Política de uso de Inteligência Artificial do MyGepeto.com

1. O que a IA faz aqui

O Gepeto é o assistente do MyGepeto. Sua finalidade é reduzir digitação, não decidir a sua vida financeira. Ele:

• interpreta um pedido em texto ("gastei 89 no mercado ontem") e devolve uma proposta, nas formas listadas logo abaixo;
• responde perguntas sobre números que o sistema já calculou ("quanto gastei em mercado este mês");
• sugere categoria e identifica o estabelecimento;
• auxilia na conciliação de lançamentos semelhantes, sempre mediante confirmação sua.

A proposta pode ser de:

• um lançamento novo;
• a correção de um lançamento que já existe;
• o vínculo de um lançamento que já existe: o reembolso ligado à compra, o Pix que foi a parcela de uma dívida, o pagamento que foi a conta prevista do mês;
• a divisão de uma compra por categoria;
• uma mudança numa recorrência: pausa com data de volta, ou o valor de um mês só;
• um lembrete no Para Fazer ("me lembra de pagar o IPVA dia 10");
• mover um valor de uma meta para outra.

Toda proposta passa pela sua confirmação antes de produzir efeito (seção 2.1).

O Gepeto funciona com um modelo de linguagem da OpenAI, descrito na seção 9. Como todo o MyGepeto, ele é destinado a pessoas com 18 anos ou mais (seção 10).

O assistente não lê arquivos. Extratos e faturas enviados por você são processados por leitor determinístico do próprio sistema, sem passar por modelo de IA, conforme a seção 3.

2. As quatro regras que não mudam

2.1 A IA propõe. Você confirma.

Nenhuma movimentação, recorrência, lembrete ou valor de meta é criado, alterado ou apagado por sugestão do modelo. A IA nunca grava nada sozinha. O caminho é sempre:

pedido → interpretação → proposta estruturada → validação determinística → sua confirmação → operação

2.2 A IA não faz conta.

Saldo, fatura, projeção, orçamento e patrimônio são calculados por regra determinística do sistema. O modelo pode explicar um número, nunca produzi-lo. Havendo divergência entre o que a IA diz e o que o sistema calcula, prevalece o sistema.

2.3 Seus dados financeiros não treinam modelo.

Nem o nosso, nem o da OpenAI, nem o de terceiros. O uso se limita a responder ao seu pedido naquele momento.

Utilizamos a API da OpenAI destinada a empresas e desenvolvedores, com acordo de processamento de dados (DPA) assinado em 27/09/2026. Pelas regras dessa plataforma, o que é enviado pela API não é usado para treinar nem melhorar os modelos da OpenAI, a menos que o cliente escolha permitir. O MyGepeto não permite.

Não treinar não equivale a não guardar. A OpenAI pode reter o que enviamos e o que ela devolve por até 30 dias, para monitorar uso abusivo, salvo quando a lei a obrigar a manter por mais tempo. Toda chamada nossa sai com a configuração store: false, que pede à API que não guarde a resposta para consulta posterior; a retenção para monitorar abuso continua existindo mesmo assim. Esse registro é da OpenAI e não temos acesso para excluí-lo, e por isso não prometemos excluí-lo.

2.4 A IA não recomenda investimento.

Informação, não recomendação. Os dados, cálculos e visualizações apresentados pelo MyGepeto têm finalidade informativa e organizacional e não constituem recomendação individualizada de investimento.

O Gepeto registra e organiza o que você informa sobre seus investimentos, e explica os números calculados pelo sistema. O limite cabe numa frase:

Posso explicar conceitos, riscos e informações objetivas sobre investimentos, mas não indicar qual ativo você deve comprar, vender ou manter.

O pedido de recomendação é barrado no próprio servidor, antes de chegar ao modelo: um filtro determinístico reconhece as formas comuns desse pedido ("onde devo investir?", "vale a pena comprar ações?") e responde com a recusa, sem acionar a IA e sem consumir a sua franquia. Recomendação de investimento é atividade regulada e não integra este produto, conforme a seção 6.

3. O que exatamente é enviado ao modelo

Para responder com contexto, o Gepeto pode usar a sua mensagem atual, até seis mensagens recentes da mesma conversa, das últimas 24 horas, e um resumo curto do que a conversa está tratando. Esses números são limites máximos, e não uma quantidade enviada sempre: o sistema procura limitar o contexto ao necessário para cada pedido e não envia o seu histórico financeiro inteiro ao modelo. Muitos pedidos são resolvidos pelo próprio sistema, sem acionar modelo nenhum, e nesses casos nada é enviado.

Quando um pedido seu na conta pessoal vai ao modelo, o sistema envia um recorte do seu contexto, e não a sua base de dados. O recorte observa limites de linhas e de caracteres definidos no código, e compõe-se assim:

Nunca é enviado:

• seu e-mail, sua foto, o identificador da sua conta Google e o seu CPF ou CNPJ;
• seu nome, exceto no Gepeto de um Ambiente Compartilhado, que recebe o nome de exibição de cada participante (seção 3.3);
• saldo de conta, limite de cartão, número da conta ou os quatro últimos dígitos do cartão;
• os campos "contraparte" e "descrição do banco" das suas movimentações. Eles não fazem parte do recorte: um nome só chega ao modelo se estiver no seu pedido ou numa resposta anterior do assistente que vá entre as mensagens recentes;
• sua senha, token, cookie ou identificador de sessão, nem o seu endereço IP;
• qualquer arquivo. Desde 21/08/2026, nenhum documento enviado por você chega ao modelo;
• dado de outro usuário. O recorte é sempre da sua conta, filtrado por ela na origem; a única exceção é o resumo de um Ambiente Compartilhado de que você participa (seção 3.3);
• mensagem que o assistente recusou por suspeita de tentativa de manipulação, nem a resposta de recusa a ela;
• o histórico completo da conversa. Vão só as mensagens recentes e o resumo descritos acima, para o assistente entender pedidos curtos como "e com o Gabriel?" ou "mais 500 de freelance".

As mensagens recentes vão como foram escritas, inclusive as respostas do assistente, que podem citar nomes, descrições e valores já mostrados na conversa. Elas são tratadas como texto a interpretar, nunca como instrução, e nunca como fonte de identificador, valor ou autorização. Antes de saírem, o sistema examina juntas as suas mensagens que vão no pedido, para impedir que uma instrução indevida seja dividida em várias partes.

Os limites de tamanho existem por três razões: enviar o histórico completo seria caro, ampliaria desnecessariamente a exposição dos seus dados e não melhoraria a resposta.

3.1 Sobre a descrição que você escreve

A descrição da movimentação é campo de texto livre, escrito por você ou vindo de um extrato importado, e pode revelar aspectos sensíveis da sua vida: expressões como "consulta médica", "dízimo" ou "mensalidade do sindicato" dizem muito sobre quem as escreve.

Por isso evitamos enviá-la quando não é necessária. Ela só entra no recorte em perguntas sobre valores e pedidos de conciliação, e nunca quando você lança uma movimentação por texto.

O campo é seu e você escreve o que quiser. Há duas camadas de controle sobre o que sai dele:

• para todas as movimentações, a opção "Enviar a descrição das movimentações ao assistente", em Conta → Preferências → Privacidade e documentos. Desativada, o assistente passa a receber data, tipo, valor e categoria de cada movimentação, sem o texto da descrição. Ela vale para o recorte de movimentações: se, na mesma conversa, o assistente já tiver mostrado uma descrição numa resposta, essa resposta pode seguir entre as mensagens recentes;
• para uma movimentação específica, a marcação como privada, que a protege em todos esses caminhos (seção 3.2).

Com a opção desativada, lançar por texto, somar o mês e conferir totais continuam funcionando da mesma forma. Perde precisão o reconhecimento pelo nome quando a pergunta vai ao modelo: perguntar "quanto gastei em mercado" fica menos exato, porque é na descrição que a palavra "mercado" aparece.

3.2 Movimentação privada

Você pode marcar qualquer movimentação como privada. Com isso:

• nenhum dos três textos livres dela (a descrição, a contraparte e a descrição que veio do banco ou do extrato) vai ao modelo;
• ela não aparece individualmente em nada que é enviado ao modelo: fica fora da lista de movimentações recentes da seção 3;
• nas respostas do próprio Gepeto, ela aparece como "Movimentação privada", sem a descrição, e por isso o texto dela também não chega ao modelo pelas mensagens recentes da conversa;
• ela não entra no resumo da conversa nem na leitura interna das perguntas (seção 9.1);
• ela continua guardada normalmente e continua contando nos saldos e totais que o próprio sistema calcula, como o total do mês por categoria.

"Privada" quer dizer privada em relação à IA e à leitura interna. Não é criptografia de ponta a ponta: a movimentação continua guardada no MyGepeto como qualquer outra, visível para você e protegida pelas mesmas regras de acesso descritas na Política de Privacidade. E o que você mesmo escrever num pedido ao Gepeto vai com o pedido, ainda que fale de uma movimentação privada.

3.3 No Gepeto de um Ambiente Compartilhado

Dentro de um Ambiente Compartilhado, o Gepeto só consulta: não propõe nem grava nada. Nesse caso, o recorte da tabela acima dá lugar a um resumo do Ambiente, e vão ao modelo:

• o nome do Ambiente e o período considerado, do início do mês até hoje;
• o nome de exibição de cada participante, com o total de gastos confirmados dele no mês, calculado só a partir das movimentações compartilhadas no Ambiente;
• os orçamentos do mês, com categoria e valor planejado;
• as reservas, com nome e valor reservado, e as metas ligadas a elas, com nome e valor-alvo;
• a data de hoje e o texto do seu pedido.

Não vão as movimentações uma a uma, nem os textos delas, nem lembranças, mensagens recentes ou resumo da conversa, nem qualquer dado da conta pessoal de um participante fora do Ambiente.

4. O que fazemos com o que a IA devolve

Toda referência devolvida pelo modelo (conta, cartão, categoria, investimento, meta, dívida, valor a receber, recorrência, orçamento, movimentação ou fatura) é reverificada contra o respectivo titular antes de produzir qualquer efeito. Identificado um registro que não pertence a você, o lote inteiro é recusado, e não apenas aquele item.

Essa verificação protege contra a hipótese de o modelo inventar um identificador plausível. O sistema trata a saída do modelo como entrada não confiável, em todos os casos.

Pelo mesmo motivo, o conteúdo originado de você, seu pedido, suas lembranças, as mensagens recentes e o resumo da conversa, é entregue ao modelo dentro de uma delimitação explícita de "dado a interpretar". Instrução escrita dentro desse conteúdo não é tratada como ordem, ainda que afirme provir do sistema.

5. Decisão automatizada (art. 20 da LGPD)

O art. 20 da LGPD assegura a você o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses.

A IA não toma decisões dessa natureza. Ela não:

• concede, nega ou altera plano;
• pontua, classifica ou avalia você;
• define preço, limite ou cobrança;
• aprova ou recusa qualquer solicitação por conta própria.

A função dela é propor. A decisão é sempre sua, mediante a confirmação explícita descrita na regra 2.1.

Na cobrança, algumas regras dos Termos de Uso são aplicadas automaticamente, sem IA. Cada uma aplica uma regra objetiva a um fato que se pode conferir, sem perfil nem pontuação:

• desistência em 7 dias: a devolução pelo próprio pedido é automática uma vez a cada 12 meses por pessoa. O segundo pedido nesse prazo não é recusado pelo sistema: vai à análise de uma pessoa do suporte, que responde em até 2 dias; sem resposta nesse prazo, a devolução sai sozinha, e a recusa só acontece nos casos objetivos da cláusula 11 dos Termos de Uso, com o motivo;
• antifraude: recusar um benefício que vale uma vez por pessoa e já foi usado (o teste gratuito, o bônus de boas-vindas, a oferta de fim de teste) ou um cupom cujo limite por pessoa já foi alcançado; recusar os pontos de uma indicação feita a si mesmo; e deixar as cobranças só no Pix, inclusive a da renovação, nos 12 meses seguintes a uma contestação no cartão. A pessoa é reconhecida pela marca descrita na seção 2.14 da Política de Privacidade.

Como pedir revisão humana. Escreva para [email protected] dizendo qual decisão quer rever, mesmo sem conta, se a regra alcançou o seu CPF ou CNPJ. Uma pessoa da equipe confere o fato e a regra aplicada, explica os critérios e corrige o que estiver errado e, se a regra foi aplicada por engano, desfaz a decisão: concede o benefício, libera o cartão ou apaga a marca. Respondemos em até 5 dias, como diz a seção 7.1 da Política de Privacidade.

Se a IA vier a participar de alguma decisão sobre você, esta política será alterada antes, com os critérios aplicados e o mesmo caminho de revisão humana acima.

6. Onde a IA não entra

Por decisão de produto, o modelo não participa de:

• cálculo de saldo, fatura, projeção ou orçamento;
• leitura de extrato, fatura ou qualquer arquivo enviado, feita por leitor determinístico desde 21/08/2026;
• recomendação de investimento, assim entendida a indicação do que comprar, vender, manter, aportar ou resgatar;
• orientação contábil, tributária ou jurídica;
• regra fiscal, incluindo escolha de código de serviço, alíquota ou competência de nota;
• decisão sobre cobrança, plano ou acesso;
• conciliação automática sem revisão sua, quando houver incerteza relevante.

Na conciliação vale o princípio de que um falso positivo é pior que uma pendência de revisão. Em caso de dúvida, o sistema pergunta em vez de decidir.

7. Erro do modelo

Modelos de linguagem erram. Respostas e interpretações produzidas pelo Gepeto podem conter erros: o assistente pode interpretar mal um pedido, sugerir categoria incorreta ou compreender mal uma frase ambígua. Por essa razão:

• propostas de alteração de dados dependem da sua revisão e das validações determinísticas do sistema antes de serem confirmadas;
• a IA nunca grava sozinha: nenhuma movimentação, conta, recorrência, lembrete, meta ou cadastro é criado, alterado ou apagado sem a sua confirmação;
• toda correção sua é preservada e não é sobrescrita posteriormente;
• você pode desfazer e corrigir depois, com trilha de auditoria.

Nada do que o assistente informa constitui orientação financeira, contábil, tributária ou de investimento. As decisões sobre o seu dinheiro são suas. Ver Termos de Uso.

8. Suas escolhas

O assistente integra o serviço contratado e não constitui funcionalidade opcional sujeita a consentimento. Nada é enviado ao modelo até que você escreva um pedido, e a decisão de acioná-lo é sua, pedido a pedido. Os controles mais específicos disponíveis são a movimentação privada, da seção 3.2, e a opção que desativa o envio das descrições, da seção 3.1.

9. Fornecedor de IA, e o que fica registrado

Fornecedor atual: OpenAI (OpenAI, L.L.C., Estados Unidos), pela API destinada a empresas e desenvolvedores, na qualidade de operador: trata os dados em nosso nome, conforme as nossas instruções e o DPA assinado, com dados tratados fora do Brasil, conforme a Política de Privacidade.

Modelo utilizado: GPT-6 Luna, um só para todas as tarefas do assistente. A escolha é técnica e pode mudar, nas condições descritas abaixo.

Base legal e transferência internacional. O envio ao modelo faz parte do serviço que você contratou, e por isso a base legal é a execução do contrato (art. 7º, V da LGPD). Como a OpenAI processa os dados fora do Brasil, eles vão para os Estados Unidos. A LGPD permite essa transferência quando ela é necessária para executar o contrato (art. 33, IX), que é o caso: sem ela, o assistente que você contratou não funciona. Essa base cobre apenas o funcionamento do assistente, e não serve para marketing, treinamento de modelos ou qualquer outra finalidade.

O que guardamos de cada interação: a conversa, com a retenção por plano indicada na seção 8, e um registro técnico de uso contendo tarefa, modelo, contagem de tokens, custo, tempo de resposta e desfecho. Esse registro armazena um resumo criptográfico do pedido, e não o texto dele; desde 15/09/2026 ele guarda também uma referência à mensagem correspondente da conversa, que é o que torna possível a leitura descrita na seção 9.1.

O que a OpenAI guarda. O que enviamos e o que ela devolve pode ficar retido por até 30 dias, para monitorar uso abusivo, conforme a regra 2.3. A resposta não fica guardada para consulta posterior, porque toda chamada sai com store: false, e o histórico da conversa fica no MyGepeto, não na OpenAI. Esse prazo não está sob o nosso controle, razão pela qual consta expressamente desta política.

Troca de fornecedor ou de modelo. Havendo troca de fornecedor de IA, esta política e a Política de Privacidade serão atualizadas previamente, e a nova versão será apresentada a você. Trocar de modelo dentro da própria OpenAI, sem mudar o que é enviado, a finalidade, a forma de tratamento ou a funcionalidade, não exige novo aceite; nesse caso, atualizamos o nome do modelo nesta seção. Mudança relevante na forma de tratamento, como nova finalidade, novo tipo de dado enviado ou aumento relevante do contexto, também passa por atualização prévia desta política. As regras das seções 2 a 7 permanecem as mesmas em qualquer hipótese.

9.1 Lemos as perguntas feitas ao assistente, para melhorar as respostas

O Gepeto responde por dois caminhos. Um é o catálogo de consultas do próprio sistema, que calcula a resposta a partir dos seus dados, sem acionar modelo nenhum. O outro é o modelo da OpenAI, para o que o catálogo ainda não cobre. Saber quais perguntas reais ficam sem resposta é o que nos permite ampliar o primeiro caminho, que é mais exato, não envia nada para fora e não consome a sua franquia.

Para isso, um administrador nosso pode ler o texto de uma amostra das perguntas feitas ao assistente, junto com o desfecho técnico de cada uma: se houve resposta, e por qual caminho. Pedidos de lançamento, como "gastei 89 no mercado", ficam fora, porque trazem valores. A leitura segue estas salvaguardas:

• Janela curta. Só entram perguntas feitas nos últimos 30 dias.
• Amostra. A leitura é feita sobre uma amostra das perguntas, e não sobre todas.
• Identificadores mascarados. Antes de o texto aparecer na tela, e-mail, CPF ou CNPJ, telefone e sequências longas de dígitos são mascarados.
• Temas sensíveis fora. Perguntas com termos que podem revelar dado sensível, como saúde, religião ou filiação sindical, são excluídas da leitura.
• Sem saber quem perguntou. A tela não mostra quem fez a pergunta e não permite filtrar por pessoa.
• Sem a resposta. A resposta devolvida pelo assistente não é exibida.
• Nada copiado. A pergunta continua guardada só onde sempre esteve, na conversa, com a retenção por plano da seção 8.
• Acesso restrito e registrado. Só administradores com permissão abrem essa leitura, e os acessos ficam registrados.

Mesmo com essas salvaguardas, não tratamos essas perguntas como anônimas: o texto de uma pergunta pode conter detalhes que permitiriam reconhecer alguém, e por isso continua sendo dado pessoal.

O que muda e o que não muda. Nada novo passa a ser coletado, e nada novo é enviado ao modelo. O que existe é uma leitura interna da conversa, com a finalidade acima. Os textos de movimentações privadas não aparecem nela (seção 3.2).

Essa leitura apoia-se em legítimo interesse (art. 7º, IX da LGPD), e não em consentimento. Você pode se opor a ela pelo canal de contato, sem prejuízo do uso do assistente, e apagar uma conversa continua sendo suficiente para retirá-la também daqui.

10. Idade mínima

O MyGepeto, com o Gepeto incluído, é destinado exclusivamente a pessoas com 18 anos ou mais. É uma decisão do produto, e não uma exigência do fornecedor de IA: o MyGepeto é uma ferramenta financeira, e não oferece jornada de autorização de responsáveis nem uma experiência de IA desenhada para menores de idade. Ver Termos de Uso.

11. Contexto regulatório

O Brasil ainda não tem lei específica de inteligência artificial em vigor. O PL 2338/2023 foi aprovado no Senado em dezembro de 2024 e segue em tramitação na Câmara. Aplica-se hoje a LGPD, em especial o art. 20, sobre decisão automatizada, e os princípios de transparência e necessidade do art. 6º.

Esta política foi redigida de modo a atender desde já ao que o marco legal em discussão exige em matéria de transparência. Havendo lei, será revista.

Resumo

O Gepeto lê o que você escreve e propõe. Você confirma. O sistema calcula. Nenhum arquivo chega ao modelo, e as movimentações que você marca como privadas não aparecem nele uma a uma. Nada seu treina modelo, nenhuma decisão sobre você é tomada pela IA (as regras automáticas da cobrança, sem IA, estão no §5, com o caminho da revisão humana), o assistente não recomenda investimento, e tudo que a IA devolve é conferido contra os seus dados antes de produzir efeito.