Política de Privacidade

Para os apps Sorrel e este site · Última atualização em 23 de outubro de 2026

Esta tradução é oferecida para a sua conveniência. A versão que prevalece juridicamente é a versão em inglês; em caso de divergência, vale ela.

Quem esta política abrange

Esta política se aplica ao app Sorrel para Android (com.burnsoft.sorrel), ao app Sorrel para iPhone, ao servidor do Sorrel em api.sorrelapp.io que alguns dos seus recursos usam, e a este site. "Sorrel", "nós" e "nosso" significam o desenvolvedor do app Sorrel.

O que o Sorrel guarda no seu aparelho

Tudo o que você cria no Sorrel é gravado no armazenamento privado do app no seu celular:

• As receitas que você importa, escaneia, digita ou edita — títulos, ingredientes, passos, tempos, etiquetas, links de origem e o texto original de onde foram lidas
• As fotos das receitas, salvas como arquivos no seu aparelho
• O seu diário de cozinha: quantas vezes você fez uma receita, quando, a sua nota e as suas anotações
• Listas de compras, coleções, cardápios e as correções de corredor que você faz
• As configurações do app, como as suas unidades e se os relatórios de erro estão ligados
• Se você compra na Kroger pelo Sorrel: a loja que escolheu e o seu login da Kroger, criptografado e fora dos backups do Android

A menos que você ligue a sincronização (abaixo), esses dados não são enviados para lugar nenhum, e não temos como lê-los. O Sorrel pede só as permissões do Android que consegue explicar: INTERNET, o faturamento do Google Play e — para os timers de cozinha — mostrar notificações, vibrar e manter um timer contando quando você sai do app. Ele nunca pede a sua localização, contatos, câmera, microfone, registro de chamadas ou arquivos fora do seu próprio armazenamento. Escanear uma ficha usa uma tela de escaneamento fornecida pelos serviços do Google Play (ou o seu seletor de fotos), que entrega ao Sorrel as páginas prontas; o Sorrel não tem permissão de câmera.

O que sai do seu aparelho, e quando

Importar uma receita por um link da web

Quando você cola ou compartilha um link, o seu celular busca aquela página direto no site que a hospeda. O site vê o seu endereço IP, a página que você pediu e uma cadeia de user-agent de navegador móvel comum — exatamente como se você tivesse aberto o link no Chrome — e a política de privacidade dele rege o que ele faz com isso. O Sorrel então lê a receita da página no seu celular e, na maioria dos casos, acaba aí: nada é enviado para nós. Se a importação falhar, o link pode ser enviado para nós para que possamos consertar — veja “Links que não conseguem ser importados” abaixo.

Algumas páginas escondem a receita de um jeito que o Sorrel não consegue ler sozinho. Quando uma página parece uma receita mas o Sorrel não encontra ao mesmo tempo os ingredientes e o modo de preparo, ele envia o endereço, o título e o texto visível do artigo da página (nunca o HTML bruto, e limitado a cerca de 10.000 caracteres) para o nosso servidor, que pede a um modelo de IA operado pela Anthropic que extraia a receita. O modelo recebe o texto, o título e o endereço da página sem a query string. Ele não recebe nada que identifique você. Nosso servidor guarda a receita que leu, arquivada sob o endereço da página, por até 90 dias, para que a próxima pessoa que importar a mesma página a receba na hora.

Importar de um vídeo (Sorrel Pro)

Quando você compartilha um link do TikTok, Instagram ou YouTube, o seu celular envia só o link para o nosso servidor. O servidor busca o vídeo na plataforma ele mesmo — a plataforma vê o endereço do nosso servidor, não o seu — e sobe degrau por degrau até ter uma receita:

• Ele lê a legenda do vídeo e qualquer página de receita para a qual a legenda aponte, e pede ao modelo da Anthropic que transforme isso numa receita.
• Se a legenda não bastar, ele extrai o áudio e manda transcrever pela Groq (um serviço de reconhecimento de fala Whisper); onde o YouTube tem legendas próprias, elas são usadas no lugar.
• Se as palavras ainda não bastarem, ele tira alguns quadros do vídeo e os envia, junto com a legenda e a transcrição, ao modelo da Anthropic para ler o que está sendo mostrado.

O vídeo, o áudio e os quadros baixados são apagados assim que a importação termina, em qualquer resultado. O servidor guarda a transcrição e a receita pronta, arquivadas sob o id do vídeo, por até 90 dias (24 horas se o resultado precisou da sua revisão), de modo que um vídeo popular só é lido uma vez. O seu celular também envia o token de compra do Google Play que comprova a sua assinatura Pro (veja "Google Play" abaixo).

Escanear uma ficha de receita (Sorrel Pro)

O escaneamento começa — e normalmente termina — no seu celular. As páginas vêm de uma tela de escaneamento fornecida pelos serviços do Google Play ou do seu seletor de fotos; o reconhecimento de texto roda no aparelho com um modelo embutido; as fotos e o texto reconhecido ficam guardados com a receita no armazenamento privado do Sorrel. Se essa leitura ficar incompleta, o Sorrel pergunta se pode mandar o escaneamento — as fotos, ou só o texto reconhecido — para o nosso servidor, que pede ao modelo da Anthropic para lê-lo. Nada é enviado sem a sua autorização, as páginas são descartadas assim que são lidas, e o servidor guarda só a receita pronta, arquivada sob uma impressão digital do escaneamento e não sob você, por até 90 dias. (Se a sincronização estiver ligada, o texto reconhecido viaja com a receita como qualquer outro texto de receita; as fotos, não.)

Deixar o Sorrel planejar a semana (Sorrel Pro)

O planejador gratuito preenche a sua semana no celular, off-line. Se em vez disso você pedir ao Sorrel para montar a semana, o seu celular envia ao nosso servidor uma lista de candidatas da sua biblioteca — títulos, etiquetas, tempos e quantas vezes você as fez, identificadas por ids — e o modelo da Anthropic escolhe e ordena. O servidor responde com esses ids e esquece o pedido: nada dele fica em cache nem é armazenado.

Sincronização (Sorrel Pro)

A sincronização fica desligada até você ligá-la nas Configurações. Quando você liga, o Sorrel cria uma conta para você no nosso servidor:

• Por padrão a conta é anônima. É um identificador aleatório, sem nome, e-mail ou telefone associados. Para adicionar um segundo celular você digita um código de seis caracteres que funciona uma vez e expira em dez minutos.
• Se você escolher "Entrar com o Google" — ou, no iPhone, "Entrar com a Apple" — para conseguir achar a conta depois, guardamos o id de conta que o provedor nos dá e, se ele informar que é verificado, o seu endereço de e-mail. Não recebemos o seu nome, a sua foto nem os seus contatos.
• De cada celular guardamos um id de aparelho, o nome do modelo (por exemplo "Google Pixel 8"), quando foi adicionado e quando sincronizou pela última vez.

A sincronização envia as suas receitas (incluindo o diário de cozinha, as anotações, as notas, as etiquetas e o texto original de onde foram lidas), as coleções, os itens de compras, os cardápios e as correções de corredor. As fotos ficam no celular em que foram tiradas e não são enviadas. O seu celular sincroniza poucos segundos depois de você mudar algo, mais ou menos a cada seis horas em segundo plano, e enquanto a lista de compras de uma casa está aberta.

Esses dados ficam num servidor que operamos no Microsoft Azure, num banco de dados que só o nosso software de servidor alcança, por conexões criptografadas. Ficam guardados para poderem ser entregues aos seus outros celulares e à sua casa; não os lemos, não os analisamos, não os vendemos e não os usamos para mais nada. Junto da conta guardamos o token de compra do Google Play que comprova a sua assinatura, para que uma casa que seja sua continue liberada para os membros dela.

"Sair" nas Configurações para a sincronização naquele celular e esquece o token de acesso dele; seu caderno continua no celular, e a cópia no servidor também, para os seus outros celulares. Para apagar a conta em si, use Configurações → Seus dados → Excluir conta e dados sincronizados: apaga a conta e tudo o que está guardado nela na hora, e uma assinatura vencida nunca impede isso. Veja Excluir sua conta do Sorrel.

Compartilhar com a casa (Sorrel Pro)

Uma casa é um grupo de contas sincronizadas que compartilham um caderno de receitas e uma lista de compras. Criar uma casa exige o Pro; entrar numa, não — a assinatura de quem criou cobre todo mundo. Dentro de uma casa:

• Os membros veem as receitas, coleções e itens de compras uns dos outros, ao vivo. Os cardápios e as correções de corredor continuam pessoais e nunca são compartilhados.
• Os membros conseguem ver quem mais está na casa. Cada membro aparece pelo e-mail do Google, se entrou com o Google, e pelo nome do modelo do celular, caso contrário. Nada mais sobre um membro é compartilhado.
• Um convite é um link (https://www.sorrelapp.io/join/…) ou um QR code com um token aleatório. Funciona uma vez e para de funcionar depois de um dia. Não contém nenhuma informação sobre você nem sobre a casa.
• Sair de uma casa, ou ser removido dela, mantém tudo o que já está no seu celular e volta a arquivar como seu. Excluir uma casa encerra todo o compartilhamento; cada membro fica com o que está no celular dele.

Enviar sua lista para uma loja Kroger

No app para Android, o Sorrel pode encher seu carrinho na Kroger e nas lojas do grupo (Dillons, Ralphs, King Soopers, Fred Meyer e outras). Nada vai para a Kroger até você tocar em Comprar esta lista e escolher a Kroger. Aí:

• Encontrar uma loja. O CEP americano (ZIP) que você digita passa pelo nosso servidor até a Kroger, que responde com as lojas próximas. A loja escolhida fica guardada no seu celular.
• Encontrar seus itens. Os nomes dos itens ainda não marcados da sua lista, até 60 por vez, passam pelo nosso servidor até a busca de produtos da Kroger naquela loja, para você conferir o que foi encontrado antes de qualquer coisa ir para o carrinho. Esta etapa não precisa de login na Kroger.
• Entrar na Kroger. Você entra na própria página da Kroger, no navegador; o Sorrel nunca vê sua senha da Kroger. Você autoriza o Sorrel a só duas coisas: colocar itens no seu carrinho e consultar produtos. O Sorrel nunca pede seu nome, e-mail, endereço, histórico de pedidos ou dados de pagamento. A Kroger entrega o login ao nosso servidor, porque transformá-lo em acesso exige a chave da Kroger do Sorrel, que não pode ficar guardada com segurança dentro de um app. O servidor guarda seus tokens de acesso por no máximo dez minutos, até o celular buscá-los, e os apaga assim que isso acontece. Daí em diante eles ficam só no seu celular, criptografados e fora dos backups do Android. Quando precisam ser renovados, o celular envia o token de renovação à Kroger pelo nosso servidor, que não guarda nada.
• Colocar no carrinho. Os produtos que você confirmou (códigos de produto da Kroger e quantidades) passam pelo nosso servidor até a Kroger com seu token de acesso. A Kroger só deixa o Sorrel adicionar ao carrinho: ele não vê o que já está lá, não remove nada e não faz pedidos. Você paga no site ou no app da sua loja.

Nosso servidor não guarda sua lista, seu CEP, sua loja nem seus tokens da Kroger. Cada etapa conta para os limites de uso justo descritos mais abaixo, como qualquer outra requisição. Para manter nossos próprios totais, o servidor também registra quando cada etapa aconteceu e quantos itens envolveu — nunca quais — junto com o hash de mão única do seu token de instalação; depois de 90 dias o hash é removido desses registros e só ficam totais que não estão ligados a ninguém. O que a Kroger faz com o que recebe é regido pela Política de Privacidade da Kroger. Desinstalar o Sorrel ou limpar o armazenamento dele remove seu login da Kroger do celular.

Conectar um assistente (Sorrel Pro)

Você pode conectar um assistente de IA, como o ChatGPT ou o Claude, à sua conta Sorrel. Nada é conectado até que você mesmo faça isso: você digita um código de uso único do app e aprova uma lista de permissões. Para cada conexão, nosso servidor guarda o nome do assistente, as permissões concedidas, quando ele foi conectado e quando foi usado pela última vez, além dos tokens de acesso em forma de hash.

Quando o assistente pede, nosso servidor lê o que essas permissões permitem na cópia da sua biblioteca que a sincronização já mantém — suas receitas e os itens da sua cozinha — e envia ao assistente. O que o assistente salva (uma receita, uma refeição no plano, itens de compras) fica armazenado na sua conta e é sincronizado com seus celulares como todo o resto. Não recebemos a sua conversa com o assistente, apenas as solicitações que ele faz ao Sorrel. O que o assistente recebe passa a ser tratado pela empresa que o opera, segundo a política de privacidade dela — por exemplo, OpenAI ou Anthropic.

Você pode desconectar um assistente a qualquer momento nos ajustes do Sorrel, e ele perde o acesso imediatamente. Excluir sua conta de sincronização remove todas as conexões dela.

Carregar as fotos das receitas

As fotos das receitas importadas são buscadas no site ou plataforma de onde a receita veio e depois ficam em cache no seu aparelho.

Relatórios de erro — só se você ligar

O Sorrel pergunta uma vez, na primeira abertura, se pode enviar um relatório quando travar. A resposta padrão é não; dispensar a pergunta conta como recusa. A opção fica em ⋮ → Configurações → Enviar relatórios de erro, e desligar interrompe os envios na hora.

Se você ligar, quando o app travar ele envia o erro e o stack trace, o modelo do seu aparelho e os números de versão do Android e do Sorrel — e só no momento do travamento, nunca ao abrir nem enquanto você usa o app. As suas receitas, fotos e listas nunca são incluídas; o Sorrel desativa explicitamente as partes do relator de erros que anexariam uma captura de tela, uma hierarquia de views, o seu endereço IP ou qualquer identificador seu ou do seu aparelho. Os relatórios são processados por nossa conta pela Sentry e usados para uma coisa só: achar e corrigir bugs.

O que o nosso servidor guarda sobre as requisições

As requisições que o seu celular faz ao nosso servidor levam um token de instalação aleatório, criado uma única vez quando o Sorrel é instalado e não derivado do seu aparelho nem da sua conta. Duas não levam: sair da conta e excluir a conta enviam apenas o token de acesso da conta, porque as duas existem para encerrar algo, não para usar o serviço. O servidor nunca guarda o token de instalação; ele guarda apenas um hash curto de mão única, que usa para aplicar limites de uso justo e contar quantas importações dão certo ou errado. De cada importação ele registra como foi — a plataforma, o resultado, quanto tempo levou, quanto nos custou — por 90 dias, e nunca o endereço, o título, a legenda ou a receita. A exceção é um link que não consegue ser importado, descrita a seguir. As contagens de uso por trás dos limites de uso justo, inclusive as da Kroger, ficam sete dias. A única exceção são os totais da Kroger descritos acima: eles guardam o hash por 90 dias e, depois, só as contagens. O nosso provedor de hospedagem e o nosso servidor web podem manter logs de conexão padrão, incluindo endereços IP, por segurança e confiabilidade.

Links que não conseguem ser importados. Quando uma importação falha, nosso servidor guarda o link — de uma página da web, o endereço sem a query string, exceto os poucos parâmetros que só identificam a página, como ?p=123 ou ?id=; de um vídeo, só o id do vídeo — por 30 dias desde a última falha, junto com o que deu errado, qual app e qual versão pediu e quantas vezes. Usamos isso para encontrar e consertar os leitores que deixam receitas escapar. Nada que identifique você é guardado junto: nem o token de instalação, nem a conta, nem o endereço IP. Um link que é importado com sucesso nunca é registrado assim. Um link que o nosso servidor estava lendo é registrado quando falha lá; um link da web que falha no seu celular nunca chegou até nós, então o celular só o envia se “Compartilhar estatísticas de uso anônimas” estiver ativado nas Configurações, ou quando você toca no botão da importação que falhou que nos envia o link.

Google Play e App Store

• As assinaturas do Sorrel Pro são vendidas e cobradas pelo Google Play. Nunca vemos os seus dados de pagamento. Para confirmar que uma assinatura está ativa, o Sorrel envia o token de compra do Google Play ao nosso servidor, que o verifica com o Google. Nas requisições de importação o token fica em memória só durante a verificação; nas contas sincronizadas ele é guardado com a conta, como descrito acima.
• No iPhone, o Sorrel Pro é vendido e cobrado pela App Store da Apple, e lá também nunca vemos os seus dados de pagamento. O Sorrel envia o id da transação da App Store ao nosso servidor, que confirma a assinatura com a Apple.
• Pedido de avaliação. O Sorrel pode ocasionalmente pedir que você o avalie usando o fluxo de avaliação no app embutido no Google Play, que o Google conduz.
• Backup do Android. O Sorrel permite o backup automático padrão do Android, para que suas receitas, seu plano, sua lista de compras e suas configurações possam ser restaurados num celular novo. Esse backup é seu e vai para a sua conta do Google, não para nós; dá para desligá-lo nas configurações de backup do sistema. O Sorrel deixa cinco coisas de fora de propósito — suas credenciais de sincronização, seu progresso de sincronização, seu direito do Play, o token de uso justo da instalação e seu login da Kroger — para que um backup nunca leve um login, um direito a assinatura ou a identidade de uma instalação para outro celular.

Essas interações são cobertas pela Política de Privacidade do Google e pela Política de Privacidade da Apple.

O que não coletamos

• Nenhum SDK de analytics ou telemetria — nada mede como você usa o app
• Nenhuma publicidade, rede de anúncios ou identificador de publicidade
• Nenhum nome, e-mail ou telefone, a menos que você escolha entrar com o Google para a sincronização
• Nenhum acesso à sua localização, contatos, câmera, microfone, registro de chamadas ou arquivos fora do armazenamento do próprio Sorrel

Os arquivos que você exporta

O Sorrel pode exportar receitas e criar arquivos de backup. Eles só são gravados quando você pede, só no lugar que você escolhe, e o app nunca os transmite para lugar nenhum. Depois de exportado, o arquivo é seu.

Guardar e apagar os seus dados

• Apague qualquer receita, lista, cardápio ou anotação dentro do app quando quiser. Se a sincronização estiver ligada, a exclusão sincroniza também.
• Apague tudo no celular, inclusive seu login da Kroger, com a opção "Limpar armazenamento" do Android para o Sorrel, ou desinstalando.
• Tudo o que o nosso servidor guardou em cache ao ler uma página, um vídeo ou um escaneamento para você expira em até 90 dias e não está ligado a você. Os registros da Kroger no servidor têm só horários e totais, e depois de 90 dias perdem o hash da sua instalação.
• Exclua sua conta de sincronização e tudo o que está guardado nela em Configurações → Seus dados → Excluir conta e dados sincronizados. Vale na hora e não exige uma assinatura ativa. Veja Excluir sua conta do Sorrel.
• Para apagar relatórios de falha já enviados, escreva para o endereço abaixo. Faremos isso rapidamente e confirmaremos.

Crianças

O Sorrel não é direcionado a crianças menores de 13 anos e não coleta conscientemente informações pessoais de ninguém, inclusive de crianças.

Este site

Este site é um conjunto de páginas estáticas hospedadas na Vercel. Ele não define cookies de publicidade e não tem login. Duas coisas merecem ser nomeadas:

• O Vercel Web Analytics registra de forma agregada como a página é usada, para que possamos saber se ela está funcionando. Ou seja: visualizações de página; cliques nos botões de download e de chamada para ação; cliques em links que saem do site e no endereço de e-mail de suporte; quais seções da página você alcançou; e até onde você rolou a página, arredondado para o quarto mais próximo. Nenhum texto que você digita, nenhuma localização precisa e nada que identifique você pessoalmente é coletado, e nada disso é reunido num perfil. Funciona sem cookies e não segue você por outros sites; a Vercel processa isso como descrito na política de privacidade da Vercel.
• As Google Fonts são carregadas dos servidores do Google, o que significa que o Google recebe o seu endereço IP quando a página carrega.

Os links de convite para a casa abrem uma página deste site que entrega o convite ao app Sorrel; a página em si não guarda nada.

Mudanças nesta política

Quando o Sorrel ganha um recurso que muda o tratamento dos dados, esta política é atualizada antes de o recurso sair e a data acima muda. Mudanças relevantes também aparecem nas notas de versão do app. Esta revisão acrescenta a guarda, por 30 dias, dos links das importações que falham, para que possamos consertá-las. A anterior acrescentou o envio da sua lista de compras para uma loja Kroger e a conexão de um assistente de IA à sua conta do Sorrel.

Contato

Dúvidas sobre esta política, ou qualquer outra coisa sobre privacidade no Sorrel, podem ir para sorrelapp@burnsforce.com.