Política de Privacidade

1. Quem é o controlador

A Claudin, operada por 61.692.085 HENRY FOGACA DA SILVA, inscrita no CNPJ 61.692.085/0001-00, é a controladora dos dados pessoais coletados na plataforma, responsável por decidir sobre suas finalidades e meios de tratamento. Os dados de pagamento são tratados em corregência com o processador (Asaas).

Encarregado (DPO): pra exercer seus direitos LGPD ou esclarecer dúvidas sobre privacidade, entre em contato pelo e-mail henryfogacas@gmail.com.

2. Dados que coletamos

Coletamos apenas o necessário pra prestação do serviço:

2.1. Dados de cadastro

• Nome — pra personalização e comunicação;
• E-mail — credencial de login, comunicação transacional e suporte;
• Senha — armazenada exclusivamente em formato hash criptográfico (nunca em texto plano);
• Aceite dos termos — data e hora do aceite dos Termos e desta Política.

2.2. Dados pra cobrança (planos pagos)

• CPF ou CNPJ — exigido pelo Asaas pra emissão da cobrança e cumprimento de obrigações fiscais;
• Telefone celular — exigido pelo Asaas pra comunicação relacionada à cobrança;
• Histórico de cobranças e status da assinatura— valores, datas, ciclo, tier e situação.

Importante: não armazenamos número completo, CVV ou validade de cartão de crédito. Esses dados são transmitidos diretamente pro Asaas, que os tokeniza. Apenas recebemos referências/tokens da subscription.

2.3. Dados financeiros inseridos pelo usuário

• Transações (valor, data, descrição, categoria);
• Cartões de crédito cadastrados (apelido, bandeira, dia de fechamento e vencimento — sem número);
• Cofrinhos e metas;
• Posições de investimento, transações, dividendos e taxas;
• Recorrências e templates;
• Comprovantes anexados (imagens/PDFs) — armazenados como uploads;
• Notas e observações livres adicionadas a transações.

2.4. Dados de uso e segurança

• Endereço IP e User-Agent de cada login, pra detecção de acessos suspeitos;
• Histórico de sessões ativas e log de eventos de segurança (login, logout, alteração de senha, ativação/desativação de 2FA, revogação de sessão);
• Endpoint e chaves criptográficas de notificações push (web-push), apenas se você habilitar notificações;
• 2FA: chave secreta TOTP e códigos de backup, em formato criptografado.

2.5. Dados de família (se aplicável)

• Vínculo a um grupo familiar, papel (admin/membro) e data de entrada;
• Convites enviados/recebidos por email, com status e data de aceite/recusa;
• Log de auditoria interna do grupo (criação, convites, remoções, dissolução).

2.6. Cookies e armazenamento local

• Cookie de sessão (essencial) — mantém você autenticado;
• Cookie de tema (preferência de UX, opcional);
• localStorage — preferências de UI, estados de filtros e fechamentos de banners.

Não usamos cookies ou pixels publicitários, nem rastreamento cross-site.

3. Bases legais (LGPD art. 7º)

• Execução de contrato (art. 7º, V) — base principal pro tratamento de dados de cadastro, conteúdo financeiro inserido, dados de uso essenciais à prestação do serviço, cobrança;
• Cumprimento de obrigação legal (art. 7º, II) — guarda de logs e dados fiscais conforme exigido por leis vigentes;
• Legítimo interesse (art. 7º, IX) — segurança da informação, prevenção de fraude, melhoria do serviço;
• Consentimento (art. 7º, I) — para recursos opcionais como notificações push, marketing por email (quando houver) e compartilhamento na família.

4. Para que usamos seus dados

• Autenticar você e manter sua sessão segura;
• Permitir as funcionalidades do serviço (transações, cofrinhos, cartões, investimentos, família);
• Calcular indicadores agregados sobre seus próprios dados (saldo, evolução, performance vs CDI etc.);
• Processar cobranças e gerenciar assinaturas;
• Enviar comunicações transacionais essenciais (verificação de email, redefinição de senha, recibos, alertas de segurança);
• Prevenir fraudes, abusos e violações dos Termos de Uso;
• Cumprir obrigações legais e responder a requisições de autoridades competentes;
• Melhorar o serviço — análises de uso anonimizado e agregado.

O que NÃO fazemos:

• Não vendemos seus dados;
• Não compartilhamos com anunciantes ou data brokers;
• Não treinamos modelos de IA com seus dados financeiros;
• Não acessamos seus dados pra fins comerciais — apenas técnicos (suporte, debug, segurança) e mediante registro.

5. Compartilhamento com terceiros

Compartilhamos dados estritamente com prestadores essenciais (operadores LGPD), sempre sob contrato e com finalidades limitadas:

Podemos divulgar dados em resposta a ordem judicial ou requisição válida de autoridade competente (Receita Federal, BACEN, MPF, polícia etc.), nos termos da lei.

Em caso de venda, fusão ou aquisição da Claudin, os dados podem ser transferidos pra adquirente sob mesma política, com aviso prévio aos usuários.

6. Compartilhamento dentro da família

Se você é membro de uma família e marca uma transação, cartão ou categoria como compartilhada, esse dado fica visível pros demais membros enquanto você (ou eles) permanecerem no grupo. Você controla item a item o que compartilha — dados não marcados continuam privados.

Cofrinhos e dados pessoais (CPF, telefone, dados de cobrança) nunca são compartilhados com a família.

7. Retenção de dados

• Conta ativa: dados mantidos enquanto sua conta existir;
• Encerramento da conta: exclusão imediata e definitiva de todos os dados pessoais e financeiros após confirmação;
• Dados fiscais e de cobrança: retidos pelo prazo legal mínimo (5 anos a contar da emissão, conforme legislação tributária);
• Logs de segurança e auditoria: retidos por até 12 meses pra fins de investigação e cumprimento de obrigações;
• Backups: dados podem permanecer em backups criptografados por até 90 dias após exclusão, sendo definitivamente apagados na rotação dos backups.

8. Segurança

• Senhas armazenadas com hash criptográfico forte (scrypt/argon2);
• Comunicação criptografada via HTTPS/TLS em toda a aplicação;
• Banco de dados em provedor com criptografia em repouso;
• Autenticação em dois fatores (2FA) opcional via TOTP + códigos de backup;
• Rate limiting em endpoints sensíveis (login, signup, reset de senha, 2FA);
• Detecção de senhas vazadas via integração com Have I Been Pwned;
• Auditoria de eventos críticos (login, alteração de senha, 2FA, sessões, billing);
• Acesso interno aos dados restrito ao mínimo necessário e registrado.

Apesar dos esforços, nenhum sistema é 100% imune a violações. Em caso de incidente que afete dados pessoais, comunicaremos os titulares e a ANPD nos prazos legais.

9. Seus direitos (LGPD art. 18)

Você pode, a qualquer momento:

• Confirmar a existência de tratamento e acessar seus dados;
• Corrigir dados incompletos, inexatos ou desatualizados (pelo próprio app ou contato);
• Solicitar anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desacordo com a LGPD;
• Portar seus dados — exportação completa em JSON disponível no app;
• Eliminar dados tratados com base em consentimento (resguardadas obrigações legais de retenção);
• Obter informações sobre os terceiros com quem compartilhamos dados (vide seção 5);
• Revogar consentimento a qualquer tempo (ex: desativar notificações push);
• Apresentar petição à Autoridade Nacional de Proteção de Dados (ANPD) caso considere irregular o tratamento.

Pra exercer qualquer desses direitos, use os recursos disponíveis no app (exportar dados, apagar conta) ou entre em contato com nosso encarregado pelo e-mail henryfogacas@gmail.com. Responderemos em até 15 dias.

10. Crianças e adolescentes

O serviço é destinado exclusivamente a maiores de 18 anos. Não coletamos intencionalmente dados de menores. Caso identificada conta de menor, ela será suspensa e os dados eliminados imediatamente.

Se você é responsável legal e suspeita que seu filho criou conta sem autorização, entre em contato pelo e-mail henryfogacas@gmail.com pra exclusão imediata.

11. Transferência internacional

Alguns dos nossos provedores (Vercel, AWS, Resend, Upstash) podem armazenar ou processar dados em servidores localizados fora do Brasil (EUA, Europa). Garantimos que tais transferências ocorrem mediante contratos com cláusulas de proteção equivalentes às exigidas pela LGPD (art. 33).

12. Decisões automatizadas

Não tomamos decisões automatizadas com efeitos jurídicos relevantes sobre você. Cálculos automáticos de saldo, performance ou rendimento são meramente informativos e não geram aprovação, recusa ou avaliação de crédito.

13. Atualizações desta Política

Esta Política pode ser atualizada periodicamente pra refletir mudanças no serviço, na legislação ou em fornecedores. Mudanças relevantes serão comunicadas por email e/ou aviso no app com antecedência mínima de 30 (trinta) dias.

A data da última atualização está sempre no topo deste documento. O uso continuado após a entrada em vigor implica aceitação das mudanças.

14. Contato

Pra exercer seus direitos LGPD, esclarecer dúvidas sobre privacidade ou comunicar incidentes, entre em contato pelo e-mail henryfogacas@gmail.com.