Política de Privacidade

Em síntese

• O Argos é uma plataforma de gestão, automação, consulta, monitoramento, auditoria e apoio à análise de documentos fiscais eletrônicos.
• A Lyceu atua como controladora dos dados necessários à conta, ao relacionamento, ao suporte e à segurança; em regra, atua como operadora dos dados fiscais tratados em nome do cliente.
• O Argos não vende dados pessoais e não utiliza certificados, credenciais ou documentos fiscais para finalidade estranha ao serviço contratado.
• Recursos de inteligência artificial são auxiliares, devem ser submetidos à revisão humana e não substituem análise contábil, fiscal ou jurídica profissional.
• O titular pode exercer os direitos previstos na LGPD sem cobrança, observadas a verificação de identidade e as competências do controlador responsável.

Documento público pretendido | Aplicação web, APIs, integrações, componentes locais e atendimento do Argos

1. Objetivo e alcance

Esta Política de Privacidade explica, em linguagem clara, como a Lyceu Tecnologia Ltda. coleta, utiliza, acessa, compartilha, armazena, protege e elimina dados pessoais relacionados ao Argos. O documento observa a Lei Geral de Proteção de Dados Pessoais - LGPD, o Marco Civil da Internet, sua regulamentação e as normas aplicáveis da ANPD.

A Política aplica-se ao uso da plataforma web, aos portais do contador e do cliente, às APIs, ao Monitor BOX ou a outros componentes locais, ao onboarding, ao suporte, aos ambientes de teste e piloto e às integrações habilitadas pelo cliente. Também abrange as páginas e comunicações próprias do Argos que remetam a este documento.

Esta Política deve ser lida em conjunto com os termos de uso, o contrato, o termo do programa piloto, o acordo de tratamento de dados e as configurações escolhidas pelo cliente. Se houver divergência sobre uma operação específica, prevalecerá o instrumento mais específico, sem redução dos direitos assegurados pela legislação.

Importante: o Argos atende organizações e usuários profissionais. O cliente deve disponibilizar aos seus próprios titulares os avisos necessários sobre os tratamentos realizados sob sua responsabilidade.

2. Quem é responsável pelo Argos

2.1. Quando a Lyceu atua como controladora

A Lyceu atua como controladora quando define as finalidades e os meios essenciais do tratamento, especialmente em relação ao cadastro de usuários, gestão contratual e comercial, suporte, faturamento, segurança da plataforma, prevenção a fraudes, registros de auditoria, comunicações institucionais e melhoria do serviço com dados minimizados, agregados ou anonimizados.

2.2. Quando a Lyceu atua como operadora

Em regra, o cliente - escritório contábil ou empresa contratante - é o controlador dos dados pessoais existentes nos documentos fiscais, arquivos, cadastros, chaves de acesso, caixas de e-mail e sistemas conectados ao Argos. Nesses casos, a Lyceu atua como operadora, tratando os dados segundo as instruções documentadas do cliente e para executar o serviço contratado.

A condição de operadora não afasta os deveres próprios da Lyceu previstos na LGPD, especialmente os de segurança, confidencialidade, registro, cooperação, observância das instruções lícitas e comunicação de incidentes. A contratação do Argos não transfere à Lyceu as decisões fiscais, contábeis, trabalhistas ou comerciais do cliente.

2.3. Pedidos de titulares em operações do cliente

Quando um pedido se referir a dados fiscais tratados em nome do cliente, o titular deverá, preferencialmente, dirigir-se ao respectivo cliente controlador. Se o pedido chegar à Lyceu, ela poderá confirmar a identidade do solicitante, identificar o controlador competente, encaminhar a solicitação e prestar a cooperação tecnicamente possível, sem divulgar dados de terceiros ou contrariar obrigação legal.

3. Quem pode ser titular de dados tratados

Conforme o contexto, o Argos pode tratar dados pessoais das seguintes categorias de titulares:

• usuários administradores, operadores, contadores, gestores e demais profissionais autorizados pelo cliente;
• representantes legais, sócios, procuradores, responsáveis técnicos e contatos de clientes, empresas monitoradas e parceiros;
• emitentes, destinatários, tomadores, prestadores, transportadores, motoristas, produtores rurais, empresários individuais, consumidores e outros participantes identificados em documentos fiscais;
• pessoas que interagem com suporte, onboarding, demonstrações, pesquisas, formulários, eventos comerciais ou programa piloto; e
• visitantes das páginas do Argos, quando forem utilizados cookies ou registros técnicos de acesso.

4. Quais dados pessoais podem ser tratados

4.1. Dados de cadastro e relacionamento

Nome, e-mail, telefone, CPF, cargo, empresa, função, vínculo profissional, perfil de acesso, permissões, preferências, registros de aceite e dados necessários à contratação, ao faturamento, ao atendimento e à comunicação. Senhas devem ser protegidas por mecanismos criptográficos de sentido único; códigos temporários e fatores de autenticação devem ser tratados apenas pelo tempo necessário à validação.

4.2. Dados empresariais vinculados a pessoas naturais

Razão social, nome empresarial, nome fantasia, CNPJ, inscrições, endereços, regime tributário, filiais, procurações, responsáveis e contatos. Dados de pessoa jurídica não são, por si só, dados pessoais; contudo, podem tornar-se pessoais quando identificarem empresário individual, produtor rural, profissional autônomo, sócio ou representante.

4.3. Dados constantes de documentos fiscais

Informações contidas em NF-e, NFC-e, CT-e, MDF-e, NFS-e Nacional e documentos correlatos, incluindo chaves de acesso, protocolos, eventos, manifestações, datas, valores, tributos, itens, produtos, serviços, fretes, placas, dados de pagamento, nomes, CPFs, CNPJs, endereços, e-mails, telefones e demais campos existentes no documento ou nos arquivos associados.

O Argos pode receber esses dados por consultas autorizadas, manifestação do destinatário, buscas por chave, recebimento por e-mail, upload, fila de chaves, componente local, APIs e integrações. Dependendo da atividade descrita no documento, podem aparecer incidentalmente dados pessoais sensíveis. A Lyceu não os solicita como requisito geral e os tratará somente no escopo necessário ao serviço e às instruções lícitas do cliente.

4.4. Dados de certificados, credenciais e integrações

Certificados digitais A1 ou A3, cadeia e número de série, validade, CNPJ ou CPF vinculado, autorizações, procurações, tokens, chaves de API, identificadores de integração, metadados de autenticação e credenciais estritamente necessárias à conexão com ambientes fiscais e sistemas escolhidos pelo cliente.

4.5. Dados técnicos, de uso e segurança

Endereço IP, data e hora, navegador, sistema operacional, dispositivo, identificadores de sessão, tentativas de acesso, páginas e funções utilizadas, empresas acessadas, ações administrativas, downloads, integrações executadas, falhas, eventos de segurança, registros de auditoria, desempenho e telemetria técnica do Monitor BOX ou de componente equivalente.

4.6. Dados de suporte, pesquisa e piloto

Conteúdo de tickets, chats, e-mails, reuniões, gravações previamente informadas, anexos, capturas de tela, avaliações, respostas a formulários e feedbacks sobre o Argos. Depoimentos, estudos de caso, uso de marca, imagem ou voz dependerão de autorização específica e destacada, separada do acesso regular ao produto.

4.7. Entradas e resultados de inteligência artificial

Quando os recursos de IA estiverem habilitados, poderão ser tratados comandos, perguntas, trechos selecionados de documentos ou indicadores, contexto necessário à análise, avaliações do usuário e respostas geradas. A extensão desse tratamento dependerá da função usada, das configurações do ambiente e do conteúdo fornecido pelo usuário.

5. De onde os dados são obtidos

• diretamente do usuário, do cliente, de seus representantes e de pessoas por eles autorizadas;
• de documentos, planilhas, arquivos, caixas de e-mail, chaves e cadastros enviados ou conectados pelo cliente;
• de ambientes da Receita Federal, e-CAC, SEFAZ, municípios, NFS-e Nacional e outros ambientes fiscais, sempre mediante base jurídica, autorização, certificado, procuração ou credencial válida;
• de sistemas contábeis e de gestão, como Ordix, OMIE, escrita fiscal, ERPs e outras integrações habilitadas pelo cliente;
• do Monitor BOX ou de outro componente instalado no ambiente do cliente, dentro do escopo configurado; e
• automaticamente, por registros de acesso, cookies, logs, mecanismos de segurança, monitoramento e telemetria técnica.

6. Para que os dados são usados e quais são as bases legais

A base legal depende do papel da Lyceu, da finalidade concreta e da natureza do dado. O consentimento não será utilizado de forma genérica nem quando outra hipótese legal for a mais adequada. Quando a Lyceu atuar como operadora, caberá ao cliente controlador definir e documentar a hipótese legal aplicável ao tratamento principal.

7. Certificados digitais, procurações e acessos fiscais

O uso de certificado digital ou credencial no Argos depende de autorização válida do respectivo titular ou responsável e deve respeitar os poderes concedidos, o escopo contratado e as regras do ambiente fiscal. O cliente declara que possui legitimidade para fornecer, conectar ou autorizar o uso dos certificados e acessos cadastrados.

• Finalidade limitada: certificados e credenciais serão usados para autenticação, consulta, captura, manifestação e demais operações expressamente habilitadas no Argos.
• Proteção: arquivos A1, senhas, tokens e segredos eventualmente armazenados devem permanecer cifrados, segregados e acessíveis apenas a processos e pessoas autorizadas.
• A3 e componente local: quando a arquitetura exigir dispositivo físico, PIN ou presença local, o certificado poderá permanecer sob a guarda do cliente, e o Argos tratará somente as solicitações e os metadados necessários.
• Sem uso autônomo: a Lyceu não utilizará certificados para assinar, transmitir, alterar ou consultar informações fora do escopo autorizado.
• Revogação: o cliente deverá comunicar revogação, expiração, troca de responsável ou suspeita de comprometimento e remover acessos que não sejam mais necessários.

Controle recomendado: o Argos deve exibir o certificado vinculado, a validade, o escopo, o responsável pela autorização e o histórico das operações relevantes, sem revelar a chave privada ou a senha ao usuário não autorizado.

8. Inteligência artificial e análises automatizadas

O Argos poderá utilizar inteligência artificial para classificar informações, resumir documentos, detectar padrões, gerar alertas, sugerir verificações, apoiar simulações relacionadas à Reforma Tributária e produzir insights gerenciais. Essas funções têm natureza assistiva.

• As respostas podem conter imprecisões e devem ser revisadas por profissional qualificado antes de qualquer decisão ou obrigação fiscal.
• A Lyceu aplicará minimização e, quando possível, mascaramento, pseudonimização ou agregação antes do envio de conteúdo a provedor de IA.
• Certificados, senhas, chaves privadas e segredos de integração não devem ser enviados a modelos de IA.
• Dados pessoais e conteúdo fiscal do cliente não serão usados para treinamento de modelos de propósito geral da Lyceu ou de terceiros, salvo anonimização efetiva ou autorização específica, expressa e documentada do controlador competente.
• Quando um provedor externo, incluindo a OpenAI quando aplicável, processar dados para uma função habilitada, ele atuará sob contrato, limites de finalidade, confidencialidade, segurança, retenção controlada e regras de transferência internacional.

No funcionamento normal, o Argos não toma decisão unicamente automatizada que produza efeitos jurídicos ou afete de forma relevante os interesses de uma pessoa natural. Se uma função futura tiver esse efeito, a Lyceu ou o cliente controlador, conforme o caso, disponibilizará informações adequadas sobre critérios e procedimentos e um meio de solicitar revisão, observados os segredos comercial e industrial.

9. Com quem os dados podem ser compartilhados

A Lyceu não vende nem aluga dados pessoais. O compartilhamento ocorrerá somente quando necessário à finalidade informada, mediante contratos, controles de acesso e avaliação compatível com o risco. As categorias de destinatários podem incluir:

• provedores de computação em nuvem, banco de dados, armazenamento, backup, rede, distribuição de conteúdo, monitoramento, observabilidade e segurança;
• prestadores de autenticação, e-mail, mensageria, atendimento, suporte, assinatura eletrônica, cobrança e comunicação;
• provedores de inteligência artificial contratados para funções habilitadas, com minimização dos dados;
• Receita Federal, e-CAC, SEFAZ, municípios, NFS-e Nacional e outros ambientes fiscais acessados sob autorização;
• Ordix, OMIE, sistemas de escrita fiscal, ERPs, APIs e outros sistemas escolhidos e habilitados pelo cliente;
• empresas do mesmo grupo econômico que prestem serviços efetivos ao Argos, observadas finalidade, necessidade e governança;
• auditores, consultores, escritórios jurídicos, seguradoras e potenciais partes de reorganização societária, sujeitos a confidencialidade e diligência; e
• autoridades públicas, órgãos reguladores e terceiros quando houver obrigação legal, ordem válida, proteção de direitos, prevenção a fraude ou resposta a emergência.

A relação atualizada dos subprocessadores relevantes, suas funções e localidades deverá ser disponibilizada pelo canal de privacidade ou em página própria do Argos. Mudanças materiais que elevem o risco serão avaliadas e comunicadas conforme o contrato e a legislação.

10. Transferências internacionais

Alguns fornecedores de nuvem, observabilidade, suporte ou inteligência artificial podem tratar dados fora do Brasil ou permitir acesso remoto a partir de outro país. Nesses casos, a Lyceu limitará a transferência ao mínimo necessário e adotará mecanismo válido previsto na LGPD e no Regulamento de Transferência Internacional de Dados da ANPD, como decisão de adequação, cláusulas-padrão contratuais, normas corporativas globais ou outra hipótese legal aplicável.

A Lyceu avaliará o país de destino, a finalidade, as categorias de dados, o período de tratamento, as transferências posteriores, os direitos do titular e as medidas técnicas e contratuais do destinatário. Informações adicionais sobre uma transferência específica poderão ser solicitadas pelo canal de privacidade, ressalvados segredos comercial e industrial.

11. Por quanto tempo os dados são mantidos

Os dados serão mantidos pelo tempo necessário à finalidade informada, à prestação do serviço, ao cumprimento de obrigações legais, à defesa de direitos e à preservação da segurança. Não existe um prazo único para todas as categorias.

Depois do término do tratamento, os dados poderão ser conservados somente nas hipóteses permitidas pela LGPD. Dados anonimizados de modo efetivo poderão ser usados para estatísticas, segurança, pesquisa e melhoria do produto, sem tentativa de reidentificação.

12. Como os dados são protegidos

A Lyceu adotará medidas técnicas e administrativas proporcionais à natureza dos dados, ao volume, ao contexto, ao estado da tecnologia e aos riscos do tratamento. Essas medidas devem abranger o ciclo de desenvolvimento, a implantação, a operação e o encerramento do serviço, incluindo, conforme aplicável:

• controle de acesso por função, menor privilégio, segregação entre clientes e revisão periódica de permissões;
• autenticação forte, proteção de sessões, gestão de segredos e trilhas de auditoria;
• criptografia em trânsito e em repouso para dados e credenciais compatíveis com o risco;
• separação de ambientes, desenvolvimento seguro, revisão de código, testes, correções e gestão de vulnerabilidades;
• monitoramento, alertas, cópias de segurança, continuidade, recuperação e resposta a incidentes;
• seleção, contratação e acompanhamento de fornecedores com obrigações de privacidade e segurança;
• treinamento, confidencialidade e responsabilização de colaboradores e prestadores; e
• registros das operações, avaliações de risco e relatórios de impacto quando necessários.

Nenhum ambiente é totalmente imune a riscos. Usuários também devem manter credenciais em sigilo, utilizar dispositivos protegidos, habilitar fatores adicionais de autenticação quando disponíveis e comunicar imediatamente qualquer suspeita de acesso indevido.

13. Cookies e tecnologias semelhantes

O Argos poderá utilizar cookies e tecnologias semelhantes para manter sessões, autenticar usuários, memorizar preferências, proteger o serviço, medir desempenho e compreender o uso das funções. Cookies estritamente necessários podem ser utilizados independentemente de consentimento quando indispensáveis ao serviço e à segurança.

Cookies de análise, personalização ou marketing que não sejam estritamente necessários dependerão da base legal apropriada e, quando exigido, de escolha prévia do usuário. O painel ou aviso de cookies deverá permitir aceitar, rejeitar ou ajustar categorias com facilidade. O Argos não utilizará publicidade comportamental sem informação destacada e mecanismo válido de escolha.

Transparência complementar: a versão publicada deverá ser acompanhada de inventário de cookies contendo nome, fornecedor, finalidade, categoria e duração.

14. Direitos dos titulares

Nos termos da LGPD e conforme o papel da Lyceu em cada operação, o titular pode solicitar, sem cobrança:

• confirmação da existência de tratamento e acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• portabilidade, conforme regulamentação e observados segredos comercial e industrial;
• eliminação dos dados tratados com consentimento, ressalvadas as hipóteses legais de conservação;
• informação sobre entidades públicas e privadas com as quais houve uso compartilhado;
• informação sobre a possibilidade de negar consentimento e as consequências;
• revogação do consentimento e oposição a tratamento irregular realizado sem consentimento;
• revisão de decisão tomada unicamente com base em tratamento automatizado que afete seus interesses; e
• peticionamento perante a ANPD e órgãos de defesa do consumidor, quando aplicável.

14.1. Como fazer um pedido

O pedido poderá ser enviado ao canal de privacidade informado nesta Política. Para proteger o titular e terceiros, a Lyceu poderá solicitar informações razoáveis para confirmar a identidade e a legitimidade do representante. Não serão exigidos dados incompatíveis com essa finalidade.

Quando a Lyceu for controladora, a confirmação simplificada ou o acesso será providenciado imediatamente quando possível; a resposta completa será fornecida no prazo legal aplicável, atualmente de até 15 dias para a declaração clara e completa prevista na LGPD. Quando a Lyceu for operadora, o pedido será encaminhado ao cliente controlador e atendido em cooperação com ele.

Alguns pedidos poderão ser total ou parcialmente recusados quando houver obrigação legal de guarda, proteção de segredo de terceiro, risco à segurança, exercício regular de direitos ou outra justificativa legal. A resposta indicará os fundamentos da impossibilidade quando cabível.

15. Crianças, adolescentes e dados sensíveis

O Argos não é direcionado a crianças ou adolescentes e as contas de usuário destinam-se a profissionais autorizados. Ainda assim, um documento fiscal pode conter incidentalmente dados de menores ou dados sensíveis. Nesses casos, o cliente deverá possuir fundamento jurídico adequado, observar o melhor interesse quando aplicável e limitar a inserção e o acesso ao mínimo necessário.

A Lyceu não utilizará dados sensíveis incidentais para publicidade, segmentação, discriminação ou finalidade incompatível. Recursos de busca, suporte e IA devem evitar a exposição desnecessária dessas informações.

16. Incidentes de segurança

A Lyceu manterá processo de identificação, contenção, análise, preservação de evidências, recuperação e melhoria após incidentes. Ao tomar conhecimento de evento envolvendo dados tratados em nome do cliente, comunicará o controlador sem demora indevida e fornecerá as informações necessárias à avaliação de risco e às providências legais.

Quando atuar como controladora e o incidente puder acarretar risco ou dano relevante, a Lyceu comunicará a ANPD e os titulares no prazo e na forma previstos na regulamentação vigente - atualmente, três dias úteis contados do conhecimento pelo controlador, ressalvada a existência de prazo mais específico. A comunicação apresentará, na medida disponível, a natureza dos dados, os riscos, as medidas de segurança, as ações de contenção e o canal para esclarecimentos.

17. Responsabilidades do cliente e dos usuários

• definir finalidades e bases legais para os dados fiscais tratados sob seu controle e fornecer os avisos necessários;
• cadastrar somente usuários autorizados, revisar perfis e remover acessos quando o vínculo ou a necessidade terminar;
• garantir legitimidade para uso de certificados, procurações, caixas de e-mail, chaves, APIs e dados de terceiros;
• configurar integrações e compartilhamentos de acordo com sua realidade e limitar o escopo ao necessário;
• verificar documentos, relatórios, alertas, simulações e respostas de IA antes de decisões ou transmissões;
• não inserir dados excessivos em tickets, comandos de IA ou ambientes de teste;
• cooperar com direitos de titulares, auditorias, incidentes e obrigações regulatórias; e
• respeitar as políticas de segurança, os termos de uso e as orientações técnicas do Argos.

18. Alterações desta Política

A Política poderá ser atualizada para refletir mudanças legais, regulatórias, técnicas, contratuais ou funcionais. A versão vigente, a data de atualização e um resumo das alterações relevantes serão disponibilizados em local acessível. Mudanças materiais serão comunicadas pelos canais adequados antes de produzirem efeitos quando isso for exigido ou necessário à transparência.

19. Contato

Para dúvidas, reclamações, solicitações de titulares ou comunicações sobre privacidade e segurança, utilize:

Canal proposto para validação: Pedro Reis, encarregado | dpo@lyceutecnologia.com.br | (62) 98408-7349. A Lyceu deverá confirmar formalmente essa indicação e publicar o canal definitivo antes de disponibilizar esta Política ao público.

Correspondência: Lyceu Tecnologia Ltda., Avenida Arumã, nº 382, Pavimento 01, Sala 02, Quadra 176, Lote 09, Parque Amazônia, Goiânia/GO, CEP 74.840-060.

20. Referências normativas

• Lei nº 13.709/2018 - Lei Geral de Proteção de Dados Pessoais (LGPD)
• Lei nº 12.965/2014 - Marco Civil da Internet
• Decreto nº 8.771/2016 - regulamentação do Marco Civil
• Regulamentações vigentes da ANPD, incluindo as Resoluções nº 15, 18 e 19 de 2024