Política de Privacidade — Go Lifter

Versão 2 · 6 de setembro de 2026

Esta política vale para o aplicativo Go Lifter, para Android. Ela é escrita para ser lida por inteiro: tem umas poucas páginas, e não há nada nela que dependa de você já saber alguma coisa.

O que mudou nesta versão. Nenhuma delas é uma permissão nova — todas descrevem, com mais precisão do que a versão anterior, coisas que o app já fazia:

• o Coach pode comentar sozinho um treino ou um dia de alimentação, sem que você pergunte nada. É um interruptor, ele nasce ligado, e agora está descrito;
• o backup automático do Android leva o seu histórico para o seu próprio Google Drive. Não é uma cópia nossa, mas sai do aparelho, e a versão anterior não dizia;
• a lista do que chega ao Coach está completa, e inclui a alimentação e as memórias dele;
• as ilustrações dos exercícios vêm de um servidor do GitHub, e o endereço da imagem carrega o nome do exercício;
• a conexão com o Go Lister não vence em trinta dias fixos: o prazo conta a partir do último uso;
• os endereços de contato mudaram para golifter.app. Os antigos, em golister.app, continuam funcionando.

O resumo

O Go Lifter não tem conta, não tem login e não tem servidor nosso. Tudo que você registra fica no seu aparelho. Não existe publicidade, não existe rastreamento, não existe relatório de uso, e o app nunca pede o identificador de publicidade do Android.

Seus dados saem do aparelho em três situações, e esta política descreve as três em detalhe:

1. Quando o Coach fala com o provedor de IA cuja chave você mesmo forneceu — nas suas perguntas e, se você deixar ligado, nos comentários que ele escreve por conta própria ao ver um treino ou um dia de alimentação.
2. No backup automático do Android, que copia o seu histórico para o seu próprio Google Drive, como faz com qualquer app, até você desligá-lo.
3. Quando você exporta um arquivo ou aperta enviar num e-mail que o app preparou para você ler antes.

Fora dessas três, nada sai. E em nenhuma delas existe cópia nossa: não há servidor para onde os seus dados possam ir.

O que fica no aparelho

Não há servidor nosso, e portanto não há cópia nossa. O que existe fora do aparelho é o backup do seu Google, descrito ao fim desta seção.

• Treinos, séries, rotinas, recordes, medidas corporais, alimentação, objetivos, fatos de saúde e as conversas com o Coach — num banco de dados por Perfil, na área privada do app, que só ele enxerga.
• As memórias do Coach — o que ele destilou das suas conversas para lembrar de você depois —, as orientações que ele escreveu por exercício, os comentários automáticos já gerados, os snapshots do Training Score, e as suas academias com os aparelhos que elas têm.
• As leituras que já vieram do Health Connect — sono, frequência de repouso e passos ficam guardados aqui depois de lidos. Revogar a permissão impede novas leituras e não apaga as antigas; para apagá-las use Apagar dados.
• Fotos de progresso — numa pasta privada do app, uma por Perfil.
• O texto lido de uma ficha de treino, até você aceitar ou recusar a importação. A imagem não é guardada: ela já está na sua galeria, e o app a lê e a esquece. O reconhecimento acontece dentro do aparelho, por um leitor de texto embutido no próprio app: não há serviço, não há envio, e nada da foto sai daqui.
• Chaves de IA e preferências — criptografadas em AES-256-GCM, com uma chave que vive no Android Keystore e nunca sai do aparelho.

Desinstalar o app apaga tudo isso do aparelho, e não há cópia nossa em lugar nenhum para ser pedida de volta.

O backup automático do Android, que é do seu Google e não nosso

O Go Lifter mantém o backup automático do Android ligado, como a maioria dos apps. Isso significa que o seu banco de Perfil — treinos, séries, medidas corporais, as leituras de saúde já guardadas, o diário de alimentação, os objetivos, os fatos de saúde e as conversas com o Coach — é copiado para o seu próprio Google Drive, na área reservada a backups de apps, e volta quando você instala o app num aparelho novo.

Ele fica ligado por uma razão simples: desligá-lo faria você perder o histórico inteiro ao trocar de telefone, e este app não tem sincronização em nuvem para servir de rede de proteção.

Três coisas são excluídas desse backup de propósito:

• as fotos de progresso — a promessa de que apagá-las significa que não existe cópia não sobreviveria a uma cópia no Drive que você não vê nem apaga;
• as suas chaves de IA;
• as preferências da Trilha e o catálogo de exercícios, que o app recria sozinho.

Numa transferência direta de aparelho para aparelho as fotos viajam, porque essa cópia é local e criptografada ponta a ponta — ela não passa por servidor nenhum.

Esse backup é seu, está na sua conta Google e obedece às regras do Google, não às nossas. Você pode desligá-lo em Ajustes do Android → Google → Backup, e apagar o que já está lá pela mesma tela.

Health Connect

Se — e somente se — você autorizar, o app lê do Health Connect:

• Sono, Frequência cardíaca de repouso e Passos — para o Score de Recuperação e para a sugestão de carga do Coach.
• Peso, Gordura corporal, Massa magra e Altura — para preencher a tabela do corpo sem você digitar o que a balança já sabe.
• Alimentação — para não registrar duas vezes a mesma refeição.

E escreve de volta um único tipo: alimentação — as refeições que você mesmo registrou, para que elas apareçam nos outros apps que você usa. Nenhum outro tipo é escrito.

Trinta dias, e nada além. O app pede a janela de trinta dias que o Health Connect concede por padrão. Ele não solicita READ_HEALTH_DATA_HISTORY nem READ_HEALTH_DATA_IN_BACKGROUND: não lê o seu histórico antigo e não lê nada enquanto está fechado.

Este dado é usado apenas para as funções acima. Ele não é vendido, não é compartilhado com terceiros para os fins deles, não alimenta publicidade e não treina modelo nenhum.

Ele sai do aparelho em duas circunstâncias, e só nelas: para o Coach, se você ligar um interruptor que nasce desligado — está descrito na seção seguinte, com todas as letras —, e para o backup do seu próprio Google, junto com o resto do seu histórico, como qualquer app faz e como a seção anterior explica.

Você pode revogar qualquer uma dessas permissões a qualquer momento no próprio Health Connect, e o app continua funcionando sem elas. Revogar impede novas leituras e não apaga as antigas — o que já foi lido está guardado no aparelho, e se apaga em Ajustes → Dados e saúde → Apagar dados.

O Coach, e tudo o que ele leva daqui

O Coach é opcional. O app inteiro funciona sem ele — registrar treino, montar rotina, ler histórico, gráficos, recordes e toda a parte de alimentação não dependem de rede nem de chave.

Para ligá-lo você fornece a sua própria chave de um provedor de IA (Gemini, DeepSeek, OpenAI, OpenRouter, Groq ou qualquer endpoint compatível). Nenhuma chave vem embutida no app. As requisições vão direto do seu celular para o provedor que você escolheu — não existe servidor nosso no meio.

O que trafega

O contexto que a pergunta exige. A lista completa, porque "o contexto necessário" não é uma descrição que alguém possa conferir:

• Treino — sessões recentes, exercícios, séries, cargas, recordes, volume por grupo muscular, rotinas e o alvo semanal.
• Objetivos e fatos de saúde — as metas que você escreveu e as lesões que você declarou, com região e gravidade. Esses vão sempre: é do que o Coach trata, e um treinador que não sabe do seu ombro programa em cima dele. A mesma frase está na tela de Ajustes, acima dos interruptores.
• Alimentação — calorias, proteína e a sua meta, quando você usa o diário. O Coach também consulta o catálogo de alimentos e pode propor um registro.
• As memórias do Coach — o que ele destilou das conversas anteriores para lembrar de você.
• A sua academia padrão e os aparelhos dela, o foco que você declarou, o Training Score decomposto, a direção (perder, ganhar ou manter) e o dia e a hora do aparelho.

O seu nome nunca vai junto. Não é uma promessa de intenção: há uma verificação automática no código do app que impede a publicação de qualquer versão em que o nome passe a ser enviado.

Três interruptores controlam o resto, em Ajustes → Coach → Privacidade:

• Medidas corporais — nasce desligado. Libera peso, gordura, massa magra e circunferências.
• Leituras de saúde do aparelho — nasce desligado. Libera sono, batimento e passos.
• Trilha do treino — nasce ligado. Libera o que estava tocando, quando essa função existe na sua versão do app.

Com os dois primeiros desligados, nenhuma medida do seu corpo e nenhuma leitura do seu aparelho saem daqui — nem soltas, nem coladas num objetivo: a meta "chegar a 78 kg" continua indo, e o quanto você pesa hoje, não. O Coach é informado de que aquelas seções foram retidas, em vez de simplesmente não as receber — ele sabe que não sabe.

O que esses dois interruptores não cobrem, e é justo dizer: os fatos de saúde que você declarou. Uma lesão é o que faz o Coach programar em volta dela, e retê-la seria pedir um treino a alguém que não pode saber por que ele não pode. Se você não quer que uma lesão viaje, apague-a em vez de desligar um interruptor — e a mesma frase está na tela onde os interruptores ficam, para as duas não poderem discordar.

E o app tem uma tela que prova isto: Ajustes → Coach → O que o Coach vê monta exatamente o texto que a próxima pergunta enviaria e não envia nada. Você não precisa acreditar nesta página.

Quando o Coach fala sem você perguntar

Este interruptor nasce ligado, e é o único desta página que nasce assim tendo consequência de rede. Ele se chama Comentário automático do Coach, em Ajustes → Coach, e existe desde a versão 1.5.1.

Com ele ligado, o app fala com o provedor de IA em três situações em que você não escreveu nada:

• ao abrir a tela de um treino terminado, para comentar aquela sessão;
• ao abrir a aba de alimentação, para comentar o dia;
• ao começar uma conversa nova, quando ele lê a conversa anterior inteira para extrair o que vale lembrar — as memórias e os fatos de saúde que aparecem na lista acima.

O que trafega nesses três é o mesmo contexto de uma pergunta sua, sob os mesmos interruptores, mais o resumo do que está na tela. Desligar o comentário automático não desliga o Coach: ele volta a falar só quando você perguntar.

Dizemos isso aqui porque uma frase como "nada sai a menos que você converse com o Coach" seria falsa para quem nunca abriu essa tela de Ajustes, e é dela que este parágrafo trata.

A exceção nomeada: o Go Lister

Se você tiver assinatura Ultimate ou superior no Go Lister — outro produto do mesmo autor — pode conectá-lo em vez de trazer uma chave. Aí, e só aí, as suas perguntas passam por um servidor nosso (api.golister.app), que fala com o modelo e paga por ele.

O conteúdo que trafega é o mesmo de qualquer outro provedor, sujeito aos mesmos três interruptores. Três cabeçalhos a mais viajam só nesta rota, e não para os outros provedores: um identificador da pergunta, se ela pediu raciocínio ao modelo, e qual parte do app a gerou — conversa, comentário de treino, comentário de alimentação ou destilação. Eles existem para o servidor contar o uso da sua assinatura; nenhum deles carrega conteúdo, e o que eles revelam é a frequência com que você usa cada função.

A conexão é feita pelo seu navegador com OAuth e PKCE: nenhuma senha sua chega a este app, e o que ele guarda é um token criptografado como qualquer outra chave.

O prazo desse token é de uso, não de calendário. Ele vale enquanto você usar o Coach e vence depois de trinta dias sem uso — e nunca passa de noventa dias desde a autorização, quando você autoriza de novo. O teto existe porque a razão de um prazo ser curto é uma credencial vazada morrer, e uma que se renova sem limite só morreria nas mãos de quem não a usa. A data de vencimento fica visível na linha do Provedor, em Ajustes.

Você pode desconectar quando quiser, e desconectar também derruba o token no servidor, não só a cópia local — quando não dá, o app diz que não deu, em vez de fingir que deu.

Uma mudança planejada, ainda não feita. Existe a intenção de que o Coach passe a ser a parte paga do app, e de que o período de teste do Go Lister seja a forma de experimentá-lo antes de comprar. Nada disso está implementado hoje, e nada nesta página descreve hipótese: tudo o que está escrito aqui vale para o app como ele é agora. Se e quando isso mudar, o que muda é quem pode usar o Coach — não o que trafega, que continuará sendo o descrito acima, sob os mesmos interruptores, e com a autorização colhida antes de qualquer envio.

As fotos de progresso

Ficam no aparelho, comprimidas, numa pasta privada do app. Nunca são enviadas para lugar nenhum — nem para nós, nem para o Coach, nem para o backup do Google (elas são explicitamente excluídas do backup automático, justamente para que a promessa desta frase seja verdadeira).

Elas entram em dois lugares, os dois seus: no arquivo que você exporta, e numa transferência direta de um aparelho para outro, que é local e não passa por servidor nenhum. São apagadas quando você apaga tudo ou apaga o Perfil.

As fotos dos exercícios

As ilustrações do catálogo não cabem no app — são cerca de 96 MB — então são buscadas quando há rede e guardadas em cache. Elas vêm de um repositório público no GitHub (raw.githubusercontent.com). É um terceiro, e é justo dizer que ele não foi escolhido por você.

Essa requisição não carrega identificador nenhum: nenhuma conta, nenhum token, nenhuma indicação de quem está pedindo. O que ela carrega é o que qualquer requisição na internet carrega — o seu endereço IP — e o nome do exercício, que vai no endereço da imagem. Antes de um treino o app busca as ilustrações da rotina inteira de uma vez, então quem observasse esse tráfego veria quais exercícios você está prestes a fazer, ainda que sem nenhuma forma de saber quem é você.

Apagar

Ajustes → Dados e saúde → Apagar dados, com cinco escopos: memórias do Coach, conversas, objetivos, diário de alimentação, ou tudo. Cada um mostra quantas linhas serão apagadas antes de você confirmar.

Apagar um Perfil apaga o banco dele e as fotos dele. Desinstalar o app apaga tudo do aparelho.

Não há o que nos pedir: não existe cópia nossa dos seus dados para ser excluída. A única cópia fora do aparelho é o backup do seu próprio Google, e ela se apaga onde ela vive — Ajustes do Android → Google → Backup.

O que o app não faz

• Não tem conta, login ou cadastro.
• Não tem publicidade, nem SDK de anúncios.
• Não tem análise de uso, telemetria ou relatório de falhas.
• Não pede o identificador de publicidade do Android.
• Não pede localização.
• Não acessa a câmera — fotos entram pelo seletor do próprio Android, que não exige permissão.
• Não manda a sua ficha de treino para lugar nenhum. Ela é lida no aparelho.
• Não vende, aluga nem compartilha dado nenhum.

Crianças

O Go Lifter não é destinado a menores de 18 anos.

Seus direitos, e como exercê-los

Como não há conta nem cópia nossa em servidor, todo controle já está no seu aparelho: os dados são seus, ficam com você, e apagá-los é imediato e definitivo pelos cinco escopos acima. O backup do seu Google se apaga na conta dele, como diz a seção O que fica no aparelho.

Para qualquer questão sobre esta política — inclusive as previstas na LGPD — escreva para [email protected]. Para suporte geral, [email protected].

O Go Lifter é operado por Joao Ferrete, com sede no Brasil.

Isto não é conselho médico

O Coach é um modelo de linguagem. Ele adapta o treino em torno do que você contou, e não diagnostica, não prescreve e não substitui um profissional de saúde. Dor que persiste, piora ou aparece do nada é assunto para quem pode examinar você.

O app lê sono, batimento e passos do Health Connect quando você autoriza, e usa isso para ajustar volume e descanso. Isso é programação de treino, não avaliação clínica.

Relatar um problema

O app tem Relatar um problema em Ajustes → Sobre, que abre um e-mail já preenchido com a versão do app, o modelo do aparelho, a versão do Android, qual provedor e modelo de IA você configurou, e quantas linhas o seu perfil tem — nunca a sua chave de IA. Nada é enviado até você apertar enviar no seu próprio aplicativo de e-mail, onde você lê tudo antes.

Denunciar uma resposta do Coach

Toque e segure uma resposta do Coach para sinalizá-la como perigosa, errada ou inadequada.

Esta é a única coisa no app que manda dado de saúde para fora de propósito, e é por isso que ela está descrita aqui em separado. Uma denúncia só serve se levar a frase denunciada, e vai junto a pergunta que a gerou — porque "dobra o volume" é perigoso ou banal dependendo do que foi perguntado, e a pergunta costuma ser onde você contou de uma lesão.

O que sai: o motivo, o que você escrever, o modelo e o provedor configurados, a versão do app, a pergunta e a resposta. O que não sai: a sua chave de IA, o resto da conversa, o seu histórico de treino, as suas medidas e as suas fotos.

Como tudo o mais aqui, o e-mail abre para você ler e editar antes de mandar, e o app nunca envia nada sozinho.