Legal
Política de privacidade
Última atualização: 30 de julho de 2026
Esta política descreve como o X-NOTAS, operado por LL INTERMEDIACOES DIGITAIS LTDA (CNPJ 46.396.575/0001-76), trata dados pessoais, em conformidade com a Lei Geral de Proteção de Dados, Lei nº 13.709/2018 (LGPD).
1. Papéis no tratamento
Em relação aos dados da sua conta (nome, e-mail, registros de acesso), atuamos como controladora. Em relação aos dados de vendedores constantes dos relatórios que você importa (razão social, CPF/CNPJ, endereço, e-mail), atuamos como operadora, tratando-os por sua conta e ordem, exclusivamente para viabilizar a emissão das notas, a empresa emitente é a controladora desses dados.
2. Quais dados tratamos e por quê
| Dados | Finalidade | Base legal (LGPD) |
|---|---|---|
| E-mail e senha (criptografada) da conta | Autenticação e comunicação operacional | Execução de contrato (art. 7º, V) |
| Dados da empresa emissora (razão social, CNPJ, endereço, dados fiscais) | Preparação e emissão das NFS-e | Execução de contrato e obrigação legal |
| Dados dos vendedores vindos do relatório Shopee | Identificação do tomador de cada nota | Tratamento como operadora, por instrução do emitente |
| Registros de auditoria (autor, ação, IP, data/hora) | Segurança, rastreabilidade e cumprimento de obrigações | Legítimo interesse e obrigação legal (art. 7º, II e IX) |
| Sessões ativas (endereço IP, navegador, início e último uso) | Mostrar seus dispositivos conectados e permitir encerrá-los | Execução de contrato e legítimo interesse (segurança da conta) |
| Certificado digital A1 da empresa emissora (arquivo e senha) | Assinar as notas fiscais quando a emissão oficial entrar em operação | Execução de contrato e obrigação legal |
| Segundo fator de autenticação: segredo do app autenticador e códigos de recuperação | Proteger o acesso à conta, quando você ativa o 2FA | Execução de contrato e legítimo interesse (segurança) |
| Dados da assinatura: plano contratado, situação do pagamento, histórico de cobranças e os identificadores que o processador de pagamento nos devolve | Cobrar a mensalidade e as notas acima da franquia do plano | Execução de contrato (art. 7º, V) |
| Programa de indicações: o vínculo entre quem indicou e quem foi indicado, as comissões geradas e, quando você pede um resgate, a chave Pix informada | Calcular e pagar as comissões do "indique e ganhe" | Execução de contrato (art. 7º, V) |
Não recebemos nem armazenamos os dados do seu cartão. O pagamento acontece em uma página do próprio processador (Stripe): o número do cartão é digitado lá e nunca passa pelos nossos servidores. De volta, guardamos apenas identificadores da cobrança e a situação dela, o suficiente para saber se a assinatura está em dia.
Coletamos o mínimo necessário. Senhas jamais são armazenadas em texto claro nem registradas em logs. Documentos (CPF/CNPJ) são armazenados normalizados e não aparecem por inteiro em registros de auditoria. O certificado digital, o segredo do segundo fator e a chave Pix do resgate ficam cifrados em repouso, e os códigos de recuperação são guardados apenas como resumo criptográfico, nenhum desses itens é exibido de volta nem exportável.
No programa de indicações, quem indicou vê apenas o e-mail parcialmente oculto de quem se cadastrou pelo link, além da data e da situação da comissão. O programa não serve para obter contatos de outras pessoas.
3. Compartilhamento e sub-operadores
Não vendemos dados pessoais e não os usamos para publicidade. Recorremos aos seguintes fornecedores para operar a Plataforma:
| Fornecedor | Papel | Local de tratamento |
|---|---|---|
| Hostinger | Servidor onde a aplicação e o banco de dados são executados | Brasil |
| Cloudflare | Camada de rede e segurança à frente do site (proteção e entrega) | Rede global |
| Apenas se você escolher "Entrar com Google": confirma sua identidade e nos informa nome e e-mail | Estados Unidos | |
| Stripe | Processa os pagamentos da assinatura. Recebe os dados do seu cartão diretamente de você, na página dele, nós não vemos esses dados. Também recebe o seu e-mail e o valor cobrado, para emitir o recibo | Estados Unidos |
Também compartilhamos dados com autoridades quando houver obrigação legal.
Provedor de emissão fiscal (Spedy). A emissão oficial das notas depende de um provedor que se comunica com a prefeitura. Quando ela entrar em operação, passarão a ser enviados a ele os dados dos vendedores que compõem cada nota (nome ou razão social, CPF/CNPJ, endereço e e-mail) e o certificado digital da empresa emissora, que assina o documento. Hoje a emissão do X-NOTAS é simulada e nada disso é enviado; esta política será atualizada com a data em que a emissão oficial começar.
3.1. Transferência internacional
Parte do tratamento ocorre fora do Brasil, como indicado na tabela acima. Essas transferências se apoiam no art. 33 da LGPD, são necessárias para a execução do contrato com você (entrega e proteção da Plataforma, o processamento do pagamento da assinatura e, quando você opta por ele, o login social), e os fornecedores assumem obrigações contratuais de proteção de dados. Você pode usar a Plataforma sem o login social, cadastrando e-mail e senha; o processamento de pagamento só ocorre se você contratar um plano.
4. Segurança
- Criptografia em trânsito (HTTPS) e senhas com hash forte;
- autenticação em dois fatores opcional por app autenticador, com códigos de recuperação de uso único;
- bloqueio automático de tentativas repetidas de login;
- trilha de auditoria íntegra e de acesso restrito;
- isolamento por empresa: usuários de uma empresa não acessam dados de outra;
- cifra em repouso do certificado digital e do segredo do segundo fator;
- cópias de segurança diárias do banco de dados e dos arquivos;
- monitoramento contínuo de vulnerabilidades nas dependências.
5. Retenção
Dados da conta são mantidos enquanto ela existir. Após o encerramento, dados são excluídos ou anonimizados, ressalvados registros que a lei exige conservar (como trilhas de acesso, nos termos do Marco Civil da Internet, e documentos fiscais, pelos prazos tributários aplicáveis).
6. Seus direitos (art. 18, LGPD)
Você pode solicitar: confirmação de tratamento, acesso, correção, anonimização, portabilidade, exclusão, informação sobre compartilhamentos e revisão de decisões automatizadas. Para exercer qualquer direito, inclusive o encerramento da sua conta, escreva para [email protected]. Responderemos nos prazos da LGPD.
Se não ficar satisfeito com a nossa resposta, você pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).
7. Encarregado (DPO)
Encarregado pelo tratamento de dados: Luan da Silva Costa, contato: [email protected].
8. Cookies
O uso de cookies é detalhado na Política de Cookies, onde você também gerencia suas preferências.
9. Atualizações
Esta política pode ser revisada para acompanhar o produto e a legislação. Mudanças relevantes serão comunicadas na Plataforma ou por e-mail.