Política de Privacidade

1. Quem é o controlador

O controlador dos dados pessoais tratados no RachaJusto, nos termos do artigo 5º, VI, da LGPD, é DJUM SERVIÇOS LTDA, CNPJ 13.623.639/0001-75, empresa com mais de 15 anos de história.

Esta Política explica quais dados pessoais coletamos, por que coletamos, o que fazemos com eles, com quem compartilhamos, por quanto tempo guardamos e como você exerce seus direitos.

2. Encarregado e canal de contato

Nosso canal de atendimento para assuntos de proteção de dados, previsto no artigo 41 da LGPD, é o e-mail privacidade@rachajusto.com.br.

Por esse endereço você fala diretamente com quem responde pelo tratamento de dados no RachaJusto, tira dúvidas sobre esta Política e exerce qualquer dos direitos descritos na seção 10. Respondemos em até 15 dias.

3. Quais dados coletamos

3.1. Dados que você fornece

• Cadastro: nome completo, apelido (opcional), e-mail, número de WhatsApp e senha (guardada criptografada).
• Perfil: chave Pix, tipo da chave e cidade (todos opcionais), cor do avatar, preferências de notificação.
• Rachas e despesas: nome do grupo, participantes, descrição e valor das despesas, categoria, data, observações e comentários.
• Foto do recibo (opcional): se você anexar a foto de uma nota a uma despesa, guardamos essa imagem. Ela é reduzida no seu próprio aparelho antes de subir e fica visível para quem participa daquele racha. Recomendamos não fotografar notas que mostrem número de cartão, CPF ou outro dado que você não queira dividir com o grupo.
• Cobranças: valores, datas combinadas e recados que você escreve.
• Feedback: mensagens, sugestões, notas e a tela em que você estava.
• Contatos de terceiros: nome, e-mail e telefone das pessoas que você adiciona a um racha (ver seção 4).

3.2. Dados coletados automaticamente

• Registros de acesso à aplicação: data, hora e endereço IP de acesso, guardados por seis meses por obrigação legal do artigo 15 do Marco Civil da Internet.
• Dados técnicos: tipo de navegador e sistema operacional, usados para manter o serviço funcionando e investigar problemas.
• Registro de aceite: data, hora, IP, navegador e versão dos documentos que você aceitou, exigido pelo artigo 8º, § 2º, da LGPD para comprovar o consentimento.
• Uso do serviço: data do último acesso e ações registradas no histórico dos rachas (quem criou, editou ou apagou cada despesa).
• Notificações: identificador anônimo do aparelho, gerado pelo próprio navegador, necessário para entregar as notificações. Ele não identifica você individualmente fora do serviço.

4. Dados de quem não tem conta

O RachaJusto permite adicionar participantes que ainda não têm conta, informando nome e, opcionalmente, e-mail e telefone. Isso existe porque é assim que rachas funcionam na vida real: nem todo mundo do churrasco vai instalar um aplicativo.

Nesse caso, tratamos os dados dessa pessoa com base no legítimo interesse (artigo 7º, IX, da LGPD): há uma relação prévia e concreta entre ela e quem a adicionou, o tratamento é limitado ao necessário e a expectativa é razoável.

Para proteger essa pessoa, adotamos as seguintes salvaguardas:

• a primeira mensagem já informa quem a incluiu, em qual racha e como sair;
• todo e-mail tem link de descadastro em um clique, sem precisar de conta ou senha;
• ela pode pedir exclusão dos dados a qualquer momento pelo nosso canal de privacidade, e nós atendemos;
• não usamos esses contatos para nenhuma finalidade além do próprio racha. Não fazem parte de lista de marketing.

Quem adiciona a pessoa declara ter relação legítima com ela e responde por inclusões indevidas, conforme a seção 8 dos Termos de Uso.

5. Para que usamos e com que base legal

A LGPD exige que todo tratamento tenha uma finalidade específica e uma base legal. Aqui está a nossa, item por item.

Quando a base for consentimento, você pode revogá-lo a qualquer momento, sem prejuízo do que já foi tratado licitamente. Quando for legítimo interesse, você pode se opor pelo canal de privacidade, e avaliamos o pedido.

6. O que não fazemos com seus dados

• Não vendemos seus dados para ninguém, em nenhuma hipótese.
• Não usamos seus dados para publicidade direcionada nem os compartilhamos com redes de anúncio.
• Não fazemos perfil comportamental para pontuação de crédito (credit score) nem enviamos informação sua para birô de crédito.
• Não negativamos ninguém. Uma dívida registrada no app não vai para SPC, Serasa nem qualquer cadastro de inadimplentes.
• Não tomamos decisões automatizadas que afetem seus interesses. O que o app faz é aritmética, e você vê todos os números que a compõem.
• Sua reputação de pagador fica dentro do app. Calculamos uma nota de 0 a 100 a partir de três coisas suas e só suas: quantas cobranças você pagou até a data combinada, quantas você pagou sem precisar de lembrete e se há alguma vencida em aberto. Essa nota aparece somente para você, na sua tela de perfil, e você vê cada número que a compõe. Ela não vai para birô de crédito, não é vendida, não muda preço, não bloqueia nada e não impede você de usar qualquer parte do serviço. Dentro de um racha, os outros participantes podem ver no máximo um selo positivo ("paga em dia"); nunca a nota, nunca um selo negativo e nunca a sua lista de dívidas com terceiros.
• Não instalamos rastreadores de terceiros, pixels de rede social nem ferramentas de fingerprinting.

7. Com quem compartilhamos

7.1. Com os outros participantes do racha

Esta é a parte mais importante e a mais óbvia: um racha é compartilhado por natureza. Quem participa de um grupo vê o nome (ou apelido) dos demais participantes, as despesas lançadas, quem pagou o quê, os saldos e os acertos sugeridos. Se você cadastrou uma chave Pix, ela aparece nas cobranças que você agenda.

7.2. Com quem tem o link do racha

Cada racha tem um link de convite. Quem abre esse link vê uma página com o nome do racha, as despesas, os saldos e quem paga quanto para quem, sem precisar criar conta. Isso existe porque é assim que o convite chega na vida real: alguém cola o link no grupo do WhatsApp.

Essa página mostra apenas nomes de exibição e valores. E-mail, telefone e chave Pix de ninguém aparecem nela, e a página é marcada para não ser indexada por buscadores.

Ainda assim, quem tem o link vê o conteúdo. Trate o link como você trataria a foto da conta do bar: mande para quem é do rolê. Quem organiza o racha pode desligar essa página a qualquer momento, em Configurações do racha, e a partir daí o link passa a exigir conta e convite.

7.3. Com operadores que nos prestam serviço

Usamos fornecedores para hospedagem, envio de e-mail e entrega de notificações. Eles tratam dados apenas em nosso nome, seguindo nossas instruções e limitados ao necessário, conforme o artigo 39 da LGPD.

7.4. Por obrigação legal

Podemos compartilhar dados quando houver ordem judicial, requisição de autoridade competente ou obrigação legal. Sempre que a lei permitir, avisamos você antes.

7.5. Em reorganização societária

Em caso de fusão, aquisição ou venda de ativos, os dados podem ser transferidos, mantidas as obrigações desta Política. Você será comunicado e poderá exercer seus direitos.

8. Cookies e armazenamento local

Usamos o mínimo, e nenhum é para publicidade.

• Cookie de sessão (rc_token): mantém você logado. É estritamente necessário e marcado como HttpOnly, ou seja, inacessível a scripts.
• Armazenamento local do navegador: guarda seu token de acesso e preferências de interface, como avisos que você já dispensou. Fica no seu aparelho.
• Cache do aplicativo: guarda arquivos do app para que ele abra rápido e funcione sem internet. Não contém dados de outras pessoas.

Não usamos cookies de terceiros, nem analytics externo, nem pixel de rede social. Por isso não exibimos banner de consentimento de cookies: não há cookie não essencial a consentir.

9. Por quanto tempo guardamos

Ao encerrar sua conta, eliminamos ou anonimizamos seus dados pessoais em até 30 dias, exceto os que a lei nos obriga a manter pelos prazos acima.

Lançamentos que compõem o saldo de outras pessoas permanecem no racha delas, com seu nome substituído por uma identificação genérica quando isso não quebrar o histórico. Apagar esses lançamentos alteraria valores de terceiros que não pediram exclusão.

10. Seus direitos

O artigo 18 da LGPD garante a você os direitos abaixo. Todos são gratuitos.

• Confirmação e acesso: saber se tratamos seus dados e quais são.
• Correção: corrigir dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei.
• Portabilidade: receber seus dados em formato estruturado.
• Eliminação dos dados tratados com base no consentimento.
• Informação sobre com quem compartilhamos.
• Informação sobre a possibilidade de não consentir e as consequências.
• Revogação do consentimento a qualquer momento.
• Oposição a tratamento feito com base no legítimo interesse.
• Revisão de decisões automatizadas (não temos nenhuma que afete você).

Como exercer, na prática

• Ver e corrigir: tudo está no app, na tela de perfil e nos rachas.
• Exportar: o app tem exportação em CSV por racha e um arquivo completo com tudo o que temos sobre você.
• Parar de receber e-mail: link no rodapé de qualquer e-mail nosso, ou as preferências de notificação no perfil.
• Apagar a conta: pelo app ou escrevendo pra privacidade@rachajusto.com.br.
• Qualquer outro pedido: mesmo e-mail. Respondemos em até 15 dias.

Você também pode peticionar à Autoridade Nacional de Proteção de Dados (ANPD) se entender que seus direitos não foram respeitados.

11. Segurança

Adotamos medidas técnicas e administrativas para proteger seus dados, conforme o artigo 46 da LGPD:

• senhas guardadas com scrypt e sal individual, jamais em texto puro;
• sessões por token com prazo de validade, revogáveis;
• comparações de senha e assinatura resistentes a ataque de tempo;
• consultas ao banco sempre parametrizadas, prevenindo injeção de SQL;
• escape de conteúdo escrito por usuários, prevenindo injeção de scripts;
• controle de acesso por racha: ninguém vê grupo do qual não participa;
• acesso administrativo restrito e registrado;
• histórico de alterações das despesas, permitindo auditar o que mudou e quando;
• tráfego cifrado por HTTPS em produção.

Do seu lado, ajuda muito: use uma senha que você não usa em outros sites, não compartilhe sua conta e mantenha seu aparelho protegido.

12. Incidentes de segurança

Se ocorrer um incidente de segurança que possa acarretar risco ou dano relevante, comunicaremos você e a ANPD, conforme o artigo 48 da LGPD e a regulamentação da Autoridade, nos prazos aplicáveis.

A comunicação incluirá: a natureza do incidente, os dados afetados, os riscos envolvidos, as medidas técnicas de proteção que estavam em uso, o que fizemos para mitigar os efeitos e o que você deve fazer. Não escondemos incidente e não minimizamos gravidade.

13. Transferência internacional

Nossa infraestrutura fica preferencialmente no Brasil. Se algum fornecedor operar fora do país, a transferência ocorrerá conforme os artigos 33 a 36 da LGPD, com garantias contratuais de proteção equivalente. A lista de operadores está disponível mediante pedido pelo canal de privacidade.

14. Crianças e adolescentes

O serviço é destinado a pessoas com 16 anos ou mais. Não coletamos intencionalmente dados de crianças menores de 16 anos. Se soubermos que isso aconteceu, eliminamos os dados e encerramos a conta. Pais e responsáveis podem nos acionar pelo canal de privacidade.

15. Alterações desta Política

Podemos atualizar esta Política. Toda versão tem número e data no topo. Mudanças relevantes são avisadas por e-mail e dentro do app com antecedência mínima de 15 dias, e pedimos novo aceite.

Versões anteriores ficam disponíveis mediante pedido pelo canal de privacidade.