Quem é controlador e quem é operador
Esta distinção parece burocrática e é a coisa mais importante do documento,
porque ela decide quem responde pelo quê.
- A sua empresa é a controladora dos dados dos clientes
dela: os contatos, as conversas, os pedidos. Quem decide o que coletar e
para quê é você.
- A Nevoa AI é a operadora desses dados: a gente trata em
seu nome, seguindo o que você configurou, para fazer o serviço
funcionar.
- Para os dados de quem usa o painel (nome, e-mail,
telefone de quem administra a conta), a Nevoa AI é a controladora.
Encarregado de dados e canal para qualquer assunto de privacidade:
contato@nevoaai.com.
Que dados são tratados
Da sua conta
- Nome, e-mail, telefone e foto de quem usa o painel.
- Nome, documento e endereço da empresa, quando cadastrados.
- Registro de entrada: data, hora e endereço de rede, para você conseguir
perceber acesso que não foi seu.
Da sua operação
- Contatos e conversas dos canais que você conectar, incluindo o conteúdo
das mensagens: é ele que o agente lê para responder.
- O que a sua empresa cadastra: catálogo, preços, políticas, documentos,
agenda, lançamentos financeiros, vagas.
- O que os agentes produzem: respostas, resumos, ações executadas, custo de
cada execução.
O que a gente não faz
- Não vendemos dado nenhum, para ninguém.
- Não usamos o conteúdo dos seus clientes para treinar modelo, nosso ou de
terceiro.
- Não usamos o dado de uma empresa para melhorar a resposta de outra.
Para quê, e com que base legal
- Executar o contrato (LGPD, art. 7º, V): responder seus
clientes, organizar sua operação, cobrar a assinatura, mandar aviso da
conta.
- Cumprir obrigação legal (art. 7º, II): emissão fiscal e
guarda de registro exigida por lei.
- Legítimo interesse (art. 7º, IX): segurança do serviço,
prevenção a abuso e melhoria do produto a partir de dado de uso, sempre
que possível agregado.
- Consentimento (art. 7º, I): comunicado de novidade e
resumo semanal por e-mail. Os dois têm descadastro na tela
Minha conta, e eles são separados: sair de um não tira você do
outro.
Aviso de cobrança, de segurança e de redefinição de senha continua chegando
de qualquer forma. Não é novidade nem propaganda: é a sua conta falando com
você, e desligar isso deixaria você sem caminho de volta.
Com quem os dados são compartilhados
Só com quem é necessário para o serviço existir, e cada um recebe o mínimo
para a função dele. Por categoria:
- Provedor de modelo de linguagem: recebe o texto
necessário para o agente pensar e responder. É aqui que passa conteúdo de
conversa.
- Canal de mensagem: a Meta, para o WhatsApp, e a
plataforma que você conectar. Recebe o que precisa para entregar a
mensagem.
- Provedor de e-mail: recebe endereço e conteúdo dos avisos
que saem do produto.
- Infraestrutura de nuvem: onde o banco e a aplicação
rodam.
- Meio de pagamento: processa a assinatura. O Nexo
nunca guarda número de cartão, apenas um identificador
que o provedor devolve.
Também compartilhamos quando a lei ou uma ordem judicial exigir. Nesse caso,
avisamos você, salvo quando a própria ordem proibir.
Transferência internacional
Parte desses fornecedores fica fora do Brasil, principalmente nos Estados
Unidos. A transferência acontece para executar o contrato com você, na forma
do art. 33 da LGPD.
Como o dado de uma empresa não chega na outra
Essa separação não é uma condição escrita com cuidado em cada consulta, que
funciona até o dia em que alguém esquece. Ela mora no banco de dados: toda
tabela com dado de cliente tem política de linha ligada e forçada, e consulta
que chega sem contexto de empresa devolve zero linha, nunca
todas.
A aplicação conecta por um papel que não tem permissão para contornar essa
política, e existe teste automatizado cuja única função é falhar se alguém
apontar a aplicação para o papel errado.
A página Segurança e isolamento mostra os
mecanismos com o arquivo do código que cumpre cada um.
Dado pessoal em registro técnico
Todo sistema registra o que acontece, para conseguir investigar problema. O
risco é o registro virar um segundo banco de dado pessoal, sem as mesmas
proteções.
No Nexo, telefone, e-mail, chave e cabeçalho de autorização são
apagados do registro por um filtro, que roda por formato e
não por disciplina de quem escreveu a linha. É honesto dizer o limite disso:
filtro por formato pega formato conhecido, não tudo. Ele é uma rede a mais, e
a garantia de verdade é não registrar conteúdo de mensagem.
Por quanto tempo cada coisa fica guardada
- Dado de operação (contatos, conversas, catálogo,
financeiro): enquanto a sua conta existir. É o que faz o agente lembrar do
que já foi combinado.
- Rastro de raciocínio dos agentes: 90 dias.
- Registro de entrega dos canais e fila de trabalho concluída:
30 dias.
- Controle de limite de uso: 2 horas.
- Registro exigido por lei fiscal: pelo prazo que a lei
determinar.
Depois do encerramento da conta, os dados de operação são apagados. Antes
disso você pode pedir uma cópia, e o pedido é atendido no prazo da seção
seguinte.
Seus direitos, e como exercer
A LGPD (art. 18) garante ao titular confirmar se há tratamento, acessar,
corrigir, anonimizar, portar, eliminar, saber com quem foi compartilhado e
revogar consentimento.
Para exercer, escreva para
contato@nevoaai.com. A gente responde
em até 15 dias. Pedido que envolva apagar dado pode exigir
confirmação de identidade, porque atender um pedido de exclusão feito pela
pessoa errada é o próprio vazamento.
Se você é cliente de uma empresa que usa o Nexo e quer
exercer um direito sobre os seus dados, fale primeiro com essa empresa: ela
é a controladora, e é ela quem decide. A gente atende o pedido dela e ajuda
no que precisar.
Cookies e medição
- No painel: um cookie de sessão, para manter você
conectado, e um de proteção contra requisição forjada. Os dois são
necessários para o produto funcionar, e não servem para rastrear
ninguém.
- Neste site: a fonte tipográfica é carregada do Google
Fonts, o que significa uma requisição ao servidor deles a cada visita.
Está no plano trazer a fonte para o nosso próprio domínio.
- Não usamos cookie de publicidade nem pixel de rede social.
Se acontecer um incidente
Se houver incidente de segurança com risco relevante para você ou para os seus
clientes, avisamos você e a Autoridade Nacional de Proteção de Dados, no prazo
da lei, com o que se sabe até ali: o que aconteceu, que dado foi afetado, o
que já foi feito e o que você precisa fazer.
Achou uma falha? Escreva para
contato@nevoaai.com com o assunto
Segurança. A gente responde, e não persegue quem reporta de boa-fé.