Privacy Policy
Last updated: 13 August 2026
The short version
- Receipt photos on your personal transactions stay on your iPhone. Photos on transactions in a family group are stored in your account so the other members can see them, and you can choose to back up your personal ones too. Only the text read from a receipt may be sent for AI parsing — and with Apple's on-device model, not even that.
- We don't sell your data, and there are no ads or advertising trackers in Cashflow.
- Your transactions live in your own account on Google Firebase, readable only by you and by members of any family group you deliberately join.
- Ask us for a copy of your data any time and it is yours, free, whatever plan you are on.
- Want your account and all its data erased? Do it yourself in the app, under Profile → Delete Account.
1. Who is responsible for your data
Cashflow ("the app") is developed and operated by Fabricio Stein, an independent developer, acting as the data controller. You can reach us at cashflow.expenses.app@gmail.com.
2. What we collect, and why
Account information
Your email address and display name, plus a profile photo if you choose to add one. This is collected when you create an account with an email and password, or when you sign in with Google or with Apple. If you use Sign in with Apple and choose to hide your email address, we only ever receive Apple's private relay address — not your real one. We use this to identify your account, secure it, and show your name to other members of a family group.
Your financial records
The transactions you enter, import, or scan: amount, currency, date, category, description, notes, recurrence settings, and any individual line items extracted from a receipt. Also your budgets and which family group a transaction belongs to. This is the app — it exists so you can see it back on any device you sign in from.
Receipt images
When you scan a receipt, the image is compressed and archived in the app's private storage on your own iPhone. It is never sent to any AI provider — only the text read from it may be, and only as described in section 4.
Whether a copy is also stored in your account depends on the transaction:
- Transactions in a family group: the compressed image is stored in your account so the group's other members can see the receipt on their own devices. Sharing the receipt is the point of sharing the transaction.
- Your personal transactions: the image stays on this iPhone only. You can turn on Back up my receipts in Profile to store copies in your account as well, so you can restore them on a new iPhone or after reinstalling. It is off unless you turn it on.
Storing receipt images in your account requires a paid plan. Without one, receipts stay on your device exactly as before. Stored copies live in Google Firebase Storage under the same terms as the rest of your data, readable only by you and by the members of the family group the transaction belongs to.
Deleting the transaction deletes the image — both the copy on your device and any copy stored in your account.
Device and session data
To keep your account secure, Cashflow records a session identifier for the device you signed in on, so that only one device can be signed into an account at a time. Signing in elsewhere signs the previous device out.
Diagnostics and usage
We use Google Firebase Analytics to understand which screens are used and where the app runs into errors. These events are associated with your account identifier. They record app behaviour — screens opened, features used, errors encountered — not the content of your transactions.
Purchases
In-app purchases are handled entirely by Apple. We never see your payment details. We only record whether your account currently has an active entitlement.
3. Where your data is stored
Account records, transactions, and profile photos are stored using Google Firebase (Firebase Authentication, Cloud Firestore, and Cloud Storage), which runs on Google Cloud infrastructure. Google processes this data on our behalf as a service provider, under Google's own security and privacy commitments. This means your data may be stored and processed in the United States and in other countries where Google operates.
Access is restricted by server-side security rules: your personal records are readable only by your account, and group records only by the members of that group.
4. AI receipt scanning — read this one
This is the only part of Cashflow where your information may reach a third party, so it's worth being precise.
When you scan a receipt, the app reads the text from the image on your device using Apple's Vision framework. That extracted text is then interpreted to fill in the transaction form. What happens at that second step depends on which AI provider you have selected:
- Apple Foundation Models (on-device) — the default where supported. The text is processed by a model running on your iPhone. Nothing leaves your device at all.
- A remote provider — the extracted text (never the image) is sent to the provider you selected in order to be parsed. Supported providers currently include Google (Gemini), Anthropic, OpenAI, Groq, NVIDIA, and Together AI.
What this text can contain: the merchant's name, the date, the total, the payment method, and the individual items you bought. If you would rather none of that reach a third party, use the on-device Apple model, or simply enter transactions manually.
You may supply your own API key for a provider, in which case that request runs under your own account with that provider and is governed by your agreement with them. Your key is stored in the iOS Keychain on your device and is never transmitted to us. If you instead use the app's free scanning allowance, the request is made using our key, and the provider's own privacy terms apply to the text sent.
We do not use your receipts, transactions, or any other content you enter to train AI models.
5. Family and group sharing
Cashflow lets you share a budget with other people. When you join a group, your display name and every transaction you record in that group become visible to the other members of that group. This is the purpose of the feature, but it is worth stating plainly. Leaving a group does not retroactively remove transactions you already recorded in it — they remain part of that group's shared history.
6. Currency conversion
To convert between currencies, the app requests published exchange rates from the public Frankfurter service. Only currency codes are sent. No personal or financial information is included in these requests.
7. What we don't do
- We do not sell, rent, or trade your personal information to anyone.
- There are no advertising networks, ad SDKs, or data brokers in Cashflow.
- We do not build advertising or marketing profiles about you.
- We do not share your financial records with third parties, except the AI processing described in section 4 and the infrastructure providers in section 3.
8. Your rights and how to use them
You can edit or delete any individual record yourself, at any time, from inside the app.
Depending on where you live, you may also have the right to access, correct, export, restrict, or delete the personal data we hold about you, and to object to certain processing. Users in Brazil have these rights under the LGPD; users in the European Economic Area and the UK under the GDPR.
Getting a copy of your data is always free. Email us and we will send you a machine-readable copy of everything we hold, at no cost, whatever plan you are on. The app also offers CSV export as a convenience; that feature may require a paid plan, but your right to a copy of your data never depends on paying for anything.
You can delete your account yourself, from inside the app: go to Profile → Delete Account. This permanently removes your account, your personal transactions, your profile photo, the receipt images archived on your device, and any copies of your personal receipts stored in your account. It cannot be undone.
Receipt images on transactions inside a shared family group may remain stored and visible to that group's other members, for the same reason the transactions themselves do — see the note below.
To request access to your data, or if you would rather we handled the deletion for you, email cashflow.expenses.app@gmail.com from the address associated with your account. We will action the request and reply within 30 days.
Please note that transactions you have recorded inside a shared family group may remain visible to that group's other members, since those records also form part of their financial history.
9. How long we keep your data
We keep your account and its records for as long as your account exists. When you ask us to delete your account, we remove your account record, your transactions, and your profile photo. Backups held by our infrastructure provider are rotated out within 30 days.
Receipt images stored in your account are kept for 90 days after a paid plan ends, and are then deleted. The copies on your own device are not touched — they stay there until you delete the transaction.
10. Children
Cashflow is not directed to children under 13, and we do not knowingly collect personal information from them. If you believe a child has provided us with personal data, contact us and we will delete it.
11. Security
Data is encrypted in transit (TLS) and at rest by our infrastructure provider. Server-side security rules restrict every record to the account or group that owns it. Any AI provider keys you enter are held in the iOS Keychain. You can additionally require Face ID or Touch ID to open the app, which also masks its contents in the iOS app switcher.
No system is perfectly secure, but if a breach affecting your personal data occurs, we will notify affected users and the relevant authorities as required by law.
12. Changes to this policy
If we change how we handle your data, we will update this page and revise the date at the top. Significant changes will also be announced in the app.
13. Contact
Questions, requests, or complaints: cashflow.expenses.app@gmail.com.
Política de Privacidade
Última atualização: 13 de agosto de 2026
Em resumo
- As fotos de recibos das suas transações pessoais ficam no seu iPhone. As fotos de transações em um grupo familiar são guardadas na sua conta para que os outros membros possam vê-las, e você pode optar por fazer backup das pessoais também. Somente o texto lido de um recibo pode ser enviado para interpretação por IA — e, com o modelo da Apple no próprio aparelho, nem isso.
- Não vendemos os seus dados, e o Cashflow não tem anúncios nem rastreadores de publicidade.
- Suas transações ficam na sua própria conta no Google Firebase, visíveis apenas para você e para os membros de um grupo familiar do qual você tenha decidido participar.
- Peça uma cópia dos seus dados quando quiser: ela é sua, de graça, em qualquer plano.
- Quer apagar sua conta e todos os dados? Você mesmo pode fazer isso no app, em Perfil → Excluir conta.
1. Quem é responsável pelos seus dados
O Cashflow ("o app") é desenvolvido e operado por Fabricio Stein, desenvolvedor independente, na condição de controlador dos dados. Contato: cashflow.expenses.app@gmail.com.
2. O que coletamos, e por quê
Informações da conta
Seu endereço de e-mail e nome de exibição, além de uma foto de perfil, caso você queira adicionar uma. Esses dados são coletados quando você cria uma conta com e-mail e senha, ou quando entra com Google ou com Apple. Se você usar o Login com Apple e optar por ocultar seu e-mail, recebemos apenas o endereço de retransmissão privada da Apple — nunca o seu e-mail real. Usamos esses dados para identificar e proteger sua conta e para exibir seu nome aos demais membros de um grupo familiar.
Seus registros financeiros
As transações que você registra, importa ou digitaliza: valor, moeda, data, categoria, descrição, observações, configurações de recorrência e os itens individuais extraídos de um recibo. Também seus orçamentos e o grupo familiar ao qual cada transação pertence. Isso é o app — esses dados existem para que você os veja de volta em qualquer aparelho no qual entrar na sua conta.
Imagens de recibos
Ao digitalizar um recibo, a imagem é comprimida e arquivada no armazenamento privado do app, dentro do seu próprio iPhone. Ela nunca é enviada a qualquer provedor de IA — somente o texto lido dela pode ser, e apenas conforme descrito na seção 4.
Se uma cópia também é guardada na sua conta depende da transação:
- Transações em um grupo familiar: a imagem comprimida é guardada na sua conta para que os outros membros do grupo vejam o recibo nos aparelhos deles. Compartilhar o recibo é justamente o sentido de compartilhar a transação.
- Suas transações pessoais: a imagem fica somente neste iPhone. Você pode ativar Fazer backup dos meus recibos no Perfil para guardar cópias na sua conta também, e assim restaurá-las em um iPhone novo ou depois de reinstalar o app. A opção fica desativada até que você a ative.
Guardar imagens de recibos na sua conta exige um plano pago. Sem ele, os recibos permanecem no seu aparelho exatamente como antes. As cópias guardadas ficam no Google Firebase Storage, sob os mesmos termos do restante dos seus dados, legíveis apenas por você e pelos membros do grupo familiar ao qual a transação pertence.
Excluir a transação exclui a imagem — tanto a cópia no seu aparelho quanto qualquer cópia guardada na sua conta.
Dados de dispositivo e sessão
Para proteger sua conta, o Cashflow registra um identificador de sessão do aparelho em que você entrou, de modo que apenas um dispositivo por vez fique conectado à conta. Entrar em outro aparelho desconecta o anterior.
Diagnóstico e uso
Usamos o Google Firebase Analytics para entender quais telas são usadas e onde o app encontra erros. Esses eventos são associados ao identificador da sua conta. Eles registram o comportamento do app — telas abertas, recursos usados, erros encontrados — e não o conteúdo das suas transações.
Compras
As compras dentro do app são processadas inteiramente pela Apple. Nunca temos acesso aos seus dados de pagamento. Registramos apenas se a sua conta possui atualmente um direito de acesso ativo.
3. Onde seus dados ficam armazenados
Registros de conta, transações e fotos de perfil são armazenados no Google Firebase (Firebase Authentication, Cloud Firestore e Cloud Storage), executado na infraestrutura do Google Cloud. O Google processa esses dados em nosso nome, como prestador de serviço, sob seus próprios compromissos de segurança e privacidade. Isso significa que seus dados podem ser armazenados e processados nos Estados Unidos e em outros países onde o Google opera.
O acesso é restringido por regras de segurança no servidor: seus registros pessoais são legíveis somente pela sua conta, e os registros de grupo somente pelos membros daquele grupo.
4. Digitalização de recibos com IA — leia esta parte
Esta é a única parte do Cashflow em que suas informações podem chegar a terceiros, então vale ser preciso.
Ao digitalizar um recibo, o app lê o texto da imagem no seu próprio aparelho, usando o framework Vision da Apple. Esse texto extraído é então interpretado para preencher o formulário da transação. O que acontece nessa segunda etapa depende do provedor de IA selecionado:
- Apple Foundation Models (no aparelho) — o padrão onde houver suporte. O texto é processado por um modelo executado no seu iPhone. Nada sai do seu aparelho.
- Um provedor remoto — o texto extraído (nunca a imagem) é enviado ao provedor que você selecionou para ser interpretado. Os provedores atualmente suportados incluem Google (Gemini), Anthropic, OpenAI, Groq, NVIDIA e Together AI.
O que esse texto pode conter: o nome do estabelecimento, a data, o total, a forma de pagamento e os itens que você comprou. Se você preferir que nada disso chegue a terceiros, use o modelo da Apple no aparelho, ou simplesmente registre as transações manualmente.
Você pode fornecer sua própria chave de API de um provedor; nesse caso, a requisição é feita na sua própria conta junto àquele provedor e é regida pelo seu contrato com ele. Sua chave é armazenada no Keychain do iOS, no seu aparelho, e nunca é transmitida para nós. Se, em vez disso, você usar a cota gratuita de digitalizações do app, a requisição é feita com a nossa chave, e os termos de privacidade do provedor se aplicam ao texto enviado.
Não usamos seus recibos, transações ou qualquer outro conteúdo que você insira para treinar modelos de IA.
5. Compartilhamento com família e grupos
O Cashflow permite dividir um orçamento com outras pessoas. Ao entrar em um grupo, seu nome de exibição e todas as transações que você registrar naquele grupo passam a ser visíveis aos demais membros. Essa é a finalidade do recurso, mas vale dizer com clareza. Sair de um grupo não remove retroativamente as transações que você já registrou nele — elas continuam fazendo parte do histórico compartilhado daquele grupo.
6. Conversão de moedas
Para converter entre moedas, o app consulta taxas de câmbio publicadas pelo serviço público Frankfurter. Somente códigos de moeda são enviados. Nenhuma informação pessoal ou financeira é incluída nessas requisições.
7. O que não fazemos
- Não vendemos, alugamos nem negociamos suas informações pessoais com ninguém.
- Não há redes de anúncios, SDKs de publicidade ou corretores de dados no Cashflow.
- Não criamos perfis de publicidade ou de marketing sobre você.
- Não compartilhamos seus registros financeiros com terceiros, exceto pelo processamento de IA descrito na seção 4 e pelos provedores de infraestrutura da seção 3.
8. Seus direitos e como exercê-los
Você pode editar ou excluir qualquer registro individual por conta própria, quando quiser, dentro do app.
Dependendo de onde você mora, você também tem o direito de acessar, corrigir, exportar, restringir ou excluir os dados pessoais que mantemos sobre você, e de se opor a determinados tratamentos. Usuários no Brasil têm esses direitos pela LGPD; usuários no Espaço Econômico Europeu e no Reino Unido, pelo GDPR.
Receber uma cópia dos seus dados é sempre gratuito. Escreva para a gente e enviamos uma cópia legível por máquina de tudo o que guardamos, sem custo, em qualquer plano. O app também oferece exportação em CSV por conveniência; esse recurso pode exigir um plano pago, mas o seu direito de obter uma cópia dos seus dados nunca depende de pagar por nada.
Você pode excluir sua conta por conta própria, dentro do app: vá em Perfil → Excluir conta. Isso remove permanentemente sua conta, suas transações pessoais, sua foto de perfil, as imagens de recibos arquivadas no seu aparelho e quaisquer cópias dos seus recibos pessoais guardadas na sua conta. A ação não pode ser desfeita.
As imagens de recibos em transações dentro de um grupo familiar compartilhado podem permanecer guardadas e visíveis aos demais membros daquele grupo, pelo mesmo motivo que as próprias transações — veja a observação abaixo.
Para solicitar acesso aos seus dados, ou caso prefira que nós façamos a exclusão para você, escreva para cashflow.expenses.app@gmail.com a partir do endereço associado à sua conta. Atenderemos e responderemos em até 30 dias.
Observe que transações registradas por você dentro de um grupo familiar compartilhado podem permanecer visíveis aos demais membros daquele grupo, já que esses registros também fazem parte do histórico financeiro deles.
9. Por quanto tempo guardamos seus dados
Mantemos sua conta e seus registros enquanto sua conta existir. Quando você pedir a exclusão da conta, removemos o registro da conta, suas transações e sua foto de perfil. Os backups mantidos pelo nosso provedor de infraestrutura são rotacionados em até 30 dias.
As imagens de recibos guardadas na sua conta são mantidas por 90 dias após o fim de um plano pago e depois excluídas. As cópias no seu próprio aparelho não são afetadas — elas permanecem lá até você excluir a transação.
10. Crianças
O Cashflow não é direcionado a crianças menores de 13 anos, e não coletamos intencionalmente informações pessoais delas. Se você acredita que uma criança nos forneceu dados pessoais, entre em contato e faremos a exclusão.
11. Segurança
Os dados são criptografados em trânsito (TLS) e em repouso pelo nosso provedor de infraestrutura. Regras de segurança no servidor restringem cada registro à conta ou ao grupo que o possui. Quaisquer chaves de provedores de IA que você inserir ficam no Keychain do iOS. Você também pode exigir Face ID ou Touch ID para abrir o app, o que igualmente oculta o conteúdo dele no alternador de apps do iOS.
Nenhum sistema é perfeitamente seguro, mas, caso ocorra uma violação que afete seus dados pessoais, notificaremos os usuários afetados e as autoridades competentes conforme exigido por lei.
12. Alterações nesta política
Se mudarmos a forma como tratamos seus dados, atualizaremos esta página e a data no topo. Mudanças significativas também serão anunciadas no app.
13. Contato
Dúvidas, solicitações ou reclamações: cashflow.expenses.app@gmail.com.