Política de Privacidade

1. Conceitos básicos

• Dados pessoais: informação relacionada a pessoa natural identificada ou identificável.
• Dados pessoais sensíveis: dados sobre saúde, vida sexual, origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dado genético ou biométrico.
• Titular: a pessoa a quem os dados se referem.
• Controlador: quem toma as decisões sobre o tratamento dos dados. No Control ALL, o desenvolvedor responsável pelo serviço.
• Operador: quem trata os dados em nome do controlador, como os provedores de nuvem.
• Tratamento: qualquer operação com dados pessoais, como coleta, uso, armazenamento, compartilhamento e exclusão.
• ANPD: Autoridade Nacional de Proteção de Dados, que fiscaliza o cumprimento da LGPD.
• Cookies e tecnologias semelhantes: pequenos arquivos ou registros guardados no navegador ou no aparelho. Os detalhes estão na Política de Cookies.

2. Quais dados tratamos e de onde vêm

Dados que você informa

• Cadastro: nome, e-mail, CPF, telefone e data de nascimento, além da data e da versão dos Termos e desta Política que você aceitou.
• Renda e jornada mensal, se você usar o cálculo de custo em horas.
• Tudo o que você lança nos módulos (lançamentos, cartões, investimentos, notas fiscais, lista de compras, veículos, pets, exames, anotações) e os arquivos que envia.
• Mensagens de texto e áudio enviadas ao assistente de IA.
• Chamados de suporte, pedidos de privacidade e as respostas.

Dados recebidos de terceiros

• Open Finance, por meio da Pluggy: contas, saldos, transações, cartões, investimentos e empréstimos que você autorizar na instituição.
• Notas fiscais: dados da nota consultados na página pública da SEFAZ a partir da chave de acesso que você informa.
• Convites: nome e e-mail informados por quem convidou você para um grupo.

Dados coletados automaticamente

• Acesso: endereço IP, data e hora, página aberta, aparelho e navegador, e local aproximado (cidade, estado e país) deduzido do IP.
• Origem da visita (por exemplo, o link de uma campanha), só para quem aceita as métricas no aviso de cookies.
• Segurança: logins, tentativas erradas, códigos de acesso, trocas de senha, bloqueios e registros de auditoria da administração.

Dados do aparelho (app para iPhone)

• Câmera, fotos e microfone só quando você usa a função (ler nota, anexar comprovante, falar com a IA).
• Face ID: a verificação acontece no aparelho, pela Apple. O Control ALL não recebe a sua biometria.
• Notificações: são agendadas no próprio aparelho.

O que não coletamos

Senha bancária, número completo de cartão, biometria e localização precisa (GPS). Dados de saúde só entram se você mesmo cadastrar exames.

3. Para que usamos os dados e com qual base legal

4. Com quem compartilhamos

Não vendemos dados pessoais e não os compartilhamos para publicidade. Os dados só são compartilhados na medida necessária para o serviço funcionar:

• Pessoas do seu grupo, conforme as permissões definidas pelo administrador do grupo.
• Supabase: banco de dados, autenticação e armazenamento de arquivos.
• Vercel: hospedagem do site e métricas de acesso sem cookies (só para quem aceita as métricas).
• Oracle Cloud: armazenamento de comprovantes, na região de São Paulo.
• Google Drive: só se você conectar a sua própria conta para guardar arquivos nela.
• Resend: envio de e-mails do serviço e de segurança.
• OpenAI: assistente de IA e transcrição de áudio.
• Pluggy: conexão do Open Finance.
• Apple e Expo: distribuição e atualização do app.
• SEFAZ: recebe a chave da nota quando você consulta uma nota fiscal.
• Autoridades públicas e Judiciário, quando a lei ou uma ordem judicial exigir.
• Em caso de venda, fusão ou reorganização da empresa, os dados podem ser transferidos ao sucessor, que deverá cumprir esta Política.

Esses provedores tratam os dados em nosso nome, só para as finalidades acima, e estão sujeitos a obrigações de segurança e confidencialidade. Cotação do dólar e índices do Banco Central são consultados sem enviar dados pessoais.

5. Transferência internacional

Alguns provedores processam dados fora do Brasil, principalmente nos Estados Unidos (por exemplo, Vercel, Resend e OpenAI). Essas transferências seguem a LGPD, com base nas garantias contratuais de proteção de dados oferecidas pelos provedores.

6. Por quanto tempo guardamos

• Dados da conta e o que você lança: enquanto a conta existir.
• Conta excluída: carência de 90 dias para recuperação; depois, os dados são apagados.
• Registros de acesso à Plataforma: pelo prazo mínimo de 6 meses exigido pelo Marco Civil da Internet e enquanto forem necessários para segurança.
• Arquivos enviados para análise de layout de fatura: até 30 dias.
• Conversas com o assistente de IA: não ficam gravadas no nosso banco de dados.
• Chamados e pedidos de privacidade: pelo tempo necessário para comprovar o atendimento.

Podemos guardar dados por mais tempo quando a lei exigir ou para exercer direitos em processos judiciais ou administrativos.

7. Como protegemos os dados

• Conexão criptografada (HTTPS) entre o seu aparelho e a Plataforma, e criptografia em repouso nos provedores de armazenamento.
• Regras de acesso no banco de dados que separam os grupos.
• Senha guardada só em forma de hash, bloqueio após tentativas erradas e segundo fator por e-mail.
• Alertas por e-mail em pedidos e trocas de senha, com o botão "Não fui eu".
• Acesso administrativo restrito ao desenvolvedor responsável, com proteção adicional e registros de auditoria.

Somente o desenvolvedor responsável tem acesso técnico ao banco de dados. Esse acesso é usado em caráter de exceção: para manutenção, correção de problemas, suporte pedido por você ou cumprimento de obrigação legal. Senhas não ficam visíveis em nenhuma hipótese.

Nenhum sistema é totalmente imune a falhas. Se acontecer um incidente de segurança que possa causar risco ou dano relevante, avisaremos você e a ANPD, como exige a LGPD.

8. Cookies

O site usa armazenamento essencial do navegador (login e preferências) e, só com o seu aceite, métricas de acesso. Não usamos cookies de publicidade nem de rastreamento por terceiros. O app não usa cookies de navegador e não rastreia você em outros apps. Detalhes e escolhas na Política de Cookies.

9. Seus direitos

A LGPD garante a você, a qualquer momento:

• confirmação de que tratamos seus dados e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados (você também pode corrigir na tela Conta);
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• portabilidade dos dados a outro fornecedor;
• eliminação dos dados tratados com base no consentimento;
• informação sobre com quem compartilhamos os dados;
• informação sobre a possibilidade de não consentir e as consequências da recusa;
• revogação do consentimento;
• revisão de decisões tomadas só com base em tratamento automatizado que afetem seus interesses;
• reclamação à ANPD.

Para exercer seus direitos, use o formulário desta página ou escreva para privacidade@controlall.com.br. Para sua segurança, podemos pedir a confirmação da sua identidade. Respondemos em até 15 dias. A exclusão da conta também pode ser feita direto no site ou no app.

10. Crianças e adolescentes

O Control ALL é destinado a maiores de 18 anos e não coleta intencionalmente dados de menores como usuários. Se você registrar dados de um filho menor (por exemplo, exames ou vacinas), faz isso como responsável legal, e esses dados recebem o mesmo cuidado dos dados sensíveis. Se soubermos que uma conta pertence a menor de 18 anos, ela poderá ser encerrada.

11. Canal de privacidade

O Control ALL é um agente de tratamento de pequeno porte e, como permite o art. 11 da Resolução CD/ANPD nº 2/2022, não tem encarregado (DPO) formalmente designado. O canal de comunicação com titulares e com a ANPD é o e-mail privacidade@controlall.com.br, atendido pelo desenvolvedor responsável.

12. Alterações e controle de versões

Esta Política pode ser atualizada. Mudanças relevantes serão avisadas no site e no app.