Política de Privacidade do MyGepeto.com

Resumo em uma tela

• Seus dados financeiros são seus. Não vendemos, não cedemos para publicidade e não usamos o conteúdo da sua vida financeira para treinar modelo de inteligência artificial.
• Você digita ou envia, e nada é puxado do seu banco. O MyGepeto não se conecta a instituições financeiras e não usa Open Finance.
• Não guardamos número de cartão, CVV nem senha de banco. Nem a sua senha: o acesso é feito pela sua conta Google. O CPF e o endereço de quem paga o plano ficam no Asaas, que processa o pagamento, e não na nossa base. Quando necessário, podemos usar marcadores criptográficos para elegibilidade de benefícios e prevenção a autoindicação; eles continuam sendo dados pessoais e têm finalidade e prazo próprios (seção 2.14).
• Excluir a conta apaga o que é seu, com as exceções específicas da seção 7.4. Alguns registros mínimos podem continuar separados do cadastro quando houver finalidade necessária e base documentada, pelo prazo próprio de cada dado. Não usamos um prazo genérico de cinco ou dez anos para todos os registros, nem mantemos bloqueio automático de pagamento apenas porque houve uma contestação.
• O assistente usa a OpenAI. A cada pedido seu, enviamos o necessário para responder, nunca a base inteira, e nenhum arquivo. Pedimos à OpenAI que não guarde as respostas, mas ela pode reter o conteúdo por até 30 dias para detectar abuso. A lista campo a campo está na Política de uso de IA.
• Você pode marcar uma movimentação como privada. Os textos dela deixam de ir ao assistente, conforme a seção 5.2.
• Seus dados ficam em servidores fora do Brasil (Railway, Cloudflare, OpenAI, Resend, nos e-mails da assinatura, e, no login, Google). Isso é transferência internacional, e a seção 4 explica como, por quê e com quais proteções. A cobrança e o cadastro de quem paga ficam no Brasil (Asaas), mas passam pelo nosso servidor no caminho.
• Os e-mails da assinatura nunca trazem código Pix, QR Code nem link de pagamento, nem pedem dados seus: para pagar, entre no MyGepeto (seção 2.16).
• Você pode acessar, corrigir, exportar e excluir. Exportação e exclusão são botões na sua Conta. Para o resto, escreva para [email protected].

1. Quem trata seus dados

O controlador dos seus dados pessoais no MyGepeto.com é:

• Nome empresarial: 65.483.085 JOAO ANTONIO HILGERT MERCK
• CNPJ: 65.483.085/0001-51
• Contato: [email protected]

Privacidade e proteção de dados

O MyGepeto disponibiliza o canal [email protected] para assuntos relacionados à privacidade, proteção de dados pessoais e exercício dos direitos previstos na LGPD.

Por esse canal, titulares podem solicitar confirmação de tratamento, acesso, correção, informações sobre compartilhamentos e exercer os demais direitos previstos na legislação aplicável. O canal vale também para quem não tem conta no MyGepeto. Prazos e a forma como confirmamos o pedido estão na seção 7.

2. O que coletamos

2.1 Quando você cria a conta

Nome, e-mail, foto e identificador da sua conta Google, recebidos do Google no momento em que você autoriza o login. Não criamos senha e não armazenamos senha alguma.

No cadastro, você também declara ter 18 anos ou mais. A declaração fica registrada junto do aceite dos documentos, conforme a seção 10.

2.2 O que você registra no produto

Contas e saldos, cartões, faturas, movimentações, categorias, orçamentos, metas, investimentos, dívidas, valores a receber, bens e regras de recorrência.

Quanto aos cartões, guardamos apelido, bandeira, banco e os quatro últimos dígitos. Não guardamos o número completo, o código de segurança nem a validade.

Cada movimentação tem três campos de texto livre: descrição, contraparte e a descrição vinda do banco. O conteúdo desses campos é seu. Leia a seção 2.8 antes de registrar detalhes sensíveis.

2.3 Arquivos que você envia

Extratos e faturas em CSV, OFX ou XLSX, faturas de cartão em PDF ou em foto (PNG, JPEG ou WebP), e o conteúdo que extraímos deles para gerar movimentações. A leitura é feita por leitor determinístico do próprio sistema. Nenhum arquivo é enviado a modelo de inteligência artificial.

Quando o sistema não reconhece o formato do seu arquivo, você escolhe entre duas saídas. Na primeira, você mesmo indica qual coluna é data, valor e descrição. Esse mapeamento fica salvo na sua conta, para o mesmo formato não perguntar de novo, e a estrutura dele (os nomes das colunas e o papel de cada uma, sem nenhum conteúdo) pode ser usada pela equipe para criar suporte oficial àquele banco. Na segunda, você pede que a equipe crie esse suporte: geramos um modelo do arquivo, com os nomes das colunas e o formato de cada uma, e com valores e descrições inventados. Você vê o modelo antes de enviar. Nenhum lançamento, valor, nome ou número seu vai nele, e o arquivo original é apagado assim que o modelo é gerado.

Se a fatura em PDF estiver protegida por senha, você digita a senha para abrir o arquivo. Ela é usada só naquele momento, para ler a fatura, e não é guardada nem registrada. Enquanto você não a digita, o arquivo fica guardado ainda protegido, e é apagado se a senha não vier em um dia.

Se a fatura for escaneada ou fotografada, o texto da imagem é lido por reconhecimento de caracteres (OCR), no próprio servidor do MyGepeto. A imagem não é enviada a modelo de inteligência artificial nem a serviço de leitura de terceiros. A foto passa antes por uma checagem de qualidade, e a que não dá para ler é recusada com o motivo. Todo lançamento lido de uma imagem pede a sua conferência antes de entrar. A foto fica guardada como você enviou, junto com os seus outros arquivos. Se o celular gravou nela a localização ou dados da câmera, eles não são lidos nem usados.

Extrato em PDF e outras imagens, como foto de nota fiscal ou de comprovante, não são aceitos.

No suporte, você pode anexar imagens (PNG, JPEG ou WebP) ao seu chamado. Essas imagens também não são enviadas ao modelo.

2.4 Suas conversas e lembranças

Conversas com o assistente dentro do produto, e conversas com o suporte, incluindo as imagens que você anexar.

O assistente também guarda lembranças, que são preferências escritas por você para personalizar as respostas. Elas são enviadas ao modelo a cada pedido, e você pode apagá-las.

2.5 Preferências

Nome de exibição, moeda e fuso horário ficam na sua conta. Tema, ocultação de valores, ordem das seções da tela inicial, colunas da tabela de movimentações e avisos que você dispensou ficam somente no seu dispositivo. O inventário completo está na seção 9.

2.6 Dados técnicos e de segurança

Sessões e dispositivos, registros de auditoria das alterações que você faz, consumo das franquias do seu plano e um registro técnico de cada uso do assistente, contendo tarefa, modelo, tokens, custo e desfecho. Esse registro não contém o texto do seu pedido, apenas um resumo criptográfico dele e uma referência à mensagem correspondente da conversa, que continua guardada só na conversa.

Cada sessão guarda a data e a hora, o endereço IP, o navegador e um rótulo do dispositivo de onde ela foi aberta. Esses dados servem para você identificar, na lista de dispositivos, de onde entraram na sua conta, e a data, a hora e o IP são também os registros de acesso que o art. 15 do Marco Civil da Internet nos obriga a guardar por 6 meses, inclusive depois da exclusão da conta (seção 7.4). O IP também é usado, em memória e sem gravação, para limitar requisições e conter abuso.

Se você ativar as notificações no aparelho, guardamos o endereço de entrega que o seu navegador cria para isso. As notificações dizem que há algo para ver e não trazem valores em dinheiro.

2.7 Dados de outras pessoas que você registra

Ao dividir uma despesa, criar um grupo, anotar quem recebeu um pagamento ou registrar uma dívida ou um valor a receber, você faz com que o produto guarde dado pessoal de alguém que pode não ter conta aqui: o nome ou apelido digitado, a foto associada, o valor que essa pessoa deve ou recebeu, a quem, desde quando e por qual despesa, e o que ela fez na linha do tempo do grupo.

Registre apenas o necessário para a movimentação, a divisão ou a obrigação, e não cadastre dado sensível ou excessivo sobre outra pessoa. Tratamos essas informações para oferecer as funções que você pediu, proteger o serviço, cumprir obrigações legais e atender os direitos dessa pessoa. Se você é essa pessoa, a seção 7.3 explica como pedir correção ou remoção sem criar conta.

2.8 Sobre dado sensível

Não pedimos e não temos campo para dado de saúde, biometria, origem racial, opinião política, religião ou filiação sindical. Os campos de texto livre da seção 2.2, contudo, aceitam o que você escrever, e algumas descrições revelam exatamente esse tipo de informação, como "consulta psiquiátrica", "dízimo", "mensalidade do sindicato" ou "clínica de fertilidade".

Esse conteúdo é seu, e o produto existe para que você registre a sua vida como ela é. Em razão disso:

• desses três campos, apenas a descrição pode sair da aplicação, e somente quando você faz ao assistente uma pergunta sobre valores ou um pedido de conciliação. Contraparte e descrição do banco nunca são enviadas ao modelo;
• você pode desativar até esse envio, em Conta → Privacidade e documentos, na opção "Enviar a descrição das movimentações ao assistente", conforme a seção 5.1;
• você pode marcar uma movimentação específica como privada, e os textos dela deixam de ir ao assistente e à leitura interna, conforme a seção 5.2;
• tratamos esses campos com o mesmo cuidado aplicado ao restante do conteúdo financeiro.

2.9 Dados de cobrança

Para cobrar o plano, enviamos ao Asaas, que processa os pagamentos e atua conforme as próprias finalidades e responsabilidades em cada etapa, os dados de quem paga: nome, e-mail, CPF ou CNPJ e endereço (CEP, número e complemento) e, no pagamento com cartão, também o celular. Pelo CEP, o Asaas completa rua, bairro e cidade. Enviamos também o identificador interno da sua conta, no cadastro, e o de cada pedido, na cobrança, para ligar o pagamento à compra. O Asaas guarda esses dados no cadastro de cliente que mantém para nós. Transmitir também é tratar dado pessoal, e por isso consta aqui.

CPF ou CNPJ, celular e endereço não ficam na nossa base, nem o nome que você informar para o pagamento; nome e e-mail da sua conta continuam onde a seção 2.1 descreve. Guardamos apenas o identificador do seu cadastro no Asaas, para encontrá-lo de novo, e, do CPF ou CNPJ, o resumo criptográfico da seção 2.14. Sem a chave secreta que o calcula, esse resumo não permite recuperar o documento; com ela, o documento pode ser reconstituído por tentativa, e por isso a chave fica fora do banco de dados, com acesso restrito. Quando você vai pagar, lemos esse cadastro e mostramos os dados já preenchidos na tela de pagamento, para você não precisar digitá-los a cada compra. O mesmo acontece em Conta → Assinatura quando você passa a renovação para o cartão e falta algum dado que o cartão exige. O CPF ou CNPJ aparece mascarado, com só parte dos dígitos. Ao confirmar uma compra ou a escolha do meio da renovação, lemos o cadastro de novo, para conferir se falta algum dado. Essas leituras servem só para isso e não são gravadas.

Você pode corrigi-los na tela de pagamento, antes de pagar, ou em Conta → Assinatura, no caso da renovação acima. A correção vai direto para o seu cadastro no Asaas. O CPF ou CNPJ só é trocado quando você mesmo o edita, nunca como efeito de outra correção. Registramos que houve uma correção e quais campos mudaram, mas não o conteúdo deles. Fora desses dois momentos, a correção pode ser pedida pelo canal da seção 1.

Ao excluir a sua conta, pedimos ao Asaas que remova o seu cadastro de cliente, depois de canceladas as cobranças em aberto. Com uma contestação no cartão ou uma devolução ainda em andamento, o pedido espera o fim dela. Até a remoção, o identificador do cadastro fica nos registros das compras, já desvinculados da sua conta, e é apagado quando o Asaas confirma a remoção. O Asaas é instituição de pagamento autorizada pelo Banco Central e conserva, por obrigação própria e não por nossa conta, os registros das cobranças e a identificação de quem pagou, pelo prazo que a regulação dele exige — a de prevenção à lavagem de dinheiro pede ao menos dez anos. Nessa guarda ele é o controlador e responde diretamente a você. Os registros das compras que continuam conosco (seção 6) guardam os identificadores das cobranças no Asaas, pelos quais o cadastro ainda pode ser localizado; só os usamos para cumprir obrigação legal ou nos defender numa contestação ou processo.

Quando você digita o CEP na tela de pagamento ou em Conta → Assinatura, o seu navegador consulta o endereço correspondente diretamente na BrasilAPI, serviço gratuito de consulta de CEP mantido por terceiros, e o mostra para você conferir se o CEP está certo. A consulta não preenche nenhum campo, e o resultado dela não é enviado ao Asaas. Vai só o CEP, junto dos dados técnicos que qualquer acesso a um site revela, como o endereço IP. Não guardamos essa consulta.

Número de cartão, validade e código de segurança nunca passam pelo MyGepeto. Você os informa diretamente na tela do processador. Do cartão usado no pagamento, guardamos só a bandeira e os quatro últimos dígitos, que o Asaas nos informa depois do pagamento, para mostrar em Conta → Assinatura com qual cartão o plano foi pago e para conferir cada pagamento. Eles são apagados quando você exclui a conta.

Dados de identificação do tomador do serviço, como nome e CPF ou CNPJ, podem ser tratados e conservados quando necessários à emissão e à guarda de documento fiscal. Na forma atual, a nota fiscal fica com o emissor, e nós guardamos a referência a ela.

2.10 De onde você veio

Se você chegou até nós por um link de campanha, por um anúncio ou pelo link em outro site, guardamos uma única vez, na criação da conta, os dados de origem que vinham nesse link: a origem, o meio, o nome da campanha, o identificador de clique que a rede de anúncio coloca na URL, a página em que você entrou e o endereço do site que te trouxe — só o domínio, como google.com, nunca o endereço completo com a busca que você fez.

Três coisas sobre isso:

• é escrito uma vez e nunca reescrito. Se você voltar depois por outro anúncio, o registro continua o mesmo;
• não usamos cookie, pixel nem ferramenta de análise de comportamento para isso. Os dados vêm no próprio endereço que você abriu, e nada é guardado no seu aparelho. O inventário da seção 9 continua completo;
• isso não influencia nada sobre você: nem preço, nem plano, nem limite, nem qualquer benefício. Serve para sabermos por quais caminhos as pessoas nos encontram.

Quem chega digitando o endereço, por indicação de alguém ou pela busca sem link marcado não tem origem registrada — não criamos registro nenhum nesse caso.

2.11 O que não coletamos

Não pedimos RG. Não coletamos biometria, dado de saúde estruturado, origem racial, opinião política, religião ou filiação sindical. Não coletamos dado de crianças e adolescentes, pois o produto é destinado a maiores de 18 anos.

2.12 Nada vem do seu banco

O MyGepeto não usa Open Finance e não se conecta a instituição financeira. Todo dado chega por você, digitando ou enviando arquivo. Nunca pedimos sua senha de banco. Se alguém a pedir em nosso nome, trata-se de fraude.

2.13 Programa de indicação e pontos

Se você indica alguém ou chega por indicação, guardamos quem indicou quem, os pontos ganhos, usados e revertidos, e os descontos que eles geraram nas suas cobranças. Para recusar a autoindicação, comparamos o resumo do CPF ou CNPJ ligado a cada uma das duas contas (seção 2.14).

Os pontos não usados expiram com o encerramento da conta, por você ou nas hipóteses da cláusula 14 dos Termos de Uso. Depois da exclusão, só ficam os registros necessários para comprovar benefício efetivamente usado ou desconto concedido, e para tratar fraude, chargeback e obrigação fiscal.

Quem indica não vê o plano, os valores nem as datas das cobranças de quem foi indicado. No extrato dele, os pontos da indicação aparecem somados por mês, separados em indicações e ajustes, sem a data de cada cobrança. Se você chegou por indicação, saiba que a soma nem sempre esconde a sua cobrança: no mês em que só você gera pontos para quem o indicou, a soma é só dos seus pontos e, pela tabela do Anexo I dos Termos de Uso, pode deixar perceber o seu plano e o período; e um ajuste nesse mês pode deixar perceber uma devolução ou uma contestação sua.

2.14 Marcadores de elegibilidade e prevenção a abuso

Para aplicar limites de benefícios por pessoa e evitar autoindicação, podemos comparar identificadores por meio de marcadores criptográficos, quando isso for necessário e proporcional à finalidade. Um marcador HMAC continua sendo dado pessoal quando permite reconhecer a mesma pessoa, ainda que não revele diretamente o identificador. Como CPF e CNPJ têm espaço de valores limitado, o marcador não é anônimo; a chave fica fora do banco de dados e das cópias de segurança, com acesso restrito.

As finalidades são separadas: controle de teste, bônus de entrada, oferta após teste, prevenção de autoindicação e prevenção de fraude comprovada não compartilham automaticamente o mesmo dado nem o mesmo prazo. Usamos apenas os identificadores necessários para cada finalidade e não os usamos em inteligência artificial, publicidade ou perfil. A base legal é avaliada por finalidade, conforme a seção 3.

Marcadores ligados à conta são apagados com ela, salvo necessidade concreta e documentada de preservação posterior. Nesse caso, guardamos somente o mínimo necessário, com acesso restrito, base legal e prazo próprios, e apagamos o marcador ao terminar a finalidade ou obrigação identificada. Não existe prazo genérico de cinco anos para marcadores de conta Google, CPF ou CNPJ. Uma contestação de pagamento pode justificar guardar evidências daquela cobrança enquanto a disputa estiver aberta e o necessário à defesa; por si só, não cria retenção para bloquear pagamentos futuros.

Se você suspeitar que um marcador foi gravado por engano, inclusive porque outra pessoa usou seu CPF ou CNPJ, peça revisão pelo canal da seção 1, mesmo sem ter conta. Avaliaremos a identificação e corrigiremos ou apagaremos o marcador quando o uso não tiver fundamento. Você também pode pedir revisão e informações sobre decisões tomadas exclusivamente por tratamento automatizado que afetem seus interesses, incluindo os critérios e procedimentos aplicados, observados os limites legais e o segredo comercial.

2.15 Defesa numa contestação de pagamento

Se você contestar no cartão uma cobrança do plano, podemos disputar a contestação. A disputa corre pelo Asaas, que a leva à bandeira e ao banco emissor do cartão, e são eles que a decidem. Eles não tratam o dossiê por nossa conta: decidem a disputa por regras próprias do arranjo de pagamento, como controladores, e podem tratá-lo fora do Brasil. Para a disputa, um administrador nosso monta um dossiê daquela cobrança, a partir de registros que já guardamos, e o envia pelo painel do Asaas. O dossiê reúne só:

• a cobrança contestada: plano, período, valor, datas, meio de pagamento, bandeira e quatro últimos dígitos do cartão, e os identificadores da cobrança no Asaas;
• o aceite dos Termos de Uso e a ciência desta Política: versão, data e o resumo criptográfico do texto vigente em cada ato;
• a data de criação da conta e o e-mail da conta Google usada no login;
• as datas de início e de último uso das sessões no período pago, e quantas vezes cada uma foi renovada, sem endereço IP nem navegador;
• o uso do produto em cada dia do período pago, até a contestação, só em contagens: quantas movimentações você registrou, quantos pedidos fez ao assistente e quantos arquivos importou;
• os pagamentos anteriores da conta que não foram contestados, com a bandeira e o final do cartão;
• os avisos de cobrança que enviamos a você no app e no aparelho, com a data e, no app, o título e o texto;
• os e-mails da assinatura sobre aquela cobrança (seção 2.16): o modelo, a data do envio e o identificador do envio no Resend, sem o seu endereço nem o texto;
• a linha do tempo da contestação.

Não entram o conteúdo das suas movimentações (descrição, valor, conta, categoria), as suas conversas, os seus arquivos, o endereço IP nem o CPF ou CNPJ. O dossiê só é montado para uma cobrança contestada, cada abertura fica registrada com quem o abriu e quando, e ele não é guardado no MyGepeto: é montado a cada abertura, dos registros que seguem os prazos da seção 6. Para o envio, o administrador salva o PDF pelo navegador e apaga essa cópia depois de enviá-la, e ela não fica nos nossos sistemas. A cópia enviada fica com o Asaas e com quem decide a disputa.

Se você excluir a conta com uma disputa ainda em aberto, o dossiê daquela cobrança é montado antes da exclusão, com o que ela apagaria, e guardado como estava, ligado ao registro da compra, até 30 dias depois da decisão da disputa; então é apagado. Enquanto existe, é ele que sai numa nova abertura, com a situação atual da disputa e os eventos dela desde então. Sem disputa em aberto na exclusão, o dossiê de uma conta já excluída traz só as cobranças dela e a contestação, sem a bandeira e o final do cartão, que saíram com a conta.

2.16 E-mails da assinatura

Enviamos ao e-mail da sua conta Google os avisos operacionais da assinatura previstos na cláusula 17 dos Termos de Uso: a confirmação de cada pagamento, o lembrete de renovação, o aviso de aumento de preço, o comprovante do pedido de desativar a renovação ou de devolução e o aviso de cobrança recusada ou não paga. Eles não são marketing e não dependem de aceite. Se um dia encerrarmos contas do plano Free por inatividade (cláusula 14 dos Termos de Uso), os avisos desse encerramento também irão por e-mail, pelo mesmo serviço, com a data prevista e o seu saldo de pontos.

O envio é feito pelo Resend, serviço de e-mail transacional (seção 4), que recebe o seu endereço de e-mail e o texto de cada aviso: o plano, o período, os valores, as datas, o protocolo do pedido e, no lembrete da renovação automática no cartão, os quatro últimos dígitos do cartão. Nenhum desses e-mails traz código Pix, QR Code, link de pagamento nem pedido de dados: para pagar, você entra no MyGepeto. O Resend guarda cada envio por até 30 dias.

Guardamos um registro de cada e-mail: o modelo, o que ele disse (plano, preço e datas, sem o seu endereço), a situação do envio, quando saiu e o identificador do envio no Resend. Ele é a fila do envio: é por ele que cada aviso sai uma vez só, é tentado de novo quando falha e respeita o limite diário do serviço, e é ele que registra se e quando o aviso saiu. Sai na exportação da sua conta e é apagado com ela. A exceção é o dossiê guardado de uma contestação com disputa em aberto na exclusão (seção 2.15): ele leva o modelo, a data e o identificador dos envios sobre aquela cobrança, e segue o prazo dele. O endereço é lido da sua conta na hora do envio, e uma conta excluída não recebe mais nada.

3. Por que tratamos cada dado, e com qual base legal

Sob a LGPD (Lei 13.709/2018), todo tratamento exige uma hipótese legal. As nossas:

Nos casos de legítimo interesse, tratamos apenas o estritamente necessário (art. 10). Por essa razão, nossos registros técnicos guardam o seu identificador interno, e não o seu e-mail — e o registro de origem guarda apenas o domínio de quem te trouxe, nunca o endereço completo com a busca que você fez. Esse registro também não é usado para decidir nada a seu respeito.

Nenhum tratamento desta política se apoia em consentimento: todos são execução de contrato, obrigação legal ou legítimo interesse. Não havendo tratamento baseado em consentimento, também não há consentimento a retirar. Você pode se opor aos tratamentos baseados em legítimo interesse, como a leitura interna da seção 5.3, pelo canal da seção 1. Na marca da seção 2.14, avaliamos a oposição e respondemos com os motivos; a marca dentro do prazo continua, salvo se estiver errada ou não for sua. Os demais direitos da seção 7 permanecem integralmente aplicáveis.

4. Para onde seus dados vão

Railway, Cloudflare, OpenAI e Resend tratam dados por nossa conta e sob nossas instruções, como operadores, e não podem usá-los para finalidade própria. O Asaas também é operador no processamento das cobranças e no cadastro de quem paga. Três situações são diferentes, porque quem recebe os dados decide por conta própria, como controlador, e responde diretamente por isso: o login, em que você usa a sua conta Google, sob a política do Google (seção 4.1); a guarda que o Asaas faz, por obrigação própria de instituição de pagamento, dos registros das cobranças e da identificação de quem pagou (seção 2.9); e, numa contestação no cartão, a bandeira e o banco emissor, que recebem o dossiê da seção 2.15 e decidem a disputa pelas regras do arranjo de pagamento. Não vendemos, não alugamos e não cedemos seus dados para publicidade.

Os fornecedores são seis empresas, e apenas uma delas fica no Brasil.

Alguns serviços de terceiros são acessados diretamente pelo seu navegador, sem passar pelo nosso servidor: o botão de login, carregado do próprio Google; a lista de bancos, no cadastro inicial e na escolha do banco de uma conta; e a consulta de CEP, na tela de pagamento e em Conta → Assinatura (seção 2.9). As duas últimas são feitas na BrasilAPI. Nesses acessos, o terceiro recebe o que o seu navegador envia a qualquer site, como o endereço IP, e, na consulta de CEP, o CEP digitado.

Se você ativar as notificações no aparelho, o aviso é entregue pelo serviço de notificações do seu navegador ou sistema, que é escolhido pelo aparelho, e não por nós. O conteúdo segue criptografado e não traz valores em dinheiro.

4.1 Transferência internacional

Railway, Cloudflare, OpenAI, Resend e Google tratam dados fora do Brasil. Isso é transferência internacional de dados pessoais, e a Resolução CD/ANPD nº 19/2024 pede que ela seja explicada a você. Em linguagem simples:

• Quem responde por ela. O controlador é o MyGepeto, identificado na seção 1. Somos nós que decidimos o que é tratado e para quê, e somos nós que respondemos a você, inclusive pelo que os fornecedores fazem por nossa conta.
• Por que ela acontece. Porque é necessária para prestar o serviço que você contratou: sem hospedagem, sem a rede que entrega e protege o acesso, sem armazenamento de arquivos, sem o provedor do assistente e sem o envio dos avisos da assinatura por e-mail, o MyGepeto não funciona no desenho atual. A LGPD admite a transferência quando ela é necessária à execução do contrato (art. 7º, V, combinado com o art. 33, IX). A parte de segurança da Cloudflare, que protege o serviço contra ataques e acessos indevidos, apoia-se também no cumprimento de obrigação legal (art. 7º, II, com o mesmo art. 33, IX).
• O que não justifica. Esse fundamento vale só para o que é necessário ao serviço. Não é usado para publicidade, marketing, treinamento de modelos ou perfil de comportamento, e nada disso é feito com os seus dados.
• Forma. Os dados seguem por conexão criptografada. Railway, Cloudflare, OpenAI e Resend atuam como operadores, com acordo de tratamento de dados: assinado com a OpenAI e com a Railway, e incorporado ao contrato da Cloudflare e ao do Resend. No login, você se autentica diretamente no Google, que confirma quem você é e nos informa nome, e-mail, foto e identificador da conta. O que acontece dentro da sua conta Google segue a política de privacidade do Google.
• Compartilhamentos. Cada fornecedor pode recorrer a subcontratados próprios para prestar o serviço, sujeitos a obrigações de proteção de dados. Fora isso, da guarda que o Asaas faz por obrigação própria (seção 2.9) e do dossiê de uma contestação no cartão (seção 2.15), não compartilhamos seus dados com ninguém, salvo obrigação legal ou ordem de autoridade competente.
• Responsabilidades. Os fornecedores só podem tratar os dados conforme as nossas instruções e o contrato, e respondem perante nós por isso. Perante você, quem responde somos nós.
• Medidas de segurança. As descritas na seção 8, em especial: acesso por HTTPS, arquivos em armazenamento privado entregues só por link temporário, cópias de segurança criptografadas, separação dos dados por usuário em toda consulta e registros técnicos sem token, cookie ou e-mail.
• Seus direitos. Todos os da seção 7 valem também para os dados transferidos, inclusive saber com quais fornecedores e em quais países eles são tratados.

Ter um contrato de tratamento de dados não comprova, sozinho, que toda transferência internacional está regular. Registramos por fornecedor os fluxos, a localização, os subprocessadores e o mecanismo jurídico aplicável. A base e as salvaguardas precisam ser verificadas para cada fluxo; não afirmamos regularidade integral apenas pela existência de um DPA padrão.

O que cada fornecedor recebe, e por quanto tempo:

5. Inteligência artificial

O assistente do MyGepeto, o Gepeto, usa a API da OpenAI. Quando você faz um pedido, o MyGepeto pode enviar à OpenAI as informações necessárias para interpretar a solicitação e produzir uma resposta ou uma proposta. Nada é enviado ao modelo até você escrever um pedido, e nenhum arquivo é enviado.

Cinco compromissos:

1. Seus dados não treinam modelo, nem o nosso, nem o de terceiros. Utilizamos o serviço da OpenAI destinado a empresas e desenvolvedores e mantemos com ela acordo de tratamento de dados. Pelas regras da plataforma, o conteúdo enviado pela API não é usado para treinar nem melhorar os modelos da OpenAI por padrão.
2. Não treinar não equivale a não guardar, e preferimos declarar as duas coisas. Toda chamada nossa sai com a configuração store: false, que pede à OpenAI que não guarde a resposta para consulta posterior. Mesmo assim, a OpenAI pode reter a entrada e a saída por até 30 dias para monitoramento de abuso, e depois as apaga, salvo obrigação legal. Esse registro é dela, e não temos acesso para excluí-lo.
3. O histórico fica conosco, e não no provedor. A conversa fica guardada no MyGepeto, com o prazo por plano da seção 6. A OpenAI não é usada como arquivo das suas conversas.
4. A IA propõe e você confirma. Nenhuma movimentação é criada, alterada ou apagada apenas porque o modelo sugeriu.
5. A IA não decide nada sobre você. Ela não avalia, pontua, classifica nem nega nada. As poucas regras automáticas do produto não usam IA e estão descritas na seção 7.

O detalhamento, com a lista exata do que é enviado e do que nunca é, está na Política de uso de IA.

5.1 O que vai ao modelo

Enviamos um recorte, e não a sua base de dados: o seu pedido, as lembranças que você escreveu, os apelidos das suas contas e dos seus cartões, as suas categorias e a data de hoje e, só em perguntas sobre valores ou pedidos de conciliação, até 20 movimentações recentes e os totais do mês. Para entender pedidos curtos, como "e com o Gabriel?", o Gepeto pode usar também um conjunto limitado de mensagens recentes da mesma conversa, até seis, e um resumo do que a conversa está tratando.

Esses números são limite máximo, não envio obrigatório. Procuramos limitar o que vai ao modelo ao necessário para cada solicitação, e nunca enviamos indiscriminadamente o seu histórico financeiro. Seu nome, e-mail, CPF ou CNPJ, saldos, número de conta, contraparte, descrição do banco e arquivos nunca são enviados.

A descrição que você escreve numa movimentação pode ir ao modelo nas perguntas sobre valores. Você pode desativar esse envio em Conta → Privacidade e documentos, na opção "Enviar a descrição das movimentações ao assistente". Desativada, o assistente recebe data, tipo, valor e categoria de cada movimentação, sem o texto que você escreveu.

5.2 Movimentação privada

Você pode marcar uma movimentação como privada. Numa movimentação privada:

• nenhum dos três textos livres dela (descrição, contraparte e descrição vinda do banco) é enviado ao modelo de IA;
• ela não aparece individualmente em nada do que é enviado ao modelo, nem na lista de movimentações recentes;
• nas respostas do próprio Gepeto, ela aparece como "Movimentação privada", sem a descrição;
• ela não entra no resumo da conversa nem na leitura interna das perguntas da seção 5.3.

Ela continua guardada normalmente, como qualquer outra movimentação, e continua contando nos totais que o próprio sistema calcula, como o total do mês por categoria.

"Privada" vale para os fluxos de inteligência artificial e de leitura interna. Não é criptografia de ponta a ponta: a movimentação continua armazenada no MyGepeto, protegida como o restante dos seus dados, conforme a seção 8.

5.3 Leitura interna das perguntas feitas ao assistente

O Gepeto responde por dois caminhos: o catálogo de consultas do próprio sistema, que calcula a resposta com os seus dados sem acionar modelo nenhum, e a OpenAI, para o que o catálogo ainda não cobre. Para ampliar o primeiro caminho, que é mais exato e não envia nada para fora, precisamos saber quais perguntas reais ficam sem resposta. Por isso, um administrador nosso pode ler o texto de perguntas feitas ao assistente, com estas salvaguardas:

• só perguntas dos últimos 30 dias, no máximo, e por amostragem, nunca o conjunto inteiro;
• antes da leitura, identificadores diretos são mascarados: e-mail, CPF ou CNPJ, telefone e sequências longas de dígitos;
• perguntas com termos que podem revelar dado sensível ficam de fora;
• a tela não mostra quem perguntou, não permite filtrar por pessoa e não mostra a resposta devolvida;
• o acesso é restrito a administradores e fica registrado;
• nada é copiado: a pergunta continua guardada só na conversa, com o prazo da seção 6, e apagar a conversa também a retira desta leitura;
• o conteúdo de movimentação privada não entra, conforme a seção 5.2.

Mesmo com essas medidas, o texto de uma pergunta pode, em tese, permitir reconhecer quem a escreveu. Por isso não chamamos essa leitura de anônima. Ela se apoia em legítimo interesse (art. 7º, IX da LGPD), e você pode se opor a ela pelo canal da seção 1, sem prejuízo do uso do assistente. Os detalhes estão na Política de uso de IA.

6. Por quanto tempo guardamos

6.1 Cópias de segurança

O MyGepeto mantém cópias de segurança criptografadas do banco de dados por até 30 dias, guardadas separadas do ambiente em uso e protegidas por controle de acesso. Por isso, informações removidas do ambiente ativo, inclusive por exclusão de conta, podem permanecer temporariamente nessas cópias até o encerramento desse prazo, quando elas expiram automaticamente. Esses dados não são utilizados para novas finalidades, nem por inteligência artificial, nem para análise.

Se uma cópia precisar ser restaurada, as exclusões feitas depois dela são reaplicadas antes do retorno do ambiente ao uso normal. Para isso guardamos, fora do banco de dados e das cópias, um registro mínimo de cada exclusão de conta, sem nome, e-mail, conta Google ou conteúdo financeiro.

As cópias são do banco de dados. Os arquivos que você envia ficam apenas no armazenamento original e são apagados dele com a exclusão da conta.

7. Seus direitos

A LGPD (art. 18) garante a você:

• confirmar se tratamos seus dados e acessar o que temos. Os dados de quem paga, que ficam no Asaas, você vê na tela de pagamento e na exportação da sua conta, que os lê do Asaas na hora. Em Conta → Privacidade e documentos ficam o registro de cada aceite e a cópia, para baixar, da versão de cada documento que você aceitou;
• corrigir o que estiver incompleto, inexato ou desatualizado. No MyGepeto, você edita diretamente na interface; os dados de quem paga, na tela de pagamento ou em Conta → Assinatura, conforme a seção 2.9;
• pedir anonimização, bloqueio ou eliminação de dado desnecessário, excessivo ou tratado em desconformidade com a lei;
• portabilidade: exportar seus dados em formato legível por máquina. É um botão na sua Conta, e o arquivo traz todos os seus domínios, independentemente do plano contratado. Os dados de quem paga, que ficam no Asaas (seção 2.9), vêm nele lidos do Asaas no momento da exportação, com o CPF ou CNPJ inteiro, e não são gravados no MyGepeto; se o Asaas não responder, o arquivo diz isso, e você pode gerá-lo de novo ou pedir esses dados pelo canal da seção 1;
• eliminar seus dados pessoais, excluindo a conta, também na sua Conta;
• saber com quem compartilhamos, conforme a seção 4;
• retirar consentimento onde ele for a base. Hoje não há tratamento nosso apoiado em consentimento, conforme a seção 3;
• opor-se a tratamento fundado em legítimo interesse;
• pedir revisão de decisão automatizada. A inteligência artificial não decide nada sobre você, conforme a seção 5. Regras automatizadas podem aplicar critérios de elegibilidade do programa de indicação ou de benefícios. Se uma decisão tomada exclusivamente por tratamento automatizado de dados pessoais afetar seus interesses, você pode pedir revisão e informações claras sobre os critérios e procedimentos aplicados, observados os limites legais e o segredo comercial. Uma contestação isolada não deve, por si só, bloquear meios de pagamento futuros. Para solicitar revisão, escreva ao canal da seção 1, mesmo sem conta, e informe o que aconteceu; avaliaremos o caso e comunicaremos o resultado sem revelar dados de outra pessoa;
• reclamar à ANPD, caso entenda que não resolvemos.

7.1 Como pedir, e em quanto tempo respondemos

Para exercer os direitos que não são botão no produto, escreva para [email protected]. Confirmamos o recebimento em até 2 dias úteis e concluímos o atendimento em até 15 dias corridos, ressalvados prazos legais específicos. O pedido de revisão de uma decisão automática da seção 7 é respondido em até 5 dias, e o engano reconhecido é desfeito na hora.

7.2 Como confirmamos que o pedido é seu

Se você tem conta, o pedido parte da sua conta, com você conectado, ou é confirmado pelo e-mail cadastrado. Quando necessário, pedimos que você entre de novo antes de concluir.

Se você não tem conta, usamos o contato que já estiver associado ao registro, quando houver, e pedimos só os dados mínimos para localizá-lo. Documento de identificação, apenas quando realmente necessário. Não revelamos, antes de confirmar o pedido, se uma pessoa aparece na conta de outro usuário.

Nunca pedimos senha, código de segurança do cartão (CVV), token de acesso ou número completo de cartão. Se alguém pedir isso em nosso nome, trata-se de fraude.

7.3 Se você não tem conta, mas aparece na conta de alguém

Quem usa o MyGepeto pode registrar você como participante de uma divisão, como contraparte de um pagamento ou numa dívida ou valor a receber, conforme a seção 2.7. Você pode pedir acesso, correção ou remoção pelo [email protected], sem criar conta.

A remoção preserva o registro financeiro de quem inseriu o dado, mas deixa de identificar você. Removemos os dados que identificam você, como nome, apelido e foto, e mantemos só o necessário para a conta da outra pessoa continuar coerente. Por exemplo: se você foi incluído numa divisão e pede remoção, a divisão continua existindo e passa a mostrar "Participante removido — R$ 80" no lugar do seu nome.

7.4 Sobre exclusão

Ao excluir a conta, seus dados pessoais e o conteúdo da sua vida financeira são apagados. Há estas ressalvas:

• documentos fiscais e registros mínimos de cobrança cuja preservação tenha fundamento legal ou seja necessária à defesa de uma operação concreta podem permanecer desvinculados do cadastro, pelo prazo aplicável a cada categoria e até terminar eventual fiscalização, contestação ou processo que exija sua conservação. Não aplicamos prazo genérico de cinco ou dez anos a todos os registros. Cotações e trocas que não chegaram a valer são apagadas na exclusão;
• os registros de acesso (data, hora e IP de cada sessão) ficam por 6 meses, como exige o art. 15 do Marco Civil da Internet, desvinculados da conta e ligados só ao resumo criptográfico da conta Google, conforme a seção 6;
• se houver uma contestação no cartão com disputa em aberto, o dossiê daquela cobrança fica guardado até 30 dias depois da decisão, conforme a seção 2.15;
• os dados de quem paga ficam no cadastro de cliente do Asaas: pedimos ao Asaas que o remova, e o identificador dele fica nos registros das compras até a remoção; esses registros também guardam os identificadores das cobranças, pelos quais o cadastro ainda pode ser localizado, e o Asaas conserva, por obrigação própria, os registros das cobranças e a identificação de quem pagou, como diz a seção 2.9;
• em grupos e divisões, o que as outras pessoas precisam continuar visualizando permanece sem o seu nome, e-mail ou foto, identificado como "Participante removido", para que a conta delas não fique incoerente;
• as cópias de segurança podem conter os seus dados por até 30 dias, e a exclusão é reaplicada se alguma delas for restaurada, conforme a seção 6.1;
• os pontos não usados do programa de indicação expiram, conforme a seção 2.13;
• os marcadores de elegibilidade são apagados com a conta. Uma preservação excepcional depois da exclusão exige finalidade específica, base documentada, acesso restrito e prazo próprio; uma contestação, isoladamente, não cria retenção para bloquear pagamentos futuros.

A exportação não inclui os bytes dos arquivos que você enviou. Inclui o que extraímos deles e os dados do arquivo, como nome, tipo e data.

8. Como protegemos

• Acesso pela sua conta Google. Não temos nem armazenamos a sua senha.
• Token de acesso curto, mantido apenas na memória do navegador. Token de renovação guardado como hash, com rotação a cada uso.
• Todo dado é separado por usuário, em toda consulta. Auditamos esse isolamento em 16/08/2026 e não encontramos falha.
• O que o assistente devolve é reconferido contra você antes de virar dado.
• Todo tráfego ocorre por HTTPS.
• Arquivos guardados em armazenamento privado, em caminho derivado do identificador da sua conta, entregues só por link temporário e conferidos pelo conteúdo, não pela extensão do nome.
• Cópias de segurança criptografadas, separadas do ambiente em uso.
• Acesso administrativo restrito e registrado.
• Registros técnicos sem token, sem cookie e sem e-mail.
• Limite de requisições por conta e por origem, para conter abuso.

Nenhum sistema é imune. Ocorrendo incidente de segurança que possa gerar risco ou dano relevante a você, comunicaremos você e a ANPD nos prazos da regulamentação, e guardamos o registro de todo incidente por no mínimo 5 anos.

9. Cookies e armazenamento local

Inventário completo do que o MyGepeto grava no seu aparelho. Não há nada além do que consta abaixo:

{conta} é o identificador interno da sua conta, e não o seu nome ou e-mail.

O cookie de sessão vai à API para manter você conectado. O marcador de conta conhecida é enviado pelo navegador junto das requisições ao domínio do MyGepeto, mas o servidor não o lê. Os filtros de versão anterior, quando existem, são levados para a sua conta. O resto fica só no seu aparelho e não é enviado a ninguém. Sair da conta apaga o cookie de sessão; as preferências continuam no aparelho até você limpar os dados do navegador.

Se você ativar as notificações, o próprio navegador guarda a inscrição dele, e nós recebemos o endereço de entrega, conforme a seção 2.6. Na tela de entrada, o botão de login é carregado do próprio Google, que pode gravar cookies dele conforme a política de privacidade do Google.

Não usamos cookie de publicidade, rastreador de terceiros, pixel de rede social, mapa de calor nem ferramenta de análise de comportamento. Como tudo o que gravamos serve ao funcionamento do produto e às suas preferências, sem rastreamento, não exibimos banner de consentimento. Caso isso mude, o banner passará a ser exibido antes.

10. Menores de 18 anos

O MyGepeto é destinado exclusivamente a pessoas com 18 anos ou mais. É uma decisão nossa de produto, por se tratar de ferramenta financeira com contratação e cobrança. No cadastro, você declara ter 18 anos ou mais, e a declaração fica registrada junto do aceite dos documentos. Não coletamos conscientemente dados de crianças e adolescentes.

Se identificarmos que uma conta pertence a menor de 18 anos, suspendemos o acesso, inclusive ao assistente, tratamos a assinatura e o eventual reembolso, atendemos o responsável quando necessário e encerramos a conta, conservando apenas o que tiver fundamento legal próprio, como o registro fiscal de um pagamento.

11. Mudanças nesta política

Havendo mudança relevante, como nova finalidade, nova categoria de dado, novo fornecedor ou país, mudança de prazo de guarda, de compartilhamento ou do tratamento de dado sensível, avisaremos no produto antes de ela passar a valer. A data no topo é sempre a da última atualização.

12. Contato

Atendimento e pedidos sobre dados pessoais: [email protected] · Controlador: 65.483.085 JOAO ANTONIO HILGERT MERCK, CNPJ 65.483.085/0001-51 · ANPD: https://www.gov.br/anpd