Para onde vão seus dados quando você instala um app — o mapa

A pergunta "esse app coleta meus dados?" está errada. Quase todo app coleta. A pergunta certa é: quanto, com quem ele divide e quem compra esse fluxo depois. Quando você segue o cano até o fim, a resposta é bem menos abstrata do que a indústria gostaria.

Tem um caminho razoavelmente fixo que seus dados percorrem. Não é mágica nem teoria da conspiração, é arquitetura. Vamos seguir o cano da ponta dentro do seu telefone até a outra ponta, onde um governo ou um corretor compra o resultado.

Saída 1: os SDKs que vêm escondidos dentro do app

Quase nenhum app é construído do zero. O desenvolvedor cola dentro dele uma porção de SDKs, kits de software prontos, de terceiros, que resolvem analytics, anúncios, login social e relatório de crash. O problema é que cada SDK desses costuma ser uma porta de saída de dados, e quem manda no que sai não é o app: é a empresa dona do SDK.

Um estudo da Universidade de Oxford que analisou cerca de 959 mil apps do Google Play mostrou o tamanho da coisa. A maioria dos apps contém rastreamento de terceiros, com distribuição de cauda longa: poucos trackers dominantes (Alphabet/Google e Facebook na frente) aparecem na maior parte deles.¹ Apps de notícias e apps voltados a crianças estavam entre os piores em número de trackers.¹

E não adianta apostar que o iPhone te salva. Um estudo comparativo de iOS e Android, com cerca de 24 mil apps, concluiu que o rastreamento de terceiros e o compartilhamento de identificadores únicos é generalizado nos dois ecossistemas: "nenhuma das plataformas é claramente melhor que a outra em privacidade" nas dimensões estudadas.² O iPhone tem outras virtudes. Ser imune a tracker não é uma delas.

Saída 2: a etiqueta que não bate com o conteúdo

Desde 2024, tanto a Apple quanto o Google passaram a exigir que apps e SDKs declarem o que coletam. Os Privacy Manifests da Apple (o "manifesto" em que o app declara tipo de dado, uso, vínculo com o usuário e se há tracking) viraram obrigatórios para apps e SDKs de terceiros novos ou atualizados, com fiscalização plena a partir de 1º de maio de 2024.³ É um avanço real. Mas a etiqueta nem sempre bate com o que está dentro da lata.

Pesquisadores da Oxford analisaram o que aconteceu depois do iOS 14, quando a Apple permitiu bloquear o IDFA, o identificador de publicidade do aparelho. O resultado foi contraintuitivo: bloquear o IDFA não reduziu o número de bibliotecas de tracking dentro dos apps. "O número de bibliotecas de rastreamento permaneceu praticamente o mesmo", e as próprias etiquetas de privacidade eram "às vezes imprecisas e enganosas".⁴ Rastrear um indivíduo isolado ficou mais difícil; o tracking não sumiu, migrou.

A NowSecure, fornecedora de segurança mobile (parte interessada, então leia como auditoria de vendor, não como verdade independente), testou 23.300 pacotes de apps iOS em agosto de 2025 e diz que 35% não declaravam os dados que coletavam e 97% não traziam os manifestos obrigatórios para SDKs de terceiros.⁵ Os números exatos são da NowSecure; a direção bate com a pesquisa acadêmica.

Saída 3: os corretores de localização que compram o fluxo

Aqui o cano sai do app e vira mercado. Os data brokers, corretores de dados, compram esse fluxo de localização vindo de SDKs embutidos em milhares de apps, juntam tudo e revendem. Inclusive para governo. E em 2024 a FTC americana foi atrás deles em série.

A FTC ordenou que a X-Mode Social / Outlogic parasse de vender dados de localização sensível, a primeira ação do tipo contra um corretor de localização.⁶ A ordem proíbe expressamente o uso de localização de clínicas médicas, locais de culto, sindicatos, escolas e abrigos de violência doméstica.⁶ Pouco depois, a InMarket Media foi proibida de vender localização precisa por não ter obtido consentimento informado dos usuários.⁷ Em dezembro de 2024 vieram duas ações grandes: contra a Gravy Analytics, que vendia localização "precisa a cerca de 1 metro" e usava geofencing para montar listas de quem frequentou eventos ligados a condições médicas e locais de culto; e contra a Mobilewalla, que trouxe a primeira proibição da FTC sobre coletar dados a partir de exchanges de leilão de anúncios.⁸

Saída 4: o leilão invisível que roda enquanto a tela carrega

A última saída é a mais difícil de enxergar, porque ela acontece dentro do anúncio. Chama-se Real-Time Bidding (RTB): o leilão automático que decide, em milissegundos, qual anúncio aparece pra você. Para o leilão rolar, um "broadcast" com o que você está vendo e onde você está é transmitido a um monte de empresas ao mesmo tempo. Todas recebem o dado, só uma ganha o leilão.

A escala, segundo a ICCL (organização de direitos civis irlandesa, então é estimativa metodológica deles, não número de regulador): esse broadcast acontece 178 trilhões de vezes por ano nos EUA e na Europa.⁹ Johnny Ryan, ex-executivo de adtech e hoje pesquisador da ICCL, chama o RTB de "o maior vazamento de dados de todos os tempos".⁹ A frase é forte de propósito, mas descreve bem o mecanismo: o dado não é roubado, é transmitido por design.

Quando o mapa virou notícia de capa

Em janeiro de 2025, semanas depois de a FTC barrar a Gravy de coletar localização sem consentimento, a empresa sofreu um vazamento. O TechCrunch noticiou ao menos 30 milhões de pontos de localização no vazamento inicial, com o hacker alegando vários terabytes.¹⁰ Entre os apps citados como origem do dado estavam FlightRadar, Grindr, Tinder, Candy Crush e MyFitnessPal.¹⁰ Dava pra localizar pessoas na Casa Branca, no Vaticano e em bases militares, e identificar militares e usuários LGBTQ+ em países que criminalizam homossexualidade.¹⁰ É o mapa inteiro deste artigo condensado num só incidente.

E no Brasil?

A ANPD, autoridade nacional de proteção de dados, não está parada. No fim de 2024 ela iniciou fiscalização em massa contra empresas de grande porte e abriu processo sancionador contra a Claro por compartilhar dados de clientes de forma irregular com a Serasa.¹¹ A LGPD existe e a fiscalização começou a andar, mas o cano que este artigo descreve é global. O SDK que vaza sua localização não checa seu CEP antes de transmitir.

O que a comunidade diz

Nas comunidades de privacidade (r/privacy, r/degoogle, fóruns do GrapheneOS), o clima é de resignação informada, não de pânico. A turma já parte do princípio de que "todo app vaza", e a surpresa nunca é se, é quanto e pra quem. Quando estoura um caso como o da Gravy, o tom vira um misto de "eu avisei" com raiva de o problema ser estrutural, não de um app vilão isolado.

O eixo honesto do debate é defesa em camadas vs. fadiga de consentimento. De um lado (forte no r/degoogle e r/GrapheneOS): de-googlar o Android, usar firewall de DNS e auditar apps com ferramentas como o Exodus Privacy reduz tracking pra valer; "imperfeito não é o mesmo que inútil". O take mais maduro, vindo do fórum do GrapheneOS, é que trocar de sistema operacional não apaga os trackers de dentro do app. Se você instala o app do banco ou do iFood, os SDKs vêm junto. O que o sistema endurecido faz é limitar permissão e cortar a comunicação em rede, não esterilizar o app. Bate com os estudos.¹ ²

Do outro lado (presente no r/privacy e r/technology): a sensação de que opt-out e etiqueta de privacidade são "teatro de consentimento", já que você bloqueia o IDFA e o tracking migra pro fingerprinting. E tem o tradeoff prático pra quem é brasileiro: o GrapheneOS quebra app de banco e Pix, então pra muita gente o custo é alto demais. O consenso útil, do r/degoogle: auditar antes de instalar (ver permissões, rodar no Exodus) rende mais do que tentar limpar a bagunça depois.

Veredito

Não dá pra fechar todas as quatro saídas, e quem promete isso está vendendo alguma coisa. Mas o mapa muda a forma como você decide. Sabendo que o dado sai pelos SDKs, é negociado num leilão e termina num corretor, a jogada de maior retorno é a mais chata: escolher o app com menos trackers antes de instalar, cortar permissão de localização de quem não precisa dela, e tratar etiqueta de privacidade como marketing até prova em contrário. Privacidade total é impossível. Minimizar a coleta é atingível, e, depois de ver o mapa, difícil de ignorar.

---

Fontes

1. Third Party Tracking in the Mobile Ecosystem · Binns, Lyngs, Van Kleek, Zhao, Libert, Shadbolt (University of Oxford) · WebSci '18 · DOI: 10.1145/3201064.3201089 · 2018 · https://dl.acm.org/doi/10.1145/3201064.3201089
2. Are iPhones Really Better for Privacy? A Comparative Study of iOS and Android Apps · Kollnig, Shuba, Binns, Van Kleek, Shadbolt · PoPETs 2022 · DOI: 10.2478/popets-2022-0033 · 2022 · https://petsymposium.org/popets/2022/popets-2022-0033.pdf
3. App Privacy Details · Apple Developer · https://developer.apple.com/app-store/app-privacy-details/ · e Two New Apple and Google Platform Privacy Requirements Kicking In Now · Future of Privacy Forum · https://fpf.org/blog/two-new-apple-and-google-platform-privacy-requirements-kicking-in-now/ · 2024
4. Goodbye Tracking? Impact of iOS App Tracking Transparency and Privacy Labels · Kollnig, Shuba, Van Kleek, Binns, Shadbolt · ACM FAccT 2022 · DOI: 10.1145/3531146.3533116 · 2022 · https://arxiv.org/abs/2204.03556
5. New NowSecure Research Targets Mobile App Privacy Risks · NowSecure · https://www.nowsecure.com/blog/2025/09/29/new-nowsecure-research-targets-mobile-app-privacy-risks-what-you-dont-see-is-hurting-you/ · 29/set/2025
6. FTC Order Prohibits Data Broker X-Mode Social and Outlogic from Selling Sensitive Location Data · Federal Trade Commission · https://www.ftc.gov/news-events/news/press-releases/2024/01/ftc-order-prohibits-data-broker-x-mode-social-outlogic-selling-sensitive-location-data · 23/jan/2024 (finalizada abr/2024)
7. FTC Finalizes Order with InMarket Prohibiting It from Selling or Sharing Precise Location Data · Federal Trade Commission · https://www.ftc.gov/news-events/news/press-releases/2024/05/ftc-finalizes-order-inmarket-prohibiting-it-selling-or-sharing-precise-location-data · 01/mai/2024
8. Federal Regulators Limit Location Brokers from Selling Your Whereabouts: 2024 in Review · Electronic Frontier Foundation · https://www.eff.org/deeplinks/2024/12/federal-regulators-limit-location-brokers-selling-your-whereabouts-2024-review · dez/2024
9. ICCL report on the scale of Real-Time Bidding data broadcasts in the U.S. and Europe · Irish Council for Civil Liberties · https://www.iccl.ie/news/iccl-report-on-the-scale-of-real-time-bidding-data-broadcasts-in-the-u-s-and-europe/ · 16/mai/2022
10. Gravy Analytics data broker breach is a trove of location data that threatens the privacy of millions · TechCrunch · https://techcrunch.com/2025/01/13/gravy-analytics-data-broker-breach-trove-of-location-data-threatens-privacy-millions/ · 13/jan/2025
11. ANPD inicia processo para sancionar Claro por irregularidades no compartilhamento de dados pessoais de clientes com a Serasa · ANPD (gov.br) · https://www.gov.br/anpd/pt-br/assuntos/noticias/anpd-inicia-processo-para-sancionar-claro-por-irregularidades-no-compartilhamento-de-dados-pessoais-de-clientes-com-a-serasa · 2024–2025

Comunidade (opinião, não fonte factual): r/privacy, r/degoogle, fórum e r/GrapheneOS. Leitura agregada de sentimento — sem scraping de threads individuais nem exposição de usernames.

Redação · Acta Verum