Política de Privacidade

O Absoluto é fornecido pela ShiftCore Tech LTDA, CNPJ 68.159.009/0001-83, com endereço em Rua Conceição, 233, pavimento 9, sala 916, Centro, Campinas, São Paulo, controladora dos dados pessoais tratados para criar e manter as contas de acesso, cobrar a assinatura e operar a plataforma.

Encarregado pelo tratamento de dados pessoais (LGPD, art. 41): Caio Barros, caio@shiftcore.io. É por esse endereço que titulares e a Autoridade Nacional de Proteção de Dados (ANPD) falam com a ShiftCore Tech LTDA sobre dados pessoais.

O Absoluto é usado por escritórios de contabilidade e por empresas para fazer a contabilidade, o fiscal e a folha de pagamento de entidades (empresas, MEIs e pessoas físicas). Os dados que o usuário cadastra sobre essas entidades, como sócios, colaboradores, dependentes, clientes, fornecedores, notas fiscais e lançamentos, pertencem ao escritório ou à empresa cliente, que é o controlador desses dados.

Para esses dados, a ShiftCore Tech LTDA é operadora (LGPD, art. 39): trata somente para prestar o serviço contratado, segundo as instruções do cliente, e não os usa para nenhuma finalidade própria. Um colaborador que queira saber o que existe sobre ele, ou pedir correção, deve procurar o empregador ou o escritório que faz a folha; a ShiftCore Tech LTDA apoia o cliente a responder.

• Conta de acesso: nome, e-mail e senha (guardada pelo serviço de autenticação, nunca em texto). Para criar a conta, permitir o login e enviar avisos do sistema.
• Escritório: nome, CPF ou CNPJ, CRC, endereço, telefone e e-mail do responsável. Para identificar o profissional responsável nos documentos e declarações gerados.
• Assinatura: plano contratado e situação do pagamento. Os dados do cartão são digitados direto no processador de pagamentos e não ficam no Absoluto.
• Dados das entidades atendidas: cadastro da entidade e dos sócios, notas fiscais, lançamentos, extratos, apurações e declarações. Para fazer a escrituração e cumprir as obrigações fiscais da entidade.
• Folha de pagamento e eSocial: dados dos colaboradores e dependentes exigidos pelo leiaute do eSocial, como nome, CPF, NIS, data de nascimento, endereço, salário, férias, afastamentos e rescisões. Inclui dados que a LGPD chama de sensíveis (art. 5º, II), como raça ou cor, filiação sindical e afastamento por motivo de saúde, e dados de dependentes crianças. São tratados porque a legislação trabalhista e previdenciária exige que o empregador os informe, e só para isso.
• Certificados digitais A1: arquivo do certificado e senha, guardada cifrada. Para assinar e transmitir documentos em nome da entidade, por ação do usuário ou por rotinas que ele habilitou.
• Registros de uso: registro das transmissões aos órgãos públicos, das consultas feitas ao assistente de IA e dos e-mails enviados. Para auditoria, segurança e para provar o que foi enviado e quando.

• Conta, escritório e assinatura: execução do contrato com o usuário (LGPD, art. 7º, V).
• Folha, eSocial e obrigações fiscais: cumprimento de obrigação legal ou regulatória pelo controlador (art. 7º, II), e, para os dados sensíveis, art. 11, II, "a". Dados de crianças são tratados no melhor interesse delas (art. 14), apenas no que a legislação trabalhista exige.
• Registros de uso e segurança: legítimo interesse em manter a plataforma segura e auditável (art. 7º, IX), e exercício regular de direitos (art. 7º, VI).

A ShiftCore Tech LTDA não vende dados pessoais. Eles passam somente por:

• Infraestrutura em nuvem: banco de dados, autenticação e armazenamento de arquivos da plataforma (Supabase, por meio do Lovable Cloud).
• Envio de e-mails: serviço de e-mail transacional do Lovable, que recebe o endereço de destino e o conteúdo do aviso.
• Pagamentos: Stripe, que processa a cobrança da assinatura.
• Assistente de IA, só quando usado: gateway de IA do Lovable e o provedor do modelo (Google, modelo Gemini), que recebem a pergunta e os dados que o assistente consulta para responder.
• Órgãos públicos, por ação do usuário: Receita Federal (por meio do Serpro, API Integra Contador), eSocial, SEFAZ e Ambiente de Dados Nacional da NFS-e, para consultar e transmitir declarações e eventos.
• Consulta de CNPJ: BrasilAPI e CNPJá, que recebem apenas o CNPJ consultado para preencher o cadastro.

Para os dados que o cliente cadastra sobre terceiros, as obrigações entre ele (controlador) e a ShiftCore Tech LTDA (operadora) estão no Anexo de Tratamento de Dados.

Esta é a lista completa de quem trata dados por conta da ShiftCore Tech LTDA hoje. Entrando um suboperador novo, ele é acrescentado aqui e a versão desta política sobe.

• Supabase: banco de dados, autenticação e arquivos (Estados Unidos).
• Lovable: hospedagem da aplicação, envio de e-mail e intermediação do assistente de IA (Estados Unidos).
• Google: modelo de linguagem do assistente de IA e fontes do site (Estados Unidos).
• Stripe: cobrança da assinatura (Estados Unidos).
• Serpro: API Integra Contador, para consultar e transmitir à Receita Federal (Brasil).
• BrasilAPI e CNPJá: consulta pública de CNPJ no cadastro de entidades (Brasil).

Quando o assistente de IA é utilizado, as perguntas e os dados consultados por ele podem ser processados fora do Brasil, pelo provedor do modelo de IA. O assistente é opcional e nenhuma outra funcionalidade depende dele. O processador de pagamentos e o serviço de envio de e-mails também podem tratar dados fora do Brasil. Essas transferências seguem o capítulo V da LGPD (arts. 33 a 36).

Os dados da conta ficam enquanto a conta existir. Os dados das entidades ficam enquanto o cliente usar o serviço e, depois, pelo tempo que as obrigações legais do contribuinte exigirem guardar escrituração, documentos fiscais e registros trabalhistas. Por isso, colaborador com folha registrada e entidade com movimento não são apagados por um clique: são desligados ou inativados e o histórico é preservado.

Ao excluir a própria conta, o nome, o e-mail, a foto, as conversas com o assistente e os acessos aos escritórios são apagados. O que o usuário registrou dentro de uma entidade (lançamentos, folha, notas) pertence à entidade e continua com ela.

Os prazos mínimos por categoria, com a norma que os impõe, são estes. Passado o prazo, o dado deixa de ter finalidade e é eliminado (LGPD, arts. 15 e 16); dentro do prazo, o sistema recusa a exclusão, porque eliminar antes tira do cliente a prova que a lei exige dele.

• Escrituração contábil: lançamentos, razão, balanços: 10 anos do encerramento do exercício. Código Civil, art. 1.194, combinado com o prazo de prescrição do art. 205.
• Documentos fiscais: notas, SPED, declarações, guias: 5 anos do primeiro dia do exercício seguinte ao do lançamento. CTN, art. 173, I e art. 174 (decadência e prescrição tributária).
• Folha de pagamento, holerites, afastamentos, férias e rescisões: 5 anos do fim do contrato de trabalho. CF, art. 7º, XXIX, e CLT, art. 11 (prescrição trabalhista).
• Contribuições previdenciárias e eventos do eSocial: 5 anos do primeiro dia do exercício seguinte ao da competência. Lei 8.212/1991, art. 32, §11, e CTN, art. 173, I.
• FGTS: depósitos e comprovantes: 5 anos do depósito. STF, ARE 709.212 (prescrição quinquenal), e Lei 8.036/1990, art. 23, §5º.
• Protocolos e XML transmitidos a órgãos públicos: 5 anos da transmissão. Acompanha o prazo do documento que comprovam (CTN, art. 173, I).
• Cadastro da conta: nome, e-mail, foto, acessos: sem prazo legal de guarda. Sem obrigação legal de guarda: eliminado a pedido ou ao encerrar (LGPD, art. 15, I e III).
• Certificado digital A1 e senha: sem prazo legal de guarda. Sem obrigação de guarda: eliminado ao vencer ou ao ser removido (LGPD, art. 16).
• Registro de incidentes de segurança: 5 anos do registro do incidente. Resolução CD/ANPD 15/2024, art. 10.
• Aceite dos Termos e da Política de Privacidade: 5 anos do encerramento da conta. Prova da relação de consumo (CDC, art. 27) e prestação de contas (LGPD, art. 6º, X).
• Perguntas ao assistente de IA e auditoria de uso: 1 anos da pergunta. Sem obrigação legal: prazo próprio, para apurar abuso e erro (LGPD, art. 15, I).

Pela LGPD (art. 18), o titular pode pedir:

• confirmação de que existe tratamento dos seus dados;
• acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
• portabilidade dos dados;
• eliminação dos dados tratados com base no consentimento;
• informação sobre com quem os dados foram compartilhados;
• informação sobre a possibilidade de não consentir e suas consequências;
• revogação do consentimento.

Pelo próprio sistema: exporte seus dados em Configurações, no botão "Exportar dados (JSON)", e exclua a conta em Configurações, no quadro "Excluir minha conta". Para os demais pedidos, escreva para o canal de privacidade, privacidade@absoluto.app, ou direto para o encarregado, caio@shiftcore.io. Diga qual direito está exercendo e informe um dado que permita localizar o cadastro, como o e-mail da conta ou o CPF. Os pedidos são respondidos em até 15 dias (LGPD, art. 19, II). Não cobramos nada por isso.

O titular também pode reclamar à ANPD. Pedidos sobre dados de colaboradores, sócios ou clientes de uma entidade devem ser feitos ao controlador desses dados (o empregador, a empresa ou o escritório), como explicado no item 2.

Toda comunicação com a plataforma é cifrada (HTTPS), e a comunicação com os órgãos públicos usa TLS mútuo com o certificado digital da entidade. Os arquivos ficam em armazenamento privado. A senha do certificado digital é guardada cifrada. Cada usuário só enxerga as entidades do escritório a que pertence, conforme o acesso que o administrador do escritório deu a ele, e perde esse acesso ao ser removido.

O Absoluto guarda no navegador apenas o necessário para funcionar: a sessão de login e preferências de tela (por exemplo, se o menu lateral está aberto). Não há cookies de publicidade nem ferramentas de rastreamento. As fontes do site são carregadas do Google Fonts, que recebe o endereço IP de quem abre a página.

Se um incidente de segurança puder causar risco ou dano relevante aos titulares, a ShiftCore Tech LTDA comunica a ANPD e os titulares afetados nos prazos da Resolução CD/ANPD nº 15/2024. Quando o incidente envolver dados de uma entidade, o cliente controlador é avisado para que possa cumprir as obrigações dele.

Cada mudança nesta política recebe uma nova versão e data, mostradas no topo da página. Dúvidas gerais sobre o serviço podem ser enviadas para suporte@absoluto.app; sobre dados pessoais, para o encarregado.

Veja também os Termos de Uso.