Política de privacidade

Versão 2026-10-12.2, de 12 de outubro de 2026. Atualizada em 21 de outubro de 2026: as imagens anexadas a um relato de bug e a lista de aviso sobre novidades do guia.

Esta política explica quais dados pessoais o NotaFlow trata, para quê, com quem os compartilha, por quanto tempo os guarda e como você exerce os seus direitos, conforme a Lei Geral de Proteção de Dados (Lei 13.709/2018, LGPD) e o Marco Civil da Internet (Lei 12.965/2014).

1. Quem é o controlador

TALITA PIRES DALCORTIVO CONSULTORIA EM TECNOLOGIA DA INFORMACAO LTDA, nome fantasia Vapulab, CNPJ 67.819.917/0001-93, Rua Alexander Graham Bell, 434, Parque Jamaica, Londrina/PR, CEP 86063-250.

A Vapulab é agente de tratamento de pequeno porte e, conforme o art. 11 da Resolução CD/ANPD 2/2022, não indicou encarregado. O canal para falar conosco sobre dados pessoais é [email protected]. Outros assuntos: [email protected].

2. Dois papéis diferentes

Controladora: a Vapulab decide sobre os dados de quem usa o NotaFlow (o seu cadastro, o seu acesso e o uso do serviço).
Operadora: os dados dos clientes da sua empresa (os tomadores das notas) e das próprias notas são tratados pela Vapulab em nome da sua empresa, que é a controladora deles. Tratamos esses dados só para executar o serviço que você pede. Não usamos esses dados para fins próprios. As regras desse tratamento estão nos Termos de uso.

3. Que dados tratamos, para quê e com que base legal

Dados	Para quê	Base legal (LGPD, art. 7º)
Nome, e-mail, senha (guardada só como hash), passkeys, identificador da conta Google	Criar a conta, autenticar e falar com você sobre o serviço	Execução de contrato ou de procedimentos preliminares (V), quando você é parte; legítimo interesse (IX), quando você age como representante ou membro convidado de uma empresa
O link de campanha por onde você chegou ao cadastro, como "utm_source=instagram"	Saber quais canais de divulgação trazem novas contas	Legítimo interesse (IX)
E-mail de uma pessoa convidada	Enviar o convite	Legítimo interesse (IX)
Cartão CNPJ (o arquivo), dados da empresa, receita dos últimos 12 meses, configuração fiscal	Cadastrar o emitente e calcular as alíquotas da nota	Execução de contrato (V)
Dados públicos do CNPJ consultados na BrasilAPI ou no CNPJá, que podem trazer nomes de sócios e administradores	Conferir e cadastrar o emitente; guardamos só os dados da empresa e as atividades	Legítimo interesse (IX), dados tornados públicos (art. 7º, §§ 3º e 4º)
Certificado digital A1 e a senha dele, que podem conter o nome e o CPF do responsável pela empresa	Assinar e enviar ao sistema nacional as notas e os cancelamentos que você pede, e consultar as notas do emitente	Legítimo interesse (IX) em executar o serviço contratado pela empresa; o nome e o CPF são tratados só porque estão no certificado
Notas fiscais e dados dos tomadores: nome, CPF ou CNPJ, NIF, endereço, e-mail, telefone	Emitir, copiar, consultar e cancelar notas	Como operadora, conforme as instruções da sua empresa; para a empresa, cumprimento de obrigação legal (II) e execução de contrato (V)
Endereço IP, navegador, data e hora de acesso e de cada ação relevante	Segurança, prevenção de fraude, trilha de auditoria e a guarda de registros de acesso exigida pelo Marco Civil (art. 15)	Cumprimento de obrigação legal (II) e legítimo interesse (IX)
IP e sinais técnicos do navegador nas telas de cadastro e entrada	Bloquear robôs (Cloudflare Turnstile)	Legítimo interesse (IX)
Aceite destes documentos: versão, data, IP e navegador	Provar o aceite dos termos e desta política	Exercício regular de direitos (VI)
Imagens que você anexa a um relato de bug (até 3 capturas de tela), que podem mostrar dados dos clientes da sua empresa	Reproduzir e corrigir o bug. Só a equipe do NotaFlow vê as imagens, na área de administração. Elas nunca vão para a issue pública no GitHub	Legítimo interesse (IX) em corrigir o serviço; para os dados dos clientes da sua empresa, como operadora, conforme as instruções dela
Lista de aviso sobre novidades do guia: e-mail, interesses marcados, página de origem e link da campanha, se houver	Avisar quando o NotaFlow passar a atender o MEI, o Lucro Presumido ou a ajudar com o certificado digital	Consentimento (I)
Uso do serviço: páginas vistas, ações no app e gravações da navegação (cliques, rolagem e o desenho das telas) com todo texto e todo campo mascarados, de modo que nenhum nome, documento, valor ou senha aparece; tudo ligado a um identificador interno, sem o seu e-mail, nome ou IP	Entender o uso, encontrar telas que confundem ou falham, e melhorar o produto	Legítimo interesse (IX). Você pode se opor pelo [email protected], e paramos de medir o seu uso.

Não vendemos dados pessoais e não os usamos para publicidade. O NotaFlow não se destina a menores de 18 anos. Se uma nota tiver um tomador menor de idade, a empresa emitente, como controladora, responde por esse tratamento.

4. Com quem compartilhamos

Só com quem é necessário para o serviço funcionar:

Sistema nacional da NFS-e (governo federal): recebe as notas e os cancelamentos, e devolve as notas do emitente.
Hostinger, no Brasil (servidor virtual): guarda o banco de dados e as cópias de segurança, e executa o serviço.
Cloudflare (EUA e rede mundial): todo o tráfego entre o seu navegador e o NotaFlow passa por ela, inclusive o envio do certificado e das senhas. Ela também faz a verificação contra robôs (Turnstile) e guarda uma cópia de segurança diária do banco de dados, cifrada antes de sair do nosso servidor, que ela não consegue ler. As imagens anexadas a um relato de bug ficam em um armazenamento privado dela (Cloudflare R2), sem acesso público.
Resend (EUA): envia os e-mails de código, de recuperação de senha, de convite, de boas-vindas e de lembretes.
Google (EUA): só se você escolher entrar com Google.
PostHog (EUA): medição de uso do produto e gravações da navegação com todo o texto mascarado, sem cookies, sem o seu e-mail e sem o seu IP.
Sentry (EUA): recebe os relatórios de erro técnicos do NotaFlow, para corrigirmos falhas. Antes de sair, o relatório perde e-mails, CPFs, CNPJs, cookies, cabeçalhos e parâmetros de busca; ele não leva o seu IP nem o seu nome, só o identificador interno do usuário.
BrasilAPI e CNPJá: consulta pública do CNPJ da sua empresa; ViaCEP: consulta de endereço pelo CEP; Banco Central: cotação PTAX. Essas consultas enviam só o CNPJ, o CEP ou a data.
Have I Been Pwned: confere se uma senha nova já vazou. Enviamos só o começo do hash da senha, nunca a senha.
Autoridades: quando a lei ou uma ordem judicial exigir.

5. Transferência internacional

Cloudflare, Resend, Google, PostHog e Sentry tratam dados fora do Brasil. Essas transferências se apoiam no art. 33 da LGPD: nas cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD 19/2024), quando o fornecedor as adota, ou, quando a transferência é necessária para executar o contrato com você, no inciso IX do art. 33. Você pode pedir pelo [email protected] mais informações sobre cada transferência e a cópia das cláusulas aplicáveis.

6. Por quanto tempo guardamos

Conta e cadastro: enquanto a conta estiver ativa. Depois do encerramento, anonimizamos os dados pessoais da conta em até 30 dias, salvo os registros dos itens abaixo.
Notas e dados dos tomadores: guardamos em nome da empresa emitente enquanto a conta estiver ativa. Depois do encerramento, mantemos por mais 90 dias para a empresa pedir uma cópia e então anonimizamos os dados pessoais, salvo instrução diferente da empresa. A guarda fiscal de 5 anos (arts. 173 e 195, parágrafo único, do Código Tributário Nacional) é obrigação da empresa, e a fonte oficial das notas é o sistema nacional.
Registros de acesso (IP, data e hora): 6 meses, como exige o art. 15 do Marco Civil da Internet. Depois, anonimizamos o IP, salvo ordem judicial ou investigação em curso.
Trilha de auditoria e registro de aceite: até 5 anos depois do encerramento da conta, para a defesa da Vapulab e da empresa em processos (exercício regular de direitos).
Certificado digital: enquanto o emitente estiver ativo e o certificado for válido. Quando você troca o certificado, remove o emitente ou pede a eliminação, destruímos em até 5 dias úteis a chave que decifra o arquivo e a senha. A partir daí, o arquivo cifrado que fica no banco não pode mais ser lido por ninguém, nem por nós. As cópias de segurança que ainda o contêm são apagadas em até 30 dias.
Gravações da navegação: até 30 dias no PostHog, sem nenhum texto legível.
Relatórios de erro: até 30 dias no Sentry.
Imagens de um relato de bug: enquanto o bug está aberto e até 30 dias depois que ele é corrigido. Então as apagamos da Cloudflare. Se o bug voltar a ser aberto antes desse prazo, as imagens ficam até a nova correção.
Lista de aviso sobre novidades: até a novidade chegar ou até você pedir para sair, o que acontecer primeiro. Então anonimizamos o seu e-mail.
Cópias de segurança: 14 dias no nosso servidor e 30 dias, cifradas, na Cloudflare. Um dado anonimizado sai das cópias quando elas vencem.

O banco de dados do NotaFlow não apaga linhas. Quando um prazo acima termina, ou quando você pede a eliminação e a lei permite, trocamos os dados pessoais por valores que não identificam ninguém (anonimização, arts. 12 e 16 da LGPD).

7. Como protegemos

O certificado e a senha dele ficam cifrados com AES-256-GCM, com a chave fora do banco de dados.
A conexão é sempre cifrada (HTTPS), e as senhas ficam guardadas só como hash.
A passkey usa a biometria só no seu aparelho; recebemos apenas uma chave pública.
Cada conta só vê os próprios dados, e as ações relevantes ficam na trilha de auditoria.
Fazemos cópias de segurança diárias do banco de dados, com uma cópia cifrada fora do servidor.

Se um incidente de segurança puder causar risco ou dano relevante a você, comunicamos a você e à ANPD em até 3 dias úteis depois de sabermos que ele atingiu dados pessoais, como mandam o art. 48 da LGPD e a Resolução CD/ANPD 15/2024. A comunicação diz o que aconteceu, quais dados foram atingidos, os riscos, o que fizemos e o que você pode fazer. Quando o incidente atingir dados que tratamos em nome da sua empresa, avisamos a empresa sem demora, para que ela faça as comunicações que cabem a ela.

8. Cookies e armazenamento no navegador

Cookie de sessão (NotaFlow): mantém você conectado por até 30 dias. É essencial, e sem ele o app não funciona.
Cookies da Cloudflare (por exemplo, __cf_bm e os do Turnstile): segurança e bloqueio de robôs. São essenciais.
Armazenamento local do navegador: guarda o tema claro ou escuro e, durante o envio de uma nota, os dados desse envio, para não emitir a mesma nota duas vezes se a conexão cair. Esses dados saem do navegador quando a emissão termina.

A medição de uso (PostHog) não grava nada no seu navegador. Não usamos cookies de publicidade nem de rastreamento entre sites.

9. Os seus direitos

Pelo art. 18 da LGPD, você pode pedir, a qualquer momento:

confirmação de que tratamos dados seus, e acesso a eles;
correção de dados incompletos, inexatos ou desatualizados;
anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
portabilidade dos dados;
informação sobre com quem compartilhamos os dados;
revisão de decisões tomadas só de forma automatizada;
oposição a um tratamento baseado no legítimo interesse, quando ele não cumprir a lei.

Escreva para [email protected]. Podemos pedir uma confirmação de identidade antes de atender. A confirmação simples de que tratamos dados seus é imediata; a declaração completa sai em até 15 dias (art. 19 da LGPD). Quando você pede a eliminação, anonimizamos os dados, salvo os que a lei manda guardar, e dizemos quais ficam e por quê. Se o pedido for sobre dados de um tomador de nota, informamos ao titular qual empresa é a controladora e encaminhamos o pedido a ela. Você também pode reclamar à ANPD.

10. E-mails sobre o uso do NotaFlow

Além dos e-mails de serviço (código de acesso, recuperação de senha, convite e boas-vindas), o dono da conta recebe lembretes sobre o uso do NotaFlow: quando o cadastro para no meio, quando o cadastro termina mas nenhuma nota é emitida, e quando a empresa passa muito tempo sem emitir. São no máximo dois lembretes em cada situação, um por dia no máximo, de segunda a sexta e em horário comercial. Membros convidados não recebem lembretes.

A base legal é o legítimo interesse (art. 7º, IX, da LGPD) em ajudar quem escolheu o serviço a usá-lo. Os lembretes usam só o seu nome, o seu e-mail, a etapa do cadastro e a data da última nota; nunca o conteúdo das notas ou os dados dos seus clientes. Todo lembrete tem um link para se descadastrar, e você também pode desligar os lembretes no seu perfil. O descadastro vale na hora, inclusive para um lembrete que já estava na fila.

Se você responder a um lembrete, a resposta chega ao [email protected] e é tratada como qualquer mensagem enviada a esse endereço. Guardamos o registro de cada lembrete enviado por 5 anos depois do encerramento da conta, como prova de que o seu descadastro foi respeitado.

11. Lista de aviso sobre novidades

O guia do NotaFlow tem um formulário para quem quer ser avisado quando o NotaFlow passar a atender o MEI, o Lucro Presumido ou a ajudar com o certificado digital. Se você usar o formulário, guardamos o seu e-mail, os interesses que você marcou, a página em que você estava e o link da campanha que trouxe você, se houver. Usamos esses dados só para avisar você sobre essas novidades, com base no seu consentimento (art. 7º, I, da LGPD). Para sair da lista, escreva para [email protected]; o descadastro automático vem no primeiro e-mail que enviarmos. Guardamos os dados até que a novidade chegue ou até que você peça para sair, o que acontecer primeiro.

12. Mudanças nesta política

Uma mudança relevante, que reduz os seus direitos ou trata os seus dados para uma finalidade que não tem relação com o serviço, é avisada por e-mail e no serviço com pelo menos 15 dias de antecedência, salvo quando a lei ou uma autoridade exigir prazo menor, e pedimos o seu aceite da nova versão. Uma atualização, como um esclarecimento ou um fornecedor novo para a mesma finalidade, vale quando publicada, e mostramos um aviso no serviço, sem pedir um novo aceite.