Política de Privacidade

2. Quais dados coletamos

2.1 Dados que você nos dá

• Cadastro: nome, e-mail, senha (armazenada com Argon2id)
• Conteúdo de uso: transações financeiras, anotações de saúde, sessões de estudo, reflexões de diário, hábitos, metas
• Pagamento: processado via Asaas (banco regulado BCB) —não armazenamos números de cartão; só ID da subscription + status

2.2 Dados de integrações OAuth

Quando você conecta GitHub, Strava, Spotify, Oura, Fitbit, Google, Discord, Steam, ou seu banco via Open Finance, recebemos:

• Tokens OAuth (access + refresh) — armazenados em vault criptografado (OpenBao, AES-256)
• Eventos do serviço externo conforme escopo autorizado por você (commits, treinos, músicas, sono, transações, etc.)
• Nunca solicitamos sua senha do serviço externo — apenas tokens OAuth com escopos read-only quando possível

2.3 Dados técnicos

• Logs de acesso (IP, user-agent, timestamp) por 30 dias para segurança
• Métricas de uso anônimas (páginas mais visitadas, latência) via ferramentas internas (Prometheus + Loki self-hosted) — NÃO usamos Google Analytics, Facebook Pixel ou similares
• Cookies essenciais (sessão, CSRF) e funcionais (tema preferido)

3. Como usamos seus dados

Bases legais (LGPD art. 7º):

• Execução de contrato (art. 7º, V): operar a plataforma, processar pagamentos, sincronizar integrações que você autorizou
• Consentimento (art. 7º, I): integrações OAuth opcionais, AI Coach, notificações push
• Legítimo interesse (art. 7º, IX): logs de segurança, prevenção fraude, melhoria de produto
• Cumprimento legal (art. 7º, II): retenção fiscal de dados de pagamento por 5 anos

Não vendemos seus dados. Não os usamos para anúncios. Não compartilhamos com terceiros exceto:

• Asaas (pagamentos) — processador necessário
• Pluggy (Open Finance) — quando você autoriza ITP regulada BCB
• Anthropic (AI Coach) — apenas snapshot anonimizado dos seus dados, só nos planos Premium AI quando você pergunta algo
• Provedores de hospedagem (cluster k3s self-hosted no Brasil) — sem outras nuvens externas

4. Onde armazenamos

• Banco de dados primário: PostgreSQL no nosso cluster k3s (Brasil), com backups diários encriptados off-site (Backblaze B2, AES-256)
• Tokens OAuth: OpenBao (vault) com envelope encryption
• Logs: Loki self-hosted, retenção 30 dias
• Tudo dentro do Brasil ou em provedores certificados ISO 27001 / SOC 2 (Backblaze B2)

5. Por quanto tempo guardamos

• Conta ativa: enquanto você for usuário
• Conta deletada: soft-delete por 7 dias (recuperação) + hard-delete após. Cron diário EVERY_DAY_AT_4AM remove dados permanentemente
• Logs: 30 dias
• Backups off-site: 14 daily / 8 weekly / 6 monthly / 1 yearly — mesmo dado pessoal sobrevive até retenção mais longa expirar
• Dados fiscais (notas, transações): 5 anos (Receita Federal)

6. Seus direitos (LGPD art. 18)

Você pode, a qualquer momento:

• Confirmar se tratamos seus dados (Settings → Conta)
• Acessar seus dados (export JSON em Settings → Privacidade)
• Corrigir dados incorretos diretamente no app
• Anonimizar/eliminar dados desnecessários
• Portar dados (CSV transações, JSON full export)
• Revogar consentimento de integrações (Settings → Integrações → Desconectar)
• Eliminar conta permanentemente — botão "Apagar minha conta" em Settings → Privacidade. Hard-delete em 7 dias inclusive em backups off-site (próximo ciclo)

Demandas formais via [email protected] — resposta em até 15 dias úteis.

7. Segurança

• TLS 1.3 em trânsito (Cloudflare + cert-manager Let's Encrypt)
• Senhas hashed com Argon2id (iterações + salt único)
• 2FA opcional via TOTP (Settings → Segurança)
• Tokens OAuth criptografados em vault (OpenBao + envelope encryption)
• Audit log completo de ações sensíveis
• Pentests automatizados diários (Nuclei) + scans CVE (Trivy)
• Cluster com Kyverno admission control + Falco runtime detection

8. Cookies

Usamos apenas cookies necessários:

• access_token (httpOnly, Secure, SameSite=Lax) — sessão JWT
• refresh_token — renovação silenciosa do access token
• csrf_token — proteção CSRF
• theme — tema preferido (claro/escuro)

Não usamos cookies de tracking de terceiros. Não temos Google Analytics, Facebook Pixel, ou similares.

9. Crianças e adolescentes

Zelfy é destinado a maiores de 18 anos. Não coletamos conscientemente dados de menores. Se descobrirmos, eliminamos imediatamente. Tutores legais com preocupações: [email protected].

10. Mudanças nesta política

Atualizamos esta política conforme nosso produto evolui. Mudanças materiais serão comunicadas por e-mail aos usuários ativos com 30 dias de antecedência. Versionamento histórico em github.com/zelfy-dev/docs (transparência total).

11. ANPD e jurisdição

Esta política é regida pela legislação brasileira (LGPD). Reclamações à Autoridade Nacional de Proteção de Dados (ANPD). Foro: comarca do controlador.