Política de Privacidade

O Fluxo é uma plataforma SaaS (Software as a Service) de controle financeiro empresarial desenvolvida para auxiliar empresas brasileiras na gestão de fluxo de caixa, categorização de transações e análise de resultados. Neste documento, "Fluxo", "plataforma", "nós" e "nosso" referem-se a MACHADO ORIENTACAO EMPRESARIAL, inscrita no CNPJ sob o nº 34.604.642/0001-11, responsável pelo desenvolvimento e operação desta plataforma.

Encarregado de Dados (DPO): disponível pelos canais de atendimento da plataforma.

Tratamos seus dados com as seguintes finalidades e bases legais:

Não vendemos, alugamos nem comercializamos seus dados pessoais ou financeiros. Nunca.

Compartilhamos dados apenas com os seguintes prestadores de serviços (subprocessadores), estritamente necessários para o funcionamento da plataforma:

Uso agregado para melhorar a categorização: para aprimorar a sugestão automática de categorias, descrições de transações já higienizadas (sem valores, sem CPF/CNPJ, sem dados identificáveis) podem ser usadas de forma agregada e anônima entre usuários — quando há consenso unânime sobre como uma mesma descrição é classificada, ele é reaproveitado. Esse processamento é interno e não expõe a sua conta nem o conteúdo financeiro de ninguém.

Podemos ainda divulgar dados quando exigido por lei, decisão judicial ou por autoridade regulatória competente, sendo sempre limitado ao mínimo necessário.

Adotamos medidas técnicas e organizacionais para proteger seus dados contra acesso não autorizado, perda, destruição ou alteração:

• Row Level Security (RLS): Cada usuário acessa exclusivamente seus próprios dados. Uma conta nunca enxerga dados de outra — nem por erro de código, pois a restrição ocorre no nível do banco de dados.
• Criptografia em trânsito: Toda comunicação entre seu navegador e nossos servidores é criptografada via HTTPS/TLS 1.2+.
• Criptografia em repouso: Dados armazenados no banco são criptografados em repouso pela Supabase/AWS.
• Isolamento de credenciais: Chaves de API, tokens e segredos nunca são expostos ao navegador do cliente. São utilizados exclusivamente em ambientes de servidor.
• Hashing de senhas: Senhas são transformadas em hash com bcrypt pela camada de autenticação do Supabase. Não há mecanismo para recuperar a senha original.
• Controle de acesso: Acesso à infraestrutura de produção é restrito a responsáveis com autenticação de múltiplos fatores.
• Monitoramento: Acessos suspeitos e anomalias são monitorados continuamente.

Nenhum sistema é 100% inviolável. Em caso de incidente de segurança que afete seus dados, notificaremos você e a ANPD conforme previsto na LGPD, no prazo de 72 horas após ciência do incidente.

Alguns de nossos subprocessadores (Vercel, Groq e OpenRouter) são empresas norte-americanas que podem processar dados em servidores fora do Brasil. Essas transferências ocorrem com base em cláusulas contratuais padrão e certificações de segurança equivalentes à legislação brasileira, conforme permitido pelo art. 33 da LGPD.

O banco de dados principal (Supabase) está localizado no Brasil (sa-east-1 / São Paulo) e o processamento de pagamentos (Asaas) também ocorre no Brasil.

Conforme a Lei Geral de Proteção de Dados (Lei 13.709/2018), você tem os seguintes direitos em relação aos seus dados pessoais:

Para exercer qualquer um desses direitos, entre em contato pelos canais de atendimento da plataforma. Responderemos no prazo máximo de 15 (quinze) dias úteis.

Mantemos seus dados pelo tempo que sua conta estiver ativa e pelo período necessário para cumprir as finalidades descritas nesta política.

• Dados de transações financeiras: mantidos enquanto a conta estiver ativa. Ao excluir a conta, são removidos imediatamente (exclusão em cascata no banco), salvo obrigação legal de retenção.
• Contas em teste (trial) que não assinaram: são excluídas automaticamente 30 dias após o término do período de teste.
• Assinaturas canceladas: os dados são excluídos automaticamente 90 dias após o cancelamento, permitindo que você reative a conta nesse intervalo.
• Assinaturas com pagamento em atraso: o acesso de edição é mantido por 7 dias após o vencimento da cobrança; passado esse prazo a conta fica em modo somente-leitura, e os dados são excluídos automaticamente 90 dias após o início do atraso, caso a situação não seja regularizada.
• Logs de segurança e acesso: retidos por até 12 meses para fins de auditoria de segurança.
• Dados de pagamento: os identificadores da assinatura mantidos pelo Fluxo e os registros mantidos pelo Asaas seguem a exigência da legislação tributária brasileira e as regras do processador de pagamentos.
• Backups: cópias de segurança podem reter dados por até 7 dias após exclusão, após os quais são sobrescritos.

Você pode solicitar a exclusão imediata da sua conta e de todos os dados associados a qualquer momento, através das configurações da conta ou por e-mail. Se a conta tiver membros ativos, a exclusão do titular exige a indicação de um sucessor, para que os dados compartilhados não sejam perdidos pelos demais membros.

Utilizamos apenas os cookies estritamente necessários para o funcionamento do serviço:

Não utilizamos cookies de rastreamento, publicidade, analytics de terceiros nem qualquer tecnologia de fingerprinting.

O Fluxo é destinado exclusivamente ao uso empresarial por pessoas maiores de 18 anos. Não coletamos intencionalmente dados de menores de idade. Se tomarmos conhecimento de que dados de um menor foram coletados, procederemos à sua eliminação imediata.

Podemos atualizar esta Política de Privacidade periodicamente. Em caso de alterações substanciais que afetem seus direitos, notificaremos você por e-mail com antecedência mínima de 15 (quinze) dias antes da entrada em vigor das mudanças. A continuidade do uso da plataforma após esse prazo implica aceitação das novas condições.

O histórico de versões desta política está disponível mediante solicitação.

Para dúvidas, solicitações ou reclamações sobre o tratamento dos seus dados: