Política de Privacidade

ZEE.LU SOLUCOES LTDA
CNPJ: 66.812.648/0001-70
Rua Abiail do Amaral Carneiro, 191, Sala 415, Edifício Arábica
Enseada do Suá, Vitória/ES — CEP 29.050-535
E-mail: contato@zee.lu | Privacidade: privacidade@zee.lu

A Zee.lu é uma plataforma SaaS para automação de emissão de NFS-e, destinada a prestadores de serviço — profissionais autônomos e empresas — com materiais e integrações voltados a nichos específicos, entre eles fotografia e saúde. Operamos como agente de tratamento nos termos da Lei nº 13.709/2018 (LGPD), assumindo papéis distintos conforme a natureza dos dados tratados — detalhados na Seção 3.

Para os fins desta Política, aplicam-se as definições do art. 5º da LGPD e os seguintes conceitos:

3.1. Zee.lu como Controladora

Quando se trata dos dados do próprio Usuário — cadastro, pagamento e uso da plataforma — a Zee.lu é a controladora: decide quais dados coleta, com qual finalidade e por quanto tempo. Esses dados são detalhados na Seção 4.

Adicionalmente, a Zee.lu utiliza a própria plataforma para emitir NFS-e referentes às assinaturas pagas pelos Usuários. Nessa relação fiscal específica, o Usuário figura também como Tomador da Zee.lu — e os dados de cadastro (razão social, CNPJ, endereço) são reutilizados para essa finalidade, com base em obrigação legal tributária (art. 7º, II, da LGPD).

3.2. Zee.lu como Operadora

Quando o Usuário insere dados de seus clientes finais (Tomadores) para emissão de NFS-e — nome, CPF/CNPJ, endereço e descrição de serviço do Tomador — a Zee.lu atua como operadora: processa esses dados exclusivamente sob instrução do Usuário, que é o controlador responsável pela base legal do tratamento.

3.3. Suboperadores

A Zee.lu contrata suboperadores para suportar a prestação do serviço. Todos operam sob contrato com cláusulas de proteção de dados equivalentes às desta Política. A lista completa consta na Seção 7.1 desta Política.

4.1. Dados de Cadastro e Conta

4.2. Dados de Pagamento e Cobrança

4.3. Dados de Uso da Plataforma

4.4. Comunicações e Marketing

O consentimento para marketing de parceiros é coletado via checkbox no cadastro ou em campanha opt-in. O Usuário pode cancelar qualquer comunicação de marketing pelo link de descadastro em cada e-mail, nas configurações da conta ou via privacidade@zee.lu.

5.1. Finalidade exclusiva: O Certificado Digital é utilizado exclusivamente para autenticação automatizada junto às prefeituras e ao sistema NFS-e Nacional no momento da emissão. Nenhuma outra operação é realizada com ele.

5.2. Armazenamento: O Certificado é armazenado em formato criptografado, com chave de criptografia segregada dos demais dados. O acesso é restrito ao sistema automatizado de emissão — nenhum colaborador da Zee.lu tem acesso ao conteúdo do certificado em texto puro.

5.3. Retenção e exclusão: O Certificado Digital é excluído dos servidores em até 7 dias após o cancelamento da assinatura. Como a Zee.lu não realiza backup do certificado, não há cópia adicional a eliminar. O Usuário pode solicitar exclusão imediata a qualquer momento via privacidade@zee.lu.

5.4. Comprometimento: Em caso de suspeita de comprometimento, o Usuário deve notificar imediatamente a Zee.lu e contatar sua Autoridade Certificadora (AC) para revogação. A Zee.lu excluirá o certificado de seus servidores em até 24 horas após a notificação.

6.1. Natureza dos dados: Ao emitir NFS-e, o Usuário insere dados de seus Tomadores, que podem incluir: nome completo ou razão social, CPF ou CNPJ, endereço, e-mail (quando configurado envio automático) e descrição do serviço e valor.

6.2. Papel da Zee.lu: Esses dados são processados exclusivamente para emissão das notas fiscais e transmissão às prefeituras. Não são utilizados para nenhuma outra finalidade, não são compartilhados com terceiros além dos indicados na Seção 7.2, e não são cruzados com outros dados da plataforma.

6.3. Responsabilidade do Usuário: O Usuário, como controlador, é responsável por possuir base legal para tratar os dados dos Tomadores e por informá-los, quando exigido pela LGPD, do uso de seus dados para emissão de NFS-e por plataforma terceirizada.

6.4. Retenção: Dados de Tomadores são mantidos durante a assinatura ativa e por até 30 dias após o cancelamento para exportação. Após esse prazo, são excluídos dos servidores ativos e eliminados dos backups em até 90 dias adicionais.

6.5. Leitura de nota por inteligência artificial: A plataforma permite importar uma nota fiscal já emitida para aproveitar seus campos. A leitura segue três caminhos, do mais confiável ao menos: arquivo XML e DANFSe no padrão nacional (NT 008/2026) são lidos por processamento determinístico, sem qualquer uso de IA; apenas o PDF fora do padrão — nota antiga, emissor municipal legado ou digitalização sem camada de texto — é enviado a um modelo de IA para extração dos campos.

6.6. Minimização no documento fiscal: Como a NFS-e é documento público, a plataforma permite, a cada nota, omitir o e-mail e o endereço do Tomador do XML transmitido à prefeitura, mesmo quando esses dados constam do cadastro. É um controle à disposição do Usuário para reduzir a exposição de dado pessoal de terceiro no documento fiscal.

7.1. Suboperadores

A Zee.lu compartilha dados com os suboperadores abaixo, necessários à operação da plataforma. Todos estão proibidos de usar os dados para finalidades próprias e operam sob contrato com cláusulas de proteção de dados.

7.2. Autoridades e órgãos governamentais

Dados de NFS-e são compartilhados com prefeituras municipais e com a Receita Federal (sistema NFS-e Nacional) exclusivamente para fins de emissão das notas fiscais, por obrigação legal tributária.

7.3. Obrigação legal e proteção de direitos

A Zee.lu pode compartilhar dados em cumprimento de obrigação legal, regulatória, ordem judicial ou requisição de autoridade administrativa competente, bem como para exercício de seus direitos em processo judicial ou administrativo.

7.4. Reorganização societária

Em caso de fusão, aquisição ou transferência de ativos, os dados poderão ser transferidos ao adquirente, com comunicação prévia ao Usuário de 30 dias e sob as mesmas condições de proteção desta Política.

7.5. O que a Zee.lu não faz

A Zee.lu não vende, aluga ou cede dados pessoais a terceiros para fins comerciais. Não compartilha dados com redes sociais nem com bases de enriquecimento de dados, e não utiliza pixels de publicidade.

Duas ressalvas honestas sobre a Seção 7.1:

(a) Ferramentas de medição. Google e Microsoft também operam plataformas de publicidade. O Google Analytics é configurado com os sinais de publicidade e a personalização de anúncios desativados, de modo que os dados não alimentam segmentação publicitária. Quanto ao Microsoft Clarity, os termos da Microsoft permitem que ela utilize os dados coletados para finalidades próprias, incluindo a melhoria de seus produtos — por essa razão a gravação de sessão depende de consentimento específico e separado, é recusável sem qualquer perda de funcionalidade, e nenhum script é carregado antes da manifestação do visitante.

(b) Provedores de IA. Anthropic e OpenAI são contratadas sob termos de API que não autorizam o uso do conteúdo enviado para treinamento de modelos. Nenhum dado de conta, sessão ou identidade é enviado ao assistente do portal de documentação.

A Zee.lu utiliza os seguintes provedores de infraestrutura e serviços que podem armazenar ou processar dados fora do Brasil:

• Vercel — hospedagem e entrega da aplicação (servidores predominantemente nos EUA);
• Supabase — banco de dados e backend (servidores predominantemente nos EUA);
• Homio — CRM (servidores nos EUA; processa dados cadastrais do Usuário);
• Anthropic — leitura por IA de PDF de nota fora do padrão (servidores nos EUA; processa o conteúdo do arquivo enviado, apenas quando o Usuário importa uma nota — ver Seção 6.5);
• OpenAI — assistente do portal de documentação (servidores nos EUA; processa o texto da pergunta digitada);
• Google — métricas de uso do site (servidores nos EUA e em outras jurisdições; processa dados de navegação com IP anonimizado, apenas mediante consentimento);
• Microsoft — gravação de sessão no site (servidores nos EUA; processa dados de navegação mascarados, apenas mediante consentimento).

As transferências observam as garantias do art. 33 da LGPD, com base nos seguintes mecanismos:

• Cláusulas contratuais padrão (art. 33, II): contratos com os provedores contendo obrigações de proteção de dados equivalentes às da LGPD;
• Programas de conformidade globais (art. 33, VII): tanto a Vercel quanto a Supabase possuem certificação SOC 2 Type II e aderem a frameworks de proteção de dados de padrão internacional.

A Zee.lu retém os dados pelo tempo necessário às finalidades para as quais foram coletados ou às obrigações legais aplicáveis:

10.1. Direitos dos Usuários

Nos termos do art. 18 da LGPD, os Usuários têm os seguintes direitos:

10.2. Como exercer seus direitos

1. Enviar e-mail para privacidade@zee.lu com o assunto "Direitos LGPD — [tipo de solicitação]";
2. Informar o nome completo ou razão social e CPF/CNPJ cadastrado;
3. Descrever o direito que deseja exercer.

A Zee.lu responderá em até 15 dias corridos, conforme art. 18, §3º da LGPD. Podemos solicitar informações adicionais para confirmar a identidade do titular antes de atender à solicitação.

10.3. Limitações ao exercício de direitos

Alguns direitos podem ser limitados quando o tratamento for necessário para: cumprimento de obrigação legal; exercício regular de direitos em processo judicial ou administrativo; ou proteção da vida ou da segurança do titular. Nesses casos, a Zee.lu comunicará ao titular a impossibilidade de atendimento e seu fundamento legal.

10.4. Direitos dos Tomadores

11.1. Cookies são pequenos arquivos de texto armazenados no dispositivo ao acessar a plataforma. A Zee.lu utiliza cookies e tecnologias similares (localStorage, pixels) para garantir o funcionamento da plataforma e melhorar a experiência.

11.2. Categorias de cookies utilizados

11.3. No primeiro acesso, a Zee.lu exibe um aviso com as opções Aceitar, Recusar e Preferências, apresentadas com o mesmo destaque. Enquanto não houver manifestação, nenhuma ferramenta não essencial é carregada — a recusa e a ausência de resposta produzem o mesmo efeito.

O painel de preferências permite aceitar ou recusar cada categoria separadamente e fica permanentemente acessível pelo link Preferências de cookies no rodapé do site e por Privacidade, no menu lateral da plataforma. Como a escolha é gravada uma vez para os dois, decidir num lugar vale no outro. A revogação tem efeito imediato: as ferramentas são interrompidas e os identificadores gravados no navegador são apagados, sem necessidade de recarregar a página. A escolha é registrada com data e hora e revalidada a cada 6 meses.

11.4. Métricas de uso (Google Analytics). O IP é anonimizado e os relatórios são agregados; os sinais de publicidade e a personalização de anúncios ficam desativados. Os dados não permitem, por si, identificar o Usuário individualmente.

11.5. Gravação de sessão (Microsoft Clarity) — somente no site institucional. A plataforma não executa gravação de sessão: as telas de emissão exibem CNPJ, razão social e endereço de Tomadores, valores de nota e o envio do Certificado Digital, e reproduzir isso seria desproporcional à finalidade. No site, a ferramenta reproduz a navegação — movimento do ponteiro, cliques e rolagem. É coleta mais ampla que uma métrica agregada, e por isso aparece como categoria própria: o conteúdo de campos de formulário e os dados digitados são mascarados antes do envio, de modo que nome, telefone, e-mail, CNPJ e dados de notas fiscais não apareçam na reprodução. A gravação não é utilizada para decisões automatizadas sobre o Usuário.

11.6. Retrato de sessão compartilhado entre os subdomínios

Os serviços da Zee.lu vivem em subdomínios distintos — a plataforma em app.zee.lu, o site em zee.lu, a documentação em docs.zee.lu. Para que a documentação reconheça quem já está logado e aplique o mesmo tema, a plataforma grava no domínio .zee.lu um retrato da sessão:

Dois pontos que o Usuário deve conhecer:

(a) Esses cookies são legíveis por JavaScript em qualquer subdomínio de zee.lu — é o que permite à documentação lê-los. Por isso carregam apenas o mínimo para personalizar a exibição, e não constituem autenticação: os cookies de sessão propriamente ditos são restritos ao host da plataforma, não atravessam subdomínio e não são acessíveis por script.

(b) Ler o retrato não concede acesso. Quem tem o cookie não consegue, com ele, entrar na conta, emitir nota ou ver qualquer dado da plataforma. O cookie de consentimento é gravado no mesmo domínio pelo motivo oposto: para que a escolha feita no site valha também na plataforma, e o Usuário não seja perguntado duas vezes.

A Zee.lu adota as seguintes medidas técnicas e organizacionais para proteger os dados pessoais:

Medidas técnicas

• Criptografia em trânsito (TLS 1.2+) e em repouso para dados sensíveis, incluindo Certificados Digitais e credenciais de prefeitura;
• Controle de acesso baseado em perfil (RBAC) com princípio do menor privilégio;
• Credenciais com requisitos de complexidade e política de rotação;
• Monitoramento contínuo de acessos e anomalias;
• Rotinas de backup com retenção, criptografia e rotação controlada.

Medidas organizacionais

• Política interna de segurança da informação;
• Acesso aos dados restrito a colaboradores com necessidade operacional justificada;
• Contratos com cláusulas de confidencialidade e proteção de dados com todos os suboperadores.

Nenhum sistema é 100% seguro. Em caso de incidente, a Zee.lu seguirá os procedimentos descritos na Seção 14.

A plataforma Zee.lu destina-se exclusivamente a pessoas jurídicas e profissionais autônomos com CNPJ ativo. Não coletamos intencionalmente dados de menores de 18 anos.

Se identificarmos que coletamos dados de menor de idade sem consentimento dos responsáveis legais, esses dados serão excluídos imediatamente. Para comunicar tal situação, entre em contato com privacidade@zee.lu.

14.1. Detecção e contenção: Ao detectar um incidente que possa comprometer dados pessoais, a Zee.lu adotará imediatamente medidas de contenção e iniciará investigação para determinar a extensão e o impacto do evento.

14.2. Comunicação: Confirmado o incidente, a Zee.lu:

• Notificará a ANPD em até 3 dias úteis após a confirmação de incidente de alto risco, com relatório complementar em até 30 dias, conforme Resolução CD/ANPD nº 2/2022;
• Notificará os Usuários afetados em prazo razoável, com informações sobre: (a) natureza e categorias dos dados envolvidos; (b) medidas de contenção adotadas; (c) recomendações para proteção dos titulares;
• Registrará o incidente e as medidas adotadas em relatório interno para fins de governança e eventual fiscalização.

14.3. Canal de reporte: Suspeitas de incidentes ou vulnerabilidades podem ser reportadas para privacidade@zee.lu com o assunto "Incidente de Segurança".

Esta Política pode ser atualizada periodicamente para refletir mudanças na legislação, nos serviços da Zee.lu ou nas práticas de tratamento de dados.

• Qualquer alteração relevante será comunicada por e-mail com antecedência mínima de 30 dias;
• A versão vigente estará sempre disponível em zee.lu/privacidade;
• Versões anteriores serão mantidas em zee.lu/privacidade/historico por 24 meses.

A continuidade do uso da plataforma após a entrada em vigor da nova versão implica aceite das alterações.

A Zee.lu designou um Encarregado pelo Tratamento de Dados (DPO), nos termos do art. 41 da LGPD, responsável por atuar como canal entre a empresa, os titulares e a ANPD.

• 🔒 E-mail DPO: privacidade@zee.lu
• 📋 Assuntos: "Direitos LGPD", "Privacidade" ou "Incidente de Segurança"
• 👤 Identidade do Encarregado: disponível mediante solicitação para privacidade@zee.lu
• 📍 Endereço: R. Abiail do Amaral Carneiro, 191, Sala 415 – Edif. Arábica, Enseada do Suá, Vitória/ES – CEP 29.050-535

Para contato geral: contato@zee.lu | (27) 3191-4466