Política de Privacidade

Última atualização: 2 de setembro de 2026
Vigência: a partir da data de publicação
Versão: 2.1

Esta Política explica, sem rodeios, quais dados pessoais o Rico aos Poucos coleta, por que coleta, com quem compartilha, por quanto tempo guarda e o que você pode exigir de nós. Ela foi escrita para ser lida por quem não é advogado, e segue a Lei Geral de Proteção de Dados Pessoais — LGPD (Lei nº 13.709/2018), o Marco Civil da Internet (Lei nº 12.965/2014) e o Código de Defesa do Consumidor (Lei nº 8.078/1990).

1. Quem é o controlador

O Rico aos Poucos (ricoaospoucos.com.br) é um projeto independente de educação financeira, mantido por pessoa física, sem vínculo com corretoras, gestoras, administradoras de fundos ou instituições financeiras. Para os fins do art. 5º, VI, da LGPD, o responsável pelo projeto é o controlador dos dados pessoais tratados no site, no aplicativo Android e na extensão de navegador.

Canal oficial para qualquer assunto de dados pessoais: galera.org@gmail.com.

2. O que exige conta e o que não exige

Boa parte do site é aberta: você navega por artigos, análises de fundos e de empresas, cotações, indicadores, commodities, setores, notícias, calculadoras e simuladores sem se identificar.

Exigem conta (login com Google):

• A parte final dos artigos longos, onde fica a conclusão — artigo curto abre inteiro, e notícia nunca é cortada;
• A aba de Valuation das páginas de fundo imobiliário, com o preço justo e as contas por trás dele — a mesma aba nas páginas de ação é aberta;
• A Carteira, o seu painel e os favoritos;
• Os alertas de preço e as notificações;
• Escrever: comentar, publicar no fórum, mandar mensagem no chat, criar enquete ou votar, e enviar um relato pelo botão "Contribua". Ler tudo isso é aberto — a conta só é exigida para escrever.

Essas partes ficam atrás de login porque dependem de saber de quem é aquilo (a carteira, o alerta, o comentário) ou porque é assim que o projeto se sustenta sem cobrar de ninguém.

Mesmo sem conta, o site registra dados técnicos de navegação (item 3.4) — como qualquer site na internet.

3. Quais dados coletamos

3.1. Quando você cria a conta (login com Google)

O único jeito de criar conta é o login com Google (OAuth 2.0). Nós nunca criamos, pedimos, vemos ou guardamos a sua senha. Ao autorizar, o Google nos entrega — e nós guardamos:

• Nome de exibição e foto de perfil (a URL da foto hospedada no Google);
• Endereço de e-mail;
• Identificador único da conta Google (o campo sub), que é o que amarra a sua sessão à sua conta aqui;
• Data de criação, data do último login e do último acesso, e o idioma escolhido.

Você pode editar, dentro do site, o nome exibido, a bio e o endereço público (slug) do seu perfil.

3.2. Quando você usa a Carteira (informação financeira sua)

Conforme você usa, podemos armazenar:

• Movimentações e posições: ativo, quantidade, preço, data, corretora, proventos recebidos e o histórico diário de valor da carteira;
• Caixa e ativos fora da bolsa: saldo, depósitos e saques, imóveis, dólar, ouro, criptomoedas, renda fixa, previdência e empréstimos pessoais, com emissor, indexador, taxa e valores;
• Bens: veículos e imóveis, incluindo código/modelo FIPE, valor de aquisição, valor de mercado e dados do financiamento (valor, taxa, parcelas);
• Dívidas: tipo, saldo devedor, taxa e parcela mensal;
• Perfil de investidor e onboarding: objetivo, horizonte, tolerância a risco, conhecimento declarado e, se você informar, renda mensal, custo de vida, aporte mensal, valor disponível e banco principal;
• Sincronização com a B3: se você importar a planilha da Área do Investidor ou usar a nossa extensão de navegador, guardamos as operações, posições e proventos que vierem de lá (detalhes no item 3.7);
• Controle de gastos: se você importar um extrato bancário (CSV do Nubank, Inter ou genérico), guardamos as transações — data, valor, descrição, estabelecimento, categoria e banco de origem. O arquivo é lido dentro do seu navegador; para o nosso servidor sobe apenas a lista de transações resultante. Atenção: a descrição de um Pix costuma trazer o nome e parte do documento de quem enviou ou recebeu. Esse texto sobe como veio do banco, então o seu extrato pode conter dado de outras pessoas — apague a transação se não quiser que fique guardada;
• Análises e planos gerados a pedido: o texto da análise, o plano e o retrato do seu perfil usados para produzi-los (veja o item 5);
• Livro-razão da carteira: o registro de cada ato seu (lançou, editou, apagou), para você poder auditar o próprio histórico;
• Compartilhamento: se você compartilhar uma carteira por link ou convidar alguém, guardamos o token do link e o e-mail da pessoa convidada.

O que a Carteira não faz: não conecta com a sua conta bancária, não movimenta dinheiro, não emite ordem, não pede senha de banco nem de corretora, não pede CPF e não guarda dados de cartão.

3.3. Quando você publica algo

Comentários, tópicos e respostas do fórum, mensagens de chat, enquetes e votos, links compartilhados e relatos enviados pelo botão "Contribua" ficam registrados com o seu texto, a página em que foram feitos, a data e a sua identificação. Junto deles, por segurança e para combate a abuso, gravamos o endereço IP e o navegador (user-agent) do envio.

• É público: o texto do comentário, do fórum, do chat e das enquetes, junto do seu nome de exibição e foto. Seu e-mail nunca é exibido publicamente.
• Se um conteúdo seu passar por moderação, guardamos também o texto original, a ação tomada e a justificativa — é o que permite reverter uma moderação errada;
• Não é público: o relato enviado pelo "Contribua" e as imagens anexadas a ele (até 6 arquivos). Eles vão só para quem mantém o site — inclusive por mensagem no Telegram do responsável, para que o problema seja visto rápido.

3.4. Quando você só navega

• Identificador de visita: geramos um código aleatório (rap_visitor_uid) guardado no seu navegador para contar visitantes sem saber quem são;
• Páginas vistas: qual página, quando, quantas vezes, de onde veio (referrer) e compartilhamentos, com o IP guardado apenas em formato embaralhado (hash);
• Buscas feitas no site: o termo pesquisado e o resultado clicado, com IP em hash, além do navegador, da página de origem e de um identificador de sessão;
• Eventos de uso: quando um convite de login aparece e o que você faz com ele, e por qual canal você compartilhou uma página;
• Se você tem conta: a navegação passa a ser associada a ela, inclusive a navegação anterior ao cadastro feita no mesmo navegador. Guardamos um registro por artigo ou fundo aberto (mantendo os mais recentes) e em que página a sua conta nasceu. Disso sai um perfil de interesses (quais fundos e temas você acompanha) — veja o item 5;
• Métricas do Google Analytics 4 (identificador G-6XBNHTHSTW), com dados agregados de audiência.

Você pode desligar o nosso rastreamento próprio de audiência a qualquer momento — instruções na Política de Cookies.

3.5. Registros de acesso

O servidor mantém registros de acesso (data, hora, IP, rota, resposta, navegador), como manda o art. 15 do Marco Civil da Internet. Eles servem para segurança, diagnóstico de falhas, controle de abuso e cumprimento de ordem judicial — e para mais nada.

3.6. Notificações e e-mails

• Push do navegador: guardamos o endereço técnico da inscrição (endpoint) e as chaves de criptografia geradas pelo seu navegador;
• App Android: guardamos o token do dispositivo no Firebase Cloud Messaging;
• E-mail: guardamos o envio, o status de entrega e — nas campanhas — se você abriu e se clicou. Usamos isso para reduzir a frequência de quem não tem interesse: quem não abre passa a receber menos e depois deixa de receber. Você pode se descadastrar pelo link no rodapé de qualquer e-mail nosso;
• Há teto de 1 e-mail por dia e 3 por semana por pessoa, somando todas as campanhas.

3.7. Extensão de navegador "Sincronizar B3"

A extensão é opcional, instalada por você e serve para trazer o seu extrato da B3 para a Carteira sem digitação. Como ela funciona, em detalhe:

• Ela só age em duas origens: o site da Área do Investidor da B3 e o Rico aos Poucos;
• Antes da primeira leitura ela mostra uma tela com o que vai ler e o que vai fazer, e só continua depois que você concorda. Todas as consultas à B3 são de leitura: a extensão não emite ordem, não movimenta dinheiro e não altera nada na sua conta de lá;
• A credencial da sua sessão na B3 nunca sai da página da B3 e nunca é enviada para nós. A extensão a usa ali mesmo para pedir à B3 os seus dados;
• O que chega até nós é o resultado: operações, posições e proventos;
• O pareamento entre a extensão e a sua conta usa um token próprio, guardado apenas no armazenamento local da extensão; no nosso servidor guardamos só o hash dele;
• A sincronização automática é opt-in e pode ser desligada no painel da extensão;
• Para não misturar carteiras quando há mais de uma conta da B3 no mesmo navegador, a extensão guarda no seu computador um resumo criptográfico irreversível (SHA-256) do identificador da sessão da B3. Ele serve só para responder "é a mesma conta de sempre?", não é enviado para nós e não permite reconstruir o CPF nem qualquer dado seu;
• As permissões que ela pede ao Chrome são as duas origens acima e mais nada: ela não pede acesso a todos os sites, não pede acesso aos seus cookies e não pede a permissão que mostra a URL de todas as abas (a que o Chrome descreve como "ler seu histórico de navegação");
• Desinstalar interrompe a coleta na hora. Para revogar o pareamento no servidor, remova a extensão na sua conta ou peça a revogação pelo canal do item 16.

3.8. O que nós não coletamos

• Senhas — nem a do Google, nem a do banco, nem a da corretora;
• CPF, RG, dados de cartão, contas bancárias ou credenciais de acesso financeiro;
• Dados sensíveis do art. 5º, II, da LGPD: saúde, biometria, religião, opinião política, filiação sindical, vida sexual, origem racial ou étnica;
• Localização precisa por GPS.

Se você escrever espontaneamente algum desses dados num comentário, numa bio ou num relato, ele é seu e você pode pedir a remoção a qualquer momento.

4. Para que usamos e com que base legal

Se um dia quisermos usar algum dado para uma finalidade nova e incompatível com estas, pediremos o seu consentimento antes — não depois.

5. Perfilamento e inteligência artificial

Duas coisas diferentes acontecem aqui, e é importante separá-las:

5.1. Perfil de interesses (automático, sem IA)

Se você tem conta, as páginas que abre formam um perfil dos ativos e temas que te interessam. Ele serve para ordenar o seu painel e para decidir sobre qual ativo faz sentido te avisar. É cálculo aritmético, sem decisão humana e sem modelo de IA. Ele não define preço, não restringe acesso e não produz qualquer efeito jurídico sobre você.

Existe também uma nota de reputação por pessoa, calculada a partir da sua atividade no site (o que você publicou e como foi recebido) e de uma avaliação automática de relevância de cada contribuição. Ela ordena destaques e pode fazer com que uma contribuição avaliada como de baixa relevância não apareça nas listagens públicas. Se isso acontecer com algo seu, você pode pedir revisão humana pelo canal do item 16.

5.2. Uso de modelos de inteligência artificial

Parte do conteúdo editorial do site (artigos, análises de fundos, traduções, narrações) é produzida com apoio de modelos de IA sob revisão de critérios automáticos e humanos. Isso não envolve dado pessoal de ninguém.

Há, porém, situações em que dado seu pode ser processado por um modelo de IA de terceiro (hoje, modelos da Anthropic e do Google):

• Análise da sua carteira e recomendação de aporte, quando você pede: o conteúdo da carteira e o perfil que você preencheu são enviados ao modelo para gerar o texto. Sem o seu pedido, nada é enviado;
• Moderação e classificação do que é publicado — detectar spam e ofensa, e avaliar a relevância de uma contribuição (a nota do item 5.1);
• Diagnóstico de um problema que você relatou pelo botão "Contribua", incluindo a imagem que você anexou;
• Resposta pública a uma correção que você apontou em conteúdo nosso: o seu comentário é analisado para apurar o erro e redigir a resposta e a errata;
• Produção do conteúdo do site a partir do que é publicado em área pública da comunidade.

Nenhum desses processamentos decide sobre crédito, preço, acesso à sua conta ou qualquer coisa com efeito jurídico sobre você. Dois deles, porém, afetam o que você publicou: a moderação automatizada pode ocultar ou editar um trecho que viole as regras, e a avaliação de relevância pode manter uma contribuição fora das listagens — em ambos os casos sem aviso prévio. Por isso garantimos o direito do art. 20 da LGPD de forma expressa: você pode pedir revisão humana e a explicação dos critérios de qualquer resultado automatizado que te afete, pelo canal do item 16, e nós reavaliamos.

Nós não vendemos, alugamos nem cedemos os seus dados para treinar modelos de IA de terceiros, e não usamos o conteúdo da sua carteira para treinar modelo nenhum.

6. Com quem compartilhamos

Não vendemos dados pessoais. Compartilhamos apenas com quem é necessário para o site funcionar — cada um recebe só o mínimo do seu trabalho — e com autoridades, quando a lei obriga.

Não usamos Meta/Facebook Pixel, TikTok Pixel, redes de anúncio, plataformas de data broker nem ferramentas de gravação de sessão.

7. Transferência internacional

Vários dos prestadores acima operam servidores fora do Brasil. Ao usar o site, seus dados podem ser processados no exterior. Fazemos isso com apoio no art. 33 da LGPD, escolhendo prestadores que ofereçam garantias contratuais e técnicas adequadas (cláusulas-padrão contratuais, certificações e compromissos públicos de conformidade), e limitando o dado enviado ao mínimo necessário para cada serviço.

8. Por quanto tempo guardamos

9. Segurança da informação

• Todo o tráfego é criptografado por HTTPS/TLS;
• A autenticação é delegada ao Google — não existe senha nossa para vazar;
• Os cookies de sessão são assinados criptograficamente e marcados como HttpOnly, Secure e SameSite, o que impede que scripts os leiam;
• O token da extensão é guardado como hash no servidor;
• O IP guardado nas estatísticas de navegação e busca é embaralhado (hash com sal);
• Cabeçalhos de segurança na borda (CSP, HSTS, anti-clickjacking), limite de requisições por origem e painéis administrativos fechados à internet pública;
• Acesso ao banco restrito ao mínimo necessário.

No aplicativo Android, que é o próprio site dentro de um app, o login é entregue ao app por um token de sessão guardado apenas enquanto o app está aberto.

Nenhum sistema é imune. Se acontecer um incidente com risco relevante para você, aplicamos o item 14.

10. Seus direitos e como exercer

A LGPD (art. 18) te dá, de graça e a qualquer momento, o direito de:

• Confirmar se tratamos dados seus e acessar esses dados;
• Corrigir dado incompleto, inexato ou desatualizado;
• Anonimizar, bloquear ou eliminar dado desnecessário, excessivo ou tratado fora da lei;
• Pedir a portabilidade a outro fornecedor;
• Eliminar os dados tratados com base no seu consentimento;
• Saber com quem compartilhamos os seus dados;
• Revogar o consentimento e se opor a tratamento feito com outra base legal;
• Pedir revisão de decisão automatizada (item 5);
• Peticionar à ANPD (gov.br/anpd).

Como pedir, na prática

Escreva para galera.org@gmail.com com o assunto "LGPD — [o que você quer]", a partir do mesmo e-mail da sua conta Google (é assim que confirmamos que é você). Respondemos em até 15 dias.

Excluir a conta: peça pelo mesmo canal. A exclusão roda por um procedimento que varre o banco inteiro e apaga toda linha ligada à sua conta — cadastro, carteira, bens, dívidas, transações importadas, favoritos, alertas, preferências, inscrições de notificação, perfil de interesses, reputação e o que você publicou em área pública. Permanecem apenas: o registro do seu descadastro de e-mail (justamente para não voltarmos a te escrever), os registros de acesso do servidor enquanto existirem, e o que a lei obrigue a manter ou o que for necessário para defesa em processo.

Você também pode, sozinho e a qualquer momento, dentro do site: apagar comentários, mensagens, lançamentos, ativos, bens, dívidas, transações, alertas e favoritos; desligar categorias de notificação; e se descadastrar dos e-mails pelo link no rodapé de cada campanha. Uma ressalva honesta: apagar um comentário o retira imediatamente da exibição, mas o registro continua no banco por controle de abuso — e sai de vez quando você exclui a conta.

11. Cookies e armazenamento no navegador

Usamos cookies para manter você logado, lembrar o idioma e proteger o login contra fraude, além de armazenamento local para preferências e para a medição de audiência. Não usamos cookies de publicidade. A lista completa, item por item, com duração e como desligar, está na Política de Cookies.

12. Crianças e adolescentes

O Rico aos Poucos não se destina a menores de 18 anos e não coleta intencionalmente dados de crianças e adolescentes. Não há conteúdo dirigido a esse público. Se um menor tiver criado conta, o responsável legal pode escrever para galera.org@gmail.com e nós excluiremos a conta e os dados.

13. Conteúdo e links de terceiros

O site linka e incorpora conteúdo de terceiros (B3, CVM, FNET, portais de notícia, YouTube, redes sociais). Ao clicar ou dar play, você passa a ser regido pela política de privacidade daquele terceiro, sobre a qual não temos controle. Recomendamos lê-las.

14. Incidente de segurança

Se ocorrer incidente de segurança que possa acarretar risco ou dano relevante a você, comunicaremos você e a Autoridade Nacional de Proteção de Dados (ANPD) em prazo razoável, informando a natureza do incidente, os dados envolvidos, as medidas tomadas e o que você pode fazer para se proteger, conforme o art. 48 da LGPD.

15. Alterações nesta Política

Esta Política pode mudar quando o site mudar, quando a lei mudar ou quando trocarmos de prestador. A data e o número da versão no topo sempre indicam o que está em vigor. Mudança relevante é anunciada com destaque no site e, quando afetar tratamento baseado em consentimento, pedimos o seu consentimento de novo. O uso continuado após a publicação significa que você está ciente da versão vigente.

16. Contato e Encarregado (DPO)

O responsável pelo projeto acumula a função de Encarregado pelo Tratamento de Dados Pessoais (art. 41 da LGPD). Fale com ele:

• E-mail: galera.org@gmail.com
• Assunto sugerido: "LGPD — [seu pedido]"
• Prazo de resposta: até 15 dias

Esta Política é regida pela legislação brasileira, foi redigida em português e, em caso de divergência com as traduções para outros idiomas, a versão em português prevalece. Fica eleito o foro da comarca do domicílio do controlador, salvo se o titular for consumidor, hipótese em que prevalece o foro do seu domicílio.