Política de Privacidade

A sua privacidade é importante para o CapCerto. Esta Política de Privacidade explica como coletamos, utilizamos, armazenamos e protegemos seus dados pessoais, em conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados, a LGPD).

Ela vale tanto para o site institucional (capcerto.com.br) quanto para o aplicativo de controle financeiro (app.capcerto.com.br), aqui chamados em conjunto de "Plataforma".

1. Controlador e Encarregado

O CapCerto é o controlador dos dados pessoais tratados por meio da Plataforma: é quem decide as finalidades e os meios do tratamento.

O canal do Encarregado pelo Tratamento de Dados Pessoais (art. 41 da LGPD) é o e-mail privacidade@capcerto.com.br, por onde recebemos dúvidas sobre esta Política e pedidos de exercício dos direitos do titular.

2. Dados que Coletamos

2.1 Dados de conta e identificação

• Nome e e-mail: informados no cadastro, usados para identificar você na conta e nas comunicações.
• Senha: armazenada apenas como hash criptográfico. Nunca temos acesso à sua senha em texto legível.
• Data de verificação do e-mail: registro de que o endereço informado pertence a você.
• E-mail de notificação: opcional, quando você prefere receber avisos em endereço diferente do de login.
• Fuso horário e hora de notificação: para entregar avisos no seu horário local.
• Preferências de notificação: quais avisos você quer receber e por qual canal.

Não coletamos telefone. O canal de WhatsApp dentro do aplicativo foi descontinuado e os campos correspondentes foram removidos da nossa base.

2.2 Dados financeiros que você insere

• Lançamentos: despesas, receitas, contratos, faturas, cartões, bancos, categorias e metas, com os respectivos valores em reais.
• Arquivos enviados: comprovantes de renda e documentos que você anexa aos seus lançamentos.

Esses dados revelam a sua situação financeira e recebem, por isso, o mesmo cuidado que damos a dados sensíveis: cada registro é isolado pela sua conta e só é servido após verificação de titularidade.

2.3 Dados técnicos e de segurança

• Tokens de sessão: identificadores que mantêm você autenticado e permitem revogar o acesso.
• Tentativas de login: registradas para conter ataques de força bruta. O e-mail é guardado apenas como hash, nunca em texto legível.
• Inscrições de notificação push: endereço do serviço de push do seu dispositivo e chaves de criptografia da mensagem.
• Códigos de verificação e de redefinição de senha: de uso único e com validade curta.
• Identificadores da Stripe: códigos de cliente, de assinatura e o status do pagamento. Não guardamos dados do seu cartão.
• Registros de acesso: endereço IP, data, hora e informações do navegador, mantidos pela infraestrutura para segurança e operação.

2.4 Dados de navegação no site

No site institucional coletamos métricas de desempenho e de uso das páginas de forma agregada, por meio do Vercel Analytics e do Vercel Speed Insights, e somente depois do seu consentimento no banner de cookies.

3. Finalidades e Bases Legais

Cada tratamento tem uma finalidade e uma base legal do art. 7º da LGPD:

• Fornecer o serviço de controle financeiro (conta, lançamentos, relatórios, arquivos) — execução de contrato.
• Autenticar o acesso e proteger a conta (sessões, anti-força-bruta, registros de acesso) — execução de contrato e legítimo interesse em segurança da informação.
• Processar a assinatura e as cobranças — execução de contrato e cumprimento de obrigação legal (fiscal).
• Enviar comunicações operacionais (verificação de e-mail, avisos de cobrança, mudanças no serviço) — execução de contrato.
• Enviar notificações e lembretes financeiros por e-mail ou push — consentimento, manifestado nos ajustes de notificação, que você pode revogar a qualquer momento.
• Medir desempenho e uso do site — consentimento, dado no banner de cookies.
• Monitorar erros e estabilidade da aplicação — legítimo interesse na manutenção do serviço.
• Cumprir obrigações legais e responder a autoridades — cumprimento de obrigação legal e exercício regular de direitos.

4. Cookies e Armazenamento Local

4.1 No site (capcerto.com.br)

• Preferência de cookies: sua escolha de aceitar ou recusar é guardada no localStorage do seu navegador, no seu próprio dispositivo, e não é enviada a ninguém.
• Medição de audiência e desempenho: Vercel Analytics e Vercel Speed Insights só são carregados depois do aceite. Se você recusar, eles não são ativados e nada é enviado. A recusa não limita nenhuma funcionalidade do site.

4.2 No aplicativo (app.capcerto.com.br)

O aplicativo usa apenas cookies estritamente necessários. Não há cookies de publicidade, de remarketing ou de perfilamento.

• access_token e refresh_token: mantêm e renovam sua sessão autenticada. São HttpOnly e Secure, ou seja, inacessíveis a scripts e trafegados só por conexão criptografada.
• csrf_token: protege contra requisições forjadas por sites de terceiros.
• __cf_bm e cf_clearance: definidos pela Cloudflare, que atua como proxy e firewall de aplicação, para distinguir tráfego humano de automatizado.

O aplicativo também guarda no localStorage do seu dispositivo a preferência de tema (claro ou escuro) e a dispensa do convite para instalar o aplicativo. Nenhuma das duas contém dado pessoal nem sai do seu navegador.

5. Compartilhamento de Dados

Não vendemos seus dados pessoais e não os cedemos para publicidade de terceiros. Compartilhamos o mínimo necessário com prestadores que atuam como operadores, em nosso nome e sob obrigações contratuais de confidencialidade e segurança:

• Stripe (pagamentos): recebe nome, e-mail e os dados de pagamento, coletados diretamente por ela nas páginas de checkout e no portal de assinatura. O CapCerto nunca vê nem armazena o número do seu cartão; guardamos apenas identificadores e o status da assinatura.
• Hostinger (hospedagem do aplicativo): hospeda, em servidor dedicado, a aplicação e o banco de dados onde ficam os dados do produto.
• Vercel (hospedagem do site): hospeda o site institucional e fornece as métricas de audiência e desempenho descritas no item 4.1.
• Cloudflare (rede, proxy e segurança): processa o tráfego HTTP do aplicativo (endereço IP e cabeçalhos da requisição) para proteção contra ataques, além de métricas agregadas sem cookies.
• Resend (envio de e-mails): recebe o endereço de destino e o conteúdo das notificações, que podem incluir valores em reais.
• Sentry (monitoramento de erros): recebe eventos de erro identificados apenas pelo seu ID interno de usuário. Configuramos a ferramenta para não enviar dados pessoais nem valores em reais, e não utilizamos gravação de sessão.
• Serviços de push (Google, Apple e Mozilla): recebem o endereço de push do seu dispositivo e o conteúdo criptografado da mensagem. Por decisão nossa, notificações push nunca transportam valores em reais.

Também podemos compartilhar dados quando houver exigência legal, judicial ou de autoridade competente, ou para o exercício regular de direitos.

6. Transferência Internacional de Dados

Alguns operadores citados acima — Stripe, Vercel, Cloudflare, Resend, Sentry e os serviços de push do Google, da Apple e da Mozilla — processam dados em servidores localizados fora do Brasil. Essas transferências ocorrem nos termos do art. 33 da LGPD, amparadas nas cláusulas contratuais padrão de proteção de dados desses fornecedores e limitadas ao necessário para a execução do contrato com você.

7. Armazenamento e Retenção

Mantemos seus dados enquanto sua conta existir e pelo prazo adicional necessário para cumprir obrigações legais, especialmente fiscais e contábeis relativas aos pagamentos, ou para o exercício regular de direitos em processo. Registros de acesso são mantidos pelo prazo exigido pela legislação aplicável.

Dados que perdem a finalidade são eliminados ou anonimizados. Encerrada a sua conta, os dados do produto são excluídos, e permanecem apenas os registros que a lei nos obriga a guardar — os dados fiscais do pagamento, por exemplo, ficam sob a responsabilidade da Stripe.

8. Segurança

Adotamos medidas técnicas e organizacionais para proteger seus dados contra acesso não autorizado, perda, alteração ou divulgação indevida. Entre elas:

• Tráfego sempre criptografado (HTTPS) e cookies de sessão HttpOnly, Secure e com proteção anti-CSRF;
• Senhas armazenadas apenas como hash, nunca em texto legível;
• Isolamento rigoroso dos dados por conta, com verificação de titularidade antes de entregar qualquer arquivo;
• Proteção contra tentativas repetidas de login e firewall de aplicação na borda;
• Política de segurança de conteúdo restritiva e cabeçalhos de segurança em todas as respostas;
• Minimização deliberada: monitoramento sem dados pessoais e notificações push sem valores financeiros.

Nenhum sistema é infalível. Caso ocorra incidente de segurança com risco relevante aos seus direitos, comunicaremos você e a Autoridade Nacional de Proteção de Dados (ANPD), nos termos do art. 48 da LGPD.

9. Seus Direitos como Titular

Nos termos do art. 18 da LGPD, você pode, a qualquer momento:

• Confirmar a existência de tratamento e acessar seus dados;
• Corrigir dados incompletos, inexatos ou desatualizados;
• Solicitar a anonimização, o bloqueio ou a eliminação de dados desnecessários ou tratados em desconformidade;
• Solicitar a portabilidade dos dados a outro fornecedor;
• Solicitar a eliminação dos dados tratados com base em consentimento;
• Obter informação sobre com quem compartilhamos seus dados;
• Ser informado sobre a possibilidade de não consentir e sobre as consequências da recusa;
• Revogar o consentimento a qualquer momento.

Como exercer

• Dúvidas e demais direitos: privacidade@capcerto.com.br.
• Exclusão da conta: contato@capcerto.com.br. O pedido também pode ser aberto direto do aplicativo, em Configurações → Privacidade.

Respondemos aos pedidos em até 15 dias. Podemos solicitar informações adicionais para confirmar sua identidade antes de atender, o que é uma medida de segurança em seu favor.

10. Alterações nesta Política

Esta Política pode ser atualizada periodicamente. A versão vigente estará sempre disponível nesta página, com a respectiva data de atualização. Em caso de mudança relevante, avisaremos você pelos canais da Plataforma.

11. Contato

Dúvidas sobre esta Política ou sobre o tratamento dos seus dados: privacidade@capcerto.com.br. Para assuntos gerais e pedidos de exclusão de conta: contato@capcerto.com.br.