Política de privacidade

Quem é o responsável

O controlador do tratamento descrito aqui é Andrey Fedyukov, Mecumstraße 52, 40225 Düsseldorf, Alemanha.

Para qualquer dúvida sobre seus dados, escreva para [email protected]. Você também pode apresentar uma reclamação a uma autoridade de proteção de dados no país da UE onde mora.

O que guardamos

Dados da conta, se você criar uma: seu endereço de e-mail, os identificadores do método de login usado (Apple ou Google, se você entra assim) e os registros técnicos de horário das suas sessões.

O próprio livro: lançamentos, contas, categorias, lançamentos recorrentes, pagamentos previstos, orçamentos, configurações de moeda e as notas que você escreve. Se você compartilha um livro, os membros desse grupo e os códigos de convite dele.

Se você compra o Topf Plus: que a compra foi feita e até quando vale, o identificador anônimo que o serviço de compras atribui à sua instalação e, se você tiver conta, o vínculo entre os dois. Não o seu cartão, o seu ID Apple ou a sua conta Google: a loja guarda esses dados e não mostra nada disso para nós.

Se você usa a entrada por voz com uma conta: para cada mês civil, quantas entradas por voz bem-sucedidas foram atribuídas à sua conta, para que o limite em vigor possa ser aplicado — um limite mensal na versão gratuita e, com Plus, um teto que protege contra abuso. São guardados o mês civil, esse número e o momento da última alteração dele; a frase que você disse e os rascunhos gerados a partir dela não são guardados. Em um livro compartilhado, as entradas por voz de membros sem Plus próprio são atribuídas à conta do proprietário do grupo.

Se você usa o escaneamento de recibos com uma conta: para cada mês civil, quantos recibos foram lidos para a sua conta, para que o limite em vigor possa ser aplicado. Como na entrada por voz, são guardados o mês civil, esse número e o momento da última alteração dele; a foto do recibo e os rascunhos gerados a partir dela não são guardados. Em um livro compartilhado, os escaneamentos de membros sem Plus próprio são atribuídos à conta do proprietário do grupo.

Essa é a lista completa do que é guardado com uma conta. No app não há identificador de publicidade, impressão digital do dispositivo nem rastreamento de terceiros; as estatísticas de uso descritas abaixo não estão vinculadas à sua conta.

Usar o app sem conta

O Topf pode ser usado sem conta. Seu livro fica no dispositivo e não é enviado. A entrada por voz e o escaneamento de recibos precisam de internet e enviam dados quando usados. As compras do Plus passam pela App Store ou pelo Google Play e pelo serviço de compras. O app também envia estatísticas de uso anônimas, que você pode desativar. Os detalhes estão abaixo.

Por que tratamos os dados e com que base

Para oferecer o produto que você escolheu usar: guardar seu livro, sincronizá-lo entre seus dispositivos e restaurá-lo em um novo. Base legal: execução de contrato (art. 6(1)(b) do GDPR).

Para você fazer login: envio do código de acesso para seu e-mail. Base legal: execução de contrato (art. 6(1)(b) do GDPR).

Para saber se você tem Plus: verificação da compra com o serviço de compras e registro do estado atual dela no nosso servidor. Base legal: execução de contrato (art. 6(1)(b) do GDPR).

Para aplicar os limites mensais de entradas por voz e de escaneamentos de recibos: contagem de ambos por mês civil, porque a versão gratuita inclui um número limitado deles. Base legal: execução de contrato (art. 6(1)(b) do GDPR).

Para entender como o app é usado e melhorá-lo: estatísticas de uso. Base legal: legítimo interesse (art. 6(1)(f) do GDPR).

Para manter o serviço funcionando e evitar abuso da entrada por voz e do escaneamento de recibos. Base legal: legítimo interesse (art. 6(1)(f) do GDPR).

Onde os dados ficam

Uma cópia completa do seu livro fica no seu dispositivo, em um banco de dados local, e funciona ali sem internet.

Se você tiver conta, os mesmos dados ficam em um banco de dados PostgreSQL hospedado pela Supabase em Frankfurt, na Alemanha (AWS eu-central-1), e chegam aos seus dispositivos pelo serviço de sincronização PowerSync. O acesso é restrito por usuário com segurança em nível de linha (row-level security): uma conta lê o próprio livro e, se fizer parte de um livro compartilhado, esse livro.

Entrada por voz

Na entrada por voz, sua frase normalmente é transcrita pelo serviço de reconhecimento de fala do dispositivo. No iPhone, é o da Apple; no Android, é o serviço escolhido no sistema, em geral o do Google. Ele pode funcionar no próprio dispositivo ou nos servidores do fornecedor, conforme os termos dele. Só o texto resultante vai para o nosso servidor, junto com o contexto necessário para entendê-lo: o idioma da interface, a data de hoje, seu fuso horário, sua moeda principal e os nomes das suas contas e categorias ativas.

Esse texto é enviado à OpenAI, que o transforma em rascunhos de lançamentos. Os rascunhos voltam ao seu dispositivo e são mostrados a você; nada é gravado no livro até você confirmar.

Quando o reconhecimento do dispositivo não está disponível, a própria gravação é enviada e transcrita pelo mesmo fornecedor. Nos dois casos, o áudio e o texto passam apenas pela memória da nossa função e não são guardados por nós — nem no banco de dados, nem em arquivo, nem em log. Se você usa uma conta, uma entrada bem-sucedida apenas soma um ao número mensal descrito acima.

A OpenAI trata esses dados sob nossas instruções, como operadora. A API é usada com a configuração que exclui os dados enviados do treinamento de modelos; para monitorar abusos, o fornecedor pode guardar a solicitação e a respectiva resposta por até 30 dias, ou por mais tempo se a lei exigir ou se isso for razoavelmente necessário para proteger os próprios serviços ou terceiros contra danos. Não dite nada que você não queira que uma operadora veja.

Escaneamento de recibos

Para escanear um recibo, você o fotografa no app ou escolhe uma imagem entre as suas fotos; o app recebe só a foto que você escolhe. Antes de sair do seu dispositivo, a foto é reduzida e salva de novo sem os metadados, como o local e o momento em que foi tirada. Nada é enviado até você permitir no app, e você pode retirar essa permissão a qualquer momento em Configurações → Privacidade.

A foto vai para o nosso servidor junto com o contexto necessário para lê-la: o idioma da interface, a data de hoje, o seu fuso horário, a sua moeda principal e os nomes das suas categorias de despesas. De lá ela passa para a OpenAI, que lê o recibo e o transforma em rascunhos de lançamentos. Os rascunhos voltam para o seu dispositivo e são mostrados a você; nada é gravado no seu livro até você confirmar.

Com a foto vai tudo o que está impresso no recibo: se o seu nome, endereço ou e-mail aparecem nele, a OpenAI também os recebe. A foto passa pela nossa função na memória e não é guardada por nós, nem no banco de dados, nem em arquivo, nem em log. Se você usa uma conta, um recibo lido aumenta em um o número mensal de escaneamentos; uma foto da qual nada pôde ser lido não conta.

A OpenAI trata esses dados como operadora, sob nossas instruções. As configurações e os prazos de retenção para monitorar abusos são os mesmos da entrada por voz. Não escaneie nada que você não queira que uma operadora veja.

E-mail

Os códigos de acesso são enviados pelo Amazon Simple Email Service (AWS, Frankfurt, Alemanha). O serviço recebe seu endereço de e-mail para entregar a mensagem. Não enviamos e-mails de marketing e não há lista de e-mails.

Taxas de câmbio

As taxas de câmbio diárias vêm do serviço público api.frankfurter.dev. A consulta é feita uma vez por dia pelo nosso servidor, para todo mundo, e não pelo seu dispositivo — então usar várias moedas não conta nada sobre você a esse serviço.

Compras

O Topf Plus é comprado na App Store da Apple no iPhone e no Google Play no Android, com ou sem conta. O pagamento, seu cartão e seu ID Apple ou sua conta Google ficam com a loja; nós nunca os vemos. A Apple e o Google tratam a compra como controladores independentes, conforme as próprias políticas de privacidade. A RevenueCat (RevenueCat, Inc., EUA) recebe o comprovante de compra da loja (o recibo da App Store ou o token de compra do Google Play), um identificador anônimo da sua instalação e, se você tiver conta, o identificador dela, e informa ao app e ao nosso servidor se o Plus está ativo e até quando. A RevenueCat trata esses dados sob nossas instruções, como operadora; a transferência para os EUA se baseia nas cláusulas contratuais padrão da UE.

Estatísticas de uso

Para entender onde as pessoas se perdem e o que melhorar, o app envia estatísticas de uso à PostHog (PostHog Inc., EUA; os dados ficam na UE, em Frankfurt): como o app é usado — quais telas são abertas e quais ações são feitas nele. Cada evento leva a versão do app, o sistema operacional e sua versão, o idioma, o fuso horário e um identificador aleatório da instalação.

Nunca são enviados valores, notas, nomes de contas e categorias, o que você disse, seu endereço de e-mail nem o identificador da sua conta. O endereço IP é descartado e não é usado para determinar sua localização. As estatísticas não estão vinculadas à sua conta; depois de reinstalar o app, o identificador da instalação passa a ser outro. O envio pode ser desativado no app: Configurações → Privacidade → Estatísticas de uso.

Base legal: nosso legítimo interesse em melhorar o app (art. 6(1)(f) do GDPR). A PostHog trata esses dados sob nossas instruções, como operadora; a transferência para os EUA se baseia nas cláusulas contratuais padrão da UE. Os eventos ficam disponíveis para análise por um ano; os mais antigos deixam de aparecer nos relatórios, mas a PostHog pode guardá-los em seu arquivo. Como as estatísticas não estão vinculadas a você, não conseguimos identificar nem excluir os eventos de uma instalação específica.

Este site

O site é hospedado no Cloudflare Pages. Ele não tem formulários, cookies, ferramentas de análise nem conteúdo de terceiros incorporado. Só a página inicial lê os idiomas configurados no seu navegador, para abrir em um deles, e nada disso é guardado. A Cloudflare trata os dados técnicos que qualquer servidor web vê — seu endereço IP, o endereço solicitado, o user agent — para entregar a página e proteger o serviço.

Quem mais vê os dados

Apenas as operadoras citadas acima, cada uma para a única tarefa que executa:

• Supabase — hospedagem do banco de dados e do serviço de login;
• PowerSync — sincronização entre o banco de dados e seus dispositivos;
• OpenAI — transformação de uma frase falada ou da foto de um recibo em rascunhos;
• Amazon Web Services — entrega de e-mails e infraestrutura em que o banco de dados roda;
• RevenueCat — processamento das compras no app e estado do seu acesso ao Plus;
• PostHog — estatísticas de uso do app;
• Cloudflare — hospedagem deste site e do domínio.

Asseguramos que os terceiros com quem compartilhamos dados de usuários os protejam no mesmo nível ou em nível equivalente ao descrito nesta política de privacidade e exigido pelos requisitos de proteção de dados aplicáveis ao nosso app.

Seus dados não são vendidos, alugados, compartilhados com anunciantes nem usados para treinar modelos de ninguém.

Por quanto tempo guardamos

Enquanto sua conta existir. Excluir a conta apaga o livro no servidor; uma cópia já sincronizada nos seus próprios dispositivos some quando você sai da conta ou remove o app.

Um lançamento que você exclui no app some na hora do livro e de todos os totais; logo depois, ainda dá para desfazer a exclusão. No servidor, ele fica guardado, marcado como excluído, até você excluir sua conta.

Seus direitos

Pelo GDPR, você tem direito de acesso, retificação, exclusão, limitação do tratamento e portabilidade dos dados, além do direito de se opor a um tratamento baseado em legítimo interesse.

A exclusão está no próprio app: Configurações → Conta → Excluir conta apaga seus dados no servidor e, se você entra com a Apple, revoga também essa autorização. Para qualquer outra coisa, escreva para [email protected].

Crianças

O Topf não é voltado a crianças e não se destina a menores de 16 anos.

Alterações

Quando esta política muda, a data no topo muda junto. Uma alteração que afete de forma relevante o tratamento dos seus dados será anunciada no app antes de entrar em vigor.