"Permitir acesso às fotos": o que o app de IA alcança antes de você enviar qualquer coisa

Os três estados de acesso à galeria, e em qual deles você está agora

O pedido chega sempre no mesmo ponto do fluxo. Você instala o aplicativo de foto com IA, toca em enviar as suas fotos e, antes de escolher qualquer arquivo, a tela do sistema pergunta se aquele app pode acessar as suas fotos. Você ainda não selecionou nada. Não existe upload, não existe prompt, não existe resultado. O que essa tela decide não é qual foto você vai mandar: é quanto da sua biblioteca o aplicativo passa a enxergar dali em diante.

E a resposta não é sim ou não. São três estados possíveis, e a maior parte das pessoas conhece dois.

• Seletor do sistema. O app não pede permissão nenhuma. Ele chama uma tela do próprio Android ou do próprio iPhone, você toca nas imagens e o aplicativo recebe só aquilo. No Android, essa tela se chama Seletor de Fotos; no iPhone, ela roda fora do processo do app.
• Acesso parcial. Aqui existe permissão concedida, mas amarrada a uma lista de itens que você escolheu. No Android 14 em diante, ela tem nome próprio, READ_MEDIA_VISUAL_USER_SELECTED; no iPhone, o sistema chama isso de biblioteca limitada, e ela existe desde o iOS 14.
• Acesso total. É a permissão ampla, READ_MEDIA_IMAGES para imagem e READ_MEDIA_VIDEO para vídeo. O app passa a enxergar a biblioteca inteira, sem lista e sem seleção item a item.

Dá para descobrir em qual deles você está sem abrir configuração nenhuma, só lembrando do que apareceu na tela. Se você conseguiu escolher fotos e nunca viu um pedido de permissão, o app usou o seletor do sistema. Se apareceu um pedido e você tocou na opção de selecionar fotos, é acesso parcial. Se apareceu um pedido e você tocou na opção de permitir todas, é acesso total. Na dúvida, o caminho de tela para conferir está mais abaixo.

Uma ressalva antes da tabela, porque ela evita erro. Android e iPhone não usam os mesmos rótulos, e os rótulos mudam de versão para versão. O que aparece entre aspas aqui foi lido em página oficial na data indicada; o resto está descrito por função, e não por nome de botão. Os nomes da tela de Ajustes do iPhone em português não estão publicados em nenhuma página de suporte da Apple que eu tenha localizado, então eles não entram como citação.

O que "todas as fotos" inclui: também o que você ainda não fotografou

A conversa pública sobre isso trata permissão de galeria como um retrato: o app vai ver o que está lá dentro hoje. Não é o que a documentação descreve.

A Ajuda do Google Maps para iPhone, que descreve o diálogo do iOS no contexto do próprio aplicativo, publica os três níveis em português e define o mais amplo com uma frase que muda o entendimento da tela (consultada em 20/08/2026): "Permitir acesso a todas as fotos: compartilha todas as suas fotos com o Google Maps. Isso também inclui as fotos tiradas depois que essa opção é selecionada". O nível vizinho é descrito ao contrário: quando você define "Selecionar fotos", a mesma página diz que você "só vê as fotos que escolheu no app", e que as que "tirar no futuro não serão compartilhadas, a menos que você altere suas permissões".

A diferença entre os dois, portanto, não é de quantidade. É de tempo verbal. Acesso parcial é uma lista fechada de arquivos que já existem. Acesso total é uma regra permanente, que vale para o que a sua câmera ainda vai gravar: a foto do documento que você vai registrar na semana que vem, a captura de tela da conversa de trabalho, a foto do quadro branco no fim da reunião. Nada disso existia no segundo em que você tocou em permitir.

E cada um desses arquivos carrega mais informação do que a imagem que aparece na tela, o que está inventariado em um levantamento do que um arquivo de imagem declara sem que ninguém pergunte.

O Android publica até o teto dessa contabilidade. Na documentação do seletor de fotos, o Google escreve que "an app can only have up to 5,000 media grants at any one time", ou seja, um aplicativo pode manter no máximo 5.000 concessões de mídia ao mesmo tempo, e cada nova seleção acima disso remove a primeira concessão da lista. É um número que só faz sentido no estado de seleção: acesso amplo não precisa contar arquivo, porque não mantém lista nenhuma.

A duração inverte o que a intuição espera. O acesso mais frágil dos três é justamente o do seletor: a mesma documentação diz que "by default, the system grants your app access to media files until the device is restarted or until your app stops", isto é, por padrão o sistema concede acesso até o aparelho reiniciar ou o app parar. O acesso amplo é o que menos depende de você para continuar valendo, com uma exceção que vale ligar: no Android existe um controle para remover automaticamente as permissões de apps não usados, e ele está no passo bônus do checklist mais abaixo.

As duas lojas já escreveram a regra: o app só pode pedir o que a função exige

Aqui está a parte que quase nenhum texto em português sobre esse assunto menciona: não é uma discussão de opinião. As duas lojas que distribuem esses aplicativos publicaram regra escrita sobre quando o pedido de acesso amplo é permitido, e as duas dizem a mesma coisa por caminhos diferentes.

A página do Google Play chama-se hoje "Sobre as permissões restritas com alternativas de escopo mínimo" e publica o limite em português, com o nome das permissões dentro da frase (consultada em 20/08/2026): "Os apps destinados ao Android 13 ou versões mais recentes (nível 33 da API ou posterior) só podem solicitar as permissões READ_MEDIA_IMAGES e READ_MEDIA_VIDEO se os seletores de sistema (como o Seletor de Fotos do Android) não forem suficientes para fornecer a funcionalidade principal do app". A versão em inglês da mesma página traz a frase equivalente, o que importa porque o rodapé da versão em português avisa que o conteúdo pode ter sido traduzido com tecnologia de IA.

A política também diz quem, na visão da loja, precisa de acesso amplo: "os apps que têm a funcionalidade principal de gerenciamento e manutenção de todos os vídeos/fotos dos usuários (como os apps de galeria) precisam de acesso amplo no dispositivo do usuário". Um gerador de foto de perfil não é um app de galeria, e essa distinção é a base de tudo o que vem depois.

O literal mais útil do documento inteiro é o que fecha a saída fácil. Escreve o Google: "os apps com seletores personalizados não se qualificam automaticamente para usar a permissão. Eles ainda precisam enviar uma declaração no Play Console demonstrando por que o Seletor de Fotos do Android (ou outras alternativas) não é suficiente". Ter uma tela caprichada de "escolha as suas fotos" dentro do aplicativo, portanto, não substitui a justificativa: é justamente esse desenho que a política manda explicar.

Três outras linhas da mesma página valem o registro. A primeira é a data, e ela já passou: "28 de maio de 2025: a conformidade total com a política é obrigatória para todos os desenvolvedores", e depois dela os aplicativos fora da regra ficam "sujeitos à remoção do Google Play". A segunda é o motivo declarado, escrito pelo próprio Google: "o acesso amplo a arquivos de mídia em armazenamento compartilhado é um vetor de abuso e pode prejudicar usuários e desenvolvedores". A terceira é o que a política cobra de quem recebe um não: é preciso "providenciar um método mais transacional (por exemplo, com um seletor do sistema)" para atender quem não concede acesso amplo.

Do outro lado, a Apple escreve o mesmo princípio em outro vocabulário. As diretrizes de revisão da App Store, no item 5.1.1(iii), chamado Data Minimization, com a página marcada "Last Updated: June 8, 2026", dizem: "apps should only request access to data relevant to the core functionality of the app… Where possible, use the out-of-process picker or a share sheet rather than requesting full access to protected resources like Photos or Contacts". Em português: peça acesso só ao dado relevante para a função principal e, sempre que possível, use o seletor fora do processo em vez de pedir acesso total a recursos protegidos como Fotos ou Contatos. O documento existe apenas em inglês.

O item seguinte, 5.1.1(iv), trata da insistência: "apps must respect the user's permission settings and not attempt to manipulate, trick, or force people to consent to unnecessary data access". Em português: respeitar a configuração de permissão e não tentar manipular, enganar ou forçar ninguém a consentir com acesso desnecessário.

A consequência prática cabe em uma frase, e ela descreve regra, não intenção de empresa: se o seletor do sistema é suficiente para a função que o app entrega, pedir acesso total exige uma declaração justificando por que o seletor não basta. Isso não transforma nenhum aplicativo em suspeito, e este artigo não afirma que qualquer app nomeado descumpra política alguma. O que dá para fazer, do lado de cá, é usar a régua na ordem certa: primeiro o que a função precisa alcançar, depois o que o pedido alcança.

Três selfies são três arquivos: o caso do gerador de foto

Vale aterrissar isso no fluxo que traz você a este blog. Numa geração condicionada por foto, o anexo é curto: de um a cinco arquivos, e a combinação que este blog recomenda são três, duas frontais e uma de três quartos. Ferramentas que ajustam um modelo só seu pedem mais, na faixa de dez a vinte selfies, e mesmo essa faixa continua sendo uma lista de arquivos contados, não a sua biblioteca. Três selfies são três arquivos. Não são "as suas fotos": são três itens que você aponta com o dedo.

Qualquer um desses números cabe inteiro no estado mais restrito dos três, com folga. A Ajuda do Android publica, em português, a descrição do seletor: "com o seletor de fotos, é possível escolher com quais apps as fotos e os vídeos são compartilhados", com dois avisos que resolvem a questão. Um: "você pode selecionar até 100 fotos ou vídeos com base na configuração do app", teto que deixa vinte selfies bem longe do limite. Outro, ainda mais direto: "o app só pode acessar a mídia selecionada".

A documentação para quem constrói o aplicativo é mais explícita sobre o custo dessa escolha. O Google recomenda o seletor porque ele funciona "without having to request any storage permissions", sem precisar pedir permissão de armazenamento nenhuma, e escreve, do outro lado do balcão, que "creating your own gallery picker requires extensive development and maintenance, and your app needs to request storage permissions to get explicit user consent". A Apple diz o equivalente na documentação do PhotoKit: como o sistema gerencia o seletor em um processo separado, "the user doesn't need to explicitly authorize your app to select photos".

Some as duas pontas e o resultado é aritmética de arquivo, não opinião sobre empresa: um fluxo de três, de cinco ou de vinte imagens tem, nos dois sistemas, um caminho pronto que entrega exatamente essas imagens sem conceder nada além delas. Se a dúvida for quantas fotos e de que ângulos, o acervo já fechou essa conta: veja quantos arquivos a geração realmente pede, e de que ângulos.

No caso deste site, a pergunta nem chega a existir, e o mecanismo explica por quê. O fotoslinkedin é um site, não um aplicativo de loja: o envio acontece pelo campo de arquivo do navegador, que abre o seletor do próprio sistema. Navegador não tem permissão de galeria para conceder, porque ele não enxerga a sua biblioteca. O único pedido de permissão do fluxo é o da câmera, e só quando você toca em tirar foto na hora.

Uma fronteira, para não misturar assuntos: permissão não é envio. Conceder acesso não move um byte para lugar nenhum, e enviar um arquivo não exige, necessariamente, permissão nenhuma. O que acontece depois que o arquivo sai do aparelho tem dono próprio no acervo, no artigo sobre o que passa a valer no segundo em que o arquivo deixa o seu aparelho. Este artigo termina exatamente onde aquele começa.

Três telas, dois minutos: conferir, rebaixar e revogar

O artefato desta página é curto de propósito. São três telas, e nenhuma delas exige instalar ou desinstalar coisa alguma.

1. Tela 1, no Android, aplicativo por aplicativo. A Ajuda do Android descreve o caminho em português: abra as Configurações, "toque em Apps", "toque no app que você quer mudar" e "toque em Permissões". Você vai ver duas listas, uma de permissões concedidas e outra de negadas. Procure a linha de fotos e vídeos, que a mesma página define como "acessar fotos e vídeos no dispositivo". Ao tocar nela, escolha a opção mais restrita que ainda deixe o app fazer o que você precisa.
2. Tela 2, no Android, por tipo de permissão. É a visão que responde à pergunta "quais apps estão com acesso à galeria agora?". O caminho publicado é "Segurança e privacidade", depois "Privacidade", depois "Gestão de permissões", e então tocar em um tipo de permissão. Abrindo fotos e vídeos, você vê a lista inteira de uma vez, e é aqui que costuma reaparecer o aplicativo que você instalou uma vez, usou por cinco minutos e nunca mais abriu.
3. Tela 3, no iPhone. O caminho de tela em português está publicado na mesma página de Ajuda que descreve os níveis de permissão do iOS, e são quatro toques: "abra Ajustes", "role a tela e selecione o app", "toque em Fotos" e "selecione uma opção de permissão". A página descreve o caminho para o aplicativo dela; no seu caso, o que muda é qual app você seleciona na lista de Ajustes. Os nomes das opções mudam com a versão do iOS, então vá pela função: uma delas restringe o app aos itens que você escolher, outra libera a biblioteca inteira e outra fecha o acesso. Quando a opção de seleção existe, ela costuma vir acompanhada de um atalho para editar quais fotos estão na lista.
4. Bônus, no Android, para o app que você esqueceu. Ainda na tela do aplicativo, a Ajuda do Android publica o controle sob o título "Remover automaticamente as permissões de apps não usados": em "Configurações de apps não usados", ative a opção "Pausar atividade no app quando não usado". Ele trabalha por você em quem ficou sem uso, sem depender de você lembrar de cada aplicativo instalado. A página não publica quanto tempo de inatividade dispara isso, então não conte com prazo.

Duas notas sobre o resultado. Rebaixar de acesso total para seleção costuma abrir, na mesma hora, a tela para você escolher quais fotos ficam na lista; se você não escolher nenhuma, o efeito prático é o mesmo de negar. E a troca vale imediatamente, com o aplicativo aberto: a documentação do Android registra que a concessão pode mudar entre os retornos de ciclo de vida onStart e onResume, "as the user can change the access in the settings without closing your app", porque o sistema prevê que você mexa no nível sem fechar o app.

Repare no que não está na lista: o seletor. Quando o aplicativo abre a tela de escolha do sistema em vez de pedir permissão, não sobra nada para conferir depois, porque não ficou nada concedido. É o único dos três estados com manutenção zero.

Quando o app insiste: sintoma, causa e correção

Quatro situações aparecem em toda busca sobre esse assunto, e três delas não são defeito: são comportamento documentado, com causa diferente em cada sistema. A tabela resume; os parágrafos seguintes explicam as duas linhas que costumam ser mal diagnosticadas.

A linha que mais confunde é a segunda, porque a mesma queixa tem duas explicações. No Android, a documentação do acesso parcial descreve o modo de compatibilidade: quando a pessoa escolhe selecionar fotos e vídeos, as permissões amplas são concedidas "during the app session, providing a temporary permission grant", e "when your app moves to the background, or when the user actively kills your app, the system eventually denies these permissions". É uma concessão temporária, com o mesmo comportamento de qualquer permissão de uso único. No iPhone, a causa é outra: a documentação do PhotoKit diz que o sistema reabre a seleção limitada uma vez por ciclo de vida do aplicativo, "by default, the system automatically prompts the user to update their limited-library selection once per app life cycle". Sintoma igual, mecanismo diferente, e nenhum dos dois é bug.

A mesma documentação do Android registra o que o aplicativo deveria fazer quando precisa de mais arquivos depois: "if your app needs access to additional photos and videos at a later time, you must manually request the READ_MEDIA_IMAGES permission or the READ_MEDIA_VIDEO permission again". E a recomendação seguinte é criar um botão dentro do app para isso, porque "the user shouldn't be surprised to see the system dialog again". Pedido que aparece sozinho, sem você ter tocado em nada, é exatamente o que a documentação pede para evitar.

A quarta linha exige cuidado com números, e é onde a maioria dos tutoriais erra. O acesso parcial chegou no Android 14, e a documentação escreve a condição colada à versão: vale "if your app targets Android 14 (API level 34) or higher". Ter Android 14 no aparelho não basta, porque o aplicativo também precisa declarar essa versão como alvo. Já o seletor de fotos, que é o caminho que não depende disso, roda em aparelhos com Android 11 (nível 30 da API) ou superior, e a documentação registra que aparelhos do Android 4.4 (nível 19) ao Android 10 (nível 29), além dos aparelhos Android Go com 11 ou 12 que tenham os serviços do Google Play, podem receber uma versão retroportada.

E a primeira linha merece uma correção de vocabulário que evita susto: ver fotos que você não escolheu dentro de um aplicativo significa que ele consegue enumerar a sua biblioteca, e não que elas foram parar em algum servidor.

O que a permissão não resolve, e onde o assunto passa a ser outro

Quatro limites honestos, para o checklist não virar promessa. Nenhuma dessas três telas protege você de coisa alguma: elas ajustam o alcance, que é uma variável entre várias.

O primeiro limite é o mais importante. Revogar vale daqui para frente. A documentação da Apple descreve o funcionamento da escolha: depois que o status de autorização é definido, "the system remembers their choice and won't prompt them again", e a pessoa pode mudar isso quando quiser em Ajustes. Mudar o nível muda o que o app enxerga a partir daquele instante, e é só isso que ele faz. Não desfaz leitura anterior, não alcança cópia e não apaga nada do lado de lá. Apagar o dado que já está com a ferramenta é outro pedido, com outro caminho, e não se resolve nessa tela.

O segundo é sobre o alcance do próprio seletor, que costuma ser subestimado. Ele não mostra só o que está no aparelho. A documentação do Android diz que "users who have eligible cloud media providers on their device are also able to select from photos and videos stored remotely", ou seja, quem tem um provedor de mídia em nuvem elegível também seleciona itens guardados fora do telefone. A Ajuda do Google Fotos descreve o efeito em português: você seleciona imagens e vídeos salvos em backup "sem conceder a apps de terceiros acesso a toda a sua biblioteca". Continua sendo escolha item a item, mas o acervo de onde você escolhe pode ser bem maior do que a memória do aparelho.

O terceiro é sobre o texto que você lê no pedido. No iPhone, aquela frase explicando por que o app quer as suas fotos não é escrita pela Apple: ela vem de uma chave do próprio aplicativo, a NSPhotoLibraryUsageDescription, e a documentação instrui o desenvolvedor a fornecer "a localizable message that describes how your app interacts with the Photos library", tanto que um app que tenta acessar a fototeca sem essa descrição simplesmente quebra. Ler o pedido de permissão não é ler a política de privacidade: é ler o que quem pede escreveu sobre si mesmo.

O quarto é de escopo. Este artigo trata do que o aplicativo alcança, e não do que ele faz com o arquivo. Quando a inteligência artificial age dentro da imagem, no editor que já mora na galeria do telefone, a pergunta muda de objeto: lá não se discute o que o app enxerga, e sim o que ele grava dentro do arquivo. Se o assunto for produzir a imagem em vez de administrar o que já existe, o mapa é o guia que manda subir a selfie e começa um passo depois deste.

Resumo e próximos passos

São três estados, e não dois. O seletor do sistema não usa permissão nenhuma e entrega só o arquivo que você tocou. O acesso parcial é uma lista salva de itens. O acesso total é uma regra permanente que inclui, segundo a descrição publicada do diálogo do iPhone, as fotos tiradas depois de a opção ser escolhida.

As duas lojas já escreveram a regra, e nenhuma das páginas que dominam a busca em português cita qualquer uma delas: a do Google Play é obrigatória desde 28 de maio de 2025 e limita o acesso amplo a quem demonstra que o seletor do sistema não basta para a funcionalidade principal; a da Apple, no item 5.1.1(iii), manda usar o seletor fora do processo sempre que possível.

Para o seu caso, a conta é curta: três selfies são três arquivos, e três arquivos cabem no estado mais restrito, sem conceder nada além. O próximo passo leva dois minutos: abra a tela de permissões do aparelho, olhe a lista de fotos e vídeos e decida aplicativo por aplicativo. Depois disso, se a pergunta passar a ser como a imagem é produzida, o caminho completo está no guia que organiza o fluxo deste pilar, da escolha da ferramenta à publicação.