Política de privacidade

O Guidis DFe é um serviço da GUIDI SISTEMAS E SERVICOS EM TECNOLOGIA DA INFORMACAO LTDA, CNPJ nº 11.905.971/0001-05, com sede na Estrada Guandu do Sape, 1450, Campo Grande, Rio de Janeiro, RJ ("nós"). Aqui estão os dados pessoais que passam por ele, o motivo e a base de cada um na Lei Geral de Proteção de Dados (Lei nº 13.709/2018, "LGPD"), quem mais os recebe, o tempo de guarda e o caminho para os seus pedidos.

1. Para quem é esta política

• Para quem visita o site guidisdfe.com.br.
• Para quem usa o portal app.guidisdfe.com.br: o dono da conta e as pessoas da equipe dele.
• Para as pessoas cujos dados aparecem nos documentos fiscais que os nossos clientes emitem pelo serviço: o destinatário da NF-e e da NFC-e, o tomador do CT-e e da NFS-e, o remetente, o recebedor, o condutor e o contratado do MDF-e, quem recebe uma entrega. Para essas pessoas, quem decide sobre os dados é a empresa que emitiu o documento (seção 2).

2. Quem decide sobre os seus dados

2.1. Somos o controlador dos dados de quem visita o site e de quem usa o portal: decidimos por que e como tratá-los.

2.2. Somos operador dos dados que vão nos documentos fiscais. Quem decide emitir, para quem e com que dados é a empresa emitente, cliente do serviço, que é a controladora. Tratamos esses dados só para emitir, guardar e entregar os documentos que ela pede, como diz o Acordo de Tratamento de Dados. Se o seu dado aparece numa nota, o pedido sobre ele vai à empresa que a emitiu, e nós a ajudamos a responder.

2.3. A encarregada pelo tratamento de dados pessoais é Cíntia Dantas, pelo e-mail lgpd@guidisistemas.com.br.

3. Quais dados, para quê e com que base legal

3.1. Quem usa o portal

3.2. As empresas emitentes

O cadastro da empresa (CNPJ, nome, inscrições), o certificado digital A1, a senha dele e o código de segurança da NFC-e (CSC). A empresa emitente é sempre inscrita no CNPJ; no empresário individual, o nome e o certificado podem identificar a pessoa, e por isso seguem as regras desta política. Servem para assinar e transmitir os documentos, por execução do contrato (art. 7º, V). O certificado, a senha dele e o CSC ficam cifrados, com a chave fora do banco de dados.

3.3. Os dados que vão nos documentos fiscais

O nome, o CPF ou o CNPJ, o endereço, o e-mail e o telefone do destinatário, do tomador e dos demais participantes que o documento leva; o nome e o CPF do condutor; o nome, o documento e a localização (latitude e longitude) de quem recebe no comprovante de entrega do CT-e; os dados de pagamento do contratado do MDF-e (o CPF ou o CNPJ, a chave PIX, o banco e a agência); e os dados da operação. Esses dados chegam pelo pedido que o sistema do cliente envia, e são tratados como operador, por conta da empresa emitente, para cumprir a obrigação legal dela de emitir o documento fiscal (art. 7º, II, e art. 11, II, "a", quando couber). O documento vai à administração tributária, que é quem o autoriza.

O documento fiscal pode revelar dado sensível, como o medicamento numa nota de farmácia. O Guidis DFe não escolhe nem lê esse conteúdo: processa, de forma automatizada, o que a legislação tributária manda o documento levar, e a empresa emitente, como controladora, responde pela coleta e pela base legal desse dado, que é o cumprimento da obrigação legal e da regularidade fiscal dela.

A distribuição de documentos do CT-e, quando a empresa a liga, traz do Ambiente Nacional os documentos em que ela aparece (como tomadora, remetente ou destinatária), emitidos por outras empresas, com os dados que eles levam. Esses dados seguem a mesma regra, por conta da empresa que ligou a distribuição.

3.4. Quem visita o site

O site não usa ferramenta de análise de audiência nem publicidade, e não grava cookie que não seja necessário para ele funcionar (seção 4). Ficam só os registros de acesso da seção 3.5.

3.5. Registros de acesso

A entrada do site, do portal e da API registra, de cada acesso, o endereço IP, o navegador ou o programa que fez o pedido (o "user agent"), a data e a hora, o endereço pedido, sem os parâmetros da consulta (que podem trazer a referência do pedido e a chave do documento, com o CNPJ ou o CPF de quem aparece nele), e a resposta. A exceção é o registro de falha da entrada, quando ela não consegue entregar o pedido ao serviço: esse registro guarda o endereço inteiro, com a consulta, para o diagnóstico da falha. A aplicação registra o identificador de cada requisição, sem o IP. Os registros são guardados por 6 meses, para cumprir o Marco Civil da Internet (Lei nº 12.965/2014, art. 15) e para a segurança do serviço (legítimo interesse, art. 7º, IX). Não levam senha, chave de API, certificado nem o conteúdo dos documentos.

4. O que fica no seu aparelho

4.1. No site: nada, enquanto não houver ferramenta de análise ligada. Se um dia houver, ela só entra depois do seu aceite, e esta política muda antes.

4.2. No portal, todos necessários para ele funcionar:

• os cookies da sessão: o que mantém você conectado, o que a renova, o que protege os formulários contra envio forjado e o que diz ao portal que há uma sessão aberta;
• os cookies da verificação em duas etapas, quando ligada: o do desafio em curso e o do navegador marcado como confiável;
• o cookie que protege a entrada com outra conta, quando ela for oferecida;
• no armazenamento do navegador, o ambiente escolhido (homologação ou produção) e a preferência de tema claro ou escuro.

Nada disso serve para rastrear você.

5. Quem mais recebe os dados

5.1. A administração tributária, por obrigação legal: as Secretarias da Fazenda dos estados e as autorizadoras que atendem por elas, o Ambiente Nacional da NFS-e e do CT-e, e os portais das guias de recolhimento (GNRE e os estaduais), conforme o documento que o cliente emite.

5.2. Os fornecedores que fazem o serviço funcionar, cada um só com o que a tarefa dele pede:

5.3. O sistema que o próprio cliente indica: o webhook entrega o resultado de cada documento no endereço que o cliente cadastra, e a API devolve os documentos ao sistema dele.

5.4. A autoridade pública, quando houver ordem legal.

5.5. Não vendemos dados, e não os usamos para publicidade nem para treinar modelos de inteligência artificial.

6. Transferência para outros países

Os dados ficam na Alemanha, que a União Europeia protege pelo Regulamento Geral de Proteção de Dados. A cópia de segurança, o envio de e-mail, a cobrança, o atendimento pelo WhatsApp e a entrega da página da referência passam por outros países, com as garantias contratuais dos fornecedores (art. 33 da LGPD).

7. Por quanto tempo guardamos

8. Os seus direitos

Pela LGPD (art. 18), você pode pedir a confirmação de que tratamos dados seus, o acesso a eles, a correção, a anonimização, o bloqueio ou a eliminação do que for desnecessário, a portabilidade, a informação sobre com quem compartilhamos e a revisão do consentimento, quando ele for a base. O pedido vai à encarregada, no lgpd@guidisistemas.com.br, e respondemos em até 15 dias.

Se o seu dado está num documento fiscal, o pedido vai à empresa que emitiu o documento (seção 2.2). O documento autorizado não pode ser alterado nem apagado da administração tributária, e a empresa tem obrigação legal de guardá-lo.

Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

9. Segurança

O acesso aos dados exige autenticação e respeita o papel de cada pessoa. A comunicação com o site, o portal e a API é cifrada. O certificado, a senha dele e o CSC ficam cifrados com chave guardada fora do banco, e a cópia de segurança do banco e dos arquivos não leva essa chave e fica cifrada na Backblaze. Em incidente que possa causar risco ou dano relevante, avisamos os afetados e a ANPD, como a lei manda.

10. Crianças e adolescentes

O serviço é para empresas e para quem desenvolve sistema, e não é dirigido a menores de 18 anos.

11. Mudanças nesta política

Mudança relevante é avisada por e-mail aos clientes e publicada aqui com a data, antes de valer.