Privacidade

O que guardamos e por quanto tempo

• Os ficheiros PDF carregados são apagados 1 hora após o processamento. Entretanto ficam num espaço privado e nunca são públicos. Isto não se aplica a um extrato que tenha colocado num caso, que é mantido durante o tempo que esse caso indicar — ver o ponto seguinte.
• Os dados de movimentos extraídos e as exportações geradas são apagados ao fim de 24 horas. Depois disso, o registo do trabalho guarda apenas metadados não financeiros (nome do banco, número de páginas, se os saldos fecharam) para apoio e tratamento de abusos. Isto não se aplica a um extrato que tenha colocado num caso, que é mantido durante o tempo que esse caso indicar — ver o ponto seguinte.
• Um caso mantém os extratos durante o tempo que escolher, e apenas se criar um. Um caso é algo que cria deliberadamente, para trabalho que exige ler vários extratos em conjunto: encontrar encargos que vale a pena questionar, reunir um comprovativo de rendimento ou analisar uma conta de que trata. Ao criá-lo escolhe durante quanto tempo os extratos são mantidos: 30 dias, 90 dias, um ano, ou até os eliminar. Tanto o PDF como os dados extraídos são mantidos durante esse período, e é esse o objetivo: o trabalho é impossível com documentos já eliminados. Pode encurtar esse prazo a qualquer momento, e eliminar o caso elimina os seus extratos. Nada é mantido assim a menos que crie um caso; tudo o resto segue as duas regras acima.
• Se tiver conta, guardamos o seu e-mail, o seu plano e o seu saldo de páginas enquanto a conta existir. Se entrou com Google ou Apple, é de lá que vem o e-mail: a esses fornecedores pedimos apenas o seu nome, endereço de e-mail e foto de perfil, nunca recebemos uma palavra-passe e nunca pedimos acesso a mais nada da conta — nem Gmail, nem Drive, nem contactos, nem calendário. Esses dados identificam a sua conta e não servem para mais nada: não os vendemos, não os partilhamos e não treinamos nada com eles.
• Se — e só se — ativar «Memorizar as minhas correções de categoria» na sua conta, guardamos os nomes de comerciante impressos pelo seu banco ao lado das categorias que você escolheu, para que o mesmo comerciante seja classificado da mesma forma no mês seguinte. Só são guardadas as suas correções, nunca os nossos palpites. Não vão acompanhadas de montantes, datas, saldos ou nomes de bancos, e cada uma expira ao fim de 400 dias. A definição está desligada até a ligar, e desligá-la apaga tudo o que tenha guardado. Também as pode apagar todas a qualquer momento na sua página de conta.
• Contagens de quão bem os extratos são processados. Quando um extrato é exportado somamos um a uma contagem semanal: a moeda, o nome do banco impresso no extrato, quantas páginas tinha, se os saldos fecharam e se corrigiu alguma data ou montante antes de exportar. É esse o registo inteiro dessa contagem. Não há ligação a si, nem ao extrato, nem data mais precisa do que a semana — uma linha diz «doze extratos como este foram processados sem problemas» e não pode dizer de quem eram nem o que continham. Usamo-la para uma coisa só: descobrir que países e bancos o extrator realmente domina, para o podermos dizer honestamente em vez de adivinhar.
• Uma segunda contagem: o que pareceu errado. Sempre que um extrato é processado — e não apenas quando é exportado — somamos um a uma contagem semanal separada: a moeda, o nome do banco, se os saldos batiam certo e, se algo não batia, qual de quatro verificações fixas o notou e se a diferença tinha o tamanho de uma linha ou de várias. Nunca um valor, nunca uma linha, nunca uma descrição. As verificações confrontam o resultado com aquilo que o próprio documento diz de si, porque um processamento pode perder uma conta inteira e ainda assim bater certo na perfeição. Contar no processamento em vez de na exportação significa que também são contados os extratos que alguém abandonou — e são precisamente esses que vale a pena corrigir. Enquanto não caírem pelo menos cinco extratos do mesmo banco na mesma semana, esse banco é registado como «outro», de modo que nenhuma linha aqui possa alguma vez dizer respeito a um único documento.
• Extratos que não são processados corretamente, rasurados. Se um extrato não sair correto e não tiver desativado isto na sua conta, guardamos uma cópia da sua disposição com cada algarismo substituído por 9 e cada letra por x — assim uma linha lê-se 99/99/9999 Xxxxxxxx XXX Xxxx -9.99 999.99. Não sobrevive qualquer nome, valor, data, número de conta ou comerciante, não há chave nem nada a reverter, e dois extratos diferentes com a mesma disposição produzem cópias idênticas. Um extrato só é guardado quando algo indicou que correu mal — uma das nossas verificações, ou o utilizador ao dizer-nos — cada um é apagado ao fim de 180 dias, e desativar na sua conta apaga também os já guardados. Está ligado a não ser que o desligue, porque aquilo que guarda não diz respeito a si — a definição de comerciantes acima guarda nomes reais e permanece desligada até a pedir. Dos extratos enviados sem conta não se guarda nada.
• Tudo o que escrever em «Algo errado com este extrato?». Esse campo é o único sítio do StatementSnap onde é você que decide o que fica guardado, e por isso a única coisa aqui que não construímos para não dizer nada: o que escrever fica guardado tal como o escreveu, juntamente com quais das nossas próprias verificações já tinham disparado. Guardamo-lo 180 dias e usamo-lo para corrigir o extrator. Não é enviado para mais lado nenhum e nunca é usado para o contactar, a menos que seja você a escrever lá um endereço.

Esses cinco são a única coisa sobre os seus extratos que sobrevive à janela de 24 horas acima. À parte disso, medimos o tráfego do site — descrito a seguir. Um caso é outra exceção: os extratos que nele colocar são mantidos durante o tempo que escolheu para esse caso, e pode encurtá-lo.

Medição de tráfego

Usamos o Google Analytics para perceber como as pessoas encontram este site e nele circulam, e para ver qual da nossa publicidade traz realmente alguém aqui: que páginas foram visitadas, que site o encaminhou, a localização aproximada que a Google deduz do seu endereço IP e o tipo de dispositivo e navegador. A Google coloca cookies (com nomes como _ga) para distinguir um visitante que regressa de um novo. Isto começa na sua primeira página vista, e o aviso surge ao lado e não antes — a medição já começou, portanto, quando vê a escolha. «Parar a medição» termina-a e apaga os cookies que a Google tenha colocado; «OK» apenas fecha o aviso, porque nada estava à sua espera. A sua escolha é recordada durante um ano.

A aplicação iOS mede os mesmos passos por outra via. Não tem software da Google. A aplicação envia a mesma lista fixa de eventos para o nosso próprio servidor, que os passa à mesma propriedade do Google Analytics, para que o site e a aplicação sejam um só quadro e não dois. Não há cookies envolvidos, porque uma aplicação não os tem: em vez disso inventa um identificador aleatório na primeira execução, guarda-o no dispositivo e envia esse, para que uma sequência de passos se distinga da de outra pessoa. Não é o identificador da sua conta, nunca é enviado ao lado dele, e apagar a aplicação apaga-o. Na aplicação não há banner de medição nem forma de desligar isto a partir de dentro. O que aí se mantém é tudo o que se segue sobre o conteúdo dos extratos.

Registamos também que passos as pessoas atingem, para vermos onde o produto lhes falha: que foi carregado um extrato, quantas páginas tinha, quanto demorou, se os saldos fecharam, se falhou e em qual de um punhado de categorias fixas (por exemplo «protegido por palavra-passe»), quantas linhas foram corrigidas, que formato de exportação foi escolhido, se uma exportação foi recusada e porquê, e que houve um registo ou uma compra. As compras levam o montante que nos pagou e a respetiva moeda.

Nada do conteúdo dos seus extratos vai para o Google Analytics. Nem o ficheiro, nem um movimento, nem um montante, nem um nome de banco, nem o nome do que descarrega, nem uma mensagem de erro — apenas uma categoria para ela, porque a própria mensagem pode citar o seu extrato. O que enviamos são contagens, respostas de sim ou não e palavras de uma lista fixa. Não há em nada do que enviamos um campo capaz de transportar um comerciante, um saldo ou uma instituição, e os nossos endereços de página também nunca referem o seu extrato.

A Google trata isto ao abrigo da sua própria política de privacidade e descreve aqui como usa dados de sites que recorrem aos seus serviços. Pode opor-se para todos os sites que visita com a extensão de navegador da Google, ou bloqueando os cookies deste site — nenhuma das opções afeta a sua capacidade de converter um extrato.

Monitorização de erros e gravação de sessão

Quando algo falha, enviamos o erro para o Sentry, um serviço de terceiros que recolhe relatórios de falhas para que possamos encontrá-las e corrigi-las. Um relatório indica o que correu mal, em que página ou ecrã da aplicação, em que navegador ou em que tipo de telemóvel e — se tiver sessão iniciada — o identificador interno da sua conta. Cada algarismo numa mensagem de erro é substituído por # antes do envio, porque um erro pode citar aquilo em que tropeçou, e neste produto isso é uma linha do seu extrato. Os corpos dos pedidos, os cookies e os parâmetros dos endereços web são removidos por completo em vez de mascarados.

O Sentry grava também uma reprodução da página quando ocorre um erro — uma reconstrução do que estava no ecrã, para vermos a falha em vez de a adivinharmos. Isto acontece apenas no site. Nada na aplicação iOS é alguma vez gravado, e no seu telemóvel não é feita qualquer gravação de ecrã em circunstância alguma. Três pontos merecem ser ditos com clareza, porque em conjunto são a razão pela qual isto é aceitável num produto como este:

• A sua tabela de movimentos nunca é gravada. Não é desfocada nem tapada com asteriscos — é excluída, pelo que a gravação contém um espaço vazio no seu lugar. Isso abrange cada linha, cada valor, cada saldo, cada comerciante, cada categoria e a própria forma da tabela.
• Todo o restante texto da página é mascarado antes de sair do seu navegador, incluindo aquilo que escrever. A gravação mostra a disposição, os cliques e a navegação, não as palavras.
• As gravações só são feitas quando algo corre mal. Uma visita em que nada falhou não é gravada de todo.

Enviamos também ao Sentry informação de tempos sobre as nossas próprias operações — quanto demorou uma leitura, quantas páginas tinha, que passo interno esteve lento — juntamente com as nossas linhas de registo do servidor, que são contagens e nomes de eventos fixos como «limpeza executada» ou «leitura falhada». Não transporta conteúdo do extrato, pela mesma regra de tudo o que está acima.

O Sentry trata estes dados como nosso subcontratante, ao abrigo da sua própria política de privacidade, e elimina-os segundo um calendário fixo.

Quem vê os seus extratos

O texto do extrato (ou as imagens das páginas, em extratos digitalizados) é enviado para a API da Anthropic para ser convertido numa tabela de movimentos. Não é usado para treinar modelos. Ninguém no StatementSnap lê os seus extratos no funcionamento normal.

A verificação de saldos corre no nosso próprio código, não no modelo: um selo verde «Os saldos fecham» é aritmética feita por nós, não algo afirmado por um modelo.

Pagamentos

Os pagamentos são tratados pela Paddle.com Market Ltd, que atua como merchant of record — é a vendedora indicada na sua fatura e no extrato do cartão e cobra o IVA ou imposto devido. Os dados do seu cartão vão para a Paddle, nunca para nós: não vemos nem guardamos números de cartão.

Guardamos o identificador de cliente Paddle associado à sua conta e uma linha por compra com o que foi comprado e o montante, para podermos responder a questões de faturação e atribuir o número certo de páginas. Pode cancelar uma subscrição a qualquer momento no portal de faturação ligado na sua página de conta. Os reembolsos regem-se pela nossa política de reembolsos.

Convites para avaliar

Após uma compra, o Trustpilot envia-lhe um convite para avaliar o StatementSnap. Para isso pomo-lo em cópia da sua confirmação de compra, pelo que recebe o seu endereço de e-mail — e mais nada. Nunca recebe nada sobre os seus extratos, e quem não comprou nada nunca é convidado.

Todos os clientes são convidados, não uns escolhidos, e é isso que torna a classificação resultante digna de ser lida. A recusa é tratada do lado do Trustpilot e nunca afeta a sua conta nem os e-mails que lhe enviamos sobre ela. Se preferir não ser convidado de todo, escreva para support@statementsnap.net e excluímo-lo.

Utilização anónima

Para aplicar o limite diário gratuito sem contas, guardamos um resumo criptográfico com sal do seu endereço IP e uma data — nunca o endereço em claro.

Apagar os seus dados

Os ficheiros de extratos e os dados extraídos expiram sozinhos em 24 horas. As categorias de comerciante memorizadas, caso tenha ativado essa opção, podem ser apagadas de imediato na sua página de conta — com «Apagar todas» ou desligando a definição, o que dá no mesmo. Para apagar uma conta e tudo o que lhe está associado, use Eliminar conta no fim da sua página de conta, ou o mesmo botão na aplicação iOS. O seu perfil e tudo o que carregou são removidos de imediato e qualquer subscrição é cancelada com isso — não precisa de nos escrever. Guardamos apenas uma impressão unidirecional do endereço de e-mail — nunca o endereço em si — para que o período experimental gratuito não possa ser pedido vezes sem conta. Os extratos de um caso são mantidos até à data que escolheu ao criá-lo; pode antecipar essa data, ou eliminar o caso e os seus extratos, a qualquer momento a partir do próprio caso.

Quem somos

O StatementSnap é operado pela Sheba Media LLC. Para qualquer questão sobre esta política, ou para exercer um direito sobre os seus dados, escreva para support@statementsnap.net. Os nossos termos de serviço e a nossa política de reembolsos cobrem o resto da relação.