Termos de Uso, Org API (White-Label), LGPD e SLA

1. Objeto e Natureza Meramente Tecnológica do Serviço (Insumo Empresarial)

1.1. A Notaas provê infraestrutura tecnológica em nuvem (Software as a Service — SaaS e Application Programming Interface — API) contratada pela CONTRATANTE como insumo tecnológico para o desenvolvimento de sua atividade econômica, destinada exclusivamente à formatação técnica, assinatura digital automatizada e transmissão eletrônica (mensageria) de documentos fiscais eletrônicos (incluindo, mas não se limitando a NFS-e, NF-e, NFC-e, CT-e e MDF-e) entre os sistemas da CONTRATANTE e os webservices das Secretarias de Fazenda Estaduais (SEFAZ), Ambiente de Dados Nacional (SNNFSE/ADN/SERPRO) e Prefeituras Municipais.

1.2. Ausência de Consultoria Contábil, Fiscal ou Jurídica: A Notaas não presta serviços de contabilidade, auditoria, assessoria tributária ou consultoria jurídica. A disponibilização de tabelas auxiliares (como códigos IBGE, CNAE, LC 116/2003, NBS, CFOP, CST ou parâmetros da Reforma Tributária — IBS/CBS instituídos pela LC nº 214/2025) ou de cálculos automatizados na API possui caráter estritamente instrumental e parametrizável pela CONTRATANTE, não substituindo a validação pelo contador ou responsável fiscal do emitente.

2. Responsabilidade Exclusiva pelo Conteúdo Fiscal e Tributário

2.1. O Emitente do Documento Fiscal (seja a própria CONTRATANTE ou o seu cliente final/sub-cliente cadastrado via Org API) é o único e exclusivo titular da obrigação tributária principal e acessória perante o Fisco Federal, Estadual, Distrital e Municipal, nos termos do Código Tributário Nacional (Lei nº 5.172/1966).

2.2. A Notaas não possui qualquer ingerência, dever de conferência prévia ou responsabilidade sobre:

• a) A veracidade, exatidão ou legalidade dos dados inseridos nos payloads de emissão, carta de correção, inutilização ou cancelamento (valores, base de cálculo, alíquotas de ISS/ICMS/PIS/COFINS/IBS/CBS, retenções na fonte, deduções, enquadramento no Simples Nacional/MEI, regime especial, natureza da operação, código de serviço ou dados de tomador/destinatário);
• b) Eventuais autuações fiscais, multas, juros, glosas de créditos, impedimentos cadastrais, omissões de receita, emissões em duplicidade (inclusive quando o parâmetro referencia for utilizado sem verificação prévia pelo sistema integrador) ou perda de prazos regulamentares de emissão ou cancelamento;
• c) A correta configuração de série, numeração inicial, ambiente (1 = Produção vs. 2 = Homologação) e credenciais fiscais (Inscrição Municipal, Inscrição Estadual, CAEPF, CSC, tokens municipais).

3. Uso da Organization API (Software Houses, ERPs, Plataformas e BPOs)

3.1. Ao utilizar os recursos da Org API (ntaas_org_*) para criar, gerenciar ou operar projetos em nome de terceiros (“Sub-clientes” ou “Emitentes Finais”), a CONTRATANTE declara e garante, sob as penas da lei, que:

• a) Possui mandato, procuração ou autorização contratual expressa, específica e válida de cada Sub-cliente (Pessoa Jurídica ou Pessoa Física/CAEPF) para cadastrar seus dados fiscais, realizar o upload e guarda operacional de seu Certificado Digital ICP-Brasil (e-CNPJ ou e-CPF tipo A1) e comandar a emissão, consulta, inutilização e cancelamento de documentos fiscais em seu nome;
• b) É a única responsável pela verificação de identidade (Know Your Customer — KYC) e regularidade cadastral de seus Sub-clientes, comprometendo-se a bloquear imediatamente qualquer Sub-cliente suspeito de fraude fiscal, emissão de notas inidôneas ou simulação de operações.

3.2. Inexistência de Vínculo entre a Notaas e os Sub-clientes: A relação jurídica comercial, técnica e de suporte estabelece-se exclusivamente entre a Notaas e a CONTRATANTE. Os Sub-clientes da CONTRATANTE não possuem vínculo contratual com a Notaas, cabendo unicamente à CONTRATANTE prestar-lhes atendimento de primeiro nível (N1), suporte operacional e faturamento.

3.3. Cláusula de Indenização Regressiva (Hold Harmless): A CONTRATANTE obriga-se a defender, isentar e indenizar regressivamente a Notaas, seus sócios, diretores e colaboradores contra toda e qualquer reclamação administrativa, processo judicial, autuação fiscal, bloqueio ou pedido de indenização movido por Sub-clientes, destinatários/tomadores de notas fiscais ou autoridades públicas decorrentes de ato, omissão, configuração ou uso da plataforma pela CONTRATANTE ou por seus Sub-clientes, incluindo honorários advocatícios e custas processuais, ressalvada apenas eventual parcela comprovadamente decorrente de culpa exclusiva ou dolo da própria Notaas.

4. Custódia e Uso de Certificados Digitais A1 e Credenciais (MP nº 2.200-2/2001 e Lei nº 14.063/2020)

4.1. Os arquivos de Certificado Digital ICP-Brasil (.pfx / .p12) e respectivas senhas ou credenciais municipais enviados via Dashboard ou Org API são armazenados de forma criptografada e utilizados estrita e exclusivamente pelos robôs de processamento (workers) da Notaas para assinar digitalmente os arquivos XML (XMLDSig) e estabelecer conexões mútuas seguras (mTLS) com os webservices governamentais no exato momento das requisições comandadas pela API da CONTRATANTE.

4.2. As partes reconhecem que a assinatura eletrônica qualificada baseada em certificado ICP-Brasil produz os efeitos legais da MP nº 2.200-2/2001 e da Lei nº 14.063/2020, sendo a Notaas mera executora técnica automatizada da assinatura comandada pela API, sem assumir a titularidade do certificado ou a autoria material e tributária do documento assinado.

4.3. É de responsabilidade exclusiva da CONTRATANTE e/ou do Emitente Final:

• a) A guarda segura da cópia original do certificado digital e o controle de seu prazo de validade (a expiração do certificado impede imediatamente novas emissões e cancelamentos);
• b) A revogação imediata do certificado perante a Autoridade Certificadora (AC) e sua substituição/exclusão na API da Notaas em caso de suspeita de comprometimento de segurança ou encerramento da relação entre a CONTRATANTE e o Sub-cliente;
• c) O sigilo, proteção, rotação e revogação de suas chaves de acesso (ntaas_* e ntaas_org_*). A autenticação por API Key válida constitui prova técnica de requisição originada sob as credenciais da CONTRATANTE, cabendo a esta comunicar imediatamente qualquer suspeita de vazamento ou uso indevido.

5. Domínio Customizado (White-Label) e Guarda Legal de XML/PDF

5.1. O recurso de White-Label (storageBaseUrl) permite à CONTRATANTE nos planos elegíveis (SaaS Pro e Enterprise) expor URLs de download de arquivos XML e PDF (DANFE/DANFSe/DACTE/DAMDFE) sob subdomínio próprio mediante apontamento DNS (CNAME).

• a) A CONTRATANTE é a única responsável pela titularidade do domínio utilizado, pela manutenção correta do apontamento DNS e pela não violação de marcas de terceiros;
• b) A indisponibilidade de download de documentos causada por alteração, expiração ou falha no DNS do domínio da CONTRATANTE não configura falha da Notaas nem gera direito a créditos de SLA.

5.2. Guarda Legal de Documentos Fiscais (CTN arts. 173, 174 e 195 e Ajuste SINIEF 07/05): Nos termos do art. 195, parágrafo único, do Código Tributário Nacional (conservação até que ocorra a prescrição dos créditos tributários decorrentes das operações, observados os prazos decadenciais e prescricionais dos arts. 173 e 174 do CTN) e do Ajuste SINIEF 07/05, a obrigação legal de guarda e conservação dos arquivos XML autorizados, eventos e cancelamentos é exclusiva do Contribuinte Emitente.

• a) Embora a Notaas mantenha cache em armazenamento de objetos para conveniência de acesso via URL e consulta durante a vigência ativa da assinatura, a CONTRATANTE obriga-se a consumir, baixar e armazenar cópia própria definitiva de todos os arquivos XML e PDF em sua própria infraestrutura no momento do recebimento do Webhook ou da consulta de status (status = issued / cancelled);
• b) Após o encerramento ou cancelamento da assinatura, ou exclusão do projeto via Org API, a Notaas poderá expurgar os dados e arquivos operacionais armazenados após 30 (trinta) dias, cabendo à CONTRATANTE realizar a exportação prévia durante a vigência ou dentro dessa janela de transição, ressalvados os registros cuja conservação seja exigida por lei (como o art. 15 do Marco Civil da Internet) ou para exercício regular de direitos em processo judicial, administrativo ou arbitral (art. 16, I da LGPD). Cópias de segurança (backups) criptografadas sujeitas a ciclo automatizado de sobrescrita permanecerão isoladas até sua expiração técnica.

6. Papéis dos Agentes de Tratamento (Art. 5º e Art. 39 da LGPD — Lei nº 13.709/2018)

6.1. Para os fins da Lei Geral de Proteção de Dados Pessoais (LGPD), no que tange aos dados pessoais contidos nos documentos fiscais processados (tais como nome, CPF, CAEPF, endereço, telefone e e-mail de prestadores pessoas físicas, produtores rurais, tomadores, destinatários ou motoristas):

• a) CONTROLADORA (ou Operadora Primária perante o Emitente Final): A CONTRATANTE (e/ou o respectivo Emitente Final por ela representado), a quem competem as decisões referentes ao tratamento dos dados pessoais, a definição da finalidade e o atendimento direto aos titulares;
• b) OPERADORA (ou Suboperadora): A Notaas, que realiza o tratamento dos dados pessoais dos documentos fiscais estritamente em nome e conforme as instruções documentadas e automatizadas recebidas da CONTRATANTE via chamadas de API. Apenas quanto aos dados cadastrais de faturamento da própria CONTRATANTE, logs de segurança, prevenção à fraude e cumprimento de obrigações legais próprias, a Notaas atua como controladora independente, estritamente limitada a essas finalidades.

6.2. Bases Legais e Instruções Lícitas (Art. 7º da LGPD): A CONTRATANTE declara e garante que toda coleta e envio de dados pessoais para a API da Notaas está amparada em base legal legítima, notadamente o cumprimento de obrigação legal ou regulatória (Art. 7º, II da LGPD) perante as administrações tributárias e a execução de contrato (Art. 7º, V da LGPD), mantendo os respectivos registros de transparência perante os Emitentes Finais e titulares.

6.3. Segurança, Suboperadores e Transferência Internacional (Resoluções CD/ANPD nº 15/2024 e nº 19/2024):

• a) A Notaas adota medidas técnicas e administrativas de segurança aptas a proteger os dados pessoais de acessos não autorizados, incluindo criptografia em trânsito (TLS 1.2+) e em repouso, isolamento lógico multi-tenant por organization_id e project_id, controle estrito de escopos de chaves de API e registro de logs de auditoria (audit_logs);
• b) A CONTRATANTE autoriza a Notaas a utilizar suboperadores de infraestrutura tecnológica de primeira linha (provedores de computação em nuvem, banco de dados gerenciado, mensageria e object storage compatível com S3/R2), bem como a transmitir os dados estritamente aos órgãos fazendários competentes (SEFAZ, SERPRO/ADN e Prefeituras) para cumprimento da finalidade contratual. Quando o processamento por suboperadores de nuvem envolver armazenamento ou trânsito internacional de dados, este observará o art. 33 da LGPD e os mecanismos previstos na Resolução CD/ANPD nº 19/2024;
• c) Comunicação de Incidentes: Em caso de incidente de segurança confirmado ou sob fundada suspeita em sua infraestrutura que afete dados pessoais tratados em nome da CONTRATANTE, a Notaas comunicará a CONTRATANTE sem demora injustificada e, sempre que possível, em até 24 (vinte e quatro) horas da ciência técnica, fornecendo as informações disponíveis para que o Controlador avalie e realize, quando cabível, as comunicações à ANPD e aos titulares nos termos da Resolução CD/ANPD nº 15/2024 (atualmente fixado em 3 dias úteis para o Controlador). A Notaas não notificará diretamente titulares ou a ANPD em nome da CONTRATANTE, salvo determinação legal expressa;
• d) Guarda de Registros de Aplicação (Marco Civil da Internet): Em cumprimento ao art. 15 da Lei nº 12.965/2014 (Marco Civil da Internet), a Notaas manterá os registros de acesso à aplicação (logs técnicos de conexão/requisição) sob sigilo, em ambiente controlado e de segurança, pelo prazo legal de 6 (seis) meses, disponibilizando-os exclusivamente mediante ordem judicial ou requisição legalmente vinculante.

7. Disponibilidade da Plataforma, Dependência Governamental e Arquitetura Assíncrona

7.1. Escopo Estrito do SLA (Apenas Recepção da API Notaas): A disponibilidade mensal aferida pela Notaas refere-se única e exclusivamente à capacidade do endpoint da API da Notaas de receber a requisição HTTP e enfileirá-la (HTTP 202 Accepted) ou retornar o status atual do banco de dados (HTTP 200 OK). O tempo de processamento, autorização ou retorno efetivo da nota fiscal depende dos sistemas governamentais externos e não integra a métrica de SLA sob nenhuma hipótese.

7.2. Isenção Total por Instabilidades da SEFAZ, SNNFSE/ADN e Prefeituras: As partes reconhecem expressamente que os webservices das Secretarias de Fazenda Estaduais (SEFAZ), Ambiente Nacional (SNNFSE/SERPRO), Receita Federal e Prefeituras Municipais sofrem quedas, lentidões, congestionamentos de lotes, timeouts e indisponibilidades frequentes e imprevisíveis, sobre os quais a Notaas não detém qualquer controle ou gerência. Portanto, NÃO configuram falha ou indisponibilidade da Notaas (estando excluídos da métrica de SLA, créditos e de qualquer penalidade, multa ou indenização):

• a) Qualquer queda, erro HTTP 5xx, timeout de conexão, rejeição técnica, fila congestionada, falha de sincronismo com o ADN, atraso na liberação de protocolo/recibo ou mudança de regras/schemas XSD sem aviso prévio nos sistemas das SEFAZ Estaduais (incluindo SVRS, SVAN, SVC-AN, SVC-RS), SNNFSE/SERPRO, Receita Federal ou Prefeituras Municipais (e seus respectivos provedores terceirizados como GINFES, Betha, ISSNet, ABRASF, E&L, Tiplan, GISSOnline, Pronim, SpeedGov, etc.);
• b) Atrasos na autorização final de notas fiscais decorrentes de represamento de fila causado por instabilidade prévia do órgão governamental ou durante o período de recuperação pós-queda da SEFAZ/Prefeitura;
• c) Falhas causadas por certificado digital expirado, revogado ou inválido, credenciais municipais incorretas, falta de créditos na assinatura, bloqueios por excesso de requisições (Rate Limit HTTP 429) ou payloads inválidos (HTTP 400 / 422);
• d) Janelas de manutenção programada ou emergencial de segurança, bem como atualizações regulatórias para adequação a Notas Técnicas da SEFAZ/SNNFSE e da Reforma Tributária (LC nº 214/2025);
• e) Casos fortuitos ou de força maior (art. 393 do Código Civil), tais como falhas em operadoras de telecomunicações, cabos submarinos, provedores globais de nuvem/DNS, ataques DDoS ou determinações de órgãos públicos.

8. Prazos de Atendimento de Suporte Técnico (Horário Comercial)

8.1. O suporte técnico é prestado remotamente (via canal oficial de chamados/e-mail) à equipe técnica da CONTRATANTE em dias úteis, das 09h00 às 18h00 (horário de Brasília), exceto feriados nacionais, conforme as metas operacionais de primeira resposta abaixo:

8.2. Os prazos acima referem-se ao tempo de primeira resposta e início de triagem técnica, e não ao tempo de resolução definitiva — especialmente quando o diagnóstico depender de retorno, correção ou restabelecimento de sistemas de prefeituras ou SEFAZ.

9. Créditos de Serviço (Ausência de Multa Pecuniária)

9.1. O eventual descumprimento da meta de disponibilidade mensal prevista na Cláusula 7.1 não sujeitará a Notaas ao pagamento de qualquer multa pecuniária ou reembolso em dinheiro, gerando exclusivamente à CONTRATANTE (nos planos SaaS Pro e Enterprise adimplentes), mediante solicitação formal instruída com os registros de falha em até 10 (dez) dias corridos após o encerramento do mês, o direito a um desconto comercial sob a forma de crédito na fatura mensal subsequente, calculado sobre o valor fixo da assinatura mensal paga no período:

• Disponibilidade mensal da API Notaas entre 98,0% e a meta do plano: desconto de 3% na fatura subsequente;
• Disponibilidade mensal da API Notaas entre 95,0% e 97,99%: desconto de 5% na fatura subsequente;
• Disponibilidade mensal da API Notaas inferior a 95,0%: desconto máximo de 10% na fatura subsequente.

9.2. Os créditos de desconto estão limitados ao teto máximo de 10% (dez por cento) do valor da mensalidade do mês afetado, não são cumulativos entre meses e constituem o único e exclusivo remédio contratual exigível pela CONTRATANTE para falhas de nível de disponibilidade (SLA).

10. Limitação Geral de Responsabilidade (Teto Indenizatório e Alocação de Riscos)

10.1. Exclusão de Danos Indiretos, Fiscais e Lucros Cessantes: Na extensão máxima permitida pela legislação aplicável e considerando a alocação paritária de riscos empresariais (art. 421-A do Código Civil), em nenhuma hipótese a Notaas será responsável por lucros cessantes, perda de faturamento, perda de oportunidade comercial, interrupção de expedição de mercadorias ou serviços, multas fiscais, juros, autuações tributárias, danos à imagem ou quaisquer danos indiretos, reflexos ou emergentes sofridos pela CONTRATANTE, por seus Sub-clientes ou por terceiros, ainda que tenha sido alertada sobre a possibilidade de tais eventos.

10.2. Teto Global de Responsabilidade (Liability Cap): Na extensão máxima permitida pelo Direito Brasileiro, a responsabilidade contratual e extracontratual total, agregada e cumulativa da Notaas por toda e qualquer reclamação ou dano direto comprovadamente causado por falha exclusiva e imputável à Notaas (observado o dever de mitigação de danos pela parte reclamante e a proporcionalidade causal do art. 944 e art. 945 do Código Civil) fica estritamente limitada ao valor correspondente a 1 (uma) mensalidade base efetivamente paga pela CONTRATANTE à Notaas no mês imediatamente anterior ao evento que deu origem à reclamação. As limitações desta Cláusula 10 apenas não se aplicam às hipóteses em que a restrição seja expressamente vedada por norma cogente de ordem pública (tal como dolo específico comprovado).

11. Independência das Cláusulas (Salvaguarda / Severability) e Tolerância

11.1. Caso qualquer disposição destes Termos seja considerada nula, anulável, inválida ou inexequível por autoridade administrativa ou judicial competente, tal disposição será interpretada ou ajustada na extensão estritamente necessária para torná-la válida e exequível de acordo com a intenção econômica original de alocação de riscos das partes, permanecendo todas as demais cláusulas em pleno vigor e efeito (art. 184 do Código Civil).

11.2. A eventual tolerância de qualquer das partes quanto ao descumprimento de obrigações previstas neste instrumento não importará em renúncia, novação ou alteração tácita do pactuado.

12. Legislação Aplicável e Foro de Eleição

12.1. Estes Termos são regidos e interpretados exclusivamente pelas leis da República Federativa do Brasil.

12.2. Para dirimir quaisquer controvérsias oriundas deste instrumento ou da utilização da plataforma Notaas, as partes elegem o Foro Central da Comarca da Capital do Estado de São Paulo (São Paulo/SP), com renúncia expressa a qualquer outro, por mais privilegiado que seja.