Política de Privacidade e LGPD

Última atualização: 29 de agosto de 2026.

Esta política descreve o tratamento de dados na Defesa Fiscal, incluindo as ferramentas públicas, o diagnóstico declaratório e o Cockpit. Informações relativas a pessoas jurídicas podem conter dados pessoais de sócios, contatos, empregados, clientes ou fornecedores e, nesse caso, recebem a proteção aplicável da LGPD.

1. Controlador e contato

O controlador é M F LAGES DESENVOLVIMENTO DE SOFTWARE LTDA, CNPJ 67.093.660/0001-35, com sede em Florianópolis/SC. Solicitações de titulares e contato com o encarregado: lages.raphael@gmail.com.

2. Quais dados tratamos

• conta e acervo: nome, e-mail verificado, identificador estável (sub) e imagem opcional recebidos do Google; nas contas antigas, hash da senha; sessão, workspace e registros de autenticação;
• diagnóstico declaratório: razão social ou nome, CNPJ, regime, setor, faixas e valores econômicos, nome, e-mail e telefone de contato, respostas e consentimentos;
• carteira e diagnósticos salvos: clientes do escritório, CNPJ, contatos opcionais, agregados, decisões, oportunidades e evidências resumidas;
• feedback, interesse em parceria, solicitações comerciais e liberações;
• dados técnicos de segurança, como IP, horário, sessão, endpoint e eventos de uso minimizados.

3. Arquivos fiscais e análise local

Nas ferramentas identificadas como análise local, XML, ZIP, PDF, SPED, ECD e ECF são lidos no navegador e não são enviados aos servidores da Defesa Fiscal. O navegador mantém dados temporários durante a sessão e pode gravar localmente o dossiê derivado da análise. Esse dossiê permanece neste navegador mesmo depois de a página ser fechada, até que você use a opção “Remover deste navegador” no relatório ou limpe os dados do site. Os arquivos fiscais originais não são gravados nesse armazenamento. Se o material for sigiloso, não use equipamento compartilhado sem remover o dossiê e limpar a sessão ao terminar.

O diagnóstico declaratório é diferente: os campos preenchidos no formulário são enviados e persistidos para gerar e acompanhar a oportunidade. Ao optar por salvar no Cockpit, persistimos somente o CNPJ ou apelido e os agregados selecionados — não os arquivos fiscais nem os itens brutos.

4. Verificação por IA

A verificação por IA é opcional, exige login e autorização específica. O sistema envia somente achados resumidos após redação de chaves de NF-e, CNPJ, CPF, e-mail e nomes de arquivo. Mesmo com filtros, não inclua texto livre que identifique pessoas ou contenha sigilo desnecessário. Arquivos fiscais brutos não são enviados nesse fluxo.

5. Finalidades e bases legais

Tratamos dados para entregar o diagnóstico e o Cockpit, administrar contas, prestar suporte, realizar contato autorizado, proteger o serviço, prevenir fraude, melhorar funções, cumprir obrigações e exercer direitos. As bases podem ser execução de contrato ou procedimentos preliminares, consentimento, legítimo interesse com salvaguardas, cumprimento de obrigação legal e exercício regular de direitos.

O consentimento para contato, salvamento de agregados, compartilhamento de dossiê ou verificação por IA é específico para cada finalidade e pode ser revogado, sem afetar tratamentos anteriores lícitos.

6. Operadores, compartilhamento e transferências

Usamos Google somente como provedor de identidade, com os escopos openid, email e profile. Isso não concede acesso ao Google Drive, Gmail ou arquivos da conta. Também usamos Vercel para hospedagem e Neon/Postgres para persistência. Quando a verificação por IA estiver habilitada, o único subprocessador de IA é a Anthropic, que recebe somente o conteúdo resumido e redigido autorizado. Não usamos outro provedor de IA neste fluxo; se isso mudar, esta página será atualizada antes da mudança entrar em produção. Esses fornecedores podem tratar dados em outros países sob contratos e salvaguardas compatíveis com a LGPD.

Dados de clientes do escritório não são compartilhados com parceiros sem autorização aplicável. Podemos compartilhar informações por obrigação legal, ordem válida ou para proteger direitos e segurança. Não vendemos dados pessoais.

7. Cookies e métricas

Usamos cookies estritamente necessários, seguros e HTTP-only para manter a sessão do Cockpit por até sete dias e concluir o fluxo OAuth com proteção de estado e validação do retorno. Controles de rate limit podem registrar IP por janelas de segurança. Google Analytics e Vercel Analytics permanecem desativados enquanto não houver mecanismo adequado de escolha.

8. Retenção e segurança

Dados de conta e carteira permanecem enquanto a conta ou relação estiver ativa e, depois, pelo prazo necessário a obrigações, prevenção de fraude e exercício de direitos. Consentimentos e registros de segurança podem ser preservados para prestação de contas. Aplicamos minimização, segregação, controle de acesso, hashing nas contas que ainda usam senha, sessão protegida, redação e logs técnicos; nenhum sistema conectado elimina todos os riscos.

9. Direitos do titular

O titular pode solicitar confirmação e acesso, correção, informação sobre compartilhamento, anonimização, bloqueio ou eliminação quando cabível, portabilidade conforme regulamentação, oposição, revisão de decisão automatizada, revogação do consentimento e informação sobre as consequências de não consentir. Podemos pedir comprovação de identidade ou representação.

10. Sigilo fiscal, incidentes e atualizações

O escritório que insere dados de clientes continua responsável por possuir base legal e observar sigilo profissional e fiscal. Incidentes com risco ou dano relevante serão avaliados e comunicados conforme a LGPD e a regulamentação da ANPD. Alterações materiais serão publicadas nesta página com nova data de atualização.

Consulte também os Termos de Uso.