Minuta (versão 2026-10-06-minuta-3). Texto-base pendente de revisão jurídica (LGPD) antes do primeiro cliente real. Trechos marcados com [a definir] dependem de decisão do provedor ou do advogado.
1. Quem trata os dados
- Dados da sua conta e dos seus usuários (cadastro, acesso, segurança): o provedor, Núcleo Tecnologia da Informação Ltda, CNPJ 66.462.663/0001-36, é o controlador.
- Dados dos clientes da sua empresa (tomadores) que aparecem nas notas: sua empresa é a controladora e o provedor é o operador, tratando por conta e ordem dela, só para emitir, guardar e consultar o documento fiscal.
- Encarregado pelo tratamento de dados (LGPD): Rodrigo da Silva Pereira, responsável pela Núcleo Tecnologia da Informação Ltda. Contato: contato@kinota.com.br.
2. Dados que tratamos
| Dado | Para quê | Como é guardado |
|---|---|---|
| Nome, e-mail e papel dos usuários | Identificar quem acessa a conta | Banco de dados |
| Senha | Autenticação | Somente o hash (Argon2id); a senha em si nunca é guardada |
| Segredo do 2FA | Segundo fator de acesso | Cifrado |
| CNPJ, razão social, endereço e regime da empresa | Montar a nota em nome da empresa | Banco de dados |
| CNPJ ou CPF informado no cadastro e WhatsApp (e, nas contas criadas até 06/10/2026 ou cadastradas pela equipe, segmento e atividade principal) | Contato do suporte e pré-preencher a empresa no assistente de configuração (o CNPJ é consultado nos dados públicos da Receita Federal) | Banco de dados; o CPF aparece mascarado nas telas de operação e não vai para a auditoria nem para os logs |
| Certificado digital A1 | Assinar e transmitir as notas | Cifrado; a senha do arquivo não é guardada |
| Dados do tomador (nome, CPF/CNPJ, endereço, contato) e do serviço | Emitir, consultar e cancelar a nota | Banco de dados e XML da nota |
| Notas recorrentes (cópia dos dados da nota que você escolheu repetir, nome do modelo e dia do mês) | Lembrar você por e-mail e abrir a nota já preenchida no dia escolhido | Banco de dados; o e-mail de lembrete leva só o nome do modelo, a empresa e o link, sem dados do tomador |
| XML da nota (o PDF é gerado dele, não é guardado) | Guarda do documento fiscal | Banco de dados; cópias de segurança cifradas |
| E-mail do tomador (informado na nota, ou corrigido no momento do envio) | Enviar a NFS-e ao tomador, quando você pedir ou ativar o envio automático | Banco de dados; não vai para a auditoria nem para os logs |
| Histórico de envios por e-mail (destinatário, tipo, situação, tentativas, data, motivo da falha) | Mostrar a você se o e-mail saiu, repetir o que falhou e coibir abuso | Banco de dados; o texto da mensagem e os anexos não são guardados (o PDF e o XML são gerados da nota a cada envio) |
| Registros de acesso e auditoria (ações, data/hora, IP) | Segurança, prevenção a fraude e prova do que foi feito | Banco de dados; sem senha, chave, certificado ou XML |
| Aceite dos Termos (versão, data, IP) | Prova do aceite | Banco de dados |
Não vendemos dados, não usamos para publicidade e não fazemos perfilamento.
E-mail da NFS-e ao tomador. Enviar a nota ao tomador é um tratamento dos dados dele feito por ordem da sua empresa (controladora); o provedor só executa. Cabe à sua empresa ter motivo legítimo para escrever ao tomador (em regra, a relação comercial que gerou a nota) e informar um endereço correto. O envio automático vem desligado e só funciona se a sua empresa o ativar, ou se o pedido de emissão o solicitar. O e-mail leva o nome da sua empresa, a identificação "via Kinota" e uma frase explicando que foi enviado a pedido dela. O tomador pode pedir à sua empresa que pare de enviar.
3. Por que podemos tratar (bases legais)
Execução do contrato com você; cumprimento de obrigação legal ou regulatória (emissão e guarda de documento fiscal); legítimo interesse (segurança e prevenção a fraude). O envio da NFS-e ao tomador decorre da obrigação legal e do contrato do serviço que gerou a nota e não depende de consentimento dele; o e-mail só leva a nota e os dados que a identificam, nunca propaganda.
4. Com quem compartilhamos
- Sistema Nacional NFS-e (Sefin/ADN, governo federal): recebe a nota com os dados do prestador, do tomador e do serviço. É inerente à emissão.
- Envio de e-mails (recuperação de senha, avisos do serviço e NFS-e enviada ao tomador): [provedor de e-mail / servidor SMTP — a definir]. Ele recebe o endereço do destinatário, o assunto, o texto e os anexos (PDF e XML da nota) para entregar a mensagem, e é suboperador do provedor.
- Hospedagem e backup: servidor dedicado (VPS) da Boa Host (boahost.com.br), em datacenter Tier III no Brasil; a cópia de segurança fora do servidor é cifrada antes de sair dele.
- Busca do endereço pelo CEP (ViaCEP, viacep.com.br), ao digitar o CEP do tomador: recebe só o CEP, nunca nome, CPF/CNPJ ou dados da conta.
- Dados públicos de CNPJ (BrasilAPI, brasilapi.com.br), no cadastro da sua empresa e ao digitar o CNPJ de um tomador empresa: recebe só o CNPJ. CPF nunca é consultado.
- Autoridades, quando a lei exigir.
- Se você configurar um webhook, enviamos a ele os avisos de status das suas notas.
5. Segurança
Acesso com senha forte e 2FA obrigatório, bloqueio após falhas, certificados e segredos cifrados, isolamento entre contas, registro de auditoria e comunicação protegida por TLS. Nenhuma medida elimina todo risco; em caso de incidente com risco relevante, avisaremos você e a ANPD nos termos da lei, em até 3 dias úteis a partir da confirmação do incidente (Resolução CD/ANPD nº 15/2024).
6. Por quanto tempo guardamos
Notas e XML: pelo tempo em que a conta existir e por 5 anos civis completos, mais o ano corrente (arts. 173 e 174 do Código Tributário Nacional). Conta encerrada: o login é bloqueado e o cadastro e o histórico fiscal ficam guardados por esses 5 anos, para defesa em processo judicial ou fiscal. Histórico de envios por e-mail: [prazo — a definir; proposta: apagar o endereço do destinatário depois de 12 meses, mantendo só a contagem]. Dados de acesso e auditoria: [prazo — a definir]. Ao encerrar a conta, os dados que não precisam ser mantidos por obrigação legal são apagados ou anonimizados [procedimento — a definir].
7. Seus direitos
Você pode pedir confirmação do tratamento, acesso, correção, anonimização ou eliminação (quando cabível), portabilidade e informação sobre compartilhamento, conforme o art. 18 da LGPD. Pedidos sobre dados de tomadores devem ser feitos à empresa controladora (seu cliente do provedor), e nós a ajudamos a atendê-los. Canal: contato@kinota.com.br.
8. Cookies
Usamos apenas cookies essenciais: um de sessão (__Host-sessao, até 24 horas) e um de proteção do formulário (__Host-csrf_pre, até 1 hora). Não usamos cookies de publicidade, estatística ou rastreamento de terceiros.
9. Transferência internacional
Os dados ficam hospedados no Brasil. [A confirmar: país do provedor de envio de e-mail e de outros fornecedores que venham a ser usados.]
10. Mudanças
Quando esta política mudar de forma relevante, publicamos uma nova versão e pedimos novo aceite no próximo acesso.
Veja também os Termos de Uso.