Política de privacidade

1. Sobre esta política

Esta Política de Privacidade descreve como o SigmaTax, oferecido sob o CNPJ nº 63.760.681/0001-06 ("SigmaTax"), trata dados pessoais no âmbito da prestação do serviço, em conformidade com a Lei nº 13.709, de 14 de agosto de 2018 — Lei Geral de Proteção de Dados Pessoais (LGPD), e observando, em especial, os princípios do art. 6º da LGPD (finalidade, adequação, necessidade, transparência, segurança e responsabilização, entre outros).

Esta política deve ser lida em conjunto com os Termos de Uso do SigmaTax.

2. Papéis: controlador e operador

Para fins da LGPD, o SigmaTax e o escritório que utiliza o sistema podem ocupar papéis distintos conforme o tipo de dado tratado, nos termos das definições do art. 5º, incisos VI (controlador) e VII (operador), da LGPD:

• Dados da conta de usuário (nome, e-mail e senha de quem acessa o sistema): o SigmaTax atua como controlador, definindo a finalidade e os meios desse tratamento.
• Dados inseridos pelo escritório no sistema (dados de clientes, CNPJs, vencimentos de obrigações, faturamento de MEI, notas fiscais, planilhas e demais informações lançadas durante o uso): o escritório é o controlador desses dados, e o SigmaTax atua como operador, tratando-os exclusivamente para prestar o serviço contratado e conforme as instruções decorrentes da própria utilização do sistema.

Quando o escritório insere dados pessoais de terceiros (clientes, funcionários, fornecedores) na plataforma, permanece responsável por possuir base legal adequada para esse tratamento, nos termos da Seção 11 dos Termos de Uso.

3. Dados que coletamos e para quê

O tratamento dos dados abaixo se baseia, conforme o caso, na execução do contrato de prestação de serviço e no legítimo interesse do SigmaTax em garantir o funcionamento, a segurança e a melhoria da plataforma, nos termos do art. 7º, incisos V e IX, da LGPD. Coletamos os seguintes dados, para as finalidades indicadas:

• Dados de cadastro e conta: nome, e-mail e senha (guardada apenas de forma irreversível, por hash), utilizados para autenticação, identificação do usuário e comunicação sobre o serviço.
• Dados de uso e licenciamento: lista de usuários do escritório, módulos liberados, plano contratado e contagem de uso por módulo, utilizados para controlar permissões, limites do plano e faturamento.
• Dados inseridos nos módulos Calendário e Controle de MEI: cliente, tipo e vencimento de obrigação, valor, status de pagamento (Calendário); nome do MEI, mês de abertura e notas lançadas (Controle de MEI). Usados para disponibilizar essas funcionalidades.
• Dados das empresas com busca automática de notas (módulo Retenções): nome e CNPJ da empresa, certificado digital A1 (arquivo .pfx) e sua senha, notas fiscais de serviço tomado (XML) obtidas no Ambiente de Dados Nacional da NFS-e e os valores de retenção calculados a partir delas. Usados para consultar e exibir essas notas ao escritório. O certificado digital é fornecido pelo escritório, que declara ter a autorização do titular para isso.
• Dados processados temporariamente: planilhas, XMLs de notas fiscais, extratos do Simples Nacional e os cálculos derivados deles, usados somente para gerar o resultado solicitado durante a sessão de uso.

4. Retenção e exclusão

Os dados dos módulos Calendário de obrigações e Controle de MEI ficam armazenados na conta do escritório enquanto ela permanecer ativa. O Calendário é compartilhado entre os usuários de um mesmo escritório; o Controle de MEI é individual de cada usuário. Após o cancelamento da conta, esses dados são excluídos em até 30 (trinta) dias, ressalvadas eventuais obrigações legais de retenção.

Os dados das empresas com busca automática de notas (incluindo o certificado digital A1, guardado de forma criptografada, e as notas obtidas) ficam armazenados na conta do escritório e são compartilhados entre os usuários dele, até a remoção da empresa pelo administrador do escritório ou o cancelamento da conta; ao remover a empresa, o certificado e as notas dela são apagados. Os certificados vencidos deixam de ser usados.

Mantemos cópias de segurança (backup) diárias dessas mesmas informações, preservadas por 14 (quatorze) dias.

Planilhas, XMLs, extratos do Simples Nacional e os cálculos realizados a partir deles não são armazenados de forma permanente: são processados no servidor somente durante a sessão de uso e automaticamente excluídos ao término dela, após aproximadamente 30 (trinta) minutos de inatividade do usuário, ou quando o escritório completa 15 (quinze) minutos sem nenhuma atividade. Esses arquivos não entram nas cópias de backup.

Os dados da conta (nome, e-mail e senha) são mantidos enquanto a conta permanecer ativa e excluídos em até 30 (trinta) dias após o cancelamento, no mesmo prazo aplicável ao Calendário e ao Controle de MEI. Registros técnicos de acesso (logs), usados para segurança e diagnóstico de falhas, são mantidos por até 6 (seis) meses, prazo mínimo de guarda exigido pelo art. 15 do Marco Civil da Internet (Lei nº 12.965/2014) para provedores de aplicação.

5. Com quem compartilhamos dados

Para operar o serviço, utilizamos os seguintes prestadores, que têm acesso aos dados estritamente necessários à função que desempenham:

• Cloudflare — DNS, proteção contra ataques, entrega de conteúdo e hospedagem do site institucional; o tráfego do sistema passa por sua rede.
• DigitalOcean — provedor de infraestrutura (servidor) onde o sistema é executado.
• Resend — envio de e-mails transacionais, como o código de confirmação de cadastro.
• Google Fonts — fornecimento das fontes tipográficas usadas no site; o navegador de quem visita o site se conecta diretamente aos servidores do Google para carregá-las.
• ReceitaWS — consulta pública de situação cadastral de CNPJ; recebe apenas o CNPJ consultado, sem outros dados associados.

Não vendemos dados pessoais, nem os compartilhamos para fins de publicidade de terceiros.

Esses prestadores são empresas globais que, via de regra, adotam cláusulas contratuais padrão ou mecanismos equivalentes de proteção de dados reconhecidos internacionalmente para o tratamento realizado fora do Brasil, em linha com o art. 33 da LGPD. O SigmaTax está revisando, com cada prestador, o instrumento contratual específico que ampara essas transferências, de modo a documentar formalmente o mecanismo aplicável a cada caso.

6. Segurança da informação

Em atenção ao art. 46 da LGPD, adotamos medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, incluindo:

• isolamento entre escritórios, cada um operando em processo e pasta de dados próprios;
• conexão criptografada (HTTPS/TLS) em todo o tráfego do site e do sistema;
• senhas armazenadas apenas em formato de hash irreversível;
• bloqueio temporário de acesso após tentativas de login malsucedidas; e
• criação de contas de usuário restrita ao administrador de cada escritório.

Nenhum sistema é absolutamente livre de risco. Caso ocorra incidente de segurança que possa acarretar risco ou dano relevante aos titulares, o SigmaTax comunicará os escritórios afetados e, quando exigido pela legislação, a Autoridade Nacional de Proteção de Dados (ANPD).

7. Cookies e tecnologias semelhantes

O sistema utiliza um cookie essencial de sessão, necessário para manter o usuário autenticado durante o uso. Não utilizamos cookies de rastreamento publicitário nem compartilhamos dados de navegação com redes de anúncio.

8. Direitos do titular de dados

Nos termos do art. 18 da LGPD, o titular pode solicitar, quanto aos seus próprios dados pessoais: confirmação da existência de tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários, portabilidade, eliminação dos dados tratados com consentimento (quando aplicável) e informações sobre compartilhamento.

Solicitações relativas a dados da conta de usuário podem ser feitas diretamente ao SigmaTax, pelo contato indicado na Seção 13, e serão respondidas em até 15 (quinze) dias. Solicitações relativas a dados de clientes, funcionários ou terceiros lançados por um escritório devem ser dirigidas ao próprio escritório, responsável por esses dados na qualidade de controlador; quando o SigmaTax for acionado diretamente nesses casos, encaminhará o pedido ao escritório responsável e informará o solicitante.

9. Crianças e adolescentes

O SigmaTax é destinado a uso profissional por escritórios de contabilidade e seus colaboradores, não sendo direcionado a crianças ou adolescentes.

10. Versão para computador

Na versão instalada localmente, planilhas, XMLs, extratos e demais arquivos processados permanecem no computador do escritório, sem envio ao SigmaTax. Para fins de gestão de licença, o programa transmite ao SigmaTax apenas a lista de usuários do escritório e a contagem de uso por módulo.

11. Incidentes de segurança

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, o procedimento de resposta depende do papel do SigmaTax em relação ao dado afetado:

• Dados inseridos pelo escritório (operação do SigmaTax como operador): o SigmaTax comunicará o escritório afetado sem demora injustificada, para que este, como controlador, avalie o incidente e, se for o caso, comunique a ANPD e os titulares conforme suas próprias obrigações legais.
• Dados da conta de usuário (operação do SigmaTax como controlador): o SigmaTax comunicará a ANPD e os titulares diretamente afetados, em prazo compatível com o exigido pelo art. 48 da LGPD — via de regra, em até 3 (três) dias úteis a contar do conhecimento do incidente, conforme orientação da ANPD, ressalvadas exceções devidamente justificadas.

12. Alterações desta política

Esta Política de Privacidade poderá ser atualizada para refletir alterações no serviço, nas finalidades de tratamento ou na legislação aplicável. Alterações relevantes serão comunicadas por e-mail, aviso no sistema ou outro meio de comunicação disponível. A versão vigente estará sempre disponível nos canais oficiais do SigmaTax.

13. Encarregado e contato

Nos termos do art. 41 da LGPD, o SigmaTax designa um encarregado pelo tratamento de dados pessoais (DPO), responsável por atuar como canal de comunicação entre o SigmaTax, os titulares de dados e a ANPD.

Encarregado (DPO): João Pedro Piconi Furini da Silva.

Para exercer direitos, esclarecer dúvidas ou reportar incidentes relacionados a dados pessoais, entre em contato pelo e-mail [email protected] ou pelo WhatsApp (19) 99967-1688.

14. Foro

Para questões relacionadas a esta Política de Privacidade, fica indicado o Foro da Comarca de Americana, Estado de São Paulo, observadas as regras legais de competência aplicáveis à relação jurídica.