Política de Privacidade

01A versão curta

O Spendhog é uma ferramenta para veres o teu próprio dinheiro com clareza. Pedimos o mínimo possível, nunca vendemos os teus dados, não corremos rastreadores nem analítica, e o assistente de IA está desligado até tu o ligares.

02Quem somos

O responsável pelo tratamento é Valentino Baptista, Tösswiesenstrasse 35, 8413 Neftenbach, Suíça. O Spendhog é operado a título pessoal, não por uma empresa. Para qualquer questão sobre dados: info@spendhog.com.

03Que dados recolhemos

Apenas o que o Spendhog precisa para funcionar para o teu agregado:

• Dados de conta: o teu email e, se iniciares sessão com Google, o nome associado a essa conta, mais os membros que convidas. O idioma em que te registaste fica guardado com o teu login, para que as tuas categorias iniciais tenham nomes nesse idioma, seja qual for o dispositivo onde confirmas o registo.
• Os dados financeiros que introduzes: contas, movimentos, orçamentos, categorias, membros, etiquetas e metas. És tu que os introduzes ou importas; o Spendhog não liga ao teu banco.
• Pessoas do teu agregado que não têm conta, incluindo crianças: podes acrescentá-las como membros, dar-lhes um nome e atribuir-lhes gastos. Os nomes delas e os gastos que lhes atribuis fazem parte dos teus dados e são guardados como o resto, por isso regista só o que tens o direito de registar sobre elas. Se ligares o assistente, os nomes delas vão no resumo que ele recebe (ver a secção 12).
• As tuas preferências de interface: idioma, tema, tamanho do texto, formatos de data e de número, a disposição do painel e as colunas da lista de movimentos. Ficam guardadas com a tua conta na nossa base de dados, para te acompanharem de um dispositivo para outro.
• Mensagens que envies através do formulário de Feedback, com o email da tua conta, e os ficheiros que decidas anexar: até três por mensagem, imagens PNG, JPG ou WebP ou PDF, até 5 MB cada. Uma captura de ecrã mostra tudo o que estava no ecrã, incluindo os teus números, por isso anexa só o que queres que vejamos. Antes de saírem do teu dispositivo, as imagens são desenhadas de novo, o que lhes tira os metadados, como o sítio onde uma fotografia foi tirada; um PDF segue tal como está. Os ficheiros ficam no Supabase, na Irlanda, como o resto dos dados, num espaço privado que só o operador consegue abrir: depois de enviados, nem tu, nem outra conta, nem a própria app os conseguem ler.
• Subscrição: se subscreveres, o pagamento é tratado pela Paddle (merchant of record), que recolhe nome, morada e dados de pagamento; nós recebemos apenas o estado da subscrição, nunca o cartão.
• Registos de erros. Não corremos analítica de utilização. Se a app falhar, regista o erro para o podermos corrigir: a mensagem, o rasto técnico do sítio do código onde aconteceu (o stack trace), a página, a versão da app e a identificação do browser, associados à tua conta para sabermos se uma falha atingiu uma pessoa ou muitas. Nunca o conteúdo do teu livro de registos. São apagados ao fim de 90 dias, por uma limpeza que corre todos os dias.
• Registos do servidor. O servidor que entrega as páginas da app, e o proxy à frente dele, guardam registos de acesso normais de cada pedido: endereço IP, hora, o endereço pedido e a identificação do browser. Servem apenas para operar e proteger o serviço, e só o operador os pode ler.
• Resposta de saída (opcional). Se apagares a tua conta, podes dizer-nos porquê. A conta apaga-se na mesma. A resposta fica guardada sem ligação à tua conta, ao teu email ou ao teu agregado: o motivo que escolheste, a nota que escreveres (até 500 caracteres), a idade da conta numa faixa (por exemplo, entre 8 e 30 dias), se havia lançamentos num agregado a que pertencias, o plano (teste, gratuito ou pago) e o mês. A nota é texto livre, por isso não escrevas nela nada que te identifique. Base legal: interesse legítimo em melhorar o serviço, a partir de uma resposta voluntária. Guardamos estas respostas durante 24 meses e depois apagamo-las.
• Os logótipos que escolhes para contas e metas são carregados pelo teu browser diretamente do endereço que indicas; esse servidor vê o teu endereço IP, como qualquer imagem na web.
• Origem da visita: se chegaste através de um anúncio, as etiquetas de campanha (utm) e o identificador de clique que a rede de anúncios acrescenta ao endereço: Google (gclid, gbraid, wbraid), Meta (fbclid), Microsoft (msclkid), TikTok (ttclid) ou LinkedIn (li_fat_id). Ficam guardados uma vez, com o teu registo, para sabermos que campanha te trouxe. Não acompanham a tua navegação e nunca são enviados à rede de anúncios nem a mais ninguém, e os identificadores de clique são apagados ao fim de 90 dias.
• Contagens por conta: para te dar apoio e tratar da faturação, o ecrã de administração do operador mostra, para cada conta, o email, quando se registou e quando entrou pela última vez, o plano, o tamanho do agregado, quantos movimentos, contas, orçamentos e metas tem e a data do movimento mais recente. Nunca o que esses movimentos dizem.
• Avisos ao operador: no máximo de dez em dez minutos, o operador recebe um email que diz apenas quantos registos novos e quantos relatórios de erro novos houve, para poder escrever a cada agregado novo nos primeiros dias e corrigir uma falha antes de alguém ter de a reportar. Esse email não traz dados pessoais: nem endereços de email, nem nomes, nem o texto dos erros. Para contar os erros, a base de dados junta os relatórios em grupos (tipo, página e mensagem, sem números nem identificadores), sem a conta de onde vieram e sem o stack trace.

04Bases legais

Estas razões valem tanto no RGPD da UE como na lei federal suíça sobre a proteção de dados (LPD): o contrato contigo (conta, dados financeiros e preferências), o teu consentimento (assistente de IA) e o interesse legítimo (feedback, a resposta opcional ao sair, convites, registos de erros, registos do servidor, cópias de segurança, as contagens por conta usadas para apoio e faturação, prevenção de abuso e medir que campanha trouxe um registo, e os avisos ao operador sobre novos registos e erros). Para criar uma conta precisamos do teu endereço de email; tudo o resto que introduzes é escolha tua.

Decisões automáticas: a app calcula para ti avaliações da tua situação financeira, como a pontuação de Saúde financeira, as notificações e as respostas do assistente. Servem só para te informar, a ti e ao teu agregado. Não tomamos, com base nelas nem de nenhuma outra forma automática, decisões sobre ti com efeitos jurídicos ou que te afetem de forma igualmente significativa. A única coisa que a app aplica sozinha são as condições da subscrição: um único período de avaliação gratuito de 30 dias por caixa de correio e as condições do preço de fundador. Se achares que foram mal aplicadas no teu caso, escreve-nos e uma pessoa revê-as.

05Onde ficam guardados

Numa base de dados Postgres gerida pelo Supabase, em servidores na União Europeia (região AWS eu-west-1, Irlanda). Os dados viajam sempre por ligação encriptada (TLS) e ficam encriptados em repouso. O isolamento entre contas é garantido pela própria base de dados (Row-Level Security): nenhum utilizador consegue ler ou alterar os dados de outro. Uma vez por semana fazemos também uma cópia completa da base de dados e guardamos as oito mais recentes, cerca de dois meses, num servidor nosso na Suíça, a que só o operador tem acesso. Existem para repor o serviço se a base de dados ou a conta de alojamento alguma vez se perderem.

06No teu navegador

Guardamos a tua sessão e uma cópia das tuas preferências de interface, para que a app abra no teu idioma e no teu tema antes de iniciares sessão. O histórico de Anular e Refazer fica em sessionStorage e desaparece quando fechas o navegador.

Os textos que o assistente escreve para ti (a conversa, a avaliação da Saúde financeira, os resumos da Simulação e o resumo mensal) e, junto de cada resposta, os totais que a app calculou para ela, as perguntas que o assistente fez à app e as pesquisas na Internet que fez ficam no navegador e são copiados para a tua conta. Continuam no dispositivo depois de terminares sessão, visíveis apenas para a conta a que pertencem, até limpares a conversa, restringires o que é enviado (o que apaga a conversa) ou desligares o assistente, o que os apaga no dispositivo e na tua conta. Enquanto o assistente espera que aceites uma nova descrição do que envia, ficam como estão.

Quando te registas, o dispositivo guarda por pouco tempo a tua aceitação destes documentos e, se chegaste através de um anúncio, as etiquetas de campanha (e, num registo com Google, o idioma em que te registaste), presos à conta que está a ser criada. A tua conta fica com eles na primeira vez que abre; caso contrário expiram ao fim de três dias, ou de trinta minutos num registo com Google. O navegador guarda ainda algumas marcas técnicas sem nada do teu livro de registos, por exemplo quanto tempo demorou o último arranque.

07Não vendemos nem partilhamos

Os teus dados não são vendidos, alugados nem partilhados com terceiros para publicidade. Não usamos rastreadores nem ferramentas de analítica, e não usamos os teus movimentos individuais para publicidade. Podemos divulgar dados se a lei o exigir.

08Serviços de terceiros e transferências para o estrangeiro

Alguns destes serviços estão fora da Suíça. Para cada um dizemos em que país está e o que protege lá os teus dados. A Suíça reconhece os países da UE e do EEE e o Reino Unido como protegendo adequadamente os dados pessoais, e a UE reconhece a Suíça e o Reino Unido; para eles não é precisa mais nenhuma garantia. Os EUA só contam como adequados para as empresas certificadas no Data Privacy Framework: o EU-U.S., para dados vindos da UE, e o Swiss-U.S., para dados vindos da Suíça, que a Suíça reconhece desde 15 de setembro de 2024. Quando o país não é reconhecido, e salvo indicação em contrário para um serviço abaixo, a transferência assenta nas cláusulas contratuais-tipo da Comissão Europeia incluídas no acordo de tratamento de dados do serviço; para dados vindos da Suíça, o IFPDT, a autoridade suíça de proteção de dados, reconhece essas cláusulas com as adaptações ao direito suíço. Consultámos a lista oficial de empresas certificadas a 28 de setembro de 2026.

Estes são todos os que tocam em alguma coisa, o que recebem e onde estão:

• Supabase: alojamento, base de dados e autenticação. O contrato é com a Supabase Pte. Ltd., em Singapura. A base de dados fica na Irlanda (AWS eu-west-1), e as funções que correm no servidor executam na região do Supabase mais próxima de quem as chama, seja o teu navegador ou outro servidor. Quando o Supabase ou os seus subcontratantes tratam dados fora da Europa, a partir de Singapura ou de outro país da lista de subcontratantes que o Supabase publica, a transferência assenta nas cláusulas contratuais-tipo do seu acordo de tratamento de dados, com o adendo suíço. O Supabase não está certificado no Data Privacy Framework.
• Google: apenas se optares por iniciar sessão com Google. Para quem está na Europa, é a Google Ireland, ao abrigo da política de privacidade da própria Google.
• Frankfurter e o BCE: taxas de câmbio, as taxas de referência do Banco Central Europeu servidas pelo serviço Frankfurter. É o teu navegador que pede as taxas, por isso o serviço vê o pedido e o teu endereço IP, como qualquer site, e nunca os teus dados. O serviço é entregue através da Cloudflare e declara que não regista endereços IP nem pedidos; não conseguimos confirmar em que país está alojado.
• Paddle: pagamentos, como merchant of record, com política de privacidade própria. A Paddle (Paddle.com Market Limited) está no Reino Unido, que a Suíça e a UE reconhecem como adequado.
• Resend: os emails da aplicação, por exemplo convites e reposição de palavra-passe. A Resend é uma empresa dos EUA e trata os dados sobretudo nos EUA, onde decorrem as suas operações principais; os nossos emails são enviados a partir da sua região europeia (Irlanda). A Resend está certificada no EU-U.S. Data Privacy Framework, o que cobre os dados vindos da UE; não tem a certificação suíça, por isso, para os dados vindos da Suíça, a transferência assenta nas cláusulas contratuais-tipo do seu acordo de tratamento de dados, com as adaptações ao direito suíço.
• Namecheap: aloja a caixa de correio info@spendhog.com, onde chegam os emails que nos envias. A Namecheap é uma empresa dos EUA, e o seu serviço de correio (Private Email) só funciona nos seus servidores nos EUA (Phoenix, Arizona). Não está certificada no Data Privacy Framework. O seu acordo de tratamento de dados contém as cláusulas contratuais-tipo da UE e do Reino Unido, mas não as adaptações ao direito suíço, por isso, para os dados vindos da Suíça, ainda não tem uma garantia reconhecida pelo IFPDT.
• Have I Been Pwned: quando defines ou mudas a palavra-passe, verifica se ela apareceu em fugas públicas, recebendo apenas um fragmento de 5 caracteres do seu hash, nunca a palavra-passe. É operado a partir da Austrália, guarda os seus dados em servidores nos EUA e é servido através da Cloudflare. Não temos contrato com ele: é o teu navegador que o contacta diretamente, por isso vê o teu endereço IP e o fragmento, e nada mais.
• Cloudflare Turnstile: proteção contra robôs nos formulários de início de sessão, registo, reposição de palavra-passe, reenvio da confirmação e mudança de palavra-passe. O contrato é com a Cloudflare, Inc., nos EUA. O teu navegador carrega-o a partir de challenges.cloudflare.com apenas nesses formulários, e ele recebe o teu endereço IP, características do teu navegador e do teu dispositivo e a forma como interages com a verificação, nunca os dados da tua conta. A base legal é o nosso interesse legítimo em manter as contas seguras. A Cloudflare está certificada no EU-U.S. e no Swiss-U.S. Data Privacy Framework, e o seu acordo de tratamento de dados faz parte dos seus termos. Não coloca nenhum cookie no nosso domínio.
• Anthropic: apenas se ligares o assistente de IA. O contrato é com a Anthropic Ireland, Limited; os dados são guardados nos EUA, e, segundo a documentação da Anthropic, os pedidos podem ser tratados nos EUA, na Europa, na Ásia e na Austrália, e, para processos internos como revisões de segurança, noutros países onde a Anthropic ou as suas afiliadas operam. Não está certificada no Data Privacy Framework; a transferência assenta nas cláusulas contratuais-tipo do seu acordo de tratamento de dados, com o adendo suíço. Ver a secção do assistente.
• Brave Search: apenas quando o assistente consulta uma estatística publicada, e recebe apenas a frase de pesquisa, da Anthropic e não de ti. Uma empresa dos EUA, que trabalha para a Anthropic ao abrigo do acordo de tratamento de dados da Anthropic. Ver a secção do assistente.
• O nosso próprio servidor na Suíça: entrega as páginas da app e guarda as cópias de segurança semanais (secções 3 e 5).

09Membros do agregado

Os membros que convidas veem os dados do agregado conforme o seu papel (proprietário, editor ou observador). Todos no agregado trabalham sobre o mesmo livro de registos, por isso, se o proprietário apagar a conta, o agregado e todo o seu livro de registos são apagados com ela, para todos os membros; os outros membros mantêm o seu próprio login, cada um com um agregado novo e vazio. Se outra pessoa sair do agregado ou apagar a conta, os movimentos que registou ficam nele, porque são a história do agregado.

10Os teus direitos

Podes exportar os dados financeiros do teu agregado a qualquer momento (Definições, Dados): um ficheiro com as contas, movimentos, categorias, etiquetas e os grupos em que estão, orçamentos, metas, contas a pagar, cenários, as tuas respostas sobre despesas fixas, membros e definições, incluindo as tuas preferências e as notas de memória do assistente. O que esse ficheiro não contém, por exemplo o email e o nome da tua conta, a tua pertença ao agregado e os papéis, os convites pendentes, os textos do assistente, os totais guardados junto das suas respostas, as perguntas que fez à app e as pesquisas na Internet que fez, as tuas mensagens de feedback e os ficheiros que lhes anexaste, o registo da campanha que te trouxe, o estado da subscrição e os teus registos de erros, enviamos-te a pedido. Podes eliminar permanentemente a tua conta e tudo o que contém (Definições, Conta, Zona de perigo). Tens ainda os direitos de acesso, retificação, apagamento, limitação e oposição: basta escreveres-nos, e respondemos gratuitamente, no máximo em 30 dias. Tens também o direito de apresentar queixa a uma autoridade de proteção de dados: na Suíça o IFPDT, a autoridade federal de proteção de dados (www.edoeb.admin.ch), na UE a autoridade do teu país (em Portugal, a CNPD). Na Suíça podes também fazer valer os teus direitos nos tribunais civis.

11Conservação

Mantemos os teus dados enquanto a conta existir, com estas exceções: os registos de erros são apagados ao fim de 90 dias, e os identificadores de clique dos anúncios (gclid e os outros indicados na secção 3) são apagados ao fim de 90 dias, porque passado esse prazo já não respondem à pergunta para que foram guardados. As etiquetas de campanha (utm) não identificam ninguém e ficam. Os ficheiros anexados ao feedback são apagados 90 dias depois do envio, ou antes, se o operador apagar a mensagem. Os grupos de erros que a base de dados guarda para contar os erros (tipo, página, mensagem e contagens, sem a conta de onde vieram nem o stack trace) são apagados 90 dias depois da última vez que o erro aconteceu. Quando apagas a conta, ela é removida da base de dados de forma imediata e irreversível, e se és o proprietário do agregado todo o livro de registos do agregado vai com ela (ver a secção 9). Quatro coisas sobrevivem: as mensagens de feedback que enviaste podem permanecer, deixando de estar associadas a ti, mas sem os ficheiros que lhes anexaste, que são apagados no máximo um dia depois da conta; os registos de erros anteriores à eliminação ficam, deixando de estar associados à tua conta, até completarem os seus 90 dias; a resposta que deste ao sair, se a deste, sem ligação à tua conta, durante 24 meses; e uma impressão digital (um resumo criptográfico) do teu endereço de email, sem o endereço em si. À parte, as cópias de segurança semanais (secção 5) são uma cópia da base de dados tal como estava nesse dia, por isso o que foi apagado desde então, seja uma conta apagada, registos de erros ou identificadores de clique passados os seus 90 dias, fica nelas até serem substituídas, no máximo cerca de oito semanas depois. Só são usadas para repor o serviço depois de uma perda. As cópias de segurança são da base de dados e não levam os ficheiros anexados ao feedback.

A impressão digital serve um único fim: saber que aquela caixa de correio já usufruiu da avaliação gratuita de 30 dias, para que apagar a conta e voltar a registar-te não a reinicie. Não se lê de volta como o teu endereço, mas quem já conhece um endereço pode verificar se lhe corresponde. Não serve para te contactar nem para te associar a quaisquer dados financeiros, que são apagados por completo. Base legal: interesse legítimo (prevenção de abuso).

12Assistente de IA (opcional)

O assistente de IA está desativado por omissão; nada é enviado sem o teu consentimento explícito, dado na própria página do assistente e, para o resumo mensal, também no seu cartão no fim dos cartões do mês nas Novidades ou nas definições do assistente. Quando o ativas e fazes uma pergunta, enviamos à Anthropic (fornecedora do modelo Claude), por ligação encriptada, um resumo agregado dos teus dados: totais mensais, totais por categoria e por pessoa, saldos, orçamentos, metas e as despesas fixas que a app reconhece (o que são, quanto custam e com que frequência), o que tens livre por dia, os meses de folga, o que está por pagar e a projeção do saldo, juntamente com a pergunta. O mesmo é enviado quando pedes uma avaliação da Saúde financeira, e quando a Simulação escreve o resumo de um cenário, o que faz sozinha uma vez por cenário em cada dispositivo e de novo sempre que carregas no botão respetivo. Se ligares o resumo mensal, uma vez por mês, na primeira vez que abres a app depois de um mês fechar, até fechares os cartões desse mês nas Novidades nesse dispositivo (e, se falhar, mais uma vez mais tarde enquanto não forem fechados num dispositivo), enviamos à Anthropic um resumo mais pequeno desse mês: o que entrou, o que saiu e a diferença entre os dois, e os gastos por categoria e por título, cada um ao lado da média de até três meses anteriores, com números calculados a partir desses mesmos totais (diferenças, percentagens e proporções). É escrito uma vez por mês e por pessoa, e podes desligá-lo nas definições do assistente. A pontuação de saúde financeira e as áreas que a compõem vão com cada pergunta. O resumo usa os nomes que deste às pessoas, incluindo crianças, e às contas, categorias, orçamentos e metas, para que o assistente possa responder sobre elas. Nunca são enviados movimentos individuais, emails ou credenciais. Os títulos e as notas que escreves nos movimentos seguem como vocabulário: a palavra, quanto custou no total e quantas vezes aparece, nunca ligada a um movimento ou a uma data. Por isso, um título que usaste uma única vez leva o que custou essa compra, arredondado. Uma nota só segue se for curta e a tiveres escrito pelo menos três vezes. Podes mudar isto nas definições do assistente: partilhar todas as notas curtas (uma nota escrita uma só vez leva então o custo arredondado dessa compra, tal como um título), só as que repetes, ou nenhuma, e nesse caso o campo da nota não sai do teu dispositivo nem sequer como total.

Quando uma pergunta precisa de um número que o resumo não tem, o assistente pode pedir à app um total exato de uma fatia que ele escolhe: um período, uma categoria, uma conta, uma pessoa, um título ou uma palavra nas notas. A app calcula-o e devolve apenas esse total e quantos movimentos abrange, nunca os movimentos em si; numa fatia estreita o suficiente, um único dia e um único título por exemplo, esse total é o valor de um só movimento. Uma procura por uma palavra percorre todas as notas, não só as repetidas, a não ser que não partilhes notas nenhumas, e nesse caso as notas não são sequer procuradas.

Quando o assistente escreve o resumo de um cenário na Simulação, recebe também o nome desse cenário e os seus pressupostos: os rótulos que lhes escreveste, com os valores, percentagens e meses e a categoria, meta ou conta a que cada um se aplica, juntamente com os resultados projetados do cenário.

A Anthropic atua como subcontratante, ao abrigo do acordo de tratamento de dados que integra os seus termos comerciais: esses termos proíbem-na de usar estes dados para treinar modelos. Segundo a documentação dela, os pedidos e as respostas são apagados dos seus sistemas ao fim de cerca de 30 dias, exceto quando assinalados pelos sistemas automáticos de segurança ou quando a lei a obriga a conservá-los. Durante esse período podem ser consultados pela Anthropic para fins de segurança. A conversa, a avaliação da Saúde financeira, os resumos da Simulação, o resumo mensal e, junto de cada resposta, os totais que a app calculou para ela, as perguntas que o assistente fez à app e as pesquisas na Internet que fez ficam no teu navegador e são copiados para a tua conta, para que a conversa que começaste no computador esteja lá quando abrires o telemóvel; não vão para mais lado nenhum e não os usamos para nada. Limpas a conversa quando quiseres, com o botão na página do assistente; restringir o que é enviado (Definições, IA) também a apaga, porque respostas anteriores podem citar as tuas notas; e desligar o assistente apaga-os todos, no dispositivo e na tua conta. Onde a Anthropic guarda estes dados, e o que os protege lá, está na secção 8. Podes retirar o consentimento a qualquer momento na própria página, e a partir daí nada mais é enviado.

Consulta de números publicados. Quando a tua pergunta precisa de um número que a app não tem, por exemplo quanto gasta em média um agregado no teu país, o assistente pode procurá-lo na Internet. Está instruído para só pesquisar quando a pergunta é sobre finanças, para preferir fontes oficiais como institutos de estatística e bancos centrais, e para nomear a fonte e o ano do número que usar. O que sai é uma frase de pesquisa escrita pelo modelo, executada pela Anthropic através do Brave Search. Cada chamada ao modelo pode fazer no máximo três pesquisas; responder a uma pergunta pode levar várias chamadas, quando o assistente também pede totais à app ou uma pesquisa demora, por isso uma pergunta pode dar origem a mais de três pesquisas. O teu livro de registos não vai na pesquisa: os movimentos, saldos, orçamentos e notas não são enviados. O modelo está também instruído para nunca escrever numa pesquisa dados que te identifiquem, como valores teus, nomes de contas ou bancos, lojas onde compraste ou a tua morada.

Memória do assistente: se optares por guardar notas para o assistente, essas notas ficam guardadas na base de dados da tua conta e são enviadas com cada pergunta. A lista completa é visível na página do assistente, onde podes apagar qualquer nota a qualquer momento; o assistente pode sugerir uma nota, mas nada é guardado sem a tua confirmação.

13Alterações a esta política

Como o Spendhog está em acesso antecipado, esta política pode mudar à medida que o produto cresce. Atualizaremos a data no topo e, para alterações materiais, avisamos-te dentro da aplicação.

14Contacto

Para qualquer questão sobre privacidade, escreve para info@spendhog.com ou usa o formulário de Feedback dentro da aplicação. Morada: Valentino Baptista, Tösswiesenstrasse 35, 8413 Neftenbach, Suíça.