Política de Privacidade

A versão curta

• Você nos dá um endereço de e-mail, uma senha e o nome que você escolher, que pode ser um apelido. É tudo o que pedimos para abrir uma conta.
• Todo o resto na Valunto é o que você mesmo digita, ou o que você escolhe importar de um arquivo seu. A Valunto nunca se conecta a um banco, cartão, corretora ou qualquer outra conta sua, e nunca pede as credenciais delas.
• Não usamos analytics, publicidade nem pixels de rastreamento. O único código de terceiros que incorporamos é o do nosso serviço de relatórios de erros, e ele só fala quando algo quebra. Não vendemos dados e não usamos seus dados para treinar nada.
• Seus dados ficam em nossos próprios servidores, na Finlândia, na União Europeia. Cinco empresas nos ajudam a operar o serviço: nosso provedor de hospedagem, a rede que transporta e protege nosso tráfego, nosso provedor de e-mail, nosso serviço de relatórios de erros e, só quando um arquivo que você importa precisa de IA para ser lido, o provedor de IA que o lê. Ninguém mais recebe seus dados, exceto o que um pagamento exige (próximo item), o que a lei nos obrigar a entregar ou o que você compartilhar com a sua própria família.
• Quando você assina no site, paga ao Link, uma empresa da Stripe que vende os planos da Valunto como merchant of record. O Link coleta os dados do seu cartão e de cobrança segundo a sua própria política de privacidade; nós nunca vemos seu cartão e enviamos ao Link só seu e-mail, seu idioma e um identificador da sua conta. No app do iPhone, você pode assinar pela App Store: a Apple recebe o pagamento segundo a sua própria política de privacidade, o app passa à Apple só um identificador da sua conta, e a Apple nos informa o plano e o status dele.
• Você pode exportar ou excluir tudo, a qualquer momento, em Configurações. Excluir a conta remove seus dados dos nossos sistemas em produção imediatamente.

O resto desta página é a versão longa, escrita para ser lida.

1. Quem somos

A Valunto é prestada pela Valunto OÜ, sociedade de responsabilidade limitada inscrita no Registro Comercial da Estônia sob o código de registro 17624319. Somos o "controlador" dos seus dados pessoais nos termos da legislação de proteção de dados, incluindo o Regulamento Geral de Proteção de Dados da UE (GDPR). Isso significa que decidimos por que e como os dados descritos aqui são usados, e que respondemos por eles. Para dúvidas sobre esta política ou sobre seus dados, escreva para contact@valunto.com.

2. Quais dados temos e de onde eles vêm

2.1 O que você nos dá

Sua conta. O nome que você escolheu, seu e-mail e sua senha. O nome é só a forma como as pessoas da sua família veem você: qualquer nome ou apelido serve, e nunca o verificamos. Guardamos a senha apenas como um hash de mão única, o que significa que não conseguimos lê-la nem recuperá-la. Também registramos quando seu e-mail foi verificado e quando a senha foi alterada pela última vez, para que a página de segurança mostre fatos, não estimativas. Também registramos quando um e-mail de confirmação para seu endereço não pôde ser entregue.

Seus registros financeiros. Tudo o que você insere para usar a Valunto: ativos e dívidas, transações e categorias, orçamentos, metas, listas de compras, as moedas que você acompanha e suas preferências (idioma, moeda principal, configurações de notificação). São informações financeiras, e são a razão de existir do serviço. Você as insere manualmente ou a partir de um arquivo que escolhe importar, e só você e os membros da família que escolher podem vê-las. Qualquer registro que você marcar como privado é visto só por você, seja qual for o papel dos membros da sua família. A Valunto não tem conexões bancárias, então nada chega que você não tenha digitado ou importado.

Arquivos que você importa. Se você escolher importar um arquivo (uma planilha, uma exportação do seu banco ou cartão, ou um extrato em PDF), nosso servidor o lê para encontrar seus ativos e dívidas, ou suas transações. Sempre que possível, a Valunto lê o arquivo sozinho, e nada sai da Valunto: um arquivo OFX, uma exportação de um banco que a Valunto já conhece, uma tabela cujas colunas você confirma ou um arquivo lido pela estrutura salva de outro que você já importou. Um PDF, ou uma planilha que só pode ser lida com IA, é lido com IA na Anthropic, e a página de importação avisa isso junto ao arquivo antes que qualquer coisa seja enviada. Para esse arquivo, enviamos o conteúdo dele, junto com as moedas que você usa e a data de hoje, à Anthropic, cujo modelo devolve o que encontrou para você revisar. Nada mais vai junto: nem seu nome, nem seu e-mail, nem o nome do arquivo, nem os membros da sua família. A Anthropic não treina com o arquivo e o apaga em até 30 dias. A Valunto nunca guarda o arquivo; o que foi lido dele é mantido por um dia para você revisar, e só as linhas que você confirma são adicionadas à sua conta. Quando você confirma as colunas de uma tabela, ou adiciona o que a IA leu da planilha em que você acompanha o que tem e deve, guardamos a estrutura desse arquivo para que o mesmo tipo de arquivo seja lido sem IA da próxima vez: os nomes das colunas, o que cada uma contém e como as datas e os números estão escritos, e, no caso dessa planilha, quais linhas correspondem a quais dos seus ativos e dívidas. Uma estrutura nunca é uma cópia do arquivo, e ela pertence à sua família. Quando a linha de nomes de colunas de um arquivo não é uma que conhecemos, guardamos apenas um hash de mão única dessa linha, que não conseguimos ler, e quantas vezes a vimos, para saber a quais bancos dar suporte em seguida; esse hash não identifica nenhuma pessoa nem família. Você escolhe isso para cada arquivo ao enviá-lo; sem isso, nada é lido.

Sua família. Se você convidar alguém para a sua família, guardamos o e-mail que você informa e enviamos um convite. Quando a pessoa entra, guardamos o papel dela (titular, membro ou observador) e compartilhamos com ela, conforme esse papel, os registros que você não marcou como privados. Ao convidar alguém, você confirma que pode compartilhar o e-mail dessa pessoa conosco.

Seu plano. Se você assina no site, paga na página de pagamento do Link, que pede os dados do seu cartão e de cobrança; nós nunca os vemos. Enviamos ao Link seu e-mail, seu idioma e um identificador da sua conta, e o Link nos informa seu plano, o período de cobrança e a moeda, o status e a data de renovação, os identificadores do seu cliente e da sua assinatura na Stripe, e a fatura do seu primeiro pagamento. Guardamos esses dados, com a data do seu primeiro pagamento e se você usou o reembolso, para saber qual plano cobre sua conta. Um plano concedido sem custo registra o motivo. Se nenhum plano cobrir sua conta, registramos quando ela foi bloqueada e quando enviamos e-mails sobre isso.

Um plano comprado no app do iPhone. Se você assina no app do iPhone, paga à Apple pela App Store, com a forma de pagamento da sua conta Apple; nós nunca a vemos. Com a compra, o app passa à Apple um identificador da sua conta, para que o plano chegue à conta certa. A Apple nos informa o plano e o período de cobrança, o status, se ele é renovado e quando o período termina, o identificador que a Apple dá à assinatura e se foi uma compra de teste. Guardamos esses dados, como guardamos um plano comprado no site, para saber qual plano cobre sua conta.

Suas mensagens. Se você escrever para as pessoas da sua família em Mensagens, guardamos o que você escreveu, quando e a qual conversa pertence, e enviamos por e-mail às outras pessoas dessa conversa. Você pode editar ou apagar suas próprias mensagens a qualquer momento; ao apagar uma, as palavras dela são excluídas dos nossos sistemas, embora uma cópia já possa estar na caixa de entrada de quem a recebeu. Quando você exclui sua conta, suas mensagens são excluídas com ela, e o que as outras pessoas dessas conversas escreveram fica com elas.

Solicitações de suporte. Se você entrar em contato com o suporte de dentro do app, guardamos o que você escreve, a categoria escolhida e os diagnósticos que você aceita enviar. Os diagnósticos podem incluir: a página em que você estava, o tamanho da janela, o navegador ou modelo do dispositivo, seu idioma e fuso horário, a versão do app, as últimas páginas visitadas, as últimas requisições que o app fez ao nosso servidor (com seus identificadores, nunca o conteúdo) e mensagens de erro. Você também pode anexar uma captura de tela. Todos os números da página, incluindo valores monetários e datas, e os nomes dos itens que você marcou como privados são mascarados antes da captura; todo o resto aparece como estava na sua tela, incluindo os nomes de metas, contas e transações compartilhadas, os nomes dos membros da sua família e seu e-mail, se a página o mostrava. Você vê exatamente o que será enviado e pode remover a captura antes de enviar. Cada solicitação também gera uma notificação por e-mail para nós, para que a percebamos.

Formulário de contato. Se você escrever para nós pelo formulário da nossa página de contato, guardamos seu nome, seu e-mail, o idioma da página, o assunto escolhido e o que você escreve, para poder responder a você. O formulário não confirma o endereço, então uma mensagem não é vinculada a nenhuma conta. Cada mensagem também gera uma notificação por e-mail para nós, para que a percebamos. Nada é enviado ao endereço informado até respondermos.

Pedir acesso. Se você pedir acesso à Valunto, guardamos seu nome, seu e-mail, o que você nos conta sobre o que traz você à Valunto, como você quer começar (uma chamada de 30 minutos para configurar tudo juntos ou só um link) e, se escolher a chamada, o idioma em que você a quer. Também registramos o idioma da página que você usou, se você experimentou a demonstração antes, e quando você fez o pedido, quando convidamos você ou renovamos seu convite, quando você criou sua conta ou quando recusamos o pedido. Usamos isso para decidir quem convidar e para entrar em contato com você: para confirmar que recebemos seu pedido, para enviar seu convite, que vale por 24 horas, e para combinar a chamada, se você pediu uma. Cada pedido também gera uma notificação por e-mail para nós, para que o percebamos.

2.2 O que nossos sistemas registram por conta própria

Logs de acesso. Cada requisição ao nosso servidor grava uma linha de log com o horário, o caminho solicitado, o status da resposta, a duração, um identificador anônimo da requisição e o endereço IP de origem. Usamos isso para manter o serviço funcionando e investigar abusos. Os logs são mantidos por 30 dias e depois excluídos.

Limite de requisições. Para frear tentativas de adivinhar senhas e outros abusos, nosso servidor conta as requisições por endereço IP em memória. Nada é gravado em disco e a contagem desaparece em minutos.

País da requisição. A Cloudflare, que transporta o tráfego entre você e nossos servidores, informa ao nosso servidor de que país vem cada requisição, a partir do endereço IP. Usamos isso só para escolher a moeda em que uma página mostra os preços, e não guardamos essa informação.

Sessões. Quando você entra, guardamos o identificador do navegador ou do app ("user agent") desse login, para que você possa ver e revogar suas sessões ativas. As sessões expiram em no máximo 7 dias.

Relatórios de erros. Quando algo falha no nosso servidor, uma página trava no seu navegador ou o app móvel fecha de forma inesperada no seu celular, um relatório vai para o nosso serviço de relatórios de erros para que possamos corrigir. O relatório diz o que falhou e em que parte do nosso código, com o identificador da requisição, o método e o caminho da requisição e a versão do app. Os relatórios do navegador incluem também o tipo de navegador e de dispositivo e o endereço da página; os do app móvel incluem o modelo do celular, seu sistema operacional, idioma e fuso horário, o estado dele naquele momento (memória, armazenamento, bateria, rede, orientação), a tela em que você estava e um identificador aleatório que o serviço de relatórios de erros atribui ao app quando ele é instalado, que não está vinculado à sua conta e muda se você reinstalar o app. Endereços de e-mail e os códigos dos links de e-mail são removidos antes do envio, e endereços IP não são guardados.

2.3 O que não coletamos

Nada de analytics, identificadores de publicidade, localização além do país de onde vem uma requisição (veja 2.2), contatos, impressão digital do dispositivo, scripts de terceiros além dos relatórios de erros descritos em 2.2, ou gravação de sessão. Não lemos seus dados para montar um perfil seu, e não tomamos decisões automatizadas sobre você.

3. Por que usamos seus dados e com que base legal

Não enviamos e-mails de marketing. Se isso mudar algum dia, pediremos seu consentimento antes e você poderá retirá-lo a qualquer momento.

4. Cookies e armazenamento no dispositivo

A Valunto usa apenas os cookies de que precisa para funcionar. Não há banner de cookies porque não há nada a escolher: nenhum desses cookies rastreia você. Todos são nossos, menos o último, que a Cloudflare define só quando pede ao seu navegador que passe por uma verificação de segurança.

O app móvel guarda sua sessão no armazenamento seguro do dispositivo (as Chaves, no iPhone), e seu idioma e preferências de exibição no armazenamento privado do app. Nada mais é guardado no seu dispositivo. No Android o app se exclui dos backups do sistema e das transferências entre aparelhos, então nada do que ele guarda é copiado para os servidores do Google nem para outro celular. No iPhone a sessão é marcada como pertencente só a esse aparelho, então fica fora dos backups e nunca passa para outro celular; o armazenamento privado do app, sim, entra no backup criptografado do seu celular, no iCloud ou no computador.

5. Com quem compartilhamos seus dados

Não compartilhamos seus dados com ninguém, exceto:

Sua família. Membros e observadores da sua família veem os registros que você compartilha com ela, conforme o papel de cada um; os registros que você marca como privados nunca são compartilhados com eles. Você controla quem está na sua família e o que compartilha com ela. O que você escreve em Mensagens é lido pelas pessoas daquela conversa, no app e por e-mail.

Empresas que trabalham para nós (operadores). Elas agem apenas sob nossas instruções, sob um contrato que as obriga a proteger seus dados pelo menos como esta política faz, e somente para prestar o serviço:

Quem vende seu plano. Se você assina no site, o Link (Sold through Link, LLC, uma empresa da Stripe) vende o plano a você como merchant of record. O Link coleta e usa seus dados de pagamento como controlador por conta própria, segundo a sua própria política de privacidade (https://link.com/privacy), e não por instrução nossa. Só passamos a ele o que uma compra exige: seu e-mail, seu idioma e um identificador da sua conta.

Quem vende um plano comprado no app do iPhone. Se você assina no app do iPhone, a Apple vende o plano a você pela App Store. A Apple coleta e usa seus dados de pagamento como controladora por conta própria, segundo a sua própria política de privacidade (https://www.apple.com/legal/privacy/), e não por instrução nossa. Só passamos a ela um identificador da sua conta, que o app envia com a compra.

Fontes de dados públicas que consultamos. As taxas de câmbio vêm do Frankfurter (taxas de referência do Banco Central Europeu) e, para ativos digitais, do CoinGecko. Nosso servidor busca essas taxas na própria programação; as requisições não levam nada sobre você.

As lojas que distribuem o app. O app para Android é distribuído pelo Google Play, um serviço do Google sujeito à política de privacidade do Google, e o app do iPhone pela App Store, um serviço da Apple sujeito à da Apple. Cada loja cuida do download e das atualizações e não nos entrega dados pessoais sobre você: vemos só estatísticas agregadas de instalações e falhas, e as avaliações que você decide publicar, com o nome com que as publica. A Apple só compartilha conosco relatórios de falhas e estatísticas de uso das pessoas que escolheram, nos ajustes do iPhone, compartilhá-los com os desenvolvedores.

Quando a lei exige. Divulgaremos dados se um tribunal ou autoridade com jurisdição sobre nós ordenar. Avisaremos você quando nos for permitido.

Nunca vendemos dados pessoais e nunca os compartilhamos para publicidade.

6. Onde seus dados ficam e transferências para fora da UE

Seus dados ficam em servidores na Finlândia, na União Europeia. Cloudflare, Resend, Sentry e Anthropic são empresas dos Estados Unidos; a Cloudflare atende cada requisição no data center mais próximo de você, e o Sentry guarda nossos relatórios de erros na sua região da União Europeia. Quando um provedor trata dados fora da União Europeia, contamos com as salvaguardas que a lei prevê: o EU–US Data Privacy Framework quando o provedor é certificado e, caso contrário, as cláusulas contratuais padrão da Comissão Europeia (GDPR art. 46). O Link e a Apple, que vendem seu plano, cuidam das próprias transferências segundo as suas políticas de privacidade.

7. Por quanto tempo guardamos seus dados

Quando você exclui sua conta, tudo o que é seu é removido dos nossos sistemas em produção imediatamente, incluindo as capturas de suporte. Os dados que você compartilhou com uma família são reatribuídos ou removidos conforme as regras da família explicadas no app no momento da exclusão. As mensagens que você escreveu são excluídas com a sua conta; as mensagens dos outros membros nessas conversas ficam com eles.

8. Como protegemos seus dados

• Todo o tráfego entre você e a Valunto é criptografado (TLS), do seu dispositivo até a Cloudflare e da Cloudflare até nossos servidores.
• Senhas, tokens de sessão e links de e-mail são guardados apenas como hashes de mão única.
• O banco de dados não é acessível pela internet, apenas pela nossa aplicação.
• Todos os números, incluindo valores monetários, e os nomes de itens privados são mascarados nas capturas de suporte, e os valores nunca são incluídos nos diagnósticos. As capturas são excluídas 90 dias após o fechamento da solicitação.
• As sessões expiram, e você pode vê-las e revogá-las na página de segurança.

Nenhum sistema é perfeitamente seguro. Se soubermos de uma violação que afete você, avisaremos você e a autoridade competente conforme a lei exige.

9. Seus direitos

Você tem o direito de acessar, corrigir, exportar, excluir e se opor ao uso dos seus dados, e de nos pedir para restringir o tratamento. A maioria deles você exerce por conta própria, agora mesmo, no app:

Se você desinstalou o app móvel, ainda pode excluir sua conta entrando em https://valunto.com e usando Configurações → Zona de perigo, ou escrevendo para contact@valunto.com a partir do e-mail da conta. Respondemos em até um mês (GDPR art. 12(3)).

Você também tem o direito de reclamar à autoridade de proteção de dados do país em que você mora, ou à autoridade responsável por nós: a Inspetoria de Proteção de Dados da Estônia (Andmekaitse Inspektsioon, https://www.aki.ee). Preferimos que você nos escreva primeiro, para que possamos resolver o problema.

10. Crianças e adolescentes

A Valunto não se destina a menores de 18 anos. Não coletamos conscientemente dados de menores. Se você acredita que um menor abriu uma conta, escreva para contact@valunto.com e a excluiremos.

11. Alterações nesta política

Quando alterarmos esta política, atualizaremos a data no topo. Se uma alteração afetar como usamos seus dados, avisaremos por e-mail ou dentro do app antes de ela entrar em vigor. Versões anteriores estão disponíveis mediante solicitação.

12. Contato