Política de Privacidade

1. Identificação do Controlador

TributoIQ é uma plataforma de inteligência fiscal preventiva operada por Carlos Augusto Pereira Neto II, pessoa física, com atividade em fase de piloto pré-comercial. CNPJ em processo de regularização. Contato: carlosaugustopn2@gmail.com.

2. Dados Pessoais Tratados

• Cadastro: endereço de e-mail e senha (autenticação via Supabase Auth).
• Dados fiscais de entrada: arquivos CSV carregados pelo usuário contendo cadastro de produtos (SKU, descrição, NCM). O arquivo bruto não é armazenado após o processamento.
• Resultado de análises salvas: resultado estruturado do diagnóstico CSV (SKU, NCM, status de auditoria, grupo de severidade), sem o arquivo original, armazenado em client_analyses pelo prazo de retenção indicado na seção 5.
• Metadados de uso: data/hora de análises realizadas, identificador de organização, rótulo informado pelo usuário.

A plataforma não coleta dados sensíveis (saúde, biometria, origem racial, convicção religiosa ou política).

3. Finalidade e Base Legal

4. Compartilhamento e Suboperadores

Os dados são processados pelos seguintes suboperadores:

• Supabase Inc. (EUA) — banco de dados, autenticação e armazenamento.
• Vercel Inc. (EUA) — hospedagem e execução do servidor web.
• Functional Software, Inc. (Sentry) (EUA) — monitoramento de erros da aplicação. Recebe mensagem de erro, tipo de navegador e rota acessada. A integração está configurada para não enviar dados pessoais, e remove corpo da requisição, cookies e cabeçalhos antes do envio — ou seja, não recebe o conteúdo de arquivos CSV nem dados fiscais.
• Vercel Speed Insights (Vercel Inc., EUA) — medição de desempenho de carregamento das páginas. Coleta rota acessada, tempo de carregamento e tipo de dispositivo. Não coleta conteúdo de formulário, arquivo enviado ou dado fiscal.
• Google LLC — Google Analytics 4 (EUA) — medição de audiência das páginas públicas. Coleta páginas visitadas, origem do acesso, tipo de dispositivo e navegador, e instala cookie próprio para distinguir visitas. A integração usa anonimização de IP. Não recebe conteúdo de arquivo enviado, dado fiscal, nem dado de conta autenticada.

Não vendemos, alugamos nem compartilhamos dados pessoais com terceiros para fins publicitários ou comerciais.

5. Retenção

• Dados de autenticação (conta): mantidos enquanto a conta estiver ativa. Excluídos em até 30 dias após o encerramento da conta.
• Registro de aceite dos termos de uso: mantido enquanto a conta existir, como prova do aceite; não é alterado nem apagado durante a vida da conta. A exclusão da conta é ato explícito e registrado; o prazo de guarda do registro após a exclusão será definido na revisão jurídica e informado aqui.
• Análises salvas (client_analyses): mantidas por até 12 meses contados do último acesso da organização; ou por até 30 dias após o encerramento da conta, o que ocorrer primeiro.
• Arquivos CSV de entrada: não são armazenados em forma bruta após o processamento — apenas o resultado estruturado é persistido.

Dados podem ser excluídos antes do prazo mediante solicitação ao encarregado. Após o vencimento do prazo ou a solicitação de exclusão, os dados são removidos de forma segura dos sistemas de armazenamento.

6. Direitos do Titular

Conforme os arts. 17–22 da LGPD, você tem direito a: acesso, correção, anonimização, bloqueio ou eliminação dos seus dados; portabilidade; revogação do consentimento quando aplicável; informação sobre compartilhamento; e revisão de decisões automatizadas.

Para exercer qualquer direito, envie solicitação para carlosaugustopn2@gmail.com com o assunto “LGPD – [tipo de solicitação]”. Responderemos em até 15 dias.

7. Segurança

Adotamos controle de acesso por organização (RLS), autenticação via token Supabase, criptografia em trânsito (TLS) e em repouso, e princípio do menor privilégio nas consultas ao banco. Esta plataforma está em fase de piloto; incidentes serão comunicados nos prazos previstos pela LGPD.

8. Cookies e Rastreamento

A plataforma utiliza cookies essenciais de sessão (Supabase Auth) e, nas páginas públicas, cookie de medição de audiência do Google Analytics 4. Não utilizamos cookies de publicidade, nem cruzamos dados para perfilamento comercial. A plataforma usa monitoramento de erros (Sentry) e medição de desempenho de páginas (Vercel Speed Insights), descritos na seção 4; nenhum dos dois instala cookie de rastreamento nem recebe conteúdo de arquivo enviado ou dado fiscal. Nenhuma dessas ferramentas atua sobre o conteúdo das análises fiscais dentro da área autenticada.

9. Alterações

Esta política pode ser atualizada. A data de última atualização será sempre indicada no topo. O uso continuado da plataforma após mudanças significativas implica concordância com a versão vigente.

10. Encarregado (DPO)

Carlos Augusto Pereira Neto II — carlosaugustopn2@gmail.com