Política de Privacidade

O Nota Plena (“Plataforma”), operado por THEA LTDA, inscrita no CNPJ nº 65.851.791/0001-09, com sede na Cidade de São Paulo (SP), é a Controladora dos dados pessoais tratados na Plataforma, nos termos da Lei nº 13.709/2018 (LGPD).

Encarregada de Dados (DPO): Esther Lima. Contato: atendimento@notaplena.com.br.

• Dados de cadastro: nome completo, e-mail, senha (armazenada com hash), telefone WhatsApp opcional.
• Dados da empresa: CNPJ, razão social, nome fantasia, inscrição municipal, regime tributário, anexo do Simples, cidade de emissão.
• Certificado digital A1: arquivo .pfx e respectiva senha, ambos criptografados em repouso (AES-256-GCM). Onde e por que o certificado é utilizado está detalhado, de forma exaustiva, na Declaração de Uso do Certificado Digital A1.
• Dados de NFS-e: notas emitidas e importadas, incluindo dados do tomador (nome, CPF/CNPJ, e-mail, endereço), valor, discriminação, código de serviço, alíquota e XML retornado pela Prefeitura.
• Documentos enviados para importação: arquivos PDF, imagem (JPG/PNG/WebP) ou XML que o Contratante faz upload para importar NFS-e existentes.
• Comandos de voz no site: a transcrição textual gerada pelo navegador a partir de comandos falados pelo Contratante (a transcrição é feita localmente pelo navegador via Web Speech API; nesse fluxo o Nota Plena não armazena nem recebe o áudio).
• Mensagens de voz no WhatsApp: quando o Contratante envia um áudio pelo WhatsApp, o arquivo de áudio é recebido pela Plataforma e transcrito por um serviço de fala-para-texto (Groq — modelo Whisper) para que o comando seja processado. Esse áudio pode conter dados pessoais e fiscais ditados (nome, CPF/CNPJ, valores). O áudio não é retido após a transcrição.
• Dados de uso: data e hora de acessos, IPs, ações realizadas (log de auditoria).
• Origem do cadastro: quando você se cadastra, registramos de onde chegou ao site pela primeira vez — os parâmetros do link ou da campanha (por exemplo, utm_source), o site de origem e a primeira página visitada. Essa informação fica no seu navegador por até 90 dias e só é enviada ao nosso servidor no cadastro; não é repassada a terceiros.
• Dados de autenticação: segredo TOTP para MFA, tokens de sessão.

• Prestar o serviço de emissão e gestão de NFS-e.
• Processar uploads de documentos e comandos de voz por meio de modelos de inteligência artificial, conforme detalhado na Seção 7.
• Autenticar o Contratante e proteger sua conta (MFA, log de auditoria, alertas de segurança).
• Cumprir obrigações legais e regulatórias (guarda de logs, documentos fiscais).
• Comunicar com o Contratante (boas-vindas, vencimento de certificado, falhas de emissão, atualizações da Plataforma).
• Melhorar a Plataforma (análise agregada e anonimizada de uso).

• Execução de contrato (art. 7º, V) — para prestar o serviço solicitado.
• Cumprimento de obrigação legal (art. 7º, II) — guarda de documentos fiscais e logs de auditoria.
• Legítimo interesse (art. 7º, IX) — segurança da Plataforma e prevenção a fraudes.
• Consentimento (art. 7º, I) — quando expressamente solicitado. É a base, e a única, dos cookies de publicidade e medição de anúncios nas páginas públicas (Seção 11) e do envio de comunicações de marketing. Nos dois casos a autorização é opcional, recusar é um clique e você pode voltar atrás quando quiser, sem que nada mude no seu uso da Plataforma.

Não vendemos seus dados. Compartilhamos com os fornecedores (operadores) necessários à operação da Plataforma, listados abaixo. Um único item desta lista não é necessário e depende da sua autorização — a medição de anúncios (Meta e Google), que está marcada como tal e explicada na Seção 11. Todo o resto acontece porque sem ele a Plataforma não funciona.

• Prefeituras Municipais e órgãos públicos competentes — para emissão, sincronização e cancelamento de NFS-e (sem essa transferência o serviço é impossível).
• Supabase (banco de dados PostgreSQL hospedado em região brasileira) — armazenamento.
• Fly.io (computação em região São Paulo / GRU) — execução do back-end.
• Cloudflare, Inc. (Estados Unidos, rede global) — rede de entrega e proteção na frente do site e da API (DNS, proxy e conexão segura). Toda requisição ao site e à API passa por ela: a Cloudflare encerra a conexão segura (TLS) na borda da rede dela e a reabre até o nosso servidor, e por isso recebe o endereço IP, o navegador, o endereço da página e o conteúdo da requisição — inclusive, quando o certificado digital A1 é enviado pelo site, o arquivo e a senha, que ela repassa sem guardar em cache. Registra dados de acesso (IP, página, horário) para a segurança da rede.
• Vercel (entrega do front-end via CDN global) — front-end estático e funções de borda. Inclui também a medição de audiência sem cookie (Vercel Analytics): a contagem de visitas é agregada, não grava cookie, não cria identificador estável e não segue o visitante entre sites. E inclui a função que consulta o registro CRC de um contador no Conselho Federal de Contabilidade a partir de região brasileira.
• Anthropic, PBC (Estados Unidos) — processamento de transcrições de voz, documentos enviados para importação (PDF / imagem) e mensagens recebidas via WhatsApp por modelos de inteligência artificial. Detalhes na Seção 7.
• Groq, Inc. (Estados Unidos) — transcrição (fala → texto) das mensagens de voz recebidas via WhatsApp, por meio do modelo Whisper. Recebe o áudio da mensagem e devolve a transcrição textual.
• Resend (e-mail transacional) — para enviar confirmações e alertas.
• Meta Platforms, Inc. (WhatsApp Business Cloud API) (Estados Unidos) — quando o Contratante opta por receber notificações ou enviar comandos por WhatsApp, as mensagens são processadas e entregues por meio da API oficial do WhatsApp Business Cloud, operada pela Meta. Trafegam por essa infraestrutura o número de telefone do Contratante e o conteúdo das mensagens trocadas com a Plataforma, sujeitos também aos termos do próprio WhatsApp aceitos pelo usuário final.
• Upstash, Inc. (cache Redis em região estadunidense) — armazenamento temporário de códigos de verificação (e-mail, WhatsApp), contadores de rate-limit e estado conversacional do bot, com TTLs curtos (até 10 minutos).
• Functional Software, Inc. (Sentry) (observabilidade de erros, Estados Unidos) — recebe traços de exceções e métricas de performance da Plataforma. Configurada com send_default_pii=false e amostragem reduzida para minimizar a exposição de dados pessoais em relatórios de erro.
• Telegram FZ-LLC (Emirados Árabes Unidos) — canal interno de alertas da equipe. Quando algo precisa de atenção humana (uma emissão que falhou, um certificado prestes a vencer, uma dúvida sem resposta), a equipe do Nota Plena é avisada por esse canal. O aviso identifica a empresa pela razão social e pelo CNPJ e descreve o evento. Uma pessoa física só é nomeada quando é ela quem precisa ser atendida: o contato que a própria pessoa deixou ao pedir uma resposta, com o texto do pedido, e o nome e o número do CRC de um contador cuja verificação está sendo decidida. O tomador de uma nota nunca aparece. Não trafegam por esse canal certificados digitais, senhas ou dados de cartão.
• Stripe, Inc. (Estados Unidos) — cobrança da assinatura. Recebe o e-mail de quem responde pela conta, a razão social ou o nome fantasia e o CNPJ da empresa. Os dados do cartão são digitados diretamente na Stripe e nunca passam pelos nossos servidores.
• Wise Payments Ltd. (Reino Unido) — recebimento por Pix. Recebe a referência e o valor da cobrança; a confirmação de pagamento volta identificando quem pagou.
• Stark Bank S.A. (Brasil) — emissão de cobranças por Pix e boleto e confirmação do pagamento. Recebe o CPF ou CNPJ e o nome de quem paga, o valor e o vencimento da cobrança; a confirmação de pagamento volta identificando a cobrança paga.
• SERPRO — Serviço Federal de Processamento de Dados (Brasil) — geração da guia DAS do MEI, via Integra Contador. Recebe o CNPJ da empresa e a competência da guia.
• Conselho Federal de Contabilidade (CFC) (Brasil) — conferência de que o contador parceiro tem registro CRC ativo. Recebe o número do registro e o nome declarado.
• BrasilAPI e ViaCEP (Brasil) — autopreenchimento de endereço e de cadastro, e calendário de feriados. Recebem apenas o CNPJ ou o CEP consultado. As consultas partem do nosso servidor, e não do navegador de quem preenche o formulário, de modo que esses serviços não recebem o endereço IP do visitante. São serviços públicos e gratuitos, sem contrato de operador — ver a ressalva no fim desta Seção.
• GitHub, Inc. (Estados Unidos) — repositório do código e triagem automática de erros técnicos. Recebe traços de exceção do servidor, na mesma categoria do que vai para o Sentry.
• Linear Orbit, Inc. (Estados Unidos) — registro dos pedidos de suporte e de melhoria. Recebe o e-mail de quem escreveu, se a conta é de empresa ou de contador, o nome fantasia da empresa e o texto do pedido.
• Surfbook (Brasil) — quando a empresa chega até nós por meio da plataforma Surfbook, consultamos ali a situação do cadastro. Recebe apenas o CNPJ da empresa.
• Surfbook — envio de cobranças por WhatsApp (Brasil e Estados Unidos). As cobranças que enviamos aos nossos clientes pelo WhatsApp saem do nosso número de atendimento por meio da infraestrutura de mensagens da Surfbook — uma conexão do tipo WhatsApp Web, que não é a API oficial do WhatsApp Business. Trafegam por ela o número de telefone e o nome do contato que recebe a cobrança, o texto da mensagem (saudação, valor e código Pix) e os arquivos anexos — o PDF da nota fiscal, com os dados de prestador e tomador, e o PDF do boleto. Pelo mesmo caminho, a nossa equipe recebe um aviso interno quando alguém se cadastra, com o primeiro nome e o telefone da pessoa ou, se ela não deixou telefone, apenas o e-mail. As mensagens seguem pela rede do próprio WhatsApp até o destinatário.
• Meta Platforms, Inc. e Google LLC — medição de anúncios, somente com o seu consentimento (Estados Unidos). Se — e somente se — você autorizar, as páginas públicas carregam o Meta Pixel e a tag do Google, para medirmos de onde vêm as visitas e o resultado dos nossos anúncios. Ao carregar, essas ferramentas recebem o seu endereço IP, o seu navegador e a página que você está vendo, e podem gravar cookies próprios. Sem a sua autorização o programa nem chega ao seu navegador. Detalhes de como a autorização funciona na Seção 11.
• Surfbook — espelho das conversas de WhatsApp (Brasil). Toda mensagem que você envia ao nosso WhatsApp é copiada, na íntegra e automaticamente, para o sistema de atendimento da Surfbook, onde a nossa equipe as responde. Trafegam por essa cópia o seu número de telefone, o nome do seu perfil no WhatsApp e o conteúdo integral das mensagens — o texto que você escreve, a legenda que você põe numa foto ou num documento e a referência do arquivo enviado. A cópia é do recebimento inteiro, sem seleção de campos, e acontece em toda mensagem, não só nas que a equipe responde.

Cada um desses fornecedores recebe apenas os dados estritamente necessários à finalidade contratada. Com uma ressalva, que registramos por transparência: a BrasilAPI e o ViaCEP são serviços públicos e gratuitos de consulta, sem contrato de operador. Por isso limitamos o que enviamos a eles ao CNPJ ou ao CEP consultado, e passamos essas consultas pelo nosso servidor para que não recebam o IP de quem está preenchendo o formulário. Os demais estão submetidos a contrato com cláusulas de confidencialidade e proteção de dados. A relação atualizada de operadores também está publicada em /legal/subprocessors.

Nota sobre transcrição de voz: o fluxo depende do canal. No site, a conversão de fala em texto é feita pelo próprio navegador do Contratante (Web Speech API); em alguns navegadores (notadamente Google Chrome) o áudio pode ser enviado a servidores do fabricante do navegador, conforme a política daquele fornecedor — esse fluxo está fora do controle do Nota Plena. No WhatsApp, como a mensagem de voz chega como um arquivo de áudio ao servidor da Plataforma, a transcrição é feita pela Groq Inc. (modelo Whisper), listada como operadora acima; o áudio não é retido pela Plataforma após a transcrição.

Alguns operadores listados na Seção 5 podem processar dados em servidores fora do Brasil, em particular:

• Anthropic, PBC — Estados Unidos.
• Groq, Inc. — Estados Unidos (transcrição de áudio de voz do WhatsApp).
• Vercel, Inc. — Estados Unidos (CDN global).
• Cloudflare, Inc. — Estados Unidos (rede global de entrega e proteção do site e da API).
• Meta Platforms, Inc. — Estados Unidos (API oficial do WhatsApp Business Cloud).
• Resend — Estados Unidos / União Europeia.
• Upstash, Inc. — Estados Unidos (cache Redis de curta duração).
• Functional Software, Inc. (Sentry) — Estados Unidos (observabilidade de erros).
• Telegram FZ-LLC — Emirados Árabes Unidos (canal interno de alertas da equipe).
• Stripe, Inc. — Estados Unidos (cobrança da assinatura).
• Wise Payments Ltd. — Reino Unido (recebimento por Pix).
• GitHub, Inc. — Estados Unidos (repositório de código e triagem automática de erros).
• Linear Orbit, Inc. — Estados Unidos (registro de pedidos de suporte).
• Google LLC — Estados Unidos (medição de anúncios, somente com o consentimento do visitante).
• Surfbook — envio de cobranças por WhatsApp — Brasil (São Paulo) e Estados Unidos: a infraestrutura de mensagens roda em servidores nas duas regiões.

Os demais operadores da Seção 5 tratam os dados no Brasil: Supabase (região brasileira), Fly.io (São Paulo/GRU), Stark Bank, SERPRO, o Conselho Federal de Contabilidade, a BrasilAPI, o ViaCEP, a Surfbook (na consulta de cadastro e no espelho das conversas) e as prefeituras.

Adotamos as salvaguardas previstas no art. 33 da LGPD, incluindo cláusulas contratuais específicas e/ou contratos-padrão (DPAs) com esses fornecedores. Duas exceções, declaradas: a BrasilAPI e o ViaCEP são serviços públicos e gratuitos, sem contrato — e tratam dados no Brasil, de modo que não há transferência internacional envolvida.

A Plataforma utiliza modelos de IA da Anthropic (família Claude) para três finalidades específicas:

• Comandos de voz: a transcrição textual do comando do Contratante é enviada ao modelo para identificar a intenção (emitir, cancelar, consultar) e extrair parâmetros (valor, tomador, número da nota). No WhatsApp, a conversão do áudio em texto é feita antes pela Groq (ver Seção 5); o modelo da Anthropic recebe apenas o texto, nunca o áudio. Comandos simples e frequentes são interpretados por regras determinísticas locais, sem envio a nenhum modelo de IA.
• Importação de NFS-e por imagem ou PDF: o arquivo enviado pelo Contratante é processado pelo modelo (vision) para extrair dados estruturados (CNPJ do prestador, razão social, inscrição municipal, código IBGE).
• Mensagens de WhatsApp: conteúdo recebido e respostas geradas para o fluxo conversacional via WhatsApp.

O Nota Plena utiliza a API empresarial da Anthropic, que por contrato não treina modelos com os dados enviados pelos clientes e segue o respectivo Adendo de Tratamento de Dados (DPA). Os dados enviados pela Plataforma à Anthropic são limitados ao mínimo necessário para a finalidade descrita.

Nenhuma dessas etapas executa, por si só, a emissão ou o cancelamento de uma NFS-e. Ações fiscais ocorrem apenas após confirmação explícita do Contratante na própria Plataforma.

• NFS-e e dados fiscais: mínimo de 5 anos após a emissão, em observância ao prazo decadencial e prescricional dos tributos (CTN, arts. 173 e 174) e às normas municipais aplicáveis ao ISS / NFS-e.
• Logs de auditoria e registros de acesso: mínimo de 6 meses, conforme Marco Civil da Internet (Lei 12.965/2014, art. 15), podendo se estender por exigência legal ou por necessidade de apuração de incidentes.
• Conta inativa: mantida enquanto houver dados fiscais a preservar; após esse prazo, anonimizada ou eliminada.
• Certificado digital A1: excluído mediante pedido do titular ou ao final do contrato, ressalvada a guarda do XML assinado das notas já emitidas.
• Documentos enviados para importação: arquivos de entrada (PDF/imagem/XML) podem ser descartados após a importação bem-sucedida; quando mantidos, seguem o prazo das NFS-e a que se referem.

O titular dos dados pode, a qualquer tempo:

• Confirmar a existência de tratamento de seus dados.
• Acessar seus dados.
• Corrigir dados incompletos, inexatos ou desatualizados.
• Solicitar a anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD.
• Solicitar a portabilidade dos dados.
• Solicitar a eliminação dos dados tratados com base em consentimento.
• Obter informação sobre os compartilhamentos realizados.
• Revogar o consentimento, ressalvado o tratamento sob outras bases legais.

Para exercer qualquer direito, escreva para atendimento@notaplena.com.br. Respondemos em até 15 dias.

Auto-atendimento na Plataforma:

• Hub LGPD: /privacidade reúne todas as ferramentas de auto-atendimento (exportar dados, excluir conta, contato com a DPO) em uma única página acessível também sem login.
• Portabilidade (art. 18 V): exporte uma cópia estruturada (JSON) de seus dados em /privacidade → Baixar meus dados ou em Configurações → Privacidade. O arquivo inclui cadastro, empresas, NFS-e emitidas (com XML), histórico de cobrança e logs de auditoria.
• Eliminação (art. 18 VI): solicite a exclusão anonimizada da sua conta em /privacidade → Excluir minha conta. Para confirmar, você deve digitar o seu próprio e-mail cadastrado — protege contra cliques acidentais e é irreversível após a confirmação.

O que mantemos por obrigação legal após a exclusão: os XML das NFS-e que você emitiu permanecem armazenados pelos prazos legais mínimos (mín. 5 anos — CTN art. 173 e 174), sob a base legal do art. 7º II da LGPD (cumprimento de obrigação legal). Em qualquer consulta, esses registros aparecem com o prestador identificado como “Empresa removida”: o CNPJ permanece (dado fiscal exigido por lei), mas razão social, nome fantasia e inscrição municipal são apagados. Todos os demais dados pessoais (nome, e-mail, telefone, senha, certificado digital, favoritos, recorrências) são anonimizados ou apagados imediatamente.

Adotamos medidas técnicas e administrativas razoáveis para proteger os dados, incluindo:

• criptografia em trânsito (TLS);
• criptografia em repouso para certificados (AES-256-GCM);
• na plataforma web, verificação em duas etapas (código TOTP) exigida antes de operações sensíveis — emitir, emitir em lote, programar recorrências e enviar o certificado. Pelo WhatsApp, onde digitar esse código não é possível, a identificação é feita pelo número de telefone verificado da conta, e para emitir exigimos que a conta tenha a verificação em duas etapas ativada. Integrações de parceiros se autenticam por chave de API;
• separação dos dados de cada empresa: em todas as telas, o acesso depende de vínculo ativo com a empresa, conferido pela aplicação a cada requisição; e nas rotas de emissão, certificado, clientes e equipe, entre outras, o próprio banco de dados também aplica essa separação (Row-Level Security). As demais rotas — entre elas o WhatsApp, as integrações e as rotinas automáticas — dependem da conferência feita pela aplicação;
• log de auditoria das ações relevantes (como emissão, cancelamento, envio e exclusão de certificado e exclusão de conta), no qual a aplicação apenas acrescenta registros — não há função que altere ou apague um registro existente.

Nenhum sistema é 100% seguro; em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos os afetados e a ANPD nos prazos legais (LGPD, art. 48).

A Plataforma utiliza apenas armazenamento técnico estritamente necessário ao seu funcionamento. A autenticação do Contratante usa cookies de sessão próprios: np_access (acesso, válido por 30 minutos) e np_refresh (renovação da sessão, até 30 dias), ambos marcados como httpOnly — o código da página não consegue lê-los — e, no site em produção, enviados somente por conexão segura (HTTPS). Um terceiro cookie, np_logged_in, apenas indica ao site que há uma sessão aberta; ele não é credencial, e toda requisição continua sendo conferida pelo servidor. Nenhum token de acesso fica guardado no armazenamento local do navegador.

O armazenamento local do navegador (LocalStorage) guarda apenas preferências e informações técnicas: a empresa selecionada, o progresso do tour de boas-vindas, os parâmetros do plano ou do convite com que você chegou ao cadastro e a origem da primeira visita (Seção 2). A sua escolha sobre cookies de publicidade fica num cookie próprio, descrito abaixo.

Medição de audiência sem cookie. Usamos o Vercel Analytics para contar visitas de forma agregada. Ele não grava cookie, não cria identificador estável e não segue você entre sites; os números ficam no painel da Vercel e não entram no nosso banco de dados.

Publicidade e medição com o seu consentimento. Se — e somente se — você autorizar, carregamos o Meta Pixel (Meta Platforms, Inc.) e a tag do Google (Google LLC) nas nossas páginas públicas, para medir de onde vêm as visitas e o resultado dos nossos anúncios. Ao carregar, essas ferramentas recebem o seu endereço IP, o seu navegador e a página que você está vendo, e podem gravar cookies próprios no seu navegador. As duas estão na lista de sub-processadores.

Como a autorização funciona. Nada disso é carregado antes de você escolher: sem autorização, o programa nem chega ao seu navegador. Recusar é um clique, exatamente como aceitar, e não muda nada no site nem no uso da Plataforma. A sua escolha fica guardada neste navegador por 180 dias e pode ser mudada a qualquer momento em Preferências de cookies, no rodapé de qualquer página pública e em /privacidade. Se o seu navegador enviar o sinal Global Privacy Control (ou o antigo Do Not Track), tratamos isso como recusa e nem perguntamos.

Onde nunca perguntamos. As telas usadas pelo tomador de uma nota — a leitura de um QR de dados, a montagem do próprio QR, a correção de dados por link e a visualização pública de uma NFS-e — não carregam publicidade nem pedem esse consentimento. Quem está ali é cliente de um cliente nosso, não visitante do nosso site.

Fora isso, não usamos perfilamento de marketing sobre o uso da Plataforma, nem ferramentas de gravação de sessão ou mapa de calor (Hotjar, Mixpanel, Clarity e semelhantes).

A Plataforma é destinada a empresas e profissionais autônomos com inscrição municipal e não é direcionada a menores de 18 anos. Não coletamos intencionalmente dados de crianças ou adolescentes. Caso identifiquemos coleta indevida, eliminaremos os dados imediatamente. Pedidos podem ser enviados à DPO.

Podemos atualizar esta Política a qualquer tempo. Mudanças materiais serão comunicadas pela Plataforma e exigirão novo aceite expresso do Contratante antes do próximo uso. O histórico de aceites é registrado em log auditável.

Encarregada de Dados: Esther Lima — atendimento@notaplena.com.br.

Você também pode contatar a Autoridade Nacional de Proteção de Dados (ANPD) pelo site gov.br/anpd.