Política de Privacidade — DataNuvy

Última atualização: 28 de abril de 2026 Versão: 1.1

Sumário

1. Quem somos
2. Nossos Serviços
3. A quem esta Política se aplica
4. Informações que coletamos sobre você
5. Dados de plataformas conectadas (OAuth) ⭐ novo
6. Como usamos suas informações
7. Com quem compartilhamos suas informações
8. Transferência internacional de dados
9. Suas escolhas e direitos
10. Outras informações importantes
11. Alterações a esta Política
12. Como entrar em contato

1. Quem somos

Esta Política de Privacidade ("Política") explica como a Xpott Midia Social LTDA e suas afiliadas ("DataNuvy", "nós", "nosso(a)") coletam, usam, divulgam e tratam suas informações pessoais (também chamadas de dados pessoais) no contexto do uso dos sites e aplicações DataNuvy, incluindo softwares que remetem a esta Política ("Sites" e "Aplicações"), dos produtos e serviços da nossa plataforma de dados ("Serviços de Plataforma") e no curso ordinário dos nossos negócios, como em eventos, atividades de venda e marketing (em conjunto, com os Sites e os Serviços de Plataforma, "Serviços"). Também descreve suas escolhas e direitos em relação às suas informações pessoais.

Identificação do controlador

Encarregado pelo Tratamento de Dados Pessoais (DPO)

Nos termos do Art. 41 da LGPD, Italo Lare é a pessoa física designada como canal de comunicação entre o controlador, os titulares de dados e a Autoridade Nacional de Proteção de Dados (ANPD).

2. Nossos Serviços

Fornecemos os Serviços de Plataforma a nossos clientes e usuários ("Clientes") sob contrato, exclusivamente em benefício deles e das pessoas autorizadas por eles a acessar e utilizar a plataforma ("Usuários Autorizados", incluindo administradores, editores e visualizadores).

Nosso tratamento dos dados de Usuários Autorizados é regido pelo contrato celebrado com o Cliente correspondente (tipicamente o empregador ou a organização contratante).

Esta Política não se aplica a:

1. Dados de Cliente (Customer Data / tenant data): informações que Clientes e seus Usuários Autorizados enviam, carregam ou disponibilizam aos Serviços de Plataforma para fins de análise (por exemplo, tabelas em BigQuery dentro do dataset tenant_{id}). Em relação a esses dados, atuamos como operador (data processor), e o tratamento é regido pelo nosso Contrato de Tratamento de Dados (DPA), disponível mediante solicitação ou firmado diretamente no contrato Corporate.
2. Produtos, serviços, sites ou conteúdos oferecidos por terceiros que possuam suas próprias políticas de privacidade.
3. Dados coletados em processos seletivos (candidaturas), que têm tratamento específico.

3. A quem esta Política se aplica

Esta Política aplica-se a você se:

• Visita os sites datanuvy.com, datanuvy.com.br, app.datanuvy.com, admin.datanuvy.com ou api.datanuvy.com;
• É Usuário Autorizado de um Cliente DataNuvy (administrador, editor, visualizador);
• É representante ou ponto de contato comercial/financeiro de um Cliente;
• É lead que preencheu formulário de contato, trial, demo ou newsletter;
• Interage conosco em eventos, vendas ou marketing.

4. Informações que coletamos sobre você

As informações que coletamos de você ou sobre você incluem (i) informações que você nos fornece; (ii) informações coletadas automaticamente; (iii) informações recebidas de terceiros; e (iv) dados de plataformas conectadas via OAuth (Seção 5).

4.1. Informações que você nos fornece

O que não coletamos:

• Dados completos de cartão de crédito (processados diretamente pelo provedor de pagamento);
• Dados pessoais sensíveis (Art. 5º, II, LGPD) de Usuários Autorizados, exceto se necessário para atendimento específico e com base legal adequada.

4.2. Informações coletadas automaticamente

Usamos ferramentas automatizadas (cookies, web beacons, pixels, tags) para coletar informações sobre o uso dos Sites e a interação com nossos e-mails.

Dados de dispositivo e rede:

• Sistema operacional, identificador de dispositivo, idioma do navegador;
• Endereço IP (e localização aproximada derivada dele);
• Data, hora e duração das sessões.

Dados de uso dos Serviços de Plataforma ("Usage Data"):

• Páginas visitadas, cliques, rotas navegadas;
• Consultas SQL executadas no Data Workspace (metadados: duração, bytes processados — não o conteúdo dos resultados);
• Dashboards visualizados, widgets criados, interações com o agente de IA;
• Consumo de Nuvies (sistema de créditos da plataforma: tokens de IA, processamento BigQuery, armazenamento, visualizações);
• Chamadas de API e códigos de resposta.

Logs de acesso (Marco Civil da Internet, Art. 15):

• IP, data e hora da conexão, referência do recurso acessado — retidos por 6 meses.

Finalidade do Usage Data: operar, suportar e proteger os Serviços, cobrar pelo consumo de recursos (Nuvies), detectar fraude e abuso, e melhorar o produto.

4.3. Informações recebidas de terceiros

Podemos receber informações sobre você de:

• Firebase Authentication (Google) — provedor de autenticação;
• Paddle (quando integrado) — dados mascarados de pagamento;
• Provedores de SSO autorizados pelo Cliente;
• Fontes públicas e parceiros de marketing — listas profissionais, LinkedIn, eventos.

4.4. Informações publicadas em áreas compartilhadas

Ao publicar conteúdo em áreas compartilhadas da plataforma (dashboards compartilhados, comentários, sessões de apresentação), esse conteúdo fica disponível para os demais Usuários Autorizados do mesmo Cliente. Tenha cautela ao publicar informações pessoais nesses contextos.

5. Dados de plataformas conectadas (OAuth) ⭐ novo

A DataNuvy permite que Clientes conectem suas contas em plataformas externas (anunciantes, analytics, CRMs) por meio do protocolo OAuth 2.0, com o objetivo de centralizar dados em dashboards e gerar análises consolidadas.

5.1. Como funciona a conexão

Quando você (ou um Usuário Autorizado de um Cliente) decide conectar uma conta externa:

1. Você é redirecionado para a tela de autorização da plataforma de origem (ex.: Google, Meta);
2. A plataforma de origem exibe os dados que serão acessados pela DataNuvy ("scopes");
3. Você autoriza explicitamente o acesso, podendo revogá-lo a qualquer momento;
4. A DataNuvy recebe um token de acesso (access token) e um token de atualização (refresh token), armazenados de forma criptografada;
5. A DataNuvy passa a sincronizar dados da conta autorizada periodicamente, conforme a finalidade contratada.

A DataNuvy não armazena suas credenciais (usuário e senha) das plataformas conectadas. A autenticação é feita exclusivamente pela plataforma de origem.

5.2. Plataformas atualmente suportadas

Google Ads

• Scope solicitado: https://www.googleapis.com/auth/adwords
• Uso: leitura de dados de campanhas, grupos de anúncios, anúncios, palavras-chave, métricas de desempenho (impressões, cliques, conversões, custo) e relatórios.
• Não realizamos: criação, edição, pausa ou exclusão de campanhas, nem qualquer operação de escrita na conta Google Ads do Cliente.
• Observação: o Google Ads API não oferece scope exclusivo de leitura; embora o scope adwords permita escrita, nosso uso é contratualmente limitado a leitura, conforme nossos Termos de Serviço.

Meta Marketing API (Facebook Ads, Instagram Ads)

• Scopes solicitados: ads_read, business_management, email, public_profile
• Uso: leitura de campanhas, conjuntos de anúncios, anúncios, métricas de desempenho (alcance, impressões, cliques, conversões, custo) e estrutura do Business Manager.
• Não realizamos: publicação, edição, exclusão de anúncios, nem qualquer operação de escrita.

5.3. Plataformas futuras

A DataNuvy poderá, no futuro, oferecer integrações com outras plataformas, incluindo (mas não limitado a) Google Analytics, LinkedIn Ads, TikTok Ads, Microsoft Advertising, HubSpot, Salesforce e ferramentas similares.

Quando uma nova integração for disponibilizada:

• Esta Política será atualizada para listar a plataforma e os scopes solicitados;
• Você será notificado com pelo menos 30 dias de antecedência caso a nova integração afete o tratamento dos seus dados;
• A conexão de cada nova plataforma é sempre opcional e exige autorização explícita do Cliente.

5.4. Como armazenamos e protegemos esses dados

5.5. Quem acessa esses dados

• Você e os Usuários Autorizados do mesmo Cliente: acesso total para leitura, conforme as permissões definidas pelo administrador do Cliente.
• Nossa equipe técnica: acesso eventual, mediante necessidade legítima (ex.: suporte solicitado, investigação de incidente), com registro em logs de auditoria.
• Sub-processadores: apenas quando estritamente necessário para a operação da Plataforma (ex.: Google Cloud para armazenamento, Anthropic para processamento via agente de IA — ver Seção 7).

5.6. Retenção e revogação

• Enquanto a conexão estiver ativa: os dados são sincronizados e mantidos enquanto necessários para a finalidade contratada.
• Quando você revoga o acesso (na tela da plataforma de origem ou diretamente na DataNuvy):
  • Cessamos imediatamente novas sincronizações;
  • Tokens armazenados são invalidados em até 24 horas;
  • Dados já sincronizados são mantidos no dataset do Cliente até o encerramento do contrato, ou excluídos sob solicitação do Cliente.
• Após o encerramento do contrato: dados sincronizados seguem a política de retenção descrita na Seção 10.1.

5.7. Conformidade com políticas das plataformas de origem

• Google API Services User Data Policy: o uso de informações recebidas das APIs do Google adere à Política de Dados de Usuário do Google API Services, incluindo os requisitos de Limited Use. A DataNuvy não vende, compartilha para fins de publicidade ou usa dados das APIs do Google fora dos casos descritos nesta Política e necessários para a operação dos Serviços contratados pelo Cliente.
• Meta Platform Terms: o uso de informações recebidas das APIs da Meta adere aos Termos de Plataforma da Meta e à Política de Privacidade de Desenvolvedor.

5.8. Seus direitos sobre dados de plataformas conectadas

Você pode, a qualquer momento:

• Listar conexões ativas na seção de configurações da DataNuvy;
• Revogar uma conexão específica, encerrando a sincronização imediatamente;
• Solicitar a exclusão dos dados sincronizados de uma plataforma específica via privacy@datanuvy.com;
• Auditar acessos via logs de auditoria disponibilizados aos administradores do Cliente.

6. Como usamos suas informações

Utilizamos suas informações pessoais para fornecer, manter, melhorar e atualizar os Serviços. As finalidades e bases legais estão organizadas abaixo:

6.1. Para prestar os Serviços

• Criar e manter sua conta na plataforma;
• Fornecer, manter e atualizar os Serviços contratados;
• Sincronizar e disponibilizar dados de plataformas conectadas via OAuth (Seção 5);
• Medir consumo de recursos (Nuvies) e faturar corretamente;
• Oferecer suporte técnico e central de ajuda;
• Executar pagamentos e emitir notas fiscais.

6.2. Para vendas e marketing

• Realizar contatos comerciais (ligações, e-mails, demos) para Clientes e leads que manifestaram interesse;
• Enviar newsletters, novidades de produto e conteúdos promocionais (mediante opt-in explícito);
• Analisar eficácia de campanhas e canais de aquisição.

6.3. Para nos comunicar com você

• Enviar notificações transacionais (recibos, alertas de cota, avisos de segurança, mensagens administrativas);
• Responder a perguntas, comentários e solicitações;
• Realizar pesquisas e coletar feedback de produto.

6.4. Para personalização e melhoria de produto

• Personalizar a experiência (idioma, formato de números e datas, tema);
• Gerar estatísticas agregadas sobre uso dos Sites e dos Serviços;
• Desenvolver novos recursos e aprimorar os existentes.

6.5. Para fins legais, de segurança e de conformidade

• Investigar incidentes, prevenir fraude e combater uso ilegal ou abusivo;
• Manter logs de auditoria e segurança;
• Cumprir obrigações legais, fiscais, tributárias e regulatórias.

6.6. Com seu consentimento

• Outras finalidades para as quais você tenha consentido expressamente, incluindo a conexão de cada plataforma OAuth.

6.7. Bases legais do tratamento

Sobre tratamento por inteligência artificial. Para operar o agente de IA da plataforma e outros recursos de automação, enviamos dados relevantes à Anthropic, PBC (fornecedora da API Claude). Mais detalhes sobre essa relação na Seção 7.

Informações desidentificadas ou anonimizadas. Podemos desidentificar ou anonimizar informações de modo que deixem de identificar você ou seu dispositivo. Salvo vedação legal, o uso e a divulgação dessas informações não estão sujeitos às restrições desta Política.

7. Com quem compartilhamos suas informações

Podemos divulgar suas informações pessoais a terceiros nas seguintes hipóteses:

7.1. Afiliadas

A outras empresas do grupo econômico da Xpott Midia Social LTDA, para as finalidades descritas nesta Política.

7.2. Operadores (sub-processadores)

A prestadores de serviço que nos apoiam na operação dos Serviços, sujeitos a contratos com cláusulas de proteção de dados. Nossos sub-processadores atuais:

A lista completa e atualizada de sub-processadores está disponível em datanuvy.com/legal/subprocessadores.

7.3. Parceiros comerciais e patrocinadores de eventos

Parceiros que atuam conosco na oferta, revenda ou indicação dos Serviços. Quando aplicável, patrocinadores de eventos para os quais você se registrou.

7.4. Organização patrocinadora

Quando você acessa os Serviços por meio de uma organização (por exemplo, seu empregador), podemos compartilhar com essa organização informações sobre seu cadastro, uso e status — veja a Seção 10.2.

7.5. Autoridades e por imposição legal

Quando exigido por lei, ordem judicial, processo legal ou requisição de autoridade competente; quando necessário para proteger os direitos, a propriedade ou a segurança da DataNuvy, de nossos Clientes ou de terceiros.

7.6. Operações corporativas

Em operações de fusão, aquisição, reestruturação ou venda de ativos, suas informações podem integrar os ativos transferidos, sujeitas à continuidade desta Política ou ao seu equivalente.

7.7. Com seu consentimento

Para outras situações em que você tenha autorizado expressamente a divulgação.

7.8. O que NÃO fazemos com seus dados

Para deixar inequívoco — a DataNuvy NUNCA:

• Vende seus dados pessoais a terceiros;
• Compartilha dados de plataformas OAuth conectadas para fins de publicidade direcionada ou venda;
• Usa dados sincronizados via OAuth para treinar modelos de IA generalistas;
• Compartilha dados entre Clientes (cada Cliente vê apenas seus próprios dados, com isolamento técnico via dataset BigQuery dedicado).

8. Transferência internacional de dados

Parte do tratamento ocorre fora do Brasil, em especial com sub-processadores localizados nos Estados Unidos (Anthropic, Resend, Cloudflare, Vercel).

Bases legais para transferência (LGPD, Art. 33):

• Garantia contratual de nível adequado de proteção (inciso II);
• Cláusulas contratuais específicas com cada sub-processador;
• Para clientes da União Europeia, Cláusulas Contratuais Padrão (SCCs) da Comissão Europeia.

Salvaguardas técnicas:

• Criptografia em trânsito (TLS 1.2+) e em repouso (AES-256);
• Minimização dos dados enviados ao exterior;
• Salvaguardas contratuais de proteção de dados com cada sub-processador internacional, conforme disponibilizadas nos termos contratuais do plano adotado.

A armazenagem principal dos dados da plataforma ocorre em datacenters no Brasil (região southamerica-east1 da Google Cloud), com exceção de datasets de demonstração.

9. Suas escolhas e direitos

Oferecemos opções quanto à coleta, uso e divulgação de suas informações pessoais, e respeitaremos as escolhas feitas conforme a legislação aplicável. Observe que a recusa em fornecer certas informações pode impedir o uso de funcionalidades específicas ou dos Serviços como um todo.

9.1. Informações de conta

Para corrigir, atualizar ou excluir informações da conta, acesse seu perfil no app ou solicite via privacy@datanuvy.com.

9.2. Opt-out de marketing

Você pode descadastrar-se de comunicações de marketing a qualquer momento:

• Clicando em "descadastrar" em qualquer e-mail de marketing; ou
• Enviando solicitação para privacy@datanuvy.com.

Comunicações transacionais essenciais (cobrança, segurança, avisos administrativos) continuarão sendo enviadas enquanto a conta estiver ativa.

9.3. Direitos do titular (LGPD, Art. 18; GDPR, Arts. 15–22)

Você tem direito a:

1. Confirmação da existência de tratamento;
2. Acesso aos seus dados;
3. Correção de dados incompletos, inexatos ou desatualizados;
4. Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
5. Portabilidade a outro fornecedor, mediante requisição expressa;
6. Eliminação dos dados tratados com base em consentimento;
7. Informação sobre entidades com quem compartilhamos dados (esta lista está na Seção 7);
8. Informação sobre a possibilidade de não consentir e suas consequências;
9. Revogação do consentimento, quando essa for a base legal;
10. Oposição a tratamento com base em legítimo interesse;
11. Revisão de decisões automatizadas que afetem seus interesses.

9.4. Como exercer seus direitos

Envie a solicitação para privacy@datanuvy.com, informando:

• Seu nome completo e e-mail cadastrado;
• Direito que deseja exercer;
• Detalhes suficientes para atendermos o pedido.

Podemos solicitar comprovação de identidade para evitar fraude. Responderemos no prazo de 15 dias (LGPD) ou 30 dias (GDPR), contados do recebimento do pedido.

Se a solicitação for negada, informaremos o motivo e, quando aplicável, o direito de recorrer à Autoridade Nacional de Proteção de Dados (ANPD) ou à autoridade competente da sua jurisdição.

9.5. Dados enviados por Clientes à Plataforma

Se seus dados pessoais foram enviados à Plataforma por um Cliente DataNuvy (por exemplo, seu empregador carregou um banco de clientes no BigQuery dele), direcione seu pedido ao Cliente correspondente — atuamos apenas como operador.

9.6. Direitos sobre conexões OAuth

Para conexões de plataformas externas (Seção 5):

• Listar conexões: disponível em app.datanuvy.com/dashboards/fontes;
• Revogar conexão na DataNuvy: botão "Desconectar" na lista de fontes;
• Revogar conexão na plataforma de origem: Google em myaccount.google.com/permissions; Meta em facebook.com/settings/?tab=business_tools;
• Excluir dados sincronizados: solicite via privacy@datanuvy.com indicando a plataforma e o período.

10. Outras informações importantes

10.1. Retenção de dados

Mantemos suas informações enquanto forem necessárias para as finalidades descritas nesta Política, observando as seguintes diretrizes:

10.2. Aviso aos Usuários Autorizados

Os Serviços de Plataforma são projetados para uso por organizações. Quando disponibilizados a você por meio de uma organização (por exemplo, seu empregador), essa organização é a administradora dos Serviços e responsável pelas contas sob seu controle.

Administradores podem:

• Acessar e alterar informações em sua conta;
• Restringir, suspender ou encerrar seu acesso;
• Visualizar logs de uso da plataforma;
• Exportar dashboards, relatórios e dados;
• Conectar e desconectar plataformas OAuth em nome do tenant.

Não respondemos pelas práticas de privacidade e segurança da sua organização, que podem divergir desta Política. Consulte as políticas internas da sua organização para mais informações.

10.3. Segurança

Aplicamos medidas técnicas, administrativas e organizacionais compatíveis com o estado da arte:

• Isolamento multi-tenant: cada Cliente possui dataset dedicado (tenant_{id}) em BigQuery, com controle de acesso via IAM;
• Criptografia em trânsito (TLS 1.2+) e em repouso (AES-256);
• Controle de acesso baseado em função (RBAC): super_admin, editor, viewer;
• Autenticação Firebase com suporte a autenticação multifator (MFA);
• Tokens OAuth criptografados em repouso, com rotação automática de refresh tokens;
• Guardrails de consulta: limite máximo de 50 GB processados por consulta, mesmo em planos ilimitados;
• Logs de auditoria em BigQuery;
• Backups automatizados com retenção de 30 dias;
• Monitoramento de anomalias e tentativas de acesso indevido;
• Revisão periódica de permissões e sub-processadores.

Nenhuma medida de segurança é infalível. Em caso de incidente com risco relevante aos titulares, comunicaremos a ANPD e os titulares afetados em prazo razoável, conforme Art. 48 da LGPD, seguindo playbook interno de resposta a incidentes.

10.4. Serviços de terceiros

Os Serviços podem conter links para sites, aplicações ou serviços de terceiros (por exemplo, provedores de SSO, integrações de dados externas). Informações submetidas a esses terceiros não são cobertas por esta Política. Recomendamos revisar as políticas dos terceiros antes de compartilhar informações com eles.

10.5. Crianças e adolescentes

Os Serviços destinam-se a profissionais e não são direcionados a menores de 18 anos. Não coletamos conscientemente dados de menores. Caso tomemos conhecimento de coleta indevida, excluiremos os dados imediatamente. Se você identificar essa situação, contate-nos em privacy@datanuvy.com.

10.6. Cookies

Detalhes sobre cookies e tecnologias similares estão em nossa Política de Cookies. Categorias principais:

Cookies não-essenciais podem ser desativados no navegador ou por meio do banner de consentimento exibido na primeira visita.

11. Alterações a esta Política

Podemos alterar esta Política de tempos em tempos. Publicaremos a nova versão nesta página, com a data de atualização no topo.

Alterações substanciais serão comunicadas com 30 dias de antecedência por e-mail aos Clientes ativos e por aviso proeminente na Plataforma.

Se você discordar das alterações, poderá encerrar o uso dos Serviços e solicitar a exclusão da sua conta.

O histórico de versões anteriores está disponível em datanuvy.com/legal/privacidade/historico.

Histórico de alterações

12. Como entrar em contato

Para dúvidas, reclamações ou solicitações relacionadas a esta Política ou ao tratamento de suas informações pessoais, contate o Encarregado:

Encarregado (DPO): Italo Lare E-mail: privacy@datanuvy.com Correspondência: Xpott Midia Social LTDA — A/C Italo Lare, Encarregado de Dados Avenida Dr. Luis Rocha Miranda, 159, Conj. 31, Sala 02 Jabaquara — São Paulo/SP — CEP 04344-010 CNPJ: 49.238.255/0001-86

Caso sua solicitação não seja adequadamente atendida, você pode reclamar perante a autoridade competente:

• Brasil: Autoridade Nacional de Proteção de Dados (ANPD) — https://www.gov.br/anpd
• União Europeia / Reino Unido / Suíça: autoridade de proteção de dados do seu país de residência.

Se você interage com a DataNuvy por meio de ou em nome de uma organização, suas informações pessoais também podem estar sujeitas às políticas de privacidade dessa organização. Nesse caso, direcione perguntas a ela.