Segurança e Privacidadedos Seus Dados
Você confia seus dados financeiros e pessoais à Focca-Ai. Esta página detalha exatamente como protegemos essas informações.
Resumo Executivo
Seus dados trafegam por TLS 1.3 e ficam num banco Cloud SQL em São Paulo, com criptografia em repouso gerenciada pelo Google Cloud e backups automáticos diários (7 retidos, com recuperação a qualquer ponto no tempo). O processamento de IA usa DeepSeek e OpenAI — veja abaixo o que cada um recebe. Fotos e áudios que você manda são apagados do nosso servidor em até 24 horas. Não temos acesso à sua conta bancária.
Criptografia
Em Trânsito (TLS 1.3)
Toda comunicação entre você e nossos servidores usa TLS 1.3 (Transport Layer Security). Conexões HTTP são automaticamente redirecionadas para HTTPS. Certificados SSL renovados automaticamente.
Em Repouso (AES-256)
O banco roda no Cloud SQL (PostgreSQL 17, região São Paulo) com criptografia em repouso AES-256 gerenciada pelo Google Cloud, incluindo o gerenciamento e a rotação das chaves. Backups automáticos diários, 7 retidos, com point-in-time recovery ligado.
WhatsApp (Criptografia de Ponta a Ponta)
O WhatsApp criptografa a conversa de ponta a ponta pelo Signal Protocol. A Focca não usa a API oficial do Meta: usamos um gateway próprio, rodando numa máquina nossa dentro da rede privada do Google Cloud, que é o outro lado da conversa — e portanto lê a mensagem já descriptografada, como qualquer pessoa com quem você conversa no WhatsApp leria.
Controles de Acesso
Segregação de Dados
Cada usuário tem dados completamente isolados. Queries no banco incluem obrigatoriamente `user_id`. Impossível acessar dados de outro usuário mesmo com falha de código. Validação em múltiplas camadas (aplicação + banco).
Acesso Administrativo
A Focca é feita por uma pessoa: eu, Yago, fundador e único desenvolvedor. Isso significa que existe um acesso humano possível ao banco — o meu — e ele é usado para dar suporte e investigar defeitos. Não uso seus dados para nenhuma outra finalidade, não vendo e não compartilho.
Autenticação Multi-Fator
O banco não é acessível pela internet aberta: o acesso passa pelo proxy autenticado do Google Cloud, com credencial individual controlada por IAM. O painel administrativo exige login com senha própria e a sessão expira em 24 horas.
Auditoria e Logs
- Logs de acesso: Todo acesso ao banco, APIs e sistemas internos. Retenção: 1 ano.
- Logs de modificação: Criação, edição, exclusão de dados. Imutáveis (append-only).
- Monitoramento: Alertas automáticos para acessos anormais, falhas repetidas, tentativas de acesso não autorizado.
- Você pode solicitar: Exportação completa dos seus logs de acesso via WhatsApp.
Terceiros (Processadores)
Mercado Pago (Pagamentos)
Processamento de pagamentos via Mercado Pago (PCI-DSS Level 1 certificado). Nós NÃO armazenamos dados de cartão. Transações 3D Secure para maior segurança.
Política de Privacidade Mercado Pago →DeepSeek (entendimento das mensagens) — China
É o modelo de linguagem que lê o que você escreve e decide o que fazer: registrar um gasto, criar um lembrete, montar um relatório. Recebe o texto da sua mensagem e o contexto recente da conversa. Servidores na China — transferência internacional nos termos do art. 33 da LGPD. Se isso for um problema para você, não use a Focca: não temos hoje uma versão que rode sem esse provedor.
DeepSeek Privacy Policy →OpenAI (áudio, imagem e busca) — EUA
Usada para transcrever áudios, ler fotos de notas e cupons, gerar buscas semânticas e resumir histórico. Recebe o conteúdo necessário para essas tarefas. Pela política de API da OpenAI, o conteúdo não é usado para treinar modelos. Servidores nos Estados Unidos — transferência internacional nos termos do art. 33 da LGPD.
OpenAI Privacy Policy →Google Cloud Platform (Infraestrutura)
Hospedagem, banco de dados e arquivos na região São Paulo (southamerica-east1). O Google Cloud é quem tem as certificações ISO 27001, SOC 2 e PCI-DSS da infraestrutura. Backups automáticos diários, 7 retidos, com recuperação a qualquer ponto no tempo.
Google Cloud Compliance →WhatsApp (canal de conversa)
O WhatsApp entrega as mensagens entre você e o número da Focca, com a criptografia de ponta a ponta dele. A Focca não usa a API oficial do WhatsApp Business: o outro lado da conversa é um gateway nosso, numa máquina nossa no Google Cloud.
WhatsApp Business Policy →Política de Incidentes
Em Caso de Violação de Dados
Sistemas de monitoramento detectam anomalia. Equipe de segurança notificada automaticamente.
Isolar sistemas afetados. Revogar credenciais comprometidas. Backup imediato de evidências.
Análise forense completa. Identificar escopo: quais dados, quantos usuários, como aconteceu.
Usuários afetados: Notificação via WhatsApp com detalhes do incidente e ações recomendadas.
ANPD: Notificação à Autoridade Nacional de Proteção de Dados em até 3 dias úteis (Resolução CD/ANPD 15/2024).
Transparência: Publicação de relatório público (sem dados sensíveis).
Correção da vulnerabilidade. Implementação de controles adicionais. Auditoria completa.
Histórico: Até a data de publicação desta página (21/01/2026), zero violações de dados foram registradas.
Como Exportar e Deletar Seus Dados
Exportar Dados (CSV)
Você pode solicitar exportação completa dos seus dados a qualquer momento:
Passo 1: Envie no WhatsApp:
"Quero exportar meus dados"Passo 2: Receba confirmação com prazo:
Passo 3: Arquivo enviado por WhatsApp:
Formato: ZIP criptografado (senha enviada separadamente)
Conteúdo: gastos.csv, receitas.csv, metas.csv, lembretes.csv, categorias.csv
Prazo: Máximo 48 horas úteis
Deletar Conta e Dados
Você pode solicitar exclusão permanente:
Passo 1: Envie no WhatsApp:
"Quero deletar minha conta"Passo 2: Confirme exclusão:
O que acontece:
- • Imediato: Acesso bloqueado, dados marcados para exclusão
- • 15 dias: Período de arrependimento (pode reativar)
- • Após 15 dias: Exclusão permanente e irreversível
- • Exceção: Dados fiscais mantidos 5 anos (lei brasileira)
De quem é cada certificação
LGPD
A Focca segue a Lei 13.709/2018: você pode consultar, exportar e apagar tudo quando quiser, e o encarregado de dados está identificado na Política de Privacidade. LGPD não emite certificado — nenhuma empresa é "certificada LGPD".
ISO 27001
Certificação da infraestrutura do Google Cloud, onde a Focca roda. Não é uma certificação da Focca.
PCI-DSS
Certificação do Mercado Pago, que processa os pagamentos. A Focca nunca vê o número do seu cartão.
SOC 2 Type II (Google Cloud)
Auditoria da infraestrutura do Google Cloud. A Focca não passou por auditoria SOC 2 — somos uma empresa de uma pessoa e não seria honesto sugerir o contrário.
Perguntas Frequentes sobre Segurança
É seguro conectar contas bancárias no WhatsApp?
A Focca-Ai não conecta com bancos. Você registra gastos manualmente por foto, áudio ou texto. Zero acesso à sua conta. Mais privacidade.
Como meus dados são criptografados?
Em trânsito: TLS 1.3. Em repouso: criptografia AES-256 do Cloud SQL, com chaves gerenciadas pelo Google Cloud. O WhatsApp criptografa a conversa de ponta a ponta até o nosso gateway, que precisa descriptografar para entender seu pedido.
A Focca-Ai acessa minha conta bancária?
Não. Nunca. Você envia cada gasto manualmente. Sem Open Finance, sem conexão com banco, sem senha.
Quem pode ver meus dados financeiros?
Só você — e quem você convidar no plano Família. Cada registro é vinculado à sua conta e as consultas do produto sempre filtram por ela. O acesso humano existe: eu (Yago, fundador) consigo consultar o banco para dar suporte ou investigar um problema. Não vendemos nem compartilhamos seus dados.
Posso exportar ou deletar meus dados?
Sim. Envie "Quero exportar meus dados" ou "Quero deletar minha conta" no WhatsApp. Até 48h para exportação.
Dúvidas sobre Segurança?
Nossa equipe está disponível para responder perguntas técnicas sobre proteção de dados