Política de Privacidade

Política de Privacidade

Compromisso fundamental: segurança e não custódia

• O Qiryah não guarda dinheiro: não é banco, corretora, carteira digital nem faz custódia de fundos.
• O Qiryah não faz transferências: nada de Pix, TED, SEPA, Bizum, pagamento de contas ou saques.
• O Qiryah não conecta a bancos: nunca pedimos senha bancária, token, cartão ou acesso via Open Finance.
• Tudo que você anota no app (receitas, despesas, cofrinhos) é registro pessoal e educativo. Seu dinheiro fica sempre no seu banco.

1. Visão geral

O Qiryah leva a sério a proteção dos seus dados econômicos e familiares. Esta política explica o que coletamos, por que e quais são os seus direitos. Ela segue a LGPD (Lei nº 13.709/2018, Brasil), o GDPR (Regulamento UE 2016/679) e a LOPDGDD (Ley Orgánica 3/2018, Espanha). O controlador dos dados é o Qiryah; o contato do Encarregado de Proteção de Dados (DPO) está na seção final.

2. Dados que coletamos

• Conta: nome, e-mail e senha (guardada só como hash). Ao entrar com Google ou Apple, recebemos um identificador e o e-mail dessa conta.
• Perfil: idioma, moeda, país e as respostas do onboarding (onde você vive, o que mais pesa no seu bolso).
• Dados financeiros que você mesmo informa: lançamentos de receitas e despesas, cofrinhos, limites por categoria. Nada vem de bancos.
• Progresso educativo: lições concluídas, XP, moedas, missões e distintivos.
• Recursos de IA: as mensagens do chat e os textos ou imagens que você envia para a assistente (por exemplo, a foto de um comprovante ou o texto do seu currículo).
• Assinatura: o identificador da compra emitido pela loja (Google Play ou App Store). Não vemos nem guardamos dados de cartão.
• Dados técnicos: versão do app e idioma do aparelho. Relatórios de falhas e métricas de uso só são enviados com o seu consentimento.
• No modo convidado (sem conta), os dados ficam apenas no seu aparelho.

3. Base legal do tratamento

• Execução de contrato (LGPD art. 7, V / GDPR art. 6.1.b): calcular o orçamento, guardar seus registros, sincronizar entre aparelhos e entregar o plano contratado.
• Consentimento (LGPD art. 7, I / GDPR art. 6.1.a): personalização educativa pela IA, relatórios de falhas e métricas de uso. Você liga e desliga cada um no app, a qualquer momento.
• Obrigação legal (LGPD art. 7, II / GDPR art. 6.1.c): registros fiscais e exigências das lojas de aplicativos.
• Interesse legítimo (LGPD art. 7, IX / GDPR art. 6.1.f): segurança da conta, prevenção a fraude e abuso, limites de uso.
• Seus dados financeiros nunca são vendidos, alugados ou compartilhados para publicidade.

4. Por quanto tempo guardamos

Seus dados ficam guardados enquanto a sua conta existir. Você pode excluir a conta a qualquer momento no app (Mais → Privacidade e dados → Excluir conta): tudo é apagado de imediato dos nossos servidores e fica apenas um registro da exclusão, sem dado pessoal. Registros técnicos de acesso são mantidos por até 90 dias para segurança. Cópias de segurança são sobrescritas em até 30 dias.

5. Inteligência artificial responsável

A assistente Qiryah é um sistema de IA com finalidade estritamente educativa (Regulamento UE 2024/1689, art. 50). Ela não faz consultoria de investimentos, não toma decisões automatizadas de crédito e não avalia você. As mensagens e imagens enviadas à IA são processadas pela API do Google Gemini como operador, sob contrato que proíbe o uso desse conteúdo para treinar modelos públicos. Você pode usar o app sem nenhum recurso de IA.

6. Onde os dados ficam e transferência internacional

Os servidores do Qiryah ficam em data center na União Europeia. Os recursos de IA (Google) podem processar dados fora da UE, sempre amparados por Cláusulas Contratuais Padrão (SCC) e pelas garantias do GDPR. As lojas de aplicativos (Google Play e App Store) tratam a cobrança segundo as próprias políticas de privacidade.

7. Segurança

Toda a comunicação usa TLS. Senhas são guardadas com argon2id; sessões usam tokens de curta duração com renovação rotativa. O acesso aos servidores é restrito e registrado. Nenhum sistema é infalível: se houver incidente que afete seus dados, você e a autoridade competente serão avisados conforme a lei.

8. Crianças e adolescentes

O Qiryah é feito para maiores de 18 anos. Não coletamos conscientemente dados de menores; se isso acontecer, apagaremos ao tomar conhecimento.

9. Alterações e contato

Mudanças nesta política são avisadas no app e publicadas em https://www.qiryah.com/privacy. Dúvidas ou pedidos: dpo@qiryah.com.

Operadores e Contratos de Tratamento (DPA)

Como trabalhamos com fornecedores

Mantemos contratos de tratamento de dados (DPA) com todos os fornecedores de tecnologia que tocam dados pessoais, exigindo confidencialidade, medidas de segurança e pronto atendimento a incidentes. Nenhum deles pode usar seus dados para fins próprios.

Infraestrutura: servidores na União Europeia

• Função: operador (data processor).
• Finalidade: hospedar a API e o banco de dados do Qiryah.
• Salvaguardas: criptografia em trânsito (TLS), acesso restrito por chave, cópias de segurança guardadas na mesma região.

Google LLC: API Gemini (inteligência artificial)

• Função: operador para os recursos de IA.
• Finalidade: processar as perguntas, textos e imagens que você envia à assistente.
• Garantias: contrato de uso da API que proíbe treinar modelos com o conteúdo enviado; Cláusulas Contratuais Padrão para transferência internacional.

Google Play e Apple App Store (assinaturas)

• Função: controladores independentes da cobrança.
• Finalidade: processar a compra e a renovação da assinatura; enviar ao Qiryah apenas o recibo para validação.
• O Qiryah não recebe dados de cartão.

Provedor de e-mail transacional

• Função: operador.
• Finalidade: enviar e-mails de conta (redefinição de senha, confirmação de exclusão).
• Dados: nome, e-mail e o conteúdo da mensagem.

Relatórios de falhas e métricas de uso

• Só funcionam com o seu consentimento, que pode ser retirado no app.
• Relatórios de falhas: informações técnicas do erro, sem seus dados financeiros.
• Métricas de uso: eventos agregados de navegação, guardados nos servidores do Qiryah na UE.

Seus Direitos como Titular

O que a lei garante (LGPD art. 18 / GDPR arts. 15 a 22)

• Confirmação e acesso: saber se tratamos seus dados e obter uma cópia.
• Correção: atualizar dados incompletos ou desatualizados (no app, em Mais → Conta).
• Portabilidade: receber seus dados em formato aberto (JSON) para levar a outro serviço.
• Eliminação: apagar a conta e tudo que está nela.
• Revogação do consentimento: desligar IA personalizada, relatórios de falhas e métricas.
• Informação: saber com quem compartilhamos (veja a seção de operadores).
• Oposição e revisão: opor-se a tratamentos baseados em interesse legítimo e pedir revisão de decisões automatizadas (o Qiryah não toma decisões desse tipo).
• Reclamação: à ANPD (Brasil), à AEPD (Espanha) ou à autoridade do seu país.

Como exercer

• No app: Mais → Privacidade e dados. Lá você exporta seus dados em JSON, ajusta os consentimentos e exclui a conta, sem precisar pedir a ninguém.
• Por e-mail: dpo@qiryah.com. Respondemos em até 15 dias (LGPD) ou 1 mês (GDPR), prorrogáveis conforme a lei quando o pedido for complexo.

Preferências e DPO

Encarregado de Proteção de Dados (DPO)

Para requisições formais, dúvidas regulatórias ou exercício de direitos: dpo@qiryah.com.

Relatório de Impacto (RIPD/DPIA) registrado: DPIA-QIRYAH-2026-V1.

Localização dos dados: União Europeia.

Preferências de consentimento

• Personalização educativa por IA: permite que a assistente use o seu contexto (orçamento do mês, cofrinhos, prioridades) para orientar melhor. Desligada, ela responde de forma genérica.
• Diagnósticos e relatórios de falhas: envio de erros técnicos para melhorar a estabilidade do app.
• Métricas de uso agregadas: estatísticas de navegação para melhorar a usabilidade.

Tudo isso fica em Mais → Privacidade e dados e pode ser alterado quando quiser; o essencial do app não depende de nenhum consentimento.