Política de Privacidade

Versão 2.0.0 · Vigente desde 08/05/2026

Esta Política descreve como o Finora 360 (“Plataforma”, “Finora” ou “nós”) trata os dados pessoais dos seus usuários (“Titular” ou “você”), em cumprimento à Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 — LGPD), ao Marco Civil da Internet (Lei nº 12.965/2014) e ao Código de Defesa do Consumidor.

Esta Política é complementar aos Termos de Uso e à Política de Cookies. Para o módulo AI Helper (WhatsApp + IA) há também uma Política específica com cláusulas adicionais — quando houver conflito, prevalecem sempre as cláusulas mais protetivas ao Titular.

1. Controlador e Encarregado (DPO)

O controlador dos dados pessoais tratados na Plataforma é EDUARDO H A MARTINS TECNOLOGIA DA INFORMACAO LTDA, CNPJ 40.581.615/0001-73, com sede em Rua Mario Leandro Luiz de Faria, 408, Mirante de Jundiaí, Jundiaí/SP, CEP 13.214-593.

2. Quais dados coletamos

2.1 Dados fornecidos por você

• Cadastro: nome, e-mail, senha (armazenada apenas como hash bcrypt — nunca em texto claro), data de criação da conta.
• Preferências financeiras: renda mensal líquida (opcional, para o Piloto Financeiro), moeda padrão (BRL por default), dia de início do mês para relatórios.
• Contas e instituições: nome da conta, tipo (corrente, poupança, carteira etc.), nome da instituição, agência, número da conta, saldo inicial declarado, cor de identificação.Não armazenamos credenciais de acesso ao banco — o Finora não realiza Open Finance no MVP.
• Cartões de crédito: apelido do cartão, bandeira, banco emissor, limite, dias de fechamento e vencimento. Não armazenamos o número do cartão, CVV ou senha.
• Transações: descrição, valor, data, categoria, conta de origem, cartão (se aplicável), parcelas, notas livres, marcadores de transferência interna, anexos opcionais.
• Categorias, orçamentos, metas e dívidas: nomes, cores, valores previstos, prazos, pagamentos.
• Importações: arquivos enviados (CSV, XLSX, OFX, PDF de extrato), hash SHA-256 do arquivo para detecção de duplicatas, metadados (tamanho, MIME type, nome original), mapeamento de colunas escolhido, descrição livre do contexto que você opcionalmente informa para guiar a IA.
• AI Helper (opcional): número de telefone, ID do WhatsApp, conteúdo das mensagens de texto, transcrição de áudio (o áudio em si nunca é gravado em disco), rascunhos de transação gerados pela IA, preferências (retenção, canais ativos).
• Suporte: conteúdo das conversas com a equipe de suporte e anexos enviados.

2.2 Dados coletados automaticamente

• Sessão e autenticação: cookie de sessão do NextAuth (JWT armazenado em cookie httpOnly e secure), tokens de refresh do app mobile (apenas o hash SHA-256, nunca o token bruto), IP, user-agent, marca de tempo da última atividade, rótulo de dispositivo.
• Telemetria técnica: logs de requisição (status HTTP, latência, rota), eventos de erro capturados via Sentry com scrubbing de PII (números de telefone mascarados, conteúdo financeiro removido).
• Eventos de produto: quando o PostHog está ativado (opt-in via consentimento de cookies), capturamos eventos agregados como “importou planilha” ou “criou meta” com distinctId = ID interno da conta. Não enviamos conteúdo de transação, valor financeiro ou texto livre.
• Faturamento (Mercado Pago): ID de pagamento, status (autorizado, pendente, recusado), data, plano contratado, cupom aplicado. Não armazenamos número de cartão, CVV ou senha — esses dados ficam exclusivamente no Mercado Pago, que é PCI-DSS compliant.

2.3 Dados que não coletamos

O Finora NÃO coleta: dados sensíveis (origem racial, convicção religiosa, opinião política, filiação sindical, dados de saúde, vida sexual, biometria) salvo se você deliberadamente os inserir em campos de texto livre — o que desencorajamos. Não coletamos dados de crianças e adolescentes — a Plataforma exige 18 anos completos para uso. Se identificarmos conta criada por menor, ela será encerrada e os dados eliminados.

3. Para que usamos seus dados (finalidades e bases legais)

O que NÃO fazemos: não vendemos seus dados, não compartilhamos com anunciantes, não cruzamos com bases públicas para criar perfis de marketing, não usamos seu conteúdo financeiro para treinar modelos de IA — nem nossos, nem de terceiros.

4. Com quem compartilhamos (operadores e subprocessadores)

Para entregar a Plataforma, contratamos operadores especializados que tratam dados em nosso nome, sob contrato e instruções nossas:

• Railway (Railway Corp., Estados Unidos) — hospedagem da aplicação e do banco PostgreSQL. Recebe e armazena todos os dados estruturados (contas, transações, cadastro).
• Mercado Pago (Mercado Pago Brasil Ltda., Brasil) — processamento de pagamentos, gestão de assinaturas (PreApproval) e cobranças únicas (Preference). Recebe dados de cartão / PIX que você informa diretamente na tela do MP, e nos devolve apenas o status, ID da transação e o e-mail confirmado.
• Google LLC (Estados Unidos) — Google Gemini para extração de dados em importação inteligente e no AI Helper; Google Fonts para tipografia DM Sans/Inter (carregadas via Next.js no servidor, sem cookies).
• Groq Inc. (Estados Unidos) — transcrição de áudios do WhatsApp (modelo Whisper) no AI Helper. Processa o binário apenas em memória, sem persistência segundo a política do provedor.
• Twilio Inc. (Estados Unidos) / Meta Platforms Inc. (Estados Unidos) — provedor do canal WhatsApp para o AI Helper. Atualmente Twilio; em migração para Meta WhatsApp Cloud API. Sempre exibido ao Titular na tela de conexão.
• Upstash Inc. (Estados Unidos) — Redis gerenciado para fila de jobs (QStash) e rate limiting. Armazena apenas IDs temporários, contadores e jobs enfileirados.
• Sentry (Functional Software Inc., Estados Unidos) — captura de erros técnicos. Aplicamos scrubbing antes do envio (telefone mascarado, conteúdo removido).
• Resend Inc. (Estados Unidos) — envio de e-mails transacionais (confirmação de cadastro, recibo, alertas).
• PostHog Inc. (Estados Unidos) — apenas se você consentir com cookies analíticos. Eventos agregados de produto sem conteúdo financeiro.
• Vercel Inc. (Estados Unidos) — quando aplicável a partes do site/landing servidas via Vercel/CDN.

Também compartilhamos dados com autoridades públicas em cumprimento a obrigação legal, ordem judicial ou requisição administrativa competente (Receita Federal, Banco Central, Polícia, ANPD, Procon, etc.).

Em uma eventual reorganização societária (fusão, aquisição, cisão), seus dados podem ser transferidos para a sucessora, que ficará obrigada a observar esta Política. Comunicaremos previamente sempre que possível.

5. Transferência internacional de dados

Vários operadores listados na seção 4 (Google, Groq, Twilio, Meta, Upstash, Sentry, Resend, PostHog, Vercel, Railway) processam dados em servidores fora do Brasil, principalmente nos Estados Unidos.

A transferência internacional é permitida pela LGPD com base em:

• Execução de contrato com o Titular (art. 33, V), para os operadores essenciais à entrega da Plataforma; e
• Consentimento específico e em destaque (art. 33, VIII) para o AI Helper e ferramentas analíticas opcionais, dado no momento do aceite respectivo.

Adotamos cláusulas contratuais com os operadores exigindo nível de proteção compatível com a LGPD. A lista completa e atualizada de subprocessadores fica disponível mediante solicitação ao DPO.

6. Por quanto tempo guardamos seus dados

Os prazos podem ser estendidos quando houver determinação legal, ordem judicial, defesa em processo administrativo ou exercício regular de direitos.

7. Seus direitos como Titular (LGPD)

Você pode, a qualquer momento, exercer os seguintes direitos:

• Confirmação e acesso (art. 18, I e II) — saber se tratamos seus dados e obter uma cópia.
• Correção (art. 18, III) — corrigir dados incompletos, inexatos ou desatualizados. A maioria pode ser alterada diretamente nas configurações do Perfil.
• Anonimização, bloqueio ou eliminação (art. 18, IV) — quando os dados forem desnecessários, excessivos ou tratados em desconformidade.
• Portabilidade (art. 18, V) — exportar seus dados em formato estruturado e interoperável (CSV/JSON), mediante solicitação ao DPO.
• Eliminação (art. 18, VI) — apagar dados tratados com base em consentimento, ressalvadas as hipóteses de guarda obrigatória.
• Informação sobre compartilhamento (art. 18, VII) — saber com quem compartilhamos seus dados (a seção 4 desta Política já entrega isso de forma contínua).
• Informação sobre a possibilidade de não consentir (art. 18, VIII) — saber as consequências da negativa.
• Revogação do consentimento (art. 8º, §5º) — para tratamentos baseados em consentimento (AI Helper, marketing, analytics), desativar a qualquer momento.
• Oposição (art. 18, §2º) — opor-se a tratamento baseado em legítimo interesse quando entender existir irregularidade.
• Revisão de decisões automatizadas (art. 20) — o AI Helper e a importação inteligente geram apenas rascunhos para sua confirmação; não há decisão automatizada com efeitos jurídicos. Ainda assim, você pode solicitar revisão humana.
• Peticionar à ANPD — caso entenda que seus direitos foram violados, pode peticionar à Autoridade Nacional de Proteção de Dados.

Para exercer seus direitos, fale com o DPO em dpo@finora360.com.br. Para sua segurança, podemos solicitar confirmação de identidade antes de atender ao pedido. Prazo de resposta: 15 dias úteis.

8. Como protegemos seus dados

Adotamos medidas técnicas e administrativas razoáveis, alinhadas às melhores práticas de mercado e ao art. 46 da LGPD, entre elas:

• Criptografia em trânsito (TLS 1.2+ em todas as conexões) e em repouso nos provedores que oferecem o recurso (Railway/Postgres, Upstash).
• Senhas armazenadas como hash bcrypt (custo adequado), nunca em texto claro.
• Tokens de refresh do mobile guardados como SHA-256 rotativo — token bruto não fica no banco.
• Cookies de sessão marcados como httpOnly, secure e SameSite=Lax.
• Webhooks (Mercado Pago, WhatsApp) verificados por assinatura HMAC antes do processamento.
• Controles de acesso por papel (User, isAdmin, isSupportAgent) e escopo de dados por userId em todos os queries.
• Logs com PII mascarada antes do envio para ferramentas de observabilidade.
• Rate limiting em endpoints sensíveis e kill switch para módulos críticos (ex.: AI Helper).
• Backups periódicos do banco com retenção controlada e teste de restauração.

Apesar de todos os esforços, nenhum sistema é 100% seguro. Em caso de incidente que possa acarretar risco ou dano relevante aos Titulares, comunicaremos a ANPD e os Titulares afetados em prazo razoável, conforme art. 48 da LGPD.

9. Cookies

Detalhes sobre cookies essenciais, funcionais e analíticos estão na Política de Cookies dedicada.

10. Encerramento da conta — efeitos sobre dados

Quando você encerra sua conta (por solicitação própria ou por decisão administrativa nos termos do Termo):

• Os dados pessoais identificáveis são marcados como excluídos (soft delete) imediatamente, impedindo qualquer login.
• Dados financeiros e fiscais ficam em base segregada com acesso restrito até o fim do prazo prescricional/legal (até 5 anos).
• Dados do AI Helper (mensagens, drafts, settings) são apagados na próxima execução do cron de retenção.
• O e-mail cadastrado permanece bloqueado para impedir que terceiros reusem a identidade.
• Backups que contenham seus dados expirarão conforme política de rotação (até 90 dias, em regra).

11. Alterações nesta Política

Esta Política pode ser atualizada periodicamente. Para mudanças materiais (nova finalidade, novo subprocessador, novo prazo de retenção, alteração relevante de base legal), avisaremos por e-mail e/ou banner em destaque na Plataforma com antecedência razoável. Mudanças não materiais (correção de digitação) atualizam apenas a data de vigência.

Recomendamos revisitar esta página periodicamente. A versão sempre em vigor é a publicada aqui, identificada pelos campos abaixo.

Versão atual: 2.0.0 · Vigente desde: 08/05/2026