Segurança e Privacidade da plataforma Wavus Notas
Como a plataforma protege os dados dos clientes, como as responsabilidades de segurança são divididas entre a Wavus e o cliente, e como os dados pessoais são tratados conforme a Lei Geral de Proteção de Dados (Lei nº 13.709/2018).
1.Resumo
- Cada cliente tem os seus dados em uma área própria e separada do banco de dados. Um cliente não enxerga os dados de outro.
- O acesso é sempre por conexão criptografada, com usuário e senha individuais, perfis de permissão e bloqueio automático após tentativas erradas.
- Senhas de certificado digital, credenciais de prefeituras e chaves de integração ficam cifradas. Senhas de usuários nunca são guardadas em texto legível.
- Na LGPD, o cliente é o controlador dos dados que insere na plataforma, e a Wavus é a operadora: trata esses dados apenas para prestar o serviço contratado.
- Os dados continuam sendo do cliente. Ele pode exportá-los pelas funções da plataforma e, encerrado o contrato, tem 30 dias para retirá-los antes da eliminação.
2.Quem responde por quais dados
A LGPD distingue quem decide sobre o tratamento dos dados pessoais (o controlador) de quem os trata em nome dele (o operador). Na plataforma, os papéis são estes:
Como operadora, a Wavus trata os dados exclusivamente conforme as instruções do cliente e para executar o contrato. Como controladora dos dados da conta, trata-os para executar o contrato, cobrar a assinatura e cumprir obrigações legais. (Contrato, cláusulas 15.2 e 15.7)
3.Medidas de segurança da plataforma
Acesso e autenticação
- Todo o acesso usa HTTPS (TLS), com redirecionamento obrigatório e HSTS.
- Cada usuário tem credenciais próprias. As senhas são guardadas apenas na forma de hash (PBKDF2 com SHA-256): nem a equipe da Wavus consegue lê-las.
- Senhas fracas são recusadas: tamanho mínimo, senhas comuns, só numéricas ou parecidas com os dados do usuário.
- Após 5 tentativas erradas, o acesso fica bloqueado por 15 minutos.
- A sessão encerra após 1 hora sem uso e ao fechar o navegador.
- Perfis de permissão por usuário (Administrador, Supervisor, Financeiro e Operador) definem quais módulos cada pessoa acessa.
Separação entre clientes
- Cada cliente tem um schema próprio no banco de dados PostgreSQL, separado dos demais.
- Além disso, cada consulta da aplicação é restrita ao cliente do usuário logado: são duas barreiras independentes.
- Testes automatizados verificam que um cliente não acessa notas, empresas ou arquivos de outro.
Criptografia de credenciais
- São gravados cifrados: a senha do certificado digital A1, as senhas e tokens de portais e prefeituras, as chaves de meios de pagamento e os tokens de plataformas e marketplaces conectados.
- A cifragem usa AES com autenticação HMAC-SHA256 (padrão Fernet). A chave fica fora do banco de dados.
- Depois de gravados, esses valores não são exibidos de volta nas telas: o campo aparece vazio e só aceita a troca.
Certificado digital A1
- O arquivo do certificado fica em área restrita do servidor, fora de qualquer pasta acessível pela internet.
- É usado somente para assinar e transmitir os documentos fiscais do próprio cliente.
- A plataforma confere o titular: só aceita certificado do CNPJ da empresa, da matriz ou do procurador informado.
Integrações e órgãos públicos
- A comunicação com prefeituras, Secretarias de Fazenda, Receita Federal, Ambiente Nacional da NFS-e e eSocial usa os webservices oficiais, autenticada pelo certificado digital do próprio cliente e protegida por TLS nos órgãos que oferecem o recurso.
- Avisos recebidos de terceiros (pagamentos, plataformas de venda, WhatsApp) só são aceitos com o segredo ou a assinatura do parceiro, sempre que ele oferece esse recurso.
- Pagamentos recebidos são confirmados diretamente no provedor antes de qualquer baixa.
Registros e rastreabilidade
- Ficam registrados, com usuário, data, hora e endereço IP: entradas, saídas e tentativas de acesso com falha, e as operações de emissão e cancelamento de NFS-e.
- O aceite do contrato é registrado com data, hora, IP e código de integridade do texto aceito.
Proteção da aplicação
- Proteções contra os ataques mais comuns a sistemas web: falsificação de requisições (CSRF), injeção de comandos no banco, execução de scripts em páginas (XSS) e exibição do sistema dentro de sites de terceiros (clickjacking).
- Cookies de sessão marcados como seguros (Secure, HttpOnly e SameSite).
- Arquivos enviados passam por validação de tipo e tamanho e são gravados com nomes aleatórios.
Manutenção e continuidade
- O código passa por revisões de segurança periódicas; a mais recente foi concluída em outubro de 2026.
- A cada publicação, as bibliotecas usadas são verificadas contra bases públicas de vulnerabilidades.
- A plataforma tem uma suíte de testes automatizados, com testes específicos de autorização e de isolamento entre clientes.
- São mantidas rotinas periódicas de cópia de segurança, como boa prática operacional. (Contrato, cláusula 14.4)
4.Responsabilidades de cada parte
A segurança depende das duas partes. A Wavus responde pela plataforma; o cliente, pelo uso que faz dela e pelos dados que insere.
A Wavus cuida de
- Manter a aplicação, os servidores e o banco de dados protegidos e atualizados.
- Manter os dados de cada cliente separados dos demais.
- Cifrar as credenciais sensíveis e controlar quem, na sua equipe, tem acesso administrativo.
- Acessar os dados do cliente apenas para suporte, manutenção e cumprimento de obrigações legais.
- Corrigir as falhas de segurança que identificar ou que lhe forem comunicadas.
- Exigir dos seus fornecedores um padrão de proteção compatível com o deste documento. (15.5)
- Comunicar ao cliente, em prazo razoável, os incidentes de segurança relevantes que envolvam os dados dele. (15.4)
- Auxiliar o cliente no atendimento a titulares de dados e à autoridade nacional. (15.6)
O cliente cuida de
- Definir quem acessa a plataforma e com qual perfil, e remover o acesso de quem deixa a organização. (5.4)
- Manter as senhas pessoais, sigilosas e fortes, e proteger os computadores e e-mails usados no acesso. (5.1)
- Guardar e renovar o seu certificado digital A1 e a respectiva senha.
- Ter base legal para os dados pessoais que insere e atender os titulares desses dados (seus clientes, funcionários e fornecedores). (15.3)
- Conferir as informações fiscais antes de transmiti-las. (cláusula 6)
- Manter cópia própria dos documentos fiscais pelos prazos legais. (14.5)
- Configurar os tokens de verificação das integrações que ativar.
- Avisar imediatamente a Wavus em caso de suspeita de uso não autorizado. (5.3)
5.Privacidade e LGPD
5.1 Dados pessoais tratados
- Usuários da conta: nome, e-mail, telefone e registros de acesso.
- Tomadores, clientes e fornecedores do cliente: nome ou razão social, CPF ou CNPJ, endereço, e-mail e telefone, usados nos documentos fiscais e no financeiro.
- Funcionários e dependentes, quando o cliente usa a Folha de Pagamento e o eSocial: dados de identificação, contratuais, de remuneração e bancários. Esses cadastros podem incluir dados pessoais sensíveis, como informações de saúde ligadas a afastamentos; cabe ao cliente registrar apenas o necessário.
- Documentos fiscais, financeiros e contábeis emitidos, recebidos ou importados.
- Certificado digital A1 e credenciais de acesso a órgãos públicos e integrações.
5.2 Finalidades e bases legais
Os dados inseridos pelo cliente são tratados para emitir e transmitir documentos fiscais, cumprir obrigações acessórias (como o eSocial) e apoiar a gestão financeira e contábil dele. As bases legais desse tratamento são definidas pelo cliente, como controlador; em regra, o cumprimento de obrigação legal ou regulatória e a execução de contrato (LGPD, art. 7º, II e V).
Os dados da conta são tratados pela Wavus para executar o contrato, cobrar a assinatura, cumprir obrigações legais e manter a segurança do acesso.
A Wavus não vende os dados dos clientes nem os usa para finalidades próprias. Pode utilizar dados agregados e anonimizados, que não identificam ninguém, para estatística e melhoria da plataforma. (Contrato, cláusula 16.4)
5.3 Com quem os dados são compartilhados
- Órgãos públicos emissores (prefeituras, Secretarias de Fazenda, Receita Federal, Ambiente Nacional da NFS-e, eSocial): recebem os dados dos documentos transmitidos, por exigência legal e por ordem do cliente.
- Suboperadores contratados pela Wavus para prestar o serviço (cláusula 15.5):
- infraestrutura e hospedagem;
- meio de pagamento, para a cobrança da assinatura e, se o cliente ativar, para a cobrança dos clientes dele;
- envio de e-mails (notas fiscais e avisos do sistema);
- mensagens por WhatsApp, quando o cliente ativa o atendimento ou os avisos por esse canal;
- inteligência artificial, apenas quando o cliente ativa o atendimento automático: o conteúdo das conversas é processado pelo provedor de IA para gerar as respostas;
- consulta a bases públicas de CNPJ e CEP, para preencher cadastros.
- Plataformas conectadas pelo próprio cliente (por exemplo Hotmart, Kiwify, Shopee, Mercado Livre e TikTok Shop): a troca de dados acontece porque o cliente conectou a conta dele, e segue os termos dessas plataformas.
A relação atualizada de suboperadores pode ser solicitada pelo canal de privacidade.
5.4 Transferência internacional
Alguns suboperadores (por exemplo, serviços de e-mail, de inteligência artificial e de medição de audiência) podem processar dados em servidores fora do Brasil. Nesses casos, a Wavus exige deles padrão de proteção compatível com o deste documento, nos termos dos arts. 33 a 36 da LGPD.
5.5 Por quanto tempo os dados ficam guardados
- Enquanto o contrato estiver em vigor, os dados ficam disponíveis para o cliente na plataforma.
- Encerrado o contrato, o cliente tem 30 dias para extrair os dados pelas funções de exportação. Se pedir formalmente nesse prazo, recebe os documentos fiscais em XML e os demais dados em formato estruturado de uso comum. (14.1 e 14.2)
- Depois desse prazo, os dados podem ser eliminados definitivamente, ressalvada a guarda obrigatória prevista em lei. (14.3)
- A guarda dos documentos fiscais pelos prazos legais é obrigação do cliente, que deve manter cópias próprias. (14.5)
5.6 Direitos dos titulares
A LGPD (art. 18) garante ao titular, entre outros, o direito de confirmar a existência do tratamento, acessar e corrigir seus dados, pedir anonimização, bloqueio ou eliminação de dados desnecessários, solicitar a portabilidade e ser informado sobre o compartilhamento.
- Titulares cujos dados foram inseridos por um cliente (por exemplo, quem recebeu uma nota fiscal ou é funcionário de uma empresa usuária) devem dirigir o pedido a esse cliente, que é o controlador. A Wavus encaminha ao cliente os pedidos que receber e o auxilia no atendimento.
- Usuários da conta podem exercer seus direitos pelo canal de privacidade indicado abaixo.
5.7 Incidentes de segurança
Ao identificar um incidente de segurança relevante que envolva dados de um cliente, a Wavus atua para contê-lo e comunica o cliente em prazo razoável, com as informações de que dispuser, para que ele possa avaliar a comunicação à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares no prazo regulamentar (Resolução CD/ANPD nº 15/2024). Quando o incidente atingir dados de que a Wavus é controladora, ela própria faz as comunicações cabíveis.
5.8 Cookies e medição de audiência
- Cookies necessários: mantêm a sessão do usuário e protegem os formulários contra falsificação de requisições. Sem eles o sistema não funciona.
- Medição de audiência: as páginas da Wavus carregam o Google Tag Manager e o Meta Pixel, que registram dados de navegação (páginas visitadas, tipo de dispositivo) e podem usar cookies próprios.
6.Canal de privacidade e contato
Canal de privacidade e proteção de dados:
suporte@wavus.com.br
Suporte e comunicação de suspeita de uso indevido:
suporte@wavus.com.br
CODE FOR COMPANIES LTDA · CNPJ 47.650.725/0001-99
Rua Marília de Dirceu, 141, Jardim Aeroporto, São Paulo/SP, CEP 04632-030
7.Sobre este documento
Este documento resume, em linguagem direta, as práticas de segurança e de privacidade da plataforma. Ele não substitui o Contrato de Licença de Uso de Software, em especial as cláusulas 5 (credenciais), 14 (dados após o término), 15 (proteção de dados pessoais) e 16 (confidencialidade). Em caso de divergência, prevalece o contrato.
O texto é revisto sempre que as práticas da plataforma mudam; a versão e a data ficam no topo da página.