Política de Privacidade da Plataforma Xphera

Versão 0.9.0 (pré-release) — vigência a partir da publicação no domínio xphera.io.

⚠️ Documento em pré-release. O conteúdo está em uso operacional mas ainda não passou por revisão jurídica formal. Será promovido a v1.0.0 após revisão por advogado especializado em LGPD.

1. Quem somos

A NUVEM CORPORATIVA LTDA. (CNPJ 31.549.464/0001-85, sede na Rua Avencas, nº 20, Bairro Coqueiral, Aracruz - ES, CEP 29.199-022) é a controladora dos dados pessoais coletados para operação da plataforma Xphera.

Encarregado de Proteção de Dados (DPO):

• Nome: Rafael Duarte Frutuoso
• E-mail: dpo@xphera.io

2. Quais dados coletamos

2.1. Dados do Cliente (titular da conta)

• Identificação: razão social, nome, CNPJ/CPF, e-mail, telefone.
• Endereço comercial: para emissão de NFS-e e comunicação postal.
• Dados de pagamento: tokenização via gateway de pagamento; não armazenamos dados completos de cartão.

2.2. Dados de usuários da plataforma

• E-mail, nome, senha (armazenada como hash criptográfico).
• Logs de acesso e uso para auditoria e segurança.

2.3. Dados inseridos pelo Cliente

• Cadastros de seus próprios clientes, fornecedores, colaboradores, ativos, contratos, chamados, propostas.
• Arquivos enviados (anexos estruturais e biblioteca).

Para esses dados, atuamos como operadores (LGPD art. 5º, VII), e o Cliente é o controlador. O detalhamento dessa relação está no Contrato de Tratamento de Dados (DPA-LGPD).

3. Por que coletamos (bases legais)

Finalidade	Base legal LGPD
Execução do contrato (operação da plataforma)	Art. 7º, V — execução de contrato
Cumprimento de obrigações fiscais e regulatórias	Art. 7º, II — obrigação legal
Segurança da informação e prevenção a fraudes	Art. 7º, IX — interesse legítimo
Comunicações operacionais (cobrança, alertas, atualizações)	Art. 7º, V
Comunicações de marketing	Art. 7º, I — consentimento (opt-in explícito)

4. Com quem compartilhamos

Compartilhamos dados estritamente quando necessário com:

• Provedores de infraestrutura: Amazon Web Services (AWS) — Lightsail, S3, CloudFront — armazenamento e processamento.
• Provedores fiscais: TecnoSpeed (Plug NF-e/NFS-e/NFC-e) — para emissão de notas fiscais quando o módulo fiscal está ativo.
• Provedores de assinatura digital: D4Sign — para envelopes de assinatura quando o módulo está ativo.
• Provedores de pagamento: Sicoob (PIX), e gateway externo BR (cartão recorrente — em roadmap) — para processamento de cobranças.
• Provedores de mensageria: WhatsApp Business (quando habilitado).

Todos os terceiros operam sob contratos que asseguram conformidade com a LGPD. Lista completa e atualizada disponível em https://xphera.io/legal/sub-processadores.

Não vendemos nem cedemos dados a terceiros para fins de marketing.

5. Onde armazenamos — transferência internacional

Os dados são armazenados em datacenters da Amazon Web Services (AWS), na região us-east-1 (Norte da Virgínia, Estados Unidos da América). Backups são mantidos pelo prazo de 30 dias.

A transferência internacional de dados é amparada pelas seguintes salvaguardas, em conformidade com o art. 33 da LGPD:

1. Cláusulas contratuais padrão entre a Nuvem Corporativa e a AWS, conforme o AWS Data Processing Addendum (DPA), que inclui obrigações equivalentes às previstas pela LGPD.
2. Garantias técnicas e organizacionais da AWS, incluindo certificações ISO 27001, SOC 2, e conformidade com regimes regulatórios internacionais de proteção de dados.
3. Acesso restrito por princípio do menor privilégio, com logs auditáveis das operações realizadas.

A migração para datacenters localizados no Brasil (região sa-east-1 da AWS) está prevista no roadmap; até lá, mantemos as salvaguardas acima.

6. Por quanto tempo retemos

Tipo de dado	Período de retenção
Dados ativos da conta	Enquanto a assinatura estiver ativa
Dados após cancelamento	Disponíveis para exportação por 90 dias
Logs de auditoria	5 anos (obrigação legal)
Notas fiscais emitidas	5 anos (obrigação fiscal)
Dados anonimizados (analytics agregado)	Indefinidamente

7. Direitos do titular

Conforme LGPD (art. 18), você tem direito a:

• Confirmação de tratamento.
• Acesso aos seus dados.
• Correção de dados incompletos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários.
• Portabilidade para outro fornecedor.
• Eliminação de dados tratados com base em consentimento.
• Revogação de consentimento.
• Informação sobre compartilhamento.
• Oposição ao tratamento.

Solicitações devem ser feitas pelo e-mail dpo@xphera.io com prazo de resposta de até 15 dias úteis.

8. Segurança

Aplicamos medidas técnicas e organizacionais razoáveis para proteger seus dados:

• Criptografia em trânsito (TLS 1.2+).
• Criptografia de segredos por organização (AES-256-GCM com chave versionada).
• Senhas armazenadas com hash criptográfico.
• Controle de acesso baseado em papéis (RBAC) e tenant isolation.
• Logs de auditoria para operações sensíveis.
• Backups regulares com retenção controlada.

Em caso de incidente de segurança que possa gerar risco aos titulares, a ANPD e os titulares afetados serão comunicados conforme LGPD art. 48.

9. Cookies e tecnologias similares

A Plataforma utiliza cookies e tecnologias similares para:

• Manter sessão de usuário autenticado (essencial).
• Lembrar preferências (idioma, tema).
• Análise de uso interno (sem terceiros de marketing).

Detalhes e gestão de preferências disponíveis em https://xphera.io/legal/cookies.

10. Crianças e adolescentes

A Plataforma é destinada a uso profissional por adultos (18+). Não coletamos intencionalmente dados de menores de 18 anos. Se identificada coleta inadvertida, os dados serão eliminados.

11. Mudanças nesta Política

Mudanças que ampliem o escopo de tratamento ou alterem bases legais serão comunicadas com antecedência mínima de 30 dias e exigirão reaceite explícito pelo titular.

Ajustes editoriais e mudanças que reduzam o escopo entram em vigor automaticamente.

12. Contato

Para qualquer questão relacionada a esta Política:

• DPO: dpo@xphera.io (Rafael Duarte Frutuoso)
• Endereço: Rua Avencas, nº 20, Bairro Coqueiral, Aracruz - ES, CEP 29.199-022
• Autoridade Nacional de Proteção de Dados (ANPD): https://www.gov.br/anpd/