Nexo Flow CRM · documento legal
Política de Privacidade
Última atualização: 14 de outubro de 2026 · Versão 1.0
1. Quem somos
O Nexo Flow CRM ("Nexo Flow", "nós") é um serviço de CRM conversacional operado por TD4ALL LTDA, pessoa jurídica inscrita no CNPJ sob o nº 43.259.756/0001-62, com sede em R. Dr. Gilberto Studart, 55, Sala 1018T-1, Cocó, Fortaleza/CE, CEP 60.192-095 ("Empresa").
O Nexo Flow permite que empresas ("Clientes") centralizem e respondam conversas com seus próprios clientes e seguidores ("Contatos") recebidas pelo WhatsApp e pelo Instagram, usando exclusivamente as APIs oficiais da Meta Platforms, Inc. e suas afiliadas ("Meta"): a WhatsApp Business Platform (Cloud API) e a Instagram Messaging API.
Esta Política explica quais dados pessoais tratamos, por quê, por quanto tempo, com quem compartilhamos e como você pode exercer seus direitos, conforme a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, "LGPD"), o Marco Civil da Internet (Lei nº 12.965/2014) e os Termos da Plataforma Meta e demais políticas da Meta aplicáveis a desenvolvedores.
Encarregado pelo tratamento de dados pessoais (DPO): TD4ALL LTDA (equipe de privacidade) · contato@nexoproapp.com.
2. Papéis: quem é controlador e quem é operador
A LGPD distingue o controlador (quem decide por que e como os dados são tratados) do operador (quem trata os dados em nome do controlador). No Nexo Flow esses papéis se dividem assim:
| Dados | Controlador | Operador |
|---|---|---|
| Dados dos Contatos do Cliente (mensagens, nomes, números de telefone, nomes de usuário, comentários) recebidos pelo WhatsApp e Instagram | O Cliente (a empresa que conectou sua conta ao Nexo Flow) | A Empresa (Nexo Flow) |
| Dados dos usuários do Cliente (donos, atendentes) para criar e operar a conta | A Empresa | — |
| Dados de visitantes do site nexoflowcrm.com | A Empresa | — |
Em outras palavras: quando você conversa com uma empresa pelo WhatsApp ou Instagram e essa empresa usa o Nexo Flow, a empresa é a controladora dos seus dados e nós somos a operadora. Tratamos esses dados somente conforme as instruções do Cliente, o contrato firmado com ele e esta Política. Pedidos de titulares relativos a esses dados serão encaminhados ao Cliente, e nós o auxiliaremos a atendê-los (ver seção 9).
O Cliente, ao conectar suas contas, declara que possui base legal para tratar os dados dos seus Contatos e que cumpre as políticas da Meta (incluindo a WhatsApp Business Messaging Policy e as Políticas da Plataforma Meta).
3. Dados que coletamos e de onde vêm
3.1 Via APIs da Meta (dados dos Contatos — controlador: Cliente)
Ao conectar uma conta do WhatsApp Business ou uma conta profissional do Instagram, o Nexo Flow recebe, por meio de webhooks e chamadas às APIs oficiais da Meta, os seguintes dados ("Dados da Plataforma", nos termos da Meta):
- Identificadores: número de telefone do Contato no WhatsApp (formato internacional), ID com escopo do Instagram (IGSID), ID da conta profissional do Cliente, ID da WhatsApp Business Account (WABA) e do número comercial, IDs de mensagens e de comentários.
- Perfil público: nome de perfil no WhatsApp; nome de usuário, nome de exibição e foto de perfil pública no Instagram, quando disponibilizados pela API.
- Conteúdo das conversas: texto, emojis, reações, mídias (imagens, áudios, vídeos, documentos, figurinhas), localização e contatos compartilhados, respostas a botões e listas, status de entrega e leitura, e a data/hora de cada evento.
- Comentários: texto, autor e data de comentários feitos em publicações, reels ou transmissões ao vivo da conta profissional do Cliente, quando o Cliente ativa esse recurso.
- Dados da conta comercial do Cliente: nome de exibição, status de verificação, categoria, classificação de qualidade do número, limites de mensagens, status e conteúdo dos modelos de mensagem (templates), eventos de conta enviados pela Meta.
Não acessamos conversas pessoais do WhatsApp dos Contatos, listas de contatos dos seus aparelhos, mensagens privadas de outras contas, nem conteúdo de contas que o Cliente não possui. Não usamos a API para coletar dados de forma automatizada (scraping) além do necessário ao serviço.
3.2 Dados fornecidos pelo Cliente e seus usuários (controlador: Empresa)
- Nome, e-mail, telefone e cargo dos usuários da conta (o login é feito pela conta Google; não armazenamos senhas).
- Dados cadastrais e fiscais da empresa Cliente (razão social, CNPJ, endereço, dados de faturamento).
- Dados que o Cliente insere manualmente sobre seus Contatos (etiquetas, notas, campos personalizados, etapa do funil).
3.3 Dados gerados pelo uso
- Registros de acesso (logs) com IP, data/hora, navegador e ações realizadas, conforme exige o Marco Civil da Internet.
- Métricas de uso do produto (telas acessadas, recursos usados), de forma agregada ou pseudonimizada.
- Resumos e sugestões de resposta gerados por inteligência artificial a partir das conversas (ver seção 6.3).
3.4 Cookies no site
O site nexoflowcrm.com utiliza cookies estritamente necessários (sessão, segurança) e, mediante consentimento, cookies de analytics. Você pode gerenciá-los nas configurações do navegador ou no banner de cookies.
4. Para que usamos os dados (finalidades) e bases legais
| Finalidade | Dados usados | Base legal (LGPD) |
|---|---|---|
| Receber, exibir e permitir que o Cliente responda mensagens e comentários numa caixa de entrada única | Dados da seção 3.1 | Execução de contrato (art. 7º, V) com o Cliente; o Cliente, como controlador, define a base legal perante seus Contatos |
| Organizar contatos, histórico, etiquetas e funil de vendas | 3.1 e 3.2 | Execução de contrato |
| Gerar resumos de conversas e sugestões de resposta por IA, sempre revisadas por um atendente humano antes do envio | Conteúdo das conversas | Execução de contrato; legítimo interesse (art. 7º, IX) do Cliente, com possibilidade de desativar o recurso |
| Enviar mensagens de modelo (templates) aprovadas pela Meta em nome do Cliente | Identificadores e conteúdo do template | Execução de contrato; o Cliente é responsável pelo opt-in do Contato exigido pela Meta |
| Criar e administrar a conta do Cliente, faturar, dar suporte | 3.2 e 3.3 | Execução de contrato; cumprimento de obrigação legal (fiscal) |
| Segurança, prevenção a fraude e abuso, cumprimento das políticas da Meta | 3.3 | Legítimo interesse; cumprimento de obrigação legal/regulatória |
| Guardar registros de acesso por 6 meses | Logs | Obrigação legal (Marco Civil, art. 15) |
| Melhorar o produto com métricas agregadas | 3.3 (pseudonimizados) | Legítimo interesse |
O que não fazemos com os Dados da Plataforma: não os vendemos; não os usamos para publicidade própria ou de terceiros; não os usamos para construir perfis de Contatos fora do contexto do Cliente; não os usamos para treinar modelos de inteligência artificial próprios ou de terceiros; não os combinamos com dados de outros Clientes; não os transferimos a corretores de dados.
5. Por quanto tempo guardamos (retenção)
- Mensagens, comentários e mídias dos Contatos: enquanto a conta do Cliente estiver ativa e conforme o período de retenção configurado pelo Cliente (padrão: [12] meses, configurável). Mídias recebidas da Meta são baixadas e armazenadas por nós porque as URLs da Meta expiram; elas seguem o mesmo prazo das mensagens.
- Resumos e sugestões de IA: mesmo prazo das conversas de origem.
- Tokens de acesso das contas conectadas: enquanto a conta estiver conectada; são cifrados em repouso e eliminados imediatamente na desconexão.
- Dados da conta do Cliente: enquanto durar o contrato e, após o encerramento, 30 dias para eventual reativação; depois, exclusão ou anonimização, salvo dados fiscais e contratuais que a lei exige guardar (até 5 anos ou o prazo legal aplicável).
- Logs de acesso: 6 meses (Marco Civil).
- Backups: eliminados em até 30 dias após a exclusão nos sistemas principais.
Conforme os Termos da Plataforma Meta, excluímos os Dados da Plataforma assim que razoavelmente possível quando: (i) deixam de ser necessários para a finalidade contratada; (ii) o Cliente desconecta a conta ou encerra o serviço; (iii) o titular ou o Cliente solicitar; (iv) a Meta solicitar para proteger seus usuários; ou (v) deixarmos de operar o serviço. Quando a lei exigir a retenção, guardamos a comprovação dessa exigência.
6. Com quem compartilhamos
Não vendemos dados pessoais. Compartilhamos apenas com:
6.1 Meta Platforms
O serviço funciona por meio das APIs da Meta. Toda mensagem enviada pelo Nexo Flow passa pela infraestrutura da Meta/WhatsApp/Instagram, sujeita aos termos e à política de privacidade da Meta (facebook.com/privacy/policy e whatsapp.com/legal/privacy-policy). A Meta pode também nos enviar dados de conta e de qualidade do número.
6.2 Provedor de nuvem e infraestrutura
Hospedamos o serviço em [PROVEDOR DE NUVEM], região [REGIÃO], que atua como suboperador e trata dados apenas para hospedagem, armazenamento e backup, sob contrato que o obriga a seguir nossas instruções e a segurança exigida. Também usamos [PROVEDOR DE E-MAIL TRANSACIONAL] e [PROVEDOR DE PAGAMENTOS] para funções específicas.
6.3 Provedor de inteligência artificial
Para gerar resumos de conversa e sugestões de resposta, enviamos o texto das mensagens (e, quando aplicável, a transcrição de áudios) à API de [PROVEDOR DE IA], sediada em [PAÍS]. O provedor atua como suboperador, por contrato que proíbe o uso dos dados para treinar seus modelos e exige a exclusão após o processamento. O Cliente pode desativar esse recurso nas configurações da conta. Nenhuma resposta gerada por IA é enviada ao Contato sem ação de um atendente humano.
6.4 Autoridades
Quando exigido por lei, ordem judicial ou autoridade competente, ou para exercer direitos em processo judicial ou administrativo.
6.5 Operações societárias
Em caso de fusão, aquisição ou venda de ativos, os dados podem ser transferidos ao sucessor, que ficará vinculado a esta Política; você será avisado.
Todos os suboperadores são obrigados contratualmente a tratar Dados da Plataforma somente em nosso nome e conforme nossas instruções, a cumprir os Termos da Plataforma Meta como se fossem nós, e a excluir os dados quando o serviço terminar. A lista atualizada de suboperadores pode ser solicitada em contato@nexoproapp.com.
7. Transferência internacional
Alguns suboperadores (Meta, provedor de IA e, possivelmente, de nuvem) processam dados fora do Brasil, especialmente nos Estados Unidos. Essas transferências se baseiam em cláusulas contratuais padrão, nos termos do art. 33 da LGPD e da regulamentação da ANPD, e em garantias de segurança equivalentes às exigidas no Brasil.
8. Segurança
Adotamos medidas técnicas e administrativas compatíveis com o risco, incluindo: criptografia em trânsito (TLS) e em repouso; tokens de acesso da Meta cifrados e isolados por Cliente; validação de assinatura (X-Hub-Signature-256) em todos os webhooks; controle de acesso por papel; registro e monitoramento de acessos; segregação lógica dos dados de cada Cliente; backups cifrados; e política de resposta a incidentes. Em caso de incidente de segurança que possa acarretar risco ou dano relevante, comunicaremos a ANPD, o Cliente afetado e, quando cabível, os titulares, nos prazos da legislação. Nenhum sistema é 100% seguro; mantenha suas credenciais em sigilo.
9. Seus direitos como titular (art. 18 da LGPD)
Você pode, a qualquer momento, solicitar: confirmação de tratamento; acesso; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos; portabilidade; informação sobre compartilhamento; informação sobre a possibilidade de não consentir e suas consequências; revogação do consentimento; e oposição a tratamento irregular.
Se você é Contato de uma empresa que usa o Nexo Flow (ou seja, falou com ela pelo WhatsApp ou Instagram): a empresa é a controladora dos seus dados. Recomendamos que dirija o pedido a ela. Se preferir, escreva para nós em contato@nexoproapp.com; encaminharemos o pedido à empresa em até 5 dias úteis e a auxiliaremos a atendê-lo. Pedidos de exclusão podem ser feitos diretamente a nós conforme a seção 10.
Se você é usuário de uma conta Cliente (dono ou atendente): escreva para contato@nexoproapp.com ou use Configurações > Dados e privacidade dentro do produto.
Responderemos em até 15 dias (art. 19 da LGPD), podendo pedir informações para confirmar sua identidade. Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD): gov.br/anpd.
10. Exclusão de dados
Esta seção atende à exigência dos Termos da Plataforma Meta de informar aos usuários como solicitar a exclusão dos dados obtidos por meio das plataformas da Meta (WhatsApp e Instagram), e à LGPD. As instruções completas também estão em nexoflowcrm.com/exclusao-de-dados.
10.1 Se você conversou com uma empresa pelo WhatsApp ou Instagram e ela usa o Nexo Flow
Para pedir a exclusão das suas mensagens, comentários, identificadores e dados de perfil armazenados no Nexo Flow, escolha um dos caminhos:
- Pelo e-mail: envie uma mensagem para contato@nexoproapp.com com o assunto "Exclusão de dados — Meta", informando o número de telefone do WhatsApp e/ou o nome de usuário do Instagram que você usou na conversa; o nome ou o @ da empresa com quem conversou; e se quer excluir tudo ou apenas um período.
- Pela própria conversa: envie a mensagem "EXCLUIR MEUS DADOS" para a empresa no mesmo canal (WhatsApp ou Instagram). O atendente registrará o pedido no Nexo Flow, que o executará.
- Diretamente à empresa (controladora), pelos canais de contato dela. A empresa dispõe de um botão "Excluir dados do contato" no Nexo Flow que apaga tudo o que temos sobre você naquela conta.
O que acontece: confirmamos o recebimento em até 2 dias úteis, podemos pedir confirmação de identidade pelo próprio canal (por exemplo, respondendo pelo mesmo número), notificamos a empresa controladora e excluímos os dados dos sistemas ativos em até 15 dias, com remoção dos backups em até 30 dias. Você receberá uma confirmação escrita com um código de protocolo. Dados que a lei nos obrigue a guardar (ex.: registros de acesso por 6 meses) serão mantidos bloqueados apenas pelo prazo legal, e isso será informado na resposta.
A exclusão no Nexo Flow não apaga a conversa no aplicativo WhatsApp ou Instagram da empresa ou no seu próprio aparelho, nem os dados que a Meta mantém; para isso, use as ferramentas da Meta.
10.2 Se você é usuário de uma empresa Cliente
- Para excluir a sua conta de usuário: Configurações > Dados e privacidade > "Excluir minha conta", ou escreva para contato@nexoproapp.com.
- Para desconectar o WhatsApp ou o Instagram: Configurações > Canais > "Desconectar". Os tokens de acesso são eliminados imediatamente; os dados dos Contatos seguem a retenção configurada ou podem ser eliminados na hora pela opção "Excluir dados deste canal".
- Para encerrar a conta da empresa e excluir todos os dados: o administrador pode fazê-lo em Configurações > Dados e privacidade ou solicitar pelo e-mail acima; concluiremos em até 30 dias após o encerramento, salvo retenção legal.
Você também pode remover a autorização do Nexo Flow dentro da Meta (Configurações do Facebook > Integrações comerciais, ou no Instagram > Configurações > Site e apps). Ao recebermos o aviso de revogação da Meta, iniciamos a exclusão dos Dados da Plataforma correspondentes.
10.3 Se a Meta solicitar
Excluímos imediatamente os Dados da Plataforma quando a Meta nos solicitar para proteger seus usuários, e comunicamos à Meta imediatamente caso recebamos Dados da Plataforma por engano.
11. Crianças e adolescentes
O Nexo Flow é destinado a empresas e a maiores de 18 anos. Não coletamos intencionalmente dados de crianças. Se um Cliente receber mensagens de menores, ele, como controlador, deve observar o art. 14 da LGPD. Se soubermos de dados de criança tratados sem base legal, os eliminaremos.
12. Alterações nesta Política
Podemos atualizar esta Política para refletir mudanças legais, nas APIs da Meta ou no produto. A versão vigente estará sempre em nexoflowcrm.com/privacidade, com a data de atualização. Mudanças relevantes serão comunicadas por e-mail aos Clientes e/ou aviso no produto com antecedência razoável.
13. Contato
- Encarregado (DPO): TD4ALL LTDA (equipe de privacidade)
- E-mail: contato@nexoproapp.com
- Endereço: TD4ALL LTDA, CNPJ 43.259.756/0001-62, R. Dr. Gilberto Studart, 55, Sala 1018T-1, Cocó, Fortaleza/CE, CEP 60.192-095
- Exclusão de dados: nexoflowcrm.com/exclusao-de-dados