Política de Privacidade
Versão 1.1 — Setembro de 2026
O que mudou na versão 1.1 (setembro de 2026): (a) a descrição do envio de dados aos provedores de inteligência artificial passou a dizer exatamente o que é enviado (Seção 3); (b) os prazos de exclusão passaram a seguir o fluxo real da plataforma — pedido feito na própria plataforma e conclusão em 7 dias (Seção 5); (c) a Política passou a cobrir também os Usuários do Alvore Finance para Empresas (Seção 1.7); (d) foi incluída a verificação anti-robô no cadastro (Seções 2, 4 e 7).
Em agosto de 2026, a plataforma passou a se chamar Alvore Finance, nome que substitui "Oppen Finance". A controladora continua sendo a ALVORE CONSULTORIA LTDA, mesmo CNPJ.
Esta Política de Privacidade explica de forma clara, transparente e acessível como a ALVORE CONSULTORIA LTDA ("Alvore", "nós") coleta, utiliza, compartilha, armazena e protege os seus dados pessoais ao utilizar a plataforma Alvore Finance no módulo autônomo para pessoas físicas (varejo/D2C) e no Alvore Finance para Empresas.
- Controladora dos Dados: ALVORE CONSULTORIA LTDA, inscrita no CNPJ sob o nº 63.083.339/0001-19, com sede na Rua Rio Grande do Norte, nº 1436, Sala 1605, Bairro Savassi, Belo Horizonte - MG, CEP 30130-138.
- Encarregado pelo Tratamento de Dados Pessoais (DPO): Pedro Henrique Militão Fernandes.
- Canal de Contato do DPO e Suporte: pedro.fernandes@alvoreconsultoria.com.
Ao utilizar o Alvore Finance, você confirma que leu e compreendeu os termos desta Política.
1. Quais dados pessoais tratamos
1.1 Dados Cadastrais e de Identificação
- Informações fornecidas por você no cadastro: Nome completo, endereço de e-mail, CPF (Cadastro de Pessoas Físicas), número de telefone celular e data de nascimento.
- Credenciais de Acesso: Senha de acesso (armazenada exclusivamente em formato hash criptográfico no Supabase Auth; nós não temos acesso à sua senha em texto claro).
- Dados de Origem: Informações sobre como você conheceu a plataforma.
1.2 Dados Financeiros Obtidos via Open Finance (mediante consentimento)
Ao autorizar a integração das suas contas bancárias via Open Finance Brasil, coletamos por intermédio da nossa parceira agregadora (Pluggy Tecnologia Ltda.):
- Instituições e Contas: Nome da instituição financeira, tipo de conta, saldo e número mascarado.
- Extrato e Transações: Histórico de movimentações (data, valor, descrição do lançamento, estabelecimento/contraparte e categoria).
- Cartões de Crédito: Faturas, limites, datas de vencimento e lançamentos.
- Investimentos e Empréstimos: Saldo em carteiras, posições de investimentos, contratos de empréstimo e saldo devedor.
Importante: A conexão Open Finance é estritamente de leitura (read-only). Nós nunca solicitamos, recebemos ou armazenamos sua senha bancária. A autenticação é feita diretamente no aplicativo ou site do seu banco.
1.3 Dados Declarados por Você na Plataforma
- Informações sobre renda mensal, bens móveis e imóveis, dívidas, reservas financeiras, objetivos de vida, idade pretendida de aposentadoria e renda desejada para simulação de cenários de longo prazo.
- Documentos anexados voluntariamente por você para organização pessoal (ex: comprovantes de renda ou declarações).
1.4 Dados de Acesso e Dispositivo (Logs)
- Endereço IP de origem, data, hora, fuso horário, dados do dispositivo e especificações do navegador de acesso.
1.5 Cookies e Tecnologias de Monitoramento
- Utilizamos exclusivamente cookies estritamente necessários para autenticação da sessão, segurança contra ataques cibernéticos e funcionamento essencial da plataforma. Não utilizamos cookies de rastreamento publicitário ou de terceiros.
1.6 Conector MCP
Quando você autoriza um host de inteligência artificial (por exemplo Cursor ou Claude) a se conectar ao Conector MCP da Alvore, o host lê somente o que as tools cobertas pelo consentimento de escopos permitem — não o restante da conta. Cada leitura é registrada em ConsultorApiAccessLog. Para revogar o acesso, apague o token correspondente (Configurações do consultor ou Conector da empresa) ou desconecte o host no aplicativo dele.
1.7 Alvore Finance para Empresas
- Dados dos Usuários da empresa: nome, e-mail, papel na empresa (Administrador, Visualizador ou Básico), dados de acesso e, do responsável que faz o cadastro, CPF e telefone. Para esses dados, a Alvore é a controladora, e vale esta Política.
- Dados de terceiros nas movimentações da empresa: extratos, transações, sistemas de gestão e documentos da empresa trazem nomes e documentos de clientes, fornecedores, funcionários e outras contrapartes. Para esses dados, a empresa é a controladora e a Alvore é a operadora, e o tratamento segue os Termos de Uso — Alvore Finance para Empresas (app.alvore.com.br/termos/empresas). Pedidos de titulares terceiros devem ser dirigidos à empresa; se chegarem à Alvore, são encaminhados a ela.
2. Finalidades e Bases Legais do Tratamento (LGPD, Art. 7º)
Tratamos seus dados pessoais estritamente respaldados pelas hipóteses autorizativas da Lei Geral de Proteção de Dados (Lei nº 13.709/2018):
| Finalidade do Tratamento | Dados Utilizados | Base Legal (LGPD) |
|---|---|---|
| Prestação do Serviço e Gestão da Conta: Criar sua conta, autenticar acessos, disponibilizar o painel e permitir o uso do software SaaS. | Nome, e-mail, CPF, telefone, data de nascimento, senha cifrada. | Execução de Contrato (Art. 7º, V) |
| Integração Open Finance: Conectar às suas contas bancárias e importar saldos e extratos. | Dados bancários, saldos, transações e posições via Pluggy. | Consentimento (Art. 7º, I) — revogável a qualquer tempo. |
| Organização e Categorização por IA: Classificar gastos e alimentar gráficos e simuladores determinísticos. | Descrição de transações, valores, datas e nome da contraparte (com o CPF mascarado — ver Seção 3). | Execução de Contrato (Art. 7º, V) |
| Processamento de Cobrança: Faturar a assinatura mensal e gerenciar o período de teste previsto no plano contratado, via Stripe. | Nome, CPF, e-mail, tokens de pagamento. | Execução de Contrato (Art. 7º, V) |
| Comunicações Operacionais e Transacionais: Enviar links de redefinição de senha, avisos de faturamento e alertas de expiração do Open Finance. | E-mail, nome. | Execução de Contrato (Art. 7º, V) |
| Comunicações de Marketing e Novidades: Enviar newsletter, ofertas de novos recursos ou conteúdos educativos. | E-mail, nome. | Consentimento (Art. 7º, I) — opcional e mediante opt-in destacado. |
| Segurança e Prevenção a Fraudes: Monitorar acessos suspeitos, proteger a infraestrutura, prevenir uso indevido e verificar, no cadastro, que quem se cadastra não é um robô (verificação anti-robô da Vercel, quando ativada). | Endereço IP, logs de acesso, dados de dispositivo e sinais técnicos do navegador. | Legítimo Interesse (Art. 7º, IX) |
| Guarda Obrigatória de Logs: Manter registros de conexão de aplicações de internet. | Endereço IP, data e hora de acesso. | Obrigação Legal (Marco Civil da Internet, Art. 15; LGPD, Art. 7º, II) |
| Cumprimento de Obrigações Fiscais e Contábeis: Emitir notas fiscais e guardar histórico de transações financeiras da empresa. | Nome, CPF, e-mail, comprovantes de pagamento. | Obrigação Legal (Código Tributário Nacional e Código Civil; LGPD, Art. 7º, II) |
3. Uso de Inteligência Artificial e Ausência de Decisões Automatizadas
Para oferecer a melhor experiência na organização dos seus gastos, a plataforma utiliza modelos de Inteligência Artificial para categorizar automaticamente as descrições dos lançamentos do seu extrato bancário.
Como isso funciona na prática e quais são as suas garantias:
- O que é enviado ao provedor de IA: para categorizar, enviamos a descrição do lançamento, o valor, a data e o nome da contraparte (a pessoa ou empresa que pagou ou recebeu), que pode identificar pessoas. Na categorização, os números de CPF são mascarados antes do envio. O CNPJ de empresas, que é dado público, pode ser enviado e usado para consultar o ramo de atividade da empresa.
- Quem processa: OpenRouter, Inc. (que encaminha a requisição ao modelo de IA escolhido pela Alvore) e Google LLC (modelos Gemini). Os dados são usados só para responder à requisição da Alvore.
- Ausência de Decisão Automatizada com Efeitos Jurídicos (LGPD, Art. 20): O processamento por IA tem função estritamente taxonômica (organizar um gasto como "Alimentação", "Transporte", etc.). A IA não toma decisões automatizadas que afetem seus direitos, não avalia score de crédito, não estabelece perfil socioeconômico decisório e não concede nem nega serviços.
- Autonomia do Titular: Você possui total liberdade para alterar ou reclassificar manualmente qualquer categoria sugerida pela IA no painel da plataforma.
4. Compartilhamento e Transferência Internacional de Dados
A Alvore não vende, não aluga e não compartilha seus dados pessoais com terceiros para fins de publicidade ou comercialização.
O compartilhamento de dados ocorre exclusivamente com provedores de serviços essenciais à operação da plataforma, conforme detalhado abaixo:
| Fornecedor / Parceiro | Papel Operacional | Dados Compartilhados | Local de Processamento / Garantia Legal (LGPD, Art. 33) |
|---|---|---|---|
| Pluggy Tecnologia Ltda. | Agregadora Open Finance | Dados bancários, saldos e extratos autorizados por você | Brasil / Contrato de prestação de serviços |
| Supabase, Inc. | Infraestrutura de Banco de Dados e Autenticação | Dados cadastrais, financeiros e declarados | Estados Unidos / EU · Standard Contractual Clauses (SCCs) / DPA |
| Vercel, Inc. | Hospedagem da Aplicação em Nuvem e verificação anti-robô no cadastro (Vercel BotID, quando ativada) | Requisições de rede, logs, IP de acesso e sinais técnicos do navegador no cadastro | Estados Unidos · Standard Contractual Clauses (SCCs) / DPA |
| Upstash, Inc. | Controle de tráfego e proteção contra abuso | Endereço IP e identificador da conta | Estados Unidos · Standard Contractual Clauses (SCCs) / DPA |
| Resend, Inc. | Provedor de E-mails Transacionais | Nome e e-mail de destino | Estados Unidos · Standard Contractual Clauses (SCCs) / DPA |
| OpenRouter, Inc. / Google LLC | Modelos de IA para Categorização de Gastos | Descrição de transações, valores, datas e nomes de contrapartes, com CPF mascarado | Estados Unidos · Standard Contractual Clauses (SCCs) / DPA |
| Stripe, Inc. / Stripe Brasil | Gateway e Processador de Pagamentos | Nome, CPF, e-mail e dados tokenizados de cartão | Brasil / Estados Unidos · Stripe Data Processing Agreement (DPA) |
Módulo Casal (Compartilhamento entre Cônjuges)
Caso você opte por utilizar a funcionalidade do Módulo Casal, seu cônjuge passará a ter acesso à Visão Conjunta consolidada (renda média mensal, despesas fixas, teto de gastos variáveis agregados por categoria e caixinhas compartilhadas), sem exposição de transações individuais nem histórico por estabelecimento comercial.
- Fluxo de Duplo Consentimento Auditável: Este compartilhamento somente é ativado após a autorização prévia, expressa e versionada de ambos os cônjuges com aceite registrado de data, versão e endereço IP.
- Revogação a Qualquer Momento: Qualquer um dos cônjuges pode interromper o compartilhamento do Módulo Casal instantaneamente nas Configurações da conta, cortando o acesso no mesmo segundo.
5. Tabela de Prazos de Guarda e Expurgo de Dados
Armazenamos seus dados pessoais somente pelo tempo necessário para cumprir as finalidades para as quais foram coletados, respeitando as obrigações legais e regulatórias de retenção:
| Categoria do Dado | Prazo de Retenção / Guarda | Justificativa / Fundamento Legal |
|---|---|---|
| Dados Cadastrais e Financeiros com Assinatura Ativa | Durante toda a vigência da assinatura contratada. | Execução de Contrato (LGPD, Art. 7º, V) |
| Dados Financeiros do Open Finance após Cancelamento (varejo PF) | 30 (trinta) dias corridos após o término da vigência da assinatura. | Período de tolerância para eventual reativação facilitada da conta pelo titular. Decorrido o prazo, as conexões são revogadas e os dados expurgados. Para o Alvore Finance para Empresas, vale o que dispõem os Termos de Uso para Empresas. |
| Registros de Acesso à Aplicação (Logs de IP) | 6 (seis) meses, contados do momento de cada acesso. | Cumprimento de Obrigação Legal — Marco Civil da Internet (Lei nº 12.965/2014, Art. 15). |
| Registros Fiscais, Faturamento e Dados de Pagamento | 5 (cinco) anos, contados do encerramento do exercício fiscal. | Cumprimento de Obrigação Legal e Exercício Regular de Direitos — Código Tributário Nacional (Art. 173/174), Código Civil (Art. 206, §5º, I) e CDC (Art. 27). |
| Dados sob Pedido de Exclusão da Conta | Conexões de Open Finance revogadas e dados delas apagados no momento do pedido; demais dados eliminados 7 (sete) dias após o pedido, ressalvadas as guardas obrigatórias por lei. | Cumprimento dos Direitos do Titular (LGPD, Art. 18, VI e Art. 16). |
Como funciona a exclusão. O pedido é feito na própria plataforma: pelo titular, em Configurações (pessoa física); pelo Administrador, em Minha conta (empresa). No pedido, as conexões de Open Finance são revogadas e os dados recebidos por elas são apagados, a assinatura deixa de renovar e a conta fica bloqueada. Durante 7 (sete) dias é possível desistir; depois disso, a conta e os dados restantes são excluídos de forma definitiva. Ficam só os registros que a lei obriga a guardar, como os de pagamento e faturamento.
6. Seus Direitos como Titular de Dados (LGPD, Art. 18)
A Lei Geral de Proteção de Dados garante a você os seguintes direitos em relação aos seus dados pessoais:
- Confirmação e Acesso: Confirmar a existência de tratamento e acessar seus dados mantidos pela Alvore;
- Correção: Solicitar a correção de dados incompletos, inexatos ou desatualizados;
- Anonimização, Bloqueio ou Eliminação: Solicitar a eliminação ou anonimização de dados desnecessários, excessivos ou tratados em desacordo com a LGPD;
- Portabilidade: Solicitar a portabilidade dos seus dados cadastrais a outro fornecedor de serviço;
- Eliminação dos Dados Tratados com Consentimento: Solicitar a exclusão dos dados coletados com base no seu consentimento (ex: Open Finance), ressalvadas as obrigações legais de retenção;
- Informação sobre Compartilhamento: Obter informações claras sobre com quais entidades públicas ou privadas seus dados foram compartilhados;
- Revogação do Consentimento: Revogar a qualquer momento o consentimento previamente concedido para Open Finance ou comunicações de marketing.
Como Exercer seus Direitos
A exclusão da conta pode ser pedida diretamente na plataforma (Seção 5). Para exercer qualquer um dos seus direitos, você também pode enviar uma mensagem para o nosso Encarregado pelo Tratamento de Dados Pessoais (DPO) através do e-mail: pedro.fernandes@alvoreconsultoria.com
Por motivos de segurança e prevenção a fraudes, a Alvore poderá solicitar a confirmação de informações cadastrais para validar a identidade do requisitante antes de fornecer dados ou efetuar alterações.
Você também possui o direito de apresentar solicitações ou petições diretamente à Autoridade Nacional de Proteção de Dados (ANPD).
7. Como Protegemos seus Dados (Segurança da Informação)
Adotamos medidas técnicas, administrativas e organizacionais rígidas para proteger seus dados pessoais contra acessos não autorizados, vazamentos, destruição, perda ou alteração acidental, incluindo:
- Isolamento Lógico no Banco de Dados: Aplicação de Row Level Security (RLS) no PostgreSQL do Supabase em todas as tabelas de dados de clientes, garantindo que o usuário acesse estritamente seus próprios registros;
- Criptografia em Trânsito e em Repouso: Criptografia SSL/TLS em todas as comunicações da aplicação e cifragem das credenciais de integração com algoritmo AES-256-GCM;
- Proteção Absoluta de Credenciais Bancárias: Nenhuma senha bancária transita ou permanece armazenada em nossas infraestruturas;
- Controle Rígido de Acesso Administrativo: Autenticação de Múltiplos Fatores (MFA) obrigatória para todo e qualquer acesso administrativo ao ambiente de produção;
- Gestão de Sessão e Hardening: Encerramento automático de sessão por inatividade, proteção contra falsificação de requisições em sites cruzados (CSRF), limitação de taxa de requisições (rate-limiting) e cabeçalhos de segurança web avançados (HSTS, CSP, X-Frame-Options);
- Sanitização de Dados: Mascaramento automatizado de números de CPF antes do envio de transações para categorização por IA (ver Seção 3);
- Verificação Anti-Robô: Verificação no cadastro, sem desafio ao usuário, para barrar cadastros automatizados (Vercel BotID, quando ativada).
8. Menores de Idade
A plataforma Alvore Finance é voltada exclusivamente ao uso por pessoas físicas capazes e maiores de 18 (dezoito) anos. Não coletamos intencionalmente dados de crianças ou adolescentes. Caso seja identificado o cadastro de um menor de idade, a conta será desativada e os dados pessoais correspondentes serão sumariamente eliminados.
9. Alterações nesta Política de Privacidade
Esta Política de Privacidade poderá ser atualizada a qualquer momento para refletir aprimoramentos técnicos, evoluções no produto ou novas obrigações regulatórias.
Sempre que forem realizadas alterações relevantes, informaremos você por e-mail e/ou por meio de aviso prévio destacado no painel da plataforma com antecedência mínima de 30 (trinta) dias da sua entrada em vigor.
O histórico de versões anteriores desta Política pode ser consultado a qualquer tempo no endereço eletrônico https://app.alvore.com.br/privacidade.
10. Canais de Contato e DPO
Se você tiver dúvidas, sugestões ou solicitações relacionadas a esta Política de Privacidade ou ao tratamento de seus dados pessoais, entre em contato diretamente com o nosso Encarregado:
- Encarregado pelo Tratamento de Dados (DPO): Pedro Henrique Militão Fernandes
- E-mail do DPO e Suporte: pedro.fernandes@alvoreconsultoria.com
- Endereço Postal: ALVORE CONSULTORIA LTDA — Rua Rio Grande do Norte, nº 1436, Sala 1605, Bairro Savassi, Belo Horizonte - MG, CEP 30130-138.