Política de Privacidad

Última actualización: 2 de septiembre de 2026
Vigencia: a partir de la fecha de publicación
Versión: 2.1

Esta Política explica, sin rodeos, qué datos personales recoge Rico aos Poucos, por qué los recoge, con quién los comparte, cuánto tiempo los guarda y qué puedes exigirnos. Fue escrita para que la lea quien no es abogado, y sigue la Ley General de Protección de Datos Personales brasileña — LGPD (Lei nº 13.709/2018), el Marco Civil da Internet (Lei nº 12.965/2014), el marco regulatorio de internet en Brasil, y el Código de Defensa del Consumidor de Brasil — Código de Defesa do Consumidor (Lei nº 8.078/1990).

1. Quién es el controlador

Rico aos Poucos (ricoaospoucos.com.br) es un proyecto independiente de educación financiera, mantenido por una persona física, sin vínculo con corredoras de bolsa, gestoras, administradoras de fondos ni instituciones financieras. Para los fines del art. 5º, VI, de la LGPD, el responsable del proyecto es el controlador de los datos personales tratados en el sitio, en la aplicación Android y en la extensión de navegador.

Canal oficial para cualquier asunto de datos personales: galera.org@gmail.com.

2. Qué exige cuenta y qué no

Buena parte del sitio es abierta: navegas por artículos, análisis de fondos y de empresas, cotizaciones, indicadores, materias primas, sectores, noticias, calculadoras y simuladores sin identificarte.

Exigen cuenta (inicio de sesión con Google):

• La parte final de los artículos largos, donde está la conclusión — el artículo corto abre entero, y la noticia nunca se corta;
• La pestaña de Valuation de las páginas de fondo inmobiliario, con el precio justo y las cuentas detrás de él — la misma pestaña en las páginas de acción es abierta;
• La Cartera, tu panel y los favoritos;
• Las alertas de precio y las notificaciones;
• Escribir: comentar, publicar en el foro, enviar mensajes en el chat, crear encuestas o votar, y enviar un reporte por el botón "Contribuir". Leer todo eso es abierto — la cuenta solo se exige para escribir.

Esas partes están detrás del inicio de sesión porque dependen de saber de quién es aquello (la cartera, la alerta, el comentario) o porque así el proyecto se sostiene sin cobrarle a nadie.

Incluso sin cuenta, el sitio registra datos técnicos de navegación (punto 3.4) — como cualquier sitio en internet.

3. Qué datos recogemos

3.1. Cuando creas la cuenta (inicio de sesión con Google)

La única forma de crear una cuenta es el inicio de sesión con Google (OAuth 2.0). Nosotros nunca creamos, pedimos, vemos ni guardamos tu contraseña. Al autorizar, Google nos entrega — y nosotros guardamos:

• Nombre para mostrar y foto de perfil (la URL de la foto alojada en Google);
• Dirección de correo electrónico;
• Identificador único de la cuenta de Google (el campo sub), que es lo que ata tu sesión a tu cuenta aquí;
• Fecha de creación, fecha del último inicio de sesión y del último acceso, y el idioma elegido.

Puedes editar, dentro del sitio, el nombre mostrado, la bio y la dirección pública (slug) de tu perfil.

3.2. Cuando usas la Cartera (información financiera tuya)

A medida que la usas, podemos almacenar:

• Movimientos y posiciones: activo, cantidad, precio, fecha, corredora, rendimientos recibidos y el historial diario del valor de la cartera;
• Caja y activos fuera de la bolsa: saldo, depósitos y retiros, inmuebles, dólares, oro, criptomonedas, renta fija, previsión privada y préstamos personales, con emisor, indexador, tasa y valores;
• Bienes: vehículos e inmuebles, incluido el código/modelo FIPE, valor de adquisición, valor de mercado y datos del financiamiento (valor, tasa, cuotas);
• Deudas: tipo, saldo deudor, tasa y cuota mensual;
• Perfil de inversionista y onboarding: objetivo, horizonte, tolerancia al riesgo, conocimiento declarado y, si lo informas, ingreso mensual, costo de vida, aporte mensual, monto disponible y banco principal;
• Sincronización con la B3: si importas la planilla del Área do Investidor o usas nuestra extensión de navegador, guardamos las operaciones, posiciones y rendimientos que vengan de ahí (detalles en el punto 3.7);
• Control de gastos: si importas un extracto bancario (CSV de Nubank, Inter o genérico), guardamos las transacciones — fecha, valor, descripción, establecimiento, categoría y banco de origen. El archivo se lee dentro de tu navegador; a nuestro servidor solo sube la lista de transacciones resultante. Atención: la descripción de un Pix suele traer el nombre y parte del documento de quien envió o recibió. Ese texto sube tal como vino del banco, así que tu extracto puede contener datos de otras personas — borra la transacción si no quieres que quede guardada;
• Análisis y planes generados a pedido: el texto del análisis, el plan y el retrato de tu perfil usados para producirlos (ve el punto 5);
• Libro mayor de la cartera: el registro de cada acto tuyo (registraste, editaste, borraste), para que puedas auditar tu propio historial;
• Compartir: si compartes una cartera por enlace o invitas a alguien, guardamos el token del enlace y el correo electrónico de la persona invitada.

Lo que la Cartera no hace: no se conecta con tu cuenta bancaria, no mueve dinero, no emite órdenes, no pide contraseña de banco ni de corredora, no pide CPF y no guarda datos de tarjeta.

3.3. Cuando publicas algo

Los comentarios, temas y respuestas del foro, mensajes de chat, encuestas y votos, enlaces compartidos y reportes enviados por el botón "Contribuir" quedan registrados con tu texto, la página en que se hicieron, la fecha y tu identificación. Junto con ellos, por seguridad y para combatir el abuso, grabamos la dirección IP y el navegador (user-agent) del envío.

• Es público: el texto del comentario, del foro, del chat y de las encuestas, junto con tu nombre para mostrar y tu foto. Tu correo electrónico nunca se exhibe públicamente.
• Si un contenido tuyo pasa por moderación, guardamos también el texto original, la acción tomada y la justificación — es lo que permite revertir una moderación equivocada;
• No es público: el reporte enviado por "Contribuir" y las imágenes adjuntas a él (hasta 6 archivos). Van solo a quien mantiene el sitio — incluso por mensaje al Telegram del responsable, para que el problema se vea rápido.

3.4. Cuando solo navegas

• Identificador de visita: generamos un código aleatorio (rap_visitor_uid) guardado en tu navegador para contar visitantes sin saber quiénes son;
• Páginas vistas: qué página, cuándo, cuántas veces, de dónde vino (referrer) y los compartidos, con la IP guardada solo en formato codificado (hash);
• Búsquedas hechas en el sitio: el término buscado y el resultado en que hiciste clic, con la IP en hash, además del navegador, de la página de origen y de un identificador de sesión;
• Eventos de uso: cuándo aparece una invitación de inicio de sesión y qué haces con ella, y por qué canal compartiste una página;
• Si tienes cuenta: la navegación pasa a asociarse a ella, incluida la navegación anterior al registro hecha en el mismo navegador. Guardamos un registro por artículo o fondo abierto (manteniendo los más recientes) y en qué página nació tu cuenta. De eso sale un perfil de intereses (qué fondos y temas sigues) — ve el punto 5;
• Métricas de Google Analytics 4 (identificador G-6XBNHTHSTW), con datos agregados de audiencia.

Puedes desactivar nuestro propio rastreo de audiencia en cualquier momento — instrucciones en la Política de Cookies.

3.5. Registros de acceso

El servidor mantiene registros de acceso (fecha, hora, IP, ruta, respuesta, navegador), como manda el art. 15 del Marco Civil da Internet. Sirven para seguridad, diagnóstico de fallas, control de abuso y cumplimiento de orden judicial — y para nada más.

3.6. Notificaciones y correos electrónicos

• Push del navegador: guardamos la dirección técnica de la suscripción (endpoint) y las claves de cifrado generadas por tu navegador;
• App Android: guardamos el token del dispositivo en Firebase Cloud Messaging;
• Correo electrónico: guardamos el envío, el estado de entrega y — en las campañas — si lo abriste y si hiciste clic. Usamos eso para reducir la frecuencia de quien no tiene interés: quien no abre pasa a recibir menos y después deja de recibir. Puedes darte de baja por el enlace en el pie de cualquier correo nuestro;
• Hay un tope de 1 correo por día y 3 por semana por persona, sumando todas las campañas.

3.7. Extensión de navegador "Sincronizar B3"

La extensión es opcional, la instalas tú y sirve para traer tu extracto de la B3 a la Cartera sin digitación. Cómo funciona, en detalle:

• Solo actúa en dos orígenes: el sitio del Área do Investidor de la B3 y Rico aos Poucos;
• Antes de la primera lectura muestra una pantalla con lo que va a leer y lo que va a hacer, y solo continúa después de que aceptas. Todas sus consultas a la B3 son de lectura: la extensión no emite órdenes, no mueve dinero y no cambia nada en tu cuenta de allá;
• La credencial de tu sesión en la B3 nunca sale de la página de la B3 y nunca se nos envía a nosotros. La extensión la usa ahí mismo para pedirle a la B3 tus datos;
• Lo que llega hasta nosotros es el resultado: operaciones, posiciones y rendimientos;
• La vinculación entre la extensión y tu cuenta usa un token propio, guardado solo en el almacenamiento local de la extensión; en nuestro servidor guardamos solo el hash de él;
• La sincronización automática es opt-in y se puede desactivar en el panel de la extensión;
• Para no mezclar carteras cuando hay más de una cuenta de la B3 en el mismo navegador, la extensión guarda en tu computadora un resumen criptográfico irreversible (SHA-256) del identificador de la sesión de la B3. Solo sirve para responder "¿es la misma cuenta de siempre?", no se envía a nosotros y no permite reconstruir tu documento ni ningún dato tuyo;
• Los permisos que le pide a Chrome son los dos orígenes de arriba y nada más: no pide acceso a todos los sitios, no pide tus cookies y no pide el permiso que muestra la URL de todas las pestañas (el que Chrome describe como "leer tu historial de navegación");
• Desinstalar interrumpe la recolección al instante. Para revocar la vinculación en el servidor, quita la extensión en tu cuenta o pide la revocación por el canal del punto 16.

3.8. Lo que no recogemos

• Contraseñas — ni la de Google, ni la del banco, ni la de la corredora;
• CPF, documento de identidad, datos de tarjeta, cuentas bancarias ni credenciales de acceso financiero;
• Datos sensibles del art. 5º, II, de la LGPD: salud, biometría, religión, opinión política, afiliación sindical, vida sexual, origen racial o étnico;
• Ubicación precisa por GPS.

Si escribes espontáneamente alguno de esos datos en un comentario, en una bio o en un reporte, es tuyo y puedes pedir su remoción en cualquier momento.

4. Para qué los usamos y con qué base legal

Si algún día quisiéramos usar algún dato para una finalidad nueva e incompatible con estas, te pediremos tu consentimiento antes — no después.

5. Perfilamiento e inteligencia artificial

Aquí ocurren dos cosas diferentes, y es importante separarlas:

5.1. Perfil de intereses (automático, sin IA)

Si tienes cuenta, las páginas que abres forman un perfil de los activos y temas que te interesan. Sirve para ordenar tu panel y para decidir sobre qué activo tiene sentido avisarte. Es cálculo aritmético, sin decisión humana y sin modelo de IA. No define precios, no restringe el acceso y no produce ningún efecto jurídico sobre ti.

Existe también una nota de reputación por persona, calculada a partir de tu actividad en el sitio (lo que publicaste y cómo fue recibido) y de una evaluación automática de relevancia de cada contribución. Ordena los destacados y puede hacer que una contribución evaluada como de baja relevancia no aparezca en las listas públicas. Si eso pasa con algo tuyo, puedes pedir revisión humana por el canal del punto 16.

5.2. Uso de modelos de inteligencia artificial

Parte del contenido editorial del sitio (artículos, análisis de fondos, traducciones, narraciones) se produce con apoyo de modelos de IA bajo revisión de criterios automáticos y humanos. Eso no involucra datos personales de nadie.

Hay, sin embargo, situaciones en que un dato tuyo puede ser procesado por un modelo de IA de un tercero (hoy, modelos de Anthropic y de Google):

• Análisis de tu cartera y recomendación de aporte, cuando lo pides: el contenido de la cartera y el perfil que completaste se envían al modelo para generar el texto. Sin tu pedido, no se envía nada;
• Moderación y clasificación de lo que se publica — detectar spam y ofensas, y evaluar la relevancia de una contribución (la nota del punto 5.1);
• Diagnóstico de un problema que reportaste por el botón "Contribuir", incluida la imagen que adjuntaste;
• Respuesta pública a una corrección que señalaste en contenido nuestro: tu comentario se analiza para averiguar el error y redactar la respuesta y la fe de erratas;
• Producción del contenido del sitio a partir de lo que se publica en área pública de la comunidad.

Ninguno de esos procesamientos decide sobre crédito, precio, acceso a tu cuenta ni nada con efecto jurídico sobre ti. Dos de ellos, sin embargo, afectan lo que publicaste: la moderación automatizada puede ocultar o editar un fragmento que viole las reglas, y la evaluación de relevancia puede mantener una contribución fuera de las listas — en ambos casos sin aviso previo. Por eso garantizamos el derecho del art. 20 de la LGPD de forma expresa: puedes pedir revisión humana y la explicación de los criterios de cualquier resultado automatizado que te afecte, por el canal del punto 16, y nosotros reevaluamos.

No vendemos, no alquilamos ni cedemos tus datos para entrenar modelos de IA de terceros, y no usamos el contenido de tu cartera para entrenar ningún modelo.

6. Con quién los compartimos

No vendemos datos personales. Los compartimos solo con quien es necesario para que el sitio funcione — cada uno recibe apenas el mínimo de su trabajo — y con autoridades, cuando la ley obliga.

No usamos Meta/Facebook Pixel, TikTok Pixel, redes de anuncios, plataformas de data broker ni herramientas de grabación de sesión.

7. Transferencia internacional

Varios de los prestadores anteriores operan servidores fuera de Brasil. Al usar el sitio, tus datos pueden ser procesados en el exterior. Lo hacemos con apoyo en el art. 33 de la LGPD, eligiendo prestadores que ofrezcan garantías contractuales y técnicas adecuadas (cláusulas contractuales estándar, certificaciones y compromisos públicos de conformidad), y limitando el dato enviado al mínimo necesario para cada servicio.

8. Cuánto tiempo los guardamos

9. Seguridad de la información

• Todo el tráfico está cifrado por HTTPS/TLS;
• La autenticación está delegada a Google — no existe una contraseña nuestra que pueda filtrarse;
• Las cookies de sesión están firmadas criptográficamente y marcadas como HttpOnly, Secure y SameSite, lo que impide que los scripts las lean;
• El token de la extensión se guarda como hash en el servidor;
• La IP guardada en las estadísticas de navegación y búsqueda está codificada (hash con sal);
• Encabezados de seguridad en el borde (CSP, HSTS, anti-clickjacking), límite de solicitudes por origen y paneles administrativos cerrados a la internet pública;
• Acceso a la base de datos restringido al mínimo necesario.

En la aplicación Android, que es el propio sitio dentro de una app, el inicio de sesión se entrega a la app por un token de sesión guardado solo mientras la app está abierta.

Ningún sistema es inmune. Si ocurre un incidente con riesgo relevante para ti, aplicamos el punto 14.

10. Tus derechos y cómo ejercerlos

La LGPD (art. 18) te da, gratis y en cualquier momento, el derecho de:

• Confirmar si tratamos datos tuyos y acceder a esos datos;
• Corregir un dato incompleto, inexacto o desactualizado;
• Anonimizar, bloquear o eliminar un dato innecesario, excesivo o tratado fuera de la ley;
• Pedir la portabilidad a otro proveedor;
• Eliminar los datos tratados con base en tu consentimiento;
• Saber con quién compartimos tus datos;
• Revocar el consentimiento y oponerte a un tratamiento hecho con otra base legal;
• Pedir revisión de una decisión automatizada (punto 5);
• Presentar una petición ante la ANPD, la autoridad brasileña de protección de datos (gov.br/anpd).

Cómo pedirlo, en la práctica

Escribe a galera.org@gmail.com con el asunto "LGPD — [lo que quieres]", desde el mismo correo electrónico de tu cuenta de Google (así es como confirmamos que eres tú). Respondemos en hasta 15 días.

Eliminar la cuenta: pídelo por el mismo canal. La eliminación corre por un procedimiento que recorre la base entera y borra toda línea ligada a tu cuenta — registro, cartera, bienes, deudas, transacciones importadas, favoritos, alertas, preferencias, suscripciones de notificación, perfil de intereses, reputación y lo que publicaste en un área pública. Permanecen solamente: el registro de tu baja de correo (justamente para no volver a escribirte), los registros de acceso del servidor mientras existan, y lo que la ley obligue a mantener o lo que sea necesario para la defensa en un proceso.

También puedes, por tu cuenta y en cualquier momento, dentro del sitio: borrar comentarios, mensajes, registros, activos, bienes, deudas, transacciones, alertas y favoritos; desactivar categorías de notificación; y darte de baja de los correos por el enlace en el pie de cada campaña. Una salvedad honesta: borrar un comentario lo retira inmediatamente de la exhibición, pero el registro continúa en la base por control de abuso — y sale definitivamente cuando eliminas la cuenta.

11. Cookies y almacenamiento en el navegador

Usamos cookies para mantenerte con la sesión iniciada, recordar el idioma y proteger el inicio de sesión contra fraudes, además de almacenamiento local para preferencias y para la medición de audiencia. No usamos cookies de publicidad. La lista completa, punto por punto, con duración y cómo desactivarlas, está en la Política de Cookies.

12. Niños y adolescentes

Rico aos Poucos no está destinado a menores de 18 años y no recoge intencionalmente datos de niños ni adolescentes. No hay contenido dirigido a ese público. Si un menor creó una cuenta, el responsable legal puede escribir a galera.org@gmail.com y nosotros eliminaremos la cuenta y los datos.

13. Contenido y enlaces de terceros

El sitio enlaza e incorpora contenido de terceros (B3, CVM, FNET, portales de noticias, YouTube, redes sociales). Al hacer clic o dar play, pasas a regirte por la política de privacidad de ese tercero, sobre la cual no tenemos control. Recomendamos leerlas.

14. Incidente de seguridad

Si ocurre un incidente de seguridad que pueda acarrear riesgo o daño relevante para ti, lo comunicaremos a ti y a la Autoridad Nacional de Protección de Datos (ANPD) en un plazo razonable, informando la naturaleza del incidente, los datos involucrados, las medidas tomadas y lo que puedes hacer para protegerte, conforme al art. 48 de la LGPD.

15. Modificaciones de esta Política

Esta Política puede cambiar cuando el sitio cambie, cuando la ley cambie o cuando cambiemos de prestador. La fecha y el número de versión de arriba siempre indican lo que está en vigor. Todo cambio relevante se anuncia de forma destacada en el sitio y, cuando afecte un tratamiento basado en consentimiento, pedimos tu consentimiento de nuevo. El uso continuado después de la publicación significa que conoces la versión vigente.

16. Contacto y Encargado (DPO)

El responsable del proyecto acumula la función de Encargado del Tratamiento de Datos Personales (art. 41 de la LGPD). Habla con él:

• Correo electrónico: galera.org@gmail.com
• Asunto sugerido: "LGPD — [tu pedido]"
• Plazo de respuesta: hasta 15 días

Esta Política se rige por la legislación brasileña, fue redactada en portugués y, en caso de divergencia con las traducciones a otros idiomas, prevalece la versión en portugués. Se elige el fuero de la comarca del domicilio del controlador, salvo si el titular es consumidor, hipótesis en que prevalece el fuero de su domicilio.