Política de Privacidade da notanota

Versão: 2026-10-25.1 · Status: Preparada para revisão e publicação · Vigência: a partir da publicação no site

Esta Política explica como a notanota trata dados pessoais no cadastro e uso de seus aplicativos, APIs, site institucional, canais de atendimento e integrações, inclusive na medição de aquisição e na publicidade da notanota em plataformas do Google e da Meta, e na análise de usabilidade do site com o Microsoft Clarity.

1. Controlador e contato

O controlador dos dados pessoais é:

• Razão social: MACH CONSULTORIA, EDUCACAO E DESENVOLVIMENTO DE SOFTWARE LTDA
• Nome fantasia: MACH
• CNPJ: 39.268.066/0001-00
• Porte: Pequeno Porte
• Endereço: Avenida Gov. Carlos de Lima Cavalcanti, 3995, Loja 27, Caixa Postal 1540, Casa Caiada, CEP 53130-555, 2491 - PE
• Canal de privacidade e direitos dos titulares: legal@notanota.com.br ou telefone +55 11 91326-7104
• Encarregado: não indicado; solicitações dos titulares e comunicações sobre proteção de dados são recebidas diretamente pelo canal acima

2. Dados tratados

Conforme as funções utilizadas, podemos tratar:

• Identidade e contato: CPF, nome, e-mail, telefone e confirmação do telefone.
• Autenticação: identificador do Cognito, estado da conta, tokens temporários e registros de segurança. A senha é administrada pelo Amazon Cognito e não é armazenada pelo banco de negócio da notanota.
• Aceites: versão dos Termos de Uso e desta Política, data, contexto e opção de receber comunicações.
• Dados profissionais e empresariais: profissão, CNPJ, razão social, nome fantasia, inscrições, município e configurações necessárias às operações.
• Dados de clientes e terceiros: identificação, documento, contato e dados necessários aos documentos solicitados pelo usuário.
• Documentos e operações: recibos, NFS-e, valores, descrições de serviços, arquivos, estados de emissão, downloads e envios.
• Dados técnicos: endereço IP, data e hora, dispositivo, versão do aplicativo, identificadores de correlação, eventos de segurança, erros e logs.
• Atendimento: mensagens, solicitações e informações fornecidas ao suporte.
• Navegação e publicidade: páginas e telas visitadas no site e na aplicação web, cliques em botões de cadastro e perguntas frequentes, identificadores de cookies do Google Analytics e da Meta, identificadores de clique em anúncios do Google (gclid, gbraid, wbraid) e da Meta (fbclid), endereço IP e navegador (user agent).
• Conversões: ocorrência do cadastro, da primeira emissão de documento e da contratação da assinatura, com data e, na assinatura, o valor anual contratado.
• Usabilidade do site institucional: páginas e URLs visitadas, origem do acesso, cliques, rolagem, movimentos do ponteiro, dimensões e conteúdo visual das páginas, informações de dispositivo e navegador, endereço IP, identificadores de cookies e sessão e dados de desempenho. Essas informações permitem formar mapas de calor e reconstruir a navegação em gravações de sessão, com as restrições e o mascaramento descritos na seção 10.

Documentos ou descrições inseridos pelo usuário podem conter dados pessoais sensíveis. O usuário deve evitar inserir informações excessivas e possuir base legal para os dados de terceiros que decidir tratar por meio da notanota.

3. Finalidades e bases legais

Tratamos dados para:

O uso do legítimo interesse na medição com Google e Meta, nas conversões e no remarketing é sustentado por avaliação registrada, que considera finalidade, necessidade, minimização, expectativas dos titulares e salvaguardas. A análise de usabilidade com o Microsoft Clarity permanece sujeita à avaliação específica desses aspectos; esta proposta não declara a avaliação aprovada.

A base legal concreta depende do dado e do contexto. Quando utilizarmos consentimento, a recusa ou retirada não afetará tratamentos baseados em outra base legal válida.

4. Compartilhamento

Podemos compartilhar somente os dados necessários com:

• Amazon Web Services, incluindo Cognito, mensageria, computação, banco de dados e armazenamento;
• provedores fiscais, prefeituras e entidades necessárias à emissão solicitada;
• provedores de comunicação usados para enviar documentos ou avisos;
• contadores e usuários expressamente autorizados na conta;
• fornecedores de suporte, monitoramento e segurança contratualmente obrigados a proteger os dados;
• Google (Google Analytics, Google Ads e Google Tag Manager) e Meta (Meta Pixel e Conversions API), para medição, atribuição de conversões e publicidade da notanota, conforme a seção 10;
• Microsoft, por meio do Clarity, para analisar a usabilidade do site institucional por métricas comportamentais, mapas de calor e gravações de sessão, conforme a seção 10;
• autoridades públicas, quando houver obrigação legal ou ordem válida;
• sucessores em operação societária legítima, com preservação dos direitos dos titulares.

Não vendemos dados pessoais. Google e Meta tratam os dados recebidos também conforme suas próprias políticas, inclusive para a mensuração e a exibição dos anúncios contratados pela notanota. A Microsoft também trata os dados recebidos pelo Clarity conforme a Declaração de Privacidade da Microsoft e os termos do Clarity, que preveem usos próprios, incluindo melhoria de seus serviços e criação de perfis para publicidade. Esses usos não se limitam aos relatórios consultados pela notanota.

5. Transferências internacionais

Alguns fornecedores podem armazenar ou acessar dados fora do Brasil, inclusive Google, Meta e Microsoft, que tratam os dados de medição, usabilidade e publicidade em outros países. A notanota avalia cada transferência e adota os mecanismos previstos na LGPD e na regulamentação da Autoridade Nacional de Proteção de Dados, além de medidas contratuais e técnicas adequadas. Esta Política será atualizada quando a adoção de regiões ou fornecedores alterar materialmente o tratamento informado.

6. Retenção e exclusão

Os identificadores de atribuição — o primeiro e o último recebidos de cada plataforma, além do último endereço IP e navegador — e os registros de conversões são mantidos enquanto a conta existir, salvo oposição do titular, que os elimina. Os dados recebidos por Google e Meta seguem os prazos dessas plataformas.

No Clarity, as gravações de sessão ficam disponíveis normalmente por 30 dias. Sessões marcadas ou favoritas e algumas amostras de gravações podem permanecer por até nove meses; mapas de calor e dados de cliques são mantidos por nove meses. Esses prazos seguem a política de retenção do Clarity. Os demais tratamentos realizados pela Microsoft seguem sua Declaração de Privacidade.

Os dados serão mantidos somente enquanto necessários para as finalidades informadas, para a relação contratual e para o cumprimento de obrigações legais, regulatórias, fiscais, de segurança e de exercício regular de direitos.

A definição operacional detalhada dos prazos para identidades, contas, aceites, logs, clientes, documentos, arquivos, certificados e registros de suporte será mantida e revisada em tabela interna de retenção. Encerrado o prazo aplicável, os dados serão eliminados ou anonimizados de forma segura, salvo conservação permitida ou exigida por lei.

7. Segurança

Adotamos medidas proporcionais ao risco, incluindo criptografia em trânsito e em repouso, controle de acesso mínimo, separação de ambientes, validação de tokens, isolamento por conta, logs protegidos, cópias de segurança e resposta a incidentes. Senhas, tokens, códigos, certificados e documentos não devem ser registrados em logs.

Nenhum sistema é absolutamente seguro. Incidentes relevantes serão tratados e comunicados aos titulares e à ANPD quando exigido pela legislação.

8. Direitos do titular

Nos termos da LGPD, o titular pode solicitar, conforme aplicável:

• confirmação e acesso;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• portabilidade, observada a regulamentação;
• informação sobre compartilhamentos e sobre a possibilidade de negar ou retirar consentimento;
• eliminação de dados tratados com consentimento, ressalvadas as hipóteses de conservação legal;
• revisão de decisões tomadas unicamente com base em tratamento automatizado, quando aplicável;
• oposição a tratamento irregular e a tratamento baseado em legítimo interesse, inclusive à medição, à análise de usabilidade, às conversões e ao remarketing descritos na seção 10.

Solicitações serão autenticadas para proteger o titular e respondidas pelo canal indicado na seção 1. Certas solicitações podem ser limitadas por obrigação legal, segurança, direitos de terceiros ou exercício regular de direitos, com a devida explicação.

9. Crianças e adolescentes

A versão inicial da notanota é destinada a pessoas com 18 anos ou mais. Não pretendemos criar contas para crianças ou adolescentes. Dados de menores que apareçam em documentos ou cadastros de terceiros exigem necessidade, base legal e proteção compatíveis com o melhor interesse do titular.

10. Medição, conversões, publicidade e cookies

A aplicação web usa armazenamento estritamente necessário para sessão, segurança e preferências. O site institucional e a aplicação web também usam tecnologias de medição e publicidade, carregadas pelo Google Tag Manager, sem banner de consentimento, com base no legítimo interesse descrito na seção 3:

Os aplicativos Android e iOS não usam essas tecnologias.

Análise de usabilidade com Microsoft Clarity

No site institucional, utilizamos o Microsoft Clarity, carregado pelo Google Tag Manager, para entender quais conteúdos são consultados, identificar dificuldades de navegação e melhorar a apresentação do site. A configuração abrange a página inicial, os Termos de Uso e esta Política. Esta descrição cobre a integração no site institucional. A eventual integração no aplicativo Flutter é tratada separadamente na issue #259 e exigirá revisão e divulgação próprias antes de sua ativação.

O Clarity usa métricas comportamentais, mapas de calor e gravações de sessão. Essas gravações reconstroem a aparência das páginas e as interações realizadas; não são gravações de câmera, microfone ou da tela inteira do dispositivo. O mascaramento equilibrado oculta conteúdo classificado como sensível, incluindo números e endereços de e-mail. Valores digitados em campos de entrada e listas de seleção são mascarados pela ferramenta. O mascaramento do conteúdo visual não equivale à remoção de parâmetros de URLs ou de endereços de origem do acesso.

Não fornecemos ao Clarity identificadores da conta ou do usuário da aplicação, CPF, dados fiscais, documentos ou valores de formulários. Os identificadores gerados pela própria ferramenta para navegador e sessão não tornam os dados anônimos.

O Clarity pode usar cookies próprios, como _clck, para reconhecer o navegador no site, e _clsk, para relacionar visitas a páginas em uma sessão, além de cookies da Microsoft, como CLID e MUID, e outras tecnologias de rastreamento. Os cookies e seus usos estão descritos na documentação do Clarity. O funcionamento depende das configurações de privacidade do navegador e das exigências de consentimento aplicáveis à região do visitante. Esta Política não substitui nem presume o consentimento quando ele for exigido.

Atribuição de conversões e oposição

Os identificadores capturados no navegador, o endereço IP e o navegador são enviados a um componente próprio de medição da notanota, que os associa ao usuário. Quando ocorre o cadastro, a primeira emissão de documento ou a contratação da assinatura, os servidores da notanota informam essa conversão ao Google e à Meta com os identificadores disponíveis e com o e-mail, o telefone e o identificador do usuário transformados por hash SHA-256, sem envio desses dados em texto aberto. O endereço IP e o navegador seguem sem hash, nos campos exigidos pela Meta. Não enviamos CPF, nome, dados fiscais, conteúdo de documentos, dados de clientes do usuário ou dados de pagamento.

Esses dados permitem medir quais campanhas geram cadastros e assinaturas, otimizar os anúncios e exibir anúncios da notanota a quem visitou o site ou usa a aplicação, além de excluir clientes de campanhas de aquisição.

O titular pode se opor a qualquer tempo:

• pelo canal legal@notanota.com.br, que interrompe o envio de suas conversões e elimina seus identificadores de atribuição guardados pela notanota;
• nas configurações de anúncios do Google e da Meta;
• bloqueando ou apagando cookies nas configurações do navegador, sem prejuízo do uso da aplicação.

A oposição à análise pelo Clarity também pode ser encaminhada ao canal legal@notanota.com.br. As opções e os direitos relativos ao tratamento feito pela Microsoft estão na sua Declaração de Privacidade. Apagar cookies remove os identificadores do navegador, mas não elimina por si só os dados já recebidos pelas plataformas.

11. Decisões automatizadas

A notanota pode aplicar validações e sinalizar duplicidades ou riscos, mas não está previsto no MVP tomar decisão com efeito jurídico relevante baseada unicamente em tratamento automatizado. Caso isso mude, esta Política explicará a lógica, os efeitos e os meios de revisão aplicáveis.

12. Alterações desta Política

Cada alteração recebe novo identificador. Mudanças relevantes serão informadas e, quando necessário, exigirão novo aceite. A versão aplicável a cada usuário e seu respectivo registro de aceite serão preservados.

Referências

• Lei Geral de Proteção de Dados Pessoais — Lei nº 13.709/2018
• Marco Civil da Internet — Lei nº 12.965/2014
• Autoridade Nacional de Proteção de Dados
• Declaração de Privacidade da Microsoft
• Transparência sobre o uso do Clarity