1Controlador e Operador
Flynance atua como Operadora dos dados dos clientes finais em nome de seus assessores/organizações (Controladores). Para os dados dos próprios assessores, a Flynance é Controladora.
Encarregado de Dados (DPO): institucional@flynance.tec.br
2Categorias de dados tratados
- Cadastrais: nome, CPF, e-mail, telefone, data de nascimento, profissão, UF.
- Financeiros: renda, patrimônio, investimentos, dívidas, gastos, metas.
- Familiares: cônjuge, dependentes (para fins sucessórios e de proteção).
- Sensíveis (saúde): plano de saúde, condições preexistentes, cirurgias (somente com consentimento específico — Art. 11).
- Documentos: arquivos anexados pelo titular ou pelo assessor com consentimento.
- Acessos: IPs, user-agent e logs de autenticação (segurança).
3Finalidades e bases legais
| Finalidade | Base legal (Art. 7º) |
|---|---|
| Prestação do serviço de planejamento | Execução de contrato (V) |
| Autenticação e segurança | Legítimo interesse (IX) |
| Cumprimento de obrigações legais | Obrigação legal (II) |
| Comunicações de marketing | Consentimento (I) |
| Tratamento de dados de saúde | Consentimento específico (Art. 11) |
4Compartilhamento com terceiros
- Lovable Cloud (Supabase): infraestrutura de banco de dados, autenticação e armazenamento.
- Stripe: processamento de pagamentos de assinatura (apenas dados dos assessores).
- Resend: envio de e-mails transacionais e notificações ao DPO.
- Google OAuth: opcional, somente quando o usuário escolhe entrar via Google.
- AwesomeAPI: cotação de moedas (sem envio de PII).
- OpenAI: geração da ata a partir da transcrição de reuniões (Notetaker). Recebe a transcrição, que pode conter dados pessoais e financeiros do cliente necessários à tarefa. Dados não usados para treinamento de modelos.
- Hostinger (VPS): hospedagem do Notetaker e armazenamento das transcrições e atas geradas.
Nenhum dado é vendido ou cedido a terceiros para finalidades distintas das listadas.
5Transferência internacional (Art. 33)
A infraestrutura roda em provedores que podem armazenar dados fora do Brasil. Os operadores utilizados aderem a cláusulas contratuais padrão e medidas técnicas equivalentes.
| Operador | Função | País | Base legal |
|---|---|---|---|
| Supabase | Banco de dados e autenticação | EUA | Execução de contrato + SCC |
| Resend | Envio transacional de e-mails | EUA | Legítimo interesse |
| Stripe | Processamento de pagamentos | EUA | Execução de contrato (PCI-DSS) |
| Lovable AI Gateway | Processamento por modelos de linguagem para sugestões consultivas, categorização de investimentos e leitura de planilhas/PDFs importados | Multi-região | Os dados enviados podem incluir dados cadastrais e financeiros do cliente necessários à tarefa solicitada. |
| OpenAI | Geração de ata a partir da transcrição de reuniões (Notetaker) | EUA | Execução de contrato + SCC; dados não utilizados para treinamento |
6Prazos de retenção
- Leads não convertidos: 24 meses (padrão configurável).
- Clientes inativos: 60 meses após encerramento.
- Logs de auditoria: PII anonimizada após 90 dias, registro apagado em 180 dias.
- Aceites de termos: mantidos enquanto a conta existir + 5 anos.
- Transcrição de reuniões (Notetaker): a transcrição bruta é apagada após 30 dias; a ata gerada e o registro de consentimento são mantidos.
7Medidas de segurança
- Autenticação JWT + 2FA TOTP obrigatório para todos os usuários.
- Row-Level Security em todas as tabelas.
- Senhas com hash, rotação trimestral recomendada.
- Comunicação criptografada em trânsito (TLS) e em repouso.
- Logs de acesso aos dados dos clientes acessíveis aos próprios titulares.
8Direitos do titular
Todos os direitos do Art. 18 (acesso, correção, anonimização, portabilidade, eliminação, revogação) estão disponíveis na aba "Privacidade & Meus Dados" da plataforma ou via DPO.
Documentos relacionados
Dúvidas de privacidade ou segurança: institucional@flynance.tec.br