Seus dados, explicados.

Em resumo

• Não vendemos nem compartilhamos dados para publicidade. Nunca.
• Seu certificado digital nunca sai daqui. Não existe caminho de download no produto — nem para você, nem para o suporte. Ele é usado apenas em memória, no momento da emissão da nota.
• Os dados dos seus tomadores são seus. Nesses dados a nfs.cx é operadora: tratamos por sua conta e ordem, para emitir as notas que você pediu.
• E-mails recebidos no canal de ingestão são apagados em 14 dias. Os dados fiscais da nota, não — esses a legislação tributária obriga a guardar por cerca de 5 anos.
• Tudo roda na infraestrutura da AWS, nos Estados Unidos (região us-east-2) — veja Transferência internacional.

Quem trata seus dados

A nfs.cx é operada por NUCARIAM PROCESSAMENTO DE DADOS LTDA, inscrita no CNPJ 41.801.312/0001-81, com sede em São Paulo/SP.

Contato para assuntos de privacidade e para o exercício dos seus direitos: privacidade@nfs.cx.

Esta política é regida pela LGPD (Lei 13.709/2018). Se você estiver no Espaço Econômico Europeu ou no Reino Unido, os mesmos compromissos valem sob o GDPR, e as referências correspondentes estão indicadas ao longo do texto.

Dois papéis diferentes — e isso importa

A nfs.cx trata dois conjuntos de dados que não se misturam, com responsabilidades distintas:

• Dados da sua conta e da sua empresa — aqui a nfs.cx é controladora (LGPD Art. 5º VI / GDPR Art. 4(7)): decidimos o que é necessário para manter a conta, autenticar você, cobrar e dar suporte.
• Dados dos seus tomadores de serviço (nome, CPF/CNPJ, endereço, valor, descrição do serviço) — aqui a nfs.cx é operadora (LGPD Art. 5º VII / GDPR Art. 4(8)). Quem decide emitir a nota é você; nós processamos conforme a sua instrução, e não usamos esses dados para nenhuma outra finalidade.

Consequência prática: se um tomador seu pedir acesso ou exclusão dos dados dele, o pedido se dirige a você. Nós ajudamos você a responder — mas não excluímos por conta própria um dado fiscal que a lei obriga a manter.

Que dados tratamos

Conta e acesso

• E-mail e nome de exibição; a senha é guardada apenas como hash — não temos como ler a sua senha.
• Registros do segundo fator: códigos enviados por e-mail (guardados como hash, de uso único e curta duração), chaves de acesso (passkeys) e a configuração do aplicativo autenticador. Uma passkey guarda a chave pública — a chave privada fica no seu dispositivo e nunca chega até nós.
• Navegadores reconhecidos (um identificador aleatório em cookie, data de acesso, endereço IP e user agent), usados para avisar você quando alguém entra de um dispositivo novo.

Empresa e configuração fiscal

• Razão social ou nome, CPF/CNPJ, endereço, CCM, série de RPS, código de serviço, alíquota e demais padrões de emissão.

Certificado digital A1

• O arquivo .pfx e a senha, cifrados no cofre (veja Como protegemos o certificado).
• Metadados no banco: titular, CPF/CNPJ, impressão digital SHA-256, validade e a referência ao objeto cifrado. Nunca a chave privada, nunca a senha.

Notas e lotes

• Cada linha da planilha e cada nota emitida: nome e CPF/CNPJ do tomador, e-mail quando informado, endereço, valor, descrição do serviço, data, série e número do documento (RPS no canal municipal, DPS no Emissor Nacional), número da NFS-e e o identificador devolvido por quem emitiu — código de verificação (São Paulo) ou chave de acesso (Emissor Nacional).
• Os arquivos e mensagens que originaram o lote, e o relatório do resultado.

Pagamentos

• Dados do pagador (nome, documento, endereço) e o histórico de compras de pacotes. Não recebemos nem armazenamos dados de cartão — a cobrança é feita por boleto/Pix através do nosso serviço de cobrança e do banco emissor.

Dados bancários para reembolso

• Só quando há um reembolso a pagar: a chave PIX (ou agência e conta), o CPF/CNPJ do titular e o nome do titular. Nada além disso.
• O titular precisa ser o mesmo CPF/CNPJ da empresa da conta — é o que um banco espera e é o que impede que alguém desvie um reembolso.
• Apagamos assim que a transferência é registrada. Fica apenas uma indicação parcial (por exemplo ···1234) no registro de auditoria, para responder "para onde foi o dinheiro?" meses depois.
• Informados uma única vez, junto com o pedido. O site não altera a conta de destino depois disso — correções passam por contato@nfs.cx, com uma pessoa conferindo. É o que impede que alguém com acesso à sua conta redirecione um reembolso já pedido.
• Nunca pedimos esses dados por WhatsApp, telefone ou e-mail, e eles nunca são enviados por e-mail nem para você nem internamente. O único lugar é a página Reembolso, dentro da sua conta — a mesma tanto para o arrependimento de 7 dias quanto para o encerramento. Isso vale inclusive quando é você quem nos escreve pedindo o reembolso: nossa resposta será apontar essa página, nunca perguntar sua chave PIX por e-mail. Se alguém pedir por outro canal, não é a nfs.cx.

Dados técnicos

• Registros de aplicação e de acesso (data, IP, rota, erros), usados para operar, depurar e detectar abuso. Nunca registramos senhas, certificados ou a senha do certificado — isso é verificado por testes automatizados.

Não usamos analytics de terceiros, pixels de rastreamento, redes de anúncios, CDNs externas ou fontes hospedadas fora daqui. As páginas carregam apenas do nosso próprio domínio, com uma única exceção, que não rastreia ninguém: ao digitar um CEP completo no cadastro da empresa, seu navegador consulta o ViaCEP para preencher o endereço — veja Com quem compartilhamos.

Para que usamos, e com que base legal

• Emitir suas NFS-e e operar a conta — execução do contrato (LGPD Art. 7º V / GDPR Art. 6(1)(b)).
• Cumprir obrigações fiscais e guardar o documento emitido — obrigação legal (LGPD Art. 7º II e Art. 16 I / GDPR Art. 6(1)(c)).
• Proteger contas e prevenir fraude (segundo fator, aviso de novo dispositivo, limite de tentativas, verificação de autenticidade do e-mail) — legítimo interesse e segurança do tratamento (LGPD Art. 7º IX e Art. 46 / GDPR Art. 6(1)(f) e Art. 32).
• Comunicar sobre o serviço — confirmação de e-mail, código de acesso, aviso de certificado a vencer, relatório do lote, nota da sua compra. São mensagens operacionais; não fazemos marketing por e-mail sem pedir antes.

Não há decisão automatizada com efeito jurídico sobre você: a automação decide se uma linha da planilha é válida e emite a nota que você pediu — não avalia, pontua nem classifica pessoas.

Por quanto tempo guardamos

• E-mails recebidos no canal de ingestão (mensagem bruta): 14 dias. Essa cópia é redundante — o dado que importa entra no banco assim que o anexo é lido. Ela existe só para (a) reprocessar automaticamente em caso de falha técnica e (b) investigar problemas de entrega e tentativas de fraude/spoofing. Depois disso é excluída automaticamente pela regra de ciclo de vida do armazenamento (S3 da AWS)— a aplicação sequer tem permissão para apagar esses objetos. Prazo definido por finalidade (LGPD Art. 6º III / GDPR Art. 5(1)(e)), não por conveniência.
• Dados fiscais das notas emitidas: cerca de 5 anos, pelo prazo exigido pela legislação tributária (LGPD Art. 16 I). Apagar e-mail recebido não significa esquecer a sua nota — são retenções separadas, com bases legais separadas.
• Conta, empresa e configuração: enquanto a conta existir, e depois pelo prazo necessário para defesa de direitos e obrigações legais.
• Certificado digital: enquanto for o certificado atual. Ao substituí-lo, a versão anterior é apagada do cofre. Ao encerrar a conta, o certificado é excluído.
• Dados bancários para reembolso: até a transferência ser registrada. Depois disso sobra apenas uma indicação parcial da conta (por exemplo ···1234) no registro de auditoria — o suficiente para responder onde o dinheiro foi parar, e inútil para quem ler.
• Registros técnicos: retidos por período curto, suficiente para investigação operacional e de segurança.

Como protegemos o certificado Nosso maior cuidado

Guardar a chave privada de um cliente é a coisa mais sensível que este sistema faz. É também o que torna possível emitir em lote sem você reenviar o certificado a cada mês — o que seria pior em termos de exposição (a chave e a senha circulando por e-mail, caixas de enviados, servidores de relay). Optamos por uma única cópia, muito bem protegida, e contamos exatamente como:

• Criptografia envelopada com AWS KMS. Cada certificado é cifrado com uma chave de dados própria (AES-GCM) derivada de uma chave mestra gerenciada pelo KMS, com contexto de criptografia por cliente — o material cifrado de um cliente não pode ser decifrado no contexto de outro.
• A senha do certificado é cifrada junto, no mesmo envelope. Ela não fica em texto claro em lugar nenhum — nem no banco, nem em log, nem em mensagem de erro (há teste automatizado garantindo que uma rejeição nunca ecoa a senha).
• Armazenamento no Amazon S3 com SSE-KMS, em bucket privado, com bloqueio total de acesso público e versionamento — defesa em profundidade sobre a cifra que já aplicamos na aplicação.
• Não existe caminho de leitura. Nenhuma tela, página, endpoint, e-mail ou rotina de suporte devolve os bytes do certificado ou a senha. Um certificado guardado só pode ser substituído por um novo envio — nunca baixado ou exportado. Um teste de reflexão verifica que nenhum resultado de funcionalidade de certificado carrega bytes, stream ou senha.
• Acesso mínimo e auditado. As permissões de KMS e S3 são restritas ao papel da instância da nfs.cx. E, como o arquivo guardado é apenas texto cifrado, abrir um certificado exige necessariamente a chave do AWS KMS — e toda chamada à chave fica registrada no AWS CloudTrail, com data, identidade e contexto: seja um processo nosso, seja uma pessoa pelo console da AWS. Quem alcançasse o arquivo sem passar pela chave levaria bytes ilegíveis.
• Uso apenas em memória, no momento da emissão. O certificado é decifrado uma vez por lote, dentro do processo, usado para assinar o documento fiscal (RPS ou DPS) e descartado ao fim do lote. Não é gravado em disco NUNCA.
• Validação no envio. Verificamos que a senha abre o arquivo, que há chave privada, que o certificado está dentro da validade e que o CPF/CNPJ do certificado é o mesmo da sua empresa — ninguém sobe certificado de terceiro por engano.
• Substituição sem janela de risco: o novo material é gravado antes de a troca ser confirmada, e o anterior é apagado em seguida.
• Avisos de vencimento 30, 15 e 7 dias antes — um A1 vencido em silêncio quebra um mês inteiro de faturamento.
• O certificado da própria nfs.cx fica no mesmo cofre, sob a mesma criptografia. Emitimos nossas próprias notas com ele quando você compra um pacote. Ou seja, protegemos o seu certificado exatamente como protegemos o nosso - sem distinção alguma.

O próximo passo, já no nosso roteiro: separar o emissor de notas em um serviço próprio, com papéis de acesso distintos — a aplicação que recebe o seu certificado passa a poder apenas cifrar, e só o emissor pode decifrar, no instante da emissão. Hoje os dois são o mesmo processo; a arquitetura já foi desenhada para essa divisão desde o início, de modo que ela é uma mudança de implantação, não uma reescrita. Até lá — e também depois — vale o que descrevemos acima: não existe caminho de download, e nenhum uso do seu certificado acontece sem deixar registro no AWS CloudTrail.

Segurança do restante

• Trânsito cifrado (HTTPS/TLS) em toda a aplicação e nas integrações.
• Segundo fator obrigatório para todas as contas: código por e-mail de uso único por padrão, com opção de passkey (a mais resistente a phishing) ou aplicativo autenticador. Senhas são guardadas apenas como hash.
• Aviso de novo dispositivo com um link que encerra todas as sessões, esquece os dispositivos confiáveis e envia a redefinição de senha.
• Limite de tentativas por conta e por origem, contra ataques de força bruta e reuso de credenciais vazadas.
• E-mail autenticado na entrada: só aceitamos planilhas do endereço que você registrou, e apenas se a mensagem passar na verificação de autenticidade (SPF, além de DKIM/DMARC quando presentes). Qualquer resposta vai para o endereço registrado — nunca para o remetente da mensagem — de modo que uma tentativa de falsificação não recebe nada de volta.
• Isolamento por cliente em toda consulta de dados; cada conta enxerga apenas as próprias notas, lotes e configurações.

Com quem compartilhamos

Só com quem é indispensável para o serviço funcionar:

• A administração tributária que emite a sua nota. Os dados da nota são transmitidos para a emissão — é o propósito do produto — e o destinatário depende do caminho da sua cidade:
  • Emissor Nacional (Sefin Nacional), mantido pela Receita Federal em convênio com os municípios, para as cidades que já emitem por ele. As notas também ficam disponíveis à prefeitura do município do serviço.
  • Prefeitura do Município de São Paulo, pelo webservice municipal de NFS-e, quando a emissão é por esse canal.
  Em qualquer dos dois, o destinatário é órgão público em exercício de competência tributária, e o tratamento passa a ser regido pela legislação fiscal — não por esta política. Consulte nfs.cx/cidades para saber por qual caminho a sua cidade emite.
• Amazon Web Services (AWS) — infraestrutura: servidores, banco de dados, armazenamento (S3), criptografia (KMS), envio e recebimento de e-mail (SES) e filas. Atua como operadora/subprocessadora, sob contrato.
• Nosso serviço de cobrança e o Banco Inter — para gerar boleto/Pix da compra de pacotes. Recebem os dados do pagador e o valor; não recebem dados dos seus tomadores nem o seu certificado.
• ViaCEP — só o CEP, e só do seu navegador. Quando você digita um CEP completo no cadastro da empresa, o seu navegador consulta o serviço público viacep.com.br para preencher rua, bairro, cidade e UF. Nossos servidores não participam dessa consulta, e o que sai é apenas o CEP — nunca seu nome, documento, e-mail ou qualquer outro dado. É uma comodidade: se o serviço estiver fora do ar, ou se você bloquear a consulta, o endereço continua podendo ser digitado normalmente.
• Autoridades, quando houver obrigação legal ou ordem judicial.

Não vendemos, alugamos nem cedemos dados pessoais para terceiros com finalidade publicitária ou comercial.

Transferência internacional

Nossa infraestrutura AWS fica nos Estados Unidos (região us-east-2). Portanto, os dados tratados pela nfs.cx — inclusive o certificado cifrado — são armazenados e processados fora do Brasil, com base nas cláusulas contratuais e nas garantias oferecidas pelo provedor (LGPD Art. 33 V / GDPR Cap. V). Os dados da nota também trafegam para a administração tributária que a emite — o Emissor Nacional (Sefin Nacional/Receita Federal) ou o webservice da Prefeitura de São Paulo —, ambos no Brasil.

Cookies

Usamos apenas cookies necessários ao funcionamento. Nenhum é de publicidade ou de rastreamento entre sites, e por isso não exibimos banner de consentimento:

• Sessão — mantém você autenticado depois do login.
• Antifalsificação — protege os formulários contra requisições forjadas (CSRF).
• nfscx_disp — identificador aleatório do navegador, para saber quando avisar sobre um acesso de dispositivo novo.
• Confiar neste dispositivo — opcional, se você marcar a opção ao digitar o código; dispensa o segundo fator neste navegador por 30 dias.

A preferência de tema (claro/escuro) fica no localStorage do seu navegador e não é enviada para nós.

Seus direitos

A LGPD (Art. 18) e o GDPR (Arts. 15 a 22) garantem a você, entre outros: confirmação do tratamento, acesso, correção, anonimização ou exclusão de dados desnecessários, portabilidade, informação sobre compartilhamentos, revogação de consentimento e oposição a tratamento feito com base em legítimo interesse.

• Acesso e correção você já exerce sozinho: os dados da conta e da empresa estão em Configurações e podem ser editados a qualquer momento.
• Portabilidade das notas emitidas: exportação em CSV na página Notas, a qualquer momento.
• Exclusão: escreva para privacidade@nfs.cx. Apagamos o que pudermos apagar e explicamos, item a item, o que a legislação fiscal nos obriga a manter e por quanto tempo.
• Pedidos de tomadores seus devem ser dirigidos a você, que é o controlador desses dados — veja Dois papéis diferentes. Nós apoiamos você na resposta.

Respondemos em até 15 dias. Você também pode reclamar à ANPD — e, na União Europeia ou no Reino Unido, à autoridade de proteção de dados do seu país.

Incidentes

Se ocorrer um incidente de segurança com risco relevante aos seus dados, comunicaremos você e a ANPD, com o que sabemos, o que já fizemos e o que você deve fazer — sem esperar ter a investigação completa (LGPD Art. 48 / GDPR Arts. 33 e 34). Se o incidente envolver certificados, a orientação será direta: revogar o certificado junto à sua Autoridade Certificadora.

Mudanças nesta política

Quando mudarmos algo relevante, avisamos por e-mail e atualizamos a data no topo desta página. Dúvidas: privacidade@nfs.cx.

Esta política é parte integrante dos Termos de Uso, que descrevem o serviço contratado, as responsabilidades de cada lado e as condições comerciais.