O Broto funciona sem internet: o que você registra fica gravado no próprio celular. Você pode criar uma conta para guardar uma cópia e compartilhar com um profissional — é opcional, e o que sobe vai cifrado antes de sair do aparelho. Nada é vendido, nada é compartilhado, não tem anúncio, e você exporta e apaga tudo quando quiser. Como funciona a conta.
Última revisão em 5 de outubro de 2026
Ela descreve como o Broto funciona hoje, vale como compromisso público, e é o mesmo texto que o aplicativo abre quando você toca no link de política. Quando alguma coisa mudar de forma relevante, a data de revisão aqui em cima muda junto e o app avisa na abertura.
Tudo o que o app precisa pra funcionar, e só isso: as tarefas que você cria, com prioridade, data e passos; os focos do ciclo e as marcas de cada dia; as sessões do Modo Foco, incluindo as fugas e a distração que você anotou; os registros PEC completos, com situação, pensamento, emoção e intensidade; o que você escreve no diário e a intenção do dia; o humor registrado no fechamento do dia; as respostas do retrato das cinco áreas; a âncora que você escolhe na prática de ancoragem; os horários de acordar e dormir e os lembretes que você ligou; o estágio da planta e o XP. Quem usou o app até a versão 1.1 tem também as respostas e a pontuação do rastreio ASRS, que continuam no aparelho e saem na exportação.
Quem fez o cadastro antes da versão 1.2 respondeu três perguntas no começo — objetivo, porquê e custo de não mudar. Elas ficam guardadas como você escreveu e saem na exportação.
Se você aceitar o convite de uma profissional, passam a existir mais três coisas: as atividades que ela te passa e o que você responde nelas, a pauta que você escreve para levar à sessão, e o dia e a hora do seu atendimento — este último fica só no aparelho e não sobe. Como cada uma funciona está em Terapia e Broto PRO.
No armazenamento local do seu aparelho, gerenciado pelo próprio sistema operacional. O app funciona sem internet e abre inteiro sem conta nenhuma — sem conta, nada do que você escreve sai do aparelho.
Com conta ou sem, uma coisa sai: números de uso e relatório de falha. Eles não carregam nada do que você escreveu, e estão descritos por nome em Quem mais tem acesso. É por causa deles que o Broto se declara, na ficha da loja de aplicativos, como um app que coleta dados — dizer o contrário aqui seria contradizer a própria ficha.
Se você criar uma conta, uma cópia do que você escreve passa a ficar também no nosso banco de dados, cifrada no seu aparelho antes de sair dele. O banco fica no Brasil, em São Paulo. Como isso funciona, e quem consegue abrir o quê, está na seção seguinte.
Sem conta, vale escrever com todas as letras: se você desinstalar o app, trocar de celular ou apagar os dados do aplicativo sem exportar antes, os registros vão junto e não temos como recuperá-los.
Se você fizer backup do celular pela Apple ou pelo Google, os dados do Broto podem entrar nesse backup. Quem controla essa cópia é você e a fabricante do sistema, dentro das políticas dela.
A conta é opcional e serve a duas coisas: não perder o que você escreveu se o celular sumir, e compartilhar com um profissional que você escolher. O aplicativo funciona inteiro sem ela.
O que você escreve é cifrado no seu aparelho com uma chave antes de subir. O nosso banco guarda o texto embaralhado — quem olhar a linha direto no banco não lê nada. Onde essa chave fica é uma escolha sua, feita na criação da conta, e as duas opções têm consequência real:
Dá pra trocar de opção depois, nas configurações do app. Enquanto você não criar conta, nenhuma das duas se aplica: não há chave nossa nem cópia nossa.
Compartilhar com uma profissional é sempre um ato separado e explícito, e está descrito inteiro em Terapia e Broto PRO. Aceitar um convite não entrega nada: a escolha do que ela vê é um segundo passo, e nada vem marcado por padrão.
A partir da versão 1.2, quem tem conta pode entrar em grupos fechados de leitura, corrida, treino ou meta (até dez pessoas, só por convite) e nos clubes abertos do Broto. Esta é a única parte do aplicativo em que o que você escreve é feito pra outras pessoas lerem — e por isso ela funciona diferente de todo o resto.
O que você publica num grupo não é cifrado. Fica no nosso banco, em São Paulo, legível, porque os outros membros precisam ler. Isso vale para: o apelido e a cor que você escolhe ao entrar; os registros (páginas lidas, minutos, como foi a leitura, quilômetros, tempo, tipo de treino e esforço); a frase sobre o livro, com a página; a nota e o comentário do livro; as sugestões e os votos no próximo livro; e as regas que você dá nos registros dos outros. Nada do diário, das tarefas, do humor, dos registros de pensamento ou do retrato vai para um grupo — eles continuam cifrados ou no aparelho, como descrito acima.
Grupos de meta. Num grupo de meta — uma viagem, uma reserva, um sonho com valor —, cada pessoa registra quanto guardou. O Broto não guarda nem movimenta dinheiro, não acessa conta bancária e não recomenda onde guardar: é só o registro que a própria pessoa digita. O nome do sonho, o valor total, o prazo e o total já guardado são vistos por todos do grupo. Quanto cada pessoa guardou só é mostrado aos outros se quem criou o grupo ligou essa opção, e isso aparece escrito antes de entrar; desligado, que é o padrão, cada um vê só o próprio valor, e a regra é aplicada pelo banco, não só pela tela.
Quem lê. As pessoas do mesmo grupo. Quem está fora do grupo não vê nada dele; dos clubes abertos, quem ainda não entrou vê só o nome, o livro do mês e os números somados de todos, sem nenhum nome ou registro individual. Pessoas que você bloqueou deixam de ver o que você publica, e você deixa de ver o que elas publicam.
A equipe do Broto. Tecnicamente, nós conseguimos ler o que está num grupo. A equipe só abre esse conteúdo para moderar uma denúncia, como manda a regra das lojas de aplicativos para conteúdo publicado por usuários. Quando alguém denuncia, guardamos junto da denúncia uma cópia do que foi denunciado, do jeito que estava naquele momento, pra que a decisão possa ser tomada mesmo se o autor apagar; essa cópia fica guardada enquanto for necessária para a moderação e para cumprir obrigação legal.
Apagar. Você apaga um registro seu quando quiser. Apagar a conta apaga tudo o que você publicou em grupos, a sua participação neles e os seus bloqueios.
Busca de livros. Pra achar um livro, o app consulta o Open Library, um catálogo aberto mantido pelo Internet Archive, nos Estados Unidos. Vai o texto que você digitou na busca, e as capas são carregadas de lá — como em qualquer site, o Open Library recebe o endereço de IP de quem pede. Não vai nada que identifique você na sua conta.
Fora dos grupos, descritos acima, ninguém lê o que você escreve. Não vendemos dados, não usamos seus registros pra anúncio e não montamos perfil de usuário. Também não há rastreamento: o Broto não segue você por outros aplicativos ou sites, não conversa com rede de anúncio e não entrega nada a corretor de dados. O que existe, e é justo listar por nome:
Amplitude, Sentry, RevenueCat e Open Library ficam fora do Brasil, o que caracteriza transferência internacional de dados. Ela se limita ao que está descrito acima — uso, falha, assinatura e o texto de uma busca de livro, nunca o que você registra — e a base legal é o seu consentimento. Vale ser exato sobre como revogar: hoje o app não tem um interruptor que desligue a medição de uso separadamente, então revogar é deixar de usar ou desinstalar o aplicativo. Se um interruptor desses passar a existir, ele é descrito aqui.
Existe uma exceção a “ninguém lê o que você escreve”, e ela é sua: a profissional que você convidou a acompanhar, se você tiver aceitado um convite e ligado algum dos cinco grupos. Ela não é um terceiro que nós contratamos — é alguém que você escolheu, e o caminho inteiro está em Terapia e Broto PRO. Fora ela e as pessoas dos grupos em que você publica, a lista acima é completa.
Os lembretes são notificações locais, agendadas pelo próprio aparelho. Nenhuma delas passa por um servidor nosso, e nenhuma é notificação de engajamento — são só as que estão listadas na tela de lembretes do app.
Sem conta, não guardamos nada do que você escreve — não há prazo a cumprir, porque não há conteúdo seu sob nossa guarda. Os números de uso e os relatórios de falha seguem a retenção padrão do Amplitude e do Sentry, e não são ligados ao seu nome nem ao seu e-mail.
Com conta, os prazos são estes:
Dois anos, e não um, por um motivo específico: muita gente some do aplicativo por meses e volta. Sumiço não é abandono, e um prazo curto apagaria o registro de gente que ia voltar — uma perda que não tem conserto.
Apagar apaga de verdade: some a conta, somem as cópias cifradas, somem as chaves, somem os vínculos com profissionais e some o que você publicou em grupos. Não fica arquivo morto. A única coisa que pode sobrar é a cópia de um conteúdo seu que tenha sido denunciado, guardada com a denúncia, como descrito em Grupos e clubes.
Esta parte não é sobre o aplicativo, é sobre este site. Você pode entrar numa lista pra acompanhar as novidades do Broto. Se você fizer isso, guardamos o seu e-mail e, se você quiser informar, o seu WhatsApp — o telefone é opcional, e o formulário funciona sem ele. Junto vão a data e a hora do cadastro, o endereço de IP da requisição, o navegador usado e a origem do link que te trouxe até aqui (os parâmetros de campanha que vêm no endereço, quando existem). Data, hora e IP existem como prova de que o consentimento foi dado por você, como manda a LGPD; o resto serve pra sabermos quais conteúdos trazem gente pro Broto.
Nada disso se mistura com o aplicativo. A lista não tem acesso nenhum ao que você registra no app, e o app nem sabe que ela existe.
Esses dados ficam numa planilha do Google Sheets, numa conta nossa, e servem para uma coisa só: te avisar sobre o desenvolvimento e o lançamento do Broto. Não vendemos essa lista, não compartilhamos com anunciante e não usamos o seu e-mail nem o seu telefone pra te encontrar em nenhuma outra plataforma. Quando o envio automático de e-mails entrar no ar, o serviço usado pra isso vai ser nomeado aqui antes de a primeira mensagem sair.
A base legal aqui é o seu consentimento, dado no momento em que você envia o formulário. Ele é revogável a qualquer momento: escreva pra contato@appbroto.com pedindo a remoção — apagamos a linha da planilha e confirmamos pra você. Quando começarmos a enviar e-mails, todos vão ter um link de descadastro no rodapé.
Depois do cadastro, o site oferece a entrada num grupo do WhatsApp. Entrar é opcional e é uma decisão sua, tomada dentro do próprio WhatsApp. Antes de entrar, vale saber de uma coisa: por ser um grupo, e não um canal, os outros participantes conseguem ver o número de telefone de quem entra — inclusive o seu. Se preferir acompanhar sem isso, é só ficar na lista por e-mail e não entrar no grupo. O que acontece dentro do WhatsApp é regido pela política de privacidade da Meta, não pela nossa.
Registros de humor, autoavaliações e anotações sobre pensamento e comportamento são dados pessoais sensíveis pela Lei Geral de Proteção de Dados (Lei 13.709/2018). Tratamos assim por padrão: nada disso é compartilhado sem um gesto seu, e nada disso vai para os grupos. Os cards pros Stories mostram só o que está desenhado neles (dias de constância, estágio da planta, um livro terminado ou uma corrida), e só saem do aparelho se você tocar em compartilhar.
A base legal do tratamento é o seu consentimento, dado ao instalar e usar o app, e ele é revogável a qualquer momento — na prática, apagando os dados ou desinstalando.
O retrato das cinco áreas é uma autoavaliação, não um instrumento clínico. Quem não tem conta guarda as respostas só no aparelho. Quem tem conta e aceitou o convite de uma profissional pode incluí-lo no que ela vê: ele está no grupo Retrato e saúde, junto com o ciclo e a medicação, que só passa a ser compartilhado se você ligar esse grupo. Está desligado até você ligar, e desligar de novo é um toque. Quem respondeu o rastreio ASRS até a versão 1.1 continua com esse histórico no aparelho e na exportação.
A tela “Meus dados”, dentro do perfil, tem três ações e elas funcionam sem assinatura, pra sempre:
“Apagar tudo” apaga o que está no aparelho. Quem tem conta tem uma quarta ação, em Perfil › Conta: apagar a conta, que é o que remove do servidor a cópia cifrada, as chaves e os vínculos com profissionais. Ela roda sete dias depois do pedido, dá pra cancelar dentro dessa janela, e não exige escrever pra ninguém — está dentro do próprio aplicativo.
Na prática não há pedido de acesso a fazer: a cópia integral dos seus dados já está com você, e sai do app em dois toques.
O painel para psicólogos e psiquiatras está no ar, em pro.appbroto.com, e o aplicativo tem o lado do paciente. Esta seção descreve esse caminho inteiro, porque ele é o único em que o que você escreve chega a outra pessoa.
Sem vínculo, nada disso existe no seu app. Não é um menu escondido: quem nunca aceitou um convite não encontra as telas de terapia dentro do Broto. Há duas portas de entrada, e as duas são uma linha discreta: “Tenho um código de profissional”, na primeira tela, e “Tenho um convite”, no Perfil. As duas pedem uma conta antes de aceitar.
Quando você aceita um convite, valem estas regras:
As atividades. A profissional pode te passar uma atividade entre as sessões — o dever de casa da terapia. Ela escreve o enunciado; você marca como feita e conta como foi. As duas metades são separadas no banco: ela não reescreve a sua resposta e você não reescreve o enunciado dela. Cada texto é selado duas vezes, uma para cada leitor, porque o envelope que o Broto usa é de mão única e nem quem selou consegue reabrir o selo do outro. Atividade não passa pelos cinco grupos, e o motivo é simples: combinar de fazer a lição já é o ato de compartilhar.
A pauta. É o que você escreve na véspera pra levar pra sessão. Ela tem um interruptor próprio — “deixar ela ver antes” — e ele não é só uma regra de acesso: com o interruptor desligado, a segunda cópia de cada item é selada para a sua própria chave, de modo que nem entregue o texto abre do lado dela. Ligado, ela lê antes e chega na sessão sabendo o que você quer falar.
O dia e a hora da sessão ficam só no aparelho. Servem para o único lembrete de terapia que o app tem — uma linha na véspera, no fim do check-out — e não sobem para lugar nenhum.
Do outro lado, a profissional tem conta própria no painel, com os deveres dela: a chave privada dela é criada no navegador e não sobe nem para o Broto. Nós guardamos apenas a chave pública dela, que é o que o seu aparelho precisa para selar um envelope.
Os dados do profissional. Quem usa o painel informa nome, conselho e número de registro (CRP ou CRM), especialidade e e-mail. Nome, conselho e especialidade aparecem pro paciente na tela do convite, pra ele conferir quem está convidando. A senha é guardada pelo serviço de login do Supabase, embaralhada, e nós não temos como lê-la. O nome que o profissional dá a cada paciente no painel é cifrado no navegador dele, com a chave dele, e nós não lemos.
A cobrança do painel. Até três pacientes, o painel não custa nada e não pede dado de pagamento. Quem assina informa nome ou razão social e CPF ou CNPJ, que vão para o Asaas emitir a cobrança. Do nosso lado ficam o identificador da assinatura no Asaas, o plano, a situação do pagamento e a data até quando está pago. Esses registros de cobrança são guardados pelo prazo que a legislação fiscal exige, em regra cinco anos, mesmo depois que a conta do profissional é apagada.
Continua existindo o caminho sem nada disso: exportar o resumo em “Meus dados” e levar impresso ou por onde você preferir. Ele não exige conta, não exige convite e não passa por nós.
O Broto abre a partir dos 16 anos. Não é direcionado nem oferecido a menores de 16, e não tratamos dados pessoais de quem sabemos estar nessa faixa.
Por que o corte é em 16. Abaixo dessa idade, a legislação brasileira de proteção de crianças e adolescentes no ambiente digital exige vinculação da conta a um responsável legal e ferramentas de supervisão parental. O Broto guarda registros de pensamento, emoção e intensidade — conteúdo cuja utilidade depende de ser escrito sem plateia. Em vez de abrir para menores de 16 dando a um terceiro acesso a esse material, optamos por não abrir para essa faixa.
Dados de quem tem 16 ou 17 anos. Essas pessoas usam o aplicativo e, como todo mundo, seus dados ficam no próprio aparelho. O tratamento observa o melhor interesse do adolescente, previsto no art. 14 da LGPD: não há perfilamento para publicidade, não há anúncio no aplicativo, os padrões mais protetivos são o comportamento padrão e nada do que é escrito é compartilhado com terceiros — inclusive com responsáveis legais, que não recebem acesso ao conteúdo registrado.
Grupos a partir dos 16. Quem tem 16 ou 17 anos pode entrar em grupos como todo mundo, e ali vale o mesmo cuidado de sempre: só o apelido aparece, e o filtro e a denúncia valem igual. Até a versão 1.1, o rastreio ASRS não abria antes dos 18, por ser uma escala validada para adultos; a partir da 1.2 ele saiu do aplicativo.
Como a idade é conferida. Na entrada do app, antes de qualquer cadastro, pedimos a data de nascimento em campo aberto — não uma caixa de “declaro ter idade suficiente”, que a Lei 15.211/2025 e o Decreto 12.880/2026 não aceitam como aferição confiável. A data não é gravada. A idade é calculada dentro do próprio aparelho e o que fica registrado é somente a faixa etária, a data em que a conferência foi feita e por qual método. Quando a loja de aplicativos informar a faixa etária da conta, essa informação prevalece sobre a digitada, por vir de fonte independente.
Esse desenho é deliberado em dois pontos. Não pedimos documento, selfie nem biometria: para um app desta natureza, um mecanismo desses trataria dado sensível de todo mundo para resolver uma pergunta que cabe numa data, e seria desproporcional ao risco que se propõe a mitigar. E não guardamos a data de nascimento porque o dado coletado para aferir idade só pode servir a essa finalidade — a forma mais segura de garantir isso é não reter o dado.
Se descobrirmos que tratamos dado de alguém com menos de 16 anos, o acesso é encerrado, o aplicativo oferece a remoção do que estiver gravado no aparelho e, havendo qualquer registro sob nossa guarda — a conta, o que foi publicado em grupos ou um endereço da lista de novidades deste site —, ele é eliminado sem depender de pedido. Responsável que identifique um cadastro nessa faixa pode escrever para contato@appbroto.com e pedir a exclusão, sem precisar justificar.
Quando este texto mudar de forma relevante, a data de revisão no topo muda junto e o app avisa na abertura. Versões anteriores continuam disponíveis mediante pedido.
O Broto é operado por P. M. PELLICANO LTDA, CNPJ 49.126.837/0001-70, com sede na SCS Quadra 6 Bloco A, nº 157, Edifício Bandeirantes, Asa Sul, Brasília/DF, CEP 70300-910. Encarregado de dados (DPO) e canal de contato: contato@appbroto.com.
Escrevendo para esse endereço você fala com a pessoa responsável pelo Broto — não com um formulário. Pedidos de acesso, correção, portabilidade e exclusão dos seus dados, previstos no art. 18 da LGPD, são respondidos em até 15 dias.