Política de Privacidade
A. Nosso papel
Na relação com você, cliente, somos controladores dos seus dados de cadastro.
Na relação com os tomadores de serviço cujas notas você emite, somos operadores: tratamos os dados deles por sua conta e ordem. Quem tem a base legal para tratá-los é você.
B. Dados tratados
Seus (cliente): nome, e-mail, telefone, CPF/CNPJ, dados de cobrança e registros de acesso.
Dos tomadores de serviço: nome ou razão social, CPF/CNPJ, e-mail, telefone e endereço completo. São pessoas que não contrataram a Ovelian.
Registros automáticos: logs de acesso e de emissão, com guarda mínima de 6 meses (Marco Civil da Internet, art. 15).
Não tratamos dados pessoais sensíveis (art. 5º, II da LGPD).
C. Finalidade e base legal
| Dado | Finalidade | Base legal |
|---|---|---|
| Cadastro do cliente | Executar o contrato | Art. 7º, V |
| Dados do tomador | Emitir o documento fiscal | Art. 7º, II — obrigação legal do cliente |
| Documentos fiscais | Guarda obrigatória | Art. 7º, II |
| Logs de acesso | Segurança e Marco Civil | Art. 7º, II e IX |
| E-mail de cobrança | Executar o contrato | Art. 7º, V |
D. Onde os dados ficam
Armazenamento no Brasil. Banco de dados, XML, PDF e certificados digitais ficam em São Paulo (Supabase, região sa-east-1).
Processamento nos Estados Unidos. A aplicação e o processador de tarefas rodam na região Virginia (Render). Isso caracteriza transferência internacional de dados para fins de processamento, ainda que o armazenamento permaneça no Brasil. A transferência se dá com base no art. 33, IX da LGPD (execução de contrato).
E. Subprocessadores
| Fornecedor | Para quê | O que recebe |
|---|---|---|
| Supabase | Banco de dados | Todos os dados, incluindo XML, PDF e certificado A1 |
| Render | Hospedagem da aplicação | Dados em trânsito e em processamento |
| Resend | Envio de e-mails | Nome e e-mail do destinatário |
| Asaas | Cobrança | Nome, CPF/CNPJ e e-mail do cliente |
O SEFIN Nacional e os órgãos fiscais recebem os dados do tomador, mas não são fornecedores contratados: o envio decorre de obrigação legal.
Mudança de subprocessador será comunicada com antecedência.
F. Compartilhamento
Compartilhamos dados apenas com: (a) o portal nacional da NFS-e e órgãos fiscais, por imposição legal; (b) os subprocessadores acima; (c) mediante ordem judicial.
Não vendemos, alugamos nem usamos dados para publicidade.
G. Segurança
- Senhas armazenadas com hash scrypt, irreversível.
- Certificados A1 e senhas de terceiros criptografados em repouso.
- Isolamento entre contas: toda consulta é filtrada por conta.
- Comunicação exclusivamente por HTTPS.
Cópias de segurança. A Ovelian mantém procedimento próprio de cópia e restauração do banco de dados, exercitado integralmente em 25 de agosto de 2026 — ocasião em que foram verificadas a integridade dos documentos fiscais armazenados e a recuperabilidade dos certificados digitais.
Nesta versão não há periodicidade de cópia nem tempo de recuperação garantidos em contrato, e não oferecemos garantia de perda máxima de dados (RPO) ou de tempo de restabelecimento (RTO). Dizemos isso de forma expressa em vez de prometer uma rotina que ainda não é automática.
H. Incidentes de segurança
Havendo incidente que possa acarretar risco ou dano relevante, comunicamos o cliente em até 24 horas contadas da ciência, com as informações disponíveis, e prestamos as informações necessárias à comunicação à ANPD e aos titulares.
I. Seus direitos
Você pode solicitar confirmação, acesso, correção, anonimização, portabilidade, eliminação e informação sobre compartilhamento (art. 18 da LGPD).
Canal: privacidade@ovelian.com.br — resposta em até 15 dias.
Se o pedido vier de um tomador de serviço, ele será encaminhado a você, que é o controlador daqueles dados. Auxiliamos tecnicamente, mas não decidimos sobre dados que não controlamos. Documento fiscal tem guarda obrigatória de 5 anos e não pode ser eliminado a pedido.
Anexo I — Tratamento de dados pessoais por conta e ordem (art. 39, LGPD)
Integra o contrato quando a OVELIAN trata dados pessoais por conta do CLIENTE.
1. Objeto — dados de tomadores de serviço (nome ou razão social, CPF/CNPJ, e-mail, telefone e endereço), para emissão e guarda de documentos fiscais, pelo prazo do contrato acrescido da guarda legal de 5 anos.
2. Instruções — a OVELIAN trata os dados somente conforme instruções documentadas do CLIENTE e obrigações legais.
3. Confidencialidade — todo pessoal com acesso está sujeito a dever de sigilo.
4. Segurança — senhas com hash irreversível; certificados e senhas de terceiros criptografados em repouso; isolamento entre contas em toda consulta; comunicação exclusivamente por HTTPS.
5. Subprocessadores — Supabase (banco de dados), Render (hospedagem), Resend (e-mail) e Asaas (cobrança). Mudança será comunicada com antecedência. O SEFIN Nacional e os órgãos fiscais recebem dados por obrigação legal, não como fornecedores contratados.
6. Localização — armazenamento no Brasil (São Paulo). Processamento nos Estados Unidos, o que caracteriza transferência internacional para fins de processamento, com base no art. 33, IX da LGPD.
7. Auxílio ao controlador — apoio no atendimento a titulares e à ANPD.
8. Incidentes — comunicação ao CLIENTE em até 24 horas da ciência.
9. Direitos dos titulares — pedido de tomador de serviço é encaminhado ao CLIENTE, que é o controlador. A OVELIAN auxilia tecnicamente, mas não decide sobre dados que não controla. Documento fiscal tem guarda obrigatória e não pode ser eliminado a pedido.
10. Cópias de segurança — a OVELIAN mantém procedimento próprio de cópia e restauração, exercitado em 25 de agosto de 2026. Não há periodicidade nem tempo de recuperação garantidos em contrato.
11. Devolução ou eliminação ao fim do contrato, respeitada a guarda fiscal obrigatória.
12. Auditoria — mediante solicitação escrita e aviso de 30 dias, a OVELIAN responde questionário de segurança e fornece relatório descritivo. Auditoria presencial ou acesso à infraestrutura não são oferecidos.