Seu histórico de frequência cardíaca, sono e variabilidade da frequência cardíaca (VFC) é dado pessoal, e em muitos lugares a lei permite pedir à empresa que o guarda uma cópia em prazo fixo, em geral sem custo. Na UE, essa cópia deve trazer todos os dados pessoais que a empresa trata, e não um resumo. O que uma empresa guarda depois que você para de pagar é outra questão: depende dos termos dela, e algumas apagam contas sem uso após dois ou três anos.
Este guia mostra o que os principais serviços dizem que acontece com seus dados, o que a lei garante em cada região, como pedir uma cópia e como guardar o que você receber. Lemos os Termos, a política de privacidade e as páginas de ajuda de cada empresa, além dos textos legais, em 22 de outubro de 2026. Os trechos entre aspas são tradução nossa dos originais em inglês. Este texto traz informações gerais sobre a lei, não aconselhamento jurídico.
Quem guarda os dados do seu dispositivo vestível
Seus dados passam por até três lugares:
- O dispositivo. Um anel ou pulseira guarda as medições até o celular recolhê-las. A RingConn diz que o Gen 3 “armazena até 10 dias de dados sem sincronizar” (RingConn Support).
- O celular. Alguns apps guardam os dados ali. O app Saúde da Apple os armazena no iPhone e, se você usa o iCloud, com criptografia de ponta a ponta, de modo que a Apple não tem as chaves (Apple Support, iCloud data security).
- Os servidores da empresa. Muitos serviços enviam as medições para os próprios servidores e calculam as pontuações lá. A central de ajuda do WHOOP liga as três etapas à assinatura: “Depois que sua assinatura terminar, o WHOOP não vai mais coletar, enviar nem analisar seus dados biométricos” (WHOOP Support).
A lei de proteção de dados não define quem é o dono desses dados. Em vez disso, ela dá a você direitos sobre eles: ver os dados e obter uma cópia (artigo 15 do GDPR, o regulamento europeu de proteção de dados), pedir que sejam apagados (artigo 17) e levar os dados que você forneceu a outro serviço (artigo 20). Algumas empresas vão além nos próprios textos. A política de privacidade da Ultrahuman diz “Os dados são seus, e você controla o uso que fazemos deles”, e a política da Samsung nos EUA diz “Suas informações pessoais pertencem a você”.
O que acontece com seus dados quando você para de pagar
Quando você deixa de pagar
Dos documentos de cada empresa, 22 e 24 de outubro de 2026
-
WHOOP Assinatura necessária para usar o app por completo
- Dados antigos, sem pagar
- Os documentos da empresa divergem. Central de ajuda: sim. Termos: seu conteúdo deixa de estar disponível “por meio dos Serviços”, e você pode pedir uma cópia.
- Exportação, sem pagar
- Não informado. A WHOOP não informa se a exportação dentro do app continua funcionando depois que a assinatura termina.
- Prazo de exclusão
- Não informado. Nenhum prazo informado. Os Termos permitem que a WHOOP exclua seu conteúdo “de nossos bancos de dados ativos” quando o contrato termina.
- Pedir uma cópia
- privacy.whoop.com · privacy@whoop.com
-
Oura Assinatura necessária para usar o app por completo
- Dados antigos, sem pagar
- Em parte. Só as três pontuações diárias: “Readiness”, atividade e sono.
- Exportação, sem pagar
- Sim. CSV pelo Membership Hub, “mesmo sem assinatura”. A API exige uma.
- Prazo de exclusão
- Não informado. Os dados ficam guardados enquanto a conta estiver ativa; não há prazo para contas sem uso.
- Pedir uma cópia
- dataprotection@ouraring.com
-
Garmin Connect Assinatura opcional
- Dados antigos, sem pagar
- Sim. O app não exige assinatura. No lançamento do Connect+, a Garmin disse que todos os recursos e dados existentes “continuarão gratuitos”.
- Exportação, sem pagar
- Sim. A conta inteira em um ZIP, pelo Account Management Center.
- Prazo de exclusão
- Sim. Excluída após 2 anos sem atividade na conta. Usar o relógio não conta.
- Pedir uma cópia
- privacy@garmin.com · euprivacy@garmin.com
-
Google Health (Fitbit) Assinatura opcional
- Dados antigos, sem pagar
- Não informado. O Google Health Premium é opcional. Os dados do coach são mantidos quando ele termina; o Google não informa o que mais muda.
- Exportação, sem pagar
- Sim. Google Takeout, com o Google Health selecionado.
- Prazo de exclusão
- Sim. Contas Fitbit não migradas para o Google: o Google fixou 15 de julho de 2026 para começar as exclusões. Uma conta Google sem uso por 2 anos pode ser excluída.
- Pedir uma cópia
- support.google.com/policies/troubleshooter/7575787
-
Samsung Health Sem assinatura
- Dados antigos, sem pagar
- Sim. O Samsung Health não tem assinatura.
- Exportação, sem pagar
- Sim. “Download personal data”, no app. A Samsung não lista os arquivos.
- Prazo de exclusão
- Sim. Uma conta Samsung sem uso por 24 meses pode ser excluída com os dados, após aviso por e-mail.
- Pedir uma cópia
- samsung.com/request-desk
-
Apple Health Sem assinatura
- Dados antigos, sem pagar
- Sim. Sem assinatura. Os dados de Saúde ficam no iPhone.
- Exportação, sem pagar
- Sim. “Export All Health Data”, em XML, no iPhone.
- Prazo de exclusão
- Sim. Uma conta iCloud inativa por 1 ano pode ser encerrada, com aviso prévio de 30 dias.
- Pedir uma cópia
- privacy.apple.com
-
Withings Assinatura opcional
- Dados antigos, sem pagar
- Sim. O Withings+ é opcional, e os dispositivos “continuam a funcionar normalmente” sem ele. A Withings diz que você sempre tem acesso direto aos seus dados, seja qual for a sua assinatura.
- Exportação, sem pagar
- Sim. Um arquivo CSV por e-mail, pelo app.
- Prazo de exclusão
- Os documentos da empresa divergem. Termos para a UE: exclusão após 3 anos sem login, sem uso do dispositivo e sem clique em um e-mail da Withings. Termos para os EUA: a conta pode ser desativada após 5 anos sem login. Política de privacidade: 10 anos.
- Pedir uma cópia
- privacy@withings.com
-
Welltory Assinatura opcional
- Dados antigos, sem pagar
- Em parte. Plano gratuito: os últimos 30 dias. Os dados mais antigos são excluídos, a menos que você os exporte antes.
- Exportação, sem pagar
- Sim. Um arquivo pelo app web, com o mesmo login.
- Prazo de exclusão
- Sim. Exclusão após 3 anos de inatividade.
- Pedir uma cópia
- support@welltory.com
-
Polar Flow Assinatura opcional
- Dados antigos, sem pagar
- Sim. O Polar Flow é gratuito. A assinatura Fitness Program só acrescenta um programa de treino.
- Exportação, sem pagar
- Sim. Download your data, em account.polar.com, sem o sono e a atividade que a Polar calcula com seus algoritmos. Sessões e intervalos RR pelo site do Flow.
- Prazo de exclusão
- Não informado. Mantidos enquanto a conta do Flow estiver ativa; não há prazo para contas sem uso.
- Pedir uma cópia
- privacy@polar.com
-
Ultrahuman Assinatura opcional
- Dados antigos, sem pagar
- Sim. O anel não exige assinatura: “acesso vitalício ao anel e aos seus dados”. Os PowerPlugs e o Ultrahuman Max são opcionais.
- Exportação, sem pagar
- Em parte. Sem botão de download. Um token pessoal de API lê suas próprias métricas diárias, para programadores; no iPhone, o app Saúde guarda uma cópia.
- Prazo de exclusão
- Não informado. Não há prazo para contas sem uso. Seus dados podem ser excluídos se você encerrar a conta.
- Pedir uma cópia
- legal@ultrahuman.com
Dez cartões, um por serviço, cada um com quatro informações: se você ainda vê os dados antigos sem pagar, se a exportação continua funcionando sem pagar, se a empresa informa quando uma conta sem uso é excluída e onde pedir uma cópia. Cada informação começa com a resposta em palavras.
WHOOP: a central de ajuda e os Termos dizem coisas diferentes
O WHOOP não tem plano gratuito: os Termos de Uso dizem que é preciso uma assinatura ativa para usar o serviço e que, quando ela termina, os dados da pulseira deixam de ser enviados. Sobre os dados antigos, os documentos do próprio WHOOP discordam:
- O artigo da central de ajuda, datado de 22 de outubro de 2026, responde à pergunta “Ainda posso ver meus dados antigos depois de cancelar?” com “Sim, você poderá ver seus dados antigos, mas novos dados não serão registrados depois do cancelamento”.
- Os Termos de Uso, datados de 3 de agosto de 2026, dizem que, quando a assinatura termina, seu conteúdo “não estará mais disponível para você por meio dos Serviços, mas você pode pedir uma cópia dos seus dados”. Dizem também que, quando o contrato termina, o WHOOP “pode apagar o Seu Conteúdo associado ao contrato dos nossos bancos de dados ativos” e que “não tem obrigação de armazenar nenhum Conteúdo Seu”.
O WHOOP não diz se a exportação dentro do app funciona depois que a assinatura termina, por isso, exporte antes que ela termine. A página Como ficam os dados do WHOOP se eu cancelar? traz os passos.
Oura: três pontuações, mas a exportação continua funcionando
Sem assinatura, diz a Oura, “você só poderá ver suas três pontuações diárias da Oura”, ou seja, “Readiness”, atividade e sono, além da bateria, do perfil e das configurações. Seus dados não são apagados quando você cancela, e “Mesmo sem assinatura, você pode exportar todos os seus dados da Oura em formato CSV pelo Membership Hub” (o portal da assinatura). A API exige assinatura (Oura Member Care). Segundo a política de privacidade, a Oura guarda os dados de medição “somente enquanto sua conta da Oura estiver ativa”. A página Como ficam os dados da Oura se eu cancelar? tem mais detalhes.
Uma página por serviço
Cada uma destas páginas explica o que um serviço diz que acontece com os seus dados quando você cancela ou deixa de usá-lo:
- Como ficam os dados do WHOOP se eu cancelar?
- Como ficam os dados da Oura se eu cancelar?
- Como ficam os dados da Garmin se eu parar de usar?
- Como ficam os dados da Fitbit se eu cancelar?
- Como ficam os dados do Samsung Health se eu parar?
- Como ficam os dados da Withings se eu cancelar?
- Como ficam os dados do Welltory se eu cancelar?
- Como ficam os dados da Polar se eu deixar o Flow?
- Como ficam os dados da Ultrahuman se eu cancelar?
Prazos para apagar contas sem uso
Várias empresas apagam contas que ficam sem uso, ou se reservam esse direito, e “sem uso” pode não significar o que você espera:
- Garmin: “Se não houver atividade na sua conta Garmin em nenhum dos nossos sites e serviços por pelo menos 2 anos, sua conta será apagada.” Contam como atividade os logins, os envios de dados de um dispositivo, as compras, a interação com os e-mails de marketing da Garmin e as interações na comunidade; a Garmin lista “Uso de um dispositivo” entre o que não conta. Um relógio usado todos os dias, mas nunca sincronizado, não mantém a conta ativa. A Garmin envia vários avisos por e-mail antes, e “Os dados não podem ser restaurados depois de apagados” (Garmin Support).
- Samsung: “Contas que não forem usadas por 24 meses serão classificadas como inativas.” Depois de um e-mail, a conta “e todos ou alguns dos dados associados a ela podem ser apagados” (Samsung Support).
- Welltory: “Após três anos de inatividade, seus dados pessoais serão apagados.” No plano gratuito, o histórico fica limitado aos últimos 30 dias, e os dados mais antigos são apagados se você não os exportar antes (Welltory).
- Withings: os documentos dela dão três prazos. Os Termos de serviço para a UE dizem “A WITHINGS apaga qualquer Conta inativa”: uma conta sem login, sem login pelos dispositivos e sem clique em um e-mail da Withings por mais de três anos, após um aviso de 90 dias. Os Termos para os EUA dizem “A WITHINGS pode desativar uma Conta se o Usuário não tiver feito login por um período de cinco (5) anos”. A política de privacidade conta 10 anos desse mesmo silêncio até que a conta seja considerada inativa e apagada. Os três textos estavam publicados em 24 de outubro de 2026; conte com o prazo mais curto que possa valer para você.
- Apple: os termos do iCloud permitem que a Apple encerre uma conta inativa por um ano, com aviso por e-mail 30 dias antes, e apague os dados dela “após um período de tempo” que os termos não especificam.
- Google: o Google “reserva-se o direito de apagar uma Conta do Google inativa e suas atividades e dados” após pelo menos dois anos sem atividade no Google (Google Account Help).
Quando o próprio serviço fecha
Já houve encerramentos, com datas fixas e prazos curtos:
- As contas Fitbit passaram para contas do Google. “Depois de 19 de maio de 2026, você não poderá mais acessar o Fitbit com sua conta do Fitbit.” Para as contas que não foram migradas, o Google fixou 15 de julho de 2026 como o dia em que começaria a processar as exclusões de dados (Google Health Help).
- Microsoft Health Dashboard, o serviço por trás da Microsoft Band: “Todos os dados do Microsoft Health Dashboard serão apagados em 31/05/2019”. Quem tinha a pulseira podia continuar a usá-la sem os recursos da web (Microsoft Support).
- O Suunto Movescount fechou depois de 10 de janeiro de 2022. Depois disso, “você não poderá usar o Movescount nem importar seu histórico de treinos dele” (Suunto).
- O Endomondo foi desativado em 31 de dezembro de 2020. As transferências para o MapMyRun foram permitidas até 15 de fevereiro de 2021, e os dados não apagados pelo dono seriam apagados depois de 31 de março de 2021 (Endomondo Support, arquivado).
- O polarpersonaltrainer.com, da Polar, fechou em 31 de dezembro de 2019: “Se você não transferiu seus dados a tempo, infelizmente eles agora foram apagados e não podem ser restaurados” (Polar, Privacy FAQ).
Cada encerramento veio com uma data e um prazo para baixar os dados, depois do qual eles foram apagados ou não puderam mais ser transferidos.
Seus direitos, por região
UE e EEE: o GDPR
O GDPR vale para qualquer empresa que ofereça bens ou serviços a pessoas na UE, onde quer que esteja sediada e quer você pague, quer não (artigo 3(2)). Dados de saúde são uma categoria especial (artigo 9).
- Uma cópia dos seus dados (artigo 15). Você pode obter a confirmação de que a empresa trata seus dados, uma cópia deles e informações: as finalidades, os destinatários, por quanto tempo serão guardados e de onde vieram, se não vieram de você. Se você pedir por meio eletrônico, a cópia vem “em formato eletrônico de uso comum”, a menos que você peça outro formato. Você pode pedir os nomes dos destinatários, e não só a categoria deles, a não ser que não seja possível identificá-los (Tribunal de Justiça, C-154/21).
- Sem custo e sem precisar de motivo. A primeira cópia é gratuita, e a empresa não pode perguntar por que você a quer (Tribunal de Justiça, C-307/22). Ela só pode recusar ou cobrar nos pedidos “manifestamente infundados ou excessivos”, o que cabe a ela demonstrar (artigo 12(5)). Segundo o Tribunal, até um primeiro pedido pode ser excessivo, mas só excepcionalmente: a empresa precisa provar que ele foi feito com intenção abusiva, como a de fabricar um pedido de indenização (C-526/24). Se tiver dúvidas razoáveis, ela pode pedir que você confirme quem é (artigo 12(6)).
- Um mês. A empresa deve responder “sem demora injustificada e, em qualquer caso, no prazo de um mês a contar do recebimento do pedido”. Pode prorrogar por mais dois meses “quando necessário, levando em conta a complexidade e o número de pedidos”, mas deve avisar você dentro do primeiro mês e dizer o motivo (artigo 12(3)).
- A portabilidade (artigo 20). Para os dados que você forneceu, é possível obtê-los “em um formato estruturado, de uso comum e legível por máquina” e pedir que sejam enviados a outro serviço. Vale quando o tratamento se baseia no seu consentimento ou em um contrato e é automatizado.
- Uma reclamação (artigo 77) à autoridade de controle do lugar onde você mora, trabalha ou onde ocorreu o problema. O Comitê Europeu de Proteção de Dados lista a autoridade de cada país (EDPB).
Reino Unido
O UK GDPR mantém os mesmos direitos, e uma organização “deve responder sem demora injustificada e dentro de um mês” (ICO). A lei Data (Use and Access) Act 2025 mudou três coisas:
- Você tem direito ao que a empresa encontrar por meio de “uma busca razoável e proporcional”, regra tratada como em vigor desde 1º de janeiro de 2024 (seção 78).
- Desde 5 de fevereiro de 2026, se a empresa precisar razoavelmente de mais informações para identificar o que seu pedido abrange e pedir isso a você, o prazo de um mês fica suspenso até você responder (seção 76, em vigor a partir dessa data pelas Commencement Regulations 2026). A orientação do ICO acrescenta: “Você não pode obrigar alguém a restringir o alcance do pedido”.
- Desde 19 de junho de 2026, você tem o direito de reclamar à própria empresa, que deve confirmar o recebimento da reclamação em até 30 dias (seção 103). Você ainda pode reclamar ao ICO, que recomenda, na maioria dos casos, tratar o assunto primeiro com a empresa.
Califórnia
A lei California Consumer Privacy Act vale para empresas com fins lucrativos que fazem negócios na Califórnia e atendem a um de três critérios: receita anual acima de 25 milhões de dólares (corrigida pela inflação), comprar, vender ou compartilhar informações pessoais de 100.000 ou mais consumidores ou domicílios, ou obter metade ou mais da receita com a venda ou o compartilhamento dessas informações (Civil Code, seção 1798.140).
- Você pode pedir “as informações pessoais específicas” que a empresa coletou sobre você (seção 1798.110), e as inferências feitas sobre você também são informações pessoais (seção 1798.140(v)).
- A empresa tem 45 dias, prorrogáveis uma vez por mais 45 quando razoavelmente necessário, se avisar você dentro dos primeiros 45. A resposta é gratuita e em formato legível por máquina “na medida em que for tecnicamente viável” (seção 1798.130).
- Por padrão, o pedido abrange os últimos 12 meses. Você pode pedir dados desde 1º de janeiro de 2022; a empresa que disser que isso é impossível ou desproporcional deve explicar o motivo em detalhe (CCPA Regulations, seção 7024(h)).
- A empresa não precisa responder mais de duas vezes em 12 meses (seção 1798.130(b)).
As reclamações vão para a Agência de Proteção de Privacidade da Califórnia ou para a Procuradoria-Geral do estado. Outros estados americanos têm leis próprias: a Garmin, por exemplo, diz que residentes de “qualquer estado dos EUA com uma lei abrangente de privacidade” podem pedir acesso, correção, exclusão ou uma cópia portável (Garmin).
Brasil, Japão, Coreia do Sul e Rússia
| Lugar e lei | O que você pode pedir | Prazo | Se não responderem |
|---|---|---|---|
| Brasil, LGPD | Acesso, gratuito (art. 18). Uma cópia eletrônica integral, para tratamento baseado em consentimento ou em contrato, nos termos definidos pela ANPD (art. 19, §3º) | Uma resposta simplificada de imediato; uma declaração clara e completa em até 15 dias do pedido (art. 19) | Uma petição à ANPD, a Autoridade Nacional de Proteção de Dados |
| Japão, APPI | Que a empresa informe seus dados a você, inclusive em formato eletrônico (art. 33). É permitida uma taxa razoável (art. 38) | “Sem demora”; sem número de dias | A linha de consultas da Comissão de Proteção de Informações Pessoais |
| Coreia do Sul, PIPA | Ver os seus dados (art. 35). O direito à transmissão dos dados (art. 35-2) vale por ora apenas para controladores designados, como alguns órgãos de saúde, operadoras de telefonia móvel e fornecedoras de energia, e não para dados que a empresa gerou a partir de outros | 10 dias (Decreto de Execução, art. 41); a empresa pode adiar por motivo justificado, com aviso (art. 35) | Uma denúncia à Comissão de Proteção de Informações Pessoais (art. 62) |
| Rússia, 152-FZ | Informações sobre o tratamento, inclusive os próprios dados (art. 14). Não encontramos direito a uma cópia eletrônica nem à portabilidade | 10 dias úteis, mais até 5 com aviso fundamentado (art. 20) | O órgão autorizado de proteção de dados ou a Justiça (art. 17) |
O texto russo é uma cópia consolidada publicada pela ConsultantPlus, porque não foi possível acessar o portal oficial. Na Coreia, a partir de 20 de fevereiro de 2027, o direito de ter os dados enviados a você passa a valer também para grandes empresas, definidas pela receita e pelo número de usuários (Decreto de Execução, art. 42-2).
No gráfico abaixo, um mês é desenhado com 30 dias, e os dias úteis da Rússia são contados como cinco por semana, sem os feriados, de modo que 10 dias úteis aparecem como 14 dias corridos e 15 como 21.
Um gráfico de barras com os prazos de resposta em dias corridos, uma barra por lugar, de 0 a 90 dias. UE e EEE (GDPR): 1 mês, até 3 quando necessário por pedidos complexos ou numerosos. Reino Unido (UK GDPR): 1 mês, até 3 quando necessário por pedidos complexos ou numerosos. Califórnia (CCPA): 45 dias, até 90 quando razoavelmente necessário, com aviso. Brasil (LGPD): 15 dias para a declaração completa. Coreia do Sul (PIPA): 10 dias; pode ser adiado com o motivo informado. Rússia (152-FZ): 10 dias úteis, até 15 com aviso fundamentado. Japão (APPI): “Sem demora”: sem número de dias.
Uma cópia significa todos os seus dados, não o resumo do app
Se um app mostra sua frequência cardíaca minuto a minuto, com anos de histórico, e o app a obtém dos servidores da empresa, a empresa tem esses dados e os trata. Na nossa leitura, pelo GDPR a cópia que você pede deveria então trazê-los nesse nível de detalhe, e não em médias diárias. Três fontes sustentam essa leitura:
- O Tribunal de Justiça. Uma cópia é “a reprodução ou transcrição fiel de um original”, de modo que “uma descrição puramente geral dos dados” não basta. “A cópia deve, portanto, conter todos os dados pessoais objeto de tratamento” (C-487/21, parágrafos 21 e 32) e deve “reproduzir esses dados de forma completa e fiel” (parágrafo 39). Os dados pessoais incluem “todas as informações resultantes do tratamento” (parágrafo 26); pela mesma lógica, isso abrange as pontuações calculadas a partir das suas medições.
- Dados de saúde em forma de resumo. Em um caso sobre prontuários médicos, o Tribunal disse que dar “um simples resumo ou uma compilação desses dados … de forma agregada” poderia criar o risco de “alguns dados relevantes serem omitidos ou reproduzidos de forma incorreta” (C-307/22, parágrafo 78).
- O Comitê Europeu de Proteção de Dados. O acesso “não pode ser entendido como a concessão de apenas um resumo dos dados” (Guidelines 01/2022, parágrafo 23). Inclui dados brutos de dispositivos conectados e “resultados de uma avaliação de saúde” (parágrafo 97). E “o uso de ferramentas de autoatendimento nunca deve limitar o alcance dos dados pessoais recebidos” (parágrafo 138): um botão de exportação não substitui uma cópia completa.
A documentação para desenvolvedores da própria Oura mostra por que isso importa. Ela diz que a frequência cardíaca média RR médio O tempo médio entre os batimentos em um registro, em milissegundos. A frequência cardíaca é o mesmo valor invertido: 60.000 dividido pelo RR médio. Mais sobre RR médio da noite é “baseada em amostras de 30 segundos”, enquanto “o app mostra a média de amostras de frequência cardíaca agregadas a cada 5 minutos” (Oura API). A empresa trabalha com dados mais detalhados do que os que o app mostra e, nessa leitura, uma cópia completa deveria incluir o que ela ainda tiver deles. A Oura não diz por quanto tempo guarda os dados de 30 segundos.
Três lugares, de cima para baixo: no dispositivo vestível, no seu celular e nos servidores da empresa. Os servidores têm três camadas, cada uma desenhada com menos marcas que a anterior. Para cada camada, três vias são indicadas: o botão de exportação, uma cópia com base no artigo 15 e a portabilidade com base no artigo 20. No dispositivo vestível, Leituras à espera de sincronização: Um anel ou pulseira guarda os dados até o celular coletá-los: até 10 dias em um RingConn Gen 3. Nenhuma empresa os tem ainda. Botão de exportação: Não alcança. Cópia: Não alcança. Portabilidade: Não alcança. No seu celular, Dados guardados só no celular: O app Saúde da Apple guarda os dados no iPhone, e com criptografia de ponta a ponta no iCloud. Exporte-os pelo celular: uma empresa só pode copiar o que tem. Botão de exportação: Alcança. Cópia: Depende. Portabilidade: Depende. Nos servidores da empresa, Amostras detalhadas: Aquilo com que a empresa trabalha. A API da Oura descreve a frequência cardíaca durante o sono “com base em amostras de 30 segundos”. Botão de exportação: Depende. Cópia: Alcança. Portabilidade: Alcança. Nos servidores da empresa, O que o app mostra: Valores calculados a partir das amostras. A Oura diz que o app mostra a frequência cardíaca “agregada em 5 minutos”. Botão de exportação: Depende. Cópia: Alcança. Portabilidade: Depende. Nos servidores da empresa, Pontuações: Um número por dia, calculado pela empresa: “Readiness”, “Recovery”, uma pontuação de sono. Botão de exportação: Depende. Cópia: Alcança. Portabilidade: Não alcança.
Até onde vai o argumento
- Ainda não há caso sobre dispositivos vestíveis. O C-487/21 tratou de uma agência de informações de crédito e o C-307/22, de um dentista. Aplicá-los a um anel ou a um relógio é um argumento por analogia, não uma decisão, e uma empresa ou uma autoridade podem entender de outro modo.
- Só os dados que a empresa ainda tem. Uma empresa não precisa fornecer dados que não tem mais, por exemplo depois do prazo de retenção. Ela não pode apagar dados para evitar um pedido (EDPB, parágrafos 37 e 39).
- Só os dados que a empresa trata. Se o detalhe fica apenas no seu celular, como no app Saúde da Apple, não há nada do lado da empresa para copiar. Nesse caso, exporte os dados pelo celular.
- Pedidos grandes. Quando a empresa tem uma grande quantidade de dados sobre você, pode pedir que você especifique as informações ou o tratamento a que o pedido se refere antes de entregar os dados (GDPR, considerando 63). O EDPB cita as empresas que “coletam dados sobre atividades frequentes do titular ao longo de um período prolongado” (parágrafo 35). Nomear os dados e as datas no pedido evita essa troca extra de mensagens.
- Formato. O artigo 15 pede um formato eletrônico de uso comum; o EDPB aceita que até um PDF sirva para o acesso (parágrafo 156). O direito a um arquivo legível por máquina vem do artigo 20 e abrange os dados que você forneceu, como “os batimentos cardíacos registrados por um dispositivo vestível”, mas não as pontuações que a empresa infere. Para esses dados, quando não há formato de uso comum no setor, o Grupo de Trabalho do Artigo 29 pediu formatos abertos, como XML, JSON e CSV, “no melhor nível possível de granularidade” (WP242).
- Segredos comerciais. Uma empresa pode proteger o algoritmo dela, mas “o resultado dessas considerações não deve ser a recusa de fornecer todas as informações” (GDPR, considerando 63).
- Fora da UE. O Reino Unido limita a busca ao que é razoável e proporcional. A lei da Califórnia abrange, por padrão, “informações pessoais específicas” dos últimos 12 meses, e a empresa não precisa responder mais de duas vezes em 12 meses.
Como pedir uma cópia
Escreva para o endereço da política de privacidade da empresa (a figura acima lista os de dez serviços) ou use o formulário de privacidade dela, e guarde uma cópia datada do que enviar. O gerador de carta de solicitação de dados deste site monta uma carta com esses pontos.
Depois:
- Anote o prazo. Um mês na UE e no Reino Unido; 45 dias na Califórnia. Conte a partir do dia em que a empresa recebe o pedido ou, no Reino Unido, do dia em que ela tem o que precisa para confirmar sua identidade.
- Responda logo às verificações de identidade. A empresa pode pedir que você confirme quem é, e a contagem do prazo pode ficar suspensa até lá.
- Confira o que chegar com a sua lista. Se faltarem tipos de dados ou datas, escreva de volta e nomeie o que falta.
- Se não houver resposta depois do prazo, envie um lembrete que cite o primeiro pedido e a data dele. Depois, na UE, reclame à sua autoridade de proteção de dados; no Reino Unido, à empresa e depois ao ICO, como o ICO recomenda; na Califórnia, à Agência de Proteção de Privacidade da Califórnia ou à Procuradoria-Geral do estado.
O que você recebe e como abrir
A maioria das empresas envia um arquivo ZIP, por link no e-mail ou no portal de privacidade da empresa. Baixe antes que o link expire: os links de exportação do WHOOP expiram após 7 dias (WHOOP Support).
- CSV: uma tabela que abre em qualquer planilha. Confira as unidades: a Oura dá as durações em segundos.
- JSON: texto estruturado, que se lê em um editor de texto ou no navegador.
- FIT: o formato binário da Garmin para atividades e arquivos diários de bem-estar. As ferramentas do FIT SDK da Garmin incluem o FitCSVTool, “uma ferramenta de linha de comando usada para converter arquivos FIT binários em arquivos de texto legíveis” (Garmin Developers). As ferramentas são distribuídas sob a licença FIT Protocol License da Garmin.
- XML: a exportação do app Saúde da Apple. O arquivo principal,
export.xml, pode ser muito grande.
Como exportar os dados de VFC explica o que a exportação de cada plataforma traz, e o Conversor de RR transforma um arquivo com intervalos batimento a batimento em uma lista simples, no navegador, sem enviá-lo a nenhum servidor.
Como guardar um arquivo compactado para que continue utilizável
- Mantenha o original intacto. Salve o arquivo compactado exatamente como chegou, com nome que traga a data e o serviço, como
2026-10-22_whoop_export.zip, e trabalhe apenas com cópias. - Registre uma soma de verificação ao lado dele, por exemplo com
shasum -a 256 2026-10-22_whoop_export.zip > 2026-10-22_whoop_export.zip.sha256, e confira de vez em quando. A soma de verificação mostra se um arquivo mudou (NDSA, orientação sobre integridade). - Mantenha uma cópia de trabalho em formatos abertos. Descompacte, converta os arquivos FIT em CSV e guarde CSV, JSON e XML como foram entregues.
- Use uma pasta datada para cada exportação:
| Pasta ou arquivo | O que vai nele |
|---|---|
health-data/whoop/2026-10-22/ | Uma exportação, por serviço e data |
original/ | O arquivo compactado como foi entregue e o arquivo .sha256 dele |
extracted/ | Os arquivos descompactados e convertidos |
README.txt | O que são os arquivos |
- Escreva um README em cada pasta: o dispositivo e a versão do app, as unidades, a que medida de VFC correspondem os números (a do WHOOP é o RMSSD RMSSD Raiz quadrada da média dos quadrados das diferenças sucessivas: medida de VFC calculada a partir de quanto cada intervalo entre batimentos difere do seguinte, em milissegundos. Reflete principalmente a atividade vagal. Mais sobre RMSSD , a da Apple é o SDNN SDNN O desvio padrão de todos os intervalos NN de um registro, em milissegundos. Mede a variabilidade global, e o valor depende muito da duração do registro. Mais sobre SDNN ) e o fuso horário (WHOOP Support, Apple Health). Sem essa nota, não dá para comparar valores de serviços diferentes.
- Mantenha três cópias: “Mantenha 3 cópias de qualquer arquivo importante: 1 principal e 2 de segurança”, em dois tipos de armazenamento, com uma cópia fora de casa (US-CERT, Data Backup Options).
- Criptografe as cópias de segurança. Esses arquivos são dados de saúde.
- Exporte em intervalos regulares, a cada poucos meses, e não só quando for deixar o serviço. Prazos de exclusão, encerramentos de serviço e links que expiram deixam você apenas com as cópias que já fez.
Este texto traz informações gerais sobre a lei de proteção de dados, não aconselhamento jurídico.