Privacidade e LGPD

1. Quem somos

Esta política explica como o Nacra ("nós") trata dados pessoais no site e no serviço Nacra, conforme a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, "LGPD"). Ela complementa os termos de uso.

2. Nosso papel em cada dado

• Dados da sua conta, da lista de espera e do pagamento: o Nacra é o controlador. Somos nós que decidimos como e por que tratá-los, nos termos desta política.
• Dados que estão nos arquivos dos seus clientes (SPED, DCTF, relatórios do e-CAC, certificados digitais): você, ou a empresa para quem você trabalha, é o controlador, e o Nacra é o operador. Tratamos esses dados só para executar o que você pede (diagnóstico, estudo, captura), seguindo suas instruções.

Se um titular dos dados de um cliente seu nos procurar, encaminharemos o pedido a você, que é quem responde por ele, e ajudaremos no que for preciso.

3. Que dados tratamos

• Cadastro: nome, e-mail e senha (guardada só como hash, nunca em texto). Se você entrar com o Google, recebemos o nome, o e-mail e a foto do perfil.
• Perfil e preferências: o seu perfil profissional, como conheceu o Nacra, foto e logotipo do escritório (se enviar) e a data em que aceitou os termos.
• Lista de espera: nome, e-mail, WhatsApp e perfil profissional.
• Origem do cadastro: de onde você chegou ao site quando entrou na lista de espera ou criou a conta, como a rede social, o buscador ou a campanha do link de um anúncio.
• Navegação, só se você aceitar os cookies de publicidade: as páginas públicas visitadas e ações como entrar na lista de espera ou criar a conta, registradas pelo pixel do Meta.
• Pagamento: nome, e-mail, endereço e CPF ou CNPJ informados no checkout, plano, histórico de faturas e o status da assinatura. Os dados do cartão ficam com a Stripe: o Nacra não os vê nem os guarda.
• Uso do serviço: diagnósticos, estudos e capturas feitos, consumo da cota e mensagens trocadas com o suporte.
• Registros técnicos: endereço IP, navegador, data e hora de acesso e registros de erro, gerados pela hospedagem.
• Arquivos dos clientes: os arquivos fiscais que você envia e os dados lidos deles. Eles trazem dados de empresas e podem trazer dados pessoais, como nome e CPF de sócios, contadores e participantes.
• Certificados digitais A1 que você guarda no cofre, cifrados (veja a seção 9).

Não pedimos nem tratamos dados pessoais sensíveis (saúde, religião, biometria e afins).

4. Para que usamos e com que base legal

5. Arquivos dos seus clientes

• Os arquivos são lidos no seu próprio navegador. Os originais e os dados lidos ficam guardados, criptografados, para você reprocessar e subir o que faltou.
• Cada conta só enxerga os próprios diagnósticos: a separação é feita no banco de dados, não só na tela.
• Os originais e os dados lidos são apagados 30 dias depois do diagnóstico, ou antes, se você apagar pelo painel. O resumo e o Excel do resultado ficam na conta para você baixar de novo.
• Para completar o cadastro das empresas, o Nacra consulta dados públicos do CNPJ (razão social, CNAE e opção pelo Simples) em bases abertas como a BrasilAPI e a OpenCNPJ. Só o número do CNPJ é enviado.
• Não usamos os arquivos dos seus clientes para treinar inteligência artificial nem para nenhum fim além do serviço.

6. Com quem compartilhamos

Não vendemos nem alugamos dados pessoais. Para o serviço funcionar, contamos com os fornecedores abaixo, que tratam os dados só para essas finalidades e com obrigações de segurança e sigilo:

O Meta também usa os dados do pixel conforme a política de privacidade dele, inclusive para mostrar anúncios. A Anthropic, pelos termos comerciais da API, não usa os dados recebidos para treinar os seus modelos. Também podemos compartilhar dados quando a lei ou uma ordem de autoridade exigir, e com quem vier a suceder o Nacra numa venda ou reorganização da empresa, sempre sob esta política.

7. Transferência internacional

Alguns desses fornecedores guardam ou processam dados fora do Brasil, em especial nos Estados Unidos (como Vercel, Stripe, Anthropic, Google, Meta, Resend e Zoho). Essas transferências seguem o art. 33 da LGPD e são feitas com fornecedores que adotam cláusulas contratuais e padrões de proteção compatíveis com os exigidos no Brasil.

8. Por quanto tempo guardamos

9. Segurança

• Conexão sempre cifrada (HTTPS) e dados criptografados no armazenamento.
• Separação por conta no próprio banco de dados: uma conta não consegue ler os dados de outra.
• Senhas guardadas só como hash. Chaves de acesso e segredos ficam fora do código e só no servidor.
• Cofre de certificados: o arquivo do certificado e a senha são cifrados no seu navegador, antes de sair do computador, com uma chave que só o robô de captura tem. Nem o banco de dados nem a nossa equipe conseguem abri-los pelo painel.
• Acesso interno restrito a quem precisa, para manter e dar suporte ao serviço.

Nenhum sistema é 100% seguro. Se acontecer um incidente que possa trazer risco ou dano relevante, avisaremos os afetados e a Autoridade Nacional de Proteção de Dados (ANPD), como manda o art. 48 da LGPD.

10. Cookies e armazenamento no navegador

Necessários (sempre ativos): os cookies da sessão de login e, no armazenamento do navegador, a sua preferência de tema (claro ou escuro), o estado do menu lateral, a sua escolha sobre cookies e, por até 90 dias, de onde você chegou ao site (por exemplo, a campanha do link de um anúncio), para registrarmos a origem do cadastro.

Publicidade (só com a sua permissão): o pixel do Meta registra as páginas públicas que você visita e ações como entrar na lista de espera ou criar a conta, para medirmos e melhorarmos os anúncios do Nacra no Facebook e no Instagram. Ele grava cookies do próprio Meta no seu navegador e nunca roda dentro do painel.

Você escolhe no aviso que aparece na primeira visita e pode mudar a escolha quando quiser em "Preferências de cookies", no rodapé do site. Recusar não muda nada no uso do Nacra.

11. Seus direitos

Pela LGPD (arts. 18 e 20), você pode pedir, a qualquer momento:

• a confirmação de que tratamos seus dados e o acesso a eles;
• a correção de dados incompletos, errados ou desatualizados;
• a anonimização, o bloqueio ou a eliminação de dados desnecessários ou tratados em desacordo com a lei;
• a portabilidade dos dados para outro fornecedor;
• a eliminação dos dados tratados com o seu consentimento e a retirada desse consentimento;
• a oposição a um tratamento feito com base no legítimo interesse;
• a informação de com quem compartilhamos os seus dados;
• a revisão de decisões tomadas só por meios automatizados.

Boa parte você resolve no painel (dados do perfil, logotipo, arquivos de um diagnóstico, certificados). Para o resto, escreva para contato@nacra.com.br. Respondemos em até 15 dias. Você também pode reclamar à ANPD.

12. Menores de idade

O Nacra é um serviço profissional, não destinado a menores de 18 anos, e não coleta dados deles de propósito.

13. Mudanças nesta política

Podemos atualizar esta política. Mudanças relevantes serão avisadas por e-mail e no painel antes de valer. A data da versão em vigor fica no topo desta página.

14. Encarregado e contato

O canal do encarregado pelo tratamento de dados pessoais (LGPD, art. 41) é contato@nacra.com.br. Use o mesmo endereço para qualquer pedido ou dúvida sobre privacidade.