Política de Privacidade
Versão 1.6 · atualizado em 19/09/2026 · em conformidade com a LGPD (Lei nº 13.709/2018)
1. Controlador
O controlador dos dados pessoais tratados na plataforma é a ORMIQ. Para solicitações de privacidade, identificação jurídica do controlador e exercício dos direitos previstos na LGPD, utilize o canal do encarregado (DPO): contato@ormiq.com.br.
2. Dados que tratamos
Tratamos: (a) dados de cadastro — nome, e-mail e, opcionalmente, WhatsApp; (b) dados das empresas auditadas — CNPJ, razão social, regime e UF; (c) documentos fiscais que você envia — XML de NF-e e arquivos SPED/EFD; (d) certificado digital A1, quando você opta pela busca automática na SEFAZ; (e) dados de uso e segurança — registros de acesso, endereço IP e trilha de auditoria; (f) dados de cobrança e pagamento — nesta fase, registramos os dados operacionais necessários à cobrança por boleto e à confirmação do recebimento; (g) interações do Copiloto Fiscal — pergunta e resposta estruturada para histórico e rastreabilidade; e (h) compartilhamentos voluntários com contador/consultor, quando o titular cria um convite para uma empresa específica.
3. Para que usamos (finalidades e base legal)
Usamos esses dados para executar a auditoria fiscal solicitada e entregar os relatórios (execução de contrato, art. 7º, V), para autenticar a busca de documentos na SEFAZ com o seu certificado (com base no seu consentimento específico, art. 7º, I, revogável a qualquer tempo), para faturar e gerir a assinatura (execução de contrato e obrigação legal/fiscal, art. 7º, II), para segurança e prevenção a fraudes (legítimo interesse, art. 7º, IX) e para cumprir obrigações legais.
4. Documentos fiscais e minimização
Os XML e o SPED são processados para gerar a auditoria e não são retidos além do necessário: o processamento ocorre no servidor e os metadados de documentos possuem prazo de descarte automático. O certificado A1 e sua senha, quando fornecidos, são cifrados com AES-256-GCM antes de qualquer gravação e mantidos em armazenamento privado, usados apenas para autenticar a comunicação com a SEFAZ.
5. Com quem compartilhamos (operadores/subprocessadores)
Compartilhamos dados apenas com prestadores necessários à operação, na qualidade de operadores: Supabase (banco de dados e armazenamento), Vercel (hospedagem da aplicação e métricas públicas de acesso/desempenho), provedor de e-mail transacional (envio de mensagens operacionais) e o provedor de API fiscal contratado (para a busca na SEFAZ). A integração com a Stripe permanece tecnicamente preservada, mas novas contratações por cartão estão desativadas nesta fase; se esse meio voltar a ser habilitado, a política será aplicada ao processamento correspondente. Não vendemos dados pessoais. Quando o próprio titular usa o Portal Contábil, os achados da empresa selecionada também podem ser disponibilizados ao contador/consultor convidado, conforme o papel concedido; o acesso pode ser revogado pelo titular.
6. Transferência internacional
Alguns operadores podem processar dados fora do Brasil. Nesses casos, exigimos garantias adequadas de proteção, conforme os arts. 33 a 36 da LGPD. Sempre que possível, priorizamos processamento na região do Brasil (ex.: banco de dados em São Paulo).
7. Segurança
Adotamos medidas técnicas e organizacionais: isolamento por linha (RLS) garantindo que cada titular só acessa seus próprios dados, criptografia do dado mais sensível (certificado), segregação de chaves de serviço, trilha de auditoria imutável (append-only) e transporte cifrado (HTTPS).
8. Retenção e descarte
Mantemos os dados pelo tempo necessário às finalidades e às obrigações legais. Documentos com expira_em são descartados pela rotina de manutenção quando o prazo vence; eventos técnicos são mantidos por até 90 dias e itens legislativos descartados por até 180 dias. Trilhas de auditoria e registros de pagamento podem permanecer pelo período necessário à rastreabilidade e às obrigações legais, com minimização ou anonimização quando aplicável.
9. Seus direitos (art. 18 da LGPD)
Você pode, a qualquer momento: confirmar a existência de tratamento; acessar e exportar seus dados; corrigir dados; solicitar anonimização, bloqueio ou eliminação; obter informação sobre compartilhamentos; e revogar consentimentos. As ações de exportar e excluir seus dados estão disponíveis diretamente no painel, na seção “Meus dados (LGPD)”. Solicitações formais de exportação são atendidas em até 15 dias corridos e solicitações de exclusão em até 15 dias corridos, observadas as hipóteses legais de retenção. Ao eliminar, preservamos apenas os dados sujeitos a obrigação legal de retenção, pelo prazo aplicável e minimizados sempre que possível.
10. Consentimento, cookies e métricas públicas
Ao criar sua conta, registramos o aceite destes documentos com data e versão. Tecnologias essenciais podem ser usadas para autenticação, segurança e funcionamento da sessão. Nas páginas públicas previstas, Vercel Web Analytics e Speed Insights permanecem desativados por padrão e só são carregados após uma escolha positiva no painel de privacidade. O usuário pode aceitar, rejeitar ou configurar separadamente Analytics e desempenho e pode revogar a escolha a qualquer momento. As rotas privadas e administrativas classificadas como sensíveis continuam excluídas da telemetria, e parâmetros de consulta e fragmentos de URL são removidos antes do envio. Consulte também a Política de Cookies.
11. Alterações
Esta Política pode ser atualizada; a versão vigente fica sempre nesta página, e mudanças relevantes serão comunicadas.