Política de privacidade

Para manter a conta: seu e-mail, o nome que você escolher exibir e as datas de criação e do último acesso. O código de seis dígitos enviado por e-mail é guardado apenas como hash, junto do IP de quem o pediu, para barrar tentativas em série. Da chave de acesso (passkey) fica registrada só a parte pública — o segredo nunca sai do seu celular. Cada aparelho conectado guarda um token de sessão, também em hash, com o nome do aparelho e a data do último uso.

Para montar a caderneta: o que vem na nota que você lê — loja, CNPJ e endereço, chave de acesso, número e série, itens com descrição, código de barras, quantidade, unidade e preço, formas de pagamento e valores —, a categoria de cada item e a página original da SEFAZ, guardada como veio para que um erro de leitura possa ser refeito sem consultar a nota de novo. Lançamentos feitos à mão, por foto ou por comprovante Pix entram do mesmo jeito.

Para operar o servidor: um registro de cada leitura (o endereço do QR, se deu certo e quanto demorou), o consumo de cada chamada de IA (modelo, tokens, custo e duração — não o conteúdo) e os logs do servidor.

Para a assinatura: o identificador da transação e da assinatura que a loja (Apple ou Google) devolve, o produto contratado, o estado (ativa, em carência, expirada ou cancelada), o ambiente e as datas de renovação e de término, além do aviso que a loja envia a cada mudança. Cartão, endereço de cobrança, Apple ID e conta Google não passam por aqui: a cobrança é toda da loja, e o que chega ao servidor é só o suficiente para saber que a sua casa está no plano pago.

O que não coletamos: localização, contatos, agenda, identificador de publicidade ou coisa parecida. O aplicativo não tem SDK de análise, rastreamento ou anúncio. A câmera é usada para ler o QR da nota e para fotografar um produto ou cupom, e a foto não é guardada em lugar nenhum — ela é lida e descartada.

Os dados da sua caderneta existem para uma coisa: montar o histórico que o aplicativo mostra — a compra lançada, o mês fechado, as tendências e as respostas do assistente. O e-mail serve para você entrar, receber convites e receber avisos do serviço. Nada disso vira publicidade ou perfil: seus dados não são vendidos, alugados nem cedidos para terceiros usarem por conta própria.

O IP registrado no pedido de código e o registro das leituras servem para limitar abuso e para investigar falhas — é o interesse legítimo em manter o serviço de pé. O restante do tratamento se apoia na execução do contrato com você (art. 7º, V e IX da LGPD).

No servidor hospedado, tudo fica em um Postgres em uma máquina no Brasil, operada por quem mantém o Caderneta, atrás de um túnel da Cloudflare. O tráfego entre o aplicativo e o servidor é HTTPS. Cada casa é isolada no banco por políticas de linha, e a consulta que o assistente escreve roda com um usuário só de leitura, restrito à sua casa.

Há uma cópia de segurança automática por noite, guardada por 14 dias e depois apagada. Se você usa servidor próprio, nada disso se aplica: os dados estão onde você os colocou, sob as suas regras.

A leitura da nota é uma consulta ao portal da SEFAZ do estado que a emitiu: a chave de acesso do QR vai para o órgão público, como iria se você abrisse o link no navegador.

Os recursos de IA — ler a foto de um cupom, entender um lançamento escrito à mão, ler um comprovante Pix, classificar um item que as regras não reconheceram e responder no assistente — enviam para a Anthropic (Claude) o conteúdo daquele pedido: a imagem, o texto ou o resultado da consulta ao seu histórico. Isso só acontece quando você usa esses recursos, e fica sujeito aos termos da Anthropic.

Para classificar um item que as regras não reconheceram, só a descrição dele — sem loja, preço ou qualquer dado da sua conta — vai antes para a TypeSafe (o classificador Jev), hospedada nos Estados Unidos; o que ela não classificar com segurança segue para a Anthropic, como acima. A TypeSafe declara que não usa o que recebe para treinar modelos, e o envio fica sujeito aos termos da TypeSafe.

Fora isso: o e-mail com o código sai pela Resend, que recebe o endereço e o conteúdo da mensagem; o tráfego passa pela Cloudflare; e a distribuição do aplicativo e a cobrança da assinatura são da Apple (App Store) ou do Google (Google Play), sob as políticas deles — o servidor consulta a loja para confirmar uma compra e recebe dela os avisos de renovação e cancelamento. Se você pede reembolso à Apple, ela pergunta ao servidor como a assinatura foi usada, e a resposta diz quatro coisas: que o Premium foi entregue, que havia um plano gratuito antes da compra, se algum recurso do Premium foi usado depois dela e a posição do Caderneta sobre o pedido — nada do que você lançou. Não há outro destinatário — nem analytics, nem publicidade.

Uma caderneta pertence à casa, não a uma pessoa. Todo mundo que a casa aceitou vê tudo o que está nela: as compras, os itens, os valores e quem lançou. Convidar alguém registra o endereço convidado até o convite ser aceito, revogado ou expirar.

Sair de uma casa, ou ser removido dela, não apaga o que você lançou — aquilo é da casa e continua com ela. Se quiser levar o seu histórico, exporte o CSV antes de sair, em Ajustes.

A LGPD garante a você confirmar que existe tratamento, acessar os dados, corrigir o que estiver errado, pedir portabilidade, revogar consentimento e pedir eliminação. O aplicativo resolve a maior parte disso sem pedir licença a ninguém: Ajustes → Exportar CSV entrega o histórico inteiro em texto aberto, e Ajustes → Excluir conta apaga a conta na hora.

Para o que o aplicativo não cobre, escreva para me@forcetower.dev. A resposta sai em até 15 dias.

Os dados ficam enquanto a conta existir. Os códigos de acesso expiram em minutos e somem depois de usados; as sessões expiram em 90 dias, ou antes se você revogá-las; convites não aceitos expiram sozinhos.

Excluir a conta pede uma confirmação nova — um código por e-mail ou a chave de acesso — e então remove a conta, as sessões, as chaves e as casas em que você era o único dono, com todas as compras e transferências delas. As casas que têm outro dono continuam de pé e você apenas sai. Não tem volta, e todo mundo afetado recebe um e-mail dizendo o que aconteceu. As cópias de segurança da noite ainda podem conter esses dados por até 14 dias; depois disso, não resta nada.

O registro da assinatura sai junto com a conta. O histórico da compra em si fica com a Apple ou com o Google, sob a política deles, e não depende do Caderneta — cancelar a assinatura continua sendo feito na App Store ou no Google Play.

Quando esta política mudar, a data no alto muda junto e a versão em vigor fica sempre nesta página. Continuar usando o Caderneta depois disso vale como ciência da versão em vigor.

O Caderneta é mantido por uma pessoa, no Brasil, e o mesmo endereço atende suporte e privacidade: me@forcetower.dev.