Política de Privacidade do Mês Cheio
Vigência: 07/11/2026 · Versão: 1.5
Durante a fase de testes (beta fechado) o cadastro é feito por convite; esta política vale do mesmo jeito.
Esta política explica, em linguagem simples, como tratamos seus dados pessoais no Mês Cheio (site mescheio.com.br e aplicativo app.mescheio.com.br), conforme a Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018).
1. Quem é o controlador
O controlador dos seus dados é Fabio Santana Chagas, CPF 380.300.468-39, endereço Rua João Batista Ferrari, 67, Jardim Bom Princípio, Indaiatuba/SP, CEP 13345-686, Brasil. Canal do titular e encarregado de dados: Fabio Santana Chagas (o próprio controlador), privacidade@mescheio.com.br.
2. Quais dados tratamos
| Grupo | Dados | De onde vêm |
|---|---|---|
| Cadastro e acesso | e-mail, nome de exibição, senha (guardada apenas como hash, nunca em texto), o convite usado no cadastro (código de uso único, guardado só como hash), os códigos e links de verificação de e-mail e de recuperação de senha (guardados só como hash e válidos por 15 e 30 minutos), se você ligar a verificação em duas etapas, o segredo do aplicativo autenticador e os códigos de reserva (estes só como hash), datas de criação e do último acesso | de você |
| Assinatura | plano, situação (ativa, em atraso, cancelada), datas, identificadores da assinatura no Mercado Pago. Não guardamos número de cartão nem dados de pagamento. | de você e do Mercado Pago |
| Dados financeiros que você registra | lançamentos (receitas e despesas), categorias, tags, cartões (apenas nome, cor e dias de fechamento e vencimento), contas, transferências, metas, investimentos, orçamentos, holerites simulados e dados de MEI informados por você | de você (digitados ou importados de arquivo OFX/CSV) |
| Segurança e uso | endereço IP, data e hora, navegador e sistema em resumo (por exemplo, "Safari no iPhone"; usado para avisar você de acessos de um navegador novo), tipo de evento (cadastro, entrada, tentativa falha, bloqueio, redefinição de senha, alteração de plano) e ações administrativas; contadores contra abuso (um identificador irreversível do e-mail e o IP de cada pedido de cadastro ou recuperação), guardados por até 2 dias | gerados ao usar o Serviço |
| Atendimento | nome, e-mail e mensagem do formulário de contato ou e-mails que você nos enviar | de você |
| Navegador | cookie de sessão e preferências (tema). Veja a Política de Cookies | do seu navegador |
Não coletamos: senhas ou acessos de bancos, números de cartão, CPF, localização, contatos, nem dados de crianças. O Serviço não se conecta a bancos; você importa arquivos por escolha própria.
3. Para que usamos e em qual base legal
| Finalidade | Base legal (LGPD, art. 7º) |
|---|---|
| Criar e manter sua conta, prestar o Serviço, guardar e calcular seus dados financeiros | Execução do contrato (V) |
| Cobrar, renovar, cancelar, reembolsar e emitir comprovantes | Execução do contrato (V) e obrigação legal ou regulatória (II) |
| Manter a segurança: registro de acessos, bloqueio por tentativas erradas, prevenção de fraude e abuso, cópias de segurança | Legítimo interesse (IX), cumprimento de obrigação legal (II: Marco Civil da Internet, art. 15) e dever de segurança (art. 46) |
| Enviar e-mails do Serviço (verificação, recuperação de senha, avisos de segurança, recibos, mudanças nos Termos) | Execução do contrato (V) |
| Responder a contatos e pedidos de suporte | Execução do contrato (V) ou procedimentos preliminares, e legítimo interesse (IX) |
| Medir o uso do site de forma agregada | Consentimento (I), quando houver cookies ou ferramentas que o exijam |
| Atender seus direitos e defender-nos em processos | Obrigação legal (II) e exercício regular de direitos (VI) |
Não vendemos seus dados e não os usamos para publicidade de terceiros nem para perfilamento.
4. Com quem compartilhamos (operadores e outros)
Só compartilhamos o necessário para o Serviço funcionar:
| Quem | Para quê | Dados | Observação |
|---|---|---|---|
| Hostinger (hospedagem do servidor) | executar o Serviço e guardar os dados | todos os dados do app | Servidor (VPS) em datacenter no Brasil |
| Cloudflare | DNS, proteção contra ataques, hospedagem e entrega do site (Cloudflare Pages), controle de acesso e Turnstile (desafio anti-robô: recebe o IP e dados do navegador do momento para confirmar que é uma pessoa) | IP e dados de tráfego; tráfego do app passa por ela (criptografado entre você e a Cloudflare e dela ao servidor) | Rede global |
| Backblaze | cópia de segurança | cópias criptografadas por nós antes do envio: o Backblaze não consegue ler o conteúdo | Armazenamento na região us-east, nos Estados Unidos |
| Hostinger (e-mail de atendimento) | receber e responder os e-mails de atendimento (contato@ e apelidos) | e-mail, nome e conteúdo das mensagens que você nos enviar | Os servidores de e-mail da Hostinger podem estar fora do Brasil |
| Resend (envio dos e-mails do Serviço) | enviar verificação de e-mail, recuperação de senha, avisos de segurança e recibos, e levar ao nosso atendimento os pedidos de convite feitos no site | e-mail, nome e conteúdo da mensagem do Serviço; no pedido de convite, o nome, o e-mail, a mensagem e o IP de quem pediu (o site não guarda o pedido) | Processa as mensagens nos Estados Unidos (ou na região escolhida na contratação) |
| Mercado Pago | processar pagamentos e assinaturas | nome, e-mail e dados de pagamento que você informa a ele | Trata os dados de pagamento como controlador independente, conforme a política dele |
| Autoridades | cumprir ordem legal ou judicial | o exigido | Quando a lei obrigar |
O GitHub guarda o código do Serviço, nunca dados de clientes. Atualização de tabelas oficiais: o Serviço consulta periodicamente páginas públicas da Receita Federal e do INSS para atualizar as tabelas de impostos; essas consultas não enviam informação sua.
5. Transferência internacional
O Serviço roda em servidor no Brasil. Alguns fornecedores armazenam ou processam dados fora do Brasil: o Backblaze guarda as cópias de segurança criptografadas nos Estados Unidos (região us-east), a Cloudflare opera uma rede global por onde passa o tráfego, o Resend envia os e-mails do Serviço a partir dos Estados Unidos (ou da região escolhida), e os servidores de e-mail da Hostinger podem processar mensagens de atendimento fora do Brasil. Fazemos isso com base no art. 33 da LGPD, com fornecedores que assumem compromissos de proteção de dados e com medidas técnicas como criptografia em trânsito e criptografia das cópias de segurança antes do envio.
6. Por quanto tempo guardamos
| Dado | Prazo |
|---|---|
| Conta e dados financeiros | Enquanto a conta existir |
| Após cancelar o plano pago | A conta continua no Basic gratuito, com os dados |
| Conta sem nenhum acesso | 24 meses; antes de encerrar, aviso por e-mail com 30 dias de antecedência |
| Após você excluir a conta | Pela tela do app, os dados ativos (conta, dados financeiros e backups do app) são apagados na hora; a pedido por e-mail, em até 15 dias da confirmação. Ficam só os registros de acesso (6 meses) e as cópias de segurança abaixo |
| Cópias de segurança | São criptografadas e renovadas em ciclo: mantemos cópias diárias por 14 dias, semanais por 8 semanas e mensais por 12 meses. Dados excluídos podem permanecer nessas cópias por até 12 meses e não são restaurados ou usados para outra finalidade; depois se sobrescrevem |
| Registros de acesso e segurança | 6 meses (Marco Civil da Internet, art. 15); eventos administrativos conforme a necessidade de segurança |
| Dados de cobrança e fiscais | Pelo prazo que a lei exigir (em regra, 5 anos) |
| Mensagens de contato | Até 24 meses após a conclusão do atendimento |
7. Como protegemos seus dados
- Conexão criptografada (HTTPS/TLS) e proteção contra ataques na entrada.
- Senhas com hash forte (PBKDF2-SHA256); bloqueio após 5 tentativas erradas; sessão que expira em 20 minutos sem uso; verificação em duas etapas opcional (aplicativo autenticador e códigos de reserva); desafio anti-robô da Cloudflare (Turnstile) no cadastro, na recuperação de senha e no login depois de tentativas erradas.
- Banco de dados separado para cada usuário e acesso restrito ao servidor, apenas por chave.
- Cópias de segurança criptografadas e testadas periodicamente.
- O Serviço não tem tela nem comando para a nossa equipe ler seus lançamentos, e as ações de administração de contas (desativar, enviar link de nova senha, excluir a pedido do titular) ficam registradas. Por necessidade técnica de segurança e manutenção (por exemplo, restaurar uma cópia de segurança), o responsável pelo servidor tem acesso técnico aos arquivos e não os consulta para outra finalidade.
- Os códigos e links enviados por e-mail valem por pouco tempo, são de uso único e os pedidos são limitados por e-mail e por IP.
- Atualizações de segurança do servidor e do software de forma regular.
Nenhum sistema é 100% seguro. Em caso de incidente de segurança que possa causar risco ou dano relevante, comunicaremos você e a ANPD nos prazos da regulamentação (LGPD, art. 48).
8. Seus direitos
Você pode, a qualquer momento (LGPD, art. 18): confirmar o tratamento; acessar, corrigir, portar e eliminar seus dados; pedir anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade; saber com quem compartilhamos; revogar consentimentos; e se opor a tratamento irregular. Como exercer: pelo próprio Serviço, em Gerenciamento > Privacidade e LGPD (exportar os dados, apagar os dados financeiros e excluir a conta, com a senha e, se ligada, a verificação em duas etapas; cada ação gera um aviso no seu e-mail) ou por privacidade@mescheio.com.br. Detalhes e prazos em Direitos do titular. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).
9. Crianças e adolescentes
O Serviço é destinado a maiores de 18 anos. Se soubermos de dados de menor coletados indevidamente, os excluiremos.
10. Cookies
Usamos o mínimo necessário. Veja a Política de Cookies.
11. Mudanças nesta política
Podemos atualizar esta política. Mudanças relevantes serão avisadas por e-mail e no Serviço, e a data de vigência e a versão serão atualizadas. A versão aceita fica registrada na sua conta.
12. Contato
privacidade@mescheio.com.br · Rua João Batista Ferrari, 67, Jardim Bom Princípio, Indaiatuba/SP, CEP 13345-686, Brasil