Política de Privacidade

O Conta Justa é operado por LBA TECNOLOGIA LTDA, inscrita no CNPJ sob o nº 41.450.516/0001-15 — é ela a controladora dos dados tratados aqui (Art. 5º, VI).

O encarregado pelo tratamento de dados (Art. 41) é Lander Andrade, sócio administrador. Ele recebe reclamações e comunicações de titulares e da ANPD, presta esclarecimentos e adota providências. Fale com ele por contato@contajusta.app.

Da sua conta: nome, e-mail e senha — e, se você quiser preencher em "Minha conta", CPF/CNPJ, telefone, data de nascimento, endereço, foto de perfil e idioma. Esses campos são opcionais, servem para o seu cadastro e para os recursos que pedirem identificação (como a cobrança), e você pode apagar cada um deles quando quiser. A senha nunca é guardada como você a digitou — o que fica gravado é um resumo criptográfico (bcrypt) do qual não se volta ao original. Se você entrar com Google ou Apple, recebemos deles seu nome, seu e-mail e um identificador da sua conta naquele provedor; nesse caso pode não existir senha aqui.

De segurança: data, endereço IP e navegador de cada tentativa de entrada — a sua e a de quem tentar entrar na sua conta. Se você ativar a verificação em duas etapas, o segredo dela fica cifrado.

Do seu plano: o plano da sua conta (Grátis ou Pro) e a data da última mudança. Quem participa de uma organização vê o plano de quem é dono dela, porque é ele que define o que a organização comporta. No plano Grátis, num rateio de três ou mais pessoas, cada membro vê o próprio saldo e o de quem é dono da organização; as demais pessoas aparecem somadas, sem nome. Se você assinar o Pro, guardamos também cada assinatura (por onde foi feita, situação, ciclo mensal ou anual e as datas de renovação e de encerramento), o histórico das mudanças do seu plano e o identificador da sua conta de cliente no Stripe. Os dados do cartão você digita na página do Stripe: nós nunca recebemos o número, a validade nem o código de segurança. Se você assinar pelo app do iPhone, guardamos o identificador da compra que a Apple nos entrega e um identificador aleatório da sua conta, que vai junto na compra para ligá-la a você. Nenhum dos dois aparece na exportação dos seus dados, e os dois são apagados com a conta.

Dos avisos de vencimento: se você quer o e-mail e as notificações no celular antes do vencimento das contas fixas, com quantos dias de antecedência, e o histórico dos avisos que você recebeu — a organização, a conta fixa, a data de vencimento, quando saiu o aviso no sistema e quando saiu o e-mail. O histórico não guarda cópia da descrição nem do valor: eles são lidos da conta fixa. Se você permitir notificações no app para celular, guardamos também o endereço de notificação do aparelho, a plataforma (iPhone ou Android) e a data do registro.

O que você cadastra no sistema: lançamentos financeiros, categorias, contas, cartões, objetivos, rateios, comprovantes que você anexa e o cadastro de pessoas — que pode incluir CPF/CNPJ, telefone, endereço e observações de terceiros.

Não tratamos dados pessoais sensíveis (Art. 5º, II) e não pedimos nenhum. Se você digitar informação desse tipo num campo livre, como a observação de uma pessoa, ela fica guardada como texto comum — evite.

Fornecer esses dados é necessário (Art. 18, VIII): sem nome, e-mail e senha não há como criar conta nem manter você conectado, e a consequência de não fornecer é não conseguir usar o serviço. Já dados de pessoas, comprovantes e observações são opcionais: o sistema funciona sem eles.

Ao cadastrar uma pessoa que não usa o sistema — com CPF, telefone ou endereço —, quem decide sobre esses dados é você: você é o controlador e nós somos operadores (Art. 5º, VI e VII). Guardamos e exibimos seguindo as suas instruções, e não usamos esse conteúdo para nenhuma outra finalidade.

Isso vem com obrigações que são suas, não nossas: ter base legal para tratar o dado daquela pessoa, informá-la quando for o caso e atender os direitos que ela exercer. Se ela nos procurar, nós encaminhamos o pedido a você.

• Prestar o serviço (criar sua conta, calcular rateios, mostrar seu painel, guardar seus lançamentos): execução de contrato — Art. 7º, V.
• Avisar o que acontece na organização por notificação e e-mail: execução de contrato. O e-mail de movimentação de rateio pode ser desligado em "Minha conta".
• Avisar antes do vencimento das contas fixas da organização: uma vez por dia, uma rotina confere as contas fixas de despesa e avisa cada membro no sistema. Quem é do plano Pro recebe também um e-mail, com a descrição, o valor total e a data de vencimento, das contas fixas que paga ou divide e, se for o dono da organização, das que nenhum membro paga ou divide. Execução de contrato — Art. 7º, V. Para parar de receber o e-mail, desligue "E-mails de vencimento" em "Minha conta"; o aviso no sistema continua. No app para celular, se você permitir, o aviso também chega como notificação, com um texto genérico ("Você tem contas fixas vencendo"), sem o nome da organização, da conta ou o valor. Para parar, desligue "Notificações de vencimento" em "Minha conta" no app ou negue a permissão nos ajustes do aparelho.
• Cobrar a assinatura do Pro (criar a cobrança, renovar, registrar cancelamento, reembolso e contestação e manter o plano de acordo): execução de contrato — Art. 7º, V. O registro fiscal das cobranças é cumprimento de obrigação legal — Art. 7º, II.
• Proteger a conta (registrar tentativas de entrada e bloquear excesso de tentativas): legítimo interesse — Art. 7º, IX, combinado com o Art. 10. O interesse é impedir que a conta de alguém seja invadida por tentativa e erro; para isso tratamos o mínimo (data, IP e navegador) e por 90 dias.

Nenhum tratamento aqui depende de consentimento. Como as bases são contrato e legítimo interesse, você pode se opor ao tratamento caso entenda que ele descumpre a lei (Art. 18, §2º) — escreva para contato@contajusta.app e nós respondemos.

Não vendemos dados, não fazemos publicidade, não traçamos perfil de comportamento e não usamos seus dados para treinar nenhum modelo.

• Amazon Web Services (AWS) — hospeda o servidor e o banco de dados, na região de São Paulo. Esses dados ficam no Brasil.
• Resend — envia os e-mails do sistema (convite, confirmação de cadastro, recuperação de senha, código para excluir a conta, aviso de rateio e aviso de vencimento de conta fixa). Recebe o endereço de destino e o conteúdo da mensagem.
• Expo — entrega as notificações do app para celular. Recebe o endereço de notificação do aparelho e o texto genérico do aviso, e os repassa à Apple (iPhone) ou ao Google (Android), que fazem a entrega no aparelho. Não recebe seu nome, e-mail nem dados das suas organizações.
• Google e Apple — só se você escolher entrar com a conta de um deles. Eles nos entregam nome, e-mail e um identificador; do nosso lado, ficam sabendo que você usa o Conta Justa. Nenhum dado do que você cadastra aqui vai para eles. Guardamos também, cifrado, um código de acesso que a Apple nos entrega. Ele serve só para retirar o acesso do Conta Justa ao seu ID Apple quando você exclui a conta ou desliga a Apple, e é apagado nessa hora.
• Stripe — processa o pagamento do plano Pro comprado no site. Recebe seu nome, seu e-mail, o idioma da conta e um identificador interno da sua conta, e recebe direto de você, na página dele, os dados de pagamento (cartão, Apple Pay ou Google Pay). Nós recebemos de volta só a situação da assinatura e as datas; nunca o número do cartão. Não recebe nada do que você cadastra nas organizações. Quando você exclui a conta, cancelamos a assinatura e apagamos seu cadastro de cliente no Stripe. Ficam lá, pelo prazo que a lei impõe a ele, os registros fiscais e contábeis das cobranças já feitas (valor, data e meio de pagamento).
• Apple (App Store) — processa o pagamento do plano Pro comprado no app do iPhone, na sua conta Apple. Nós recebemos dela o identificador da compra, o produto (mensal ou anual), as datas, a situação da assinatura e se a compra é de teste; nunca o cartão nem o seu ID Apple. A Apple recebe de nós só o identificador aleatório da sua conta que vai junto na compra. Não conseguimos cancelar uma assinatura da App Store: quando você exclui a conta, apagamos o que guardamos dela, mas a Apple continua cobrando até você cancelar em Ajustes do iPhone, em Assinaturas.
• BrasilAPI — recebe só o CEP que você digita no perfil, enviado pelo nosso servidor, para devolver o endereço. Não recebe seu nome, e-mail nem nada que identifique sua conta.

Transferência internacional: a Resend, a Expo, o Stripe e a Apple são empresas estadunidenses. Enviar um e-mail transfere para fora do Brasil o seu endereço e o texto da mensagem, enviar uma notificação transfere o endereço de notificação do aparelho e o texto genérico do aviso, assinar o Pro no site transfere ao Stripe seu nome, seu e-mail e os dados de pagamento, e assinar no app do iPhone transfere à Apple o identificador aleatório da sua conta (Art. 33). Isso é necessário para executar o contrato que você tem conosco. Fora o CEP consultado na BrasilAPI, que vai sem nada que identifique você ou sua conta, nenhum outro dado seu sai do país.

Fora esses, dados só saem daqui por ordem judicial ou requisição de autoridade competente. A lista atualizada de com quem compartilhamos é esta seção — é o que a lei chama de informação sobre uso compartilhado (Art. 18, VII).

Não há rastreador de terceiros, pixel de anúncio nem ferramenta de análise de comportamento em nenhuma página.

Todos estritamente necessários para o serviço funcionar e nenhum de terceiro — por isso não há banner pedindo permissão: o cookie de sessão (mantém você conectado), um cookie temporário de verificação em duas etapas (vive 5 minutos, entre a senha e o código), dois cookies temporários da entrada com Google/Apple (um vive 10 minutos, entre o clique e a volta do provedor; o outro, 15 minutos, até você concluir o cadastro) e o cookie de tema (lembra se você prefere claro ou escuro). Nenhum deles acompanha você em outros sites.

• Sua conta e o que você cadastrou: enquanto a conta existir.
• Registro de entradas na conta: 90 dias, depois é apagado automaticamente.
• Histórico de avisos de vencimento: 90 dias depois da data de vencimento, depois é apagado automaticamente.
• Endereço de notificação do aparelho: enquanto a sessão do app naquele aparelho existir. Some ao sair do app, ao encerrar a sessão em "Minha conta", ao trocar ou redefinir a senha e depois de 90 dias sem uso.
• Assinaturas e histórico do plano: enquanto a conta existir; saem junto com ela.
• Falha ao cancelar a cobrança na exclusão da conta: se o Stripe não responder quando você exclui a conta, guardamos só o identificador da assinatura ou do cliente no Stripe, sem nome nem e-mail, para concluir o cancelamento à mão. Fica 90 dias e depois é apagado automaticamente.
• Lixeira de lançamentos: 2 dias; passado o prazo, a exclusão é definitiva.
• Sessão: cai sozinha depois de 12 horas sem uso e, de qualquer forma, 7 dias depois de você ter entrado.
• Backups: cópias cifradas do banco, guardadas fora do servidor por 90 dias.

Uma consequência do backup que preferimos dizer: quando você exclui sua conta, ela some do sistema na hora, mas seus dados ainda podem existir nas cópias de segurança por até 90 dias. Essas cópias são cifradas, ficam fora do servidor, só são abertas para restaurar o serviço depois de um desastre, e são descartadas ao fim do prazo.

Encerrado o tratamento, os dados são eliminados, ressalvado o que a lei permitir conservar — cumprimento de obrigação legal ou exercício de direitos em processo, por exemplo (Arts. 15 e 16).

O Art. 18 lista o que você pode pedir. Aqui está cada um, e por onde:

• Confirmar que tratamos seus dados e acessá-los (I e II): em "Minha conta", o botão Baixar meus dados gera na hora um arquivo com tudo o que guardamos sobre você, em formato aberto.
• Corrigir dado incompleto, inexato ou desatualizado (III): nome e senha em "Minha conta"; o resto, nas telas onde o dado foi cadastrado.
• Anonimizar, bloquear ou eliminar dado desnecessário, excessivo ou tratado fora da lei (IV): peça por contato@contajusta.app, dizendo qual dado e por quê.
• Portabilidade (V): o mesmo arquivo do Baixar meus dados serve — é JSON, formato aberto que outro serviço consegue ler.
• Eliminar sua conta (VI): em "Minha conta", o botão Excluir minha conta. É imediato e não tem volta. Veja como excluir e o que acontece com os seus dados.
• Saber com quem compartilhamos (VII): está na seção acima, sempre atualizada.
• Saber o que acontece se você não fornecer um dado (VIII): está na seção "Que dados são tratados".
• Revogar consentimento (IX): não se aplica, porque nenhum tratamento nosso se baseia em consentimento. No lugar disso, você pode se opor ao tratamento ou encerrar a conta.

Prazos de resposta (Art. 19): confirmação e acesso são atendidos imediatamente, em formato simplificado — é o que o botão de baixar seus dados faz. Pedidos que exijam declaração completa, e os demais direitos, são respondidos em até 15 dias.

Um limite que preferimos dizer claramente: os lançamentos de uma organização pertencem à organização, não a você. Enquanto você for dono de uma, a exclusão da sua conta fica condicionada a passar a propriedade para outra pessoa ou excluir a organização — do contrário os outros membros perderiam o histórico sem terem sido consultados. Não é recusa: as duas ações estão na sua mão e são imediatas.

Você também pode peticionar à ANPD (Autoridade Nacional de Proteção de Dados) contra o controlador (Art. 18, §1º).

O Conta Justa é feito para maiores de 18 anos e não é direcionado a crianças nem a adolescentes. Não coletamos conscientemente dados de menores de idade (Art. 14). Se soubermos que uma conta foi criada por alguém nessa faixa sem o consentimento específico e em destaque de um dos pais ou do responsável legal, ela é encerrada e os dados, eliminados. Se você é responsável e acredita que isso aconteceu, escreva para contato@contajusta.app.

Todo o acesso é por HTTPS. As senhas são guardadas como resumo bcrypt. Há verificação em duas etapas opcional, bloqueio progressivo por excesso de tentativas de entrada, sessão com prazo de inatividade e prazo final, papéis por organização (quem só lê não escreve) e toda consulta é filtrada pela organização ativa. Os backups saem cifrados do servidor (Art. 46).

O que não fazemos, para você saber: o arquivo do banco de dados no servidor não é cifrado, e CPF, telefone e endereço são guardados como texto. A proteção desses campos vem do controle de acesso ao servidor e da cifra do backup.

Se acontecer um incidente que possa acarretar risco ou dano relevante a você, comunicamos você e a ANPD no prazo previsto na regulamentação (Art. 48), informando o que aconteceu, quais dados foram atingidos, o que já foi feito e o que você pode fazer.

Se algo mudar, a data no topo muda junto. Mudança relevante — nova finalidade, novo terceiro recebendo dado, prazo maior de guarda — é avisada dentro do sistema antes de passar a valer. As versões anteriores ficam registradas no histórico do repositório do projeto.