Política de privacidade

O responsável pelo tratamento dos dados (controlador) é o Sync-Pocket. Qualquer pedido ou dúvida sobre privacidade vai para syncpocket.contact@gmail.com.

• Conta: seu e-mail e sua senha. A senha é guardada só em forma cifrada (hash) pelo serviço de autenticação; ninguém consegue lê-la.
• Perfil: o nome de exibição e a foto, se você puser uma (reduzida a 96 pixels; o arquivo original não é guardado).
• Seus dados financeiros: o que você lança ou importa — contas (nome, saldo inicial e, se você informar, agência e número), cartões (nome, bandeira, limite, datas de fechamento e vencimento e, se você informar, titular, validade e os 4 últimos dígitos), transações, categorias, transferências, faturas e recorrências. O número completo do cartão e o código de segurança nunca são pedidos nem guardados.
• Importação: o arquivo de extrato é lido no seu próprio aparelho e não é enviado. Vão para o servidor as transações geradas, o nome do arquivo e as linhas que o app não conseguiu interpretar, para você revisar depois.
• Convites: o e-mail das pessoas convidadas para o teste.
• Segurança: a data e a hora em que você usou “Sair de todos os aparelhos”.

Não coletamos localização, contatos, histórico de navegação nem dados de uso. O app não tem anúncios, rastreadores, ferramentas de estatística nem relatórios automáticos de erro.

Só para o app funcionar: entrar na sua conta, guardar seus lançamentos e mantê-los iguais em todos os seus aparelhos, enviar os códigos por e-mail, controlar os convites e manter cópias de segurança para recuperar os dados em caso de falha.

Seus dados não são vendidos, não são compartilhados para marketing e não são usados para publicidade, para traçar perfil de consumo nem para treinar inteligência artificial.

A base legal é a execução do serviço que você pediu ao criar a conta (LGPD, art. 7º, V) e, para as cópias de segurança e a proteção da conta, o legítimo interesse (art. 7º, IX).

O Sync-Pocket não tem servidor próprio. Usa estes serviços, cada um só para a sua função:

• Supabase — banco de dados e autenticação, em servidores em São Paulo.
• PowerSync — sincronização entre o servidor e os seus aparelhos, em servidores no Brasil.
• Backblaze — guarda as cópias de segurança, nos Estados Unidos. As cópias são cifradas antes de sair, e só o Sync-Pocket tem a chave para abri-las; a Backblaze guarda um arquivo que não consegue ler.
• GitHub — executa a rotina diária de cópia de segurança. Os dados passam pela máquina temporária da rotina, que é descartada ao final, e são cifrados antes de serem guardados.
• Google (Gmail) — envia os e-mails com os códigos de acesso.

A cópia de segurança nos Estados Unidos é uma transferência internacional de dados, protegida pela cifragem descrita acima (LGPD, art. 33).

Para funcionar sem internet, o app guarda no aparelho uma cópia dos dados da sua conta. No Android, essa cópia é cifrada pelo app e não entra no backup do sistema. No app do computador, ela também é cifrada pelo app, com uma chave guardada no cofre de senhas do sistema (Keychain, Windows ou chaveiro do Linux); sem esse cofre (Linux sem chaveiro) o app não cifra a cópia, e você deve proteger o disco com a criptografia do sistema (LUKS). No navegador, a cópia não é cifrada pelo app. Em todos, proteja o aparelho com senha, biometria ou bloqueio de tela.

Ao sair da conta, a cópia daquele aparelho é apagada. “Sair de todos os aparelhos”, em Meu perfil, apaga também a cópia dos outros aparelhos em que você entrou.

Nos outros aparelhos, a cópia é apagada quando o app deles se conecta e confirma a saída com o servidor; um aparelho desligado ou sem internet só é limpo na próxima conexão. Por isso, o que foi lançado nele e ainda não chegou ao servidor pode ser perdido nessa limpeza. Antes de usar “Sair de todos os aparelhos”, deixe os outros aparelhos conectados até enviarem tudo.

• Toda comunicação com o servidor é criptografada (HTTPS).
• Regras no próprio banco de dados garantem que cada conta só acessa os seus dados. Pelo app, quem administra o teste vê só a lista de convites. Fora do app, o responsável pelo Sync-Pocket, como dono do servidor e da chave das cópias de segurança, tem acesso técnico ao banco; ele só o usa para manter o serviço funcionando, corrigir falhas ou restaurar uma cópia, e nunca para consultar os dados de alguém sem que essa pessoa peça.
• Você pode travar o app com a digital, o bloqueio de tela do celular ou um PIN no computador (Meu perfil → Segurança).
• Você pode ligar a verificação em duas etapas, que pede um código do app autenticador além da senha ao entrar.
• As cópias de segurança são cifradas antes de sair da rotina que as gera.

Seus dados ficam guardados enquanto a sua conta existir. Você pode excluí-la a qualquer momento em Meu perfil → Excluir conta:

• no servidor, a conta fica suspensa na hora e é apagada definitivamente no 8º dia — lançamentos, perfil, convites e a própria conta; dá para cancelar até lá;
• no aparelho em que você excluiu, a cópia local é apagada junto;
• nas cópias de segurança, os dados somem conforme as cópias antigas são descartadas: as diárias em até 45 dias e as mensais em até 12 meses. Depois disso, não resta nada.

Se você usa a conta em mais de um aparelho, use “Sair de todos os aparelhos” antes de excluir, para apagar também a cópia guardada nos outros.

Pela LGPD (art. 18), você pode, a qualquer momento:

• confirmar se tratamos seus dados e ter acesso a eles;
• corrigir dados — o que você lançou se corrige no próprio app;
• excluir seus dados — direto no app, em Meu perfil → Excluir conta;
• receber uma cópia dos seus dados em formato aberto (portabilidade);
• saber com quem os dados são compartilhados (a lista está na seção 4);
• reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

Para o que não dá para fazer no app, escreva para syncpocket.contact@gmail.com usando o e-mail da sua conta. Respondemos em até 15 dias.

O Sync-Pocket é destinado a maiores de 18 anos.

Se esta política mudar, a data no topo muda junto, e mudanças importantes serão avisadas no app ou por e-mail antes de valer.