Política de privacidade

Em vigor desde 22 de setembro de 2026 · versão 2026-09-22-r2

Esta política explica o que o aplicativo Tô Facin coleta, o que faz com isso e o que você pode exigir de nós. Ela vale para o aplicativo no iPhone, para o aplicativo no Android e para este site. Onde os dois aparelhos se comportam de jeitos diferentes, o texto diz qual é qual.

1. Quem somos e quem responde por isso

O Tô Facin é desenvolvido e mantido por Sidney José da Cunha Júnior, pessoa física, no Brasil. Ele é o controlador dos dados tratados pelo aplicativo e acumula a função de encarregado pelo tratamento de dados pessoais (DPO), na forma do art. 41 da Lei Geral de Proteção de Dados.

Contato para qualquer assunto de privacidade, inclusive pedidos de acesso, correção ou exclusão: suporte@tofacin.app. Se preferir, você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd.

2. Onde seus dados ficam

Os documentos, contas, datas, pessoas da família, empresas, notas fiscais, anexos e comprovantes que você cadastra ficam gravados no próprio aparelho. Não é necessário criar uma conta no nosso servidor, e não mantemos uma cópia da sua lista de itens. Alguns recursos envolvem outros serviços: a leitura por inteligência artificial (item 5), a busca de notas no gov.br com o certificado da empresa (item 7), o relato de problema (item 11) e as estatísticas (item 10). Se você ligar o endereço de entrada, os e-mails encaminhados para lá passam pelo nosso servidor e ficam guardados até o seu aparelho buscá-los — o item 4 explica o que fica, por quanto tempo e como apagar.

No iPhone, se você apagar o aplicativo, o banco vai junto: itens, datas, pessoas, a data de nascimento que você cadastrou e os anexos guardados dentro do app. Três coisas não vão.

1. As cópias dos anexos no iCloud Drive. Se a cópia automática para o app Arquivos estiver ligada, aquelas pastas são suas e continuam no seu iCloud Drive depois de apagar o aplicativo. Para levá-las junto, apague a pasta Tô Facin no app Arquivos.

2. As chaves técnicas no Keychain do iPhone, que sobrevivem à desinstalação: a chave do seu endereço de entrada por e-mail (se você criou um), a cópia do CPF e da data de nascimento que o aplicativo usa para tentar abrir PDF com senha, e as senhas de PDF que você digitou na tela, guardadas por emissor (o item 6 explica). Para remover também isso, apague o endereço na aba Mais › Meu endereço e apague a pessoa na aba Mais antes de excluir o aplicativo, ou escreva para o suporte que explicamos o passo a passo. Apagar uma pessoa no aplicativo apaga o CPF e a data de nascimento dela do Keychain. A chave do endereço fica no Keychain de propósito: é ela que faz o mesmo endereço voltar quando você reinstala o aplicativo ou troca de iPhone pela transferência direta.

3. O certificado digital da empresa, se você conectou um (item 7). Ele também fica no Keychain. Para apagá-lo, desconecte a empresa no aplicativo antes de excluí-lo; se o aplicativo for reinstalado, ele descarta o certificado que tiver ficado para trás.

Fora isso, as suas cópias no iPhone são as que o próprio aparelho faz na cópia de segurança e as pastas de anexos no seu iCloud Drive, descritas no item 3 — as duas seguem a política de privacidade da Apple. O CPF e o certificado da empresa são gravados de forma que não entram nessa cópia de segurança e não passam para outro aparelho; a data de nascimento fica no banco do aplicativo e entra, como o resto dos seus itens.

No Android, apagar o aplicativo apaga tudo o que ele guardou no aparelho, inclusive as chaves técnicas e o certificado da empresa. O aplicativo não entra na cópia de segurança em nuvem do Google nem na transferência de dados entre aparelhos: trocar de celular não leva os seus itens. Se isso mudar, esta política muda antes. As únicas cópias que saem do aplicativo no Android são as da pasta que você mesmo escolher para os anexos, descrita no item 3.

3. Uma pessoa, um aparelho

Cada instalação do aplicativo é de uma pessoa só. As pessoas da família que você cadastra (cônjuge, filhos, pais) são nomes usados para agrupar documentos dentro do seu app: não recebem convite, não precisam instalar nada e não existe conta compartilhada. A lista de itens não é sincronizada por servidor nosso.

Pastas de anexos no iPhone: os arquivos que você anexa (faturas, comprovantes, documentos, notas fiscais) são gravados em pastas do aplicativo dentro do app Arquivos. Se o iCloud Drive estiver ligado, essas pastas ficam também no seu iCloud Drive e aparecem nos seus outros aparelhos, pela sua própria conta Apple. Isso é feito pelo sistema: os arquivos trafegam entre o seu aparelho e a Apple, não passam por servidor nosso e não temos acesso a eles. O tratamento nesse caso segue também a política de privacidade da Apple.

Pasta de anexos no Android: se você ligar a cópia dos anexos, o aplicativo grava os arquivos na pasta que você escolher. Se essa pasta for de um serviço de nuvem (Google Drive ou outro), os arquivos seguem para lá pela sua própria conta, sob a política desse serviço. Não passam por servidor nosso.

4. Endereço de entrada por e-mail

O endereço de entrada é opcional, faz parte do plano Completo e do mês de teste, e só existe depois que você toca em “Criar meu endereço” na aba Mais › Meu endereço. O aplicativo não se conecta à sua caixa de e-mail: não existe autorização junto ao seu provedor, e nada é lido lá. O que chega até nós é o que você mesmo encaminha para esse endereço.

O endereço é uma sequência aleatória no nosso domínio, sem o seu nome, o seu e-mail nem qualquer dado seu dentro. Ele serve para receber, não para ler: quem busca o que chegou é o seu aparelho, com uma chave que nasce nele e fica no cofre do sistema (o Keychain, no iPhone; o Keystore, no Android). O endereço, sozinho, não diz quem você é. Mas enquanto uma mensagem encaminhada está guardada, o remetente dela — em geral, o seu próprio e-mail — fica registrado ao lado do endereço, e nesse período dá para saber de qual e-mail ela veio. Quando a mensagem é apagada, essa ligação vai junto.
O que fica no servidor, para cada e-mail encaminhado: o remetente, o assunto, a data, o texto da mensagem e as imagens embutidas nela, o nome e o tipo de cada anexo, e os bytes dos anexos. A mensagem bruta não é gravada. O servidor não abre o anexo, não extrai texto dele e não o envia a provedor nenhum de inteligência artificial: ele é carteiro, não leitor.
Por quanto tempo: o seu aparelho busca o que chegou, grava o arquivo e confirma; a mensagem é apagada nessa confirmação. O que ficar para trás — a busca trouxe só uma parte, ou o aplicativo fechou no meio — é apagado 72 horas depois da última busca que o aparelho fez. E nada fica mais de 30 dias depois de chegar, mesmo que o aplicativo nunca busque. Apagar o endereço apaga tudo o que ainda estava lá.
A leitura começa pelo aplicativo, quando você toca em “Ler o documento”: o anexo é enviado ao serviço de leitura descrito no item 5. Remetente e assunto ficam no aparelho, para a tela dizer de onde veio. PDF com senha é aberto no aparelho, tentando o CPF e a data de nascimento cadastrados. Só se nenhum abrir, e só quando você toca em “Ler”, o texto do e-mail e as imagens embutidas nele seguem esse mesmo caminho, para a leitura achar a dica de senha. Se ainda assim não abrir, o aplicativo pede a senha a você, na tela — o item 6 explica o que ele guarda.
Limites: há um teto diário de mensagens por endereço e um tamanho máximo por anexo. Quando algo chega e não pode ser guardado, o aplicativo avisa que chegou e não foi guardado — em vez de sumir calado. O e-mail original continua na sua caixa.
Quem sabe o endereço pode escrever para ele. Ele aparece nos cabeçalhos de toda mensagem que você encaminha, e por isso não é segredo. Nada que chega por ele entra no aplicativo sem você confirmar na tela, e você pode apagá-lo e criar outro a qualquer momento.

Base legal: consentimento (art. 7º, I, da LGPD), que você dá ao criar o endereço e retira ao apagá-lo. O servidor que recebe e guarda essas mensagens é hospedado na Cloudflare, a mesma empresa que serve este site (item 17).

5. Leitura dos seus documentos por inteligência artificial

Quando você pede a leitura de uma foto, PDF ou anexo, o aplicativo envia o conteúdo necessário ao nosso servidor, que o encaminha ao provedor de inteligência artificial. A resposta sugere dados como tipo, data e valor. Confira o resultado antes de usar.

O conteúdo enviado pode incluir texto, imagens e o PDF completo, conforme o documento e o caminho de leitura.
Sem esse servidor, o aplicativo não lê — ele avisa que não conseguiu e você preenche à mão. Não substituímos essa leitura por uma interpretação local de reserva.
XML de nota fiscal é a exceção: quando reconhecemos o formato, ele é lido dentro do próprio aparelho e não sai daqui, porque nesse arquivo os campos já vêm escritos e basta ler o campo. Cada prefeitura tem o seu layout de nota de serviço; quando o aplicativo não reconhece o layout, o arquivo segue a regra geral e vai para a leitura na nuvem. As notas que chegam pelo gov.br (item 7) também são XML e são lidas no aparelho.

Para anexos recebidos pelo endereço de e-mail, o envio à leitura acontece quando você toca em Ler o documento. Se um PDF protegido não abrir com as tentativas locais, o texto e as imagens embutidas do e-mail podem ser enviados para encontrar a dica de senha. O PDF completo pode incluir tanto texto quanto imagens das páginas; não limitamos esse envio ao texto extraído.

O que não sai: a sua lista de itens, os arquivos que já estão guardados no aplicativo (eles não são enviados de novo), o CPF e a data de nascimento que você cadastrou, as senhas de PDF guardadas no aparelho, o certificado da empresa e a sua agenda. Isso descreve os dados cadastrados nesses campos: CPF, nascimento ou outros dados que estejam escritos no próprio documento ou e-mail fazem parte do conteúdo enviado à leitura.

Sobre o que fica guardado, são duas coisas diferentes, e elas não se misturam:

1. No nosso serviço de leitura. O conteúdo é usado para produzir a resposta e descartado em seguida. Não gravamos o conteúdo dos seus documentos em banco de dados, em arquivo ou em registro de uso — não existe do nosso lado nem o texto nem um histórico do que estava escrito. Ficam apenas registros técnicos mínimos (data, hora, tamanho da requisição e código de erro), por até 30 dias, para segurança e diagnóstico: sem o conteúdo. (O e-mail encaminhado para o seu endereço de entrada é outra coisa: ele fica guardado do jeito e pelo tempo que o item 4 explica, e não é lido pelo servidor.)

2. No provedor de inteligência artificial. Quem faz a leitura para nós é a OpenAI, a mesma empresa do ChatGPT, pela interface para desenvolvedores dela (não pelo ChatGPT, e sem ligação com uma conta sua lá). A política da API prevê retenção de registros de monitoramento de abuso por até 30 dias, com exceções legais e de segurança. A retenção também depende dos recursos usados; não prometemos retenção zero. Os dados da API não são usados para treinar modelos por padrão. Consulte os controles de dados da OpenAI.

Você escolhe quais documentos mandar ler. Não há opção de manter a leitura automática desligando apenas a nuvem. Para cadastrar sem enviar o documento, preencha os campos à mão. O reconhecimento local de XML depende do formato, como explicado acima.

Transferência internacional: a OpenAI está fora do Brasil (Estados Unidos). Ao usar a leitura automática, o conteúdo pode ser tratado no exterior, com as condições contratuais de proteção de dados aplicáveis, na forma do art. 33 da LGPD. Se você não quiser leitura automática — por exemplo, para um documento sensível —, cadastre o item preenchendo os campos à mão: nesse caso nada sai do aparelho.

Documentos com dados sensíveis: use Preencher à mão, sem solicitar a leitura na nuvem. Isso inclui documentos com informações de saúde, como exames e diagnósticos. Não os encaminhe ao endereço de entrada do app nem ao suporte. Essa é a orientação apresentada no cadastro; o app não promete identificar e bloquear automaticamente todo conteúdo sensível antes do envio.

Base legal para dados pessoais comuns: execução do contrato de uso do aplicativo (art. 7º, V, da LGPD). Dados sensíveis têm requisitos próprios do art. 11. O aceite geral destes termos não substitui consentimento específico nem autoriza seu envio à leitura na nuvem.

6. Senhas de PDF, CPF e data de nascimento

Muitas faturas chegam em PDF protegido por senha, normalmente os primeiros dígitos do CPF ou a data de nascimento. O aplicativo tenta abrir em quatro passos, nesta ordem:

Sozinho, no seu aparelho, com as senhas montadas a partir do CPF e da data de nascimento que você cadastrou para as pessoas da casa. Nada sai do aparelho neste passo.
Só se nenhuma abrir, e só se o documento veio pelo seu endereço de e-mail: quando você toca em “Ler”, o texto do e-mail encaminhado e as imagens embutidas nele vão para a leitura na nuvem (a OpenAI, pelo nosso servidor, como o item 5 descreve), para achar a dica de senha que o emissor escreveu ali.
Se ainda não abrir, o aplicativo pede a senha a você, na tela.
A senha que abriu fica guardada no seu aparelho, ligada ao emissor do documento (o banco, a operadora), e não a quem encaminhou o e-mail, e é tentada nos próximos documentos do mesmo emissor.

A cópia do CPF e da data de nascimento que serve para essas tentativas, e as senhas guardadas por emissor, ficam só no seu aparelho: no Keychain, no iPhone; cifradas com uma chave do Keystore, no Android. A data de nascimento que você cadastrou para uma pessoa também fica no banco do aplicativo, como o item 2 explica. Nada disso é enviado para o nosso servidor nem para o provedor de inteligência artificial: o que vai para a leitura, no passo 2, é o e-mail, não as suas senhas. Apagar a pessoa apaga o CPF dela. No iPhone, o Keychain não é limpo automaticamente quando o aplicativo é excluído (item 2).

7. Certificado digital da empresa e notas fiscais do gov.br

Se você cadastra uma empresa, pode conectar o certificado digital dela (o arquivo A1, que termina em .pfx ou .p12, com a senha que veio junto). É opcional: sem ele, a empresa funciona do mesmo jeito, e você cadastra as notas à mão, por arquivo ou pelo endereço de entrada.

Para que serve: com o certificado, o próprio aparelho consulta o Ambiente de Dados Nacional da Nota Fiscal de Serviço Eletrônica, no gov.br, e traz as notas de serviço emitidas pela empresa ou para ela, com os cancelamentos e substituições. A conversa é direta entre o seu aparelho e o gov.br: o nosso servidor não participa, não recebe o certificado e não vê as notas.
Onde o certificado fica, no iPhone: o arquivo e a senha ficam no Keychain, presos a este aparelho. O iPhone precisa ter um código de bloqueio para guardá-lo, e pede a sua confirmação (Face ID, Touch ID ou o código) para usá-lo.
Onde o certificado fica, no Android: a chave do certificado é importada para o Keystore do Android, de onde não pode ser copiada para fora do aparelho. A senha serve só para essa importação e não é guardada.
O que as notas trazem: nome, CNPJ ou CPF, endereço e valores de quem prestou e de quem tomou o serviço — inclusive dos seus clientes e fornecedores. Essas notas ficam no seu aparelho, com o resto dos seus itens, e não são enviadas à leitura por inteligência artificial.
Como desligar: desconecte a empresa no aplicativo. O certificado é apagado do aparelho, e as notas que já vieram ficam até você apagá-las.

Base legal: execução do contrato de uso do aplicativo (art. 7º, V, da LGPD), a seu pedido. Os dados de terceiros que vêm nas notas são os que a própria empresa já recebe do gov.br.

8. Agenda

O aplicativo pode procurar viagens na sua agenda, para lembrar dos documentos que elas pedem (passaporte, visto, vacina). Isso só acontece quando você pede e depois que você permite o acesso ao calendário na tela do próprio aparelho. O aplicativo lê o título, o local e as anotações dos eventos dos próximos 12 meses, no aparelho, e nada disso é enviado para o nosso servidor nem para a leitura por inteligência artificial. Você retira o acesso nos ajustes do sistema.

9. Busca de locais

O aplicativo não pede a sua localização. Quando um passo precisa de gente de verdade — um despachante, uma clínica, um posto de atendimento —, o atalho abre uma pesquisa no Google Maps, no aplicativo do Maps ou no navegador do aparelho. Nessa pesquisa vai só o termo daquela categoria: nenhum dado seu, nenhum documento e nenhuma localização saem daqui.

Dali em diante quem responde é o Google Maps, sob os termos e a política de privacidade dele: é o Maps que resolve a região da busca e o que mostrar. Nós não guardamos a sua localização, não montamos lista de estabelecimentos dentro do aplicativo e não guardamos histórico de lugares.

10. Estatísticas de uso e identificador técnico

O aplicativo envia eventos de uma lista limitada, como primeira abertura, criação de item, pagamento marcado e assinatura ativa. Eles podem incluir um rótulo de tipo, mas não o conteúdo dos documentos, valores ou datas dos seus itens. Você pode desligar esse envio nos ajustes do aplicativo (no iPhone, na aba Mais › Avançado); o aplicativo também descarta os eventos que ainda estavam na fila.

Os eventos viram contadores diários agregados. Para contar aparelhos e controlar limites, o aplicativo envia um código técnico: no iPhone, um código derivado do identificador que a Apple fornece a cada aplicativo; no Android, um código aleatório gerado nesta instalação. Esse código permite reconhecer o mesmo aparelho: é um identificador pseudonimizado, não uma garantia de anonimato. O servidor mantém uma marca diária por até 48 horas para evitar contagem duplicada de aparelhos. O serviço de estatísticas não guarda o conteúdo dos documentos nem uma lista individual de eventos. A base legal indicada para as estatísticas de uso é o legítimo interesse (art. 7º, IX, da LGPD), voltado à melhoria e à segurança do serviço.

Um código do aparelho também acompanha cada pedido de leitura, e por um motivo: é ele que conta quantas leituras aquele aparelho já fez no dia, que é como o serviço não sai do controle de custo. Nesse pedido ele viaja junto do texto do documento — mas nada do conteúdo é gravado do nosso lado, como o item 5 explica, então não fica em lugar nenhum um registro ligando o código ao que você leu. Desligar as estatísticas interrompe o envio das estatísticas; o código continua indo junto da leitura, porque sem ele não há como aplicar o teto do dia.

11. Relatar um problema ou sugerir uma melhoria

No aplicativo, Relatar um problema e Sugerir uma melhoria abrem um formulário próprio, dentro do app. Ele não pede e-mail nem conta: você escreve o que aconteceu (ou o que gostaria de ver), pode anexar uma captura de tela e toca em enviar.

O que é enviado: o texto que você escreveu, o que você esperava que acontecesse (quando preenchido), e alguns dados técnicos mostrados na tela antes do envio — versão do aplicativo, versão do sistema, modelo do aparelho e se o seu plano é gratuito ou Completo. Vai também um identificador aleatório gerado só para este canal, diferente do código das estatísticas do item 10.
A captura de tela é opcional, e só é anexada depois que você a vê e confirma.
Para onde vai e por quanto tempo: para o nosso servidor, na Cloudflare (item 13), numa área privada, onde o relato e a captura ficam por até 30 dias e depois são apagados automaticamente. Antes disso, o texto do relato é copiado para um registro de acompanhamento privado no GitHub, visível só a quem mantém o aplicativo, e para uma cópia privada no computador dele. Essas cópias do texto ficam enquanto forem úteis para acompanhar e corrigir o que você relatou. A captura de tela não vai para o GitHub.
O que não é pedido: nome, e-mail, senha, documentos ou qualquer dado do que você já cadastrou. O formulário não lê a sua lista de itens nem os seus anexos. Não escreva no relato dados pessoais que não precisem estar ali.

Base legal: execução do contrato de uso do aplicativo (art. 7º, V, da LGPD), para dar suporte e corrigir o que você relatar. Para pedir a exclusão de um relato, escreva para suporte@tofacin.app.

12. Compras

A assinatura do plano Completo é processada pela loja do seu aparelho: a App Store, da Apple, no iPhone; o Google Play, do Google, no Android. Nós não recebemos e não temos acesso ao número do seu cartão nem aos seus dados de pagamento. O aplicativo só recebe da loja a informação de que existe uma assinatura ativa.

13. Com quem compartilhamos

Não vendemos, não alugamos e não trocamos dados pessoais. Compartilhamos o mínimo necessário apenas com:

o provedor de inteligência artificial que faz a leitura dos documentos, fora do Brasil e com a retenção curta explicada no item 5;
a Cloudflare, que hospeda o nosso servidor — inclusive a caixa que guarda os e-mails encaminhados para o seu endereço de entrada (item 4) e os relatos de problema (item 11);
a Apple, no iPhone, para a assinatura e para as pastas no seu iCloud Drive; o Google, no Android, para a assinatura;
o GitHub, onde fica o registro privado de acompanhamento dos relatos de problema (item 11), e de onde o aplicativo baixa, uma vez por dia, a base pública de prazos e regras — nesse download vai o endereço IP do aparelho, e nenhum dado seu.

O aplicativo também fala diretamente, sem passar por nós, com o gov.br, quando você conecta o certificado de uma empresa (item 7), e abre o Google Maps quando você escolhe uma busca de locais (item 9).

Podemos ainda divulgar informações se formos legalmente obrigados por autoridade competente.

14. Base legal e seus direitos (LGPD)

Para dados pessoais comuns, indicamos execução do contrato (art. 7º, V) para guardar os seus itens, realizar a leitura solicitada, buscar as notas da empresa e responder aos relatos; consentimento (art. 7º, I) para o endereço de entrada por e-mail e para o acesso à agenda — o endereço você cria e apaga na aba Mais, e o pedido de acesso à agenda aparece na tela do próprio aparelho; legítimo interesse (art. 7º, IX) para as estatísticas de uso e para a segurança do serviço. Para documentos com dados sensíveis, siga a orientação de cadastro manual do item 5. A Lei Geral de Proteção de Dados (Lei 13.709/2018) garante a você:

Acesso: os seus dados estão no aplicativo, visíveis a qualquer momento. Você pode exportar anexos e planilhas pelo próprio app.
Correção: qualquer item, data, pessoa ou empresa pode ser editado na tela de detalhe.
Exclusão: apague itens, pessoas e empresas dentro do app, ou apague o aplicativo para remover tudo do aparelho — no iPhone, lembrando do que fica no Keychain, explicado no item 2. As pastas de anexos no iCloud Drive, ou na pasta que você escolheu no Android, você apaga pelo gerenciador de arquivos.
Revogação do consentimento: na aba Mais você apaga o endereço de entrada por e-mail (o que apaga também o que ainda estava guardado no servidor) e desliga as estatísticas; o acesso à agenda você retira nos ajustes do sistema; o certificado da empresa você desconecta na empresa. A leitura de documento por inteligência artificial não tem desligar: ou o aplicativo lê com ela, ou não lê e avisa — para não mandar um documento para fora, cadastre preenchendo à mão.
Revisão do que foi decidido automaticamente: o app classifica documentos por inteligência artificial. Em geral, você confere antes de salvar. Notas reconhecidas como emitidas por você podem ser classificadas automaticamente ao serem anexadas a um item existente; confira e remova-as em Notas emitidas, no DAS do MEI. Se quiser que a gente revise uma classificação, escreva para suporte@tofacin.app.
Oposição, portabilidade e informação sobre compartilhamento: escreva para suporte@tofacin.app. Respondemos em até dois dias úteis e, nos casos em que a lei fixa prazo, dentro dele (15 dias para a declaração completa de tratamento).
Reclamação: você pode apresentar petição contra nós à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd.

Para excluir os dados locais, use o aplicativo e confira as cópias e as credenciais descritas no item 2. Pedidos sobre dados tratados em nossos serviços são analisados pelo contato de privacidade, considerando os registros técnicos, a caixa de entrada, os relatos de problema e os prazos de retenção aplicáveis. Não temos acesso para apagar diretamente os arquivos do seu aparelho, da sua conta Apple ou da sua conta Google.

15. Crianças e adolescentes

O aplicativo é destinado a maiores de 18 anos. Documentos de crianças e adolescentes devem ser organizados por quem tem responsabilidade ou autorização para isso, sempre no melhor interesse do menor e conforme o art. 14 da LGPD. Cadastre somente o necessário. Os dados da família ficam no aparelho, mas documentos enviados à leitura seguem o item 5, inclusive quando contêm dados de menores. Cadastrar uma pessoa não substitui os requisitos legais para tratar seus dados sensíveis. Use o cadastro manual para esses documentos, conforme o item 5.

16. Segurança

A chave do endereço de entrada, o CPF, a cópia da data de nascimento que serve para abrir PDF, as senhas de PDF e o certificado da empresa ficam no cofre do sistema: o Keychain, no iPhone; o Keystore, no Android (ou cifrados com uma chave dele). A comunicação com o nosso servidor e com o gov.br é criptografada (HTTPS/TLS). Ainda assim, nenhum sistema é infalível: se identificarmos um incidente que afete você, avisaremos pelo aplicativo e por esta página.

17. Este site

Este site é feito de páginas estáticas: não tem cadastro, não tem formulário, não grava cookie nenhum e não guarda nada no seu navegador. Duas coisas, porém, acontecem no navegador de quem lê e precisam estar escritas aqui:

Cloudflare. O site é hospedado e servido pela Cloudflare, que registra os acessos para segurança e desempenho e nos mostra uma contagem de visitas pelo Cloudflare Web Analytics — sem cookie e sem identificar quem visitou. Nós vemos totais por página, não pessoas.
Google Fonts. A tipografia das páginas é carregada do Google Fonts, o que faz o seu navegador pedir os arquivos de fonte ao Google e, nesse pedido, revelar a ele o seu endereço IP. Não enviamos nenhum outro dado seu nessa requisição.

Nada do que você digita ou guarda no aplicativo passa por este site.

Contato e aviso de lançamento: se você escrever para o suporte, receberemos seu endereço de e-mail e o conteúdo enviado, tratados pelo serviço de e-mail usado no atendimento. Usamos esses dados para responder ao pedido. Se você pedir o aviso de lançamento, usaremos o endereço para esse aviso; você pode desistir pelo mesmo contato. Mantemos as mensagens pelo tempo necessário ao atendimento e às obrigações legais aplicáveis. Não envie senhas, documentos de saúde ou outros dados sensíveis. O contato de privacidade também recebe pedidos sobre essas mensagens.

18. Mudanças nesta política

Se algo mudar de forma relevante, atualizamos esta página e avisamos dentro do aplicativo antes que a mudança passe a valer. A data e a versão ficam no topo. Uma revisão no mesmo dia recebe um identificador próprio; o registro de aceite do app identifica essa versão. As versões anteriores continuam publicadas, para que cada aceite possa ser conferido contra o texto que estava no ar: versão 2026-09-22-r1, versão 2026-09-07-r1.

19. Contato

Dúvida, pedido ou reclamação sobre privacidade: suporte@tofacin.app.