Política de Privacidade

Fluxo Finance — nos termos da LGPD (Lei nº 13.709/2018) — última atualização: outubro/2026

Controlador dos dados: Fluxo Finance — CNPJ 69.896.848/0001-47, Piauí (PI).

1. O que coletamos

Dados de cadastro (e-mail, nome opcional) e tudo que você lança no app: empresas, dívidas, faturamento, clientes, planejamento financeiro, metas e preferências.

Para confirmar a idade mínima de 18 anos, solicitamos a data de nascimento no cadastro. A validação ocorre no servidor e armazenamos apenas o ano e a confirmação de maioridade; a data completa não é persistida.

Dados técnicos mínimos: endereço IP, tipo de aparelho/navegador, data e hora de acesso — coletados para segurança, auditoria e prevenção de abuso.

Não coletamos dados de cartão de crédito, CPF completo (apenas para boleto, se você informar) ou dados bancários.

2. Bases legais (LGPD Art. 7º)

Tratamos seus dados com base em:

• Execução de contrato (Art. 7º, V) — criar sua conta, guardar e exibir seus lançamentos, emitir boleto quando você pede.
• Obrigação legal ou regulatória (Art. 7º, II) — guarda de registros de acesso e de auditoria nos prazos exigidos por lei.
• Legítimo interesse (Art. 7º, IX) — segurança da aplicação, prevenção a fraude e abuso, e melhoria do produto com dados agregados.
• Consentimento (Art. 7º, I) — apenas para o analytics opcional. Recusar não limita nenhuma função do app.

Não tratamos dados sensíveis (Art. 11) e não tomamos decisões automatizadas que afetem seus direitos sem revisão humana.

3. Onde ficam e como protegemos

Banco de dados PostgreSQL (Supabase), com criptografia em repouso. Cache e sessões temporárias em Redis (Upstash). Tráfego sempre em HTTPS (TLS 1.3).

Cada usuário enxerga apenas os próprios dados (Row Level Security — RLS). Mesmo administradores não acessam dados de usuários sem justificativa legal.

Backups são armazenados em Cloudflare R2 com criptografia server-side.

4. Cookies e tracking

Usamos apenas cookies essenciais:

• Sessão de autenticação (Supabase Auth)
• Preferências (tema, densidade, privacidade na tela)
• Consentimento de cookies

Google Analytics (gtag) é carregado apenas após consentimento explícito (opt-in). Nenhum rastreador de terceiros é carregado sem seu consentimento.

Não gravamos sessão e não capturamos o conteúdo digitado em formulários.

Você pode revogar o consentimento a qualquer momento nas configurações do app.

5. Seus direitos (LGPD Art. 18)

Você tem direito a:

• Confirmar se tratamos seus dados
• Acessar todos os seus dados (exportação em JSON)
• Corrigir dados incompletos ou desatualizados
• Excluir sua conta e todos os dados permanentemente
• Portabilidade (exportar em formato estruturado)
• Revogar consentimento a qualquer momento
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados fora da lei
• Informação sobre compartilhamento — com quem compartilhamos e para quê
• Informação sobre a possibilidade de não consentir e as consequências da recusa
• Revisão de decisões automatizadas, quando existirem

Exercício de direitos: aba "Segurança e 2FA → Meus dados" no app. Sem custo, sem burocracia.

Prazo de resposta: até 15 dias (conforme LGPD).

6. Retenção de dados

Dados mantidos enquanto a conta existir. Ao excluir a conta:

• Banco de dados: apagado imediatamente
• Cache (Redis): apagado imediatamente
• Sessões: revogadas imediatamente
• Backups: apagados no próximo ciclo (até 30 dias)

Registros de auditoria (audit_log) — quem fez o quê e quando, sem o conteúdo dos seus lançamentos — são mantidos por até 5 anos, com base em legítimo interesse (LGPD Art. 7º, IX e Art. 10) para segurança e prevenção a fraude. O e-mail é o único identificador nesses registros e é usado apenas para rastrear abuso.

7. Compartilhamento e transferência internacional

Não vendemos, alugamos ou compartilhamos seus dados com terceiros para fins comerciais.

Dados podem ser compartilhados apenas:

• Com processadores de pagamento (Mercado Pago) para emissão de boletos — apenas dados necessários (nome, CPF, valor)
• Com autoridades judiciais, quando exigido por lei
• Com membros da sua empresa (conforme permissões configuradas)

Dados dos seus clientes. Quando você cadastra clientes para emitir cobrança ou boleto, você é o controlador desses dados e o Fluxo Finance atua como operador (LGPD Art. 39): tratamos apenas conforme a sua instrução e para a finalidade de emissão da cobrança. Você responde por ter base legal para cadastrá-los.

Transferência internacional (LGPD Arts. 33 a 36). Nossos fornecedores de infraestrutura processam dados fora do Brasil — principalmente nos Estados Unidos. A transferência ocorre para execução do contrato e para as finalidades desta política, amparada em cláusulas contratuais padrão e nos termos de tratamento de cada fornecedor, nos moldes da Resolução CD/ANPD nº 19/2024. A lista atualizada de fornecedores está em Subprocessadores.

8. Segurança

Medidas de segurança implementadas:

• Criptografia em trânsito (HTTPS/TLS 1.3)
• Criptografia em repouso (Supabase)
• Autenticação em duas etapas (2FA TOTP)
• Row Level Security (RLS) — cada usuário vê apenas seus dados
• Rate limiting (proteção contra abuso)
• Auditoria append-only (registro de todas as ações)
• Limite de aparelhos por conta
• Backup automático (R2 + Supabase)

9. Encarregado de dados (DPO)

Encarregado de dados (DPO): Fluxo Finance — CNPJ 69.896.848/0001-47.

Contato do encarregado: [email protected]. Você também pode usar a aba "Sugestões" dentro do app com o assunto "LGPD".

Para denúncias de conteúdo ou remoção de imagens enviadas por usuários, use a mesma aba com o assunto "Remoção de conteúdo".

Prazo de resposta: até 15 dias, conforme LGPD Art. 18, §1º.

10. Incidentes de segurança

Se um incidente de segurança puder causar risco ou dano relevante aos titulares, comunicaremos a ANPD e as pessoas afetadas nos prazos da Resolução CD/ANPD nº 15/2024 — 3 dias úteis, e 6 dias úteis por sermos agente de pequeno porte (Res. 2/2022, Art. 14), com a descrição do ocorrido, os dados envolvidos e as medidas adotadas. Mantemos registro de todos os incidentes por 5 anos.

11. Alterações nesta política

Alterações relevantes serão avisadas no app. O uso continuado após alterações implica aceitação da nova política.

12. Foro e lei aplicável

Esta política é regida pela legislação brasileira, em especial a LGPD (Lei nº 13.709/2018). Foro: comarca de residência do titular (conforme CDC, quando aplicável).

Fluxo Finance · CNPJ 69.896.848/0001-47 · Piauí (PI)