Política de Privacidade

Última atualização: 29/07/2026

Esta política explica quais dados o AceleraAPI trata, para quê, com quem compartilha e por quanto tempo guarda. Ela vale para o site aceleraapi.com.br, para a API em /api/v1, para o painel do desenvolvedor e para o servidor MCP.

1. Quem é o responsável

Controlador	SOLUCOES QRCODE INOVA SIMPLES (I.S.) — CNPJ 53.953.015/0001-30
Encarregado (DPO)	[email protected]

2. Dois papéis diferentes, e a distinção importa

A LGPD separa quem decide o tratamento (controlador) de quem executa por conta de outro (operador). O AceleraAPI ocupa os dois papéis, em momentos distintos:

Somos controlador	Dos dados de quem cria conta: nome, e-mail, senha (hash), CNPJ da própria empresa, registros de acesso, chamados de suporte, pagamentos e consumo. Decidimos como esses dados são usados para operar o serviço.
Somos operador	Do conteúdo que você envia pela API para emitir documento: dados do emitente e do destinatário (inclusive CPF/CNPJ de pessoa física), itens, valores, endereços, condutor de MDF-e, tomador de serviço. Quem decide esse tratamento é você — nós processamos conforme a sua instrução (a requisição) e não usamos esse conteúdo para outra finalidade.

Consequência prática: se um destinatário de nota pedir exclusão de dados diretamente a nós, encaminhamos o pedido a você, porque a decisão é sua — e a legislação fiscal normalmente impede a exclusão antes do prazo de guarda.

3. O que tratamos, e por quê

3.1 Conta e acesso

Cadastro: nome, e-mail, senha (armazenada como hash, nunca em texto), CNPJ e razão social.
Chaves de API: as chaves aca_ e os tokens ace_ ficam gravados como hash — nós não conseguimos exibir seu token novamente, apenas gerar outro.
Registro de requisição: data, produto, rota, código de status, tempo de resposta e a empresa vinculada. É o que sustenta a medição de consumo e a investigação de erro.
Base legal: execução de contrato (art. 7º, V) e, para a medição e a segurança, legítimo interesse (art. 7º, IX).

3.2 Certificado digital A1

O certificado que você (ou seu cliente) envia fica fora da raiz web, em diretório bloqueado no servidor, com a senha cifrada. Ele é usado exclusivamente para assinar os documentos daquele CNPJ, no momento da emissão. Não é lido por pessoa alguma, não é copiado para outro ambiente e é apagado quando você remove a empresa ou solicita a exclusão.

3.3 Conteúdo dos documentos fiscais

XML, PDF (DANFE/DANFCE/DANFSe) e os dados da nota são guardados porque a legislação exige guarda de documento fiscal eletrônico — e porque você precisa baixá-los depois. Inclui CPF/CNPJ, nome e endereço de destinatário, que são dados pessoais de terceiro sob a sua responsabilidade.

3.4 Consultas de terceiros

Consulta CNPJ: o CNPJ consultado e o retorno público da Receita Federal ficam em cache, para não repetir a consulta e não cobrar duas vezes pela mesma informação.
WhatsApp: número de destino, conteúdo enviado e status de entrega. Mensagens recebidas passam pelo nosso webhook e são repassadas ao endereço que você configurou.

3.5 Site e navegação

Cookie de sessão (essencial) — mantém você logado no painel.
Cookie de atribuição de cupom (30 dias) — quando você chega por um link com ?cupom=, registramos a origem para calcular a comissão de quem indicou. Não identifica você para terceiros.
Registro de servidor — IP, user-agent, data e URL, mantidos para segurança e por obrigação do Marco Civil da Internet.
Fontes do Google. As páginas carregam a tipografia de fonts.googleapis.com, o que faz o seu navegador enviar o IP ao Google. Não usamos isso para nada e pretendemos passar a servir as fontes do nosso próprio domínio para eliminar essa transferência.

Não usamos Google Analytics, pixel de rede social, mapa de calor nem ferramenta de rastreamento publicitário.

4. Com quem compartilhamos

Só com quem é necessário para o serviço funcionar. A lista nominal, com finalidade e localização de cada um, é enviada sob pedido para [email protected] — útil em processo de compliance ou para anexar a um DPA. Em resumo:

Administrações tributárias — SEFAZ estaduais, SEFIN Nacional (NFS-e) e Receita Federal. É o destino final do documento; sem isso não existe emissão.
Sistemas do nosso grupo que executam parte do processamento (motor de emissão, classificação fiscal, gateway de WhatsApp), na mesma infraestrutura e sob o mesmo controlador.
Instituição financeira — Sicoob, para cobrança via PIX.
Autoridade pública, quando houver requisição legal formal.

Nunca vendemos dado e não compartilhamos para publicidade.

5. Por quanto tempo guardamos

Dado	Prazo	Motivo
XML e PDF de documento fiscal	5 anos	Prazo de guarda fiscal
Registro de requisição (medição)	5 anos	Comprovação de cobrança
Certificado A1	Até a remoção da empresa ou o vencimento	Não há razão para manter depois
Cache de consulta CNPJ	30 dias	Evitar reconsulta; dado é público
Registro de acesso (IP)	6 meses	Marco Civil da Internet, art. 15
Dados de cadastro	Enquanto a conta existir + 5 anos	Prazo prescricional e obrigação fiscal
Cookie de atribuição de cupom	30 dias	Cálculo de comissão

6. Segurança

HTTPS obrigatório em todo o site e em toda a API.
Senha guardada como hash; token de API guardado como hash.
Senha de certificado cifrada; diretório de certificados bloqueado no servidor web.
Consultas ao banco por prepared statement, contra injeção de SQL.
Limite de requisições por chave, contra abuso e vazamento por força bruta.
Webhook de WhatsApp assinado com HMAC, para você validar a origem.
Áreas privadas bloqueadas para indexação de buscador.

Nenhuma medida elimina risco por completo. Se ocorrer incidente com risco relevante aos titulares, comunicamos os afetados e a ANPD, conforme o art. 48 da LGPD, e publicamos o histórico em /status.

7. Seus direitos

Confirmação de tratamento, acesso, correção, anonimização, portabilidade, eliminação, informação sobre compartilhamento e revogação de consentimento. Como exercer, prazos e o que pode ser recusado por obrigação legal: veja LGPD e seus direitos. Pedidos pelo endereço do encarregado, [email protected].

8. Transferência internacional

A infraestrutura principal e o banco de dados ficam no Brasil. Há transferência internacional pontual no carregamento das fontes do Google. Não transferimos conteúdo de documento fiscal para fora do país.

9. Menores de idade

O serviço é destinado a empresas e profissionais. Não criamos conta para menor de 18 anos e não coletamos dado de criança ou adolescente de forma intencional.

10. Mudanças nesta política

Alteração relevante é comunicada por e-mail à conta cadastrada e avisada no painel, com no mínimo 30 dias de antecedência. A data no topo desta página sempre indica a versão vigente.