Termos de Uso, DPA e Privacidade

Versão 2026-10-20 · vigente desde 20 de outubro de 2026

Parte 1 · Termos de Uso

1. Quem somos e como estes termos se aplicam

O Primordy é um serviço de software (SaaS) oferecido por BorealCode ("Primordy", "nós"). Estes Termos de Uso, o Acordo de Processamento de Dados (Anexo I), a lista de suboperadores (Anexo II), as medidas de segurança (Anexo III) e a Política de Privacidade formam um único contrato entre o Primordy e a empresa que cria a conta ("Cliente").

Quem cria a conta declara ter poderes para contratar em nome do Cliente. Ao marcar a caixa de aceite no cadastro, o Cliente aceita este contrato por inteiro. Cada pessoa convidada para a equipe aceita os Termos de Uso e a Política de Privacidade no próprio cadastro.

2. O serviço

O Primordy lê notas fiscais, boletos, recibos e documentos financeiros enviados pelo Cliente (pelo sistema ou por e-mail redirecionado), extrai os campos, compara com o histórico do próprio Cliente, gera alertas (pagamento em dobro, CNPJ irregular, boleto com banco trocado, valor fora do contrato) e exporta os lançamentos para planilhas e sistemas de gestão.

A extração é feita por inteligência artificial e pode errar. Os resultados são um apoio à conferência: o Cliente continua responsável por conferir os dados antes de pagar, lançar ou declarar qualquer valor. O serviço não substitui contador, auditoria ou assessoria jurídica e não é o repositório oficial de guarda de documentos fiscais.

3. Conta, equipe e acesso

• O Cliente mantém os dados de cadastro corretos e as senhas em sigilo, e responde pelos atos praticados com os acessos da sua equipe.
• Papéis: dono (contrata, encerra a conta), administrador (configura, convida, vê o registro de acessos) e membro (envia e confere documentos). O Cliente decide quem recebe cada papel.
• Suspeita de acesso indevido deve ser comunicada imediatamente para suporte@primordy.com.br.

4. Planos, cobrança e cancelamento

• As páginas gratuitas de teste não exigem cartão. Depois, o uso depende de um plano mensal com franquia de páginas; o que passar da franquia é cobrado por página na fatura seguinte, pelos valores publicados na página de planos.
• A cobrança é feita pela AbacatePay. Dados de cartão e de pagamento nunca passam pelo Primordy.
• O Cliente pode cancelar a assinatura a qualquer momento nas configurações; o acesso segue até o fim do período pago. Não há reembolso proporcional de mensalidade já iniciada, salvo quando a lei exigir.
• Reajustes de preço são avisados por e-mail com pelo menos 30 dias de antecedência.

5. Uso permitido

O Cliente se compromete a não:

• enviar documentos que não tenha direito de tratar ou cujo tratamento não tenha base legal;
• usar o serviço para fraude, lavagem de dinheiro ou qualquer atividade ilícita;
• tentar acessar dados de outros clientes, contornar limites, fazer engenharia reversa ou sobrecarregar o serviço;
• revender o acesso sem autorização por escrito.

O descumprimento permite suspender o acesso, com aviso prévio sempre que possível.

6. Dados do Cliente e propriedade intelectual

Os documentos e os dados extraídos pertencem ao Cliente. O Primordy só os usa para prestar o serviço ao próprio Cliente e não os usa para treinar modelos de inteligência artificial, nem os vende ou compartilha para fins de marketing. O software, a marca e os modelos de conferência são do Primordy; o contrato concede ao Cliente apenas o direito de uso enquanto estiver vigente.

7. Disponibilidade e suporte

Trabalhamos para manter o serviço disponível 24 horas por dia, com manutenções programadas avisadas com antecedência. Planos Enterprise podem ter acordo de nível de serviço (SLA) próprio, por escrito. Suporte: suporte@primordy.com.br.

8. Responsabilidade

Na medida permitida pela lei, a responsabilidade total do Primordy por danos diretos fica limitada ao valor pago pelo Cliente nos 12 meses anteriores ao fato. O Primordy não responde por lucros cessantes, por decisões tomadas sem a conferência prevista na cláusula 2 ou por indisponibilidade de serviços de terceiros fora do seu controle. Esta limitação não se aplica a dolo, a culpa grave nem às obrigações de proteção de dados do Anexo I, que seguem a LGPD.

9. Encerramento da conta

O dono da conta pode encerrá-la a qualquer momento em Configurações → Privacidade. O encerramento cancela a assinatura e apaga, de forma definitiva, todos os arquivos, os dados extraídos, os alertas, os contratos, a equipe e as integrações, conforme a cláusula 10 do Anexo I. Antes de encerrar, o Cliente deve exportar o que precisar guardar.

10. Alterações destes termos

Mudanças relevantes são avisadas por e-mail e no próprio sistema com pelo menos 15 dias de antecedência. Cada versão tem data; a nova versão precisa ser aceita no próximo acesso para continuar usando o serviço. Quem não concordar pode encerrar a conta sem multa.

11. Lei aplicável e foro

Este contrato segue as leis do Brasil, em especial a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, "LGPD") e o Marco Civil da Internet (Lei nº 12.965/2014). Fica eleito o foro da comarca da sede da BorealCode, salvo regra legal em contrário.

Anexo I · Acordo de Processamento de Dados (DPA)

Este anexo regula o tratamento de dados pessoais que o Primordy faz em nome do Cliente, nos termos dos arts. 37 a 40 e 46 a 49 da LGPD. Ele é aceito pelo dono ou por um administrador da conta, em nome do Cliente.

1. Papéis

• Cliente: controlador (art. 5º, VI). Decide quais documentos enviar, para quê, por quanto tempo guardar e quem da equipe acessa. É responsável pela base legal do tratamento e pelo atendimento aos titulares.
• Primordy: operador (art. 5º, VII). Trata os dados apenas para prestar o serviço contratado e segundo as instruções do Cliente (art. 39), que são dadas por meio deste contrato e das configurações do sistema.

Se o Primordy receber uma instrução que considere contrária à lei, avisará o Cliente e poderá suspender aquele tratamento até a questão ser resolvida.

2. Finalidade e duração

Finalidade: receber (por envio no sistema ou por e-mail redirecionado de remetentes autorizados pelo Cliente), ler, organizar, conferir, buscar e exportar os documentos financeiros do Cliente. O tratamento dura enquanto o contrato estiver vigente, mais o tempo necessário para a eliminação descrita na cláusula 10.

3. Titulares e categorias de dados

• Titulares: fornecedores, prestadores de serviço, clientes, sacados, beneficiários e representantes que aparecem nos documentos (pessoas físicas ou dados de contato de pessoas jurídicas); e as pessoas da equipe do Cliente.
• Dados: nome, CPF ou CNPJ, endereço, e-mail, telefone, dados bancários e de pagamento que constem do documento (banco, agência, conta, linha digitável, chave Pix), valores, datas e descrições de produtos ou serviços.
• Dados sensíveis (art. 5º, II) não são necessários para o serviço. O Cliente deve evitar enviar documentos que os contenham (por exemplo, recibos médicos de pessoas físicas); se enviar, assume a base legal do art. 11 para esse tratamento.

4. Onde os dados ficam e transferência internacional

Armazenamento: banco de dados, arquivos originais e cópias de trabalho ficam em servidores na União Europeia (Alemanha e Finlândia). A transferência para esses países se apoia no art. 33, I, da LGPD (países com grau de proteção adequado reconhecido pela ANPD) e eles seguem o Regulamento Geral de Proteção de Dados europeu (RGPD/GDPR).

Processamento por IA: para ler as páginas, as imagens e o texto dos documentos são enviados, no momento do processamento, às APIs empresariais listadas no Anexo II, algumas sediadas nos Estados Unidos. Essas transferências se apoiam no art. 33, II, "b", da LGPD, com as cláusulas-padrão contratuais aprovadas pela Resolução CD/ANPD nº 19/2024. Esses provedores não usam os dados recebidos pela API para treinar modelos e não os guardam além do previsto no Anexo II.

5. Segurança

O Primordy adota medidas técnicas e administrativas aptas a proteger os dados contra acessos não autorizados e contra destruição, perda, alteração ou difusão acidental ou ilícita (art. 46), descritas no Anexo III, entre elas: conexão somente por TLS 1.3, criptografia dos arquivos em repouso com AES-256-GCM, isolamento dos dados de cada cliente, controle de acesso por papéis e registro de acessos.

6. Pessoas autorizadas

Só acessam dados do Cliente as pessoas da equipe do Primordy que precisam fazê-lo para operar, dar suporte ou corrigir falhas, sob dever de confidencialidade. Todo acesso da equipe de suporte a um documento aparece no registro de acessos do Cliente como "Equipe Primordy (suporte)".

7. Suboperadores

O Cliente autoriza o uso dos suboperadores do Anexo II. Cada um está sujeito a obrigações de proteção de dados equivalentes às deste anexo, e o Primordy responde por eles perante o Cliente. A inclusão ou troca de um suboperador será avisada com pelo menos 15 dias de antecedência; se o Cliente se opuser por motivo razoável e não houver alternativa, pode encerrar o contrato sem multa.

8. Incidentes de segurança

Ao confirmar um incidente de segurança que envolva dados do Cliente, o Primordy avisará o Cliente em até 24 horas, informando o que se sabe sobre a natureza do incidente, os dados e titulares afetados, os riscos e as medidas tomadas, e apoiará o Cliente na comunicação à ANPD e aos titulares (art. 48 e Resolução CD/ANPD nº 15/2024).

9. Direitos dos titulares

Pedidos de titulares (art. 18: confirmação, acesso, correção, eliminação, portabilidade e informações) são respondidos pelo Cliente. O sistema oferece as ferramentas para isso: busca, correção de campos, exportação e exclusão definitiva. Pedidos recebidos diretamente pelo Primordy serão encaminhados ao Cliente sem demora.

10. Retenção e eliminação

• Exclusão de um documento ("Excluir documento e dados extraídos"): apaga, de forma definitiva, o arquivo original do armazenamento e, do banco de dados, os campos extraídos, o texto, os vetores de busca (embeddings), os alertas e a linha do tempo do processamento. Não existe lixeira.
• Retenção automática: um administrador pode escolher um prazo (90 dias, 6 meses, 1 ano, 2 anos, 5 anos). Documentos mais antigos que o prazo são eliminados da mesma forma, pelo menos uma vez por dia. O padrão é não excluir automaticamente.
• Encerramento da conta: elimina de imediato todos os documentos e arquivos originais, dados extraídos, alertas, contratos, fornecedores, empresas (CNPJs), caixa de entrada, equipe, integrações e contadores de uso. As linhas apagadas saem do disco do banco de dados em até 1 hora. Se houver cópias de segurança, elas expiram em até 30 dias e não são usadas para consulta.
• O que fica, por obrigação legal: o registro de acessos por 2 anos (o Marco Civil da Internet, art. 15, exige no mínimo 6 meses), reduzido ao que a lei pede (ação, data e hora, IP e identificadores internos), sem nomes, e-mails, nomes de arquivo nem os valores das correções; e os dados mínimos de cobrança (razão social, CNPJ, plano, identificadores da AbacatePay, datas dos pagamentos e consumo de páginas, sem os dados do pagador), pelos prazos da legislação fiscal. Os dados não são anonimizados para reuso: são apagados, e o que fica serve só a essas obrigações.
• Os prazos legais de guarda dos documentos fiscais do Cliente (em geral, 5 anos) continuam sendo responsabilidade do Cliente. Antes de excluir ou de ligar a retenção automática, guarde os originais em outro lugar se precisar deles.

11. Registro de acessos e auditoria

O sistema registra quem (pessoa, data, hora e IP) abriu os dados de um documento, abriu ou baixou o arquivo original, corrigiu campos, reprocessou, exportou ou excluiu, além de convites, mudanças de papel e de configurações. Administradores do Cliente consultam esse registro em Configurações → Privacidade. Informações adicionais para demonstrar o cumprimento deste anexo podem ser pedidas por escrito a privacidade@primordy.com.br, uma vez por ano ou após um incidente.

12. Fim do contrato

No fim do contrato, o Primordy elimina os dados do Cliente conforme a cláusula 10, salvo o que a lei obrigar a guardar (art. 16). As obrigações de confidencialidade continuam valendo depois do fim do contrato.

Anexo II · Suboperadores

Empresas que tratam dados do Cliente para o Primordy funcionar.

Anexo III · Medidas de segurança

• Em trânsito: acesso somente por HTTPS com TLS 1.3 (versões anteriores são recusadas) e HSTS. Chamadas aos provedores de IA também usam HTTPS.
• Em repouso: cada arquivo é cifrado com AES-256-GCM antes de ser gravado, com nonce aleatório e amarrado ao seu caminho no armazenamento. A chave fica fora do armazenamento e pode ser trocada sem perder arquivos antigos. Discos dos servidores em data centers certificados ISO/IEC 27001.
• Isolamento: toda consulta é filtrada pela empresa do usuário logado; uma empresa não enxerga dados de outra.
• Controle de acesso: papéis de dono, administrador e membro; sessões em cookie seguro (HttpOnly, SameSite); senhas guardadas só como hash (PBKDF2-SHA256 com sal); confirmação de e-mail; acesso da equipe Primordy restrito e registrado.
• Registro de acessos: visualizações, downloads, correções, exportações e exclusões, guardado por 2 anos.
• Minimização: só os campos necessários são extraídos; o monitoramento técnico das chamadas de IA não recebe o conteúdo dos documentos.
• Eliminação: exclusão definitiva de documento, retenção automática configurável e encerramento de conta com eliminação de todos os dados.
• Proteções da aplicação: cabeçalhos de segurança (HSTS, X-Frame-Options, Referrer-Policy, nosniff), limites de tamanho de envio e de tentativas de login.

Política de Privacidade

Esta política explica como o Primordy trata os dados das pessoas que usam o sistema (quem cria a conta e quem é convidado). Para esses dados, o Primordy é o controlador. Os dados que estão dentro dos documentos seguem o Anexo I, em que o controlador é a empresa Cliente.

Quais dados

• Cadastro: nome, e-mail, senha (guardada só como hash), empresa, CNPJ e papel na equipe.
• Uso: data e hora de acesso, endereço IP e as ações registradas no registro de acessos.
• Cobrança: plano, faturas e consumo de páginas. Dados de cartão ficam só com a AbacatePay.
• Cookies: apenas o cookie de sessão, necessário para manter você logado. A preferência de tema claro ou escuro fica só no seu navegador. Não usamos cookies de publicidade nem de rastreamento.

Para quê e com qual base legal

• Criar e manter a conta, prestar o serviço e cobrar: execução do contrato (art. 7º, V).
• Guardar registros de acesso: cumprimento de obrigação legal (art. 7º, II, e Marco Civil da Internet, art. 15).
• Segurança, prevenção a fraude e melhoria do serviço com dados técnicos agregados: legítimo interesse (art. 7º, IX).
• E-mails do sistema (confirmação, convites, alertas): execução do contrato. Os alertas por e-mail podem ser desligados nas configurações.

Com quem compartilhamos

Somente com os suboperadores do Anexo II, para as finalidades ali descritas, e com autoridades quando a lei ou uma ordem judicial exigir.

Por quanto tempo

Enquanto a conta existir. Quando alguém é removido da equipe ou a conta é encerrada, os dados de cadastro (nome, e-mail, senha) são apagados de vez, inclusive dos detalhes do registro de acessos; ficam os registros de acesso (ação, data e hora, IP) por 2 anos e os dados de cobrança pelo prazo da legislação fiscal.

Seus direitos

Você pode pedir confirmação, acesso, correção, anonimização, portabilidade, eliminação, informações sobre compartilhamento e revisão de decisões automatizadas (arts. 18 e 20 da LGPD), além de reclamar à Autoridade Nacional de Proteção de Dados (ANPD). Nome e senha você mesmo altera em Configurações → Perfil.

Encarregado (DPO) e contato

Pedidos sobre privacidade e proteção de dados: privacidade@primordy.com.br. Respondemos em até 15 dias.

Versão 2026-10-20. Voltar para a página inicial