Política de Privacidade

Versão 2026-10-11.2. Esta política explica como o FNC trata dados pessoais, conforme a Lei nº 13.709/2018 (LGPD).

1. Quem é o controlador

O controlador dos dados é [a definir] ([a definir]). Encarregado pelo tratamento de dados (DPO): [a definir], e-mail [a definir]. Use esse contato para qualquer assunto de privacidade.

2. Quais dados tratamos

• Cadastro: nome, e-mail e senha (guardada apenas como hash irreversível — nunca a senha em si).
• Dados financeiros que você insere: contas, saldos, lançamentos, categorias, etiquetas, orçamentos, metas, pagamentos planejados, investimentos, bens e dívidas. Arquivos importados (CSV/OFX) são lidos para gerar a prévia e o conteúdo bruto é descartado ao concluir ou cancelar a importação.
• Segurança e uso: endereço IP, navegador, data e hora de acessos e de ações relevantes (trilha de auditoria), sessões ativas.
• Preferências: idioma, moeda, fuso, formato de data e configurações de notificações.
• Verificação em duas etapas: segredo do app autenticador, guardado cifrado, e códigos de recuperação, guardados como hash.
• Registros de aceite: versão dos documentos aceitos, data, IP e navegador.
• Modo debug (somente quando você o ativa): telas visitadas, nomes dos botões clicados, rótulos de campos com erro, tempo e resultado das chamadas ao servidor, erros técnicos e medidas de desempenho, durante o prazo escolhido. Não inclui o que você digita, senhas ou tokens; e-mails, valores em moeda e números longos são mascarados.

Não coletamos dados sensíveis (art. 11 da LGPD), não pedimos senha de banco e não fazemos rastreamento para publicidade.

3. Para que usamos e com qual base legal

• Prestar o serviço (organizar e analisar suas finanças, gerar relatórios, lembretes): execução de contrato (art. 7º, V).
• Diagnóstico e melhoria do serviço (modo debug): consentimento, dado ao iniciar cada sessão, que pode ser encerrada e excluída a qualquer momento (art. 7º, I).
• Segurança da conta e prevenção a fraudes (limite de tentativas, auditoria, alertas de alteração): legítimo interesse (art. 7º, IX) e proteção do titular.
• Guarda de registros de acesso por 6 meses: cumprimento de obrigação legal — Marco Civil da Internet, art. 15 (art. 7º, II).
• E-mails de serviço (confirmação de e-mail, recuperação de senha, convites, lembretes que você ativar): execução de contrato.
• Conexões com bancos via Open Finance (quando disponíveis): somente com o seu consentimento específico, dado no ambiente do seu banco e revogável a qualquer momento (art. 7º, I).

4. Com quem compartilhamos

• Membros de espaços compartilhados que você criar ou aceitar: veem apenas as contas que você marcar como compartilhadas.
• Operadores que nos prestam serviço, sob contrato e só no necessário: hospedagem (Oracle Cloud Infrastructure) e envio de e-mails.
• Autoridades, quando houver obrigação legal ou ordem judicial.

Não vendemos nem alugamos dados pessoais.

5. Por quanto tempo guardamos

• Dados da conta e financeiros: enquanto a conta existir. Ao excluir a conta, são apagados.
• IP em registros de acesso e auditoria: 180 dias, depois são anonimizados.
• Mensagens da caixa de saída de e-mail: 90 dias.
• Sessões do modo debug: 30 dias (ou até você excluí-las).
• Tentativas de login: 1 dia. Tokens de confirmação e recuperação: até 7 dias após expirarem.
• Cópias de segurança (backups) seguem ciclo próprio de rotação e são apagadas ao fim dele.

6. Seus direitos (art. 18 da LGPD)

• Confirmar e acessar seus dados — e baixá-los a qualquer momento em Configurações > Dados e privacidade > Exportar (portabilidade).
• Corrigir dados — direto no aplicativo.
• Excluir a conta e os dados — em Configurações > Dados e privacidade.
• Saber com quem compartilhamos, revogar consentimentos e se opor a tratamentos — pelo e-mail [a definir].
• Reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

7. Como protegemos

• Conexão criptografada (HTTPS) e cookies de sessão protegidos (httpOnly, SameSite).
• Senhas com hash scrypt; segredos cifrados com AES-256-GCM; verificação em duas etapas disponível.
• Controle de acesso por usuário e por espaço; proteção contra requisições forjadas (CSRF); limite de tentativas.
• Trilha de auditoria sem senhas, tokens ou valores financeiros.

Em caso de incidente de segurança que possa gerar risco ou dano relevante, comunicaremos você e a ANPD (art. 48).

8. Cookies

Usamos apenas cookies essenciais para o funcionamento e a segurança do login (sessão, etapa de verificação em duas etapas e login com Google). Não usamos cookies de publicidade nem de análise de terceiros.

9. Crianças e adolescentes

O FNC não é destinado a menores de 18 anos.

10. Alterações

Quando esta política mudar, a versão é atualizada e você será solicitado a ler e aceitar a nova versão no próximo acesso. O histórico dos seus aceites fica em Configurações > Dados e privacidade.