Política de Privacidade

O Lumimo organiza o seu dinheiro a partir dos arquivos que você mesmo envia. Não pedimos a senha do seu banco, não nos conectamos a ele e nunca movimentamos dinheiro. Aqui explicamos, sem letra miúda, o que guardamos, para quê e como você controla tudo.

1. Quem cuida dos seus dados

O Lumimo é o controlador dos dados tratados no app. Encarregado de dados (DPO): [NOME], [E-MAIL].

2. O que coletamos

• Conta: nome, e-mail, senha (guardada cifrada: ninguém consegue ler) e, se você ligar, o segredo da verificação em duas etapas.
• Lançamentos: data, descrição, valor, conta e categoria de cada lançamento dos arquivos que você envia, mais o que você cria (projetos, regras, orçamentos, lançamentos manuais, recibos, investimentos e pontos).
• Arquivo original (OFX, CSV, PDF): Apagamos o arquivo assim que lemos. Ele é lido na hora e não fica guardado. A senha de PDF/ZIP serve só para abrir; ela só fica guardada se você marcar "lembrar a senha deste banco", e aí fica cifrada e você apaga quando quiser em Configurações.
• E-mail da fatura encaminhado (planos pagos): o e-mail chega pelo nosso provedor de e-mail (Resend), que guarda a mensagem e os anexos por 30 dias e depois apaga. Esse prazo é do provedor e hoje não dá para encurtar. Do nosso lado, lemos só os anexos (PDF, OFX ou CSV) e não guardamos o corpo do e-mail. Se o remetente for desconhecido, guardamos remetente, assunto e o anexo cifrado por no máximo 7 dias, até você aprovar ou recusar.
• Relatório do Imposto de Renda (Max): as marcas de dedutível que você faz e o CPF ou CNPJ de prestadores (médico, escola, previdência) que você digitar, só para montar o seu relatório. Fica na sua casa, sai na exportação e é apagado com a conta.
• Assinatura (quem assina um plano pago): plano, ciclo, forma de pagamento, valores, datas e status dos pagamentos, e a prova do seu aceite da Política de Assinatura (versão, data e hora, endereço IP). O CPF e os dados do cartão vão direto para o nosso parceiro de pagamentos (Asaas); não guardamos dados do cartão.
• Uso e segurança: aparelhos conectados, endereço IP, tentativas de login (guardadas em código embaralhado), erros do app e telas visitadas — sem valores nem descrições.

3. Para que usamos e com que base legal (LGPD)

• Prestar o serviço (organizar, categorizar, calcular, lembrar vencimentos): execução do contrato (art. 7º, V).
• Segurança e prevenção a fraudes (2FA, limite de tentativas, sessões, registro de erros): legítimo interesse e proteção do titular (art. 7º, IX).
• Melhorar o produto (quais telas são usadas, sem dados financeiros): legítimo interesse (art. 7º, IX).
• Obrigações legais (responder autoridades, guardar registros de acesso por 6 meses — Marco Civil): art. 7º, II.
• Prova do aceite da assinatura (plano, versão do texto, data e hora, IP e código da assinatura — sem dados financeiros): obrigação legal e exercício regular de direito (art. 7º, II e VI), guardada por 5 anos mesmo depois de apagar a conta.
• Leitura de arquivo por IA (Max, só quando você pede): consentimento, dado a cada arquivo (art. 7º, I). Sem a sua autorização marcada, nada vai para a IA.
• Mensagens opcionais (lembretes por e-mail/WhatsApp, novidades): consentimento, que você pode tirar quando quiser (art. 7º, I).

Não vendemos seus dados e não usamos seus lançamentos para publicidade.

4. Inteligência artificial

Quando o app não reconhece uma loja, pode perguntar a uma IA qual é a categoria mais provável. Ela recebe só o nome da loja (ex.: "PADARIA SAO JOSE") — nunca valores, datas, contas ou dados pessoais —, exceto quando você pede leitura por IA. Números e cálculos são sempre feitos aqui, sem IA.

Leitura por IA (Max; em qualquer plano quando o formato do banco ainda é desconhecido, com cota pequena). Quando nenhum leitor do app reconhece o arquivo, você pode tocar em "Ler com IA". A cada arquivo, pedimos a sua autorização: "Este arquivo será lido pelo Google Gemini (sem uso para treino) para extrair os lançamentos."

• O que vai: no PDF, só o texto, depois de tirarmos CPF, o seu nome e o de quem é da sua casa, números de conta, agência e cartão, e-mail, telefone e endereço. No print ou foto, só a imagem, sem nenhum outro dado da sua conta. Valores, datas e descrições vão, porque são o que a IA precisa ler.
• Operador: Google (Gemini, nível pago). Pelos termos do Google para esse nível, o conteúdo não é usado para treinar modelos; o Google pode guardá-lo por tempo limitado só para detectar abuso.
• Finalidade: só extrair data, descrição, valor e parcela dos lançamentos. O que vier escrito dentro do arquivo nunca é tratado como instrução.
• Base legal: consentimento (art. 7º, I), dado a cada arquivo. Você pode não usar e importar OFX ou CSV.
• O que guardamos: os lançamentos que você conferiu e gravou, e o registro da sua autorização (data, versão do texto e um código do arquivo, sem o conteúdo). O arquivo é descartado, como em qualquer importação.

Formatos que o app aprende. Quando um arquivo não é reconhecido, guardamos só a "impressão digital" do formato (tipo de arquivo, banco, nomes das colunas, formato de data e valor), sem nenhum valor, nome ou documento, para juntar os casos iguais e ensinar o app. Se você marcar "Ajude o Lumimo a aprender este formato" (vem desmarcado), mandamos ao nosso time uma cópia anonimizada: mesma estrutura, com valores, nomes, CPF/CNPJ, contas e descrições trocados por fictícios. Seus dados reais não saem. Base legal: consentimento (art. 7º, I).

Segurança dos arquivos. Todo arquivo é conferido pelo conteúdo (não pela extensão) e por um antivírus que roda em servidor nosso; arquivo com vírus é recusado e apagado (guardamos só um código do arquivo e o motivo). Nada dentro do arquivo é executado.

Assistente "Pergunte ao Lumimo" (Max). O texto da sua pergunta (sem CPF, cartão e e-mail, que tiramos antes) e os nomes das suas categorias vão para o Google Gemini, no mesmo nível pago, só para a IA entender o que você quer saber e escolher uma consulta fixa do app. A IA não recebe seus lançamentos nem valores: os números são calculados aqui, com as mesmas contas das telas, e a frase da resposta é montada pelo app. Para mostrar "Suas últimas perguntas" e sugerir as que você mais usa, guardamos o texto da pergunta e a data (até 50, sem CPF, cartão e e-mail) e, nas 20 mais recentes, a resposta pronta (a frase com os valores e o período), para mostrar na hora quando você toca numa pergunta antiga, sem consultar a IA de novo. Tudo fica visível só para você; dá para apagar uma ou todas na própria caixa (a resposta sai junto), e elas saem na exportação e somem ao excluir a conta. Também guardamos a contagem de uso e o custo. Base legal: execução do contrato (art. 7º, V), porque é um recurso que você pede ao usar.

5. Com quem compartilhamos

Só com as pessoas da sua casa (quem você convidou) e com os operadores abaixo, que tratam dados em nosso nome, com contrato e medidas de segurança. Alguns ficam fora do Brasil; a transferência segue as garantias da LGPD (art. 33).

• Supabase · EUA

  Banco de dados, login e armazenamento.

  Recebe: Conta, lançamentos, configurações.

• Vercel · EUA

  Hospedagem do app.

  Recebe: Endereço IP e dados da requisição (trânsito).

• Google (Gemini) · EUA

  Nível pago, sem uso para treino. Sugerir a categoria de lojas desconhecidas e, quando você pede (Max), ler um PDF ou print de extrato/fatura e entender as perguntas do assistente.

  Recebe: Para categorizar, só o nome da loja. Na leitura por IA, com sua autorização a cada arquivo: o texto do PDF sem CPF, nome e números de conta/cartão, ou só a imagem do print. No assistente: o texto da pergunta e os nomes das suas categorias (nunca lançamentos ou valores).

• Google Cloud (Cloud Run) · Brasil

  Antivírus (ClamAV) em servidor nosso, que confere todo arquivo enviado antes de ler.

  Recebe: O arquivo enviado, só na memória durante a verificação; nada é guardado. Na base pública de vírus (abuse.ch) consultamos só um código (hash) do arquivo, nunca o arquivo.

• Cloudflare (Turnstile) · EUA

  Verificação anti-robô no cadastro, no login e no esqueci a senha (quando ligada).

  Recebe: Endereço IP e sinais do navegador, só no momento da verificação.

• Sentry · EUA

  Aviso de erros do app.

  Recebe: Tipo de erro, tela e navegador — sem valores nem descrições.

• PostHog · EUA/UE

  Quais telas são usadas (para melhorar o produto).

  Recebe: Tela visitada e um código aleatório do aparelho — sem dados financeiros.

• Asaas · Brasil

  Cobrança da assinatura (cartão, Pix e boleto) e emissão da nota fiscal.

  Recebe: Nome, e-mail e CPF de quem assina, valor e plano. Os dados do cartão são digitados direto na página do Asaas: o Lumimo nunca os vê nem guarda.

• Resend · EUA

  Envio de e-mails (confirmação, senha, convites) e recebimento do e-mail da fatura encaminhado.

  Recebe: Seu e-mail e o conteúdo da mensagem; o e-mail recebido e os anexos ficam lá por 30 dias.

6. Por quanto tempo guardamos

• Lançamentos e configurações: enquanto sua conta existir. Apagou a conta, apagamos na hora (só a prova do aceite da assinatura fica, como explicado abaixo).
• Arquivo original: não guardamos (lido e descartado). Uma rotina diária confere que nada ficou para trás.
• E-mail da fatura encaminhado: 30 dias no provedor de e-mail (Resend); com a gente, só o que espera sua aprovação, por até 7 dias.
• Cópias de segurança do banco: hoje o nosso provedor ainda não faz cópia automática no plano que usamos; antes de começarmos a cobrar, ligamos cópias diárias guardadas por 7 dias (depois são sobrescritas).
• Pagamentos: enquanto a conta existir. Os registros de cobrança e as notas fiscais ficam também com o parceiro de pagamentos (Asaas), pelo prazo que a lei fiscal exige.
• Prova do aceite da assinatura (plano, versão do texto, data e hora, IP e código da assinatura): 5 anos, mesmo se você apagar a conta (Código de Defesa do Consumidor), guardada à parte, sem nenhum dado financeiro. Depois disso, apagamos.
• Registros de acesso (IP e horário): 6 meses, como pede o Marco Civil da Internet.
• Tentativas de login: 1 dia. Erros e uso de telas: até 90 dias.

7. Seus direitos

Pela LGPD (art. 18) você pode, a qualquer momento:

• ver e exportar todos os seus dados — em Configurações → Privacidade e meus dados → Exportar meus dados (CSV e JSON);
• corrigir dados (direto no app);
• apagar a conta e os dados — em Configurações → Privacidade e meus dados → Apagar minha conta (se você for a única pessoa da casa, a casa inteira é apagada);
• saber com quem compartilhamos (seção 5), tirar consentimentos e reclamar à ANPD.

Para qualquer pedido, escreva para [E-MAIL]. Respondemos em até 15 dias.

8. Segurança

Conexão sempre criptografada, dados cifrados no banco, cada casa isolada das outras (testado a cada versão), verificação em duas etapas, lista de aparelhos e limite de tentativas de login. Se acontecer um incidente com risco para você, avisamos você e a ANPD. Viu algo estranho? Reporte uma falha.

9. Mudanças

Quando esta política mudar, avisamos no app e pedimos seu aceite de novo. A versão e a data ficam no topo da página.