Política de Privacidade

O controlador dos dados pessoais tratados no aplicativo MIF é a CO2 LAB LTDA, inscrita no CNPJ sob nº 39.346.526/0001-63, com sede na R. Coronel Amando Simões, 564, Sala 132, Centro, Igaraçu do Tietê/SP, CEP 17.350-041, operadora do MIF, doravante “CO2 Lab” ou “nós”. O canal oficial de contato com o Encarregado de Dados está indicado ao final desta política, na seção “Contato”.

A CO2 Lab é a controladora dos dados pessoais de todos os usuários do aplicativo, inclusive de cada membro de um grupo familiar, como descrito na seção “Grupo familiar”.

Esta Política aplica-se a todas as funcionalidades do aplicativo e descreve como tratamos seus dados pessoais, em conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 — “LGPD”).

Cada atividade de tratamento se apoia em uma das bases legais previstas no Art. 7º da LGPD:

• •Execução de contrato (Art. 7º, V) — para prover as funcionalidades do aplicativo que você contratou ao criar a conta e que usa a seu pedido, incluindo a leitura dos documentos que você envia, o acompanhamento das cobranças e boletos que você cadastra, a organização do estoque a partir de notas e cupons, o processamento do texto que você cola ou compartilha, os lembretes de vencimento e o envio de notificações transacionais e de segurança (códigos de verificação, alertas de login, confirmações de operação, avisos sobre o funcionamento da sua conta e atualizações materiais desta Política ou dos Termos)
• •Consentimento (Art. 7º, I) — para envio de notificações promocionais, educativas e de engajamento (dicas, novidades, lembretes não essenciais), compartilhamento de dados em grupo familiar e demais funcionalidades opcionais. Você pode revogar o consentimento a qualquer tempo em Perfil → Notificações, sem prejuízo das notificações transacionais
• •Legítimo interesse (Art. 7º, IX) — para segurança da conta, prevenção a fraudes, melhoria do serviço e análises estatísticas agregadas
• •Legítimo interesse (Art. 7º, IX), conforme avaliação de legítimo interesse — para os dados de terceiros contidos nos documentos que você envia (como o pagador e o beneficiário em comprovantes e boletos), tratados apenas para ler o documento, ligá-lo aos seus lançamentos e cobranças e exibi-lo a você. Nos campos da sua conta guardamos somente o nome do beneficiário e o seu CPF ou CNPJ mascarado, e nenhum dado do pagador
• •Cumprimento de obrigação legal ou regulatória (Art. 7º, II) — para atender determinações de autoridades competentes
• •Exercício regular de direitos (Art. 7º, VI) — para defesa em processos judiciais ou administrativos

Você pode, a qualquer tempo, revogar o consentimento concedido para funcionalidades opcionais, sem prejuízo das demais funcionalidades baseadas em outras hipóteses legais.

Negar ou revogar o consentimento para uma funcionalidade opcional não traz nenhuma desvantagem nem restringe as funcionalidades contratadas da sua conta: a única consequência é não ter acesso àquela funcionalidade opcional.

Os lembretes de vencimento de boletos são enviados 3 dias antes e no dia do vencimento, pelos canais que você habilitar para esse aviso (notificação no celular, e-mail ou SMS) em Perfil → Notificações, onde cada canal pode ser ligado ou desligado separadamente. Como o aviso pode aparecer na tela bloqueada do aparelho, a notificação no celular e o SMS não trazem o valor nem o beneficiário — o SMS diz apenas que há um boleto a vencer —, e o e-mail informa somente a data de vencimento. O detalhe aparece quando você abre o aplicativo.

Utilizamos serviços de inteligência artificial para extrair informações dos documentos que você envia (reconhecimento óptico de caracteres), inclusive comprovantes de pagamento e os itens de notas e cupons de compra, e para gerar sugestões e alertas a partir de seus dados financeiros (categorização de transações, identificação de padrões e auditoria automatizada).

Marcação automática

Algumas ligações são feitas sem pedir a sua confirmação: quando um lançamento corresponde a uma cobrança cadastrada, a cobrança é marcada como paga; e quando um comprovante corresponde a um lançamento, o comprovante é ligado a ele. A correspondência é feita pela comparação de valor, data e identificadores do pagamento e, quando há mais de um lançamento possível para um comprovante, pela escolha da inteligência artificial, que só faz a ligação quando tem alta confiança — nos demais casos, a escolha fica com você.

Você pode desfazer qualquer marcação automática no próprio aplicativo, a qualquer tempo: a cobrança marcada como paga pode ser reaberta, e a ligação do comprovante a um lançamento pode ser recusada.

Essas funcionalidades têm caráter auxiliar e não produzem efeitos jurídicos sobre você. Nos termos do Art. 20 da LGPD, você tem direito a solicitar revisão humana de qualquer decisão tomada unicamente com base em tratamento automatizado que afete seus interesses, além de poder desfazer as marcações automáticas como descrito acima.

Os documentos enviados — inclusive os dados de terceiros que eles contenham — podem ser processados por serviços de inteligência artificial de provedores terceiros, contratados como operadores, sob contrato que veda o uso dos dados para treinamento de modelos ou para qualquer finalidade alheia ao processamento contratado.

Para operar o serviço, contratamos operadores (terceiros que tratam dados pessoais em nosso nome, sob nossas instruções e sob obrigação contratual de confidencialidade e segurança):

As assinaturas do aplicativo são compradas na loja de aplicativos do seu aparelho, que trata os dados do pagamento por conta própria; recebemos dela apenas a confirmação da compra e a situação da assinatura.

Não compartilhamos seus dados com bancos, operadoras de cartão, corretoras de dados, anunciantes ou para fins de marketing de terceiros. Poderemos divulgar dados quando exigidos por ordem judicial, requisição de autoridade competente, ou para exercício de direito em processo judicial, administrativo ou arbitral.

Em caso de reorganização societária, fusão, aquisição ou venda de ativos, seus dados poderão ser transferidos ao sucessor, que assumirá os mesmos compromissos previstos nesta Política. Você será informado previamente quando aplicável.

Todos os dados tratados no MIF ficam armazenados nos Estados Unidos, nos centros de dados do provedor de infraestrutura em nuvem que contratamos. Outros operadores — como os provedores de inteligência artificial, de monitoramento de falhas e de envio de mensagens — também podem tratar dados fora do Brasil.

Há, portanto, transferência internacional de dados pessoais. Ela se apoia no Art. 33 da LGPD, mediante cláusulas contratuais que asseguram nível adequado de proteção, nos termos da regulamentação da ANPD: cada operador se obriga a observar os princípios, os direitos do titular e o regime de proteção de dados previstos na LGPD. Você pode pedir informações sobre as cláusulas aplicáveis pelo canal indicado na seção “Contato e Encarregado de Dados”.

Adotamos medidas técnicas e administrativas adequadas para proteger seus dados, incluindo criptografia em trânsito e em repouso, controle de acesso baseado em privilégio mínimo, autenticação forte, monitoramento contínuo e revisão periódica de segurança.

Nenhum sistema é absolutamente invulnerável. Recomendamos que você utilize senha exclusiva, mantenha o aplicativo atualizado e ative a verificação em duas etapas.

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados no prazo de 3 (três) dias úteis contados do conhecimento de que o incidente afetou dados pessoais, conforme o Art. 48 da LGPD e o Regulamento de Comunicação de Incidente de Segurança da ANPD (Resolução CD/ANPD nº 15/2024), descrevendo a natureza dos dados envolvidos, as medidas de mitigação adotadas e as recomendações pertinentes.

Tratamos seus dados pelo tempo necessário ao cumprimento das finalidades descritas nesta Política:

• •Dados de cadastro e financeiros: pelo período em que sua conta existir, mesmo sem assinatura ativa
• •Códigos de verificação e chaves temporárias: por curto período, suficiente apenas à finalidade de autenticação
• •Registros de acesso a aplicação: por 6 meses (Art. 15 do Marco Civil da Internet — Lei 12.965/2014)
• •Lançamentos importados, se você cancelar a assinatura ou ela não for renovada: permanecem na sua conta, só para leitura — visíveis em Importações e na Revisão e incluídos na exportação dos dados, fora dos cálculos —, sem apagamento. Metas, orçamentos e categorias personalizadas acima do limite do plano Grátis também ficam só para leitura e não são apagados
• •Lançamentos e demais dados gerados automaticamente a partir dos documentos importados, se você exercer o direito de arrependimento com reembolso: passam ao estado de “histórico não-funcional” — visíveis em Importações e na Revisão e incluídos na exportação dos dados, fora dos cálculos — e são eliminados 180 dias depois, se você não voltar a assinar um plano pago nesse prazo. Os arquivos originais enviados continuam na sua conta enquanto ela existir
• •Exclusão da conta: depois que você confirma o pedido, a conta ainda pode ser recuperada por 30 dias, cancelando o pedido em Perfil → Solicitações de exclusão. Terminado esse prazo, os dados da conta e os arquivos enviados são eliminados. Para permitir a recuperação de uma exclusão acidental, guardamos uma cópia de segurança dos dados eliminados por mais 30 dias, em ambiente segregado e de acesso restrito; depois disso, ela é eliminada de forma definitiva. Ficam de fora apenas os registros que a lei nos obriga a guardar, listados no item seguinte
• •Dados guardados após a exclusão, somente pelo prazo legal: (a) registros de acesso a aplicação, até completar 6 meses (Art. 15 do Marco Civil da Internet); (b) por 5 anos, a assinatura e os eventos de pagamento ao MIF (prazos dos Arts. 173 e 174 do Código Tributário Nacional e do Art. 27 do Código de Defesa do Consumidor), o registro do assento cobrado da empresa, quando você usou o MIF por meio de uma empresa, e a prova do aceite dos Termos e desta Política — versão, data, hora e endereço IP — junto com o registro dos seus consentimentos (Art. 8º, § 2º, da LGPD); e (c) havendo reclamação ou processo judicial ou administrativo em curso, os dados necessários à defesa, até o seu encerramento. Todos os demais dados — lançamentos, faturas, extratos, dados do IR, metas, orçamentos, estoque, documentos lidos, padrões, notificações, uso de inteligência artificial e grupo familiar — ficam apenas na cópia de segurança dos 30 dias. Decorridos esses prazos, os dados guardados também são eliminados

A funcionalidade de grupo familiar é opcional. A CO2 Lab é a controladora dos dados pessoais de todos os membros do grupo — de quem o cria, de quem o administra e de cada membro convidado — e responde pelo tratamento desses dados nos termos desta Política.

Ninguém é incluído em um grupo sem aceitar: o membro convidado recebe o convite e só passa a fazer parte do grupo depois de aceitá-lo. O titular responsável pelo grupo (administrador) define o papel e o nível de acesso de cada membro, e os dados marcados como “família” ficam visíveis aos membros conforme essas permissões. Dados marcados como pessoais nunca são visíveis a outros membros.

A inclusão de uma criança ou de um adolescente como dependente, inclusive no perfil de mesada, depende do consentimento específico e em destaque de pelo menos um dos pais ou do responsável legal, que é quem gerencia os dados do menor no aplicativo, conforme o Art. 14 da LGPD e a seção “Crianças e adolescentes”.

No caso de dependentes menores, as preferências de notificação são definidas pelo responsável legal que administra o grupo, conforme o melhor interesse da criança ou adolescente, e limitam-se a avisos operacionais do grupo familiar (por exemplo, lançamentos de mesada e limites combinados). Não enviamos comunicações promocionais, publicitárias ou de engajamento a dependentes menores de idade.

Nos termos do Art. 18 da LGPD, você pode, a qualquer tempo, exercer os seguintes direitos:

• •Confirmação da existência de tratamento e acesso aos seus dados
• •Correção de dados incompletos, inexatos ou desatualizados
• •Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade
• •Portabilidade dos seus dados a outro fornecedor de serviço, observados os segredos comercial e industrial
• •Eliminação dos dados tratados com base em consentimento, ressalvadas as hipóteses de conservação legalmente previstas
• •Informação sobre as entidades públicas e privadas com as quais houve compartilhamento
• •Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa
• •Revogação do consentimento, a qualquer tempo
• •Revisão de decisões tomadas unicamente com base em tratamento automatizado
• •Peticionar perante a Autoridade Nacional de Proteção de Dados (ANPD)

Boa parte dos pedidos pode ser feita no próprio aplicativo: corrigir seus dados em Perfil → Dados pessoais; exportar seus dados, em arquivo JSON, em Perfil → Exportar meus dados; mudar preferências e revogar consentimentos em Perfil → Notificações; pedir a exclusão da conta em Perfil → Dados pessoais → Excluir minha conta, com confirmação por código enviado ao seu e-mail; e acompanhar ou cancelar pedidos de exclusão em Perfil → Solicitações de exclusão. Os demais pedidos podem ser enviados ao e-mail indicado na seção “Contato”, com o seu nome, o e-mail cadastrado e o direito que deseja exercer.

Prazos de atendimento

• •Confirmação da existência de tratamento e acesso aos dados em formato simplificado: de imediato, pelas telas do aplicativo e pela exportação dos dados
• •Declaração clara e completa, com a origem dos dados, a inexistência de registro, os critérios utilizados e a finalidade do tratamento: em até 15 dias contados do seu pedido (Art. 19, II, da LGPD)
• •Correção, revogação de consentimento e mudança de preferências: de imediato, quando feitas no aplicativo; em até 15 dias, quando pedidas por e-mail
• •Exclusão da conta: a conta é eliminada 30 dias após a confirmação do pedido, prazo em que você pode cancelá-lo; os dados guardados por obrigação legal seguem a seção “Retenção e descarte”

Para proteger você contra fraudes e acessos indevidos, podemos confirmar a identidade de quem faz o pedido — por exemplo, exigindo que ele parta do e-mail cadastrado ou que seja confirmado por código de verificação — antes de fornecer cópia de dados, alterá-los ou excluí-los.

Cabe a você manter corretos e atualizados os dados que informa, em especial o e-mail e o telefone, para receber códigos de verificação, avisos de segurança e comunicações sobre a sua conta.

Utilizamos armazenamento seguro no próprio dispositivo para guardar suas preferências (tema, aparência, configurações de notificação) e para manter sua sessão autenticada. Não utilizamos cookies ou tecnologias semelhantes para rastreamento publicitário ou para coleta de dados por terceiros.

Podemos atualizar esta Política periodicamente. Toda nova versão será disponibilizada no aplicativo com nova data de vigência e número de versão. Alterações relevantes serão comunicadas com antecedência mínima de 15 dias, por meio de aviso no aplicativo, e-mail ou notificação no celular.