Last updated: November 9, 2026
Versão em português abaixo ↓ · Terms of Use
Soulmon is a gamified productivity app. This policy plainly describes what data the app collects, what it is used for, and who it is shared with.
The details you provide to generate your character — full name, date, time and place of birth — are stored solely in your device's local storage. Those fields, as you typed them, are never sent to our servers or to any third party.
Note: the result of that computation is a different matter. The generated character — its name and its summarized traits (element, alignment and realm) — is part of your save and is sent to our servers along with the rest of your progress, so you don't lose your character when you switch devices. See the table in section 2.
| Data | Purpose |
|---|---|
| Identify your account and sync progress across devices. Stored as a derived code (hash) of the address. You sign in with your Google account or with an email and password — either way, it is Google (Firebase Authentication) that verifies who you are. We never see or store your password. | |
| Nickname | Identify you to other players in the Library and Tournament. |
| Game progress (activities, tasks, evolution, items, currency) | Save your game to the cloud so your progress isn't lost. |
| Summarized character traits (element, alignment, realm) and its name | Part of your save: they describe the creature you generated and are how it is restored on another device. They are derived from your answers and birth details — the original fields are not uploaded. |
| Your answers to the 20-item personality questionnaire (since October 1, 2026) | Part of your save, in both the free and the full mode: which option you picked on each of the 20 items. They exist so that, if you unlock the full game later, you don't have to answer them again — the full reading uses them to shape your creature. They are never shown to other players, never sent to the AI chat, and are erased with your account. |
| Notification subscription (while notifications are on) | The technical address your device gives us to receive push (FCM token on Android, Web Push endpoint in the browser), your language, time zone and reminder hour. The subscription is linked to your account identifier (the code derived from your email, not the email itself) so that it can be deleted when you delete your account — without that link the server could not tell which subscription is yours. Notifications start on if you allow them when the app first asks (or later in your device settings). Turning notifications off deletes it too. |
| Meal check-ins (Meal check-ins in Settings — it starts on; the notification part only works with notifications on) | Stored with the notification subscription: your three meal times, your time zone offset and, if you set one, your rest window, so the server can send each check-in at your local time and never inside your rest window. Nothing is sent while the switch or notifications are off, and turning either one off stops sending it and deletes it from the subscription. The times stay in your save so they follow you between devices. |
| Your creature's birth date (only if you turn notifications on) | Stored with the notification subscription, as a day/month/year, so the messages of the first two days talk about them instead of talking about tasks. It dies with the subscription: turning notifications off deletes it. This is not your birth date — it is the pet's. |
| What you want to improve and what gets in the way (the text you write at the start) | Part of your save; the game gives it back to you at key moments. It is free text written by you, so it may contain anything you choose — including something about your health. It is stored with the rest of the save and never enters usage stats. It does not go to the AI on its own; the one exception is if you yourself ask for task suggestions in the tutorial with that text still filled in the field — then it leaves as the suggestion's goal (see section 2b). |
| Mood check-in (one 1-to-5 rating per day, if you answer it) | Part of your save, so you can see your own history. It never counts toward any score, any game rule, or usage stats. |
| Daily step count — only if you say yes to step counting | This applies from the app version that includes step counting through
Health Connect. In that version, right after your creature introduces
itself, the app asks, once, whether you want to use step counting (it
turns on a bonus mission). Only if you say yes, the app asks
Health Connect (Android) for permission to read
steps (READ_STEPS) and reads only your total
steps for the day; Health Connect is what keeps counting while the
app is closed. Only the daily aggregate (the total and the
counting anchor) travels with the save, never a timeline of your movement,
never a location, and the app does not write to Health
Connect and reads no other health or fitness data. On devices without
Health Connect the app may use the phone's own step counter
(ACTIVITY_RECOGNITION) instead. Steps never score on their
own, and saying no (or revoking it in Health Connect or in the phone's
settings) blocks nothing and costs nothing: the whole app works without
it. The data is not sold, not used for advertising, and not shared with
the AI providers. |
| Co-op group — only if you create or join one | The group name (written by whoever created it), who is in it and, per person, which days of the week they showed up — only the fact, never what they did. It exists so the group can see its own weekly goal. It is removed when you leave, and the whole group is deleted when the last person leaves. |
| Purchases | Record what you bought so the benefit persists and can be restored if you reinstall the app. |
| Journal entries (the "Journal" building, optional) | Whatever you choose to write there (up to 120 notes of 2,000 characters), kept in your own cloud save so it follows you across devices. It is sensitive: no AI reads it, it is never sent to the chat, to usage stats or to other players, and we do not read or analyze it. You can delete one note or all of them in the Journal, and deleting your account deletes them; they are also in the data export. If you never write anything, nothing is stored. |
Storage is hosted on Cloudflare infrastructure.
When you talk to your creature, the text of your message goes to the AI provider (Groq) to generate the reply. Along with it goes exactly this:
You can stop all of this: Settings → Your data → “Send chat to AI provider”. With it off, nothing goes to the AI provider and the creature answers with simple built-in lines instead.
Outside the chat, the same AI receives your text in two places, and only when you press the button: the task suggestions field — the goal you type there (in the tutorial it comes pre-filled with what you wrote in onboarding; clear or change it before asking if you don't want it to leave) — and the name of the task you ask to be broken into smaller steps in "Break down". What you wrote in onboarding as your struggle and the names of your other tasks do not leave for the AI. Before sending, the app strips emails, phone numbers, documents, cards, website addresses and @handles from the text.
The pet chat has a record button. It only appears when the feature is enabled on the server; if it is not, the button does not exist.
Because we do not store the audio, there is nothing of it to export or delete under Your rights — no recording of yours exists on our side.
Besides storing your progress, the app reads your completed
tasks and habits (completedTasks and the recurring-activity
history) to calculate your evolution, your care rhythm, and the daily/weekly
reports we give back to you. This reading happens within your own save, is
only used to make the game work, and the content of your
tasks is never used for any other purpose nor shared with third parties — the
only way out is the one you trigger yourself by tapping "Break down"
(section 2b). The
Terms of Use state the same rule in section 9.
The app sends aggregate counters about usage to our own server (Cloudflare) — with no analytics company in between (there is no Google Analytics, Firebase Analytics, Amplitude or similar). These are exactly these events, and nothing beyond them (the list below is checked by a test against the code on every change):
| Event | What it records |
|---|---|
install | First launch of the app on this device. |
onboarding_step | Which onboarding step you reached (step, a number) and, with it, the funnel property: which path — free, full, or still undefined before you choose. |
demo_pick | That you picked a ready-made character. |
first_task_done | Your first real completion. |
day_active | Once a day: that there was activity, with the effort property — the effort weight you completed (a number, like 4). |
unlock_view | That the purchase screen was opened, with the reason property: which invite brought you there — the free mode's creation limit, the evolution tree, the daily report, or the Shop. |
purchase | That a purchase happened. |
demo_cap_hit | That you hit the free mode's daily creation limit, with the path property: from which screen. |
activity_create | That an activity was created, with kind (task or habit) and path (from which screen). Never its name or its contents. |
week_active | Once a week, two numbers from 0 to 7: active_days, on how many days you completed something, and goal_days, on how many you reached your own daily goal. The counting happens on your device — only those two already-closed numbers leave it. No timeline of you is ever sent or stored. |
reveal_seen | That you reached the creature reveal screen, and whether it showed the image or only text (has_sprite, 0 or 1) and how long it stayed open as a RANGE (duration, 0 to 3 — never seconds). |
checkin_commit | That you closed the check-in committing to the day's goal, with how many focus items you picked (focus_count, 0 to 3). |
unlock_dismiss | That you closed the purchase screen by tapping "Not now", with the same reason property as unlock_view. |
haunted_done | That a task left untouched for days got finished. Never its name or contents. |
checkin_shown | That the day's ritual was offered to you (at most once a day). Nothing about what it showed. |
milestone | That a habit crossed a milestone (7, 21 or 66 days — level, 1 to 3). Never which habit. |
shield_used | That a rest shield was spent automatically. Just the count. |
welcome_back | That you came back after some days away, as a range (days, 0 to 3 — a bucket, never the number of days). |
evolve | That the creature evolved (level, 1 to 4). |
dungeon_run | That you finished a dungeon run, with how many floors you cleared (floors, 1 to 5). |
bond_level | That the bond level went up (level, a number). |
after_bad_day | That you came back after a bad day, with the distance as a RANGE (gap, 0 to 3 — never a date) and whether the app was opened (kind). It exists to tell whether the care invitation works; the bad-day marker stays on your device and is never sent. |
app_open | Where the app was opened from (source: direct, notification, widget or shortcut). It exists for one decision only: cutting notifications that bring people in for nothing. |
push_optout | That you turned notifications off. No detail at all — the fact, not the reason. |
retained | That you opened the app 1, 7 or 30 days after installing (bucket, 0 to 2). The date you installed stays on your device and is never sent — the math happens there and only the milestone number leaves, once each. |
sound_state | Once per active day, whether sound was muted (muted, 0 or 1) and whether you started the soundtrack that day (music, 0 or 1). Never the volume, never the time of day, never which sound played, never your headphones or speaker. If we cannot read your preference with certainty, the event is simply not sent. |
sound_off | That you turned sound off, at most once a day, with the bucket of your install age (age: 0 = the day you installed, 1 = 1 to 6 days, 2 = 7 days or more). The date you installed stays on your device and is never sent. This number exists to detect the app being too noisy — it never feeds scoring, never comes back to you as a number, and never becomes a notification asking for the sound back. |
guild_create | That you opened a Guild. Not its name, not its code, not anyone in it. |
guild_join | That you joined a circle, with its size after you joined (size, 2 to 12). Never who is in it. |
guild_leave | That you went your own way, with how many stayed (size, 0 to 11) and the bucket of how long you stayed (weeks, 0 to 3). |
guild_thread | That you firmed your strand for the day (kind), at most once a day. Never what you did, never how much. |
guild_raid | Fair: that you took your round, or saw the phenomenon come apart or retreat (outcome, 0 to 2). Never the damage. |
guild_stage | That your device saw a new stage of the Grove (level, 1 to 5), once each. |
meal_ritual | That a meal check-in window (after breakfast, lunch or dinner) was answered by any care gesture: which meal (meal: 0 = breakfast, 1 = lunch, 2 = dinner) and which small action closed it (kind: 0 = food, 1 = rinse, 2 = pat, 3 = hello). Only that it happened — never the time of day, never how many windows you skipped. |
time_spent | How long, in a band (for example “1 to 2 minutes”), you spent in a screen, a feature or a game in one day (kind, item, band). Added up with everyone else’s; never the exact seconds, never the time of day. |
minigame_start | That a game was started (item: which game). |
minigame_end | That a game ended: which one, how it ended (outcome: 0 = win, 1 = loss, 2 = left) and how long it took, in a band. Never the score. |
task_done | That a task or a habit was completed (kind: 0 = task, 1 = habit). Never its name or text. |
task_skipped | That a task or a habit was postponed, set aside or missed (kind). Never its name or text. |
day_close | When a day closes: the effort weight you planned and the weight you completed (planned, done, 0 to 50). Never what the items were. |
session_end | How long a session of the app lasted, in a band, and the app version number (band, build). |
In addition, the events above that concern your account carry the tier property: whether you are on the free or the full mode. That alone — nothing else from your account. | |
Along with it goes the date — the day only, never the time — and a pseudonymous identifier: a random string created on this device, with no relation to your email or to your save code. It exists only so the same event isn't counted twice, and the server discards it before writing anything: what is stored is a daily total summed across everyone. There is no timeline of you.
No content goes with it. Never sent: what you want to improve
and what gets in the way (soulGoal and soulStruggle),
your name, your date/time/place of birth, your email, your character's name,
task or habit names, your check-in mood, and any Oracle answer. The events
above have no text field at all — numbers only.
Sending is on by default. To turn it off: Settings → Your data → “Share usage”. Once off, sending really stops and whatever is queued on the device is deleted.
Once your character reaches Bond level 5 it joins the Tournament automatically, and other players can then see your nickname, your character's name and stage and your attributes on a public Tournament list (opponent lineup, season ranking and player directory). The content of your tasks, how many of them you've completed and your email are never shown to other players.
You can leave that list at any time in Settings → Your data → “Show me on the public Tournament list” (on by default). When you turn it off, our server stops showing your nickname, character and ranking entries to other players right away — in the opponent lineup, the ranking, the directory and the gifts you send — and nobody can add you as a friend through it. You keep playing normally and still see your own place. The switch only governs this public list: your co-op group, if you have one, is a separate, invite-only circle and keeps showing your nickname to its members.
Evolution feed. If you are on the public Tournament list, when your creature evolves to Champion stage or above we publish a notice with your nickname, the creature's name, the form and alignment reached and the time. The notice stays available for up to 24 hours and can be seen by anyone accessing the service, not only players. If you turn off "Appear on the public Tournament list", or delete your account, your notices leave the feed within a few minutes.
If you join a co-op group, the other people in it see your nickname and whether you showed up today (yes or no). They do not see how much you did, your goal, or any ranking between you — the number the group sees belongs to the whole group, never to one person. Groups are joined by invite code only: they never appear in search or in the public directory.
| Service | What it receives | When |
|---|---|---|
| Groq (AI) | Messages you write in the pet chat, with the last three exchanges of the same conversation; the creature's name, stage, branch and mood; life, energy, bond and days away (numbers); your mood of the day, if marked; the personality keywords and tone settings you configured. When you ask how you are doing or turn on Daily comment: the summary of your recent days in numbers (section 2b). Outside the chat: the goal text you type when asking for task suggestions (in the tutorial, pre-filled with your onboarding goal) and the name of the task you ask to break down. See section 2b. If Groq is busy, the same content may go to Google Gemini instead, as a backup, to produce the reply. | Only when you use those features. |
| Higgsfield and Google Gemini (AI image generation) | A text description of your creature, built from your Oracle answers, used to draw its image. If you fill in the optional favorite creature field, or pick a creature in the Rebirth, that text goes along. Never your name, email, birth date or the contents of your tasks. | Only when the app generates or regenerates the creature's image. |
| Google Firebase | Verifying who you are at sign-in (with your Google account or with email and password) and delivering push notifications. When you sign in with Google, Firebase tells us only your email address — nothing else from your Google account. | If you sign in and/or enable notifications. |
| Groq (audio transcription) | The audio you record in the chat, to turn it into text: our server sends it straight to Groq, which transcribes it (Whisper). We do not store the audio and we do not send anything identifying you along with it. See section 2c. | Only when you use the record button. |
| Resend (e-mail delivery) and Google (Gmail, review mailbox) | The text of the feedback message, the type, version, build, platform and language (section 6e). | Only when you tap Send. |
| Google Play | Processing in-app purchases. | Only when you make a purchase. |
| Steam (when available) | Processing purchases in the desktop version, if and when it is published on Steam. There is no Steam version today. | Only when you make a purchase there. |
Health Connect (Google). It is part of Android on your phone, not a service of ours: the step total is read on your device, and what reaches our servers is only what section 2 lists (the daily total inside your save).
We do not sell your data and do not use it for targeted advertising.
If you subscribe to the scenery and decor subscription, Google Play processes the payment — we never receive your card or payment details. Our server asks Google Play whether the subscription is valid and stores only: a code derived from the purchase (a one-way hash of the purchase token, not the token itself), the end date of the current period and the state (active, canceled, expired), linked to your account through the same pseudonymous identifier as the rest of your data. We use this only to open and close the quarter's cosmetic set. Purchase tokens never appear in our logs in full. Google Play also sends us real-time notifications about the subscription (renewal, cancellation, refund); they carry only the purchase token. The subscription data is kept while your account exists and is erased when you delete your account; the link between that purchase and your account follows the same rule as the other purchase receipts above.
When the app crashes, it sends one minimal report to our own server (no third-party crash SDK): the error type, the technical error message (up to 200 characters, with e-mails, links, tokens and ids removed), the technical stack (up to 800 characters), the app version, the screen path (without ids) and whether it is the Android app or the web. It never includes your content, your account identifier, your e-mail, your IP address or your device's user agent, so it is not linked to you. Reports are grouped by type of failure (a counter, not a record per person) and erase themselves after 14 days. Purpose: finding and fixing crashes. It follows the same switch as the usage statistics in Settings → Your data: turning statistics off also turns this off.
To stop one person from creating many accounts to drain shared limits, our server computes a one-way keyed hash (HMAC with a secret key) of the IP address of a request when an account is created and when a creature image is generated. The IP address itself is never stored; only the hash goes into a daily counter (how many new accounts / images came from that connection today), which erases itself after 30 days. It is not shared with anyone and is not used for advertising or profiling. Legal basis: legitimate interest in preventing abuse and keeping the service available (LGPD art. 7, IX). We also keep, for the same reason, the count of images already drawn for your e-mail (numbers only), even after the account is deleted.
AI usage counters. To keep the free AI providers within their limits, the server counts how many times per day each account used the chat, voice transcription, task suggestions and image generation. The counter is stored under your account identifier (the code derived from your email, never the email), holds only a number and erases itself after about 30 hours; for images there is also a lifetime count, described above. Nothing you wrote goes into it. Legal basis: legitimate interest in keeping the service available (LGPD art. 7, IX).
Email stored with generated images. When you generate an image of your creature with AI, we store, together with that image on our server, the email address of your account. It is used only by the app's administrator to audit who generated what (abuse and cost control); it is never shown to other players, never sent to the AI provider, and is included in your data export. It is erased when you delete your account, together with the image. Legal basis: legitimate interest in preventing abuse and controlling cost (LGPD art. 7, IX).
Free image already used (kept after account deletion). To prevent the free image from being generated again when an account is recreated, we store an irreversible code (hash) derived from your email, never the email itself, together with the URL of the image that was generated. This record is kept even after you delete your account, so that recreating it returns the same creature and does not grant another free generation. Legal basis: legitimate interest in preventing abuse and controlling cost (LGPD art. 7, IX).
When you use the bug button on the home screen, you choose a type (feedback, suggestion or bug) and write a message. Only if you tap Send, the text, the type, the app version, the build, the platform (Android app or web) and the language are sent to our server, which forwards it by e-mail, through an e-mail delivery service we use for this purpose, to the Soulmon review mailbox. We do not attach your account identifier, your e-mail, your IP address or your device's user agent, so the message is not linked to your account unless you write identifying details in the text yourself, which we ask you not to do. Purpose: reading and answering feedback and fixing bugs. Legal basis: your consent, given by sending the message (LGPD art. 7, I).
Our server keeps a copy for up to 30 days. The copy that arrives by e-mail stays in the review mailbox until we delete it, and the delivery service may keep logs for its own period. Because the message is not linked to your account, it is not included in the copy of your data and is not erased when you delete your account. To have it erased, write to the address in section 9 with the approximate date and an excerpt of the text. We can only reply if you leave a contact in the text.
Soulmon is intended for people aged 18 or older. It is not directed at minors, and we do not knowingly collect data from anyone under 18.
Inside the app, without asking anyone: Settings → Your data has both buttons — download a copy of everything stored about you, and delete your account along with the associated data. Deletion is immediate and cannot be undone.
What deletion erases: your whole save (creature, activities, items, currencies), your creature's generated image, your public profile, your nickname, your ranking entries, your evolution feed notices, group gifts, your place in the cooperative group (you leave the group automatically; a group left empty disappears along with its code), the usage record of your paid account (AI counters and the like — except the count of creature images already drawn for this e-mail, which stays so that deleting and re-creating the account does not reopen image generation; it is only numbers, see 6d) and the notification subscriptions the server can link to your account. The app also unsubscribes this device from notifications right away; if you use Soulmon on more than one device, turn notifications off on each of them.
The deletion marker (30 days): after you delete, the server keeps for 30 days only your account identifier (the code derived from your email, which cannot be turned back into it) marked as "deleted". It exists to refuse writes from an old device that was still signed in — without it, the save came back on its own seconds after deletion. If you sign in again with the same email, the marker is removed and the account starts over from scratch. After 30 days the marker expires on its own.
Unused save: a save that goes 12 months without being opened on any device is deleted from the server automatically. Opening the app renews the period.
What stays, and for how long: the record of your purchases (which receipt was redeemed and what it unlocked) is kept for 5 years from the deletion of the account, as required by tax and accounting rules, and is then deleted automatically. That record is stored under an account identifier (a code derived from your email that cannot be turned back into it) — it does not contain your email or any other data about you. It is also what stops one receipt from becoming several paid accounts.
If you activated through Steam: the link between your SteamID and the account it activated is deleted together with the account — your SteamID is not kept here after deletion. In exchange, the Steam licence becomes free again: it can activate a new account.
Deleting the app removes local data but does not erase the cloud save — use the button above, or write to the contact below, which does the same for you.
Privacy questions or requests: mateus.sprnd@gmail.com
Data protection officer (Brazilian LGPD, Law 13.709/2018, art. 41) and controller: Mateus Sperandio — mateus.sprnd@gmail.com. This is the channel for exercising any of the rights in §8 and for reaching the Brazilian data protection authority (ANPD) through us.
Última atualização: 9 de novembro de 2026
English version ↑ · Termos de Uso
O Soulmon é um app de produtividade gamificado. Esta política descreve, de forma direta, quais dados o app coleta, para que servem e com quem são compartilhados.
Os dados que você informa para gerar seu personagem — nome completo, data, hora e local de nascimento — ficam armazenados somente no armazenamento local do seu aparelho. Esses campos, como você os digitou, não são enviados para nossos servidores nem para terceiros.
Atenção: o resultado do cálculo é outra coisa. O personagem gerado — nome da criatura e os traços resumidos dela (elemento, alinhamento e reino) — faz parte do seu save e vai para nossos servidores junto com o resto do progresso, para você não perder o personagem ao trocar de aparelho. Ver a tabela do item 2.
| Dado | Para quê |
|---|---|
| Identificar sua conta e sincronizar o progresso entre aparelhos. Fica guardado como um código derivado (hash) do endereço. Você entra com a sua conta Google ou com e-mail e senha — em qualquer um dos dois, quem verifica quem você é é o Google (Firebase Authentication). Nós nunca vemos nem guardamos a sua senha. | |
| Apelido (nickname) | Identificar você para outros jogadores na Biblioteca e no Torneio. |
| Progresso do jogo (atividades, tarefas, evolução, itens, moedas) | Salvar seu jogo na nuvem para você não perder o progresso. |
| Traços resumidos do personagem (elemento, alinhamento, reino) e o nome dele | Fazem parte do save: são o que descreve a criatura que você gerou, e é assim que ela é restaurada em outro aparelho. São derivados das respostas e dos dados de nascimento — os campos originais não sobem. |
| Suas respostas às 20 perguntas do teste de personalidade (desde 1º de outubro de 2026) | Fazem parte do save, no modo grátis e no completo: qual opção você escolheu em cada um dos 20 itens. Existem para que, se você desbloquear o jogo completo depois, não precise responder de novo — a leitura completa usa essas respostas para moldar a sua criatura. Nunca aparecem para outros jogadores, nunca vão para o chat com IA, e são apagadas junto com a conta. |
| Inscrição de notificações (enquanto as notificações estiverem ligadas) | O endereço técnico que o seu aparelho nos dá para receber push (token do FCM no Android, endpoint do Web Push no navegador), o idioma, o fuso e a hora do lembrete. A inscrição fica ligada ao identificador da sua conta (o código derivado do e-mail, não o e-mail em si) para poder ser apagada na exclusão da conta — sem esse vínculo o servidor não saberia qual inscrição é sua. As notificações começam ligadas se você as permitir quando o app pedir na primeira abertura (ou depois, nas configurações do aparelho). Desligar as notificações também a apaga. |
| Check-ins das refeições (Check-ins das refeições nas Configurações — começa ligado; a parte da notificação só funciona com as notificações ligadas) | Guardados junto da inscrição de notificação: os seus três horários de refeição, o deslocamento do seu fuso e, se você tiver uma, a sua janela de descanso — para o servidor mandar cada check-in na sua hora local e nunca dentro da janela de descanso. Nada disso é enviado com a chave ou as notificações desligadas, e desligar qualquer uma das duas para de enviar e apaga da inscrição. Os horários ficam no seu save para acompanharem você entre aparelhos. |
| Data de nascimento da sua criatura (só se você ligar as notificações) | Guardada junto da inscrição de notificação, no formato dia/mês/ano, para as mensagens dos dois primeiros dias falarem dela em vez de falarem de tarefas. Morre junto com a inscrição: desligar as notificações apaga esse dado. Não é a sua data de nascimento — é a do bichinho. |
| Compras realizadas | Registrar o que você comprou, para que o benefício continue valendo e possa ser restaurado se você reinstalar o app. |
| O que você quer melhorar e o que atrapalha (o texto que você escreve no começo) | Fazem parte do save e voltam para você em momentos-chave do jogo. É texto livre escrito por você, então pode conter o que você quiser — inclusive algo sobre a sua saúde. Fica guardado com o resto do save e não entra nas estatísticas de uso. Ele não vai para a IA por conta própria; a única exceção é se você mesmo pedir sugestões de tarefas no tutorial com esse texto ainda preenchido no campo — aí ele sai como o objetivo da sugestão (ver seção 2b). |
| Check-in de humor (uma nota de 1 a 5 por dia, se você responder) | Faz parte do save, para você ver o próprio histórico. Nunca entra em pontuação, nem no cálculo do jogo, nem nas estatísticas de uso. |
| Contagem de passos do dia — só se você disser sim à contagem de passos | Vale a partir da versão do app que incluir a contagem de passos pelo
Health Connect. Nessa versão, logo depois que a sua criatura se
apresenta, o app pergunta, uma vez, se você quer usar a contagem de
passos (ela liga uma missão bônus). Só se você disser sim, o app pede ao
Health Connect (Android) permissão para ler
passos (READ_STEPS) e lê só o seu total de
passos do dia; é o Health Connect que continua contando com o
app fechado. Sobe junto do save apenas o agregado do dia
(o total e a âncora de contagem), nunca uma linha do tempo dos seus
movimentos, nunca localização, e o app não escreve no
Health Connect nem lê nenhum outro dado de saúde ou atividade física. Em
aparelhos sem Health Connect o app pode usar o contador de passos do
próprio aparelho (ACTIVITY_RECOGNITION). Passos nunca valem
ponto sozinhos, e dizer não (ou revogar no Health Connect ou nas
configurações do celular) não trava nem custa nada: o app inteiro
funciona sem isso. O dado não é vendido, não é usado para publicidade e
não é compartilhado com os provedores de IA. |
| Grupo cooperativo — só se você criar ou entrar em um | O nome do grupo (escrito por quem o criou), quem está nele e, por pessoa, em quais dias da semana ela apareceu — apenas o fato, nunca o que ela fez. Serve para o grupo enxergar a própria meta da semana. Some quando você sai, e o grupo inteiro é apagado quando a última pessoa sai. |
| Anotações do Caderno (o prédio "Caderno", opcional) | O que você escolher escrever ali (até 120 anotações de 2.000 caracteres), guardado no seu próprio save na nuvem para acompanhar você entre aparelhos. É dado sensível: nenhuma IA lê, nunca vai para o chat, para as estatísticas de uso nem para outros jogadores, e nós não lemos nem analisamos. Você apaga uma anotação ou todas no próprio Caderno, e apagar a conta as apaga; elas também entram na exportação dos seus dados. Se você nunca escrever nada, nada é guardado. |
O armazenamento é feito na infraestrutura da Cloudflare.
Quando você conversa com sua criatura, o texto da sua mensagem vai para o provedor de IA (Groq) para gerar a resposta. Junto com ele vai, exatamente, isto:
Você pode parar tudo isso: Configurações → Seus dados → “Enviar a conversa ao provedor de IA”. Desligado, nada vai ao provedor de IA e a criatura responde com falas simples do próprio app.
Fora do chat, a mesma IA recebe texto seu em dois lugares, e só quando você aperta o botão: o campo de sugestões de tarefas — o objetivo que você digita ali (no tutorial ele vem pré-preenchido com o que você escreveu no onboarding; apague ou troque antes de pedir, se não quiser que ele saia) — e o nome da tarefa que você pede para quebrar em passos menores em "Decompor". O que você escreveu no onboarding como dificuldade e o nome das suas outras tarefas não saem para a IA. Antes de enviar, o app remove e-mails, telefones, documentos, cartões, endereços de site e @perfis do texto.
No chat da criatura existe um botão de gravar. Ele só aparece quando o recurso está ligado no servidor; se não estiver, o botão não existe.
Como não guardamos o áudio, não há o que exportar nem apagar dele em Seus direitos — não existe gravação sua do nosso lado.
Além de guardar seu progresso, o app lê suas tarefas e
hábitos concluídos (completedTasks e o histórico de atividades
recorrentes) para calcular sua evolução, seu ritmo de cuidado e os relatórios
diário e semanal que devolvemos a você. Essa leitura roda dentro do seu
próprio save, serve só para fazer o jogo funcionar, e o
conteúdo das suas tarefas nunca é usado para nenhuma outra
finalidade nem compartilhado com terceiros — a única saída é a que você mesmo
aciona ao tocar em "Decompor" (seção 2b). Os
Termos de Uso descrevem a mesma regra na seção 9.
O app envia para o nosso próprio servidor (Cloudflare) contadores agregados de uso — sem nenhuma empresa de análise no meio (não há Google Analytics, Firebase Analytics, Amplitude nem similar). São exatamente estes eventos, e nada além deles (a lista abaixo é conferida por teste contra o código a cada mudança):
| Evento | O que registra |
|---|---|
install | Primeira abertura do app neste aparelho. |
onboarding_step | Qual passo do onboarding você alcançou (step, um número) e, junto, a propriedade funnel: por qual caminho — grátis, completo, ou ainda indefinido antes da escolha. |
demo_pick | Que você escolheu um personagem pronto. |
first_task_done | Sua primeira conclusão de verdade. |
day_active | Uma vez por dia: que houve atividade, com a propriedade effort — o peso de esforço concluído (um número, como 4). |
unlock_view | Que a tela de compra foi aberta, com a propriedade reason: por qual convite — o limite de criação do modo grátis, a árvore de evolução, o relatório do dia, ou a Loja. |
purchase | Que houve uma compra. |
demo_cap_hit | Que você encontrou o limite diário de criação do modo grátis, com a propriedade path: por qual tela. |
activity_create | Que uma atividade foi criada, com kind (tarefa ou hábito) e path (por qual tela). Nunca o nome nem o conteúdo dela. |
week_active | Uma vez por semana, dois números de 0 a 7: active_days, em quantos dias você concluiu alguma coisa, e goal_days, em quantos você alcançou a sua própria meta do dia. A contagem é feita no seu aparelho — o que sai são só esses dois números, já fechados. Nenhuma linha do tempo sua é enviada nem guardada. |
reveal_seen | Que você chegou à tela de revelação da criatura, e se ela mostrou a imagem ou só o texto (has_sprite, 0 ou 1) e quanto tempo ela ficou aberta em FAIXA (duration, 0 a 3 — nunca segundos). |
checkin_commit | Que você fechou o check-in assumindo a meta do dia, com quantos focos escolheu (focus_count, 0 a 3). |
unlock_dismiss | Que você fechou a tela de compra tocando em "Agora não", com a mesma propriedade reason de unlock_view. |
haunted_done | Que uma tarefa que estava parada há dias foi concluída. Nunca o nome nem o conteúdo dela. |
checkin_shown | Que o ritual do dia foi oferecido a você (no máximo uma vez por dia). Nada sobre o que ele mostrou. |
milestone | Que um hábito cruzou um marco (7, 21 ou 66 dias — level, 1 a 3). Nunca qual hábito. |
shield_used | Que um escudo de descanso foi gasto automaticamente. Só a contagem. |
welcome_back | Que você voltou depois de alguns dias, com a faixa de ausência (days, 0 a 3 — uma faixa, nunca o número de dias). |
evolve | Que a criatura evoluiu (level, 1 a 4). |
dungeon_run | Que você terminou uma partida da masmorra, com quantos andares limpou (floors, 1 a 5). |
bond_level | Que o nível de vínculo subiu (level, um número). |
after_bad_day | Que você voltou depois de um dia ruim, com a distância em FAIXA (gap, 0 a 3 — nunca a data) e se o app foi aberto (kind). Serve para saber se o convite de carinho funciona; a marca do dia ruim fica no seu aparelho e nunca é enviada. |
app_open | De onde o app foi aberto (source: direto, notificação, widget ou atalho). Existe para uma decisão só: cortar notificação que traz gente e não serve para nada. |
push_optout | Que você desligou as notificações. Sem detalhe nenhum — é o fato, não o motivo. |
retained | Que você abriu o app depois de 1, 7 ou 30 dias da instalação (bucket, 0 a 2). A data em que você instalou fica no seu aparelho e nunca é enviada — a conta é feita aí e o que sai é só o número do marco, uma vez cada. |
sound_state | Uma vez por dia ativo, se o som estava mudo (muted, 0 ou 1) e se a trilha foi iniciada por você naquele dia (music, 0 ou 1). Nunca o volume, nunca o horário, nunca que som tocou, nunca o seu fone ou alto-falante. Se não conseguirmos ler a sua preferência com certeza, o evento simplesmente não é enviado. |
sound_off | Que você desligou o som, no máximo uma vez por dia, com a faixa de idade da instalação (age: 0 = no dia em que instalou, 1 = entre 1 e 6 dias, 2 = 7 dias ou mais). A data em que você instalou fica no seu aparelho e nunca é enviada. Este número existe para detectar que o app está fazendo barulho demais — ele nunca vira pontuação, nunca volta para você como número e nunca vira notificação pedindo o som de volta. |
guild_create | Que você abriu uma Guilda. Sem o nome dela, sem código, sem ninguém. |
guild_join | Que você entrou numa roda, com o tamanho dela depois de entrar (size, 2 a 12). Nunca quem está nela. |
guild_leave | Que você seguiu o próprio caminho, com quantos ficaram (size, 0 a 11) e a faixa de tempo em que ficou (weeks, 0 a 3). |
guild_thread | Que você firmou o seu fio do dia (kind), no máximo uma vez por dia. Nunca o que você fez, nunca quanto. |
guild_raid | Feira: que você deu a sua rodada, ou que viu o fenômeno se desfazer ou recuar (outcome, 0 a 2). Nunca o dano. |
guild_stage | Que o seu aparelho viu um estágio novo do Bosque (level, 1 a 5), uma vez cada. |
meal_ritual | Que uma janela de refeição (depois do café, do almoço ou do jantar) foi atendida por algum gesto de cuidado: qual refeição (meal: 0 = café, 1 = almoço, 2 = jantar) e qual ação pequena a fechou (kind: 0 = comida, 1 = banho, 2 = carinho, 3 = oi). Só que aconteceu — nunca a hora do dia, nunca quantas janelas você deixou passar. |
time_spent | Quanto tempo, em uma faixa (por exemplo “de 1 a 2 minutos”), você passou em uma tela, um recurso ou um jogo em um dia (kind, item, band). Somado ao de todo mundo; nunca os segundos exatos, nunca a hora do dia. |
minigame_start | Que um jogo foi iniciado (item: qual jogo). |
minigame_end | Que um jogo terminou: qual, como terminou (outcome: 0 = vitória, 1 = derrota, 2 = saiu) e quanto durou, em uma faixa. Nunca a pontuação. |
task_done | Que uma tarefa ou um hábito foi concluído (kind: 0 = tarefa, 1 = hábito). Nunca o nome nem o texto. |
task_skipped | Que uma tarefa ou um hábito foi adiado, deixado de lado ou perdido (kind). Nunca o nome nem o texto. |
day_close | Quando um dia fecha: o peso de esforço planejado e o concluído (planned, done, 0 a 50). Nunca quais eram os itens. |
session_end | Quanto durou uma sessão do app, em uma faixa, e o número da versão do app (band, build). |
Além disso, os eventos acima que dizem respeito à sua conta carregam a propriedade tier: se você está no modo grátis ou no completo. Só isso — nada mais da sua conta. | |
Junto vai a data — só o dia, nunca a hora — e um identificador pseudonimizado: uma sequência aleatória criada neste aparelho, sem nenhuma relação com seu e-mail nem com o código do seu save. Ele serve só para não contar o mesmo evento duas vezes, e o servidor o descarta antes de gravar qualquer coisa: o que fica guardado é um total por dia, somado a todo mundo. Não existe uma linha do tempo sua.
Nenhum conteúdo vai junto. Nunca são enviados: o que você
quer melhorar e o que atrapalha (soulGoal e
soulStruggle), seu nome, sua data/hora/local de nascimento, seu
e-mail, o nome do seu personagem, nome de tarefa ou de hábito, seu humor do
check-in e qualquer resposta do Oráculo. Os eventos acima não têm nenhum campo
de texto — só números.
O envio vem ligado. Para desligar: Configurações → Seus dados → “Compartilhar uso”. Desligado, o envio para de verdade e o que estiver na fila do aparelho é apagado.
Ao chegar ao Vínculo nível 5, o seu personagem entra no Torneio automaticamente, e passam a ficar visíveis para outros jogadores, numa lista pública do Torneio (oponentes, ranking da temporada e diretório): seu apelido, o nome e estágio do seu personagem e seus atributos. O conteúdo das suas tarefas, a quantidade delas e o seu e-mail nunca são exibidos para outros jogadores.
Você pode sair dessa lista quando quiser, em Configurações → Seus dados → “Aparecer na lista pública do Torneio” (ligado por padrão). Ao desligar, o nosso servidor deixa de mostrar seu apelido, seu personagem e suas posições para outros jogadores na hora — na lista de oponentes, no ranking, no diretório e nos presentes que você envia — e ninguém consegue adicionar você como amigo por ela. Você segue jogando normalmente e continua vendo o seu próprio lugar. O interruptor vale só para essa lista pública: o seu grupo cooperativo, se houver, é um círculo à parte, só por convite, e continua mostrando seu apelido aos membros dele.
Faixa de evoluções. Se você está na lista pública do Torneio, quando sua criatura evolui para o estágio Champion ou superior publicamos um aviso com seu apelido, o nome da criatura, a forma e o alinhamento alcançados e o horário. O aviso fica disponível por até 24 horas e pode ser visto por qualquer pessoa que acesse o serviço, não só por jogadores. Ao desligar "Aparecer na lista pública do Torneio", ou ao excluir sua conta, seus avisos saem do feed em até alguns minutos.
Se você entrar em um grupo cooperativo, as outras pessoas do grupo veem o seu apelido e se você apareceu hoje (sim ou não). Elas não veem quanto você fez, nem a sua meta, nem qualquer ranking entre vocês — o número que o grupo enxerga é do grupo inteiro, nunca de uma pessoa. Entra-se em um grupo só por código de convite: grupos não aparecem em busca nem no diretório público.
| Serviço | O que recebe | Quando |
|---|---|---|
| Groq (IA) | As mensagens que você escreve no chat do pet, com as três últimas trocas da mesma conversa; o nome, estágio, galho e humor da criatura; vida, energia, vínculo e dias fora (números); seu humor do dia, se marcado; as palavras-chave de personalidade e os ajustes de tom que você configurou. Quando você pergunta como está indo ou liga o Comentário do dia: o resumo dos seus últimos dias em números (seção 2b). Fora do chat: o texto do objetivo que você digita ao pedir sugestões de tarefas (no tutorial, pré-preenchido com o seu objetivo do onboarding) e o nome da tarefa que você pede para decompor. Ver a seção 2b. Se o Groq estiver ocupado, o mesmo conteúdo pode ir ao Google Gemini, como reserva, para gerar a resposta. | Só quando você usa esses recursos. |
| Higgsfield e Google Gemini (geração de imagem por IA) | A descrição em texto da sua criatura, montada a partir das suas respostas ao Oráculo, para desenhar a imagem dela. Se você preencher o campo opcional de criatura favorita, ou escolher uma criatura no Renascimento, esse texto vai junto. Nunca vai seu nome, e-mail, data de nascimento ou o conteúdo das suas tarefas. | Só quando o app gera ou regenera a imagem da criatura. |
| Google Firebase | Verificação de quem você é no login (com a conta Google ou com e-mail e senha) e entrega de notificações push. Ao entrar com o Google, o Firebase nos informa apenas o seu e-mail — nada mais da sua conta Google. | Se você fizer login e/ou ativar notificações. |
| Groq (transcrição de áudio) | O áudio que você grava no chat, para virar texto: nosso servidor o envia direto ao Groq, que o transcreve (Whisper). Não guardamos o áudio nem enviamos junto qualquer coisa que identifique você. Ver a seção 2c. | Só quando você usa o botão de gravar. |
| Resend (envio de e-mail) e Google (Gmail, caixa de revisão) | O texto da mensagem de feedback, o tipo, a versão, a build, a plataforma e o idioma (seção 6e). | Só quando você toca em Enviar. |
| Google Play | Processamento das compras dentro do app. | Só quando você faz uma compra. |
| Steam (quando disponível) | Processamento das compras na versão para computador, se e quando ela for publicada na Steam. Hoje não há versão na Steam. | Só quando você faz uma compra por lá. |
Health Connect (Google). Faz parte do Android no seu celular, não é um serviço nosso: o total de passos é lido no seu aparelho, e o que chega aos nossos servidores é só o que a seção 2 lista (o total do dia dentro do seu save).
Não vendemos seus dados e não os usamos para publicidade direcionada.
Se você assinar a assinatura de cenários e decoração, o pagamento é processado pela Google Play — nós nunca recebemos os dados do seu cartão ou da sua forma de pagamento. Nosso servidor pergunta à Google Play se a assinatura está válida e guarda apenas: um código derivado da compra (um resumo criptográfico de mão única do token da compra, não o token em si), a data de fim do período atual e o estado (ativa, cancelada, vencida), ligados à sua conta pelo mesmo identificador pseudônimo do resto dos seus dados. Usamos isso só para abrir e fechar o conjunto cosmético do trimestre. O token da compra nunca aparece inteiro nos nossos registros (logs). A Google Play também nos manda avisos em tempo real sobre a assinatura (renovação, cancelamento, reembolso), que carregam só o token da compra. Os dados da assinatura ficam enquanto a sua conta existir e são apagados quando você exclui a conta; o vínculo dessa compra com a sua conta segue a mesma regra dos demais comprovantes de compra acima.
Quando o app trava, ele manda um relatório mínimo ao nosso próprio servidor (sem SDK de terceiros para falhas): o tipo do erro, a mensagem técnica do erro (até 200 caracteres, com e-mails, links, tokens e identificadores removidos), a pilha técnica (até 800 caracteres), a versão do app, o caminho da tela (sem identificadores) e se é o app Android ou a web. Nunca vai junto o seu conteúdo, o identificador da sua conta, o seu e-mail, o seu endereço IP nem o identificador do seu navegador/aparelho — por isso não fica ligado a você. Os relatórios são agrupados por tipo de falha (um contador, não um registro por pessoa) e se apagam sozinhos em 14 dias. Finalidade: achar e corrigir travamentos. Segue a mesma chave das estatísticas de uso em Configurações → Seus dados: desligar as estatísticas desliga isto também.
Para impedir que uma pessoa crie muitas contas para esgotar limites que são de todos, o nosso servidor calcula um resumo criptográfico de mão única com chave secreta (HMAC) do endereço IP da requisição quando uma conta é criada e quando uma imagem da criatura é gerada. O endereço IP em si nunca é guardado; só o resumo entra num contador diário (quantas contas novas / imagens saíram daquela conexão hoje), que se apaga sozinho em 30 dias. Não é compartilhado com ninguém e não é usado para publicidade nem perfil. Base legal: legítimo interesse em prevenir abuso e manter o serviço disponível (LGPD art. 7º, IX). Pelo mesmo motivo guardamos a contagem de imagens já desenhadas para o seu e-mail (só números), mesmo depois da exclusão da conta.
Contadores de uso da IA. Para manter os provedores gratuitos de IA dentro dos limites, o servidor conta quantas vezes por dia cada conta usou o chat, a transcrição de voz, as sugestões de tarefa e a geração de imagem. O contador fica sob o identificador da sua conta (o código derivado do e-mail, nunca o e-mail), guarda só um número e se apaga sozinho em cerca de 30 horas; para imagens há também a contagem total, descrita acima. Nada do que você escreveu entra nele. Base legal: legítimo interesse em manter o serviço disponível (LGPD art. 7º, IX).
E-mail guardado com as imagens geradas. Quando você gera uma imagem da sua criatura com IA, guardamos no nosso servidor, junto com a imagem, o e-mail da sua conta. Ele só é usado pelo administrador do app para auditar quem gerou o quê (controle de abuso e de custo); nunca é mostrado a outros jogadores, nunca é enviado ao provedor de IA e entra na sua exportação de dados. É apagado quando você exclui a conta, junto com a imagem. Base legal: legítimo interesse em evitar abuso e controlar custo (LGPD art. 7º, IX).
Imagem grátis já usada (guardada após a exclusão da conta). Para impedir que a imagem grátis seja gerada de novo ao recriar a conta, guardamos um código irreversível (hash) derivado do seu e-mail, nunca o e-mail em si, junto com o endereço (URL) da imagem gerada. Esse registro permanece mesmo depois de você excluir a conta, para que recriá-la devolva a mesma criatura e não conceda outra geração gratuita. Base legal: legítimo interesse em evitar abuso e controlar custo (LGPD art. 7º, IX).
Quando você usa o botão do besourinho na tela inicial, escolhe um tipo (feedback, sugestão ou bug) e escreve uma mensagem. Só se você tocar em Enviar, o texto, o tipo, a versão do app, a build, a plataforma (app Android ou web) e o idioma vão ao nosso servidor, que a encaminha por e-mail, por meio de um serviço de envio de e-mail que usamos para isso, à caixa de revisão do Soulmon. Não anexamos o identificador da sua conta, o seu e-mail, o seu endereço IP nem o identificador do seu navegador/aparelho; por isso a mensagem não fica ligada à sua conta, a menos que você mesmo escreva dados que identifiquem você no texto, o que pedimos para não fazer. Finalidade: ler e responder feedback e corrigir bugs. Base legal: seu consentimento, dado ao enviar a mensagem (LGPD art. 7º, I).
Nosso servidor guarda uma cópia por até 30 dias. A cópia que chega por e-mail fica na caixa de revisão até ser apagada por nós, e o serviço de envio pode manter registros pelo prazo dele. Como a mensagem não fica ligada à sua conta, ela não entra na cópia dos seus dados nem é apagada ao excluir a conta. Para apagá-la, escreva ao endereço da seção 9 indicando a data aproximada e um trecho do texto. Só conseguimos responder se você deixar um contato no texto.
O Soulmon é destinado a maiores de 18 anos. Não é direcionado a menores de idade e não coletamos intencionalmente dados de quem tem menos de 18 anos.
Dentro do app, sem precisar pedir a ninguém: Configurações → Seus dados tem os dois botões — baixar uma cópia de tudo que está guardado sobre você e excluir a sua conta junto com os dados associados. A exclusão é imediata e não tem volta.
O que a exclusão apaga: o seu save inteiro (criatura, atividades, itens, moedas), a imagem gerada da sua criatura, o seu perfil público, o seu apelido, as posições nos rankings, os avisos na faixa de evoluções, os presentes do grupo, a sua vaga no grupo cooperativo (você sai do grupo automaticamente; um grupo que fica vazio some junto com o código), o registro de uso da sua conta paga (contadores de IA e afins — exceto a contagem de imagens da criatura já desenhadas para este e-mail, que fica para que excluir e recriar a conta não reabra a geração de imagem; são só números, ver 6d) e as inscrições de notificação que o servidor consegue ligar à sua conta. O app também desfaz a inscrição de notificações deste aparelho na mesma hora; se você usa o Soulmon em mais de um aparelho, desligue as notificações em cada um deles.
A marca de exclusão (30 dias): depois de apagar, o servidor guarda por 30 dias só o identificador da sua conta (o código derivado do seu e-mail, que não permite reconstruí-lo) com a marca "excluída". Ela existe para recusar gravação de um aparelho antigo que ainda estivesse logado — sem ela, o save voltava sozinho segundos depois da exclusão. Se você entrar de novo com o mesmo e-mail, a marca é retirada e a conta recomeça do zero. Passados os 30 dias, a marca some sozinha.
Save sem uso: um save que fica 12 meses sem ser aberto em nenhum aparelho é apagado sozinho do servidor. Abrir o app renova o prazo.
O que fica, e por quanto tempo: o registro das suas compras (qual comprovante foi resgatado e o que ele liberou) fica guardado por 5 anos a partir da exclusão da conta, por obrigação fiscal e contábil, e depois é apagado sozinho. Esse registro é guardado por um identificador de conta (um código derivado do seu e-mail, que não permite reconstruí-lo) — não contém o seu e-mail nem nenhum outro dado sobre você. Ele também é o que impede um mesmo comprovante de virar várias contas pagas.
Se você ativou pela Steam: o vínculo entre o seu SteamID e a conta que ele ativou é apagado junto com a conta — o seu SteamID não fica guardado aqui depois da exclusão. Em troca, a licença Steam volta a ficar livre: ela pode ativar uma conta nova.
Apagar o app do aparelho remove os dados locais, mas não apaga o save na nuvem — para isso use o botão acima, ou escreva para o contato abaixo, que faz o mesmo por você.
Dúvidas ou pedidos sobre privacidade: mateus.sprnd@gmail.com
Encarregado pelo tratamento de dados pessoais (LGPD, Lei 13.709/2018, art. 41) e controlador: Mateus Sperandio — mateus.sprnd@gmail.com. É este o canal para exercer qualquer um dos direitos do §8 e para falar com a Autoridade Nacional de Proteção de Dados por nosso intermédio.