Aviso de privacidade

1. Responsável e contato

Bilanx é operado por Henrique Machado, responsável pelas decisões de tratamento de dados no aplicativo. Documento: pendente de definição. Endereço comercial: SHIGS 713 Bloco X, Asa Sul, Brasilia - DF - CEP 70380724.

Para suporte, assuntos de assinatura e pedidos sobre dados pessoais, use o mesmo email de atendimento: [email protected]. A identificação do responsável é apresentada acima. A definição do encarregado ou da hipótese de dispensa aplicável ainda está em revisão. Esse email precisa ser efetivamente monitorado antes da abertura pública, inclusive para receber e responder a solicitações de privacidade.

Este aviso descreve o funcionamento atual e as definições ainda necessárias. A referência normativa é a LGPD — Lei nº 13.709/2018, especialmente seus arts. 6º e 9º.

2. Dados tratados

Cadastro e acesso: nome, email, senha protegida por hash, datas de cadastro e preferências. Também são usados registros de sessão, recuperação de senha e tokens de acesso quando esses recursos são utilizados.
Organização financeira: receitas, despesas, categorias, datas, parcelamentos, planejamento, empréstimos, pessoas relacionadas, ativos e passivos que você registra ou importa. Esses registros podem identificar outras pessoas.
Assinatura: identificadores de cliente e assinatura na Stripe, plano, situação da cobrança, datas, eventos de pagamento e concessões de acesso. O cartão é informado diretamente nas telas da Stripe; o app não guarda seu número completo ou código de segurança.
Registro da contratação: versão, data e, nos novos aceites, cópia integral dos termos e do aviso apresentados. Na contratação, também podem ser registrados plano, preço e identificador da sessão de Checkout.
Operação e atendimento: erros técnicos, informações necessárias ao pedido de suporte, preferências de notificação e dados de inscrição em notificações push. Hospedagem, email e pagamento também podem tratar metadados técnicos, como IP e registros de acesso, conforme suas configurações e responsabilidades.
Integrações opcionais: credenciais protegidas de IA, configuração do provedor, solicitação e contexto financeiro necessário à função acionada. No MCP, são tratados tokens, escopos e registros de operações; o cliente autorizado recebe os dados acessíveis por esses escopos.

Evite inserir dados de saúde, religião, opinião política ou outros dados sensíveis em campos livres. Informações financeiras são pessoais e exigem proteção; descrições podem também revelar dados sensíveis definidos pelo art. 5º, II, da LGPD. Se isso ocorrer, o tratamento exige avaliação específica do art. 11, não apenas a base usada para dados comuns.

3. Finalidades e bases legais

O enquadramento abaixo orienta a revisão da operação; não representa uma autorização irrestrita para coletar dados:

Fornecer conta, recursos financeiros, cobrança e atendimento contratado: execução do contrato ou de procedimentos solicitados por você (art. 7º, V), limitada aos dados necessários.
Cumprir exigências fiscais e regulatórias efetivamente aplicáveis: obrigação legal ou regulatória (art. 7º, II). Os registros exigidos e seus prazos dependem da definição do fornecedor e da revisão contábil.
Tratar contestações e processos: exercício regular de direitos, nas hipóteses do art. 7º, VI, limitado aos registros necessários ao caso.
Diagnosticar falhas e proteger o serviço: legítimo interesse pode ser aplicável (arts. 7º, IX, e 10). Essa hipótese depende de avaliação documentada de finalidade, necessidade, impacto e salvaguardas; a avaliação da observabilidade ainda está pendente. Veja a orientação da ANPD sobre legítimo interesse.
IA e MCP acionados por você: a execução do recurso solicitado pode se enquadrar no art. 7º, V para seus dados comuns. A base para dados de outras pessoas e eventuais dados sensíveis precisa de avaliação própria. Ativar o recurso não autoriza usos adicionais pelo destinatário.

O aceite dos termos registra a contratação. A ciência deste aviso registra que ele foi apresentado; não equivale a consentimento genérico de tratamento. Se uma finalidade depender de consentimento, ele deverá ser específico, separado e revogável, nos termos do art. 8º. A recusa de uma função opcional não deve impedir o uso das demais funções contratadas.

4. Fornecedores e compartilhamento

Compartilhamos os dados necessários às funções utilizadas:

Supabase e hospedagem: armazenamento do banco de dados e execução do aplicativo. O fornecedor de hospedagem e suas configurações de produção ainda precisam constar na versão final.
Stripe: Checkout, Portal, processamento de pagamentos e gestão da assinatura. Sua atuação e eventual retenção própria de dados de transações dependem do serviço e das obrigações aplicáveis.
Sentry: diagnóstico de erros. O código remove dos eventos campos de usuário, requisição, histórico de ações e contexto adicional, e reduz mensagens de erro. Isso é uma medida de minimização, não uma garantia de anonimização. Regiões, metadados e retenção efetivos ainda precisam ser auditados no fornecedor.
Mailtrap e infraestrutura de notificações: envio de emails de serviço e notificações conforme as configurações e as funções usadas.
Cloudflare R2: distribuição dos instaladores Windows e macOS. Ao baixar um instalador, seu dispositivo acessa a infraestrutura de downloads, que pode tratar IP e metadados técnicos da requisição. Esse download não envia seus registros financeiros ao R2.
Provedor de IA configurado e cliente MCP autorizado: acesso ao contexto ou aos dados necessários à solicitação e aos escopos autorizados. Confira o destinatário antes de conectar; ele pode ter regras próprias de armazenamento e uso.

Assistente e reconhecimento de voz

O assistente é opcional. Antes de conectar um provedor e no campo de mensagem, o app informa o compartilhamento com o destinatário selecionado: OpenAI, Google Gemini, Anthropic (Claude) ou Ollama. São enviados o histórico recente da conversa, resultados das consultas financeiras e nomes e identificadores de pessoas retornadas pelas consultas realizadas para responder ao pedido. O diretório completo de pessoas não é anexado automaticamente a cada mensagem; pedidos que exigem identificar ou listar pessoas podem consultar esse cadastro e enviar os resultados ao provedor. Nomes e outros dados que você escrever na conversa também integram o conteúdo enviado. O Ollama recebe o conteúdo no servidor configurado para o app; isso não garante processamento no seu dispositivo. A proteção da chave de API no banco não impede o envio desse conteúdo ao provedor.

Ao escolher a voz, uma explicação aparece antes de iniciar o microfone. O reconhecimento é feito pelo navegador e pode enviar áudio a um serviço remoto do próprio navegador, distinto do provedor de IA escolhido. Essa possibilidade é descrita na documentação do reconhecimento de fala; o serviço efetivo depende do navegador. A permissão do microfone não autoriza finalidades adicionais. A transcrição fica no campo de mensagem para revisão, edição ou descarte e só é enviada à IA quando você aciona o envio.

Mensagens e transcrições não são armazenadas como histórico de chat no banco do app. Operações confirmadas podem manter argumentos, resultados e estados anteriores nos registros técnicos de auditoria e idempotência. As regras de retenção e uso dos serviços destinatários ainda precisam ser verificadas. Evite incluir dados sensíveis ou dados desnecessários de outras pessoas nas mensagens ou na fala.

Papéis de controlador e operador, contratos, subprocessadores e procedimentos de eliminação serão confirmados por fornecedor. Não informamos como verificada uma condição contratual ainda não auditada.

5. Transferências internacionais

Os fornecedores e as integrações escolhidas podem processar dados fora do Brasil. Países de destino, categorias transferidas, finalidades, duração e mecanismos jurídicos precisam ser confirmados e publicados antes do lançamento.

A contratação de fornecedor estrangeiro ou a leitura deste aviso não substitui uma hipótese válida dos arts. 33 a 36 da LGPD. Conforme o destino e a operação, deve ser verificada decisão de adequação vigente, cláusulas contratuais ou outra hipótese aplicável. Não presumimos que uma decisão de adequação abranja todos os fornecedores ou transferências posteriores. Consulte a regulamentação de transferências internacionais da ANPD.

6. Armazenamento local e segurança

O aplicativo usa cookies de sessão para autenticação, um cookie para lembrar o mês e o ano selecionados e armazenamento local para preferências como tema, ocultação de valores, modelo de IA e novidades já vistas. Essas preferências podem permanecer no dispositivo após sair da conta; o período selecionado tem validade de até um ano no cookie. Remover os dados de sessão do navegador pode exigir novo login. Permissão do navegador para notificações não autoriza outras finalidades de tratamento.

Notificações push e emails de alertas podem conter descrições e valores das movimentações. O push pode exibir esse conteúdo na tela bloqueada, conforme as configurações do aparelho e do navegador. Você pode desativar esses canais nas preferências de notificação e controlar as prévias nas configurações do dispositivo.

Ao sair pelos botões do app, tentamos desvincular o push deste dispositivo, revogar a inscrição no navegador e fechar notificações já visíveis. A saída da conta não desativa os outros aparelhos. Falhas de rede ou limitações do navegador podem impedir a limpeza; elas não impedem o encerramento da sessão. Nessa situação, notificações com detalhes financeiros ainda podem chegar. Você também pode revogar a permissão de notificação nas configurações do navegador. Fechar o navegador ou deixar a sessão expirar não executa a limpeza dos botões de saída. Para voltar a receber push após sair, ative-o novamente neste aparelho.

O código aplica autenticação, isolamento dos dados por conta, proteção de senhas, proteção de credenciais de IA e minimização de eventos técnicos. Configurações de infraestrutura, acesso administrativo e fornecedores também precisam de revisão. Nenhum sistema oferece segurança absoluta.

Para limitar tentativas repetidas de acesso, cadastro e recuperação de senha, mantemos contadores temporários no banco. Os identificadores usados são derivados por HMAC de email ou token e, quando disponível por infraestrutura confiável, endereço IP; o email, o token e o IP não são guardados em texto aberto nesses contadores. Essa proteção não torna os identificadores anônimos. A janela de contagem é de 15 minutos; registros expirados são removidos por limpeza oportunista durante o uso, podendo permanecer até que ela seja executada. Regras de cópias de segurança e logs da infraestrutura seguem as verificações de retenção descritas neste aviso. Tentativas excessivas podem gerar bloqueio temporário; falhas no controle podem tornar essas operações temporariamente indisponíveis.

Incidentes com risco ou dano relevante exigem avaliação e comunicação à ANPD e aos titulares conforme o art. 48 e a regulamentação aplicável. O procedimento operacional ainda precisa ser concluído. A orientação da ANPD sobre incidentes descreve os critérios e prazos.

7. Retenção, cancelamento e exclusão

Cancelar a renovação da assinatura não apaga os dados. Enquanto a conta existir, o aplicativo conserva seu cadastro e os registros financeiros que você mantiver, inclusive após cancelamento ou inatividade. Atualmente, não há exclusão automática da conta por inatividade.

Excluir um lançamento não elimina necessariamente seu conteúdo de registros anteriores de operações confirmadas no assistente ou no MCP: a auditoria e os controles que impedem repetir operações podem preservar argumentos, resultados e estados anteriores. Esses registros, os aceites e suas cópias, e os metadados de recuperação de senha permanecem associados à conta até sua exclusão. O vencimento ou o uso de um link de recuperação impede reutilizá-lo, mas não apaga automaticamente seu registro.

A exclusão, disponível em Minha conta mesmo sem assinatura ativa, exige confirmação. O app encerra o cadastro de cobrança na Stripe antes de remover a conta e os dados associados no banco operacional. Essa sequência pode falhar parcialmente; nesse caso, é necessária nova tentativa ou atendimento. A exclusão encerra o acesso e não solicita reembolso automaticamente.

Há limites que devem ser considerados:

Os aceites legais associados e as cópias dos documentos apresentados são removidos com a conta. Você pode baixar seus documentos antes de excluí-la. Uma eventual conservação separada de prova contratual depende de definição de base e prazo; não está sendo apresentada como implementada.
Eventos de webhook podem permanecer no app com identificador, tipo e data, sem vínculo direto com a conta no banco. O identificador pode ser relacionado a registros da Stripe; seu prazo de expurgo está pendente.
Stripe pode conservar transações e faturas por obrigações próprias. Sentry, email, hospedagem e integrações podem ter registros já recebidos que não são apagados automaticamente pelo botão de exclusão.
Localização, ciclo de retenção e procedimento de restauração de backups estão pendentes. A exclusão do banco operacional não garante eliminação imediata de todas as cópias de segurança.

As hipóteses de conservação devem ser justificadas, restringidas ao necessário e informadas ao titular, conforme os arts. 15 e 16. Os prazos por categoria e fornecedor ainda precisam ser finalizados. Não há um prazo único que se aplique indistintamente a todos esses dados.

8. Seus direitos

Conforme os arts. 18 a 20, você pode solicitar confirmação e acesso, correção, informação sobre compartilhamento, anonimização, bloqueio ou eliminação de dados desnecessários ou tratados irregularmente, e portabilidade nos termos da regulamentação. Quando houver consentimento, pode revogá-lo e pedir eliminação dos dados tratados nessa base, observadas as hipóteses legais de conservação. Pode também pedir informações sobre a possibilidade de recusa e suas consequências e se opor a tratamento nas hipóteses previstas na LGPD.

Para decisões tomadas unicamente por tratamento automatizado que afetem seus interesses, pode solicitar revisão e informação sobre critérios e procedimentos, observados os limites legais. As sugestões da IA devem ser conferidas por você; não substituem uma decisão financeira pessoal.

Em Minha conta, você pode consultar seu cadastro, alterar o nome e a senha, exportar os dados, baixar os documentos aceitos e solicitar a exclusão da conta. O email de acesso é somente leitura nessa tela; para solicitar sua correção, use o atendimento. A exportação JSON ajuda no acesso aos seus registros, mas não substitui todos os pedidos de informação ou a regulamentação de portabilidade. Para esses pedidos, use o email de atendimento [email protected], também utilizado para suporte e assinaturas. O exercício dos direitos é gratuito. Podemos confirmar sua identidade de forma proporcional; não pedimos sua senha ou número completo de cartão para isso.

Para confirmação de existência ou acesso aos dados, você pode solicitar resposta simplificada, fornecida imediatamente, ou declaração clara e completa, entregue em até 15 dias contados do requerimento, nos termos do art. 19. Esse não é um prazo genérico para todos os direitos. Eventual impedimento ao atendimento deverá ser explicado. Consulte também o guia de direitos dos titulares da ANPD.

Você pode recorrer à ANPD e, em relações de consumo, aos órgãos de defesa do consumidor. O canal monitorado, o registro de pedidos e a rotina de resposta ainda precisam ser validados antes da abertura pública.

9. Atualizações

Mudanças relevantes serão publicadas com nova versão e comunicadas pelos canais disponíveis. A confirmação de ciência da nova versão não autoriza finalidades incompatíveis; um consentimento específico, quando necessário, terá procedimento próprio.

Este aviso permanece em revisão. Identificação, atendimento, bases dependentes de avaliação, retenção, fornecedores e transferências precisam ser concluídos antes de apresentá-lo como documento final.