Política de privacidade

Versão 1 · vigente a partir de [DATA DE PUBLICAÇÃO]

1. Quem é o responsável pelos seus dados

O MERUS é um serviço da [RAZÃO SOCIAL DA TASYS], inscrita no CNPJ [CNPJ], com sede em [ENDEREÇO] ("TASYS", "nós"), que atua como controladora dos dados pessoais tratados no serviço, nos termos da Lei nº 13.709/2018 (Lei Geral de Proteção de Dados, "LGPD").

Encarregado pelo tratamento de dados (DPO): [NOME DO ENCARREGADO], pelo e-mail [E-MAIL DO ENCARREGADO, ex.: privacidade@tasys.com.br].

2. Quais dados guardamos

Não coletamos dados sensíveis (como saúde, religião ou origem racial) e pedimos que você não os inclua nas descrições e observações dos lançamentos.

3. Por que podemos tratar esses dados (bases legais)

• Execução do contrato (art. 7º, V, da LGPD): cadastro, acesso, guarda dos seus lançamentos, cálculos, relatórios, avisos por e-mail e recibos.
• Legítimo interesse (art. 7º, IX): segurança da conta, registro de IP, bloqueio de tentativas de acesso repetidas e prevenção a fraudes.
• Cumprimento de obrigação legal (art. 7º, II): guarda dos registros de pagamento da assinatura.

4. Com quem compartilhamos

Não vendemos nem alugamos seus dados. Compartilhamos apenas com fornecedores necessários para o serviço funcionar, que tratam os dados em nosso nome:

• Hostinger — hospedagem do site e do banco de dados. [CONFIRMAR PAÍS/REGIÃO DOS SERVIDORES CONTRATADOS]
• Brevo — envio dos e-mails (confirmação de e-mail, avisos de vencimento, resumo semanal e recibos). Recebe seu e-mail, seu nome e o conteúdo dos avisos, como descrições e valores de contas a vencer.
• Google Fonts, Cloudflare (cdnjs) e Tailwind — entregam as fontes e bibliotecas que desenham as telas. Ao carregar a página, seu navegador informa a eles dados técnicos como o endereço IP. Eles não recebem seus dados financeiros.

Alguns desses fornecedores podem processar dados fora do Brasil. Nesses casos, a transferência segue o art. 33 da LGPD. [REVISAR COM O JURÍDICO O MECANISMO DE TRANSFERÊNCIA DE CADA FORNECEDOR]

Também podemos fornecer dados quando exigido por lei ou por ordem de autoridade competente.

5. Cookies e armazenamento no aparelho

O MERUS usa um único cookie, necessário para manter você conectado (merus_sessao). Ele expira após 30 dias sem uso ou quando você sai. Não usamos cookies de publicidade nem de rastreamento, e não usamos ferramentas de análise de terceiros.

Se você instalar o MERUS na tela inicial do celular, o aparelho guarda uma cópia dos arquivos das telas para abrir mais rápido. Seus dados financeiros não ficam guardados nessa cópia.

6. Por quanto tempo guardamos

• Dados da conta e lançamentos: enquanto sua conta existir.
• Ao excluir a conta (em Meus dados → Excluir minha conta): apagamos na hora seus lançamentos, contas, cartões, categorias, fontes, perfil e login. Mantemos apenas um registro anonimizado da conta e o histórico das mensalidades pagas, pelo prazo exigido pela legislação fiscal [CONFIRMAR PRAZO COM O CONTADOR, em geral 5 anos].
• Sessões de acesso: até 30 dias sem uso.
• Tentativas de login: apagadas após 1 dia.
• Links enviados por e-mail (confirmação e troca de senha): apagados até 30 dias depois de expirarem.
• Registro de avisos enviados (para não repetir e-mails): 120 dias.
• Cópias de segurança da hospedagem podem manter dados por até [PRAZO DE BACKUP DA HOSTINGER] depois da exclusão.

7. Seus direitos

Pela LGPD (art. 18), você pode:

• Confirmar e acessar seus dados: em Meus dados → Baixar meus dados, você recebe tudo o que guardamos.
• Corrigir dados incompletos ou errados: direto em Meus dados e em Cadastros.
• Levar seus dados para outro serviço (portabilidade): o arquivo baixado vem em formatos abertos (JSON e planilha).
• Excluir seus dados: em Meus dados → Excluir minha conta.
• Saber com quem compartilhamos: veja o item 4.
• Parar de receber o resumo semanal: desmarque a opção em Meus dados.
• Reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

Para qualquer outro pedido, escreva para o encarregado (item 1). Respondemos em até 15 dias.

8. Dados de outras pessoas que você cadastra

Ao cadastrar fontes pagadoras ou devedoras, ou ao informar um segundo e-mail para avisos, você pode incluir dados de outras pessoas, como o nome de um cliente, o CPF de um inquilino ou o e-mail do seu cônjuge. Informe apenas o necessário e só dados que você tem o direito de usar. O segundo e-mail passará a receber avisos com valores e vencimentos das suas contas.

9. Como protegemos

• Conexão sempre criptografada (HTTPS).
• Senhas guardadas com algoritmo de hash irreversível; CPF e data de nascimento criptografados.
• O banco não guarda os códigos de sessão, só uma impressão digital deles.
• Bloqueio temporário após tentativas de senha erradas e pausa da sessão após 2 horas sem uso.
• Cada cliente só acessa os próprios dados. O painel da equipe tem acesso separado, protegido por senha, e as ações sobre a assinatura ficam registradas.

Nenhum sistema é 100% invulnerável. Se ocorrer um incidente que possa trazer risco a você, avisaremos você e a ANPD, como manda a lei.

10. Menores de idade

O MERUS é destinado a maiores de 18 anos. Não coletamos intencionalmente dados de menores.

11. Mudanças nesta política

Se esta política mudar de forma relevante, avisaremos por e-mail ou dentro do sistema antes de a mudança valer. A data da versão fica no topo desta página.