Política de Privacidade e Tratamento de Dados (LGPD)

1. Introdução e Finalidade

Esta Política de Privacidade descreve, com transparência e em estrita conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei Federal nº 13.709/2018 – LGPD) e com o Marco Civil da Internet (Lei nº 12.965/2014), como o budget&finance coleta, utiliza, armazena, compartilha e descarta os dados pessoais dos usuários de nossa plataforma, website e serviços vinculados via mensageria inteligente.

2. Dados Coletados e Bases Legais de Tratamento

Tratamos apenas os dados essenciais para o fornecimento regular dos serviços financeiros:

• Dados Cadastrais e de Identificação: Nome completo, e-mail, número de telefone (WhatsApp) e credenciais de login.
  • Base Legal: Execução de contrato (Art. 7º, V, LGPD) e procedimentos preliminares.
• Dados Bancários e Transacionais via Open Finance: Saldos consolidados, extratos, categorias de despesas, lançamentos de contas correntes, cartões de crédito e investimentos, obtidos mediante autorização explícita do titular.
  • Base Legal: Execução de contrato (Art. 7º, V, LGPD) e consentimento expresso (Art. 7º, I, LGPD).
• Interações via WhatsApp e Inteligência Artificial (Mica): Mensagens de texto, áudios transcrevíveis e comandos enviados pelo usuário à assistente Mica para registro manual ou consulta de despesas e receitas.
  • Base Legal: Execução de contrato (Art. 7º, V, LGPD) para operacionalização das solicitações de input financeiro.
• Dados de Agenda (Google Calendar): Quando o usuário opta por conectar sua conta Google, sincronizamos datas e lembretes de pagamentos agendados criados no app.
  • Base Legal: Consentimento expresso (Art. 7º, I, LGPD) - a conexão é opcional e pode ser desfeita a qualquer momento pelo usuário.
• Dados de Cobrança e Faturamento: Registros de status de assinatura, identificador do cliente no processador de pagamento e histórico de faturas. (Nota: Informações completas de cartão de crédito não são armazenadas pelo budget&finance).
  • Base Legal: Execução de contrato (Art. 7º, V) e cumprimento de obrigação legal ou regulatória (Art. 7º, II, LGPD).
• Registros de Acesso e Metadados Técnicos: Endereço IP, registros de data/hora de conexão, tipo de navegador e eventos operacionais.
  • Base Legal: Cumprimento de obrigação legal (Art. 7º, II, LGPD c/c Art. 15 do Marco Civil da Internet).

3. Conexão Bancária e Open Finance (Pluggy)

A integração com contas e instituições bancárias opera sob regras estritas de segurança:

• Modo Exclusivamente Leitura (Read-Only): As conexões são realizadas via API pela parceira homologada Pluggy, participante regulada pelo Banco Central do Brasil. O budget&finance tem acesso estritamente consultivo aos dados autorizados.
• Inexistência de Movimentação Financeira: A aplicação NÃO possui capacidade técnica de realizar transferências, saques, PIX, pagamentos de boletos ou qualquer operação ativa nas contas dos usuários.
• Isolamento de Credenciais: As senhas de internet banking do usuário trafegam exclusivamente nos canais seguros e criptografados da instituição financeira e da Pluggy, jamais sendo acessadas ou retidas nos servidores do budget&finance.

4. Compartilhamento de Dados (Processadores de Dados)

Não comercializamos dados pessoais sob qualquer pretexto. Para a operação da plataforma, contratamos operadores e provedores de infraestrutura que atuam estritamente sob nossas diretrizes de segurança e confidencialidade:

1. Pluggy: Fornecedora da tecnologia de Open Finance regulamentada para conexão bancária e sincronização de extratos.
2. Supabase: Provedor de infraestrutura de banco de dados e autenticação em nuvem, com proteção de isolamento de dados por usuário.
3. Meta Platforms / WhatsApp Business API: Infraestrutura de transmissão e recebimento de mensagens para a assistente virtual Mica.
4. Google (Google Calendar API): Utilizada, exclusivamente quando o usuário opta por conectar sua conta, para sincronizar lembretes de pagamentos agendados com a agenda pessoal do usuário.
5. Paddle Payments (Paddle.com): Atua como Merchant of Record e processador de pagamentos internacional, sendo responsável pela liquidação de cobranças, emissão de faturas e conformidade fiscal de vendas.
6. Resend: Serviço de mensageria em nuvem responsável pelo envio seguro de alertas, relatórios e comunicações transacionais por e-mail.

5. Transferência Internacional de Dados

Alguns dos operadores listados no item anterior (notadamente Paddle, Meta Platforms e, dependendo da região de processamento, Resend e Google) processam dados em servidores localizados fora do território brasileiro. Nesses casos, o budget&finance exige que tais operadores adotem salvaguardas adequadas de proteção de dados, compatíveis com os padrões exigidos pelo Art. 33 e seguintes da LGPD, incluindo cláusulas contratuais e certificações de conformidade reconhecidas internacionalmente.

6. Segurança da Informação e Mitigação de Riscos

Implementamos medidas técnicas e administrativas compatíveis com o estado da arte para proteção contra acessos não autorizados:

• Isolamento de Dados por Usuário: O banco de dados bloqueia consultas cruzadas, garantindo que cada usuário acesse estritamente seus próprios registros.
• Integridade Transacional: Toda a troca de dados entre nossos serviços e operadores externos (como a Paddle e a Pluggy) é validada por mecanismos de autenticação e assinatura criptográfica.
• Criptografia Padrão Indústria: Tráfego encriptado de ponta a ponta (TLS/HTTPS) e armazenamento seguro de chaves de autenticação.

7. Retenção e Exclusão de Dados

• Os dados pessoais permanecerão armazenados enquanto a assinatura ou a conta do usuário estiver ativa.
• Mediante solicitação de encerramento de conta, as informações cadastrais e transacionais vinculadas serão excluídas definitivamente de nossos bancos operacionais em até 30 (trinta) dias.
• Registros de logs de conexão à internet e dados contábeis/fiscais de transações de assinatura serão retidos pelos prazos legais expressos (mínimo de 6 meses para logs conforme o Marco Civil da Internet e até 5 anos para obrigações tributárias).

8. Direitos do Titular dos Dados (Art. 18, LGPD)

O titular dos dados tem o direito de, a qualquer momento e mediante requisição formal:

• Confirmar a existência de tratamento e solicitar acesso aos seus dados pessoais.
• Solicitar a correção de dados incompletos, inexatos ou desatualizados.
• Requerer a anonimização, bloqueio ou eliminação de dados considerados excessivos ou tratados em desconformidade.
• Solicitar a portabilidade dos dados operacionais a outro provedor.
• Revogar os consentimentos concedidos anteriormente (incluindo desconectar integrações bancárias e de agenda).

9. Encarregado pelo Tratamento de Dados (DPO) e Contato

Para exercer qualquer dos seus direitos previstos na LGPD ou enviar apontamentos sobre privacidade, entre em contato diretamente com o nosso canal oficial:

• Encarregado pelo Tratamento de Dados (DPO): Michael Bastos
• Canal de Atendimento de Privacidade: michaeln.bastoss@outlook.com