Política de Privacidade

Última atualização: 10 de outubro de 2026

O GereNota é uma plataforma de emissão e gestão de Notas Fiscais de Serviço eletrônicas (NFS-e) pelo Sistema Nacional NFS-e (gov.br), acessível por WhatsApp, painel web e API. Esta política explica, em linguagem direta, quais dados tratamos, para quê, com quem compartilhamos e quais são os seus direitos, em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, LGPD).

O controlador dos dados é a HeyData Serviços de Internet Ltda ("HeyData"), inscrita no CNPJ sob o nº 43.594.813/0001-60, com sede na Av. Engenheiro Roberto Freire, 1962, Loja 26, Cond. Seaway Shopping, Capim Macio, Natal/RN, CEP 59082-095, da qual o GereNota é um produto. Nos dados dos tomadores das notas (os clientes das empresas que emitem pelo GereNota), a HeyData atua em nome da empresa emitente, como operadora (seção 2). Contato do encarregado (DPO): faleaqui@gerenota.com.br.

1. Quais dados tratamos

Os dados se dividem em sete categorias. Dentro de cada uma, os exemplos ilustram o que existe hoje; a categoria é o que vale.

• Cadastro da conta e das empresas emissoras: dados de identificação e contato das pessoas que usam a conta e das empresas que emitem por ela, informados por você ou obtidos de fontes oficiais mediante sua instrução. Por exemplo: nome, e-mail, telefone/WhatsApp, CNPJ, inscrição municipal, razão social, endereço e regime tributário.
• Dados cadastrais públicos das empresas e de seus sócios: o que o cadastro do CNPJ da Receita Federal traz sobre uma empresa cadastrada na conta, guardado no cadastro dessa empresa para conferência fiscal e emissão correta. Por exemplo: situação cadastral, atividades econômicas (CNAEs), natureza jurídica, porte, capital social, matriz ou filial, o regime no Simples Nacional e o quadro societário, com o nome, a qualificação, a data de entrada e a faixa etária de cada sócio e o CPF como a própria Receita o publica, mascarado (só os seis dígitos do meio); o sócio menor de idade fica sem nome e sem documento. São dados de registro público, tratados apenas nessa finalidade: os dos sócios aparecem só para quem trabalha na conta, e o CPF mascarado nunca é completado nem cruzado com outros dados. As fontes estão na seção 3.
• Certificado digital A1: o arquivo do certificado e sua senha, armazenados cifrados em cofre (a senha nunca fica em texto claro), usados para assinar e transmitir os documentos fiscais que você instruir e, a seu pedido, entregues a quem você indicar, por um link pessoal (seção 3).
• Quem recebe o certificado a seu pedido: o nome, o CPF, o CRC (se informado) e o e-mail confirmado de quem recebe, o aceite do termo de responsabilidade e o registro de cada entrega (data, hora e IP).
• Conteúdo fiscal: os dados das notas emitidas, consultadas, canceladas ou substituídas por sua instrução, incluindo os dados de identificação, contato e endereço dos tomadores, informados por você, preenchidos pelo próprio tomador por link seguro que você enviar ou obtidos de fontes oficiais: quando você cadastra um cliente e, nos clientes com CNPJ, na atualização mensal do cadastro (seção 2).
• Arquivos que você envia para emitir em lote: as planilhas e os extratos que você manda para o GereNota propor as notas, com os dados dos seus clientes e de quem pagou que estiverem neles. Por exemplo: nome, CPF ou CNPJ, endereço, e-mail, valores, datas e a descrição dos serviços. Servem só para propor as notas do lote.
• Mensagens e registros técnicos: o conteúdo das conversas com o GereNota no WhatsApp e nos canais de suporte; logs de acesso e uso (IP, data/hora, identificadores de requisição), para segurança e auditoria.

2. Para que usamos, e com qual base legal

• Emitir, consultar, cancelar e substituir NFS-e conforme a sua instrução expressa, e conferir os cadastros envolvidos (execução de contrato).
• Ler os arquivos que você envia para emitir em lote e propor uma nota por linha, que só é emitida depois da confirmação de quem pode emitir pela empresa (execução de contrato).
• Entregar o certificado digital A1 da empresa a quem você indicar, a seu pedido, com a identificação de quem recebe, o aceite do termo de responsabilidade e o aviso a você a cada entrega (execução de contrato).
• Manter em dia o cadastro dos seus clientes com CNPJ pelo cadastro público da Receita: a razão social, o nome fantasia e o endereço que vieram de lá, e que ninguém editou, se atualizam sozinhos todo mês, com histórico e desfazer por 30 dias; o que foi digitado ou editado e diverge da Receita vira sugestão, e o e-mail e o telefone que constam na Receita aparecem só como sugestão, nunca mudam sozinhos. A atualização automática é uma preferência da conta: desligada, as mudanças viram sugestões (execução de contrato).
• Identificar as empresas emissoras e conferir o cadastro e o regime delas com os dados públicos do CNPJ e do quadro societário (legítimo interesse, nos termos do art. 7º, § 3º, da LGPD: o uso fica na finalidade que justificou a publicação desses dados).
• Operar automações que você criar, avisos, relatórios e o assistente por mensagens (execução de contrato).
• Cobrança dos planos (faturas, Pix) e comunicações operacionais da conta (execução de contrato e obrigação legal).
• Segurança, prevenção a fraudes e melhoria do serviço, sem perfilamento comercial (legítimo interesse).
• Cumprimento das obrigações legais e fiscais da própria HeyData, como a guarda das notas fiscais da assinatura pelos prazos da lei e a dos registros de acesso por 6 meses (obrigação legal).

Os dados dos tomadores. Nos dados dos clientes das empresas que emitem pelo GereNota, a controladora é a empresa emitente: é ela quem decide emitir cada nota e manter o cadastro dos seus clientes. A HeyData trata esses dados em nome da emitente, como operadora, e só para isso. As bases legais são as da emitente: o cumprimento da obrigação de emitir a nota fiscal e de identificar o tomador quando a lei exige (LGPD, art. 7º, II) e o contrato dela com o tomador (art. 7º, V). A guarda dessas notas pelos prazos da lei também é da emitente (seção 4).

Não vendemos seus dados. O conteúdo fiscal e os dados de cadastro não são reaproveitados para publicidade nem para finalidades alheias à operação do serviço.

3. Com quem compartilhamos

• Sistema Nacional NFS-e (gov.br): transmissão dos documentos fiscais; é a finalidade do serviço.
• Fontes oficiais de cadastro: o cadastro aberto do CNPJ da Receita Federal (Dados Abertos do CNPJ), que a HeyData mantém num banco de dados próprio, o GereCNPJ; como a Receita o publica uma vez por mês, ele pode estar até cerca de cinco semanas atrás do cadastro do dia. A Receita Federal em tempo real, via SERPRO, quando você cadastra ou emite e o dado precisa ser do dia (o CNPJ que ainda não está no cadastro do mês e o CPF) e para confirmar a situação de uma empresa antes de parar a emissão dela. E serviços públicos de endereço (hoje, ViaCEP).
• Operadores de infraestrutura sob contrato, por função: hospedagem e armazenamento em nuvem (hoje, AWS), banco de dados (hoje, MongoDB Atlas), canal de mensagens (Meta/WhatsApp), e-mail transacional e pagamento (Pix). Eles processam os dados só para prestar o serviço contratado.
• Provedores de modelos de inteligência artificial sob contrato: para interpretar as mensagens que você envia ao assistente, melhorar a busca dos seus documentos e aprender a ler um formato novo de arquivo enviado para emitir em lote, trechos das conversas e dos cadastros são processados por provedores de modelos de IA (hoje, Anthropic e OpenRouter). Para aprender um formato, o provedor (hoje, a Anthropic) recebe só uma amostra do arquivo, com os nomes, os documentos, os e-mails, os telefones e os endereços trocados por dados falsos; quem lê o arquivo inteiro são os sistemas do GereNota. A amostra é preparada pela plataforma do GereNota e enviada ao provedor a partir de servidores da própria HeyData, no Brasil. Esses provedores atuam como operadores: não usam seus dados para treinar modelos nem para outra finalidade própria. Os dados dos sócios das empresas não são enviados a eles.
• Quem você indicar para receber o certificado digital: o arquivo e a senha, só a seu pedido, para a pessoa que confirmar o e-mail que você informou e aceitar o termo de responsabilidade.
• Autoridades públicas, quando houver obrigação legal ou ordem de autoridade competente.

Alguns desses operadores processam dados fora do Brasil (Estados Unidos e União Europeia). Essa transferência internacional segue o art. 33 da LGPD, amparada em cláusulas contratuais que asseguram grau de proteção equivalente ao desta política.

4. Segurança e retenção

Usamos criptografia em trânsito (TLS/mTLS) e em repouso, segregação por conta (multi-tenant), custódia cifrada de certificados com chaves gerenciadas (KMS) e controle de acesso restrito. Os documentos fiscais (os XMLs, os PDFs e os eventos das notas) ficam guardados enquanto a conta existir. A guarda deles pelos prazos da lei é do emitente: ao pedir o encerramento da conta, você recebe a exportação completa e tem 7 dias para baixá-la ou desistir. Os dados de cadastro, inclusive os públicos obtidos da Receita Federal, ficam enquanto a empresa existir na conta; os demais dados da conta, enquanto a conta existir, e podem ser eliminados a pedido. O arquivo que você envia para emitir em lote fica guardado até o lote terminar, por no máximo 7 dias, e então é apagado; ficam as notas emitidas e a ligação de cada nota com a linha do arquivo de onde ela saiu. O formato aprendido guarda só a estrutura do arquivo (os nomes das colunas e as regras de leitura), sem dado de cliente. Os registros de acesso (data, hora e IP das entradas no painel, do uso das chaves de API e de cada entrega do certificado, com quem recebeu e o aceite) ficam 6 meses, como pede o Marco Civil da Internet (Lei 12.965/2014, art. 15), e depois são apagados. Ao apagar a conta, tudo sai junto, menos os registros de acesso, que completam os 6 meses, e as notas fiscais da assinatura, que são da HeyData. Os arquivos apagados saem das cópias de segurança do armazenamento em até 30 dias.

5. Seus direitos (LGPD)

Você pode solicitar a qualquer momento: confirmação de tratamento, acesso, correção, portabilidade, anonimização, informação sobre compartilhamentos e eliminação dos dados pessoais, além de revogar consentimentos. É só escrever para faleaqui@gerenota.com.br; respondemos nos prazos da lei. Tomadores e sócios que aparecem nos cadastros de uma conta, mesmo sem serem usuários, têm os mesmos direitos pelo mesmo canal. Quem aparece no cadastro público do CNPJ, como sócio ou como contato de uma empresa, pode pedir que os seus dados saiam do GereNota: retiramos a linha da pessoa de todas as contas e cuidamos para que a atualização mensal não a traga de volta. Quando o pedido é sobre o cadastro de um cliente de uma conta, avisamos também a empresa emitente, que é a controladora desses dados.

6. Cookies

Este site institucional não usa cookies de rastreamento ou publicidade. O painel web usa apenas o armazenamento local necessário para manter a sua sessão autenticada.

7. Alterações

Esta política pode ser atualizada para refletir evoluções do produto ou da legislação. A versão vigente estará sempre nesta página, com a data de atualização no topo. Consideramos mudança relevante, comunicada pelos canais da conta: uma categoria nova de dados, uma finalidade nova ou a troca de um operador principal. Novos exemplos dentro das categorias e funções já descritas não alteram a versão.