Legal
Política de Privacidade
Última atualização: 17 de outubro de 2026
Esta Política explica como Pedro Luiz Chagas, CNPJ nº 24.811.306/0001-96, com endereço em Rua Equador, 121 – Nações, Divinópolis/MG, CEP 35500-564 (“FinlyUp”, “nós”), trata dados pessoais no site finlyup.com.br e no aplicativo FinlyUp, conforme a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, “LGPD”). Ela complementa os Termos de Uso, que definem os termos usados aqui, como “workspace” e “Dados do Cliente”.
1. Quem trata os seus dados
O FinlyUp é o controlador dos dados da sua conta, do seu workspace, da cobrança, da segurança e do atendimento, e dos dados de quem visita o site: somos nós que decidimos como e para que esses dados são usados.
Quando os Dados do Cliente incluem dados pessoais de terceiros — clientes, fornecedores ou colaboradores do cliente que sejam pessoas físicas —, o controlador é o cliente, e o FinlyUp atua como operador: tratamos esses dados só para prestar o serviço, conforme os Termos de Uso e as instruções do cliente. Pedidos sobre esses dados devem ser feitos ao cliente; se recebermos algum, encaminharemos a ele.
2. Dados que tratamos
Conforme o uso que você faz do FinlyUp, tratamos:
- Cadastro: nome, e-mail, senha e idioma. A senha é guardada só como um resumo criptográfico (hash), nunca como texto.
- Segurança da conta: as sessões abertas, com o endereço IP e o navegador de cada uma; a verificação em duas etapas, cujo segredo e códigos de recuperação ficam cifrados; e os dispositivos marcados como confiáveis.
- Workspace e empresas: o nome do workspace, os membros e o papel de cada um, os convites (com o e-mail de quem foi convidado) e os dados de cada empresa, como nome, razão social, CNPJ, país, moeda, fuso horário e setor.
- Dados do Cliente: os relatórios importados e os dados cadastrados, como lançamentos, títulos, vendas, compras, estoque e preços. Eles podem incluir dados pessoais de terceiros, como nome, CPF ou CNPJ, e-mail, telefone e cidade de clientes e fornecedores, nomes de vendedores e descrições e notas de lançamentos. Durante uma importação, guardamos uma cópia das linhas do arquivo; o arquivo em si não é guardado.
- Inteligência artificial: as perguntas feitas ao assistente e as respostas, os textos gerados (como o resumo executivo e os insights), as avaliações que você dá às respostas e o consumo de IA de cada workspace.
- Cobrança: os identificadores do cliente e das assinaturas na Stripe, o estado e as datas de cada assinatura e um código derivado do CNPJ, que não permite recuperá-lo, usado só para limitar o teste grátis a uma vez por CNPJ. Os dados do cartão ficam com a Stripe; exibimos apenas a bandeira e os 4 últimos dígitos, lidos dela.
- Registro de atividades: as entradas e saídas da conta, as trocas de senha, as mudanças na verificação em duas etapas, as alterações de dados e as exportações, com data, hora, endereço IP e navegador. O registro de uma alteração guarda os valores de antes e de depois.
- Registros de acesso: a data, a hora e o endereço IP de cada entrada na conta e do uso de cada sessão, que o Marco Civil da Internet manda guardar.
- Dados técnicos: o endereço IP e o horário de tentativas de login e de outras ações, usados para limitar abusos; o país e o fuso horário deduzidos do endereço IP, usados para escolher o idioma, o preço e o fuso exibidos, sem serem guardados; e os cookies descritos abaixo.
- Atendimento: as mensagens que você envia aos nossos endereços de e-mail, com os dados que elas trouxerem.
No site, não há formulários nem ferramentas de análise ou de publicidade: tratamos apenas os dados técnicos da visita e os cookies de idioma e de preço.
3. Para que usamos e com qual base legal
Usamos os dados para as finalidades abaixo, cada uma com a base legal da LGPD indicada:
- Prestar o serviço: criar e manter a conta e o workspace, autenticar o acesso, calcular e exibir as análises, gerar exportações e responder pelo assistente. Base: execução de contrato (art. 7º, V).
- Convites: enviar o convite à pessoa indicada por um membro do workspace. Base: procedimentos preliminares a um contrato e legítimo interesse do workspace (art. 7º, V e IX).
- E-mails do serviço: confirmação de e-mail, redefinição e troca de senha, convites e avisos sobre o teste grátis e a exclusão de dados. Não enviamos e-mails de marketing. Base: execução de contrato (art. 7º, V).
- Cobrança: contratar e cobrar as assinaturas, controlar o teste grátis e emitir documentos fiscais. Base: execução de contrato e cumprimento de obrigação legal (art. 7º, V e II).
- Segurança e prevenção de abusos: limitar tentativas, proteger as contas, registrar atividades, investigar incidentes e verificar se uma senha aparece em vazamentos conhecidos. Base: legítimo interesse (art. 7º, IX).
- Registros de acesso: guardar a data, a hora e o endereço IP dos acessos pelo prazo do Marco Civil da Internet (Lei nº 12.965/2014, art. 15). Base: cumprimento de obrigação legal (art. 7º, II).
- Qualidade da IA: acompanhar o consumo e as avaliações das respostas para controlar custos e melhorar o assistente. Base: legítimo interesse (art. 7º, IX).
- Atendimento e direitos: responder a mensagens e a pedidos de titulares e nos defender em processos. Base: execução de contrato, cumprimento de obrigação legal e exercício regular de direitos (art. 7º, V, II e VI).
Tratamos os Dados do Cliente como operador, só para prestar o serviço. Não vendemos dados pessoais, não os usamos para publicidade e não usamos os Dados do Cliente para treinar modelos de inteligência artificial.
4. Inteligência artificial
O assistente, o resumo executivo, as explicações, o reconhecimento de relatórios na importação e a leitura de PDFs usam modelos de inteligência artificial da Anthropic (Claude), acessados pelo Vercel AI Gateway, que pode encaminhar o pedido a outro provedor do mesmo modelo. Em todo pedido, exigimos que o provedor não use os dados para treinar modelos.
O que vai ao modelo depende do recurso:
- Assistente: a sua pergunta, como você a escreveu, as mensagens anteriores da conversa, o nome da empresa e o período, e os números que o FinlyUp calcula para responder. Nos resultados enviados, os nomes de clientes e fornecedores que são pessoas físicas são trocados por um marcador.
- Resumo executivo e explicações: números e fatos agregados calculados pelo FinlyUp, com as pessoas físicas trocadas por um marcador.
- Importação: os cabeçalhos e até 15 linhas de amostra do arquivo, para reconhecer as colunas, e descrições de lançamentos, para sugerir a classificação. Procuramos remover e-mails e números de documentos antes do envio, mas essa remoção não é perfeita, e nomes podem ir junto.
- Leitura de PDFs: o arquivo inteiro.
Por isso, evite escrever dados pessoais nas perguntas ao assistente. Os provedores podem guardar os pedidos por um prazo limitado, conforme os próprios termos, por exemplo para prevenir abusos. As conversas ficam salvas no FinlyUp até você excluí-las ou até a empresa a que pertencem ser excluída. O proprietário e os administradores podem desligar a IA do workspace a qualquer momento.
6. Transferência internacional
O banco de dados fica no Brasil, mas parte dos fornecedores acima trata dados nos Estados Unidos ou em outros países. Essas transferências seguem as hipóteses do art. 33 da LGPD e a regulamentação da Autoridade Nacional de Proteção de Dados (ANPD), com as garantias contratuais previstas nos termos de cada fornecedor.
7. Por quanto tempo guardamos
Guardamos os dados pelo tempo necessário às finalidades acima e pelos prazos legais:
- Conta: enquanto ela existir. Hoje, a exclusão da conta é feita a pedido, pelo e-mail privacidade@finlyup.com.br.
- Sessões: até 30 dias; uma sessão sem uso por 7 dias expira antes.
- Dados do Cliente: enquanto a empresa existir. Excluir uma empresa apaga os dados dela na hora, menos o registro de atividades e o histórico de cobrança, que seguem os prazos abaixo. Depois do fim de uma assinatura, a empresa fica disponível só para leitura por 30 dias, e os dados são excluídos 90 dias após o fim, com aviso por e-mail 7 dias antes.
- Cópia das linhas importadas: até 30 dias depois de a importação ser concluída, desfeita ou falhar; uma importação não concluída fica até ser descartada.
- Conversas com o assistente: até serem excluídas pelo usuário ou junto com a empresa a que pertencem.
- Registro de atividades: 2 anos, mesmo depois da exclusão da empresa.
- Registros de acesso: 6 meses, como exige o Marco Civil da Internet (art. 15), mesmo depois da exclusão da conta. Ficam sob sigilo e com acesso restrito, e só são entregues com ordem judicial.
- Limites de tentativas: o endereço IP usado no controle de tentativas de login fica até 24 horas.
- Convites: enquanto o workspace existir.
- Cobrança: o histórico das assinaturas, enquanto o workspace existir; o código derivado do CNPJ que controla o teste grátis, por tempo indeterminado e só para essa finalidade; e os documentos fiscais e de pagamento, pelo prazo da legislação.
- Registros técnicos da hospedagem: até 30 dias.
Dados excluídos podem permanecer por algumas horas no histórico de recuperação do banco de dados, até serem sobrescritos.
8. Seus direitos
Pela LGPD (art. 18), você pode pedir:
- a confirmação de que tratamos seus dados e o acesso a eles;
- a correção de dados incompletos, inexatos ou desatualizados;
- a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei;
- a portabilidade dos dados a outro fornecedor, conforme a regulamentação da ANPD;
- a eliminação dos dados tratados com o seu consentimento, quando essa for a base legal;
- informações sobre com quem compartilhamos seus dados;
- informações sobre a possibilidade de não dar consentimento e sobre as consequências disso, e a revogação de um consentimento dado;
- a oposição a um tratamento feito com base em outra hipótese legal, quando houver descumprimento da lei.
No app, você pode editar o seu nome, o idioma, a senha e a verificação em duas etapas, ver e encerrar as suas sessões, exportar os dados das telas em Excel ou CSV, conforme o seu papel, e, como proprietário ou administrador, excluir uma empresa. Os demais pedidos — como trocar o e-mail, receber uma cópia completa dos seus dados ou excluir a conta — são feitos pelo e-mail privacidade@finlyup.com.br.
Para proteger você, podemos confirmar a sua identidade antes de atender. Respondemos em até 15 dias, prazo da LGPD para a resposta completa. Se os dados pertencerem a um workspace de cliente, encaminharemos o pedido a ele, que é o controlador. Você também pode peticionar à ANPD.
9. Segurança
Adotamos medidas técnicas e administrativas para proteger os dados, entre elas:
- conexões cifradas (HTTPS) e criptografia em repouso pelos provedores de infraestrutura;
- isolamento dos dados de cada workspace no próprio banco de dados, que a aplicação acessa com permissões mínimas;
- senhas guardadas como hash e verificação de senhas vazadas, em que o serviço Have I Been Pwned recebe só os 5 primeiros caracteres de um resumo da senha, nunca a senha;
- verificação do e-mail, verificação em duas etapas, que o workspace pode exigir de todos os membros, e limites de tentativas;
- registro de atividades e registros de acesso que a aplicação não consegue alterar.
Nenhum sistema é totalmente seguro. Se houver um incidente de segurança que possa causar risco ou dano relevante, comunicaremos a ANPD e as pessoas afetadas, conforme a LGPD (art. 48) e a regulamentação da ANPD.
11. Crianças e adolescentes
O FinlyUp é destinado a empresas e a pessoas com 18 anos ou mais. Não coletamos de propósito dados de crianças ou adolescentes; se soubermos de uma conta nessa situação, vamos excluí-la.
12. Usuários fora do Brasil
Se você está no Espaço Econômico Europeu ou no Reino Unido, também tem os direitos do Regulamento Geral sobre a Proteção de Dados (GDPR): acesso, correção, eliminação, limitação, portabilidade, oposição e reclamação à autoridade de proteção de dados do seu país. As bases legais são as mesmas desta Política: execução de contrato, legítimo interesse e cumprimento de obrigação legal. Os dados ficam no Brasil e nos fornecedores descritos acima, e os pedidos são feitos pelo mesmo e-mail.
13. Encarregado
A função de encarregado pelo tratamento de dados pessoais é exercida por Pedro Luiz Chagas, que atende pelo e-mail privacidade@finlyup.com.br.
14. Alterações desta Política
Podemos atualizar esta Política. A data da versão vigente fica no topo desta página, e avisaremos as mudanças relevantes por e-mail ou no FinlyUp antes de elas valerem.
15. Contato
Pedro Luiz Chagas · CNPJ 24.811.306/0001-96 · Rua Equador, 121 – Nações, Divinópolis/MG, CEP 35500-564
Pedidos sobre dados pessoais: privacidade@finlyup.com.br
Outros assuntos: suporte@finlyup.com.br