Política de Privacidade

Quem trata os seus dados

Nexora, nome fantasia de PEDRO HENRIQUE FARIAS ANDRADE, empresário individual, CNPJ 60.509.880/0001-58, Rua Anesio Martins de Siqueira, 120, Pinus Park, Cotia – SP, CEP 06710-663.

O Nexora tem dois papéis (LGPD, art. 5º):

• Controlador dos dados de conta, login, cobrança, atendimento e segurança — os dados da pessoa que usa o Nexora e da empresa que contrata.
• Operador dos dados que a empresa cliente coloca nos Nexus: registros de dados, planilhas, leads, mensagens, documentos, e o que chega pelas integrações. Esses dados são da empresa cliente, que decide o que entra, para quê e por quanto tempo; o Nexora trata em nome dela e conforme as instruções dela. Quem quiser exercer direitos sobre esses dados deve procurar a empresa cliente — se o pedido chegar ao Nexora, ele é encaminhado a ela.

Encarregado e canal dos titulares

Encarregado pelo tratamento de dados pessoais (LGPD, art. 41): Pedro Henrique Farias Andrade, pelo e-mail privacidade@usenexoratech.com.br. Por ali, o titular pede confirmação, acesso, correção, portabilidade, exclusão, revisão de decisão automatizada e informação sobre compartilhamento. Respondemos em até 15 dias (LGPD, art. 19, II). Pode ser preciso confirmar a identidade de quem pede.

Dados tratados

Como controlador: nome, e-mail e senha (guardada só como hash pelo Supabase); empresa e papel no workspace; dados de cobrança (o cartão fica só com o Stripe — o Nexora vê os últimos dígitos e a bandeira); registros de acesso (endereço IP, data e hora de cada entrada) e registros técnicos de segurança; mensagens de atendimento.

Como operador: o que a empresa cliente cadastra, importa ou recebe pelas integrações e pelos Nexus — inclusive dados pessoais de terceiros (clientes, leads, contatos da empresa cliente).

Finalidades e bases legais

Registros de acesso

A cada entrada na conta — com senha, por link enviado por e-mail, no cadastro, na recuperação de senha ou no aceite de convite — o Nexora guarda o endereço IP, a data e a hora, por 6 meses (Marco Civil da Internet, art. 15). Esses registros ficam sob sigilo: nenhuma tela do produto os mostra, nem ao dono da empresa. São fornecidos somente por ordem judicial, nos termos da lei, ou ao próprio titular que pedir pelo canal de privacidade. Passados os 6 meses, são apagados automaticamente.

IA e dados enviados

Uma etapa de IA recebe somente o contexto selecionado para aquela execução. Tokens, cookies, senhas, chaves de API e segredos de integração não fazem parte do contexto enviado ao modelo. O workspace deve evitar inserir dados pessoais desnecessários em instruções e registros. O provedor de IA é a OpenAI, pela conta do Nexora — ou o provedor que a própria empresa cliente conectar, na conta dela. O que o Nexora envia à OpenAI não é usado para treinar modelos (política da OpenAI para a API) e fica guardado lá por até 30 dias, só para monitoramento de abuso.

Decisões automatizadas e revisão (LGPD, art. 20)

Num Nexus, a IA pode classificar, pontuar ou decidir o próximo passo — por exemplo, qualificar um lead. Cada decisão fica registrada com os motivos, os sinais positivos e negativos, as evidências usadas e o que o Nexora fez em seguida. Essas decisões são da empresa cliente (controladora): ela revisa e arquiva pelo Nexora, e a decisão não é apagada pela tela, para que a revisão seja possível. Quem foi afetado por uma decisão automatizada pode pedir a revisão à empresa que usou o Nexora; o Nexora fornece a ela o registro da decisão. Pedidos que chegarem ao Nexora pelo canal do encarregado são encaminhados à empresa responsável.

Com quem compartilhamos: suboperadores

Para o Nexora funcionar, estes serviços tratam dados em nome do Nexora. Nenhum deles recebe dados para fins próprios de publicidade — a única exceção possível é o Pixel da Meta, descrito em "Cookies", e só com o seu aceite.

Além desses, a empresa cliente pode conectar as próprias ferramentas (Google, planilhas, CRMs e outras). Nesse caso, os dados vão para o serviço que ela escolheu, pela conta dela, e valem as regras daquele serviço.

Transferência internacional (LGPD, art. 33)

A maior parte dos serviços acima fica fora do Brasil, principalmente nos EUA. A transferência é necessária para executar o contrato com o cliente (LGPD, art. 33, IX) e é feita sob os acordos de tratamento de dados de cada fornecedor, que trazem obrigações de confidencialidade, segurança e cláusulas contratuais de transferência.

Integrações e credenciais

Credenciais de serviços externos são processadas no servidor, guardadas cifradas e não devem ser colocadas em mensagens, prompts ou campos de dados. Ao desconectar uma integração, o Nexora apaga a credencial armazenada e a conexão deixa de poder executar; uma nova utilização exige autorizar a conta de novo.

Segurança e isolamento

O acesso é mediado por sessão, organização, permissões e políticas de banco. Execuções e registros são vinculados ao workspace autorizado, e mensagens de erro não exibem segredos. Credenciais de integração ficam cifradas num cofre do banco; o backup diário é cifrado com uma chave que só o Nexora tem; o login tem proteção contra robôs e limite de tentativas; a senha tem de 8 a 72 caracteres; o link de recuperação de senha vale 15 minutos. Nenhuma medida torna um sistema invulnerável: se houver incidente que possa causar risco relevante, os titulares e a ANPD são avisados (LGPD, art. 48).

Por quanto tempo guardamos

Seus direitos

Pelo canal do encarregado, o titular pode pedir: confirmação de que tratamos seus dados, acesso, correção, anonimização ou bloqueio do que for desnecessário, portabilidade, exclusão, informação sobre com quem compartilhamos, revisão de decisão automatizada e revogação de consentimento quando for essa a base (LGPD, art. 18). O dono ou um administrador da empresa exporta todos os dados dela a qualquer momento, em Planos e cobrança. Pedidos podem exigir confirmação de identidade e podem ser limitados por obrigações legais ou prevenção de fraude. Também é possível reclamar à ANPD (gov.br/anpd).

Cookies

Hoje o Nexora não usa cookies de publicidade nem ferramentas de análise de terceiros. Quando passar a anunciar na Meta (Facebook e Instagram), o site poderá usar o Pixel da Meta para saber se um anúncio trouxe a visita ou o cadastro — e só depois que você aceitar no aviso de cookies. Sem o aceite, nada da Meta é carregado. O aceite pode ser retirado a qualquer momento, no mesmo aviso ou pelo canal de privacidade. Com o Pixel, a Meta recebe dados do navegador e da visita e os trata também para os fins dela, conforme a política de privacidade da Meta.

Os cookies do Nexora são necessários para o produto funcionar (sessão, empresa, segurança) ou guardam uma preferência da própria pessoa.

Dados do Google

Quando alguém conecta uma conta Google ao Nexora, valem as condições abaixo, além do resto desta política. O uso que o Nexora faz das informações recebidas das APIs do Google segue a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de uso limitado.

• O que é acessado: somente os serviços do Google que a pessoa autorizar, um a um: Gmail, Google Drive, Google Sheets ou Google Calendar. Cada autorização é separada e concede apenas os acessos daquele serviço — autorizar o Google Sheets não dá acesso ao Gmail.
• Para que é usado: exclusivamente para executar as etapas que o próprio workspace configurou em uma automação — ler uma planilha, localizar um arquivo, enviar uma mensagem, criar um evento. O Nexora não usa dados do Google para publicidade, para construir perfis nem para treinar modelos de IA.
• Compartilhamento: dados obtidos do Google não são vendidos nem compartilhados com terceiros. Quando uma etapa de IA precisa interpretar um conteúdo, apenas o trecho necessário àquela execução é enviado ao provedor de IA que o Nexora utiliza (a OpenAI), e nunca as credenciais de acesso.
• Armazenamento: tokens de acesso e de renovação ficam cifrados no servidor e nunca são enviados ao navegador. O resultado de uma execução é guardado no workspace que a solicitou, para que a pessoa possa auditar o que aconteceu.
• Como revogar: a qualquer momento, em Integrações, pela opção Desconectar — que apaga a credencial armazenada. O acesso também pode ser removido diretamente na Conta Google, em Segurança, na seção de aplicativos de terceiros.

Mudanças nesta política

Mudança relevante nesta política é avisada com 30 dias de antecedência, por e-mail e no produto. A data da última atualização fica no topo da página.

Quem somos e como falar com a gente

Nexora, nome fantasia de PEDRO HENRIQUE FARIAS ANDRADE, CNPJ 60.509.880/0001-58, Rua Anesio Martins de Siqueira, 120, Pinus Park, Cotia – SP, CEP 06710-663. Encarregado: Pedro Henrique Farias Andrade. Privacidade, uso de dados, exclusão de conta e pedidos de titulares: privacidade@usenexoratech.com.br. Respondemos pelo mesmo endereço.