Segurança e LGPD: o que acontece com as notas que você envia
As notas fiscais trazem dados de clientes, fornecedores e consumidores. Esta página resume, em linguagem simples, o que o IValida faz com elas. O que vale, em detalhe, está nos Termos de Uso, no Acordo de Tratamento de Dados e na Política de Privacidade.
Notas processadas em memória, sem armazenamento
XML não armazenado
O arquivo é lido na memória durante a requisição (no máximo 120 segundos) e descartado ao fim dela, sem gravação em disco, banco de dados, cache ou fila.
Relatório não guardado
O relatório vai para o seu navegador e não fica guardado pelo IValida. Se você exportar o arquivo, ele fica sob a sua responsabilidade. Não há histórico de lotes. Nada da sua carteira fica guardado.
Servidores no Brasil
A leitura e a conferência dos XMLs acontecem em servidores no Brasil. O tráfego passa, cifrado e sem armazenamento, por uma rede de proteção que pode atravessar outros países: veja a página Transferência internacional de dados.
Tráfego cifrado
Todo o tráfego usa HTTPS, do navegador até o servidor. O acesso ao app é restrito a e-mails autorizados, com código de uso único a cada login.
O mínimo de dados pessoais no resultado
O IValida não precisa dos dados pessoais das notas para conferir o IBS e a CBS. Por isso o resultado mostra o mínimo.
- Chave de acesso mascarada. A chave de acesso e o nome do arquivo saem mascarados por padrão. Se você desmarcar o mascaramento, o relatório entregue a você mostra esses dados.
- CPF retirado. CPF, nome, endereço, telefone e e-mail de pessoa física nunca aparecem no relatório; o CPF é retirado dos textos livres, e a chave de acesso de nota emitida por pessoa física sai sempre mascarada.
- Empresas identificáveis só se você quiser. O painel mostra CNPJ, razão social e UF de pessoas jurídicas; você pode desligar essa identificação, e então o CNPJ aparece mascarado. O nome empresarial de MEI ou empresário individual pode conter o nome de uma pessoa.
- Registros sem conteúdo. Nomes de arquivo, chaves de acesso, CNPJ, CPF e trechos dos XMLs não vão para os registros técnicos.
- Não envie XMLs por e-mail. O suporte não precisa deles; use o app.
Quem é controlador e quem é operador
Os papéis de cada parte na LGPD, como estão na Política de Privacidade (item 3) e no Acordo de Tratamento de Dados.
| Dados | Controlador | Operador |
|---|---|---|
| Dados pessoais contidos nas notas e nos demais arquivos enviados | O cliente que envia (empresa ou escritório) | IValida |
| Cadastro e acesso dos usuários, registros de acesso e técnicos e registro do aceite | IValida | Fornecedores de infraestrutura listados na Política |
| Conta e chaves de API (e-mail, resumo criptográfico da chave, versões aceitas e contadores de uso) | IValida | Fornecedor de nuvem listado na Política |
| Mensagens de suporte | IValida | Provedor de e-mail |
- Nos dados das notas, o IValida só executa a conferência pedida, segundo as instruções do cliente (LGPD, art. 39), e não usa esses dados para nenhuma outra finalidade: nem estatística, nem comercial, nem treinamento de modelos de inteligência artificial.
- Quando o escritório trata as notas como operador das empresas que atende, ele declara estar autorizado a contratar o IValida como suboperador (Acordo de Tratamento, cláusula 3.4).
- Pedidos de titulares sobre dados das notas vão ao cliente que as enviou; se chegarem ao IValida, são encaminhados a ele.
- Os suboperadores autorizados estão no Acordo de Tratamento de Dados (cláusula 5) e na página Suboperadores e fornecedores.
O que fica guardado
- XMLs e relatórios: não ficam guardados.
- Registro do aceite dos Termos de Uso e do Acordo de Tratamento (versões aceitas, data e hora, e-mail, IP recebido pelo servidor e um resumo criptográfico do navegador) e registros técnicos de acesso, sem o conteúdo das notas: 30 dias.
- Registros de login (e-mail, IP, data e hora): atualmente 24 horas.
- Cadastro: enquanto durar o acesso e por até 6 meses depois.
- Conta e chaves de API (para quem cria uma chave): enquanto a conta existir; chave revogada, 90 dias; contadores de uso por mês, 12 meses. A chave nunca é guardada inteira, só um resumo criptográfico e o prefixo.
- Mensagens de suporte: até 2 anos.
Prazos e exceções na Política de Privacidade, item 6.
Outras medidas de segurança
Resumo do item 12 da Política de Privacidade e do Anexo I do Acordo de Tratamento de Dados.
- O servidor só aceita requisições que chegam pelo proxy de acesso, com uma chave secreta guardada em cofre de segredos.
- Aplicação em contêiner sem privilégios de administrador e com conta de serviço de permissão mínima.
- Leitura de XML e ZIP com defesas contra ataques conhecidos e limites de tamanho, quantidade e tempo.
- Política de conteúdo restrita no navegador, sem recursos de terceiros nas páginas e sem cookies além do de autenticação.
- Acesso administrativo às contas de nuvem com verificação em duas etapas.
- Testes automatizados de segurança a cada versão publicada.
- Chaves de API guardadas só como resumo criptográfico e prefixo, nunca a chave inteira, com limite de chamadas e revogação imediata pelo usuário.
Documentos
O texto que vale é o dos documentos abaixo.
- Termos de Uso
- Acordo de Tratamento de Dados
- Política de Privacidade
- Transferência internacional de dados
Canal de privacidade: ivalida.app@gmail.com
Quer avaliar o IValida no seu escritório?
O preço é sob proposta. Escreva para ivalida.app@gmail.com.