Política de Privacidade

1. Quem trata seus dados

Esta Política de Privacidade descreve como o Declarante coleta, usa, compartilha, armazena e protege dados pessoais. Para os tratamentos descritos nesta política, o controlador é responsável por decidir como e por que esses dados são utilizados.

• Nome da plataforma: Declarante
• Sede: Salvador, Bahia, Brasil
• Contato de privacidade: [email protected]

2. Dados Coletados

2.1. Dados de Cadastro

• Endereço de email
• Senha, armazenada somente como hash, quando o acesso é feito com senha
• Identificador e dados básicos fornecidos pelo Google, quando você escolhe entrar com Google
• Nome completo (opcional)
• CPF (opcional — preenchido apenas se você escolher informar)

2.2. Dados de Investimentos

Quando você faz upload do extrato da B3, processamos:

• Movimentações de compra e venda de ativos
• Dados de proventos (dividendos, JCP, aluguéis)
• Informações sobre ativos em carteira
• Valores financeiros das transações

2.3. Dados de Uso

• Endereço IP
• Tipo de navegador e dispositivo
• Visitas e interações em páginas públicas, quando você autoriza estatísticas
• Logs de acesso ao sistema

2.4. Pagamentos e Comunicações

• Valor, status e identificadores das compras e reembolsos
• Nome, email, assunto e conteúdo das mensagens enviadas pelo canal de contato
• Registros necessários para enviar avisos da conta e confirmar solicitações

3. Finalidades e bases legais

O cadastro e o envio do extrato não são tratados como consentimento para estatísticas. Quando utilizamos legítimo interesse, limitamos o tratamento ao necessário para a finalidade informada e consideramos os direitos e as expectativas do titular.

4. Fornecedores e compartilhamento

Não vendemos seus dados pessoais. Utilizamos os fornecedores abaixo para operar a plataforma:

• Cloudflare: hospeda e distribui o site, protege a conexão e recebe mensagens destinadas aos endereços @declarante.com.br por meio do Email Routing para encaminhá-las ao Gmail. Pode tratar endereço IP, cabeçalhos da conexão, registros técnicos e dados necessários ao encaminhamento dos e-mails.
• Heroku, uma empresa Salesforce: hospeda a API nos Estados Unidos e processa as requisições necessárias ao funcionamento da conta, dos investimentos e dos relatórios.
• Supabase: fornece o banco de dados PostgreSQL cuja região principal está em São Paulo, Brasil, e no qual armazenamos cadastro, investimentos, resultados, preferências e registros operacionais.
• Resend: envia mensagens transacionais, como boas-vindas, recuperação de senha e códigos de exclusão, e encaminha mensagens do formulário de contato.
• Google: fornece o login opcional com Google e o Gmail, no qual recebemos e respondemos as mensagens encaminhadas pelos endereços @declarante.com.br. O Google Analytics é uma finalidade separada e só é ativado com autorização.
• Stripe: processa pagamentos em seu próprio ambiente. Os dados completos do cartão não passam pelos servidores do Declarante; recebemos metadados como valor, status e identificadores da transação.
• Google Analytics: Se você autorizar estatísticas, o Google poderá receber informações sobre visitas às páginas públicas, identificadores de cookies, endereço IP e dados de navegador e dispositivo. Não enviamos intencionalmente nome, email, CPF, dados de investimentos ou tokens de acesso como parâmetros de eventos.
• Autoridades públicas: somente quando houver obrigação legal, regulatória ou ordem válida.

Atualmente, você obtém o extrato no Portal do Investidor e o envia ao Declarante. O Declarante não envia seu histórico de investimentos à B3 nesse fluxo. Caso seja disponibilizada uma integração direta com a B3, esta política será atualizada antes de seu uso.

5. Transferências internacionais

A API do Declarante é hospedada pelo Heroku/Salesforce nos Estados Unidos. Por isso, os dados enviados à API, incluindo cadastro e informações de investimentos, são processados naquele país antes de serem armazenados no banco de dados. A região principal do banco no Supabase fica em São Paulo, Brasil. Cloudflare, Supabase, Resend, Stripe e Google também podem utilizar subprocessadores ou infraestrutura fora do Brasil para partes de seus serviços. Essas transferências são limitadas às finalidades descritas nesta política e submetidas aos termos de tratamento de dados dos fornecedores e aos mecanismos admitidos pela LGPD. Você pode solicitar informações adicionais sobre os países e as garantias aplicáveis pelo canal de privacidade.

Consulte também os avisos de privacidade de Cloudflare, Heroku/Salesforce, Supabase, Resend, Stripe e Google.

6. Armazenamento e segurança

Implementamos medidas de segurança técnicas e organizacionais para proteger seus dados:

• Criptografia de dados em trânsito (HTTPS/TLS)
• Proteção de senhas por hash seguro
• Controle de acesso restrito aos dados
• Monitoramento de atividades suspeitas

Seus dados são armazenados enquanto sua conta estiver ativa ou conforme necessário para cumprir obrigações legais.

7. Seus Direitos (LGPD)

Como titular de dados, você tem direito a:

• Acesso: Confirmar e acessar seus dados pessoais
• Correção: Corrigir dados incompletos, inexatos ou desatualizados
• Exclusão de dados de investimento: Você pode apagar todos os dados do seu extrato B3 diretamente pela página de Conta (botão "Apagar meus investimentos"). Essa ação remove movimentações, negociações, relatórios e cálculos armazenados, mas não encerra a conta em si.
• Exclusão de conta: Use o botão "Excluir minha conta" na página de Conta. A confirmação é feita por código enviado ao e-mail cadastrado. Após a confirmação, apagamos o cadastro e os investimentos e encerramos os acessos, preservando somente os registros descritos na seção de retenção. Você também pode solicitar atendimento pelo contato.
• Portabilidade: Receber seus dados em formato estruturado
• Revogação de consentimento: Retirar consentimento a qualquer momento
• Oposição: Opor-se ao tratamento de dados em certas situações
• Informação: Saber com quem compartilhamos seus dados

Para exercer seus direitos, entre em contato através da página de Contato.

8. Cookies e preferências de rastreamento

Utilizamos um cookie estritamente necessário para manter sua sessão, além de armazenamento local para as preferências de interface e sua escolha de privacidade. O funcionamento da plataforma não depende da aceitação de rastreamento opcional.

• Sessão: o cookie de renovação é protegido e inacessível ao JavaScript. Ele é renovado durante o uso e expira após até 30 dias sem renovação; o token de acesso de curta duração permanece somente na memória enquanto a página está aberta.
• Estatísticas opcionais: Google Analytics, para entender visitas às páginas públicas. Pode utilizar cookies como _ga e _ga_*.

O Google Analytics fica desativado por padrão e só é carregado depois de sua autorização. Você pode aceitar ou recusar estatísticas. Não utilizamos Meta Pixel. Se ainda não houver uma escolha registrada, apresentaremos a solicitação após o login. Fechar a solicitação não representa consentimento, e uma nova escolha será solicitada no próximo login.

Mesmo com autorização, o Google Analytics não é carregado nas páginas de login, cadastro, recuperação de senha, contato e área privada, nem em endereços que contenham parâmetros ou fragmentos. As estatísticas enviadas não incluem parâmetros de URL, fragmentos ou o endereço da página anterior. A página de recuperação de senha bloqueia recursos de terceiros.

Sua escolha é vinculada à sua conta, com data e versão, e não possui vencimento automático: ela permanece válida até que você a altere ou exclua a conta. Também mantemos uma cópia neste navegador para aplicar a preferência antes de cada página carregar. Ao entrar em outro dispositivo, a preferência da conta é sincronizada. Se houver uma mudança relevante na finalidade dessas estatísticas, solicitaremos uma nova escolha.

Você pode retirar a autorização a qualquer momento na seção “Privacidade” da página Conta ou pelo botão abaixo. Ao salvar, a página é recarregada para aplicar a escolha e interromper o rastreamento desautorizado. Também tentamos remover os cookies de estatísticas acessíveis ao nosso domínio. Cookies mantidos diretamente em domínios de terceiros podem ser removidos nas configurações do navegador. A retirada interrompe a coleta futura; não apaga automaticamente informações já recebidas pelos fornecedores. Para solicitar informações ou exercer seus direitos sobre dados já coletados, utilize nosso canal de contato.

O Google pode tratar informações fora do Brasil, conforme explicado na seção de transferências internacionais. Informações adicionais sobre o fornecedor estão disponíveis na Política de Privacidade do Google.

9. Retenção de Dados

• Cadastro: é mantido enquanto a conta estiver ativa. A exclusão da conta remove cadastro, credenciais e tokens no processamento do pedido confirmado, ressalvados os registros descritos abaixo.
• Investimentos e resultados: são mantidos enquanto você utiliza o serviço e apagados quando você solicita a exclusão dos investimentos ou da conta. Apagar apenas os investimentos mantém a conta e as compras.
• Preferência de estatísticas: permanece vinculada à conta até que você a altere ou exclua a conta. Na propriedade do Google Analytics, dados no nível de evento são mantidos por dois meses e dados no nível de usuário por 14 meses, sem reinício do prazo por nova atividade. Quando a autorização é retirada, deixamos de enviar novos eventos. Os dados são eliminados automaticamente ao final do período aplicável. Relatórios agregados podem ser conservados sem identificação direta do usuário.
• Mensagens de contato, suporte e privacidade: são armazenadas separadamente do cadastro, na caixa de e-mail utilizada para atendimento. Por isso, a exclusão da conta não apaga automaticamente essas correspondências. Elas são mantidas somente enquanto necessárias para responder à solicitação, prestar o atendimento, cumprir obrigações legais ou exercer direitos, e devem ser eliminadas quando deixarem de ser necessárias. Você pode solicitar a exclusão de uma mensagem pelo canal de privacidade; o pedido será atendido quando não houver motivo legal para sua conservação.
• Comprovante de exclusão: conservamos por até 12 meses após a conclusão o identificador da antiga conta, e-mail, protocolo, datas da solicitação, confirmação e conclusão, método de confirmação, versão da política e categorias preservadas. Esse registro restrito serve para demonstrar o atendimento e é eliminado automaticamente ao fim do prazo. Não contém CPF, senha ou dados de investimentos e não é usado para marketing ou reativação.
• Registros financeiros: pagamentos, reembolsos e documentos fiscais necessários ao cumprimento de obrigações legais e ao exercício regular de direitos seguem os prazos aplicáveis a cada obrigação ou procedimento, independentemente da exclusão da conta. O histórico de investimentos não é mantido por esse motivo.
• Backups: eventuais cópias de segurança sob controle do Declarante podem permanecer por até 30 dias contados de sua criação, com acesso restrito e sem uso normal pelo serviço. A exclusão no banco em uso não aguarda esse prazo. Se uma cópia for restaurada, as exclusões devem ser reaplicadas antes de disponibilizar os dados. Esse limite não representa uma garantia de eliminação física imediata de todas as cópias internas dos fornecedores.
• Obrigações específicas: registros de acesso, incidentes de segurança e informações sujeitos a determinação de preservação seguem os prazos legalmente aplicáveis. Quando aplicável o art. 15 do Marco Civil da Internet, os registros de acesso à aplicação são guardados sob sigilo por seis meses. Ordens válidas podem exigir preservação por mais tempo, com conservação limitada ao necessário. Fornecedores podem ter obrigações próprias de guarda. Solicitações sobre informações mantidas fora do cadastro podem ser feitas pelo canal de contato.

10. Menores de Idade

A Plataforma não é destinada a menores de 18 anos. Não coletamos intencionalmente dados de menores. Se identificarmos que coletamos dados de um menor, tomaremos medidas para deletá-los.

11. Alterações nesta Política

Podemos atualizar esta Política de Privacidade periodicamente. Alterações significativas serão notificadas por email ou através de aviso na Plataforma. A data da última atualização será sempre indicada no topo desta página.

12. Canal de Privacidade e LGPD

Para dúvidas, solicitações ou reclamações relacionadas a dados pessoais, escreva para [email protected] ou utilize a página de Contato.

13. Autoridade Nacional

Caso suas solicitações ou reclamações não sejam atendidas, você pode recorrer à Autoridade Nacional de Proteção de Dados (ANPD) em www.gov.br/anpd.