Política de Privacidade

1. Introdução

Esta Política de Privacidade descreve como o FlowNFSe, operado pela C2V Tecnologia (doravante "FlowNFSe", "nós", "nosso"), coleta, utiliza, armazena, compartilha e protege os dados pessoais dos usuários (doravante "Você" ou "Titular") que acessam e utilizam a plataforma disponível em flownfse.com.br, seus aplicativos e APIs.

Esta política foi elaborada em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD), o Código Tributário Nacional (Lei nº 5.172/1966 — CTN), o Marco Civil da Internet (Lei nº 12.965/2014) e demais normas aplicáveis. Ela complementa os Termos de Uso do FlowNFSe.

Ao utilizar a Plataforma, você declara estar ciente e de acordo com as práticas descritas neste documento.

2. Definições

Para fins desta Política, aplicam-se as seguintes definições, alinhadas ao art. 5º da LGPD:

Dado pessoal: informação relacionada a pessoa natural identificada ou identificável (ex.: nome, CPF, e-mail, IP).
Dado pessoal sensível: origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dado genético ou biométrico, dado referente à saúde ou à vida sexual.
Tratamento: toda operação realizada com dados pessoais (coleta, armazenamento, uso, compartilhamento, eliminação, etc.).
Controlador: a C2V Tecnologia, que decide sobre o tratamento dos dados.
Operador: terceiros que tratam dados em nome do FlowNFSe (hospedagem, gateway de emissão, IA, etc.).
Titular: você, pessoa natural a quem se referem os dados pessoais.
Encarregado (DPO): pessoa indicada pelo Controlador para atuar como canal de comunicação entre Controlador, Titular e ANPD.

3. Dados que coletamos

Coletamos diferentes categorias de dados, conforme sua interação com a Plataforma:

3.1. Dados fornecidos diretamente por você

Categoria	Exemplos
Dados cadastrais	Nome completo, e-mail, senha (hasheada), telefone
Dados da empresa	CNPJ, razão social, nome fantasia, endereço, regime tributário, CNAE, inscrição municipal
Dados de clientes e tomadores	CNPJ/CPF, nome/razão social, endereço, e-mail (para envio da NFS-e)
Dados financeiros	Contas a receber, contas a pagar, valores, datas de vencimento
Certificado Digital A1	Arquivo `.pfx` e respectiva senha
Dados de cobrança	Dados do cartão (processados diretamente pelo gateway de pagamento, não armazenados por nós)
Comunicações	Mensagens enviadas via formulário de contato ou chat de suporte

3.2. Dados fiscais (XMLs e NFS-e)

Armazenamos os XMLs e PDFs de NFS-e emitidas pela Plataforma, bem como os XMLs importados pelo Usuário. Esses documentos contêm, por natureza, dados pessoais dos tomadores de serviço (nome, CPF/CNPJ, endereço, e-mail). O FlowNFSe atua como Operador desses dados em nome do Usuário (que é o Controlador em relação aos seus clientes).

3.3. Dados coletados automaticamente

Endereço IP, tipo de navegador, sistema operacional e idioma;
Páginas visitadas, tempo de sessão e fluxo de navegação;
Logs de acesso e de uso da API (quando aplicável);
Identificadores de dispositivo e cookies.

4. Finalidades do tratamento

Utilizamos seus dados pessoais para as seguintes finalidades:

Operação da Plataforma: cadastro, autenticação, emissão de NFS-e, controle financeiro, agendamento de recorrências e geração de relatórios;
Obrigações legais e regulatórias: cumprimento de normas fiscais (RFB, prefeituras), retenção obrigatória de documentos fiscais por 5 anos (art. 195 do CTN) e resposta a requisições de autoridades;
Execução de contrato: prestação do serviço contratado, cobrança, suporte técnico e comunicação sobre sua conta;
Melhoria dos serviços: análise estatística agregada e anonimizada para aprimorar recursos, corrigir falhas e desenvolver novas funcionalidades;
Assistente de IA: fornecer sugestões fiscais baseadas em seus dados e em legislação pública;
Segurança: prevenção a fraudes, abusos e ataques cibernéticos;
Marketing (com consentimento): envio de novidades, dicas fiscais e ofertas, sempre com opção de cancelamento.

5. Bases legais do tratamento (art. 7º da LGPD)

Finalidade	Base legal
Cadastro e uso da plataforma	Execução de contrato (art. 7º, V)
Emissão de NFS-e e obrigações fiscais	Cumprimento de obrigação legal (art. 7º, II)
Retenção de XMLs por 5 anos	Cumprimento de obrigação legal (art. 195 CTN)
Prevenção a fraudes	Legítimo interesse (art. 7º, IX)
Assistente IA (sugestões fiscais)	Execução de contrato + legítimo interesse
Marketing por e-mail	Consentimento (art. 7º, I)
Cookies analíticos	Consentimento (via banner LGPD)
Cookies essenciais (sessão, autenticação)	Execução de contrato

6. Compartilhamento com terceiros

Para operar a Plataforma, compartilhamos dados estritamente necessários com os seguintes parceiros (todos sob contratos com cláusulas de proteção de dados):

Parceiro	Função	Dados compartilhados
Hostinger / Provedor de nuvem	Hospedagem de servidores e banco de dados	Todos os dados armazenados na plataforma
Integranotas	Gateway de emissão de NFS-e (Padrão Nacional e provedores municipais)	Dados fiscais necessários à emissão da nota
Receita Federal / Prefeituras	Autoridades fiscais destinatárias das NFS-e	XML completo da nota (obrigatório por lei)
Google (Gemini API)	Assistente de IA para sugestão de códigos e alíquotas	Descrição do serviço, regime tributário, município (sem CPF/CNPJ quando possível)
Gateway de pagamento	Processamento de assinaturas	Dados de cobrança (nós não armazenamos números de cartão)
APIs de CNPJ (ReceitaWS, Casa de Dados etc.)	Consulta pública de dados cadastrais	CNPJ informado pelo Usuário
Plataformas integradas (Hotmart, Kiwify, Stripe, Shopify, etc.)	Recebimento de dados de vendas via webhook	Dados que a plataforma de origem nos envia (CNPJ, valor, descrição)
Google Analytics	Análise estatística de navegação (com consentimento)	IP anonimizado, páginas visitadas, eventos
Tawk.to	Chat de atendimento ao vivo	Mensagens trocadas com suporte

Nunca vendemos seus dados. O FlowNFSe não comercializa, aluga ou cede dados pessoais de Usuários ou de seus clientes a terceiros para fins de marketing, publicidade ou qualquer outra finalidade estranha à prestação do serviço contratado.

6.1. Autoridades públicas

Dados poderão ser compartilhados com autoridades judiciais, administrativas ou fiscais quando houver requisição legal, ordem judicial ou para defesa de direitos em processo judicial ou administrativo.

7. Transferência internacional de dados

Alguns de nossos parceiros operam servidores fora do Brasil. Nesses casos, a transferência internacional ocorre com base em uma das hipóteses do art. 33 da LGPD:

Google (Gemini, Analytics): transferência para os Estados Unidos, amparada pelas EU Standard Contractual Clauses e pelo EU-U.S. Data Privacy Framework, com aplicação de salvaguardas equivalentes;
Tawk.to: processamento global com servidores em múltiplas jurisdições, também sob cláusulas contratuais padrão;
Hotmart / Stripe / outras plataformas: transferência decorrente de cooperação internacional e execução de contrato, quando o webhook é disparado para nosso servidor.

Dados fiscais (XMLs, NFS-e) e certificados digitais permanecem armazenados prioritariamente em servidores no Brasil, exceto quando estritamente necessário para transmissão à autoridade fiscal (ex.: Padrão Nacional da Receita Federal).

8. Certificado Digital A1 (.pfx)

Dado altamente sensível. O arquivo .pfx e sua senha equivalem, para fins fiscais, à assinatura do responsável legal da empresa. Por isso, adotamos medidas reforçadas de proteção.

O arquivo é armazenado em cofre criptografado (AES-256), com acesso restrito a processos automatizados de assinatura;
A senha é criptografada em repouso e nunca registrada em logs;
O certificado é usado apenas para assinar NFS-e em seu nome, nunca para qualquer outra finalidade;
Você pode solicitar a exclusão do certificado a qualquer momento pelo painel — a remoção é imediata e irreversível;
O FlowNFSe não se responsabiliza por certificados inválidos, vencidos, revogados ou pertencentes a terceiros.

9. Assistente de IA e tratamento de dados

O Assistente de IA do FlowNFSe utiliza modelos de linguagem (Google Gemini) para sugerir códigos de serviço (LC 116/2003), alíquotas e retenções com base na descrição fornecida por você. Para proteger sua privacidade:

Enviamos ao modelo apenas os dados estritamente necessários (descrição do serviço, regime tributário, município do tomador);
Quando possível, omitimos CPF/CNPJ e nomes das consultas;
O Google não utiliza suas consultas para treinar seus modelos (conforme contrato Google Cloud Data Processing Terms);
As sugestões da IA não substituem a validação do contador responsável.

Você pode desativar o Assistente IA a qualquer momento nas configurações da conta e preencher manualmente todas as informações fiscais.

10. Armazenamento e medidas de segurança

Adotamos medidas técnicas e administrativas para proteger seus dados, incluindo:

Criptografia em trânsito: todas as comunicações usam TLS 1.3 (HTTPS);
Criptografia em repouso: dados sensíveis (senhas, certificados, tokens de API) são armazenados com AES-256;
Hash de senhas: usamos bcrypt com salt, nunca armazenamos senhas em texto puro;
Controle de acesso: princípio do menor privilégio, autenticação de dois fatores (2FA) disponível para administradores;
Isolamento multi-tenant: cada empresa é isolada logicamente por company_id e tenant_id, com filtros globais em todas as queries;
Backups diários: armazenados em pelo menos 2 data centers distintos, com criptografia;
Logs de auditoria: ações sensíveis (login, alteração de certificado, uso de API) são registradas e monitoradas;
Testes de segurança: varreduras periódicas de vulnerabilidades.

Limites da segurança. Nenhum sistema é 100% invulnerável. Embora adotemos as melhores práticas do mercado, não podemos garantir a absoluta imunidade contra ataques sofisticados, falhas de terceiros ou força maior.

11. Prazos de retenção

Mantemos seus dados pelos seguintes prazos:

Categoria de dado	Prazo de retenção
Dados cadastrais e de sessão	Enquanto a conta estiver ativa + 30 dias após exclusão
XMLs e PDFs de NFS-e	5 anos (art. 195 do CTN) mesmo após cancelamento
Dados financeiros (contas a receber/pagar)	Enquanto a conta estiver ativa + 5 anos para fins fiscais
Certificado Digital A1	Até solicitação de exclusão pelo Usuário (imediata)
Logs de acesso	6 meses (art. 15 do Marco Civil da Internet)
Conversas de suporte (Tawk.to)	24 meses ou até resolução de eventuais disputas
Dados de cobrança	5 anos (para fins contábeis e tributários)

Após o prazo legal, os dados são anonimizados ou excluídos definitivamente dos nossos sistemas ativos e de backup.

12. Seus direitos como titular (art. 18 da LGPD)

Você pode exercer a qualquer momento, mediante solicitação ao Encarregado, os seguintes direitos:

Confirmação e acesso Saber se tratamos seus dados e obter uma cópia deles.

Correção Solicitar a atualização de dados incompletos, inexatos ou desatualizados.

Anonimização, bloqueio ou eliminação Pedir a remoção de dados desnecessários ou tratados fora da lei, respeitados os prazos legais.

Portabilidade Receber seus dados em formato estruturado para migrar a outro fornecedor.

Eliminação de dados Solicitar exclusão dos dados tratados com seu consentimento, exceto quando a retenção for obrigatória por lei.

Revogação de consentimento Retirar seu consentimento para finalidades opcionais (marketing, cookies analíticos).

Informação sobre compartilhamento Saber com quais parceiros públicos ou privados compartilhamos seus dados.

Oposição e revisão de decisões automatizadas Questionar decisões tomadas apenas por IA que afetem seus interesses.

Como exercer seus direitos: Envie um e-mail para dpo@flownfse.com.br ou utilize o formulário em /contato. Responderemos em até 15 dias corridos, conforme art. 19 da LGPD.

13. Cookies e tecnologias de rastreamento

Utilizamos as seguintes categorias de cookies:

Tipo	Finalidade	Duração
Essenciais	Autenticação, sessão, segurança e preferências (LGPD)	Sessão ou até 1 ano
Analíticos (Google Analytics)	Métricas agregadas de uso (com consentimento)	Até 14 meses
De funcionalidade	Lembrar preferências de interface e idioma	Até 1 ano

Você pode aceitar, recusar ou modificar suas preferências a qualquer momento pelo banner LGPD exibido no primeiro acesso ou via link "Configurações de Cookies" no rodapé do site. O bloqueio de cookies essenciais pode impedir o uso da Plataforma.

14. Menores de idade

A Plataforma é destinada a pessoas jurídicas e a pessoas físicas maiores de 18 anos com capacidade civil plena. Não coletamos intencionalmente dados de crianças ou adolescentes. Caso identifiquemos tal situação, os dados serão eliminados imediatamente, salvo obrigação legal em contrário.

15. Incidentes de segurança

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos Titulares, o FlowNFSe comunicará os afetados e a Autoridade Nacional de Proteção de Dados (ANPD) em prazo razoável, conforme art. 48 da LGPD, com as seguintes informações:

Natureza dos dados comprometidos;
Titulares afetados;
Medidas técnicas adotadas e em adoção;
Riscos relacionados ao incidente;
Recomendações aos Titulares para mitigação de eventuais prejuízos.

16. Encarregado (DPO)

O FlowNFSe mantém um Encarregado pelo Tratamento de Dados Pessoais (Data Protection Officer) como canal oficial de comunicação entre Titulares, Controlador e ANPD.

Contato do Encarregado (DPO):
E-mail: dpo@flownfse.com.br
Formulário web: flownfse.com.br/contato
Horário de atendimento: segunda a sexta, das 9h às 18h (horário de Brasília)

17. Alterações nesta Política

Podemos atualizar esta Política periodicamente para refletir mudanças na Plataforma, na legislação ou em nossas práticas. A versão vigente será sempre a publicada nesta página, com a respectiva data de atualização.

Alterações significativas que impactem seus direitos serão comunicadas com antecedência mínima de 15 dias por e-mail e/ou aviso no painel do sistema. A continuidade do uso após a entrada em vigor implica aceitação tácita.

18. Contato

Para esclarecimentos, solicitações de exercício de direitos ou reclamações relacionadas ao tratamento de seus dados pessoais, utilize um dos canais abaixo:

Privacidade / LGPD: dpo@flownfse.com.br
Suporte geral: suporte@flownfse.com.br
Formulário web: flownfse.com.br/contato

Caso entenda que seus direitos de proteção de dados foram violados, você também pode registrar reclamação diretamente na Autoridade Nacional de Proteção de Dados (ANPD): www.gov.br/anpd.

Política de Privacidade do FlowNFSe