Privacidade e LGPD
Última atualização: 16 de outubro de 2026
Em poucas palavras
- Dos seus dados de conta e de pagamento, o Nacra é o controlador. Dos dados que vêm nos arquivos dos seus clientes, você é o controlador e nós só os processamos para gerar o diagnóstico.
- Os arquivos enviados são apagados 30 dias depois do diagnóstico. O resultado fica na sua conta.
- Não vendemos dados, não usamos os arquivos dos clientes para treinar IA e não usamos cookies de publicidade.
- Pagamentos ficam com a Stripe. Os textos com IA do estudo da reforma recebem só números agregados, nunca os arquivos.
1. Quem somos
Esta política explica como Nacra Tecnologia Ltda. ("Nacra", "nós") trata dados pessoais no site e no serviço Nacra, conforme a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, "LGPD"). Ela complementa os termos de uso.
2. Nosso papel em cada dado
- Dados da sua conta, da lista de espera e do pagamento: o Nacra é o controlador. Somos nós que decidimos como e por que tratá-los, nos termos desta política.
- Dados que estão nos arquivos dos seus clientes (SPED, DCTF, relatórios do e-CAC, certificados digitais): você, ou a empresa para quem você trabalha, é o controlador, e o Nacra é o operador. Tratamos esses dados só para executar o que você pede (diagnóstico, estudo, captura), seguindo suas instruções.
Se um titular dos dados de um cliente seu nos procurar, encaminharemos o pedido a você, que é quem responde por ele, e ajudaremos no que for preciso.
3. Que dados tratamos
- Cadastro: nome, e-mail e senha (guardada só como hash, nunca em texto). Se você entrar com o Google, recebemos o nome, o e-mail e a foto do perfil.
- Perfil e preferências: o seu perfil profissional, como conheceu o Nacra, foto e logotipo do escritório (se enviar) e a data em que aceitou os termos.
- Lista de espera: nome, e-mail, WhatsApp e perfil profissional.
- Pagamento: nome, e-mail, endereço e CPF ou CNPJ informados no checkout, plano, histórico de faturas e o status da assinatura. Os dados do cartão ficam com a Stripe: o Nacra não os vê nem os guarda.
- Uso do serviço: diagnósticos, estudos e capturas feitos, consumo da cota e mensagens trocadas com o suporte.
- Registros técnicos: endereço IP, navegador, data e hora de acesso e registros de erro, gerados pela hospedagem.
- Arquivos dos clientes: os arquivos fiscais que você envia e os dados lidos deles. Eles trazem dados de empresas e podem trazer dados pessoais, como nome e CPF de sócios, contadores e participantes.
- Certificados digitais A1 que você guarda no cofre, cifrados (veja a seção 9).
Não pedimos nem tratamos dados pessoais sensíveis (saúde, religião, biometria e afins).
4. Para que usamos e com que base legal
| Finalidade | Base legal (LGPD, art. 7º) |
|---|---|
| Criar e manter a conta, prestar o serviço, processar os arquivos, cobrar e dar suporte | Execução de contrato (inciso V) |
| Emitir nota fiscal e guardar os registros contábeis e fiscais | Cumprimento de obrigação legal (inciso II) |
| Guardar os registros de acesso pelo prazo do Marco Civil da Internet | Cumprimento de obrigação legal (inciso II) |
| Segurança, prevenção de fraude (inclusive o limite de 1 teste por pessoa) e melhoria do serviço | Legítimo interesse (inciso IX) |
| Avisar sobre o lançamento a quem entrou na lista de espera | Procedimentos preliminares a um contrato, a seu pedido (inciso V) |
| Mandar novidades do Nacra a quem tem conta | Legítimo interesse (inciso IX), com opção de descadastro em cada e-mail |
| Defender o Nacra em processos judiciais ou administrativos | Exercício regular de direitos (inciso VI) |
5. Arquivos dos seus clientes
- Os arquivos são lidos no seu próprio navegador. Os originais e os dados lidos ficam guardados, criptografados, para você reprocessar e subir o que faltou.
- Cada conta só enxerga os próprios diagnósticos: a separação é feita no banco de dados, não só na tela.
- Os originais e os dados lidos são apagados 30 dias depois do diagnóstico, ou antes, se você apagar pelo painel. O resumo e o Excel do resultado ficam na conta para você baixar de novo.
- Para completar o cadastro das empresas, o Nacra consulta dados públicos do CNPJ (razão social, CNAE e opção pelo Simples) em bases abertas como a BrasilAPI e a OpenCNPJ. Só o número do CNPJ é enviado.
- Não usamos os arquivos dos seus clientes para treinar inteligência artificial nem para nenhum fim além do serviço.
6. Com quem compartilhamos
Não vendemos nem alugamos dados pessoais. Para o serviço funcionar, contamos com os fornecedores abaixo, que tratam os dados só para essas finalidades e com obrigações de segurança e sigilo:
| Fornecedor | Para quê | Que dados |
|---|---|---|
| Supabase | Banco de dados, login, armazenamento de arquivos e e-mails de acesso | Conta, uso, arquivos e resultados |
| Vercel | Hospedagem do site e do serviço | Registros técnicos e os dados que passam pelo servidor |
| Stripe | Pagamentos, assinaturas e faturas | Nome, e-mail, endereço, CPF ou CNPJ e dados do cartão |
| Anthropic | Redação com IA dos textos do estudo da reforma, quando você pede | Razão social, UF, CNAE e números agregados do estudo. Nunca os arquivos |
| Login com a conta Google, se você escolher | Nome, e-mail e foto do perfil | |
| SERPRO (Integra Contador) | Consultas e downloads na Receita em nome do contribuinte, quando você usa a captura | CNPJ do contribuinte e o pedido feito |
| BrasilAPI e OpenCNPJ | Consulta de dados públicos do CNPJ | Só o número do CNPJ |
A Anthropic, pelos termos comerciais da API, não usa os dados recebidos para treinar os seus modelos. Também podemos compartilhar dados quando a lei ou uma ordem de autoridade exigir, e com quem vier a suceder o Nacra numa venda ou reorganização da empresa, sempre sob esta política.
7. Transferência internacional
Alguns desses fornecedores guardam ou processam dados fora do Brasil, em especial nos Estados Unidos (como Vercel, Stripe, Anthropic e Google). Essas transferências seguem o art. 33 da LGPD e são feitas com fornecedores que adotam cláusulas contratuais e padrões de proteção compatíveis com os exigidos no Brasil.
8. Por quanto tempo guardamos
| Dado | Prazo |
|---|---|
| Arquivos enviados e dados lidos deles | 30 dias depois do diagnóstico (rascunhos abandonados: 30 dias depois de criados), ou antes, se você apagar |
| Resultado do diagnóstico (resumo e Excel) e estudos da reforma | Enquanto a conta existir, ou até você pedir para apagar |
| Certificados digitais | Até você remover do cofre ou encerrar a conta |
| Conta e perfil | Enquanto a conta existir; apagados em até 30 dias depois do pedido de exclusão |
| Pagamentos e notas fiscais | 5 anos, pelo prazo da legislação fiscal |
| Registros de acesso | 6 meses, como exige o Marco Civil da Internet |
| Lista de espera | Até o lançamento do Nacra, ou até você pedir para sair |
9. Segurança
- Conexão sempre cifrada (HTTPS) e dados criptografados no armazenamento.
- Separação por conta no próprio banco de dados: uma conta não consegue ler os dados de outra.
- Senhas guardadas só como hash. Chaves de acesso e segredos ficam fora do código e só no servidor.
- Cofre de certificados: o arquivo do certificado e a senha são cifrados no seu navegador, antes de sair do computador, com uma chave que só o robô de captura tem. Nem o banco de dados nem a nossa equipe conseguem abri-los pelo painel.
- Acesso interno restrito a quem precisa, para manter e dar suporte ao serviço.
Nenhum sistema é 100% seguro. Se acontecer um incidente que possa trazer risco ou dano relevante, avisaremos os afetados e a Autoridade Nacional de Proteção de Dados (ANPD), como manda o art. 48 da LGPD.
11. Seus direitos
Pela LGPD (arts. 18 e 20), você pode pedir, a qualquer momento:
- a confirmação de que tratamos seus dados e o acesso a eles;
- a correção de dados incompletos, errados ou desatualizados;
- a anonimização, o bloqueio ou a eliminação de dados desnecessários ou tratados em desacordo com a lei;
- a portabilidade dos dados para outro fornecedor;
- a eliminação dos dados tratados com o seu consentimento e a retirada desse consentimento;
- a oposição a um tratamento feito com base no legítimo interesse;
- a informação de com quem compartilhamos os seus dados;
- a revisão de decisões tomadas só por meios automatizados.
Boa parte você resolve no painel (dados do perfil, logotipo, arquivos de um diagnóstico, certificados). Para o resto, escreva para contato@nacra.com.br. Respondemos em até 15 dias. Você também pode reclamar à ANPD.
12. Menores de idade
O Nacra é um serviço profissional, não destinado a menores de 18 anos, e não coleta dados deles de propósito.
13. Mudanças nesta política
Podemos atualizar esta política. Mudanças relevantes serão avisadas por e-mail e no painel antes de valer. A data da versão em vigor fica no topo desta página.
14. Encarregado e contato
O canal do encarregado pelo tratamento de dados pessoais (LGPD, art. 41) é contato@nacra.com.br. Use o mesmo endereço para qualquer pedido ou dúvida sobre privacidade.