Documentos

Política de privacidade

Versão 1.1, em vigor desde 26/10/2026.

O xmlOK é um serviço da Deck Software Serviços e Consultoria LTDA, CNPJ 17.296.458/0001-32 ("Deck", "nós"). Esta política explica quais dados pessoais o xmlOK usa, para quê, por quanto tempo e com quem, e como você exerce os seus direitos, de acordo com a Lei Geral de Proteção de Dados (Lei 13.709/2018, LGPD) e o Marco Civil da Internet (Lei 12.965/2014). Ela vale para o site xmlok.com.br, o painel do lojista (gestor.xmlok.app), o painel do contador (contador.xmlok.app), os e-mails do xmlOK, o aplicativo de celular e o programa que roda no computador da loja (o "agente"). Aqui, "você" é quem tem conta no xmlOK: o titular da loja (o dono dela no xmlOK), as pessoas da equipe da loja e as do escritório de contabilidade.

Em poucas palavras

Os XML das notas ficam no Google Drive da loja. O servidor da Deck não guarda os XML. Das notas que a loja emite, recebe os totais de cada dia e as vendas somadas por produto, por dia e por mês. Das notas que a loja recebe de fornecedores, recebe o fornecedor, o número, a data, o valor e os produtos, para a conferência de recebimento, sem o CPF do fornecedor pessoa física. Fora isso, só num aviso ou numa mensagem de erro recebe a chave de acesso ou o nome do arquivo de uma nota.
A autorização de acesso ao Drive fica só no computador da loja, cifrada. O nosso servidor não consegue abrir os arquivos.
O xmlOK não usa senha: você entra com o Google ou, nos painéis, com um link ou um código enviado ao seu e-mail.
Não vendemos dados, não usamos dados para publicidade e não mandamos e-mail de propaganda.
Não compartilhamos os dados de vendas da loja com terceiros. Eles só chegam a quem você autorizar (a sua equipe, a sua contabilidade e os e-mails que você escolher) e aos provedores que hospedam e enviam o serviço, que não podem usá-los para mais nada.
No suporte, a equipe da Deck só vê o movimento e os detalhes dos computadores da loja com a autorização do titular, por tempo limitado, e cada leitura fica registrada.
Se você ligar o cadastro de clientes no agente, ele fica só no computador da loja. O nosso servidor não tem cadastro de clientes e não recebe nenhum dado de cliente: só manda o código de 6 dígitos para entrar no cadastro de clientes e registra quem entrou, em que computador e quando.

Quem é responsável por quê

Contas, lojas, escritórios e computadores: a Deck é a controladora dos dados da conta de cada pessoa que entra no xmlOK (o e-mail, o que vem do Google, os registros de acesso e a segurança da conta), dos dados da loja, do cadastro de cada escritório de contabilidade (CNPJ, dados da Receita e quem o cadastrou), dos dados dos computadores e do registro das consultas feitas pela equipe da Deck.
Dados de outras pessoas que a loja trata com o xmlOK (consumidores e fornecedores das notas, quem recebe os e-mails extras da loja e o dono da conta Google do Drive, quando ele não tem conta no xmlOK) e a equipe da loja e as pessoas que ela indicou na contabilidade, com o que cada uma pode ver: a loja é a controladora.
A equipe do escritório de contabilidade, com a função, as permissões e a carteira de cada pessoa: o escritório é o controlador.
Nesses dois últimos casos, a Deck trata os dados em nome da loja ou do escritório, como operadora, só para prestar o serviço e conforme os Termos de uso.
Cadastro de clientes (recurso opcional do agente): a loja é a controladora e responde pelo uso. A Deck só fornece o programa: não acessa nem guarda esses dados, e por isso não é operadora deles.

O que não guardamos

Os XML das notas, emitidas ou recebidas. O agente envia os arquivos direto para o Google Drive conectado no computador da loja.
O certificado digital. O xmlOK não pede: ele lê os arquivos que o seu PDV já gravou.
Os itens das notas que a loja emite, o CPF ou o e-mail do consumidor. O agente não envia esses dados ao nosso servidor: eles ficam só no XML, no Drive da loja. Dos itens, sobem apenas as vendas somadas por produto, por dia e por mês (veja "Vendas por produto"), sem ligação com a nota nem com quem comprou. Os produtos das notas de fornecedor sobem para a conferência de recebimento (veja "Notas de fornecedor").
A autorização do Google Drive da loja. Ela fica só no computador da loja, cifrada. O nosso servidor nunca a recebe.
Os dados do cartão de crédito. Eles vão direto ao Mercado Pago e não passam pelo xmlOK.
O cadastro de clientes. Ele fica só no computador da loja, cifrado. Nada dele vem para o nosso servidor: nem o cadastro, nem a planilha exportada, nem a senha dela, nem a lista de quem consentiu, nem o aceite do recurso.

O que guardamos, e para quê

Cadastro: o e-mail da sua conta; se você entrar com o Google, também o nome, a foto e o identificador da conta Google; o nome e o telefone que você informar; e a data e a versão dos termos que você aceitou. Servem para você entrar, receber os avisos e falar com a gente.
Entrada por e-mail: nos painéis, se preferir entrar sem Google, mandamos ao seu e-mail, de noreply@xmlok.com.br, um link de entrada e um código de entrada de 6 dígitos. Os dois valem 10 minutos e uma vez só, cada pedido novo cancela o anterior, e não existe senha. Pedir o código já cria a conta com esse e-mail, se ela ainda não existir; se o código não for usado, esse cadastro é apagado em até 7 dias. Se você recebeu um código que não pediu, basta ignorar o e-mail: ninguém entra sem ele.
Lojas: CNPJ, razão social (no MEI, ela traz o nome e o CPF do dono), nome, estado, fuso, horário de funcionamento, o dia em que o mês anterior passa a contar como fechado para o contador, o e-mail da loja e os e-mails extras que você escolher para receber o resumo do dia ou o aviso de computador sem sinal (e os de cobrança, que só serão usados quando houver cobrança). A razão social, o nome e o estado podem vir da consulta do CNPJ (veja "Consulta do CNPJ").
Assinatura: o plano, o período de teste e quantos computadores a loja tem contratados.
Cobranças e pagamentos: de cada cobrança, o plano, o valor, o período, o vencimento, o identificador da cobrança no Mercado Pago, a situação (paga, vencida ou estornada) e a data do pagamento. Servem para cobrar a assinatura e para cumprir a lei fiscal.
Movimento: das notas que a loja emite, os totais de cada dia por tipo de nota, série e forma de pagamento, com o troco, os cancelamentos, as devoluções, as notas ainda sem autorização, a faixa de números e de horários do dia e os números que faltam na sequência. É o que monta o relatório do painel, do app e do e-mail.
Notas de fornecedor: das notas que a loja recebe (NF-e e NFA-e de fornecedor, NFS-e tomada, e CT-e e CT-e OS do frete que a loja paga), o fornecedor (o CNPJ e a razão social; da pessoa física, o nome e o CPF mascarado), a chave de acesso, o número, a série, a data, o valor, se o XML está completo e o cancelamento. Do fornecedor pessoa física, o CPF não sai do computador da loja: o nosso servidor recebe o nome, o CPF mascarado (por exemplo, ***.456.789-**) e uma impressão do CPF, que separa um fornecedor do outro. A chave de acesso da nota, quando chega, vem com a parte do CPF trocada por essa impressão, e o nome passa por um filtro que recusa documento e contato. Da NF-e e da NFA-e com o XML completo, guardamos também os produtos de cada nota (o código, a descrição, o código de barras, o NCM, a unidade, a quantidade e o valor), para a conferência de recebimento; a descrição passa pelo mesmo filtro, que tira documento e contato. Da conferência de recebimento, guardamos a marca de cada nota (recebida, não recebida ou com divergência), a observação, quem marcou e quando, e cada marca fica também no registro de ações da loja. Servem para mostrar à loja as notas que ela recebeu e para conferir se a mercadoria chegou. O xmlOK não registra a Manifestação do Destinatário: quando a mercadoria não chega, o painel lembra de registrá-la no sistema do caixa ou com o contador.
Vendas por produto: de cada produto vendido, o código que a loja usa, o código de barras e o NCM. Também o nome que aparece na nota, mas nunca com documento, telefone ou e-mail que alguém tenha digitado nele; nesse caso, o produto aparece só pelo código. Também a quantidade, o valor, o número de notas e as devoluções, somados por dia e por mês e separados por unidade. Não sobem a nota, a chave de acesso, a hora da venda nem nada do consumidor, e não dá para saber quem comprou. Quem vê é o titular, o sócio a quem ele liberar e a contabilidade com acesso total, se o titular marcar. Quando o comparativo estiver no ar, o titular, e quem ele autorizar, poderá comparar o mesmo produto entre as lojas da mesma empresa (a matriz e as filiais) e entre empresas que têm um proprietário em comum, declarado por quem cadastrou (veja "Proprietários da empresa"). A contabilidade nunca vê comparativo pelo acesso de contabilidade, e ninguém vê dados de uma empresa da qual não faz parte. As vendas por produto nunca vão à Inteligência Fiscal nem a outra empresa.
Proprietários da empresa (quando o comparativo entre empresas estiver no ar): para comparar empresas diferentes do mesmo dono, quem cadastra a loja informa o papel dele na empresa (proprietário, sócio, contador, administrativo ou outro) e o nome e o CPF de cada proprietário, e declara, sob sua responsabilidade, que a informação é verdadeira. O nosso servidor consulta o CNPJ da empresa no CNPJ.ws, sem mandar nenhum CPF, para mostrar se cada proprietário aparece no quadro de sócios publicado pela Receita (nos 6 dígitos do CPF que ela mostra) ou, no MEI, na razão social. Não guardamos o CPF: guardamos uma impressão dele, que só serve para saber se duas empresas têm o mesmo proprietário, o CPF mascarado como a Receita publica (por exemplo, ***456789**), o nome, o resultado da conferência e quem declarou, com que papel e quando. Os proprietários informados podem pedir a correção ou a exclusão desses dados pelo e-mail suporte@xmlok.com.br.
Computadores: nome, sistema e versão, versão do agente, a hora do relógio do computador, se está ligado, quando viu a última nota, quantos arquivos faltam enviar ou esperam liberação no próprio computador, o espaço livre em disco e a última mensagem de erro do agente, que pode trazer o nome de um arquivo (em geral, a chave de acesso da nota) ou o caminho de uma pasta do computador, e esse caminho pode incluir o nome de usuário do Windows. Numa troca de computador, guardamos o que se sabia do antigo: o último sinal, quantos arquivos estavam na fila e a conta do Drive; quem ativa o computador novo vê nele essa conta do Drive, para continuar nas mesmas pastas. Do mesmo jeito, quando a loja tem mais de um computador, cada computador da loja mostra a conta do Drive em que os outros salvam, para todos usarem as mesmas pastas. Guardamos também duas impressões (uma impressão é um cálculo feito a partir de um valor, que permite reconhecê-lo depois sem guardar o valor em si): uma da instalação do Windows, que reconhece o agente reinstalado, e outra da placa-mãe, que reconhece o mesmo computador depois de formatado; o número de série da placa-mãe nunca é enviado. Se o agente for instalado num computador que já tem licença ativa, ele pode mostrar, antes da ativação, o nome do computador e o e-mail do titular mascarado (por exemplo, m•••••o@gmail.com), para ajudar a recuperar a licença.
Chave de ativação: cada computador é ativado com uma chave que o titular gera no painel. Guardamos só uma impressão irreversível dela, quem a gerou, até quando vale e quando foi usada ou descartada. Se alguém digitar em outra máquina uma chave já usada, ela é recusada e o painel avisa quem vê a saúde dos computadores.
Saúde do computador: quando o computador foi ligado; o uso da memória e do processador e se o processador perde desempenho por calor; de cada disco, o modelo, o tipo, o tamanho, o espaço, a saúde, a temperatura, o desgaste, as horas de uso e os erros de leitura e gravação; os desligamentos normais e inesperados; os erros de hardware registrados pelo Windows, sem o texto das mensagens (da tela azul, só o código); a velocidade dos envios ao Drive e o tempo de resposta da internet. Cada disco é identificado por uma impressão do número de série dele; o número em si não é enviado. Serve para avisar o titular antes que o computador falhe e os XML parem de ser enviados.
Drive: o e-mail da conta Google conectada em cada computador, que nem sempre é a sua, e o da conta do computador antigo, numa troca (veja "Dados do Google").
Contabilidade da loja: o nome, o CNPJ e os e-mails das pessoas do escritório que você indicar, desde quando ele cuida da loja, quais meses pode ver, se o acesso é só aos arquivos ou total, e quando cada pessoa indicada confirmou, no painel do contador, que o escritório cuida da loja. Quem sai da lista fica no histórico, com a data da saída. O nome e um e-mail do escritório podem vir da consulta do CNPJ. Se o escritório tem equipe no xmlOK, guardamos também os pedidos que você faz a ele: as lojas, os meses, o acesso pedido, quem pediu, até quando vale e a resposta.
Escritório no xmlOK: o CNPJ, a razão social, o nome que o dono dá ao escritório e quando ele foi cadastrado. Da equipe do escritório, guardamos o e-mail e o nome de cada pessoa, a função (dono, contador ou auxiliar), as permissões, a carteira de clientes de cada uma, quem a convidou e desde quando, e os convites, com o e-mail, a função, as permissões, a carteira e a validade de 7 dias.
Equipe da loja: os e-mails e os nomes das pessoas da equipe, a função (sócio, administrador, gerente, supervisor de caixa, estoque ou caixa) e as permissões de cada uma em cada loja, os avisos por e-mail que cada uma escolheu receber, por onde pode entrar (app ou painel) e os convites, com quem convidou, as lojas, a função, as permissões e até quando valem.
Passagem da loja: quando o titular oferece a loja a outra pessoa, guardamos o e-mail dela, quem ofereceu, como o titular antigo fica depois (fora da loja, sócio ou administrador), até quando vale o link (7 dias; o link fica guardado só como impressão) e o aceite ou o cancelamento.
Autorizações ao suporte: quem autorizou a Deck, quando, por quanto tempo, o motivo, o que ficou aberto, quando foi revogada e quantas leituras foram feitas.
Código de entrada no cadastro de clientes: para entrar no cadastro de clientes, a pessoa digita no computador da loja o e-mail da conta dela no xmlOK. Se o e-mail for do titular ou de alguém da equipe com a permissão "Exportar o cadastro de clientes", mandamos a ele um código de 6 dígitos e guardamos o pedido: quem é, a loja, o computador, quando, as tentativas e o código só como impressão. O código vale 10 minutos, só nesse computador, e cai depois de 5 tentativas erradas. O pedido é apagado em 7 dias. A confirmação fica no registro de ações da loja: quem entrou no cadastro de clientes, em que computador e quando. As exportações, os dados de clientes e a senha da planilha não chegam ao nosso servidor.
Segurança e registros de acesso: o registro das ações feitas em cada loja e em cada escritório, como ativar um computador, convidar alguém (com o e-mail do convidado), mudar a função ou as permissões de alguém (com o antes e o depois), mudar os e-mails que recebem avisos (com os e-mails incluídos e removidos), passar a loja e cada leitura do suporte da Deck, com quem fez e em que papel, sem dados do consumidor; o registro das consultas da equipe da Deck (o que foi lido, de que loja ou escritório, quando e, nas buscas, o termo buscado e quantos resultados vieram); os registros de acesso, com o endereço IP, a data, a hora e o e-mail da conta de cada entrada, de cada pedido de código de entrada e de cada vez que o painel ou o app renova o seu acesso sozinho, sem você entrar de novo; o IP e o navegador de cada sessão aberta; os registros técnicos dos servidores (o endereço pedido, o navegador e, no serviço de entrada, o e-mail e o IP), para investigar falhas e ataques; e, para limitar tentativas abusivas, o IP guardado só como impressão.

Quem vê os dados da loja

O titular vê tudo o que a loja tem no xmlOK. Só ele vê a assinatura e gera as chaves de ativação.
A equipe da loja vê o que a função e as permissões de cada pessoa liberam. Por padrão: o caixa vê só se a loja está funcionando; o estoque vê as notas de fornecedor e os produtos delas, sem os valores, para conferir o recebimento; o supervisor de caixa vê os computadores e o movimento de ontem e de hoje; o gerente vê os computadores, todo o movimento e as notas de fornecedor; o administrador vê também as configurações da loja, a equipe, quem é a contabilidade e o registro de ações. O sócio tem o padrão do administrador e pode receber do titular a saúde dos computadores, a contabilidade e a autorização ao suporte. Quem vê os computadores vê também a conta do Drive e a última mensagem de erro de cada um.
A saúde dos computadores, o histórico de trocas e o aviso de chave usada em outra máquina, só o titular vê, e o sócio a quem ele der essa permissão.
As notas de fornecedor: quem tem a permissão de ver os fornecedores (por padrão, o sócio, o administrador e o gerente) vê as notas, os produtos e a conferência de recebimento, com os valores. Quem só confere o recebimento (por padrão, o estoque) vê as notas e os produtos, sem os valores. Marca a conferência quem tem a permissão de conferir: por padrão, o sócio, o administrador, o gerente e o estoque. O supervisor de caixa pode receber as duas permissões, e o estoque, também a de ver os fornecedores.
A contabilidade vê cada loja conforme o acesso que o titular escolheu. Com acesso só aos arquivos, vê o nome e o CNPJ da loja, os meses liberados e se cada mês já está fechado. Com acesso total, vê também o movimento (vendas, cancelamentos, formas de pagamento, troco e os números que faltam na sequência) e as notas de fornecedor dos meses liberados, e a sincronização: a situação de cada computador, o último sinal, a versão do agente, a fila de envio, a última mensagem de erro, a conta do Drive e os avisos de funcionamento, que podem trazer a chave de acesso de uma nota ou o CNPJ de outra empresa. As vendas por produto, só se o titular marcar também essa opção. Da conferência de recebimento, ela vê só as notas marcadas como não recebidas ou com divergência, nos meses liberados, com o valor, a observação e os produtos, e não marca nenhuma nota. Ela vê sempre uma loja por vez, sem soma nem comparativo entre empresas, e nunca vê a saúde dos computadores, as chaves, a assinatura, a equipe, as configurações nem o registro de ações da loja.
Dentro do escritório, veem a loja as pessoas que o titular indicou pelo e-mail ou, depois que o titular pede e o escritório aceita, as pessoas da equipe do escritório que têm a permissão e o cliente na carteira (ou todos os clientes). O titular, e quem da equipe dele vê a contabilidade, vê quem do escritório tem acesso à loja, com o nome e o e-mail. O escritório vê o nome do titular e de quem fez o pedido, nunca o e-mail deles. As contabilidades ligadas antes desta versão continuam só com o acesso aos arquivos até o titular ampliar.
Quem recebe a loja numa passagem de titular passa a ver tudo o que a loja tem no xmlOK, inclusive o histórico do movimento e o registro de ações.

Suporte da Deck

Sem autorização, a equipe da Deck vê só o necessário para atender: o cadastro da loja, o nome e o e-mail do titular, a situação da assinatura, quantas pessoas há na equipe, os computadores (situação e versão) e os avisos de funcionamento dos últimos 30 dias, com a chave de acesso, o CNPJ de outras empresas e a conta do Drive mascarados. Do escritório, vê o cadastro e quantas pessoas há na equipe. Essas consultas ficam registradas do nosso lado.

Para ver mais (o movimento, a saúde dos computadores, a última mensagem de erro e a conta do Drive sem máscara), a Deck precisa de uma autorização do titular, ou do sócio a quem ele der essa permissão, que só pode abrir o que ele mesmo vê. A autorização diz o que fica aberto e por quanto tempo: 72 horas, se você não mudar, e no máximo 7 dias. Ela pode ser revogada a qualquer momento e cai sozinha quando vence, quando a loja muda de titular ou quando quem autorizou perde o poder de autorizar. Cada leitura com autorização fica no registro de ações da loja, que o titular vê. O dono de um escritório pode autorizar, do mesmo jeito, a leitura da equipe, do registro de ações e da lista de clientes do escritório, nunca dos dados das lojas.

Fora do suporte, alguém da Deck só acessa os dados direto no banco numa emergência técnica ou de segurança, ou por ordem legal, e registramos esse acesso.

Dados do Google

O xmlOK usa a conta Google de dois jeitos, e cada um pede só o necessário:

Entrar com Google (painéis do lojista e do contador, e app): recebemos nome, e-mail, foto do perfil e o identificador da conta Google, para identificar a sua conta. Nenhum acesso ao Drive é pedido aqui.
Conectar o Google Drive (no agente, no computador da loja): quem instala o agente conecta a conta Google ou Google Workspace onde os XML vão ficar, que pode ser a sua ou outra conta da empresa. O agente pede a permissão drive.file, que só alcança os arquivos e as pastas que o próprio xmlOK criou, e o e-mail da conta, para mostrar qual está conectada. Com ela, o agente cria as pastas por loja, ano, mês e tipo de nota, envia os XML (e a versão nova de um arquivo que mudou no computador), move uma nota para a pasta certa quando a situação dela muda (cancelada, por exemplo) e lista os arquivos que ele mesmo criou, para conferir se alguém os alterou. O xmlOK nunca apaga arquivos do Drive conectado e não vê os outros arquivos que há nele.

Quem não usa o Google entra nos painéis pelo e-mail (veja "Entrada por e-mail"). O computador da loja não entra com a conta de ninguém: ele é ativado com uma chave gerada no painel.

Dos dados do Drive, o nosso servidor recebe o e-mail da conta conectada e, só numa mensagem de erro ou num aviso de ransomware (vírus que sequestra arquivos), o caminho e o nome de um arquivo e a indicação de que ele mudou no Drive. O conteúdo dos arquivos nunca chega a ele. Esses dados são apagados do nosso servidor junto com a loja. Se a conta do Drive é sua, mas você não tem conta no xmlOK, pode pedir pelo suporte@xmlok.com.br que apaguemos o seu e-mail do painel da loja e do histórico de trocas.

Não vendemos dados do Google, não os usamos para publicidade, não os usamos para treinar modelos de inteligência artificial e não os transferimos a terceiros, a não ser para prestar o serviço, por exigência legal ou com a sua autorização. Ninguém da Deck lê esses dados, a não ser com a sua autorização (veja "Suporte da Deck"), para investigar um problema de segurança ou por exigência legal. Os arquivos do Drive não são usados no cadastro de clientes nem para nenhuma forma de publicidade.

O uso e a transferência, para qualquer outro aplicativo, de informações recebidas das APIs do Google pelo xmlOK seguem a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado.

Você pode tirar o acesso do xmlOK à sua conta Google a qualquer momento em myaccount.google.com/permissions. Sem o acesso ao Drive, o agente para de enviar os arquivos; o que já está no Drive continua lá.

Consulta do CNPJ

No cadastro, assim que você digita um CNPJ válido da loja ou do escritório de contabilidade, o seu navegador consulta sozinho, direto, o serviço público do CNPJ.ws (C D Tirabassi Junior Tecnologia da Informação Ltda, CNPJ 42.064.856/0001-70), que devolve os dados do cadastro na Receita Federal. O CNPJ.ws recebe, e pode guardar pelas regras dele, o CNPJ consultado, o seu endereço IP, a data e a hora da consulta e os dados técnicos que todo navegador envia, como o tipo de navegador e o endereço do painel do xmlOK. Ele não recebe cookies nem os seus dados de cadastro.

Da resposta, o xmlOK usa a razão social, o nome fantasia, a cidade, o estado, a situação na Receita, se é matriz ou filial e, no caso do escritório, o e-mail registrado na Receita, para preencher e conferir o formulário. O resto é descartado no navegador, e só fica guardado o que você salvar. Se a consulta falhar, você preenche à mão.

O CNPJ.ws é uma empresa independente e responde pelo que faz com esses dados, conforme a política de privacidade dele.

Cadastro de clientes

O agente tem um recurso opcional, que vem desligado: o cadastro de clientes. Só pode ligá-lo e desligá-lo, no painel do agente, quem entrou no cadastro de clientes com o código de 6 dígitos e é administrador do estabelecimento (o titular, o sócio ou o administrador da loja no xmlOK com a permissão de exportar). Para ligar, a pessoa aceita o Termo do cadastro de clientes, que vem dentro do agente. O termo é entre o xmlOK e a loja.

Ligado, o agente lê as notas de venda que a loja emitiu, na pasta do PDV, e usa só os dados que o próprio cliente informou para a nota. Ele não cria dado: só aponta o que está nas notas. Só entra quem tem na nota o nome e um e-mail ou telefone. De cada nota, guarda a data e o nome, o CPF ou CNPJ, o e-mail e o telefone do cliente; e, por cliente, o que ele comprou, somado por produto. Os produtos de saúde só entram quando a loja escolhe a base do consentimento. Tudo fica só nesse computador, cifrado.

A loja decide como usar o cadastro e responde por isso. Ela é a controladora desses dados.
A loja escolhe de que período as notas entram e depois de quanto tempo sem compra o cliente sai do cadastro (o padrão é 24 meses).
Só entra no cadastro de clientes, e só exporta, o titular da loja ou quem da equipe tem a permissão "Exportar o cadastro de clientes", com o código de 6 dígitos mandado ao e-mail da conta (veja "Código de entrada no cadastro de clientes"). As exportações ficam só no computador da loja. A planilha tem senha e vai direto para o navegador de quem exportou. O xmlOK não guarda cópia dela. A senha fica só no computador da loja, e só a veem quem pediu e o titular, o sócio ou o administrador da loja com a permissão de exportar.
O agente não guarda pedidos para sair. Quem não quer mais receber mensagens de uma loja pede a ela, que atende no sistema de ofertas dela e deixa de usar os dados dessa pessoa.
O agente apaga o cadastro quando o recurso é desligado ou quando o agente é desinstalado. Quando o computador é desativado ou trocado, apaga assim que recebe o aviso do nosso servidor.
O cadastro usa só as notas da pasta do PDV. Ele nunca usa arquivos do Google Drive.
Quem comprou numa loja e quer saber o que ela tem sobre si, ou não quer mais receber mensagens dela, deve falar com a loja. A Deck não tem esses dados.

Por que podemos usar esses dados

Para cumprir o contrato com você (LGPD, art. 7º, V), inclusive os passos antes dele, como o cadastro, a consulta do CNPJ e a entrada por e-mail: o cadastro, as lojas, a assinatura, as cobranças e os pagamentos, o movimento, as notas de fornecedor e a conferência de recebimento, os computadores, a chave de ativação, o Drive, a contabilidade, o escritório e a equipe dele, a equipe da loja, a passagem da loja, as autorizações ao suporte, o código de entrada no cadastro de clientes e os e-mails do serviço. Sem esses dados o xmlOK não funciona.
Para cumprir obrigações legais (art. 7º, II): os registros de acesso que o Marco Civil da Internet manda guardar e, das cobranças e dos pagamentos, o que a lei fiscal manda guardar.
Para exercer direitos (art. 7º, VI): o registro do aceite dos termos (data e versão), o registro das consultas da equipe da Deck e, quando houver uma disputa ou um pedido de autoridade, os registros ligados a ela, para a nossa defesa num processo.
Por legítimo interesse (art. 7º, IX): a segurança e a prevenção de abuso (os registros técnicos dos servidores, o registro das ações em cada loja e escritório, o limite de tentativas pelo IP guardado como impressão, o aviso de chave digitada em outra máquina e, por até 7 dias, o cadastro de um e-mail que pediu o código e não o usou), o reconhecimento do mesmo computador depois de formatado e a saúde do computador, para avisar antes que ele pare de enviar os XML. Você pode se opor a esses usos pelo e-mail suporte@xmlok.com.br.

Os e-mails do xmlOK são avisos do serviço, nunca propaganda. De noreply@xmlok.com.br saem o link e o código de entrada. De avisos@xmlok.com.br saem:

o relatório de um dia, que alguém da equipe ou da contabilidade pede no painel para o próprio e-mail;
o resumo do dia, para o titular, para as pessoas da equipe que veem o movimento e estão inscritas nele (por padrão, sócio, administrador e gerente) e para os e-mails extras escolhidos para o resumo. A parte das vendas por produto (os mais vendidos e, quando estiverem no ar, os indicadores e a comparação entre lojas), quando estiver no ar, vai só ao titular e ao sócio a quem ele liberou essas vendas, e a comparação entre lojas só a quem vê todas as lojas comparadas. A parte das notas de fornecedor vai só ao titular, aos e-mails extras escolhidos para o resumo e a quem vê os fornecedores, e a lista das notas que esperam a conferência de recebimento há mais de 3 dias vai também a quem confere as notas;
o aviso das notas de fornecedor a conferir, uma vez por dia e por loja, quando há nota esperando a conferência há mais de 3 dias, para quem confere as notas e se inscreveu nele (por padrão, o estoque);
os avisos sobre os computadores (sem sinal, de volta, em dia, envios pausados por segurança, relógio errado, nota de outro CNPJ e nota pendente há mais de 24 horas), para o titular e para as pessoas da equipe que veem os computadores e estão inscritas neles (por padrão, sócio e administrador); o de computador sem sinal vai também aos e-mails extras escolhidos para ele;
os avisos de saúde do computador, para o titular e para quem vê a saúde e se inscreveu;
o código de 6 dígitos para entrar no cadastro de clientes, para quem o pediu no computador da loja e tem a permissão;
os avisos de mudanças feitas por outras pessoas na loja (os e-mails que recebem avisos, a contabilidade e a autorização ao suporte), para o titular, e o aviso da passagem da loja, para o titular antigo;
os avisos da contabilidade: os pedidos de titulares, o lembrete do pedido e a loja ligada ao escritório, para os donos do escritório e quem aceita clientes; e a resposta do escritório, o cliente encerrado, a pessoa retirada ou levada para a equipe, o escritório que passou a ter equipe e o pedido de retirada de uma pessoa indicada, para o titular.

As respostas ao resumo vão para o e-mail da loja ou, se não houver, para o do titular, e quem recebe o resumo vê esse endereço; as respostas aos outros e-mails chegam à caixa de onde eles saíram. Cada pessoa da equipe liga e desliga, no painel, os avisos dela. Quem configura a loja pode desligar o resumo e o aviso de computador sem sinal da loja inteira.

Com quem compartilhamos

Não vendemos dados pessoais. Compartilhamos só o necessário:

com quem você autorizar: as pessoas da sua equipe, os e-mails extras que você cadastrou e a contabilidade que você indicou, cada um com o que pode ver (veja "Quem vê os dados da loja");
com os provedores que nos ajudam a prestar o serviço (lista abaixo), que só podem usar os dados para isso;
com o Google, quando você usa o login com Google e o Google Drive, conforme a política do próprio Google;
com o Mercado Pago, que processa o pagamento da assinatura: ele recebe o nome, o e-mail e o CPF ou CNPJ de quem paga, o valor e a descrição da assinatura. Os dados do cartão vão direto ao Mercado Pago e não passam pelo xmlOK. O Mercado Pago trata esses dados para processar o pagamento, conforme a política de privacidade dele;
com o CNPJ.ws, que recebe o CNPJ consultado no cadastro (veja "Consulta do CNPJ");
com autoridades, quando a lei ou uma ordem judicial obrigar.

Se você escolher mandar o link de um convite pelo WhatsApp, é você quem envia, pelo seu aparelho: a mensagem leva o link e o e-mail da pessoa convidada, e o WhatsApp trata esses dados pela política dele.

Onde os dados ficam

Os servidores do xmlOK ficam na Alemanha. Os provedores que tratam dados para o xmlOK são:

Hetzner Online GmbH (Alemanha): servidores e banco de dados.
Cloudflare, Inc. (Estados Unidos, com rede em vários países): conexão segura entre a internet e os servidores e proteção contra ataques.
Backblaze, Inc. (Estados Unidos): cópias de segurança do banco de dados.
Hostinger International Ltd. (Chipre, na União Europeia; os servidores de e-mail podem ficar na Europa ou em outros países): envio dos e-mails do xmlOK, de noreply@xmlok.com.br e avisos@xmlok.com.br (link e código de entrada, código de entrada no cadastro de clientes, relatórios, resumo e avisos), e as caixas de e-mail do xmlOK, como suporte@xmlok.com.br, que recebem os seus pedidos e as respostas aos e-mails do xmlOK. Recebe o endereço de destino e o conteúdo de cada e-mail.

O Google não trata dados a mando da Deck: o login com Google segue a política do Google, e o Google Drive é contratado pela loja com o Google.

O pagamento da assinatura passa pelo Mercado Pago, que trata os dados de quem paga conforme a política de privacidade dele (veja "Com quem compartilhamos").

Os dados podem ser tratados fora do Brasil. Para a Hetzner, na Alemanha, e para o que a Hostinger tratar na União Europeia, a transferência se apoia no reconhecimento da ANPD de que a União Europeia tem proteção adequada (LGPD, art. 33, I; Resolução CD/ANPD nº 32/2026). Para a Cloudflare e a Backblaze, nos Estados Unidos, e para o que a Hostinger tratar fora da União Europeia, ela se apoia nas cláusulas-padrão contratuais da ANPD (LGPD, art. 33, II, b; Resolução CD/ANPD nº 19/2024). Você pode pedir uma cópia dessas cláusulas pelo suporte@xmlok.com.br.

Por quanto tempo

Vendas por produto: as de cada dia, 90 dias; as de cada mês, 25 meses (o mês atual e os 24 anteriores).
Notas de fornecedor, com os produtos e a conferência de recebimento: enquanto a conta existir.
Eventos de saúde do computador: 90 dias. O retrato mais recente de cada computador fica enquanto ele estiver cadastrado, e os avisos sobre os computadores, inclusive os de saúde, enquanto a conta existir.
IP guardado como impressão, para limitar tentativas: 2 dias.
Cadastro criado por um pedido de código que nunca foi usado: até 7 dias.
Código de entrada no cadastro de clientes: vale 10 minutos. O pedido é apagado em 7 dias. A confirmação da entrada fica no registro de ações da loja.
Convites e links de passagem da loja: valem 7 dias. Pedidos a um escritório: valem 30 dias. O registro deles fica enquanto a conta existir.
Autorizações ao suporte: valem até 7 dias. O registro delas e das leituras fica enquanto a loja ou o escritório existir.
Registros técnicos dos servidores: guardados por tempo limitado, só para investigar e resolver problemas técnicos e de segurança, com acesso restrito à equipe técnica.
Sessões abertas (IP e navegador): até você sair da conta ou depois de 30 dias sem uso.
Registros de acesso (IP, data, hora e e-mail da conta): 6 meses, como manda o Marco Civil da Internet, mesmo que a conta seja excluída antes. Depois, são apagados, a não ser que uma autoridade peça para guardar mais ou que eles sejam necessários num processo.
Registro diário de atividade dos computadores: 400 dias.
Cobranças e pagamentos: 5 anos, pela obrigação fiscal.
Registro do aceite dos termos (data e versão): até 5 anos depois do fim da conta, para a nossa defesa num processo.
Registro das consultas da equipe da Deck: até 5 anos, mesmo depois da exclusão da loja ou do escritório, para mostrar quem leu o quê.
Cópias de segurança do banco de dados: até 30 dias. Um dado apagado pode continuar nelas por esse prazo.
O restante: enquanto a conta existir. Depois do pedido de exclusão, apagamos ou tornamos anônimo em até 30 dias, menos o que esta lista ou a lei mandam guardar.

Os XML que estão no Google Drive da loja continuam lá; o xmlOK não os apaga.

Cookies

O site e os painéis não usam cookies de rastreamento nem ferramentas de análise de acesso. A Cloudflare, que protege o site e os painéis, pode gravar um cookie técnico de segurança. Os painéis guardam no seu navegador apenas a sessão de login, sem a qual você teria que entrar a cada página, e, quando você abre um convite, o convite até você entrar. Os e-mails do xmlOK não contam aberturas nem cliques.

Segurança

Entre você e o xmlOK, os dados trafegam cifrados (HTTPS). Entre os servidores do xmlOK, eles passam por uma rede privada da Hetzner. Cada computador tem uma credencial própria, que o titular pode cancelar no painel a qualquer momento. A credencial do computador, a chave de ativação e os links de convite e de passagem da loja ficam no servidor só como impressão irreversível (um cálculo do qual não dá para voltar ao valor original). O banco de dados fica numa rede privada, sem acesso direto pela internet, e só a equipe da Deck o administra, por um acesso restrito. Cada pessoa só vê o que a função e as permissões dela liberam, e o banco de dados confere isso a cada leitura, não só a tela.

Se acontecer um incidente de segurança que possa causar risco ou dano relevante a você, avisamos você e a Agência Nacional de Proteção de Dados (ANPD), como manda a LGPD.

Seus direitos

Pela LGPD, você pode pedir a confirmação de que tratamos os seus dados, acesso a eles, correção, anonimização, bloqueio ou eliminação do que for desnecessário, portabilidade, informação sobre com quem compartilhamos, revisão de decisões automatizadas e a exclusão da sua conta. Também pode se opor a um tratamento feito por legítimo interesse.

Para isso, escreva para suporte@xmlok.com.br. Respondemos em até 15 dias. Se o pedido for sobre dados que uma loja ou um escritório trata com o xmlOK (de um fornecedor, de um consumidor ou de uma pessoa da equipe, por exemplo), encaminhamos para a loja ou o escritório, que é o responsável. No cadastro de clientes é diferente: a Deck não tem os dados, por isso não encaminha o pedido. Respondemos à pessoa que fale direto com a loja. Você também pode reclamar à ANPD.

A Deck é agente de tratamento de pequeno porte (Resolução CD/ANPD nº 2/2022) e, como permite o art. 11 dessa resolução, não indicou encarregado pelo tratamento de dados pessoais (LGPD, art. 41). O canal para falar sobre os seus dados é suporte@xmlok.com.br.

Menores de idade

O xmlOK é um serviço para empresas e não se destina a menores de 18 anos.

Mudanças nesta política

Cada versão desta política tem número e data, e as anteriores continuam disponíveis. Se mudarmos algo que afete o que fazemos com os seus dados, inclusive quando incluímos um provedor novo, avisamos por e-mail e no painel antes de a mudança valer.