Política de Privacidade

Última atualização: Pendente data da publicação — definir junto com a revisão jurídica.

Esta política explica quais dados a plataforma coleta, para que usa, com quem compartilha e o que você pode exigir. Ela foi escrita a partir do próprio código do sistema: o que está descrito aqui é o que o programa faz hoje.

Está escrita para ser lida por quem toca o negócio, não por advogado. Onde existe um limite real do sistema, ele está dito — não escondido.

1. Quem responde pelos seus dados

Quem opera a plataforma e responde pelos seus dados é a empresa identificada no quadro no topo desta página. O canal para qualquer assunto de privacidade é o e-mail que aparece ali — inclusive para pedir cópia, correção ou exclusão dos seus dados.

Pendente definir se será indicado um encarregado (DPO) formal e, em caso afirmativo, qual o nome e o contato. Decisão do dono, com apoio jurídico — envolve avaliar o enquadramento como agente de tratamento de pequeno porte perante a ANPD.

2. O que coletamos e para que serve

A tabela abaixo lista, campo a campo, o que o sistema guarda e para que ele usa cada coisa. A coluna da direita é a finalidade real, lida no código — não uma justificativa genérica.

2.1 O que você informa ao criar a conta

Seu nome

Identificar você dentro do sistema e assinar as ações que você registra (a trilha de auditoria guarda o nome de quem fez cada coisa).

Seu e-mail

É o seu login. Também é para onde vai o link de recuperação de senha.

Sua senha

Autenticar você. A senha nunca é guardada como você a digitou: o que fica no banco é um hash bcrypt. Nem nós conseguimos ler a sua senha — se você esquecer, o caminho é redefinir, não recuperar.

Seu WhatsApp / telefone

Contato e, se você quiser, envio de avisos. O número é guardado no formato internacional. Confirmar a posse dele é opcional e feito por um código.

Não pedimos e não guardamos a sua data de nascimento, o seu CPF ou qualquer documento seu no cadastro. Também não existe login por Google ou por rede social: só e-mail e senha.

Aviso honesto sobre um limite do sistema: hoje o e-mail informado no cadastro não passa por confirmação. Ninguém precisa clicar num link para ativar a conta, e por isso não temos como garantir que o e-mail cadastrado pertence de fato a quem cadastrou.

2.2 Dados da sua empresa

Nome, categoria, descrição, logo e capa

Identificar o negócio dentro do sistema e nos documentos que ele gera (orçamento, pedido).

Telefone, e-mail, cidade, estado, site, Instagram e WhatsApp da empresa

Contato do negócio, usado nos documentos que você emite e no canal de avisos.

Chave PIX e cidade do recebedor

Gerar o código PIX de cobrança dos seus pedidos. A chave é sua e serve para você receber — nunca é usada para cobrar você.

Regime tributário, metas, investimento inicial e saldo de abertura

Alimentar o cálculo de preço, o acompanhamento do teto do MEI e o painel financeiro.

2.3 Dados de cobrança (só quando você vai assinar)

Estes campos só aparecem no momento em que você decide assinar um plano. Quem está no período de teste nunca chega a informá-los.

Nome ou razão social do responsável pela cobrança

Emitir a cobrança em nome de quem paga.

CPF ou CNPJ

Identificar o pagante. É o único documento que o sistema pede, e ele existe só por causa da cobrança.

E-mail e telefone de cobrança

Enviar cobrança, recibo e aviso de vencimento.

Endereço completo (CEP, rua, número, complemento, cidade, estado)

Endereço de cobrança exigido pelos meios de pagamento.

Para preencher o endereço mais rápido, quando você digita o CEP o sistema consulta o serviço público ViaCEP. Nessa consulta sai apenas o CEP — nem o seu nome, nem o seu documento, nem o resto do endereço.

Dados de cartão de crédito nunca passam pelos nossos servidores. Não existe campo de cartão em lugar nenhum da plataforma: o pagamento acontece na página do próprio provedor, e não guardamos número, validade nem código de segurança.

2.4 O que você registra usando o sistema

É o miolo do produto e o maior volume de informação: produtos, matérias-primas e fornecedores, receitas de produção, vendas, pedidos e orçamentos, despesas e despesas recorrentes, retiradas (inclusive pró-labore), investimentos, movimentos de estoque, contagens de inventário, perdas, metas, pagamentos de DAS e obrigações fiscais.

Alguns desses lançamentos aceitam anexo (nota fiscal, comprovante de PIX, recibo, foto ou desenho de produção). O arquivo anexado é guardado dentro do nosso próprio banco de dados, junto com o lançamento. Não usamos serviço externo de armazenamento de arquivos, e o mesmo vale para o logo e a capa da empresa, que são redimensionados no seu próprio navegador antes de serem salvos.

O sistema também guarda uma trilha de auditoria da sua empresa: quem fez o quê e quando (senha alterada, verificação em duas etapas ligada ou desligada, membro adicionado ou removido, dados exportados, autorização de WhatsApp concedida ou revogada). O nome de quem agiu fica registrado como cópia, para o histórico continuar legível mesmo depois que a pessoa sai da equipe.

Sobre navegação dentro do sistema, guardamos o mínimo: apenas a data da primeira vez que cada módulo foi aberto, para saber o que você ainda não conhece. Não há contagem de acessos, não há histórico de navegação, não há registro de qual usuário abriu, nem de qual endereço IP.

2.5 Os dados dos SEUS clientes

Se você cadastra clientes, você está colocando no sistema dados de outras pessoas: nome, telefone, e-mail, cidade, estado, Instagram, observações, origem da venda e histórico de compras.

Uma escolha de projeto que vale explicar: o aniversário do cliente é guardado apenas como dia e mês, sem o ano. Dia e mês bastam para você mandar uma mensagem na data; o ano revelaria a idade, que o produto não precisa — e campo que não existe não vaza.

Sobre esses dados, quem decide o que coletar e por quê é você: nós guardamos e processamos a pedido seu. Isso significa que a responsabilidade por ter uma razão legítima para tratar os dados dos seus clientes — e por atender um cliente seu que peça exclusão — é sua. Nós ajudamos com a ferramenta: você pode editar e apagar qualquer cliente a qualquer momento.

Pendente formalizar juridicamente a relação sobre os dados de terceiros cadastrados pelo usuário (clientes, fornecedores). Definir quem é controlador e quem é operador em cada hipótese e se é necessário um instrumento específico entre as partes. Decisão do dono com apoio jurídico.

2.6 Dados de segurança do acesso

Toda vez que alguém cria uma conta, erra a senha no login ou pede recuperação de senha, o sistema registra um evento de segurança. É o que permite perceber que uma conta está sendo atacada. Esse registro guarda:

• o tipo do evento (cadastro criado, falha de login, recuperação de senha pedida);
• o e-mail submetido — mas apenas como código embaralhado (hash sha256), nunca em texto legível. Dá para ver que o mesmo e-mail está sendo martelado, sem que o e-mail fique guardado ali;
• o endereço IP de onde veio a tentativa;
• o identificador do navegador (user agent), cortado para caber;
• a data e a hora.

Esse registro é o único que sobrevive à exclusão da conta, e a razão é justamente proteger quem foi excluído: se ele fosse apagado junto, bastaria criar e apagar uma conta para limpar o rastro de um ataque. Ele não contém nome, não contém o e-mail legível e não fica ligado à sua empresa.

3. Sob que base legal tratamos cada dado

As finalidades acima são o que o sistema realmente faz, e foram apuradas no código. O enquadramento legal de cada uma delas é outra coisa, e não pode ser deduzido do código.

Pendente mapear a base legal de cada finalidade da seção 2 conforme o art. 7º da LGPD (execução de contrato, obrigação legal, legítimo interesse, consentimento). Exige advogado. Este documento descreve o tratamento, mas ainda NÃO declara base legal — e nenhum agente deve preencher isso por conta própria.

4. Cookies e o que fica guardado no seu navegador

A plataforma usa três cookies, todos estritamente necessários para você entrar e continuar logado. Nenhum deles serve para publicidade ou para acompanhar você em outros sites.

session

Mantém você conectado depois do login. Dura até 7 dias.

pending_2fa

Só existe no intervalo entre acertar a senha e digitar o código de verificação em duas etapas. Dura 5 minutos.

impersonator

Só é criado quando nosso suporte entra na sua conta para ajudar (ver a seção 6). Dura no máximo 2 horas.

Os três são cookies de servidor: não podem ser lidos por JavaScript na página, só são enviados para o nosso próprio domínio e, em produção, só trafegam por conexão segura.

Além dos cookies, o sistema guarda duas coisas na memória local do seu navegador, que nunca são enviadas para nós: a sua preferência de tema (claro ou escuro) e quais conquistas da sua jornada você já viu, para não mostrar o mesmo aviso duas vezes.

5. Medição de audiência do site

As páginas públicas de apresentação e as telas de entrada (login, cadastro, recuperação de senha) medem audiência com o Umami, um medidor que roda em servidor da própria operadora — não é um serviço de publicidade e não é uma empresa de terceiro coletando por fora.

Essa medição não usa cookie e não cria identificador que siga você. Por isso não há banner de cookies aqui: não há o que consentir. São contados a página visitada e a origem do acesso (o link ou a campanha que trouxe você), de forma agregada.

Dentro do sistema, depois do login, não há medição de audiência nenhuma — e isso é deliberado. Os endereços das telas internas carregam identificadores dos seus registros, e mandá-los para um medidor exporia informação da sua empresa. Nas telas de entrada, os parâmetros do endereço são excluídos da medição pelo mesmo motivo.

6. Quem, do nosso lado, consegue ver seus dados

• Você e as pessoas que você mesmo adicionar à equipe da sua empresa, conforme o papel que você der a cada uma (dono, administrador ou operador).
• A operação da plataforma, para suporte e manutenção. Existe um recurso de suporte que permite entrar na sua conta para diagnosticar um problema; quando isso acontece, a sessão dura no máximo 2 horas e o acesso fica registrado numa trilha de auditoria da plataforma.
• Um painel interno da operação, que lista contas recém-criadas para acompanhar o crescimento do produto. Ele foi construído para expor o mínimo: apenas e-mail, nome, data de cadastro, data do último sinal de atividade e o nome da empresa. Nenhum dado financeiro, nenhum lançamento, nenhum documento e nenhum telefone passam por ele, e a quantidade de linhas por consulta é limitada para que ele não sirva como cópia da base.

Nada disso significa leitura rotineira dos seus lançamentos. Significa que o acesso técnico existe, como existe em qualquer sistema hospedado, e que ele é limitado e registrado.

7. Com quem compartilhamos

Não vendemos, não alugamos e não trocamos seus dados. Nunca. O compartilhamento existe só com quem é necessário para o serviço funcionar:

Vercel (hospedagem)

Executa a aplicação e recebe todo o tráfego. Como qualquer hospedagem, enxerga o endereço IP de quem acessa.

Turso / libSQL (banco de dados)

Guarda tudo o que está descrito na seção 2. Os servidores ficam nos Estados Unidos (região AWS us-east-1) — ver a seção 8.

ViaCEP

Recebe apenas o CEP, quando você preenche o endereço de cobrança. Nada além do CEP.

Meta (WhatsApp)

Recebe as mensagens que você autorizou receber, através de um intermediário da própria operadora. Detalhe na seção 9.

Provedor de envio de e-mail

Recebe o seu e-mail e o seu nome para entregar a mensagem de recuperação de senha. É o único e-mail automático que a plataforma envia hoje.

Meios de pagamento (Stripe e Mercado Pago)

Quando você assina, recebem o seu e-mail, um identificador interno da sua empresa e o plano e valor contratados. O cartão é digitado na página deles, nunca na nossa.

Sobre os meios de pagamento, um esclarecimento honesto: hoje o cadastro de cobrança que você preenche (nome, CPF ou CNPJ, telefone e endereço) fica somente no nosso banco de dados e não é transmitido a nenhum desses provedores. Quando a cobrança real for ativada, o que passará a trafegar é o descrito na linha acima.

Pendente confirmar, antes da publicação, qual meio de pagamento estará efetivamente ativo no lançamento e revisar esta seção contra a configuração real de produção — a política não pode declarar como destinatário atual um provedor que ainda não recebe nada, nem omitir um que passou a receber.

Pendente decidir sobre o monitoramento de erros. A ferramenta está instalada no código e desligada por falta de credencial; se for ligada, ela passa a enviar detalhes técnicos de falhas — que podem conter trechos de dados — para um provedor externo. Definir se será ligada e, se sim, incluir o provedor na tabela acima e configurar a remoção de dados pessoais antes do envio.

8. Seus dados ficam fora do Brasil

O banco de dados da plataforma fica hospedado nos Estados Unidos. Isso significa que os dados descritos nesta política são armazenados e processados fora do Brasil, e que essa transferência internacional é parte de como o serviço funciona hoje — não é uma exceção eventual.

Pendente definir e declarar o mecanismo de transferência internacional adotado (LGPD, arts. 33 a 36) — cláusulas contratuais padrão, garantias do provedor ou outra hipótese —, e avaliar com apoio jurídico se convém migrar o banco para uma região brasileira. É decisão do dono, e a segunda opção muda o SISTEMA, não só o texto.

9. Mensagens no WhatsApp e o registro do seu aceite

A plataforma pode enviar mensagens para o WhatsApp, e isso só acontece se você autorizar. Existem dois tipos de autorização, separados de propósito: avisos de utilidade (vencimento de DAS, obrigações fiscais, status de pagamento) e mensagens de marketing (novidades, dicas, cupons). Aceitar um não aceita o outro.

Quando enviamos, o que trafega é o número de telefone, o nome da empresa e as informações do próprio aviso — que podem incluir valores do seu negócio, como o saldo de caixa ou o faturamento do mês, quando é disso que o aviso trata. O caminho é um intermediário da própria operadora até a Meta, que é quem entrega a mensagem.

Todo aceite vira prova. O sistema não guarda apenas um “sim”: guarda o texto exato que estava escrito na tela quando você marcou a caixa, a versão daquele texto, em que ponto do sistema o aceite foi dado, o número que estava informado naquele momento, o endereço IP e a data e hora. Se o texto mudar, a versão muda junto — e o que você aceitou continua registrado como estava.

A revogação também é registrada, com data. Desmarcar a autorização não apaga o histórico de que ela existiu: apaga o efeito, preservando a prova dos dois atos.

Você pode revogar quando quiser, nas telas de Configurações e de Perfil, sem falar com ninguém.

10. O que não fazemos

• Não vendemos, não alugamos e não trocamos seus dados com ninguém.
• Não fazemos perfilamento para publicidade e não exibimos anúncios.
• Não usamos os seus lançamentos, os seus preços ou a sua carteira de clientes para outra finalidade que não seja mostrar isso de volta para você.
• Não pedimos data de nascimento, CPF, RG nem documento de quem usa o sistema. O único documento que existe é o CPF ou CNPJ de quem paga a assinatura.
• Não guardamos dados de cartão de crédito.
• Não carregamos rastreador de terceiro nas nossas páginas. Não há Google Analytics, pixel de rede social, fonte externa nem rede de anúncios — e isso é imposto tecnicamente por uma política de segurança de conteúdo que só permite carregar recursos da própria origem.
• Não medimos audiência dentro do sistema autenticado.

11. Seus direitos, e como exercer hoje

A LGPD garante a você, entre outros, o direito de confirmar que tratamos seus dados, acessá-los, corrigi-los, pedir a portabilidade e pedir a exclusão. Dois desses direitos você exerce sozinho, na hora, sem pedir nada a ninguém:

Baixar tudo (portabilidade)

Em Configurações existe uma exportação completa da empresa num arquivo aberto: empresa, usuários, produtos, matérias-primas, clientes, vendas, despesas, despesas recorrentes, investimentos, metas, retiradas, pagamentos de DAS, movimentos de estoque e receitas avulsas. É o conteúdo, não um resumo.

Apagar tudo (exclusão)

Em Configurações, o dono da conta pode excluir a conta. A exclusão é imediata, definitiva e em cascata: apaga a empresa e todos os dados dela, incluindo clientes, vendas, financeiro, anexos, trilha de auditoria e os registros de consentimento. Não é reversível e não há cópia de cortesia — baixe a exportação antes.

Duas ressalvas honestas sobre a exclusão. A primeira: só o dono da conta pode excluí-la; quem foi adicionado como administrador ou operador não pode. A segunda: os registros de evento de segurança descritos na seção 2.6 não são apagados, pela razão explicada lá — eles não contêm o seu nome nem o seu e-mail legível.

Para corrigir dados, alterar informações ou exercer qualquer outro direito, escreva para o e-mail do quadro no topo desta página. Leia o aviso que está junto dele: esse canal ainda está sendo ativado.

Pendente definir o prazo de resposta a pedido de titular e o procedimento de verificação de identidade de quem pede — inclusive para pedidos que não podem ser resolvidos pela própria tela. Definir também o canal alternativo enquanto o e-mail acima não estiver ativo.

12. Por quanto tempo guardamos

Enquanto a sua conta existe, os dados ficam guardados — é o que faz o histórico do seu negócio ter valor. Quando você exclui a conta, eles são apagados na hora, como descrito na seção 11.

O que precisa ser dito com todas as letras: hoje não existe expurgo automático por tempo. Nenhuma rotina apaga sozinha registros antigos, e conta abandonada permanece no banco até que alguém a exclua.

Pendente definir a política de retenção — prazo de guarda por categoria de dado, prazo para conta inativa/abandonada, prazo de guarda dos registros de segurança e dos registros fiscais e de cobrança exigidos por lei. Exige decisão do dono e apoio jurídico, e provavelmente exige implementar rotina de expurgo: é mudança de SISTEMA, não só de texto.

13. Como protegemos

• Senhas são guardadas apenas como hash bcrypt. Não existe forma de lê-las, nem por nós.
• A sessão é assinada criptograficamente e verificada a cada requisição; trocar a senha invalida as sessões abertas em outros dispositivos.
• Verificação em duas etapas está disponível para qualquer conta, em Configurações.
• O link de recuperação de senha vale por 1 hora, serve uma vez só, e o que fica no banco é apenas o código embaralhado dele — não o link.
• Login e recuperação de senha têm limite de tentativas por endereço IP.
• As páginas carregam sob uma política de segurança de conteúdo que bloqueia script de origem externa.

Nenhum sistema é imune. Se acontecer um incidente de segurança que possa trazer risco relevante para você, comunicaremos você e a autoridade competente.

Pendente definir o plano de resposta a incidente — quem decide, em quanto tempo comunica o titular e a ANPD, e por qual canal. Definir também a política de backup e a retenção das cópias de segurança, que hoje não está descrita neste documento.

14. Crianças e adolescentes

A plataforma é uma ferramenta de gestão de negócio e não se destina a menores de idade. Sendo honesto sobre o limite: hoje o sistema não pergunta a idade de ninguém e não tem como verificá-la.

Pendente definir a idade mínima de uso e se ela será declarada no cadastro, considerando o art. 14 da LGPD e a capacidade civil para contratar. Decisão do dono com apoio jurídico.

15. Mudanças nesta política

Esta política vai mudar quando o sistema mudar — é essa a intenção. Quando a mudança for relevante, avisaremos dentro do sistema e a data da última atualização no topo desta página mudará junto.

Pendente definir o prazo de aviso prévio antes de uma mudança relevante entrar em vigor e por quais canais o aviso será dado.