Política de Privacidade

1. Quem é o responsável pelos seus dados

A controladora dos seus dados (quem decide o que é feito com eles, no vocabulário da LGPD) é a [[RAZÃO SOCIAL]], CNPJ [[CNPJ DA EMPRESA]], com sede em [[ENDEREÇO COMPLETO]], operadora do serviço MEI no Zap. Somos uma empresa privada do grupo Cubos — não somos governo.

Encarregada de dados (DPO) — o canal para tudo que envolve seus dados: [email protected].

2. Quais dados coletamos

Coletamos apenas o necessário para o serviço funcionar. A lista completa:

Identificação e contato

• Número de telefone e identificador do WhatsApp
• Nome de exibição do WhatsApp
• CPF e CNPJ

Credenciais do gov.br (só se você fornecer)

• Senha do gov.br (guardada cifrada — veja a seção 3)
• Sessão de acesso ao gov.br (o “login ativo” que evita digitar a senha a cada tarefa)

Dados do seu MEI (obtidos nos portais do governo)

• Razão social e nome fantasia
• Endereço
• Ocupação/CNAE (atividade do MEI)
• Data de abertura e situação cadastral
• PDF do CCMEI
• Situação do DAS: meses em atraso e próximo vencimento
• Dados da declaração anual (DASN)

Conteúdo das conversas

• Histórico completo das suas conversas com o assistente
• Memórias que o assistente guarda sobre você (fatos que você contou, para não perguntar de novo)
• Transcrições dos áudios que você envia
• Embeddings — representações numéricas (vetores) do conteúdo das conversas, que o sistema usa para encontrar informações relevantes em conversas antigas

3. A sua senha do gov.br — em detalhe

Este é o dado mais sensível que tratamos, então merece a seção mais clara.

Por que pedimos. Tarefas como emitir nota fiscal, tirar o CCMEI e alterar o cadastro só podem ser feitas por quem está logado como você. O nosso sistema faz login nos portais do governo em seu nome, com a sua senha, por automação de navegador, apenas para executar o que você pedir.

Como guardamos. A senha fica cifrada em repouso com AES-256-GCM. A chave que decifra fica na configuração do servidor, fora do banco de dados — assim, um vazamento só do banco não expõe a senha em claro.

Ao cancelar o serviço, a senha e a sessão são apagadas imediatamente — sem prazo de retenção, sem cópia.

Fornecer a senha é opcional. Sem ela, o serviço funciona no modo básico (DAS e consultas pelo CNPJ).

4. Para que usamos os dados e com que base legal

A LGPD exige uma base legal — uma justificativa prevista em lei — para cada uso. Estas são as nossas:

Não vendemos os seus dados e não os usamos para publicidade de terceiros.

5. Inteligência artificial e as suas conversas

As respostas do assistente são geradas por modelos de inteligência artificial. Para isso, o conteúdo das suas conversas (incluindo transcrições de áudio) é processado por provedores de modelos de IA que contratamos como operadores (empresas que tratam dados sob as nossas ordens, no vocabulário da LGPD). As respostas de IA podem conter erros — confira o que for importante.

6. Com quem compartilhamos

Não compartilhamos os seus dados com ninguém para uso próprio deles. Usamos fornecedores contratados (operadores) apenas para funções necessárias ao serviço, nestas categorias:

• Provedores de modelos de IA — processam o conteúdo das conversas para gerar as respostas do assistente;
• Provedores de busca na web — quando o assistente precisa pesquisar uma informação pública;
• Provedores de mensageria/WhatsApp — a entrega das mensagens em si;
• Provedores de infraestrutura e hospedagem — os servidores onde o sistema roda;
• Provedores de e-mail — o canal [email protected] e comunicações por e-mail.

Todos atuam sob contrato e só recebem o necessário para a sua função. Além deles, seus dados podem ser fornecidos a autoridades públicas quando a lei exigir (ordem judicial, por exemplo) — e, claro, aos portais do governo nos quais agimos em seu nome, o que é a própria finalidade do serviço.

7. Transferência internacional de dados

Parte do processamento ocorre fora do Brasil — em especial, o conteúdo das conversas é processado por provedores de modelos de IA no exterior, e parte da infraestrutura pode estar em outros países. Essa transferência internacional é feita com base no art. 33 da LGPD, por ser necessária à execução do contrato com você (inciso IX) e mediante garantias contratuais de proteção adequada com os fornecedores. Informamos isso aqui em cumprimento aos arts. 9º e 33 da LGPD.

8. Por quanto tempo guardamos

• Senha e sessão do gov.br: apagadas imediatamente quando você cancela o serviço. Você também pode revogar o acesso a qualquer momento trocando a senha no gov.br (seção 3).
• Demais dados (cadastrais, dados do MEI, histórico de conversas, memórias, transcrições, embeddings): retidos por 5 anos após o fim da relação, prazo que corresponde à prescrição de obrigações civis e fiscais — precisamos deles para nos defender ou comprovar o que foi feito, se necessário. Após os 5 anos, são eliminados.

Você pode pedir a eliminação antecipada (seção 10); atenderemos no que a lei permitir, mantendo apenas o que tivermos obrigação ou direito de reter, e explicando o quê e por quê.

9. Como protegemos os dados

• Senha do gov.br cifrada em repouso com AES-256-GCM, com a chave fora do banco de dados (seção 3);
• Acesso aos sistemas restrito ao necessário para operar o serviço;
• Comunicação com portais e fornecedores por conexões cifradas.

Nenhum sistema é 100% seguro. Se ocorrer um incidente de segurança com risco relevante para você, comunicaremos você e a ANPD (Autoridade Nacional de Proteção de Dados) conforme o art. 48 da LGPD.

10. Seus direitos (LGPD, art. 18)

Você, como titular dos dados (a pessoa a quem os dados se referem), pode pedir a qualquer momento:

• Confirmação de que tratamos seus dados e acesso a eles;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
• Portabilidade dos dados a outro fornecedor;
• Eliminação dos dados tratados com seu consentimento;
• Informação sobre com quem compartilhamos seus dados;
• Informação sobre a possibilidade de não consentir e as consequências;
• Revogação do consentimento, quando o tratamento se basear nele.

Como pedir: escreva para [email protected] ou pela própria conversa no WhatsApp. Para confirmação de tratamento e acesso aos dados, respondemos nos prazos do art. 19 da LGPD — declaração completa em até 15 dias. Para os demais pedidos, responderemos o mais rápido que conseguirmos e sempre diremos em que pé está.

Se não ficar satisfeito com a nossa resposta, você pode reclamar à ANPD (gov.br/anpd).

11. Crianças e adolescentes

O serviço é destinado a maiores de 18 anos, titulares de MEI. Não coletamos intencionalmente dados de crianças e adolescentes; se identificarmos uma conta nessa situação, ela será encerrada e os dados eliminados.

12. Alterações desta Política

Podemos atualizar esta Política. Mudanças relevantes — em especial qualquer mudança no tratamento da senha do gov.br, na retenção ou no compartilhamento — serão avisadas pelo WhatsApp antes de entrar em vigor. A versão vigente fica sempre publicada com a data no topo.

13. Contato

Encarregada de dados (DPO) e canal para direitos do titular: [email protected].