Política de privacidade

A Conta Fácil é controladora dos dados de cadastro, uso do produto e cobrança dos seus usuários.

Quanto aos dados dos funcionários da sua empresa, tratados na folha, você é o controlador e a Conta Fácil é operadora, agindo conforme suas instruções documentadas (arts. 5º, VI e VII, e 39 da Lei 13.709/2018).

Cadastro do cliente e dos sócios: execução de contrato (art. 7º, V).

Dados fiscais e contábeis da empresa: cumprimento de obrigação legal e regulatória (art. 7º, II).

Folha de pagamento: cumprimento de obrigação legal (art. 7º, II). Dados sensíveis de saúde presentes em atestados e afastamentos: art. 11, II, alínea a.

Prevenção a fraude no cadastro e no programa de parceria: art. 11, II, alínea g.

Comunicações de marketing: consentimento, revogável a qualquer momento sem prejuízo do serviço.

Despesas dedutíveis de saúde na declaração de imposto de renda, inclusive com o nome do beneficiário: exercício regular de direito e cumprimento de obrigação legal, nas hipóteses do art. 11, II. O titular pode ser você ou o seu dependente, e o dado só existe aqui porque a declaração o exige.

Confirmação de CPF na base da Receita Federal, feita no cadastro e antes de existir contrato: cumprimento de obrigação legal e legítimo interesse em não escrever nome errado em declaração sua. A consulta devolve situação cadastral e não cria registro novo sobre você aqui.

Assistente fiscal e sugestão de CNAE por modelo de linguagem: execução de contrato. CPF, CNPJ e PIS são removidos da sua pergunta antes do envio.

Classificação aprendida: guardamos, por conta, a relação entre o texto do seu extrato e a conta contábil escolhida, para não perguntar duas vezes a mesma coisa. É execução de contrato, e você pode pedir a eliminação dessa memória sem perder o histórico contábil.

Declaração do Simples, emissão do DAS, conferência do pagamento, da situação fiscal e da caixa postal na Receita pelo Integra Contador: execução de contrato (art. 7º, V) e cumprimento de obrigação legal (art. 7º, II). Só acontece com a autorização de acesso que a sua empresa dá ao escritório na Receita, e cancelar essa autorização lá interrompe o envio; o que a Receita já devolveu (recibos, guias, comprovantes) fica guardado pelo prazo legal.

Leitura bancária pelo Open Finance: consentimento específico, dado por você no seu banco e revogável lá e aqui. O que já entrou no livro permanece por obrigação legal de guarda, e a revogação impede novas leituras.

Cookie de atribuição do programa de parceria (cf_ref e cf_visitante), gravado quando você chega pelo link de um parceiro: consentimento (art. 7º, I), pedido antes de qualquer gravação, por 60 dias. Sem o aceite, nada é gravado; para revogar, apague os cookies do navegador. Os cookies de sessão e de segurança não dependem de consentimento, porque sem eles a conta não funciona.

Registro de acesso, endereço IP e navegador usado: legítimo interesse em segurança, detecção de abuso e prova de quem fez o quê. Você pode se opor, e nesse caso o acesso ao produto fica limitado, porque sem esse registro não conseguimos proteger a sua conta.

Não usamos consentimento como base para dado que somos obrigados a tratar por lei, porque a revogação travaria uma obrigação fiscal sua. A exceção é o Open Finance, em que o consentimento manda na LEITURA e a obrigação legal manda na GUARDA do que já foi lido: revogar interrompe a leitura e não apaga o livro.

Registro das notas fiscais e os dados de cada uma: 5 anos (arts. 173 e 174 do CTN). O sistema não recebe nem guarda o XML autorizado.

Livros contábeis, ECD e ECF: 5 anos.

Documentos previdenciários e folha: 5 anos (Lei 8.212/1991, art. 32, e Súmula Vinculante 8 do STF).

Guias e registros de FGTS: 5 anos, até 2 anos após a extinção do contrato (art. 7º, XXIX da Constituição). O prazo de 30 anos da Lei 8.036/1990, art. 23, §5º, foi declarado inconstitucional pelo STF (ARE 709.212, Tema 608).

Contratos de trabalho, ponto, férias e rescisão: 5 anos, até 2 anos após a extinção do contrato (art. 7º, XXIX da Constituição).

ASO e exames ocupacionais: 20 anos (NR-07). PPP e LTCAT: 20 anos.

Encerrar o contrato não autoriza apagar o que a lei manda guardar (art. 16, I da LGPD). O acesso comercial é bloqueado e a cópia integral fica disponível para você.

Compartilhamos dados com: a organização contábil identificada no rodapé, responsável técnica pelo seu CNPJ, quando ela existir; e subprocessadores de infraestrutura, pagamento, e-mail e inteligência artificial, listados em página pública e versionada. O sistema não envia dado a órgão público: quando uma obrigação exige, a entrega é feita fora daqui, por quem a executa.

Quando há tratamento fora do Brasil, a página de subprocessadores diz, fornecedor por fornecedor, em qual hipótese do art. 33 da LGPD a transferência se apoia. O fornecedor de inteligência artificial é usado pela API comercial, cujos termos vedam usar o conteúdo enviado para treinar modelos. Não há acordo de retenção zero: o fornecedor guarda o conteúdo pelo prazo da política dele, para segurança e prevenção de abuso.

Você pode pedir confirmação de tratamento, acesso, correção, anonimização, portabilidade, eliminação, informação sobre compartilhamento e revisão de decisão automatizada (art. 18 da LGPD).

Respondemos de forma simplificada de imediato e de forma completa em até 15 dias (art. 19). O canal do encarregado é o endereço de privacidade que aparece no rodapé deste documento e na página de contato.

Se você não é cliente e tem dados aqui, por ser funcionário, sócio ou dependente de quem usa o Conta Fácil, o pedido é feito em contafacil.app/privacidade/titular, com protocolo na hora e o mesmo prazo de 15 dias.

Aplicamos criptografia em trânsito, cifra em nível de campo para o CPF informado na declaração de imposto de renda e para o segredo do segundo fator, segundo fator opcional por aplicativo autenticador e trilha de auditoria com detecção de adulteração. CPF de funcionário, salário e dados bancários ficam protegidos pelo isolamento entre contas e pelo controle de acesso, e não por cifra própria. O sistema não recebe nem guarda certificado digital.

Em caso de incidente com risco relevante, comunicamos a ANPD e os titulares no prazo de 3 dias úteis contados do conhecimento, conforme a Resolução CD/ANPD 15/2024.