Política de Privacidade

1. Quem é o responsável

O controlador dos dados pessoais tratados no Vigia CNPJ é B20.

O encarregado pelo tratamento de dados pessoais (DPO) atende em [email protected].

Em relação à carteira de CNPJs que você cadastra, a situação é diferente: você decide quais empresas acompanhar e por quê, então você é o controlador desses dados e nós somos o operador (seção 4).

2. A quem esta Política se aplica

• Usuários: quem cria uma conta e usa o painel, o aplicativo instalável ou a API.
• Pagadores: quem paga um plano, quando é pessoa diferente do usuário.
• Titulares nas empresas vigiadas: pessoas cujo nome aparece nos dados públicos de um CNPJ cadastrado (por exemplo, o titular de um MEI ou de um empresário individual).
• Equipe: pessoas da nossa equipe que usam a área administrativa, cujas ações ficam registradas.

3. Quais dados tratamos, por quê e com que base legal

Só pedimos o que o serviço precisa. Não pedimos senha (a entrada é por código no e-mail), não recebemos dados de cartão nem bancários, não tratamos dados sensíveis e só usamos o Google se você escolher Entrar com Google.

Dados obrigatórios. Sem o e-mail não há como criar a conta nem entrar. Os demais dados da conta e do contato comercial são opcionais; sem eles, o serviço funciona do mesmo jeito.

Decisões automatizadas. O Vigia classifica cada mudança por gravidade e confere o e-mail no primeiro acesso usando regras automáticas. Nenhuma delas produz efeitos jurídicos sobre você nem traça perfil pessoal, profissional, de consumo ou de crédito. Se a conferência do e-mail recusar um endereço correto, ou se quiser a revisão de qualquer resultado automático (art. 20 da LGPD), escreva para [email protected]: uma pessoa revê.

4. Dados das empresas vigiadas

1. Fonte. Os dados de cada CNPJ vêm da base pública do Cadastro Nacional da Pessoa Jurídica, publicada pela Receita Federal do Brasil e consultada por meio do PJ.bio (produto da B20) ou, como alternativa, da BrasilAPI. São os mesmos dados do comprovante de inscrição. Enviamos a esses provedores apenas o número do CNPJ a consultar.
2. Dados pessoais dentro de dados públicos. No caso de microempreendedores individuais e empresários individuais, a razão social contém o nome de uma pessoa física, e o endereço da empresa muitas vezes é o da casa dela. Esses dados são de acesso público, mas continuam sendo dados pessoais. Nós os tratamos respeitando a finalidade, a boa-fé e o interesse público que justificaram a publicação (art. 7º, § 3º): identificar a empresa e acompanhar a situação cadastral dela.
3. O que guardamos. Na carteira ficam só os campos listados na seção 3. A resposta da fonte pode trazer também o e-mail, o telefone, o quadro de sócios, o titular e a localização da empresa: descartamos tudo isso no momento da consulta, antes de guardar qualquer coisa. Nem o cache temporário (item 6) os contém.
4. Quem decide. Você escolhe quais CNPJs vigiar, com base na sua relação profissional com cada empresa. Por isso você é o controlador dessa lista, e nós somos o operador: tratamos esses dados só para prestar o serviço a você, sem usá-los para fins próprios.
5. O que não fazemos. Não vendemos, não enriquecemos com outras fontes, não cruzamos carteiras de usuários diferentes para fins comerciais e não oferecemos as empresas vigiadas a terceiros. Uma mesma empresa pode estar na carteira de vários escritórios, e cada um vê apenas a sua carteira.
6. Cache. Para não consultar a fonte várias vezes pelo mesmo dado, a resposta de cada consulta fica guardada por até 24 horas.
7. Pedidos de titulares. Se você é titular de um MEI ou empresário individual e quer saber se o seu CNPJ consta na carteira de algum usuário, escreva para [email protected]. Como operador, encaminharemos o pedido ao usuário responsável e responderemos no que couber a nós. Os dados cadastrais em si são publicados pela Receita Federal, e a correção deles deve ser feita lá.

5. Com quem compartilhamos

Compartilhamos dados apenas com quem precisa deles para o serviço funcionar, e só o necessário:

• Provedor de pagamentos (Mercado Pago; em caráter alternativo, Asaas): recebe nome ou escritório e e-mail do pagador, o valor e a descrição da cobrança. No Mercado Pago, a página de pagamento é dele, e ele pode pedir CPF ou CNPJ ali. Quando a cobrança é um Pix gerado aqui, pedimos o CPF ou CNPJ de quem paga e o enviamos ao provedor; se ele já estiver na sua conta, também vai para o Mercado Pago. Dados de cartão nunca passam pelo Vigia. O provedor trata esses dados conforme a política de privacidade dele.
• Provedor de e-mail (B20Mail, b20mail.com): recebe o endereço, o assunto e o conteúdo das mensagens que enviamos e, no primeiro acesso, o endereço a conferir. Ele registra entrega, devolução, marcação como spam, abertura e clique (seção 8). Para entregar as mensagens, usa a infraestrutura da Amazon Web Services (Amazon SES).
• Google (só se você usar Entrar com Google): fica sabendo que você entrou no Vigia; o Vigia recebe seu nome, e-mail e identificador da conta.
• Provedores da fonte (PJ.bio e, como alternativa, BrasilAPI): recebem apenas o número do CNPJ consultado.
• Hospedagem e infraestrutura: os servidores onde o serviço roda e guarda cópias de segurança (seção 6).
• Autoridades: quando houver obrigação legal, ordem judicial ou requisição de autoridade competente, no limite do que for exigido.
• Operações societárias: se o Vigia CNPJ for vendido ou incorporado, os dados passam ao sucessor, que fica obrigado a esta Política.

Não vendemos dados pessoais e não os compartilhamos para publicidade. Não usamos ferramentas de análise de comportamento de terceiros no site nem no aplicativo.

6. Onde os dados ficam e transferência internacional

Os dados ficam armazenados em Kangaroo (Brasil), com cópias de segurança.

Alguns provedores podem tratar dados fora do Brasil:

• E-mail: o envio pelo B20Mail passa pela Amazon SES, e as mensagens (endereço, assunto e conteúdo) podem ser processadas em servidores fora do Brasil, como nos Estados Unidos.
• Google: o Login com Google é processado pelo Google, inclusive fora do Brasil.
• Pagamento e fonte: o Mercado Pago e a BrasilAPI podem processar dados em outros países, conforme as próprias políticas.

Essas transferências são necessárias para prestar o serviço que você contratou (art. 33, IX, da LGPD) e são feitas com provedores que oferecem garantias contratuais e técnicas de proteção (art. 33, II), como comunicação cifrada e uso dos dados só para a finalidade contratada. As finalidades descritas aqui não mudam.

7. Cookies e armazenamento no navegador

Usamos apenas o necessário para o serviço funcionar. Não usamos cookies de publicidade, de análise ou de rastreamento entre sites, e por isso não pedimos consentimento para cookies.

• Cookie de sessão (vigia-cnpj-session): mantém você conectado enquanto usa o painel. Expira depois de 30 dias sem uso.
• Cookie "lembrar" (remember_web_…): mantém o acesso neste aparelho por até 30 dias, para você não precisar de um código a cada visita. Clicar em Sair apaga o cookie e encerra o acesso deste aparelho.
• Cookie de proteção de formulários (XSRF-TOKEN): impede que outro site envie formulários em seu nome.
• Cookie de manutenção (laravel_maintenance): usado só pela nossa equipe para acessar o serviço durante uma manutenção.
• Armazenamento local: guarda preferências de interface neste aparelho (por exemplo, se o menu lateral fica recolhido). Fica só no seu navegador e não é enviado a nós.
• Cache do aplicativo instalável: um service worker guarda arquivos de estilo, scripts, ícones e uma página de "sem internet" para o aplicativo abrir mais rápido. Não guarda os seus dados nem as páginas do painel.

Como bloquear ou apagar. Você pode apagar ou bloquear cookies, o armazenamento local e os dados do site nas configurações do navegador. Sem o cookie de sessão não dá para entrar no painel; apagar os outros só encerra o acesso do aparelho e as preferências.

Ao clicar em Entrar com Google ou ao pagar no Mercado Pago, você vai para as páginas deles, que usam os próprios cookies conforme as próprias políticas.

8. E-mails que enviamos

1. Quem envia. Todos os e-mails do Vigia CNPJ (códigos de acesso, resumos, lembretes, avisos e novidades) saem pelo B20Mail, que usa a Amazon SES (seção 6).
2. Abertura e clique. O provedor de e-mail pode incluir nas mensagens uma imagem invisível e links que passam por ele, para contar entregas, aberturas e cliques. A nossa equipe vê esses números somados no painel do provedor, não o que cada pessoa abriu. Para evitar a contagem de abertura, configure o seu programa de e-mail para não carregar imagens automaticamente.
3. Devolução e spam. Se um e-mail voltar porque a caixa não existe, paramos de enviar qualquer mensagem para o endereço, inclusive o código de acesso. Se você marcar uma mensagem como spam, paramos de enviar novidades. Esses endereços ficam numa lista de supressão, que é conferida todo dia com o provedor.
4. Sair das novidades. Toda mensagem de novidades e ofertas tem um link de descadastro no rodapé, que funciona com um clique e sem login. Você também pode desligar em Conta e religar quando quiser. Alertas, resumos, códigos e avisos do serviço continuam, porque fazem parte do contrato.

9. Por quanto tempo guardamos

Quando um prazo termina, apagamos o dado ou o tornamos anônimo. Prazos legais mais longos, quando existirem, prevalecem.

10. Como protegemos e o que fazemos em incidentes

• Comunicação cifrada (HTTPS) entre o seu navegador, o serviço e os provedores.
• Códigos de acesso e tokens da API guardados apenas como resumos criptográficos (hash); o código expira em 15 minutos e é bloqueado após 5 tentativas erradas.
• Limites de tentativas de login e de chamadas à API por endereço e por conta.
• Credenciais de integrações (B20Mail, Mercado Pago, Google) cifradas no banco, visíveis só pela equipe e nunca exibidas por inteiro depois de salvas.
• Avisos dos provedores de pagamento e de e-mail verificados por assinatura ou chave secreta antes de qualquer efeito; no Mercado Pago, o pagamento ainda é conferido direto com ele antes de liberar o plano.
• Acesso da equipe por conta nominal, com perfis de permissão, registro de todas as ações e sessões de suporte limitadas (seção 11).
• Cópias de segurança periódicas e separação entre ambiente de testes e produção.

Incidentes. Nenhum sistema é totalmente seguro. Se ocorrer um incidente de segurança que possa trazer risco ou dano relevante a você, comunicaremos você e a Autoridade Nacional de Proteção de Dados (ANPD) no prazo da regulamentação (hoje, 3 dias úteis do conhecimento do incidente, pela Resolução CD/ANPD nº 15/2024), dizendo o que aconteceu, quais dados foram afetados, os riscos e o que fizemos e você pode fazer.

11. Acesso da nossa equipe à sua conta

1. Pessoas autorizadas da nossa equipe usam uma área administrativa para dar suporte, administrar planos e pagamentos e cuidar do funcionamento do serviço. Elas veem os dados da sua conta, a sua carteira e os alertas na medida necessária para isso.
2. Pela área administrativa, a equipe faz o que você pedir (por exemplo, acrescentar ou remover CNPJs, reenviar o resumo, corrigir dados) e as ações de administração da conta (liberar ou ajustar o plano, estornar, bloquear, excluir, revogar o token da API, encerrar sessões).
3. Para reproduzir um problema, a equipe pode abrir o painel como você o vê, em modo de suporte, somente para visualização, por no máximo 2 horas. Nesse modo, nada é alterado na sua conta e os alertas não são marcados como vistos.
4. A equipe pode, a seu pedido, reenviar um código de acesso ao seu e-mail ou informá-lo a você por outro canal. Esse código dá acesso à conta: só é gerado a pedido e a ação fica registrada.
5. Todas essas ações ficam na auditoria, com quem fez, o quê, em qual conta e quando. Você pode pedir o histórico de acessos à sua conta pelo e-mail de privacidade.

12. Seus direitos e como exercê-los

Pela LGPD (art. 18), você pode pedir, a qualquer momento e sem custo:

• confirmação de que tratamos seus dados e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados (nome, escritório e preferências você mesmo muda em Conta);
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• portabilidade: a carteira e os alertas podem ser exportados em planilha pelo próprio painel; os demais dados, a pedido, em formato legível por máquina;
• eliminação dos seus dados e exclusão da conta, ressalvados os dados que a lei manda ou permite guardar (seção 9);
• informação sobre com quem compartilhamos os seus dados (seção 5) e sobre a possibilidade de não fornecer um dado e as consequências disso (seção 3);
• oposição a tratamentos feitos com base em legítimo interesse, como o envio de novidades, e revogação do consentimento, quando for essa a base;
• revisão de decisões tomadas só com base em tratamento automatizado (art. 20).

Como pedir. Escreva para [email protected] a partir do e-mail da conta. Se escrever de outro endereço, podemos pedir dados que confirmem a sua identidade, só para proteger a sua conta.

Prazo. A confirmação de existência ou o acesso em formato simplificado é dado na hora, quando possível. A declaração completa (origem dos dados, critérios e finalidades) é enviada em até 15 dias do pedido (art. 19). Os demais pedidos são atendidos no menor prazo possível, e avisamos se algum não puder ser atendido e por quê.

Titulares de empresas vigiadas exercem esses direitos perante o usuário que cadastrou o CNPJ; nós encaminhamos o pedido (seção 4).

Se não ficar satisfeito com a resposta, você pode peticionar à Autoridade Nacional de Proteção de Dados (ANPD) e aos órgãos de defesa do consumidor.

13. Crianças e adolescentes

O serviço é destinado a profissionais e empresas e exige 18 anos ou mais. Não é dirigido a crianças ou adolescentes e não coletamos intencionalmente dados deles. Se soubermos de um cadastro assim, encerraremos a conta e apagaremos os dados.

14. Mudanças nesta Política

Podemos atualizar esta Política quando o serviço, os provedores ou a lei mudarem. A data e a versão no topo indicam a versão vigente.

Mudanças relevantes, como uma nova finalidade ou um novo tipo de compartilhamento, serão avisadas por e-mail ou na tela com antecedência. Recomendamos reler esta página de tempos em tempos.

15. Contato e encarregado

Encarregado pelo tratamento de dados pessoais (DPO): [email protected].

Suporte geral: [email protected].

B20