Política de Privacidade

1. Quem é o controlador

Esta Política vale para o aplicativo Otto Finanças (Android e, quando lançado, iPhone), para o servidor que o sustenta e para o site ottofin.app.

2. Quais dados tratamos

O que não coletamos: senhas de banco, número completo de cartão, localização, contatos, fotos, áudio, notificações de apps fora da lista de bancos, pontuação de crédito nem identificador de publicidade. O app não usa SDKs de anúncios, de analytics ou de relatório de falhas.

Dados sensíveis: não tratamos dados pessoais sensíveis (art. 5º, II, e art. 11 da LGPD). O desbloqueio por digital, rosto ou PIN é feito pelo sistema do seu aparelho; o Otto só recebe o resultado (liberado ou não) e nunca acessa nem guarda dados biométricos. Dados financeiros não são "sensíveis" pela LGPD, mas são protegidos por sigilo e nós os tratamos com o mesmo cuidado.

Descrições de transações e textos de notificações podem conter nomes de outras pessoas (por exemplo, quem enviou ou recebeu um Pix). Tratamos esses dados só para organizar as suas finanças.

3. Para que usamos e com qual base legal

Cada uso tem uma finalidade específica e uma base legal do art. 7º da LGPD:

Consentimento: quando pedimos o seu consentimento, ele é livre, informado, específico para cada finalidade e pode ser revogado a qualquer momento, de forma gratuita e tão fácil quanto foi dado. A revogação não afeta o que foi feito antes dela. Se você não consentir com o Open Finance ou com a leitura de notificações, continua podendo usar o Otto com lançamentos manuais e importação de planilhas.

Legítimo interesse: antes de usar essa base, fazemos o teste de proporcionalidade (finalidade legítima, necessidade do dado e equilíbrio com os seus direitos e expectativas), usamos o mínimo de dados e nunca para publicidade. Você pode se opor pelo canal do encarregado.

4. Inteligência artificial

O Otto usa modelos de IA de terceiros, que atuam como operadores em nosso nome, para: categorizar lançamentos; decidir se uma notificação bancária representa dinheiro que de fato se moveu; verificar se uma pergunta ao chat está dentro do tema do app; responder no chat (inclusive com gráficos); e calcular a resposta do "Posso gastar?".

O que enviamos: só o necessário para cada tarefa, como descrição, estabelecimento, contraparte, valor, data e tipo de conta da transação; totais e categorias; o texto da notificação capturada; a sua pergunta e o histórico da conversa; e o primeiro nome seu e dos membros do grupo, para personalizar a resposta. Não enviamos senhas, credenciais bancárias, tokens de acesso nem o seu e-mail.

Uso pelos provedores: cada provedor trata os dados conforme os próprios termos, que podem variar conforme o plano contratado (no caso do Gemini, os termos do Google tratam de forma diferente o uso gratuito e o pago, inclusive quanto ao uso do conteúdo para melhorar os serviços do Google). Por isso, não afirmamos que os dados nunca serão usados para aprimorar modelos de terceiros e reduzimos ao mínimo o que é enviado.

Decisões automatizadas: a IA classifica lançamentos e notificações e gera respostas e sugestões. Os critérios são o texto, o estabelecimento, o valor, o tipo de conta e as suas regras e escolhas anteriores; o "Posso gastar?" considera saldos, contas a vencer, orçamentos e metas. Nenhuma dessas decisões nega serviço, crédito ou direitos a você, e você pode corrigir qualquer categoria ou apagar um lançamento criado a partir de notificação (o Otto aprende com isso). Você pode pedir a revisão, por uma pessoa, de decisões tomadas só com base em tratamento automatizado e informações sobre os critérios usados (art. 20 da LGPD), pelo canal do encarregado.

As respostas da IA são educativas, podem conter erros e não são recomendação de investimento nem consultoria financeira, contábil, jurídica ou tributária.

5. Com quem compartilhamos

Compartilhamos dados apenas com operadores que nos ajudam a prestar o serviço, cada um limitado à sua função e obrigado a proteger os dados. Como controlador, continuamos responsáveis pelo que eles fazem com os dados em nosso nome:

Também compartilhamos: com membros do seu grupo, só o que você escolher, conta a conta; com agentes de IA externos que você conectar por um token MCP, os dados que eles consultarem com a permissão que você deu (o uso desses dados pelo agente segue os termos do serviço que você escolheu, e você pode revogar o token no app a qualquer momento); com autoridades, quando houver obrigação legal ou ordem judicial; e com um eventual sucessor, em caso de reorganização do serviço, mantidas as garantias desta Política.

O app é distribuído pela Google Play, que trata dados de instalação e avaliações conforme a política de privacidade do Google; recebemos dela apenas estatísticas agregadas.

Não vendemos, alugamos nem cedemos seus dados a anunciantes, birôs de crédito ou corretores de dados. Você pode pedir a lista atualizada de com quem compartilhamos seus dados (art. 18, VII) pelo canal do encarregado.

6. Transferência internacional

Parte dos operadores (hospedagem, IA, e-mail, notificações, login e o site) armazena ou processa dados fora do Brasil, principalmente nos Estados Unidos, conforme a coluna "País" da seção 5.

Essas transferências se baseiam no art. 33, IX, da LGPD, por serem necessárias para executar o serviço que você pediu (art. 7º, V), e nas obrigações de proteção de dados assumidas pelos provedores em seus termos. A leitura de notificações e o Open Finance dependem, além disso, do seu consentimento. Você pode pedir mais informações sobre as garantias de cada transferência pelo canal do encarregado.

A medição de audiência do site com o Google Analytics (Estados Unidos) só acontece com o seu consentimento específico e destacado, dado no aviso de cookies, que também fundamenta essa transferência (art. 33, VIII, da LGPD).

7. Por quanto tempo guardamos

Exclusão da conta: o acesso é cortado na hora e todos os seus dados são apagados em definitivo em até 30 dias (normalmente em poucos minutos). Fica só um registro anônimo de que a exclusão foi feita (datas e quantidades), sem nome, e-mail ou dados financeiros.

Exceções (art. 16 da LGPD): podemos manter o mínimo necessário para cumprir obrigação legal ou regulatória, para exercer direitos em processos judiciais, administrativos ou arbitrais, ou de forma anonimizada, pelo prazo exigido. Se isso acontecer, avisamos você.

Você pode desconectar um banco a qualquer momento; a conexão é revogada no agregador. Veja como excluir sua conta.

8. Seus direitos

Pelo art. 18 da LGPD, você pode, de forma gratuita e a qualquer momento:

• confirmar se tratamos seus dados e acessá-los;
• corrigir dados incompletos, inexatos ou desatualizados (boa parte direto no app);
• pedir anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei;
• pedir a portabilidade dos seus dados em formato estruturado;
• pedir a eliminação dos dados tratados com base no consentimento;
• saber com quais entidades públicas e privadas compartilhamos seus dados;
• ser informado sobre a possibilidade de não consentir e as consequências disso;
• revogar o consentimento (Open Finance, leitura de notificações, marketing);
• pedir a revisão de decisões automatizadas (art. 20) e se opor a tratamentos baseados em legítimo interesse;
• peticionar à Autoridade Nacional de Proteção de Dados (ANPD) contra nós, em gov.br/anpd.

Pelo app: Ajustes → Privacidade e dados → Baixar meus dados (enviamos ao seu e-mail um link, válido por 7 dias, para um arquivo ZIP com seus dados em JSON e as transações em planilha CSV) ou Excluir minha conta. Também no app você edita o perfil, desconecta bancos, desliga a captura de notificações, apaga conversas e revoga tokens de agentes (MCP).

Por e-mail, sem precisar de login: escreva para privacidade@ottofin.app. Confirmamos o recebimento na hora (resposta simplificada) e enviamos a resposta completa em até 15 dias (art. 19, II). Para proteger você, podemos pedir uma confirmação de identidade, de preferência a partir do e-mail cadastrado. Se não pudermos atender a algum pedido, explicamos o motivo.

9. Crianças e adolescentes

O Otto não é destinado a menores de 13 anos, e crianças (até 12 anos) não podem criar conta nem usar o app por conta própria. Não coletamos conscientemente dados de menores de 13 fora do Otto Kids; se soubermos de uma conta assim, ela será excluída.

Adolescentes de 13 a 17 anos só devem usar o Otto com o conhecimento e a supervisão dos pais ou responsáveis legais, que podem exercer os direitos desta Política em nome deles. Tratamos esses dados sempre no melhor interesse do adolescente (art. 14 da LGPD), apenas para prestar o serviço, e não fazemos perfis de marketing nem enviamos publicidade a menores.

Otto Kids (dados de crianças). O Otto Kids é um modo opcional para ensinar dinheiro a crianças de 4 a 12 anos. A criança não tem conta, e-mail nem login: um responsável (dono ou administrador do grupo) cria o perfil e dá o consentimento específico e em destaque exigido pelo art. 14, §1º, da LGPD, que registramos com data, hora e quem autorizou.

• Dados mínimos: apelido, ano de nascimento (para adaptar o conteúdo à idade) e um avatar escolhido numa lista (sem foto), além do progresso no modo: moedas virtuais, sonhos, missões, lições e os aparelhos conectados. A criança só toca em opções prontas e não digita textos livres. Nunca mostramos dados bancários reais.
• Sem anúncios, sem links externos e sem inteligência artificial sobre os dados da criança; nada é compartilhado com terceiros nem usado para perfil ou marketing.
• O acesso no aparelho da criança usa um token restrito ao Otto Kids, que o responsável desconecta quando quiser; sair do modo no aparelho de um adulto exige a biometria ou o PIN dele.
• Exclusão: o responsável apaga a criança e tudo dela a qualquer momento pelo app; os dados também são apagados quando o grupo é excluído, quando o responsável que autorizou sai do grupo ou exclui a conta. Os dados entram na cópia de "Baixar meus dados" do responsável.

10. Segurança

• Tráfego criptografado (HTTPS/TLS) entre o app, o servidor e os provedores.
• Isolamento dos dados de cada grupo no banco de dados (Row-Level Security).
• Tokens de sessão, links de acesso e tokens de agentes (MCP) guardados no servidor só como hash.
• No aparelho, tokens no armazenamento seguro do sistema, bloqueio por biometria ou PIN e backup automático do app desativado.
• Acesso somente de leitura ao Open Finance: o Otto não movimenta dinheiro e não recebe a senha do banco.
• Avisos do agregador validados por assinatura (HMAC) e registros do servidor sem dados financeiros.
• Acesso interno restrito ao mínimo necessário.

Nenhum sistema é 100% seguro. Se ocorrer um incidente de segurança que possa gerar risco ou dano relevante, comunicaremos a ANPD e as pessoas afetadas em até 3 dias úteis, como determina o Regulamento de Comunicação de Incidentes (Resolução CD/ANPD nº 15/2024), com o que aconteceu, os dados envolvidos, os riscos e as medidas adotadas.

11. Site, cookies e marketing

O site usa o essencial e, só com o seu consentimento prévio, o Google Analytics 4 para medir visitas de forma agregada. Sem o aceite (ou com o sinal Global Privacy Control do navegador), nenhum script do Google é carregado. Detalhes na Política de Cookies.

O que fazemos (e o que nunca fazemos) com comunicações e marketing está em Comunicações e marketing.

Um resumo estruturado desta Política, no padrão lgpd.md, está em ottofin.app/lgpd.md.

12. Encarregado (DPO) e contato

O encarregado pelo tratamento de dados pessoais é Cendy Andreoli de Oliveira. Ele recebe reclamações e comunicações dos titulares e da ANPD pelo e-mail privacidade@ottofin.app.

Se não ficar satisfeito com a nossa resposta, você pode peticionar à ANPD em gov.br/anpd.

13. Alterações desta Política

Podemos atualizar esta Política para refletir mudanças no app ou na lei. A data no topo indica a versão vigente. Mudanças relevantes serão avisadas no app ou por e-mail antes de entrarem em vigor e, quando a base for o consentimento, pediremos de novo.