Política de Privacidade
Versão 1 · vigente desde 1º de setembro de 2026
Esta política diz o que acontece com os seus dados quando você usa o Contr0l. Ela é escrita para ser lida, não para se proteger de você: onde houver uma troca ruim, ela está dita na cara e não escondida no meio de uma lista.
O resumo, e é o que importa: os seus lançamentos financeiros ficam no seu aparelho. Se você criar uma conta para ter backup, o que sobe é um arquivo cifrado dentro do seu aparelho, com uma chave derivada da sua senha. O servidor recebe esse arquivo fechado e o guarda fechado — não existe cópia legível dos seus gastos do meu lado, e não existe painel onde eu veja quanto você gasta.
A consequência disso: se você esquecer a senha da conta, o backup não pode ser recuperado — nem por mim. Não há "recuperar senha" que devolva os dados, porque a chave é sua. É o mesmo motivo pelo qual eu não consigo ler nada.
1. Quem trata os dados
O controlador é Gabriel Garcia, pessoa física, desenvolvedor do Contr0l. Contato do titular para qualquer pedido desta política, inclusive exclusão (art. 41 da LGPD): o mesmo canal por onde você recebeu o app.
2. O app sem conta: nada sai do aparelho
Instalar e usar o Contr0l não exige cadastro. Nessa forma de uso, o app grava tudo num banco SQLite dentro da área privada do próprio aplicativo, no seu aparelho, e não faz requisição de rede nenhuma com os seus lançamentos. Não há anúncios, não há SDK de terceiros e não há telemetria enviada para fora: as métricas de funcionamento que o app coleta existem apenas na memória durante a execução e morrem quando ele fecha.
A contrapartida está dita na página do app: sem conta, se você desinstalar ou perder o aparelho, os lançamentos vão junto. Eu não tenho cópia para devolver.
3. O que é tratado quando você cria uma conta
A conta é opcional e serve para duas coisas: guardar um backup cifrado e provar o seu acesso a funções pagas. O que existe do meu lado:
| Dado | Para que serve | Eu consigo ler? |
|---|---|---|
| Identificar a conta e falar com você sobre ela | Sim | |
| Verificador da senha | Conferir o login. É um valor derivado da sua senha por Argon2id com sal próprio — a senha em si nunca chega ao servidor | Não recupero a senha a partir dele |
| Sais e parâmetros de derivação, chave de backup embrulhada | Permitir que o seu aparelho reconstrua a chave a partir da sua senha | Inúteis sem a sua senha |
| Token de sessão | Manter você conectado sem pedir a senha a cada uso | Sim, e expira |
| Backup do banco de dados | Restaurar seus lançamentos ao reinstalar ou trocar de aparelho | Não. Chega cifrado (XChaCha20-Poly1305) e é guardado como um arquivo opaco |
| Situação do pagamento e data de validade | Liberar função paga e trial | Sim |
| Chave de licença e e-mail de quem comprou | Liberar o download do app quando ele for pago | Sim |
Nenhum lançamento, valor, categoria ou descrição aparece nessa lista. Eles só existem em claro no seu aparelho e, cifrados, dentro do arquivo de backup.
4. Base legal e finalidade
O tratamento acima se apoia na execução do contrato celebrado com você (art. 7º, V, da LGPD), e não em consentimento: sem e-mail e sem verificador de senha não existe conta, e sem conta não existe backup nem acesso pago. Cada dado tem uma finalidade única, a da tabela — nada é usado para perfilamento, publicidade ou venda a terceiros. Não há venda de dados, em nenhuma hipótese.
5. Metadado de funcionamento
Uma distinção que eu me comprometo a manter: dado financeiro não sai do aparelho em claro, nunca. Metadado de funcionamento — versão instalada, situação do entitlement, data do último backup — passa a trafegar quando você usa conta, verificação de atualização ou função paga. Prometer "zero internet" e voltar atrás depois seria propaganda falsa; a promessa que eu faço é a primeira, e ela não muda.
6. Com quem os dados são compartilhados
Com nenhum parceiro comercial. Existem apenas os operadores de infraestrutura necessários para o serviço funcionar:
- Cloudflare (Workers, KV e D1): executa o servidor de contas e guarda o arquivo de backup cifrado.
- Provedor de pagamento, quando houver cobrança: trata o pagamento e me devolve apenas a confirmação. Dados de cartão não passam por mim nem pelo app.
Transferência internacional (art. 33 da LGPD): a infraestrutura da Cloudflare é distribuída globalmente, então e-mail, situação de conta e o arquivo cifrado podem ser armazenados e processados fora do Brasil. O arquivo de backup viaja e repousa cifrado, o que é o motivo de essa transferência não expor seus lançamentos.
7. Por quanto tempo
- Conta, e-mail e backup: enquanto a conta existir.
- Sessões: expiram por conta própria e são apagadas quando você sai.
- Registro fiscal de um pagamento: mantido pelo prazo legal, mesmo depois de a conta ser apagada. É obrigação própria, com base legal própria (art. 7º, II).
8. Seus direitos (art. 18)
Você pode pedir confirmação de tratamento, acesso, correção, portabilidade e eliminação. Dois deles não dependem de mim e você exerce sozinho, na hora:
- Eliminação: no app, abra Sua conta → Apagar minha conta. Isso apaga do servidor a conta, o e-mail, as sessões e o backup cifrado. É imediato e não tem volta.
- Portabilidade e acesso: os seus lançamentos estão num arquivo SQLite no seu próprio aparelho — o formato é aberto e legível por qualquer ferramenta de banco de dados.
Apagar a conta não apaga os lançamentos do seu aparelho: eles nunca foram meus, e o app volta a funcionar sem conta, como antes de você criar uma. Para os demais pedidos, use o canal de contato do item 1.
9. Segurança
- Backup cifrado no aparelho antes de qualquer byte tocar a rede, com chave derivada da sua senha por Argon2id.
- A senha, a chave e o token de sessão vivem no processo nativo do app, nunca no JavaScript da interface.
- Toda a comunicação usa HTTPS.
- Um backup adulterado ou de outra conta falha na verificação e é recusado antes de escrever qualquer coisa no seu aparelho.
Segurança de dado que não existe é a mais barata: a arquitetura foi escolhida para eu ter o mínimo possível de coisa sua.
10. Crianças e adolescentes
O Contr0l não é dirigido a menores de 18 anos e não pede idade. Se um responsável identificar uma conta criada por menor sob sua guarda, o pedido de exclusão pelo canal de contato é atendido.
11. Mudanças nesta política
Mudança de política é aviso, não surpresa. Quando algo material mudar, a versão e a data no topo desta página mudam, e a alteração é anunciada na página do app antes de valer. Versões anteriores continuam disponíveis a pedido.