Política de Privacidade

O Fiscaris é operado por FISCARIS DESENVOLVIMENTO DE SOFTWARE CUSTOMIZAVEL LTDA, inscrita no CNPJ sob o nº 68.450.093/0001-90, com sede em São Paulo/SP.

Para qualquer assunto relacionado a dados pessoais — inclusive para exercer os direitos da seção 9 — o contato é contato@fiscaris.com.br, ou o WhatsApp (11) 93619-1003.

A LGPD distingue quem decide sobre o tratamento (controlador) de quem executa o tratamento por conta de outro (operador). No Fiscaris os dois papéis existem ao mesmo tempo, e a diferença muda seus direitos:

Na prática: nós não decidimos o que fazer com os documentos fiscais da sua empresa. Eles são seus, e você pode eliminá-los a qualquer momento pela própria interface.

Os XMLs das notas podem conter dados pessoais de terceiros — nome de prestador pessoa física, CPF, descrição do serviço. Esses dados chegam da própria nota fiscal emitida contra a sua empresa; o Fiscaris não os coleta por conta própria.

O certificado A1 não é um dado qualquer: ele contém a chave privada que assina documentos com efeito jurídico em nome da sua empresa, e o e-CNPJ traz CPF e nome do responsável legal. Por isso:

• O arquivo .pfx e a senha são guardados com criptografia AES-256-GCM em envelope — cada segredo é cifrado com uma chave própria, e a chave-mestra fica fora do banco de dados.
• Eles nunca são gravados em texto legível, e são decifrados somente em memória, no instante do uso.
• Todo uso é registrado na trilha de auditoria: data, hora, origem e resultado. Você vê esse registro na própria interface.
• Você pode remover o certificado a qualquer momento, pela tela da empresa. A remoção interrompe a captura imediatamente.
• Terminado o teste gratuito sem contratação de plano, o certificado é apagado automaticamente após 30 dias, e avisamos você por e-mail quando isso acontece. Sem plano ativo ele não é usado para nada, e guardar chave privada parada é risco sem contrapartida. Suas notas, XMLs e a trilha de auditoria continuam disponíveis.

O certificado é usado para duas finalidades, e somente elas: autenticar as consultas de notas e, quando um administrador da conta solicita, assinar a DPS de emissão de NFS-e enviada ao Sefin Nacional. Nenhuma emissão ocorre sem comando explícito na tela, e todas ficam na trilha de auditoria com autor, data e IP.

Não vendemos, alugamos nem cedemos dados. O compartilhamento se limita à infraestrutura necessária para o serviço funcionar:

Os documentos fiscais, os XMLs e os certificados digitais não saem do Brasil. Ficam no banco de dados e no servidor indicados acima, ambos em território nacional.

A única transferência internacional é a do serviço de e-mail: para entregar as mensagens do próprio sistema, o endereço de e-mail e o primeiro nome do destinatário são processados pela Resend, nos Estados Unidos. É o mínimo necessário para a mensagem chegar, e nenhum dado fiscal trafega por ali. Se preferir não receber e-mails do sistema, escreva para o contato da seção 1.

• Notas fiscais e XMLs: enquanto você mantiver a empresa cadastrada. A legislação tributária impõe à sua empresa a guarda desses documentos por, no mínimo, cinco anos — por isso a exclusão é sempre uma decisão sua, nunca automática.
• Certificado digital: enquanto estiver válido e você não o remover. Se o teste gratuito terminar sem contratação, ele é apagado automaticamente 30 dias depois — é o único dado com exclusão automática aqui, e é assim de propósito: sem plano ativo o certificado não tem mais finalidade, e o que não tem finalidade não deve ficar guardado.
• Dados da conta: enquanto a conta existir.
• Registros de auditoria: mantidos mesmo após a exclusão da empresa. Isso é deliberado: se o registro fosse apagado junto, desapareceria justamente a prova de que a exclusão ocorreu.
• Registro de teste gratuito utilizado: guardamos o CNPJ (apenas o número, sem nenhum outro dado) das empresas que já usaram o período de teste, mesmo após a exclusão da conta. A finalidade é prevenção de fraude — impedir que o mesmo benefício seja obtido repetidamente por contas sucessivas (LGPD, art. 10, legítimo interesse). CNPJ é dado de pessoa jurídica.

Medidas efetivamente implementadas, não apenas pretendidas:

• Criptografia AES-256-GCM em envelope para certificados e senhas de certificado.
• Senhas de acesso com hash bcrypt (fator de custo 12) e mínimo de 12 caracteres.
• Todo o tráfego em HTTPS, com HSTS.
• Isolamento entre contas: cada consulta é filtrada pela conta autenticada.
• Limite de tentativas de login, contra ataques de força bruta.
• Revogação de sessão: sair da conta ou trocar a senha invalida os acessos em todos os dispositivos.
• Trilha de auditoria das ações sensíveis.
• Banco de dados com backup gerenciado pelo provedor e, além dele, cópia própria diária, cuja restauração é testada automaticamente — backup que nunca foi restaurado não é backup.

Nenhuma medida elimina risco por completo. Em caso de incidente de segurança relevante, comunicaremos você e a ANPD nos termos da LGPD e da Resolução CD/ANPD nº 15/2024.

A LGPD (art. 18) garante confirmação, acesso, correção, anonimização, portabilidade, eliminação, informação sobre compartilhamento e revogação de consentimento. Parte desses direitos você exerce sozinho, sem depender de solicitação:

Para os demais casos, ou para excluir a conta inteira, escreva para contato@fiscaris.com.br. Respondemos em até 15 dias.

O Fiscaris não usa cookies e não possui rastreadores de terceiros. O detalhamento do que fica guardado no seu navegador está na Política de Cookies e Armazenamento.

Mudanças relevantes serão comunicadas pelo e-mail cadastrado, com pelo menos 15 dias de antecedência. A data no topo indica a versão vigente.