Política de Privacidade

Esta Política descreve como o Nexion 360 Fiscal ("Nexion 360", "nós") coleta, usa, armazena e protege dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, LGPD).

1. Quem é o controlador dos dados

O Nexion 360 é controlador dos dados de cadastro da conta: dados da empresa cliente e de seus usuários.

Em relação aos dados pessoais que fazem parte do conteúdo operacional (clientes, fornecedores, destinatários e demais pessoas cadastradas pelo Cliente, e o que vier em planilhas importadas), o Nexion 360 atua como operador, tratando-os em nome e sob instrução do Cliente, que permanece controlador deles.

2. Dados que coletamos

No cadastro da conta: nome da empresa, CNPJ, nome do responsável, telefone, e-mail e senha. A senha nunca é armazenada em texto puro: guardamos apenas o hash criptográfico (scrypt), de onde a senha original não pode ser recuperada.

Dos usuários da equipe: nome, e-mail e o cargo interno que define as permissões da pessoa, informados pelo administrador da empresa ou pelo próprio usuário ao aceitar o convite.

Da operação: o registro de qual usuário realizou cada emissão, cancelamento, carta de correção e liberação, com data e hora.

De destinatários pessoa física: nome, CPF, endereço e contato que o Cliente informa para emitir a nota, e que por lei fazem parte do documento fiscal.

Do certificado digital: os dados do titular que constam no próprio certificado (nome e CNPJ da empresa, e o nome do responsável quando o certificado o traz).

De importações e da API: o conteúdo das planilhas enviadas pelo Cliente e dos dados enviados pelos sistemas dele. São campos livres; o que entra neles é decidido pelo Cliente.

Automaticamente: registros técnicos de acesso e de alteração, para segurança e rastreabilidade, inclusive a marcação de quando uma alteração foi feita pela equipe de suporte do Nexion 360, e não por um usuário do Cliente.

Não coletamos dados de cartão ou de qualquer meio de pagamento da assinatura: eles são informados diretamente ao Asaas e não trafegam pela Plataforma.

3. Finalidade do tratamento

Os dados são tratados para: (a) criar, autenticar e manter a conta; (b) emitir, transmitir e guardar os documentos fiscais da empresa, incluindo a rastreabilidade de quem emitiu ou cancelou cada documento; (c) compartilhar cadastros e eventos com os outros apps do Nexion 360 da mesma empresa, quando ela os usa; (d) enviar comunicações operacionais essenciais: convite de acesso, recuperação de senha, avisos sobre a assinatura; (e) processar a cobrança; (f) garantir a segurança e a integridade do serviço, incluindo prevenção de acesso indevido entre empresas clientes.

4. Base legal (LGPD)

A base legal principal é a execução de contrato (art. 7º, V da LGPD): o tratamento é necessário para prestar o serviço contratado. Dados que integram documentos exigidos por lei, como os de uma nota fiscal, são tratados também para o cumprimento de obrigação legal do Cliente (art. 7º, II). Não enviamos comunicação de marketing com base nestes dados.

5. Quem tem acesso aos dados

5.1. Os dados de cada empresa cliente são visíveis apenas para os usuários daquela empresa, conforme o cargo interno de cada um, e para os outros apps do Nexion 360 que a própria empresa usa. Os dados de uma empresa nunca são visíveis para outra empresa cliente (ver seção 8).

5.2. A equipe de suporte do Nexion 360 pode acessar dados da conta para atender a um pedido de ajuda ou investigar um incidente. Toda ação de escrita feita pelo suporte fica registrada no histórico como ação do suporte, de forma visível ao Cliente.

5.3. Os sistemas do próprio Cliente, por meio dos tokens de API que ele emitir, acessam os dados da empresa dele. Essa autorização é concedida e revogada pelo Cliente.

5.4. Operadores que hoje tratam dados por nossa conta, e apenas o necessário:

• Asaas: processamento da cobrança da assinatura. Recebe os dados de faturamento da empresa cliente.
• Brevo: envio dos e-mails da Plataforma (convite, recuperação de senha, avisos, e o envio do DANFE e do XML ao destinatário da nota, quando um usuário do Cliente o pede; o destinatário recebe o próprio documento). Recebe o e-mail e o nome do destinatário e o conteúdo da mensagem.
• OpenAI: somente quando a empresa usa os agentes de inteligência artificial: recebe os dados necessários para responder à análise pedida pelo usuário. Pelas condições da API contratada, não usa esses dados para treinar seus modelos.
• Provedor de hospedagem: servidor onde a aplicação, o banco de dados e os arquivos são mantidos.
• Cloudflare: rede e proteção contra ataques. Todo o tráfego entre o navegador e o servidor passa por ela, cifrado.
• Backblaze: guarda a cópia de segurança fora do servidor. Recebe o backup já criptografado, sem a chave para abri-lo.

Nenhum deles pode usar os dados para finalidade própria. A lista muda se o serviço mudar, e alterações relevantes são comunicadas na forma da seção 13.

5.5. Não vendemos, alugamos nem compartilhamos dados pessoais com terceiros para marketing ou publicidade.

6. Transferência internacional de dados

A aplicação, o banco de dados e os arquivos do Nexion 360 Fiscal são mantidos em servidor da Hostinger localizado nos Estados Unidos, e a cópia de segurança, criptografada com chave que só o Nexion 360 tem, no Backblaze, também nos Estados Unidos. Há, portanto, transferência internacional de dados, realizada com as garantias previstas no art. 33 da LGPD. Os demais operadores da seção 5.4 podem processar dados fora do Brasil, conforme suas políticas.

7. Retenção e exclusão

7.1. Mantemos os dados enquanto a conta existir, inclusive durante bloqueio por período de teste vencido ou assinatura em atraso; nesses casos o acesso é bloqueado, os dados não são apagados.

7.2. O Cliente pode solicitar a exclusão completa da conta e dos dados associados a qualquer momento, pelo canal de contato ao pé desta página. A exclusão é definitiva e não pode ser desfeita. Antes de pedi-la, cabe ao Cliente exportar o que a lei o obriga a guardar.

7.3. Registros de auditoria e informações que a lei exija manter podem ser retidos após a exclusão da conta, pelo prazo estritamente necessário a essa finalidade.

7.4. Prazos: registros de acesso e de login, 1 ano; logs do servidor, 90 dias; cópias de segurança, 14 dias (inclusive a cópia guardada fora do servidor). Dados excluídos saem das cópias de segurança nesse mesmo ciclo de 14 dias.

8. Isolamento entre empresas clientes

O isolamento entre empresas não depende apenas do código da aplicação: ele é imposto pelo próprio banco de dados, por políticas de segurança em nível de linha, com o papel usado pela aplicação sem permissão para contorná-las. Uma consulta que esquecesse o recorte de empresa não devolveria dado de outra: não devolveria nada. O mesmo recorte vale para os acessos feitos por token de API e pelos outros apps do Nexion 360.

Esse isolamento é verificado por testes automatizados executados contra o banco. A cada implantação, esses testes rodam no próprio servidor antes de a nova versão entrar no ar.

9. Segurança

Medidas técnicas adotadas:

• senhas guardadas apenas como hash scrypt, nunca em texto puro;
• isolamento entre empresas imposto pelo banco de dados (seção 8);
• controle de acesso por cargo interno dentro de cada empresa cliente;
• tokens de API com escopo da empresa que os emitiu, revogáveis pelo Cliente;
• tráfego cifrado por TLS entre o navegador e o servidor;
• verificação em duas etapas disponível para todas as contas;
• cópias de segurança diárias, criptografadas, guardadas também fora do servidor e testadas semanalmente;
• banco de dados acessível apenas localmente, nunca exposto à internet;
• dados de pagamento da assinatura fora do nosso alcance, por desenho (seção 2).

Nenhum sistema é livre de risco. Comprometemo-nos a agir rapidamente e a comunicar o Cliente em caso de incidente de segurança que afete dados pessoais.

10. Seus direitos como titular (LGPD)

Você pode solicitar, a qualquer momento: (a) confirmação de que tratamos seus dados; (b) acesso a eles; (c) correção de dados incompletos, inexatos ou desatualizados; (d) anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a LGPD; (e) portabilidade a outro fornecedor; (f) eliminação dos dados tratados com base em consentimento, quando aplicável; (g) informação sobre com quem compartilhamos seus dados.

Se os seus dados foram cadastrados por uma empresa cliente (por exemplo, como cliente, fornecedor ou funcionário dela), o controlador desses dados é essa empresa, e o pedido deve ser dirigido a ela. Podemos encaminhar o contato.

11. Como solicitar a exclusão da conta e dos dados

Envie um e-mail para o endereço ao pé desta página, a partir do e-mail cadastrado na Plataforma. A solicitação é confirmada e processada em prazo razoável.

12. Canal de privacidade

Para exercer os direitos acima, tirar dúvidas sobre esta Política ou relatar uma preocupação de privacidade, use o e-mail indicado ao pé desta página.

13. Alterações desta Política

Podemos atualizar esta Política para refletir mudanças no serviço, nas nossas práticas de tratamento ou na legislação. Alterações relevantes são comunicadas por e-mail com antecedência razoável.

Ver também os Termos de Uso.