Quem trata os dados
O carDi Fiscal é um sistema de emissão de nota fiscal eletrônica, modelo 55, oferecido pela internet por CARDI SISTEMA DE GERENCIAMENTO DE RESTAURANTES LTDA, inscrita no CNPJ sob o nº 50.253.222/0001-94, aqui chamada carDi, com endereço na Avenida Professor Alfonso Bovero, 1420, Perdizes, São Paulo, SP, CEP 05019-010. Nesta política, cliente designa a empresa que usa o carDi Fiscal para emitir as próprias notas.
Esta política segue a Lei Geral de Proteção de Dados Pessoais, a Lei nº 13.709, de 2018, conhecida como LGPD, e explica o que acontece com os dados pessoais desde o cadastro até a exclusão da conta.
Controladora e operadora
A LGPD distingue quem decide sobre o tratamento dos dados, chamado controlador, de quem trata os dados em nome dele, chamado operador. No carDi Fiscal as duas funções existem, e cada uma cobre um conjunto de dados.
A carDi como controladora
Dados das pessoas que usam o sistema, como nome, e-mail e registros de acesso, e os dados cadastrais e de cobrança da empresa cliente.
A carDi decide como esses dados são tratados, sempre nos limites desta política.
A carDi como operadora
Dados pessoais que a empresa cliente cadastra no sistema para emitir as notas, como os dos clientes, fornecedores e transportadores dela, e os que constam nas notas que ela emite ou recebe.
A empresa cliente é a controladora desses dados. A carDi os trata somente para prestar o serviço contratado e segue as instruções da cliente, registradas nos Termos de uso.
Quem tiver o nome, o CPF ou o endereço numa nota emitida por uma empresa que usa o carDi Fiscal deve procurar primeiro essa empresa, que responde pelo tratamento. A carDi encaminha à empresa responsável os pedidos que receber sobre esses dados e colabora para que sejam atendidos.
Quais dados são tratados
Como controladora
Dados da conta e da empresa- Dados da conta
- Entre eles o nome, o e-mail e a senha. A senha é guardada somente como resumo criptográfico irreversível, pelo algoritmo Argon2id, e ninguém na carDi consegue lê-la.
- Dados da empresa cliente
- Entre eles o CNPJ, a razão social, o nome fantasia, a inscrição estadual, a atividade econômica, o regime tributário, o endereço e os parâmetros de emissão. Quando a cliente é microempreendedor individual, parte desses dados identifica também a pessoa física.
- Certificado digital A1
- O certificado da empresa e a senha dele, enviados pela cliente para assinar as notas. O certificado traz o nome e o CPF da pessoa responsável pela empresa perante a Receita Federal.
- Registros de acesso e de segurança
- Entre eles o endereço IP, o navegador, a data e a hora de cada sessão, as tentativas de entrada e a trilha de auditoria, que registra quem fez cada alteração relevante no sistema e quando.
- Aceite destes documentos
- O registro do aceite, com a versão aceita e o instante.
- Dados de cobrança dos planos pagos
- Entre eles a razão social, o CNPJ, o endereço e o e-mail de quem contrata. Os dados de cartão são digitados diretamente nas páginas da Stripe e não passam pela carDi.
- Suporte
- As mensagens trocadas com o suporte.
Como operadora
Em nome da empresa cliente- Cadastros da cliente
- Os clientes, fornecedores e transportadores da cliente, com nome ou razão social, CPF ou CNPJ, inscrição estadual, endereço, telefone e e-mail.
- Pedidos e documentos fiscais
- Os pedidos de venda, as notas fiscais emitidas e os respectivos arquivos XML, os eventos de cancelamento, de carta de correção e de inutilização, e a DANFE.
- Notas de fornecedores
- As notas fiscais de fornecedores que a cliente importa na entrada de mercadorias.
- Endereços de envio
- Os endereços de e-mail para os quais a cliente pede o envio das notas.
O carDi Fiscal não trata dados pessoais sensíveis, como origem racial ou étnica, convicção religiosa, dados de saúde ou biometria, e não se destina a menores de 18 anos.
Finalidades e bases legais
Cada tratamento tem uma finalidade definida e uma das bases legais do artigo 7º da LGPD.
| Finalidade | Base legal |
|---|---|
| Criar e manter a conta, autenticar o acesso e prestar o serviço contratado, o que inclui assinar as notas e enviá-las à SEFAZ, guardar os documentos e gerar os relatórios. | Execução do contrato, inciso V |
| Emitir a nota fiscal eletrônica com os dados do destinatário e guardar o documento pelo prazo da legislação tributária. A carDi executa esse tratamento como operadora. | Cumprimento de obrigação legal e regulatória da cliente, inciso II |
| Guardar os registros de acesso à aplicação pelo prazo do Marco Civil da Internet, a Lei nº 12.965, de 2014. | Cumprimento de obrigação legal, inciso II |
| Proteger a conta e o sistema, prevenir fraude e uso indevido, apurar incidentes e manter a trilha de auditoria, sempre no limite do necessário. | Legítimo interesse da carDi e da cliente, inciso IX |
| Cobrar os planos pagos e cumprir as obrigações fiscais e contábeis da própria carDi. | Execução do contrato e cumprimento de obrigação legal |
| Enviar as comunicações do serviço, como confirmação de e-mail, recuperação de senha, convites, avisos de certificado a vencer e mudanças destes documentos. | Execução do contrato |
| Exercer direitos em processo judicial, administrativo ou arbitral. | Exercício regular de direitos, inciso VI |
A carDi não vende dados pessoais, não os usa para publicidade dirigida e não envia publicidade por e-mail sem o consentimento de quem recebe.
Com quem os dados são compartilhados
Os dados são compartilhados somente com quem participa da prestação do serviço, ou quando a lei exige.
| Quem recebe | O que recebe e por quê |
|---|---|
| Secretarias da Fazenda dos estados e ambiente nacional da nota fiscal eletrônica | Toda nota enviada, com os dados do emitente, do destinatário e dos produtos, vai à autorizadora da unidade federativa da cliente, como determina o Ajuste SINIEF nº 7, de 2005. Os eventos de cancelamento, de correção e de inutilização seguem o mesmo caminho. |
| Provedor de envio de e-mail | As mensagens da conta e as notas que a cliente manda por e-mail passam por um provedor de envio de e-mail com servidores nos Estados Unidos. |
| Stripe | Nos planos pagos, a Stripe Brasil Soluções de Pagamento Instituição de Pagamento Ltda. recebe a razão social, o CNPJ, o endereço e o e-mail de quem contrata, para gerar as cobranças e receber os pagamentos. Os dados de cartão e de boleto são tratados pela própria Stripe, conforme a política de privacidade dela, e esse tratamento pode ocorrer fora do Brasil. |
| Fornecedores de infraestrutura | O sistema, o banco de dados, o site, as cópias de segurança e a guarda dos arquivos XML ficam em provedores de nuvem com servidores nos Estados Unidos, contratados com obrigação de proteger os dados. |
| BrasilAPI | Para preencher o cadastro, o CNPJ e o CEP digitados são consultados na BrasilAPI, serviço que reúne dados públicos da Receita Federal e dos Correios. A consulta envia somente o número pesquisado. |
| Autoridades públicas | Diante de ordem judicial, de requisição de autoridade competente ou de obrigação legal. |
| Pessoas indicadas pela cliente | O proprietário da empresa no sistema convida outras pessoas, como emissores e o contador, e decide o que cada perfil acessa. |
Em caso de reorganização societária da carDi, os dados podem ser transferidos à sucessora, que fica obrigada a esta política.
Transferência internacional
Os servidores do carDi Fiscal ficam nos Estados Unidos, e por isso os dados pessoais são transferidos para fora do Brasil. A transferência segue o artigo 33 da LGPD e se apoia em cláusulas contratuais que obrigam cada fornecedor a proteger os dados em nível compatível com a lei brasileira.
A carDi escolhe fornecedores que cifram os dados em trânsito e em repouso e que restringem o acesso aos servidores, e revê essa escolha sempre que um fornecedor muda de condição.
Por quanto tempo os dados ficam guardados
| Dado e prazo | Como fica guardado |
|---|---|
| Documentos fiscais5 anos, e 6 na cópia de guarda | O XML de cada nota autorizada, cancelada ou inutilizada fica guardado pelo prazo da legislação tributária, de cinco anos contados do primeiro dia do exercício seguinte ao da emissão. O sistema mantém uma cópia de guarda de cada XML de produção por seis anos, protegida contra alteração e exclusão. A obrigação de guardar é da cliente, que pode baixar os arquivos a qualquer momento. |
| Trilha de auditoriaPrazo dos documentos fiscais | Fica guardada pelo mesmo prazo dos documentos fiscais, porque registra quem emitiu, cancelou ou alterou cada documento. |
| Registros de acesso6 meses | Ficam guardados por seis meses, como determina o artigo 15 do Marco Civil da Internet. |
| Dados da contaEnquanto a conta existir | Na exclusão da conta, o nome e o e-mail são substituídos por marcas anônimas, a senha é apagada e as sessões são encerradas. |
| Certificado digitalAté a troca ou a remoção | Fica guardado até a cliente substituí-lo ou removê-lo, e é apagado na remoção. |
| Dados de cobrança5 anos | Ficam guardados pelo prazo das obrigações fiscais e contábeis da carDi, de cinco anos. |
| Cópias de segurança35 dias | O banco de dados é copiado todos os dias, e cada cópia é apagada automaticamente depois de 35 dias. |
Encerrada a relação com a cliente, os dados tratados em nome dela são eliminados depois do prazo de guarda legal, salvo o que a lei obrigar a manter.
Seus direitos como titular
O artigo 18 da LGPD garante ao titular os direitos abaixo, que podem ser exercidos a qualquer momento e sem custo.
Confirmação e acesso
Saber se há tratamento dos seus dados e acessá-los.
Correção
Corrigir dados incompletos, inexatos ou desatualizados.
Anonimização, bloqueio ou eliminação
De dados desnecessários, excessivos ou tratados em desconformidade com a lei.
Portabilidade
Levar os dados a outro fornecedor, nos termos da regulamentação da Autoridade Nacional de Proteção de Dados.
Eliminação
Dos dados tratados com base no consentimento, salvo as hipóteses de guarda previstas em lei.
Informação sobre compartilhamento
Saber com quais entidades os dados foram compartilhados.
Informação sobre o consentimento
Saber que pode não fornecer o consentimento e quais são as consequências da negativa.
Revogação do consentimento
Quando o tratamento se basear nele.
Oposição
A tratamento realizado em desconformidade com a lei.
Como exercer
Excluir a própria conta
A qualquer momento, em Minha conta, com a confirmação da senha. O nome e o e-mail da conta são substituídos por marcas anônimas, e os documentos fiscais e a trilha de auditoria continuam guardados pela empresa, porque a guarda é obrigação legal dela.
Demais pedidos
Pelo e-mail contato@cardifiscal.com.br, em até 15 dias. A carDi pode pedir informações que confirmem a identidade de quem faz o pedido, para não entregar dados a quem não é o titular.
Reclamação à ANPD
O titular também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados, a ANPD.
O pedido sobre dados que a carDi trata como operadora, como os de um destinatário de nota, é encaminhado à empresa cliente responsável, que decide e responde.
Como os dados são protegidos
A carDi adota medidas técnicas e administrativas proporcionais ao risco, entre elas as descritas abaixo.
HTTPS
Conexão protegida em todas as páginas do sistema e na comunicação com a SEFAZ.
Isolamento por empresa
Os dados de cada empresa ficam isolados no próprio banco de dados, por política de segurança em nível de linha, que impede uma empresa de ler os registros de outra mesmo diante de falha da aplicação.
Senhas e certificados
Senhas guardadas com Argon2id e certificados digitais cifrados com AES de 256 bits, abertos somente no momento da assinatura.
Sessão
Cookies protegidos, que expiram sozinhos e são encerrados em todos os aparelhos quando a senha muda.
Perfis e auditoria
Controle de acesso por perfil, conferido pelo servidor em cada operação, e trilha de auditoria que só aceita registros novos.
Cópias e guarda
Cópias de segurança diárias e guarda dos XML em armazenamento protegido contra alteração.
Nenhum sistema é inviolável. Diante de incidente de segurança que possa acarretar risco ou dano relevante, a carDi comunica os titulares afetados, as empresas clientes e a ANPD, como determina o artigo 48 da LGPD.
Mudanças nesta política
Esta política pode ser atualizada para acompanhar a lei, o serviço ou os fornecedores. Cada versão traz a data em que entrou em vigor, e a versão nova é apresentada na entrada seguinte ao sistema, que só continua depois do aceite.
Contato e encarregado
- Endereço
- Avenida Professor Alfonso Bovero, 1420, Perdizes, São Paulo, SP, CEP 05019-010
Dúvidas, pedidos e reclamações sobre dados pessoais são atendidos pelo e-mail acima, que também é o canal do encarregado pelo tratamento de dados pessoais da carDi.
Correspondências podem ser enviadas para o endereço acima.