Política de Privacidade

Esta Política de Privacidade descreve como o NotaCapta coleta, usa, armazena, compartilha e protege os dados pessoais dos seus usuários, em conformidade com a Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais (LGPD).

1. Controlador e contato

O controlador responsável pelo tratamento dos dados pessoais é a Briforma — CNPJ 62.195.263/0001-50. Para exercer seus direitos, tirar dúvidas sobre privacidade ou falar com o encarregado pelo tratamento de dados, entre em contato pelo e-mail suporte@briforma.com.br.

2. Dados que coletamos

• Dados de cadastro: nome, e-mail, telefone e credenciais de acesso.
• Dados da empresa e fiscais: CNPJ, razão social e informações fiscais correlatas.
• Certificado digital A1: o arquivo do certificado e a respectiva senha, quando fornecidos, para a captura automática dos documentos. São armazenados de forma criptografada (ver seção 5).
• Dados das notas fiscais: conteúdo dos documentos fiscais eletrônicos (NF-e, CT-e e NFS-e) recebidos pelo CNPJ do usuário e, no caso das NFS-e, também das emitidas por ele.
• Dados de terceiros contidos nas notas: identificação das partes da operação — nome ou razão social, CNPJ, CPF ou documento equivalente de pessoa no exterior, e município — inclusive de pessoas físicas, quando constam do documento fiscal capturado. Esses dados são fornecidos pelo próprio documento fiscal e tratados para permitir a guarda, a consulta e a exportação exigidas pela legislação tributária.
• Dados de uso: registros de acesso e informações técnicas necessárias à operação e à segurança.

Se você aceitou os cookies, no clique em "Assinar" também coletamos alguns dados técnicos do seu acesso usados apenas para medir o resultado dos anúncios — veja a seção 4.2.

3. Finalidades e bases legais

Tratamos os dados apenas para finalidades legítimas e informadas, com as seguintes bases legais previstas na LGPD:

• Execução de contrato (art. 7º, V): captura, organização e disponibilização dos documentos fiscais, autenticação de acesso e suporte ao usuário.
• Cumprimento de obrigação legal ou regulatória (art. 7º, II): guarda de informações de cobrança e fiscais pelos prazos exigidos pela legislação, incluindo os dados de terceiros que constam dos próprios documentos fiscais capturados, cuja conservação íntegra é exigida da empresa titular.
• Legítimo interesse (art. 7º, IX): medição de audiência do site e da eficácia dos nossos anúncios pelo Pixel e pela Conversions API da Meta, ativos desde a sua chegada à página (ver seção 4). Essa medição não identifica você pelo nome, não decide nada a seu respeito e pode ser interrompida a qualquer momento — basta clicar em "Recusar" no banner de cookies.
• Consentimento (art. 7º, I): o Google Analytics e o envio dos dados que identificam o comprador à Meta (seções 4.1 e 4.2). Esses só são ativados após o aceite no banner de cookies e a decisão pode ser revista a qualquer momento.

4. Cookies e medição

O site utiliza cookies e ferramentas de medição para entender o desempenho das páginas e a eficácia dos nossos anúncios. Duas coisas diferentes acontecem, com bases legais diferentes:

• Contagem de visitas (Meta), desde a chegada: assim que você abre uma página do site, registramos que uma visita aconteceu e informamos isso à Meta — pelo Pixel, no seu navegador, e pela Conversions API, a partir do nosso servidor. É o mesmo registro enviado por dois caminhos, contado uma vez só. Isso não espera o banner: a base legal é o legítimo interesse (art. 7º, IX da LGPD) em saber quantas pessoas chegam ao site e por qual anúncio.
• Google Analytics, só com aceite: a medição de audiência pelo Google só é carregada depois de você clicar em "Aceitar" no banner.

O que a contagem de visitas envia. Apenas o endereço da página visitada, o endereço de IP do seu acesso, o tipo de navegador (user-agent) e os identificadores de clique em anúncio da própria Meta. Nenhum nome, e-mail, telefone ou CNPJ é enviado nesse momento — nem poderia, porque nessa altura você ainda não nos informou nada disso. Esses dados servem exclusivamente para medir e atribuir o resultado dos anúncios: não decidem seu acesso ao sistema, não decidem o preço que você paga e não são vendidos.

Cookies gravados nesse momento. O Pixel da Meta grava no seu navegador os cookies _fbp e, se você chegou por um anúncio, _fbc. Eles não guardam dados pessoais: são um identificador aleatório do navegador e o código do clique no anúncio. Cookies estritamente necessários ao funcionamento do site não dependem de consentimento.

Como interromper (direito de oposição). Clicar em "Recusar" no banner de cookies interrompe a contagem de visitas, o carregamento do Pixel e qualquer envio à Meta — inclusive nas próximas visitas. É o direito de oposição do art. 18, § 2º da LGPD, e vale tanto para quem nunca decidiu quanto para quem já tinha aceitado. O banner aparece poucos segundos após a abertura da página e a decisão pode ser revista a qualquer momento pelo link "Gerenciar cookies" no rodapé do site.

4.1 Dados enviados à Meta para medir a eficácia dos anúncios

Quando uma assinatura é paga e o usuário havia aceitado os cookies, o nosso servidor informa à Meta que aquela conversão aconteceu. Junto com essa informação enviamos alguns dados de identificação para que a Meta consiga relacionar a compra ao anúncio que a originou — é o que se chama de correspondência de eventos de conversão. São eles:

• E-mail e telefone informados no pagamento;
• Nome, quando disponível;
• Um identificador do cliente gerado pelo nosso processador de pagamentos, que não revela nenhum dado pessoal por si só.

Nenhum desses dados é enviado em texto legível. Antes de sair do nosso servidor, cada um deles é transformado por um processo criptográfico de mão única (SHA-256), que produz uma sequência de caracteres sem significado e da qual não é possível recompor o dado original. A Meta usa essa sequência apenas para comparação com os dados que já possui. Também enviamos informações da própria compra — valor, plano contratado e número do pedido — que não identificam o titular.

Esses dados são usados exclusivamente para essa finalidade: medir e atribuir o resultado dos anúncios. Não são usados para publicidade personalizada por nossa iniciativa, não são vendidos e não são compartilhados com nenhum outro destinatário. O envio só acontece com consentimento (base legal do art. 7º, I da LGPD): quem recusa os cookies não tem nenhum desses dados enviados à Meta.

O titular pode solicitar a exclusão desses dados a qualquer momento, pelos mesmos canais de exercício de direitos descritos na seção 9 — o pedido de exclusão da conta remove também os dados relacionados a essa medição que estejam sob nosso controle. A revogação do consentimento, pelo link "Gerenciar cookies", interrompe qualquer envio futuro.

4.2 Dados coletados no clique em "Assinar"

No momento em que você clica em "Assinar", e somente se você aceitou os cookies, registramos também: o endereço de IP do seu acesso, o tipo de navegador (user-agent), a página em que a compra começou e os identificadores de clique em anúncio gravados pelos cookies da Meta ou, quando o cookie ainda não existe, obtidos do link por onde você chegou ao nosso site depois de clicar no anúncio.

• Finalidade: esses dados servem à mesma e única finalidade descrita acima — medir e atribuir o resultado dos anúncios. Não servem para decidir seu acesso ao sistema nem o preço que você paga, nem para qualquer outra finalidade.
• Base legal: o seu consentimento (art. 7º, I da LGPD), manifestado ao aceitar os cookies e revogável a qualquer momento pelo link "Gerenciar cookies" no rodapé — a revogação interrompe a coleta e o envio.
• Destinatário: apenas a Meta Platforms, que os recebe como estão, sem a transformação criptográfica descrita na seção 4.1 — a Meta precisa desses dados nesse formato para reconhecer a origem do clique no anúncio. Já consta da lista de operadores da seção 6 (com a transferência internacional coberta pela seção 7).
• Prazo de guarda: esses registros ficam guardados por, no máximo, 40 dias, e são apagados automaticamente depois desse prazo por uma rotina diária. Antes disso, o pedido de exclusão de dados descrito na seção 9 também os remove — inclusive o vínculo daquela compra com o anúncio que a originou.

5. Segurança

Adotamos medidas técnicas e administrativas para proteger os dados. O certificado digital e sua senha são armazenados de forma criptografada e utilizados exclusivamente para a finalidade de captura dos documentos. O acesso aos dados é restrito e controlado. Nenhuma medida de segurança é absoluta, mas trabalhamos continuamente para mitigar riscos.

6. Operadores e compartilhamento

Compartilhamos dados apenas com operadores necessários à prestação do serviço, que tratam as informações conforme nossas instruções e a LGPD:

• Asaas: processamento de pagamentos e gestão das assinaturas.
• Supabase: banco de dados, autenticação e armazenamento dos documentos e do certificado criptografado.
• Resend: envio de e-mails transacionais (boas-vindas, alertas de certificado, avisos de cobrança e de retenção).
• Google (Google Analytics): medição de audiência do site, apenas com consentimento.
• Meta (Pixel e Conversions API): medição de audiência e de eficácia de anúncios. A contagem de visitas começa na sua chegada ao site, por legítimo interesse, e envia apenas dados técnicos — IP, navegador, página e identificadores de clique em anúncio (ver seção 4). Já o envio dos dados que identificam o comprador depende de consentimento e é feito criptografado (ver seção 4.1); os dados técnicos coletados no clique em "Assinar" também dependem de consentimento e são enviados como estão (ver seção 4.2).
• Provedor de hospedagem (VPS/Easypanel): infraestrutura que executa a aplicação e o robô de captura.

Não vendemos dados pessoais. O compartilhamento adicional só ocorre por obrigação legal ou determinação de autoridade competente.

7. Transferência internacional de dados

Alguns operadores acima (Supabase, Google, Meta e Resend) podem tratar dados em servidores localizados fora do Brasil. Nesses casos, a transferência internacional ocorre nos termos do art. 33 da LGPD, com base na execução do contrato e mediante salvaguardas contratuais adequadas oferecidas por esses fornecedores para garantir um nível de proteção compatível com a legislação brasileira.

8. Retenção e eliminação

Os dados são mantidos enquanto a conta estiver ativa. Após o cancelamento, a conta entra em modo só-leitura e os dados são eliminados em até 30 (trinta) dias, ressalvadas as informações cuja guarda seja exigida por obrigação legal ou fiscal. Os registros de auditoria de cobrança necessários ao cumprimento de obrigações legais são anonimizados, deixando de identificar o titular. Mediante solicitação de exclusão, removemos os dados que não estejam sujeitos a retenção legal obrigatória.

Os dados técnicos coletados no clique em "Assinar" têm prazo próprio, contado desde a coleta (não desde o cancelamento da conta), e são apagados por rotina automática — veja a seção 4.2.

9. Direitos do titular

Nos termos da LGPD, o titular pode solicitar, a qualquer momento:

• Confirmação da existência de tratamento e acesso aos seus dados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Eliminação ou anonimização dos dados, observadas as hipóteses de guarda obrigatória;
• Portabilidade e informação sobre o compartilhamento;
• Revogação do consentimento para cookies e medição;
• Oposição à contagem de visitas feita por legítimo interesse, exercível na hora pelo botão "Recusar" do banner de cookies (art. 18, § 2º).

As solicitações podem ser enviadas para suporte@briforma.com.br.

10. Alterações

Esta política pode ser atualizada periodicamente. Mudanças relevantes serão comunicadas pelos canais de contato cadastrados. A versão vigente estará sempre disponível nesta página.