Política de Privacidade

1. Quem é responsável pelos dados

1.1. A Zyran pode atuar em dois papéis diferentes, conforme a atividade de tratamento.

• Como Controladora, quando decide por que e como tratar dados necessários à administração do jaFatura, como cadastro da conta, usuários, autenticação, faturamento, suporte, segurança, prevenção a fraude e cumprimento de obrigações próprias.
• Como Operadora, quando trata dados que um cliente empresarial insere no jaFatura para emitir ou administrar NFS-e em nome dele. Nessa situação, o cliente é o Controlador e define a finalidade do tratamento.

1.2. Quando você é tomador de um serviço e seus dados aparecem em uma NFS-e emitida por um cliente do jaFatura, dúvidas sobre a origem, finalidade fiscal ou correção desses dados devem, em regra, ser dirigidas ao próprio prestador do serviço, que atua como Controlador.

2. Quais dados podemos tratar

3. Para que usamos os dados

• Criar e administrar contas empresariais e usuários autorizados.
• Emitir, transmitir, consultar, cancelar, substituir e armazenar NFS-e conforme instruções do cliente.
• Utilizar certificado digital A1, quando fornecido e autorizado pelo cliente, para executar operações fiscais configuradas.
• Enviar comunicações operacionais, como confirmação de emissão, rejeição ou indisponibilidade de serviço.
• Prestar suporte, diagnosticar falhas e manter a plataforma funcionando.
• Cobrar assinaturas e administrar a relação contratual.
• Proteger contas, detectar abuso, fraude e incidentes de segurança.
• Cumprir obrigações legais, regulatórias, fiscais e exercer direitos em processos administrativos ou judiciais.

4. Bases legais

4.1. Conforme o contexto, o tratamento poderá se apoiar na execução de contrato e procedimentos preliminares, cumprimento de obrigação legal ou regulatória, exercício regular de direitos, legítimo interesse, proteção do crédito e outras hipóteses previstas na LGPD.

4.2. Quando a Zyran atua como Operadora, a definição da base legal aplicável ao tratamento principal cabe ao cliente Controlador. A Zyran executa o tratamento segundo as instruções desse cliente e o DPA aplicável.

4.3. Não tratamos consentimento como base automática para toda atividade. Quando o consentimento for efetivamente necessário, ele será solicitado de forma específica e poderá ser revogado nos termos da lei.

5. Certificado digital A1

5.1. Alguns clientes podem optar por armazenar no jaFatura um certificado digital A1 (e-CNPJ) e a credencial necessária ao seu uso. Esses elementos são tratados como ativos de segurança críticos.

5.2. O certificado e sua credencial são armazenados de forma criptografada e utilizados somente para operações fiscais autorizadas pelo cliente. Não devem ser expostos em logs ou usados para finalidade estranha ao serviço contratado.

5.3. O cliente é responsável pela validade, poderes, renovação e revogação do certificado fornecido.

6. Com quem podemos compartilhar dados

6.1. Usamos fornecedores especializados para viabilizar infraestrutura, autenticação, comunicações, pagamentos, observabilidade e outras funções técnicas. A lista atual está disponível em /sub-processadores.

6.2. Podemos compartilhar dados com Receita Federal, Emissor Nacional, prefeituras e demais autoridades fiscais quando necessário à emissão de documentos fiscais ou ao cumprimento de obrigações legais. Esses órgãos não atuam como suboperadores contratados pela Zyran; tratam os dados no exercício de suas próprias competências legais.

6.3. Também poderemos compartilhar dados com autoridades públicas, assessores, auditores ou terceiros quando necessário para cumprir a lei, exercer direitos, proteger a segurança do serviço ou viabilizar operações societárias legítimas, observadas as salvaguardas aplicáveis.

7. Transferências internacionais

7.1. Alguns fornecedores podem tratar dados ou permitir acesso a partir de outros países, inclusive Estados Unidos. Atualmente, os fluxos podem envolver, entre outros, Azure Communication Services, WorkOS e Stripe, conforme a configuração do serviço e a lista pública de suboperadores.

7.2. Quando houver transferência internacional de Dados Pessoais, adotaremos hipótese legal e mecanismo válido previstos na LGPD e na regulamentação da ANPD, como cláusulas-padrão contratuais, decisão de adequação ou outro mecanismo aplicável.

7.3. As transferências são limitadas ao necessário para as finalidades descritas nesta Política e sujeitas a medidas contratuais, organizacionais e técnicas de proteção.

8. Segurança

8.1. Adotamos medidas técnicas e administrativas destinadas a proteger Dados Pessoais contra acesso não autorizado, perda, destruição, alteração, divulgação ou uso indevido:

• criptografia em trânsito e, quando aplicável, em repouso;
• controle de acesso por perfil e princípio do menor privilégio;
• isolamento lógico dos dados por cliente;
• rede privada ou controles equivalentes para componentes críticos;
• trilha de auditoria, logs e monitoramento;
• proteção reforçada de certificados digitais e credenciais;
• procedimentos de backup, continuidade e resposta a incidentes.

8.2. Nenhum sistema é absolutamente imune a riscos. Se ocorrer incidente relevante, adotaremos medidas de contenção, investigação e comunicação conforme a legislação e as responsabilidades de cada agente de tratamento.

9. Por quanto tempo guardamos os dados

9.1. Mantemos dados enquanto forem necessários às finalidades descritas, à prestação do serviço, ao cumprimento de obrigações legais ou ao exercício regular de direitos.

9.2. Documentos fiscais e registros correlatos poderão ser conservados pelo prazo exigido pela legislação tributária. Como referência operacional mínima, poderemos mantê-los por 5 (cinco) anos, sem prejuízo de prazo superior quando necessário até a prescrição de créditos tributários ou por determinação do ente competente.

9.3. Após o encerramento da conta, dados não sujeitos a retenção legal serão eliminados ou anonimizados em prazo razoável, considerando ciclos de backup e requisitos técnicos de segurança.

10. Direitos dos titulares

10.1. Nos termos da LGPD, o titular pode solicitar, conforme aplicável, confirmação de tratamento, acesso, correção, anonimização, bloqueio, eliminação, informação sobre compartilhamento, portabilidade, revisão de decisões automatizadas e demais direitos previstos em lei.

10.2. Quando a Zyran atuar como Operadora, poderemos encaminhar a solicitação ao cliente Controlador responsável pelos dados. Quando atuarmos como Controladora, responderemos diretamente de acordo com a legislação.

No portal, o exportar e o excluir a conta estão em Configurações. Para os demais pedidos, escreva para contato@zyran.com.br.

11. Cookies e tecnologias semelhantes

11.1. O jaFatura pode utilizar cookies e tecnologias semelhantes estritamente necessários à autenticação, segurança, sessão e funcionamento do serviço. Outros usos, se implementados, serão informados e gerenciados de acordo com a legislação aplicável.

12. Crianças e adolescentes

12.1. O jaFatura é um serviço empresarial e não é dirigido a crianças ou adolescentes. Dados desses titulares somente devem ser inseridos quando necessários à finalidade fiscal legítima do cliente e tratados conforme a legislação aplicável.

13. Atualizações desta Política

13.1. Podemos atualizar esta Política para refletir mudanças legais, regulatórias, tecnológicas ou operacionais. A versão vigente permanecerá publicada no ambiente do jaFatura, com indicação de data e versão. Mudanças materiais poderão ser comunicadas pelos canais disponíveis.

14. Encarregado e canal de privacidade

Encarregado pelo Tratamento de Dados Pessoais: Lucas Tadeu Prado Rodrigues
Contato: contato@zyran.com.br

A identidade e o contato do Encarregado são divulgados para facilitar o exercício de direitos e a comunicação com titulares e com a Autoridade Nacional de Proteção de Dados. CPF, RG, endereço residencial e outros dados pessoais do Encarregado não são publicados.