Política de privacidade

Quem é o responsável

O controlador do tratamento descrito aqui é Andrey Fedyukov, Mecumstraße 52, 40225 Düsseldorf, Alemanha.

Para qualquer dúvida sobre seus dados, escreva para [email protected]. Você também pode apresentar uma reclamação a uma autoridade de proteção de dados no país da UE onde mora.

O que guardamos

Dados da conta, se você criar uma: seu endereço de e-mail, os identificadores do método de login usado (Apple ou Google, se você entra assim) e os registros técnicos de horário das suas sessões.

O próprio livro: lançamentos, contas, categorias, lançamentos recorrentes, pagamentos previstos, orçamentos, configurações de moeda e as notas que você escreve. Se você compartilha um livro, os membros desse grupo e os códigos de convite dele.

Se você compra o Topf Plus: que a compra foi feita e até quando vale, o identificador anônimo que o serviço de compras atribui à sua instalação e, se você tiver conta, o vínculo entre os dois. Não o seu cartão, o seu ID Apple ou a sua conta Google: a loja guarda esses dados e não mostra nada disso para nós.

Se você usa a entrada por voz com uma conta: para cada mês civil, quantas entradas por voz bem-sucedidas foram atribuídas à sua conta, para que o limite em vigor possa ser aplicado — um limite mensal na versão gratuita e, com Plus, um teto que protege contra abuso. São guardados o mês civil, esse número e o momento da última alteração dele; a frase que você disse e os rascunhos gerados a partir dela não são guardados. Em um livro compartilhado, as entradas por voz de membros sem Plus próprio são atribuídas à conta do proprietário do grupo.

Se você usa o escaneamento de recibos com uma conta: para cada mês civil, quantos recibos foram lidos para a sua conta, para que o limite em vigor possa ser aplicado. Como na entrada por voz, são guardados o mês civil, esse número e o momento da última alteração dele; a foto do recibo e os rascunhos gerados a partir dela não são guardados. Em um livro compartilhado, os escaneamentos de membros sem Plus próprio são atribuídos à conta do proprietário do grupo.

Se você usa o Topf AI com uma conta: para cada mês civil, quantas perguntas foram contadas para a sua conta, para que o limite em vigor possa ser aplicado, e, enquanto uma pergunta é respondida, uma anotação de que ela foi contada, que expira após quinze minutos. As perguntas, as partes do seu livro enviadas com elas e as respostas não são guardadas. Em um livro compartilhado, as perguntas de membros sem Plus próprio são contadas para a conta do dono do grupo.

O registro automático, se você usa: em cada lançamento que ele registrou, de onde veio o pagamento (Apple Pay, uma notificação ou um SMS do banco), o nome do cartão como a Carteira o mostra, e se e em que mês o Topf o registrou sozinho; e a memória do livro, ou seja, que categoria um estabelecimento recebe e em que conta um cartão ou um banco é registrado. O rótulo do terminal de pagamento e o valor, como o Apple Pay os entrega, vão junto com o lançamento, então todos os dispositivos do livro e todos os membros de um livro compartilhado os veem. O texto de uma mensagem do banco fica no dispositivo que a recebeu. Com uma conta, para cada mês do calendário, quantos pagamentos o modelo leu para a sua conta, para que o limite aplicável possa ser cumprido.

Essa é a lista completa do que é guardado com uma conta. No app não há identificador de publicidade, impressão digital do dispositivo nem rastreamento de terceiros; as estatísticas de uso descritas abaixo não estão vinculadas à sua conta.

Usar o app sem conta

O Topf pode ser usado sem conta. Seu livro fica no dispositivo e não é enviado. A entrada por voz e o escaneamento de recibos precisam de internet e enviam dados quando usados. As compras do Plus passam pela App Store ou pelo Google Play e pelo serviço de compras. O app também envia estatísticas de uso anônimas, que você pode desativar. Os detalhes estão abaixo.

O registro automático também funciona sem conta; o que ele envia, e quando, está descrito abaixo.

O Topf AI precisa de uma conta, porque cada pergunta é contada para a conta que a faz.

Por que tratamos os dados e com que base

Para oferecer o produto que você escolheu usar: guardar seu livro, sincronizá-lo entre seus dispositivos e restaurá-lo em um novo. Base legal: execução de contrato (art. 6(1)(b) do GDPR).

Para você fazer login: envio do código de acesso para seu e-mail. Base legal: execução de contrato (art. 6(1)(b) do GDPR).

Para saber se você tem Plus: verificação da compra com o serviço de compras e registro do estado atual dela no nosso servidor. Base legal: execução de contrato (art. 6(1)(b) do GDPR).

Para aplicar os limites mensais de entradas por voz e de escaneamentos de recibos: contagem de ambos por mês civil, porque a versão gratuita inclui um número limitado deles. Base legal: execução de contrato (art. 6(1)(b) do GDPR).

Para aplicar o limite mensal de perguntas ao Topf AI: contamos as perguntas por mês civil, porque a versão gratuita inclui um número limitado delas. Base legal: execução de contrato (art. 6(1)(b) do RGPD).

Para entender como o app é usado e melhorá-lo: estatísticas de uso. Base legal: legítimo interesse (art. 6(1)(f) do GDPR).

Para manter o serviço funcionando e evitar abuso da entrada por voz e do escaneamento de recibos. Base legal: legítimo interesse (art. 6(1)(f) do GDPR).

Aplicar os limites do registro automático: contar, por mês do calendário, os pagamentos que o Topf registra sozinho e os que o modelo lê. Base legal: execução de contrato (art. 6(1)(b) do GDPR).

Onde os dados ficam

Uma cópia completa do seu livro fica no seu dispositivo, em um banco de dados local, e funciona ali sem internet.

Se você tiver conta, os mesmos dados ficam em um banco de dados PostgreSQL hospedado pela Supabase em Frankfurt, na Alemanha (AWS eu-central-1), e chegam aos seus dispositivos pelo serviço de sincronização PowerSync. O acesso é restrito por usuário com segurança em nível de linha (row-level security): uma conta lê o próprio livro e, se fizer parte de um livro compartilhado, esse livro.

Entrada por voz

Na entrada por voz, sua frase normalmente é transcrita pelo serviço de reconhecimento de fala do dispositivo. No iPhone, é o da Apple; no Android, é o serviço escolhido no sistema, em geral o do Google. Ele pode funcionar no próprio dispositivo ou nos servidores do fornecedor, conforme os termos dele. Só o texto resultante vai para o nosso servidor, junto com o contexto necessário para entendê-lo: o idioma da interface, a data de hoje, seu fuso horário, sua moeda principal e os nomes das suas contas e categorias ativas.

Esse texto é enviado à OpenAI, que o transforma em rascunhos de lançamentos. Os rascunhos voltam ao seu dispositivo e são mostrados a você; nada é gravado no livro até você confirmar.

Quando o reconhecimento do dispositivo não está disponível, a própria gravação é enviada e transcrita pelo mesmo fornecedor. Nos dois casos, o áudio e o texto passam apenas pela memória da nossa função e não são guardados por nós — nem no banco de dados, nem em arquivo, nem em log. Se você usa uma conta, uma entrada bem-sucedida apenas soma um ao número mensal descrito acima.

A OpenAI trata esses dados sob nossas instruções, como operadora. A API é usada com a configuração que exclui os dados enviados do treinamento de modelos; para monitorar abusos, o fornecedor pode guardar a solicitação e a respectiva resposta por até 30 dias, ou por mais tempo se a lei exigir ou se isso for razoavelmente necessário para proteger os próprios serviços ou terceiros contra danos. Não dite nada que você não queira que uma operadora veja.

Escaneamento de recibos

Para escanear um recibo, você o fotografa no app ou escolhe uma imagem entre as suas fotos; o app recebe só a foto que você escolhe. Antes de sair do seu dispositivo, a foto é reduzida e salva de novo sem os metadados, como o local e o momento em que foi tirada. Nada é enviado até você permitir no app, e você pode retirar essa permissão a qualquer momento em Configurações → Privacidade.

A foto vai para o nosso servidor junto com o contexto necessário para lê-la: o idioma da interface, a data de hoje, o seu fuso horário, a sua moeda principal e os nomes das suas categorias de despesas. De lá ela passa para a OpenAI, que lê o recibo e o transforma em rascunhos de lançamentos. Os rascunhos voltam para o seu dispositivo e são mostrados a você; nada é gravado no seu livro até você confirmar.

Com a foto vai tudo o que está impresso no recibo: se o seu nome, endereço ou e-mail aparecem nele, a OpenAI também os recebe. A foto passa pela nossa função na memória e não é guardada por nós, nem no banco de dados, nem em arquivo, nem em log. Se você usa uma conta, um recibo lido aumenta em um o número mensal de escaneamentos; uma foto da qual nada pôde ser lido não conta.

A OpenAI trata esses dados como operadora, sob nossas instruções. As configurações e os prazos de retenção para monitorar abusos são os mesmos da entrada por voz. Não escaneie nada que você não queira que uma operadora veja.

Registro automático

O registro automático funciona por meio de uma automação pessoal que você configura no app Atalhos da Apple no iPhone: quando você paga com Apple Pay, ou o seu banco envia uma notificação ou um SMS, a automação entrega o pagamento ao Topf. O próprio Topf não consegue ler a sua Carteira, as suas mensagens nem as notificações de outros apps; ele recebe só o que a sua automação repassa, e primeiro salva isso no seu dispositivo.

Um pagamento com Apple Pay em um estabelecimento que o Topf já conhece é registrado no seu dispositivo pela memória do seu livro, sem enviar nada para leitura. Para um estabelecimento novo do Apple Pay, e para toda mensagem do banco, conhecido ou não o estabelecimento, o pagamento vai para o nosso servidor com o contexto necessário para lê-lo: o nome do estabelecimento e o valor como o Apple Pay os fornece, ou o texto da mensagem exatamente como o seu banco o escreveu, além do idioma da interface, da data e hora de chegada do pagamento, do seu fuso horário, da sua moeda principal e dos nomes das suas categorias. De lá, ele é repassado à OpenAI, que lê o valor e o estabelecimento e escolhe uma categoria.

Uma mensagem do banco pode conter o seu saldo ou os últimos dígitos de um cartão; isso também é enviado, porque o texto vai como o banco o escreveu. Ele passa pela nossa função em memória e não é guardado nos nossos servidores. Nada é enviado à OpenAI até você permitir no app; com “Sem a OpenAI”, nada é enviado à OpenAI, e você pode retirar a permissão a qualquer momento em Configurações → Privacidade.

A OpenAI trata esses dados sob nossas instruções, como operadora, com as mesmas configurações e a mesma retenção para monitoramento de abuso da entrada por voz.

Topf AI

O Topf AI responde perguntas sobre o seu dinheiro com base no seu livro. Ele só funciona com uma conta, e nada é enviado antes que você permita no app; essa permissão fica no seu dispositivo. Você pode retirá-la a qualquer momento em Configurações → Privacidade.

A cada pergunta, nosso servidor envia à OpenAI a sua pergunta, o idioma do app, a data de hoje, o seu fuso horário, a sua moeda principal e os nomes das suas contas e categorias. Para responder, o modelo pede ao app o que precisa; o app procura isso no livro do seu dispositivo e devolve só isso: os lançamentos encontrados com data, valor, categoria, conta e nota, totais por categoria, mês ou conta, os saldos das suas contas, os seus orçamentos do período atual e os seus lançamentos recorrentes. A conversa até ali acompanha cada etapa da resposta. O seu e-mail e o identificador da sua conta não são enviados à OpenAI.

Uma pergunta feita por voz é gravada no seu dispositivo, enviada ao nosso servidor, transcrita pela OpenAI e devolvida como texto. Um recibo adicionado no Topf AI segue o caminho do escaneamento de recibos descrito acima e não é mostrado ao modelo. O Topf AI não muda nada no seu livro por conta própria: rascunhos de lançamentos e mudanças em categorias, contas, orçamentos e lançamentos recorrentes só são gravados quando você os confirma.

Perguntas, gravações, as partes do seu livro enviadas com elas e as respostas passam pela nossa função em memória e não são guardadas por nós; a conversa fica no app até você começar outra ou fechar o app. Se você usa uma conta, uma pergunta aumenta em um o contador mensal descrito acima, não importa quantas etapas a resposta leve. A OpenAI trata esses dados como operadora, sob nossas instruções, com as mesmas configurações e os mesmos prazos de retenção para monitorar abusos da entrada por voz. Não pergunte nada que você não queira que uma operadora veja.

E-mail

Os códigos de acesso são enviados pelo Amazon Simple Email Service (AWS, Frankfurt, Alemanha). O serviço recebe seu endereço de e-mail para entregar a mensagem. Não enviamos e-mails de marketing e não há lista de e-mails.

Taxas de câmbio

As taxas de câmbio diárias vêm do serviço público api.frankfurter.dev. A consulta é feita uma vez por dia pelo nosso servidor, para todo mundo, e não pelo seu dispositivo — então usar várias moedas não conta nada sobre você a esse serviço.

Compras

O Topf Plus é comprado na App Store da Apple no iPhone e no Google Play no Android, com ou sem conta. O pagamento, seu cartão e seu ID Apple ou sua conta Google ficam com a loja; nós nunca os vemos. A Apple e o Google tratam a compra como controladores independentes, conforme as próprias políticas de privacidade. A RevenueCat (RevenueCat, Inc., EUA) recebe o comprovante de compra da loja (o recibo da App Store ou o token de compra do Google Play), um identificador anônimo da sua instalação e, se você tiver conta, o identificador dela, e informa ao app e ao nosso servidor se o Plus está ativo e até quando. A RevenueCat trata esses dados sob nossas instruções, como operadora; a transferência para os EUA se baseia nas cláusulas contratuais padrão da UE.

Estatísticas de uso

Para entender onde as pessoas se perdem e o que melhorar, o app envia estatísticas de uso à PostHog (PostHog Inc., EUA; os dados ficam na UE, em Frankfurt): como o app é usado — quais telas são abertas e quais ações são feitas nele. Cada evento leva a versão do app, o sistema operacional e sua versão, o idioma, o fuso horário e um identificador aleatório da instalação.

Nunca são enviados valores, notas, nomes de contas e categorias, o que você disse, seu endereço de e-mail nem o identificador da sua conta. O endereço IP é descartado e não é usado para determinar sua localização. As estatísticas não estão vinculadas à sua conta; depois de reinstalar o app, o identificador da instalação passa a ser outro. O envio pode ser desativado no app: Configurações → Privacidade → Estatísticas de uso.

Base legal: nosso legítimo interesse em melhorar o app (art. 6(1)(f) do GDPR). A PostHog trata esses dados sob nossas instruções, como operadora; a transferência para os EUA se baseia nas cláusulas contratuais padrão da UE. Os eventos ficam disponíveis para análise por um ano; os mais antigos deixam de aparecer nos relatórios, mas a PostHog pode guardá-los em seu arquivo. Como as estatísticas não estão vinculadas a você, não conseguimos identificar nem excluir os eventos de uma instalação específica.

Este site

O site é hospedado no Cloudflare Pages. Ele não tem formulários, cookies, ferramentas de análise nem conteúdo de terceiros incorporado. Só a página inicial lê os idiomas configurados no seu navegador, para abrir em um deles, e nada disso é guardado. A Cloudflare trata os dados técnicos que qualquer servidor web vê — seu endereço IP, o endereço solicitado, o user agent — para entregar a página e proteger o serviço.

Quem mais vê os dados

Apenas as operadoras citadas acima, cada uma para a única tarefa que executa:

• Supabase — hospedagem do banco de dados e do serviço de login;
• PowerSync — sincronização entre o banco de dados e seus dispositivos;
• OpenAI — transformação de uma frase falada, da foto de um recibo ou de uma mensagem de pagamento em rascunhos e categorias e respostas a perguntas sobre o seu livro no Topf AI;
• Amazon Web Services — entrega de e-mails e infraestrutura em que o banco de dados roda;
• RevenueCat — processamento das compras no app e estado do seu acesso ao Plus;
• PostHog — estatísticas de uso do app;
• Cloudflare — hospedagem deste site e do domínio.

Asseguramos que os terceiros com quem compartilhamos dados de usuários os protejam no mesmo nível ou em nível equivalente ao descrito nesta política de privacidade e exigido pelos requisitos de proteção de dados aplicáveis ao nosso app.

Seus dados não são vendidos, alugados, compartilhados com anunciantes nem usados para treinar modelos de ninguém.

Por quanto tempo guardamos

Enquanto sua conta existir. Excluir a conta apaga o livro no servidor; uma cópia já sincronizada nos seus próprios dispositivos some quando você sai da conta ou remove o app.

Um lançamento que você exclui no app some na hora do livro e de todos os totais; logo depois, ainda dá para desfazer a exclusão. No servidor, ele fica guardado, marcado como excluído, até você excluir sua conta.

Seus direitos

Pelo GDPR, você tem direito de acesso, retificação, exclusão, limitação do tratamento e portabilidade dos dados, além do direito de se opor a um tratamento baseado em legítimo interesse.

A exclusão está no próprio app: Configurações → Conta → Excluir conta apaga seus dados no servidor e, se você entra com a Apple, revoga também essa autorização. Para qualquer outra coisa, escreva para [email protected].

Crianças

O Topf não é voltado a crianças e não se destina a menores de 16 anos.

Alterações

Quando esta política muda, a data no topo muda junto. Uma alteração que afete de forma relevante o tratamento dos seus dados será anunciada no app antes de entrar em vigor.