Política de Privacidad

1. Identificación del Responsable del Tratamiento

Nuvia AI LTDA., inscrita en el CNPJ 54.435.325/0001-26, con domicilio en Av. Paulista 509, cj. 1513, piso 15, São Paulo/SP, CEP 01311-910, Brasil, es la responsable del tratamiento de los datos personales tratados con motivo de la prestación de sus servicios, de conformidad con la Ley General de Protección de Datos Personales de Brasil (Ley nº 13.709/2018, LGPD).

Cuando el tratamiento involucre a titulares ubicados en la Unión Europea o en el Reino Unido, también se aplican el Reglamento General de Protección de Datos (GDPR, Reglamento UE 2016/679) y el UK GDPR.

2. Alcance y Servicios Cubiertos

Esta política se aplica al tratamiento de datos personales realizado por Nuvia en todos sus productos y canales, incluyendo:

• Plataforma SaaS (app.nuvia.ai): agentes de IA para ventas y atención a través de WhatsApp y LinkedIn;
• Sitio institucional (nuvia.ai): captación de leads y contacto comercial;
• Extensión de Chrome, Nuvia Company Insights: generación de resúmenes de empresas a partir de dominios públicos;
• Integraciones con sistemas de terceros: HubSpot, Google Calendar, ZapSign, Advbox, Amigo y RD Station.

3. Datos Personales Tratados

3.1 Datos de Clientes B2B (usuarios de la plataforma)

• Nombre completo, correo electrónico corporativo, cargo y empresa;
• Número de teléfono (para comunicaciones por WhatsApp);
• Credenciales de acceso (contraseña almacenada con hash bcrypt, nunca en texto plano);
• Registros de uso, dirección IP, tipo de dispositivo y navegador;
• Historial de interacciones con agentes de IA.

3.2 Datos de Leads (tratados en nombre de los clientes)

Nuvia actúa como encargada del tratamiento cuando sus clientes utilizan la plataforma para prospectar y atender leads. Los datos tratados en este contexto incluyen:

• Nombre, correo electrónico, teléfono y cargo de contactos comerciales (datos B2B);
• Historial de conversaciones a través de WhatsApp y LinkedIn;
• Información de cualificación de oportunidades de ventas.

Nuvia no utiliza estos datos para entrenar modelos de IA propios. El tratamiento se realiza exclusivamente para la prestación del servicio contratado.

3.3 Datos del Sitio Institucional

• Nombre, correo electrónico y teléfono informados en formularios de contacto y de agendamiento de demostración;
• Dirección IP, identificador de dispositivo y navegador (user agent);
• Identificadores de cookies y de seguimiento de campaña, incluyendo parámetros de origen (UTM) e identificadores de plataformas de anuncios y analytics;
• Páginas visitadas, origen del acceso e interacciones con formularios.

3.4 Extensión de Chrome, Nuvia Company Insights

La extensión recopila únicamente el dominio de la pestaña activa para consultar datos empresariales públicos y generar resúmenes automáticos. No se recopilan, almacenan ni transmiten datos personales del usuario (nombre, correo electrónico, contraseña o historial de navegación).

3.5 Datos Profesionales Obtenidos de Terceros y Fuentes Públicas

Nuvia obtiene datos de contacto profesional a partir de fuentes públicas y de proveedores especializados licenciados, con la finalidad de componer y enriquecer bases de contactos comerciales B2B puestas a disposición de sus clientes. En relación con estos datos, Nuvia actúa como responsable del tratamiento.

Las categorías de datos tratados en este contexto incluyen:

• Nombre, correo electrónico corporativo, cargo y empresa de contactos profesionales;
• Datos registrales públicos de personas jurídicas obtenidos de fuentes oficiales.

La base jurídica de este tratamiento es el interés legítimo (art. 7º, IX de la LGPD), en el contexto de la comunicación profesional entre empresas. No se tratan datos personales sensibles en este contexto.

El titular puede, en cualquier momento, solicitar información sobre el origen de sus datos, oponerse al tratamiento o solicitar su eliminación a través del canal indicado en la sección 14.

4. Bases Jurídicas

Todo tratamiento de datos personales realizado por Nuvia cuenta con una base jurídica específica, conforme al art. 7º de la LGPD. Cuando resulten aplicables el GDPR o el UK GDPR, las bases equivalentes se indican entre paréntesis:

• Ejecución de contrato (art. 7º, V de la LGPD / art. 6(1)(b) del GDPR): Creación de cuenta, autenticación, entrega de los servicios contratados y soporte técnico.
• Interés legítimo (art. 7º, IX de la LGPD / art. 6(1)(f) del GDPR): Registros de seguridad, prevención de fraudes, mejora continua de los servicios, comunicaciones operativas y obtención y enriquecimiento de datos profesionales de contacto B2B a partir de fuentes públicas y proveedores licenciados (sección 3.5).
• Consentimiento (art. 7º, I de la LGPD / art. 6(1)(a) del GDPR): Envío de marketing, boletines y comunicaciones promocionales. El consentimiento puede revocarse en cualquier momento.
• Cumplimiento de obligación legal (art. 7º, II de la LGPD / art. 6(1)(c) del GDPR): Atención a requerimientos de autoridades competentes, ANPD, autoridades de protección de datos de la UE/Reino Unido y obligaciones fiscales.

5. Finalidades del Tratamiento

• Prestación y mantenimiento de los servicios contratados;
• Autenticación de usuarios y control de acceso (RBAC);
• Comunicaciones operativas (notificaciones, alertas, soporte);
• Análisis de desempeño y mejora continua de la plataforma;
• Prevención de fraudes y monitoreo de seguridad;
• Cumplimiento de obligaciones legales y regulatorias;
• Marketing y prospección comercial (mediante consentimiento);
• Composición y enriquecimiento de bases de contactos comerciales B2B puestas a disposición de los clientes (sección 3.5).

6. Conservación y Eliminación de Datos

Nuvia conserva los datos personales durante el menor plazo necesario para cumplir las finalidades descritas en esta política o las obligaciones legales aplicables.

Categoría	Plazo de Conservación
Datos de clientes B2B	Exportación disponible en un plazo de hasta 15 días tras la terminación del contrato, previa solicitud formal por escrito; eliminación permanente en un plazo de hasta 30 días tras la terminación o tras la confirmación de la exportación completa, lo que ocurra en último lugar.
Datos de leads (plataforma)	Conforme a la configuración del cliente; eliminación en un plazo de hasta 30 días tras la terminación del contrato.
Datos de leads del sitio institucional	Conservados mientras exista una relación comercial activa o un interés legítimo; revisados anualmente.
Registros de seguridad y auditoría	Mínimo de 1 año, conforme a los requisitos internos de seguridad de la información.
Datos de navegación (sitio)	Conforme a la política de los proveedores (Google Analytics: 14 meses; Meta Pixel: 180 días).
Extensión de Chrome	No se conservan; procesamiento en tiempo real sin persistencia.
Datos sujetos a litigio	Durante el plazo que determine la asesoría jurídica como necesario.

Los datos personales se eliminan o se desidentifican cuando dejan de ser necesarios para las finalidades que motivaron su tratamiento. La eliminación abarca todos los sistemas en los que esté registrado el dato del titular, incluyendo sistemas de CRM y herramientas de apoyo, y se ejecuta mediante un proceso manual por el Equipo de Ingeniería, con registro a efectos de auditoría.

7. Compartición de Datos

Nuvia comparte datos personales únicamente con proveedores y socios terceros estrictamente necesarios para la prestación de los servicios contratados, siempre mediante contratos adecuados de protección de datos (DPA). Las categorías de terceros con quienes pueden compartirse datos incluyen:

• Proveedores de infraestructura en la nube (hospedaje, bases de datos y almacenamiento de archivos);
• Proveedores de modelos de inteligencia artificial utilizados para el procesamiento de lenguaje natural;
• Plataformas de canales de comunicación (mensajería y redes sociales profesionales);
• Herramientas de CRM y calendario integradas por el cliente;
• Proveedores de monitoreo para la operación segura de la plataforma;
• Proveedores especializados licenciados de datos de contacto profesional B2B, en el contexto del tratamiento descrito en la sección 3.5;
• Socios comerciales y afiliados, mediante consentimiento del titular u otra base jurídica específica.

Nuvia no vende datos personales a terceros. Los datos de leads tratados en nombre de los clientes se utilizan exclusivamente para la prestación del servicio contratado y no se comparten con otros clientes ni para fines de marketing propio de Nuvia.

Los datos profesionales obtenidos de terceros y fuentes públicas (sección 3.5) pueden ponerse a disposición de los clientes de Nuvia en el ámbito de los servicios contratados, en la condición de responsable del tratamiento descrita en aquella sección.

8. Transferencia Internacional de Datos

Los datos personales tratados por Nuvia se almacenan y procesan en los Estados Unidos de América, debido a la ubicación de la infraestructura principal y de parte de los proveedores contratados.

Nuvia adopta las siguientes salvaguardas para las transferencias internacionales, de conformidad con el art. 33 de la LGPD y, cuando resulte aplicable, con el Capítulo V del GDPR:

• Celebración de Cláusulas Contractuales Tipo (Standard Contractual Clauses — SCCs) de la Comisión Europea con proveedores internacionales;
• Para datos originados en el Reino Unido, adopción del UK Addendum a las SCCs o del International Data Transfer Agreement (IDTA), según corresponda;
• Acuerdos de Tratamiento de Datos (DPAs) con todos los proveedores que traten datos en nombre de Nuvia;
• Verificación de que los destinos adoptan un nivel de protección compatible con la LGPD y, cuando resulte aplicable, con el GDPR y el UK GDPR.

9. Seguridad de los Datos

Nuvia implementa controles técnicos y organizativos para proteger los datos personales frente a accesos no autorizados, pérdida o divulgación indebida, incluyendo:

• TLS en tránsito en todos los endpoints de la plataforma;
• Cifrado AES-256 en reposo para bases de datos y almacenamiento de archivos;
• Hash bcrypt (salt 10) para el almacenamiento de contraseñas;
• Control de acceso basado en roles (RBAC) con aislamiento multi-tenant por empresa;
• Registros estructurados de acceso con método, URL, estado e IP a efectos de auditoría;
• Rate limiting en todas las APIs;
• Validación de inputs con Zod en todos los límites del sistema;
• Programa de Seguridad de la Información activo, con revisiones periódicas y mejora continua de los controles.

10. Derechos de los Titulares

De conformidad con el art. 18 de la LGPD, los titulares de datos personales tienen los siguientes derechos, ejercibles en cualquier momento:

• Confirmación y Acceso (art. 18, I y II): Confirmar la existencia de tratamiento y obtener copia de los datos tratados.
• Corrección (art. 18, III): Solicitar la actualización o corrección de datos incompletos, inexactos o desactualizados.
• Anonimización, bloqueo o eliminación (art. 18, IV): Solicitar la anonimización, el bloqueo o la eliminación de datos innecesarios o tratados en incumplimiento de la LGPD.
• Portabilidad (art. 18, V): Solicitar la portabilidad de los datos a otro proveedor de servicio o producto.
• Eliminación (art. 18, VI): Solicitar la eliminación de datos tratados sobre la base del consentimiento.
• Información sobre compartición (art. 18, VII): Obtener información sobre las entidades con las que Nuvia comparte datos.
• Revocación del consentimiento (art. 18, IX): Revocar el consentimiento en cualquier momento, sin perjuicio de la licitud del tratamiento anterior.
• Oposición (art. 18, §2º): Oponerse al tratamiento realizado sobre bases jurídicas distintas del consentimiento, en caso de incumplimiento de la LGPD.
• Revisión de decisiones automatizadas (art. 20 de la LGPD): Solicitar la revisión de decisiones tomadas únicamente sobre la base de un tratamiento automatizado de datos personales que afecten sus intereses, incluyendo decisiones de cualificación comercial. Los titulares en la Unión Europea y en el Reino Unido tienen el derecho equivalente previsto en el art. 22 del GDPR.

Los titulares ubicados en la Unión Europea y en el Reino Unido poseen derechos equivalentes conforme a los arts. 15 a 22 del GDPR, incluyendo el derecho a presentar una reclamación ante la autoridad de protección de datos competente.

Para ejercer cualquiera de estos derechos, contacte al Encargado de Protección de Datos (DPO) de Nuvia en dpo@nuvia.ai. Se requieren la identificación del titular y la descripción del derecho a ejercer. El plazo de respuesta es de hasta 15 días corridos desde la recepción de la solicitud, prorrogable mediante justificación.

11. Cookies y Tecnologías de Seguimiento

El sitio nuvia.ai utiliza cookies y tecnologías similares para funcionamiento, análisis y marketing. Las cookies utilizadas incluyen:

• Esenciales / de Sesión: Necesarias para la autenticación y el funcionamiento básico de la plataforma. No pueden desactivarse.
• Analíticas: Recopilación de datos de navegación para la mejora del sitio. Pueden desactivarse en la configuración del navegador.
• Marketing: Seguimiento para campañas publicitarias. Requieren consentimiento y pueden revocarse.
• Funcionalidad: Almacenan preferencias de idioma e inicio de sesión para mejorar la experiencia.

El titular puede configurar su navegador para rechazar cookies o ser notificado cuando se envíe una cookie. La desactivación de cookies esenciales puede afectar el funcionamiento de la plataforma.

12. Incidentes de Seguridad

En caso de incidente de seguridad que pueda ocasionar riesgo o daño relevante a los titulares, Nuvia seguirá su Plan de Respuesta a Incidentes y adoptará las siguientes medidas:

• Contención inmediata y evaluación del impacto;
• Notificación a la Autoridad Nacional de Protección de Datos (ANPD) en el plazo establecido por el art. 48 de la LGPD;
• Comunicación a los titulares afectados, cuando corresponda, en lenguaje claro y accesible;
• Registro del incidente y de las medidas adoptadas a efectos de auditoría.

Cuando el incidente involucre a titulares en la Unión Europea o en el Reino Unido, Nuvia observará también los plazos y obligaciones de notificación previstos en el GDPR y en el UK GDPR, según corresponda.

13. Vigencia y Actualización

Esta política entra en vigor el 18 de agosto de 2026 y sustituye versiones anteriores. Nuvia revisará esta política al menos anualmente o siempre que haya cambios relevantes en los procesos de tratamiento de datos.

Los cambios sustanciales se comunicarán por correo electrónico a los titulares registrados y se publicarán en el sitio con indicación de la fecha de actualización.

14. Contacto y Encargado de Protección de Datos (DPO)

Para consultas, solicitudes de derechos, comunicación de incidentes o cualquier asunto relacionado con el tratamiento de datos personales por parte de Nuvia:

Encargado de Protección de Datos (DPO)	Antero Silva
Correo del DPO	dpo@nuvia.ai
Correo de soporte	support@nuvia.ai
Dirección postal	Av. Paulista 509, cj. 1513, piso 15, São Paulo/SP, CEP 01311-910, Brasil