Política de Privacidade

1. Identificação do Controlador

A Nuvia AI LTDA., inscrita no CNPJ 54.435.325/0001-26, com sede na Av. Paulista 509, cj. 1513, 15º andar, São Paulo/SP, CEP 01311-910, é a controladora dos dados pessoais tratados em decorrência da prestação de seus serviços, nos termos da Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, LGPD).

Quando o tratamento envolver titulares localizados na União Europeia ou no Reino Unido, aplicam-se também o Regulamento Geral de Proteção de Dados (GDPR, Regulamento UE 2016/679) e o UK GDPR.

2. Escopo e Serviços Cobertos

Esta política aplica-se ao tratamento de dados pessoais realizado pela Nuvia em todos os seus produtos e canais, incluindo:

• Plataforma SaaS (app.nuvia.ai): agentes de IA para vendas e atendimento via WhatsApp e LinkedIn;
• Site institucional (nuvia.ai): captação de leads e contato comercial;
• Extensão Chrome, Nuvia Company Insights: geração de resumos de empresas a partir de domínios públicos;
• Integrações com sistemas de terceiros: HubSpot, Google Calendar, ZapSign, Advbox, Amigo e RD Station.

3. Dados Pessoais Tratados

3.1 Dados dos Clientes B2B (usuários da plataforma)

• Nome completo, e-mail corporativo, cargo e empresa;
• Número de telefone (para comunicações via WhatsApp);
• Credenciais de acesso (senha armazenada com hash bcrypt, jamais em texto simples);
• Logs de uso, endereço IP, tipo de dispositivo e navegador;
• Histórico de interações com agentes de IA.

3.2 Dados de Leads (tratados em nome dos clientes)

A Nuvia atua como operadora quando seus clientes utilizam a plataforma para prospectar e atender leads. Os dados tratados nesse contexto incluem:

• Nome, e-mail, telefone e cargo de contatos comerciais (dados B2B);
• Histórico de conversas via WhatsApp e LinkedIn;
• Informações de qualificação de oportunidades de vendas.

A Nuvia não utiliza esses dados para treinar modelos de IA próprios. O tratamento ocorre exclusivamente para prestação do serviço contratado.

3.3 Dados do Site Institucional

• Nome, e-mail e telefone informados em formulários de contato e agendamento de demonstração;
• Endereço IP, identificador de dispositivo e navegador (user agent);
• Identificadores de cookies e de rastreamento de campanha, incluindo parâmetros de origem (UTM) e identificadores de plataformas de anúncios e analytics;
• Páginas visitadas, origem do acesso e interações com formulários.

3.4 Extensão Chrome, Nuvia Company Insights

A extensão coleta apenas o domínio da aba ativa para consulta de dados empresariais públicos e geração de resumos automáticos. Nenhum dado pessoal do usuário (nome, e-mail, senha ou histórico de navegação) é coletado, armazenado ou transmitido.

3.5 Dados Profissionais Obtidos de Terceiros e Fontes Públicas

A Nuvia obtém dados de contato profissional a partir de fontes públicas e de fornecedores especializados licenciados, com a finalidade de compor e enriquecer bases de contatos comerciais B2B disponibilizadas aos seus clientes. Em relação a esses dados, a Nuvia atua como controladora.

As categorias de dados tratados nesse contexto incluem:

• Nome, e-mail corporativo, cargo e empresa de contatos profissionais;
• Dados cadastrais públicos de pessoas jurídicas obtidos de fontes oficiais.

A base legal para esse tratamento é o legítimo interesse (art. 7º, IX da LGPD), no contexto de comunicação profissional entre empresas. Não são tratados dados pessoais sensíveis nesse contexto.

O titular pode, a qualquer momento, solicitar informações sobre a origem de seus dados, opor-se ao tratamento ou requerer sua exclusão, por meio do canal indicado na seção 14.

4. Bases Legais

Todo tratamento de dados pessoais realizado pela Nuvia possui base legal específica, conforme o art. 7º da LGPD. Quando aplicável o GDPR ou o UK GDPR, as bases equivalentes são indicadas entre parênteses:

• Execução de contrato (art. 7º, V da LGPD / art. 6(1)(b) do GDPR): Criação de conta, autenticação, entrega dos serviços contratados e suporte técnico.
• Legítimo interesse (art. 7º, IX da LGPD / art. 6(1)(f) do GDPR): Logs de segurança, prevenção a fraudes, melhoria contínua dos serviços, comunicações operacionais e obtenção e enriquecimento de dados profissionais de contato B2B a partir de fontes públicas e fornecedores licenciados (seção 3.5).
• Consentimento (art. 7º, I da LGPD / art. 6(1)(a) do GDPR): Envio de marketing, newsletters e comunicações promocionais. O consentimento pode ser revogado a qualquer momento.
• Cumprimento de obrigação legal (art. 7º, II da LGPD / art. 6(1)(c) do GDPR): Atendimento a requisições de autoridades competentes, ANPD, autoridades de proteção de dados da UE/Reino Unido e obrigações fiscais.

5. Finalidades do Tratamento

• Prestação e manutenção dos serviços contratados;
• Autenticação de usuários e controle de acesso (RBAC);
• Comunicações operacionais (notificações, alertas, suporte);
• Análise de desempenho e melhoria contínua da plataforma;
• Prevenção a fraudes e monitoramento de segurança;
• Cumprimento de obrigações legais e regulatórias;
• Marketing e prospecção comercial (mediante consentimento);
• Composição e enriquecimento de bases de contatos comerciais B2B disponibilizadas aos clientes (seção 3.5).

6. Retenção e Descarte de Dados

A Nuvia retém dados pessoais pelo menor prazo necessário para cumprir as finalidades descritas nesta política ou obrigações legais aplicáveis.

Categoria	Prazo de Retenção
Dados de clientes B2B	Exportação disponibilizada em até 15 dias após o término do contrato, mediante solicitação formal por escrito; exclusão permanente em até 30 dias após o término ou após a confirmação da exportação completa, o que ocorrer por último.
Dados de leads (plataforma)	Conforme configuração do cliente; exclusão em até 30 dias após o encerramento do contrato.
Dados de leads do site institucional	Retidos enquanto houver relacionamento comercial ativo ou interesse legítimo; revisados anualmente.
Logs de segurança e auditoria	Mínimo de 1 ano, conforme requisitos internos de segurança da informação.
Dados de navegação (site)	Conforme política dos provedores (Google Analytics: 14 meses; Meta Pixel: 180 dias).
Extensão Chrome	Não retidos, processamento em tempo real sem persistência.
Dados sujeitos a litígio	Pelo prazo necessário determinado por assessoria jurídica.

Dados pessoais são excluídos ou desidentificados quando deixam de ser necessários para as finalidades que motivaram seu tratamento. A exclusão abrange todos os sistemas nos quais o dado do titular esteja registrado, incluindo sistemas de CRM e ferramentas de apoio, e é executada por processo manual pela Equipe de Engenharia, com registro para fins de auditoria.

7. Compartilhamento de Dados

A Nuvia compartilha dados pessoais apenas com fornecedores e parceiros terceiros estritamente necessários para a prestação dos serviços contratados, sempre mediante contratos adequados de proteção de dados (DPA). As categorias de terceiros com quem dados podem ser compartilhados incluem:

• Provedores de infraestrutura em nuvem (hospedagem, banco de dados e armazenamento de arquivos);
• Provedores de modelos de inteligência artificial utilizados para processamento de linguagem natural;
• Plataformas de canais de comunicação (mensageria e redes sociais profissionais);
• Ferramentas de CRM e calendário integradas pelo cliente;
• Provedores de monitoramento para operação segura da plataforma;
• Fornecedores especializados licenciados de dados de contato profissional B2B, no contexto do tratamento descrito na seção 3.5;
• Parceiros comerciais e afiliados, mediante consentimento do titular ou base legal específica.

A Nuvia não vende dados pessoais a terceiros. Dados de leads tratados em nome dos clientes são utilizados exclusivamente para prestação do serviço contratado e não são compartilhados com outros clientes ou para fins de marketing próprio da Nuvia.

Dados profissionais obtidos de terceiros e fontes públicas (seção 3.5) podem ser disponibilizados aos clientes da Nuvia no âmbito dos serviços contratados, na condição de controladora descrita naquela seção.

8. Transferência Internacional de Dados

Os dados pessoais tratados pela Nuvia são armazenados e processados nos Estados Unidos da América, em razão da localização da infraestrutura principal e de parte dos fornecedores contratados.

A Nuvia adota as seguintes salvaguardas para transferências internacionais, em conformidade com o art. 33 da LGPD e, quando aplicável, com o Capítulo V do GDPR:

• Celebração de Cláusulas Contratuais Padrão (Standard Contractual Clauses — SCCs) da Comissão Europeia com fornecedores internacionais;
• Para dados originados no Reino Unido, adoção do UK Addendum às SCCs ou do International Data Transfer Agreement (IDTA), conforme aplicável;
• Acordos de Processamento de Dados (DPAs) com todos os fornecedores que tratam dados em nome da Nuvia;
• Verificação de que os destinos adotam nível de proteção compatível com a LGPD e, quando aplicável, com o GDPR e o UK GDPR.

9. Segurança dos Dados

A Nuvia implementa controles técnicos e organizacionais para proteger dados pessoais contra acesso não autorizado, perda ou divulgação indevida, incluindo:

• TLS em trânsito em todos os endpoints da plataforma;
• Criptografia AES-256 em repouso para banco de dados e armazenamento de arquivos;
• Hash bcrypt (salt 10) para armazenamento de senhas;
• Controle de acesso baseado em papéis (RBAC) com isolamento multi-tenant por empresa;
• Logs estruturados de acesso com método, URL, status e IP para fins de auditoria;
• Rate limiting em todas as APIs;
• Validação de inputs com Zod em todas as fronteiras do sistema;
• Programa de Segurança da Informação ativo, com revisões periódicas e melhoria contínua dos controles.

10. Direitos dos Titulares

Nos termos do art. 18 da LGPD, os titulares de dados pessoais têm os seguintes direitos, exercíveis a qualquer tempo:

• Confirmação e Acesso (art. 18, I e II): Confirmar a existência de tratamento e obter cópia dos dados tratados.
• Correção (art. 18, III): Solicitar a atualização ou correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação (art. 18, IV): Solicitar a anonimização, bloqueio ou exclusão de dados desnecessários ou tratados em desconformidade com a LGPD.
• Portabilidade (art. 18, V): Solicitar a portabilidade dos dados a outro fornecedor de serviço ou produto.
• Eliminação (art. 18, VI): Solicitar a eliminação de dados tratados com base no consentimento.
• Informação sobre compartilhamento (art. 18, VII): Obter informações sobre entidades com as quais a Nuvia compartilha dados.
• Revogação do consentimento (art. 18, IX): Revogar o consentimento a qualquer momento, sem prejuízo da licitude do tratamento anterior.
• Oposição (art. 18, §2º): Opor-se ao tratamento realizado com fundamento em bases legais diversas do consentimento, em caso de descumprimento da LGPD.
• Revisão de decisões automatizadas (art. 20 da LGPD): Solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluindo decisões de qualificação comercial. Titulares na União Europeia e no Reino Unido possuem o direito equivalente previsto no art. 22 do GDPR.

Titulares localizados na União Europeia e no Reino Unido possuem direitos equivalentes sob os arts. 15 a 22 do GDPR, incluindo o direito de apresentar reclamação à autoridade de proteção de dados competente.

Para exercer qualquer desses direitos, entre em contato com o Encarregado (DPO) da Nuvia pelo e-mail dpo@nuvia.ai. São necessários a identificação do titular e a descrição do direito a ser exercido. O prazo de resposta é de até 15 dias corridos a partir do recebimento da solicitação, prorrogável mediante justificativa.

11. Cookies e Tecnologias de Rastreamento

O site nuvia.ai utiliza cookies e tecnologias similares para funcionamento, análise e marketing. Os cookies utilizados incluem:

• Essenciais / de Sessão: Necessários para autenticação e funcionamento básico da plataforma. Não podem ser desativados.
• Analíticos: Coleta de dados de navegação para melhoria do site. Podem ser desativados nas configurações do navegador.
• Marketing: Rastreamento para campanhas publicitárias. Requerem consentimento e podem ser revogados.
• Funcionalidade: Armazenam preferências de idioma e login para melhorar a experiência.

O titular pode configurar seu navegador para recusar cookies ou ser notificado quando um cookie for enviado. A desativação de cookies essenciais pode impactar o funcionamento da plataforma.

12. Incidentes de Segurança

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Nuvia seguirá seu Plano de Resposta a Incidentes e adotará as seguintes medidas:

• Contenção imediata e avaliação do impacto;
• Notificação à Autoridade Nacional de Proteção de Dados (ANPD) no prazo estabelecido pelo art. 48 da LGPD;
• Comunicação aos titulares afetados, quando aplicável, em linguagem clara e acessível;
• Registro do incidente e das medidas adotadas para fins de auditoria.

Quando o incidente envolver titulares na União Europeia ou no Reino Unido, a Nuvia observará também os prazos e obrigações de notificação previstos no GDPR e no UK GDPR, conforme aplicável.

13. Vigência e Atualização

Esta política entra em vigência em 18 de agosto de 2026 e substitui versões anteriores. A Nuvia revisará esta política ao menos anualmente ou sempre que houver alterações relevantes nos processos de tratamento de dados.

Alterações substanciais serão comunicadas por e-mail aos titulares cadastrados e publicadas no site com indicação da data de atualização.

14. Contato e Encarregado de Dados (DPO)

Para dúvidas, solicitações de direitos, comunicação de incidentes ou qualquer assunto relacionado ao tratamento de dados pessoais pela Nuvia:

Encarregado (DPO)	Antero Silva
E-mail do DPO	dpo@nuvia.ai
E-mail de suporte	support@nuvia.ai
Endereço postal	Av. Paulista 509, cj. 1513, 15º andar, São Paulo/SP, CEP 01311-910