Texto em revisão jurídica. Esta versão é um rascunho e pode mudar antes da publicação definitiva; os trechos marcados como [a definir] ainda dependem de decisão.
Política de Privacidade
Versão 0.2 · 13 de setembro de 2026
Como o NFS Prático trata os seus dados e os dados dos tomadores das notas que a sua empresa emite: o que coletamos, por quê, por quanto tempo e quais são os seus direitos.
1. Quem somos
O NFS Prático é um serviço de emissão de Notas Fiscais de Serviço eletrônicas (NFS-e) no padrão nacional, operado pela Vela Studio [a definir] ("nós"). Encarregado pelo tratamento de dados (DPO): [a definir].
2. Nossos papéis
- Quando você cria uma conta, nós somos o controlador dos seus dados de conta (nome, e-mail, senha, segundo fator, sessões).
- Quando a sua empresa cadastra tomadores e emite notas, a empresa é a controladora desses dados e nós somos o operador: tratamos o CPF/CNPJ e os dados do tomador em nome dela, porque a lei exige identificar o tomador na nota fiscal. Se você é tomador de serviço de uma empresa que usa o NFS Prático, seus direitos são exercidos junto a ela, e nós a ajudamos a atender.
3. Que dados tratamos e por quê
| Dado | Por quê | Base legal |
|---|---|---|
| Nome, e-mail, senha (só o hash), segundo fator (cifrado) | Criar e proteger sua conta | Execução de contrato |
| IP, navegador, cidade/UF aproximada do IP, data e hora de cada ação relevante | Segurança: detectar acesso indevido; trilha de auditoria da empresa | Legítimo interesse (segurança) e obrigação legal (quando a ação é fiscal) |
| Dispositivo confiável | Dispensar o segundo fator por 60 dias no computador que você marcou | Execução de contrato |
| Dados da empresa (CNPJ, razão social, inscrição municipal, regime tributário) | Emitir a nota no nome da empresa | Execução de contrato e obrigação legal |
| Dados do tomador (CPF/CNPJ, nome, endereço, e-mail, telefone) | Identificar o tomador na NFS-e e reutilizar o cadastro | Obrigação legal da empresa emissora |
| Certificado digital A1 e senha | Assinar a nota | Execução de contrato e obrigação legal |
| Pagamento: identificadores do cliente e da assinatura no Asaas, faturas e sua situação; versão, data e IP do aceite dos termos | Cobrar a assinatura da empresa e comprovar o aceite. Não guardamos número de cartão. | Execução de contrato |
Não tratamos dados sensíveis, não usamos localização precisa (GPS) e não tomamos decisões automatizadas sobre você.
4. Certificado digital
O seu certificado A1 e a senha dele nunca são gravados no banco de dados nem em log. Ficam em um serviço de custódia separado, cifrados com chave gerenciada por um provedor de nuvem, e só o processo de assinatura consegue usá-los. Ao trocar ou remover o certificado, o anterior é apagado da custódia.
5. Com quem compartilhamos
- Governo (ADN / SEFIN Nacional): a nota assinada, com os dados da empresa e do tomador — é o destinatário legal.
- Serviços públicos de consulta (BrasilAPI, ReceitaWS, ViaCEP): o CNPJ ou o CEP que você digita, para preencher o cadastro.
- Provedor de nuvem para custódia do certificado [a definir].
- Asaas Gestão Financeira Instituição de Pagamento S.A. (CNPJ 19.540.550/0001-21): para a cobrança da assinatura, compartilhamos o nome/razão social, o CNPJ e o e-mail do administrador da empresa. É instituição de pagamento autorizada pelo Banco Central do Brasil, responsável pela prestação dos serviços financeiros e de pagamentos da plataforma; o tratamento desses dados pelo Asaas segue a política de privacidade da própria instituição (https://www.asaas.com/politicaPrivacidade).
Não vendemos dados, não usamos para publicidade e não compartilhamos com terceiros para fins deles.
6. Cookies
Usamos apenas cookies estritamente necessários para a sessão, a proteção contra CSRF, a empresa ativa e o dispositivo confiável. Não há cookie de rastreio, analytics ou marketing. Por isso mostramos um aviso informativo, sem pedir consentimento — e o fechamento do aviso é lembrado no seu navegador (armazenamento local), não em cookie.
| Cookie | Finalidade | Prazo |
|---|---|---|
nfs_at | sessão (token de acesso) | 15 minutos |
nfs_rt | renovação da sessão | sessão do navegador, ou 30 dias com "manter conectado" |
nfs_csrf | proteção contra CSRF | igual ao nfs_rt |
nfs_manter | lembrar a opção "manter conectado" | 30 dias |
nfs_ctx | empresa ativa | igual ao nfs_rt |
nfs_dispositivo | dispositivo confiável (dispensa o segundo fator) | 60 dias |
Se um dia usarmos cookies de analytics ou marketing, esta política mudará e pediremos o seu consentimento antes, com opção de recusar.
7. Por quanto tempo guardamos
- Notas fiscais e o cadastro do tomador vinculado a elas: 5 anos após a emissão (prazo legal tributário). Excluir um tomador que já recebeu nota mascara os dados de contato, mas o nome e o documento permanecem enquanto a nota existir.
- Tomador sem nenhuma nota há 5 anos: anonimizado automaticamente.
- Certificado A1: enquanto válido e em uso; removido ao trocar ou revogar.
- Conta de usuário: enquanto ativa; após pedido de exclusão, [a definir] e anonimização. As notas emitidas por você continuam registradas em nome da empresa.
- Sessões: 30 dias (manter conectado) ou 12 horas; dispositivos confiáveis: 60 dias.
- Trilha de auditoria: [a definir]. A trilha não pode ser editada nem apagada pelo sistema.
- Logs técnicos: [a definir], sem dados pessoais.
8. Segurança
Isolamento por empresa no banco de dados, criptografia dos segredos em repouso, senha protegida por Argon2id, segundo fator (TOTP) com proteção contra reutilização de código, sessões rotativas com detecção de roubo, cabeçalhos de segurança e política de conteúdo (CSP) no navegador, limite de requisições, trilha de auditoria imutável e testes automatizados que falham se um dado pessoal aparecer em log.
9. Seus direitos (art. 18 da LGPD)
Você pode pedir confirmação, acesso, correção, anonimização, portabilidade e informação sobre compartilhamento, e revogar consentimento (quando houver). Usuários fazem a maior parte disso em Configurações. Para o resto, escreva ao DPO: [a definir]. Respondemos em até 15 dias. Se você é tomador de serviço, o pedido vai para a empresa que emitiu a nota; nós a ajudamos a responder. Você também pode reclamar à ANPD.
10. Alterações
Avisaremos por e-mail e nesta página com antecedência razoável. A versão e a data ficam no topo.
11. Contato
DPO: [a definir]. Endereço: [a definir].