Como a consulta grátis trata dados

A controladora dos dados pessoais tratados na consulta grátis é LARANJO SOFTWARE LTDA, CNPJ 51.300.463/0001-00, de Belo Horizonte, MG. O contato para assuntos de privacidade é contato@laranjo.dev.

O servidor fica na Amazon Web Services, na região de São Paulo, que atua como operadora: hospeda a consulta em meu nome.

Para responder, envio o número do CNPJ a dois serviços públicos e gratuitos, mantidos por terceiros, que servem os dados abertos do CNPJ que a Receita Federal publica: primeiro a BrasilAPI (brasilapi.com.br) e, se ela não responder, a Minha Receita (minhareceita.org). Eles recebem o número e o endereço de rede do meu servidor, nunca o seu, e podem processar a consulta em servidores fora do Brasil. A resposta traz tudo o que a Receita publica sobre a empresa, inclusive sócios, endereço e contatos. Eu uso apenas a razão social e o nome fantasia (mostro o nome fantasia, quando a empresa tem um), a situação cadastral, o porte, as opções pelo Simples Nacional e pelo MEI, a atividade, o município, o tipo de empresa e as datas, e descarto o resto sem gravar.

Eu guardo esses dados públicos por até um dia, para responder mais rápido a quem consultar a mesma empresa. Eles ficam guardados sob um código calculado a partir do número, nunca sob o número. A razão social de uma empresa MEI costuma ser o nome do seu dono, às vezes com o CPF: eu guardo a razão social e o nome fantasia com os outros dados, mesmo quando mostro apenas o nome fantasia, e escondo qualquer CPF que venha neles. Uma vez por dia, apago todos esses dados, qualquer que seja a idade deles. Se a consulta não acha a empresa, nada fica guardado.

Eu leio o texto que você cola no meu próprio servidor, sem enviar a ninguém, e mostro o resultado. O texto e o resultado não são guardados nem anotados em registro algum.

Eu faço o cálculo no meu próprio servidor, com os valores e as respostas que você dá, sem enviar nada a ninguém, e mostro o resultado. Os valores, as respostas e o resultado não são guardados nem anotados em registro algum. A sua resposta a “Você tem uma empresa?” também não é guardada nem contada.

Eu procuro o município que você escolhe numa cópia da lista de municípios aderentes à NFS-e, publicada na página da NFS-e no gov.br, que fica no meu próprio servidor. A consulta não sai dele: não envio nada a ninguém, nem ao gov.br. O estado, o município e o resultado não são guardados nem anotados em registro algum. A sua resposta a “Você tem uma empresa?” também não é guardada nem contada.

A página não pede nada: eu calculo os dias de vencimento no meu próprio servidor, pela regra de cada guia, sem enviar nada a ninguém. A sua resposta a “Você tem uma empresa?” não é guardada nem contada.

Eu faço o cálculo no meu próprio servidor, com o ano, a receita e as respostas que você dá, sem enviar nada a ninguém, e mostro o resultado. O ano, a receita, as respostas e o resultado não são guardados nem anotados em registro algum. A sua resposta a “Você tem uma empresa?” também não é guardada nem contada.

Eu faço a busca no meu próprio servidor, sobre uma cópia da lista nacional de serviços da NFS-e, com as palavras ou o código que você digita, sem enviar nada a ninguém, e mostro os códigos que encontro. As palavras, o código e o resultado não são guardados nem anotados em registro algum, nem contados: conto apenas que uma busca foi feita e, quando ela não encontra nenhum código, que não encontrou. A sua resposta a “Você tem uma empresa?” também não é guardada nem contada.

Eu faço a busca no meu próprio servidor, sobre uma cópia dos Anexos XI, VI e VII da Resolução CGSN nº 140/2018, com o CNAE ou as palavras que você digita, sem enviar nada a ninguém, e mostro as linhas dos anexos que encontro. O CNAE, as palavras e o resultado não são guardados nem anotados em registro algum, nem contados: conto apenas que uma busca foi feita e, quando ela não encontra nenhuma linha, que não encontrou. A sua resposta a “Você tem uma empresa?” também não é guardada nem contada.

Para que ninguém use a consulta em massa, conto quantas consultas vêm de cada endereço de rede (IP) por hora: até 20 de CNPJ e 60 de boleto. O cálculo do Fator R e a consulta da NFS-e Nacional têm limites próprios, contados da mesma forma: até 60 cálculos e até 60 passos da consulta por hora; escolher o estado é um passo, e escolher o município, outro. O cálculo do limite do MEI também tem um teto próprio: até 60 cálculos por hora. A busca do código de tributação nacional tem outro: até 60 buscas por hora; e a busca do CNAE do MEI, outro: até 60 buscas por hora. Não guardo o endereço. Guardo um código calculado a partir dele com uma chave aleatória, que muda todo dia e nunca é gravada no banco de dados; depois que a chave do dia é descartada, ninguém consegue saber a que endereço uma contagem se refere. Uma vez por dia, apago as contagens das horas que já passaram.

Para saber se os serviços públicos estão respondendo, anoto cada chamada que o servidor faz a eles: qual deles, se respondeu e quanto tempo levou, sem o CNPJ. Guardo essas anotações por 30 dias.

Para mostrar uma página, o seu navegador envia ao servidor, como em qualquer site, o endereço de rede (IP) do seu aparelho e informações técnicas sobre o navegador. O servidor usa esses dados para responder e para a contagem acima, e anota cada visita no registro de acesso: a data e a hora, o endereço IP e a porta lógica de origem, o endereço do site, o tipo de pedido, a página pedida, sem o que vem depois do “?” e sem o código de um link, e a resposta do servidor. O CNPJ que você digita e o texto do boleto que você cola não entram nele: vão no corpo do pedido, que não é anotado.

Eu guardo esse registro por 6 meses, sob sigilo e em ambiente controlado, como exige o Marco Civil da Internet (Lei nº 12.965/2014, art. 15), e depois o apago, salvo os dias que uma autoridade pedir que fiquem guardados por mais tempo; ele é entregue a terceiros apenas por ordem judicial. A base legal para guardar esse registro é o cumprimento de obrigação legal (LGPD, art. 7º, II), e para usá-lo na segurança e na correção de falhas, o legítimo interesse (art. 7º, IX). Os detalhes estão na seção 9 da Política de privacidade.

Para saber se estas páginas funcionam, conto, por dia, as visitas à página inicial e às páginas de cada ferramenta, as consultas de CNPJ pelo tipo de resposta, as consultas de boleto, os cálculos do Fator R, as consultas da NFS-e Nacional, os cálculos do limite do MEI, as buscas do código de tributação nacional e quantas delas não encontraram nenhum código, as buscas do CNAE do MEI e quantas delas não encontraram nenhuma linha, as respostas a “Esta é a sua empresa?” e a “Eu não sabia disso”, as aberturas do cadastro e os pedidos de cadastro enviados, separando os novos dos que substituem um pedido anterior, as chegadas pelo link de compartilhamento, as aberturas do link laranjo.dev/email das mensagens que eu escrevo a empresas. Cada total é separado pelo canal, pela campanha e pela versão da página, como o link os traz, ou pelo buscador, quando uma página de ferramenta é aberta pelos resultados de busca dele sem campanha no link, pela página do site em que a visita começou (a página inicial ou a de uma ferramenta) e, quando a consulta encontra a empresa, pelo porte que os dados públicos informam (MEI, ME, EPP ou outro) e por ela ser ou não um escritório de contabilidade, pela atividade que os mesmos dados informam, nunca pelo número do CNPJ. Para saber de que buscador a página veio, leio apenas o nome do site que, segundo o navegador, abriu a página, comparo esse nome com uma lista fechada de buscadores e não guardo nem anoto esse nome. Os cálculos do Fator R e as consultas da NFS-e Nacional são contados sem nenhum valor, resposta, estado ou município, os cálculos do limite do MEI, sem o ano, a receita ou as respostas, e as buscas do código de tributação nacional e do CNAE do MEI, sem as palavras ou o código digitados. Conto também, por dia e por campanha, as consultas, os cálculos e as buscas que passaram do limite por hora, sem nenhum valor, resposta ou palavra. Também conto, por hora, quantas consultas de CNPJ chegaram e quantas encontraram o serviço ocupado, sem nenhum outro detalhe. Não uso cookies, pixel nem ferramentas de publicidade ou de medição de outras empresas.

Para contar quantas pessoas diferentes visitaram estas páginas num dia, calculo um código a partir do endereço de rede (IP), do canal e da campanha (ou do buscador, como acima) e da versão da página, e de a visita ter vindo ou não por um link de compartilhamento, com a chave aleatória do dia que a contagem de consultas usa, que nunca é gravada no banco de dados. Guardo o código apenas no dia em que ele foi calculado, contado no horário universal (o dia termina às 21h de Brasília): os códigos dos dias anteriores são apagados na primeira visita do dia seguinte, ou na limpeza diária. Depois que a chave do dia é descartada, ninguém consegue saber a que endereço um código se refere.

O link de compartilhamento leva um código aleatório, criado para cada resposta, que não identifica ninguém e não fica guardado junto de nenhum dado seu. Quando alguém chega pelo link, conto a chegada e as consultas que vêm dela.

Quando um navegador abre como página o link laranjo.dev/email, das mensagens que eu escrevo a empresas, somo um ao total do dia da campanha que o link traz, sem guardar o endereço de rede, os dados do navegador ou quem o abriu, e o pedido fica no registro de acesso, como qualquer visita. Não conto o link carregado como imagem, dentro de outra página ou pelo navegador antes de um toque, nem um pedido que não abre a página; um programa que abre o link, como o que monta a prévia dele, pode ser contado.

Para que ninguém mude esses totais em massa, conto os toques de cada endereço de rede por hora, como as consultas: além de 30 por hora, o toque funciona, mas não é contado. Os totais diários ficam guardados por 2 anos, sem dados pessoais, e entram nas cópias de segurança do banco de dados.

A Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018, LGPD) garante a você, entre outros, os direitos de:

• confirmar se eu trato dados pessoais seus e ter acesso a eles;
• pedir a correção de dados incompletos, inexatos ou desatualizados;
• pedir a anonimização, o bloqueio ou a eliminação de dados, nos casos previstos na lei;
• saber com quais entidades públicas e privadas os seus dados foram compartilhados.

Para exercer esses direitos, escreva para contato@laranjo.dev. Os pedidos são atendidos nos termos da LGPD. Você também pode apresentar uma reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

Quando este aviso mudar, a nova versão aparece nesta página.

Última atualização: 6 de novembro de 2026.