Política de Privacidade

1. Controlador e Encarregado (DPO)

O controlador dos dados pessoais coletados é:

O Encarregado pela Proteção de Dados (DPO) pode ser contatado pelo e-mail contato@b2btax.com.br, com o assunto "LGPD — FuturFiscal — [sua solicitação]".

2. Dados pessoais coletados

Coletamos apenas os dados estritamente necessários para a operação da plataforma e para o cumprimento das finalidades descritas nesta Política. Não coletamos dados sensíveis (LGPD art. 5º, II) por meio da plataforma.

2.1. Conta de usuário

Quando você recebe credenciais de acesso à plataforma, registramos:

• Nome de usuário e nome completo
• E-mail (opcional, usado para comunicações operacionais e fluxo de definição/recuperação de senha)
• Senha hash (bcrypt cost 10 — nunca armazenamos a senha em texto)
• Papel (admin_plbr, consultor_b2btax, cliente, parceiro) e vínculos com empresas-cliente
• Data e hora do último login (auditoria)

2.2. Dados fiscais carregados

Quando você (ou consultor autorizado) carrega arquivos da empresa-cliente:

• NF-e modelo 55 e NFS-e — chave, emitente, destinatário, itens, tributos, CFOP, NCM
• ECF — DRE referencial RFB, balanço patrimonial, LALUR
• ECD — série histórica mensal de receita, custos, despesas, folha
• EFD Contribuições — entradas e aquisições agregadas, fornecedores e operações por UF/CFOP/NCM
• Premissas operacionais — mix B2B/B2C, prazo de recebimento/pagamento, top fornecedores/clientes (cadastrados manualmente quando não há EFD)

Esses dados podem incluir nomes, CPFs e endereços de fornecedores e clientes da empresa. A B2BTAX atua como operadora desses dados — a empresa-cliente permanece como controladora.

2.3. Dados de uso da plataforma

Independentemente das ações do usuário, registramos automaticamente:

• Endereço IP de origem
• Data, hora e duração do acesso
• Tipo de navegador e sistema operacional
• Páginas visitadas dentro da plataforma
• Logs de eventos sensíveis (criação de empresa, redefinição de senha, exclusão de dados — auditoria)

A retenção de logs de conexão por 6 meses é obrigação legal imposta pelo Marco Civil da Internet (Lei 12.965/2014, art. 15).

3. Finalidades e bases legais

Cada dado coletado tem finalidade específica e base legal definida pela LGPD (art. 7º):

Não utilizamos seus dados para finalidades incompatíveis com aquelas informadas no momento da coleta. Não realizamos perfilamento, marketing direto sem consentimento ou compartilhamento com fins comerciais.

4. Compartilhamento com terceiros

Não vendemos, alugamos ou comercializamos seus dados pessoais. Compartilhamos dados apenas com prestadores de serviço essenciais para operação da plataforma, atuando como operadores (LGPD art. 5º, VII):

• Vercel, Inc.Hospedagem da aplicação Next.js e edge runtime. Processa requisições HTTP e logs de acesso. Sede: Estados Unidos. Política: vercel.com/legal/privacy-policy
• Neon, Inc.Banco de dados Postgres gerenciado. Armazena toda a base operacional (usuários, empresas, dados fiscais carregados). Datacenter na América do Sul (São Paulo). Política: neon.tech/privacy-policy
• Cloudflare, Inc.CDN, proteção contra ataques (WAF) e armazenamento de backups (R2). Sede: Estados Unidos. Política: cloudflare.com/privacypolicy
• Functional Software, Inc. (Sentry)Captura de exceções e telemetria de performance. Configurada com sendDefaultPii: false — não envia IPs, cookies ou user agents. Sede: Estados Unidos. Política: sentry.io/privacy
• Vercel AnalyticsColeta agregada de Web Vitals (latência, tempo de resposta) e contagem anônima de page views para monitoramento de performance. Não coleta IP, cookies, identificadores de usuário nem PII em sua configuração padrão. Operada pela própria Vercel, Inc. (mesma sede dos serviços de hospedagem). Política: vercel.com/legal/privacy-policy
• Google LLC (Gemini API)Análise qualitativa de impacto e busca de NCM/NBS por descrição. Recebe apenas o texto da consulta — não tem acesso aos dados fiscais carregados na plataforma. Política: policies.google.com/privacy

Poderemos compartilhar dados com autoridades públicas quando houver obrigação legal, ordem judicial ou requisição regulatória fundamentada.

5. Transferência internacional de dados

Parte dos operadores listados (Vercel + Vercel Analytics, Cloudflare, Sentry, Google) tem sede e infraestrutura em jurisdição estrangeira, notadamente os Estados Unidos. Isso configura transferência internacional de dados, permitida pela LGPD (art. 33):

• Execução de contrato entre titular e controlador (art. 33, V)
• Cumprimento de obrigação legal (art. 33, III)
• Quando o titular fornece consentimento específico (art. 33, VIII)

Os dados primários da plataforma (usuários, empresas-cliente, arquivos fiscais carregados) são armazenados em datacenter na América do Sul (São Paulo) via Neon, mantendo os dados sensíveis em jurisdição brasileira sempre que tecnicamente viável.

Os operadores adotam salvaguardas contratuais (Standard Contractual Clauses ou equivalentes) e padrões internacionais de segurança da informação (ISO 27001, SOC 2).

6. Armazenamento, segurança e retenção

6.1. Medidas de segurança

Adotamos medidas técnicas e organizacionais compatíveis com a sensibilidade dos dados:

• Comunicação criptografada via TLS 1.3 (HTTPS) em toda a plataforma
• Senhas armazenadas com hash bcrypt (cost 10) — nunca em texto claro
• Sessão via JWT assinado com AUTH_SECRET de 32+ caracteres
• Proteção contra bots e ataques automatizados via Cloudflare WAF
• Backups semanais criptografados em repouso (Cloudflare R2 — AES-256)
• Monitoramento contínuo de exceções e disponibilidade (Sentry + UptimeRobot)
• Acesso administrativo restrito a colaboradores B2BTAX com necessidade profissional
• Auditoria de eventos sensíveis (criação de empresa, redefinição de senha, exclusão de dados)

6.2. Prazos de retenção

Após o prazo de retenção, os dados são eliminados ou anonimizados de forma irreversível, exceto quando houver obrigação legal de guarda por prazo superior.

7. Cookies e tecnologias de rastreamento

A plataforma utiliza apenas cookies estritamente necessários para operação, com base no legítimo interesse (LGPD art. 7º, IX):

• Cookie de sessão (JWT) — autentica o usuário durante a navegação. TTL de 7 dias para papéis padrão; até 24h para parceiros temporários.
• Cookies do Cloudflare — proteção contra bots e identificação de tráfego legítimo.
• localStorage — armazena preferências de UI (tema claro/escuro, sidebar colapsada, modo demo).

Não utilizamos cookies de análise, marketing ou publicidade de terceiros. Caso venhamos a adotar ferramentas como Google Analytics, pixels de redes sociais ou cookies de remarketing, apresentaremos banner de consentimento compatível com a LGPD antes do carregamento dessas tecnologias.

Você pode bloquear ou gerenciar cookies diretamente nas configurações do seu navegador, o que pode afetar funcionalidades essenciais (autenticação não funciona sem o cookie de sessão).

8. Direitos do titular

Conforme o art. 18 da LGPD, você tem os seguintes direitos em relação aos seus dados pessoais:

1. Confirmação da existência de tratamento
2. Acesso aos dados tratados
3. Correção de dados incompletos, inexatos ou desatualizados
4. Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade
5. Portabilidade a outro fornecedor de serviço
6. Eliminação dos dados tratados com base em consentimento
7. Informação sobre entidades com as quais seus dados são compartilhados
8. Informação sobre a possibilidade de não fornecer consentimento e suas consequências
9. Revogação do consentimento
10. Oposição a tratamento realizado em desconformidade com a LGPD

Para exercer qualquer um desses direitos, envie solicitação para contato@b2btax.com.br com o assunto "LGPD — FuturFiscal — Solicitação do titular".

Responderemos em até 15 (quinze) dias corridos, conforme art. 19, § 1º da LGPD. Poderemos solicitar informações adicionais para confirmar sua identidade antes de executar a solicitação.

9. Dados de crianças e adolescentes

A plataforma é direcionada exclusivamente a profissionais e empresas. Não coletamos dados pessoais de crianças ou adolescentes de forma intencional. Se identificarmos a coleta inadvertida desses dados, procederemos à eliminação imediata, salvo em hipóteses previstas na LGPD (art. 14, § 3º).

10. Alterações desta Política

Esta Política pode ser atualizada para refletir mudanças regulatórias, operacionais ou tecnológicas. Em caso de alteração material, publicaremos a nova versão nesta página com a data de vigência atualizada e notificaremos os usuários ativos por e-mail.

O histórico de versões está disponível mediante solicitação ao Encarregado.

11. Contato

Dúvidas, solicitações ou reclamações relacionadas a esta Política devem ser dirigidas ao Encarregado:

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) — gov.br/anpd.