O controle mais forte é não coletar o que não deveríamos ter.

Sem feed bancário significa sem senha bancária no nosso banco de dados

Conexões de open banking parecem convenientes até você mudar de país, de banco ou o agregador abandonar a instituição que você realmente usa. Elas também colocam um terceiro — e depois nós — no caminho de uma credencial que pode esvaziar uma conta. O Rasa Money não segue esse caminho. Você digita transações ou importa um arquivo que já baixou do seu banco. Não há OAuth de «vincular conta» a um banco de varejo, então não há cofre de logins bancários para proteger, vazar ou intimar.

É uma decisão de produto tanto quanto de segurança. Expatriados e quem opera em mais de um país já sabem o quão frágeis são os agregadores. Um gestor financeiro que só funciona nos mercados que o Plaid gosta não é um app multimoeda. Importação de arquivo e entrada manual se comportam igual em todo país onde podemos vender.

A troca é honesta: não vamos puxar automaticamente o gasto do cartão de ontem à noite. Você mantém o relacionamento com o banco. Nós mantemos um razão que você pode explicar. Se a página inicial de um concorrente ostenta «sincronização bancária automática em 12 países», é outra arquitetura com outro raio de impacto. O nosso é menor de propósito.

O que fica na conta e o que não fica

Armazenamos os registros financeiros que você cria ou importa: contas, transações, orçamentos, categorias, dívidas e o snapshot da taxa de câmbio de cada lançamento. Armazenamos os dados de identidade necessários para login — e-mail, hash bcrypt da senha, campos de perfil opcionais, identificadores Google OAuth opcionais. Não armazenamos senha em texto puro. Não podemos devolvê-la.

Números de cartão opcionais, se você digitar, são um campo de referência, não um instrumento de pagamento. Recomendamos apenas os quatro últimos dígitos. Eles são criptografados em repouso e não retornam em respostas API comuns. Não processamos nem validamos dados PAN, e não cobramos um cartão desse campo. O checkout Pro passa pelo provedor de pagamento, não por um número de cartão em uma transação.

Tokens de atualização de sessão e OTPs de curta duração existem para você permanecer logado e redefinir a senha. Endereços IP e logs de erro existem para detectar abuso e falhas. Logs de diagnóstico não são uma segunda cópia do seu razão. A Política de Privacidade lista cada um com o motivo. Esta página é a camada do «por que projetamos assim», não um substituto dessa lista.

Ações irreversíveis pedem duas vezes

Exportar seus dados, redefinir suas finanças, excluir a conta ou revelar um número de cartão armazenado exigem que você digite a senha novamente na hora. Redefinição e exclusão também exigem digitar uma palavra de confirmação. Não é teatro. É como impedimos que uma sessão roubada ou um laptop compartilhado esvazie o workspace porque alguém clicou no menu errado.

Uma redefinição financeira não é o mesmo que excluir o login. A redefinição limpa o razão que você pediu para esquecermos; a exclusão remove a conta. Ambos são sérios, ambos estão em Configurações, e ambos são protegidos. Se você tentar e o app bloquear, o controle está funcionando. Contate privacy@ se precisar de uma solicitação de direitos em vez do botão no produto.

Downloads expiram. Dígitos do cartão ficam.

Quando o Pro gera uma exportação, o link de download é apenas HTTPS e o arquivo é removido do disco depois que você baixa. Não guardamos um zip da sua vida em um bucket S3 «caso você clique de novo no ano que vem». Se precisar de outro arquivo, execute a exportação de novo, com o desafio de senha de novo.

Por isso dizemos, em preços, para exportar enquanto a assinatura estiver ativa. O Basic não gera o arquivo. O downgrade mantém os registros no produto; não entrega o zip. Planeje a saída na mesma semana do cancelamento, não na semana depois de se surpreender.

A IA rascunha, você confirma

O assistente vê um snapshot de contas, saldos, orçamentos, categorias e transações recentes para responder perguntas sobre o seu dinheiro e sobre o produto. O chat também pode rascunhar transações, contas, categorias, orçamentos e dívidas. O histórico do chat fica na sua conta. Não há escrita silenciosa — cada criação mostra um cartão de confirmação, e nada existe até premir Confirmar.

Confirmar antes de escrever é a propriedade de segurança. Cancelar não deixa nada. As sugestões de importação continuam sugestões até você também confirmar. Trate o modelo como um copiloto com boa memória deste produto — não como um contabilista com poder de assinatura.

Você deve poder sair com o arquivo

A propriedade dos dados só é real se sair for possível. A exportação Pro é o arquivo estruturado: contas, transações, orçamentos, categorias, dívidas. É sua cópia, não um PDF de cortesia do painel do mês passado. Use para migrar, para backup offline ou para sua própria contabilidade.

A exclusão é a outra metade. Quando você exclui, a conta é desativada, as sessões morrem e os identificadores são ofuscados para você poder se registrar de novo se quiser. A Política de Privacidade é o documento a citar se fizer uma solicitação formal em vez de clicar no botão. Escreva para privacy@; não envie o razão para sales@ como anexo «para guardar».

Quem é responsável por isso

O operador é a Rasa Corp. É a mesma entidade nomeada nos Termos. Não somos um banco. Não custodiamos dinheiro de clientes. Uma página de segurança que não nomeia a empresa é um folheto; esta nomeia.

Dúvidas sobre incidente, processador ou solicitação de direitos vão para a página de contato — privacy@ para dados, legal@ para avisos. A página Sobre é onde dizemos para que serve a empresa. Esta página é onde dizemos o que nos recusamos a guardar para que um app financeiro continue sendo um app financeiro.