Última atualização: 23/10/2026
O Meu Mapa Financeiro é um caderno financeiro. Você anota o que ganha e o que gasta, e o aplicativo organiza.
Quem responde pelos seus dados é a R.E ENGINEERING SOFTWARE LTDA, CNPJ 66.033.113/0001-00, que na Google Play aparece como Novo Legado Software.
Para criar a conta pedimos e-mail e senha. Nome e telefone celular são opcionais. Não pedimos CPF nem data de nascimento. CPF ou CNPJ só entram se você assinar o plano Navegador pelo site, e endereço e telefone do titular do cartão, só se pagar com cartão.
Não vendemos, não alugamos e não cedemos seus dados para publicidade. Não há anúncios no aplicativo.
Não pedimos a senha do seu banco. E não guardamos número de cartão, código de segurança, validade nem chave PIX: se você assinar com cartão pelo site, os dados dele passam pelo nosso servidor só em memória, a caminho da Asaas; pela Google Play, nem chegam a nós.
O que você escreve nos lançamentos é seu. Nós o usamos para entregar o serviço — e ele fica visível para quem você decidir convidar.
O servidor e o banco de dados ficam no Brasil. Alguns fornecedores ficam fora do país, e a seção "Com quem seus dados são compartilhados" diz quais, um por um.
Você pode excluir sua conta sozinho, na hora, pelo aplicativo. E a página https://meumapafinanceiro.com.br/excluir-conta explica como, sem precisar entrar.
O plano Explorador é gratuito e vai continuar sendo, e toda conta nova começa com 3 meses do Navegador grátis. O plano Navegador é o plano pago, vendido pelo site, com o pagamento processado pela Asaas, e dentro do aplicativo Android instalado pela Google Play, com o pagamento processado pela Google Play.
Dúvida ou pedido sobre seus dados: [email protected]. Respondemos em até 15 dias.
Em resumo: quem decide o que acontece com os seus dados é a empresa identificada abaixo, e o canal para tratar disso é um endereço de e-mail que funciona.
O controlador dos seus dados — a empresa que decide por que e como eles são tratados — é a R.E ENGINEERING SOFTWARE LTDA, CNPJ 66.033.113/0001-00, nome fantasia Novo Legado Software, sociedade empresária limitada de porte microempresa, com sede em Condomínio Ville de Montagne, Quadra 21, Casa 05, Setor Habitacional Jardim Botânico, Brasília/DF, CEP 71.680-357.
Os dois nomes aparecem de propósito. R.E ENGINEERING SOFTWARE LTDA é a pessoa jurídica que responde perante a lei. Novo Legado Software é o nome que você vê na loja de aplicativos. São a mesma empresa.
Somos um agente de tratamento de pequeno porte, na definição da Resolução CD/ANPD nº 2, de 27 de janeiro de 2022. Isso tem duas consequências práticas, e as duas estão escritas nesta política. A primeira: pelo artigo 11, §1º dessa resolução, não somos obrigados a nomear um encarregado. A segunda: mesmo assim, somos obrigados a manter um canal para você exercer seus direitos.
Esse canal é o e-mail [email protected]. Escreva para lá para qualquer assunto de privacidade: pedir seus dados, corrigir uma informação, revogar um consentimento, apagar sua conta ou reclamar. Se preferir falar com a empresa em vez do produto, use [email protected].
Em resumo: ela vale para você, que usa o aplicativo — e também explica o que acontece quando você escreve, nos seus lançamentos, o nome de outra pessoa.
Você, titular da conta. Tudo que está aqui descreve o tratamento dos seus dados enquanto você usa o Meu Mapa Financeiro.
Pessoas que você convida. Você pode compartilhar um ambiente financeiro seu com outra pessoa, informando o e-mail dela, em um de dois níveis. Em Ver, ela vê tudo o que há no ambiente e não altera nada. Em Ver e gravar, ela faz com os dados do ambiente o que você faz — lança, edita, apaga e paga. Nos dois casos ela vê o ambiente inteiro, inclusive o que for criado depois do convite, e nenhum outro ambiente seu; decidir quem tem acesso e arquivar ou excluir o ambiente continuam só com você. Nós tratamos esse e-mail para entregar o convite e conceder o acesso.
Pessoas que aparecem no que você escreve. Quando você digita "almoço com o João", ou importa um extrato que traz o nome de quem te fez um PIX, um dado pessoal de terceiro entra no aplicativo. Aqui a lei inverte os papéis, e é importante que isso fique claro: nesse conteúdo, o controlador é você. É você quem decide anotar o nome de outra pessoa, e é você quem responde pela base legal desse registro (LGPD, artigo 5º, incisos VI e VII). Nós agimos como operador, ou seja, tratamos aquele dado apenas para guardar e exibir o seu caderno, seguindo as suas instruções (artigo 39).
Pessoas que usam um cartão adicional seu. Se você dá nome aos adicionais do seu cartão para saber quem gastou o quê, esse nome entra aqui pela mesma porta: é você quem decide registrá-lo, e o controlador daquele dado é você. Vale para quem tem cartão adicional de família e para quem entrega um plástico a cada funcionário ou motorista.
Duas recomendações que decorrem disso. Escreva nas descrições só o que for necessário para você se lembrar do lançamento. E lembre-se de que, ao compartilhar um ambiente, a pessoa convidada lê a descrição inteira de todos os lançamentos dele, inclusive as anotações, as etiquetas e o que for lançado depois.
Em resumo: coletamos o mínimo para a sua conta funcionar, mais o que você mesmo escreve, mais os registros técnicos que todo servidor guarda. Cada item abaixo diz de onde o dado vem, por que existe e qual artigo da lei autoriza.
A base legal principal do produto é a execução do contrato (LGPD, artigo 7º, inciso V): você pediu um caderno financeiro, e sem esses dados não há caderno. Onde a base é outra, o texto diz qual.
Endereço de e-mail. Você digita no cadastro, ou ele vem da sua conta Google se você entrar por ela. Serve para identificar sua conta, permitir a entrada e falar com você sobre o serviço. Execução de contrato (art. 7º, V). Fica enquanto a conta existir.
Senha. Você cria. Serve para provar que a conta é sua. Execução de contrato (art. 7º, V). Guardamos apenas um resultado embaralhado e irreversível dela, nunca a senha em si.
Nome. Opcional: você digita, ou ele vem da sua conta Google. Serve para chamar você pelo nome e, em ambiente compartilhado, para mostrar quem lançou o quê, de quem é o ambiente e quem tem acesso a ele. Sem nome, quem recebeu um ambiente seu vê no lugar dele o começo do seu e-mail, antes do @. Execução de contrato (art. 7º, V).
Telefone celular. Opcional, e só no cadastro com e-mail e senha: quem entra pela conta Google não é perguntado. Se você informar, usamos só para falarmos com você sobre a sua conta, se for preciso — nunca para propaganda, ofertas ou comunicação comercial. Ele não aparece para quem você convida para um ambiente. Consentimento (art. 7º, I): informar o número é consentir, e não informar não muda nada no aplicativo. Fica nos dados do seu cadastro até você apagá-lo ou excluir a conta. Você vê e apaga o número em Ajustes › Privacidade e consentimentos, e apagar revoga o consentimento. Para corrigi-lo, escreva para [email protected].
Foto do perfil. Vem da sua conta Google, se você entrar por ela. Aparece na versão web: no menu e, enquanto você não envia uma foto no seu ambiente pessoal, no lugar dela, só para você. Não copiamos a imagem: guardamos só o endereço dela no Google, e o seu navegador a busca lá a cada exibição. Execução de contrato (art. 7º, V).
Logotipo do ambiente — no ambiente pessoal, a sua foto. Opcional, e só na versão web. Você escolhe uma imagem no cadastro do ambiente financeiro: o logotipo, num ambiente de empresa, ou uma foto sua, num ambiente pessoal, onde o campo se chama Foto. Enquanto você não envia uma foto no seu ambiente pessoal, a versão web mostra no lugar dela, só para você, o retrato da sua conta Google. O retrato não é copiado para o ambiente. Quem você convidou não o vê. A imagem que você envia passa a identificar aquele ambiente para você e para quem você convidou, e aparece junto do nome dele, na web e no aplicativo Android. O topo de Ajustes, na versão web, e a tela Perfil, no aplicativo Android, mostram também, só para você, a sua foto e, quando o ambiente em uso é de empresa, o logotipo dele em destaque, com o nome. Com o ambiente pessoal em uso, nenhum logotipo de empresa aparece ali. A foto é sempre a do ambiente pessoal que é seu, nunca a de quem compartilhou um ambiente com você. Execução de contrato (art. 7º, V). Aceitamos PNG, JPG ou WebP; a imagem é reduzida a 512 px no maior lado e REDESENHADA dentro do seu navegador antes de subir, e é essa versão redesenhada que guardamos, com no máximo 200 KB. O arquivo que você escolheu não é enviado, e por isso nada do que vem escondido dentro dele nos alcança — inclusive os metadados que uma foto de celular carrega, entre eles a localização de onde ela foi tirada. Fica enquanto o ambiente existir.
CPF ou CNPJ do ambiente. Opcional. Você digita ao criar um ambiente financeiro, e ele serve só para você identificar de quem é aquele ambiente. Execução de contrato (art. 7º, V). Não verificamos de quem é o documento e não consultamos nenhum cadastro público com ele.
CNPJ da consulta de notas fiscais. Obrigatório nessa tela específica. Serve para consultar, na Secretaria da Fazenda, as notas emitidas contra a sua empresa. Execução de contrato (art. 7º, V). O CNPJ e o horário da última consulta ficam no nosso servidor até a consulta seguinte, porque a Secretaria da Fazenda exige um intervalo mínimo de uma hora entre consultas.
Lançamentos: descrição, valor, data, categoria, anotações e etiquetas. Você digita, ou eles vêm de um extrato ou fatura que você importa. São o serviço em si. Execução de contrato (art. 7º, V). Ficam enquanto a conta existir.
Contas, cartões, orçamentos, metas e investimentos. Você cadastra, para organizar seu dinheiro. Execução de contrato (art. 7º, V).
Leituras dos avisos do seu banco, no Android. Só existem se você autorizar a leitura de notificações, e ficam guardadas no seu aparelho: nós não as recebemos. Consentimento (art. 7º, I), que você revoga pelo próprio aplicativo, na tela Avisos do banco, ou na tela de configurações do Android. O que chega até nós é o lançamento criado a partir do aviso, com descrição montada pelo aplicativo — nunca o texto do aviso nem o nome do lugar da compra. Com a mesma autorização, o aparelho guarda também um resumo das categorias que você deu a cada fornecedor, tirado dos seus próprios lançamentos, para a leitura escolher a categoria sem internet, e as respostas que você der na lista sobre de qual cartão é um final. A seção "O lançamento automático a partir dos avisos do seu banco" descreve o recurso inteiro.
Motivo do desligamento da leitura dos avisos, no Android. Opcional. São os motivos que você marca, o que escreve (até 1.000 caracteres), por quanto tempo desligou e as versões do aplicativo e do Android, e só se você tocar em enviar. Serve para entendermos o que falhou na leitura e para responder a você. Consentimento (art. 7º, I). Fica 90 dias no servidor e chega por e-mail ao nosso endereço de contato.
Titular e adicionais de um cartão: o nome que você dá a cada plástico, os quatro últimos dígitos, uma cor, o rótulo que veio da fatura e uma anotação livre, como a placa de um veículo. Você cadastra, a partir do que a fatura importada trouxe, para separar as compras por quem usou o cartão. Execução de contrato (art. 7º, V) — e, quando o nome é de outra pessoa, o controlador é você (art. 39). Fica enquanto o cartão existir.
Dados da compra do plano Navegador pelo site. Só existem se você assinar pelo site. Você informa o seu nome e o seu CPF ou CNPJ, e usamos o e-mail da sua conta. Se pagar com cartão, informa também os dados do cartão e os do titular: nome, e-mail, CPF ou CNPJ, CEP, número do endereço, complemento, se houver, e telefone; e o endereço IP de onde você comprou vai junto. Tudo isso é enviado à Asaas, que processa o pagamento. Execução de contrato (art. 7º, V) para a assinatura, cumprimento de obrigação legal (art. 7º, II) para a nota fiscal e legítimo interesse (art. 7º, IX) para a prevenção de fraude. Número, validade e código de segurança do cartão ficam só em memória, no nosso servidor, durante o repasse à Asaas, e não são gravados nem registrados em log. No nosso banco fica o registro da assinatura e de cada cobrança, sem nome, documento, telefone, endereço ou cartão, como detalha a seção "Planos e cobrança".
Dados da compra do plano Navegador pela Google Play. Só existem se você assinar dentro do aplicativo Android instalado pela Google Play. O pagamento é feito na sua conta Google, e os dados do seu meio de pagamento ficam com a Google Play: nós não os recebemos. Na compra, o aplicativo informa à Google Play o plano, a oferta e um código calculado a partir do identificador interno da sua conta, que não traz o seu nome nem o seu e-mail, para a compra ficar ligada à conta em que você estava logado. Depois, o aplicativo manda ao nosso servidor o código da compra, e o servidor consulta a compra na Google Play. Execução de contrato (art. 7º, V). O que fica no nosso banco está na seção "Planos e cobrança".
Navegador grátis e avisos sobre a assinatura. De toda conta criada a partir de 23/10/2026, guardamos quando o Navegador grátis começou, até quando ele vai e quando terminou; o mesmo vale para um período do Navegador que tenhamos concedido com prazo. De cada e-mail sobre o fim do período grátis ou sobre o prazo para renovar pelo preço de fundador, guardamos qual aviso foi, a que data ele se refere, quando foi enviado e, se o envio falhar, quantas vezes tentamos e a mensagem de erro. Execução de contrato (art. 7º, V). Fica enquanto a conta existir e é apagado com ela.
Endereço IP, data, hora, endereço da página e identificação do navegador ou aparelho. São gravados automaticamente a cada acesso, para cumprir o artigo 15 do Marco Civil da Internet, apurar incidentes e barrar abuso. Cumprimento de obrigação legal (art. 7º, II) e legítimo interesse (art. 7º, IX).
Registro de autenticação: e-mail, nome, data e tipo do evento — entrada, saída, troca de senha. É gravado automaticamente a cada login, para apurar acesso indevido e sustentar a segurança da conta. Legítimo interesse (art. 7º, IX).
Registro de atividade: a data e a hora da última vez que você abriu o aplicativo ou voltou a ele, uma para a web e outra para o Android. É gravado automaticamente, no máximo uma vez a cada cinco minutos, e cada novo registro substitui o anterior. Não guarda o IP, a tela aberta nem o que você fez. Serve para sabermos quantas pessoas usam o serviço, para o acompanhamento das contas pela nossa equipe e para escolher a dica de uso por e-mail. Legítimo interesse (art. 7º, IX).
Registro de uso: tela aberta, ação feita, valor do lançamento envolvido, cidade e estado aproximados e um código derivado do seu IP. É coletado somente se você ligar o consentimento correspondente, em Ajustes. Consentimento (art. 7º, I). Serve para entender o que trava no produto e melhorar.
Sinais de uso, para as dicas por e-mail. Para escolher a próxima dica, o servidor olha, no momento da escolha, só datas, contagens e um sim ou não. Datas: quando a conta foi criada e recebeu as boas-vindas; quando você cadastrou a primeira conta, o primeiro cartão, o primeiro planejamento, a primeira meta ou sonho e o primeiro investimento; quando fez o primeiro lançamento digitado, teve o primeiro lançamento criado pela leitura dos avisos do banco e deu ou trocou a categoria de um lançamento já feito pela primeira vez; quando importou um arquivo de extrato ou de fatura pela primeira e pela última vez; desde quando há linha esperando conferência; o último acesso ao aplicativo; em quais dos últimos 35 dias você lançou, importou, categorizou, planejou ou criou uma meta; e quando foi a última vez que fez uma dessas coisas. Contagens: quantos lançamentos você tem, contados até mil, e quantas linhas esperam conferência, até 99. Sim ou não: se há sinal de que você usa o aplicativo da Google Play (um lançamento pela leitura dos avisos ou uma assinatura feita por lá), se tem conta de investimento sem investimento cadastrado e se, no plano Explorador, já usa a conta e o cartão que o plano permite. E o seu plano e o fuso horário. Contas, cartões, planejamento, metas e investimentos contam só nos ambientes que são seus, e lançamentos, só os que você escreveu. Nunca o valor, a descrição, o lugar da compra, o nome de conta ou de cartão, nem o saldo, e nenhum desses sinais vai no e-mail. Eles não são guardados: fica só em que passo você está e desde quando, o dia em que vimos você chegar a três marcos — o primeiro resultado, o uso de verdade e o hábito —, e a fila dos e-mails: qual dica, quando saiu, a sua escolha de e-mail naquele momento e o que a Resend nos devolveu sobre a entrega. Legítimo interesse (art. 7º, IX), e só para as dicas: o resumo da semana e as novidades do plano dependem do seu consentimento (art. 7º, I).
Consentimentos: qual, quando e a versão do texto. Você marca em Ajustes, e o do telefone celular vale a partir do cadastro em que você informou o número. As suas escolhas de e-mail — dicas, resumo da semana e novidades — também ficam registradas, cada mudança com a data e de onde veio, como a tela, com a versão do texto que você leu, ou o link para parar de receber. Guardamos para provar a sua decisão, como manda o artigo 8º, §2º. Cumprimento de obrigação legal (art. 7º, II).
O teste de equilíbrio do legítimo interesse, em duas linhas. Registrar IP, data e hora de cada acesso é o que permite descobrir um ataque, provar uma invasão e cumprir o Marco Civil; sem isso, um roubo de conta seria indefensável. O impacto sobre você é baixo: esses registros não traçam seu perfil, não são cruzados com seus lançamentos e não vão para ninguém fora da empresa. E, se você discordar mesmo assim, o artigo 18, §2º garante o direito de se opor, pelo canal do fim desta página.
O mesmo teste, para as dicas por e-mail. Quem cria a conta e para no meio do caminho perde o que veio buscar, e uma dica no momento certo ajuda a terminar o primeiro passo. O impacto é baixo: a dica parte de datas e contagens, nunca de valores, não é vendida nem cruzada com dado de fora, é limitada a um e-mail por dia e para quando você toca em "Parar de receber", sem mudar nada no aplicativo. Quem prefere não receber nunca precisa explicar por quê.
Em resumo: não pedimos nenhum dado sensível — mas a categoria que você escolhe para um gasto pode revelar um, e é justo que você saiba disso.
O aplicativo não tem nenhum campo de saúde, religião, opinião política, biometria, origem racial ou filiação sindical, e nunca pergunta por essas informações.
Mas é preciso dizer uma coisa incômoda e verdadeira: a categoria de um gasto pode revelar dado sensível. O aplicativo já vem com categorias como "Plano de saúde", "Medicamentos" e "Igreja". Se você classificar um gasto assim, aquele registro pode revelar dado de saúde ou convicção religiosa (artigo 5º, inciso II).
Nós não pedimos essa informação, não a usamos para nada além de mostrar o seu próprio caderno e não a compartilhamos para publicidade. A base legal, nesse caso, é o artigo 11, inciso I: o seu consentimento, dado no ato de escolher aquela categoria. Se preferir, use uma categoria genérica — o aplicativo não obriga nenhuma classificação.
Em resumo: o arquivo do seu extrato é lido dentro do seu próprio navegador e não fica guardado. As linhas que você aproveita viram lançamentos; as que você descarta continuam no banco, marcadas como descartadas.
Não pedimos a senha do seu banco. Nenhuma tela do produto tem campo para isso.
O arquivo em si não é guardado. Quando você importa um extrato, quem lê o arquivo é o seu navegador: os bytes não saem do seu aparelho. Só o resultado da leitura — as linhas de lançamento — sobe para o servidor. Não temos área de arquivos: nenhum extrato, comprovante ou anexo seu está armazenado. A única imagem que guardamos por envio seu é o logotipo do ambiente — que, no ambiente pessoal, é a sua foto —, descrito na seção "Quais dados coletamos, e com base em quê": ele fica gravado dentro do próprio cadastro do ambiente, e não é anexo de lançamento nenhum.
O PDF é a única exceção. Fatura em PDF não é legível dentro do navegador, então o arquivo sobe para o nosso servidor, onde um programa nosso extrai o texto e devolve. Esse programa não grava o PDF em lugar nenhum — nem em disco, nem no banco — e roda na nossa própria infraestrutura, não em serviço de terceiro. O limite é 10 MB por arquivo.
O que fica das importações. Guardamos o nome do arquivo, a data, quantas linhas entraram e quantas falharam, mais as linhas extraídas e o que você decidiu sobre cada uma. As linhas que você descartou na conferência não são apagadas: elas continuam no banco marcadas como descartadas, para que uma importação futura do mesmo período não as traga de volta. Junto com cada lançamento importado ficam também o identificador daquela transação no banco emissor e o rótulo do portador do cartão.
Rótulo do portador. Ao importar uma fatura, guardamos como o cartão identificou quem fez a compra, exatamente como veio no arquivo. Na maioria das faturas isso é um rótulo simples, como "Titular" ou "Adicional 1". Algumas faturas trazem o cartão mascarado — por exemplo, "final 1234" —, e nesse caso os quatro últimos dígitos ficam gravados junto ao lançamento. E há faturas, em alguns emissores, que trazem na mesma coluna o nome impresso no plástico: quando o arquivo traz esse nome, ele é gravado como veio. Nunca guardamos o número completo do cartão, o código de segurança nem a validade.
Titular e adicionais do cartão. Você pode dar um nome a cada plástico de um cartão — o seu e o de cada adicional — para separar as compras por quem usou. De cada plástico guardamos o nome que você escolheu, os quatro últimos dígitos quando a fatura os traz, uma cor, o rótulo que veio do arquivo e, se você quiser, uma anotação livre, como a placa de um veículo. Esses nomes ficam visíveis para quem tem acesso ao cartão, e o recurso é do plano Navegador.
O nome do adicional costuma ser o nome de outra pessoa — um familiar, um funcionário, um motorista — e aqui vale a mesma inversão de papéis da seção "A quem esta política se aplica": quem decide registrar aquele nome é você, e sobre esse dado o controlador é você (artigo 39). Nós o tratamos para exibir e separar os seus lançamentos, seguindo as suas instruções. Se preferir, use apelido, a placa ou o próprio final do cartão: para o aplicativo tanto faz, porque o nome que você escolhe nunca é usado para decidir de quem é uma compra — trocá-lo não muda nenhum lançamento de lugar.
Apagar um plástico. Um adicional que parou de circular pode ser desativado: ele some das telas de lançamento e continua na gestão do cartão, para as compras antigas não perderem a autoria. Apagar o cartão apaga junto todos os seus plásticos, e as compras daquele cartão ficam sem portador — o valor e a descrição não se perdem.
Notas fiscais. Se você usar a consulta de notas fiscais, o certificado digital e a senha dele são enviados ao nosso servidor, porque a Secretaria da Fazenda só aceita consulta assinada. O certificado e a senha não são guardados. Durante a consulta, a chave privada é escrita num arquivo temporário no servidor, sem senha, e apagada ao final — inclusive quando a consulta falha. O resultado não é salvo: o arquivo da nota é entregue para download no seu navegador.
Ainda sobre notas fiscais, uma advertência que a tela faz e esta política repete: declarar "ciência da operação" no fisco é irreversível, e por isso essa opção nunca vem marcada.
Importação automática de instituições financeiras. Ainda não está disponível, mas avisaremos com antecedência quando existir este recurso.
Em resumo: se você autorizar, o aplicativo lê o aviso de compra que o seu banco mostrou na tela do seu celular e cria o lançamento sozinho, sem você tocar em nada. O texto do aviso é lido dentro do próprio aparelho e não é enviado para nós; o que sobe é o lançamento, com uma descrição escrita pelo próprio aplicativo.
O recurso existe apenas na versão instalada pela Google Play, e vem desligado. Para ligá-lo é preciso conceder uma autorização à parte, na tela de configurações do próprio Android — não é uma das permissões que o aplicativo pede ao ser instalado, e nós não temos como concedê-la por você. Depois disso, você liga e desliga a leitura pelo próprio aplicativo, na tela Avisos do banco, sem voltar às configurações. Ao desligar, você escolhe por quanto tempo: por uma hora, até as 8h ou até você religar. Nos dois primeiros casos, a leitura volta sozinha na hora marcada. Enquanto ela estiver desligada, o aplicativo deixa de receber os avisos, e o que chegar nesse intervalo não é lido, nem depois de religar. Retirar a autorização nas configurações do Android continua valendo, e a leitura para no mesmo instante. A escolha do tempo existe a partir da versão 1.0.174 do aplicativo; antes dela, a leitura desligada fica assim até você religar.
A base legal aqui é o seu consentimento (LGPD, artigo 7º, inciso I), e não a execução do contrato: o caderno funciona inteiro sem isto. É uma comodidade que você escolhe ter, e você revoga quando quiser, pelo aplicativo ou retirando a autorização no Android, sem justificativa e sem falar com a gente. Ao desligar pelo aplicativo, ele mostra o que muda e oferece um espaço para nos contar o motivo. Contar é opcional, e desligar não depende disso.
O aplicativo só observa os avisos de sete aplicativos, nomeados um a um dentro do programa: Banco do Brasil, BTG Pactual, C6 Bank, Nubank, PicPay, Google Wallet e Samsung Wallet. Aviso de qualquer outro aplicativo — mensageiro, e-mail, rede social, outro banco — é descartado sem ser interpretado.
Do aviso o aplicativo aproveita seis coisas: o valor, a data, se é entrada ou saída, o nome que aparece como destino do dinheiro e, quando o texto traz, os quatro últimos dígitos do cartão e a bandeira escrita junto deles. A bandeira não é guardada: serve só para escolher o cartão no instante em que o aviso chega. O texto completo do aviso não é guardado em lugar nenhum.
O que o aplicativo faz com isso é criar o lançamento na hora, na conta ou no cartão que ele reconhecer pelo aviso e pelos quatro dígitos. Para a categoria e a subcategoria, ele olha primeiro para o que você mesmo já fez: se você já categorizou um lançamento daquele mesmo lugar — digitado à mão, importado de extrato ou criado a partir de um aviso anterior —, ele repete a categorização mais recente, desde que aquela categoria ainda exista no ambiente. Sem essa lembrança, e reconhecendo o lugar da compra, ele procura no seu ambiente uma categoria com o nome correspondente. Cada um desses dois campos que ele não resolver — porque não reconheceu o lugar, ou porque você não tem categoria com aquele nome — nasce em branco, para você ajustar no extrato quando quiser. Você não confirma nada antes: essa é a comodidade do recurso, e é por isso que ele vem desligado e depende do seu consentimento.
O cartão é, primeiro, o que tem aqueles quatro dígitos no seu cadastro. Quando nenhum tem, o aplicativo ainda lança sozinho em três casos: você só tem um cartão daquele banco (ou, no aviso de uma carteira digital, um cartão só); você já respondeu na lista de qual cartão é aquele final; ou o aviso traz a bandeira e, entre os cartões que podem ser o do aviso, só um é dela e ele é seu. Fora disso ele pergunta na lista, e a sua resposta — de qual cartão é o final, ou que o final não é de um cartão seu — fica guardada só no celular, uma por banco ou carteira e por final, para as próximas compras com aquele final não perguntarem de novo. Essa resposta não é enviada para nós, não é copiada para a nuvem do Google nem levada para um aparelho novo, e sai quando você sai da conta ou exclui a conta. A resposta de que o final não é de um cartão seu você também desfaz na própria lista, em Finais ignorados; enquanto ela valer, o aviso com aquele final é descartado sem virar lançamento e sem ficar na lista.
O aplicativo também olha os cartões dos ambientes que outra pessoa compartilhou com você no nível Ver e gravar — só os cartões, nunca as contas. Se os quatro dígitos do aviso estiverem cadastrados num cartão de lá, ele não lança sozinho: pergunta na lista, porque só você sabe se a compra é daquela pessoa ou se os dígitos apenas coincidem. Respondendo que é daquele cartão, o lançamento é criado naquele ambiente, com a categoria escolhida entre as de lá, e passa a ser visto por quem tem acesso a ele, como qualquer lançamento que você fizer ali. As próximas compras com o mesmo final entram lá sem perguntar de novo, enquanto a resposta estiver guardada no celular e você continuar podendo gravar naquele ambiente. Num ambiente em que você só vê, nada é lançado.
Para lembrar sem depender da internet — o aviso chega a qualquer hora —, o aplicativo guarda no celular, enquanto a leitura estiver autorizada, um resumo tirado dos lançamentos que já estão na sua conta: o nome de cada fornecedor como aparece na descrição, a categoria e a subcategoria mais recentes que você deu a ele e as datas que dizem qual é a mais recente. Não há valor, conta nem saldo nesse resumo, e nada nele foi lido de aviso. Ele fica junto com a cópia da estrutura financeira descrita em "Cookies e o que fica no seu aparelho", é refeito a partir do servidor, sai quando você sai da conta e sai do celular na primeira atualização depois que você retira a autorização.
Nem tudo é lançado sozinho. Quando o aviso não dá para ler, quando o próprio banco avisa que a compra não aconteceu (recusa, cancelamento, bloqueio ou tentativa), quando ele desfaz uma compra anterior (estorno, reembolso, devolução), quando não dá para saber com segurança qual cartão ou qual conta é, quando o aviso parece repetição de outro do mesmo dia, e quando o aviso chega antes de você entrar no aplicativo, escolher um ambiente ou baixar seus cadastros, o aplicativo não lança e a leitura fica esperando você na lista, dizendo o motivo. O mesmo vale quando os quatro dígitos são de um cartão de um ambiente de outra pessoa e você ainda não respondeu de quem é a compra. Preferimos deixar de lançar a lançar no lugar errado.
Sobre esse nome, é preciso ser exato: numa compra de cartão ele é o nome de uma loja, mas num PIX enviado ele pode ser o nome de uma pessoa. Por isso ele tem três finalidades, e as três acontecem inteiras dentro do seu aparelho: escolher a categoria do lançamento; permitir que você reconheça a leitura na lista; e, enquanto a linha continuar na lista, fazer a próxima compra no mesmo lugar sair com a categoria que ficou neste lançamento — inclusive a que você corrigir no extrato. Esse nome não é enviado para nós, não entra no lançamento, não vai para o resumo descrito acima e é apagado junto com a linha da lista; a partir daí, aquela compra deixa de servir de lembrança. O que sai do aparelho é, no máximo, a identificação de uma categoria que já é sua e já estava cadastrada.
A descrição que fica gravada no lançamento é montada pelo aplicativo, e não copiada do aviso. Ela junta o tipo do evento e o nome do banco — dois textos escritos por nós, que não vêm da notificação — com os quatro últimos dígitos do cartão, que é o único pedaço vindo do aviso. O resultado fica no formato "Compra • Nubank • final 1234", e esses quatro dígitos sobem para o nosso servidor junto com o lançamento, como qualquer descrição. O campo que os carrega só aceita quatro algarismos, justamente para que nenhum outro trecho do aviso consiga passar por ali.
Essa escolha é deliberada, e a razão é simples: a descrição de um lançamento é lida por todas as pessoas que você convidou para aquele ambiente. Não nos pareceu certo que o texto escrito pelo seu banco chegasse a elas sem você ter escolhido cada palavra — e menos ainda agora, que o lançamento é criado sem passar por você. É justamente porque ninguém confere antes que a descrição é montada com peças escritas por nós.
Cada leitura fica registrada numa lista dentro do seu celular, limitada a 200 linhas e a 30 dias, o que vier primeiro. A linha continua lá depois de o lançamento ter sido criado, e é de propósito: no extrato o lançamento se parece com qualquer outro, e é só nessa lista que fica dito que foi o aplicativo que o criou e a partir de qual aviso. Ela sai dali quando você a tira da lista, quando vence, quando você sai da conta e quando você exclui a conta — tirar da lista não apaga o lançamento, que é seu e fica no extrato. Essa lista não é copiada para a nuvem do Google e não é levada na transferência para um aparelho novo.
Uma coisa que este recurso não é: ele não fala com o seu banco. Não pedimos nem guardamos senha, token ou credencial bancária de espécie alguma, e o aplicativo não consulta nada em lugar nenhum. Ele lê um aviso que o seu próprio celular já havia exibido na tela, e só enquanto você autorizar e deixar a leitura ligada.
Se você desligar a leitura pelo aplicativo, ele oferece um espaço para nos contar por quê: marcar um ou mais motivos de uma lista e, se quiser, escrever até 1.000 caracteres. É opcional, e dá também para enviar sem desligar. Se você enviar, vão para o nosso servidor, ligados à sua conta: os motivos marcados, o que você escreveu, por quanto tempo desligou e as versões do aplicativo e do Android. De lá, a mensagem segue por e-mail para o nosso endereço de contato, com o seu nome e o seu e-mail de cadastro, para podermos responder. Nenhum aviso do banco, valor, compra ou lançamento vai junto. A base legal é o seu consentimento (art. 7º, I), dado ao tocar em enviar. No servidor, a mensagem é apagada sozinha depois de 90 dias, ou antes, se você excluir a conta. A cópia que chega ao nosso e-mail de contato é tratada como qualquer mensagem que você nos escreva, e você pode pedir que a apaguemos.
Em resumo: o aplicativo permite separar as suas finanças pessoais das da sua empresa em ambientes distintos, e nós tratamos os dois do mesmo jeito.
Você pode criar mais de um ambiente financeiro. Um ambiente pessoal aceita um CPF; um ambiente empresarial aceita CNPJ, razão social e nome fantasia. Os dois campos são opcionais.
Cada lançamento pertence a um ambiente, e um ambiente nunca mistura com o outro. Ao excluir sua conta, todos os seus ambientes vão junto.
Você pode enviar uma imagem no cadastro de qualquer ambiente: o logotipo da empresa, no ambiente empresarial, ou uma foto sua, no pessoal — só na versão web, e só o dono do ambiente ou quem tem permissão de escrita nele. Enquanto você não envia uma foto no seu ambiente pessoal, a versão web mostra no lugar dela, só para você, o retrato da sua conta Google. O retrato não é copiado para o ambiente. Quem você convidou não o vê: para essa pessoa, o ambiente segue com o ícone. A imagem que você envia fica gravada dentro do próprio cadastro, aparece para quem tem acesso àquele ambiente, sai quando você aperta Remover e salva o cadastro, e é apagada junto com o ambiente. O botão Remover tira a imagem da tela; é o Salvar que apaga o que está guardado, e enquanto você não salvar nada muda. Não aceitamos SVG: um arquivo SVG não é bem uma imagem, é um documento que pode trazer programa dentro, e guardá-lo para depois exibi-lo seria abrir uma porta contra você mesmo.
Dado de empresa e dado de pessoa física recebem a mesma proteção nesta política. A LGPD protege a pessoa natural, mas o CNPJ, a razão social e o movimento financeiro de uma empresa individual dizem muito sobre a pessoa por trás dela — e nós tratamos assim.
Em resumo: esta é a lista de compromissos que você pode cobrar de nós, e cada linha corresponde a uma coisa que simplesmente não existe no produto.
Não vendemos, não alugamos e não cedemos seus dados para publicidade, perfilamento comercial ou qualquer terceiro que queira vender algo a você.
Não exibimos anúncios. Não há nenhuma biblioteca de propaganda no aplicativo.
Não usamos cookies. Nem nossos, nem de análise de audiência, nem de publicidade.
Não usamos Google Analytics, Google Tag Manager, Meta Pixel, Hotjar, Clarity, Mixpanel, Amplitude, PostHog, Firebase nem Crashlytics. O aplicativo Android não embarca nenhum kit de terceiros de medição de uso ou de relatório de falhas.
Não pedimos a senha do seu banco.
Não guardamos número de cartão, código de segurança, validade, chave PIX nem qualquer meio de pagamento seu. Se você assinar com cartão pelo site, esses dados passam pelo nosso servidor só em memória, a caminho da Asaas, e não são gravados nem registrados em log. Se assinar pela Google Play, eles ficam com ela e não passam por nós.
Não pedimos sua data de nascimento. CEP, número do endereço e telefone do titular do cartão só são pedidos se você assinar o plano Navegador com cartão, e vão para a Asaas sem ficar no nosso banco de dados. O telefone celular do cadastro é outro campo, opcional: fica na sua conta e não vai para a Asaas.
O aplicativo de celular não pede câmera, microfone, localização, contatos, SMS, biometria nem acesso aos seus arquivos. Ele pede cinco permissões: internet, estado da rede, envio de notificações, iniciar junto com o aparelho e manter o processador ativo enquanto uma tarefa em segundo plano roda. Na versão da Google Play, pede uma sexta: a cobrança pela Google Play, usada só para assinar o plano Navegador dentro do aplicativo.
A leitura dos avisos do seu banco não é nenhuma dessas, e não vem ligada. É uma autorização à parte, que só existe na versão da Google Play e que você concede e retira na tela de configurações do Android — a seção "O lançamento automático a partir dos avisos do seu banco" explica o que ela faz, linha por linha.
Nenhuma função do aplicativo — na web ou no Android — usa inteligência artificial para analisar os seus dados. As sugestões de preenchimento, a escolha automática de categoria e o convite para cadastrar como despesa fixa uma conta que se repete todo mês são calculados dentro do seu próprio aparelho, por regras escritas por nós, nunca nos nossos servidores. Eles partem de três lugares: do que já foi lançado e categorizado no ambiente aberto — valendo, para cada fornecedor, a categorização mais recente, e contando também um lançamento do mês anterior na mesma conta ou cartão, com valor e data parecidos —; de uma lista de palavras escrita por nós, que liga palavras da descrição, como "drogaria", a uma categoria que você já tem, como Farmácia ou Saúde; e, se você autorizar, do aviso que o seu banco mostrou na tela do celular.
Não vendemos anúncio em e-mail. Fora as respostas a quem nos escreve, os e-mails que saem daqui são de três tipos. Os do serviço: boas-vindas quando a conta é criada, redefinição de senha, decisão sobre o seu pedido de acesso, avisos de compartilhamento, avisos sobre o fim do Navegador grátis e sobre o prazo para renovar pelo preço de fundador, e o aviso de mudança relevante nesta política, que a seção "Alterações desta política" nos obriga a mandar. As dicas de uso: um e-mail curto que sugere um próximo passo útil no aplicativo, como cadastrar a primeira conta ou conferir uma importação. E, só se você ligar, o resumo da semana e as novidades do plano Navegador. As dicas, o resumo e as novidades somam no máximo um e-mail a cada 24 horas, não saem entre 20h e 9h e trazem no fim um link para parar de receber, que não mexe nos e-mails do serviço. Você também pode desligá-los na versão web, em Ajustes e depois em Privacidade e consentimentos.
Em resumo: o Explorador é gratuito e vai continuar sendo, e toda conta nova começa com 3 meses do Navegador grátis. O Navegador é o plano pago, vendido pelo site, com o pagamento processado pela Asaas, e dentro do aplicativo Android instalado pela Google Play, com o pagamento processado pela Google Play. Se você pagar com cartão no site, os dados dele passam pelo nosso servidor só em memória, a caminho da Asaas, e não são gravados nem registrados em log.
Existem dois planos. O Explorador é gratuito e vai continuar sendo gratuito — todo mundo pode usar o Meu Mapa Financeiro sem custo. O Navegador é o plano com mais recursos e é pago. Toda conta que não está no Navegador fica no Explorador, inclusive quando o Navegador grátis ou a assinatura terminam.
Navegador grátis. Toda conta criada a partir de 23/10/2026 começa com o Navegador completo por 3 meses, até o fim do dia, no horário de Brasília, em que o cadastro completa 3 meses. Não pedimos cartão de crédito, e nada é cobrado no fim: a conta passa ao Explorador. Avisamos por e-mail 15 dias e 3 dias antes do fim e no último dia. Se você assinar antes, a cobrança começa no dia da compra. As contas criadas antes dessa data continuam no plano em que estavam.
Cobramos apenas pelo plano Navegador. Nenhum outro recurso, funcionalidade ou serviço do Meu Mapa Financeiro é cobrado à parte: a assinatura do Navegador é a única compra dentro do aplicativo, e não há taxas por uso nem cobranças por transação, importação ou relatório. A assinatura é voluntária — ninguém é cobrado sem contratar o Navegador.
Quem processa o seu pagamento. O Navegador é contratado pelo site ou dentro do aplicativo Android instalado pela Google Play. Hoje são duas ofertas, as mesmas nos dois caminhos: mensal e anual de fundador. No site, o pagamento é processado pela Asaas (Asaas Gestão Financeira S.A., CNPJ 19.540.550/0001-21), instituição de pagamento, em conta da própria empresa; o mensal é pago só com cartão de crédito, e o anual de fundador, com Pix ou cartão de crédito. Não há boleto. Só o anual de fundador pode ser parcelado no site, no primeiro ano e em cada renovação, no cartão de crédito, em até 12 vezes sem juros, e a Asaas processa o parcelamento com os mesmos dados. No aplicativo da Google Play, o pagamento é processado pela Google Play (Google LLC), na sua conta Google, sem parcelamento, e a relação de pagamento é entre você e o Google. Se um dia a assinatura for vendida no aplicativo para iPhone ou iPad, o pagamento feito ali será processado pela App Store (Apple Inc. e suas afiliadas), e a relação de pagamento será entre você e a Apple.
O que a Asaas recebe. Para criar a cobrança, enviamos à Asaas o seu nome, o seu CPF ou CNPJ e o e-mail da sua conta. Se você pagar com cartão, enviamos também os dados do cartão e os do titular que você digitar: nome, e-mail, CPF ou CNPJ, CEP, número do endereço, complemento, se houver, e telefone; e o endereço IP de onde você fez a compra. Esses dados servem para executar a assinatura (art. 7º, V), emitir a nota fiscal de serviço de cada cobrança, que sai pela Asaas (art. 7º, II), e prevenir fraude no cartão (art. 7º, IX). A Asaas também os trata conforme a própria política de privacidade. Ela não envia e-mail nem SMS sobre a sua assinatura: a comunicação é feita pelo próprio Meu Mapa Financeiro.
Em nenhum dos casos guardamos o número do seu cartão. Você digita os dados do cartão no formulário do nosso site, e eles seguem por conexão HTTPS até o nosso servidor, que os repassa à Asaas na mesma requisição. Número, validade e código de segurança ficam só em memória durante esse repasse: não são gravados no nosso banco de dados e não são registrados em log. Quem guarda o cartão, para cobrar as renovações, é a Asaas, e nós não voltamos a vê-lo.
O que a Google Play recebe e o que aproveitamos dela. Se você assinar pelo aplicativo da Google Play, quem recebe os dados do seu meio de pagamento é a Google Play, que os trata conforme a política de privacidade do Google; nós não os recebemos. Na compra, o aplicativo informa à Google Play o plano, a oferta e um código calculado a partir do identificador interno da sua conta no Meu Mapa Financeiro, que não traz o seu nome nem o seu e-mail. O nosso servidor consulta a compra na Google Play quando você compra e a cada aviso que ela nos manda, como renovação, cancelamento, falha de pagamento ou reembolso, e aproveita da resposta só isto: a situação da assinatura, o plano e a oferta, até quando ela está paga, se a renovação automática está ligada, o código da conta informado na compra, o número do pedido, o código da compra anterior, quando há troca de plano, se é uma compra de teste, se ela já foi confirmada e o motivo do cancelamento, quando houver. Com isso o servidor confirma a compra na Google Play; quando ela não pode valer, por exemplo porque a sua conta já tem uma assinatura ativa, ele não a confirma, e a Google Play a cancela e devolve o valor. Se você excluir a conta com a assinatura ativa, o servidor pede à Google Play que pare de renová-la.
O que fica registrado conosco. Da assinatura: a oferta, o meio de pagamento (Pix, cartão ou Google Play), o valor, o ciclo, a situação, até quando ela está paga, se o cancelamento foi pedido e, quando ela termina, a data e o motivo do encerramento. Se você assinou pelo site, também os códigos que a Asaas dá ao cliente e à assinatura. Se assinou pela Google Play, também o código da compra, o número do pedido, o plano e a oferta da loja, a situação informada pela Google Play, se a renovação automática está ligada, o código da compra anterior, se é uma compra de teste e quando a compra foi confirmada e consultada pela última vez. De cada cobrança feita pela Asaas: valor, meio, situação, vencimento, data do pagamento e o link do comprovante ou da nota fiscal. Os avisos que a Asaas nos manda sobre as cobranças são registrados para auditoria, sem dado de cartão, e os da Google Play também, só com o código e o tipo do aviso e o que fizemos com ele. Nenhum desses registros traz nome, CPF ou CNPJ, telefone ou endereço. Eles ficam pelo prazo da legislação tributária, hoje cinco anos, inclusive depois que você cancelar ou excluir a conta.
Renovação. No site, o mensal se renova automaticamente ao fim de cada mês, no mesmo cartão, até você cancelar. O anual de fundador não é cobrado sozinho: a renovação abre 30 dias antes do fim do ano pago, e você a paga no site, no Pix ou no cartão de crédito, pelo preço de fundador, até 30 dias depois do fim do ano pago, mesmo que tenha cancelado. Se ela não for paga, avisamos por e-mail com 7, 15 e 29 dias de atraso, ou só com 29 dias se a assinatura foi cancelada. Passado esse prazo, o preço de fundador se perde. Pela Google Play, as duas ofertas se renovam automaticamente, cobradas pela própria Google Play, até você cancelar.
Se a renovação feita no site não for paga, o Navegador continua por 5 dias de tolerância, contados do fim do período pago. Passado esse prazo, sua conta volta ao plano Explorador. Pela Google Play não há esses 5 dias: se a cobrança da renovação falhar, o Navegador continua durante a carência que a Google Play der para acertar o pagamento; se ela suspender a assinatura por falta de pagamento, a conta volta ao plano Explorador enquanto durar a suspensão, e o Navegador volta se o pagamento for acertado na Google Play. Quando o Navegador termina, seja no fim do Navegador grátis, de um período do Navegador que tenhamos concedido com prazo ou de uma assinatura, a conta passa ao Explorador. No Explorador, em cada ambiente, só a conta bancária ativa mais antiga e o cartão de crédito ativo mais antigo aceitam lançamentos novos; as demais contas e cartões ficam congelados, disponíveis só para consulta. Nenhum dado é apagado, e assinar de novo descongela tudo.
Cancelamento e mudanças. Você pode cancelar a assinatura a qualquer momento, sem multa e sem precisar justificar, pela mesma via em que assinou: se foi pelo site, no próprio site, em Ajustes > Planos e preços; se foi pela Google Play, no aplicativo Play Store, em Pagamentos e assinaturas > Assinaturas, aonde também leva o botão Gerenciar na Google Play, em Ajustes > Planos e preços. Desinstalar o aplicativo não cancela a assinatura. O acesso ao Navegador continua até o fim do período já pago, sem novas cobranças. Encerrada a assinatura, sua conta volta ao plano Explorador, com o mesmo congelamento, sem tolerância nem carência; no site, o preço de fundador continua valendo para voltar até 30 dias depois do fim do ano pago. Seus dados não são apagados por cancelamento.
Direito de arrependimento. Você pode desistir da assinatura em até 7 dias, contados da contratação ou da primeira cobrança (Código de Defesa do Consumidor, art. 49), escrevendo para [email protected], e devolvemos integralmente o valor pago. Se você assinou pela Google Play, a devolução sai pela própria Google Play.
Se o preço mudar, avisaremos você antes, pelo e-mail cadastrado e dentro do aplicativo, e a alteração só valerá para as cobranças seguintes. O plano Explorador continuará gratuito.
Em resumo: trabalhamos com fornecedores que tratam dados por nossa conta e sob nossas instruções. Os que temos hoje estão nomeados abaixo, com país e finalidade. Nenhum deles recebe seus dados para vender ou anunciar nada.
Cloudflare, Inc. — Estados Unidos. É a rede que protege e entrega o site. Todo acesso feito pelos endereços que publicamos passa por ela, e é lá que a conexão segura com o seu navegador é aberta. Ela também recebe as mensagens enviadas ao nosso e-mail de contato antes de entregá-las a nós. Recebe seu endereço IP, a identificação do seu navegador e o endereço da página que você abriu. O nosso servidor só aceita conexão vinda dela, com certificado próprio.
Plus Five Five, Inc., que opera o serviço Resend — Estados Unidos. Envia os e-mails do serviço, as dicas de uso e, se você ligar, o resumo da semana e as novidades do plano. Também leva até o nosso e-mail de contato a mensagem que você escrever ao desligar a leitura dos avisos do banco. Recebe o e-mail do destinatário, o nome e o texto da mensagem. Na mensagem do desligamento, o destinatário somos nós, e vão junto o seu nome e o seu e-mail, para podermos responder. Das dicas, do resumo e das novidades, nos devolve se a mensagem foi entregue, se atrasou, se não pôde ser entregue e se foi marcada como spam. Nos dois últimos casos, as dicas, o resumo e as novidades param na hora para esse endereço. Não guardamos se você abriu o e-mail nem em que link tocou.
Amazon Web Services — Brasil, região de São Paulo. Guarda a cópia de segurança diária do banco de dados, cifrada no armazenamento. O acesso é restrito a uma credencial nossa, sem permissão de apagar objetos.
Google LLC — Estados Unidos. Quatro coisas distintas: entrar com a sua conta Google, se você escolher; o motor gráfico e as fontes que o site carrega para desenhar as telas; a caixa postal que recebe o aviso de que alguém pediu acesso ao produto; e, se você assinar o plano Navegador dentro do aplicativo Android, o processamento do pagamento pela Google Play, que recebe o código da sua conta descrito em "Planos e cobrança" e nos informa a situação da compra.
Apple Inc. e suas afiliadas — Estados Unidos. Processa o pagamento se você assinar o plano Navegador dentro do aplicativo para iPhone ou iPad. Recebe os dados do seu meio de pagamento; nós recebemos de volta apenas a confirmação de que a assinatura está ativa.
Asaas Gestão Financeira S.A., CNPJ 19.540.550/0001-21, no Brasil. Instituição de pagamento que processa a assinatura do plano Navegador feita pelo site e emite a nota fiscal de serviço de cada cobrança. Recebe o seu nome, o seu CPF ou CNPJ e o e-mail da sua conta. Se você pagar com cartão, recebe também os dados do cartão, o nome, e-mail, CPF ou CNPJ, CEP, número e complemento do endereço e telefone do titular, e o endereço IP de onde você fez a compra, usado na prevenção de fraude. Guarda o cartão para cobrar as renovações.
Pluggy Serviços Digitais Ltda. — Brasil. Um componente de programação carregado pelas páginas do site. Nossa política de segurança de conteúdo restringe o que esse componente pode fazer.
Lavrox, que opera o serviço ipwho.is. Descobre a cidade e o estado aproximados quando o registro de uso está ligado. Recebe apenas a faixa de rede do seu provedor de internet, nunca o endereço do seu aparelho. A empresa não publica o país da sua sede, e estamos avaliando substituí-la por esse motivo.
Secretaria da Fazenda e Receita Federal — Brasil. Recebem o CNPJ que você informar na consulta de notas fiscais, e a consulta assinada pelo seu certificado.
Uma observação que consideramos honesto fazer sobre dois desses fornecedores. O site é desenhado por um componente que o seu navegador baixa de um endereço do Google a cada visita, e uma das páginas carrega também o componente da Pluggy. Isso significa que os dois recebem o seu endereço IP e a identificação do seu navegador em toda visita a qualquer página do site — inclusive nesta página que você está lendo, e mesmo antes de você ter conta. Não escolhemos entregar seus dados a eles; é uma consequência técnica de como o site é montado hoje, e estamos trabalhando para servir esses arquivos do nosso próprio servidor.
Seus dados também vão para onde você mandar. Se você compartilhar um ambiente, a pessoa convidada passa a ver tudo o que há nele, inclusive o que for criado depois. Se você usar o botão de compartilhar do Android para mandar um resumo por mensagem, aquele texto sai do nosso controle no instante em que você escolhe o aplicativo de destino.
Também podemos ser obrigados a entregar dados por ordem judicial ou requisição de autoridade competente (LGPD, artigo 7º, incisos II e VI). Nesse caso, avisamos você, a menos que a própria ordem proíba.
Em resumo: parte dos nossos fornecedores fica nos Estados Unidos, então alguns dados seus saem do Brasil. O que sai, para quem e com que fundamento está escrito abaixo.
Saem do Brasil: para a Cloudflare, o seu endereço IP, a identificação do seu navegador e o endereço da página que você abriu, em todo acesso, mais o conteúdo das mensagens que chegam ao nosso e-mail de contato, inclusive a do desligamento da leitura dos avisos; para a Resend, o seu endereço de e-mail, o seu nome e o texto das mensagens que enviamos a você e, se você nos contar por que desligou a leitura dos avisos do banco, o que você marcou e escreveu, com as versões do aplicativo e do Android; para o Google, o seu endereço IP e a identificação do seu navegador a cada carregamento de página, e os dados de identificação que ele nos devolve se você entrar com a conta Google e, se você assinar pela Google Play, o código da sua conta que o aplicativo informa na compra; e para o ipwho.is, apenas a faixa de rede do seu provedor de internet, e só se o registro de uso estiver ligado.
Se você assinar o plano Navegador pela Google Play, os dados do seu meio de pagamento vão para o Google, nos Estados Unidos, e são tratados por ele, não por nós. Se um dia a assinatura for vendida pela App Store, o mesmo valerá para a Apple. A assinatura feita pelo site tem o pagamento processado pela Asaas, no Brasil.
Não sai do Brasil o banco de dados com os seus lançamentos, que fica em servidor no Brasil, nem a cópia de segurança diária, que fica na região de São Paulo da Amazon.
Com que fundamento. Essas transferências se enquadram no artigo 33, inciso VI, da LGPD: são necessárias para executar o contrato que você fez conosco. Sem elas o site não abre, o e-mail de recuperação de senha não chega, a entrada pela conta Google não funciona e a assinatura pela Google Play não pode ser confirmada.
Em resumo: não usamos cookies. Mas guardamos coisas no seu navegador e no seu celular, e você merece saber exatamente o quê.
Não existe cookie neste produto. Nem próprio, nem de terceiro, nem de análise de audiência, nem de publicidade. Não há banner de cookies porque não há cookie a consentir.
O que existe é armazenamento local — informação que fica no seu próprio aparelho e nunca é enviada a terceiros.
No navegador guardamos: a sua sessão, para você não precisar entrar de novo a cada visita; uma cópia dos seus dados financeiros (lançamentos, contas, cartões, categorias e faturas), para as telas abrirem rápido e continuarem funcionando se a internet cair; uma fila dos lançamentos feitos sem internet, à espera de subir; e suas preferências, como ambiente ativo, período escolhido, filtros salvos, avisos já lidos, sugestões dispensadas e o estado da barra lateral.
Um aviso importante e desconfortável: sair da conta na web remove a sessão, mas não apaga a cópia dos seus dados financeiros do navegador. Se você usa um computador compartilhado, limpe os dados do site no seu navegador depois de sair. Estamos corrigindo isso.
No celular (Android ou iOS) guardamos: a sua sessão; uma fila dos lançamentos feitos sem internet; uma cópia da estrutura financeira, com as listas de contas, cartões e categorias, para o aplicativo abrir sem rede; e suas preferências, como ambiente ativo, lembretes configurados, avisos já lidos e sugestões dispensadas.
E, se você tiver autorizado a leitura dos avisos do seu banco, uma segunda lista, separada da primeira: o registro do que foi lido de cada aviso e do que o aplicativo fez com aquela leitura, no máximo 200 linhas e no máximo 30 dias. Com a mesma autorização, junto da cópia da estrutura financeira, o resumo das categorias que você deu a cada fornecedor, descrito na seção "O lançamento automático a partir dos avisos do seu banco".
Ao sair da conta no aplicativo, a cópia da estrutura financeira é apagada, com o resumo das categorias, e a lista das leituras também. A fila de lançamentos ainda não enviados é mantida de propósito, para você não perder o que digitou, e é apagada quando você exclui a conta. O aplicativo também desliga a cópia automática para a nuvem do Google, então nem a sessão nem os dados locais vão para o seu Google Drive.
A transferência para um aparelho novo é um caminho diferente do backup na nuvem, e por isso é tratada à parte: a lista das leituras está excluída dos dois. A fila de lançamentos que ainda não subiram viaja com você, de propósito — o lançamento é seu e não pode se perder na troca de aparelho; o que o aplicativo leu de uma notificação fica onde foi lido.
Em resumo: o tráfego é cifrado, cada pessoa só enxerga as próprias linhas no banco, a senha nunca é guardada em texto e o acesso administrativo é restrito, identificado e registrado.
Toda a comunicação é cifrada. O site e o aplicativo só falam por HTTPS, com TLS 1.2 ou 1.3. Não há nenhum endereço sem cifra no código de nenhum dos dois aplicativos, e qualquer acesso sem cifra é redirecionado.
Sua senha nunca é guardada. Guardamos um resultado embaralhado e irreversível dela. Nem nós conseguimos lê-la.
Isolamento linha a linha no banco de dados. Cada tabela tem regras que dizem quais linhas cada sessão pode ler e escrever. Uma conta não alcança os dados de outra, e isso é imposto pelo banco, não pela tela.
O aplicativo Android não embarca nenhum kit de terceiros de medição, propaganda, atribuição ou relatório de falhas. Os endereços de rede dentro do aplicativo publicado são os nossos e um do Google: a página de assinaturas da Google Play, que o botão Gerenciar na Google Play abre.
Cabeçalhos de proteção no navegador: o site proíbe ser exibido dentro de outro site, restringe de onde pode carregar código e nega, no próprio navegador, o acesso a localização, microfone, câmera e pagamento.
As portas internas do banco de dados não são alcançáveis pela internet, e o servidor só aceita conexões vindas da nossa rede de entrega.
Cópia de segurança diária, conferida automaticamente a cada geração, com uma segunda cópia enviada para armazenamento cifrado em São Paulo.
Acesso administrativo restrito e registrado. Existe um painel interno, usado por duas pessoas nomeadas, protegido por três camadas independentes de autenticação. Ele é somente leitura e não consegue ler os seus lançamentos: mostra apenas e-mail, nome, data de cadastro, último acesso, plano e a quantidade de contas, cartões e lançamentos. Toda consulta feita ali fica registrada com o e-mail de quem consultou, o que consultou e quando — inclusive as tentativas negadas.
O que é justo você saber. Segurança absoluta não existe, e nenhuma empresa honesta promete isso. A manutenção do sistema exige que um administrador tenha acesso técnico ao banco de dados; esse acesso é limitado a quem opera o serviço e é usado para manter o produto de pé. E a sua parte também conta: use uma senha que você não use em outro lugar, e não deixe a sessão aberta em computador de terceiros.
Em resumo: os seus dados ficam enquanto a sua conta existir. Os registros técnicos têm prazos próprios, e alguns deles ainda não têm descarte automático — está escrito abaixo, sem rodeio.
Seus lançamentos, contas, cartões, ambientes, orçamentos, metas e o seu cadastro: enquanto a conta existir. Somem quando você a exclui.
Linhas de extrato importadas, inclusive as que você descartou na conferência: enquanto a conta existir.
Logotipo do ambiente (no ambiente pessoal, a sua foto): enquanto o ambiente existir. Sai quando você o remove no cadastro e salva, e vai junto quando o ambiente ou a conta são excluídos.
Registro de uso do aplicativo, coletado só se você ligou o consentimento: 365 dias, apagados por rotina automática que roda todo dia.
Cópia de segurança do banco no nosso servidor: 30 dias, e depois é apagada automaticamente. A cópia externa fica na Amazon, na região de São Paulo; estamos confirmando com o fornecedor o prazo exato de expiração dessas cópias e publicaremos o número aqui.
Registros de acesso ao servidor web, com IP, data, hora e página: a regra configurada é de 14 dias. Hoje a rotina que executa esse descarte está falhando, e os registros vêm se acumulando além do prazo. É um defeito conhecido, e a correção está em andamento.
Registro de autenticação, com e-mail, nome, data e tipo do evento: hoje não há descarte automático, e esses registros são mantidos por prazo indeterminado. Estamos definindo um prazo e a rotina que o cumpra. O mesmo vale para o registro de acesso administrativo.
Registro de atividade (a última abertura do aplicativo na web e no Android): enquanto a conta existir. Cada abertura substitui a anterior, e o registro some quando você exclui a conta.
Mensagem sobre o desligamento da leitura dos avisos do banco, se você enviar: 90 dias no servidor, apagada por rotina automática, e antes disso se você excluir a conta. A cópia que chega ao nosso e-mail de contato não tem descarte automático: fica enquanto servir para responder a você e consertar a leitura, e nós a apagamos se você pedir.
Dicas por e-mail: o passo em que você está, os marcos, a fila dos e-mails com o que a Resend devolveu sobre cada entrega, as suas escolhas de e-mail com a trilha de cada mudança, o pedido para parar de receber e os códigos dos links para isso: enquanto a conta existir. Hoje não há descarte automático antes disso, e tudo sai quando você exclui a conta.
Assinatura do plano Navegador: guardamos o registro da assinatura e de cada cobrança descrito na seção "Planos e cobrança", sem dado de cartão, com o link do comprovante e da nota fiscal emitidos pela Asaas, e, na assinatura pela Google Play, o registro da compra e dos avisos da Google Play. Esses registros fiscais e contábeis ficam pelo prazo que a legislação tributária exige, hoje cinco anos, contados do primeiro dia do exercício seguinte. Esse prazo é obrigação legal e vale mesmo depois de você cancelar ou excluir a conta.
Marco Civil da Internet. O artigo 15 da Lei 12.965/2014 nos obriga, como empresa que oferece uma aplicação de internet com fins econômicos, a guardar os registros de acesso — data, hora e endereço IP — pelo prazo mínimo de seis meses. Esse é um prazo mínimo legal, não uma escolha nossa, e ele vale mesmo depois de você excluir sua conta.
Convites e compartilhamentos. Quando você convida alguém para um ambiente, guardamos o e-mail da pessoa, o nível de acesso e quem convidou. Se a pessoa ainda não tem conta, o convite fica pendente, sem prazo de validade, e passa a valer quando ela criar a conta com aquele e-mail. Remover a pessoa — ou ela mesma sair do ambiente — encerra o acesso na hora, mas a linha com o e-mail continua no banco, marcada como removida: é ela que impede que um cadastro futuro com o mesmo e-mail traga de volta um acesso que foi encerrado. A linha só sai quando o ambiente é excluído ou quando a pessoa, se tinha conta, exclui a própria conta.
Antes da versão 2.8 também dava para compartilhar uma conta, um cartão ou todos os ambientes da família. Esses acessos foram convertidos em acesso ao ambiente, com o maior nível que a pessoa tinha, e remover a pessoa do ambiente encerra também o acesso antigo. Desde a versão 2.17 o caminho anterior está desligado: a família não dá mais acesso a nenhum ambiente, nem a um ambiente novo que o dono criar, e um compartilhamento antigo de conta ou de cartão não abre mais nada. Versões antigas do aplicativo Android que ainda mostram esse caminho recebem uma recusa, e nada é gravado nem enviado. Os registros antigos ficam guardados como histórico, sem dar acesso: revogar o acesso a uma conta ou a um cartão manteve a linha com o e-mail, marcada como revogada, e remover alguém da família apaga a linha e o e-mail dela definitivamente.
Quem foi convidado pode sair do ambiente sozinho, pela tela "Pessoas com acesso" — na versão web, e no aplicativo Android a partir da versão que traz essa tela. Para que o seu e-mail saia também do registro de convites, escreva para [email protected]: esse apagamento ainda é feito por nós, manualmente.
Cópias de segurança e o direito de apagar. Quando você exclui a conta, os dados somem do banco na hora. Mas as cópias de segurança geradas antes disso ainda contêm os seus dados, como estavam no dia em que foram feitas, até expirarem pelos prazos acima. Não usamos essas cópias para nada além de restaurar o serviço em caso de desastre, e não é tecnicamente possível restaurar só a sua conta a partir delas.
Em resumo: a lei te dá nove direitos sobre os seus dados, você exerce todos pelo mesmo e-mail, é de graça, e nós respondemos em 15 ou 30 dias conforme o pedido.
O artigo 18 da LGPD garante que você peça, a qualquer momento: confirmação de que tratamos dados seus; acesso aos dados que temos sobre você; correção de dado incompleto, inexato ou desatualizado; anonimização, bloqueio ou eliminação de dado desnecessário, excessivo ou tratado fora da lei; portabilidade para outro fornecedor; eliminação dos dados tratados com o seu consentimento; informação sobre com quem compartilhamos seus dados; informação sobre a possibilidade de não consentir e o que acontece se você negar; e revogação do consentimento a qualquer momento.
Você também pode se opor a um tratamento feito com base no legítimo interesse (artigo 18, §2º). Para as dicas de uso por e-mail, nem precisa escrever: o link no fim de cada uma, ou a chave em Ajustes e depois em Privacidade e consentimentos, na versão web, desliga as dicas na hora, e a que estava na fila não sai mais.
Como exercer. Escreva para [email protected] a partir do e-mail cadastrado na sua conta, dizendo o que quer. Se escrever de outro endereço, vamos precisar confirmar que a conta é sua, para não entregar seus dados a um estranho.
Prazos. Como agente de tratamento de pequeno porte, os nossos prazos são os da Resolução CD/ANPD nº 2/2022, artigos 14 e 15: até 15 dias para a resposta simplificada, que confirma que tratamos dados seus e diz quais (artigo 14, inciso I); e até 30 dias para a resposta completa, que é a declaração detalhada de origem, finalidade, critérios e com quem compartilhamos (artigo 14, inciso III).
Custo: nenhum. O artigo 18, §5º proíbe cobrar por isso, e não cobramos.
Atalhos que você já tem, sem precisar escrever para ninguém. Para ver e corrigir seus dados, entre no aplicativo: o que temos sobre você está nas suas telas. O telefone celular do cadastro aparece em Ajustes › Privacidade e consentimentos, onde você também o apaga; para corrigi-lo, escreva para [email protected]. Para revogar consentimentos, vá em Ajustes e depois em Privacidade e consentimentos — a revogação vale na hora. Para exclusão da conta, veja a seção seguinte. E a versão web exporta os seus lançamentos em CSV, pela tela de Extrato.
Em resumo: dá para excluir sozinho, na hora, sem falar com ninguém. A exclusão é imediata e não tem volta.
Pelo aplicativo de celular: abra o aplicativo, toque em Ajustes na barra inferior, role até o fim, e na seção Zona de perigo toque em Excluir minha conta. Confirme digitando a frase EXCLUIR CONTA.
Pela web: entre em https://meumapafinanceiro.com.br, abra o Ajustes, role até o fim, e na seção Zona de perigo clique em Excluir minha conta. Confirme digitando a frase EXCLUIR CONTA.
Sem entrar na conta: a página https://meumapafinanceiro.com.br/excluir-conta explica o procedimento completo, abre sem login e sem instalar nada.
Os dois caminhos fazem exatamente a mesma coisa, e a exclusão é imediata: não há fila, carência nem período de arrependimento. Não é possível recuperar a conta depois.
Se você não consegue entrar — perdeu o acesso ao e-mail, ou a entrada falha —, escreva para [email protected] pedindo a exclusão. Confirmamos a identidade e excluímos em até 15 dias, sem custo. Use esse mesmo caminho se o botão der erro: em situações raras, um compartilhamento que você concedeu pode travar a exclusão automática, e nesse caso nós a fazemos à mão dentro do mesmo prazo.
O que é apagado: seu cadastro, sua senha, o vínculo com o login social, todos os seus ambientes, contas, cartões, lançamentos, faturas, parcelamentos, recorrências, categorias, orçamentos, metas, investimentos, importações, consentimentos, preferências e os acessos que você concedeu a outras pessoas. No celular, a cópia local e a fila de lançamentos ainda não enviados também são apagadas.
Em resumo: apagar a conta apaga os seus dados do banco na hora, mas algumas coisas sobrevivem — e você tem direito de saber quais, antes de apertar o botão.
As cópias de segurança feitas antes da exclusão, até expirarem: 30 dias no nosso servidor, e o prazo da cópia externa descrito na seção de retenção.
Os registros de acesso, com data, hora e IP, pelo mínimo de seis meses que o Marco Civil da Internet exige.
Se você chegou a assinar o plano Navegador, o registro da assinatura e das cobranças, pelos cinco anos que a legislação tributária exige. Ele guarda o identificador interno da conta e os códigos de cliente e de assinatura na Asaas ou, se você assinou pela Google Play, o código da compra e o número do pedido na Google Play, mas não traz o seu nome, o seu e-mail nem o seu CPF ou CNPJ. Na assinatura pelo site, esses dados ficam na Asaas, e a nota fiscal emitida por ela os traz, porque é isso que uma nota fiscal é. Na assinatura pela Google Play, o cadastro de pagamento é o da sua conta Google, com o Google.
O registro de autenticação, que hoje guarda o e-mail associado aos eventos de entrada e saída. Ele não é apagado junto com a conta, e estamos corrigindo isso. Se quiser que esse registro seja apagado agora, peça pelo e-mail de contato e nós o apagamos.
Se o seu pedido de acesso ao produto foi negado, o seu e-mail e o seu nome ficam numa lista de espera, para avisarmos quando abrirmos as inscrições. Essa linha não é apagada pela exclusão da conta. Peça a remoção pelo e-mail de contato e nós a apagamos.
Se você nos contou por que desligou a leitura dos avisos do banco, a cópia dessa mensagem que chegou ao nosso e-mail de contato. A do servidor sai com a conta, mas a do e-mail não. Peça pelo e-mail de contato e nós a apagamos.
O que deixou de ser seu:lançamentos que você criou dentro da conta ou do cartão de outra pessoa pertencem ao ambiente dela e permanecem lá, sem a sua identificação. O contrário também vale.
Os e-mails já enviados continuam nas caixas de quem os recebeu, porque não temos como recolhê-los.
Uma anotação de que uma conta foi excluída, com o dia e um número gerado na hora. Ela não guarda o seu nome, o seu e-mail nem o seu identificador.
Na web, a cópia dos seus dados no navegador não é apagada pela exclusão da conta. Limpe os dados do site no seu navegador. No celular isso é feito automaticamente.
Em resumo: o Meu Mapa Financeiro é para maiores de 18 anos, e não coletamos dados de crianças de propósito.
O uso do produto é destinado a pessoas maiores de 18 anos, como dizem os nossos Termos de Uso, e é assim que o público-alvo está declarado na Google Play. Não pedimos data de nascimento e, por isso, não conseguimos verificar idade — o que significa que dependemos dessa declaração.
Não direcionamos nenhuma comunicação a crianças ou adolescentes e não usamos qualquer apelo infantil.
Se descobrirmos que uma conta pertence a menor de 18 anos, vamos apagá-la. Se você é responsável e acredita que uma criança ou adolescente criou uma conta aqui, escreva para [email protected]: apagamos a conta e tudo que estiver ligado a ela, sem exigir explicação.
Em resumo: se acontecer um vazamento que possa te prejudicar, avisamos você e a ANPD.
O artigo 48 da LGPD nos obriga a comunicar à Autoridade Nacional de Proteção de Dados e a você qualquer incidente de segurança que possa gerar risco ou dano relevante.
O que fazemos se isso acontecer: contemos o problema e fechamos a porta; apuramos o que foi atingido e quem foi afetado; comunicamos à ANPD no prazo da lei e da regulamentação vigente; comunicamos você, no e-mail cadastrado, dizendo em linguagem clara o que aconteceu, quais dados foram atingidos, o que já fizemos e o que você deve fazer; e publicamos o resumo nesta página, se o incidente for amplo.
Não vamos esconder incidente atrás de linguagem vaga. Se acontecer, você vai ler o que aconteceu.
Em resumo: podemos mudar este texto, mas avisamos antes quando a mudança for relevante — e nunca vamos usar uma alteração silenciosa para tirar direito seu.
Esta política pode mudar quando o produto mudar, quando a lei mudar ou quando percebermos que algo aqui pode ser dito melhor.
Mudança de forma — correção de texto, exemplo mais claro, endereço novo: atualizamos a data no topo da página.
Mudança relevante — nova finalidade, novo fornecedor que recebe dados, novo prazo de retenção ou o início de cobrança: avisamos com antecedência, no e-mail cadastrado e dentro do aplicativo, antes de a mudança valer.
Se a mudança depender do seu consentimento, pedimos o consentimento. Silêncio não vale como concordância. E você pode encerrar sua conta a qualquer momento se não concordar com a nova versão.
Histórico. Versão 2.21, de 23/10/2026: vale a partir de 24/10/2026. O plano Explorador continua gratuito, com os mesmos limites, para quem já o usa e para quem não assina. Toda conta criada a partir de 23/10/2026 começa com 3 meses do Navegador grátis, e passamos a guardar o início e o fim desse período; sem assinar, a conta passa ao Explorador. No site, o preço de fundador passou a valer para renovar até 30 dias depois do fim do ano pago. Passamos a mandar e-mails sobre o fim do período grátis e sobre esse prazo, e guardamos o registro de cada um. É mudança relevante: são dados novos. Nenhum fornecedor novo recebe dado. Versão 2.20, de 20/10/2026: vale a partir de 21/10/2026. Passou a descrever o controle da leitura dos avisos do seu banco pelo próprio aplicativo, com a escolha de por quanto tempo ela fica desligada, e a mensagem opcional sobre o motivo do desligamento: o que vai, para quem, com que base legal e por quanto tempo. É mudança relevante: o motivo é um dado novo, coletado só se você enviar. Versão 2.19, de 11/10/2026: vale a partir de 12/10/2026. Passamos a mandar dicas de uso por e-mail a quem tem conta: um e-mail curto que sugere um próximo passo útil, como cadastrar a primeira conta ou conferir uma importação. A base é o legítimo interesse, e por isso elas chegam sem você precisar ligar nada; o resumo da semana e as novidades do plano Navegador continuam saindo só para quem ligar. Para escolher a dica, o servidor olha datas, contagens e alguns sim ou não sobre o seu uso, que a seção "Quais dados coletamos" lista um a um, e nunca valores, descrições ou saldos. Somados, no máximo um e-mail a cada 24 horas, nunca entre 20h e 9h, com um link para parar de receber no fim de cada um e a chave em Ajustes e depois em Privacidade e consentimentos, na versão web. A Resend, que já enviava os e-mails do serviço, passa a enviar também estes e a nos devolver se cada um foi entregue; não guardamos abertura nem clique. Saiu a frase "Não enviamos e-mail de marketing. Todo e-mail que sai daqui é transacional", que com as dicas deixaria de ser verdade. Nenhum fornecedor novo recebe dado. Versão 2.18, de 04/10/2026: três mudanças na leitura dos avisos do banco, no aplicativo Android instalado pela Google Play. A primeira: do aviso passam a ser aproveitadas seis coisas, e não cinco — entrou a bandeira do cartão, quando vem escrita junto dos quatro últimos dígitos. Ela serve só para escolher o cartão no instante em que o aviso chega, quando o final não está no seu cadastro e, entre os cartões que podem ser o do aviso, só um tem aquela bandeira, e não é guardada. A segunda: o aplicativo passa a olhar também os cartões dos ambientes que outra pessoa compartilhou com você no nível Ver e gravar. Se os quatro dígitos estiverem num cartão de lá, ele pergunta antes; respondendo você que a compra é daquele cartão, o lançamento é criado naquele ambiente e passa a ser visto por quem tem acesso a ele, e as próximas compras com o mesmo final entram lá sozinhas. As contas desses ambientes não são usadas. A terceira: na lista você pode dizer que um final não é de um cartão seu, e os avisos com ele passam a ser descartados sem virar lançamento, até você desfazer em Finais ignorados. O texto passou a dizer também uma coisa que o aplicativo já fazia: a resposta que você dá na lista sobre de qual cartão é um final fica guardada só no celular, não é enviada para nós e sai quando você sai da conta ou exclui a conta. Mesma autorização à parte no Android, mesmos sete aplicativos observados, mesmo prazo da lista, e nenhum fornecedor novo recebe dado. Versão 2.17, de 30/09/2026: o caminho anterior de compartilhamento foi desligado. A versão 2.8 dizia que, até isso acontecer, quem tinha acesso pela família também enxergava um ambiente novo que o dono criasse. Essa exceção acabou: o acesso a um ambiente passa a vir só do convite para aquele ambiente, com o nível Ver ou Ver e gravar, e as versões antigas do aplicativo Android recebem uma recusa ao tentar o caminho anterior. Menos pessoas passam a ver os seus dados, nunca mais. Nenhum dado novo é coletado, ninguém novo recebe dados e nenhum prazo muda. Versão 2.16, de 18/09/2026: onde a sua foto e o logotipo aparecem. O texto dizia que a tela Perfil do aplicativo Android mostrava a foto do seu ambiente pessoal e os logotipos de todas as suas empresas. Agora o topo de Ajustes, na versão web, e a tela Perfil, no aplicativo Android, mostram a sua foto e, só quando o ambiente em uso é de empresa, o logotipo dele em destaque, com o nome. Com o ambiente pessoal em uso, nenhum logotipo de empresa aparece ali. É a mesma imagem, com a mesma finalidade, vista pelas mesmas pessoas: você e quem já tinha acesso àquele ambiente. Nenhum dado novo é coletado, ninguém novo recebe dados e nenhum prazo muda. Versão 2.15, de 18/09/2026: o retrato da conta Google no lugar da foto que falta. O texto dizia que nada da sua conta Google ia para a foto do ambiente. Isso mudou num ponto: enquanto você não envia uma foto no seu ambiente pessoal, a versão web mostra no lugar dela, só para você, o retrato da sua conta Google, o mesmo que já aparecia no menu. O retrato não é copiado para o ambiente, quem você convidou não o vê, e a foto que você enviar passa na frente dele. É o mesmo dado, com a mesma finalidade, que é mostrar o seu retrato a você na versão web. Nenhum dado novo é coletado, ninguém novo recebe dados e nenhum prazo muda. O aplicativo Android não mostra esse retrato. Versão 2.14, de 16/09/2026: a foto do ambiente pessoal. O envio de imagem no cadastro do ambiente já valia para qualquer ambiente, mas o texto falava só do logotipo de empresa. Agora diz que, no ambiente pessoal, a imagem é uma foto sua, e que nada vem da sua conta Google. A seção "Quais dados coletamos, e com base em quê" passou a dizer também onde a imagem aparece: junto do nome do ambiente, na web e no aplicativo Android, e, só para você, na tela Perfil do aplicativo Android, que mostra a foto do seu ambiente pessoal e os logotipos das suas empresas. É a mesma imagem, com a mesma finalidade, os mesmos limites e o mesmo prazo. Nenhum dado novo é coletado, ninguém novo recebe dados e o aplicativo Android continua sem enviar imagem. Versão 2.13, de 15/09/2026: a lista "O que não fazemos" dizia que as sugestões do aplicativo vêm de dois lugares, o que você já lançou e o aviso do seu banco, e passou a dizer os três: entrou a lista de palavras escrita por nós, que liga a descrição a uma categoria que você já tem, e, no que já foi lançado, um lançamento do mês anterior com valor e data parecidos. Ela passou a citar também o convite para cadastrar como despesa fixa uma conta que se repete todo mês, que abre o formulário preenchido e não cadastra nada até você salvar. Tudo continua calculado no aparelho: nenhum dado novo é coletado, ninguém novo recebe dados e nenhum prazo muda. As sugestões que você dispensou entraram na lista das preferências guardadas no navegador e no celular. Versão 2.12, de 15/09/2026: o cadastro com e-mail e senha, na web e no aplicativo Android, passou a pedir um telefone celular, opcional. A lista "Quais dados coletamos" ganhou o item, com a finalidade, que é falarmos com você sobre a sua conta, e nunca propaganda, ofertas ou comunicação comercial; a base legal, que é o seu consentimento, dado ao informar o número; o prazo; e o caminho para ver e apagar o número em Ajustes, que revoga o consentimento. O registro de consentimentos passou a incluir o do telefone. O resumo do início e a lista do que não fazemos deixaram de negar o telefone, e os atalhos para ver seus dados passaram a dizer onde ele aparece. Versão 2.11, de 14/09/2026: o plano Navegador passou a ser vendido também dentro do aplicativo Android instalado pela Google Play, com o pagamento processado pela Google Play, na conta Google, sem parcelamento. A assinatura dele deixou de ser negada como compra dentro do aplicativo: é a única que existe. Entraram no texto o que o aplicativo informa à Google Play na compra (o plano, a oferta e um código calculado a partir do identificador interno da conta, sem nome nem e-mail), o que o servidor aproveita da consulta da compra e guarda no registro da assinatura, pelo mesmo prazo fiscal, e os avisos da Google Play registrados para auditoria. A versão da Google Play pede uma sexta permissão, a de cobrança pela Google Play, e o botão Gerenciar na Google Play abre uma página do Google. Renovação, falta de pagamento, cancelamento e arrependimento ganharam as regras da Google Play: sem os 5 dias de tolerância, com a carência e a suspensão dela, cancelamento na Play Store, e a exclusão da conta pedindo à Google Play que pare de renovar. Versão 2.10, de 14/09/2026: a oferta anual de fundador ganhou um preço de lançamento no primeiro ano, e passou a ser a única oferta anual à venda. O primeiro ano e cada renovação podem ser pagos no Pix ou no cartão de crédito, à vista ou em até 12 vezes sem juros. A renovação do fundador deixou de ser cobrada sozinha: é paga no site, a partir de 30 dias antes do fim do ano pago, e o cartão não fica guardado para ela. Nenhum dado novo é coletado, e a Asaas recebe os mesmos dados da versão 2.9. Versão 2.9, de 13/09/2026: a seção "Planos e cobrança" passou a descrever a venda do plano Navegador pelo site, com o pagamento processado pela Asaas, em três ofertas: mensal, só com cartão, e anual e anual de fundador, com Pix ou cartão. Ela dizia que os dados do cartão não trafegavam pelos nossos servidores; com o formulário de cartão do próprio site, eles passam pelo nosso servidor só em memória, a caminho da Asaas, sem ser gravados nem registrados em log. Entraram no texto os dados que vão à Asaas (nome, CPF ou CNPJ, e-mail e, no cartão, os dados do titular, CEP, número do endereço, telefone e o endereço IP da compra), com as bases legais; o registro da assinatura e das cobranças que fica conosco, pelo prazo fiscal de cinco anos, também depois da exclusão da conta; a renovação automática, a tolerância de 5 dias, o congelamento de contas e cartões no Explorador e o direito de arrependimento. Hoje não é possível assinar pelas lojas de aplicativos, e o trecho sobre elas passou ao condicional. Entrou também o registro de atividade: a data e a hora da última abertura do aplicativo, uma para a web e outra para o Android, gravada sem IP, tela ou ação e apagada com a conta. Versão 2.8, de 13/09/2026: compartilhar passou a ser só por ambiente financeiro, em dois níveis — Ver e Ver e gravar —, e quem recebe vê o ambiente inteiro, inclusive o que for criado depois. Deixou de ser oferecido o compartilhamento de uma conta ou de um cartão isolado e o de todos os ambientes da família (versões antigas do aplicativo Android ainda o mostram até serem atualizadas); os acessos que existiam foram convertidos em acesso ao ambiente, com o maior nível que a pessoa tinha. Duas regras de guarda mudaram com isso: o convite a quem ainda não tem conta não tem mais validade, e passa a valer quando a pessoa se cadastrar com aquele e-mail; e remover alguém encerra o acesso mas mantém a linha com o e-mail, marcada como removida, para que um cadastro futuro não traga o acesso de volta — antes, remover da família apagava a linha. Quem foi convidado ganhou como sair do ambiente sozinho, e deixou de conseguir ler os e-mails das outras pessoas com acesso. Nenhum dado novo é coletado e nenhum fornecedor novo recebe dado. Versão 2.7, de 13/09/2026: o lançamento automático a partir dos avisos do banco passou a escolher a categoria primeiro pelo que você mesmo já fez — a categorização mais recente de um lançamento do mesmo lugar, seja ele digitado, importado de extrato ou criado a partir de um aviso — e só depois pelo nome da categoria. Duas coisas entraram com isso, e as duas ficam no seu aparelho: um resumo das categorias que você deu a cada fornecedor, guardado no celular só enquanto a leitura estiver autorizada e sem valor, conta ou saldo; e uma terceira finalidade para o nome do lugar da compra que a lista guarda — a de fazer a próxima compra no mesmo lugar sair com a categoria que ficou naquele lançamento, enquanto a linha estiver na lista. O nome continua sem sair do aparelho e não entra no resumo. Mesma autorização à parte no Android, mesmos cinco dados aproveitados do aviso, mesmo prazo, e nenhum fornecedor novo recebe dado. Versão 2.6, de 09/09/2026: a lista de aplicativos cujos avisos são observados no Android passou de seis para sete, com a entrada do BTG Pactual. Nada mais mudou: mesma finalidade, mesma autorização à parte no Android, mesmos cinco dados aproveitados do aviso, mesmo prazo, e o texto do aviso continua não sendo guardado. Nenhum fornecedor novo recebe dado — a leitura acontece no seu aparelho. A lista é nominal de propósito, e é por ela ser nominal que acrescentar um nome abre uma versão nova em vez de mudar a página em silêncio. Versão 2.5, de 07/09/2026: passou a descrever o logotipo que você pode enviar no cadastro do ambiente financeiro, na versão web — o que aceitamos, o limite de tamanho, que a imagem é redesenhada dentro do seu navegador antes de subir e por quanto tempo ela fica. É a primeira imagem que o aplicativo guarda por envio seu: até aqui a única imagem do produto era a foto do seu perfil, que vem da conta Google e da qual guardamos apenas o endereço. Nenhuma outra finalidade, nenhum fornecedor novo e nenhum prazo novo entraram com ela, e a imagem não é compartilhada com ninguém fora de quem já tem acesso ao ambiente. Versão 2.4, de 07/09/2026: o recurso de leitura dos avisos do banco passou a CRIAR O LANÇAMENTO SOZINHO, e este texto mudou junto, no mesmo dia. A versão 2.3 dizia que nada virava lançamento sem você confirmar; isso deixou de ser verdade e a frase saiu. Agora está escrito o que o aplicativo faz: cria o lançamento na hora, com categoria e subcategoria quando reconhece o lugar da compra e encontra no seu ambiente uma categoria com aquele nome, e com o campo em branco quando não encontra; não lança nos quatro casos em que errar seria plausível (aviso ilegível, estorno, cartão ou conta que não dá para identificar, suspeita de repetição); e a lista no aparelho deixou de ser uma fila de sugestões para ser o registro do que foi lido e do que foi feito. O que NÃO mudou: o texto do aviso continua sem ser guardado, o nome do lugar da compra continua sem sair do aparelho, e a descrição gravada no lançamento continua montada por nós, com os quatro dígitos do cartão como único pedaço vindo do aviso — e essa garantia ficou mais importante, não menos, porque agora ninguém confere antes. A base legal segue sendo o seu consentimento, e retirar a autorização no Android para a leitura no mesmo instante. Versão 2.3, de 06/09/2026: passou a descrever a leitura dos avisos do seu banco no Android — o que ela lê, quais seis aplicativos observa, por que a descrição gravada no lançamento é montada pelo aplicativo em vez de copiada do aviso, quanto tempo a sugestão espera no aparelho e como desligar; corrigiu a frase que dizia que as sugestões de preenchimento vinham só do que você mesmo já havia escrito, que deixou de ser verdadeira com esse recurso; e passou a dizer que a transferência para um aparelho novo é caminho separado do backup na nuvem. Esta é uma finalidade nova e depende da sua autorização: no Android, a leitura só acontece se você conceder o acesso a notificações, e ela para no momento em que você retirar esse acesso. Publicamos este texto antes de o recurso existir — no dia em que a versão 2.3 entrou no ar, nenhuma versão instalável do aplicativo sabia ler notificação. O aviso dentro do aplicativo entrou no ar antes de o recurso ficar disponível para instalar. Versão 2.2, de 05/09/2026: passou a descrever o nome que você dá a cada plástico do cartão — titular e adicionais —, o que guardamos de cada um e a inversão de papéis quando esse nome é de outra pessoa; e corrigiu a descrição do rótulo do portador, que antes dizia ser sempre um rótulo simples e pode conter o nome impresso no cartão. Versão 2.1, de 03/09/2026: o plano Navegador passou a ser declarado como plano pago, com as empresas que processam o pagamento nomeadas, o que fica registrado conosco, como cancelar e o prazo fiscal de cinco anos. Versão 2.0, de 02/09/2026: identificação do controlador por razão social e CNPJ; fornecedores nomeados um a um, com país; base legal declarada por finalidade; prazos de retenção com números, incluindo os que ainda não têm descarte automático; caminho de exclusão de conta na web; regime de agente de pequeno porte com prazos de 15 e 30 dias; e aviso sobre a cobrança futura do plano Navegador. Versão 1.0, de 01/09/2026: primeira versão conferida contra o que o produto realmente faz.
Em resumo: primeiro fale com a gente. Se não resolvermos, você pode reclamar à autoridade nacional — e isso é um direito seu, não um último recurso.
Assuntos do aplicativo e pedidos de titular: [email protected]. Assuntos da empresa: [email protected].
Controlador: R.E ENGINEERING SOFTWARE LTDA, CNPJ 66.033.113/0001-00, Condomínio Ville de Montagne, Quadra 21, Casa 05, Setor Habitacional Jardim Botânico, Brasília/DF, CEP 71.680-357.
Somos agente de tratamento de pequeno porte e, pelo artigo 11, §1º da Resolução CD/ANPD nº 2/2022, não temos obrigação de indicar um encarregado. O canal acima é o que cumpre a exigência do artigo 18.
Com a ANPD: a Autoridade Nacional de Proteção de Dados recebe petições de titulares contra controladores, como prevê o artigo 18, §1º da LGPD. O site é gov.br/anpd e o canal de atendimento é o Fala.BR, em falabr.cgu.gov.br.
Com o consumidor: você também pode procurar o Procon do seu estado ou o consumidor.gov.br.
Em resumo: sete palavras que aparecem nesta política e que quase ninguém é obrigado a saber de cabeça.
Titular: você, a pessoa de quem os dados falam.
Controlador: quem decide por que e como os dados são tratados. Aqui, é a R.E ENGINEERING SOFTWARE LTDA — exceto quando você escreve dado de outra pessoa nos seus lançamentos, caso em que o controlador passa a ser você.
Operador: quem trata dados por conta do controlador, seguindo as instruções dele. São os fornecedores da seção "Com quem seus dados são compartilhados".
Base legal: o motivo, previsto em lei, que autoriza tratar um dado. Sem base legal, o tratamento é proibido — não basta ser útil.
Dado pessoal sensível: dado sobre saúde, religião, opinião política, biometria, origem racial ou filiação sindical. Recebe proteção reforçada, pelo artigo 11.
Anonimização: transformar o dado de modo que ninguém mais consiga ligar aquilo a você. Dado realmente anônimo deixa de ser dado pessoal.
ANPD: Autoridade Nacional de Proteção de Dados, o órgão federal que fiscaliza a LGPD.
Carregando o Meu Mapa Financeiro…