Faturamento eletrônico: como escolher uma plataforma sem expor dados

Faturamento eletrônico costuma entrar na empresa como projeto fiscal, financeiro ou de integração. A equipe compara preço, prazo, conexão com o ERP e capacidade de emissão. Só depois alguém percebe que a plataforma pode receber, conforme as funções e integrações contratadas, nomes, e-mails profissionais nominativos, endereços, dados de autônomos, informações sobre transações e descrições capazes de revelar informações sobre pessoas. Quando privacidade chega no fim, as escolhas mais difíceis já foram feitas.

Uma orientação publicada pela autoridade francesa de proteção de dados em 10 de setembro de 2026 oferece um bom ponto de partida para mudar essa ordem. A CNIL analisou os riscos de proteção de dados na nova faturação eletrônica francesa poucos dias depois da entrada em vigor da primeira fase da reforma no país. O texto explica quais informações podem identificar pessoas, como distribuir responsabilidades e por que segurança, minimização, retenção e gestão de usuários devem participar da implantação.

A obrigação fiscal descrita pela CNIL é francesa. Ela não cria dever novo para empresas brasileiras nem deve ser transportada automaticamente para a LGPD. O valor da notícia está no roteiro operacional: quando uma organização muda a forma de emitir, receber e armazenar notas, ela também redesenha um fluxo de dados pessoais. Esse fluxo merece avaliação antes da contratação, e não apenas uma correção depois do primeiro incidente.

O que a orientação francesa sobre faturamento eletrônico colocou em pauta

Na França, a reforma entrou em vigor em 1º de setembro de 2026. Segundo a CNIL, as empresas estabelecidas no país e sujeitas ao IVA passaram a precisar receber faturas eletrônicas nas operações B2B domésticas abrangidas. Grandes empresas e empresas de porte intermediário também começaram a emiti-las. A emissão alcançará as demais empresas em 1º de setembro de 2027. A transmissão de dados sobre vendas a consumidores e empresas estrangeiras segue uma obrigação separada. Os fluxos passam por plataformas aprovadas pelo Estado francês ou por soluções compatíveis conectadas a elas.

Esse calendário não se aplica ao Brasil. Ainda assim, a mudança mostra o que ocorre quando um processo documental vira infraestrutura digital compartilhada. Dados que antes circulavam por arquivos, e-mails e sistemas internos passam a atravessar integrações, prestadores, APIs, contas de usuários e ambientes de armazenamento. Faturamento eletrônico amplia a importância de saber exatamente quais campos são necessários e quem consegue consultá-los.

A CNIL faz uma distinção útil. Informações referentes apenas a pessoas jurídicas, como nome empresarial e contato genérico, não entram automaticamente no âmbito do RGPD. Já o nome de uma pessoa, seu e-mail profissional nominativo, o endereço residencial usado por profissional autônomo ou informações de empresários individuais podem ser dados pessoais. O contexto muda a classificação. Um cadastro chamado “fornecedor” pode conter uma empresa ou uma pessoa natural exercendo atividade econômica.

No Brasil, a LGPD também protege informações relacionadas a pessoa natural identificada ou identificável. Por isso, a análise não deve parar no tipo do documento. A equipe precisa olhar os campos, o titular e o uso. Uma nota pode conter dados de clientes, representantes, prestadores, profissionais liberais, trabalhadores ou contatos responsáveis pela compra. Faturamento eletrônico não deixa de envolver privacidade só porque a transação é B2B.

Campos livres podem revelar mais do que o necessário

Descrições de itens e observações internas são um ponto sensível. A CNIL recomenda evitar a identidade de uma pessoa quando um número de processo ou referência neutra resolve a finalidade. O exemplo oficial compara uma descrição ligada nominalmente a um cliente com outra que usa apenas o número do dossiê. A segunda reduz exposição sem prejudicar o acompanhamento.

Esse cuidado vale para diversos setores que adotam faturamento eletrônico. Uma clínica pode inserir informação de saúde no descritivo. Um escritório pode revelar o objeto de uma consulta protegida por sigilo. O RH pode registrar detalhes sobre benefício, afastamento ou reembolso. Uma empresa de manutenção pode incluir nome, apartamento e rotina de acesso de um morador. Nada disso precisa aparecer em todos os ambientes pelos quais a nota circula.

O princípio da necessidade previsto na Lei Geral de Proteção de Dados limita o tratamento ao mínimo necessário para a finalidade. Aplicar esse princípio ao faturamento eletrônico exige revisar modelos, campos obrigatórios, campos opcionais e textos que as equipes digitam livremente. Não basta configurar a plataforma. É preciso orientar quem a usa.

No faturamento eletrônico, uma regra simples ajuda: se um identificador interno permite localizar o caso no sistema autorizado, a nota não precisa repetir detalhes pessoais. Quando a descrição legal ou fiscal exige informação específica, a empresa deve limitar o conteúdo ao necessário e controlar quem acessa. A decisão precisa considerar também cópias, arquivos de integração, exportações e mensagens automáticas.

Antes de contratar, mapeie o caminho da nota

No faturamento eletrônico, o desenho deve mostrar de onde os dados saem e por onde passam. A origem pode ser CRM, ERP, sistema contábil, plataforma de vendas, cadastro de fornecedores ou planilha. Depois vêm conectores, plataforma emissora, armazenamento, contador, cliente, banco, autoridade fiscal e serviços de suporte. Cada integração pode criar cópias, logs e credenciais próprias.

No faturamento eletrônico, o mapa precisa separar pelo menos quatro grupos: dados cadastrais, conteúdo da transação, dados de pagamento e informações operacionais. Também convém registrar documentos anexos, textos livres e identificadores técnicos. Essa separação facilita decidir o que cada sistema realmente deve receber.

Perguntas práticas revelam lacunas cedo:

Quais dados pessoais entram em cada tipo de nota?
A integração envia todos os campos do cadastro ou apenas os necessários?
A plataforma usa suboperadores para nuvem, suporte ou mensageria?
Em quais países ficam produção, backup e atendimento?
Quais usuários podem visualizar, exportar, corrigir ou cancelar documentos?
Existem contas de serviço e chaves de API sem responsável definido?
O fornecedor reutiliza dados para estatísticas, produto ou treinamento de modelos?
Como a empresa recupera registros e encerra o serviço sem perder controle?

No faturamento eletrônico, responder a essas perguntas antes da assinatura reduz retrabalho contratual e técnico. Também ajuda compras a comparar fornecedores por capacidade real, não apenas por declarações genéricas de conformidade.

Controlador, operador e uso próprio do fornecedor

A CNIL explica que a empresa que determina as finalidades do processo tende a atuar como controladora. A plataforma pode ser operadora quando trata os dados em nome do cliente e conforme suas instruções. Se ela reaproveita informações para objetivos próprios, a análise muda. A autoridade francesa menciona condições específicas para essa reutilização no contexto do RGPD.

Na LGPD, os papéis também dependem da operação concreta. O controlador toma as decisões referentes ao tratamento, enquanto o operador atua em nome do controlador e deve seguir suas instruções. A classificação precisa refletir quem decide a finalidade e quem executa cada tratamento, e não apenas a etiqueta escolhida no contrato.

Isso impede uma resposta automática. O mesmo fornecedor pode ser operador ao emitir documentos conforme instrução e controlador em uma operação específica quando define uma finalidade própria para os dados. Segurança, prevenção à fraude ou melhoria de produto não mudam o papel por si sós. A análise precisa mostrar, finalidade por finalidade, quais dados são usados e quem toma as decisões. Faturamento eletrônico precisa de uma matriz de responsabilidades suficientemente clara para orientar incidentes, direitos dos titulares e fim do contrato.

Conforme o papel das partes e os riscos do serviço, convém que o contrato detalhe instruções, confidencialidade, controles de acesso, subcontratação, apoio a direitos, comunicação de incidentes, retenção, devolução, eliminação, auditoria e transferências internacionais. Uma cláusula dizendo que as partes “cumprem a LGPD” não explica o que acontece quando uma chave de API é exposta ou quando o fornecedor quer criar uma nova função analítica.

Segurança não se resume à certificação

A orientação francesa cita exigências específicas de segurança aplicáveis às plataformas aprovadas naquele país, incluindo certificações e requisitos de infraestrutura. A própria CNIL alerta que esses elementos não encerram a análise de conformidade. Certificação é evidência útil, mas não demonstra que a configuração escolhida pelo cliente está correta.

A empresa brasileira precisa avaliar medidas adequadas ao seu contexto. Contas individuais, autenticação multifator, segregação de funções e revisão periódica de permissões formam uma base importante. Usuários do financeiro podem emitir e consultar documentos sem receber automaticamente poderes administrativos. O contador externo precisa de acesso compatível com o serviço. Contas desligadas devem ser removidas no prazo definido.

Contas compartilhadas são especialmente problemáticas. Elas dificultam saber quem visualizou, exportou ou alterou uma informação. Também favorecem senhas circulando por mensagem e impedem o bloqueio de apenas uma pessoa. Como salvaguarda recomendada, cada ação relevante no faturamento eletrônico deve ficar associada a uma identidade, inclusive acesso administrativo, exportação em massa e mudança de integração.

As APIs merecem o mesmo cuidado. De acordo com o risco e a arquitetura, é recomendável atribuir um responsável a cada chave, limitar seu escopo e prever armazenamento seguro, rotação e revogação. Logs não devem registrar segredos nem copiar todo o conteúdo da nota sem necessidade. Ambientes de teste não devem receber uma réplica completa da produção por conveniência. Backups precisam seguir os mesmos critérios de acesso e descarte.

Retenção deve ser definida por finalidade e obrigação

A CNIL informa que a legislação francesa estabelece dez anos de conservação para documentos contábeis. Esse prazo não deve ser copiado como regra brasileira. No Brasil, a empresa deve considerar obrigações fiscais, contábeis, contratuais e de defesa de direitos aplicáveis à sua realidade, além dos princípios e hipóteses de conservação da LGPD.

A matriz de retenção deve diferenciar documento fiscal, cadastro, anexo, log técnico, trilha de auditoria, cópia de integração e ticket de suporte. Pode haver razões distintas para manter cada elemento. Guardar tudo pelo maior prazo encontrado aumenta exposição. Apagar tudo quando o contrato termina pode eliminar evidências necessárias.

Também é preciso saber como a plataforma executa a decisão. Faturamento eletrônico pode distribuir dados entre produção, réplica, backup, exportação, suboperador e ferramenta de suporte. É recomendável que o contrato descreva devolução e eliminação, incluindo o que ocorre com cópias residuais. A empresa precisa conseguir exportar os dados em formato utilizável e manter continuidade caso troque de fornecedor.

Reutilização e inteligência artificial exigem pergunta direta

Fornecedores podem oferecer conciliação, classificação automática, previsão de recebimento ou detecção de anomalias. Essas funções podem ser úteis, mas não autorizam qualquer reaproveitamento dos dados. A empresa deve perguntar se entradas, documentos, anexos ou interações de suporte são usados para treinar modelos ou melhorar serviços para outros clientes.

Se houver inteligência artificial, a avaliação deve identificar fonte dos dados de treinamento, finalidade, separação entre clientes, retenção, revisão humana e capacidade de desativar funções não necessárias. Uma resposta como “os dados podem ser usados para melhoria” é ampla demais. O fornecedor precisa explicar quais dados, qual melhoria, com que fundamento e com quais controles.

Essa análise também se conecta ao risco de dependência. Formatos proprietários, integrações fechadas e ausência de exportação dificultam migrar. Se a empresa perde acesso quando o contrato acaba, ela pode ficar sem os registros de que precisa. O plano de saída do faturamento eletrônico deve ser discutido desde a seleção e cobrir exportação e migração contratual dos dados, documentação de APIs, devolução, eliminação e apoio na transição. Isso é diferente do direito de portabilidade exercido pelo titular nos termos da LGPD.

Como transformar a revisão em decisão de compra

No faturamento eletrônico, privacidade precisa entrar na comparação de propostas com critérios verificáveis. Em vez de pedir apenas política e certificação, a empresa pode solicitar mapa de suboperadores, descrição das finalidades próprias, localização dos ambientes, processo de incidente, opções de configuração, evidência de testes, regras de retenção e procedimento de término.

Compras não precisa avaliar isso sozinha. Financeiro conhece a rotina e as exceções. TI verifica arquitetura e integração. Segurança avalia controles. Jurídico traduz responsabilidades e limites de uso. O encarregado conecta o projeto à governança de dados e aos direitos das pessoas. A decisão fica melhor quando cada área responde por uma parte clara.

Nesse tipo de projeto, recomenda-se usar dados sintéticos ou reduzidos na prova de conceito. Também vale testar os controles descritos na documentação, como perfis de acesso, logs, exportação, exclusão, autenticação e desativação de funcionalidades. Se uma função essencial só aparece depois da contratação, a empresa perde poder de negociação.

O artigo da TOGETHER sobre LGPD para escritórios de contabilidade mostra como papéis, acessos e retenção aparecem na rotina contábil. Já a due diligence de privacidade ajuda a estruturar perguntas para fornecedores críticos. Neste projeto, os dois temas se encontram: avaliar a plataforma e preparar a operação que vai usá-la.

Checklist antes da migração

Antes de colocar o faturamento eletrônico em produção, confirme:

inventário dos dados pessoais por tipo de documento e integração;
finalidade e necessidade de campos livres e anexos;
papéis da empresa, plataforma e suboperadores;
proibição ou delimitação de reutilização para finalidade própria;
localização dos ambientes e transferências internacionais;
contas individuais, MFA e perfis por função;
gestão de chaves de API e contas de serviço;
logs suficientes para auditoria, sem excesso de conteúdo;
fluxo para incidentes e apoio a titulares;
retenção por categoria e método de eliminação;
exportação, continuidade e saída do fornecedor;
treinamento para financeiro, contabilidade e suporte.

Esse checklist não substitui a análise jurídica, fiscal ou técnica do faturamento eletrônico. Ele ajuda a evitar que uma migração rápida esconda decisões sem dono. A profundidade deve acompanhar sensibilidade, escala, dependência e quantidade de participantes no fluxo.

Como a TOGETHER pode apoiar

A TOGETHER realiza consultoria em LGPD para mapear dados, avaliar fornecedores, revisar contratos, organizar retenção e definir controles de acesso em projetos de faturamento eletrônico. O trabalho pode começar antes da contratação ou corrigir uma implantação que já está em produção, sempre conectando a recomendação à rotina das áreas responsáveis.

Com DPO as a Service, a empresa mantém apoio contínuo para novas integrações, mudanças de fornecedor, incidentes, pedidos de titulares e revisões periódicas. Isso evita que uma avaliação pontual fique desatualizada quando a plataforma adiciona módulos, suboperadores ou usos de inteligência artificial.

A notícia francesa serve como alerta prático, não como atalho jurídico. Transformar notas em fluxo digital pode reduzir trabalho manual, mas também amplia a circulação de informações. Faturamento eletrônico funciona melhor quando privacidade participa da escolha, da configuração e do acompanhamento da plataforma. Solicite uma avaliação da plataforma à TOGETHER antes de fechar a contratação ou ampliar as integrações.