Política de Privacidade

Sumário

1. Apresentação e abrangência
2. Quem responde pelos dados
3. Definições
4. Dados pessoais tratados
5. Finalidades e bases legais
6. Certificados digitais e credenciais
7. Cookies e recursos de terceiros
8. Compartilhamento e operadores
9. Transferência internacional
10. Segurança da informação
11. Retenção e eliminação
12. Direitos dos titulares
13. Incidentes de segurança
14. Encarregado (DPO)
15. Crianças e adolescentes
16. Alterações desta Política
17. Contato e legislação

1. Apresentação e abrangência

Esta Política de Privacidade explica como Tax Gold Tecnologia ("TAX GOLD"), trata dados pessoais na plataforma TAX GOLD, disponível em reinf.taxgold.com.br (a "Plataforma"), em conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais — LGPD), com o Marco Civil da Internet (Lei nº 12.965/2014) e com as normas da Autoridade Nacional de Proteção de Dados (ANPD).

Ela se aplica a todas as pessoas cujos dados passam pela Plataforma:

• Usuários — as pessoas que criam conta e operam a Plataforma;
• Representantes dos Contratantes — sócios, responsáveis e signatários informados no cadastro e no aceite do contrato;
• Titulares constantes dos Dados Fiscais — beneficiários de pagamentos, prestadores de serviço, sócios, procuradores e demais pessoas físicas que aparecem nos eventos, declarações e documentos que os Contratantes inserem na Plataforma para cumprir suas obrigações acessórias;
• Visitantes das páginas públicas (login, cadastro, planos).

Esta Política integra os Termos de Uso. Termos iniciados em maiúscula e não definidos aqui têm o significado que lá lhes é dado.

2. Quem responde pelos dados: controlador e operador

A Plataforma é um serviço profissional usado por empresas e escritórios de contabilidade para cumprir obrigações perante a Receita Federal. Por isso a TAX GOLD exerce dois papéis distintos, conforme a origem do dado:

O Contratante é responsável por possuir base legal para tratar os dados pessoais de terceiros que insere na Plataforma e por informar os titulares, na forma da LGPD, sobre esse tratamento. A TAX GOLD mantém acordo de tratamento de dados (DPA) à disposição dos Contratantes, mediante solicitação ao Encarregado.

3. Definições

• Dado pessoal: informação relacionada a pessoa natural identificada ou identificável, como nome, CPF, e-mail, endereço IP ou rendimentos.
• Tratamento: toda operação realizada com dados pessoais — coleta, armazenamento, uso, transmissão, eliminação, entre outras.
• Titular: a pessoa natural a quem os dados se referem.
• Controlador: quem decide sobre as finalidades e os meios do tratamento.
• Operador: quem realiza o tratamento em nome do controlador.
• Encarregado: a pessoa indicada pela TAX GOLD para ser o canal entre titulares, ANPD e a empresa (art. 41 da LGPD).
• Suboperador: terceiro contratado pela TAX GOLD que participa do tratamento (por exemplo, o provedor de hospedagem).
• Dados Fiscais, Contratante, Usuário e Certificado Digital: conforme os Termos de Uso.

4. Dados pessoais tratados

A TAX GOLD não coleta mais dados do que o necessário para prestar o serviço. As categorias são as seguintes:

A TAX GOLD não trata dados pessoais sensíveis (art. 5º, II, da LGPD) por decisão própria. Se um Contratante inserir tais dados nos Dados Fiscais, ele o faz sob sua responsabilidade como controlador, e a TAX GOLD os protege com as mesmas medidas descritas na Seção 10.

5. Finalidades e bases legais

A TAX GOLD não vende dados pessoais, não os utiliza para publicidade direcionada a terceiros e não realiza decisões automatizadas que produzam efeitos jurídicos sobre os titulares.

6. Certificados digitais e credenciais de integração

O Certificado Digital A1 é o dado mais sensível que a Plataforma guarda: quem o possui, junto com a senha, pode assinar documentos em nome do titular. Por isso ele recebe controles específicos:

• Finalidade única. O certificado é usado exclusivamente para assinar e transmitir à Receita Federal, e para consultar em nome do titular, as operações comandadas pelos Usuários da conta que o cadastrou. Nunca é usado para outro fim nem por outra conta.
• Isolamento por conta. Cada certificado pertence a um único Contratante; a Plataforma seleciona o certificado a partir da conta do Usuário autenticado e recusa qualquer referência a certificado de outra conta.
• Área não acessível pela web. O arquivo é guardado em diretório do servidor que o servidor web não publica; não há endereço na internet que o entregue.
• Senha cifrada em repouso. A senha do certificado é gravada no banco de dados cifrada por criptografia simétrica (Fernet — AES-128-CBC com HMAC-SHA256), com a chave mantida na configuração do servidor, fora do banco de dados e fora do código-fonte. O mesmo se aplica às credenciais do Integra Contador e às chaves do gateway de pagamento.
• Uso registrado. Cada envio assinado é anotado na trilha de auditoria com usuário, data, hora, IP e empresa.
• Exclusão efetiva. Quando o Usuário exclui um certificado, o arquivo é removido do servidor. O encerramento da conta remove todos os certificados vinculados. As cópias de segurança expiram no ciclo de retenção da Seção 11.
• Acesso administrativo restrito. Somente a equipe técnica da TAX GOLD, sob dever de sigilo, acessa o servidor onde os certificados ficam, e apenas para operação e manutenção.

O Contratante permanece responsável por enviar apenas certificados de que é titular ou para os quais tem autorização, por manter a procuração eletrônica válida quando usar certificado de procurador, e por excluir da Plataforma os certificados que deixar de usar.

7. Cookies e recursos de terceiros

7.1. Cookies próprios

Os cookies necessários não dependem de consentimento; sem eles a Plataforma não funciona.

7.2. Recursos de terceiros

Para carregar fontes, bibliotecas e medir campanhas, as páginas fazem requisições a servidores de terceiros, que recebem o endereço IP do visitante e dados técnicos do navegador:

Para se opor à mensuração do Google Ads, o Usuário pode bloquear cookies de terceiros no navegador ou usar as configurações de anúncios da conta Google. Isso não afeta o funcionamento da Plataforma.

A TAX GOLD não utiliza cookies de rastreamento entre sites nem ferramentas de gravação de sessão.

8. Compartilhamento e operadores

A TAX GOLD compartilha dados pessoais apenas com quem participa da prestação do serviço ou quando a lei exige:

Os suboperadores são vinculados por contrato a obrigações de confidencialidade e segurança. Antes de incluir um novo suboperador que trate Dados Fiscais, a TAX GOLD atualiza esta Política e comunica os Administradores das contas com antecedência mínima de 15 (quinze) dias, para que possam se opor.

Em caso de reorganização societária, fusão ou venda da operação, os dados podem ser transferidos ao sucessor, que ficará vinculado a esta Política; os Contratantes serão comunicados.

9. Transferência internacional

O servidor de aplicação e o banco de dados são administrados pela TAX GOLD em infraestrutura contratada de Hostinger. Quando a infraestrutura, ou parte dela, estiver localizada fora do Brasil, a transferência é realizada com fundamento no art. 33 da LGPD, mediante cláusulas contratuais que asseguram nível de proteção equivalente ao desta Política, e a localização é informada ao Contratante mediante solicitação ao Encarregado.

Os recursos de terceiros da Seção 7 (Google, jsDelivr, Cloudflare) podem ser servidos de outros países; os dados envolvidos limitam-se a IP e informações técnicas do navegador. Os Dados Fiscais e os certificados digitais não são enviados a esses terceiros.

10. Segurança da informação

Em atendimento ao art. 46 da LGPD, a TAX GOLD aplica as seguintes medidas técnicas e administrativas:

10.1. Técnicas

• Acesso exclusivamente por HTTPS (TLS), com redirecionamento obrigatório e HSTS;
• Senhas dos Usuários guardadas apenas como hash com sal (PBKDF2), irreversível;
• Bloqueio temporário da conta após tentativas sucessivas de login com senha incorreta, com registro do IP;
• Sessão com expiração por inatividade (2 horas) e encerramento ao fechar o navegador; cookies com atributos de segurança;
• Isolamento lógico por conta em todas as consultas e operações, com testes automatizados que verificam a separação;
• Controle de acesso por papéis, com a transmissão restrita ao Responsável fiscal;
• Trilha de auditoria imutável das operações de geração, envio e exclusão de eventos;
• Certificados digitais e documentos fiscais fora do diretório público do servidor; senhas e credenciais cifradas em repouso (Seção 6);
• Validação da cadeia de certificados TLS nas comunicações com a Receita Federal e o SERPRO;
• Cópias de segurança diárias do banco de dados, com verificação de integridade e retenção de 14 (quatorze) dias;
• Segredos de configuração fora do código-fonte, com permissões restritas no servidor;
• Proteção contra CSRF, injeção de SQL e XSS pelas defesas nativas do framework, com cabeçalhos de segurança HTTP.

10.2. Administrativas

• Acesso ao servidor de produção restrito à equipe técnica, com credenciais individuais, sob dever de sigilo;
• Revisões periódicas de segurança do código e da infraestrutura, com registro dos achados e do seu tratamento;
• Procedimento de resposta a incidentes (Seção 13);
• Princípio da necessidade na coleta e na retenção (Seções 4 e 11).

Nenhuma medida elimina completamente o risco. O Usuário contribui usando senhas fortes e exclusivas, não compartilhando credenciais, revisando periodicamente os usuários da conta e comunicando de imediato qualquer suspeita de acesso indevido.

11. Retenção e eliminação

Os dados são conservados apenas pelo tempo necessário à finalidade, observados os prazos legais:

Ao fim do prazo, os dados são eliminados de forma segura ou anonimizados. Dados que a lei obrigue a conservar por mais tempo ficam bloqueados para qualquer outro uso.

12. Direitos dos titulares

Nos termos do art. 18 da LGPD, o titular pode, a qualquer momento e gratuitamente, solicitar:

• Confirmação da existência de tratamento e acesso aos seus dados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• Portabilidade dos dados a outro fornecedor, em formato estruturado;
• Eliminação dos dados tratados com base em consentimento;
• Informação sobre com quem os dados foram compartilhados;
• Informação sobre a possibilidade de não fornecer consentimento e suas consequências;
• Revogação do consentimento, quando essa for a base legal;
• Oposição a tratamento fundado em legítimo interesse;
• Revisão de decisões tomadas unicamente com base em tratamento automatizado — não realizadas pela Plataforma.

Como exercer

Pedidos devem ser enviados ao Encarregado (Seção 14). Para proteger os dados, a TAX GOLD pode pedir comprovação de identidade antes de atender. A resposta é dada em prazo compatível com a natureza do pedido, e no máximo em 15 (quinze) dias, com a indicação das medidas adotadas ou dos motivos pelos quais o pedido não pôde ser atendido.

Quando o pedido se referir a dados contidos nos Dados Fiscais de um Contratante (caso em que a TAX GOLD é operadora), a TAX GOLD o encaminhará ao Contratante responsável em até 5 (cinco) dias úteis e prestará a assistência necessária ao atendimento. Parte dos dados fiscais não pode ser eliminada enquanto o Contratante estiver obrigado a conservá-los por lei; nesse caso o titular será informado do fundamento.

Os Usuários podem ainda atualizar seus próprios dados de cadastro diretamente na Plataforma. O titular que entender que seus direitos não foram atendidos pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

13. Incidentes de segurança

A TAX GOLD mantém procedimento de resposta a incidentes que compreende contenção, investigação da causa, avaliação do impacto, comunicação e correção. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a TAX GOLD:

• Comunica a ANPD e os titulares afetados no prazo de 3 (três) dias úteis contados do conhecimento do incidente, conforme o art. 48 da LGPD e a Resolução CD/ANPD nº 15/2024;
• Comunica os Contratantes cujos Dados Fiscais tenham sido afetados, no mesmo prazo, com as informações necessárias para que cumpram suas próprias obrigações como controladores;
• Informa, em cada comunicação, a natureza dos dados afetados, os titulares envolvidos, as medidas de segurança que existiam, os riscos, as medidas adotadas e as recomendadas aos afetados;
• Registra o incidente e as ações tomadas, e revisa os controles para evitar repetição.

Suspeitas de incidente, vulnerabilidades ou uso indevido podem ser comunicadas a qualquer momento ao e-mail contato@taxgold.com.br. A TAX GOLD agradece a comunicação responsável e não adota medidas contra quem reporta de boa-fé.

14. Encarregado pelo tratamento de dados pessoais (DPO)

Em cumprimento ao art. 41 da LGPD, a TAX GOLD indica como Encarregado:

O Encarregado recebe as solicitações dos titulares, presta esclarecimentos, interage com a ANPD e orienta a equipe da TAX GOLD sobre as práticas de proteção de dados.

15. Crianças e adolescentes

A Plataforma é destinada a uso profissional e não é dirigida a menores de 18 anos, que não devem criar conta. Dados de menores podem aparecer nos Dados Fiscais apenas quando exigidos pelo leiaute da obrigação (por exemplo, dependentes em informes de rendimentos), sob responsabilidade do Contratante, que deve observar o art. 14 da LGPD.

16. Alterações desta Política

Esta Política pode ser atualizada para refletir mudanças na legislação, nos serviços ou nos suboperadores. Alterações relevantes são comunicadas por e-mail aos Administradores das contas e por aviso na Plataforma com antecedência mínima de 15 (quinze) dias. A versão vigente, com número e data, está sempre publicada em reinf.taxgold.com.br/politica-de-privacidade/; versões anteriores são fornecidas mediante solicitação ao Encarregado.

17. Contato e legislação aplicável

Esta Política é regida pela legislação brasileira, em especial pela Lei nº 13.709/2018 (LGPD), pela Lei nº 12.965/2014 (Marco Civil da Internet), pela Lei nº 8.078/1990 (Código de Defesa do Consumidor), no que couber, e pelas normas da ANPD. Fica eleito o foro da comarca da sede da TAX GOLD para as controvérsias dela decorrentes, ressalvado o foro do domicílio do titular quando a lei assim determinar.