Política de Privacidade

Resumindo

O Off Finance funciona no seu aparelho sem conta, e o que você registra fica nele. Tirando uma verificação de atualizações, nada sai do aparelho sem você escolher: criar uma conta para sincronizar ou compartilhar, ou ligar os dados de uso. No Android, se você ligar a Automação de despesas, o app lê no próprio aparelho as notificações de pagamento das carteiras digitais que você escolher. A gente não vende seus dados nem usa para anúncios.

Quem é o responsável

Leonardo Guimarães Urci, desenvolvedor do Off Finance, é o responsável pelos seus dados (o "controlador", como a LGPD chama). Dúvidas ou pedidos sobre seus dados: [email protected].

O que coletamos e por quê

• O app, sem conta
  • O quê: nada. O que você registra fica num banco de dados no seu aparelho. A verificação de atualizações não leva nada sobre você. Como em qualquer servidor, a empresa que hospeda nosso servidor (Railway) guarda um registro padrão de acessos com seu IP por 7 dias. A gente só olha esse registro para resolver problemas ou barrar abusos.
  • Para quê: avisar quando tem atualização.
  • Base legal do registro de acessos: nosso legítimo interesse em manter o servidor seguro e resolver problemas.
• Conta e Sync (só se você criar uma)
  • O quê: e-mail, nome, avatar, idioma do app, senha (em hash) ou login com o Google, os cofres que você sincroniza e se sua assinatura está ativa. Seu IP e os dados do aparelho não ficam guardados com a conta.
  • Para quê: fazer funcionar a sincronização, os cofres compartilhados, o login, os pagamentos e os e-mails da conta.
  • Base legal: seu consentimento e o contrato com você. Registros de cobrança: obrigação legal.
• Dados de uso no app (desligado até você ligar)
  • O quê: como você usa o app, dados básicos do aparelho, uma localização aproximada e IDs aleatórios, sem seus valores, nomes, anotações ou e-mail. As notificações de pagamento não fazem parte dos dados de uso.
  • Para quê: entender quais recursos as pessoas usam e onde travam.
  • Base legal: seu consentimento.
• Automação de despesas (Android, desligada até você ligar)
  • O quê: as notificações das carteiras digitais que você ligar. Elas são lidas no seu aparelho. As despesas adicionadas podem sincronizar, e as notificações originais podem ser compartilhadas dentro de um cofre, como explicado abaixo. Isso não depende dos dados de uso.
  • Para quê: transformar seus pagamentos em despesas.
  • Base legal: seu consentimento.
• Este site
  • O quê: a página, de onde você veio, o navegador, o dispositivo, a tela, o idioma, o fuso horário, quanto a página levou para carregar e, se você usar o Pergunte à sua IA, qual opção escolheu. Sem cookies. A PostHog junta seu IP e os dados do navegador num código anônimo que vale por um dia, para contar a visita uma vez, e depois descarta o IP. Ele não é guardado nem usado para descobrir onde você está.
  • Para quê: saber quantas pessoas visitam o site, o que leem e se perguntam sobre o app para uma IA.
  • Base legal: nosso legítimo interesse.
• Lista de espera
  • O quê: seu e-mail e como você conheceu o Off Finance (os dois são obrigatórios), o idioma da página, em quais plataformas usaria e quando entrou e confirmou.
  • Para quê: avisar quando o app for lançado e aplicar a oferta abaixo.
  • Base legal: seu consentimento.

Além da gente, seus dados só passam pelas empresas listadas mais abaixo, que cuidam de partes do serviço. Fora elas e quem está num cofre compartilhado com você, ninguém recebe seus dados, a não ser quando a lei exige.

Conta e cofres compartilhados

• Você só precisa de conta para sincronizar ou para entrar num cofre compartilhado. Quem você convida não precisa comprar plano.
• Os pagamentos passam pelo Google Play. O RevenueCat registra se sua assinatura está ativa, pelo ID da conta. A gente nunca vê seu cartão.
• Todo mundo num cofre compartilhado vê tudo o que tem nele, além do seu nome, do seu avatar, de quem criou ou editou cada transação e do e-mail do dono do cofre.
• Para convidar alguém, você informa o e-mail da pessoa e a gente manda o convite. Se alguém sai ou é removido, a cópia no aparelho dela continua com ela.

Dados de uso no app

• Fica desligado até você ligar, pela caixa de seleção na configuração inicial ou em "Compartilhar dados de uso", em Configurações > Privacidade. Deixar desligado não muda nada no app. A escolha vale por aparelho: entrar ou sair da conta não muda essa escolha, e um aparelho novo pergunta de novo.
• O que vai: o que você faz, como abrir o app, entrar na conta, usar o registro rápido, criar um orçamento ou comprar um plano; a versão do app; modelo, sistema, tamanho da tela, idioma, região e fuso horário do aparelho; o país e a cidade que a PostHog calcula pelo seu IP (o IP não é guardado); a campanha, se você instalou por um anúncio nosso; um ID aleatório e um ID de sessão, nenhum dos dois ligado à sua conta ou ao seu e-mail.
• O que nunca vai para a PostHog: valores, nomes, anotações, os nomes que você deu a categorias, orçamentos, cofres ou formas de pagamento, seu e-mail e qualquer dado da sua conta.
• Ao desligar, os eventos novos param na hora. O que já tinha sido registrado pode sair num último envio, o resto é apagado e o ID aleatório é trocado. Isso não muda suas despesas nem as notificações originais compartilhadas.
• Para apagar: toque em "Apagar dados de uso" em Configurações > Privacidade. Isso abre um e-mail para o suporte com seus IDs, inclusive os antigos. Mande e a gente apaga tudo o que foi enviado com eles. Desinstalar o app ou limpar os dados dele perde esses IDs, então mande antes. Os dados de uso não ficam ligados à sua conta, então excluir a conta não apaga esses dados.

Automação de despesas

• É para Android e fica desligada até você ligar no app. Depois de ligada, o app lê as notificações das carteiras digitais que você ligar (por enquanto, o Google Wallet), e nada de outros apps. Você pode tirar o acesso às notificações nas configurações do Android quando quiser.
• O que ela lê: o título, o texto e a hora de cada notificação. O app lê o valor, o estabelecimento, o nome do cartão e os quatro últimos dígitos, quando houver. Ele prepara uma despesa para você revisar ou adiciona automaticamente. A lista de espera e os textos das notificações ficam no seu aparelho. As notificações que o app mostra sobre essas despesas também são criadas no aparelho.
• Despesas e regras: uma despesa adicionada guarda o app de origem, o estabelecimento, o nome do cartão e os quatro últimos dígitos. Se você usa o Sync, esses campos e as regras de estabelecimentos e cartões do cofre sincronizam com os outros dados financeiros para o nosso servidor na Railway, nos Estados Unidos. Os membros de um cofre compartilhado podem ler esses dados. A gente usa esses dados para a Automação de despesas funcionar, não como dados de uso.
• Pedir um app: manda só o nome que você digitar, ligado à sua conta. A gente usa isso para dar suporte a mais apps e avisar por e-mail quando o seu for compatível. A base legal é o seu consentimento. Os pedidos ficam guardados enquanto sua conta existir.

Compartilhamento de notificações originais

• O dono do cofre pode ligar o compartilhamento das originais nas configurações do cofre. Ele começa desligado. Só vale para notificações capturadas enquanto estiver ligado e salvas como despesas naquele cofre. Não envia notificações antigas. Essa opção é separada do compartilhamento de dados de uso.
• Com uma conta e o Sync disponível para o cofre, o app manda o título original, o texto, o app de origem e a hora da notificação para o nosso servidor na Railway, nos Estados Unidos, ligados à despesa e ao cofre. Os membros atuais do cofre podem ler esses dados junto da despesa, para conferir de onde ela veio.
• Quando o compartilhamento é desligado e a mudança sincroniza, os membros do cofre deixam de ver as notificações originais compartilhadas. Excluir uma despesa ou o cofre faz o mesmo com as originais. A lista de espera privada continua no aparelho.

O site e a lista de espera

• A PostHog conta as visitas para a gente, inclusive até onde você rola a página inicial e o que você escolhe no Pergunte à sua IA, e não guarda nada no seu dispositivo. Se você veio por um anúncio, o identificador de clique é mascarado antes de qualquer envio.
• A Cloudflare hospeda o site e vê seu IP para entregar as páginas. Seu navegador lembra seu tema e idioma.
• O código da lista de espera sai pela Resend, e as inscrições ficam no nosso servidor na Railway. Excluir sua conta apaga sua inscrição. Para sair da lista, escreva para [email protected].
• Oferta da lista de espera: confirme seu e-mail na lista e crie uma conta com ele até o fim de 31 de janeiro de 2027 (horário de Brasília) para ganhar 12 meses de Sync, contados a partir da verificação do e-mail da conta. Só para contas novas (um e-mail que já tem conta não entra na lista), uma por e-mail, sem transferência nem troca por dinheiro. Depois, a conta volta para o plano gratuito sem cobrança nenhuma, e guarda a informação de que veio da lista.

Quem mais trata seus dados

• Railway: nosso servidor e banco de dados (contas, dados sincronizados, notificações originais compartilhadas, pedidos de app e lista de espera) e o registro de acessos.
• Cloudflare: entrega este site e protege nosso servidor, e para isso vê seu IP. Também guarda os backups diários criptografados.
• Google Play e RevenueCat: pagamentos e se sua assinatura está ativa.
• Google: "Continuar com o Google".
• Resend: e-mails da conta e códigos da lista de espera.
• PostHog: dados de uso do app, se você ligar, e a contagem de visitas do site.

Railway, Resend, Google e RevenueCat tratam seus dados nos Estados Unidos. A PostHog guarda os dados na União Europeia, que a ANPD reconhece como tendo proteção adequada. A Cloudflare opera a partir de data centers no mundo todo. Uma segunda cópia criptografada dos backups fica num armazenamento do próprio desenvolvedor, no Brasil. A gente cuida da segurança disso tudo, mas nenhum sistema é 100% seguro.

Por quanto tempo guardamos

• No aparelho: até você limpar os dados do app ou desinstalar.
• Sua conta: enquanto ela existir. Registros de cobrança: pelo prazo que a lei exigir.
• Registro de acessos: 7 dias, na Railway.
• Dados de uso do app: até um ano na PostHog, ou menos se você pedir para apagar antes.
• Pedidos de app: enquanto sua conta existir.
• Visitas ao site: até um ano na PostHog, sem nada que identifique você.
• Lista de espera: até a lista acabar, depois de 31 de janeiro de 2027. Aí as inscrições que não viraram conta são apagadas, e as outras perdem as respostas.

Como apagar seus dados

• No aparelho: limpe os dados do app ou desinstale o app.
• Sua conta: mande um e-mail para [email protected] a partir do endereço da conta pedindo para apagar seus dados. A gente exclui em até 30 dias, e as cópias nos backups em até 90. Os cofres dos quais você é dono, seus dados e notificações originais, e seus pedidos de app vão junto. Despesas e originais que você adicionou ao cofre de outra pessoa ficam naquele cofre. Só fica o que a lei obriga a guardar, como registros de cobrança. Isso não cancela a assinatura no Google Play.
• Dados de uso: veja "Para apagar" acima.
• Passo a passo: Excluir sua conta.

Permissões do app

O app só pede permissões se você ligar a Automação de despesas, no Android: acesso às notificações, para ler as carteiras digitais que você escolher, e permissão para mostrar notificações, para avisar das despesas novas. Ele não tem acesso aos seus contatos, à sua localização, à câmera nem ao microfone. O Android libera algumas permissões na instalação, para acessar a internet, cobrar pelo Google Play e sincronizar em segundo plano.

Idade

O Off Finance é para quem tem 13 anos ou mais. Com menos de 18, você precisa do OK de um dos pais ou responsável para criar conta, comprar um plano ou ligar os dados de uso. O app não verifica sua idade. Se uma criança com menos de 13 anos passou informações para a gente, avise que a gente apaga.

Seus direitos

Pela LGPD, você pode pedir para a gente:

• confirmar se temos dados seus e mostrar quais são
• corrigir o que estiver errado, incompleto ou desatualizado
• anonimizar, bloquear ou apagar o que for desnecessário, excessivo ou irregular
• entregar seus dados para você levar a outro serviço
• apagar o que temos por causa do seu consentimento
• contar com quem compartilhamos seus dados

Você pode retirar o consentimento quando quiser. Dizer não só tira aquele recurso: sem dados de uso, nada muda; sem conta, fica sem sincronização. Nos dados de uso, é só desligar "Compartilhar dados de uso". Para o app parar de ler notificações, desligue a Automação de despesas ou o acesso às notificações no Android. Para o resto, escreva para [email protected]. Você também pode reclamar na Autoridade Nacional de Proteção de Dados (ANPD). Fora do Brasil, leis como o GDPR e a CCPA podem dar direitos parecidos, e vale o mesmo e-mail.

Mudanças nesta política

Quando a política muda, a data lá em cima muda junto. Se a mudança for importante, o app também mostra "Revisar os termos atualizados" em Configurações, nunca um pop-up.