Audite AI
Política de Privacidade
Versão de 15/10/2026. [A PREENCHER: revisão do advogado e data de início da vigência]
Esta política explica quais dados pessoais o Audite AI trata, para quê, com quem eles são compartilhados, por quanto tempo ficam guardados e como você exerce os seus direitos previstos na Lei Geral de Proteção de Dados (Lei 13.709/2018, LGPD).
1. Quem somos
O Audite AI é um sistema de auditoria fiscal de NF-e e NFS-e para escritórios contábeis, disponível em auditeai.com.br.
- Responsável
- [A PREENCHER: razão social, CNPJ e endereço]
- Encarregado pelo tratamento de dados (DPO)
- [A PREENCHER: nome do encarregado e e-mail de contato]
2. Os dois papéis do Audite AI
A LGPD distingue quem decide sobre os dados (controlador) de quem os trata em nome de outro (operador). O Audite AI ocupa os dois papéis, conforme o dado:
- Controlador dos dados das contas: quem usa o sistema, o escritório cadastrado e os registros de acesso e de segurança.
- Operador dos dados que o escritório envia para auditar: notas fiscais, relatórios de lançamentos e as informações dos clientes do escritório. Quem decide sobre esses dados é o escritório (o controlador). O Audite AI os trata apenas para prestar o serviço que o escritório contratou. Se você é cliente de um escritório e quer exercer um direito sobre esses dados, procure o escritório; o Audite AI ajuda o escritório a atender o pedido.
3. Quais dados tratamos
Conta e escritório
- Nome e e-mail de quem usa o sistema, e o papel na conta (titular ou membro).
- Nome e CNPJ do escritório.
- Senha: nunca é guardada como foi digitada, só um resumo irreversível (bcrypt) que permite conferir a senha sem conhecê-la.
Entrada com a conta Google
Se você escolher entrar com o Google, recebemos dele apenas o identificador da sua conta Google, o seu e-mail (e se ele foi confirmado pelo Google) e o seu nome. Pedimos só as permissões básicas de identificação (openid, email e profile). O Audite AI não tem acesso ao seu Gmail, Drive, contatos, agenda nem a qualquer outro dado da sua conta Google, e não recebe a sua senha do Google.
Acesso e segurança
- Endereço IP, navegador utilizado (user agent), data e hora de cada entrada e saída, e as sessões abertas.
- Trilha de atividades: quem fez cada alteração, quando, de qual endereço IP e navegador, e o que mudou. Também registra os relatórios emitidos.
Dados enviados pelo escritório para auditoria
- Arquivos XML de NF-e e NFS-e, com os dados que as notas trazem: CNPJ, nome e endereço de emitentes e destinatários e, quando o destinatário é pessoa física, o CPF dele.
- Relatórios de lançamentos, cancelamentos, situação das pendências, percentuais de FECOP e o histórico das auditorias.
- Cadastro dos clientes do escritório: CNPJ, razão social, ramo e regime tributário.
- Token de acesso ao provedor de documentos (Focus NFe, PlugNotas ou eNotas), se o escritório configurar um. Ele fica cifrado e nunca é mostrado de volta.
Os cálculos fiscais e os relatórios em PDF e Excel são produzidos no seu próprio navegador, a partir desses dados.
O Audite AI não usa dados pessoais para publicidade, não traça perfil de quem usa o sistema e não toma decisões automatizadas sobre pessoas.
4. Para que usamos e com qual base legal
| Finalidade | Dados | Base legal (LGPD) |
|---|---|---|
| Criar e manter a conta, permitir a entrada e prestar o serviço | Conta, escritório, dados do Google | Execução de contrato (art. 7º, V) |
| Proteger as contas contra acesso indevido e investigar incidentes | Acesso e segurança | Legítimo interesse (art. 7º, IX) |
| Manter a trilha de quem fez o quê, inclusive para defesa em processo | Trilha de atividades | Exercício regular de direitos (art. 7º, VI) e legítimo interesse (art. 7º, IX) |
| Auditar as notas do escritório | Dados enviados pelo escritório | Tratados como operador, conforme as instruções do escritório, que define a base legal |
[A PREENCHER: confirmação das bases legais pelo advogado]
5. Com quem compartilhamos
O Audite AI não vende nem aluga dados pessoais. Eles chegam apenas aos fornecedores necessários para o serviço funcionar:
| Fornecedor | Para quê | O que recebe |
|---|---|---|
| Hostinger (servidor em São Paulo, Brasil) | Onde o sistema e o banco de dados funcionam | Todos os dados guardados no sistema |
| Cloudflare (R2) | Cópia de segurança fora do servidor | O banco de dados cifrado. A chave para abri-lo não fica com a Cloudflare nem no servidor. |
| Entrada com a conta Google, quando você a escolhe | O pedido de entrada; o Google devolve os dados descritos na seção 3 | |
| BrasilAPI (brasilapi.com.br) e Minha Receita (minhareceita.org) | Preencher a razão social ao cadastrar um cliente | O CNPJ consultado e o seu endereço IP. A consulta parte do seu navegador. |
| Focus NFe (focusnfe.com.br), PlugNotas (plugnotas.com.br) ou eNotas (enotasgw.com.br) | Buscar as notas do cliente, só se o escritório configurar um deles | O token do escritório naquele provedor e o CNPJ consultado |
Os serviços que vigiam se o sistema está no ar e os que enviam os alertas à equipe técnica não recebem dados de quem usa o sistema.
Dados também podem ser entregues a autoridades quando houver obrigação legal ou ordem judicial.
6. Transferência para fora do Brasil
O sistema e o banco de dados ficam no Brasil. Google e Cloudflare podem tratar dados em servidores fora do Brasil. Essas transferências se apoiam no art. 33 da LGPD. [A PREENCHER: mecanismo de transferência (cláusulas-padrão da ANPD ou outro) e região da cópia de segurança no R2, confirmados pelo advogado]
7. Por quanto tempo guardamos
- Conta e dados do escritório: enquanto a conta existir. O titular pode excluir o escritório a qualquer momento, na aba Configuração. A exclusão apaga do banco, na hora, as contas, os clientes, as notas e todos os demais dados do escritório.
- Cópias de segurança: são diárias e cada uma é apagada depois de 14 dias. Um dado excluído some das cópias em até 14 dias.
- Sessões: a sessão expira 30 dias depois da entrada, ou antes, quando você sai do sistema. O registro da sessão, com o endereço IP e o navegador, é apagado no dia seguinte ao seu fim.
- Trilha de atividades e registros de acesso: guardados por 6 meses (180 dias), prazo que atende a guarda dos registros de acesso exigida pelo Marco Civil da Internet (Lei 12.965/2014, art. 15). A trilha continua guardada mesmo depois da exclusão do escritório, para que seja possível apurar incidentes e comprovar o que foi feito, e é apagada automaticamente quando completa 180 dias.
8. Como protegemos
- Conexão sempre cifrada (HTTPS).
- Senhas guardadas só como resumo irreversível, com limite de tentativas de entrada.
- Separação por escritório: cada consulta ao banco só alcança os dados do escritório de quem está conectado.
- Tokens dos provedores de documentos guardados cifrados.
- O sistema acessa o banco com permissões mínimas e não consegue apagar nem alterar a trilha de atividades.
- Cópias de segurança cifradas, com a chave de abertura guardada fora do servidor.
- Proteções nas telas contra a execução de código vindo de arquivos enviados.
Se ocorrer um incidente de segurança com risco ou dano relevante aos titulares, avisaremos os escritórios afetados e a Autoridade Nacional de Proteção de Dados (ANPD), como determina o art. 48 da LGPD.
10. Seus direitos e como exercê-los
Pelo art. 18 da LGPD, você pode pedir:
- confirmação de que tratamos dados seus e acesso a eles;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desacordo com a lei;
- portabilidade dos dados;
- informação sobre com quem os dados foram compartilhados;
- revisão do tratamento baseado em legítimo interesse (oposição).
Faça o pedido pelo e-mail do encarregado: [A PREENCHER: e-mail do encarregado]. Responderemos em até 15 dias. Se o pedido for sobre dados que um escritório enviou (seção 2), o encaminharemos ao escritório responsável.
Você também pode reclamar à ANPD em gov.br/anpd.
11. Alterações desta política
Quando esta política mudar, a nova versão será publicada nesta página com a data atualizada. Se a mudança for relevante, os titulares das contas serão avisados antes de ela valer.