Contrato de tratamento de dados

Versão de 26/10/2026

Este contrato vale entre a empresa que usa o CRM Aurea (o Cliente) e a NexIA Lab, que opera a plataforma. Ele explica como a NexIA Lab trata os dados pessoais que o Cliente coloca ou recebe no CRM, em especial os dados dos clientes do Cliente. O aceite é feito dentro do sistema, por quem representa a empresa, e fica registrado com a data, a versão e a pessoa que aceitou.

1. Papéis

Para a Lei Geral de Proteção de Dados (Lei 13.709/2018), o Cliente é o controlador: ele decide para que os dados servem. A NexIA Lab é a operadora: trata os dados em nome do Cliente, seguindo as instruções dele e este contrato.

2. Para que os dados são tratados

Somente para prestar o serviço contratado:

• guardar e organizar contatos, conversas, oportunidades, tarefas e agenda;
• atender e responder pela API oficial do WhatsApp e pelo Instagram, com a IA configurada pelo Cliente;
• enviar os e-mails do sistema (convites, acessos, avisos);
• gerar os relatórios e números que o Cliente vê no painel.

A NexIA Lab não vende, não aluga e não usa esses dados para publicidade própria. Os dados não são usados para treinar modelos de IA.

3. Que dados entram

• Dos clientes do Cliente: nome, telefone, e-mail, usuário do Instagram, conteúdo das conversas e áudios transcritos, dados de qualificação e de oportunidades, agendamentos, origem e campanha de entrada e os campos que o Cliente criar.
• Da equipe do Cliente: nome, e-mail, papel de acesso e o registro das ações feitas no sistema.

O Cliente é responsável por ter base legal para tratar esses dados e por informar os seus clientes sobre o atendimento automatizado.

4. Onde os dados ficam

• Banco de dados e arquivos: Supabase, em servidores da AWS nos Estados Unidos, com criptografia em trânsito e em repouso.
• Aplicação: servidor da Hostinger, com acesso administrativo restrito.
• Serviços que processam partes dos dados para o serviço funcionar (suboperadores): os listados na Política de Privacidade, como Meta (WhatsApp e Instagram), provedores de IA e de transcrição, Google Agenda, Brevo (e-mail) e Stripe (pagamento).

Como parte dos serviços fica fora do Brasil, a transferência internacional segue as garantias do art. 33 da LGPD. A inclusão de um suboperador novo é avisada ao Cliente antes de começar.

5. Quem acessa

• A equipe do Cliente, conforme os papéis que o próprio Cliente define (dona, administração, atendimento ou somente leitura).
• A NexIA Lab, só o necessário para manter a plataforma funcionando, com registro.
• O suporte da NexIA Lab só entra nas conversas e nos dados da empresa com acesso liberado pelo Cliente, pelo prazo que ele escolher (24 horas, 7 dias ou até revogar). O Cliente vê no registro quando o suporte entrou e pode cortar o acesso a qualquer momento.

Cada empresa fica isolada das outras no próprio banco de dados: mesmo com um erro no código, uma empresa não enxerga os dados de outra.

6. Segurança

• Conexões cifradas e chaves de acesso dos canais guardadas cifradas.
• Isolamento por empresa no banco e permissões por papel no sistema.
• Registro das ações da equipe e do suporte que não pode ser editado nem apagado.
• Cópias de segurança do banco.

7. Incidentes

Se houver um incidente de segurança que afete dados do Cliente, a NexIA Lab avisa o Cliente sem demora, em até 48 horas depois de confirmar o incidente, com o que se sabe, os dados afetados e as medidas tomadas, para que o Cliente cumpra o que a LGPD pede ao controlador.

8. Direitos dos titulares

O sistema oferece ao Cliente as ferramentas para atender os pedidos dos seus clientes: exportar os dados de um contato, corrigir, excluir e registrar quem não quer mais receber mensagens (a pessoa também pode responder PARE na conversa). Se um titular procurar a NexIA Lab diretamente, o pedido é repassado ao Cliente.

9. Por quanto tempo os dados ficam

• Enquanto o contrato estiver ativo, pelo tempo que o Cliente decidir.
• Depois do cancelamento, os dados ficam 30 dias disponíveis para o Cliente exportar e então são apagados, com aviso antes.
• O registro de ações (auditoria) é guardado pelo prazo exigido por lei. As cópias de segurança são substituídas no ciclo normal de rotação.

10. Saída dos dados

A qualquer momento, a administração do Cliente pode exportar contatos, conversas em texto, oportunidades e tarefas pelo próprio sistema, sem custo.

11. Mudanças neste contrato

Quando este contrato mudar de forma relevante, a versão nova aparece no sistema e precisa ser aceita de novo por quem representa a empresa. A versão anterior continua valendo até o aceite.

12. Contato

Dúvidas sobre este contrato ou sobre dados pessoais: encarregado de dados (DPO).