Política de Privacidade

1. Controlador

O operador da plataforma Nexo atua como controlador dos dados pessoais tratados para disponibilizar o serviço. Esta política descreve como tratamos dados de usuários da plataforma (indicadores, administradores de empresas e equipe interna) e de visitantes do site público de marketing.

Para questões sobre privacidade e direitos do titular, utilize o e-mail de contato indicado na página de Ajuda. Ainda não publicamos um endereço separado de encarregado (DPO); quando houver, constará nesta política e na Ajuda.

2. Dados que coletamos

Podemos tratar as seguintes categorias de dados:

Dados de cadastro e conta: nome, e-mail, senha (armazenada com hash), foto de perfil quando informada.
Dados de perfil de parceiro: telefone, site, redes sociais (LinkedIn, Instagram), dados bancários e documentos (CPF/CNPJ, chave PIX) quando informados para pagamento de comissões.
Dados de indicações: informações de leads enviados ou recebidos (nome, e-mail, telefone, empresa, observações), inclusive via formulários públicos de intake.
Dados de autenticação e segurança: registros de 2FA (TOTP ou OTP por e-mail), logs de acesso e auditoria de ações relevantes.
Dados de faturamento da empresa (quando a cobrança automatizada estiver habilitada): identificação fiscal e de pagamento necessários ao provedor de cobrança.
Dados de diagnóstico e suporte: quando você usa Reportar problema, podemos receber a URL da página, identificador da requisição (`x-request-id`), user-agent, contexto de conta/empresa, descrição do problema, stack técnica se houver erro, e - somente com o seu consentimento explícito - uma captura de tela que pode conter dados pessoais visíveis na tela.
Cookies de sessão necessários para manter o login (Auth.js).
Cookies e identificadores de analytics (Google Analytics 4) apenas no site público de marketing (`www`), e somente após consentimento explícito no banner de cookies. Não carregamos analytics nos hosts do aplicativo autenticado (`app.*`, `partner.*` ou subdomínios de empresa).

3. Finalidades do tratamento

Utilizamos os dados para:

Autenticar usuários e manter sessões seguras.
Operar programas de parceiros: convites, vínculos, indicações, comissões e fechamentos mensais.
Enviar comunicações transacionais (convites, alertas de indicação, recuperação de senha, verificação de e-mail).
Processar assinaturas e cobranças da empresa quando a cobrança automatizada estiver habilitada.
Diagnosticar falhas e prestar suporte técnico a partir de relatórios de problema e telemetria de erros (incluindo ferramentas de monitoramento quando configuradas).
Cumprir obrigações legais e registrar evidências de consentimento e aceites (incluindo versão dos termos no cadastro).
Prevenir abusos, fraudes e garantir isolamento entre empresas (multi-tenant).
Medir audiência e desempenho de páginas e CTAs do site público de marketing (quando houver consentimento de analytics).

4. Bases legais (LGPD)

O tratamento pode se fundamentar em execução de contrato ou de procedimentos preliminares, cumprimento de obrigação legal, legítimo interesse (segurança e operação da plataforma) e consentimento quando aplicável - por exemplo, ao aceitar compartilhar dados com uma empresa específica no fluxo de convite de parceiro, ao enviar uma indicação pelo formulário público, ou ao aceitar cookies de analytics no site público de marketing.

5. Cookies de analytics (site público)

Quando o Google Analytics 4 está configurado no ambiente, o site público (`www`) pode exibir um banner pedindo consentimento antes de carregar scripts de analytics. Você pode aceitar ou recusar. A escolha fica salva em um cookie próprio (`nexo_analytics_consent`) no domínio de marketing.

Se você recusar, não carregamos o Google Analytics. Cookies essenciais de sessão do aplicativo autenticado não dependem desse consentimento e não são o mesmo aceite do cadastro ou do formulário público de indicação.

O provedor (Google) pode processar dados de uso (páginas visitadas, eventos de clique em CTAs públicos, identificadores técnicos) conforme a configuração da propriedade GA4. Detalhes adicionais estão na documentação do Google sobre Analytics.

6. Operadores e subprocessadores

Para operar a plataforma, podemos contratar operadores (processadores) que tratam dados sob nossas instruções. Categorias típicas:

Infraestrutura de hospedagem, banco de dados, cache e armazenamento de arquivos (por exemplo provedores de nuvem e armazenamento compatível com S3).
Envio de e-mail transacional (provedor de API de e-mail ou relay SMTP).
Provedor de cobrança (Asaas) para assinaturas da empresa, quando a cobrança automatizada estiver habilitada.
Google Analytics 4 no site público de marketing, somente após consentimento no banner de cookies.

8. Retenção e segurança

Mantemos dados de conta e operação enquanto a conta estiver ativa e pelo tempo necessário para obrigações legais, auditoria e resolução de disputas após encerramento ou pedido de exclusão.

Aceites de termos e consentimentos (versão e data) são retidos para evidência de conformidade.

Dados sensíveis como PIX, CPF e CNPJ são criptografados em repouso. Acessos administrativos relevantes são registrados em log de auditoria.

Dados de analytics seguem a retenção configurada na propriedade GA4 e a política do provedor. A preferência do banner (`nexo_analytics_consent`) dura cerca de 180 dias, após o que o banner pode reaparecer.

9. Direitos do titular

Você pode solicitar confirmação de tratamento, acesso, correção, anonimização, portabilidade, eliminação ou informações sobre compartilhamento, nos termos da LGPD.

Entre em contato pelo e-mail indicado na página de Ajuda. Responderemos em prazo razoável.

Para cookies de analytics no site público, você também pode alterar a preferência apagando o cookie `nexo_analytics_consent` e revisitando o site para ver o banner novamente.

10. Alterações

Podemos atualizar esta política. A versão vigente consta no topo desta página. Alterações relevantes podem ser comunicadas por e-mail ou aviso na plataforma.