Privacidade e LGPD

1. Dados que coletamos

• Cadastro: nome, e-mail, CPF/CNPJ, telefone e endereço do contador (master), das empresas clientes e de seus tomadores de serviço.
• Dados fiscais: notas fiscais de serviço (NFS-e), códigos LC 116, valores e retenções.
• Dados financeiros: lançamentos do fluxo de caixa e, com consentimento explícito, transações bancárias via Open Finance.
• Certificado digital: o arquivo .pfx é armazenado cifrado (AES-256-GCM); a chave privada jamais é gravada em disco ou exposta.
• Auditoria: IP, navegador e ações sensíveis (login, emissão, conexão bancária) registrados por segurança.

2. Para que usamos (finalidade e base legal)

• Prestação do serviço de gestão fiscal e emissão de notas — execução de contrato (art. 7º, V).
• Dados bancários via Open Finance — consentimento explícito do titular, dado apenas pelo próprio titular no banco (art. 7º, I). O contador não pode consentir em nome do cliente.
• Registros de auditoria — legítimo interesse e obrigação legal de segurança (art. 7º, IX e II).

3. Como protegemos

• Sessões com token aleatório (só hash no banco), cookies HttpOnly/SameSite/Secure em HTTPS.
• Senhas com hash bcrypt; certificados e segredos cifrados com AES-256-GCM.
• Isolamento por empresa (row-level): cada acesso só vê os dados do próprio tenant.
• Proteções OWASP: CSRF duplo, CSP, rate limit, headers de segurança, consultas parametrizadas.
• Documentos sensíveis (CPF/CNPJ) exibidos mascarados nas listagens.

4. Compartilhamento

Os dados são compartilhados apenas com os serviços essenciais à finalidade: SEFIN (emissão de NFS-e), Cora (cobranças, quando habilitada), Malvo/Open Finance (dados bancários consentidos) e Google (login, apenas e-mail e nome). Nenhum dado é vendido ou usado para publicidade.

5. Seus direitos

Você pode solicitar a qualquer momento: confirmação de tratamento, acesso, correção, anonimização, portabilidade e eliminação dos dados (art. 18 da LGPD). Pedidos são atendidos pelo contador responsável pela sua conta ou pelo e-mail de contato do Faturizzi. Registros fiscais podem ter retenção obrigatória por lei (CPC/02 e RFB).

6. Cookies

• faturizzi_session — autenticação (HttpOnly, essencial).
• faturizzi_csrf — proteção CSRF (essencial).
• impersonate_tenant_id / faturizzi_master_return — modo contador (essencial).
• og_state — proteção anti-CSRF do login Google (temporário).

Não usamos cookies de publicidade ou rastreamento de terceiros.