Política de Privacidade

1. Dois papéis diferentes, e a diferença importa

A plataforma trata dois conjuntos de dados que não se confundem:

• Dados de quem contrata o NotaOne — a empresa assinante e as pessoas que a operam. Aqui somos controladores: decidimos as finalidades e respondemos diretamente ao titular.
• Dados dos clientes (tomadores) cadastrados pela empresa — nome, CNPJ/CPF e endereço de quem recebe a nota. Aqui a empresa assinante é a controladora e nós somos operadores: só tratamos esses dados para emitir a nota que ela pediu, seguindo as instruções dela.

Se você recebeu uma nota fiscal e quer exercer direitos sobre os seus dados, o pedido deve ir primeiro ao prestador de serviço que emitiu a nota. Podemos ajudá-lo a localizá-lo.

2. Que dados tratamos

• Conta de acesso: nome, e-mail e senha (guardada apenas como hash pelo nosso provedor de autenticação — nunca vemos a senha).
• Empresa: razão social, nome fantasia, CNPJ ou CPF, inscrição municipal, endereço, telefone e e-mail.
• Certificado digital A1: o arquivo e a senha, ambos cifrados no nosso cofre. São usados exclusivamente para assinar e transmitir as suas notas à Sefin Nacional, e decifrados apenas em memória, no momento da transmissão.
• Clientes (tomadores): nome, CNPJ/CPF, inscrição municipal, endereço, e-mail e telefone — os dados que a legislação exige no documento fiscal.
• Notas fiscais: valores, descrição do serviço, tributos e o XML assinado, que é o documento com valor fiscal.
• WhatsApp (quando ativado): o número autorizado, o nome do responsável, e o conteúdo das mensagens trocadas com o assistente de emissão.
• Pedidos de contato: nome, empresa, CNPJ, e-mail e telefone de quem preenche o formulário do site.
• Registros técnicos: data, hora, endereço IP e ação realizada, para auditoria e segurança.

3. Para que usamos, e com qual base legal

• Emitir, cancelar e arquivar notas fiscais — execução do contrato (art. 7º, V) e cumprimento de obrigação legal e regulatória (art. 7º, II). A emissão de NFS-e é uma obrigação fiscal; os dados exigidos pelo leiaute nacional não são opcionais.
• Dar acesso à plataforma e suporte — execução do contrato.
• Responder pelo WhatsApp e conduzir a emissão por mensagem — execução do contrato, a partir do momento em que a empresa cadastra e ativa um número.
• Segurança, auditoria e prevenção a fraude — legítimo interesse (art. 7º, IX), com registro de quem fez o quê dentro da conta.
• Entrar em contato com quem pede uma demonstração — procedimentos preliminares de contrato (art. 7º, V).

Não vendemos dados pessoais, não os usamos para publicidade de terceiros e não fazemos perfilamento para decisões automatizadas que afetem o titular.

4. Com quem compartilhamos

• Sefin Nacional e prefeituras — destino obrigatório da nota fiscal. É o compartilhamento que dá sentido ao serviço, e ele é determinado por lei.
• Supabase — banco de dados e armazenamento de arquivos, em servidores no Brasil (região sa-east-1).
• Vercel — hospedagem da aplicação web, com execução em servidores no Brasil (região gru1).
• Anthropic — o modelo de inteligência artificial que conduz a conversa do WhatsApp. Recebe o conteúdo da conversa e os dados necessários para montar a nota. Fica nos Estados Unidos; veja a seção seguinte.
• Meta (WhatsApp) — transporte das mensagens, quando a empresa usa o canal. Aplica-se também a política de privacidade da Meta.

5. Transferência internacional

O assistente do WhatsApp é operado pela Anthropic, nos Estados Unidos. Isso significa que, somente quando a empresa ativa o canal de WhatsApp, o conteúdo daquelas conversas — que pode incluir o nome do tomador e o valor do serviço — é transferido para fora do Brasil, com base no art. 33 da LGPD e nas garantias contratuais firmadas com o fornecedor.

Quem não usa o WhatsApp não tem dados enviados para fora do país. A emissão pela tela, o armazenamento e a transmissão à Sefin acontecem inteiramente em servidores no Brasil.

6. Por quanto tempo guardamos

• Notas fiscais e seus XMLs: pelo prazo exigido pela legislação tributária, de no mínimo 5 anos. Documento fiscal não se apaga a pedido — nem nosso, nem do cliente.
• Certificado digital: até a substituição, o vencimento ou o pedido de remoção, o que vier primeiro.
• Conversas de WhatsApp: enquanto a conta estiver ativa, como registro de quem pediu o quê. São a prova de que uma emissão foi solicitada.
• Registros de auditoria: 5 anos.
• Pedidos de contato não convertidos: até 2 anos.

7. Segurança

• Isolamento por empresa aplicado no banco de dados, e não apenas na aplicação: uma consulta feita em nome de uma empresa não alcança dados de outra.
• Certificado digital e respectiva senha cifrados em repouso, com acesso restrito ao processo que transmite as notas.
• Tráfego cifrado (HTTPS) e comunicação com a Sefin por mTLS com o seu certificado.
• Registro de auditoria de quem acessou e alterou o quê, gravado por um caminho que o próprio usuário auditado não consegue apagar.

Nenhum sistema é imune. Se ocorrer um incidente de segurança com risco relevante aos titulares, comunicaremos os afetados e a ANPD nos prazos da lei.

8. Seus direitos

A LGPD garante a você confirmação do tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários, portabilidade, informação sobre compartilhamentos e revogação de consentimento. Para exercê-los, escreva para apicefinance@gmail.com.

Um limite honesto: não podemos apagar notas fiscais já emitidas, porque a guarda delas é obrigação legal nossa e do emitente. O que podemos é encerrar a conta, interromper novos tratamentos e eliminar o que não estiver sob essa obrigação.

9. Cookies

Usamos apenas cookies necessários ao funcionamento: manter você autenticado e lembrar a empresa em que está trabalhando. Não usamos cookies de publicidade nem rastreamento de terceiros para marketing.

10. Encarregado e contato

Para qualquer assunto relativo a dados pessoais, incluindo o contato com o encarregado (DPO): apicefinance@gmail.com.

11. Mudanças nesta política

Quando esta política mudar, a data de atualização no topo muda junto. Alterações que afetem materialmente o tratamento dos seus dados serão avisadas dentro da plataforma antes de entrar em vigor.