Política de Privacidade — Pixify

Versão: 1.5
Data de elaboração: 11 de agosto de 2026
Revisão desta versão: 27 de agosto de 2026
Vigência: a partir da publicação em https://pixify.com.br/privacidade. A data efetiva fica registrada no item 18 no momento em que a publicação ocorrer — datar hoje um texto que ainda não está acessível declararia vigente um documento que ninguém teve como ler.

⚠️ RASCUNHO — EXIGE REVISÃO POR ADVOGADO(A) HABILITADO(A) ANTES DA PUBLICAÇÃO.
Este documento foi elaborado a partir da leitura do código-fonte do Pixify (submódulos api e mobile) e descreve o tratamento de dados efetivamente realizado pelo sistema na versão 1.4.0. Não substitui parecer jurídico profissional. Publicar sem revisão é risco assumido.

✅ A exclusão de conta descrita nos itens 5.5, 9.1 a 9.4 e 10.2 está integrada e em produção desde 11 de agosto de 2026 (servidor e aplicativo). O bloqueio de publicação que existia por esse motivo na versão 1.1 deixou de existir. As afirmações desses itens foram reconferidas contra o código integrado nesta revisão.

✅ O canal de exercício de direitos foi definido na revisão de 24 de agosto de 2026: [email protected], caixa da própria controladora, em funcionamento. Ele substitui o endereço [email protected], que nunca chegou a existir — anunciar caixa que não recebe mensagem seria descumprir o art. 18, § 1º, no ato da publicação. O bloqueio que existia por esse motivo deixou de existir.

✅ A apuração de infraestrutura foi concluída em 24 de agosto de 2026 e está refletida nesta versão. Ela confirmou o que já era favorável — o serviço de transcrição e de linguagem roda em servidor próprio, sem envio de áudio a provedor externo (itens 7.1 e 8) — e revelou o que não era: não há criptografia do banco de dados em repouso, não há rotina de cópia de segurança, não há registro individualizado de auditoria do acesso administrativo ao banco e não há rotina que elimine por prazo os registros de operação do servidor. Tudo isso está declarado nos itens 5.5 e 11, sem eufemismo. A apuração deixou de ser bloqueio de publicação; as ausências que ela revelou passaram a ser risco declarado.

✅ A localização do servidor foi confirmada em 26 de agosto de 2026, diretamente pela controladora. O servidor que hospeda a interface de serviço, o banco de dados e o serviço de linguagem está no Brasil, em Brasília/DF. Não há transferência internacional nessas três frentes — a pendência que existia no item 8 desde a versão 1.4 deixou de existir.

🔴 A publicação continua bloqueada por um motivo: a revisão por advogado(a) habilitado(a), ainda não realizada.

⚠️ Uma confirmação continua em aberto e permanece marcada no texto, porque não depende de leitura de código: o prazo de conservação dos registros pelo serviço de distribuição do aplicativo e a existência de contrato de tratamento de dados com ele (item 7.2) — dependem do fornecedor, não do nosso código. A confirmação sobre a localização do servidor, que também estava em aberto, foi obtida em 26/08/2026 e está refletida no item 8 — deixou de ser pendência.

⚠️ Há pendências de produto que esta Política não pode resolver com texto. Elas estão listadas no documento levantamento-tratamento-dados.md, seção 12. As mais relevantes: o assistente por voz foi retirado do aplicativo (issue #89), não há alteração de senha com sessão ativa, não há correção dos dados de cadastro dentro do aplicativo, não há rotina automática que elimine por prazo os registros do assistente e os relatórios de erro (item 9.2) e o apagamento definitivo ao fim da carência depende de rotina operacional ainda não agendada (item 9.3).

1. Quem somos e quem é o controlador

O Pixify é um aplicativo de organização financeira pessoal, disponível para iOS, Android e navegador.

Controlador dos dados pessoais:

• Razão social: DERRICO Soluções em TI & IA Ltda.
• CNPJ: 41.214.987/0001-24
• Endereço: SAUS Quadra 01, Bloco M, Sala 907, Edifício Libertas, Brasília/DF, CEP 70070-935
• Site: https://pixify.com.br

2. Encarregado pelo tratamento de dados pessoais (DPO)

• Encarregada: DERRICO Soluções em TI & IA Ltda., CNPJ 41.214.987/0001-24. A função de encarregado é exercida pela própria controladora — o art. 5º, VIII, da LGPD fala em "pessoa indicada", sem exigir que seja pessoa natural.
• Canal de contato para o exercício de direitos: [email protected]
• Endereço: SAUS Quadra 01, Bloco M, Sala 907, Edifício Libertas, Brasília/DF, CEP 70070-935

É por esse canal que você fala conosco sobre qualquer assunto de proteção de dados, apresenta reclamação e exerce os direitos do art. 18 — é a atividade que o art. 41, § 2º, I, da LGPD atribui ao encarregado. A caixa está em funcionamento e é atendida pela controladora. A identidade e o contato acima cumprem o dever de divulgação do art. 41, § 1º.

ℹ️ Por que o endereço é do domínio da controladora. Uma caixa @pixify.com.br ainda não existe, e anunciar endereço que não recebe mensagem é pior do que não anunciar nenhum: transformaria esta Política em descumprimento no instante da publicação. Quando as caixas do domínio próprio entrarem no ar, o endereço será substituído aqui, com registro no item 18. Até lá, o canal válido — e o único que anunciamos — é o acima.

3. A que se aplica esta Política

Aplica-se ao aplicativo Pixify, ao site pixify.com.br e à interface de programação (API) que os sustenta. Não se aplica a serviços de terceiros que você acesse a partir do Pixify, nem às lojas de aplicativos (Apple App Store e Google Play), que possuem políticas próprias.

4. Princípio que orienta o Pixify

O Pixify coleta o mínimo necessário para funcionar. Concretamente:

• não pedimos CPF, telefone, endereço, data de nascimento nem documento;
• não acessamos sua conta bancária, seu cartão nem seu extrato — não há integração com Open Finance ou com qualquer instituição financeira. Todo valor que aparece no app foi informado por você;
• não usamos publicidade, nem rastreamento, nem perfilamento comportamental — não há qualquer ferramenta de anúncio, atribuição ou análise de terceiros embarcada no aplicativo;
• não vendemos, alugamos nem cedemos seus dados a ninguém.

5. Quais dados coletamos, para quê e com qual base legal

5.1. Dados de conta e acesso

5.2. Dados financeiros que você registra

Todos são informados por você, manualmente ou por comando de voz:

⚠️ Sobre campos de texto livre: descrição de lançamento, título de conta a pagar e o que você fala ao assistente são campos abertos. Evite escrever ou falar informação sensível — dado de saúde, convicção religiosa, opinião política ou orientação sexual. O Pixify não solicita esse tipo de informação e não a utiliza, mas se você a inserir, ela ficará gravada junto com o restante do registro.

5.3. Assistente por voz

Na versão atual, o assistente por voz foi retirado do aplicativo e nenhum áudio é gravado ou transmitido. Além de não haver ponto de acionamento na interface, os componentes de captura e de reprodução de áudio foram removidos do aplicativo, e ele não declara nem solicita permissão de microfone — nem no iOS, nem no Android. As informações abaixo descrevem o tratamento que passará a ocorrer se o recurso for reativado, e permanecem relevantes por causa dos registros de uso anterior que ainda existem.

Quando você usa o comando de voz:

Detalhes de para onde esses dados vão estão no item 7.1 — leia esse item, ele é o mais importante desta Política.

Na versão atual o aplicativo não pede permissão de microfone em momento algum, porque não há captura de áudio. Se o recurso for reativado, a permissão será solicitada apenas quando você acionar o assistente: o Pixify não grava áudio em segundo plano, não escuta continuamente e não ativa o microfone sem sua ação.

5.4. Dados de diagnóstico (falhas do aplicativo)

Quando o aplicativo encontra um erro, ele envia um relatório técnico para o nosso servidor, contendo: a mensagem de erro montada localmente (método, código de resposta e caminho acessado), o rastro da pilha de execução, o arquivo, a linha e a função onde ocorreu o erro, o método e o caminho HTTP, o código de resposta, o corpo da requisição que falhou e o contexto da tela.

• Base legal: art. 7º, IX — legítimo interesse em manter o serviço funcionando e seguro.
• Proteções aplicadas antes do envio: valores de campos de senha, token, segredo e credencial são substituídos por [REDACTED]; formulários com arquivos são descartados por inteiro; requisições de leitura (GET) nunca têm o corpo enviado.
• ⚠️ Transparência devida: essa proteção cobre credenciais, mas não cobre campos financeiros nem o endereço de e-mail digitado. Se a criação de um lançamento ou o cadastro falharem, o relatório pode conter o valor, a descrição ou o e-mail que você digitou. Estamos cientes disso e é uma correção pendente.
• Quando você está com sessão aberta, o relatório é vinculado à sua conta. Quando não está, é registrado sem identificação.
• Uma fila local de até 50 relatórios é mantida no seu aparelho quando você está sem conexão, e enviada quando a conexão volta.

5.5. Endereço IP

Seu endereço IP é usado para limitar tentativas de login, cadastro, recuperação de senha e envio de relatório de erro — proteção contra ataques de força bruta e contra descoberta de quais e-mails têm conta.

• Base legal: art. 7º, IX — legítimo interesse em segurança.
• Para a limitação de tentativas, o IP é mantido apenas na memória do servidor, pelo tempo da janela de contagem (entre 5 e 15 minutos), e não é gravado no banco de dados.
• Exceção — exclusão de conta. Quando você solicita a exclusão da sua conta, registramos em um livro de auditoria a data, a hora e o endereço IP de onde o pedido partiu. O mesmo acontece quando o pedido é recusado por senha incorreta — é assim que conseguimos perceber alguém tentando destruir a conta de outra pessoa. Esse registro é gravado no banco de dados e sobrevive ao apagamento da conta, por desenho: ele é a prova de que a exclusão foi pedida por você e efetivamente cumprida. Sem ele, não teríamos como demonstrar — a você, à ANPD ou a um juiz — que o pedido foi atendido. Base legal: art. 7º, II (cumprimento de obrigação legal) e art. 7º, IX (legítimo interesse em segurança, no caso da tentativa recusada), combinados com o art. 16, I, da LGPD — conservação necessária ao cumprimento de obrigação legal e à comprovação do atendimento do direito exercido. Esse registro não contém seus lançamentos, saldos, senha ou o seu e-mail em texto legível — veja o item 9.4.
• Registros de operação do servidor — o seu IP aparece neles, e é preciso separar dois conjuntos, porque não guardam a mesma coisa. Nos registros da própria aplicação, o endereço que consta é o do componente interno que encaminha o tráfego, não o seu. Já nos registros do servidor que recebe as conexões antes da aplicação consta o seu endereço IP, acompanhado do país de origem inferido a partir dele. Base legal: art. 7º, II, da LGPD — cumprimento de obrigação legal, à vista do art. 15 da Lei 12.965/2014 (Marco Civil da Internet), que obriga o provedor de aplicações a guardar os registros de acesso por seis meses —, combinado com o art. 7º, IX (legítimo interesse em segurança). Guarda por prazo maior só ocorre mediante requisição de autoridade competente (art. 15, § 2º).
• ⚠️ Sobre esses registros, dizemos com todas as letras o que ainda não acontece: não existe hoje rotina que os elimine por prazo. Nenhuma configuração nossa define descarte automático, rodízio de arquivo ou limite de volume — na prática, eles permanecem conservados até serem removidos por ação da nossa equipe. Os seis meses acima são o prazo mínimo de guarda que a lei nos impõe, e não um prazo de eliminação que já esteja sendo cumprido por nós; afirmar o contrário seria descrever uma rotina que não existe. Definir e implantar essa política de descarte é pendência reconhecida e está prevista. Não anunciamos data, porque não firmamos prazo que ainda não temos como cumprir. Quando ela existir, esta Política será atualizada, com registro no item 18.

5.6. Dados que ficam somente no seu aparelho

Não são enviados aos nossos servidores e nós não temos acesso a eles:

• orçamento mensal por categoria;
• metas financeiras (título, valor-alvo, valor acumulado, prazo);
• histórico de patrimônio — até 12 registros mensais;
• suas credenciais de sessão — no aplicativo instalado (iOS e Android), guardadas no cofre seguro do sistema operacional (Keychain no iOS, Keystore no Android); na versão acessada pelo navegador, guardadas no armazenamento local do próprio navegador (veja o item 11);
• sua preferência de desbloqueio por biometria;
• a marcação de que você já viu a apresentação inicial.

⚠️ Consequência prática: por não estarem em nossos servidores, esses dados não são recuperáveis por nós, não são exportáveis pela nossa API e são perdidos se você desinstalar o aplicativo, trocar de aparelho ou limpar os dados do app.

5.7. Biometria — esclarecimento importante

O Pixify permite bloquear o acesso por impressão digital ou reconhecimento facial. Essa verificação é feita inteiramente pelo seu aparelho, pelo sistema operacional.

O Pixify não coleta, não recebe, não transmite e não armazena qualquer dado biométrico. O único registro que guardamos no seu aparelho é a indicação de que você ativou o recurso. Por isso, não há tratamento de dado pessoal sensível nos termos do art. 11 da LGPD.

5.8. Notificações

Os lembretes de contas a vencer são agendados e disparados pelo próprio aparelho. Não usamos notificação remota e não coletamos identificador de notificação (push token).

⚠️ O texto do lembrete inclui o título e o valor da conta, e pode aparecer na tela de bloqueio. Se preferir que isso não ocorra, ajuste a exibição de notificações nas configurações do seu aparelho ou desative o recurso.

6. O que não coletamos

Para não deixar dúvida: não coletamos CPF, CNPJ, RG, telefone, endereço, data de nascimento, gênero, fotografia, documentos, sua agenda de contatos, sua localização por GPS, seus arquivos, seu histórico de navegação, seu histórico de compras nem nenhum identificador de publicidade. Não usamos câmera. Não há qualquer forma de rastreamento entre aplicativos ou sites.

⚠️ Uma ressalva honesta sobre localização. O aplicativo não pede e não usa a permissão de localização — não há GPS, nem rastreamento de posição. Mas todo acesso à internet revela o seu endereço IP, e dele se infere a sua região aproximada. Esse país de origem inferido consta dos registros de operação do servidor (item 5.5) e é visível aos serviços descritos nos itens 7.2 e 7.3. Não usamos essa informação para localizar você, para direcionar conteúdo nem para publicidade — mas ela existe, e omiti-la seria falso.

⚠️ Uma ressalva honesta sobre identificador de dispositivo. O Pixify não coleta identificador de dispositivo para nenhuma finalidade própria. O serviço de distribuição de atualizações (Expo) gera, no seu aparelho, um identificador sorteado aleatoriamente na primeira execução e depois gravado de forma permanente no aparelho, retransmitido a ele a cada verificação de atualização, exclusivamente para entregar a versão correta do aplicativo — veja o item 7.2. Ele é permanente enquanto o aplicativo estiver instalado, e por isso o declaramos como dado pessoal. Esse identificador não é vinculado por nós à sua conta, não é usado para publicidade e não permite rastreamento entre aplicativos.

7. Com quem compartilhamos

Não vendemos, não alugamos e não cedemos seus dados. O compartilhamento se limita ao estritamente necessário para o serviço funcionar:

7.1. Serviço de processamento de linguagem (assistente por voz) — leia com atenção

Para transformar sua fala em uma ação, o Pixify utiliza um serviço de transcrição e de processamento de linguagem que roda em servidor da própria controladora, alcançado apenas por rede privada e protegido por autenticação. Não é uma interface pública de terceiro — o áudio e o texto do seu comando não são enviados a OpenAI, Google, Amazon, Microsoft, Meta ou qualquer provedor externo de inteligência artificial.

✅ Isto foi conferido na apuração de infraestrutura de 24 de agosto de 2026, e o resultado é o melhor possível para você: a conversão da fala em texto é executada no próprio servidor, por programas de reconhecimento de voz instalados nele, sem que o áudio saia dessa máquina em nenhum momento. Não há chamada a serviço de transcrição de terceiro, nem gratuita nem paga.

O que é enviado a esse serviço, a cada comando de voz:

1. O arquivo de áudio que você gravou;
2. A transcrição integral do que você falou — que pode conter valores, nomes de estabelecimentos, nomes de credores e qualquer outra coisa dita por você;
3. A lista completa dos nomes e tipos das suas categorias;
4. A lista completa dos apelidos e tipos das suas contas (por exemplo: "Nubank — conta corrente", "Reserva — poupança"), e qual delas é a padrão;
5. A data corrente.

O que NÃO é enviado a esse serviço:

• os saldos das suas contas;
• o seu histórico de lançamentos;
• a sua lista de contas a pagar e a receber;
• o seu e-mail, o seu nome, a sua senha ou os seus tokens de sessão.

Para que esses dados são usados: exclusivamente para interpretar o seu comando e devolver a ação pretendida. A execução do comando — criar o lançamento, consultar o saldo, marcar a conta como paga — acontece no servidor do Pixify, não no serviço de linguagem. O saldo que o assistente informa é calculado por nós e nunca sai para ele.

O que fica guardado no Pixify: a transcrição do que você falou, a interpretação do comando e o resultado. O resultado pode conter dados financeiros — uma consulta de saldo, por exemplo, guarda o saldo de cada conta no momento da consulta. O arquivo de áudio não é gravado no nosso banco de dados. Na versão atual não existe áudio algum: a captação foi removida do aplicativo (item 5.3), de modo que nenhum arquivo é gerado, transmitido ou conservado em lugar nenhum.

✅ E o serviço de transcrição também não guarda áudio. A apuração de 24 de agosto de 2026 verificou que ele não possui área de armazenamento de gravações: o único espaço em disco que ele mantém é o dos próprios programas de reconhecimento de voz. O áudio é recebido, convertido em texto e descartado. Era esta a informação que faltava neste item, e ela agora está escrita aqui.

Resposta falada — não ocorre na versão atual. O componente que lia a resposta do assistente em voz alta foi removido do aplicativo junto com o restante do recurso de voz. Se ele voltar: a mensagem do assistente passa a ser lida pelo mecanismo de voz do seu próprio aparelho e pode conter saldos e valores; dependendo do fabricante e das configurações do aparelho, esse mecanismo pode processar o texto na nuvem do fabricante — comportamento que está fora do nosso controle. Nesse cenário, evite usar o assistente em local público se não quiser que seus valores sejam ouvidos.

7.2. Serviço de distribuição e atualização do aplicativo

O aplicativo verifica atualizações junto ao Expo Application Services (u.expo.dev), empresa sediada nos Estados Unidos. Nessa verificação são transmitidos:

1. Dados técnicos do aplicativo e do aparelho: o sistema operacional (iOS ou Android), a versão do protocolo de atualização, a versão da interface de programação, o ambiente de execução, o canal de distribuição em que a sua instalação está inscrita e a versão do aplicativo instalada;
2. Um identificador permanente da instalação (EAS-Client-ID): ele é sorteado aleatoriamente pelo próprio aparelho na primeira execução e gravado nele em caráter permanente, sendo retransmitido a cada nova verificação. Identifica a instalação do aplicativo, não você — é um número sorteado, sem relação com o seu nome, o seu e-mail ou a sua conta, e nós não o vinculamos ao seu cadastro. Ainda assim, por ser estável ao longo do tempo, nós o tratamos como dado pessoal e é por isso que ele está declarado aqui;
3. A mensagem técnica do último erro grave, quando houver — se a versão anterior do aplicativo travou de forma irrecuperável no seu aparelho, o texto técnico dessa falha (limitado a 1.024 caracteres) é enviado junto com a próxima verificação de atualização, para que uma versão corrigida possa ser entregue. É uma mensagem de erro de programação, não um relato do seu uso;
4. O seu endereço IP, que acompanha inevitavelmente qualquer conexão feita pelo aparelho a esse serviço, como acontece em qualquer acesso à internet. Ele é visível para o fornecedor e permite inferir a sua região aproximada.

Nenhum dado financeiro, nenhuma credencial e nenhuma informação de conta são enviados nessa comunicação. Seus lançamentos, saldos, e-mail, nome, senha e tokens de sessão não trafegam para o Expo.

⚠️ Duas informações sobre esse fornecedor nós não temos, e não vamos escrever que temos. A apuração de 24 de agosto de 2026 conferiu no código, um a um, todos os dados que saem do seu aparelho — a lista acima é exata e completa. Mas ela não alcançou, e não tinha como alcançar, o que acontece do lado de lá: por quanto tempo o fornecedor conserva esses registros e se existe contrato de tratamento de dados firmado entre nós e ele. Nenhum dos dois pode ser extraído do nosso código, e nenhum dos dois foi obtido até esta revisão.

Dito sem rodeio, porque você tem o direito de saber: uma empresa sediada no exterior recebe dado pessoal seu — técnico, jamais financeiro — e não localizamos, até aqui, contrato de tratamento de dados celebrado com ela. Estamos tratando disso junto ao fornecedor; o resultado será declarado neste item, com registro no item 18. Enquanto não for, a pendência fica escrita aqui, e não escondida.

Nota jurídica sobre o enquadramento desta transferência. A base legal aplicável — art. 33, IX da LGPD, transferência necessária à execução do contrato — está corretamente identificada e permanece válida com ou sem o contrato de tratamento de dados firmado: decorre de uma característica técnica do framework de desenvolvimento utilizado no aplicativo, não de uma decisão da controladora de atuar no exterior. Essa distinção, porém, não neutraliza a exigência autônoma de instrumento formal com o operador estrangeiro. A ausência desse contrato é falha de conformidade separada da legitimidade da transferência em si, apurável pela Autoridade Nacional de Proteção de Dados independentemente de qualquer questionamento sobre a base legal adotada (art. 39, parágrafo único, e art. 42 da LGPD tratam solidariamente controlador e operador; a ausência de instrumento formal dificulta a demonstração do dever de prestação de contas do art. 6º, X). Enquanto o contrato não existir, esta transferência opera sob risco jurídico ativo, não sob mera lacuna documental a ser preenchida em ritmo próprio.

[A DEFINIR — depende de terceiro: prazo de conservação desses registros pelo Expo Application Services e existência de acordo de tratamento de dados firmado com a empresa. Nenhum dos dois pode ser determinado a partir do nosso código; ambos precisam ser confirmados junto ao fornecedor antes da publicação, por se tratar de operador estrangeiro que trata dado de titular brasileiro]

7.3. Serviço de proteção e entrega de tráfego (Cloudflare) — declaração acrescentada nesta versão

Todo o tráfego entre o seu aparelho e os nossos servidores passa antes pela Cloudflare, Inc., empresa sediada nos Estados Unidos, que atua como camada de proteção e de entrega na frente do Pixify. Isso vale para o aplicativo, para o site e para a interface de programação.

O que isso significa na prática, e por que precisamos dizer: a conexão criptografada que sai do seu aparelho termina na Cloudflare — é ela quem a decifra e reencaminha o conteúdo aos nossos servidores. Consequência: a Cloudflare tem acesso técnico ao conteúdo que trafega entre você e nós, além do seu endereço IP. Não é uma peculiaridade do Pixify: é como funciona esse tipo de serviço em praticamente toda a internet. Mas é acesso a dado pessoal por um terceiro, e por isso está declarado aqui, e não escondido atrás da palavra "infraestrutura".

• Para que serve: proteger o serviço contra ataques e indisponibilidade, filtrar tráfego malicioso e entregar as páginas e as respostas com estabilidade.
• Base legal: art. 7º, IX — legítimo interesse na segurança e na disponibilidade do serviço; e art. 7º, V — execução do contrato, por ser a via pela qual o serviço é prestado.
• Transferência internacional: sim — veja o item 8.
• Para que NÃO é usada: não a utilizamos para publicidade, medição de audiência, perfil de comportamento ou qualquer finalidade que não seja segurança e entrega do tráfego.

7.4. Lojas de aplicativos

A distribuição pela Apple App Store e pelo Google Play é regida pelas políticas de privacidade dessas empresas. Os dados que você fornece a elas (conta da loja, forma de pagamento, dados de instalação) são tratados por elas, não por nós.

7.5. Autoridades

Podemos compartilhar dados mediante ordem judicial, requisição de autoridade competente ou para cumprimento de obrigação legal ou regulatória, nos termos do art. 7º, II e VI da LGPD. Sempre que a lei permitir, comunicaremos você.

7.6. Não há mais ninguém

Não utilizamos serviços de análise de comportamento, publicidade, atribuição ou envio de e-mail em massa. Além dos destinatários listados nos itens 7.1 a 7.5, não há qualquer outro destinatário dos seus dados.

Não contratamos serviço de monitoramento de erros de terceiros. A única exceção é a mensagem técnica de erro grave descrita no item 7.2, transmitida pelo mecanismo de atualização.

8. Transferência internacional

✅ Onde fica fisicamente o nosso servidor — confirmado em 26/08/2026. A apuração de 24/08/2026 já havia comprovado que a interface de serviço, o banco de dados e o serviço de linguagem rodam em servidor próprio, e não em nuvem de terceiro. Faltava confirmar o país — e essa confirmação chegou diretamente da controladora, e não por suposição a partir do endereço da sede: o servidor está fisicamente instalado no Brasil, na cidade de Brasília, Distrito Federal — a mesma cidade da sede da controladora, mas verificado como localização real da infraestrutura, não inferido dela. Como o dado nunca sai do território nacional nesta parte da operação, não há transferência internacional a declarar quanto ao serviço de linguagem, à interface de serviço nem ao banco de dados, e as garantias dos arts. 33 a 36 da LGPD não se aplicam a essas três linhas da tabela. Elas continuam se aplicando às demais linhas da tabela (Cloudflare e Expo Application Services), que envolvem, de fato, fornecedores sediados no exterior.

9. Por quanto tempo guardamos e como eliminamos

9.1. Situação atual — declarada com honestidade

9.2. Prazos decididos, e o que ainda falta para que sejam automáticos

Reconhecemos que conservar dado sem prazo contraria os princípios da necessidade e da adequação (art. 6º, II e III, da LGPD). Por isso ficam decididos os seguintes prazos máximos de conservação:

• registros do assistente por voz — transcrições, comandos interpretados e resultados: 90 dias, contados do registro;
• relatórios de erro: 180 dias, contados do recebimento.

⚠️ Dizemos com todas as letras o que ainda não acontece: a rotina automática que aplica esses dois prazos ainda não está em operação. Enquanto ela não estiver, esses registros são eliminados de duas formas: quando você exclui a sua conta — o que já funciona e está descrito no item 9.3 — e por execução manual da nossa equipe. Não anunciamos data para essa rotina entrar em operação, porque não firmamos prazo que ainda não temos como cumprir. Quando ela entrar, esta Política será atualizada, com registro no item 18, e os prazos acima passarão a valer como eliminação automática.

Você não precisa esperar por isso para exercer o seu direito: pelo canal do item 2, a qualquer momento, você pode pedir a eliminação dos registros do assistente por voz e dos relatórios de erro vinculados à sua conta (art. 18, IV e VI, da LGPD). Respondemos em até 15 dias.

Já está implementada a eliminação de todos os registros vinculados à conta ao fim da carência da exclusão, incluindo os do assistente por voz e os relatórios de erro — veja o item 9.3.

9.3. Exclusão da conta

Você pode excluir sua conta pelo próprio aplicativo, em Configurações → Excluir conta. Pediremos sua senha atual e que você digite a palavra EXCLUIR, para confirmar que é você e que a ação é intencional.

A exclusão acontece em dois momentos, e é importante entender a diferença:

1. Imediatamente: a conta é desativada e deixa de ser acessível. Todas as sessões abertas são encerradas — inclusive a que fez o pedido —, qualquer link de redefinição de senha pendente é invalidado e você não consegue mais entrar.
2. Depois de 30 dias: os dados são apagados definitivamente. Esse período de carência de 30 dias existe para permitir arrependimento e para impedir que uma exclusão feita por alguém que tenha acessado sua conta indevidamente se torne irreversível. Dentro desse prazo, escreva para [email protected] a partir do e-mail cadastrado se quiser reverter. ⚠️ A reversão não é automática nem feita pelo aplicativo: ela depende de uma operação manual da nossa equipe, com conferência de identidade. Isso é deliberado — qualquer caminho de volta disponível no aplicativo também serviria a quem tivesse invadido a sua conta.

O que é apagado definitivamente ao fim da carência: seu cadastro, seus lançamentos, suas contas, suas categorias, suas contas a pagar e a receber, os registros do assistente por voz (transcrições, comandos interpretados e resultados) e os relatórios de erro enviados pela sua conta.

Na versão 1.1 desta Política estava previsto que os relatórios de erro seriam anonimizados em vez de apagados. A decisão mudou, em favor do titular: apenas romper o vínculo com a conta não seria anonimização de verdade, porque as colunas de texto do relatório podem conter o valor, a descrição ou o e-mail digitados por você. Por isso eles passaram a ser apagados junto com o restante.

O que é conservado: um registro de auditoria comprovando que a exclusão foi pedida e cumprida — veja o item 9.4.

⚠️ Sobre o prazo de 30 dias, com honestidade: decorrida a carência, o apagamento definitivo é executado por uma rotina de manutenção operada por nós, e não por um relógio automático dentro do sistema. Na prática, isso significa que o apagamento ocorre a partir dos 30 dias, e não exatamente no trigésimo dia. Durante todo esse intervalo os dados permanecem inacessíveis: nenhum endereço do sistema os entrega e nenhuma credencial autentica a conta. O agendamento automático dessa rotina é uma pendência reconhecida.

Se preferir, você também pode solicitar a exclusão por [email protected], a partir do e-mail cadastrado. Responderemos em até 15 dias; a desativação é imediata e o apagamento definitivo segue a mesma carência de 30 dias.

Dados guardados somente no seu aparelho (orçamento, metas, histórico de patrimônio, preferência de biometria e credenciais de sessão) são apagados do aparelho pelo próprio aplicativo quando você exclui a conta por ele. Se a exclusão for pedida por e-mail, ou se você simplesmente parar de usar o aplicativo, esses dados só desaparecem quando você desinstala o aplicativo ou limpa os dados dele — nós não temos como apagá-los remotamente, porque nunca tivemos acesso a eles.

9.4. Guarda após a exclusão

Podemos reter dados por prazo maior quando houver obrigação legal ou regulatória, ou para o exercício regular de direitos em processo (art. 16, I e III, da LGPD). Nesse caso, os dados ficam restritos a essa finalidade.

Há um caso concreto que precisamos declarar: o registro de auditoria da exclusão. Gravamos um registro em três situações — quando você pede a exclusão da conta, quando o pedido é recusado por senha incorreta e quando a exclusão é efetivamente cumprida. Cada registro contém:

• a data e a hora do momento correspondente;
• o endereço IP de onde partiu o pedido — apenas nos dois primeiros casos, porque o apagamento definitivo é executado por nós, e não por um pedido vindo de um aparelho;
• o identificador interno da conta;
• um código embaralhado derivado do seu e-mail — não o e-mail em si;
• no caso do pedido, o prazo de carência aplicado e a data prevista para o apagamento.

Esse registro sobrevive ao apagamento da conta, deliberadamente. Ele é a única prova de que você exerceu o direito de eliminação e de que nós o cumprimos. Se apagássemos também essa linha, ficaríamos sem como demonstrar o cumprimento — a você, à ANPD ou a um juiz.

• Base legal: art. 7º, II, e art. 16, I, da LGPD, para o pedido e a conclusão — conservação necessária ao cumprimento de obrigação legal e à comprovação do atendimento de direito do titular; e art. 7º, IX, para a tentativa recusada — legítimo interesse em detectar quem tenta destruir a conta de outra pessoa.

Por que o e-mail vira um código embaralhado, e o que isso protege de fato.

Guardar o seu e-mail depois de você pedir a eliminação contrariaria o próprio direito que você exerceu. Por isso guardamos, no lugar dele, um código calculado a partir do e-mail por uma função criptográfica (HMAC-SHA256) que só produz o mesmo resultado para quem possui uma chave secreta exclusiva desse registro. Essa chave não fica no banco de dados nem no código-fonte do Pixify, e é obrigatoriamente diferente da chave que assina as credenciais de sessão — o sistema se recusa a iniciar se as duas forem iguais.

⚠️ Essa escolha substituiu um método anterior, e a troca importa. Até a revisão de agosto de 2026, o código era um resumo simples do e-mail, sem chave. Uma revisão de segurança demonstrou que esse método era reversível na prática: como o conjunto de endereços de e-mail possíveis é uma lista, e não um universo inabarcável, quem tivesse acesso à tabela poderia testar endereços até encontrar o correspondente — o teste levava fração de milissegundo com uma lista pequena. Com a chave secreta, esse teste deixa de ser possível para quem não a possui.

Sendo precisos, sem exagerar para nenhum dos lados: esse código não é anonimização no sentido do art. 12 da LGPD. Ele continua sendo dado pessoal pseudonimizado — quem tiver a chave e um endereço para testar consegue confirmar se aquele registro corresponde a ele. O que mudou foi quem consegue fazer isso: antes, qualquer pessoa com acesso ao banco de dados; agora, apenas quem tenha também a chave, guardada fora dele. É uma proteção substancialmente melhor, e não é irreversibilidade absoluta. Por isso continuamos declarando a base legal da conservação, restringindo a finalidade e não afirmando que "nenhum dado pessoal sobrevive à exclusão".

• Para que ele serve: permitir que o pedido, a eventual recusa e o apagamento sejam reconhecidos como referentes à mesma conta, sem guardar o endereço de e-mail.
• Para que esse registro NÃO é usado: ele não é usado para recriar sua conta, para impedir novo cadastro, para marketing, para perfilamento ou para qualquer outra finalidade. Fica restrito à comprovação da exclusão e à segurança do próprio procedimento.
• O que ele não contém: seus lançamentos, saldos, contas, categorias, nome, senha (nem em pedaço, nem embaralhada) ou o seu e-mail em texto legível.

Se você entender que essa conservação é indevida, pode se opor pelo canal do encarregado (art. 18, § 2º, da LGPD).

10. Seus direitos (art. 18 da LGPD)

Você pode, a qualquer momento e gratuitamente:

1. Confirmar se tratamos dados seus;
2. Acessar seus dados;
3. Corrigir dados incompletos, inexatos ou desatualizados;
4. Solicitar anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
5. Solicitar a portabilidade a outro fornecedor, observados os segredos comercial e industrial;
6. Solicitar a eliminação dos dados tratados com base no seu consentimento;
7. Saber com quem compartilhamos seus dados;
8. Ser informado sobre a possibilidade de não consentir e sobre as consequências dessa negativa;
9. Revogar o consentimento a qualquer momento;
10. Opor-se a tratamento fundado em legítimo interesse, quando houver descumprimento da lei;
11. Peticionar à ANPD — Autoridade Nacional de Proteção de Dados (https://www.gov.br/anpd).

10.1. Como exercer

Escreva para [email protected] a partir do e-mail cadastrado na sua conta. Podemos solicitar confirmação adicional de identidade quando houver dúvida razoável — medida de segurança, para não entregar seus dados a outra pessoa.

Prazo de resposta: até 15 dias.

10.2. O que já dá para fazer sozinho, dentro do app

• Acesso e correção: todos os seus lançamentos, contas, categorias e contas a pagar/receber podem ser visualizados, editados e apagados diretamente no aplicativo.
• ⚠️ Correção do cadastro: os dados do seu cadastro (nome e e-mail) ainda não podem ser alterados dentro do aplicativo — solicite a correção pelo canal do encarregado, [email protected], a partir do e-mail cadastrado. Estamos cientes de que isso deveria ser possível no próprio aplicativo (art. 18, III, da LGPD) e é uma correção pendente.
• Portabilidade: você pode exportar seus lançamentos em arquivo CSV pela tela de relatórios. ⚠️ A exportação abrange os lançamentos; contas, categorias, contas a pagar/receber, metas, orçamento e histórico de patrimônio não estão incluídos nesse arquivo. Para uma cópia completa, solicite pelo canal do encarregado.
• Exclusão de conta: disponível em Configurações → Excluir conta, com confirmação por senha — veja o item 9.3, especialmente o prazo de carência de 30 dias.
• Revogação do consentimento de microfone: não há o que revogar na versão atual. O assistente por voz foi retirado do aplicativo (item 5.3), que não declara nem solicita permissão de microfone e não capta áudio algum. Se o recurso for reativado, você poderá revogar a permissão nas configurações do seu aparelho: o assistente deixará de funcionar e o restante do aplicativo continuará normal.

11. Como protegemos seus dados

Medidas efetivamente implementadas:

• Senha nunca armazenada em texto — guardamos apenas um resumo criptográfico bcrypt, irreversível;
• Sessões com prazo curto — credencial de acesso válida por 30 minutos, renovação por até 7 dias;
• Credenciais guardadas no cofre do sistema operacional do seu aparelho (Keychain no iOS, Keystore no Android), não em armazenamento comum — ⚠️ essa proteção vale para o aplicativo instalado. Na versão acessada pelo navegador, o navegador não oferece cofre equivalente, e as credenciais de sessão ficam no armazenamento local dele (localStorage), onde permanecem até que você saia da conta ou limpe os dados do navegador. Por isso, não acesse o Pixify pelo navegador de um computador compartilhado ou público e, se o fizer, saia da conta ao terminar;
• Bloqueio biométrico opcional dentro do aplicativo;
• Limitação de tentativas de login, cadastro e recuperação de senha, por endereço IP e por e-mail, com atraso progressivo;
• Proteção contra descoberta de contas — as respostas de "esqueci minha senha" e de login são idênticas para e-mail existente e inexistente, inclusive no tempo de resposta;
• O token de redefinição de senha nunca é devolvido na resposta da API;
• Isolamento por usuário — toda consulta ao banco filtra pelo dono do dado; ninguém acessa o dado de outra pessoa;
• Confirmação de senha para excluir a conta, com limitação de tentativas: uma sessão roubada ou um aparelho desbloqueado não bastam para destruir seus dados;
• Chave criptográfica separada para o registro de auditoria da exclusão, distinta da que assina as credenciais de sessão e mantida fora do banco de dados — o sistema se recusa a iniciar se as duas coincidirem (item 9.4);
• Cabeçalhos de segurança em todas as respostas (HSTS, política de conteúdo restritiva, bloqueio de enquadramento em página externa, bloqueio de geolocalização, câmera e microfone no contexto web);
• Limite de tamanho de requisição (256 KB para dados, 15 MB para áudio);
• Erros internos não expõem detalhe técnico na resposta;
• O aplicativo nunca exibe texto vindo do servidor — apenas mensagens definidas dentro do próprio app, o que impede uso do canal para golpe;
• Comunicação criptografada (HTTPS) entre o aplicativo e o servidor, verificada na apuração de 24 de agosto de 2026 e composta de quatro camadas: conexão criptografada com certificado válido; redirecionamento automático de qualquer tentativa de acesso não criptografado; instrução de segurança de transporte (HSTS) com validade de dois anos; e inscrição na lista de pré-carregamento dos navegadores, que faz o navegador recusar conexão não criptografada com o nosso domínio antes mesmo do primeiro acesso. ⚠️ Precisão devida sobre o alcance dessa verificação: ela foi feita no endereço que responde hoje, e os endereços de produção e de homologação ainda não estão no ar — o Pixify ainda não foi publicado, como já dito no item 15. A configuração acima é a exigida de qualquer ambiente que venha a atender o público: conexão criptografada é condição de publicação, e não item a configurar depois.

11.1. Três proteções que ainda não temos — e que preferimos declarar a omitir

A transparência que a LGPD exige (art. 6º, VI) vale também para o que falta. A apuração de infraestrutura de 24 de agosto de 2026 encontrou três ausências. Nenhuma delas será escondida atrás de uma frase genérica sobre "medidas de segurança adequadas":

1. O banco de dados não é criptografado em repouso. As proteções listadas acima atuam sobre o acesso ao sistema — não sobre o arquivo gravado no disco do servidor. Em termos diretos: quem obtivesse acesso ao próprio armazenamento do servidor encontraria os seus lançamentos, os seus saldos, as suas contas e o seu nome em forma legível. Há duas exceções, e elas continuam valendo: a sua senha nunca é gravada — guardamos apenas o resumo criptográfico irreversível descrito no item 5.1 —, e o segredo do segundo fator de autenticação do nosso painel interno de administração é criptografado. Adotar criptografia do banco em repouso está previsto; não anunciamos data.

2. Não há rotina de cópia de segurança (backup). Não existe rotina automática, destino de cópia nem prazo de guarda definidos. A consequência precisa ser dita com clareza, porque quem a suporta é você: a perda do armazenamento do servidor significaria a perda definitiva dos dados da sua conta, sem caminho de recuperação. Enquanto isso não mudar, recomendamos que você exporte periodicamente os seus lançamentos pela tela de relatórios (item 10.2) e guarde essa cópia em local seu. Implantar cópia de segurança criptografada, com destino e prazo definidos, está previsto; não anunciamos data.

3. Não há registro individualizado de auditoria do acesso administrativo ao banco de dados. O nosso painel interno de administração possui trilha de auditoria própria, mas o acesso feito por fora dele, diretamente ao banco, não registra quem acessou quando a credencial utilizada é válida. Implantar o registro individualizado desses acessos está previsto; não anunciamos data.

Nenhuma dessas três ausências é aceitável como estado permanente, e nenhuma delas é apresentada aqui como aceitável. Elas estão escritas para que você decida, com informação correta, o que registrar no Pixify — e é por isso que o item 4 desta Política começa dizendo que o Pixify coleta o mínimo necessário: quanto menos guardamos, menor é o que essas ausências expõem.

11.2. Incidentes de segurança

Nenhum sistema é integralmente imune. Se ocorrer incidente de segurança com risco ou dano relevante, comunicaremos você e a ANPD, nos termos do art. 48 da LGPD, em prazo razoável.

12. Uso por menores de idade

O Pixify destina-se a maiores de 18 anos. Não coletamos intencionalmente dados de crianças ou adolescentes.

⚠️ Declaração honesta: o cadastro atual não possui verificação de idade. Se tomarmos conhecimento de conta pertencente a menor de 18 anos sem o consentimento específico e em destaque de ao menos um dos pais ou do responsável legal (art. 14, § 1º, da LGPD), a conta e os dados serão eliminados.

Decisão sobre verificação de idade, e por que ela é esta. Não adotaremos verificação de idade por documento, imagem, biometria ou consulta a base externa. O art. 14, § 5º, da LGPD pede do controlador esforços razoáveis, "consideradas as tecnologias disponíveis" — não a verificação mais invasiva que existir. Exigir documento para abrir uma conta de anotação financeira nos obrigaria a coletar CPF, data de nascimento e imagem de documento, dados que hoje não pedimos, não recebemos e não guardamos: criaria um risco maior do que aquele que se quer evitar e contrariaria o princípio da necessidade (art. 6º, III). O Pixify não tem conteúdo adulto, jogo, publicidade, compra, movimentação de dinheiro real nem qualquer interação entre usuários, e está classificado como Livre (4+) nas lojas.

O esforço razoável e proporcional, neste caso, é a declaração de maioridade no momento do cadastro, apresentada junto ao aceite destes documentos. ⚠️ Ela ainda não existe na versão atual — é pendência de produto reconhecida, e enquanto não existir vale exatamente o que está na declaração honesta acima: não há verificação de idade. Quando passar a existir, esta Política será atualizada, com registro no item 18.

Se você é pai, mãe ou responsável e identificou uma conta criada por menor sob sua responsabilidade, escreva para [email protected]: encerramos a conta e eliminamos os dados.

13. Decisões automatizadas

O assistente por voz — quando disponível na interface, veja o item 5.3 — utiliza processamento automatizado de linguagem para interpretar seu comando. Essa interpretação não produz decisão com efeito jurídico nem afeta seus interesses — ela apenas propõe e executa um registro que você poderia fazer manualmente, e que você pode conferir, editar ou apagar a qualquer momento.

Não fazemos análise de crédito, não atribuímos pontuação (score), não traçamos perfil de consumo e não tomamos decisão automatizada sobre você. Ainda assim, você tem direito a solicitar revisão nos termos do art. 20 da LGPD, pelo canal do encarregado.

14. Cookies e tecnologias de rastreamento

O aplicativo móvel não usa cookies.

O site pixify.com.br também não usa cookies, nem qualquer outra tecnologia de rastreamento. As páginas que publicamos são estáticas: não executam nenhum script no seu navegador, não gravam cookie nem armazenamento local, não carregam fonte, biblioteca ou imagem hospedada por terceiro e não possuem pixel, etiqueta de medição ou ferramenta de análise de audiência. Como não existe cookie não essencial, não há o que consentir e não exibimos aviso de cookies — exibir um seria pedir permissão para algo que não fazemos.

ℹ️ Uma precisão sobre a entrega dessas páginas. Elas chegam até você através do serviço de proteção e entrega de tráfego descrito no item 7.3. Não contratamos, nesse serviço, nenhum recurso de medição de audiência, de análise de comportamento ou de publicidade — ele está ali para segurança e disponibilidade. Se isso vier a mudar, ou se passar a existir qualquer cookie não essencial, esta seção será reescrita antes da mudança, e você receberá aviso com opção de recusa.

Na versão do aplicativo acessada pelo navegador também não há cookies. Existe apenas o armazenamento local do próprio navegador (localStorage), usado exclusivamente para manter você conectado enquanto usa o aplicativo — nunca para rastrear, medir audiência ou traçar perfil. Ele é estritamente necessário ao funcionamento, é apagado quando você sai da conta ou limpa os dados do navegador, e sobre ele vale o cuidado descrito no item 11: não acesse o Pixify pelo navegador de computador compartilhado.

Se algum dia passarmos a usar cookie não essencial, esta seção será reescrita antes disso e você receberá um aviso com opção de recusa.

15. Alterações nesta Política

Podemos atualizar esta Política. Quando isso ocorrer:

• a nova versão será publicada em https://pixify.com.br/privacidade, com número de versão e data;
• em caso de alteração relevante — nova finalidade, novo compartilhamento, nova categoria de dado ou mudança de base legal — você será avisado dentro do aplicativo com no mínimo 15 dias de antecedência da entrada em vigor;
• quando a alteração depender do seu consentimento, ele será solicitado de forma específica e em destaque;
• se você não concordar, poderá encerrar sua conta antes da entrada em vigor, sem qualquer ônus.

As URLs definitivas são https://pixify.com.br/privacidade e https://pixify.com.br/termos. Elas são geradas pelo site do Pixify e passam a responder quando ele for publicado; até lá, o endereço /termos para o qual o aplicativo aponta ainda não está no ar.

16. Legislação e foro

Esta Política é regida pela legislação brasileira, em especial a Lei 13.709/2018 (LGPD), a Lei 8.078/1990 (Código de Defesa do Consumidor) e a Lei 12.965/2014 (Marco Civil da Internet).

Fica eleito o foro da comarca de Brasília/DF, sem prejuízo do direito do consumidor de demandar no foro de seu domicílio, nos termos do art. 101, I, do CDC.

17. Contato

• Encarregada (DPO) e exercício de direitos: [email protected]
• Suporte geral: [email protected]
• Endereço: SAUS Quadra 01, Bloco M, Sala 907, Edifício Libertas, Brasília/DF, CEP 70070-935

O mesmo endereço atende os dois assuntos. Quando o Pixify tiver caixas em domínio próprio, os canais serão separados e a mudança registrada no item 18.

18. Registro de versões desta Política

Data de publicação: ainda não publicada. A vigência começa na publicação, e a data será registrada nesta linha quando isso ocorrer.

ℹ️ Sobre o canal de contato. O endereço indicado nos itens 2 e 17 é uma caixa da controladora, DERRICO Soluções em TI & IA Ltda. Ele foi escolhido por existir e responder de fato. Quando o Pixify passar a ter caixas em domínio próprio, o endereço será migrado e a alteração registrada nesta tabela, com nova versão desta Política.