Que sont le CPF et le CNPJ ?

Le CPF (Cadastro de Pessoa Física) est le document d'identification fiscale des citoyens brésiliens, équivalent au SSN américain ou au NIF européen. Tout Brésilien reçoit un CPF unique de 11 chiffres utilisé pour toutes les transactions financières, l'ouverture de comptes, les achats et la souscription de services. Le CNPJ (Cadastro Nacional da Pessoa Jurídica) est le registre fiscal des entreprises brésiliennes, similaire à l'EIN aux États-Unis ou au Company Number au Royaume-Uni, avec 14 chiffres. Les deux sont émis par la Receita Federal et obligatoires pour les opérations commerciales légales au Brésil.

À quoi sert une API de validation de CPF et CNPJ ?

Une API de validation permet aux entreprises de vérifier automatiquement si les CPF et CNPJ sont valides, existent officiellement et sont actifs auprès de la Receita Federal. Cela prévient les fraudes, garantit la conformité réglementaire et automatise les processus d'enregistrement (KYC). Les cas d'usage incluent : la validation de clients en e-commerce lors du checkout, l'ouverture de comptes numériques dans les fintechs, l'onboarding de chauffeurs dans les applications de mobilité, le recrutement d'employés à distance et l'émission de factures. L'API renvoie non seulement si le document est valide, mais aussi des données officielles comme le nom complet, la raison sociale, l'adresse et la situation d'enregistrement, permettant le cross-validation et la détection d'incohérences.

Quelle est la différence entre la validation des chiffres de contrôle et la consultation auprès de la Receita Federal ?

La validation des chiffres de contrôle est un calcul mathématique (algorithme mod-11) qui vérifie si les deux derniers chiffres du CPF/CNPJ sont mathématiquement corrects. Cette validation est instantanée et peut être effectuée hors ligne, mais elle confirme seulement que le format est valide : elle ne garantit pas que le document existe ou est actif. La consultation auprès de la Receita Federal va plus loin : elle accède à la base de données officielle du gouvernement brésilien pour confirmer que le document a réellement été émis, qu'il est actif (ni annulé ni suspendu) et renvoie des données complètes sur le titulaire. Notre API combine les deux : elle valide d'abord les chiffres de contrôle localement (s'ils sont invalides, elle rejette immédiatement sans coût), puis consulte la Receita Federal uniquement pour les documents au format valide, optimisant les performances et le coût.

Comment fonctionne l'authentification de l'API ?

L'authentification utilise un système de tokens générés dans votre panneau de contrôle après l'inscription. Chaque requête HTTP GET inclut votre token unique directement dans l'URL : api.cpfcnpj.com.br/{votre_token}/{package_id}/{cpf_ou_cnpj}. Le token identifie votre compte automatiquement et contrôle la consommation de crédits en temps réel. Vous pouvez générer plusieurs tokens pour différentes applications ou environnements (production, staging, développement) et les révoquer instantanément via le panneau en cas de compromission de sécurité. Nous n'utilisons pas d'authentification par headers afin de simplifier l'intégration, permettant des tests via le navigateur ou curl sans configurations complexes.

Quel est le temps de réponse moyen de l'API ?

Le temps de réponse moyen est de 0,4 à 2 secondes pour les consultations de CPF et CNPJ. La variation dépend de la charge sur les serveurs de la Receita Federal, qui peut fluctuer notamment aux heures de pointe commerciales (14h-17h, heure de Brasília). Nous recommandons de configurer un timeout de 60 secondes dans vos requêtes HTTP pour absorber les ralentissements occasionnels des systèmes gouvernementaux. Important : les données sont toujours en temps réel D+0 (mises à jour le jour même). Nous n'utilisons jamais de cache ni de bases de données intermédiaires pour « accélérer artificiellement » les réponses, garantissant que vous receviez toujours l'information la plus récente disponible auprès de la Receita Federal.

Quelles données l'API renvoie-t-elle au-delà de la validation ?

Pour le CPF, l'API renvoie : (1) le nom complet du titulaire selon l'enregistrement officiel, (2) la date de naissance, (3) le nom complet de la mère (champ important pour une vérification antifraude supplémentaire), (4) la situation d'enregistrement (actif, suspendu, annulé, nul, en attente de régularisation), (5) la date d'inscription auprès de la Receita Federal. Pour le CNPJ, elle renvoie : (1) la raison sociale (nom légal de l'entreprise), (2) le nom commercial s'il diffère de la raison sociale, (3) le CNAE principal (code d'activité économique), (4) l'adresse complète (rue, numéro, complément, quartier, ville, État, code postal), (5) la situation d'enregistrement, (6) la date d'ouverture, (7) le capital social, (8) les activités économiques secondaires, (9) la nature juridique (MEI, LTDA, S.A., etc.). Toutes les données proviennent directement de la Receita Federal sans modification ni enrichissement.

Comment intégrer l'API en 5 minutes ?

Processus simplifié en 4 étapes : (1) Inscrivez-vous en 30 secondes sans carte de crédit pour l'essai, (2) Copiez votre token qui apparaît immédiatement dans le panneau après la connexion, (3) Effectuez une requête GET vers api.cpfcnpj.com.br/{token}/{package}/{cpf_ou_cnpj} (testable directement dans le navigateur), (4) Recevez un JSON avec des données complètes. Notre documentation technique (/dev/) propose des exemples copy-paste prêts à l'emploi en PHP, Python, Node.js, Java, Ruby, Go et cURL. Le support technique répond aux questions en moins de 2 heures ouvrées par e-mail ou chat en direct.

L'API est-elle certifiée LGPD ? Comment fonctionne la conformité ?

Oui, nous maintenons une conformité rigoureuse avec la LGPD (loi générale brésilienne de protection des données, articles 7, 11 et 46) et le GDPR (règlement général européen sur la protection des données), validée par nos certifications ISO/IEC 27001:2022 (gestion de la sécurité de l'information), ISO/IEC 27701:2025 (gestion de la confidentialité de l'information) et ISO/IEC 37301:2021 (système de gestion de la conformité). Toutes les données sont transmises via HTTPS avec TLS 1.3, nous mettons en œuvre un chiffrement de bout en bout (E2EE), nous ne stockons pas les données personnelles consultées (seulement des logs techniques de requête sans PII), nous maintenons un Data Protection Officer (DPO) dédié (dpo@alas.technology), nous opérons avec un DPA (Data Processing Agreement) personnalisé pour les clients enterprise et nous réalisons des audits annuels indépendants. Nous fournissons une documentation complète de conformité pour la due diligence d'entreprise, des rapports trimestriels de conformité et des certificats ISO vérifiables pour les clients réglementés.

Possédez-vous des certifications ISO/IEC ? Quels contrôles de sécurité sont mis en œuvre ?

Oui, nous possédons trois certifications ISO/IEC reconnues internationalement, toutes auditées annuellement par des organismes indépendants accrédités : (1) ISO/IEC 27001:2022 - Système de gestion de la sécurité de l'information (Certificat Q7LUQTCU20251113BRAIS1Z1) : nous mettons en œuvre des contrôles complets incluant l'authentification multifacteur, le RBAC (contrôle d'accès basé sur les rôles), le chiffrement AES-256 pour les données au repos, l'E2EE pour les données en transit, des centres de données certifiés avec surveillance 24/7, un SOC (Security Operations Center) dédié, des plans de réponse aux incidents et de continuité d'activité. (2) ISO/IEC 27701:2025 - Gestion de la confidentialité de l'information (Certificat Q7LUQTCU20251113BRAPI15R) : alignement total avec LGPD/GDPR, Privacy by Design et by Default dans tous les systèmes, procédures documentées pour les droits des personnes concernées (accès, rectification, effacement, portabilité), DPIA (analyses d'impact relatives à la protection des données) pour les nouvelles activités de traitement, registres complets des activités de traitement conformément à l'art. 37 de la LGPD. (3) ISO/IEC 37301:2021 - Système de gestion de la conformité (Certificat Q7LUQTCC20251113BRACM1X7) : culture de conformité organisationnelle, DPO nommé, registre de toutes les obligations légales applicables, formation continue de l'équipe, audits réguliers et mécanismes de signalement confidentiels. Toutes les certifications font l'objet d'audits de surveillance annuels garantissant une conformité continue avec les normes en évolution.

Les données consultées sont-elles stockées sur les serveurs de l'API ?

Non. Par conformité LGPD/GDPR, nous ne stockons pas les données personnelles renvoyées par les consultations. Nous conservons uniquement des logs techniques de requêtes (timestamp, token utilisé, type de consultation, code de statut HTTP) sans inclure de PII (Personally Identifiable Information). Ces logs sont nécessaires au débogage, au support technique et à la facturation, mais ne contiennent ni les CPF/CNPJ consultés ni les données personnelles renvoyées. Les logs sont conservés pendant 90 jours puis supprimés automatiquement. Les clients enterprise peuvent demander une copie de leurs propres logs pour un audit interne. Nous ne partageons, ne vendons et n'utilisons jamais les données de consultation à des fins secondaires.

Comment prévenir les fraudes en utilisant l'API ?

Stratégies antifraude recommandées : (1) Effectuez un cross-validation du nom renvoyé par l'API avec le nom figurant sur le document d'identité envoyé (carte d'identité/permis de conduire) : les divergences indiquent une fraude possible, (2) Comparez le nom sur la carte de crédit avec le nom du CPF lors du checkout, (3) Utilisez la date de naissance comme deuxième facteur de validation lorsqu'elle est disponible, (4) Vérifiez la cohérence du nom de la mère si votre système collecte cette information, (5) Mettez en place des velocity checks détectant un même CPF utilisé plusieurs fois sur une courte période, (6) Surveillez les schémas suspects comme des CPF séquentiels, une même IP effectuant plusieurs tentatives ou de grands volumes de CPF annulés/suspendus. En combinant la validation d'enregistrement via l'API avec des règles métier spécifiques à votre secteur, les clients rapportent une réduction des fraudes de 60-80%.

Pourquoi ne pas utiliser des bases de données fuitées ou le scraping ?

Les bases de données fuitées (souvent vendues illégalement) présentent des problèmes critiques : (1) une couverture partielle de seulement 70-85% des documents existants avec des lacunes aléatoires, (2) des données obsolètes datant de mois ou d'années — elles ne reflètent pas les changements d'enregistrement (changements d'adresse, annulations, régularisations), (3) l'illégalité — leur usage viole la LGPD/GDPR, exposant votre entreprise à des amendes pouvant atteindre 2% du chiffre d'affaires annuel, (4) un risque réputationnel et l'impossibilité de prouver la conformité lors d'audits. Le screen-scraping du site de la Receita Federal est également problématique : (1) il casse fréquemment lorsque le site change de mise en page, (2) il exige la résolution d'un captcha à chaque requête, (3) il viole les conditions de service, (4) l'IP peut être bloquée définitivement. Notre API offre un accès légal, fiable et auditable à la même source officielle.

Comment fonctionne le pricing ? Combien coûte une consultation ?

Le forfait le plus économique, NFe Unificada, coûte R$ 0,04 par consultation. Les forfaits de validation de CPF commencent à R$ 0,17 (CPF A, nom complet uniquement) et atteignent R$ 1,57 (CPF K avec adresse et situation d'enregistrement). Les forfaits de CNPJ vont de R$ 0,15 (CNPJ A) à R$ 2,25 (QsA détaillé avec pourcentage de participation). Les plus vendus : CPF C à R$ 0,29 (Nom + Date de naissance + Mère + Genre) et CNPJ D à R$ 0,51 (enregistrement complet en temps réel auprès de la Receita Federal avec PDF de la Carte CNPJ). Les consultations n'expirent pas, le solde est cumulatif entre forfaits et crédité proportionnellement lors des upgrades. Paiement par carte de crédit, Boleto et Pix ; NF-e automatique pour les clients avec CNPJ. Tableau complet sur /precos.

Existe-t-il un plan gratuit ou une période d'essai ?

Oui, chaque nouvelle inscription reçoit des consultations gratuites pour tester l'API en environnement réel sans limitation de fonctionnalité et sans engagement. Nous ne demandons pas de carte de crédit pendant l'essai — seulement un e-mail et un mot de passe pour créer un compte. Après avoir consommé les consultations gratuites, vous pouvez souscrire des plans payants. Aucun contrat de fidélité : annulez quand vous voulez, faites un upgrade ou un downgrade instantané de plans, et les crédits n'expirent jamais.

Dois-je avoir un CNPJ pour souscrire à l'API ?

Non, vous pouvez souscrire en tant que personne physique (CPF) ou morale (CNPJ). La facture est émise selon votre type d'enregistrement. Pour les clients personnes morales, nous émettons automatiquement une NF-e (facture électronique) après le paiement. Pour les personnes physiques, le paiement se fait par carte de crédit ou Boleto bancaire sans émission de NF-e (en raison d'une limitation légale brésilienne — une personne physique ne peut pas recevoir de facture de service). Paiement accepté : carte de crédit, Boleto et Pix.

L'API est-elle déjà prête pour le CNPJ Alfanumérico qui entre en vigueur en juillet 2026 ?

Oui. Notre API accepte et valide déjà le nouveau CNPJ Alfanumérico défini par l'Instruction Normative RFB n° 2.229/2024, qui entre en vigueur en juillet 2026. Le nouveau format conserve 14 caractères, mais les 12 premiers peuvent contenir des lettres majuscules et des chiffres (0-9, A-Z), tandis que les 2 derniers restent des chiffres de contrôle numériques calculés par adaptation de l'algorithme mod-11 (chaque lettre contribue par sa valeur ASCII moins 48). Tant les CNPJ numériques anciens que les nouveaux alphanumériques sont consultés par le même endpoint, sans modification de l'intégration. Les entreprises existantes conservent leur CNPJ numérique actuel — le format alphanumérique ne vaut que pour les nouveaux enregistrements après juillet 2026. Nous recommandons de mettre à jour la regex de validation côté front-end vers ^[A-Z\d]{12}\d{2}$ et d'élargir la taille des colonnes en base de données si elles n'acceptent aujourd'hui que des chiffres.

La consultation de CNPJ prend-elle déjà en compte IBS, CBS et la Réforme Fiscale de 2026 ?

À partir de 2026, la Réforme Fiscale (EC 132/2023 et LC 214/2025 et 215/2025) met en place l'IBS (Impôt sur les Biens et Services) au niveau des États/municipalités et la CBS (Contribution sur les Biens et Services) au niveau fédéral, en remplacement progressif de l'ICMS, de l'ISS, du PIS et de la Cofins. Notre API expose — lorsqu'ils sont disponibles auprès de la Receita Federal — les nouveaux champs correspondants (régime de taxation, situation au regard de l'IBS/CBS, taux effectif par CNAE lorsqu'il est publié) sans coût supplémentaire pour les forfaits qui livrent déjà les données d'enregistrement complètes du CNPJ. Pendant la phase de transition (taux d'essai de 0,9% CBS + 0,1% IBS en 2026), les champs peuvent apparaître comme null pour les entreprises non encore concernées. La documentation est mise à jour à mesure que la Receita publie les nouveaux endpoints officiels.

Les données sont-elles réellement en temps réel ou proviennent-elles du cache ?

Les données sont en temps réel D+0, consultées directement dans les systèmes officiels de la Receita Federal à chaque requête dans les forfaits CPF D, CPF E et CNPJ D. Nous n'utilisons ni cache intermédiaire, ni base propre, ni données scrapées, ni bases tierces dans ces forfaits. Si un CNPJ vient d'être réactivé, votre prochaine consultation renvoie déjà situacao_cadastral=ATIVA — sans fenêtre de décalage. Compromis : le temps de réponse suit la latence du serveur de la Receita (moyenne de 400 ms à 2 s, avec des pics aux heures commerciales). Configurez un timeout HTTP de 60 secondes et un retry avec backoff exponentiel pour 3 tentatives. Les forfaits simplifiés (CPF A, B, C, F, etc.) utilisent des sources partenaires à plus faible latence (moyenne de 1 seconde).

Quelle est la base légale LGPD pour la consultation de CPF de tiers via API ?

La consultation de CPF de tiers via notre API est autorisée par la LGPD (loi 13.709/2018) dans plusieurs hypothèses de l'article 7 : exécution d'une obligation légale (II), exécution d'un contrat (V), protection du crédit (X) et intérêt légitime (IX). Cas typiques couverts : validation d'enregistrement en e-commerce, onboarding de fintechs (Résolution BCB 5/2020 — KYC), recrutement d'employés CLT, émission de NF-e (obligatoire par le SPED), prévention des fraudes financières et conformité contre le blanchiment d'argent (loi 9.613/1998 et Circulaire BCB 3.978/2020). Ce qui N'EST PAS une base légale : le marketing direct sans consentement, l'enrichissement pour la revente de leads ou une recherche sans lien avec la finalité contractuelle. Nous recommandons de tenir un registre des opérations de traitement (LGPD art. 37) documentant la finalité de chaque consultation. DPA disponible sur demande pour les clients d'entreprise.

La consultation génère-t-elle un justificatif PDF officiel pour les audits ou les procédures judiciaires ?

Oui. Chaque consultation renvoie dans le JSON un protocole unique (consultaID), un timestamp UTC avec une précision à la milliseconde et une chaîne d'audit cryptographique. Ces trois éléments réunis ont une valeur probante équivalente à une capture d'écran de la consultation publique de la Receita. Pour les forfaits CPF D, CPF E (temps réel RF) et CNPJ D, nous générons un PDF du justificatif officiel encodé en Base64 (champ situacaoComprovantePdf) avec une mise en page identique à celle émise par la Receita Federal, accepté par les banques, les notaires et les procédures judiciaires comme preuve de due diligence. Le forfait CPF CAC/SINIC (R$ 0,27) renvoie en outre le PDF du Casier Judiciaire de la Police Fédérale avec le numéro de protocole SINIC et un indicateur « nada consta » (aucune mention).

Que sont le CPF et le CNPJ ?

Le CPF (Cadastro de Pessoa Física) est le document d'identification fiscale des citoyens brésiliens, équivalent au SSN américain ou au NIF européen. Tout Brésilien reçoit un CPF unique de 11 chiffres utilisé pour toutes les transactions financières, l'ouverture de comptes, les achats et la souscription de services. Le CNPJ (Cadastro Nacional da Pessoa Jurídica) est le registre fiscal des entreprises brésiliennes, similaire à l'EIN aux États-Unis ou au Company Number au Royaume-Uni, avec 14 chiffres. Les deux sont émis par la Receita Federal et obligatoires pour les opérations commerciales légales au Brésil.

À quoi sert une API de validation de CPF et CNPJ ?

Une API de validation permet aux entreprises de vérifier automatiquement si les CPF et CNPJ sont valides, existent officiellement et sont actifs auprès de la Receita Federal. Cela prévient les fraudes, garantit la conformité réglementaire et automatise les processus d'enregistrement (KYC). Les cas d'usage incluent : la validation de clients en e-commerce lors du checkout, l'ouverture de comptes numériques dans les fintechs, l'onboarding de chauffeurs dans les applications de mobilité, le recrutement d'employés à distance et l'émission de factures. L'API renvoie non seulement si le document est valide, mais aussi des données officielles comme le nom complet, la raison sociale, l'adresse et la situation d'enregistrement, permettant le cross-validation et la détection d'incohérences.

Quelle est la différence entre la validation des chiffres de contrôle et la consultation auprès de la Receita Federal ?

La validation des chiffres de contrôle est un calcul mathématique (algorithme mod-11) qui vérifie si les deux derniers chiffres du CPF/CNPJ sont mathématiquement corrects. Cette validation est instantanée et peut être effectuée hors ligne, mais elle confirme seulement que le format est valide : elle ne garantit pas que le document existe ou est actif. La consultation auprès de la Receita Federal va plus loin : elle accède à la base de données officielle du gouvernement brésilien pour confirmer que le document a réellement été émis, qu'il est actif (ni annulé ni suspendu) et renvoie des données complètes sur le titulaire. Notre API combine les deux : elle valide d'abord les chiffres de contrôle localement (s'ils sont invalides, elle rejette immédiatement sans coût), puis consulte la Receita Federal uniquement pour les documents au format valide, optimisant les performances et le coût.

Comment fonctionne l'authentification de l'API ?

L'authentification utilise un système de tokens générés dans votre panneau de contrôle après l'inscription. Chaque requête HTTP GET inclut votre token unique directement dans l'URL : api.cpfcnpj.com.br/{votre_token}/{package_id}/{cpf_ou_cnpj}. Le token identifie votre compte automatiquement et contrôle la consommation de crédits en temps réel. Vous pouvez générer plusieurs tokens pour différentes applications ou environnements (production, staging, développement) et les révoquer instantanément via le panneau en cas de compromission de sécurité. Nous n'utilisons pas d'authentification par headers afin de simplifier l'intégration, permettant des tests via le navigateur ou curl sans configurations complexes.

Quel est le temps de réponse moyen de l'API ?

Le temps de réponse moyen est de 0,4 à 2 secondes pour les consultations de CPF et CNPJ. La variation dépend de la charge sur les serveurs de la Receita Federal, qui peut fluctuer notamment aux heures de pointe commerciales (14h-17h, heure de Brasília). Nous recommandons de configurer un timeout de 60 secondes dans vos requêtes HTTP pour absorber les ralentissements occasionnels des systèmes gouvernementaux. Important : les données sont toujours en temps réel D+0 (mises à jour le jour même). Nous n'utilisons jamais de cache ni de bases de données intermédiaires pour « accélérer artificiellement » les réponses, garantissant que vous receviez toujours l'information la plus récente disponible auprès de la Receita Federal.

Quelles données l'API renvoie-t-elle au-delà de la validation ?

Pour le CPF, l'API renvoie : (1) le nom complet du titulaire selon l'enregistrement officiel, (2) la date de naissance, (3) le nom complet de la mère (champ important pour une vérification antifraude supplémentaire), (4) la situation d'enregistrement (actif, suspendu, annulé, nul, en attente de régularisation), (5) la date d'inscription auprès de la Receita Federal. Pour le CNPJ, elle renvoie : (1) la raison sociale (nom légal de l'entreprise), (2) le nom commercial s'il diffère de la raison sociale, (3) le CNAE principal (code d'activité économique), (4) l'adresse complète (rue, numéro, complément, quartier, ville, État, code postal), (5) la situation d'enregistrement, (6) la date d'ouverture, (7) le capital social, (8) les activités économiques secondaires, (9) la nature juridique (MEI, LTDA, S.A., etc.). Toutes les données proviennent directement de la Receita Federal sans modification ni enrichissement.

Comment intégrer l'API en 5 minutes ?

Processus simplifié en 4 étapes : (1) Inscrivez-vous en 30 secondes sans carte de crédit pour l'essai, (2) Copiez votre token qui apparaît immédiatement dans le panneau après la connexion, (3) Effectuez une requête GET vers api.cpfcnpj.com.br/{token}/{package}/{cpf_ou_cnpj} (testable directement dans le navigateur), (4) Recevez un JSON avec des données complètes. Notre documentation technique (/dev/) propose des exemples copy-paste prêts à l'emploi en PHP, Python, Node.js, Java, Ruby, Go et cURL. Le support technique répond aux questions en moins de 2 heures ouvrées par e-mail ou chat en direct.

L'API est-elle certifiée LGPD ? Comment fonctionne la conformité ?

Oui, nous maintenons une conformité rigoureuse avec la LGPD (loi générale brésilienne de protection des données, articles 7, 11 et 46) et le GDPR (règlement général européen sur la protection des données), validée par nos certifications ISO/IEC 27001:2022 (gestion de la sécurité de l'information), ISO/IEC 27701:2025 (gestion de la confidentialité de l'information) et ISO/IEC 37301:2021 (système de gestion de la conformité). Toutes les données sont transmises via HTTPS avec TLS 1.3, nous mettons en œuvre un chiffrement de bout en bout (E2EE), nous ne stockons pas les données personnelles consultées (seulement des logs techniques de requête sans PII), nous maintenons un Data Protection Officer (DPO) dédié (dpo@alas.technology), nous opérons avec un DPA (Data Processing Agreement) personnalisé pour les clients enterprise et nous réalisons des audits annuels indépendants. Nous fournissons une documentation complète de conformité pour la due diligence d'entreprise, des rapports trimestriels de conformité et des certificats ISO vérifiables pour les clients réglementés.

Possédez-vous des certifications ISO/IEC ? Quels contrôles de sécurité sont mis en œuvre ?

Oui, nous possédons trois certifications ISO/IEC reconnues internationalement, toutes auditées annuellement par des organismes indépendants accrédités : (1) ISO/IEC 27001:2022 - Système de gestion de la sécurité de l'information (Certificat Q7LUQTCU20251113BRAIS1Z1) : nous mettons en œuvre des contrôles complets incluant l'authentification multifacteur, le RBAC (contrôle d'accès basé sur les rôles), le chiffrement AES-256 pour les données au repos, l'E2EE pour les données en transit, des centres de données certifiés avec surveillance 24/7, un SOC (Security Operations Center) dédié, des plans de réponse aux incidents et de continuité d'activité. (2) ISO/IEC 27701:2025 - Gestion de la confidentialité de l'information (Certificat Q7LUQTCU20251113BRAPI15R) : alignement total avec LGPD/GDPR, Privacy by Design et by Default dans tous les systèmes, procédures documentées pour les droits des personnes concernées (accès, rectification, effacement, portabilité), DPIA (analyses d'impact relatives à la protection des données) pour les nouvelles activités de traitement, registres complets des activités de traitement conformément à l'art. 37 de la LGPD. (3) ISO/IEC 37301:2021 - Système de gestion de la conformité (Certificat Q7LUQTCC20251113BRACM1X7) : culture de conformité organisationnelle, DPO nommé, registre de toutes les obligations légales applicables, formation continue de l'équipe, audits réguliers et mécanismes de signalement confidentiels. Toutes les certifications font l'objet d'audits de surveillance annuels garantissant une conformité continue avec les normes en évolution.

Les données consultées sont-elles stockées sur les serveurs de l'API ?

Non. Par conformité LGPD/GDPR, nous ne stockons pas les données personnelles renvoyées par les consultations. Nous conservons uniquement des logs techniques de requêtes (timestamp, token utilisé, type de consultation, code de statut HTTP) sans inclure de PII (Personally Identifiable Information). Ces logs sont nécessaires au débogage, au support technique et à la facturation, mais ne contiennent ni les CPF/CNPJ consultés ni les données personnelles renvoyées. Les logs sont conservés pendant 90 jours puis supprimés automatiquement. Les clients enterprise peuvent demander une copie de leurs propres logs pour un audit interne. Nous ne partageons, ne vendons et n'utilisons jamais les données de consultation à des fins secondaires.

Comment prévenir les fraudes en utilisant l'API ?

Stratégies antifraude recommandées : (1) Effectuez un cross-validation du nom renvoyé par l'API avec le nom figurant sur le document d'identité envoyé (carte d'identité/permis de conduire) : les divergences indiquent une fraude possible, (2) Comparez le nom sur la carte de crédit avec le nom du CPF lors du checkout, (3) Utilisez la date de naissance comme deuxième facteur de validation lorsqu'elle est disponible, (4) Vérifiez la cohérence du nom de la mère si votre système collecte cette information, (5) Mettez en place des velocity checks détectant un même CPF utilisé plusieurs fois sur une courte période, (6) Surveillez les schémas suspects comme des CPF séquentiels, une même IP effectuant plusieurs tentatives ou de grands volumes de CPF annulés/suspendus. En combinant la validation d'enregistrement via l'API avec des règles métier spécifiques à votre secteur, les clients rapportent une réduction des fraudes de 60-80%.

Pourquoi ne pas utiliser des bases de données fuitées ou le scraping ?

Les bases de données fuitées (souvent vendues illégalement) présentent des problèmes critiques : (1) une couverture partielle de seulement 70-85% des documents existants avec des lacunes aléatoires, (2) des données obsolètes datant de mois ou d'années — elles ne reflètent pas les changements d'enregistrement (changements d'adresse, annulations, régularisations), (3) l'illégalité — leur usage viole la LGPD/GDPR, exposant votre entreprise à des amendes pouvant atteindre 2% du chiffre d'affaires annuel, (4) un risque réputationnel et l'impossibilité de prouver la conformité lors d'audits. Le screen-scraping du site de la Receita Federal est également problématique : (1) il casse fréquemment lorsque le site change de mise en page, (2) il exige la résolution d'un captcha à chaque requête, (3) il viole les conditions de service, (4) l'IP peut être bloquée définitivement. Notre API offre un accès légal, fiable et auditable à la même source officielle.

Comment fonctionne le pricing ? Combien coûte une consultation ?

Le forfait le plus économique, NFe Unificada, coûte R$ 0,04 par consultation. Les forfaits de validation de CPF commencent à R$ 0,17 (CPF A, nom complet uniquement) et atteignent R$ 1,57 (CPF K avec adresse et situation d'enregistrement). Les forfaits de CNPJ vont de R$ 0,15 (CNPJ A) à R$ 2,25 (QsA détaillé avec pourcentage de participation). Les plus vendus : CPF C à R$ 0,29 (Nom + Date de naissance + Mère + Genre) et CNPJ D à R$ 0,51 (enregistrement complet en temps réel auprès de la Receita Federal avec PDF de la Carte CNPJ). Les consultations n'expirent pas, le solde est cumulatif entre forfaits et crédité proportionnellement lors des upgrades. Paiement par carte de crédit, Boleto et Pix ; NF-e automatique pour les clients avec CNPJ. Tableau complet sur /precos.

Existe-t-il un plan gratuit ou une période d'essai ?

Oui, chaque nouvelle inscription reçoit des consultations gratuites pour tester l'API en environnement réel sans limitation de fonctionnalité et sans engagement. Nous ne demandons pas de carte de crédit pendant l'essai — seulement un e-mail et un mot de passe pour créer un compte. Après avoir consommé les consultations gratuites, vous pouvez souscrire des plans payants. Aucun contrat de fidélité : annulez quand vous voulez, faites un upgrade ou un downgrade instantané de plans, et les crédits n'expirent jamais.

Dois-je avoir un CNPJ pour souscrire à l'API ?

Non, vous pouvez souscrire en tant que personne physique (CPF) ou morale (CNPJ). La facture est émise selon votre type d'enregistrement. Pour les clients personnes morales, nous émettons automatiquement une NF-e (facture électronique) après le paiement. Pour les personnes physiques, le paiement se fait par carte de crédit ou Boleto bancaire sans émission de NF-e (en raison d'une limitation légale brésilienne — une personne physique ne peut pas recevoir de facture de service). Paiement accepté : carte de crédit, Boleto et Pix.

L'API est-elle déjà prête pour le CNPJ Alfanumérico qui entre en vigueur en juillet 2026 ?

Oui. Notre API accepte et valide déjà le nouveau CNPJ Alfanumérico défini par l'Instruction Normative RFB n° 2.229/2024, qui entre en vigueur en juillet 2026. Le nouveau format conserve 14 caractères, mais les 12 premiers peuvent contenir des lettres majuscules et des chiffres (0-9, A-Z), tandis que les 2 derniers restent des chiffres de contrôle numériques calculés par adaptation de l'algorithme mod-11 (chaque lettre contribue par sa valeur ASCII moins 48). Tant les CNPJ numériques anciens que les nouveaux alphanumériques sont consultés par le même endpoint, sans modification de l'intégration. Les entreprises existantes conservent leur CNPJ numérique actuel — le format alphanumérique ne vaut que pour les nouveaux enregistrements après juillet 2026. Nous recommandons de mettre à jour la regex de validation côté front-end vers ^[A-Z\d]{12}\d{2}$ et d'élargir la taille des colonnes en base de données si elles n'acceptent aujourd'hui que des chiffres.

La consultation de CNPJ prend-elle déjà en compte IBS, CBS et la Réforme Fiscale de 2026 ?

À partir de 2026, la Réforme Fiscale (EC 132/2023 et LC 214/2025 et 215/2025) met en place l'IBS (Impôt sur les Biens et Services) au niveau des États/municipalités et la CBS (Contribution sur les Biens et Services) au niveau fédéral, en remplacement progressif de l'ICMS, de l'ISS, du PIS et de la Cofins. Notre API expose — lorsqu'ils sont disponibles auprès de la Receita Federal — les nouveaux champs correspondants (régime de taxation, situation au regard de l'IBS/CBS, taux effectif par CNAE lorsqu'il est publié) sans coût supplémentaire pour les forfaits qui livrent déjà les données d'enregistrement complètes du CNPJ. Pendant la phase de transition (taux d'essai de 0,9% CBS + 0,1% IBS en 2026), les champs peuvent apparaître comme null pour les entreprises non encore concernées. La documentation est mise à jour à mesure que la Receita publie les nouveaux endpoints officiels.

Les données sont-elles réellement en temps réel ou proviennent-elles du cache ?

Les données sont en temps réel D+0, consultées directement dans les systèmes officiels de la Receita Federal à chaque requête dans les forfaits CPF D, CPF E et CNPJ D. Nous n'utilisons ni cache intermédiaire, ni base propre, ni données scrapées, ni bases tierces dans ces forfaits. Si un CNPJ vient d'être réactivé, votre prochaine consultation renvoie déjà situacao_cadastral=ATIVA — sans fenêtre de décalage. Compromis : le temps de réponse suit la latence du serveur de la Receita (moyenne de 400 ms à 2 s, avec des pics aux heures commerciales). Configurez un timeout HTTP de 60 secondes et un retry avec backoff exponentiel pour 3 tentatives. Les forfaits simplifiés (CPF A, B, C, F, etc.) utilisent des sources partenaires à plus faible latence (moyenne de 1 seconde).

Quelle est la base légale LGPD pour la consultation de CPF de tiers via API ?

La consultation de CPF de tiers via notre API est autorisée par la LGPD (loi 13.709/2018) dans plusieurs hypothèses de l'article 7 : exécution d'une obligation légale (II), exécution d'un contrat (V), protection du crédit (X) et intérêt légitime (IX). Cas typiques couverts : validation d'enregistrement en e-commerce, onboarding de fintechs (Résolution BCB 5/2020 — KYC), recrutement d'employés CLT, émission de NF-e (obligatoire par le SPED), prévention des fraudes financières et conformité contre le blanchiment d'argent (loi 9.613/1998 et Circulaire BCB 3.978/2020). Ce qui N'EST PAS une base légale : le marketing direct sans consentement, l'enrichissement pour la revente de leads ou une recherche sans lien avec la finalité contractuelle. Nous recommandons de tenir un registre des opérations de traitement (LGPD art. 37) documentant la finalité de chaque consultation. DPA disponible sur demande pour les clients d'entreprise.

La consultation génère-t-elle un justificatif PDF officiel pour les audits ou les procédures judiciaires ?

Oui. Chaque consultation renvoie dans le JSON un protocole unique (consultaID), un timestamp UTC avec une précision à la milliseconde et une chaîne d'audit cryptographique. Ces trois éléments réunis ont une valeur probante équivalente à une capture d'écran de la consultation publique de la Receita. Pour les forfaits CPF D, CPF E (temps réel RF) et CNPJ D, nous générons un PDF du justificatif officiel encodé en Base64 (champ situacaoComprovantePdf) avec une mise en page identique à celle émise par la Receita Federal, accepté par les banques, les notaires et les procédures judiciaires comme preuve de due diligence. Le forfait CPF CAC/SINIC (R$ 0,27) renvoie en outre le PDF du Casier Judiciaire de la Police Fédérale avec le numéro de protocole SINIC et un indicateur « nada consta » (aucune mention).