Política de privacidade

Em vigor desde 14 de outubro de 2026 · versão 2026-10-14-r1

Esta política explica o que o aplicativo Tô Facin coleta, o que faz com isso e o que você pode exigir de nós. Ela vale para o aplicativo no iPhone, para o aplicativo no Android e para este site. Onde os dois aparelhos se comportam de jeitos diferentes, o texto diz qual é qual.

1. Quem somos e quem responde por isso

O Tô Facin é desenvolvido e mantido por Sidney José da Cunha Júnior, pessoa física, no Brasil. Ele é o controlador dos dados tratados pelo aplicativo e acumula a função de encarregado pelo tratamento de dados pessoais (DPO), na forma do art. 41 da Lei Geral de Proteção de Dados.

Contato para qualquer assunto de privacidade, inclusive pedidos de acesso, correção ou exclusão: suporte@tofacin.app. Se preferir, você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd.

2. Onde seus dados ficam

Os documentos, contas, datas, pessoas da família, empresas, notas fiscais, anexos e comprovantes que você cadastra ficam gravados no próprio aparelho. Não é necessário criar uma conta no nosso servidor, e não mantemos uma cópia da sua lista de itens. Alguns recursos envolvem outros serviços: a leitura por inteligência artificial (item 5), a busca de anexos no seu e-mail, se você ligar (item 4A), a busca de notas no gov.br com o certificado da empresa (item 7), a consulta de processo judicial no DJEN (item 9), o relato de problema (item 12) e as estatísticas (item 11). Se você ligar o endereço de entrada, os e-mails encaminhados para lá passam pelo nosso servidor e ficam guardados até o seu aparelho buscá-los — o item 4 explica o que fica, por quanto tempo e como apagar.

No iPhone, se você apagar o aplicativo, o banco vai junto: itens, datas, pessoas, a data de nascimento que você cadastrou e os anexos guardados dentro do app. Três coisas não vão.

1. As cópias dos anexos no iCloud Drive. Se a cópia automática para o app Arquivos estiver ligada, aquelas pastas são suas e continuam no seu iCloud Drive depois de apagar o aplicativo. Para levá-las junto, apague a pasta Tô Facin no app Arquivos.

2. As chaves técnicas no Keychain do iPhone, que sobrevivem à desinstalação: a chave do seu endereço de entrada por e-mail (se você criou um), a cópia do CPF e da data de nascimento que o aplicativo usa para tentar abrir PDF com senha, a senha de app do seu e-mail (se você ligou a busca no seu e-mail, item 4A) e as senhas de PDF que você digitou na tela, guardadas por emissor (o item 6 explica). Para remover também isso, apague o endereço na aba Mais › Meu endereço, pare a busca no seu e-mail e apague a pessoa na aba Mais antes de excluir o aplicativo, ou escreva para o suporte que explicamos o passo a passo. Apagar uma pessoa no aplicativo apaga o CPF e a data de nascimento dela do Keychain. Se o aplicativo for reinstalado, ele apaga, ao abrir, a senha de app do e-mail que tiver ficado para trás. A chave do endereço fica no Keychain de propósito: é ela que faz o mesmo endereço voltar quando você reinstala o aplicativo ou troca de iPhone pela transferência direta.

3. O certificado digital da empresa, se você conectou um (item 7). Ele também fica no Keychain. Para apagá-lo, desconecte a empresa no aplicativo antes de excluí-lo; se o aplicativo for reinstalado, ele descarta o certificado que tiver ficado para trás.

Fora isso, as suas cópias no iPhone são as que o próprio aparelho faz na cópia de segurança e as pastas de anexos no seu iCloud Drive, descritas no item 3 — as duas seguem a política de privacidade da Apple. O CPF, o certificado da empresa e a senha de app do e-mail são gravados de forma que não entram nessa cópia de segurança e não passam para outro aparelho; a data de nascimento fica no banco do aplicativo e entra, como o resto dos seus itens.

No Android, apagar o aplicativo apaga tudo o que ele guardou no aparelho, inclusive as chaves técnicas e o certificado da empresa. O aplicativo não entra na cópia de segurança em nuvem do Google nem na transferência de dados entre aparelhos: trocar de celular não leva os seus itens. Se isso mudar, esta política muda antes. As únicas cópias que saem do aplicativo no Android são as da pasta que você mesmo escolher para os anexos, descrita no item 3.

3. Uma pessoa, um aparelho

Cada instalação do aplicativo é de uma pessoa só. As pessoas da família que você cadastra (cônjuge, filhos, pais) são nomes usados para agrupar documentos dentro do seu app: não recebem convite, não precisam instalar nada e não existe conta compartilhada. A lista de itens não é sincronizada por servidor nosso.

Pastas de anexos no iPhone: os arquivos que você anexa (faturas, comprovantes, documentos, notas fiscais) são gravados em pastas do aplicativo dentro do app Arquivos. Se o iCloud Drive estiver ligado, essas pastas ficam também no seu iCloud Drive e aparecem nos seus outros aparelhos, pela sua própria conta Apple. Isso é feito pelo sistema: os arquivos trafegam entre o seu aparelho e a Apple, não passam por servidor nosso e não temos acesso a eles. O tratamento nesse caso segue também a política de privacidade da Apple.

Pasta de anexos no Android: se você ligar a cópia dos anexos, o aplicativo grava os arquivos na pasta que você escolher. Se essa pasta for de um serviço de nuvem (Google Drive ou outro), os arquivos seguem para lá pela sua própria conta, sob a política desse serviço. Não passam por servidor nosso.

4. Endereço de entrada por e-mail

O endereço de entrada é opcional, faz parte do plano Completo e do mês de teste, e só existe depois que você toca em “Criar meu endereço” na aba Mais › Meu endereço. Este endereço não se conecta à sua caixa de e-mail: o que chega até nós é o que você mesmo encaminha para ele. A busca dentro da sua caixa é outro recurso, opcional e separado, descrito no item 4A.

O endereço é uma sequência aleatória no nosso domínio, sem o seu nome, o seu e-mail nem qualquer dado seu dentro. Ele serve para receber, não para ler: quem busca o que chegou é o seu aparelho, com uma chave que nasce nele e fica no cofre do sistema (o Keychain, no iPhone; o Keystore, no Android). O endereço, sozinho, não diz quem você é. Mas enquanto uma mensagem encaminhada está guardada, o remetente dela — em geral, o seu próprio e-mail — fica registrado ao lado do endereço, e nesse período dá para saber de qual e-mail ela veio. Quando a mensagem é apagada, essa ligação vai junto.
O que fica no servidor, para cada e-mail encaminhado: o remetente, o assunto, a data, o texto da mensagem e as imagens embutidas nela, o nome e o tipo de cada anexo, e os bytes dos anexos. A mensagem bruta não é gravada. O servidor não abre o anexo, não extrai texto dele e não o envia a provedor nenhum de inteligência artificial: ele é carteiro, não leitor.
Por quanto tempo: o seu aparelho busca o que chegou, grava o arquivo e confirma; a mensagem é apagada nessa confirmação. O que ficar para trás — a busca trouxe só uma parte, ou o aplicativo fechou no meio — é apagado 72 horas depois da última busca que o aparelho fez. E nada fica mais de 30 dias depois de chegar, mesmo que o aplicativo nunca busque. Apagar o endereço apaga tudo o que ainda estava lá.
O aplicativo lê sozinho o que chegou: depois de buscar, o aparelho envia o anexo ao serviço de leitura descrito no item 5, sem esperar um toque seu, e lança em Vencimentos o que for seu. O que a leitura indica que não é seu, ou que não é conta, documento ou nota que o aplicativo acompanha, não vira item e é apagado do aparelho; na dúvida, vira item marcado "a confirmar". Remetente e assunto ficam no aparelho, para a tela dizer de onde veio. PDF com senha é aberto no aparelho, tentando o CPF e a data de nascimento cadastrados. Só se nenhum abrir, o texto do e-mail e as imagens embutidas nele seguem esse mesmo caminho, para a leitura achar a dica de senha. Se ainda assim não abrir, o aplicativo pede a senha a você, na tela — o item 6 explica o que ele guarda.
Limites: há um teto diário de mensagens por endereço e um tamanho máximo por anexo. Quando algo chega e não pode ser guardado, o aplicativo avisa que chegou e não foi guardado — em vez de sumir calado. O e-mail original continua na sua caixa.
Quem sabe o endereço pode escrever para ele. Ele aparece nos cabeçalhos de toda mensagem que você encaminha, e por isso não é segredo. O que chega por ele passa pela mesma leitura: o que não parece seu não vira item, e o que vira item aparece na tela inicial com a marca de que chegou por e-mail, para você conferir ou desfazer. Você pode apagar o endereço e criar outro a qualquer momento.

Base legal: consentimento (art. 7º, I, da LGPD), que você dá ao criar o endereço e retira ao apagá-lo. O servidor que recebe e guarda essas mensagens é hospedado na Cloudflare, a mesma empresa que serve este site (item 18).

4A. Buscar no meu e-mail (plano Completo)

A busca no seu e-mail é opcional, faz parte do plano Completo, inclusive no mês grátis, e por enquanto existe só no iPhone. Ela só começa depois que você a liga na aba Mais, lê e aceita a tela própria dela (“Concordo e continuar”) e cola no aplicativo uma senha de app: uma senha separada, criada por você na conta do seu provedor de e-mail, só para esta finalidade, que você pode apagar quando quiser. O aplicativo não pede a senha principal do seu e-mail.

Onde a senha fica: só no Keychain do seu iPhone, presa a este aparelho. Ela não é enviada para o nosso servidor nem para o provedor de inteligência artificial.
Quem conversa com o seu provedor: o próprio iPhone se conecta ao servidor de e-mail do seu provedor, por conexão criptografada. O nosso servidor não participa dessa conversa. O seu provedor vê que a senha de app foi usada e recebe o endereço IP do aparelho; dali em diante, vale a política dele.
Só leitura: o aplicativo consulta a caixa e não altera nada nela: não marca mensagem como lida, não move, não apaga e não envia e-mail.
O que o aparelho olha: os e-mails que têm anexo. Na primeira busca, os dos últimos 30 dias; depois, só os que chegaram desde a busca anterior. A busca acontece quando você abre o aplicativo e, em segundo plano, quando o iOS permite.
O que vai para a triagem, antes de baixar qualquer anexo: de cada e-mail com anexo, o assunto, o remetente, o nome de cada arquivo anexado e um trecho de até 600 caracteres do início do corpo da mensagem, junto com o código técnico do aparelho (item 11) e a prova de que a assinatura está ativa. O nosso servidor repassa isso à OpenAI, o provedor de inteligência artificial do item 5, só para decidir se o anexo parece um documento (boleto, nota, conta e coisas assim). O servidor não grava esse conteúdo; ficam só os registros técnicos mínimos do item 5.
O que não sai do aparelho: o resto do corpo dos e-mails, os anexos que a triagem não escolheu, a lista de contatos e a senha de app.
O que é baixado e lido: só o anexo que a triagem considerou documento. Ele é baixado para o aparelho e lido sozinho, sem esperar um toque seu, pela leitura do item 5 (a OpenAI). Junto com ele vão os nomes das pessoas cadastradas no aplicativo e os CNPJs das suas empresas, para a leitura dizer se o documento é seu. O que for seu é lançado em Vencimentos, com a marca de que chegou por e-mail, para você conferir ou desfazer; o que a leitura indica que não é seu, ou que não é conta, documento ou nota que o aplicativo acompanha, não vira item e é apagado do aparelho; na dúvida, vira item marcado "a confirmar".
Atenção ao que está escrito nos e-mails: o assunto, o remetente, o nome do arquivo e o trecho do corpo podem trazer dados pessoais seus ou de outras pessoas, e dados sensíveis, como o nome de um exame. O aplicativo não filtra isso antes de enviar. Se você não quer que esses dados passem pela triagem, mantenha a busca desligada (item 5, “Documentos com dados sensíveis”).
Como desligar: toque em “Parar de buscar no e-mail”, na aba Mais. O aplicativo apaga a senha de app do Keychain e para de buscar; o que já virou item continua lá até você apagar. Para encerrar também no provedor, apague a senha de app na conta do seu e-mail: a partir daí ela deixa de funcionar. Nós não conseguimos apagá-la por você.
Sem assinatura ativa, o aplicativo deixa de buscar.

Base legal: consentimento (art. 7º, I, da LGPD), que você dá ao ligar a busca e retira ao desligá-la. Os dados de outras pessoas que aparecem no assunto, no remetente, no nome do arquivo e no trecho do corpo são os que já estão na sua caixa de e-mail; só os usamos para a triagem que você pediu.

5. Leitura dos seus documentos por inteligência artificial

Quando você pede a leitura de uma foto, PDF ou anexo, o aplicativo envia o conteúdo necessário ao nosso servidor, que o encaminha ao provedor de inteligência artificial. A resposta sugere dados como tipo, data e valor. Confira o resultado antes de usar.

O conteúdo enviado pode incluir texto, imagens e o PDF completo, conforme o documento e o caminho de leitura.
Sem esse servidor, o aplicativo não lê — ele avisa que não conseguiu e você preenche à mão. Não substituímos essa leitura por uma interpretação local de reserva.
XML de nota fiscal é a exceção: quando reconhecemos o formato, ele é lido dentro do próprio aparelho e não sai daqui, porque nesse arquivo os campos já vêm escritos e basta ler o campo. Cada prefeitura tem o seu layout de nota de serviço; quando o aplicativo não reconhece o layout, o arquivo segue a regra geral e vai para a leitura na nuvem. As notas que chegam pelo gov.br (item 7) também são XML e são lidas no aparelho.

Os anexos que chegam pelo endereço de e-mail (item 4) e os que a busca no seu e-mail traz (item 4A) são enviados à leitura sozinhos, sem esperar um toque seu. Se um PDF protegido não abrir com as tentativas locais, o texto e as imagens embutidas do e-mail podem ser enviados para encontrar a dica de senha. O PDF completo pode incluir tanto texto quanto imagens das páginas; não limitamos esse envio ao texto extraído.

Para dizer de quem é o documento, junto com ele vão os nomes e o parentesco das pessoas cadastradas no aplicativo (por exemplo, “Ana (cônjuge)”). A leitura compara esses nomes com o nome impresso no documento e sugere a pessoa; você confere antes de salvar. Vão só o nome e o parentesco: nada mais das pessoas cadastradas.

Para documentos que vieram do e-mail (pelo endereço de entrada ou pela busca no seu e-mail), vão também, a cada leitura, os nomes das pessoas cadastradas no aplicativo e os CNPJs das empresas cadastradas (as arquivadas ficam de fora). Com eles, a leitura diz se o documento é seu; o que não é não vira item. Das empresas, vai só o CNPJ.

O que não sai: a sua lista de itens, os arquivos que já estão guardados no aplicativo (eles não são enviados de novo), o CPF e a data de nascimento que você cadastrou, as senhas de PDF guardadas no aparelho, a senha de app do seu e-mail, o certificado da empresa e a sua agenda. Isso descreve os dados cadastrados nesses campos: CPF, nascimento ou outros dados que estejam escritos no próprio documento ou e-mail fazem parte do conteúdo enviado à leitura. Na busca no seu e-mail, fora o assunto, o remetente, os nomes dos arquivos e o trecho do corpo descritos no item 4A, o resto do corpo das mensagens e os anexos que a triagem não escolheu não saem do aparelho.

Sobre o que fica guardado, são duas coisas diferentes, e elas não se misturam:

1. No nosso serviço de leitura. O conteúdo é usado para produzir a resposta e descartado em seguida. Não gravamos o conteúdo dos seus documentos em banco de dados, em arquivo ou em registro de uso — não existe do nosso lado nem o texto nem um histórico do que estava escrito. Ficam apenas registros técnicos mínimos (data, hora, tamanho da requisição e código de erro), por até 30 dias, para segurança e diagnóstico: sem o conteúdo. (O e-mail encaminhado para o seu endereço de entrada é outra coisa: ele fica guardado do jeito e pelo tempo que o item 4 explica, e não é lido pelo servidor.)

2. No provedor de inteligência artificial. Quem faz a leitura para nós é a OpenAI, a mesma empresa do ChatGPT, pela interface para desenvolvedores dela (não pelo ChatGPT, e sem ligação com uma conta sua lá). A política da API prevê retenção de registros de monitoramento de abuso por até 30 dias, com exceções legais e de segurança. A retenção também depende dos recursos usados; não prometemos retenção zero. Os dados da API não são usados para treinar modelos por padrão. Consulte os controles de dados da OpenAI.

Você escolhe quais documentos mandar ler. Não há opção de manter a leitura automática desligando apenas a nuvem. Para cadastrar sem enviar o documento, preencha os campos à mão. O reconhecimento local de XML depende do formato, como explicado acima.

Transferência internacional: a OpenAI está fora do Brasil (Estados Unidos). Ao usar a leitura automática, o conteúdo pode ser tratado no exterior, com as condições contratuais de proteção de dados aplicáveis, na forma do art. 33 da LGPD. Isso vale também para o que vai à triagem da busca no seu e-mail (item 4A) e para os nomes e CNPJs que acompanham os documentos vindos do e-mail. Se você não quiser leitura automática — por exemplo, para um documento sensível —, cadastre o item preenchendo os campos à mão: nesse caso nada sai do aparelho. A Cloudflare, que hospeda o nosso servidor (item 14), também trata dados fora do Brasil: os contadores de estatística e o código técnico (item 11), os e-mails encaminhados ao endereço de entrada e os seus anexos (item 4) e os relatos de problema (item 12) podem ser guardados ou processados no exterior, principalmente nos Estados Unidos — a Cloudflare não oferece guardar esses dados no Brasil —, com as condições contratuais de proteção de dados aplicáveis, na forma do art. 33 da LGPD. A Apple e o Google também tratam dados fora do Brasil: a verificação de segurança do aparelho (item 5A) passa pelos servidores deles nos Estados Unidos, na forma do art. 33 da LGPD.

Documentos com dados sensíveis: use Preencher à mão, sem solicitar a leitura na nuvem. Isso inclui documentos com informações de saúde, como exames e diagnósticos. Não os encaminhe ao endereço de entrada do app nem ao suporte. Essa é a orientação apresentada no cadastro; o app não promete identificar e bloquear automaticamente todo conteúdo sensível antes do envio. O mesmo vale para a busca no seu e-mail: o assunto, o remetente, o nome dos arquivos e o início do corpo vão à triagem, e o anexo escolhido é lido sem esperar um toque seu. Quem não quer isso deve deixar a busca desligada.

Base legal para dados pessoais comuns: execução do contrato de uso do aplicativo (art. 7º, V, da LGPD). Dados sensíveis têm requisitos próprios do art. 11. O aceite geral destes termos não substitui consentimento específico nem autoriza seu envio à leitura na nuvem.

5A. Verificação de segurança do aparelho

Para proteger os serviços online, o aplicativo pede à Apple ou ao Google um atestado de que o pedido vem do aplicativo original e de um aparelho íntegro, e o nosso servidor confere esse atestado com eles. A verificação não leva seus documentos nem o que você cadastrou no app; usa identificadores técnicos do aparelho e do aplicativo, tratados como dados pseudonimizados (item 11). A base legal é o legítimo interesse, para prevenção de fraude e segurança (art. 7º, IX, da LGPD).

6. Senhas de PDF, CPF e data de nascimento

Muitas faturas chegam em PDF protegido por senha, normalmente os primeiros dígitos do CPF ou a data de nascimento. O aplicativo tenta abrir em quatro passos, nesta ordem:

Sozinho, no seu aparelho, com as senhas montadas a partir do CPF e da data de nascimento que você cadastrou para as pessoas da casa. Nada sai do aparelho neste passo.
Só se nenhuma abrir, e só se o documento veio por e-mail (pelo endereço de entrada ou pela busca no seu e-mail): o texto do e-mail e as imagens embutidas nele vão para a leitura na nuvem (a OpenAI, pelo nosso servidor, como o item 5 descreve), para achar a dica de senha que o emissor escreveu ali.
Se ainda não abrir, o aplicativo pede a senha a você, na tela.
A senha que abriu fica guardada no seu aparelho, ligada ao emissor do documento (o banco, a operadora), e não a quem encaminhou o e-mail, e é tentada nos próximos documentos do mesmo emissor.

A cópia do CPF e da data de nascimento que serve para essas tentativas, e as senhas guardadas por emissor, ficam só no seu aparelho: no Keychain, no iPhone; cifradas com uma chave do Keystore, no Android. A data de nascimento que você cadastrou para uma pessoa também fica no banco do aplicativo, como o item 2 explica. Nada disso é enviado para o nosso servidor nem para o provedor de inteligência artificial: o que vai para a leitura, no passo 2, é o e-mail, não as suas senhas. Apagar a pessoa apaga o CPF dela. No iPhone, o Keychain não é limpo automaticamente quando o aplicativo é excluído (item 2).

7. Certificado digital da empresa e notas fiscais do gov.br

Se você cadastra uma empresa, pode conectar o certificado digital dela (o arquivo A1, que termina em .pfx ou .p12, com a senha que veio junto). É opcional: sem ele, a empresa funciona do mesmo jeito, e você cadastra as notas à mão, por arquivo ou pelo endereço de entrada.

Para que serve: com o certificado, o próprio aparelho consulta o Ambiente de Dados Nacional da Nota Fiscal de Serviço Eletrônica, no gov.br, e traz as notas de serviço emitidas pela empresa ou para ela, com os cancelamentos e substituições. A conversa é direta entre o seu aparelho e o gov.br: o nosso servidor não participa, não recebe o certificado e não vê as notas.
Onde o certificado fica, no iPhone: o arquivo e a senha ficam no Keychain, presos a este aparelho. O iPhone precisa ter um código de bloqueio para guardá-lo, e pede a sua confirmação (Face ID, Touch ID ou o código) para usá-lo.
Onde o certificado fica, no Android: a chave do certificado é importada para o Keystore do Android, de onde não pode ser copiada para fora do aparelho. A senha serve só para essa importação e não é guardada.
O que as notas trazem: nome, CNPJ ou CPF, endereço e valores de quem prestou e de quem tomou o serviço — inclusive dos seus clientes e fornecedores. Essas notas ficam no seu aparelho, com o resto dos seus itens, e não são enviadas à leitura por inteligência artificial.
Como desligar: desconecte a empresa no aplicativo. O certificado é apagado do aparelho, e as notas que já vieram ficam até você apagá-las.

Base legal: execução do contrato de uso do aplicativo (art. 7º, V, da LGPD), a seu pedido. Os dados de terceiros que vêm nas notas são os que a própria empresa já recebe do gov.br.

8. Agenda

O aplicativo pode procurar viagens na sua agenda, para lembrar dos documentos que elas pedem (passaporte, visto, vacina). Isso só acontece quando você pede e depois que você permite o acesso ao calendário na tela do próprio aparelho. O aplicativo lê o título, o local e as anotações dos eventos dos próximos 12 meses, no aparelho, e nada disso é enviado para o nosso servidor nem para a leitura por inteligência artificial. Você retira o acesso nos ajustes do sistema.

9. Acompanhamento de processo judicial

No iPhone, você pode cadastrar um processo judicial seu digitando o número dele (o número único de 20 dígitos, no formato do Conselho Nacional de Justiça, o CNJ). Com esse número, o aplicativo procura as comunicações publicadas sobre o processo — intimações, citações, editais — no Diário de Justiça Eletrônico Nacional (DJEN), do CNJ.

O que é enviado, e para quem: só o número do processo. O pedido vai direto do seu aparelho para o DJEN (comunicaapi.pje.jus.br): o nosso servidor não participa e não fica sabendo do processo. Não vão nome, CPF nem outro dado seu. Como em qualquer acesso à internet, o DJEN recebe o endereço IP do aparelho; dali em diante, vale a política do CNJ.
Quando: ao abrir o aplicativo, no máximo uma consulta por dia para cada processo.
O que fica guardado: de cada publicação, a data, o tribunal, o tipo de comunicação, o órgão, o texto, o link da publicação oficial e a classe do processo. Isso fica só no seu aparelho, junto dos seus itens (item 2), e não é enviado para o nosso servidor nem para a leitura por inteligência artificial.
O que não fica guardado: o DJEN devolve também a lista de destinatários e de advogados de cada publicação. O aplicativo não guarda essas listas. O texto da publicação é guardado como veio e pode citar nomes de partes e de advogados.
Aviso de publicação nova: quando chega publicação nova, o iPhone mostra um aviso criado no próprio aparelho, sem passar por servidor. O aviso leva o nome que você deu ao processo, e não o número, e pode aparecer na tela bloqueada, conforme os seus ajustes de notificação.
Como parar: apague o processo no aplicativo. As publicações guardadas saem junto, e as consultas daquele processo param.

As publicações do DJEN são públicas por lei (Lei 11.419/2006, art. 4º). O aplicativo mostra a fonte e o link da publicação oficial e não conta prazo processual: o prazo vale pela publicação oficial, e quem orienta sobre ele é o seu advogado.

Base legal: execução do contrato de uso do aplicativo (art. 7º, V, da LGPD), a seu pedido. Os dados de outras pessoas que aparecem no texto são os da própria publicação oficial.

10. Busca de locais

O aplicativo não pede a sua localização. Quando um passo precisa de gente de verdade — um despachante, uma clínica, um posto de atendimento —, o atalho abre uma pesquisa no Google Maps, no aplicativo do Maps ou no navegador do aparelho. Nessa pesquisa vai só o termo daquela categoria: nenhum dado seu, nenhum documento e nenhuma localização saem daqui.

Dali em diante quem responde é o Google Maps, sob os termos e a política de privacidade dele: é o Maps que resolve a região da busca e o que mostrar. Nós não guardamos a sua localização, não montamos lista de estabelecimentos dentro do aplicativo e não guardamos histórico de lugares.

11. Estatísticas de uso e identificador técnico

As estatísticas de uso vêm ligadas quando o aplicativo é instalado. Com elas ligadas, o aplicativo envia eventos de uma lista limitada, como primeira abertura, criação de item, pagamento marcado, assinatura ativa, exibição da tela de assinatura e a compra feita nela, o primeiro uso de cada recurso (por exemplo, cadastrar uma empresa, um processo, uma receita médica, um endereço de entrada, um comprovante ligado a uma conta, uma segunda pessoa ou o pacote para o contador) e as áreas do aplicativo abertas na semana. Cada evento pode levar rótulos curtos de uma lista fechada — o tipo do item, o recurso usado, o plano (grátis, mês grátis ou Completo), de onde a tela de assinatura foi aberta (por exemplo, ao passar do limite de itens) e a plataforma (iPhone ou Android) —, mas não o conteúdo dos documentos, valores ou datas dos seus itens. Para mandar o "primeiro uso" uma vez só e a área "da semana" uma vez por semana, o aplicativo guarda no próprio aparelho quais recursos já contou e, para cada área, a semana em que a contou pela última vez; não guarda histórico de navegação. Se o servidor não aceitar os eventos na hora, o aplicativo os guarda no aparelho e tenta de novo mais tarde. Você pode desligar esse envio a qualquer momento nos ajustes do aplicativo (no iPhone, na aba Mais › Ajustes, chamada Avançado nas versões anteriores): o aplicativo para de enviar, descarta os eventos que ainda estavam na fila, e a escolha continua valendo nas atualizações seguintes. Quem já tinha desligado continua com o envio desligado.

Os eventos viram contadores diários agregados. Para contar aparelhos e controlar limites, o aplicativo envia um código técnico: no iPhone, um código derivado do identificador que a Apple fornece a cada aplicativo; no Android, um código aleatório gerado nesta instalação. Esse código permite reconhecer o mesmo aparelho: é um identificador pseudonimizado, não uma garantia de anonimato. O servidor mantém uma marca diária por até 48 horas para evitar contagem duplicada de aparelhos. O serviço de estatísticas não guarda o conteúdo dos documentos nem uma lista individual de eventos. A base legal indicada para as estatísticas de uso é o legítimo interesse (art. 7º, IX, da LGPD), voltado à melhoria e à segurança do serviço.

Um código do aparelho também acompanha cada pedido de leitura, e por um motivo: é ele que conta quantas leituras aquele aparelho já fez no dia, que é como o serviço não sai do controle de custo. Nesse pedido ele viaja junto do texto do documento — mas nada do conteúdo é gravado do nosso lado, como o item 5 explica, então não fica em lugar nenhum um registro ligando o código ao que você leu. Desligar as estatísticas interrompe o envio das estatísticas; o código continua indo junto da leitura, porque sem ele não há como aplicar o teto do dia.

12. Relatar um problema ou sugerir uma melhoria

No aplicativo, Relatar um problema e Sugerir uma melhoria abrem um formulário próprio, dentro do app. Ele não pede e-mail nem conta: você escreve o que aconteceu (ou o que gostaria de ver), pode anexar uma captura de tela e toca em enviar.

O que é enviado: o texto que você escreveu, o que você esperava que acontecesse (quando preenchido), e alguns dados técnicos mostrados na tela antes do envio — versão do aplicativo, versão do sistema, modelo do aparelho e se o seu plano é gratuito ou Completo. Vai também um identificador aleatório gerado só para este canal, diferente do código das estatísticas do item 11.
A captura de tela é opcional, e só é anexada depois que você a vê e confirma.
Para onde vai e por quanto tempo: para o nosso servidor, na Cloudflare (item 14), numa área privada, onde o relato e a captura ficam por até 30 dias e depois são apagados automaticamente. Antes disso, o texto do relato é copiado para um registro de acompanhamento privado no GitHub, visível só a quem mantém o aplicativo, e para uma cópia privada no computador dele. Essas cópias do texto ficam enquanto forem úteis para acompanhar e corrigir o que você relatou. A captura de tela não vai para o GitHub.
O que não é pedido: nome, e-mail, senha, documentos ou qualquer dado do que você já cadastrou. O formulário não lê a sua lista de itens nem os seus anexos. Não escreva no relato dados pessoais que não precisem estar ali.

Base legal: execução do contrato de uso do aplicativo (art. 7º, V, da LGPD), para dar suporte e corrigir o que você relatar. Para pedir a exclusão de um relato, escreva para suporte@tofacin.app.

13. Compras

A assinatura do plano Completo é processada pela loja do seu aparelho: a App Store, da Apple, no iPhone; o Google Play, do Google, no Android. Nós não recebemos e não temos acesso ao número do seu cartão nem aos seus dados de pagamento. O aplicativo só recebe da loja a informação de que existe uma assinatura ativa.

14. Com quem compartilhamos

Não vendemos, não alugamos e não trocamos dados pessoais. Compartilhamos o mínimo necessário apenas com:

o provedor de inteligência artificial que faz a leitura dos documentos e a triagem da busca no seu e-mail (item 4A), fora do Brasil e com a retenção curta explicada no item 5;
a Cloudflare, que hospeda o nosso servidor — inclusive a caixa que guarda os e-mails encaminhados para o seu endereço de entrada (item 4) e os relatos de problema (item 12);
a Apple, no iPhone, para a assinatura, para as pastas no seu iCloud Drive e para a verificação de segurança do aparelho (item 5A); o Google, no Android, para a assinatura e para essa mesma verificação;
o GitHub, onde fica o registro privado de acompanhamento dos relatos de problema (item 12), e de onde o aplicativo baixa, uma vez por dia, a base pública de prazos e regras — nesse download vai o endereço IP do aparelho, e nenhum dado seu.

O aplicativo também fala diretamente, sem passar por nós, com o servidor de e-mail do seu provedor, quando você liga a busca no seu e-mail (item 4A), com o gov.br, quando você conecta o certificado de uma empresa (item 7), com o DJEN, do CNJ, quando você cadastra um processo judicial (item 9), e abre o Google Maps quando você escolhe uma busca de locais (item 10).

Podemos ainda divulgar informações se formos legalmente obrigados por autoridade competente.

15. Base legal e seus direitos (LGPD)

Para dados pessoais comuns, indicamos execução do contrato (art. 7º, V) para guardar os seus itens, realizar a leitura solicitada, buscar as notas da empresa, consultar o processo que você cadastrou e responder aos relatos; consentimento (art. 7º, I) para o endereço de entrada por e-mail, para a busca no seu e-mail e para o acesso à agenda — o endereço você cria e apaga, e a busca você liga e desliga, na aba Mais, e o pedido de acesso à agenda aparece na tela do próprio aparelho; legítimo interesse (art. 7º, IX) para as estatísticas de uso e para a segurança do serviço. Para documentos com dados sensíveis, siga a orientação de cadastro manual do item 5. A Lei Geral de Proteção de Dados (Lei 13.709/2018) garante a você:

Acesso: os seus dados estão no aplicativo, visíveis a qualquer momento. Você pode exportar anexos e planilhas pelo próprio app.
Correção: qualquer item, data, pessoa ou empresa pode ser editado na tela de detalhe.
Exclusão: apague itens, pessoas e empresas dentro do app, ou apague o aplicativo para remover tudo do aparelho — no iPhone, lembrando do que fica no Keychain, explicado no item 2. As pastas de anexos no iCloud Drive, ou na pasta que você escolheu no Android, você apaga pelo gerenciador de arquivos.
Revogação do consentimento: na aba Mais você apaga o endereço de entrada por e-mail (o que apaga também o que ainda estava guardado no servidor), para a busca no seu e-mail (o que apaga a senha de app do aparelho; para encerrar também no provedor, apague a senha de app na conta de e-mail) e desliga as estatísticas; o acesso à agenda você retira nos ajustes do sistema; o certificado da empresa você desconecta na empresa. A leitura de documento por inteligência artificial não tem desligar: ou o aplicativo lê com ela, ou não lê e avisa — para não mandar um documento para fora, cadastre preenchendo à mão.
Revisão do que foi decidido automaticamente: o app classifica documentos por inteligência artificial. Em geral, você confere antes de salvar. Os documentos que chegam por e-mail viram item sem tela de confirmação; eles aparecem na tela inicial com a marca de que chegaram por e-mail, onde você confere ou desfaz. Notas reconhecidas como emitidas por você podem ser classificadas automaticamente ao serem anexadas a um item existente; confira e remova-as em Notas emitidas, no DAS do MEI. Se quiser que a gente revise uma classificação, escreva para suporte@tofacin.app.
Oposição, portabilidade e informação sobre compartilhamento: escreva para suporte@tofacin.app. Respondemos em até dois dias úteis e, nos casos em que a lei fixa prazo, dentro dele (15 dias para a declaração completa de tratamento).
Reclamação: você pode apresentar petição contra nós à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd.

Para excluir os dados locais, use o aplicativo e confira as cópias e as credenciais descritas no item 2. Pedidos sobre dados tratados em nossos serviços são analisados pelo contato de privacidade, considerando os registros técnicos, a caixa de entrada, os relatos de problema e os prazos de retenção aplicáveis. Não temos acesso para apagar diretamente os arquivos do seu aparelho, da sua conta Apple ou da sua conta Google.

16. Crianças e adolescentes

O aplicativo é destinado a maiores de 18 anos. Documentos de crianças e adolescentes devem ser organizados por quem tem responsabilidade ou autorização para isso, sempre no melhor interesse do menor e conforme o art. 14 da LGPD. Cadastre somente o necessário. Os dados da família ficam no aparelho, mas documentos enviados à leitura seguem o item 5, inclusive quando contêm dados de menores. Cadastrar uma pessoa não substitui os requisitos legais para tratar seus dados sensíveis. Use o cadastro manual para esses documentos, conforme o item 5.

17. Segurança

A chave do endereço de entrada, o CPF, a cópia da data de nascimento que serve para abrir PDF, as senhas de PDF, a senha de app do e-mail e o certificado da empresa ficam no cofre do sistema: o Keychain, no iPhone; o Keystore, no Android (ou cifrados com uma chave dele). A comunicação com o nosso servidor, com o servidor de e-mail do seu provedor, com o gov.br e com o DJEN é criptografada (HTTPS/TLS). Ainda assim, nenhum sistema é infalível: se identificarmos um incidente que afete você, avisaremos pelo aplicativo e por esta página.

18. Este site

Este site é feito de páginas estáticas: não tem cadastro, não tem formulário, não grava cookie nenhum e não guarda nada no seu navegador. Duas coisas, porém, acontecem no navegador de quem lê e precisam estar escritas aqui:

Cloudflare. O site é hospedado e servido pela Cloudflare, que registra os acessos para segurança e desempenho e nos mostra uma contagem de visitas pelo Cloudflare Web Analytics — sem cookie e sem identificar quem visitou. Nós vemos totais por página, não pessoas.
Google Fonts. A tipografia das páginas é carregada do Google Fonts, o que faz o seu navegador pedir os arquivos de fonte ao Google e, nesse pedido, revelar a ele o seu endereço IP. Não enviamos nenhum outro dado seu nessa requisição.

Nada do que você digita ou guarda no aplicativo passa por este site.

Contato e aviso de lançamento: se você escrever para o suporte, receberemos seu endereço de e-mail e o conteúdo enviado, tratados pelo serviço de e-mail usado no atendimento. Usamos esses dados para responder ao pedido. Se você pedir o aviso de lançamento, usaremos o endereço para esse aviso; você pode desistir pelo mesmo contato. Mantemos as mensagens pelo tempo necessário ao atendimento e às obrigações legais aplicáveis. Não envie senhas, documentos de saúde ou outros dados sensíveis. O contato de privacidade também recebe pedidos sobre essas mensagens.

19. Mudanças nesta política

Se algo mudar de forma relevante, atualizamos esta página e avisamos dentro do aplicativo antes que a mudança passe a valer. A data e a versão ficam no topo. Uma revisão no mesmo dia recebe um identificador próprio; o registro de aceite do app identifica essa versão. As versões anteriores continuam publicadas, para que cada aceite possa ser conferido contra o texto que estava no ar: versão 2026-10-08-r1, versão 2026-09-24-r5, versão 2026-09-24-r4, versão 2026-09-23-r3, versão 2026-09-22-r2, versão 2026-09-22-r1, versão 2026-09-07-r1.

O que mudou na versão 2026-10-14-r1: entrou o item 4A, sobre a busca de anexos no seu e-mail (plano Completo, opcional, no iPhone): a senha de app fica só no Keychain, o que vai à triagem pela OpenAI e como desligar. Os documentos que chegam por e-mail, pelo endereço de entrada ou pela busca, passaram a ser lidos sozinhos e lançados em Vencimentos, e junto com eles vão à leitura os nomes das pessoas e os CNPJs das empresas cadastradas (item 5). Os itens 2, 4, 6, 14, 15 e 17 foram ajustados para combinar com isso. Entrou também o item 5A, sobre a verificação de segurança do aparelho pela Apple ou pelo Google; por causa dela, a transferência internacional (item 5) e o item 14 passaram a citar a Apple e o Google.

O que mudou na versão 2026-10-08-r1: o item 5 passou a dizer que, junto com o documento enviado à leitura, vão os nomes e o parentesco das pessoas cadastradas no aplicativo, para a leitura sugerir de quem é o documento.

O que mudou na versão 2026-09-24-r5: o item 11 passou a listar os eventos novos (tela de assinatura e compra, primeiro uso de cada recurso, áreas abertas na semana), os rótulos que eles levam (recurso, plano, origem da tela de assinatura e plataforma), o que o aplicativo guarda no aparelho para não contar duas vezes e o reenvio do que o servidor não aceitou na hora.

O que mudou na versão 2026-09-24-r4: o item 11 passou a dizer que as estatísticas de uso vêm ligadas quando o aplicativo é instalado, como desligar e que quem já tinha desligado continua desligado; e a transferência internacional passou a citar também a Cloudflare, que hospeda o nosso servidor.

O que mudou na versão 2026-09-23-r3: entrou o item 9, sobre o acompanhamento de processo judicial pelo DJEN, e os itens seguintes mudaram de número.

20. Contato

Dúvida, pedido ou reclamação sobre privacidade: suporte@tofacin.app.