Política de privacidade

Em vigor desde 6 de setembro de 2026 · versão 2026-09-06-r2

Esta política explica o que o aplicativo Tô Facin coleta, o que faz com isso e o que você pode exigir de nós. Ela vale para o app iOS e para este site.

1. Quem somos e quem responde por isso

O Tô Facin é desenvolvido e mantido por Sidney José da Cunha Júnior, pessoa física, no Brasil. Ele é o controlador dos dados tratados pelo aplicativo e acumula a função de encarregado pelo tratamento de dados pessoais (DPO), na forma do art. 41 da Lei Geral de Proteção de Dados.

Contato para qualquer assunto de privacidade, inclusive pedidos de acesso, correção ou exclusão: suporte@tofacin.app. Se preferir, você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd.

2. Onde seus dados ficam

Os documentos, contas, datas, pessoas da família, anexos e comprovantes que você cadastra ficam gravados no próprio iPhone. Não é necessário criar uma conta no nosso servidor, e não mantemos uma cópia da sua lista de itens. Alguns recursos envolvem outros serviços: a leitura por inteligência artificial (item 5), as cópias no iCloud (item 3) e as estatísticas (item 8). Se você ligar o endereço de entrada, os e-mails encaminhados para lá passam pelo nosso servidor e ficam guardados até o seu iPhone buscá-los — o item 4 explica o que fica, por quanto tempo e como apagar.

Se você apagar o aplicativo, o banco vai junto: itens, datas, pessoas, a data de nascimento que você cadastrou e os anexos guardados dentro do app. Duas coisas não vão.

1. As cópias dos anexos no iCloud Drive. Se a cópia automática para o app Arquivos estiver ligada, aquelas pastas são suas e continuam no seu iCloud Drive depois de apagar o aplicativo. Para levá-las junto, apague a pasta Tô Facin no app Arquivos.

2. As chaves técnicas no Keychain do iPhone, que sobrevivem à desinstalação: a chave do seu endereço de entrada por e-mail (se você criou um), a cópia do CPF e da data de nascimento que você cadastrou, a que o aplicativo usa para tentar abrir PDF com senha, e as senhas de PDF que você digitou na tela, guardadas por emissor (o item 6 explica). Para remover também isso, apague o endereço em Família e ajustes › Meu endereço e apague a pessoa em Família e ajustes antes de excluir o aplicativo, ou escreva para o suporte que explicamos o passo a passo. Apagar uma pessoa no aplicativo apaga o CPF e a data de nascimento dela do Keychain. A chave do endereço fica no Keychain de propósito: é ela que faz o mesmo endereço voltar quando você reinstala o aplicativo ou troca de iPhone pela transferência direta.

Fora isso, as suas cópias são as que o próprio iPhone faz na cópia de segurança do aparelho e as pastas de anexos no seu iCloud Drive, descritas no item 3 — as duas seguem a política de privacidade da Apple. O CPF é a única coisa gravada com a classe que não entra nessa cópia de segurança; a data de nascimento fica no banco do aplicativo e entra, como o resto dos seus itens.

3. Uma pessoa, um aparelho

Cada instalação do aplicativo é de uma pessoa só. As pessoas da família que você cadastra (cônjuge, filhos, pais) são nomes usados para agrupar documentos dentro do seu app: não recebem convite, não precisam instalar nada e não existe conta compartilhada. A lista de itens não é sincronizada por servidor nosso.

Pastas no iCloud Drive: os arquivos que você anexa (faturas, comprovantes, documentos) são gravados em pastas do aplicativo dentro do app Arquivos. Se o iCloud Drive estiver ligado no seu iPhone, essas pastas ficam também no seu iCloud Drive e aparecem nos seus outros aparelhos, pela sua própria conta Apple. Isso é feito pelo sistema: os arquivos trafegam entre o seu aparelho e a Apple, não passam por servidor nosso e não temos acesso a eles. O tratamento nesse caso segue também a política de privacidade da Apple.

4. Endereço de entrada por e-mail

O endereço de entrada é opcional, faz parte do plano Completo e dos 7 dias de teste, e só existe depois que você toca em “Criar meu endereço” em Família e ajustes › Meu endereço. O aplicativo não se conecta à sua caixa de e-mail: não existe autorização junto ao seu provedor, e nada é lido lá. O que chega até nós é o que você mesmo encaminha para esse endereço.

• O endereço é uma sequência aleatória no nosso domínio, sem o seu nome, o seu e-mail nem qualquer dado seu dentro. Ele serve para receber, não para ler: quem busca o que chegou é o seu iPhone, com uma chave que nasce nele e fica no Keychain. O endereço, sozinho, não diz quem você é. Mas enquanto uma mensagem encaminhada está guardada, o remetente dela — em geral, o seu próprio e-mail — fica registrado ao lado do endereço, e nesse período dá para saber de qual e-mail ela veio. Quando a mensagem é apagada, essa ligação vai junto.
• O que fica no servidor, para cada e-mail encaminhado: o remetente, o assunto, a data, o texto da mensagem e as imagens embutidas nela, o nome e o tipo de cada anexo, e os bytes dos anexos. A mensagem bruta não é gravada. O servidor não abre o anexo, não extrai texto dele e não o envia a provedor nenhum de inteligência artificial: ele é carteiro, não leitor.
• Por quanto tempo: o seu iPhone busca o que chegou, grava o arquivo e confirma; a mensagem é apagada nessa confirmação. O que ficar para trás — a busca trouxe só uma parte, ou o aplicativo fechou no meio — é apagado 72 horas depois da última busca que o iPhone fez. E nada fica mais de 30 dias depois de chegar, mesmo que o aplicativo nunca busque. Apagar o endereço apaga tudo o que ainda estava lá.
• A leitura começa pelo aplicativo, quando você toca em “Ler o documento”: o anexo é enviado ao serviço de leitura descrito no item 5. Remetente e assunto ficam no aparelho, para a tela dizer de onde veio. PDF com senha é aberto no aparelho, tentando o CPF e a data de nascimento cadastrados. Só se nenhum abrir, e só quando você toca em “Ler”, o texto do e-mail e as imagens embutidas nele seguem esse mesmo caminho, para a leitura achar a dica de senha. Se ainda assim não abrir, o aplicativo pede a senha a você, na tela — o item 6 explica o que ele guarda.
• Limites: há um teto diário de mensagens por endereço e um tamanho máximo por anexo. Quando algo chega e não pode ser guardado, o aplicativo avisa que chegou e não foi guardado — em vez de sumir calado. O e-mail original continua na sua caixa.
• Quem sabe o endereço pode escrever para ele. Ele aparece nos cabeçalhos de toda mensagem que você encaminha, e por isso não é segredo. Nada que chega por ele entra no aplicativo sem você confirmar na tela, e você pode apagá-lo e criar outro a qualquer momento.

Base legal: consentimento (art. 7º, I, da LGPD), que você dá ao criar o endereço e retira ao apagá-lo. O servidor que recebe e guarda essas mensagens é hospedado na Cloudflare, a mesma empresa que serve este site (item 14).

5. Leitura dos seus documentos por inteligência artificial

Quando você pede a leitura de uma foto, PDF ou anexo, o aplicativo envia o conteúdo necessário ao nosso servidor, que o encaminha ao provedor de inteligência artificial. A resposta sugere dados como tipo, data e valor. Confira o resultado antes de usar.

• O conteúdo enviado pode incluir texto, imagens e o PDF completo, conforme o documento e o caminho de leitura.
• Sem esse servidor, o aplicativo não lê — ele avisa que não conseguiu e você preenche à mão. Não substituímos essa leitura por uma interpretação local de reserva.
• XML de nota fiscal é a exceção: quando reconhecemos o formato, ele é lido dentro do próprio iPhone e não sai daqui, porque nesse arquivo os campos já vêm escritos e basta ler o campo. Cada prefeitura tem o seu layout de nota de serviço; quando o aplicativo não reconhece o layout, o arquivo segue a regra geral e vai para a leitura na nuvem.

Para anexos recebidos pelo endereço de e-mail, o envio à leitura acontece quando você toca em Ler o documento. Se um PDF protegido não abrir com as tentativas locais, o texto e as imagens embutidas do e-mail podem ser enviados para encontrar a dica de senha. O PDF completo pode incluir tanto texto quanto imagens das páginas; não limitamos esse envio ao texto extraído.

O que não sai: a sua lista de itens, os arquivos que já estão guardados no aplicativo (eles não são enviados de novo), o CPF e a data de nascimento que você cadastrou, as senhas de PDF guardadas no aparelho, e a sua agenda. Isso descreve os dados cadastrados nesses campos: CPF, nascimento ou outros dados que estejam escritos no próprio documento ou e-mail fazem parte do conteúdo enviado à leitura.

Sobre o que fica guardado, são duas coisas diferentes, e elas não se misturam:

1. No nosso serviço de leitura. O conteúdo é usado para produzir a resposta e descartado em seguida. Não gravamos o conteúdo dos seus documentos em banco de dados, em arquivo ou em registro de uso — não existe do nosso lado nem o texto nem um histórico do que estava escrito. Ficam apenas registros técnicos mínimos (data, hora, tamanho da requisição e código de erro), por até 30 dias, para segurança e diagnóstico: sem o conteúdo. (O e-mail encaminhado para o seu endereço de entrada é outra coisa: ele fica guardado do jeito e pelo tempo que o item 4 explica, e não é lido pelo servidor.)

2. No provedor de inteligência artificial. Quem faz a leitura para nós é a OpenAI, a mesma empresa do ChatGPT, pela interface para desenvolvedores dela (não pelo ChatGPT, e sem ligação com uma conta sua lá). A política da API prevê retenção de registros de monitoramento de abuso por até 30 dias, com exceções legais e de segurança. A retenção também depende dos recursos usados; não prometemos retenção zero. Os dados da API não são usados para treinar modelos por padrão. Consulte os controles de dados da OpenAI.

Você escolhe quais documentos mandar ler. Não há opção de manter a leitura automática desligando apenas a nuvem. Para cadastrar sem enviar o documento, preencha os campos à mão. O reconhecimento local de XML depende do formato, como explicado acima.

Transferência internacional: a OpenAI está fora do Brasil (Estados Unidos). Ao usar a leitura automática, o conteúdo pode ser tratado no exterior, com as condições contratuais de proteção de dados aplicáveis, na forma do art. 33 da LGPD. Se você não quiser leitura automática — por exemplo, para um documento sensível —, cadastre o item preenchendo os campos à mão: nesse caso nada sai do aparelho.

Documentos com dados sensíveis: use Preencher à mão, sem solicitar a leitura na nuvem. Isso inclui documentos com informações de saúde, como exames e diagnósticos. Não os encaminhe ao endereço de entrada do app nem ao suporte. Essa é a orientação apresentada no cadastro; o app não promete identificar e bloquear automaticamente todo conteúdo sensível antes do envio.

Base legal para dados pessoais comuns: execução do contrato de uso do aplicativo (art. 7º, V, da LGPD). Dados sensíveis têm requisitos próprios do art. 11. O aceite geral destes termos não substitui consentimento específico nem autoriza seu envio à leitura na nuvem.

6. Senhas de PDF, CPF e data de nascimento

Muitas faturas chegam em PDF protegido por senha, normalmente os primeiros dígitos do CPF ou a data de nascimento. O aplicativo tenta abrir em quatro passos, nesta ordem:

1. Sozinho, no seu iPhone, com as senhas montadas a partir do CPF e da data de nascimento que você cadastrou para as pessoas da casa. Nada sai do aparelho neste passo.
2. Só se nenhuma abrir, e só se o documento veio pelo seu endereço de e-mail: quando você toca em “Ler”, o texto do e-mail encaminhado e as imagens embutidas nele vão para a leitura na nuvem (a OpenAI, pelo nosso servidor, como o item 5 descreve), para achar a dica de senha que o emissor escreveu ali.
3. Se ainda não abrir, o aplicativo pede a senha a você, na tela.
4. A senha que abriu fica guardada no seu iPhone, no Keychain, ligada ao emissor do documento (o banco, a operadora), e não a quem encaminhou o e-mail, e é tentada nos próximos documentos do mesmo emissor.

A cópia do CPF e da data de nascimento que serve para essas tentativas, e as senhas guardadas por emissor, ficam só no Keychain do seu iPhone — a data de nascimento que você cadastrou para uma pessoa também fica no banco do aplicativo, como o item 2 explica. Nada disso é enviado para o nosso servidor nem para o provedor de inteligência artificial: o que vai para a leitura, no passo 2, é o e-mail, não as suas senhas. O CPF permanece no Keychain enquanto a pessoa estiver cadastrada, e apagar a pessoa apaga o CPF dela — o Keychain do iOS não é limpo automaticamente quando o aplicativo é excluído.

7. Localização

Sua localização só é solicitada quando você toca em “Perto de você” para procurar um despachante, uma clínica ou um posto de atendimento. Ela é usada apenas naquele momento, com precisão aproximada de cerca de um quilômetro, para consultar o serviço de busca de locais. Não guardamos a sua localização e não montamos histórico de lugares.

8. Estatísticas de uso e identificador técnico

O aplicativo envia eventos de uma lista limitada, como primeira abertura, criação de item, pagamento marcado e assinatura ativa. Eles podem incluir um rótulo de tipo, mas não o conteúdo dos documentos, valores ou datas dos seus itens. Você pode desligar esse envio em Família e ajustes › Avançado; o aplicativo também descarta os eventos que ainda estavam na fila.

Os eventos viram contadores diários agregados. Para contar aparelhos e controlar limites, o app envia um código derivado do identificador fornecido pela Apple. Esse código permite reconhecer o mesmo aparelho: é um identificador pseudonimizado, não uma garantia de anonimato. O servidor mantém uma marca diária por até 48 horas para evitar contagem duplicada de aparelhos. O serviço de estatísticas não guarda o conteúdo dos documentos nem uma lista individual de eventos. A base legal indicada para as estatísticas de uso é o legítimo interesse (art. 7º, IX, da LGPD), voltado à melhoria e à segurança do serviço.

O mesmo código acompanha cada pedido de leitura, e por um motivo: é ele que conta quantas leituras aquele aparelho já fez no dia, que é como o serviço não sai do controle de custo. Nesse pedido ele viaja junto do texto do documento — mas nada do conteúdo é gravado do nosso lado, como o item 5 explica, então não fica em lugar nenhum um registro ligando o código ao que você leu. Desligar as estatísticas interrompe o envio das estatísticas; o código continua indo junto da leitura, porque sem ele não há como aplicar o teto do dia.

9. Compras

A assinatura do plano Completo é processada pela Apple, pela App Store. Nós não recebemos e não temos acesso ao número do seu cartão nem aos seus dados de pagamento. O aplicativo só recebe da Apple a informação de que existe uma assinatura ativa.

10. Com quem compartilhamos

Não vendemos, não alugamos e não trocamos dados pessoais. Compartilhamos o mínimo necessário apenas com:

• o provedor de inteligência artificial que faz a leitura dos documentos, fora do Brasil e com a retenção curta explicada no item 5;
• a Cloudflare, que hospeda o nosso servidor — inclusive a caixa que guarda os e-mails encaminhados para o seu endereço de entrada, do jeito descrito no item 4;
• a Apple, para a assinatura e para as pastas no seu iCloud Drive;
• o serviço de busca de locais, quando você pede “Perto de você” — recebendo apenas uma localização aproximada e o termo de busca.

Podemos ainda divulgar informações se formos legalmente obrigados por autoridade competente.

11. Base legal e seus direitos (LGPD)

Para dados pessoais comuns, indicamos execução do contrato (art. 7º, V) para guardar os seus itens e realizar a leitura solicitada; consentimento (art. 7º, I) para o endereço de entrada por e-mail e para usar a sua localização — o endereço você cria e apaga em Família e ajustes, e o pedido de localização aparece na tela do próprio iPhone; legítimo interesse (art. 7º, IX) para as estatísticas de uso e para a segurança do serviço. Para documentos com dados sensíveis, siga a orientação de cadastro manual do item 5. A Lei Geral de Proteção de Dados (Lei 13.709/2018) garante a você:

• Acesso: os seus dados estão no aplicativo, visíveis a qualquer momento. Você pode exportar anexos e a planilha de dedutíveis pelo próprio app.
• Correção: qualquer item, data ou pessoa pode ser editado na tela de detalhe.
• Exclusão: apague itens e pessoas dentro do app, ou apague o aplicativo do iPhone para remover tudo do aparelho — lembrando do que fica no Keychain, explicado no item 2. As pastas de arquivos no iCloud Drive você apaga pelo app Arquivos.
• Revogação do consentimento: em Família e ajustes você apaga o endereço de entrada por e-mail (o que apaga também o que ainda estava guardado no servidor), desliga a localização e desliga as estatísticas. A leitura de documento por inteligência artificial não tem desligar: ou o aplicativo lê com ela, ou não lê e avisa — para não mandar um documento para fora, cadastre preenchendo à mão.
• Revisão do que foi decidido automaticamente: o app classifica documentos por inteligência artificial. Em geral, você confere antes de salvar. Notas reconhecidas como emitidas por você podem ser classificadas automaticamente ao serem anexadas a um item existente; confira e remova-as em Notas emitidas, no DAS do MEI. Se quiser que a gente revise uma classificação, escreva para suporte@tofacin.app.
• Oposição, portabilidade e informação sobre compartilhamento: escreva para suporte@tofacin.app. Respondemos em até dois dias úteis e, nos casos em que a lei fixa prazo, dentro dele (15 dias para a declaração completa de tratamento).
• Reclamação: você pode apresentar petição contra nós à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd.

Para excluir os dados locais, use o aplicativo e confira as cópias no iCloud e as credenciais descritas no item 2. Pedidos sobre dados tratados em nossos serviços são analisados pelo contato de privacidade, considerando os registros técnicos, a caixa de entrada e os prazos de retenção aplicáveis. Não temos acesso para apagar diretamente os arquivos do seu aparelho ou da sua conta Apple.

12. Crianças e adolescentes

O aplicativo é destinado a maiores de 18 anos. Documentos de crianças e adolescentes devem ser organizados por quem tem responsabilidade ou autorização para isso, sempre no melhor interesse do menor e conforme o art. 14 da LGPD. Cadastre somente o necessário. Os dados da família ficam no aparelho, mas documentos enviados à leitura seguem o item 5, inclusive quando contêm dados de menores. Cadastrar uma pessoa não substitui os requisitos legais para tratar seus dados sensíveis. Use o cadastro manual para esses documentos, conforme o item 5.

13. Segurança

A chave do endereço de entrada, o CPF e a cópia da data de nascimento que serve para abrir PDF ficam no Keychain do iOS. A comunicação com o nosso servidor é sempre criptografada (HTTPS/TLS). Ainda assim, nenhum sistema é infalível: se identificarmos um incidente que afete você, avisaremos pelo aplicativo e por esta página.

14. Este site

Este site é feito de páginas estáticas: não tem cadastro, não tem formulário, não grava cookie nenhum e não guarda nada no seu navegador. Duas coisas, porém, acontecem no navegador de quem lê e precisam estar escritas aqui:

• Cloudflare. O site é hospedado e servido pela Cloudflare, que registra os acessos para segurança e desempenho e nos mostra uma contagem de visitas pelo Cloudflare Web Analytics — sem cookie e sem identificar quem visitou. Nós vemos totais por página, não pessoas.
• Google Fonts. A tipografia das páginas é carregada do Google Fonts, o que faz o seu navegador pedir os arquivos de fonte ao Google e, nesse pedido, revelar a ele o seu endereço IP. Não enviamos nenhum outro dado seu nessa requisição.

Nada do que você digita ou guarda no aplicativo passa por este site.

Contato e aviso de lançamento: se você escrever para o suporte, receberemos seu endereço de e-mail e o conteúdo enviado, tratados pelo serviço de e-mail usado no atendimento. Usamos esses dados para responder ao pedido. Se você pedir o aviso de lançamento, usaremos o endereço para esse aviso; você pode desistir pelo mesmo contato. Mantemos as mensagens pelo tempo necessário ao atendimento e às obrigações legais aplicáveis. Não envie senhas, documentos de saúde ou outros dados sensíveis. O contato de privacidade também recebe pedidos sobre essas mensagens.

15. Mudanças nesta política

Se algo mudar de forma relevante, atualizamos esta página e avisamos dentro do aplicativo antes que a mudança passe a valer. A data e a versão ficam no topo. Uma revisão no mesmo dia recebe um identificador próprio; o registro de aceite do app identifica essa versão.

16. Contato

Dúvida, pedido ou reclamação sobre privacidade: suporte@tofacin.app.