Política de Privacidade
Esta política explica, em linguagem simples, como o Cacatua trata dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, a LGPD).
1. Quem é o responsável
O controlador dos dados é RODRIGO NAVARRO, que opera o Cacatua. O canal para assuntos de privacidade, inclusive o do encarregado pelo tratamento de dados, é [email protected].
2. Que dados tratamos e para quê
| Dado | Para que usamos | Base legal (LGPD) |
|---|---|---|
| Nome, e-mail e senha (guardada só como hash irreversível) | Criar e proteger sua conta, entrar no app, recuperar a senha e avisar sobre a conta | Execução de contrato (art. 7º, V) |
| Grupos, participantes, despesas, divisões, saldos e pagamentos declarados ou confirmados | Prestar o serviço: calcular quem deve a quem e manter o histórico dos acertos | Execução de contrato (art. 7º, V) |
| Chave Pix (guardada criptografada), se você cadastrar | Mostrar a instrução de pagamento a quem vai pagar você | Execução de contrato (art. 7º, V) |
| Número de celular, se você vincular ao WhatsApp | Receber braindumps pelo WhatsApp e confirmar que o número é seu | Execução de contrato (art. 7º, V) |
| Foto do perfil, se você enviar | Exibir sua foto nos links públicos dos grupos que você compartilhar | Execução de contrato (art. 7º, V) |
| Fotos de recibos e textos de braindump | Ler valores e itens e criar as despesas para você conferir (veja a seção 4) | Execução de contrato (art. 7º, V) |
| Nomes de contatos e amigos que você cadastra | Colocar essas pessoas nos seus grupos, mesmo que elas ainda não tenham conta | Legítimo interesse (art. 7º, IX) |
| Assinatura do Plus e dados de cobrança processados pelo provedor de pagamento | Cobrar e liberar os benefícios do Plus, e cumprir obrigações fiscais | Execução de contrato e obrigação legal (art. 7º, V e II) |
| Eventos de auditoria de plano, uso, despesas e segurança | Explicar mudanças de assinatura e consumo, manter o histórico compartilhado de despesas e investigar sinais de segurança | Execução de contrato e legítimo interesse (art. 7º, V e IX) |
| Registros técnicos de acesso (data, hora e endereço IP) e dados de segurança | Segurança, prevenção a fraudes e abusos, e cumprimento do Marco Civil da Internet | Legítimo interesse e obrigação legal (art. 7º, IX e II) |
Não vendemos dados pessoais, não os usamos para publicidade e não fazemos decisões automatizadas que produzam efeitos jurídicos sobre você. Os cookies que usamos são apenas os essenciais: um de sessão (para manter você conectado) e um de segurança (proteção contra ataques CSRF). Não usamos cookies de rastreamento nem de publicidade.
3. Dados de outras pessoas
Ao usar o Cacatua você pode informar nomes de amigos, moradores e contatos, e fotos de recibos podem conter dados de terceiros. Informe apenas o necessário para dividir as contas. Se você aparece em um grupo criado por outra pessoa e quer corrigir ou remover seus dados, escreva para [email protected].
4. Inteligência artificial do Google
Toda foto de recibo e todo texto de braindump são enviados ao Google. A leitura de fotos (OCR) e a interpretação de textos de braindump são sempre feitas pelo Google Gemini, serviço da Google LLC. Ao enviar uma foto ou texto para o Cacatua, o conteúdo é transmitido à API do Google para ser lido e devolvido ao Cacatua.
- Isso implica transferência internacional de dados (art. 33 da LGPD), pois os servidores do Google podem estar fora do Brasil.
- O Google atua como nosso operador, com finalidade limitada a ler o conteúdo enviado. As condições de tratamento dele estão nos termos do Gemini API e do Google Cloud.
- Evite fotografar documentos e informações que não sejam necessários para a despesa (por exemplo, o rosto ou dados pessoais de terceiros, ou cartões). O app sempre pede que você confira o resultado antes de valer.
- Se você não quiser que o conteúdo passe pelo Google, não use o envio de fotos nem o braindump: registrar despesas manualmente continua disponível.
5. Com quem compartilhamos
Compartilhamos dados apenas com quem é necessário para o serviço funcionar (operadores) e com as pessoas dos seus grupos:
- Pessoas dos seus grupos: veem seu nome, suas despesas e pagamentos naquele grupo. Quem abre o link público de um grupo vê só a parte que o link permite, e sua foto de perfil se você tiver enviado uma.
- Google (Gemini): fotos de recibos e textos de braindump, como explicado na seção 4.
- Resend: envio dos e-mails do Cacatua (recuperação de senha, confirmações). Serviço com servidores fora do Brasil.
- Asaas: processamento da assinatura do Plus, quando você assina.
- Provedor de hospedagem e armazenamento: onde o app, o banco de dados e os backups ficam guardados.
- WhatsApp (Meta): se você usar o recebimento por WhatsApp, as mensagens passam pela plataforma do WhatsApp, sob os termos dela.
- Autoridades: quando houver obrigação legal ou ordem judicial.
6. Por quanto tempo guardamos
- Dados da conta: enquanto a conta existir. Ao excluir a conta, ela é anonimizada (seção 7).
- Fotos originais de recibos: apagadas automaticamente após 30 dias. A despesa criada e o histórico de correções permanecem.
- Texto bruto de braindump (web e WhatsApp): apagado após 30 dias. A despesa criada permanece.
- Histórico financeiro dos grupos: mantido enquanto o grupo existir, para que os outros participantes continuem enxergando o que foi acertado. Se você excluir a conta, sua identidade é removida desse histórico.
- Eventos pessoais de plano e uso: mantidos por até 6 meses; ficam disponíveis para você e são incluídos na exportação de dados. Eventos de segurança não aparecem na exportação e são removidos ao excluir a conta. Eventos financeiros permanecem com o grupo e têm autoria anonimizada quando necessário.
- Eventos de auditoria: não guardam texto ou foto do braindump nem prompts completos. Sinais de segurança podem registrar apenas a categoria e o identificador da regra acionada, para consulta restrita à equipe autorizada.
- Registros técnicos de acesso: por até 6 meses, conforme o Marco Civil da Internet (Lei nº 12.965/2014).
- Links de e-mail (recuperação de senha e confirmações): expiram em 1 a 24 horas e valem uma única vez.
- Backups: cópias de segurança são substituídas periodicamente; dados apagados deixam de existir também nelas ao fim do ciclo de backup.
7. Seus direitos
Você pode, a qualquer momento (art. 18 da LGPD): confirmar que tratamos seus dados; acessá-los; corrigi-los; pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários; pedir a portabilidade; saber com quem compartilhamos; e se opor a um tratamento. Sem custo.
- Baixar seus dados: em Minha conta › Seus dados, o botão “Baixar meus dados” gera um arquivo com o que é seu.
- Excluir sua conta: em Minha conta › Seus dados. Seu nome, e-mail, senha, foto, chave Pix, número de celular, contatos e amizades são removidos e suas fotos e textos brutos são apagados. Por causa dos outros participantes, as despesas e os pagamentos dos grupos permanecem, mas sem identificar você: seu nome passa a aparecer como “Conta removida”. Se você administra um grupo com outras pessoas, é preciso passar a administração antes; se tem o Plus ativo, é preciso cancelá-lo antes.
- Outros pedidos (correção, oposição, dúvidas, ou se você não tem conta): escreva para [email protected]. Respondemos em até 15 dias.
- Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).
8. Segurança
Usamos medidas técnicas para proteger seus dados: senhas com hash Argon2id, chave Pix criptografada, conexão HTTPS, sessões com cookie protegido, proteção contra CSRF e limites de tentativas. Nenhum sistema é totalmente imune. Se houver um incidente que possa causar risco relevante a você, avisaremos você e a ANPD, conforme a lei.
9. Menores de idade
O Cacatua é destinado a maiores de 18 anos. Não coletamos intencionalmente dados de menores; se identificarmos uma conta de menor, ela poderá ser removida.
10. Mudanças nesta política
Podemos atualizar esta política. A data da versão está no topo da página. Em mudanças relevantes, pediremos que você aceite a nova versão. Veja também os Termos de Uso.