Política de Privacidade do Qevna

Resumo

• Quem trata seus dados: Mirex Soluções em Tecnologia Ltda., CNPJ 47.246.147/0001-20.
• O que coletamos: dados da sua conta (e-mail, senha protegida), dados de segurança (como endereço IP) e, a pedido do cliente, os documentos fiscais emitidos contra os CNPJs dele.
• Para quê: prestar o serviço, manter a conta segura e cumprir a lei. Não vendemos dados, não fazemos publicidade com eles e não os usamos para treinar inteligência artificial.
• Cookies: só os necessários para o login funcionar. Não usamos cookies de publicidade nem de análise.
• Onde ficam: servidor no Brasil (Campinas/SP). Os arquivos XML e as cópias de segurança ficam na União Europeia. Os e-mails do serviço saem pelo Amazon SES, na região de São Paulo, sem transferência para fora do Brasil.
• Seus direitos: peça acesso, correção, exclusão e outros direitos em privacidade@qevna.com. Respondemos em até 15 dias.

1. Quem somos

Esta política explica como a Mirex Soluções em Tecnologia Ltda., CNPJ 47.246.147/0001-20, com sede em Rua Reinaldo dos Santos, 198, Vila Império, São Paulo/SP, CEP 04407-050 ("Qevna" ou "nós"), trata dados pessoais no site qevna.com e no serviço app.qevna.com, conforme a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados, LGPD).

2. Encarregado pelo tratamento de dados pessoais

• Encarregado: Marcos Rodrigues de Morais, sócio-administrador da empresa, designado por ato formal de 08/11/2026. Contato: privacidade@qevna.com.
• Contato: privacidade@qevna.com

A indicação do encarregado é voluntária e segue a Resolução CD/ANPD nº 18/2024. É por esse e-mail que você exerce seus direitos, tira dúvidas e faz reclamações sobre o tratamento dos seus dados.

3. Nossos dois papéis

Controladora (LGPD, art. 5º, VI): decidimos sobre os dados de cadastro e de uso das contas, os registros de segurança, as comunicações com os usuários e os dados da lista de espera.

Operadora (LGPD, art. 5º, VII, e art. 39): tratamos em nome do cliente (a empresa ou o escritório de contabilidade que usa o Qevna) os dados pessoais que aparecem nos documentos fiscais e o certificado digital A1. Quem decide sobre esses dados é o cliente, e nós seguimos as instruções dele, conforme o Acordo de Tratamento de Dados.

Se você aparece numa nota fiscal (por exemplo, como pessoa física emitente, destinatária, tomadora ou transportadora), quem decide sobre os seus dados é a empresa que usa o Qevna. Você pode procurá-la diretamente ou escrever para privacidade@qevna.com, e nós encaminhamos o pedido a ela (seção 11).

4. Dados que tratamos, finalidades e bases legais

4.1. Como controladora

4.2. Como operadora, em nome do cliente

A base legal desses tratamentos é definida pelo cliente, como controlador.

4.3. O que não fazemos

• Não tratamos dados pessoais sensíveis (LGPD, art. 5º, II) como finalidade. Descrições de produtos ou serviços nas notas podem, por acaso, revelar algo sensível, e recebem a mesma proteção dos demais dados.
• Não tomamos decisões exclusivamente automatizadas sobre pessoas (LGPD, art. 20). Os alertas de "emitente desconhecido" apenas sinalizam notas para o cliente olhar.
• Não vendemos dados, não fazemos publicidade com eles e não usamos os documentos fiscais para perfilamento nem para treinar modelos de inteligência artificial.

4.4. Quando o CNPJ já é monitorado por outra organização

Um CNPJ fica ativo em uma organização por vez (Termos de uso, item 4.4). Se alguém envia um certificado válido, com a senha, de um CNPJ que outra organização ativa já monitora:

• o envio é recusado e o certificado não é guardado. A pessoa só fica sabendo que outra organização monitora o CNPJ, sem nenhum dado dela;
• os administradores da organização que monitora o CNPJ recebem um aviso por e-mail com o nome da empresa do certificado e o CNPJ, sem nenhum dado de quem tentou. O aviso existe porque alguém fora da organização tem o certificado e a senha dela;
• guardamos o registro da tentativa (quem tentou, a organização e a empresa dessa pessoa, o CNPJ e a data). Ele não é mostrado à outra organização;
• durante 1 hora, a pessoa pode autorizar, numa caixa que vem desmarcada, o envio do próprio e-mail a esses administradores, para pedir que a incluam como usuária. O e-mail vai uma vez, e uma resposta a ele chega à pessoa. Sem a autorização, nada dela é enviado.

Depois do envio, a organização que recebeu o e-mail passa a decidir sobre ele, como controladora, e deve usá-lo só para tratar do pedido (Termos de uso, item 4.4). Não conseguimos desfazer um e-mail já enviado. Se você autorizou o envio e mudou de ideia, escreva para privacidade@qevna.com: registramos a revogação e pedimos aos administradores dessa organização que apaguem o seu e-mail (LGPD, art. 18, § 6º). Guardamos a prova da autorização pelo prazo da seção 8, porque cabe a nós provar que ela foi dada (LGPD, art. 8º, § 2º).

5. De onde vêm os dados

• De você, ao criar a conta ou falar com a gente.
• Do cliente que convidou você para a organização dele.
• Das Fontes Oficiais (Sefaz e Ambiente de Dados Nacional da NFS-e), quanto aos documentos emitidos contra os CNPJs do cliente.
• Das bases públicas de CNPJ Minha Receita e BrasilAPI, que consultamos com o CNPJ digitado para preencher o cadastro da empresa.
• Do seu navegador e do nosso servidor, quanto aos registros de acesso.

6. Com quem compartilhamos

Usamos prestadores para operar o serviço. Eles só podem tratar os dados para nos prestar o serviço.

Quando a cobrança começar, o processador de pagamentos será informado nesta lista antes da primeira cobrança.

Fora dos prestadores, só compartilhamos dados de um usuário com outra organização do Qevna num caso: o seu e-mail, quando você autoriza o pedido de acesso da seção 4.4.

7. Transferência internacional de dados

Parte dos dados sai do Brasil:

• Armazenamento na União Europeia (Cloudflare R2): os XML e as cópias de segurança ficam em data centers na União Europeia. A ANPD reconheceu a União Europeia como destino com proteção adequada pela Resolução CD/ANPD nº 32/2026, o que fundamenta essa transferência (LGPD, art. 33, I). As cópias de segurança do banco são criptografadas antes de sair do nosso servidor, e só nós temos a chave para abri-las.
• E-mails (Amazon SES, São Paulo): o envio dos e-mails do serviço (ativação, senha, segurança e avisos do serviço que você usa) é feito pelo Amazon SES na região de São Paulo, no Brasil, e por isso não há transferência internacional nesse envio. Mantemos nos e-mails o mínimo de dados de documentos fiscais.
• Atendimento remoto da Hostinger: a empresa que fornece o servidor é sediada em Chipre, na União Europeia, abrangida pela mesma decisão de adequação.

Você pode pedir mais informações sobre essas transferências em privacidade@qevna.com.

8. Por quanto tempo guardamos

Depois desses prazos, apagamos ou anonimizamos os dados, salvo as hipóteses de conservação do art. 16 da LGPD (por exemplo, obrigação legal ou exercício regular de direitos).

9. Segurança

Adotamos medidas técnicas e administrativas para proteger os dados (LGPD, arts. 46 e 47), entre elas:

• conexão criptografada (HTTPS) em todo o serviço e conexão criptografada entre o aplicativo e o banco de dados;
• certificados digitais e suas senhas criptografados com uma chave por organização, protegida por uma chave mestra no AWS KMS, que só aceita pedidos do nosso servidor;
• senhas guardadas só como hash; segredo do 2FA criptografado;
• 2FA obrigatório para ações sobre o certificado e para administradores, e permissões por funcionalidade;
• separação dos dados por organização;
• histórico das ações sensíveis;
• cópias de segurança diárias, criptografadas antes de sair do servidor, guardadas fora dele e protegidas contra exclusão durante o prazo de guarda;
• servidor com firewall, acesso administrativo só por chave, atualizações automáticas de segurança e monitoramento de disponibilidade.

Nenhum sistema é invulnerável. A criptografia protege contra o vazamento do banco de dados ou das cópias de segurança, mas não impede o uso dos dados por quem obtenha o controle do servidor em funcionamento. Se ocorrer um incidente de segurança que possa trazer risco ou dano relevante a você, comunicaremos a ANPD e as pessoas afetadas conforme o art. 48 da LGPD e a Resolução CD/ANPD nº 15/2024, e mantemos o registro de todos os incidentes por pelo menos 5 anos. Para relatar uma vulnerabilidade ou um incidente: seguranca@qevna.com.

10. Cookies e armazenamento no navegador

Usamos só o estritamente necessário:

Não usamos cookies de publicidade, de análise ou de terceiros, e as fontes do site são servidas pelo próprio Qevna. Por isso não pedimos consentimento para cookies. Se isso mudar, avisaremos e pediremos consentimento antes.

11. Seus direitos

Pela LGPD (art. 18), você pode pedir:

1. confirmação de que tratamos seus dados;
2. acesso aos dados;
3. correção de dados incompletos, inexatos ou desatualizados;
4. anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
5. portabilidade dos dados, conforme a regulamentação da ANPD;
6. eliminação dos dados tratados com base no seu consentimento;
7. informação sobre com quem compartilhamos seus dados;
8. informação sobre a possibilidade de não consentir e as consequências;
9. revogação do consentimento;
10. revisão de decisões tomadas só com base em tratamento automatizado.

Você também pode se opor a um tratamento feito sem consentimento, se ele descumprir a LGPD, e reclamar à Autoridade Nacional de Proteção de Dados (ANPD) em www.gov.br/anpd.

Como pedir: escreva para privacidade@qevna.com a partir do e-mail da sua conta. Se o pedido vier de outro endereço, podemos pedir uma confirmação de identidade. A troca de senha e do 2FA você faz sozinho em "Minha conta". Para corrigir o e-mail ou para excluir a conta, escreva para nós.

Prazo: confirmamos o recebimento e respondemos em até 15 dias (LGPD, art. 19, II). A exclusão da conta não apaga os dados que precisamos manter pelos prazos da seção 8.

Dados em documentos fiscais: quando o pedido for sobre dados numa nota fiscal de um cliente nosso, encaminhamos o pedido ao cliente (controlador) em até 3 dias úteis, avisamos você e ajudamos o cliente a responder. Não podemos alterar nem apagar um documento fiscal sem instrução do cliente, porque a guarda pode ser obrigação legal dele.

12. Crianças e adolescentes

O Qevna é um serviço para empresas e profissionais e não se destina a menores de 18 anos. Documentos fiscais podem conter dados de qualquer pessoa, que tratamos como operadora, em nome do cliente.

13. Alterações desta política

Podemos atualizar esta política. A versão em vigor fica sempre neste endereço, com a data da última atualização. Mudanças relevantes (novas finalidades, novos prestadores, novas transferências internacionais ou novos prazos) serão avisadas por e-mail ou no painel antes de valerem. As versões anteriores ficam disponíveis a pedido.

14. Normas citadas

Lei nº 13.709/2018 (LGPD); Lei nº 12.965/2014 (Marco Civil da Internet), art. 15; Resoluções do Conselho Diretor da ANPD nº 2/2022 (agentes de pequeno porte), nº 15/2024 (comunicação de incidentes), nº 18/2024 (encarregado), nº 19/2024 (transferência internacional) e nº 32/2026 (adequação da União Europeia).

Histórico de versões