Política de privacidade

Esta política descreve como o X-NOTAS, operado por LL INTERMEDIACOES DIGITAIS LTDA (CNPJ 46.396.575/0001-76), trata dados pessoais, em conformidade com a Lei Geral de Proteção de Dados, Lei nº 13.709/2018 (LGPD).

1. Papéis no tratamento

Em relação aos dados da sua conta (nome, e-mail, registros de acesso), atuamos como controladora. Em relação aos dados de vendedores constantes dos relatórios que você importa (razão social, CPF/CNPJ, endereço, e-mail), atuamos como operadora, tratando-os por sua conta e ordem, exclusivamente para viabilizar a emissão das notas, a empresa emitente é a controladora desses dados.

2. Quais dados tratamos e por quê

Dados	Finalidade	Base legal (LGPD)
E-mail e senha (criptografada) da conta	Autenticação e comunicação operacional	Execução de contrato (art. 7º, V)
Dados da empresa emissora (razão social, CNPJ, endereço, dados fiscais)	Preparação e emissão das NFS-e	Execução de contrato e obrigação legal
Dados dos vendedores vindos do relatório Shopee	Identificação do tomador de cada nota	Tratamento como operadora, por instrução do emitente
Registros de auditoria (autor, ação, IP, data/hora)	Segurança, rastreabilidade e cumprimento de obrigações	Legítimo interesse e obrigação legal (art. 7º, II e IX)
Sessões ativas (endereço IP, navegador, início e último uso)	Mostrar seus dispositivos conectados e permitir encerrá-los	Execução de contrato e legítimo interesse (segurança da conta)
Certificado digital A1 da empresa emissora (arquivo e senha)	Assinar as notas fiscais emitidas pela Plataforma	Execução de contrato e obrigação legal
Segundo fator de autenticação: segredo do app autenticador e códigos de recuperação	Proteger o acesso à conta, quando você ativa o 2FA	Execução de contrato e legítimo interesse (segurança)
Dados da assinatura: plano contratado, situação do pagamento, histórico de cobranças e os identificadores que o processador de pagamento nos devolve	Cobrar a mensalidade e as notas acima da franquia do plano	Execução de contrato (art. 7º, V)
Programa de indicações: o vínculo entre quem indicou e quem foi indicado, as comissões geradas e, quando você pede um resgate, a chave Pix informada	Calcular e pagar as comissões do "indique e ganhe"	Execução de contrato (art. 7º, V)
Origem do cadastro: o código de campanha que estava no link pelo qual você chegou para criar a conta (por exemplo, o de um anúncio nosso) e se a conta foi criada por e-mail ou pelo Google	Saber quais anúncios e campanhas trazem novos clientes	Legítimo interesse (art. 7º, IX)
Medição de anúncios da Meta: o identificador do clique no anúncio (quando você chega por um), o identificador do navegador gravado pelo Pixel (só se você aceitou cookies de marketing) e o navegador usado no cadastro	Medir e otimizar os nossos anúncios no Facebook e no Instagram	Legítimo interesse (art. 7º, IX) e, para o Pixel, consentimento (art. 7º, I)
E-mail da conta, transformado em código irreversível (hash SHA-256) antes de sair do nosso servidor, e se a conta tem assinatura ativa	Públicos de anúncio na Meta: não mostrar anúncios de cadastro a quem já é cliente, encontrar pessoas parecidas com os nossos clientes e lembrar quem se cadastrou de concluir a assinatura	Legítimo interesse (art. 7º, IX)

Não recebemos nem armazenamos os dados do seu cartão. O pagamento acontece em uma página do próprio processador (Stripe): o número do cartão é digitado lá e nunca passa pelos nossos servidores. De volta, guardamos apenas identificadores da cobrança e a situação dela, o suficiente para saber se a assinatura está em dia.

Coletamos o mínimo necessário. Senhas jamais são armazenadas em texto claro nem registradas em logs. Documentos (CPF/CNPJ) são armazenados normalizados e não aparecem por inteiro em registros de auditoria. O certificado digital, o segredo do segundo fator e a chave Pix do resgate ficam cifrados em repouso, e os códigos de recuperação são guardados apenas como resumo criptográfico, nenhum desses itens é exibido de volta nem exportável.

No programa de indicações, quem indicou vê apenas o e-mail parcialmente oculto de quem se cadastrou pelo link, além da data e da situação da comissão. O programa não serve para obter contatos de outras pessoas.

A origem do cadastro não usa cookie: o código de campanha vai junto com o formulário de criar conta e é guardado com a conta. Quando você chega por um link de outro site (um buscador, uma rede social, um assistente de inteligência artificial), guardamos também o endereço desse site, só o domínio (por exemplo, google.com), sem a página de lá nem o que você buscou.

Anúncios na Meta (Facebook e Instagram). Para saber quais anúncios trazem clientes e para a Meta mostrá-los a quem tem mais chance de se interessar, informamos a ela quando acontece um destes eventos: conta criada, início do pagamento da assinatura, início do período de teste e pagamento confirmado (com o plano e o valor). Junto do evento vão o seu e-mail e o número da sua conta transformados em código irreversível (hash SHA-256, a Meta não recebe o e-mail em texto), o país, o identificador do clique no anúncio e o do navegador quando existirem, e, nos eventos que acontecem enquanto você está na página, o endereço IP e o navegador. Não enviamos dados das empresas, das notas fiscais nem dos vendedores. O Pixel no navegador só é carregado com o seu consentimento de marketing (veja a Política de Cookies).

Públicos de anúncio na Meta. Também podemos enviar à Meta a lista de e-mails das contas, já transformados em código irreversível (hash SHA-256) no nosso servidor, separada entre quem tem e quem não tem assinatura ativa. A Meta usa a lista só para achar as contas dela que correspondem e descarta os códigos sem correspondência. Usamos esses públicos para três coisas: deixar de mostrar anúncios de cadastro a quem já é cliente, mostrar os anúncios a pessoas com perfil parecido com o dos nossos clientes e lembrar quem criou conta de concluir a assinatura. Não enviamos nome, telefone, CNPJ nem qualquer dado das empresas, das notas ou dos vendedores. Se não quiser fazer parte dessas listas, escreva para [email protected] e retiramos a sua conta na atualização seguinte.

3. Compartilhamento e sub-operadores

Não vendemos dados pessoais. O uso para publicidade é o dos nossos próprios anúncios na Meta: a medição e os públicos descritos na seção 2. Recorremos aos seguintes fornecedores para operar a Plataforma:

Fornecedor	Papel	Local de tratamento
Hostinger	Servidor onde a aplicação e o banco de dados são executados	Brasil
Cloudflare	Camada de rede e segurança à frente do site (proteção e entrega)	Rede global
Google	Apenas se você escolher "Entrar com Google": confirma sua identidade e nos informa nome e e-mail	Estados Unidos
Stripe	Processa os pagamentos da assinatura. Recebe os dados do seu cartão diretamente de você, na página dele, nós não vemos esses dados. Também recebe o seu e-mail e o valor cobrado, para emitir o recibo	Estados Unidos
Amazon Web Services (SES)	Serviço de envio de e-mail usado para entregar as notas fiscais aos destinatários. Recebe o e-mail do destinatário, o assunto e o conteúdo da mensagem com a nota anexada (XML e PDF, que contêm os dados fiscais da nota, como nome ou razão social e CPF/CNPJ)	Brasil
Meta (Facebook e Instagram)	Mede e otimiza os nossos anúncios. Recebe os eventos de cadastro e de assinatura com o e-mail e o número da conta em código irreversível (hash), o país, os identificadores de clique e de navegador quando existirem, o endereço IP e o navegador. O Pixel no navegador só com o seu consentimento de marketing. Recebe também a lista de e-mails das contas em hash para os públicos de anúncio	Estados Unidos

Também compartilhamos dados com autoridades quando houver obrigação legal.

Provedor de emissão fiscal (Spedy). A emissão oficial das notas depende de um provedor que se comunica com a prefeitura. Desde 04/08/2026 a emissão oficial está em operação para as empresas habilitadas: na emissão, são enviados ao provedor os dados dos vendedores que compõem cada nota (nome ou razão social, CPF/CNPJ, endereço e e-mail) e o certificado digital da empresa emissora, que assina o documento. Para empresas que emitem direto no Sistema Nacional da NFS-e (gov.br), esses mesmos dados fiscais são transmitidos à administração tributária, sem intermediário.

3.1. Transferência internacional

Parte do tratamento ocorre fora do Brasil, como indicado na tabela acima. Essas transferências se apoiam no art. 33 da LGPD, são necessárias para a execução do contrato com você (entrega e proteção da Plataforma, o processamento do pagamento da assinatura e, quando você opta por ele, o login social), e os fornecedores assumem obrigações contratuais de proteção de dados. O envio de eventos de anúncio à Meta se apoia nas cláusulas contratuais do próprio fornecedor e, no Pixel, no seu consentimento. Você pode usar a Plataforma sem o login social, cadastrando e-mail e senha; o processamento de pagamento só ocorre se você contratar um plano.

4. Segurança

• Criptografia em trânsito (HTTPS) e senhas com hash forte;
• autenticação em dois fatores opcional por app autenticador, com códigos de recuperação de uso único;
• bloqueio automático de tentativas repetidas de login;
• trilha de auditoria íntegra e de acesso restrito;
• isolamento por empresa: usuários de uma empresa não acessam dados de outra;
• cifra em repouso do certificado digital e do segredo do segundo fator;
• cópias de segurança diárias do banco de dados e dos arquivos;
• monitoramento contínuo de vulnerabilidades nas dependências.

5. Retenção

Dados da conta são mantidos enquanto ela existir. Após o encerramento, dados são excluídos ou anonimizados, ressalvados registros que a lei exige conservar (como trilhas de acesso, nos termos do Marco Civil da Internet, e documentos fiscais, pelos prazos tributários aplicáveis).

6. Seus direitos (art. 18, LGPD)

Você pode solicitar: confirmação de tratamento, acesso, correção, anonimização, portabilidade, exclusão, informação sobre compartilhamentos e revisão de decisões automatizadas. Para exercer qualquer direito, inclusive o encerramento da sua conta, escreva para [email protected]. Responderemos nos prazos da LGPD.

Se não ficar satisfeito com a nossa resposta, você pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

7. Encarregado (DPO)

Encarregado pelo tratamento de dados: Luan da Silva Costa, contato: [email protected].

8. Cookies

O uso de cookies é detalhado na Política de Cookies, onde você também gerencia suas preferências.

9. Atualizações

Esta política pode ser revisada para acompanhar o produto e a legislação. Mudanças relevantes serão comunicadas na Plataforma ou por e-mail.