Política de Privacidade

1. Quem trata os seus dados

O controlador dos seus dados pessoais é HERNANDO AMARAL SANTOS JUNIOR DESENVOLVIMENTO DE SOFTWARE LTDA, CNPJ 66.416.719/0001-16, com sede em Rua Pais Leme, 215, Conj. 1713, Pinheiros, Sao Paulo/SP, CEP 05424-150.

Nosso encarregado de proteção de dados, previsto no art. 41 da LGPD, é DUMA FINANCE, e o canal dele é privacidade@dumafinance.com.br. Use esse endereço para qualquer pedido sobre os seus dados: ele existe separado do suporte justamente para que pedido de titular não fique na fila de dúvida de produto.

2. O que não fazemos

Começamos por aqui porque é o que mais importa em um aplicativo financeiro:

• Não pedimos a senha do seu banco. Nunca. Se alguém pedir em nosso nome, é golpe.
• Não acessamos a sua conta bancária. Não temos integração de Open Finance e não movimentamos dinheiro nenhum.
• Não vendemos os seus dados , e não os compartilhamos com anunciante.
• Não usamos os seus dados para treinar modelos de inteligência artificial , e o fornecedor de IA que utilizamos está contratualmente proibido de treinar modelos com o conteúdo que enviamos.
• Não lemos as suas conversas do WhatsApp com outras pessoas. O Du só recebe o que você manda para ele, na conversa dele.

3. Quais dados tratamos

Dados de cadastro: nome, e-mail, senha (guardada em hash, nunca em texto legível) e, se você entrar com Google, o identificador e o e-mail da conta Google.

Dados financeiros que você registra: contas, lançamentos, categorias, orçamentos, metas, investimentos e os arquivos de extrato (OFX ou XLSX) que você importar.

Número de WhatsApp e conteúdo das conversas com o Du , se você optar por vincular o número. Incluem mensagens de texto e áudios que você enviar ao Du.

Dados de pagamento: se você assinar, tratamos o status da assinatura e os identificadores da transação. O número do cartão é digitado no ambiente do Mercado Pago e não passa por nós.

Dados técnicos: endereço IP, informações do navegador e registros de acesso, guardados também por obrigação do Marco Civil da Internet.

Registro de consentimento de cookies: o que você escolheu, quando e sob qual versão da política.

4. Por que tratamos, e com qual base legal

Dado financeiro não é dado sensível na definição do art. 5º, II da LGPD, mas nós o tratamos com o mesmo cuidado: cifrado em trânsito, isolado por usuário e acessível apenas ao titular.

5. Inteligência artificial

O Du usa um modelo de linguagem para entender o que você escreve e responder. Para isso, o conteúdo da sua mensagem e os números da sua própria conta necessários para responder são enviados ao fornecedor do modelo, que os processa e devolve a resposta.

Esse fornecedor atua como operador, tem contrato conosco, não usa esse conteúdo para treinar modelos e não o utiliza para finalidade própria. Se você preferir não ter dados processados dessa forma, basta não vincular o WhatsApp: o aplicativo funciona inteiro sem o Du.

6. Dados da sua Conta Google

Usar a Conta Google no Duma é opcional, e são duas autorizações separadas: entrar com o Google e conectar o Google Agenda. Uma não implica a outra, e o aplicativo funciona inteiro sem nenhuma das duas.

Para entrar com o Google pedimos os escopos openid, email e profile. O Google nos devolve o identificador da sua conta, o seu endereço de e-mail, a confirmação de que esse e-mail é verificado, o seu nome e o endereço da foto de perfil. Guardamos o identificador, o e-mail e o nome, que é o necessário para criar a sua conta e reconhecer você nos acessos seguintes. A foto não é guardada.

Para conectar o Google Agenda pedimos dois escopos, e apenas eles:

• calendar.events, para criar, alterar, consultar e apagar os compromissos que você marcar no aplicativo ou pedir ao Du;
• calendar.calendarlist.readonly, apenas para listar os nomes das suas agendas, para que você escolha em qual delas os compromissos serão criados.

Não pedimos o escopo de calendário completo nem o de leitura de toda a agenda: os dois dariam acesso maior do que o recurso precisa.

O que guardamos do vínculo com a agenda: o identificador e o e-mail da conta Google autorizada, a agenda escolhida como destino, os escopos que você concedeu e as credenciais de acesso, cifradas no nosso banco. Os compromissos em si continuam no Google, e não mantemos cópia deles.

Quando você pede ao Du para consultar a agenda , os compromissos daquele período são enviados ao fornecedor de inteligência artificial para que a resposta seja montada, nas mesmas condições da seção Inteligência artificial: ele atua como operador, tem contrato conosco, não usa esse conteúdo para treinar modelos e não o utiliza para finalidade própria.

Uso limitado. O uso e a transferência, pelo Duma, de informações recebidas das APIs do Google obedecem à Política de Dados do Usuário dos Serviços de API do Google, disponível em developers.google.com/terms/api-services-user-data-policy, inclusive aos requisitos de Uso Limitado. Na prática: os dados obtidos das APIs do Google servem apenas para oferecer os recursos descritos nesta seção, não são vendidos, não alimentam publicidade e não são usados para desenvolver, melhorar ou treinar modelos de inteligência artificial generalizados.

Como revogar. Desconecte a agenda em Configurações, dentro do aplicativo: o acesso é revogado junto ao Google e o vínculo, com as credenciais, é apagado na hora. Você também pode retirar o acesso pela sua Conta Google, em Segurança, na lista de aplicativos com acesso à conta, e nesse caso o vínculo aqui deixa de funcionar e é derrubado na primeira tentativa de uso. Excluir a sua conta no Duma também apaga o vínculo.

7. Com quem compartilhamos

Compartilhamos o mínimo necessário, sempre com operadores contratados:

• Fornecedor de inteligência artificial , para o Du responder.
• Mercado Pago , para processar a assinatura.
• Provedor de envio de e-mail , para mensagens transacionais como verificação de conta e recuperação de senha.
• WhatsApp , operado pela Meta, como canal de mensagem. O uso do WhatsApp também está sujeito à política de privacidade da Meta.
• Google , se você usar login com Google ou conectar a sua agenda.
• Provedores de hospedagem e infraestrutura , que armazenam a aplicação e o banco de dados.

Também podemos compartilhar dados por ordem judicial ou requisição legal de autoridade competente.

8. Transferência internacional

Alguns desses fornecedores estão fora do Brasil, principalmente nos Estados Unidos. A transferência acontece com base no art. 33 da LGPD, amparada em cláusulas contratuais que impõem ao fornecedor nível de proteção compatível com a lei brasileira.

9. Por quanto tempo guardamos

Enquanto a sua conta existir, guardamos os seus dados para prestar o serviço.

Quando você exclui a conta, os dados deixam imediatamente de ser acessíveis e de ser tratados, e são eliminados em definitivo em até 90 dias. Continuam guardados após esse prazo apenas:

• registros de pagamento e documentos fiscais, pelo prazo exigido pela legislação tributária;
• registros de acesso, pelo prazo do Marco Civil da Internet;
• o mínimo necessário para exercício de direito em processo, se houver algum em curso.

10. Segurança

Senhas são guardadas com hash e nunca em texto legível. O tráfego é cifrado com TLS. O acesso ao banco é restrito e registrado. A sessão usa cookies httpOnly, que o JavaScript da página não consegue ler. Cada consulta é isolada pelo titular, e a aplicação não expõe dado de um usuário a outro.

Nenhum sistema é imune. Se acontecer um incidente com risco relevante aos seus direitos, avisamos você e a ANPD, como manda o art. 48 da LGPD.

11. Os seus direitos

O art. 18 da LGPD garante a você: confirmação de que tratamos seus dados, acesso a eles, correção, anonimização ou eliminação, portabilidade, informação sobre com quem compartilhamos, e revogação do consentimento.

Na prática, boa parte disso você faz sozinho, sem pedir nada a ninguém:

• Acessar e corrigir: dentro do próprio aplicativo.
• Exportar: a tela de transações exporta em CSV e em XLSX.
• Excluir a conta: em Configurações, e o efeito é o descrito na seção Por quanto tempo guardamos.
• Cookies: o painel de preferências fica no rodapé e em Configurações.

Para os demais pedidos, escreva para privacidade@dumafinance.com.br. Respondemos em até 15 dias.

Você também pode peticionar à Autoridade Nacional de Proteção de Dados.

12. Cookies

O que fica guardado no seu navegador, por quê, e como mudar de ideia está na Política de Cookies.

13. Menores de idade

O Duma é para maiores de 18 anos. Não tratamos dados de crianças e adolescentes de forma intencional. Se identificarmos uma conta nessa situação, ela é encerrada e os dados, eliminados.

14. Mudanças nesta política

Versão nova ganha número e data de vigência, e a anterior continua consultável. Mudança relevante é comunicada por e-mail.

15. Contato

Proteção de dados: privacidade@dumafinance.com.br, com DUMA FINANCE. Demais assuntos: suporte@dumafinance.com.br.