Política de Privacidade

Esta Política descreve como o Nexion 360 CRM ("Nexion 360", "nós") coleta, usa, armazena e protege dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, LGPD).

1. Dois conjuntos de dados, com papéis diferentes

A distinção abaixo governa todo o resto deste documento, e é o ponto em que um CRM difere de quase qualquer outro software:

• Dados da conta: a empresa cliente e seus usuários (nome, e-mail, cargo). Aqui o Nexion 360 é controlador.
• Dados dos clientes do Cliente: contatos, telefones, e-mails, endereços, conversas e histórico de negociação das pessoas com quem a empresa cliente faz negócio. Aqui o Cliente é o controlador e o Nexion 360 é apenas operador: tratamos esses dados em nome dele, sob instrução dele, e não decidimos sobre eles.

Se você é uma dessas pessoas e quer exercer direitos sobre seus dados, o pedido deve ser dirigido à empresa que o cadastrou, não a nós. Ver a seção 10.

2. Dados que coletamos

No cadastro da conta: nome da empresa, CNPJ, nome do responsável, e-mail e senha. A senha nunca é armazenada em texto puro: guardamos apenas o hash criptográfico (scrypt), de onde a senha original não pode ser recuperada.

Dos usuários da equipe: nome, e-mail, cargo e permissões, informados pelo administrador da empresa ou pelo próprio usuário.

Dos contatos cadastrados pelo Cliente: nome, empresa, cargo, um ou mais e-mails e telefones, endereço, e o que o Cliente registrar em campos personalizados, feedbacks e anotações. São campos livres.

Dos canais conectados. Esta é a parte mais sensível, por isso está escrita sem rodeio: quando o Cliente conecta uma caixa de e-mail (Gmail ou Outlook) ou o WhatsApp Business, a Plataforma passa a ler e enviar mensagens em nome dele. Guardamos o conteúdo das mensagens trocadas com os contatos, com data, hora e autor, e as credenciais de acesso a essas contas (tokens de acesso e de renovação), sempre cifradas com AES-256 e nunca em texto puro.

Da operação comercial: registros de ligação, propostas emitidas, tarefas, movimentações de funil e os eventos de automação e cadência executados.

Automaticamente: registros de auditoria indicando quem acessou ou alterou o quê, para segurança e rastreabilidade, inclusive a marcação de quando uma alteração foi feita pela equipe de suporte do Nexion 360, e não por um usuário do Cliente.

Não coletamos dados de cartão, conta bancária ou qualquer meio de pagamento: eles são informados diretamente ao Asaas e não trafegam pela Plataforma.

3. Finalidade do tratamento

Os dados são tratados para: (a) criar, autenticar e manter a conta; (b) operar as funcionalidades de gestão comercial contratadas; (c) enviar e receber mensagens pelos canais que o Cliente conectou, em nome dele; (d) enviar comunicações operacionais essenciais: convite de acesso, recuperação de senha, avisos de sistema e da assinatura; (e) processar a cobrança; (f) garantir a segurança e a integridade do serviço, incluindo prevenção de acesso indevido entre empresas clientes.

4. Base legal (LGPD)

Para os dados da conta, a base legal é a execução de contrato (art. 7º, V da LGPD).

Para os dados dos clientes do Cliente, quem define a base legal é o próprio Cliente, na condição de controlador, normalmente execução de contrato ou legítimo interesse, conforme a relação que ele tem com aquela pessoa. Nós os tratamos sob instrução dele, e não estabelecemos base legal em nome dele.

5. Quem tem acesso aos dados

5.1. Os dados de cada empresa cliente são visíveis apenas para os usuários daquela empresa, conforme as permissões de cada um. Os dados de uma empresa nunca são visíveis para outra empresa cliente (ver seção 8).

5.2. A equipe de suporte do Nexion 360 pode acessar dados da conta para atender a um pedido de ajuda ou investigar um incidente. Toda ação de escrita feita pelo suporte fica registrada no histórico como ação do suporte, de forma visível ao Cliente.

5.3. Os sistemas do próprio Cliente, pelos tokens de API que ele emitir, e os endereços que ele configurar como webhooks de saída, recebem dados da conta dele. Essa autorização é concedida, configurada e revogada pelo Cliente, e o destino é escolha dele.

5.4. Operadores que hoje tratam dados por nossa conta, e apenas o necessário:

• Asaas: cobrança da assinatura. Recebe os dados de faturamento da empresa cliente.
• Brevo: e-mails transacionais do sistema (convite, recuperação de senha, relatórios agendados). Recebe o e-mail e o nome do destinatário e o conteúdo da mensagem.
• Google e Microsoft: quando o Cliente conecta uma caixa de e-mail, as mensagens transitam pela infraestrutura desses provedores, sob os termos deles.
• Meta: quando o Cliente conecta o WhatsApp Business, as mensagens transitam pela infraestrutura da Meta, sob os termos dela.
• Serviços públicos de consulta: CNPJ e CEP, usados para preencher cadastro. Recebem apenas o número consultado.
• Provedor de hospedagem: servidor onde a aplicação, o banco de dados e os anexos são mantidos.
• Cloudflare: rede e proteção contra ataques. Todo o tráfego entre o navegador e o servidor passa por ela, cifrado.
• Backblaze: guarda a cópia de segurança fora do servidor. Recebe o backup já criptografado, sem a chave para abri-lo.

Nenhum deles pode usar os dados para finalidade própria. A lista muda se o serviço mudar, e alterações relevantes são comunicadas na forma da seção 14.

5.5. Não vendemos, alugamos nem compartilhamos dados pessoais com terceiros para marketing ou publicidade. A única medição de anúncios é a da seção 13, que depende do seu aceite e não envia nome, e-mail, CNPJ nem os dados da empresa.

6. Transferência internacional de dados

A aplicação, o banco de dados e os arquivos do Nexion 360 CRM são mantidos em servidor da Hostinger localizado nos Estados Unidos, e a cópia de segurança, criptografada com chave que só o Nexion 360 tem, no Backblaze, também nos Estados Unidos. Há, portanto, transferência internacional de dados, realizada com as garantias previstas no art. 33 da LGPD. Os demais operadores da seção 5.4 podem processar dados fora do Brasil, conforme suas políticas.

Ao conectar uma caixa de e-mail ou o WhatsApp Business, o Cliente reconhece que as mensagens já são processadas por Google, Microsoft ou Meta em infraestrutura fora do país, independentemente do Nexion 360, sob os termos desses provedores.

7. Retenção e exclusão

7.1. Mantemos os dados enquanto a conta existir, inclusive durante bloqueio por período de teste vencido ou assinatura em atraso; nesses casos o acesso é bloqueado, os dados não são apagados.

7.2. Desconectar um canal revoga o acesso àquela conta a partir daquele instante. As mensagens já registradas permanecem no histórico, e podem ser excluídas junto com a conta ou a pedido do Cliente.

7.3. O Cliente pode solicitar a exclusão completa da conta e dos dados associados a qualquer momento, pelo canal de contato ao pé desta página. A exclusão é definitiva e não pode ser desfeita.

7.4. Registros de auditoria e informações que a lei exija manter podem ser retidos após a exclusão da conta, pelo prazo estritamente necessário a essa finalidade.

7.5. Prazos: registros de acesso e de login, 1 ano; logs do servidor, 90 dias; cópias de segurança, 14 dias (inclusive a cópia guardada fora do servidor). Dados excluídos saem das cópias de segurança nesse mesmo ciclo de 14 dias.

8. Isolamento entre empresas clientes

O isolamento entre empresas não depende apenas do código da aplicação: ele é imposto pelo próprio banco de dados, por políticas de segurança em nível de linha, com o papel usado pela aplicação sem permissão para contorná-las. Uma consulta que esquecesse o recorte de empresa não devolveria dado de outra: não devolveria nada. O mesmo recorte vale para os acessos feitos por token de API.

Esse isolamento é verificado por testes automatizados executados contra o banco, e cada verificação nova é deliberadamente sabotada para provar que detecta a falha que promete detectar. A cada implantação, testes automatizados rodam no próprio servidor antes de a nova versão entrar no ar.

9. Segurança

Medidas técnicas adotadas:

• senhas guardadas apenas como hash scrypt, nunca em texto puro;
• credenciais dos canais conectados (Gmail, Outlook, WhatsApp) cifradas com AES-256; sem a chave, o conteúdo do banco não as revela;
• isolamento entre empresas imposto pelo banco de dados (seção 8);
• controle de acesso por perfil e permissão dentro de cada empresa cliente;
• tokens de API com escopo da empresa que os emitiu, revogáveis pelo Cliente;
• tráfego cifrado por TLS entre o navegador e o servidor;
• verificação em duas etapas disponível para todas as contas;
• registro de quem exporta ou baixa dados, que a aplicação não consegue apagar;
• cópias de segurança diárias, criptografadas, guardadas também fora do servidor e testadas semanalmente;
• banco de dados acessível apenas localmente, nunca exposto à internet;
• dados de pagamento fora do nosso alcance, por desenho (seção 2).

Nenhum sistema é livre de risco. Comprometemo-nos a agir rapidamente e a comunicar o Cliente em caso de incidente de segurança que afete dados pessoais.

10. Direitos dos titulares (LGPD)

Se você tem conta na Plataforma, pode solicitar a nós, a qualquer momento: (a) confirmação de que tratamos seus dados; (b) acesso a eles; (c) correção de dados incompletos, inexatos ou desatualizados; (d) anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a LGPD; (e) portabilidade a outro fornecedor; (f) eliminação dos dados tratados com base em consentimento, quando aplicável; (g) informação sobre com quem compartilhamos seus dados.

Se você foi cadastrado como contato por uma empresa que usa o Nexion 360 CRM (recebeu um e-mail ou uma mensagem de WhatsApp dela, por exemplo), o controlador dos seus dados é aquela empresa, e é a ela que o pedido deve ser dirigido. Nós somos operador e agimos sob instrução dela. Se você não souber a quem recorrer, escreva para o contato ao pé desta página e encaminharemos o pedido ao controlador.

11. Como solicitar a exclusão da conta e dos dados

Envie um e-mail para o endereço ao pé desta página, a partir do e-mail cadastrado na Plataforma. A solicitação é confirmada e processada em prazo razoável.

12. Canal de privacidade

Para exercer os direitos acima, tirar dúvidas sobre esta Política ou relatar uma preocupação de privacidade, use o e-mail indicado ao pé desta página.

13. Cookies de marketing (Meta)

Na tela de cadastro, e só se você aceitar no aviso que aparece nela, usamos o Pixel da Meta (Facebook e Instagram) para saber quantos cadastros vieram dos nossos anúncios. A Meta recebe o fato de que houve uma visita e um cadastro concluído, com os dados técnicos do navegador; não enviamos o seu nome, e-mail, CNPJ nem os dados da empresa. Se você recusar, nada da Meta é carregado. Para mudar de ideia, limpe os dados deste site no navegador e o aviso volta a aparecer. A base legal é o seu consentimento (LGPD, art. 7º, I).

14. Alterações desta Política

Podemos atualizar esta Política para refletir mudanças no serviço, nas nossas práticas de tratamento ou na legislação. Alterações relevantes são comunicadas por e-mail com antecedência razoável.

Ver também os Termos de Uso.