Esta Política de Privacidade descreve como [RAZÃO SOCIAL], inscrita no CNPJ sob o nº [CNPJ], com sede em [ENDEREÇO] ("Xfin"), trata dados pessoais no contexto da plataforma Xfin, em conformidade com a Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018).
Em relação aos Dados Cadastrais consultados pelo Parceiro através da API (dados de terceiros — os titulares consultados), a Xfin atua como operadora, tratando esses dados por ordem e em nome do Parceiro, que atua como controlador da consulta e é responsável por ter base legal para realizá-la.
Em relação aos dados cadastrais do próprio Parceiro (conta, faturamento, usuários responsáveis pela conta), a Xfin atua como controladora, definindo as finalidades e os meios de tratamento descritos nesta Política.
Dados da conta do Parceiro: e-mail de cadastro e de contato, dados de faturamento (razão social, CNPJ, endereço) e dados de uso da API (quantidade de consultas, endpoints acessados) para fins de billing e suporte.
Dados consultados via API (Dados Cadastrais de terceiros, tratados pela Xfin como operadora): CPF ou CNPJ informado na consulta, nome, situação cadastral perante a Receita Federal, e demais dados cadastrais retornados pelo bureau de dados parceiro (endereços, e-mails, telefones, quando disponíveis na fonte).
A Xfin não coleta, nesta relação, dados sensíveis (art. 5º, II, LGPD) do titular consultado; o objeto da consulta é estritamente cadastral.
Os dados da conta do Parceiro são tratados para execução do contrato de prestação de serviços (art. 7º, V, LGPD): autenticação, faturamento, suporte e comunicação sobre o serviço.
Os Dados Cadastrais consultados são tratados pela Xfin, na qualidade de operadora, estritamente para executar a consulta solicitada pelo Parceiro e devolver o resultado (dado cadastral e Score) — a base legal para a consulta em si (por exemplo, execução de contrato entre o Parceiro e o titular, cumprimento de obrigação legal ou legítimo interesse) é de responsabilidade do Parceiro, controlador dessa operação, conforme Cláusula 1.
Resultados de consulta (Dado Cadastral e o último Score calculado) ficam retidos enquanto necessários à prestação do serviço e à auditoria — incluindo otimizar consultas repetidas ao mesmo documento, manter trilha de decisão e permitir eventual atendimento a requisições do titular ou de autoridades —, sem prazo automático de expiração. A eliminação desses dados pode ser solicitada ao encarregado (canal da Cláusula 5) ou ocorre por ocasião do término contratual, ressalvadas obrigações legais de retenção.
Dados de conta e faturamento são retidos enquanto a conta estiver ativa e pelo prazo adicional exigido pela legislação fiscal e civil aplicável após o encerramento.
Nos termos do art. 18 da LGPD, o titular dos Dados Cadastrais consultados tem direito a confirmação de tratamento, acesso, correção, anonimização, portabilidade, eliminação, informação sobre compartilhamento e revogação de consentimento, quando aplicável. Como a Xfin atua como operadora nessa relação (Cláusula 1), solicitações desse titular devem, preferencialmente, ser dirigidas ao Parceiro controlador da consulta; a Xfin também recebe e encaminha tais solicitações quando exercidas diretamente.
Solicitações relativas a dados da própria conta do Parceiro, ou dúvidas sobre esta Política, podem ser dirigidas ao encarregado de proteção de dados (DPO) da Xfin pelo e-mail [E-MAIL DO ENCARREGADO (DPO)].
A Xfin utiliza os seguintes subprocessadores para operar a plataforma: Google Cloud Platform (infraestrutura de hospedagem, banco de dados e processamento); Stripe (processamento de pagamentos e faturamento do Parceiro); e o bureau de dados parceiro contratado pela Xfin (fonte primária dos Dados Cadastrais retornados nas consultas).
Cada subprocessador trata dados apenas na medida necessária à função para a qual foi contratado, sob obrigações contratuais de confidencialidade e segurança compatíveis com esta Política.
API Keys são armazenadas exclusivamente na forma de hash irreversível — nunca em texto puro — de modo que nem mesmo a equipe da Xfin tem acesso ao valor original após sua emissão. Números de documento (CPF/CNPJ) são mascarados em registros de log operacionais (mantendo apenas os dígitos necessários à depuração, com o restante ocultado), reduzindo a exposição de dados pessoais em trilhas técnicas.
Toda comunicação com a API é feita exclusivamente via TLS (HTTPS). O acesso interno a dados de produção é restrito por controle de acesso e monitorado.
A infraestrutura de hospedagem da plataforma Xfin (Google Cloud Platform) pode processar e armazenar dados em data centers localizados fora do Brasil. Nesses casos, a Xfin adota as salvaguardas exigidas pela LGPD (art. 33) para transferência internacional de dados, incluindo cláusulas contratuais e certificações de segurança do provedor de nuvem.
A plataforma Xfin (portal/console) utiliza um único cookie, __session, estritamente necessário para manter a sessão autenticada do usuário logado. Este cookie é essencial ao funcionamento do serviço (não pode ser desativado sem impedir o login) e não é utilizado para rastreamento, publicidade ou análise de comportamento entre sites. A Xfin não utiliza cookies de rastreamento de terceiros.
Esta Política pode ser atualizada para refletir mudanças na plataforma, na legislação aplicável ou nas práticas da Xfin. Alterações materiais serão comunicadas aos Parceiros pelo portal ou por e-mail com antecedência razoável antes de entrarem em vigor.
Para exercer direitos de titular, esclarecer dúvidas sobre esta Política ou sobre o tratamento de dados pessoais na plataforma Xfin, contate o encarregado de proteção de dados (DPO) pelo e-mail [E-MAIL DO ENCARREGADO (DPO)]. Correspondência formal pode ser dirigida a [RAZÃO SOCIAL], CNPJ [CNPJ], [ENDEREÇO].