A Emissa é uma plataforma de automação e governança de documentos — criação de modelos de PDF e emissão pela tela, em lote ou pela API. O controlador dos dados pessoais coletados nesta plataforma é:

Coletamos as seguintes categorias de dados pessoais:

• Dados cadastrais: nome, email, senha (armazenada com hash argon2id — nunca em texto puro), CPF ou CNPJ, razão social/nome da organização.
• Dados de uso: registros de acesso (logs de IP, user-agent, datas), histórico de geração de PDFs (dispatches), parâmetros submetidos, chaves de API utilizadas.
• Dados de cookies essenciais: token de sessão (JWT) necessário para autenticação. Não usamos cookies de rastreamento publicitário ou analytics de terceiros.
• Conteúdo dos templates e parâmetros: quando o usuário ou sua organização inserem dados pessoais nos templates ou parâmetros de geração, atuamos como operador (Art. 5º, VII LGPD) — o controlador desses dados é a organização que os submete.

Não tratamos dados sensíveis (Art. 5º, II LGPD) em situações normais de uso. Caso o cliente insira esse tipo de dado em seus templates, ele assume integralmente a responsabilidade como controlador.

• Permitir o cadastro, autenticação e uso da plataforma.
• Identificar a organização para emissão de notas fiscais e cumprimento de obrigações legais.
• Operar o serviço — geração e armazenamento temporário de PDFs, gestão de chaves de API, controle de membros e permissões.
• Garantir segurança (detecção de uso indevido, auditoria de chaves revogadas/expiradas, rate limiting).
• Enviar comunicações operacionais essenciais (convites, alertas de segurança, mudanças nestas políticas).
• Cumprir obrigações legais e regulatórias e exercer direitos em processos judiciais ou administrativos.

O tratamento de dados pessoais está apoiado nas seguintes bases legais:

• Execução de contrato (Art. 7º, V) — para fornecer o serviço contratado e suas funcionalidades.
• Consentimento (Art. 7º, I) — quando você aceita esta política no cadastro. Pode ser revogado a qualquer tempo, sujeito à manutenção do tratamento por outras bases legais aplicáveis.
• Cumprimento de obrigação legal (Art. 7º, II) — para retenção fiscal/tributária e atendimento a autoridades competentes.
• Legítimo interesse (Art. 7º, IX) — para segurança da plataforma, prevenção a fraudes e melhoria do serviço, sempre respeitando seus direitos e expectativas.

Não vendemos dados pessoais. Compartilhamos com terceiros apenas quando necessário:

• Provedores de infraestrutura que hospedam a aplicação (banco de dados, storage de PDFs). Em instalações self-hosted, esses provedores são definidos pelo próprio cliente.
• Provedores de email transacional (ex.: Resend) para envio de convites e notificações operacionais.
• Autoridades competentes mediante ordem judicial ou requisição legal cabível.

Caso haja transferência internacional, ela observará os requisitos do Capítulo V da LGPD, especialmente os Arts. 33 a 36.

Utilizamos apenas cookies estritamente necessários para autenticação (token de sessão JWT) e preferências de tema (claro/escuro). Não utilizamos cookies de terceiros para publicidade, analytics ou rastreamento entre sites.

Mantemos seus dados pelo tempo necessário às finalidades descritas ou conforme exigência legal:

• Dados cadastrais: enquanto a conta estiver ativa, mais o prazo legal de guarda fiscal (5 anos após encerramento, conforme legislação aplicável).
• PDFs gerados: retenção padrão de 30 dias após a geração. PDFs expirados são removidos do storage automaticamente.
• Logs de acesso: 6 meses, para cumprimento do Art. 15 do Marco Civil da Internet.

Você tem direito a, mediante solicitação:

• Confirmação da existência de tratamento;
• Acesso aos dados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
• Portabilidade dos dados a outro fornecedor;
• Eliminação dos dados tratados com consentimento (excetuadas as hipóteses do Art. 16);
• Informação sobre entidades públicas e privadas com as quais compartilhamos dados;
• Informação sobre a possibilidade de não fornecer consentimento e suas consequências;
• Revogação do consentimento.

Para exercer qualquer um desses direitos, contate o Encarregado pelo email dpo@emissa.io. Responderemos em até 15 dias.

Adotamos medidas técnicas e administrativas para proteger seus dados:

• Senhas armazenadas com hash argon2id;
• Chaves de API armazenadas como hash, exibidas em texto plano apenas uma vez;
• Conexões cifradas (HTTPS/TLS);
• Controle de acesso baseado em papéis (owner, admin, editor, viewer);
• Rate limiting e auditoria de chaves revogadas;
• Isolamento de dados por organização (multi-tenancy).

Em caso de incidente de segurança que possa acarretar risco ou dano relevante, comunicaremos os titulares afetados e a ANPD conforme o Art. 48 da LGPD.

O Encarregado é responsável por receber comunicações da ANPD e dos titulares, conforme o Art. 41 da LGPD.

Podemos atualizar esta política para refletir mudanças regulatórias ou operacionais. Em alterações materiais, notificaremos os usuários ativos por email com pelo menos 30 dias de antecedência. A versão vigente está sempre disponível em /privacidade com a data de vigência atualizada no topo desta página.

Esta política rege-se pela legislação brasileira, em especial pela Lei nº 13.709/2018 (LGPD), Lei nº 12.965/2014 (Marco Civil da Internet) e Decreto nº 8.771/2016. Fica eleito o foro da comarca da sede do controlador para dirimir quaisquer questões decorrentes desta política.