Política de privacidade
Versão de 1º de novembro de 2026. Esta política explica quais dados a MadNotas trata, para quê e por quanto tempo, nos termos da Lei Geral de Proteção de Dados (Lei 13.709/2018, LGPD).
1. Quem decide o quê
- Dados da conta (nome, e-mail e telefone dos usuários, dados de cobrança): a MadNotas é a controladora.
- Dados das notas fiscais (destinatários, tomadores, fornecedores, endereços, CPF/CNPJ, itens): o emitente é o controlador e a MadNotas é operadora. Ela trata esses dados só para emitir, transmitir, consultar, guardar e entregar os documentos, conforme as instruções da conta.
2. Dados que tratamos
| Dado | Para quê | Base legal |
|---|---|---|
| Cadastro dos usuários | Acesso ao painel, avisos de serviço, suporte | Execução de contrato |
| Dados de cobrança | Faturas e pagamentos | Execução de contrato e obrigação legal |
| Conteúdo das notas (NF-e, NFC-e, NFS-e) e eventos | Emissão, transmissão aos órgãos, guarda e envio ao destinatário ou tomador | Obrigação legal e regulatória do emitente |
| Notas recebidas pelo emitente (DF-e) e manifestações | Consultar as NF-e emitidas contra o CNPJ do emitente e registrar a manifestação pedida por ele | Obrigação legal e regulatória do emitente |
| Certificado digital e CSC | Assinar o XML e autenticar nos órgãos | Execução de contrato |
| Registros de acesso (IP, data e hora) | Segurança e cumprimento do Marco Civil da Internet | Obrigação legal |
| Logs de API e de comunicação com os órgãos (rota, horário, corpo) | Diagnóstico, segurança e suporte | Legítimo interesse |
| Formulário de contato | Responder a sua mensagem | Consentimento |
3. Segurança
- Certificado digital, senha do certificado, CSC e segredos de webhook são criptografados (AES-256-GCM) antes de gravar e nunca aparecem em log ou tela.
- Chaves de API são guardadas apenas como hash: nem a MadNotas consegue lê-las depois de criadas.
- Os logs passam por redação automática de senhas, certificados e cabeçalhos de autenticação.
- Cada conta só enxerga os próprios dados; o isolamento é aplicado em toda consulta.
- Em caso de incidente de segurança com risco aos titulares, avisamos as contas afetadas e a Autoridade Nacional de Proteção de Dados (ANPD), como manda a lei.
4. Com quem compartilhamos
- Secretarias de Fazenda, Ambiente Nacional da NF-e, Ambiente Nacional da NFS-e e ambientes de contingência: recebem as notas, os eventos e as consultas, por exigência legal.
- Destinatários e tomadores indicados por você: recebem XML, DANFE ou DANFSe por e-mail, quando você pede.
- Seus endpoints de webhook: recebem os eventos que você assinou.
- Prestadores de infraestrutura: hospedagem, armazenamento, cópias de segurança, envio de e-mail e processamento de pagamento (Mercado Pago), sob contrato e só para prestar o serviço.
A MadNotas não vende dados nem usa o conteúdo das notas para publicidade.
5. Onde os dados ficam
Os servidores da MadNotas ficam nos Estados Unidos, em datacenter de provedor de nuvem. Essa transferência internacional segue o art. 33 da LGPD: o provedor é contratado com obrigações de segurança e confidencialidade, e os dados só são usados para prestar o serviço.
6. Por quanto tempo
- XML de notas autorizadas e eventos: no mínimo 5 anos.
- Registros de acesso (IP, data e hora): 6 meses, como exige o Marco Civil da Internet (Lei 12.965/2014, art. 15).
- Logs de API e de comunicação com os órgãos: pelo prazo de retenção do plano contratado (de 15 a 90 dias).
- Entregas de webhook: 30 dias.
- Dados da conta: enquanto ela existir e, depois, pelo prazo exigido por lei para registros fiscais e contábeis.
7. Seus direitos
Pela LGPD (art. 18), você pode pedir confirmação de tratamento, acesso, correção, anonimização, portabilidade, informação sobre compartilhamentos, retirada do consentimento e eliminação dos dados da conta pelo contato. Respondemos em até 15 dias. Pedidos sobre dados de destinatários, tomadores ou fornecedores de notas são encaminhados ao emitente, que é o controlador. Dados que a lei obriga a guardar (como documentos fiscais) não podem ser eliminados antes do prazo. Também é possível reclamar à ANPD.
8. Encarregado de dados
O encarregado pelo tratamento de dados pessoais atende pelo contato.
9. Cookies
O site e o painel usam apenas cookies necessários ao funcionamento (sessão e proteção contra envio forjado). A referência da API guarda a chave colada no Experimente só na memória da aba, ou até fechar a aba se você marcar “Lembrar nesta aba”; ela nunca é enviada à MadNotas fora da chamada que você fizer.
10. Alterações
Esta política pode mudar. Alteração relevante é avisada por e-mail aos administradores das contas.