Como protegemos seus dados

Em resumo

• Suas transações, metas, orçamentos e notas ficam cifrados com uma chave que só abre com a sua senha. O administrador vê seu e-mail e seu nome, mas não seus valores nem suas compras.
• Se você usar a IA, ela recebe o necessário para responder, sem nomes de pessoas nem documentos.
• Sem anúncios, sem rastreadores e sem venda de dados.

1. Tudo trancado com a sua senha

• No cadastro, o app cria uma chave só sua. Ela fica guardada trancada de dois jeitos: pela sua senha e pelo seu código de recuperação. Sem um dos dois, ela não abre.
• Transações, contas, categorias, regras, orçamentos, metas, desafios, notas e relatórios são gravados cifrados (AES-256, o padrão usado por bancos). No banco de dados, o que existe é um bloco ilegível.
• Sua senha não é guardada em lugar nenhum, só uma verificação dela que não permite descobri-la.
• Além da criptografia, o próprio banco de dados separa as contas: o programa só enxerga as linhas de quem está usando naquele momento.

2. O que o administrador consegue ver

Para ser honesto sobre o limite: enquanto você usa o app, o servidor abre seus dados para montar cada página e os descarta em seguida. Quem controla o servidor poderia, em tese, mudar o programa para copiar dados durante o uso. O que a criptografia garante é que o que está guardado (banco de dados, backups, um disco roubado) não pode ser lido. Antes de o app abrir ao público, uma revisão independente vai conferir essa parte.

3. Entrar, sair e esquecer a senha

• Cada aparelho fica conectado por até 30 dias. O seu navegador guarda a chave da sessão; o servidor guarda só uma cópia trancada por ela. Em Configurações, "Sair de todos os aparelhos" encerra todas as sessões.
• Você pode entrar com uma passkey (Face ID ou digital), guardada no Chaves do iCloud, no Gerenciador de Senhas do Google ou no aparelho. Ela também tranca os seus dados: o servidor guarda uma cópia da chave dos dados que só abre com um segredo que a própria passkey entrega no momento de entrar.
• Você pode ativar um código de 6 dígitos do celular (Google Authenticator ou similar), pedido a cada entrada.
• Depois de 5 tentativas erradas, a entrada fica bloqueada por até 15 minutos.
• Esqueceu a senha? Só o seu código de recuperação devolve o acesso. Sem ele, ninguém consegue abrir seus dados, nem o administrador. Guarde o código num lugar seguro.

4. Quem mais recebe alguma coisa

• Google Gemini (só se você usar a IA). A IA é desligada por padrão: ela só roda quando você clica num botão de IA, faz uma pergunta em Perguntar ou liga a opção automática em Configurações. Ela recebe totais por categoria e, para categorizar, a descrição, a data e o valor das transações sem categoria; no orçamento e no plano, também as notas dos seus Pix; no Perguntar, a sua pergunta e o resultado da consulta que o app fez (que pode trazer descrições e valores de transações). A IA nunca lê o banco nem escreve consultas. Antes de sair daqui, nomes de pessoas viram "Pessoa 1", "Pessoa 2"… e CPF, CNPJ, telefone, e-mail, número de cartão e de conta são apagados. Lojas continuam com o nome, porque é isso que ajuda a categorizar. A resposta volta, os nomes são recolocados aqui e tudo é gravado cifrado. Exceção: Recibos por foto. A foto vai inteira para o Google, porque não dá para apagar nomes de dentro de uma imagem (a tela avisa e sugere cobrir o CPF na nota). A foto não é guardada aqui: fica só o que foi lido (loja, data, total e itens), cifrado. A chave deste servidor ainda está no plano gratuito, em que o Google pode usar o conteúdo para melhorar os produtos dele. Por isso a troca de nomes e documentos é feita sempre.
• Pluggy (só para quem conecta bancos). O Pluggy é a empresa que busca as transações nos bancos pelo Open Finance. Quando o servidor recebe um lote, ele o tranca na hora com a sua chave pública, sem gravar nada aberto. O lote só é aberto quando você entra. Hoje essa conexão está ligada só para o administrador; os demais usam a importação de extrato (CSV), que não passa por ninguém.
• As pessoas da sua casa (só se você criar ou entrar numa). Elas veem o seu nome, as despesas que alguém dividiu na casa, os acertos e a chave Pix que você cadastrar ali. Isso fica cifrado com uma chave da casa que só os membros têm. Suas outras transações continuam só suas: dividir uma compra manda para a casa só a descrição, o valor e a data dela. Quem sai de uma casa continua com a chave antiga (o app ainda não troca a chave quando alguém sai).
• Ninguém mais. Não há anúncios, Google Analytics, pixel de rede social nem qualquer rastreador. Os únicos cookies são o da sessão e o da proteção de formulários. A opção de esconder valores fica guardada só no seu navegador.
• WhatsApp: ainda não existe. Quando existir, esta página vai dizer exatamente o que passa por ele.

5. Onde fica e cópias de segurança

• O servidor fica na Oracle Cloud, em São Paulo.
• A conexão é HTTPS direto do seu navegador até o servidor: nenhum intermediário (proxy ou CDN) decifra o tráfego no caminho.
• Todo dia é feita uma cópia do banco de dados, guardada por 30 dias. Ela contém os mesmos dados cifrados: quem pegar a cópia não lê nada sem a sua senha.

6. Seus dados são seus

• Levar embora: em Configurações › Seus dados, "Baixar todos os meus dados" gera um arquivo com tudo, já decifrado. Em Transações também dá para exportar uma planilha (CSV).
• Apagar a conta: em Configurações › Seus dados, com a sua senha. A conta e todos os registros são apagados na hora (as cópias de segurança expiram em até 30 dias).