Política de Privacidade

1. Quem é o controlador dos seus dados

BRASIL NFE LTDA, pessoa jurídica de direito privado, inscrita no CNPJ sob nº 39.658.743/0001-99, é a controladora dos dados pessoais tratados nos termos desta Política, conforme definição do art. 5º, VI da LGPD.

Atuamos como controladora em relação aos dados de titulares com quem mantemos relação direta (visitantes do site, leads, clientes contratantes, usuários do painel) e como operadora em relação aos dados que nossos clientes nos transmitem para emissão de documentos fiscais (dados de seus próprios clientes, fornecedores e transportadores), processados conforme instruções do cliente contratante.

2. Encarregado de Dados (DPO)

Para exercer seus direitos, esclarecer dúvidas ou registrar reclamações sobre o tratamento dos seus dados, entre em contato com o nosso Encarregado, Maxsuel Lima:

• Nome: Maxsuel Lima
• E-mail: [email protected]
• Canal alternativo: /legal/lgpd

Mais informações sobre o Encarregado em /legal/dpo.

3. Dados que coletamos

3.1 Dados fornecidos diretamente por você

• Cadastro e conta: nome, e-mail, telefone, CPF/CNPJ, razão social, inscrição estadual e municipal, endereço, senha (armazenada com hash criptográfico), como você conheceu o Brasil NFe e a origem do acesso (campanha, site de onde veio e página de entrada). Sem sua autorização de cookies, essa origem segue apenas no endereço (URL) das páginas e do link de cadastro, sem nada ser guardado no seu navegador. O identificador de clique do Google Ads (GCLID) só é usado se você autorizar cookies de marketing.
• Formulário de contato e suporte: nome, e-mail, telefone, mensagem.
• Dados de cobrança: dados de pagamento processados por gateways parceiros (não armazenamos números completos de cartão).
• Conteúdo enviado pela API ou painel: documentos fiscais (XML), pedidos importados das lojas virtuais e marketplaces que você conecta, dados de seus clientes, fornecedores e transportadores (dados de terceiros tratados sob sua responsabilidade como controlador).
• Certificado digital: certificados A1 carregados pelo cliente para assinatura de documentos fiscais. O certificado contém o nome e o CPF do responsável pela empresa.
• Compra de certificado digital: nome, CPF, CNPJ e os documentos necessários à emissão, enviados à Autoridade de Registro parceira e à Autoridade Certificadora.
• Conversas com o assistente de IA: mensagens e arquivos enviados ao assistente e os dados dos documentos consultados ou preparados na conversa.

3.2 Dados coletados automaticamente

• Dados de navegação: endereço IP, tipo de navegador, sistema operacional, páginas visitadas, tempo de permanência, origem do tráfego (referrer).
• Cookies e identificadores: conforme detalhado em nossa Política de Cookies.
• Dados de uso da API: tokens de acesso, registros de chamadas (logs de requisição), endereço IP de origem.
• Uso do assistente de IA e da demonstração pública: endereço IP, navegador e um identificador do dispositivo, usados para limitar o uso abusivo.

3.3 Dados obtidos de terceiros

• SEFAZ, prefeituras e órgãos públicos: situação cadastral de CNPJ/CPF consultada nos sistemas oficiais para validação de documentos fiscais e, quando a sincronização está ativa, documentos emitidos contra o CNPJ do cliente.
• Provedores de marketing: identificadores de campanha (UTM e, com seu consentimento de marketing, GCLID) quando você acessa o site por meio de anúncios.

4. Finalidades e bases legais (art. 7º LGPD)

Tratamos seus dados pessoais apenas para as finalidades abaixo, sempre com uma base legal adequada:

Quando o tratamento se basear em consentimento, você poderá revogá-lo a qualquer momento, sem prejuízo dos tratamentos realizados anteriormente sob essa base.

5. Com quem compartilhamos seus dados

Compartilhamos dados pessoais apenas quando necessário e nos limites desta Política, com as seguintes categorias de terceiros:

• Subprocessadores e operadores que nos prestam serviços de infraestrutura, cópia de segurança, e-mail, cobrança, modelo de linguagem do assistente de IA, atendimento, alertas internos e análise. A lista completa e atualizada, com o país de cada um, está disponível em /legal/subprocessadores.
• Autoridades fiscais e órgãos públicos (SEFAZ, Receita Federal, prefeituras), quando exigido por lei para emissão e validação de documentos fiscais.
• Autoridade de Registro parceira e Autoridade Certificadora, na compra de certificado digital, para validar a identidade do titular e emitir o certificado.
• Autoridades judiciais e administrativas, mediante ordem legítima e nos limites estritos da requisição.
• Sucessores, em caso de fusão, aquisição, incorporação ou reorganização societária - você será informado e seus direitos preservados.

Não vendemos seus dados pessoais.

6. Transferência internacional de dados

A aplicação, o banco de dados e os documentos fiscais ficam hospedados no Brasil. Alguns subprocessadores, porém, tratam dados fora do país:

• E-mail, análise de uso, anúncios e fontes do site (Google) e entrega de ícones do site (Cloudflare), nos EUA;
• Modelo de linguagem do assistente de IA (Anthropic), nos EUA, com as mensagens da conversa;
• Cópia de segurança externa (Backblaze), nos EUA, que recebe os dados já criptografados, com chave mantida pela Brasil NFe;
• Alertas internos da equipe (Telegram) e atendimento (WhatsApp), com servidores fora do Brasil.

Essas transferências servem às finalidades da seção 4, pelo tempo previsto na seção 7, e seguem o art. 33 da LGPD e a Resolução CD/ANPD nº 19/2024. Usamos os mecanismos disponíveis com cada fornecedor, como as cláusulas-padrão contratuais aprovadas pela ANPD e os acordos de proteção de dados, além de salvaguardas técnicas: criptografia em trânsito, criptografia das cópias de segurança antes do envio e envio apenas dos dados necessários. A página de Subprocessadores traz o país, a finalidade e os dados de cada um. Mediante pedido ao Encarregado, informamos o mecanismo usado com cada fornecedor e fornecemos cópia das cláusulas aplicáveis em até 15 dias.

7. Por quanto tempo guardamos seus dados

O prazo de retenção varia conforme a finalidade e a base legal:

Após o término do prazo, os dados são excluídos ou anonimizados, ressalvadas as hipóteses legais de guarda obrigatória (art. 16 da LGPD).

8. Seus direitos como titular (art. 18 LGPD)

Você tem direito de obter, em relação aos seus dados pessoais:

• Confirmação da existência de tratamento;
• Acesso aos dados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
• Portabilidade dos dados a outro fornecedor de serviço, observados os segredos comercial e industrial;
• Eliminação dos dados tratados com consentimento, ressalvadas as hipóteses do art. 16 (guarda legal);
• Informação sobre as entidades públicas e privadas com as quais os dados foram compartilhados;
• Informação sobre a possibilidade de não fornecer consentimento e suas consequências;
• Revogação do consentimento, a qualquer momento, mediante manifestação expressa.

9. Como protegemos seus dados

Adotamos medidas técnicas, administrativas e organizacionais aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas (art. 46 da LGPD):

• Criptografia em trânsito (TLS) em todas as comunicações entre cliente, API e SEFAZ, e em repouso para os certificados digitais e outros dados sensíveis;
• Certificados digitais protegidos por chaves gerenciadas em módulo de segurança (HSM);
• Hash criptográfico de senhas com algoritmos modernos (PBKDF2);
• Controle de acesso com autenticação, perfis e bloqueio após tentativas falhas;
• Registros de auditoria de criação, alteração e exclusão de dados;
• Backups periódicos com controle de acesso restrito e cópia externa criptografada antes do envio;
• Monitoramento contínuo, detecção de anomalias e revisões de segurança;
• Política interna de segurança e privacidade, com acesso aos dados restrito a quem precisa deles e dever de sigilo.

Apesar dos esforços, nenhum sistema é 100% imune. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados conforme o art. 48 da LGPD. Quando o incidente envolver dados que tratamos em nome de um cliente, avisamos o cliente em até 48 horas. Veja mais em /legal/incidentes.

10. Cookies e tecnologias semelhantes

Utilizamos cookies para operar o site, lembrar suas preferências, medir desempenho e personalizar comunicações de marketing - sempre respeitando o consentimento manifestado por você no banner de cookies. Detalhes completos em Política de Cookies.

11. Dados de crianças e adolescentes

Os serviços do Brasil NFe são direcionados a pessoas jurídicas e profissionais maiores de 18 anos. Não coletamos intencionalmente dados de menores de idade. Caso identifiquemos coleta indevida, os dados serão eliminados; pais ou responsáveis podem nos contatar para solicitar a exclusão.

12. Alterações desta Política

Podemos atualizar esta Política periodicamente para refletir mudanças regulatórias, novos serviços ou aprimoramentos de segurança. A versão vigente está sempre disponível nesta página, com indicação da data da última atualização. Mudanças substanciais serão comunicadas com destaque adequado e, quando o impacto exigir, por e-mail ao contato administrativo da conta.

12.1 Histórico de versões

Mantemos público o histórico desta Política para que você consiga conferir o que mudou ao longo do tempo. Versões anteriores podem ser solicitadas integralmente ao Encarregado pelo e-mail [email protected].

13. Reclamações à ANPD

Caso considere que o tratamento dos seus dados está em desconformidade com a LGPD, você pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) pelo site www.gov.br/anpd.

14. Fale com a gente