Política de Privacidade e Práticas de Segurança

1. Quem somos e qual é o nosso papel

O ERP123 é uma plataforma para emissão e gestão de Notas Fiscais de Serviço eletrônicas (NFS-e) no Padrão Nacional, que também reúne recursos de notificação, pagamento, atendimento e assinatura eletrônica de contratos, sendo a JB Software Ltda. (CNPJ nº 82.891.821/0001-20) detentora dos direitos de comercialização e responsável por toda a infraestrutura e hospedagem da aplicação.

Esta política explica, de forma simples, quais dados pessoais tratamos, para que os usamos, com quem os compartilhamos e como os protegemos, em conformidade com a Lei Geral de Proteção de Dados (LGPD – Lei nº 13.709/2018).

Dependendo do dado, atuamos em dois papéis:

• Controladora: em relação aos dados de contratação, dos usuários do sistema, do atendimento e da cobrança, para os quais decidimos a finalidade do uso.
• Operadora: em relação aos dados que o cliente cadastra e utiliza para emitir suas notas (por exemplo, dados de tomadores de serviço e fornecedores). Nesse caso, o cliente é o controlador e nós tratamos os dados conforme as instruções dele e o contrato firmado.

Encarregado pelo tratamento de dados pessoais (DPO): lgpd@erp123.com.br.

2. Quais dados tratamos

3. Em que situações podemos tratar seus dados

Tratamos dados pessoais apenas quando há uma justificativa prevista na LGPD:

• Execução de contrato: para prestar o serviço contratado.
• Cumprimento de obrigação legal ou regulatória: para emitir, transmitir e guardar documentos fiscais, conforme a legislação tributária.
• Legítimo interesse: para garantir a segurança da plataforma, prevenir fraudes e melhorar o serviço.
• Consentimento: quando necessário, por exemplo na autorização do cliente para consultas pagas de dados cadastrais de empresas e no uso de cookies não essenciais.
• Exercício regular de direitos: para guardar os comprovantes de aceite de contratos.

4. Com quem compartilhamos os dados

Compartilhamos dados somente quando necessário para prestar o serviço. Os fornecedores de tecnologia que nos apoiam atuam como operadores, sob contrato que os obriga a manter a confidencialidade e a usar os dados apenas para a finalidade combinada.

• Órgãos fiscais: SERPRO, Receita Federal e ambiente nacional da NFS-e, para transmitir e consultar documentos fiscais e dados cadastrais.
• Hospedagem: fornecedor de servidores virtuais (VPS) contratado pela JB Software, onde a JB mantém e administra o cluster Kubernetes, o sistema e os bancos de dados. Garantias do fornecedor: Fornecedor com certificação ISO/IEC 27001:2022. Isolamento entre clientes, controle de acesso, firewall e proteção contra ataques de negação de serviço (DDoS), conforme descritos na seção “Níveis de segurança, padrões e certificações”. Cópias de segurança automáticas e cópias instantâneas (snapshots) do servidor.
• Armazenamento de arquivos: para guardar com segurança os arquivos das notas (XML) e demais documentos. Garantias do fornecedor: Serviço coberto pelas certificações ISO/IEC 27001:2022 e SOC 2 do fornecedor. Dados criptografados em repouso por padrão (AES-256), com módulo criptográfico validado pelo padrão FIPS 140-2. As cópias de segurança mantidas pelo próprio fornecedor também são criptografadas.
• Envio de e-mails: para entregar notas, avisos e mensagens de acesso. Garantias do fornecedor: Serviço incluído nos programas de conformidade SOC e ISO/IEC 27001 do fornecedor, em modelo de responsabilidade compartilhada. Comunicação com o serviço protegida por TLS 1.2 ou 1.3. A entrega ao servidor do destinatário usa criptografia quando ele a oferece; se não oferecer, a mensagem pode trafegar sem criptografia. Por isso, não envie informações sensíveis por e-mail.
• Mensagens instantâneas: para o atendimento e o envio de avisos por esse canal, quando você o utiliza. Garantias do fornecedor: O fornecedor declara possuir relatórios SOC 2 Tipo II e ISO/IEC 27001. Mensagens criptografadas em trânsito e em repouso. A criptografia não é ponta a ponta até o ERP, pois a plataforma do fornecedor recebe a mensagem e a repassa ao sistema. As mensagens ficam retidas por até 30 dias para funcionalidades básicas, e os identificadores de usuário são excluídos em até 30 dias. O fornecedor atua como operador, e seus servidores podem estar fora do Brasil.
• Pagamentos: instituição de pagamento que processa cobranças por PIX e boleto. Garantias do fornecedor: Fornecedor com certificação PCI DSS Nível 1, padrão internacional de segurança de dados de pagamento. Política de segurança cibernética alinhada às Resoluções BCB nº 85/2021 e CMN nº 4.893/2021, do Banco Central e do Conselho Monetário Nacional. Adota autenticação multifator, tokens de segurança e aderência à LGPD. Transferência internacional de dados somente para países com nível de proteção equivalente ao exigido pela lei brasileira.
• Medição de campanhas: Google Ads, para medir quais campanhas trouxeram visitantes ao site e quantas visitas viraram contratação e, com a sua autorização, mostrar anúncios do ERP 123 a quem já visitou o site. Garantias do fornecedor: A tag do Google é carregada em todas as visitas ao site. Sem a sua autorização, ela não grava cookies e envia apenas sinais técnicos da visita (endereço de acesso, dados do navegador, página visitada e a sua escolha sobre cookies), sem identificador seu e sem o código de clique do anúncio. O Google usa esses sinais de forma agregada para estimar resultados. Com a sua autorização, a tag grava cookies que permitem relacionar a visita a um anúncio clicado e incluir o navegador em listas de público para anúncios. O Google trata esses dados também conforme a política de privacidade dele, e seus servidores podem estar fora do Brasil.
• Autoridades públicas: quando houver obrigação legal ou ordem judicial.

Não vendemos dados pessoais. Você pode pedir ao Encarregado informações detalhadas sobre as categorias de terceiros com os quais seus dados são compartilhados.

5. Transferência internacional de dados

Alguns dos fornecedores de tecnologia que utilizamos, como serviços de nuvem, de envio de e-mails e de medição de campanhas, podem processar dados em servidores localizados fora do Brasil. A LGPD chama isso de transferência internacional de dados.

Quando isso ocorre, observamos os artigos 33 a 36 da LGPD e a Resolução CD/ANPD nº 19/2024: a transferência só é feita para países ou organizações com nível de proteção adequado ou mediante garantias como cláusulas contratuais específicas ou padrão e medidas técnicas e organizacionais de segurança.

6. Por quanto tempo guardamos os dados

• Documentos fiscais: mantidos pelo prazo exigido pela legislação tributária, em regra cinco anos.
• Dados de contratação e comprovantes de aceite: durante a vigência do contrato e, depois dele, pelo prazo necessário para exercício regular de direitos.
• Registros de acesso: por, no mínimo, seis meses, conforme o Marco Civil da Internet (Lei nº 12.965/2014).
• Demais dados: pelo tempo necessário à finalidade para a qual foram coletados; depois disso, são eliminados ou anonimizados, salvo obrigação legal de guarda.

Quando o usuário exclui um item no sistema (como um rascunho ou um cadastro), a exclusão é “lógica”: o item deixa de aparecer, mas seu histórico é preservado para fins fiscais e de auditoria.

7. Seus direitos

Conforme o art. 18 da LGPD, você pode solicitar:

• confirmação de que tratamos seus dados e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a lei;
• portabilidade dos dados;
• informações sobre com quem compartilhamos seus dados;
• revogação do consentimento, quando essa for a base utilizada.

Para exercer seus direitos, escreva para lgpd@erp123.com.br. Respondemos em até 15 dias, prazo previsto no art. 19 da LGPD. Dados que precisamos manter por obrigação legal não podem ser eliminados enquanto essa obrigação durar.

Se você é tomador de serviço ou fornecedor de um de nossos clientes, o responsável pelos seus dados é o próprio cliente. Nesse caso, encaminharemos sua solicitação a ele. Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

8. Como protegemos os dados

Adotamos medidas técnicas e organizacionais para proteger os dados contra acessos não autorizados, perda e uso indevido.

Acesso ao sistema

• O acesso é feito com usuário e senha, validados por um serviço de autenticação corporativo.
• A sessão do usuário tem prazo de validade e é renovada de forma segura. Ao sair do sistema, a renovação deixa de ser possível.
• A sessão é encerrada automaticamente após um período de inatividade.
• Cada usuário enxerga somente os dados da empresa e do estabelecimento aos quais está vinculado, e o sistema confere esse vínculo a cada operação.
• Existem perfis e permissões, que definem o que cada usuário pode consultar ou alterar. A definição de quais acessos cada usuário da empresa terá é de responsabilidade do contratante, que os concede, revisa e remove.
• Há proteção contra excesso de tentativas de acesso e contra uso abusivo do sistema.
• As integrações com sistemas de parceiros utilizam credenciais próprias, com validade e escopo limitados.

Proteção das informações

• A comunicação entre o usuário e a plataforma é protegida por conexão segura (HTTPS).
• A comunicação com o ambiente nacional da NFS-e é protegida e autenticada com o certificado digital do próprio cliente.
• O certificado digital do cliente e a sua senha são armazenados de forma criptografada, e a chave de proteção é mantida separada do código dos sistemas.
• Os rascunhos guardados no equipamento do usuário para trabalho sem internet são protegidos por criptografia.
• Os links para baixar arquivos (notas, anexos e documentos) são temporários e individuais.

Integridade dos documentos fiscais

• As notas são assinadas digitalmente com o certificado do emitente, garantindo autoria e integridade.
• O sistema impede que a mesma nota seja emitida duas vezes por repetição de uma solicitação.
• Quando duas pessoas editam o mesmo rascunho ao mesmo tempo, o sistema identifica o conflito e evita que uma alteração sobrescreva a outra sem aviso.
• Antes de emitir, o sistema confere se o contrato está regular e se o certificado digital está válido.
• Os contratos assinados eletronicamente recebem uma impressão digital do documento e o registro das evidências do aceite, o que permite verificar que ele não foi alterado.

Monitoramento e registro de atividades

• Os serviços são monitorados continuamente, com alertas para falhas e comportamentos fora do normal.
• Adotamos a diretriz de evitar o registro de informações sensíveis, como senhas, certificados e documentos de terceiros, nos registros técnicos de funcionamento.
• Os cadastros registram quem os criou ou alterou e quando, e mantemos o histórico das alterações e do processamento das notas.

Boas práticas de desenvolvimento e operação

• Senhas e chaves de acesso são mantidas separadas do código dos sistemas.
• Os sistemas passam por testes automatizados antes de serem publicados.
• A plataforma é executada em cluster Kubernetes administrado pela JB Software, sobre servidor virtual contratado, com a publicação das versões feita por processo controlado.
• O ambiente de testes é separado do de produção, interno e de uso exclusivo da equipe de desenvolvimento, sem acesso externo.

Responsabilidades do cliente

A segurança também depende de boas práticas por parte de quem usa o sistema. O controle de quais acessos cada usuário da empresa possui é de responsabilidade do contratante: cabe a ele cadastrar os usuários, definir seus perfis e permissões e mantê-los atualizados. Por isso, recomendamos que o cliente:

• mantenha suas senhas em sigilo e não as compartilhe;
• conceda a cada usuário apenas as permissões de que ele precisa, revise esses acessos periodicamente e remova imediatamente quem deixou a empresa ou mudou de função;
• proteja o certificado digital e sua senha;
• nos avise imediatamente em caso de suspeita de uso indevido da conta.

9. Níveis de segurança, padrões e certificações

Organizamos a segurança em camadas: acesso ao sistema, proteção das informações, integridade dos documentos fiscais e monitoramento, todas descritas na seção anterior. Estes são os padrões e exigências técnicas que a plataforma aplica:

• Padrão Nacional da NFS-e: a emissão segue as regras e o leiaute do Padrão Nacional, e a comunicação com o ambiente nacional é autenticada pelo certificado digital do próprio cliente.
• Assinatura digital e ICP-Brasil: as notas são assinadas digitalmente em XML (XMLDSig) com o certificado do emitente, e os Termos Gerais do contrato são assinados pela JB Software com certificado ICP-Brasil.
• Criptografia: conexão segura (HTTPS) na comunicação com a plataforma, criptografia do certificado digital e de sua senha no armazenamento e dos rascunhos guardados no equipamento do usuário.
• LGPD: tratamento com base legal definida, Encarregado designado, canal para exercício dos direitos dos titulares e comunicação de incidentes à ANPD, conforme esta política.

Medidas técnicas na hospedagem

• Isolamento lógico: o servidor é virtualizado (KVM), com ambientes isolados entre os clientes, recursos dedicados de processamento, memória e armazenamento e endereço IP exclusivo.
• Infraestrutura física compartilhada e controle de acesso: a infraestrutura física do fornecedor é particionada entre clientes. O fornecedor declara aplicar controle de acesso físico ao data center e controle de acesso lógico por mínimo privilégio, com registro e monitoramento dos acessos.
• Rede e firewall: o ambiente conta com firewall gerenciado. O acesso ao servidor e aos bancos de dados é restrito ao cluster Kubernetes e aos endereços IP autorizados da JB Software, e os bancos de dados não ficam abertos à internet.
• Proteção contra DDoS: a hospedagem aplica filtragem de tráfego malicioso e mecanismos de mitigação de ataques de negação de serviço, para manter a estabilidade do ambiente.

Continuidade e recuperação de desastres

• As cópias de segurança diárias do servidor são realizadas pelo fornecedor da hospedagem.

10. Incidentes de segurança

Se ocorrer um incidente que possa acarretar risco ou dano relevante aos titulares, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados, no prazo estabelecido pela regulamentação da ANPD e nos termos do art. 48 da LGPD.

11. Cookies e armazenamento no seu equipamento

Cookies e o armazenamento local do navegador são pequenos registros guardados no seu equipamento. Utilizamos os estritamente necessários para manter a sua sessão ativa, identificar o equipamento utilizado e permitir o trabalho sem conexão. Conteúdos de terceiros incorporados ao site só são carregados depois da sua autorização. Também usamos a tag do Google Ads para medir os resultados das nossas campanhas: ela é carregada em todas as visitas, mas só grava cookies e usa os dados da sua visita para campanhas e conversões depois da sua autorização. Sem autorização, envia ao Google apenas sinais técnicos da visita, sem cookies e sem identificador seu.

Você pode mudar a escolha a qualquer momento e também apagar os dados do site nas configurações do seu navegador.

12. Alterações desta política

Podemos atualizar esta política para refletir mudanças na lei ou no serviço. A versão em vigor estará sempre disponível nesta página, com a data da última atualização no topo. Alterações relevantes serão comunicadas pelos nossos canais.