Política de Privacidade

1. Quem é responsável pelos seus dados

O controlador dos dados pessoais descritos neste aviso é a TNV NextGen, uma empresa individual (eenmanszaak) com sede em Hollywoodlaan 58, 1325 HS Almere, Holanda, registrada na Câmara de Comércio holandesa (KVK) sob o número 98216260, número de IVA NL005316081B12 ("MySharedXP", "nós"). Você pode nos contatar em privacy@tnvnextgendigital.com.

O controlador está estabelecido na Holanda, portanto não é necessário um representante na UE nos termos do art. 27 do RGPD (GDPR). Para qualquer dúvida sobre seus dados pessoais, escreva para privacy@tnvnextgendigital.com.

2. O que este aviso abrange

Este aviso se aplica aos apps do MySharedXP para iOS e Android, ao web app do MySharedXP em app.mysharedxp.com e ao site mysharedxp.com. Ele foi redigido para cumprir os artigos 13 e 14 do Regulamento Geral sobre a Proteção de Dados (RGPD, ou GDPR).

3. Os dados que tratamos

Dependendo de como você usa o MySharedXP, tratamos as seguintes categorias de dados pessoais:

• Dados de conta e identidade: endereço de e-mail (seu login), nome, sobrenome, nome de exibição, número de telefone opcional (usado apenas se você ativar a autenticação de dois fatores por SMS), foto do perfil, bio curta, fuso horário, moeda padrão, status de verificação e horário do último login. Se você entrar com a Apple ou o Google, recebemos um token de identidade e o nome e o endereço de e-mail que o provedor compartilha conosco.
• Dados financeiros e de grupos: as despesas que você registra (valor, moeda, categoria, título, observações, data), como são divididas, acertos e pagamentos, orçamentos, despesas recorrentes e os grupos dos quais você faz parte. Em conjunto, isso é um registro dos seus gastos e de quem deve a quem.
• Dados de pagamento (opcionais): para facilitar o acerto de contas, você pode adicionar até 10 formas de receber em Configurações > Dados de pagamento: uma conta bancária (IBAN, o nome do titular e, fora da zona do euro, o BIC), o nome ou link de um app de pagamento (por exemplo, PayPal.me) ou um número de telefone usado por um app de pagamento. Somente um membro que deve dinheiro a você num plano de acerto vê os dados que você ativou, preparados pelo nosso servidor como uma transferência para copiar, um QR code ou um link; um administrador do grupo também os vê ao registrar o pagamento desse membro por ele. Você também pode anexar um link de cobrança avulso (por exemplo, Tikkie ou Payconiq) a um valor que alguém lhe deve, que só vocês dois veem. Quando um pagamento é registrado, armazenamos como ele foi feito (por exemplo, transferência bancária, dinheiro ou app de pagamento). O MySharedXP nunca movimenta dinheiro e nunca recebe logins bancários ou dados de cartão. Alterar os dados de pagamento exige um login recente, e o app avisa você quando eles mudam.
• Recibos: imagens que você anexa às despesas. Um recibo costuma conter mais do que a própria despesa, por exemplo o endereço do estabelecimento ou os últimos dígitos de um cartão de pagamento. Anexe apenas recibos que você não se importa de armazenar. As fotos são recodificadas antes do envio, o que remove metadados da câmera, como coordenadas de GPS.
• Escaneamento de recibos (Pro): o texto de uma foto de recibo é lido no seu dispositivo, e apenas o texto reconhecido é enviado ao nosso servidor para identificar a loja, o total e a data. Se o seu dispositivo não conseguir ler a foto, ou o resultado estiver errado, você pode optar por mandar a foto para leitura pelo serviço de leitura com IA do nosso provedor de nuvem na UE; ela nunca é enviada para lá a menos que você escolha isso. Esse serviço não guarda a foto e não a usa para treinar seus modelos. Se você informar que um recibo foi lido errado, registramos quais campos estavam errados, qual leitor o leu (seu dispositivo ou o serviço de IA), qual app você usou e o que o app percebeu na foto (por exemplo, que estava escura ou precisou ser endireitada). Quando você informa um total errado na leitura feita pelo seu dispositivo, também registramos as palavras impressas ao lado dos valores no recibo, sem os números (por exemplo, “TOTAL” ou “SUMA PLN”), para podermos ensinar ao leitor palavras que ele ainda não conhece. Essas palavras são armazenadas separadamente da sua conta e verificadas por nós antes de serem usadas.
• Dados de assinatura: seu nível de assinatura, data de expiração, identificador do produto e o identificador da transação na loja, conforme informados pela Apple, pelo Google ou pela Stripe. Nunca recebemos nem armazenamos dados de cartão de pagamento; as lojas de apps cuidam do pagamento.
• Planos de presente e cupons: se concedermos a você um plano sem compra (por exemplo, como testador inicial ou por meio de um parceiro), ou se um código de convite que você usou incluir meses grátis, armazenamos qual plano foi concedido, por quem, por quê e até quando, para que o plano em vigor e o seu término sejam conhecidos por você e por nós.
• Suporte e feedback: o assunto e o texto das solicitações de suporte e do feedback que você nos envia, sua avaliação, se você deixar uma, e o que você escolher anexar: capturas de tela e, se você marcar "Incluir registros do dispositivo", um registro com a versão do app, o sistema operacional, o modelo do dispositivo, o idioma e as mensagens técnicas recentes do app. O registro não contém suas despesas, recibos ou senhas.
• Atividade e notificações: um registro de atividades e notificações atribuídas a você (por exemplo, "você adicionou uma despesa").
• Amigos e indicações: as pessoas de quem você é amigo no app, os pedidos de amizade que você envia ou recebe e, se você usar um código de indicação, quem convidou quem e quando. Outras pessoas só podem encontrar você para enviar um pedido de amizade conforme a sua configuração de visibilidade do perfil permitir: "Todos" pelo nome ou endereço de e-mail, "Só amigos" apenas pelo endereço de e-mail exato, "Privado" de jeito nenhum. Os resultados da busca mostram seu perfil público, nunca seu endereço de e-mail.
• Convites: quando você convida por e-mail alguém que ainda não está no MySharedXP, armazenamos esse endereço de e-mail com o seu convite, para que a pessoa seja ligada a você se ela se cadastrar. A pessoa convidada não é contatada por nós; você mesmo compartilha o convite. Se você convidar alguém, certifique-se de que a pessoa não se importa de ter notícias suas.
• Visitantes, links de convite e pessoas adicionadas pelo nome: nos apps, você pode começar sem conta. Uma conta de visitante contém uma chave aleatória guardada no seu celular, um hash unidirecional dessa chave no nosso servidor e a plataforma em que foi criada; antes de ela ser criada, o app nos comprova, por meio do Google Play Integrity ou do Apple App Attest, que é uma cópia genuína e não modificada, e guardamos apenas esse veredito. Os links de convite de grupo contêm um token aleatório e a data de expiração. Pessoas adicionadas a um grupo pelo nome antes de entrarem (lugares reservados) são armazenadas com o nome digitado e o saldo que elas assumem quando entram.
• Tokens de notificação push: se você permitir notificações, o token do dispositivo emitido pela Apple ou pelo Google é armazenado com a sua conta para que possamos entregar notificações a esse dispositivo. Quando outra pessoa entra no mesmo dispositivo, o token passa para a conta dela. Ele é excluído quando você sai da conta ou exclui sua conta.
• Registros de consentimento: a versão dos Termos e deste aviso que você aceitou, sua confirmação de que tem 16 anos ou mais (18 na Índia) e cada vez que você ativa ou desativa as estatísticas de uso, com data e hora. Guardamos esses registros para comprovar o consentimento (art. 7(1) do RGPD (GDPR)).
• Estatísticas de uso (somente com sua adesão): as Configurações têm a opção "Compartilhar dados de uso", desativada por padrão. Quando ela está ativada, o app registra eventos anônimos, como quais telas você abre, quais recursos usa (por exemplo, escaneamento de recibos ou exportação), quando um recurso Pro foi mostrado como bloqueado, quais mensagens de erro você viu e se você permitiu notificações. Cada evento contém apenas um nome fixo e um valor fixo de uma lista que nosso servidor verifica, além de um identificador aleatório da instalação, nunca a sua conta. Os eventos não contêm nomes, títulos, observações, valores ou texto livre. Eles são excluídos automaticamente após 13 meses; como não estão ligados à sua conta, excluir a conta não os afeta e não podemos encontrá-los nem devolvê-los a você.
• Estatísticas do serviço: uma vez por semana, contamos, nos nossos servidores na UE, como o serviço é usado como um todo, por exemplo quantas contas foram criadas, quantos grupos registraram um acerto, quantos convites foram aceitos e quantas solicitações de suporte foram abertas. Apenas os totais saem desse cálculo; nenhuma lista de pessoas é criada ou mantida.
• Publicidade: os anúncios vêm do Google AdMob (Google Ireland Limited para o EEE e o Reino Unido). Contas gratuitas veem um banner nas telas Painel e Grupos, um banner ocasional no meio do conteúdo e um anúncio em tela cheia depois que um acerto é registrado ou a cada dez despesas que você adiciona (no total, no máximo um a cada 30 minutos e dois por dia). Para veicular e medir anúncios, o Google Mobile Ads SDK trata o identificador de fornecedor do seu dispositivo, sua localização aproximada derivada do seu endereço IP, os anúncios que você vê e toca e diagnósticos técnicos. No iPhone e no iPad, o app pergunta uma vez, pelo aviso de Transparência de Rastreamento de Apps da Apple, se os anúncios podem usar o identificador de publicidade do seu dispositivo (IDFA); se você permitir, o Google pode usá-lo para mostrar anúncios mais relevantes, e você pode retirar essa permissão a qualquer momento em Ajustes do iOS > Privacidade e Segurança > Rastreamento. Se você recusar, e no Android, onde o app nem solicita o identificador de publicidade, os anúncios não são personalizados com ele. No EEE e no Reino Unido, o formulário de consentimento do Google é exibido antes do primeiro anúncio, e suas escolhas podem ser alteradas a qualquer momento em Configurações > Opções de privacidade dos anúncios. Assinantes do Coffee e do Pro não veem anúncios; o SDK de anúncios só é iniciado para eles se escolherem assistir a um anúncio premiado. Os anúncios premiados são opcionais: uma conta sem Pro pode escolher assistir a um para ganhar um escaneamento de recibo ou uma exportação de grupo, válidos por 30 dias. Se você escolher assistir a um, repassamos o identificador da sua conta do MySharedXP ao Google AdMob para que o Google possa nos confirmar que o anúncio foi assistido e possamos adicionar a recompensa à sua conta.
• Siri e Atalhos (Pro, iPhone e iPad): quando você faz um pedido à Siri ou executa um Atalho, a Apple transforma seu pedido nos detalhes da ação, por exemplo um valor e um grupo, sob os próprios termos de privacidade da Apple. O MySharedXP recebe apenas esses detalhes, nunca a sua voz, e os trata como a mesma ação no app. Para membros Pro, os nomes dos seus grupos e das pessoas neles também são adicionados à busca do próprio dispositivo (Spotlight), que fica no dispositivo e é apagada quando você sai da conta.
• Dados no dispositivo: preferências como configurações de notificação e sinalizadores de recursos são armazenadas no seu dispositivo e não são enviadas a nós. O desbloqueio por Face ID / Touch ID / digital usa o sistema operacional; nenhum dado biométrico chega até nós.
• Web app: o web app guarda no armazenamento local do seu navegador sua sessão de login, suas preferências de exibição (tema, tamanho do texto, idioma), a divisão que você usou por último e se você aceitou estes documentos. Isso é necessário para o funcionamento do web app e não é usado para rastreamento; sair da conta remove a sessão.
• Site: com o seu consentimento (o banner de cookies), o site usa o Google Analytics 4 para contar visitas e ver quais páginas e idiomas são lidos e de onde vêm os visitantes. Até você aceitar, nenhum script de análise é carregado e nada é enviado ao Google; recusar deixa o site como está. Nosso provedor de hospedagem (AWS) registra o endereço IP e a URL solicitada de cada visita em logs de servidor de curta duração para operar o serviço.

4. Por que tratamos os dados e com qual base legal

• Prestar o serviço para o qual você se cadastrou (contas, grupos, despesas, divisões, acertos, recibos, assinaturas, suporte): execução de contrato, art. 6(1)(b) do RGPD (GDPR).
• Acertar as contas por meio dos seus dados de pagamento (mostrá-los a um membro que lhe deve, links de cobrança, registro de como um pagamento foi feito): execução de contrato, art. 6(1)(b) do RGPD (GDPR), e apenas para os dados que você escolher adicionar.
• Manter o serviço seguro (login, códigos de verificação, autenticação de dois fatores opcional, prevenção de abusos, logs de servidor): nosso interesse legítimo em um serviço seguro, art. 6(1)(f) do RGPD (GDPR).
• Ler recibos com reconhecimento óptico de caracteres (recurso Pro): execução de contrato, art. 6(1)(b), acionado apenas quando você toca em "escanear".
• Estatísticas de uso anônimas: seu consentimento, art. 6(1)(a) do RGPD (GDPR), dado ao ativar a opção e que pode ser retirado a qualquer momento ao desativá-la.
• Estatísticas do serviço (totais semanais calculados a partir dos dados acima): nosso interesse legítimo em entender e melhorar o serviço, art. 6(1)(f) do RGPD (GDPR). Você pode se opor; veja seus direitos abaixo.
• Publicidade em contas gratuitas: no EEE e no Reino Unido, seu consentimento dado pelo formulário de consentimento do Google, art. 6(1)(a) do RGPD (GDPR), que pode ser retirado em Configurações > Opções de privacidade dos anúncios; nos demais lugares, nosso interesse legítimo em financiar o plano gratuito, art. 6(1)(f) do RGPD (GDPR). Assinar remove totalmente a publicidade.
• Cumprir obrigações legais, por exemplo regras fiscais e contábeis para a receita de assinaturas: art. 6(1)(c) do RGPD (GDPR).
• O fornecimento dos seus dados não é exigido por lei. Sem um endereço de e-mail e os dados necessários para registrar despesas, não podemos prestar o serviço.

5. Quem recebe seus dados

Os outros membros dos seus grupos veem seu nome de exibição, sua foto do perfil, as despesas que você registra naquele grupo e o seu saldo nele. Essa é a finalidade do app; tenha isso em mente antes de adicionar alguém a um grupo.

Usamos os prestadores de serviços ("suboperadores") listados na tabela abaixo. Não vendemos dados pessoais. A única rede de publicidade é o Google AdMob, usado apenas para contas gratuitas, conforme descrito na seção 3. Os apps para iOS e Android não contêm nenhum SDK de análise ou de relatório de falhas de terceiros; os relatórios de falhas só chegam até nós pelos próprios sistemas de relatório opcionais da Apple e do Google (App Store Connect e Android vitals no Play Console). As notificações push no Android, um recurso dos planos pagos, são entregues pelo Firebase Cloud Messaging do Google. O site usa o Google Analytics somente depois que você aceita os cookies (seção 12).

Cada prestador trata dados pessoais com base em um contrato de tratamento de dados ou, quando atua por conta própria (por exemplo, Apple e Google para login e pagamentos nas lojas), com base nos seus próprios termos de proteção de dados. Os apps contêm código para um segundo provedor de login, que está desativado e não recebe nenhum dado.

6. Transferências internacionais

Todos os dados de conta, financeiros e de recibos são armazenados em data centers da AWS em Frankfurt, Alemanha (eu-central-1). Alguns prestadores têm empresas-mãe nos Estados Unidos e podem acessar dados de lá para suporte ou operações. Para essas transferências, nos baseamos no EU-US Data Privacy Framework, no qual esses prestadores são certificados, e nas Cláusulas Contratuais Padrão da Comissão Europeia. O Banco Central Europeu recebe apenas códigos de moeda e datas, nunca dados pessoais.

7. Por quanto tempo mantemos os dados

Mantemos dados pessoais apenas pelo tempo necessário para as finalidades acima:

• Dados de conta e de perfil: até você excluir sua conta. A exclusão tem efeito imediato: você não consegue mais entrar e, em poucos minutos, seus dados são apagados, seu login é removido e seu perfil é substituído por um marcador anônimo.
• Dados de pagamento: até você removê-los em Configurações > Dados de pagamento ou excluir sua conta; eles são excluídos junto com ela. Links de cobrança: 30 dias, após os quais são excluídos automaticamente, ou antes, quando você exclui sua conta.
• Convites para pessoas que não estão no MySharedXP: 90 dias, após os quais são excluídos automaticamente, ou antes, quando a pessoa se cadastra ou você exclui sua conta.
• Contas inativas: se você não entrar por mais de 24 meses, podemos excluir sua conta como descrito acima, depois de avisar você por e-mail com pelo menos 30 dias de antecedência.
• Despesas que você exclui: elas desaparecem do app na hora e são apagadas definitivamente 30 dias depois (o tempo de que os outros dispositivos precisam para saber da exclusão); a imagem de um recibo é excluída na hora. Despesas acertadas: quando todos de um grupo estão com as contas acertadas há 30 dias e o dono do grupo está no plano Gratuito, as despesas acertadas, as imagens dos recibos delas e os pagamentos registrados entre os membros são excluídos da mesma forma (o grupo mostra a data em que as contas foram acertadas); se o dono estiver num plano pago (Sem anúncios ou Pro), apenas as imagens dos recibos são excluídas, e as despesas continuam como histórico do grupo até o grupo ser excluído. O grupo mostra antes a data dessa limpeza, e qualquer nova despesa ou pagamento reinicia os 30 dias.
• Despesas, divisões e acertos que você compartilha com outras pessoas: quando você exclui sua conta, eles são anonimizados (seu nome é removido e não pode ser restaurado) para que os registros dos outros membros continuem corretos. Entradas na atividade de um grupo escritas enquanto você era membro (por exemplo, “Adicionou Alex ao grupo”) continuam visíveis para os membros desse grupo.
• Imagens de recibos: excluídas junto com a despesa a que pertencem ou com sua conta, o que ocorrer primeiro.
• Relatos de recibos lidos errado: 90 dias, após os quais são excluídos automaticamente, ou antes, quando você exclui sua conta.
• Solicitações de suporte, seus anexos e feedback: até você excluir sua conta; eles são excluídos junto com ela.
• Notificações e seu registro de atividades pessoal: até você excluir sua conta; eles são excluídos junto com ela. A atividade de um grupo permanece com esse grupo para os seus membros.
• Eventos de uso anônimos: no máximo 13 meses. Eles não estão ligados à sua conta.
• Registros de assinatura: nossa cópia é excluída junto com sua conta. Apple, Google e Stripe mantêm os próprios registros de pagamento, como exige a legislação tributária; para compras na web, a Stripe guarda as faturas que somos obrigados a manter por sete anos pela legislação tributária holandesa.
• Tokens de notificação push: até você sair da conta ou excluir sua conta.
• Registros de consentimento: após a exclusão da conta, de forma anonimizada (ligados apenas a um identificador interno, não ao seu nome ou e-mail), pelo tempo em que possamos precisar demonstrar o que foi acordado, no máximo cinco anos (o prazo de prescrição holandês para reclamações).
• Backups: no máximo 35 dias; depois disso, os dados excluídos também desaparecem dos backups.

8. Seus direitos

Nos termos do RGPD (GDPR), você tem o direito de:

• acessar os dados pessoais que temos sobre você (art. 15);
• ter dados inexatos corrigidos (art. 16);
• ter seus dados apagados (art. 17);
• restringir o tratamento em determinados casos (art. 18);
• receber seus dados em um formato portátil e legível por máquina (art. 20);
• opor-se ao tratamento baseado em interesses legítimos (art. 21);
• retirar o consentimento a qualquer momento, sem afetar o tratamento realizado antes da retirada (art. 7(3));
• apresentar uma reclamação a uma autoridade de controle, em particular no país da UE onde você mora ou trabalha. Nossa autoridade de controle principal é a Autoridade Holandesa de Proteção de Dados (Autoriteit Persoonsgegevens, autoriteitpersoonsgegevens.nl).

9. Como exercer seus direitos

• Exportar seus dados: no app, vá em Configurações > Conta > Exportar dados para baixar um arquivo JSON com os dados que você inseriu: seu perfil e configurações, seus grupos com as despesas e os membros, amigos, orçamentos, despesas recorrentes, suas mensagens de suporte e suas escolhas de consentimento, com pessoas e grupos pelo nome. Para uma cópia completa de todos os dados pessoais que temos sobre você, incluindo os registros que o próprio app mantém (atividade, notificações, histórico de compras), envie um e-mail para privacy@tnvnextgendigital.com.
• Excluir sua conta: no app, vá em Configurações > Zona de perigo > Excluir conta; no web app, Configurações > Zona de perigo > Excluir conta. Isso remove sua conta e seus dados pessoais conforme descrito na seção 7.
• Corrigir seus dados: edite seu perfil em Configurações.
• Retirar o consentimento para as estatísticas de uso: desative "Compartilhar dados de uso" em Configurações.
• Todo o resto, ou se você não conseguir acessar o app: envie um e-mail para privacy@tnvnextgendigital.com. Respondemos em até um mês; podemos pedir que você confirme sua identidade antes.

Como excluir sua conta, com ou sem o app

10. Decisões automatizadas

O otimizador de acertos sugere o menor conjunto de pagamentos que zera os saldos de um grupo. É um cálculo que você pode ignorar ou modificar, não produz efeitos jurídicos nem efeitos igualmente significativos sobre você, e não fazemos perfis dos usuários. Não são tomadas decisões nos termos do art. 22 do RGPD (GDPR).

11. Crianças

O MySharedXP não se destina a crianças. Você precisa ter pelo menos 16 anos para criar uma conta. Na Índia, você precisa ter pelo menos 18, porque a lei indiana considera crianças as pessoas com menos de 18 anos. Se você acredita que uma criança com menos de 16 anos criou uma conta, entre em contato pelo privacy@tnvnextgendigital.com e nós a excluiremos.

12. Cookies, armazenamento local e rastreamento

O site define cookies de análise (Google Analytics 4, Google Ireland Limited) somente depois que você escolhe "Aceitar" no banner de cookies. "Recusar" não define nada e o site funciona da mesma forma. Sua escolha fica guardada no armazenamento local do seu navegador por 12 meses e pode ser alterada a qualquer momento em "Configurações de cookies" no rodapé. Com o seu consentimento, o Google recebe um endereço IP truncado, as páginas que você visualiza, sua localização aproximada e detalhes do dispositivo; o Google Signals e os recursos de publicidade estão desativados, e os dados são mantidos por 2 meses. O site não carrega nenhum outro script ou fonte de terceiros.

O web app armazena no seu navegador apenas o que precisa para funcionar (veja a seção 3, "Web app"). O armazenamento estritamente necessário para um serviço que você solicitou não exige consentimento nos termos da Lei de Telecomunicações holandesa (art. 11.7a); não usamos nenhum para rastreamento ou publicidade.

13. Segurança

Os dados são criptografados em trânsito (TLS) e em repouso na AWS. O acesso aos sistemas de produção é restrito e registrado. Você pode adicionar a autenticação de dois fatores à sua conta e bloquear o app com Face ID, Touch ID ou digital.

14. Informações adicionais para pessoas nos Estados Unidos, no Canadá e na Índia

O restante deste aviso se aplica a todos. Esta seção acrescenta o que as leis desses países exigem. Se algo aqui conflitar com o restante do aviso, esta seção prevalece para as pessoas naquele país.

15. Alterações neste aviso

Quando alteramos este aviso, atualizamos a data no topo desta página. Se uma alteração afetar de forma relevante o modo como usamos seus dados, também avisaremos você no app ou por e-mail antes de ela entrar em vigor.

Este aviso também está disponível em outros idiomas. Essas versões são traduções feitas por IA; se divergirem deste texto em inglês, prevalece o texto em inglês.