1. Quem somos
SKAC Processamento de Dados LTDA ("SKAC"), CNPJ 13.515.550/0001-95, com sede na Av. Marcos Penteado de Ulhôa Rodrigues, 4446 - 5 52 - Tamboré, Santana de Parnaíba - SP, CEP 06543-001, operadora da plataforma NotasPJ (www.notaspj.com.br), serviço de emissão de Nota Fiscal de Serviço eletrônica (NFS-e). Contato de privacidade e canal do Encarregado: privacidade@notaspj.com.br.
2. Papéis no tratamento
- Dados dos usuários e das empresas clientes: a SKAC atua como controladora.
- Dados de tomadores de serviço (terceiros inseridos pelos clientes para emissão das notas — nome, CNPJ/CPF, e-mail, endereço): o cliente é o controlador desses dados e a SKAC atua como operadora, tratando-os exclusivamente para executar a emissão, o envio e a guarda das notas solicitadas pelo cliente.
3. Dados que tratamos e finalidades
| Categoria | Dados | Finalidade | Base legal (art. 7º LGPD) |
|---|---|---|---|
| Conta | Nome, e-mail, senha (armazenada como hash) | Autenticação e gestão da conta | Execução de contrato (inc. V) |
| Empresa | Razão social, CNPJ, inscrição municipal, dados fiscais | Emissão de NFS-e | Execução de contrato (inc. V) e cumprimento de obrigação legal (inc. II) |
| Certificado digital A1 | Arquivo e senha (armazenados criptografados) | Assinatura das notas, exigência legal da emissão | Execução de contrato (inc. V) e obrigação legal (inc. II) |
| Notas fiscais | XML, PDF, valores, dados dos tomadores | Emissão, guarda e disponibilização | Cumprimento de obrigação legal (inc. II) |
| Pagamento | Gerido pela Stripe (dados de cartão não transitam pela SKAC) | Cobrança da assinatura | Execução de contrato (inc. V) |
| Navegação | Cookie de sessão; pixel de mídia (Meta), quando ativo | Funcionamento da plataforma e, quando ativo o pixel, mensuração de marketing | Legítimo interesse (inc. IX) para o funcionamento; consentimento (inc. I) para o pixel de marketing, quando aplicável |
4. Suboperadores (com quem compartilhamos)
Para operar a plataforma, a SKAC contrata os suboperadores abaixo, aderindo aos respectivos Contratos de Tratamento de Dados (DPA) públicos. A lista é mantida atualizada nesta página.
| Suboperador (entidade legal) | Finalidade | Dados tratados | Localização dos dados | DPA |
|---|---|---|---|---|
| Netlify, Inc. (EUA) | Hospedagem da aplicação (serverless/CDN) | Tráfego da aplicação, logs de acesso | EUA — AWS us-east-1 (Virgínia); CDN de borda global | netlify.com/pdf/netlify-dpa.pdf |
| Neon, Inc. (EUA) | Banco de dados PostgreSQL | Todos os dados da plataforma, em repouso | EUA — AWS us-east-1 (Virgínia) | neon.com/pdf/DPA.pdf |
| Stripe, Inc. / Stripe Brasil | Processamento de pagamentos das assinaturas | Dados de cobrança (cartão não transita pela SKAC) | EUA / internacional | stripe.com/legal/dpa |
| Brevo (Sendinblue SAS, França) | E-mails transacionais | Endereços de destinatários e conteúdo das mensagens | União Europeia | brevo.com/legal/termsofuse (Anexo de Proteção de Dados) |
| Banco C6 S.A. (Brasil) | Emissão de boleto/Pix, quando habilitado pelo cliente | Dados de cobrança dos tomadores | Brasil | — |
Compartilhamentos por obrigação legal (não são suboperadores): para emitir as notas, os dados são transmitidos às prefeituras conveniadas e ao Ambiente Nacional da NFS-e (Receita Federal/SEFIN), que atuam como controladores próprios por exigência legal (art. 7º, II, LGPD).
Atualização e aviso: a SKAC dará aviso prévio de 30 dias, por e-mail ao administrador de cada conta, antes de adicionar ou substituir suboperador que trate dados de clientes ou tomadores. O cliente pode se opor por motivo razoável de proteção de dados; não sendo possível acomodar a objeção, poderá rescindir sem penalidade. Mudanças meramente formais (razão social, link de DPA) não exigem aviso prévio.
5. Transferência internacional
Parte do tratamento ocorre fora do Brasil: a hospedagem (Netlify) e o banco de dados (Neon) residem nos Estados Unidos (AWS us-east-1), e outros suboperadores podem tratar dados no exterior. Essas transferências observam o art. 33 da LGPD, amparadas pelas cláusulas contratuais de proteção de dados constantes dos DPAs dos respectivos suboperadores.
6. Segurança
Senhas armazenadas com hash irreversível; certificado digital e segredos sensíveis criptografados (AES-256-GCM); tráfego sob HTTPS; isolamento lógico entre clientes (multi-tenant); autenticação em duas etapas disponível; trilha de auditoria.
7. Direitos do titular e canal de atendimento
O titular pode solicitar acesso, correção, portabilidade, eliminação (observada a guarda fiscal obrigatória das notas) e informação sobre compartilhamentos. A plataforma oferece fluxo de exclusão de conta. Encarregado pelo Tratamento de Dados Pessoais (DPO) — canal: privacidade@notaspj.com.br.
8. Cookies
A plataforma utiliza um cookie de sessão essencial (skac_session), necessário à autenticação. Quando o pixel de mídia (Meta) estiver ativo, cookies de marketing poderão ser utilizados mediante consentimento, com aviso próprio.
9. Retenção e eliminação
A SKAC retém cada dado apenas pelo tempo necessário à finalidade ou à obrigação legal:
- Dados de conta e empresa: enquanto durar a relação, mais o período de guarda das notas vinculadas.
- Notas fiscais (XML/PDF) e trilha de auditoria: pelo prazo exigido pela legislação fiscal aplicável.
- Certificado digital A1 e credenciais de integração: eliminados na exclusão da conta.
- Após o cancelamento, o cliente dispõe de 60 dias para exportar seus dados e notas; encerrado esse prazo, a eliminação segue o fluxo de exclusão. A eliminação definitiva se completa ao expirarem as cópias de backup que contenham o dado (ciclo de até 13 meses). Detalhes na Política de Retenção interna.
10. Alterações e vigência
Esta Política pode ser atualizada; alterações relevantes serão comunicadas pelos canais usuais e a versão vigente ficará sempre disponível em www.notaspj.com.br, com a data da última atualização. Vigente a partir de 13/08/2026.