Política de Privacidade

Quem é o responsável

O Norte é operado por [NOME COMPLETO DO OPERADOR], pessoa física. Não há empresa constituída até o momento, e por isso não existe CNPJ a informar. O responsável pelo tratamento dos seus dados, no sentido que a LGPD dá ao termo controlador, é essa mesma pessoa.

Para qualquer assunto de privacidade, inclusive para exercer os direitos listados no fim desta página, escreva para privacidade@norte.business. É o canal oficial e as mensagens são lidas por quem opera o serviço.

O que guardamos

Sua conta

Nome, e-mail e senha. A senha nunca é guardada em texto: fica como hash Argon2, que não permite recuperar o original.

Sua sessão

Um token que vive num cookie. No banco guardamos só o hash SHA-256 dele, mais a validade e o navegador usado. Token roubado do banco não serve para entrar.

O que você digita ou importa

Contas, movimentos, faturas de cartão, compras parceladas, orçamentos, rendas, despesas recorrentes e investimentos. É o conteúdo do app e pertence a você.

Cartão de crédito

Apenas os quatro últimos dígitos, e só quando você informa, para separar faturas de cartões diferentes. Nunca o número completo, nunca o código de segurança, nunca a senha.

Bolsa

As ações que você acompanha, as carteiras de fundo que você salva para estudar e as operações que você registra.

Uso do site

Qual tela foi aberta, quanto tempo ficou visível, quanto da página foi rolada, tipo de aparelho, o domínio de quem indicou e os parâmetros de campanha da URL.

O que não guardamos

Nenhuma credencial bancária

O Norte não se conecta ao seu banco. O Open Finance só admite como receptora uma instituição autorizada pelo Banco Central, e o Norte não é uma. Por isso nunca pedimos senha, código ou token do seu banco. A entrada de dados é sua, manual ou por arquivo OFX e CSV que o próprio banco deixa baixar.

Nenhum endereço IP na medição de uso

A tabela de telemetria não tem coluna para isso. É uma decisão de projeto, não um esquecimento.

Nunca o endereço exato que você abriu

A medição registra o padrão da rota. Abrir a página da PETR4 vira /mercado/acoes/[ticker], nunca /mercado/acoes/petr4. Sem isso, a tabela viraria um histórico de interesse financeiro por pessoa.

Nada é vendido

Seus dados não são vendidos, alugados nem cedidos para publicidade.

Cookies e armazenamento no navegador

Usamos um cookie de sessão, que é necessário para manter você conectado. Sem ele não há como usar a área logada, e por isso ele não depende de consentimento.

No armazenamento local do navegador ficam três coisas: os identificadores da medição de uso, a sua preferência de tema claro ou escuro, e a sua resposta sobre o Google Analytics. Nada disso é enviado a terceiros.

Google Analytics

Nas páginas abertas, e só nelas, podemos usar o Google Analytics para entender de onde vêm as visitas. Enquanto você não aceitar, o script do Google não é sequer baixado. A área logada do aplicativo não carrega script de terceiro em nenhuma hipótese.

Quando você aceita, o Google recebe o padrão da rota, nunca o endereço real. Recursos de publicidade e personalização ficam desligados. Você pode mudar de ideia limpando os dados do site no seu navegador.

Com que base tratamos seus dados

A Lei Geral de Proteção de Dados exige uma base legal para cada tratamento. Usamos três. A execução do contrato sustenta sua conta e o funcionamento do aplicativo. O legítimo interesse sustenta a medição de uso própria e as medidas de segurança, e é por isso que ela foi desenhada sem IP e sem endereço real. O consentimento sustenta o Google Analytics, e só ele.

Com quem compartilhamos

Com a infraestrutura que hospeda o serviço, no limite necessário para ele funcionar, e com o Google, apenas se você tiver aceitado o Analytics e apenas com o padrão da rota. Também podemos compartilhar se uma ordem judicial ou obrigação legal exigir, caso em que avisamos você quando a lei permitir.

Por quanto tempo

Os dados da sua conta ficam enquanto a conta existir. Ao apagar a conta, eles são removidos. Os registros de uso perdem o vínculo com você no mesmo momento: o campo que apontava para a sua conta é zerado, e o que sobra vira número agregado, sem dono.

Os registros de uso são apagados automaticamente depois de 12 meses. Uma rotina diária no servidor faz isso sozinha, sem depender de alguém lembrar. O prazo foi escolhido para ficar acima dos seis meses que o Marco Civil da Internet fixa como guarda mínima de registro de acesso, e ainda assim curto o bastante para não acumular dado sem finalidade, como a LGPD exige.

Como protegemos

A senha é guardada como hash Argon2. O token de sessão só existe no banco como hash SHA-256. Segredos de integração são cifrados com AES-256-GCM. Todo o tráfego usa HTTPS. Nenhuma medida elimina risco por completo, e por isso o Norte não pede o que não precisa ter.

Seus direitos

A LGPD garante a você, sobre os seus dados:

• Confirmar se tratamos dados seus e acessar o que temos.
• Corrigir dado incompleto, inexato ou desatualizado.
• Pedir anonimização, bloqueio ou eliminação de dado desnecessário ou excessivo.
• Pedir a portabilidade para outro fornecedor.
• Pedir a eliminação dos dados tratados com o seu consentimento.
• Saber com quem compartilhamos.
• Revogar o consentimento, a qualquer momento.

Para exercer qualquer um deles, escreva para privacidade@norte.business. Respondemos em até 15 dias.

Menores de idade

O Norte não se destina a menores de 18 anos e não coleta dados de crianças e adolescentes de forma consciente. Se isso acontecer, escreva para o contato acima e apagamos.

Mudanças nesta política

Quando o texto mudar, a data no topo muda junto. Se a mudança alterar de forma relevante o que fazemos com os seus dados, avisamos antes de ela valer. Veja também os Termos de Serviço.