Política de Privacidade

Esta Política descreve como a Explika trata dados pessoais em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — “LGPD”).

1. Quem somos

A Explika é operada por [razão social a confirmar pelo advogado], CNPJ [a preencher], com sede em [a preencher]. Atuamos como controladora dos dados de cadastro do Usuário e como operadora dos dados das empresas finais (clientes do Escritório Contábil) processados via balancete.

2. Quais dados coletamos

2.1 Dados de cadastro do Usuário

• Nome completo, e-mail, telefone
• CNPJ do escritório, razão social, endereço, CRC corporativo
• CPF e CRC pessoal do contador (quando aplicável a aprovação técnica)
• Forma de pagamento (cartão tokenizado pelo gateway, nunca armazenado em claro)

2.2 Dados de uso da Plataforma

• Logs de acesso (IP, user-agent, timestamp)
• Histórico de Documentos Gerados, edições e aprovações
• Métricas de uso (volume de notas, custo de IA, latência)

2.3 Dados de empresas finais (balancetes — dados sigilosos)

Quando o Usuário (Escritório Contábil) faz upload de balancete, DRE ou Balanço Patrimonial de seu cliente final, processamos:

• CNPJ, razão social e endereço da empresa cliente
• Saldos contábeis completos (ativo, passivo, PL, receitas, despesas) do exercício e exercícios anteriores comparativos
• Quadro societário (QSA) quando consultado via Receita Federal (ReceitaWS ou BrasilAPI)
• Regime tributário, Inscrição Estadual e CNAE
• Plano de contas customizado quando aplicável
• Eventos contábeis sensíveis quando informados (contingências, partes relacionadas, eventos subsequentes)

Esses dados são tratados como confidenciais por força do sigilo profissional contábil (Resolução CFC 803/96 e Código de Ética do Contador). A Explika não acessa, lê manualmente ou utiliza esses dados para qualquer finalidade que não seja a geração dos Documentos contratada pelo Usuário.

Esses dados são processados sob instruções do Escritório Contábil, que é o controlador perante o cliente final. A Explika atua como operadora nesta hipótese (LGPD art. 5º, VII), seguindo rigorosamente as instruções do controlador.

2.4 Tratamento por IA e proteção contra treinamento de modelos

O Algoritmo Explika processa os balancetes via APIs de Anthropic e OpenAI operadas em modo “zero data retention” (ZDR) sempre que disponível contratualmente. Isso significa que:

• Os provedores de IA não retêm os dados processados após o término da requisição;
• Os dados não são utilizados para treinamento ou aprimoramento dos modelos de IA dos provedores;
• O processamento ocorre em infraestrutura segura, com criptografia em trânsito e descarte imediato dos buffers.

3. Finalidades

• Prestar o serviço contratado: gerar Notas Explicativas, DFC, DMPL, DVA e Análises Financeiras a partir dos balancetes;
• Autenticar o Usuário e proteger a conta;
• Cobrar e gerenciar a assinatura;
• Cumprir obrigações legais e regulatórias (fiscais, trabalhistas, judiciais);
• Aprimorar o serviço (estatísticas agregadas e anonimizadas);
• Comunicar atualizações relevantes do produto.

4. Bases legais (LGPD art. 7º e 11)

• Execução de contrato (art. 7º, V): cadastro, processamento de balancetes, geração de documentos, cobrança;
• Cumprimento de obrigação legal/regulatória (art. 7º, II): retenção fiscal e trabalhista de registros mínimos;
• Legítimo interesse (art. 7º, IX): prevenção a fraude, métricas agregadas de produto, comunicações operacionais;
• Consentimento (art. 7º, I): comunicações de marketing opcionais (opt-in explícito).

5. Compartilhamento

A Explika compartilha dados estritamente com terceiros essenciais à operação:

• Anthropic / OpenAI (EUA): processamento de IA dos balancetes para gerar conteúdo. Nenhum dado é usado para treinamento — APIs operam em modo “zero data retention” quando contratualmente disponível;
• Supabase (banco de dados primário, região us-east-2);
• Resend (envio de e-mails transacionais);
• Asaas (processamento de pagamento — boleto, Pix, cartão);
• Cloudflare (CDN, WAF, DNS);
• ReceitaWS / cnpj.ws (consulta pública de CNPJ);
• Autoridades competentes: mediante ordem judicial ou requisição legal fundamentada.

Nenhum dado é vendido a terceiros. Transferências internacionais para EUA observam as cláusulas-padrão e demais salvaguardas previstas na LGPD (arts. 33-36).

5.1 Lista detalhada de subprocessadores

Por transparência LGPD (art. 9º, IV), divulgamos abaixo todos os subprocessadores envolvidos no tratamento de dados pessoais e contábeis. Esta lista é mantida atualizada e novas inclusões serão comunicadas com antecedência mínima de 30 dias.

Lista revisada em 19 de maio de 2026. Pedidos de DPA (Data Processing Agreement) podem ser solicitados ao DPO — atendimento em até 15 dias úteis.

6. Retenção

• Conta ativa: dados retidos enquanto a conta estiver ativa;
• Após cancelamento: dados de cadastro e Documentos Gerados retidos por 5 anos para fins fiscais e contábeis (CTN art. 173 e 174);
• Logs de acesso: 6 meses (Marco Civil da Internet, art. 15);
• Backups: até 30 dias após exclusão lógica.

7. Direitos do titular (LGPD art. 18)

Você pode, a qualquer momento e gratuitamente, solicitar:

• Confirmação da existência de tratamento;
• Acesso aos dados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários;
• Portabilidade dos dados;
• Eliminação dos dados tratados com consentimento (ressalvadas as hipóteses de retenção legal);
• Informação sobre compartilhamentos;
• Revogação do consentimento.

Para exercer qualquer direito, envie e-mail para dpo [arroba] explika.com.br. Resposta em até 15 dias úteis.

8. Segurança

• Criptografia em trânsito: TLS 1.3 em todas as conexões;
• Criptografia em repouso: banco gerenciado Supabase (AES-256);
• Isolamento multi-tenant: Row-Level Security (RLS) no PostgreSQL — cada escritório só acessa seus próprios dados;
• Autenticação: senha com hash bcrypt + sessão JWT;
• Auditoria: log imutável de ações sensíveis (geração, aprovação, edição, compartilhamento);
• Backup: snapshots diários com retenção de 30 dias.

9. Cookies

A Plataforma usa cookies estritamente necessários (autenticação de sessão) e cookies analíticos básicos para entender uso agregado. Não usamos cookies de publicidade direcionada nem trackers de terceiros para fingerprint.

10. Encarregado pelo tratamento de dados (DPO)

Encarregado: [nome a confirmar]
Contato: dpo [arroba] explika.com.br

11. Atualizações desta Política

Esta Política pode ser atualizada para refletir mudanças no produto ou na legislação. Alterações materiais serão comunicadas por e-mail e/ou banner com 30 dias de antecedência.

Aviso interno (remover antes de publicar versão definitiva): esta é uma minuta v1.2 preparada para revisão jurídica especializada em LGPD. Itens com [a preencher] dependem de validação do advogado e da formalização da PJ Explika. Recomenda-se também a publicação do Aviso de Cookies (banner com opt-in granular se houver cookies analíticos não-essenciais) e a designação formal do Encarregado (DPO) com contato verificável.