Política de Privacidade

O Fluxo é um aplicativo de organização financeira. Para funcionar, ele precisa tratar dados sensíveis sobre a sua vida: quanto você ganha, quanto gasta e com o quê. Levamos isso a sério — esta política descreve o tratamento real, conforme a Lei Geral de Proteção de Dados (Lei nº 13.709/2018).

Quem é o controlador

O controlador dos seus dados — quem decide como e por que eles são tratados — é KAYO RODRIGO NASCIMENTO DOS SANTOS, com sede em Goiânia/GO.

Para qualquer assunto de privacidade — incluindo os direitos listados abaixo — fale com kayorodrigodzn@gmail.com. Este é o canal oficial e ele responde.

Que dados o Fluxo trata

Dados de conta

A autenticação é feita pelo Supabase Auth. Ao criar uma conta com e-mail e senha, tratamos seu e-mail e um nome de exibição, se você informar. A senha é guardada apenas como hash pelo Supabase: ela não trafega pelos nossos servidores de aplicação nem é armazenada por nós em texto legível.

Se você entrar com o Google, recebemos do Google o nome e o e-mail associados àquela conta. Não recebemos sua senha do Google.

Dados financeiros que você lança

Tudo aqui é informado por você — hoje o Fluxo não se conecta ao seu banco e não lê seu extrato automaticamente. Tratamos o que você registra:

• Transações: descrição, categoria, data e valor.
• Contas: nome, tipo e saldo.
• Cartões: apelido, titular, os últimos dígitos, validade, limite, fatura aberta e vencimento. O Fluxo não pede e não armazena o número completo do cartão, nem o código de segurança — não há como pagar nada por dentro do app com o cartão que você cadastra aqui; ele é só um registro para você acompanhar a fatura.
• Orçamentos, metas, contas recorrentes e dívidas que você cria.
• Seu perfil financeiro e a meta de liberdade: renda mensal, custo de vida, patrimônio investido, reserva de emergência e a renda passiva que você definiu como objetivo.

Dados de assinatura

Se você assinar o Fluxo+, guardamos apenas os identificadores da sua assinatura na Stripe (o ID do cliente, o ID e o status da assinatura). Os dados do seu cartão de pagamento são informados diretamente à Stripe, no ambiente dela: eles nunca passam pelo Fluxo.

Chaves de acesso para assistentes de IA

Se você gerar uma chave para conectar suas finanças a um assistente externo, guardamos a chave, a que conta ela pertence e a data do último uso. Quem tiver essa chave lê os seus dados financeiros — trate-a como uma senha e revogue-a no app quando não precisar mais.

Por que tratamos cada dado

A LGPD exige uma base legal para cada finalidade. As nossas:

• Conta, dados financeiros e a Jornada — execução do contrato entre você e o Fluxo (art. 7º, V). Sem esses dados o app simplesmente não tem o que mostrar.
• Cobrança do Fluxo+ — execução do contrato (art. 7º, V) e cumprimento de obrigação legal e fiscal (art. 7º, II).
• E-mails transacionais (boas-vindas e recibo da assinatura) — execução do contrato (art. 7º, V).
• Publicidade no plano grátis — legítimo interesse (art. 7º, IX): os anúncios sustentam a versão gratuita. Você pode se opor a essa base pelo contato acima, e pode simplesmente eliminá-los assinando o Fluxo+.
• Segurança e prevenção a fraude — legítimo interesse (art. 7º, IX).

Onde os dados ficam e transferência internacional

O Fluxo roda sobre o Supabase (banco de dados, conta e arquivos) e a Vercel (o site e o app em si). Seu banco de dados fica na região de São Paulo, e é lá que moram sua conta e seus dados financeiros.

Ainda assim, parte do processamento — as páginas servidas pela Vercel e os parceiros listados abaixo — acontece em servidores que podem estar fora do Brasil, especialmente nos Estados Unidos. Nessa medida, seus dados são objeto de transferência internacional (arts. 33 a 36 da LGPD), com base na execução do contrato com você e nas garantias contratuais oferecidas por esses fornecedores.

O aplicativo de celular também guarda uma cópia local dos seus dados no próprio aparelho, para abrir rápido. Ela some quando você sai da conta ou limpa os dados do app.

Cookies e publicidade

O que é essencial

O Fluxo usa armazenamento local do navegador para manter você conectado (sessão do Supabase Auth) e para guardar preferências de exibição, como o tema. Sem isso, você teria que fazer login a cada carregamento. Não é publicidade e não rastreia você por outros sites.

Anúncios de terceiros

No plano grátis, o Fluxo exibe anúncios do Google AdSense. Sobre isso você precisa saber:

• O Google, como fornecedor terceirizado, usa cookies para veicular anúncios no Fluxo.
• O uso de cookies de publicidade pelo Google permite que ele e seus parceiros veiculem anúncios com base na sua visita ao Fluxo e/ou a outros sites na internet.
• Você pode desativar a publicidade personalizada nas configurações de anúncios do Google. Também dá para desativar o uso de cookies por outros fornecedores em aboutads.info/choices. Detalhes de como o Google trata esses dados estão em Como o Google usa dados quando você acessa sites de parceiros.

No Fluxo+ não existe anúncio: o espaço nem é montado e o script da rede de anúncios sequer é baixado pelo seu dispositivo. O mesmo vale se você usa um bloqueador de anúncios ou se a rede não tem anúncio para aquele momento — nesses casos aparece apenas um convite nosso para conhecer o Fluxo+, que não é publicidade de terceiro e não usa cookies.

Medição das nossas campanhas (Google Ads)

O Fluxo anuncia a si mesmo no Google. Para saber quais anúncios trouxeram gente de verdade, todas as páginas do site e do app carregam a tag de medição do Google Ads (o gtag.js). Ela informa ao Google que uma visita ou um cadastro aconteceu depois de um anúncio nosso, e para isso o Google usa cookies — inclusive para mostrar anúncios do Fluxo para você em outros sites (remarketing).

• Diferente dos anúncios do plano grátis, essa medição roda para todo mundo, inclusive no Fluxo+: ela não exibe anúncio nenhum dentro do Fluxo, só mede a nossa própria divulgação.
• Nenhum dado financeiro seu vai nessa tag: nem saldo, nem transação, nem categoria, nem meta, nem etapa da jornada.
• Você desativa a personalização e o remarketing nas mesmas configurações de anúncios do Google, e um bloqueador de anúncios também impede o carregamento da tag — o Fluxo continua funcionando igual.

O que vai (e o que não vai) para a IA

No Falar com o Fluxo, sua pergunta é enviada ao nosso servidor, que a repassa a um provedor de modelo de linguagem (hoje a OpenAI) junto com um resumo do seu contexto financeiro, para que a resposta faça sentido com os seus números.

É enviado: o nome do seu perfil; seu saldo total; as entradas e saídas do mês; seu patrimônio investido; os dados da sua jornada (progresso, patrimônio alvo, renda passiva alvo, prazo estimado e a etapa atual); seus orçamentos; de cada cartão, somente o apelido, o valor da fatura aberta e o vencimento; as suas 8 transações mais recentes (descrição, categoria, data e valor); e as últimas 12 mensagens da conversa.

Não é enviado: seu histórico completo de transações; o número, o titular ou a validade dos seus cartões; seu e-mail; seu identificador de usuário; sua senha; seus dados de pagamento; suas metas, dívidas e contas recorrentes; sua renda mensal, seu custo de vida e sua reserva de emergência.

Se a chamada ao modelo falhar — sem internet, por exemplo — o Fluxo responde sozinho, no seu dispositivo, e nesse caso nada é enviado para fora.

Com quem os dados são compartilhados

O Fluxo não vende seus dados e não os compartilha para publicidade de terceiros. Usamos os seguintes operadores, cada um só com o que precisa para a sua função:

• Supabase — autenticação, banco de dados (São Paulo) e armazenamento dos arquivos que você envia, como a foto de perfil.
• Vercel — hospedagem e execução do site e do aplicativo web.
• Google AdSense — anúncios no plano grátis (sem dados financeiros, conforme acima).
• Google Ads — medição das nossas próprias campanhas de divulgação (sem dados financeiros, conforme acima).
• OpenAI — respostas do chat, com o conteúdo descrito na seção anterior.
• Stripe — pagamento do Fluxo+. Recebe seu e-mail e os dados de pagamento que você fornece diretamente a ela.
• Resend — envio dos e-mails de boas-vindas e do recibo da assinatura. Recebe seu e-mail e seu nome.

Também podemos compartilhar dados quando houver obrigação legal, ordem judicial ou requisição de autoridade competente.

Seus direitos e como exercer

O art. 18 da LGPD garante a você, a qualquer momento e gratuitamente, o direito de:

• confirmar que tratamos seus dados e acessá-los;
• corrigir dados incompletos, inexatos ou desatualizados;
• pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• solicitar a portabilidade dos dados a outro fornecedor;
• pedir a eliminação dos dados tratados com base no seu consentimento;
• saber com quais entidades compartilhamos seus dados;
• opor-se a um tratamento feito com base em legítimo interesse;
• revogar o consentimento, quando o tratamento se basear nele.

Boa parte disso você faz sozinho, na hora: dentro do app dá para ver, editar e apagar suas transações, contas, cartões, orçamentos e metas, e revogar as chaves de acesso de assistentes.

Para os demais pedidos, escreva para kayorodrigodzn@gmail.com a partir do e-mail da sua conta. Respondemos no prazo da LGPD. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

Retenção e exclusão da conta

Mantemos seus dados enquanto sua conta existir — o histórico é o que alimenta a sua jornada, então apagá-lo sozinho quebraria o produto que você usa.

Para excluir sua conta e seus dados, peça por kayorodrigodzn@gmail.com, usando o e-mail cadastrado. Hoje a exclusão é feita mediante solicitação, não por um botão dentro do app.

Depois da exclusão, podemos reter o mínimo necessário para cumprir obrigações legais, fiscais e de defesa em processos (art. 16 da LGPD) — por exemplo, registros de pagamento do Fluxo+, que a legislação fiscal exige guardar. Dados nos nossos parceiros seguem também as políticas de retenção deles.

Segurança

O tráfego é criptografado em trânsito (HTTPS). O acesso aos dados é isolado por conta: as regras do banco só permitem que cada usuário leia e escreva os próprios dados, e nós verificamos isso do lado do servidor, não só no app. As chaves dos nossos fornecedores ficam em cofre de segredos e nunca são embutidas no aplicativo.

Nenhum sistema é 100% seguro. Se ocorrer um incidente de segurança relevante, comunicaremos você e a ANPD conforme o art. 48 da LGPD.

Menores de 18 anos

O Fluxo é destinado a maiores de 18 anos e não é dirigido a crianças e adolescentes. Se identificarmos uma conta criada por menor de idade sem o consentimento dos responsáveis, ela será encerrada e os dados eliminados.

Alterações desta política

Se o Fluxo mudar a forma como trata dados, esta página muda junto e a data de última atualização no topo é revista. Mudanças relevantes serão avisadas no app ou por e-mail. Continuar usando o Fluxo depois disso significa que você está ciente da versão vigente.