Política de privacidade

O Orbasy Fiscal trata dois tipos de dado, e o nosso papel muda entre eles.

• Dados da conta, da cobrança e do site: somos a controladora. Decidimos para que eles servem e respondemos por eles.
• Dados que aparecem nos documentos fiscais que você emite ou recebe, como nome, CPF ou CNPJ e endereço de destinatários, tomadores e fornecedores: somos a operadora. Tratamos esses dados em seu nome e conforme as suas instruções, e a sua empresa é a controladora.

• Conta: nome, e-mail e foto de perfil, recebidos do provedor de login, inclusive quando você entra com o Google.
• Organização e empresas: razão social, CNPJ, inscrições, endereço, regime tributário, responsável técnico, o certificado digital A1 com a senha, o CSC da NFC-e e as credenciais municipais.
• Documentos fiscais: o conteúdo das notas que você emite, importa ou recebe, incluindo os dados das pessoas físicas e jurídicas que aparecem nelas e o e-mail para onde a nota é enviada.
• Uso da API: rota, método, código de resposta, tempo de resposta e o endereço IP de cada requisição feita com uma chave de API, além do histórico de entregas de webhook.
• Cobrança: o plano e o histórico de assinatura. Os dados do cartão são informados direto ao Stripe e não passam pelos nossos servidores.
• Site: a escolha de tema e a escolha de cookies, guardadas no seu navegador, e, só com o seu consentimento, as métricas de visita do Google Analytics.

• Prestar o serviço contratado: criar a conta, emitir, transmitir, guardar e consultar documentos fiscais, enviar a nota por e-mail quando você pede e cobrar a assinatura (execução de contrato, art. 7º, V).
• Transmitir os documentos às Secretarias de Fazenda e à Sefin Nacional, como a legislação fiscal exige (cumprimento de obrigação legal, art. 7º, II).
• Manter o serviço seguro: registros de acesso, limite de requisições e prevenção a fraude e abuso (legítimo interesse, art. 7º, IX).
• Entender o uso do site com o Google Analytics (consentimento, art. 7º, I). Sem consentimento, o script não é carregado.

Não vendemos dados pessoais. Compartilhamos apenas o necessário para o serviço funcionar:

• Secretarias de Fazenda dos estados, a SVRS, a SVC e a Sefin Nacional, que recebem os documentos fiscais por exigência legal.
• Destinatários das notas, quando você pede o envio por e-mail.
• Clerk, para login e gestão de usuários e organizações.
• Stripe, para a cobrança da assinatura.
• Resend, para o envio de e-mails.
• DigitalOcean, onde o sistema e o banco de dados ficam hospedados.
• Google, pelo Google Analytics, só com o seu consentimento.
• Autoridades públicas, quando houver ordem ou obrigação legal.

Alguns desses fornecedores tratam dados fora do Brasil, principalmente nos Estados Unidos. Essas transferências seguem o art. 33 da LGPD e se apoiam nas garantias contratuais que cada fornecedor oferece.

• O certificado digital, a senha dele e os demais segredos ficam cifrados com AES-256-GCM.
• Chaves de API ficam guardadas só como hash, e a chave completa aparece uma única vez, na criação.
• CPF, CNPJ, senhas e segredos são mascarados nos registros do sistema.
• Todo o tráfego usa HTTPS, e as ações sensíveis do painel são restritas aos administradores da organização.

• Dados da conta e das empresas: enquanto a conta estiver ativa.
• Documentos fiscais: enquanto a organização existir. Quando ela é encerrada, os documentos e o certificado continuam guardados, porque a legislação tributária obriga a guarda dos documentos fiscais.
• Depois do encerramento, os dados da organização ficam guardados por 5 anos, o prazo de guarda dos documentos fiscais. Passado esse prazo, são apagados a pedido, pelo e-mail joaovictornunes@orbasy.com.br.
• Registros de requisições da API e entregas de webhook: 30 dias.
• Cópias de segurança do banco de dados: diárias, apagadas automaticamente ao fim do prazo de retenção.

A guarda dos XML pelo prazo legal continua sendo responsabilidade do emitente. Recomendamos baixar os XML das suas notas periodicamente.

Pelo art. 18 da LGPD, você pode pedir a confirmação de que tratamos os seus dados, o acesso a eles, a correção de dados incompletos ou errados, a anonimização, o bloqueio ou a eliminação de dados desnecessários, a portabilidade, informações sobre o compartilhamento e a revogação do consentimento.

Para exercer esses direitos, escreva para joaovictornunes@orbasy.com.br. Se o pedido for sobre dados que aparecem numa nota fiscal emitida por um cliente nosso, ele deve ser feito à empresa que emitiu a nota, que é a controladora. Nós ajudamos essa empresa a responder.

Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

• Necessários: o site guarda no seu navegador o tema escolhido e a sua escolha sobre cookies. O painel usa cookies de sessão do provedor de login para manter você conectado.
• Medição de audiência: os cookies do Google Analytics só são gravados depois que você aceita. Você pode mudar a escolha a qualquer momento em Preferências de cookies, no rodapé do site.

O encarregado pelo tratamento de dados pessoais é João Victor Nunes da Silva, pelo e-mail joaovictornunes@orbasy.com.br.

Alphatec Sistemas Ltda, CNPJ 57.747.877/0001-68, Rua Genoel Ferreira Bragança, 34, 3º andar, Antonio Francisco Moreira, Guaçuí (ES), CEP 29560-000.

Quando esta política mudar, a nova versão é publicada nesta página com a data de atualização. Mudanças relevantes também são avisadas por e-mail ou no painel.