí, e só aí, as suas perguntas passam por um servidor nosso (api.golister.app), que fala com o modelo e paga por ele.

O conteúdo que trafega é o mesmo de qualquer outro provedor, sujeito aos mesmos três interruptores. Quatro cabeçalhos a mais viajam só nesta rota, e não para os outros provedores: um identificador da pergunta, um da conversa, se ela pediu raciocínio ao modelo, e qual parte do app a gerou — conversa, comentário de treino, comentário de alimentação, destilação ou correção. Os dois identificadores são embaralhados aqui antes de sair: o servidor recebe um resumo deles, nunca os nossos. Eles existem para o servidor contar o uso da sua assinatura e para saber que duas perguntas fazem parte da mesma conversa; nenhum deles carrega conteúdo, e o que eles revelam é a frequência com que você usa cada função. Desde a versão 6 eles também são contados, de noite, em totais por dia — quantas instalações e contas usaram o Coach, e cada função dele —, e o que fica guardado desses totais é só o número, sem identificador nenhum.

*Se você tiver ligado Mostrar o raciocínio do Coach, há uma coisa a mais. Alguns modelos pensam antes de responder e, quando usam ferramentas, exigem receber o próprio raciocínio de volta para continuar. Nesse caso o servidor do Go Lister guarda esse raciocínio — o que o modelo pensou, não o que você escreveu* — em memória volátil, sob o identificador embaralhado da conversa, e o apaga sozinho depois de uma hora sem uso. Ele nunca vai para um banco de dados e nunca volta para este app. Com a opção desligada, ele não chega a existir.

A conexão é feita pelo seu navegador com OAuth e PKCE: nenhuma senha sua chega a este app, e o que ele guarda é um token criptografado como qualquer outra chave.

O prazo desse token é de uso, não de calendário. Ele vale enquanto você usar o Coach e vence depois de trinta dias sem uso — e nunca passa de noventa dias desde a autorização, quando você autoriza de novo. O teto existe porque a razão de um prazo ser curto é uma credencial vazada morrer, e uma que se renova sem limite só morreria nas mãos de quem não a usa. A data de vencimento fica visível na linha do Provedor, em Ajustes.

Você pode desconectar quando quiser, e desconectar também derruba o token no servidor, não só a cópia local — quando não dá, o app diz que não deu, em vez de fingir que deu.

O mesmo servidor, sem conta nenhuma

Você também pode usar o Coach por esse servidor sem ter conta no Go Lister e sem conectar nada. É o que acontece por padrão numa instalação nova, e o que trafega é exatamente o mesmo descrito acima, sob os mesmos interruptores.

A diferença é que, sem uma conta para identificar de quem é o uso, o aparelho precisa provar que é ele. Para isso o app usa a API Play Integrity, do Google: ele pede ao Google um atestado de que este é o Go Lifter verdadeiro — o mesmo binário e a mesma assinatura que a Play distribui —, num aparelho de verdade, e manda esse atestado ao nosso servidor, que o confere com o Google.

O atestado responde "este app é o nosso, e não foi mexido", e não "esta cópia veio da Play": uma instalação idêntica feita por fora passa, e uma modificada não passa mesmo vinda de lá. A distinção está escrita aqui porque é o que o mecanismo de fato verifica, e descrevê-lo como mais do que ele é seria a mesma desonestidade que descrevê-lo como menos.

Isso tem um preço, e é honesto dizê-lo:

Você não é obrigado a passar por aqui: trazer a sua própria chave de IA continua disponível e não envolve o Google nem o nosso servidor.

As conversas gratuitas custam dinheiro a quem mantém o app, e é por isso que são contadas. Quando acabam, o Coach para de responder por este caminho e o app diz isso — com as alternativas ao lado. Não há renovação automática.

O Coach tem uma parte paga, e ela não muda o que trafega

O Coach pode ser comprado de duas formas — uma compra única, para rodar na sua própria chave de IA, e uma assinatura, para quem prefere que os custos de IA venham incluídos. Quem paga é a Google Play, e o pagamento acontece inteiro dentro dela.

Nós não vemos o seu pagamento. Não recebemos o seu nome, o seu e-mail, o seu cartão nem o seu endereço; a Play não os entrega, e nós não os pedimos. O que existe do nosso lado é um token de compra — um código que a Play emite para aquela compra e sobre o qual nós lhe perguntamos, por exemplo, se a assinatura ainda está válida.

Esse token não é um identificador seu. Ele não diz quem você é, não serve para ligar duas compras à mesma pessoa fora da Play, e não é usado para análise, publicidade ou personalização. Ele fica guardado ao lado do mesmo registro por aparelho que a seção acima descreve, e serve para uma pergunta só: este aparelho pode continuar conversando?

A compra única não chega sequer a isto. Ela destranca o uso da sua própria chave de IA, que é uma coisa que acontece dentro do seu aparelho — o nosso servidor não fica sabendo dela, e não precisa.

E o que importa mais: o que trafega não muda. Pagar não abre nenhum dado novo, não liga nenhum interruptor e não altera uma linha das seções acima. O que o dinheiro decide é quem pode usar o Coach e por quanto tempo, e nada além disso.

As fotos de progresso

Ficam no aparelho, comprimidas, numa pasta privada do app. Nunca são enviadas para lugar nenhum — nem para nós, nem para o Coach, nem para o backup do Google (elas são explicitamente excluídas do backup automático, justamente para que a promessa desta frase seja verdadeira).

Elas entram em dois lugares, os dois seus: no arquivo que você exporta, e numa transferência direta de um aparelho para outro, que é local e não passa por servidor nenhum. São apagadas quando você apaga tudo ou apaga o Perfil.

As fotos dos exercícios

As ilustrações do catálogo não cabem no app — são cerca de 96 MB — então são buscadas quando há rede e guardadas em cache. Elas vêm de um repositório público no GitHub (raw.githubusercontent.com). É um terceiro, e é justo dizer que ele não foi escolhido por você.

Essa requisição não carrega identificador nenhum: nenhuma conta, nenhum token, nenhuma indicação de quem está pedindo. O que ela carrega é o que qualquer requisição na internet carrega — o seu endereço IP — e o nome do exercício, que vai no endereço da imagem. Antes de um treino o app busca as ilustrações da rotina inteira de uma vez, então quem observasse esse tráfego veria quais exercícios você está prestes a fazer, ainda que sem nenhuma forma de saber quem é você.

Apagar

Ajustes → Dados e saúde → Apagar dados, com cinco escopos: memórias do Coach, conversas (com os resumos delas), objetivos, diário de alimentação, ou tudo. Cada um mostra quantas linhas serão apagadas antes de você confirmar.

Um resumo de conversa também pode ser apagado sozinho, em Ajustes → Coach → Memória do Coach, na aba conversas.

Apagar um Perfil apaga o banco dele e as fotos dele. Desinstalar o app apaga tudo do aparelho.

Não há o que nos pedir: não existe cópia nossa dos seus dados para ser excluída. A única cópia fora do aparelho é o backup do seu próprio Google, e ela se apaga onde ela vive — Ajustes do Android → Google → Backup.

O que o app não faz

Crianças

O Go Lifter não é destinado a menores de 18 anos.

Seus direitos, e como exercê-los

Como não há conta nem cópia nossa em servidor, todo controle já está no seu aparelho: os dados são seus, ficam com você, e apagá-los é imediato e definitivo pelos cinco escopos acima. O backup do seu Google se apaga na conta dele, como diz a seção O que fica no aparelho.

Para qualquer questão sobre esta política — inclusive as previstas na LGPD — escreva para [email protected]. Para suporte geral, [email protected].

O Go Lifter é operado por Joao Ferrete, com sede no Brasil.

Isto não é conselho médico

O Coach é um agente de inteligência artificial, feito para ajudar você a treinar. Ele não é profissional de saúde nem de educação física: não diagnostica, não prescreve e não substitui quem pode acompanhar você. Ele adapta o treino em torno do que você contou, e se você perguntar o que ele é, ele diz isso. Dor que persiste, piora ou aparece do nada é assunto para quem pode examinar você.

O app lê sono, batimento e passos do Health Connect quando você autoriza, e usa isso para ajustar volume e descanso. Isso é programação de treino, não avaliação clínica.

Relatar um problema

O app tem Relatar um problema em Ajustes → Sobre, que abre um e-mail já preenchido com a versão do app, o modelo do aparelho, a versão do Android, qual provedor e modelo de IA você configurou, e quantas linhas o seu perfil tem — nunca a sua chave de IA. Nada é enviado até você apertar enviar no seu próprio aplicativo de e-mail, onde você lê tudo antes.

Denunciar uma resposta do Coach

Toque e segure uma resposta do Coach para sinalizá-la como perigosa, errada ou inadequada.

Esta é a única coisa no app que manda dado de saúde para fora de propósito, e é por isso que ela está descrita aqui em separado. Uma denúncia só serve se levar a frase denunciada, e vai junto a pergunta que a gerou — porque "dobra o volume" é perigoso ou banal dependendo do que foi perguntado, e a pergunta costuma ser onde você contou de uma lesão.

O que sai: o motivo, o que você escrever, o modelo e o provedor configurados, a versão do app, a pergunta e a resposta. O que não sai: a sua chave de IA, o resto da conversa, o seu histórico de treino, as suas medidas e as suas fotos.

Como tudo o mais aqui, o e-mail abre para você ler e editar antes de mandar, e o app nunca envia nada sozinho.