Política de Privacidade

1. Quem Somos e Papéis na LGPD (Controlador, Operador e Software Houses)

Esta Política de Privacidade descreve como a plataforma NFER (“nós”) coleta, utiliza, armazena, compartilha e protege dados pessoais decorrentes do acesso ao nosso site, painel web e APIs REST de emissão fiscal. Contato oficial: contato@nfer.me.

Nos termos da Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 — LGPD), atuamos sob diferentes papéis conforme o modelo de contratação:

• Controlador de Dados: Em relação aos dados cadastrais dos Usuários diretos da conta (administradores, operadores e pessoas de contato), dados de navegação e informações de faturamento de planos.
• Operador de Dados: Em relação aos dados de terceiros (consumidores finais, tomadores de serviço, destinatários de notas fiscais) inseridos no sistema para a emissão de NF-e, NFC-e, NFS-e e DC-e. Nessa modalidade, o Usuário emitente atua como o Controlador desses dados pessoais perante a LGPD e o Fisco, cabendo ao NFER processá-los estritamente para a geração, assinatura, validação e transmissão dos documentos fiscais por determinação do Usuário.
• Relação com Software Houses e Integradores (Sub-operação): Quando o NFER é contratado por uma Software House ou desenvolvedor integrador para gerenciar a emissão de múltiplos clientes finais (modelo B2B2B / Multi-CNPJ), a Software House e/ou seus clientes finais figuram como Controladores dos dados perante os titulares, sendo a Software House integralmente responsável por obter as devidas autorizações legais de seus clientes para o processamento e compartilhamento dessas informações com o NFER, que atua como fornecedor de infraestrutura tecnológica (Sub-operador).

2. Dados Pessoais que Tratamos

• Dados de Cadastro e Conta: Nome completo, endereço de e-mail corporativo ou pessoal, número de telefone, cargo/função e credenciais criptografadas de autenticação.
• Dados da Empresa Emitente: CNPJ, Razão Social, Nome Fantasia, Inscrição Estadual (IE), Inscrição Municipal, Código de Regime Tributário (CRT) e endereço do estabelecimento.
• Dados Financeiros e de Faturamento (Stripe): Nome do titular da cobrança, CPF/CNPJ de faturamento, telefone e registros de faturas. Para pagamentos via cartão de crédito, o processamento é realizado de forma segura diretamente pela infraestrutura da parceira Stripe (PCI-DSS Nível 1). O NFER não coleta nem armazena o número completo do cartão de crédito ou o código de segurança (CVC/CVV), retendo unicamente metadados seguros (como bandeira e 4 últimos dígitos) e tokens gerados pelo gateway para identificação no painel.
• Dados Operacionais Fiscais: Dados de clientes e fornecedores do emitente (nome/razão social, CPF/CNPJ, endereço, e-mail do destinatário para envio automático de XML/DANFE), produtos, valores, alíquotas tributárias, protocolos de autorização e arquivos XML assinados.
• Certificado Digital A1: Arquivo do certificado digital (.pfx/.p12) e senha criptografada em repouso, utilizados exclusivamente para a assinatura digital e comunicação eletrônica com os webservices fiscais.
• Logs Técnicos e Navegação: Endereço IP, data e hora de conexão, identificador de dispositivo, navegador, rotas de API acessadas e cookies de sessão essenciais.
• Comunicações e Suporte: Histórico de mensagens trocadas via e-mail e canais oficiais de suporte (WhatsApp e chamados).

3. Finalidades e Bases Legais do Tratamento (LGPD)

Tratamos os dados pessoais com amparo nas bases legais previstas no Artigo 7º da LGPD:

• Execução de Contrato (Art. 7º, V): Prestação dos serviços de software, emissão fiscal, consultas de status, disponibilização de APIs e gestão de assinaturas;
• Cumprimento de Obrigação Legal e Regulatória (Art. 7º, II): Transmissão de notas fiscais à SEFAZ e prefeituras, guarda de logs de conexão nos termos do Marco Civil da Internet (Lei nº 12.965/2014) e cumprimento de prazos tributários e fiscais;
• Prevenção a Fraudes e Segurança da Aplicação (Art. 7º, IX e X): Validação de identidade, segurança de infraestrutura e controle de elegibilidade a períodos de teste gratuito (trial);
• Exercício Regular de Direitos (Art. 7º, VI): Resguardo jurídico do NFER em eventuais processos judiciais, administrativos ou arbitrais;
• Legítimo Interesse (Art. 7º, IX): Melhorias contínuas no software, suporte técnico ao usuário e envio de avisos operacionais críticos da plataforma.

4. Compartilhamento de Dados com Terceiros

Os dados pessoais podem ser compartilhados estritamente na medida necessária com:

• Órgãos da Administração Pública Fazendária: Secretarias de Fazenda Estaduais (SEFAZ), Receita Federal do Brasil e Secretarias de Finanças Municipais, conforme exigência legal de transmissão e autorização de notas fiscais;
• Processador de Pagamentos (Stripe): Instituição de pagamento responsável pelo processamento de transações com cartão de crédito, prevenção a chargebacks e faturamento recorrente sob padrões PCI-DSS;
• Provedores de Inteligência Artificial (Google Gemini e outros): Ao utilizar assistentes de IA, chat interativo ou ferramentas de agentes MCP para emissão, correção de notas fiscais ou resolução de rejeições tributárias, dados contextuais e instruções inseridas são transmitidos via API aos modelos de linguagem parceiros exclusivamente para o processamento em tempo real da solicitação, em conformidade com as diretrizes de privacidade desses provedores;
• Provedores de Infraestrutura, Nuvem e E-mail Transacional (AWS): Servidores de hospedagem em nuvem, bancos de dados e serviços de envio de e-mails transacionais e fiscais (como Amazon Web Services / AWS SES), utilizados para a entrega automatizada de arquivos XML, DANFEs, faturas e avisos de segurança da plataforma aos e-mails cadastrados dos destinatários e emissores, sob estritos acordos de confidencialidade e segurança;
• Parceiros de Integração (ERP): No caso de contas provisionadas ou operadas através de plataformas parceiras integradas, conforme autorizado pelo Usuário;
• Autoridades Governamentais e Judiciais: Mediante determinação legal expressa, ordem judicial ou requisição fundamentada de autoridade competente.

O NFER não comercializa, não aluga e não vende dados pessoais sob nenhuma circunstância.

5. Inteligência Artificial, Agentes Autônomos e Protocolo MCP

Ao utilizar os recursos de IA integrados à plataforma ou ao conectar agentes externos e clientes compatíveis com o protocolo MCP (Model Context Protocol) para interagir com a API do NFER, aplicam-se as seguintes regras de tratamento de dados:

• Finalidade Específica: O envio de dados a modelos de linguagem (como Google Gemini) tem como única finalidade auxiliar o Usuário na compreensão de mensagens técnicas, preenchimento de campos, categorização fiscal de itens e resolução de erros de rejeição fazendária;
• Responsabilidade pelo Input do Usuário: O Usuário é o controlador dos dados que escolhe fornecer nos comandos, instruções (prompts) e mensagens aos agentes. Recomendamos fortemente que o Usuário não envie dados sensíveis desnecessários às tarefas fiscais;
• Agentes Conectados via MCP: O NFER disponibiliza ferramentas que permitem a agentes de IA consultar dados e emitir documentos fiscais mediante autorização da conta. As ações tomadas por agentes parametrizados pelo Usuário são de exclusiva responsabilidade do próprio Usuário, que deve auditar e revisar as saídas e notas fiscais geradas antes e após a autorização no Fisco.

7. Transferência Internacional de Dados

Para assegurar alta disponibilidade, escalabilidade e segurança de ponta, o NFER utiliza infraestrutura de nuvem global, provedores de mensageria e e-mail transacional (como Amazon Web Services / AWS), ferramentas de Inteligência Artificial (como Google Gemini) e o gateway de pagamento Stripe cujos datacenters e servidores podem estar localizados nos Estados Unidos ou em outras regiões no exterior.

Nesses casos, a transferência internacional de dados é realizada em estrita observância ao Artigo 33 da LGPD, mediante prestadores de serviços de classe mundial que adotam medidas técnicas rigorosas de segurança, criptografia em trânsito e em repouso, certificações de conformidade (como SOC 2, ISO 27001 e PCI-DSS) e salvaguardas contratuais adequadas.

8. Webhooks e Segurança de Integrações

Ao configurar endpoints de webhook na plataforma para receber eventos automatizados (ex.: autorização ou rejeição de NF-e), os dados do evento serão encaminhados ao endereço URL por você cadastrado. É de sua responsabilidade manter a infraestrutura de recebimento segura e validar a integridade das requisições por meio do segredo compartilhado (secret HMAC).

9. Retenção e Eliminação de Dados (LGPD)

Os dados pessoais são mantidos pelo período necessário para atender às finalidades para as quais foram coletados, respeitando os prazos legais de retenção obrigatória (incluindo o prazo de 6 meses para registros de conexão previsto no Marco Civil da Internet e os prazos prescricionais fiscais e cíveis).

Caso o Usuário opte por encerrar sua conta por meio do painel de Configurações (em /dashboard/account/delete), todos os cadastros operacionais ativos, produtos, clientes, certificados digitais e credenciais serão permanentemente excluídos.

Conforme preconiza o Art. 16 da LGPD, o NFER conservará unicamente os logs de conexão pelo prazo legal e identificadores mínimos pseudonimizados (hashes criptográficos SHA-256 de CPF/CNPJ e e-mail) para fins exclusivos de segurança, prevenção a fraudes cadastrais e verificação de elegibilidade a períodos de teste gratuito (trial).

10. Segurança da Informação

Adotamos salvaguardas técnicas e administrativas para proteger os dados pessoais contra acessos não autorizados, incidentes de segurança, destruição ou perda acidental, incluindo:

• Criptografia de ponta a ponta nas comunicações web e de API via HTTPS / TLS 1.3;
• Criptografia em repouso de certificados digitais A1 e chaves confidenciais;
• Isolamento lógico e segregação de ambientes multi-tenant de banco de dados;
• Controles rígidos de acesso com privilégio mínimo e monitoramento de logs de segurança.

11. Direitos dos Titulares de Dados (LGPD)

Em conformidade com o Artigo 18 da LGPD, você, enquanto titular de dados pessoais, pode a qualquer momento solicitar:

• Confirmação da existência de tratamento e acesso aos dados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a lei;
• Portabilidade dos dados a outro fornecedor de serviço, mediante requisição expressa;
• Informação sobre as entidades públicas e privadas com as quais o NFER realizou uso compartilhado de dados;
• Revogação do consentimento, quando aplicável.

Para exercer qualquer um desses direitos, basta enviar sua solicitação para o e-mail de nosso Encarregado de Proteção de Dados: contato@nfer.me.

13. Alterações desta Política

Podemos atualizar esta Política de Privacidade periodicamente para refletir melhorias técnicas, novas funcionalidades ou atualizações legislativas. A versão atualizada entrará em vigor a partir da data de revisão indicada no início da página, podendo alterações relevantes ser comunicadas via aviso no painel ou e-mail cadastrado.

14. Termos de Uso

O uso dos serviços da plataforma também se sujeita integralmente às disposições dos nossos Termos de Uso.