Última atualização: 14/10/2026
Esta Política de Privacidade descreve como a Firmix — nome fantasia operado por RE9.INFO (CNPJ 30.084.567/0001-54) — coleta, usa, armazena e protege seus dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD). A Plataforma é destinada a maiores de 18 anos.
Firmix — nome fantasia operado por RE9.INFO
CNPJ: 30.084.567/0001-54
Endereço: Rua Chico Pontes, 138, CEP 02067-000, São Paulo/SP
Canal de privacidade: privacidade@firmix.com.br
Atendimento geral: contato@firmix.com.br · WhatsApp (11) 99412-0402
Dados de cadastro: nome completo, CPF/CNPJ, e-mail, telefone, cidade, estado.
Dados dos contratos: informações inseridas pelo Usuário nos formulários, incluindo dados de terceiros (contratantes e signatários). O Usuário é responsável por ter base legal para incluir dados de terceiros.
Em relação aos dados dos signatários e demais terceiros incluídos nos contratos, a Firmix atua como operadora (nos termos do art. 5º, VII, da LGPD): processamos esses dados exclusivamente para viabilizar a geração e a assinatura do documento, sempre em nome e sob instrução do Usuário, e não os usamos para finalidade própria. O Usuário é o controlador desses dados e o responsável primário por sua base legal de tratamento.
Cadastro de contatos: o Usuário pode optar por manter um cadastro próprio de contatos (nome, e-mail, CPF/CNPJ, telefone) referentes aos seus próprios clientes, para agilizar o preenchimento de contratos futuros. Aplicam-se aqui as mesmas regras acima — o Usuário é o controlador desses dados e o responsável por sua base legal de tratamento, inclusive quanto à manutenção desse cadastro ao longo do tempo; a Firmix atua como operadora, nos termos do art. 5º, VII, da LGPD.
Dados de uso: registros de acesso à aplicação (IP, porta de origem da conexão, data e hora em UTC, agente e conta acessada), guardados por 6 meses, sob sigilo e em ambiente controlado, conforme o Marco Civil da Internet (art. 15); ações realizadas na Plataforma; aceites de termos (com versão, data, IP e dispositivo); e ciência de avisos.
Dados de segurança e antifraude: para conceder o bônus de cadastro uma única vez por pessoa, guardamos códigos criptográficos (HMAC) do seu CPF, do seu e-mail e do endereço IP do cadastro. Eles não permitem recuperar os dados originais, mas permitem verificar se o mesmo CPF ou e-mail já recebeu o bônus; trata-se de pseudonimização, e não de anonimização. Permanecem mesmo após o encerramento da conta (base legal: legítimo interesse na prevenção a fraudes, art. 7º, IX), e você pode se opor a esse tratamento pelo canal de privacidade. No encerramento, guardamos também o código criptográfico do CPF e do e-mail ligado aos registros de aceite de termos, para que o titular possa provar quem aceitou o quê, se contestar. Se você ativar a verificação em duas etapas, guardamos o segredo do aplicativo cifrado e os códigos de recuperação apenas como hash; no método por e-mail, usamos o seu e-mail cadastrado para enviar o código.
Dados de pagamento: informações de transações processadas via Mercado Pago e/ou Asaas, conforme o meio de pagamento escolhido (incluindo Pix e reembolsos). Não armazenamos dados de cartão de crédito diretamente.
Dados de notificação push (opcional): quando o Usuário opta por ativar notificações push no navegador ou no aplicativo instalado (PWA), coletamos o endereço de entrega da notificação (endpoint URL) e as chaves criptográficas associadas ao dispositivo (p256dh e auth), geradas pelo próprio navegador e necessárias para o envio seguro. Esses dados são armazenados apenas enquanto as notificações permanecerem ativas e são excluídos imediatamente ao desativar. O Usuário pode revogar essa permissão a qualquer momento nas configurações do navegador ou pelo próprio Perfil na Plataforma.
Dados compartilhados na conta com múltiplos usuários: titulares de planos que utilizam o recurso de múltiplos usuários concedem aos colaboradores ("membros") acesso às informações da conta conforme as permissões definidas pelo próprio titular — documentos, contatos, histórico de contratos e, quando habilitado, dados financeiros. Tratamos também os dados dos próprios colaboradores (nome, e-mail e permissões). Os dados do titular (nome, CPF, dados de prestador) são utilizados nos contratos gerados pelos membros. O titular é responsável por informar aos membros convidados sobre o tratamento de dados ao qual terão acesso.
Dados de integração Asaas (opcional): usuários que optam por conectar a própria conta Asaas fornecem uma API key de sua titularidade. Essa chave é armazenada de forma criptografada (AES-256-CBC) e utilizada exclusivamente para criar e cancelar cobranças na conta Asaas do próprio Usuário. A Firmix não armazena dados de pagamento, número de cartão, saldo ou qualquer informação financeira da conta Asaas do Usuário. A API key pode ser removida a qualquer momento em Perfil → Integrações → Desconectar, momento em que é excluída permanentemente do banco de dados. Se a conta voltar ao plano Starter, a integração deixa de estar disponível e a chave não é usada, mas permanece cifrada até ser removida; no encerramento da conta, é apagada.
Serviços extras (opcionais): quando você contrata um serviço extra, tratamos o serviço contratado, o valor, as datas de contratação e de cancelamento e o identificador da assinatura no provedor de pagamento. Os dados específicos do serviço de API e conector de IA estão descritos a seguir.
Dados de API e conector de IA (serviço extra opcional): tratamos o token de acesso (guardado apenas como hash), o registro de cada chamada (token, método, caminho, status, IP, agente, duração e horário, sem o corpo da requisição), os endereços de webhook cadastrados e o registro do aceite do aviso jurídico dado por token. Os dados dos contratos criados por API seguem as mesmas regras de operadora descritas acima. O Usuário vê o registro de uso de cada token em Perfil. Nas chamadas do conector de IA, o IP registrado pode ser o do provedor do assistente, e não o do titular, que é identificado pelo token.
Prevenção a uso indevido: para proteger a Plataforma e os demais usuários, tratamos dados de acesso e de uso (como endereços IP, o agente do navegador, a frequência e a origem dos logins registrados, o volume de contratos e de contratantes distintos por conta e o uso de tokens) para identificar revenda ou compartilhamento de acesso não autorizados, fraude e abuso, conforme os Termos de Uso. Esses sinais podem abrir uma revisão humana. Limites técnicos e bloqueios temporários de segurança (como o limite de envios por dia ou o bloqueio por tentativas de senha) atuam automaticamente; a suspensão ou o cancelamento da conta ou do serviço por suspeita de revenda ou de compartilhamento de acesso só ocorre depois de revisão por uma pessoa, ressalvado o risco imediato de segurança ou fraude. Nesses casos de risco imediato, o Usuário pode pedir a revisão por uma pessoa pelo canal de privacidade, e respondemos em até 15 (quinze) dias. Não usamos impressão digital do navegador nem rastreamento entre sites.
Preferências de comunicação: guardamos a sua escolha de receber ou não e-mails de marketing e reengajamento e a data da última alteração.
Mapa de dados pessoais tratados:
| Dado | De quem | Onde fica | Retenção |
|---|---|---|---|
| Nome, e-mail, CPF/CNPJ e telefone do prestador | Usuário (cadastro) | Banco de dados (Firmix) | Até o encerramento da conta. No encerramento pedido pelo Usuário, são anonimizados assim que o backup fica pronto. Na inatividade: 12 meses sem acesso, mais 90 dias até o encerramento da conta e mais 90 dias até a anonimização |
| Nome, e-mail, telefone e CPF/CNPJ de signatários e contatos | Clientes do prestador | Banco de dados (Firmix: signatários, contatos e dados do documento) e Topsign (PDF e processo de assinatura) | Contatos: até o Usuário excluir ou a conta ser encerrada. Dados do documento: enquanto o documento existir; no encerramento, os documentos sem nenhuma assinatura são apagados, depois do backup |
| PDF assinado | Ambas as partes | Topsign (operador) e disponível para download na Plataforma | Sem prazo de guarda garantido pelo parceiro; o Usuário deve baixar e arquivar sua cópia |
| Rascunho, prévia e cópia local do PDF | Sistema | Banco de dados e arquivo no servidor (Firmix) | Prévia não salva: 2 horas. Contratos salvos: até o Usuário enviá-los ou excluí-los, ou até o encerramento da conta (após 90 dias parados recebem a marcação "Esquecido", só para filtro). Cópia local do PDF: enquanto o documento existir |
| Backup do Usuário (arquivo .zip com documentos, contatos e modelos) e o e-mail usado no envio do link | Usuário | Arquivo no servidor (Firmix) | 90 dias, com limite de downloads, informado no e-mail, e código de verificação; o e-mail é guardado só junto do arquivo e apagado com ele |
| Registros de acesso e logs técnicos | Usuário e colaboradores | Banco de dados e arquivos de log (Firmix) | Registros de acesso: 6 meses. Logs técnicos de erro e de webhooks: 30 dias (no máximo 90), sem CPF nem dados de pagamento |
| Aceites de termos e registro antifraude | Usuário | Banco de dados (Firmix) | Aceites e códigos de prova: 5 anos. Antifraude: CPF e e-mail 5 anos; IP 90 dias |
| Pedidos de arrependimento e aceite de reajuste | Usuário titular | Banco de dados (Firmix) | 5 anos. Arrependimento: valores, datas, identificador do pagamento, IP do pedido e códigos criptográficos (HMAC) do e-mail e do CPF, para provar o direito exercido, calcular o reembolso e identificar uso reiterado. Reajuste: aviso enviado, valores, datas, e IP e dispositivo do aceite |
| Contratações de serviços extras | Usuário titular | Banco de dados (Firmix) | Enquanto a conta existir; depois, como registro financeiro, por 5 anos |
| Token de API e registro de chamadas (serviço extra) | Usuário e colaboradores | Banco de dados (Firmix) | Token (hash): até expirar ou ser revogado (a validade é limitada e definida na criação). Registro de chamadas: 6 meses |
| Sinais de uso indevido (acessos, IP e agente do navegador, volume e tokens) | Gerados pelo uso da Plataforma | Banco de dados (Firmix) | Calculados a partir dos registros de acesso e de uso (6 meses); se houver apuração, até o fim dela |
Finalidade e base legal:
| Finalidade | Base Legal (LGPD) |
|---|---|
| Prestação do serviço de contratos digitais | Execução de contrato (art. 7º, V) |
| Cobrança, gestão de créditos e reembolsos | Execução de contrato (art. 7º, V) |
| Registro de aceite de termos e avisos jurídicos, do pedido de arrependimento e do aceite de reajuste, e prova de quem aceitou, inclusive depois do encerramento da conta | Legítimo interesse / Exercício regular de direitos (art. 7º, VI e IX) |
| Envio de e-mails transacionais | Execução de contrato (art. 7º, V) |
| E-mails de marketing e reengajamento (dicas e lembretes sobre o uso da Plataforma) | Legítimo interesse (art. 7º, IX), ativos por padrão, com possibilidade de desativar a qualquer momento |
| Prevenção a fraudes, segurança e uso indevido da Plataforma (incluindo revenda ou compartilhamento de acesso não autorizados) | Legítimo interesse (art. 7º, IX) |
| Registros de acesso; registros financeiros e fiscais | Cumprimento de obrigação legal (art. 7º, II; Marco Civil da Internet, art. 15) |
| Segurança e auditoria da API e do conector de IA | Legítimo interesse (art. 7º, IX) |
| Entrega de dados a sistemas e assistentes de IA que o titular conecta, por decisão dele | Execução de contrato, a pedido do titular (art. 7º, V) |
| Melhoria da Plataforma (dados agregados) | Legítimo interesse (art. 7º, IX) |
Compartilhamos dados apenas com:
Quando o Usuário usa a integração com a própria conta Asaas, ou usa integrações com outros sistemas, esse tratamento ocorre por decisão do Usuário, e a Firmix atua sob a instrução dele. Não vendemos, alugamos ou compartilhamos seus dados com terceiros para fins publicitários.
Além dos prazos do mapa de dados acima, mantemos seus dados pelo tempo necessário para a prestação do serviço e o cumprimento de obrigações legais:
Você tem direito a:
Para exercer seus direitos, entre em contato: privacidade@firmix.com.br. Respondemos em até 15 dias.
Se você é signatário ou contato de um cliente nosso: seus dados foram informados pelo titular da conta, que é o controlador. Você pode pedir diretamente a ele ou ao canal acima; nesse caso, repassamos o pedido ao titular, informamos o que guardamos sobre você e atuamos sobre o que mantemos. Você também pode pedir a retirada do seu dado do cadastro de contatos do titular.
Adotamos medidas técnicas e organizacionais para proteger seus dados: conexão HTTPS, senhas armazenadas com hash bcrypt, acesso restrito ao banco de dados, tokens CSRF em formulários e logs de acesso. A verificação em duas etapas é opcional; o segredo do aplicativo é guardado cifrado (AES-256-GCM) e os códigos de recuperação, apenas como hash.
Para o serviço de API e conector de IA: tokens guardados só como hash, CPF mascarado nas leituras, limites por token e por conta, registros de uso sem o corpo da requisição e bloqueio imediato de tokens, pelo titular ou pela Firmix. O vazamento de um token por falha na guarda do próprio Usuário pode ser contido por ele, revogando o token na Plataforma.
Em caso de incidente de segurança que possa acarretar risco ou dano relevante, comunicaremos a ANPD e os titulares afetados em até 3 dias úteis do conhecimento do incidente, e manteremos o registro por 5 anos. Quando o incidente envolver dados que tratamos como operadora, avisaremos os usuários controladores.
Utilizamos apenas cookies de sessão, estritamente necessários para o funcionamento da Plataforma (autenticação e segurança CSRF). Não utilizamos cookies de rastreamento, de publicidade nem ferramentas de análise de terceiros. As páginas carregam bibliotecas de terceiros que fornecem apenas funcionalidades da interface (estilo, interatividade, leitura de planilhas e geração do QR code da verificação em duas etapas), entregues por redes de distribuição de conteúdo (CDN), como cdn.jsdelivr.net, cdn.tailwindcss.com e cdnjs.cloudflare.com. Esses scripts rodam no seu navegador e não são usados pela Firmix para coletar dados; a Firmix não envia dados dos seus contratos nem do seu cadastro a esses provedores. Ao entregá-los, a CDN recebe, como em qualquer acesso a um site, o endereço IP e dados técnicos do navegador. As poucas métricas de uso que coletamos (visualizações da página inicial e cliques em botões) são contadas de forma agregada, sem qualquer identificador de visitante, IP ou dado pessoal.
O Firmix pode ser instalado como aplicativo progressivo (PWA). Para isso, utilizamos um Service Worker — um script executado pelo próprio navegador, sem acesso ao conteúdo das páginas, responsável exclusivamente por receber e exibir notificações push quando o Usuário opta por ativá-las. Ele não armazena dados pessoais localmente nem rastreia a navegação.
Os dados da Plataforma ficam em servidores no Brasil. As notificações push passam pelos serviços do navegador do Usuário (Google, Apple ou Mozilla), e as CDNs que entregam as bibliotecas de interface podem ter servidores fora do Brasil; o conteúdo das notificações é cifrado, e as CDNs recebem apenas o endereço IP e dados técnicos do navegador. Quando o Usuário conecta um assistente de IA ou outro sistema à sua conta, a entrega de dados a esse provedor, inclusive no exterior, é decisão e responsabilidade do próprio Usuário; a Firmix entrega os dados ao titular autenticado e não os exporta a esses provedores.
Além dos e-mails necessários ao serviço (contratos, pagamentos, avisos de saldo, de segurança, de inatividade e encerramento da conta e dos seus documentos), podemos enviar e-mails de marketing e reengajamento, com dicas e lembretes de uso, em sequência limitada: um lembrete 10 dias depois do cadastro, se você ainda não criou nenhum documento; outro quando a conta fica 45 dias sem gerar documento; e um terceiro aos 90 dias. Esses e-mails vêm ativados por padrão. Você pode desativá-los a qualquer momento em Perfil, E-mails de dicas e lembretes, ou pelo link Parar de receber dicas e lembretes, no rodapé de cada um deles, que abre uma página com um botão de confirmação, sem precisar entrar na conta. A escolha vale para todas as empresas com o mesmo e-mail, e você pode reativar quando quiser. Desativar não interrompe os e-mails necessários ao serviço.
Podemos atualizar esta Política periodicamente. Alterações relevantes serão comunicadas por e-mail ou notificação na Plataforma, com aviso prévio.
Canal de privacidade: privacidade@firmix.com.br
Autoridade Nacional de Proteção de Dados: www.gov.br/anpd
Esta política foi elaborada com base na Lei nº 13.709/2018 (LGPD) e deve ser revisada periodicamente com assessoria jurídica especializada.