Política de privacidade

1. Quem somos e como falar conosco

A NormaFacilit é o serviço descrito nesta política e atua como controladora dos dados pessoais tratados aqui, nos termos da Lei nº 13.709/2018 (LGPD). O serviço é operado no Brasil e sujeito à legislação brasileira.

Para exercer seus direitos, tirar dúvidas sobre esta política ou falar com a controladora sobre qualquer assunto de dados pessoais, escreva para contato@normafacilit.com.br. Respondemos em até 15 dias corridos.

Os dados completos de identificação da controladora podem ser solicitados por esse mesmo e-mail — inclusive para reclamação formal, demanda judicial ou requisição de órgão de defesa do consumidor ou da ANPD.

Este é o canal de comunicação para assuntos de proteção de dados previsto no Art. 41 da LGPD e na Resolução CD/ANPD nº 2/2022, que dispensa agentes de tratamento de pequeno porte de indicar formalmente um encarregado, desde que disponibilizem um canal como este.

2. Que dados coletamos

• Dados de conta: nome de usuário, e-mail e senha. A senha nunca é guardada em texto puro — apenas o seu hash criptográfico.
• Identificador de visitante: um cookie chamado sid, criado mesmo sem login, contendo apenas um número aleatório (UUID), usado para controlar o limite diário de análises gratuitas.
• Registros de uso: data e hora de cada análise realizada, associada à sua conta ou ao seu identificador de visitante — nunca ao conteúdo do documento.
• Endereço IP: processado de forma transitória para aplicar limites de requisições e proteger o serviço contra abuso e ataques automatizados. Não mantemos histórico de navegação associado ao seu IP.
• Dados de assinatura: se você contratar o plano pago, guardamos identificadores da Stripe (cliente, assinatura e fatura), valor, moeda, situação do pagamento e links das faturas. Nunca recebemos nem armazenamos o número do seu cartão — ele vai direto para a Stripe.

3. O que NÃO coletamos

O conteúdo do arquivo — texto, formatação, imagens — existe apenas durante o processamento da sua requisição. Ao final da análise, o arquivo é descartado e não sobra nenhuma cópia em nossos sistemas. Ele não é usado para treinar modelos de inteligência artificial, não é compartilhado e não é publicado.

Também não fazemos leitura de impressão digital do seu navegador ou dispositivo (fontes instaladas, canvas, hardware) para identificá-lo, não usamos cookies de publicidade e não rastreamos sua navegação em outros sites. Usamos Google Analytics para medir audiência, mas apenas se você aceitar — ver a seção 5.

4. Por que coletamos e com que base legal

Cada dado que tratamos tem uma finalidade e uma base legal prevista no Art. 7º da LGPD:

Quando tratamos dados com base em legítimo interesse, avaliamos que a finalidade é específica, necessária e proporcional, e que não prevalece sobre seus direitos e liberdades fundamentais. Você pode se opor a esse tratamento pelo e-mail de contato (Art. 18, § 2º).

5. Cookies e armazenamento local

Usamos três cookies estritamente necessários ao funcionamento do serviço, e — mediante o seu consentimento — os cookies de audiência do Google Analytics. Nenhum cookie de publicidade. Os detalhes completos, incluindo o painel para aceitar ou revogar a análise, estão na Política de Cookies. Em resumo, os essenciais:

Histórico de análises no seu navegador: os relatórios que você gera ficam salvos no localStorage do seu próprio navegador (até 20 mais recentes), para alimentar o histórico do painel. Esses dados não são enviados nem armazenados nos nossos servidores — ficam só no seu dispositivo, e você pode apagá-los limpando os dados do site no navegador.

6. Por quanto tempo guardamos

• Documento enviado: não guardamos — é descartado ao final do processamento (seção 3).
• Registros de uso (data/hora das análises): 48 horas, depois apagados automaticamente.
• O identificador sid (o cookie em si, diferente dos registros associados a ele): até 400 dias no seu navegador. Ou seja, os registros de uso que ele gerou somem em 48 horas, mas o identificador pode permanecer até expirar ou você apagá-lo.
• Tokens de sessão: accessToken por 15 minutos. O refreshToken deixa de valer imediatamente ao encerrar a sessão; o registro correspondente no banco é apagado quando expira, em até 30 dias após a emissão.
• Dados da conta (nome, e-mail, senha com hash): enquanto a conta existir. Ao excluí-la em Configurações, os dados são apagados.
• Registros de pagamento: mantidos por 5 anos após a transação, mesmo que a conta seja excluída, por obrigação fiscal e contábil (LGPD Art. 16, I). É a única categoria que sobrevive à exclusão da conta.

7. Com quem compartilhamos

Não vendemos dados pessoais e não os compartilhamos para fins de publicidade. Contamos com os seguintes operadores para funcionar:

Também podemos compartilhar dados quando houver obrigação legal, ordem judicial ou requisição de autoridade competente, e para o exercício regular de direitos.

Transferência internacional de dados

Stripe e Google são empresas com sede fora do Brasil e mantêm infraestrutura no exterior; o banco de dados hospedado no Supabase fica na região de São Paulo, mas o Supabase é empresa estrangeira e pode acessar a infraestrutura de fora do país. Isso caracteriza transferência internacional de dados (LGPD Art. 33).

Essas transferências ocorrem com base nas cláusulas contratuais padrão de proteção de dados oferecidas por esses fornecedores, que preveem garantias equivalentes às exigidas pela LGPD, e são necessárias para a execução do contrato firmado com você (Art. 33, incisos II, "a", e IX).

8. Segurança dos dados

Adotamos medidas técnicas e administrativas para proteger seus dados (LGPD Art. 46), entre elas:

• senhas armazenadas apenas como hash criptográfico;
• tokens de sessão em cookies httpOnly, inacessíveis a scripts do navegador, transmitidos por conexão cifrada (HTTPS);
• rotação de tokens de sessão, com detecção de reuso que encerra todas as sessões diante de indício de roubo de credencial;
• acesso ao banco de dados restrito e bloqueado a acessos públicos externos;
• limites de requisições por IP contra ataques de força bruta.

Nenhum sistema é totalmente imune. Em caso de incidente de segurança com risco relevante aos seus direitos, comunicaremos você e a ANPD, conforme o Art. 48 da LGPD.

9. Seus direitos (LGPD Art. 18)

Como titular, você tem direito a: confirmação da existência de tratamento; acesso aos dados; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade; portabilidade; eliminação dos dados tratados com consentimento; informação sobre com quem compartilhamos seus dados; informação sobre a possibilidade de não consentir e suas consequências; e revogação do consentimento. Veja como exercer:

• Acesso e portabilidade: em Configurações, o botão "Baixar meus dados" gera um arquivo JSON com os dados da sua conta.
• Eliminação: em Configurações, o botão "Apagar minha conta" remove sua conta e encerra todas as sessões, de forma permanente — ressalvados os registros fiscais citados na seção 6.
• Correção, oposição, confirmação ou qualquer outro pedido: escreva para contato@normafacilit.com.br.
• Se você não tem conta: o identificador de visitante (sid) não passa pela exportação de Configurações, que exige login. Para saber ou apagar os dados associados a ele, escreva para o e-mail acima informando o valor do cookie.

Atendemos pedidos em até 15 dias. Você também pode peticionar diretamente à Autoridade Nacional de Proteção de Dados (ANPD) se entender que seus direitos não foram respeitados (Art. 18, § 1º).

10. Crianças e adolescentes

O serviço é destinado a maiores de 18 anos. Menores de 18 anos só devem utilizá-lo com o consentimento e sob supervisão de pais ou responsável legal, na forma do Art. 14 da LGPD. Não coletamos intencionalmente dados de crianças. Se identificarmos — ou se um responsável nos comunicar — que houve cadastro de menor sem a devida autorização, apagaremos os dados. Fale conosco em contato@normafacilit.com.br.

11. Alterações desta política

Esta política pode ser atualizada para refletir mudanças no serviço ou na legislação. A data no topo desta página sempre indica a versão vigente. Mudanças materiais — que ampliem o que coletamos, as finalidades ou com quem compartilhamos — serão comunicadas por e-mail ou por aviso no painel antes de entrarem em vigor.