Política de Privacidade

1. Quem trata os dados

O controlador dos dados pessoais tratados no Granumo é LSP Desenvolvimento de Software, inscrita no CNPJ 34.360.331/0001-54, operadora do serviço Granumo (granumo.com). O canal para solicitações de privacidade e proteção de dados é suporte@granumo.com. Esta política complementa os Termos de Uso e segue a Lei Geral de Proteção de Dados (Lei 13.709/2018).

2. O que coletamos

• Dados de conta: nome, e-mail e senha. A senha é armazenada apenas como hash criptográfico com sal; ninguém do Granumo tem acesso a ela.
• Dados financeiros da família: contas, cartões, categorias, lançamentos, metas, orçamentos e movimentações importadas de arquivos OFX e CSV de extrato ou fatura. A leitura do arquivo acontece no seu dispositivo e o arquivo bruto não é enviado nem armazenado — apenas as linhas que você revisar e confirmar.
• Registros técnicos: cookie de sessão essencial (httpOnly) e uma trilha mínima de auditoria de ações sensíveis, sem conteúdo financeiro e sem senhas ou tokens.

O Granumo não vende dados pessoais, não exibe publicidade e não usa rastreadores de terceiros no aplicativo.

3. Para que usamos (bases legais)

• Execução do contrato: operar as finanças da família, e-mails transacionais (confirmação, recuperação de senha, convites e avisos de assinatura) e a cobrança da assinatura.
• Obrigação legal: registros fiscais e de cobrança quando exigidos.
• Legítimo interesse: segurança da conta, prevenção a fraude e auditoria mínima de ações sensíveis.

4. Pagamento

O checkout é uma página hospedada pelo Asaas. Dados de cartão, CPF/CNPJ, telefone e endereço de cobrança são coletados e tratados diretamente pelo Asaas; o Granumo recebe apenas a confirmação dos eventos de pagamento e nunca armazena dados de cartão.

5. Com quem compartilhamos (operadores)

• Railway — hospedagem da aplicação e do banco de dados.
• Resend — envio de e-mails transacionais.
• Asaas — processamento de pagamentos e assinaturas.
• Cloudflare — DNS e proteção de rede.

Alguns operadores podem processar dados fora do Brasil. Quando houver transferência internacional, o Granumo deve adotar um mecanismo válido nos termos da LGPD e da regulamentação da ANPD. Informações sobre países, operadores e mecanismo aplicável podem ser solicitadas pelo canal de privacidade. Não há compartilhamento com terceiros para fins de marketing.

6. Por quanto tempo guardamos

• Dados da família: enquanto a família existir no serviço.
• Sessões de acesso: até 30 dias; bloqueios temporários de login: 15 minutos.
• Cópias de segurança: expiram automaticamente em até 90 dias após a exclusão dos dados do banco ativo.
• Trilha de auditoria: registros mínimos são mantidos para segurança; após a exclusão da família ou da sua conta, deixam de referenciar seus dados.
• Registros de cobrança podem ser mantidos pelo prazo legal aplicável.

7. Seus direitos (LGPD)

Você pode, a qualquer momento e mesmo sem assinatura ativa:

• Acessar e portar: baixar todos os dados da família em JSON na área Segurança do aplicativo.
• Corrigir: editar os registros diretamente no aplicativo.
• Excluir: na área Segurança do aplicativo você exclui sua conta a qualquer momento, sem depender de quem administra a família: acesso, nome, e-mail e senha saem do serviço. Sendo você a única pessoa da família, ela e todos os dados dela saem junto. Havendo outros membros, o histórico financeiro continua com eles, sem o seu nome. O proprietário de uma família com outros membros exclui a família inteira na mesma área, ou pede a exclusão da conta pelo canal de privacidade, porque ainda não é possível transferir a propriedade de uma família.
• Confirmar, revogar, opor-se e reclamar: pelo canal suporte@granumo.com, com resposta em até 15 dias. Você também pode reclamar à ANPD.

8. Segurança

Cada família é isolada das demais em todas as consultas. Senhas usam scrypt com sal, tokens de acesso são guardados apenas como hash, o cookie de sessão é httpOnly e as respostas usam cabeçalhos restritivos (CSP, HSTS, bloqueio de frames). Ações sensíveis deixam trilha de auditoria sem dados financeiros.

9. Crianças e adolescentes

O Granumo não é direcionado a menores de 18 anos; a participação de um menor na família ocorre sob responsabilidade do adulto que o convidar.

10. Alterações e contato

Mudanças relevantes nesta política são comunicadas por e-mail ou no aplicativo antes de entrarem em vigor. Dúvidas e solicitações: suporte@granumo.com.