Política de Privacidade
Última atualização: 27 de abril de 2026
O Dindin respeita sua privacidade. Coletamos apenas os dados necessários para fornecer o serviço e nunca vendemos ou compartilhamos suas informações com terceiros para fins publicitários.
⚠️ Serviço em fase de testes (Beta)
O Dindin está em período de testes público. A maior parte dos direitos previstos na LGPD já está disponível diretamente na plataforma:
• Portabilidade completa e acesso aos dados: botão "Baixar meus dados" em Conta (retorna JSON estruturado e interoperável);
• Exclusão da conta, revogação de consentimento para IA e opt-out de contato para feedback: também em Conta;
• Correção de dados cadastrais (nome, contato): durante o beta, atendida manualmente em até 15 dias úteis pelo e-mail [email protected] — UI direta planejada pós-beta.
Em excepcionais casos de manutenção estrutural durante o beta, dados podem ser migrados ou reinicializados — avisaremos com antecedência sempre que possível.
1. Quem somos
O Dindin (também chamado de Assistente Din) é um serviço de gestão de gastos pessoais disponibilizado via interface web e bot de mensagens. Esta Política de Privacidade descreve como coletamos, usamos, armazenamos e protegemos os seus dados, em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD — Lei nº 13.709/2018).
2. Dados coletados
Coletamos as seguintes categorias de dados pessoais:
- Identificação via Telegram: ID de usuário, nome de usuário (@handle), nome e sobrenome fornecidos pelo Telegram no momento do login.
- Identificação via WhatsApp: número de telefone usado para autenticação, quando disponível.
- Registros financeiros: lançamentos de gastos (valor, categoria, descrição, data, origem), rendas, gastos fixos, gastos previstos e investimentos inseridos por você.
- Dados de assinatura: status da assinatura, data de expiração e ID de cliente no Stripe (não armazenamos dados de cartão de crédito — isso é gerenciado exclusivamente pelo Stripe).
- Logs de auditoria de mensagens: conteúdo, identificador e data das mensagens recebidas via Telegram ou WhatsApp, usados para investigar falhas de processamento e suspeitas de abuso. Esses registros possuem prazo máximo de retenção definido no item 8.
- Preferências de consentimento: registramos suas escolhas em cada toggle (uso de IA, contato para feedback, aceite dos termos), com data e hora da última alteração, para fins de trilha de auditoria.
- Dados técnicos de sessão: identificador de sessão armazenado em cookie httponly em Redis com expiração; logs de erro com dados pessoais removidos.
- Indicador de presença (último acesso): registramos a data e hora do último acesso autenticado (campo
last_seen_at), atualizada com debounce de 5 minutos. Usado apenas para métricas internas agregadas de uso (ex.: "quantos usuários acessaram nos últimos 7 dias"), nunca exibido para outros usuários.
Não coletamos senhas, documentos de identidade, localização GPS, dados biométricos nem qualquer informação sensível além das listadas acima.
3. Finalidade do tratamento
Seus dados são usados exclusivamente para:
- Autenticar e identificar sua conta no serviço;
- Armazenar e exibir seus registros financeiros;
- Processar pagamentos e gerenciar sua assinatura;
- Melhorar a experiência com recursos de inteligência artificial (interpretação de mensagens de texto, extração de dados de comprovantes e transcrição de áudio);
- Enviar notificações relacionadas ao serviço via Telegram ou WhatsApp;
- Entrar em contato ocasional via Telegram ou WhatsApp para coleta de feedback e melhoria do produto, somente quando você habilita o toggle "Contato para feedback" em Conta;
- Monitorar erros técnicos para garantir a estabilidade da plataforma.
4. Base legal para tratamento (LGPD)
O tratamento dos seus dados está fundamentado nas seguintes bases legais previstas no art. 7º da LGPD:
- Execução de contrato (art. 7º, V): para fornecer os serviços contratados;
- Legítimo interesse (art. 7º, IX): para monitoramento de erros e segurança da plataforma;
- Consentimento (art. 7º, I): para o uso de funcionalidades opcionais baseadas em IA.
5. Serviços de terceiros
Para operar, o Dindin utiliza os seguintes prestadores de serviço, que podem processar dados em seu nome:
- Telegram Bot API (Telegram Messenger Inc.): recebe e envia mensagens via bot. Sujeito à Política de Privacidade do Telegram.
- WhatsApp Business API (Meta Platforms Inc.): recebe e envia mensagens via bot. Sujeito à Política de Privacidade do WhatsApp.
- OpenAI API (OpenAI LLC): utilizado como fallback para interpretação de mensagens de texto, extração de dados de imagens de comprovantes (OCR) e transcrição de áudio. O conteúdo das mensagens pode ser enviado à OpenAI para processamento. Não enviamos nome, e-mail ou outros dados de identificação à OpenAI. Sujeito à Política de Privacidade da OpenAI.
- Stripe (Stripe Inc.): processamento de pagamentos e gestão de assinaturas. Dados de cartão de crédito são coletados e armazenados exclusivamente pelo Stripe. Sujeito à Política de Privacidade do Stripe.
- Sentry (Functional Software Inc.): monitoramento de erros da aplicação. Configurado com
send_default_pii=False, sem captura de variáveis locais em stack traces (include_local_variables=False) e com sanitização (scrub) automática de campos sensíveis em breadcrumbs e dados de requisição. Sujeito à Política de Privacidade do Sentry.
Não vendemos, alugamos nem compartilhamos seus dados com nenhuma outra empresa além das listadas acima, e apenas na medida necessária para a prestação do serviço.
6. Armazenamento e segurança
- Banco de dados: seus registros são armazenados em PostgreSQL, hospedado em ambiente seguro com acesso restrito.
- Sessões: gerenciadas via Redis com expiração automática (TTL). O cookie de sessão é configurado como
httponly e samesite=lax, impedindo acesso por scripts externos.
- Comunicação: toda comunicação com o Dindin utiliza HTTPS/TLS.
- Senhas: não armazenamos senhas. A autenticação é realizada via Telegram ou WhatsApp.
- Rate limiting: limites de requisição são aplicados para proteger contra abusos.
- Cabeçalhos de segurança: a plataforma implementa cabeçalhos HTTP de segurança (X-Content-Type-Options, X-Frame-Options, X-XSS-Protection, entre outros).
6.1. Acesso interno aos dados
O acesso administrativo aos dados pessoais é restrito ao(s) operador(es) do serviço (atualmente, o próprio fundador, listado como Encarregado no item 13) e ocorre exclusivamente em duas situações:
- Suporte e investigação de incidentes: consultas pontuais a pedido do próprio titular ou para apurar falhas e abusos.
- Contato para coleta de feedback: apenas quando você marca o toggle "Contato para feedback" em Conta, seu nome, canal preferido (Telegram ou WhatsApp) e identificador de contato passam a integrar uma audiência interna que pode ser visualizada e exportada por administradores autorizados, com a finalidade exclusiva de envio de mensagens ocasionais sobre o produto.
Toda visualização ou exportação dessa audiência fica registrada em uma trilha de auditoria interna (tabela admin_audit_logs), com identificação do administrador, ação executada, IP de origem e data/hora. Essa trilha é mantida por 90 dias e segue a mesma janela de retenção dos demais logs de auditoria (item 8).
Não temos painel administrativo que exiba conteúdo de gastos, valores ou descrições individuais — apenas métricas agregadas e anonimizadas.
7. Cookies
O Dindin utiliza apenas um cookie de sessão (expensives_session), estritamente necessário para manter você autenticado durante a navegação. Este cookie:
- É do tipo httponly — não pode ser lido por JavaScript;
- Tem atributo samesite=lax — reduz riscos de CSRF;
- Expira automaticamente ao encerrar a sessão ou após período de inatividade;
- Não é utilizado para rastreamento, publicidade ou análise comportamental.
Não utilizamos cookies de terceiros, pixels de rastreamento nem qualquer tecnologia de monitoramento além do cookie de sessão descrito acima.
Adicionalmente, armazenamos uma única chave em localStorage (dindin_cookie_consent_v1) somente para registrar a data em que você confirmou ciência do banner de cookies — essa chave fica apenas no seu navegador e não é enviada aos nossos servidores.
8. Retenção de dados
Seus dados são mantidos enquanto sua conta estiver ativa. Após a exclusão da conta, os dados pessoais são removidos em até 30 dias corridos, salvo obrigação legal que exija a retenção por prazo maior.
Os logs de auditoria de mensagens (mensagens recebidas via Telegram e WhatsApp) e a trilha de auditoria de acessos administrativos (item 6.1) são apagados automaticamente após 90 dias da data de criação, mesmo enquanto sua conta permanece ativa.
Sessões de autenticação têm expiração absoluta de 7 dias; após esse período, é necessário fazer login novamente.
Dados anonimizados ou agregados (sem possibilidade de identificação) podem ser retidos por prazo indeterminado para fins estatísticos.
9. Seus direitos (LGPD, art. 18)
Como titular dos dados, você tem direito a:
- Acesso: obter confirmação e cópia dos seus dados via "Baixar meus dados" em Conta;
- Portabilidade: baixar todos os seus dados em formato JSON estruturado e interoperável pelo mesmo botão "Baixar meus dados" em Conta; lançamentos individuais também podem ser exportados em CSV/XLSX em Gastos;
- Correção: solicitar atualização de dados cadastrais via e-mail (durante o beta);
- Exclusão: solicitar a eliminação dos seus dados pessoais em Conta (soft-delete imediato + remoção definitiva em 30 dias);
- Revogação do consentimento: retirar o consentimento a qualquer momento. Os toggles de "Categorização por inteligência artificial" e "Contato para feedback" estão disponíveis em Conta;
- Informação sobre compartilhamento: saber com quais terceiros seus dados são compartilhados;
- Peticionar à ANPD: registrar reclamação perante a Autoridade Nacional de Proteção de Dados.
Para exercer qualquer um desses direitos, entre em contato pelo e-mail indicado na seção de contato abaixo.
10. Transferência internacional de dados
Alguns dos serviços de terceiros listados nesta política operam servidores fora do Brasil. Quando isso ocorre, adotamos salvaguardas adequadas, como cláusulas contratuais padrão ou verificação de adequação do país destinatário, em conformidade com o art. 33 da LGPD.
11. Menores de idade
O Dindin não é direcionado a menores de 18 anos. Não coletamos intencionalmente dados de menores. Caso identifiquemos que dados de um menor foram coletados sem consentimento parental, tomaremos medidas para removê-los imediatamente.
12. Alterações nesta política
Esta Política de Privacidade pode ser atualizada periodicamente. Quando isso ocorrer, a data de "Última atualização" será alterada. Alterações relevantes serão comunicadas via bot ou na interface do serviço com antecedência razoável.
13. Contato e encarregado (DPO)
Para dúvidas, solicitações ou reclamações relacionadas à privacidade e ao tratamento dos seus dados, entre em contato:
Responderemos às solicitações em até 15 dias úteis, conforme previsto na LGPD.