Segurança

O Manio se conecta ao seu banco através do Open Finance Brasil, o sistema oficial de compartilhamento de dados regulado pelo Banco Central do Brasil sob a Resolução Conjunta CMN/BCB nº 1/2020. Quando você conecta uma conta bancária, você autoriza a conexão diretamente no app ou site do seu banco. O Manio nunca vê sua senha bancária ou credenciais de acesso. O consentimento do Open Finance é granular e revogável. Você escolhe quais contas compartilhar e pode revogar o acesso a qualquer momento pelo app do seu banco. O consentimento tem prazo limitado e precisa ser renovado periodicamente. A cadeia de integração funciona assim. O Manio usa a POLP como camada de integração, e a POLP roteia as conexões reguladas com os bancos através da Pluggy Brasil Instituição de Pagamento LTDA. (CNPJ 37.943.755/0001-30). A Pluggy é uma Iniciadora de Transação de Pagamento (ITP) autorizada pelo Banco Central do Brasil sob a Resolução BCB nº 80/2021 e está listada no diretório oficial de participantes do Open Finance Brasil. Você verá o nome da Pluggy na tela de autorização do seu banco quando conceder o consentimento. É essa instituição autorizada pelo Banco Central que recebe a sua autorização.

Cada valor sensível armazenado em nosso banco de dados é criptografado usando AES-256-GCM, um padrão de criptografia autenticada usado por instituições financeiras no mundo todo. Isso inclui: • Tokens OAuth do YNAB, Google Sheets e Notion • Números de contas bancárias • Descrições de transações • Tokens de atualização de todos os serviços conectados Cada valor criptografado usa um vetor de inicialização (IV) aleatório único e inclui uma tag de autenticação para prevenir adulteração. As chaves de criptografia são armazenadas separadamente do banco de dados e nunca são expostas em logs da aplicação ou mensagens de erro.

O Manio solicita acesso somente leitura aos seus dados bancários através do Open Finance. Isso significa que podemos ver suas transações e saldos, mas não podemos iniciar transferências, pagamentos ou qualquer outra operação financeira. O mesmo princípio se aplica aos seus destinos conectados. Para o Google Sheets, solicitamos a permissão mínima (drive.file), que permite acesso apenas às planilhas que você seleciona explicitamente ou que o Manio cria. Não temos acesso a outros arquivos no seu Google Drive. Para o YNAB, usamos OAuth limitado a ler orçamentos e criar transações nas contas que você selecionar. O Manio é listado no diretório oficial de aplicativos do YNAB como integração aprovada.

As senhas dos usuários são hasheadas com bcrypt usando fator de custo que atende as recomendações atuais da OWASP. Senhas em texto puro nunca são armazenadas. Todos os endpoints da API exigem autenticação baseada em sessão. Cada rota que acessa dados do usuário verifica a sessão e limita todas as consultas ao ID do usuário autenticado, impedindo acesso cruzado entre contas. Os endpoints possuem rate limiting para prevenir abuso. Todas as entradas de usuário são validadas com schemas rígidos para prevenir ataques de injeção.

O Manio é hospedado na Vercel e usa HTTPS para todas as conexões. Headers de segurança são aplicados em cada resposta: • HSTS (Strict-Transport-Security) com max-age de dois anos, incluindo subdomínios • Content Security Policy (CSP) restringindo fontes de scripts, estilos e conexões • X-Frame-Options: DENY para prevenir clickjacking • X-Content-Type-Options: nosniff • Referrer-Policy: strict-origin-when-cross-origin Respostas de erro são sanitizadas para evitar vazamento de detalhes internos, tokens ou informações pessoais identificáveis para o cliente.

Você pode excluir sua conta a qualquer momento nas configurações do seu perfil. Quando você exclui sua conta, o Manio: • Desconecta todas as conexões bancárias através do provedor de Open Finance • Revoga todos os tokens OAuth armazenados • Remove suas sessões e dados de autenticação • Exclui os dados da sua conta do nosso banco de dados Você também pode revogar o consentimento do Open Finance a qualquer momento diretamente pelo app do seu banco, independentemente do Manio. Pagamentos são processados pelo Stripe. Não armazenamos números de cartão de crédito ou dados de pagamento em nossos servidores.