2.1 Dados de Cadastro

• E-mail — obrigatório para autenticação e comunicação sobre a conta.
• Senha — armazenada exclusivamente como hash criptográfico (bcrypt). O texto puro nunca é armazenado.

2.2 Dados Financeiros

Ao realizar upload de extratos bancários (CSV, OFX ou PDF), o SpendFlow extrai e armazena:

• Data, valor e descrição de cada transação;
• Categoria atribuída automaticamente por processamento local — algoritmos determinísticos e, quando necessário, um modelo de IA executado localmente na própria infraestrutura do SpendFlow. Nenhum dado é transmitido a serviços externos de IA para categorização;
• Saldo, quando disponível no arquivo de origem.

Os arquivos de extrato são processados no servidor e descartados após a extração; apenas os registros de transação resultantes são persistidos.

2.3 Dados de Contracheque

Mediante consentimento explícito e revogável do titular, o SpendFlow extrai e armazena exclusivamente:

• Valor líquido (R$);
• Valor bruto (R$);
• Competência (mês/ano), além de um rótulo de identificação da fonte informado livremente pelo próprio titular.

O leitor de contracheques foi desenhado para extrair apenas os três valores numéricos acima. CPF, número SIAPE, matrícula, nome e órgão empregador não são lidos do contracheque para a memória nem persistidos. O CPF, quando fornecido, é coletado separada e opcionalmente pelo titular (veja a Seção 2.5) — nunca extraído do contracheque.

2.4 Dados de Auditoria e Navegação

• Endereço IP anonimizado (IPv4: o último octeto é descartado — ex.: 203.0.113.0; IPv6: mantém-se apenas o prefixo do provedor) — registrado por operação para fins de auditoria e segurança (LGPD, art. 37);
• Registros de data e hora de login, logout, upload de extrato, exportação de dados e revogação de consentimento.

Esses registros são visíveis ao próprio titular no Painel de Privacidade, acessível em Configurações.

2.5 CPF (opcional)

O cadastro do CPF é opcional — a plataforma funciona sem ele. Quando fornecido pelo titular (no cadastro ou em Configurações), o CPF é usado para identificar de quem é cada extrato/fatura e detectar documentos que pertençam a outra pessoa (veja a Seção 2.6). O CPF é armazenado cifrado (criptografia Fernet) acompanhado de um código derivado (HMAC-SHA256) para comparação; o banco de dados nunca vê o CPF em texto puro, e ele jamais aparece em registros, logs ou exportações — apenas de forma mascarada (ex.: ***.***.***-35).

O titular pode remover o CPF a qualquer momento em Configurações, mantendo seus extratos e análises (a detecção de documentos de terceiros apenas deixa de operar). A remoção não exige excluir a conta.

2.6 Dados de Terceiros (familiares)

Se o titular enviar um extrato/fatura cujo CPF difere do seu, o SpendFlow não armazena esse documento automaticamente: exibe um aviso e abre uma confirmação. O dado de terceiro só é gravado se o titular declarar expressamente que possui autorização do titular daquele dado para tratá-lo no SpendFlow (declaração versionada, registrada em auditoria com data/hora e IP anonimizado).

Quando armazenados, os dados de cada pessoa ficam em silos isolados por CPF — as análises nunca cruzam dados de pessoas diferentes. O titular pode, a qualquer momento, excluir os dados de um familiar (o que apaga as transações daquele silo e revoga o consentimento) ou descartar o que importou em uma sessão, pelo Painel de Privacidade.

2.7 Análise de Consciência Financeira

A partir das transações importadas, o SpendFlow pode derivar sinais sobre padrões de gasto (por exemplo, gastos rápidos e repetidos, ou a constatação factual de transferências a operadores de apostas licenciados pela Secretaria de Prêmios e Apostas, com indicação dos canais oficiais de autoexclusão). Esse processamento é local e determinístico, não é compartilhado com terceiros e destina-se exclusivamente a informar o próprio titular. O SpendFlow nunca emite juízo de saúde em voz própria — apenas aponta para a autoridade oficial.

Existe ainda uma lente profunda opcional (visão mensal de longo prazo desses padrões), que é desligada por padrão e só opera mediante consentimento explícito, versionado e revogável, dado em Configurações. Nada é persistido por essa análise além do próprio registro de consentimento; a revogação tem efeito imediato.

2.8 Contribuição anônima de formatos

Na página inicial, qualquer pessoa pode, opcionalmente, enviar um extrato ou fatura para nos ajudar a reconhecer mais formatos de banco. Esse envio é anônimo: não exige conta nem login. O arquivo é processado na hora, em ambiente isolado, apenas para extrair a estrutura do formato (colunas, banco, padrões e o leiaute mascarado — letras e números são substituídos, a pontuação é mantida) e é descartado em seguida — o arquivo não é armazenado. Guardamos somente uma impressão estrutural, projetada para não conter dado pessoal e não vinculada a você, com remoção de CPF, e-mail e sequências numéricas longas (4 ou mais dígitos), e descarte das descrições de transferência entre pessoas reconhecidas por heurística. Base legal: consentimento. Retenção: IP anonimizado removido em 90 dias; impressão em até 12 meses.

2.9 Renda recorrente confirmada

Quando o SpendFlow detecta um crédito recorrente nas transações já importadas (por exemplo, um Pix mensal), o titular pode confirmar que aquilo é renda. Dessa confirmação são armazenados apenas: um código opaco e irreversível derivado da descrição do crédito (HMAC) e o valor mensal estimado. O nome ou identificação de quem paga nunca é armazenado. A confirmação alimenta exclusivamente as análises de renda do próprio titular, pode ser desfeita a qualquer momento e é eliminada junto com a conta.

2.10 Foto de perfil (opcional)

O titular pode, opcionalmente, enviar uma foto de perfil. A imagem é re-codificada no servidor antes de ser guardada — o que remove metadados EXIF/GPS (localização, aparelho) — e armazenada em repositório privado, nunca acessível publicamente: a exibição usa endereços assinados de curta duração (1 hora). A foto pode ser substituída ou removida a qualquer momento em Configurações e é eliminada junto com a conta. Alternativamente, o titular pode escolher um avatar ilustrativo do catálogo, que não envolve dado pessoal.

4.1 Banco de Dados e Autenticação

Estado atual: Supabase Inc. (empresa sediada nos EUA; dados armazenados na região São Paulo — sa-east-1, Brasil) — plataforma PostgreSQL gerenciada. Row-Level Security (RLS) ativo em todas as tabelas, de modo que cada usuário acessa exclusivamente os próprios dados.

Previsão: migração para infraestrutura própria autossustentada (self-hosted) no Brasil, eliminando o suboperador externo e a transferência internacional para este serviço.

4.2 Monitoramento de Erros

Sentry Inc. (EUA) — monitoramento de erros técnicos. Os relatórios enviados contêm stack traces e metadados de depuração. Nenhum dado financeiro, CPF ou informação de contracheque é incluído nos eventos de erro (scrubbing de PII ativo).

4.3 Inteligência Artificial

O SpendFlow processa a categorização e as análises financeiras primariamente por algoritmos determinísticos executados no próprio servidor. Quando um modelo de IA é utilizado para auxiliar a categorização ou gerar recomendações, ele roda localmente, na infraestrutura do SpendFlow (modelo qwen2.5:7b via Ollama), sem qualquer tráfego externo.

Nenhum dado pessoal — financeiro, de contracheque ou de identificação — é transmitido a serviços externos de inteligência artificial, provedores de IA em nuvem ou modelos de terceiros. O SpendFlow não utiliza o Google Gemini nem qualquer outro serviço de IA externo.

4.4 Alertas operacionais de infraestrutura

Para monitorar a disponibilidade da plataforma, o SpendFlow pode enviar alertas operacionais a um canal interno da equipe (webhook Discord/Slack). Essas mensagens contêm, por construção, apenas o estado da infraestrutura (nomes de componentes, situação e horário) — nunca dado pessoal, identificador de usuário ou conteúdo financeiro.

4.5 Hospedagem e Infraestrutura de Aplicação

Vercel Inc. (EUA) — hospedagem da interface web. Além de servir a aplicação, executa funções de borda que processam o cookie de sessão (token JWT) para roteamento autenticado.

Render (EUA) — hospedagem do servidor de aplicação (API). É o ambiente onde os dados pessoais são efetivamente processados, incluindo a decifragem do CPF em memória para as operações autorizadas pelo titular.