Política de Privacidade

1.Introdução e controlador

Esta Política explica como o NotaFácil (appnotafacil.com.br) coleta, usa, compartilha e protege dados pessoais, em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD, Lei 13.709/2018). Em relação aos dados da conta do Usuário, o NotaFácil atua como controlador. Em relação aos dados de tomadores, destinatários e intermediários que o Usuário insere nas notas, o NotaFácil atua como operador, tratando-os em nome do Usuário, que é o controlador.

2.Dados que tratamos

• Conta: e-mail, senha (guardada pelo provedor de autenticação, de forma protegida), data de cadastro e de aceite destes documentos.
• Perfil fiscal: CNPJ, razão social, inscrição municipal, endereço, telefone e e-mail da empresa, regime tributário, códigos de serviço e parâmetros de tributação.
• Notas fiscais: dados dos tomadores e terceiros (CPF/CNPJ ou NIF, nome, endereço, telefone e e-mail), descrição, valores, tributos, XML e chave de acesso das notas.
• Certificado Digital A1: o arquivo e a senha, armazenados cifrados (ver seção de segurança), e seus dados públicos (titular, CNPJ, emissor e validade).
• Assinatura: plano, status, identificadores do cliente e da assinatura na Stripe e a franquia usada no mês. O número completo do cartão e o código de segurança nunca são armazenados pelo NotaFácil.
• Suporte: mensagens de sugestão ou problema enviadas pelo Usuário, com o e-mail e a página de origem.

3.Finalidades e bases legais

• Prestar o serviço contratado (criar a conta, emitir, assinar, transmitir, armazenar e exportar notas): execução de contrato (art. 7º, V).
• Transmitir as NFS-e ao governo e manter os registros fiscais: cumprimento de obrigação legal ou regulatória (art. 7º, II).
• Cobrar as assinaturas: execução de contrato (art. 7º, V).
• Segurança, prevenção a fraudes e melhoria da Plataforma: legítimo interesse (art. 7º, IX), respeitados os direitos do titular.
• Defesa em processos e exercício regular de direitos: art. 7º, VI.

4.Com quem os dados são compartilhados

O NotaFácil não vende dados pessoais. O compartilhamento ocorre apenas com os parceiros abaixo, na medida necessária para cada finalidade:

Dados também podem ser fornecidos a autoridades públicas quando houver obrigação legal ou ordem judicial.

5.Transmissão de notas ao governo

Nos modos de homologação e produção, a DPS é assinada com o Certificado A1 do Usuário e enviada à Sefin Nacional por conexão segura com autenticação mútua (mTLS). Os dados da nota (prestador, tomador, serviço e tributos) passam a integrar o Sistema Nacional NFS-e, sob responsabilidade dos órgãos públicos, nos termos da legislação tributária. No modo de simulação, nada é enviado ao governo.

6.Transferência internacional

Alguns parceiros (como Stripe, Supabase, Vercel e GitHub) podem processar dados em servidores fora do Brasil. Essas transferências ocorrem para a execução do contrato e com fornecedores que adotam garantias de proteção compatíveis com a LGPD (art. 33).

7.Segurança da informação

• Toda a comunicação usa conexão segura (HTTPS). Cada conta só acessa os próprios dados, por regras de segurança aplicadas no banco de dados.
• O Certificado Digital A1 e sua senha são cifrados com AES-256-GCM antes de serem gravados, vinculados à conta do Usuário, e só são abertos no servidor, em memória, no momento de assinar uma nota. A chave privada e a senha nunca são devolvidas ao navegador.
• Dados de cartão são tratados diretamente pela Stripe, certificada no padrão de segurança PCI DSS.
• A importação de notas anteriores (XML ou PDF) é processada no próprio navegador: o arquivo não é enviado aos servidores do NotaFácil.
• O preenchimento por voz usa o reconhecimento de fala do navegador do Usuário; dependendo do navegador, o áudio pode ser processado pelo fornecedor do navegador (por exemplo, Google ou Microsoft).

8.Cookies e armazenamento no navegador

O NotaFácil não usa cookies de publicidade nem de rastreamento de terceiros. O navegador guarda apenas o necessário para o funcionamento: a sessão de login, o tema (claro ou escuro), o CNPJ ativo, a conclusão do tutorial e caches de consulta (municípios do IBGE e CNPJs já pesquisados).

9.Retenção e exclusão

Os dados ficam armazenados enquanto a conta estiver ativa. Após o encerramento, são excluídos ou anonimizados, exceto os que precisem ser mantidos para cumprir obrigações legais (por exemplo, registros fiscais e de cobrança) ou para o exercício regular de direitos, pelo prazo legal aplicável. O certificado A1 pode ser removido pelo Usuário a qualquer momento nas Configurações Fiscais.

10.Direitos do titular

Nos termos do art. 18 da LGPD, o titular pode solicitar, a qualquer momento:

• confirmação da existência de tratamento e acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
• portabilidade dos dados e informação sobre os compartilhamentos realizados;
• revogação do consentimento, quando essa for a base legal, e revisão de decisões automatizadas.

Pedidos devem ser enviados para notafacil.oficial@gmail.com. Titulares que sejam tomadores de notas emitidas por nossos Usuários serão orientados a procurar também o Usuário emitente, controlador desses dados.

11.Encarregado e incidentes

O contato do encarregado pelo tratamento de dados pessoais é notafacil.oficial@gmail.com. Em caso de incidente de segurança que possa acarretar risco ou dano relevante, o NotaFácil comunicará os titulares afetados e a Autoridade Nacional de Proteção de Dados (ANPD), nos termos da lei.

12.Alterações desta Política

Esta Política pode ser atualizada para refletir mudanças na Plataforma ou na legislação. A versão vigente fica sempre disponível nesta página, com a data de vigência no topo.