Política de Privacidade

Esta Política de Privacidade explica como Vanderlei Aurelino da Silva (PromptLabs), CNPJ 69.110.535/0001-11, com sede em Rua Cáceres, 304 – Canelas – Várzea Grande/MT – CEP 78135-060, responsável pelo PixBoleto, coleta, usa, compartilha, armazena e protege dados pessoais. Ela segue a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 – “LGPD”), o Marco Civil da Internet (Lei nº 12.965/2014), a Lei Complementar nº 105/2001 (sigilo bancário) e as normas da Autoridade Nacional de Proteção de Dados (ANPD).

O PixBoleto é uma plataforma de emissão e gestão de boletos, BolePix (boleto com QR Code Pix) e cobranças Pix, integrada às APIs de instituições financeiras. Esta Política se aplica à aplicação web, às APIs, aos webhooks e às integrações do PixBoleto, e deve ser lida junto com os Termos de Uso.

O PixBoleto é usado por empresas para cobrar os seus próprios clientes. Por isso, atuamos em dois papéis:

Quando atuamos como Operador, tratamos os dados somente para prestar o serviço contratado e conforme as instruções do Cliente. Pedidos de titulares sobre esses dados devem ser dirigidos ao Cliente. Se recebermos algum, nós o encaminharemos ao Cliente e o apoiaremos no atendimento.

a) Dados de conta dos Usuários: nome, e-mail, perfil de acesso e credenciais de login (a senha é armazenada apenas em formato hash).

b) Dados do Cliente (pessoa jurídica): razão social, CNPJ, endereço, dados de contato e de cobrança da assinatura; dados da conta bancária usada nas cobranças (banco, agência, conta, convênio ou carteira).

c) Dados dos Pagadores (inseridos pelo Cliente ou pelo seu ERP): nome ou razão social, CPF/CNPJ, endereço, cidade/UF, CEP, e-mail e telefone, além dos dados da cobrança: valor, vencimento, juros, multa, desconto, número do documento e identificadores no ERP.

d) Dados retornados pelas instituições financeiras: identificador da cobrança, nosso número, linha digitável, código de barras, Pix copia-e-cola (EMV), identificador da transação Pix (txid), status, data e valor pago, forma de pagamento e eventos de liquidação, expiração e baixa.

e) Credenciais técnicas de integração: client id, client secret, tokens de acesso e de atualização (OAuth), certificados digitais e segredos de webhook. Não coletamos nem armazenamos senhas de internet banking, senhas de cartão ou tokens de autenticação pessoal do correntista.

f) Dados técnicos e de navegação: endereço IP, data e hora de acesso, navegador, registros de ações no sistema (logs de auditoria e histórico de eventos de cada cobrança) e cookies estritamente necessários à sessão.

g) Comunicações: mensagens trocadas com o suporte.

A Plataforma não se destina a tratar dados pessoais sensíveis (art. 5º, II, da LGPD) nem dados de crianças e adolescentes.

O PixBoleto se integra às APIs oficiais de cobrança das seguintes instituições: Banco BTG Pactual S.A.; Banco do Brasil S.A.; Itaú Unibanco S.A.; Banco Cooperativo Sicredi S.A. e cooperativas do Sistema Sicredi. Nessas integrações, em especial com o Banco BTG Pactual S.A.:

1. Ativação pelo Cliente: a integração só é habilitada pelo próprio Cliente. No BTG Pactual, o titular da conta concede o consentimento no BTG Id (OAuth 2.0 / OpenID Connect), escolhe a empresa e autoriza apenas os escopos necessários — openid e cobranças (brn:btg:empresas:banking:collections). A autorização pode ser revogada a qualquer tempo no próprio BTG ou na Plataforma.
2. Mínimo necessário: acessamos somente os dados e operações de cobrança correspondentes às funcionalidades habilitadas. Não acessamos saldo, extrato ou pagamentos da conta, e não usamos dados bancários para nenhuma outra finalidade, incluindo publicidade, venda de dados ou análise de crédito própria.
3. Fluxo de dados: o PixBoleto envia à instituição financeira os dados da cobrança (pagador, CPF/CNPJ, endereço, valor, vencimento, juros, multa, desconto e número do documento) e recebe de volta o registro, a linha digitável, o código de barras, o QR Code Pix, o PDF, o status e a liquidação.
4. Segurança da comunicação: toda troca de dados com os bancos ocorre por canais criptografados (HTTPS/TLS 1.2 ou superior). Quando exigido pela instituição, usamos autenticação mútua com certificado (mTLS). As notificações recebidas por webhook são autenticadas por segredo compartilhado e, antes de uma cobrança ser marcada como paga, seu status é reconsultado na API do banco.
5. Credenciais: chaves, tokens e certificados ficam armazenados com acesso restrito aos processos que executam a integração e nunca são exibidos ao navegador dos Usuários operadores. São eliminados quando a integração é desativada ou o contrato termina.
6. Responsabilidade do banco: cada instituição financeira é controladora independente dos dados que trata na relação com o seu correntista e segue a própria política de privacidade e as normas do Banco Central do Brasil e do Conselho Monetário Nacional, incluindo a Resolução CMN nº 4.893/2021 (segurança cibernética).
7. Sigilo: as informações bancárias são tratadas como confidenciais. Os colaboradores e prestadores com acesso a elas estão sujeitos a dever contratual de sigilo.

Não vendemos dados pessoais. Compartilhamos dados somente na medida necessária às finalidades desta Política, com:

• Instituições financeiras (BTG Pactual, Banco do Brasil, Itaú, Sicredi), para registro e gestão das cobranças, mediante autorização do Cliente;
• O ERP do Cliente, quando o Cliente ativa essa integração;
• Provedores de infraestrutura em nuvem (hospedagem, banco de dados e backup);
• Autoridades públicas, judiciais ou administrativas, por obrigação legal, ordem judicial ou requisição legítima;
• Sucessores, em caso de fusão, aquisição ou reorganização societária, mantidas as garantias desta Política.

Os suboperadores são contratados com cláusulas de confidencialidade, segurança e proteção de dados equivalentes às desta Política. A lista atualizada pode ser solicitada pelo e-mail suporte@promptlabs.me.

Alguns fornecedores de infraestrutura em nuvem podem armazenar ou processar dados fora do Brasil. Nesses casos, a transferência observa os arts. 33 a 36 da LGPD e a Resolução CD/ANPD nº 19/2024, apoiando-se em mecanismos válidos, como cláusulas-padrão contratuais, e em fornecedores com nível de proteção adequado. Os dados de integração bancária são tratados, sempre que possível, em infraestrutura localizada no Brasil.

Adotamos medidas técnicas e administrativas aptas a proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão (art. 46 da LGPD). Entre elas:

• criptografia em trânsito (HTTPS/TLS) em todo o acesso à Plataforma e na comunicação com os bancos;
• senhas armazenadas com algoritmo de hash resistente (bcrypt);
• autenticação com sessão de duração limitada e controle de acesso por perfil (administrador, gestor, operador);
• credenciais bancárias acessíveis apenas a administradores e aos processos de integração;
• autenticação dos webhooks e da integração com ERP por segredo/token exclusivo;
• registros de auditoria e histórico de eventos de cada cobrança;
• backups periódicos e procedimentos de recuperação;
• princípio do menor privilégio para colaboradores, com acordos de confidencialidade.

Incidentes: se ocorrer um incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a ANPD e os afetados conforme o art. 48 da LGPD e a Resolução CD/ANPD nº 15/2024. Quando atuarmos como Operador, avisaremos o Cliente Controlador sem demora indevida e o apoiaremos nas comunicações. Se o incidente envolver integração bancária, também avisaremos a instituição financeira envolvida.

Mantemos os dados pessoais apenas pelo tempo necessário às finalidades ou exigido por lei:

• Dados das cobranças e dos Pagadores: durante a vigência do contrato e por 30 dias após o encerramento, para exportação. Depois são eliminados ou anonimizados.
• Registros de acesso: no mínimo 6 (seis) meses (Marco Civil da Internet, art. 15).
• Dados de faturamento da assinatura: pelo prazo prescricional e decadencial tributário (em regra, 5 anos).
• Credenciais de integração bancária: até a revogação da integração ou o fim do contrato.
• Dados necessários à defesa em processos: pelo prazo prescricional aplicável (art. 16 da LGPD).

Nos termos do art. 18 da LGPD, o titular pode solicitar:

• confirmação da existência de tratamento e acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• portabilidade dos dados a outro fornecedor;
• eliminação dos dados tratados com base no consentimento;
• informação sobre as entidades com as quais os dados foram compartilhados;
• informação sobre a possibilidade de não consentir e suas consequências;
• revogação do consentimento;
• revisão de decisões tomadas unicamente com base em tratamento automatizado;
• oposição a tratamento realizado em desconformidade com a lei.

Os pedidos podem ser feitos pelo e-mail suporte@promptlabs.me e serão respondidos em até 15 (quinze) dias, podendo ser solicitada a confirmação de identidade. Se você recebeu um boleto ou cobrança Pix emitido por uma empresa que usa o PixBoleto, o pedido deve ser dirigido a essa empresa, que é a Controladora dos seus dados; nós a apoiaremos no atendimento. O titular também pode peticionar à ANPD (www.gov.br/anpd).

Usamos cookies estritamente necessários para manter a sessão autenticada e proteger contra fraudes (por exemplo, CSRF). Não usamos cookies de publicidade ou de rastreamento de terceiros. Se o bloqueio desses cookies for configurado no navegador, o login e o funcionamento da Plataforma podem ser prejudicados.

O Encarregado pelo Tratamento de Dados Pessoais é o canal de comunicação entre o PixBoleto, os titulares e a ANPD (art. 41 da LGPD e Resolução CD/ANPD nº 18/2024).

• Encarregado: Vanderlei A Silva
• E-mail: suporte@promptlabs.me
• Endereço: Rua Cáceres, 304 – Canelas – Várzea Grande/MT – CEP 78135-060

Esta Política pode ser atualizada para refletir mudanças legais, regulatórias, novas integrações ou funcionalidades. Alterações relevantes serão comunicadas aos Clientes por e-mail ou aviso na Plataforma. A versão vigente e a data da última atualização ficam sempre indicadas no topo desta página.