Política de Privacidade

1. O que o Flux guarda

• Seu acesso: e-mail, nome, a data do último login e o hash da senha (a senha em si nunca é gravada).
• O que você cadastra e lança: instituições (com logo, se você enviar), contas, lançamentos e transferências, categorias e meios de pagamento, cartões, compras e faturas, parcelamentos, empréstimos, investimentos, reservas e metas, orçamentos, séries recorrentes, fechamentos mensais e simulações salvas.
• O que o sistema calcula: projeções de saldo e alertas.
• Extratos e faturas importados: de um extrato bancário (OFX ou CSV) ou de uma fatura de cartão (CSV), ficam os dados de cada linha (data, descrição, valor e, quando o arquivo traz, o código do lançamento no banco, o saldo e, no OFX, banco, agência e número da conta), o nome do arquivo e uma impressão digital dele (SHA-256). O arquivo em si não é guardado.
• Segundo cérebro: as notas em Markdown, com os metadados que vierem junto, e o índice de busca feito a partir delas.
• Mensagens do Hermes, quando a integração está configurada: o texto recebido do WhatsApp, sem HTML e com até 4.000 caracteres, a confiança e o pacote de dados que o Hermes mandar com ele, guardado como veio — se ele incluir identificadores, como o seu número ou o da conversa, eles ficam também.
• Uso da IA: as conversas do chat, as consultas que o assistente fez (com os argumentos, como o mês ou o termo buscado), as sugestões e o que você fez com cada uma (aceitou, editou ou rejeitou) e, para cada chamada ao provedor, um registro de custo (caso de uso, modelo, tokens, custo e tempo de resposta), sem o texto enviado. Quando a resposta vem fora do formato, o registro guarda a mensagem de erro, que pode citar trechos dela.
• Trilha de auditoria (audit_log): quem fez cada ação registrada, quando, o estado do registro antes e depois e o motivo, quando você informa. A recuperação do acesso pelo terminal registra o usuário, o motivo e as permissões antes e depois; não registra senha nem hash da senha.
• O cancelamento de uma parcela de empréstimo ou parcelamento conserva a parcela, o motivo, os estornos anteriores e o evento de auditoria; não apaga pagamentos.
• Dados técnicos: a sessão de login, o histórico das rotinas do servidor (backup, teste de restauração, projeções e reindexação) e os registros de acesso e de erro do servidor (data e hora, endereço pedido com os parâmetros, código da resposta e navegador).
• No seu navegador: os cookies essenciais — sessionid (a sessão de login), csrftoken (proteção contra CSRF) e messages (o aviso da última ação, até ele aparecer na tela) —, a preferência de tema, uma cópia dos arquivos públicos do app (folha de estilo, ícones e o script do tema) e as cópias de páginas visitadas que o navegador decidir guardar: o Flux ainda não pede que elas fiquem fora do cache.

2. Para que

• Registrar, conciliar, projetar e planejar as suas finanças pessoais.
• IA copiloto: transformar um texto livre numa sugestão de lançamento, escolher a consulta que responde a uma pergunta no chat e buscar nas notas do segundo cérebro. Os números vêm sempre do banco de dados, nunca da IA. Os Termos de Uso dizem quando uma sugestão vira lançamento.
• Operar e proteger a instância: backup, diagnóstico de erros e trilha de auditoria.
• Medir resultados a partir da coleta: contagem diária de acessos ao dashboard, sem IP ou identificador do navegador; observações de projeção, estimativas de metas e episódios de Saldo Livre negativo. As observações financeiras são preservadas e entram na exportação. Dados anteriores ao início da coleta não são reconstruídos como se tivessem sido observados.

3. Onde ficam e por quanto tempo

• Os dados ficam no banco de dados e no disco da VPS onde o Flux roda; as cópias de segurança, no Backblaze B2 (seção 4). Entre o seu navegador e o servidor, o tráfego é cifrado (HTTPS).
• O que você lança ou importa fica enquanto a instância existir: o Flux não apaga esses dados por conta própria. Projeções, alertas e o índice de busca são refeitos pelo sistema quando os dados mudam. As sessões de login vencidas também ficam no banco: nenhuma rotina as apaga.
• A trilha de auditoria não é apagada nem editada, nem pelo Flux nem pela IA. Hoje, ela guarda o estado que o registro tinha antes quando você exclui, pelas telas do Flux (fora do /admin/), um lançamento, uma compra no cartão ou uma transferência, e também uma conta, um cartão, um empréstimo, uma meta, uma reserva, um plano do planejamento mensal, um parcelamento externo ou um aporte ou retirada de investimento; ao descartar uma importação de fatura, guarda só um resumo (mês, nome do arquivo e número de linhas). A exclusão de posição de investimento, avaliação e premissa de cenário também conserva o retrato anterior na auditoria, inclusive pelo admin. Ao excluir uma posição, as avaliações que saem junto são registradas individualmente.
• Backups: o Flux mantém 7 backups diários, 4 semanais e 6 mensais e remove os demais a cada novo backup. Remover não garante que a cópia suma do Backblaze: conforme a configuração do bucket, versões antigas podem continuar guardadas lá.
• Os registros do aplicativo têm tamanho limitado, e os mais antigos são descartados; os do proxy e do banco de dados seguem a configuração padrão do Docker na VPS, sem limite definido pelo Flux.
• Pela página, o arquivo da exportação é montado na hora e entregue ao seu navegador, sem cópia no servidor; pelo comando export_my_data, ele fica onde você mandar gravar.

A memória local de classificação guarda descrições normalizadas e referências corrigidas manualmente. Você pode esquecê-la na tela de Memória de classificação do assistente. Isso remove a dica para sugestões futuras; recomendações, feedback e auditoria originais continuam preservados. A auditoria do esquecimento guarda o identificador e o ator, sem copiar a descrição apagada.

4. Quem mais recebe dados

As fontes IBM Plex são servidas pelo próprio Flux, inclusive no login. O navegador não faz pedidos ao Google Fonts.

O Flux só envia dados aos serviços abaixo, cada um com uma função e só com o necessário para ela. Não há analytics, publicidade nem rastreadores, e os dados não são vendidos nem cedidos para outros fins.

• Hostinger — fornece a VPS onde o Flux roda. O banco de dados, os arquivos enviados e os registros do servidor ficam no disco dessa máquina. Conforme o plano contratado, a Hostinger pode manter cópias do servidor (backups ou snapshots), que não passam pela cifra do backup do Flux.
• OpenAI — provedor de IA, o padrão em produção. Recebe o texto que você digita na barra de lançamento ou no chat, limpo e limitado a 2.000 caracteres, junto com as instruções fixas do sistema e a data de hoje; o texto das notas do segundo cérebro, em trechos, para montar o índice de busca; e o que você procura nas notas, pelo chat ou em Relatórios. O Flux não junta a isso saldos, lançamentos, nomes de contas nem outros dados do banco, e os números das respostas saem do banco, sem passar pela OpenAI. Cada recurso respeita sua chave de suspensão (kill switch) e o teto de gasto. Escolher Regras locais no painel desliga somente a geração externa de texto e chat; notas e buscas dependem do perfil de embeddings do ambiente e podem continuar sendo enviadas à OpenAI. Para impedir esses envios, desative Busca semântica / RAG ou configure seu perfil local no ambiente. O que a OpenAI faz com o que recebe segue os termos dela.
• Backblaze B2 — guarda os backups diários: o banco de dados inteiro e os logos das instituições, num bucket nos Estados Unidos. Cada arquivo é cifrado no próprio servidor (AES-256) antes de sair, e a senha da cifra não vai junto.
• Cloudflare — DNS do domínio flux.dev.br: responde qual é o endereço do servidor a quem procura o domínio. O tráfego do site não passa por ele, porque os registros estão em “Somente DNS”, e por isso ele não recebe páginas, formulários nem dados financeiros.
• Hermes e WhatsApp — o Hermes é um agente separado, que não faz parte do Flux. Quando a integração está configurada, as suas mensagens passam pelo WhatsApp e pelo Hermes antes de chegar ao Flux, as notas do segundo cérebro também chegam por ele, e o que você consultar por ali (saldo, projeção, metas e reservas) sai do Flux para o Hermes, que responde pelo WhatsApp. O que o Hermes guarda, e para onde envia, depende da configuração dele e fica fora desta política.

5. Seus direitos sobre os dados

Os direitos que o art. 18 da LGPD descreve ficam ao seu alcance assim:

• Acesso e correção: pelas próprias telas do Flux e pela exportação; a trilha de auditoria, por desenho, não se corrige.
• Portabilidade: Exportar meus dados gera um ZIP com um arquivo JSON por tabela e uma nota em Markdown por documento do segundo cérebro (no servidor, o comando export_my_data faz o mesmo). Ficam de fora o hash da senha, o hash do token da integração, o índice de busca, que é refeito a partir das notas, e as imagens dos logos. Cada exportação fica registrada na trilha de auditoria, só com as contagens.
• Eliminação: é feita por você, pela infraestrutura — apagar o banco de dados ou a instância na VPS, as cópias do servidor que a Hostinger guardar e o bucket inteiro no Backblaze B2, com todas as versões dos arquivos. Não há, dentro do sistema, uma ação que apague tudo. O que já foi enviado à OpenAI e o que passou pelo WhatsApp e pelo Hermes seguem as regras de cada um.

6. Segurança e cookies

O acesso exige login com e-mail e senha, com limite para tentativas erradas, e o tráfego é só por HTTPS, com HSTS. A API do Hermes exige token e assinatura HMAC e tem limite de requisições. Os backups saem do servidor já cifrados. Cookies, só os essenciais (sessão, CSRF e o aviso da última ação), sem rastreamento — por isso não há banner de consentimento.

7. Responsável e contato

Você é ao mesmo tempo o titular dos dados e quem opera a instância e decide quais serviços ligar. A LGPD não se aplica ao tratamento de dados feito por pessoa natural para fins exclusivamente particulares e não econômicos (art. 4º, I), que é o caso do Flux usado só por você; esta política existe por transparência. O contato é o seu próprio e-mail de administrador.