Política de Privacidade
Esta Política de Privacidade explica como a Nuvexa Tecnologia LTDA, CNPJ 68.321.146/0001-72 ("Nuvexa"), trata dados pessoais no site nuvexa.tec.br, no checkout, na plataforma Vexion e em seus canais de atendimento, em conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais — "LGPD") e demais normas aplicáveis.
A Nuvexa pode assumir papéis distintos conforme a operação de tratamento. Para dados necessários à contratação, cobrança, segurança, suporte e administração da própria relação com o Cliente, a Nuvexa atua, em regra, como controladora. Para dados de pacientes, alunos, clientes, leads e contatos inseridos ou tratados na plataforma por conta de uma clínica ou outro Cliente, a Nuvexa atua, em regra, como operadora, seguindo as instruções do Cliente, que permanece responsável pelas finalidades e bases legais do tratamento.
1. Dados tratados pela Nuvexa como controladora
- Dados de cadastro e contratação: nome, e-mail, telefone/WhatsApp, CPF ou CNPJ, nome da clínica ou negócio, cargo ou vínculo com o Cliente, plano contratado e dados necessários à criação e administração da conta.
- Dados de cobrança e transação: informações necessárias à emissão de cobranças, notas ou documentos fiscais, status de pagamento, identificadores de transação e histórico financeiro. Dados completos de cartão são processados pelo provedor de pagamentos e não são armazenados pela Nuvexa quando a operação ocorre diretamente nesse ambiente.
- Dados de aceite eletrônico e segurança: data e hora do aceite, versão dos Termos e da Política apresentada, endereço IP, user-agent, registros de autenticação, logs de acesso, identificadores técnicos e eventos necessários à segurança, prevenção a fraude, auditoria e comprovação da contratação.
- Dados de comunicação e suporte: mensagens, solicitações, registros de atendimento, e-mails transacionais e informações fornecidas pelo Cliente em contatos com a Nuvexa.
Esses dados podem ser tratados com fundamento, conforme o caso, na execução de contrato ou de procedimentos preliminares, cumprimento de obrigação legal ou regulatória, exercício regular de direitos e legítimo interesse da Nuvexa para segurança, prevenção a fraude, administração da relação contratual e melhoria operacional, sempre observados os requisitos da LGPD.
2. Dados tratados pela Nuvexa como operadora
Os Clientes podem inserir ou gerar na plataforma dados pessoais de pacientes, alunos, clientes, leads, contatos, responsáveis, usuários internos e outros titulares, incluindo cadastro, agenda, histórico de atendimento, mensagens, documentos e registros associados às funcionalidades contratadas.
Dependendo da atividade do Cliente, esses registros podem conter dados pessoais sensíveis, inclusive dados referentes à saúde. A Nuvexa não define, por regra, a base legal utilizada pelo Cliente para esses tratamentos. Compete ao Cliente, na qualidade de controlador, identificar, documentar e assegurar a hipótese legal adequada para cada finalidade, inclusive aquelas previstas no art. 11 da LGPD quando houver dados sensíveis.
A Nuvexa trata esses dados apenas na medida necessária para armazenar, organizar, exibir, transmitir, realizar automações, prestar suporte, manter a segurança e executar as funcionalidades contratadas, conforme instruções documentadas do Cliente e o Acordo de Tratamento de Dados Pessoais (DPA).
A Nuvexa não vende os dados pessoais tratados na plataforma e não utiliza dados de pacientes, alunos ou contatos do Cliente para publicidade própria ou de terceiros.
3. Crianças e adolescentes
O Vexion pode ser utilizado por Clientes cuja atividade envolva dados de crianças e adolescentes. Nessas situações, o Cliente, como controlador, é responsável por observar o melhor interesse do menor, prestar as informações exigidas pela legislação e adotar a base legal, consentimento ou outra providência que seja aplicável ao tratamento realizado em sua atividade.
A Nuvexa, quando operadora, tratará esses dados conforme as instruções lícitas do Cliente e adotará as medidas de segurança aplicáveis ao serviço, sem substituir o Cliente em suas obrigações perante os titulares e seus responsáveis.
4. Lara AI e inteligência artificial
As conversas e informações necessárias ao funcionamento da Lara AI podem ser enviadas a provedores contratados pela Nuvexa para processamento das solicitações, geração de respostas e execução das funcionalidades configuradas pelo Cliente. Atualmente, o processamento de linguagem utiliza a Google LLC (Gemini API) e, quando o plano contratado incluir síntese de voz, textos de respostas podem ser enviados à ElevenLabs Inc. para conversão em áudio.
A Nuvexa utiliza, conforme informado em sua configuração técnica atual, modalidade paga da Gemini API na qual os dados não são utilizados para treinamento de modelos por padrão. A extensão de retenção técnica, logs de segurança e demais tratamentos pelos provedores depende dos respectivos serviços e configurações. A Nuvexa mantém inventário dos fornecedores e buscará adotar configurações e instrumentos contratuais compatíveis com a natureza dos dados tratados.
A Lara AI não é destinada a realizar diagnóstico, prescrição ou decisão clínica autônoma. O Cliente é responsável pelo conteúdo, pelas instruções e pelos fluxos configurados em seu nome e deve assegurar intervenção humana quando o contexto exigir julgamento profissional.
5. WhatsApp, mensageria e Uazapi
Quando o Cliente habilita atendimento por WhatsApp ou outro canal integrado, mensagens, identificadores do contato, anexos e metadados necessários à comunicação podem transitar por provedores de mensageria e conectividade utilizados pela Nuvexa.
A integração poderá utilizar tanto soluções oficiais disponibilizadas pela plataforma de mensageria quanto fornecedores independentes. Enquanto utilizada no ecossistema Vexion, a Uazapi, fornecida por Costa Silver Desenvolvimento de Software Ltda., CNPJ 59.035.266/0001-12, poderá atuar como fornecedora técnica de conectividade para WhatsApp em determinadas configurações. Trata-se de integração não oficial, sujeita a dependência técnica e operacional de terceiros, inclusive quanto à disponibilidade e às políticas do próprio WhatsApp. O fornecedor informou, por escrito, retenção ordinária de mensagens por até 7 (sete) dias, disponibilidade de mecanismos de exclusão por API e eliminação completa mediante solicitação, bem como infraestrutura no Brasil e na Alemanha. Permanecem em diligência complementar a localização específica da instância "vexion", de seus backups, os suboperadores utilizados e demais condições contratuais e de segurança.
Como medida adicional de minimização, a Nuvexa implementará rotina automática de expurgo periódico das conversas armazenadas no ambiente da Uazapi, utilizando os mecanismos de exclusão disponibilizados pelo fornecedor, e manterá o histórico oficial das conversas no banco de dados principal da plataforma, hospedado no Supabase na região de São Paulo. A Nuvexa manterá a diligência complementar e o plano de contingência para migração à API oficial da Meta, quando técnica e comercialmente adequado.
6. Compartilhamento e suboperadores
A Nuvexa utiliza fornecedores para viabilizar a operação da plataforma, conforme a funcionalidade contratada: Supabase Inc. (banco de dados e autenticação), Vercel Inc. (hospedagem do site e funções), Asaas Gestão Financeira S.A. (pagamentos), Resend / Plus Five Five Inc. (e-mails transacionais), Google LLC (Gemini API para a Lara AI), Uazapi (conectividade WhatsApp, quando utilizada), Railway Corp. (worker de mensagens) e ElevenLabs Inc. (síntese de voz, quando habilitada).
Os fornecedores recebem os dados necessários às funções técnicas que executam. A Nuvexa busca manter instrumentos contratuais, medidas de segurança e deveres de confidencialidade compatíveis com o papel de cada fornecedor. Em relação à Uazapi, já foram documentados a identificação societária do fornecedor, a retenção ordinária informada de até 7 (sete) dias, os mecanismos de exclusão e a indicação de infraestrutura no Brasil e na Alemanha; permanecem sob diligência complementar a localização específica da instância "vexion" e backups, a cadeia de suboperadores, o DPA ou cláusulas equivalentes, controles de segurança e o procedimento de comunicação de incidentes.
A lista de fornecedores pode ser alterada para acompanhar evolução técnica, segurança, conformidade e disponibilidade do serviço. Mudanças materiais que afetem de modo relevante o tratamento de dados serão tratadas nos termos do DPA e, quando necessário, comunicadas ao Cliente.
7. Transferências internacionais de dados
Alguns fornecedores da Nuvexa podem processar ou armazenar dados fora do Brasil. Quando houver transferência internacional de dados pessoais sujeita à LGPD, a Nuvexa adotará mecanismo juridicamente válido previsto nos arts. 33 a 36 da LGPD e na regulamentação da ANPD, inclusive, conforme aplicável, cláusulas-padrão contratuais, decisão de adequação ou outro mecanismo legalmente admitido.
Na arquitetura atualmente mapeada, os dados persistentes da plataforma no Supabase residem na região de São Paulo, Brasil, e os pagamentos são processados pela Asaas no Brasil. Vercel, Resend, Railway e ElevenLabs realizam processamento nos Estados Unidos; a Google pode realizar processamento nos Estados Unidos e em infraestrutura global. Quanto à Uazapi, o fornecedor informou infraestrutura no Brasil e na Alemanha, permanecendo em confirmação a localização específica da instância "vexion", de seus backups e de eventuais suboperadores. Quando houver processamento na Alemanha, a Nuvexa considerará a decisão de adequação vigente da União Europeia reconhecida pela ANPD; para outros fluxos internacionais, adotará o mecanismo jurídico aplicável e manterá a documentação correspondente.
8. Segurança da informação
A Nuvexa adota medidas técnicas e organizacionais compatíveis com a natureza do serviço e os riscos identificados, incluindo criptografia dos dados em repouso (AES-256) e em trânsito (TLS), isolamento lógico por Cliente no banco de dados por Row Level Security (RLS), controle de acesso por perfil de usuário, proteção de credenciais de integração para que não sejam expostas ao navegador, trilha de auditoria do aceite contratual e procedimentos de administração de acesso.
A Nuvexa mantém backups periódicos automatizados com retenção mínima adequada à finalidade, além de procedimentos de prevenção, detecção, resposta e recuperação. O ciclo técnico exato de frequência e retenção acompanha a configuração da infraestrutura contratada e poderá evoluir ao longo do tempo sem redução material e injustificada do nível global de proteção.
9. Incidentes de segurança
Quando a Nuvexa atuar como controladora e ocorrer incidente de segurança com dados pessoais que possa acarretar risco ou dano relevante aos titulares, a Nuvexa realizará as comunicações que lhe couberem à ANPD e aos titulares nos prazos e condições previstos na legislação e na regulamentação aplicável.
Quando o incidente envolver dados para os quais o Cliente seja o controlador e a Nuvexa atue como operadora, a Nuvexa comunicará o Cliente sem demora indevida após ter ciência suficiente do incidente, fornecerá as informações disponíveis e cooperará para que o Cliente avalie e cumpra suas obrigações legais de comunicação.
A Nuvexa manterá registros de incidentes pelo período exigido pela regulamentação aplicável.
10. Retenção, exportação e eliminação
Os prazos de retenção variam de acordo com a categoria de dados e a finalidade do tratamento. Dados cadastrais, contratuais, financeiros, fiscais, de segurança e de aceite eletrônico poderão ser conservados pelo período necessário à execução da relação, ao cumprimento de obrigações legais ou regulatórias e ao exercício regular de direitos.
Os dados tratados pela Nuvexa como operadora são mantidos enquanto a conta estiver ativa e conforme as instruções do Cliente. Após o cancelamento, o Cliente poderá solicitar exportação em até 30 (trinta) dias. Decorrido esse prazo, a Nuvexa poderá iniciar a eliminação ou anonimização, observados o DPA, obrigações legais e ciclos técnicos de backup.
Cópias de segurança podem permanecer por período adicional limitado até sua sobrescrição normal, com acesso restrito e sem utilização para finalidades ordinárias, salvo necessidade de recuperação, segurança, obrigação legal ou exercício regular de direitos. A frequência e a retenção técnica dos backups seguem a configuração vigente da infraestrutura e podem ser atualizadas conforme a evolução do serviço.
Quando o Cliente estiver sujeito a deveres próprios de guarda de prontuários, registros assistenciais ou documentos profissionais, é responsabilidade do Cliente exportar e conservar esses registros pelo prazo legal ou profissional aplicável antes de sua eliminação pela Nuvexa.
11. Direitos dos titulares
Nos casos em que a Nuvexa atuar como controladora, o titular poderá exercer os direitos previstos na LGPD, conforme aplicáveis, incluindo confirmação da existência de tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade, portabilidade nos termos da regulamentação, informação sobre compartilhamentos, revogação do consentimento quando essa for a base legal e demais direitos legalmente assegurados.
A Nuvexa poderá solicitar informações razoáveis para confirmar a identidade do solicitante e proteger os dados contra acesso indevido.
Quando a solicitação disser respeito a dados tratados pela Nuvexa exclusivamente como operadora por conta de uma clínica ou outro Cliente, o titular deverá preferencialmente dirigir o pedido ao respectivo controlador. A Nuvexa prestará ao Cliente o suporte técnico razoável previsto no DPA para atendimento da solicitação.
12. Decisões automatizadas
A Lara AI executa respostas e automações conforme configurações do Cliente, mas não deve ser utilizada para decisão clínica autônoma. Caso a Nuvexa, na qualidade de controladora, venha a adotar tratamento baseado unicamente em decisões automatizadas que afetem interesses do titular, serão observados os direitos previstos no art. 20 da LGPD e a regulamentação aplicável.
13. Cookies e armazenamento local
O site e a plataforma utilizam cookies, tokens e mecanismos de armazenamento necessários ao funcionamento, autenticação, segurança e manutenção de sessão. Na configuração atual da plataforma, a Nuvexa não utiliza cookies de publicidade comportamental de terceiros.
Caso sejam adotados cookies analíticos, de marketing ou outras tecnologias não essenciais no futuro, esta Política e, quando necessário, o mecanismo de consentimento do site deverão ser atualizados antes de sua utilização.
14. Encarregado e canal de privacidade
Encarregado pelo tratamento de dados pessoais (DPO): Clóvis Roberto Soares Ribeiro, OAB/CE nº 44.732, sócio da Nuvexa Tecnologia Ltda.
Canal público do encarregado para titulares, Clientes e ANPD: privacidade@nuvexa.tec.br.
15. Alterações desta Política
Esta Política poderá ser atualizada para refletir mudanças no serviço, nos fornecedores, nas práticas de tratamento ou na legislação. A versão vigente ficará disponível nos canais oficiais da Nuvexa, com indicação da data de atualização.
Alterações relevantes que modifiquem materialmente as práticas de tratamento serão comunicadas pelos canais adequados e, quando necessário, submetidas aos procedimentos de aceite ou informação previstos na legislação e nos contratos aplicáveis.
Veja também os Termos de Uso, incluindo seu Anexo I — Acordo de Tratamento de Dados Pessoais (DPA), aplicável aos Clientes da plataforma.