Uso do Certificado Digital A1

O certificado digital A1 é de titularidade exclusiva da sua empresa. A THEA LTDA (CNPJ 65.851.791/0001-09), operadora do Nota Plena, atua como custodiante técnica, com mandato estritamente limitado às operações listadas na Seção 4.

Ao enviar o certificado, você autoriza seu uso apenas para essas operações. Não há cessão, transferência de titularidade nem autorização genérica de uso.

• Arquivo .pfx / .p12 (que contém a chave privada) — criptografado com AES-256-GCM.
• Senha do arquivo — também criptografada com AES-256-GCM, sob a mesma chave. Nunca em texto plano.
• Impressão digital (SHA-256), datas de validade e situação (ativo/inativo) — em texto claro, para identificação e aviso de vencimento.
• CPF/CNPJ do titular do certificado, e quando foi lido pela última vez — em texto claro. É um campo público do certificado: o mesmo documento que aparece na nota fiscal e para qualquer pessoa a quem você mostre o arquivo. Não é a chave privada nem deriva dela. Guardá-lo serve para responder “este certificado é mesmo o da sua empresa?” sem precisar abrir o arquivo protegido — ou seja, reduz o número de vezes que ele é descriptografado.

Por que a senha precisa ser guardada: os webservices das Prefeituras e da SEFAZ exigem que a chave privada seja carregada a cada assinatura. Sem isso, emissões automáticas — recorrentes, em lote e por integração, que acontecem sem você presente — seriam impossíveis. O arquivo continua protegido por senha em repouso, e a senha só é recuperável por quem detém a chave de criptografia.

• Banco de dados (Supabase) em região brasileira (sa-east-1) — grava apenas o material já criptografado.
• Chave de criptografia — guardada na infraestrutura de computação (Fly.io, São Paulo/GRU), fora do banco de dados. Um vazamento do banco, isoladamente, não expõe nenhum certificado.
• Processamento — apenas no back-end da Plataforma, executado em São Paulo.

Por onde ele passa até chegar aqui. Quando você envia o certificado pelo site, o arquivo e a senha seguem pela conexão segura até a Cloudflare, a rede de entrega e proteção que fica na frente do site e da API (veja os sub-processadores). Ela encerra a conexão segura (TLS) na borda da rede dela e a reabre até o nosso servidor; o conteúdo passa por ela e é repassado, sem ficar guardado em cache.

Quando você envia o certificado pelo WhatsApp, o arquivo trafega pela infraestrutura da Meta (API oficial do WhatsApp Business), de onde o nosso servidor o baixa. Enquanto aguardamos a senha, o arquivo fica guardado criptografado (AES-256-GCM) por até 1 hora no cache temporário da Plataforma (Upstash). E a mensagem em que você escreve a senha é uma mensagem recebida como qualquer outra: entra na cópia das conversas que vai para o sistema de atendimento da Surfbook (Política de Privacidade, Seção 5). Se puder, prefira enviar o certificado pelo site.

Depois de recebido, o certificado não é repassado a mais ninguém. Ele nunca é enviado à Vercel, Anthropic, Groq, Resend ou Sentry, e é processado apenas no nosso back-end, em São Paulo. A partir daí, os únicos destinos externos do certificado são os órgãos públicos brasileiros das operações da Seção 4.

O certificado é descriptografado somente para uma das operações abaixo, e apenas durante ela:

Emissão de documentos fiscais

• Emissão de NFS-e — assinatura do XML e autenticação junto ao webservice da Prefeitura ou do Emissor Nacional.
• Emissão de NF-e / NFC-e — assinatura e transmissão à SEFAZ, para quem vende mercadorias.

Ciclo da nota

• Cancelamento e substituição de NFS-e — o pedido de cancelamento também precisa ser assinado pelo titular.
• Cancelamento de NF-e / NFC-e junto à SEFAZ.

Consulta e conferência

• Sincronização das notas já emitidas — conferência do número da nota e do RPS contra o que consta na Prefeitura, para detectar divergências.
• Consulta de NFS-e recebidas — notas emitidas por terceiros contra o seu CNPJ, onde o município oferece a consulta.
• Conferência de dados fiscais na Prefeitura (ex.: inscrição municipal), para corrigir cadastro e evitar rejeições.

Operações automáticas (sem você presente)

• Emissões recorrentes que você agendou.
• Emissões em lote a partir de planilha enviada por você.
• Emissões por integração que você conectou (API de parceiro, plataformas de checkout). Cada nota é sempre assinada com o certificado da empresa a que ela pertence.

Receita Federal — apenas se você ativar

• DAS-MEI: ao ativar essa funcionalidade, o certificado é apresentado no login do e-CAC exclusivamente para localizar e baixar a guia DAS do mês. Nenhuma outra área do e-CAC é acessada, e nada é declarado ou transmitido em seu nome nesse fluxo.

Verificações que não usam a chave privada

• Conferência de titularidade no envio — recusamos o arquivo se o titular não for o CNPJ da sua empresa (evita subir um e-CPF pessoal ou o certificado de outra empresa por engano).
• Aviso de vencimento — rotina diária que lê apenas a data de expiração.
• Reconferência diária do titular — uma vez por dia, para cada certificado ativo, abrimos o arquivo e relemos o mesmo campo público acima, para conferir se ele continua sendo o da sua empresa. A conferência do envio só acontece uma vez; sem esta, um certificado trocado depois ficaria sem verificação nenhuma pelo resto da vida. Nada é assinado nem transmitido nessa rotina, e ela nunca desativa nem substitui um certificado — o resultado vai só para o nosso alerta interno.

Não há nenhuma outra utilização. Qualquer uso fora desta lista seria desvio de finalidade.

• É descriptografado em memória, no momento da operação, e descartado ao final dela.
• Não é gravado em disco em texto claro, com uma única exceção: no fluxo do e-CAC (DAS-MEI), a ferramenta de automação exige arquivos no sistema de arquivos — eles são escritos em pasta temporária de acesso restrito e apagados ao fim da sessão.
• Não existe tela, exportação, relatório ou endpoint que devolva o arquivo .pfx ou a senha. Depois de enviado, o certificado só sai da Plataforma em direção ao órgão público, dentro do canal seguro da operação.
• Não é registrado em logs nem em ferramentas de monitoramento de erros. Backups do banco contêm apenas o material criptografado.

• No site, o envio e a exclusão exigem verificação em duas etapas (MFA) ativa e perfil de titular da empresa ou de contador vinculado a ela.
• Pelo WhatsApp, a troca do certificado de uma empresa já cadastrada exige o mesmo perfil e a verificação em duas etapas ativada na conta. No cadastro inicial feito inteiramente pelo WhatsApp, o certificado é recebido do número de telefone que está fazendo o cadastro, e só é aceito se pertencer ao CNPJ da empresa cadastrada.
• O acesso é isolado por empresa no próprio banco de dados — uma conta não alcança o certificado de outra.
• Parceiros de integração só podem enviar certificado para empresas que eles mesmos provisionaram, sob contrato.
• Todo envio e toda exclusão são registrados em log de auditoria (autor, data, impressão digital e validade), assim como as emissões.
• Nenhuma pessoa da equipe acessa o conteúdo do certificado no curso normal da operação — não existe interface para isso. O acesso administrativo à infraestrutura é restrito à sócia-administradora e não é usado para operar certificados de clientes.

• Assinar qualquer documento que você não tenha solicitado ou configurado.
• Usar o certificado de um cliente em nome de outro.
• Compartilhar, vender, ceder ou sublicenciar o certificado a terceiros.
• Enviar o certificado a provedores de inteligência artificial ou usá-lo para treinar modelos.
• Acessar, com o certificado, sistemas públicos além dos estritamente necessários às operações da Seção 4.
• Usar o certificado após o encerramento do contrato.

• Execução de contrato (Lei 13.709/2018, art. 7º, V) — a custódia e o uso do certificado são o meio indispensável para prestar o serviço contratado.
• Cumprimento de obrigação legal ou regulatória (art. 7º, II) — as operações atendem a obrigações fiscais da sua própria empresa.

Não há tratamento do certificado fundado em legítimo interesse, nem uso secundário de qualquer espécie.

• Mantido enquanto a conta estiver ativa e o certificado vigente — é o que permite a continuidade das emissões.
• Renovação: ao enviar um novo certificado, o anterior é desativado e o seu arquivo e senha são apagados do nosso banco no mesmo instante. Um certificado substituído não tem mais nenhum uso legítimo — então não guardamos nada dele além dos metadados.
• Você pode excluir quando quiser: em Ajustes → Certificado A1 há o botão Excluir. O arquivo e a senha são apagados na hora, sem precisar pedir por e-mail. Se for o certificado ativo, as emissões ficam suspensas até você enviar outro — avisamos isso antes de confirmar.
• Exclusão da conta: o arquivo e a senha criptografados de todos os certificados são apagados. Dúvidas ou pedidos por outra via: atendimento@notaplena.com.br.
• O que sobrevive: apenas os metadados do certificado (impressão digital, período de validade). São o registro de qual certificado assinou quais notas — histórico que a legislação fiscal exige guardar — e não permitem assinar nada. Os XML das notas já emitidas também são preservados pelo prazo legal (mínimo de 5 anos — CTN, arts. 173 e 174); eles contêm a assinatura, não a chave privada.

O certificado digital é documento sensível: quem detém o arquivo e a senha pode assinar em nome da empresa. Recomendamos:

• manter a verificação em duas etapas (MFA) ativa;
• revogar o certificado junto à Autoridade Certificadora caso suspeite de comprometimento por qualquer via — não apenas relacionada a esta Plataforma;
• revisar periodicamente quem tem acesso à conta da empresa.

Em caso de incidente de segurança com risco relevante, comunicaremos os titulares afetados e a ANPD nos prazos legais (LGPD, art. 48).

Encarregada de Dados (DPO): Esther Lima — atendimento@notaplena.com.br.

Veja também os Termos de Uso, a Política de Privacidade e a lista de sub-processadores.