Política de privacidade

Quem é o responsável

Olstad Digital (nº de registro 938 090 432, Selma Ellefsens vei 3H, 0581 Oslo, Noruega) é o controlador do tratamento descrito aqui. Fale conosco em kontakt@nordicdigitalapp.no.

Resumindo

• Seu orçamento fica salvo no seu celular. Sem conta, não conseguimos vê-lo.
• A conta é opcional (Apple, Google, Facebook ou e-mail). Com conta e Pro, seu orçamento é sincronizado com nosso servidor na UE (Irlanda) para você usar em vários dispositivos.
• Não há conexão bancária.
• Os arquivos CSV e Excel do seu banco são lidos só no seu celular. O arquivo em si nunca é guardado, copiado nem enviado.
• O app só envia seu orçamento para o nosso servidor quando você sincroniza com o Pro, e imagens para a leitura por IA só quando você dá permissão. Se o backup estiver ativado no seu celular, a Apple (iCloud) ou o Google (sua Conta do Google) inclui nele os dados do app.
• Os relatórios de falhas não contêm nome, e-mail, conta nem endereço IP.
• Você pode exportar e excluir tudo no app, de graça.

Guardado no seu celular

O app guarda isto no próprio armazenamento do celular. Nada disso é enviado para nós, e tudo é apagado quando você apaga todos os dados no app ou o desinstala:

• As contas que você cria (nomes que você escolhe, saldo e moeda; não são contas bancárias).
• Seus lançamentos: data, valor, moeda, categoria, estabelecimento e uma observação opcional.
• Lançamentos fixos, metas de economia, categorias próprias e a categoria que o app lembra para cada estabelecimento.
• Ajustes: dia do salário, orçamento mensal, idioma e moeda, e se você permite a leitura por IA.
• Um ID aleatório do aparelho. Ele só sai do celular como um código irreversível, para a contagem das leituras por IA (veja abaixo).
• Quando você está conectado: o login, no armazenamento seguro do celular (o Keychain no iPhone, o Android Keystore). Ele nunca entra em um backup.
• Imagens que você escolher manter depois de uma importação.

Linhas digitáveis e códigos de pagamento nunca são guardados, nem o número completo da conta. O app pode guardar os quatro últimos dígitos do número da conta para reconhecer a conta.

Backup no celular

Se o backup estiver ativado, o celular inclui nele os dados do app: no Android, no backup da sua Conta do Google; no iPhone, no iCloud. Assim, seu orçamento volta em um celular novo. Quem guarda o backup são a Apple e o Google, conforme os próprios termos, e você o ativa e desativa nos ajustes do celular.

O login e o armazenamento seguro nunca entram no backup, então em um celular novo você precisa entrar de novo.

Importação de arquivos CSV e Excel

Quando você importa um arquivo CSV ou Excel do seu banco, o arquivo é lido só no seu celular. O arquivo em si nunca é guardado, copiado nem enviado – nem para um servidor, nem para a IA.

Do arquivo, só são guardados a data (e a data de lançamento, quando o arquivo tem), a descrição, o valor, o estabelecimento, o saldo do banco para conferir a conta e os quatro últimos dígitos do número da conta, para reconhecer a conta. Códigos de pagamento, outras referências e as outras colunas do arquivo não são guardados.

Lançamentos que o banco ainda não compensou são guardados como lançamentos comuns e contados na hora. Se um deles não aparecer em uma importação posterior do banco, o app pergunta se você quer removê-lo. Ele nunca é removido sozinho.

O app lembra como as colunas do arquivo estão organizadas, sem o conteúdo, para que a próxima importação seja mais rápida. Quando você está conectado com o Pro, isso é sincronizado com as suas outras configurações.

A leitura por IA só é usada para imagens e PDF, e só com a sua permissão.

Leitura por IA de extratos, recibos e boletos (opcional)

Quando você importa uma captura de tela ou foto de um extrato, ou escaneia um recibo ou boleto, pode deixar a IA ler. O app pede sua permissão primeiro, e você pode desativar a qualquer momento na tela de importação. Sem permissão, tudo é lido no celular e nada é enviado.

Com permissão, a imagem, a data de hoje, a moeda, seu país, as categorias do app (como códigos) e os títulos das colunas da conta (só os títulos, não o conteúdo) são enviados por meio de nosso servidor na Supabase (Irlanda) para a Anthropic (EUA), que lê os lançamentos com seu modelo de IA (Claude) e os devolve. A solicitação passa pelo servidor da Supabase mais próximo de você; nem nós nem a Supabase guardamos a imagem ou os lançamentos. A Anthropic não usa dados enviados pela sua API para treinar seus modelos e os exclui em até 30 dias (privacy.claude.com).

Para manter o serviço dentro dos limites, nosso servidor conta as leituras por IA por aparelho e por dia. O celular envia só um código irreversível criado a partir do ID aleatório do aparelho, e o servidor cria um novo código a partir dele com uma chave secreta antes de guardá-lo, para que a contagem não possa ser ligada a você nem à sua conta. Só o código, a data e o número são guardados, e a contagem é excluída automaticamente após 30 dias.

Só na versão gratuita: para o limite de escaneamentos com IA, o celular envia um código irreversível criado a partir do ID do celular, nunca o próprio ID. O servidor cria um novo código a partir dele com uma chave secreta e guarda só esse código, o mês, se é uma versão de teste e o número. O ID de dispositivo com hash é usado apenas para contar escaneamentos gratuitos com IA, não para rastreamento, e a contagem é apagada automaticamente após 13 meses. Com o Pro, nenhum ID do celular é enviado.

Escanear recibos e boletos

Quando você escaneia um recibo ou boleto, a imagem é lida no celular, ou pela IA se você tiver dado permissão (veja acima). A imagem é apagada assim que é lida, também se você cancelar ou algo der errado. Da imagem, só são guardados a loja, a data, o valor e a categoria. Linhas digitáveis, códigos de pagamento e números de conta nunca são guardados.

Relatórios de falhas

Quando o app trava ou ocorre um erro, um relatório é enviado para a Sentry (UE, Alemanha): o que deu errado e onde no app, o que aconteceu logo antes (sem conteúdo do seu orçamento), a versão do app, e o modelo do celular e a versão do sistema. A Sentry não guarda o endereço IP, e os relatórios não contêm nome, e-mail nem conta. Eles são mantidos por no máximo 90 dias e usados apenas para corrigir erros.

Atualizações do app

Sempre que é aberto, o app pergunta à Expo (EUA), o serviço que entrega as atualizações, se há uma nova. A Expo recebe então o endereço IP, a plataforma (iOS ou Android), a versão do app e um ID aleatório da instalação – nada sobre você ou seu orçamento.

Compra do Pro

O Pro é comprado na App Store ou no Google Play. A Apple ou o Google cuidam do pagamento conforme suas próprias políticas de privacidade; nunca vemos os dados do seu cartão.

O RevenueCat (EUA) registra se você tem Pro. O app entra em contato com o RevenueCat sempre que é aberto, também na versão gratuita, com um ID de cliente anônimo criado pelo RevenueCat, ou com o ID da sua conta quando você está conectado, para o Pro acompanhar sua conta. O RevenueCat recebe as compras e os recibos da loja, a plataforma e a versão do app. Em versões de teste e em compras de teste, o cliente é marcado como teste. O histórico de compras continua na loja e no RevenueCat mesmo se você excluir sua conta, para que sua compra não se perca.

Aviso de que sua assinatura Pro está ativa

Se você tem uma assinatura Pro que é renovada todo mês ou todo ano, o app mostra pelo menos a cada seis meses um aviso de que a assinatura está ativa, quanto ela custa e como cancelá-la. Se você estiver conectado, também recebe o aviso por e-mail. A lei norueguesa exige esse aviso (digitalytelsesloven, § 33), e registramos cada aviso para poder comprovar que ele foi dado. O registro contém:

• Um código do seu cliente no RevenueCat, gerado com uma chave secreta, e o ID da compra na loja.
• Loja, produto e plano (mensal ou anual).
• A data a que o aviso se referia, quando ele foi mostrado e fechado (com o fuso horário do celular) e se você tocou em «Gerenciar assinatura».
• Canal (no app, notificação agendada no celular, notificação push ou e-mail), idioma, preço e moeda, e qual versão do texto você recebeu (com um código do texto).
• Para o e-mail: quando ele foi enviado e o ID da mensagem no Resend.

O registro nunca contém seu nome, seu e-mail ou o ID da sua conta. Para poder enviar o e-mail, guardamos à parte o ID da conta e a data do próximo aviso; eles são excluídos quando você exclui a conta.

Se você entrou na sua conta e permitiu notificações do app no celular, o aviso também pode chegar como notificação push. Nesse caso guardamos o token de push do celular – o endereço que a Apple ou o Google usam para entregar notificações a esse celular específico – junto com o ID da sua conta, só para enviar este aviso. O aviso é enviado pela Expo (EUA), que o repassa ao Apple Push Notification service (iPhone) ou ao Google Firebase Cloud Messaging (Android). Ele contém só o texto sobre a assinatura, nada do seu orçamento. O token é apagado quando você sai da conta, exclui a conta ou desativa as notificações (o app o remove nesse momento), e quando a Apple ou o Google informam que ele não é mais válido. Você pode desativar as notificações do app nos ajustes do celular.

A base para enviar o aviso e guardar o token de push é uma obrigação legal (artigo 6(1)(c)): a lei exige que avisemos sobre uma assinatura ativa (digitalytelsesloven, § 33, na Noruega, e regras semelhantes em outros países). Você escolhe nos ajustes do celular se o app pode enviar notificações push. Sem push, você recebe o aviso no app, e por e-mail se estiver conectado.

O registro é guardado por 3 anos após o último dia ativo da assinatura, também se você excluir a conta, mas então sem nada que o ligue a você. A base é o nosso legítimo interesse (artigo 6(1)(f)) em poder comprovar que demos as informações exigidas por lei.

Conta opcional e sincronização (Pro)

Você pode entrar com Apple, Google, Facebook (Meta) ou e-mail. O login é feito pelo Supabase em servidores na Irlanda. Guardamos então seu e-mail, um ID de conta, seu nome se o provedor o compartilhar, o idioma do app e, em versões de teste, uma marca de teste. Com a Apple você pode ocultar seu e-mail; aí vemos só o endereço de encaminhamento da Apple.

Com o Pro, seu orçamento é sincronizado com sua conta: contas, lançamentos, lançamentos fixos, orçamento, metas de economia, categorias próprias, estabelecimentos lembrados e as configurações que acompanham você (dia do salário, salário, orçamento). Cada alteração é salva com quando e em qual dispositivo foi feita. Os dados são criptografados no envio e no armazenamento, e só sua conta pode lê-los.

Códigos e links de login são enviados por e-mail pelo Resend (EUA), com seu endereço e idioma. O link abre nosso site, hospedado na Vercel, que leva você ao app. Para enviar cada e-mail uma única vez, nosso servidor guarda só o ID da mensagem, o tipo e o status por 7 dias, nunca o endereço.

Você pode sair quando quiser; os dados ficam no celular. «Excluir conta» remove a conta e todos os dados salvos com ela no nosso servidor. O que fica: o histórico de compras na loja e no RevenueCat, as contagens sem nome nem conta (excluídas após 30 dias e 13 meses) e os registros dos próprios serviços, conforme os termos deles.

Widget e lembretes

O widget mostra números dos dados do seu celular, e os lembretes de lançamentos fixos são agendados no celular. Nada é enviado em nenhum dos casos.

Com quem compartilhamos dados

• Supabase (Irlanda, UE): login, sincronização para o Pro, o servidor da leitura por IA e as contagens.
• Anthropic (EUA): leitura por IA, só com sua permissão.
• Resend (EUA): e-mails com códigos e links de login.
• RevenueCat (EUA): status do Pro e compras.
• Sentry (UE, Alemanha): relatórios de falhas, sem endereço IP.
• Expo (EUA): atualizações do app e repasse da notificação push sobre a assinatura.
• Vercel (EUA): nosso site, incluindo a página que o link de login abre.
• Apple, Google e Meta: App Store, Google Play, login com eles quando você escolhe, o backup do celular e a entrega de notificações push (Apple Push Notification service e Google Firebase Cloud Messaging).
• Câmbio: nosso servidor busca as cotações no Frankfurter e na ExchangeRate-API. Nenhum dado sobre você é enviado para lá.

Quando dados vão para os EUA, os provedores usam as cláusulas contratuais padrão da UE ou o EU–US Data Privacy Framework. Nunca vendemos dados, e o app não tem anúncios nem rastreamento.

Base legal

• Para fornecer o app que você usa (artigo 6(1)(b) do RGPD; na LGPD, execução de contrato): conta e sincronização (Supabase), login com Apple, Google, Facebook ou e-mail (Resend) e compra do Pro (App Store, Google Play e RevenueCat).
• Seu consentimento para a leitura por IA (artigo 6(1)(a)), por meio da Supabase até a Anthropic. Você pode retirá-lo a qualquer momento.
• Nosso legítimo interesse (artigo 6(1)(f)) em corrigir erros (Sentry), entregar atualizações do app (Expo), manter o serviço dentro dos limites (as contagens) e manter o site no ar (Vercel).

Por quanto tempo os dados ficam guardados

• No celular: até você excluí-los no app ou desinstalar o app.
• Sua conta e os dados sincronizados: até você excluir a conta no app.
• Imagens para a leitura por IA: não ficam guardadas conosco. Na Anthropic: excluídas em até 30 dias, exceto solicitações sinalizadas por uso indevido (privacy.claude.com).
• Arquivos CSV e Excel que você importa: não ficam guardados. Só ficam os lançamentos que você salva e a organização das colunas do arquivo.
• Contagem de leituras por IA (código irreversível, data e número): 30 dias.
• Contagem de escaneamentos gratuitos com IA (ID de dispositivo com hash, mês e número): 13 meses.
• Registro dos e-mails de login (sem endereço): 7 dias.
• Token de push para o aviso da assinatura: até você sair da conta, excluir a conta ou desativar as notificações.
• Relatórios de falhas: no máximo 90 dias.
• E-mails de login no Resend: 30 dias (resend.com). Registros e backups da própria Supabase: no máximo 7 dias (supabase.com). RevenueCat (revenuecat.com), Expo (expo.dev) e Vercel (vercel.com): conforme os termos deles, que não informam um prazo fixo.
• Backup no celular: na Apple ou no Google, conforme os termos deles, até você apagá-lo.

Seus direitos

Você pode ver, corrigir e exportar todos os seus dados no app (Eu → Exportar dados, grátis para todos) e apagá-los (Eu → Apagar todos os dados deste celular). Você pode se opor ao tratamento e retirar seu consentimento para a leitura por IA a qualquer momento.

Se tiver dúvidas, escreva para kontakt@nordicdigitalapp.no. A autoridade de supervisão é a autoridade norueguesa de proteção de dados (Datatilsynet), à qual você pode reclamar. Se você mora na UE/EEE, também pode reclamar à autoridade de proteção de dados do seu próprio país.

Crianças

O Saldo Pocket não foi feito para crianças com menos de 13 anos, e não tratamos dados delas de forma consciente.

Alterações

Se mudarmos esta política, atualizaremos esta página e a data no topo. Se a mudança importar para o uso dos seus dados, avisaremos no app.