Política de Privacidade

O FinanceiroX é operado por Produtize Tecnologia, CNPJ 48.417.292/0001-99. Esta política explica como tratamos dados pessoais na plataforma, em conformidade com a Lei nº 13.709/2018 (LGPD).

A distinção muda quem responde pelo quê, então vale ser explícito:

• Somos controladores dos dados da relação comercial com o Cliente: cadastro da conta, dados de faturamento, registros de acesso, comunicações de suporte, uso da plataforma.
• Somos operadores dos dados que o Cliente insere sobre terceiros — fornecedores, clientes, funcionários, favorecidos de pagamento. Sobre esses, quem define finalidade e meios é o Cliente, que atua como controlador. Nós tratamos apenas conforme as instruções dele e o necessário para prestar o serviço.

Se um titular nos procurar sobre dados que estão na conta de um Cliente, encaminhamos o pedido ao Cliente e o apoiamos no atendimento, no prazo legal.

• Cadastro e conta: nome, e-mail, telefone, CPF ou CNPJ, razão social, senha (armazenada como hash).
• Faturamento: dados necessários à cobrança e à emissão fiscal. Dados completos de cartão são tratados pela instituição de pagamento; não trafegam nem ficam em nossos servidores.
• Dados financeiros do Cliente: lançamentos, extratos importados, contas bancárias cadastradas, documentos anexados, cadastros de pessoas (fornecedores, clientes, favorecidos) com os dados que o Cliente inserir — inclusive CPF/CNPJ e dados bancários quando necessários para pagamento e cobrança.
• Uso e técnicos: endereço IP, data e hora de acesso, identificador de sessão, navegador e sistema. No portal do cliente, registramos cada entrada e cada documento enviado pelo cliente.
• Certificado digital: quem emite NFS-e envia o certificado A1 e a senha dele. Ficam cifrados e são usados apenas para assinar e transmitir os documentos que o Cliente mandar emitir.
• Comunicações: mensagens trocadas com o suporte.

Não coletamos dados sensíveis intencionalmente e não há campo destinado a eles. Se o Cliente inserir dado sensível em campo livre, responde por essa inclusão como controlador.

• Criar e manter a conta, autenticar acessos e aplicar permissões.
• Prestar as funções contratadas: conciliação, contas a pagar e receber, relatórios, geração de arquivos de pagamento, cobrança, emissão fiscal e portal.
• Cobrar pelo serviço e cumprir obrigações fiscais e contábeis.
• Prestar suporte e comunicar mudanças relevantes no serviço.
• Detectar fraude, uso indevido e ameaças à segurança.
• Melhorar o produto, com dados agregados que não identificam pessoas.

Não vendemos dados pessoais, não os cedemos para publicidade de terceiros e não fazemos perfilamento para anúncios.

• Execução de contrato (art. 7º, V): tudo que é necessário para entregar o serviço contratado.
• Cumprimento de obrigação legal (art. 7º, II): guarda fiscal e contábil, e registros de acesso exigidos pelo Marco Civil da Internet.
• Legítimo interesse (art. 7º, IX): segurança, prevenção a fraude e melhoria do produto, sempre com avaliação de impacto sobre o titular.
• Consentimento (art. 7º, I): apenas onde ele é de fato exigido, como comunicações de marketing — revogável a qualquer momento.

Compartilhamos apenas o necessário, com operadores que atuam sob contrato e sob nossas instruções:

• Infraestrutura e banco de dados: provedores de nuvem que hospedam a aplicação e os dados.
• Instituição de pagamento: para cobrar do Cliente o que ele nos deve — a assinatura e as compras avulsas de créditos de IA. Os boletos que o Cliente emite aos clientes dele não passam por ela: são registrados no banco do próprio Cliente, por arquivo de remessa.
• Emissão fiscal: o órgão emissor da nota — a Sefin Nacional ou a prefeitura do município —, para quem a nota é transmitida diretamente, sem intermediário.
• Provedor de modelos de IA: nos limites descritos no item 8.
• E-mail transacional e suporte: para enviar avisos e responder chamados.
• Autoridades: mediante requisição legal válida.

Arquivos CNAB gerados na plataforma — tanto de pagamento quanto de cobrança — são baixados pelo Cliente e enviados por ele ao banco. Nós não transmitimos esses arquivos a instituições financeiras e não temos acesso às contas bancárias do Cliente.

Os fornecedores em uso hoje: Supabase (banco de dados, arquivos e autenticação), Vercel (hospedagem), Anthropic (modelos de IA), Asaas (cobrança da assinatura e dos créditos de IA) e Brevo (e-mail transacional). Se essa lista mudar, esta política é atualizada.

A plataforma tem uma função de suporte que permite a um administrador nosso assumir a sessão do titular de uma conta e ver o que ele vê. Ela existe para diagnosticar problema que não se reproduz de fora — e dizemos isso aqui porque uma política que omite o acesso interno está descrevendo um sistema que não é este.

• O acesso registra quem acessou, qual conta e quando. Sendo exato: hoje a gravação desse registro não bloqueia o acesso, ou seja, uma falha ao gravar deixaria o acesso acontecer sem trilha. Tornar o registro bloqueante está no roteiro.
• É restrito a administradores do FinanceiroX; nenhum outro usuário alcança conta alheia.
• Não usamos esse acesso para ler dados de clientes fora de um chamado de suporte ou de uma obrigação legal.

Se o Cliente quiser ser avisado sempre que isso ocorrer na conta dele, é só pedir em privacidade@financeirox.com.br.

O envio acontece por ação do Cliente, recurso a recurso — nunca de forma contínua ou automática sobre a base inteira. O que sai daqui depende do recurso, e a diferença é grande o bastante para estar escrita:

• Análise do mês e perguntas sobre o período: apenas totais agregados (entradas, saídas, saldo, maiores categorias), o nome da empresa e a pergunta feita. Nenhum lançamento individual.
• Categorização de transações: a descrição bruta das transações do extrato — que costuma trazer nome de favorecido, chave Pix ou número de documento — junto com a lista de clientes e fornecedores já cadastrados, para que a sugestão aponte para um deles.
• Leitura de documento: o arquivo inteiro da nota ou do boleto (PDF ou imagem) enviado ao modelo, para extrair valor, vencimento e emitente.
• Assistente de suporte (a bolha de ajuda): a pergunta digitada, os últimos turnos da conversa e os artigos de ajuda publicados. A conversa fica guardada, com o nome do escritório e o e-mail de quem perguntou, para que o suporte consiga retomar de onde parou.

O provedor de modelos em uso é a Anthropic, nos Estados Unidos. Contratualmente, esse conteúdo não é usado para treinar modelos. Ainda assim: se um documento contém dado pessoal que não precisa ser lido, não o envie pela leitura automática.

Alguns fornecedores processam dados fora do Brasil. Nesses casos, a transferência se apoia em cláusulas contratuais que asseguram grau de proteção compatível com a LGPD, conforme o art. 33.

• Dados da conta e financeiros (lançamentos, conciliação, cadastros): enquanto durar o contrato. Após o encerramento, ficam disponíveis para exportação por 30 dias e então são eliminados da produção.
• Documentos anexados e recebidos (PDF, imagem, comprovante): eliminados automaticamente 12 meses após o recebimento, mesmo com o contrato vigente. É política do produto, não do encerramento. Um aviso é enviado antes do prazo aos usuários ativos do portal de cada empresa — empresa sem usuário de portal ativo não recebe aviso. XML de nota fiscal é mantido.
• Registros fiscais e contábeis: pelo prazo legal aplicável, tipicamente 5 anos.
• Registros de acesso: 6 meses, conforme o Marco Civil da Internet.
• Backups: expiram conforme o ciclo de retenção (até 30 dias), de forma que um dado excluído da produção some dos backups ao fim do ciclo.

Aplicamos medidas técnicas e organizacionais proporcionais ao risco: criptografia em trânsito (TLS) e em repouso, isolamento de dados por conta no próprio banco de dados, controle de acesso por papel, senhas armazenadas como hash (pelo Supabase Auth — nós nunca vemos a senha) e backups automáticos. Detalhes, incluindo o que ainda não temos, em Segurança.

Se ocorrer incidente com risco relevante aos titulares, comunicamos o Cliente afetado em até 72 horas da confirmação, com o que se sabe até então: o que aconteceu, quais dados foram envolvidos, o que já foi feito e o que recomendamos. Comunicamos a ANPD e os titulares quando a lei exigir.

Como titular, você pode pedir:

• Confirmação de que tratamos seus dados e acesso a eles.
• Correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade.
• Portabilidade a outro fornecedor.
• Informação sobre com quem compartilhamos seus dados.
• Revogação do consentimento, quando essa for a base legal.
• Oposição a tratamento fundado em legítimo interesse.

Escreva para privacidade@financeirox.com.br. Respondemos em até 15 dias. Se os dados estiverem sob controle de um Cliente nosso, direcionamos o pedido a ele — porque é ele quem pode decidir sobre aqueles dados.

Usamos apenas cookies estritamente necessários:

• sessão autenticada (definidos pelo Supabase Auth);
• empresa e período selecionados, densidade da interface e estado da barra lateral;
• sessão do portal do cliente, um por portal;
• sessão de suporte, quando um administrador nosso assume a conta para diagnóstico (item 7).

Além dos cookies, guardamos no armazenamento local do navegador preferências de exibição — quais colunas aparecem em cada tabela, quais filtros ficam visíveis e escolhas de tela. Essas informações não saem do dispositivo e não são enviadas aos nossos servidores.

Não usamos cookies de publicidade nem de rastreamento entre sites, e não há ferramenta de análise de terceiros na plataforma.

A plataforma é destinada a uso profissional por maiores de 18 anos. Não coletamos dados de crianças e adolescentes de forma consciente. Ao identificar coleta indevida, eliminamos o registro.

Podemos atualizar esta política. Mudanças relevantes são comunicadas por e-mail e dentro da plataforma com 30 dias de antecedência. A data da última atualização está no topo desta página.

Encarregado pelo tratamento de dados pessoais (DPO): privacidade@financeirox.com.br. Assuntos de segurança: seguranca@financeirox.com.br.

Você também pode peticionar diretamente à Autoridade Nacional de Proteção de Dados (ANPD).