Política de privacidade

1. Quem é responsável pelos dados (controlador e papéis)

O NexosFlow é um software de gestão de pedidos e produção. Em cada instalação coexistem dois níveis de responsabilidade previstos na LGPD:

• Controlador em relação à sua conta: a pessoa jurídica ou organização que opera aquela instalação (por exemplo, a sua oficina ou empresa). Essa organização decide por quê e como são usados os dados que inserem os utilizadores autorizados e os dados de clientes finais registados nos pedidos. Os dados identificativos e contactos desse controlador relativos a esta instalação surgem no quadro abaixo quando o administrador os publica nesta instalação (secção 14 e quadro abaixo, quando configurado).
• Operador (ou figura equivalente): quem fornece ou hospeda a tecnologia NexosFlow em nome do controlador — processa dados conforme instruções do controlador e finalidades contratuais da Plataforma (execução do serviço, segurança, melhoria técnica, cumprimento legal), sem utilizá-los para fins incompatíveis ou para revenda de bases de contactos.

Quem utiliza a conta na Plataforma deve encaminhar pedidos dos titulares (clientes finais, colaboradores) ao controlador da instalação, salvo quando o pedido diga respeito apenas ao tratamento feito pelo fornecedor da tecnologia (por exemplo, registo de subscrição de notificações associado à infraestrutura da app).

2. Dados pessoais que podem ser tratados

Conforme as funções que utiliza, podem ser tratados, entre outros:

• Conta e autenticação: nome, e-mail, hash de senha, função (ex.: utilizador, equipa técnica, administrador), imagem de perfil opcional, identificadores de sessão.
• Dados operacionais inseridos por si: pedidos, nomes de produtos, quantidades, valores, notas internas, estados de workflow (orçamento, produção, entrega, etc.), informação de pagamentos registados na app, peças e parâmetros técnicos associados ao cálculo.
• Dados de clientes finais e terceiros: o campo «cliente» ou equivalente nos pedidos pode conter nome ou identificação de pessoas singulares ou contactos comerciais que tratam dados em nome de outrem. Esse tratamento é feito em nome e sob a responsabilidade do controlador da instalação, que deve garantir base legal, transparência e instruções adequadas a quem opera a conta.
• Ficheiros e imagens: fotografias ou ficheiros enviados para armazenamento (por exemplo, bucket S3 compatível) ou URLs indicadas por si. Imagens podem conter dados biométricos ou identificação visual de pessoas; trate-os com o mesmo rigor que dados pessoais.
• Notificações push (opcional): se ativar notificações no navegador, guardamos o identificador do endpoint fornecido pelo serviço de push, chaves criptográficas necessárias ao envio e, quando disponível, o agente de utilizador (User-Agent) do navegador, para associar a subscrição à sua conta e permitir a revogação.
• Dados técnicos e de segurança: registos de servidor, endereço IP, data/hora de pedidos, tipo de navegador ou dispositivo, erros tratados de forma agregada ou minimizada, quando necessários para funcionamento seguro, diagnóstico e prevenção de abusos.

3. Finalidades e bases legais (LGPD — Lei nº 13.709/2018)

Exemplos de finalidades e fundamentos:

• Execução de contrato e procedimentos preliminares (art. 7º, V): criar conta, autenticar sessão, guardar e apresentar pedidos, sincronizar equipas comerciais e técnicas, registar pagamentos que você lança na aplicação.
• Legítimo interesse (art. 7º, IX), com avaliação de expectativa e medidas de segurança: manter integridade da conta, prevenir fraude, notificações transacionais via push quando ativadas no dispositivo.
• Consentimento (art. 7º, I): quando aplicável a funcionalidades claramente opcionais (ex.: ativar notificações no navegador após leitura desta política); pode retirar o consentimento desativando nas definições da Plataforma e do navegador.
• Cumprimento de obrigação legal (art. 7º, II): resposta a ordens judiciais ou reguladores, faturação ou obrigações fiscais quando aplicáveis à sua operação.

A relação exata com clientes finais (titulares) depende da sua atividade; o controlador da instalação deve informar esses titulares nos seus próprios canais quando a lei o exigir.

4. Notificações push no navegador ou dispositivo

Se optar por «Notificações», o sistema regista dados técnicos do serviço de push do fabricante do navegador ou do dispositivo. Utilizamos esses dados apenas para enviar avisos relacionados à operação (por exemplo, alterações relevantes em pedidos), até que cancele a subscrição na própria aplicação ou nas definições do sistema. A permissão nativa do navegador («Permitir / Bloquear») complementa este tratamento.

Para revogar: use «Desativar» nas opções de notificações da Plataforma, se disponível, e/ou remova o site das permissões de notificação nas definições do browser. A eliminação da conta, quando aplicável, deve solicitar-se ao controlador da instalação.

5. Armazenamento de imagens e ficheiros

Ficheiros podem ser guardados em armazenamento de objetos (por exemplo, S3). As URLs geradas podem ser acessíveis a quem conheça o endereço; o controlador da instalação deve configurar políticas de acesso, retenção e eliminação alinhadas à LGPD. Recomendamos não armazenar imagens desnecessárias a finalidades comerciais ou contratuais e limitar o tempo de conservação.

6. Encarregados de tratamento e suboperadores

Dados podem ser processados por fornecedores de alojamento, base de dados, rede de entrega de conteúdos, armazenamento de ficheiros ou serviços de e-mail transacional, sempre com cláusulas compatíveis com a legislação aplicável. Não vendemos listas de contactos nem perfis comportamentais a terceiros para marketing externo.

7. Transferência internacional de dados

Se um suboperador estiver sediado fora do Brasil, aplicam-se salvaguardas previstas na LGPD (incluindo contratos-tipo, avaliações de adequação ou outras hipóteses legais). O controlador da instalação deve manter registo dos destinos relevantes nas suas obrigações de prestação de informações.

8. Retenção e eliminação

Mantemos dados pelo tempo necessário às finalidades descritas, ao exercício regular de direitos, à defesa em processos e ao cumprimento legal. Quando deixarem de ser necessários, poderão ser eliminados ou anonimizados (quando a anonimização for irreversível e comprovável).

Orientação para administradores: definir política interna de tempo máximo para pedidos excluídos (exclusão lógica), cópias de segurança e pedidos de eliminação de titulares. Após eliminação solicitada, resíduos em backups podem persistir até rotação técnica do backup — informe os titulares conforme a prática da sua organização.

9. Segurança e registo de eventos

Aplicamos medidas técnicas e organizativas adequadas (controlo de acesso por perfil, ligações cifradas em HTTPS, hashing de palavras-passe, segregação de ambientes quando aplicável). Registos técnicos (logs) são produzidos de forma minimizada: evitamos incluir dados pessoais desnecessários em mensagens de erro expostas a utilizadores finais.

Em caso de incidente com risco ou dano relevante aos titulares, o controlador e, quando aplicável, o operador colaborarão na comunicação à Autoridade Nacional de Proteção de Dados e aos afetados, nos termos da lei.

10. Direitos dos titulares

Nos termos dos arts. 18 e seguintes da LGPD, os titulares podem solicitar, entre outros, confirmação de tratamento, acesso, correção, anonimização, portabilidade (quando aplicável), eliminação de dados desnecessários, informação sobre compartilhamentos e revogação de consentimento quando este for a base.

Como exercer: contacte o canal indicado pelo controlador da sua instalação (e-mail de privacidade ou formulário interno). O controlador deve responder no prazo e nas condições previstas na lei. Se o seu pedido disser respeito apenas à infraestrutura global da ferramenta e não à decisão de negócio do controlador, pode ser encaminhado ao suporte técnico contratado pelo controlador.

Portabilidade e exclusão de conta: podem exigir confirmação de identidade; a eliminação pode ser limitada por obrigações legais de conservação (ex.: obrigações fiscais sobre transações documentadas).

11. Cookies e tecnologias similares

Utilizamos cookies ou armazenamento local para manter a sessão autenticada, preferências (por exemplo, tema claro/escuro) e proteção contra falsificação de pedidos. Pode gerir cookies no navegador; algumas funções deixam de estar disponíveis se bloquear categorias essenciais.

12. Crianças e adolescentes

O NexosFlow destina-se a contexto profissional ou empresarial. Tratamento de dados de menores exige fundamentação específica na LGPD e, quando necessário, consentimento destaque dos responsáveis legais.

13. Alterações a esta Política

Esta versão pode ser atualizada. A data no início do documento identifica a revisão em vigor. Alterações substanciais serão comunicadas por meio razoável (aviso na aplicação ou correio eletrónico, conforme disponível).

14. Acessibilidade e inclusão

Procuramos que o NexosFlow seja utilizável por pessoas com deficiência visual ou outras necessidades de acesso, em linha com boas práticas de acessibilidade web (referência WCAG 2.2, nível AA, como meta de evolução contínua).

• Navegação por teclado: é possível percorrer menus, formulários e diálogos com Tab e atalhos do navegador; o link «Ir para o conteúdo principal» aparece ao focar no início da página autenticada.
• Leitores de ecrã: utilizamos estrutura semântica (cabeçalhos, regiões, botões com nome acessível) e estados anunciados em componentes interativos quando suportado pelo framework.
• Contraste e tema: suportamos modo claro e escuro; evite depender apenas da cor para transmitir informação crítica (estados de pedidos usam também texto e ícones).
• Zoom e texto: o layout adapta-se a ampliação do browser até 200% sem perda essencial de funcionalidade.
• Preferências do sistema: respeitamosprefers-reduced-motion quando aplicável nas animações suportadas pelo tema.

Se encontrar barreira de acesso (por exemplo, botão sem nome, contraste insuficiente ou impossibilidade de concluir uma tarefa só com teclado), reporte ao controlador da instalação ou ao canal de suporte indicado na secção 15, descrevendo a página e o dispositivo/navegador utilizado.

15. Contato e encarregado (DPO)

Para questões sobre privacidade nesta instalação, utilize o contacto que o seu administrador indicar. Em organizações obrigadas a designar encarregado de proteção de dados (art. 41 da LGPD), indique o nome e o meio de contacto do DPO junto aos utilizadores e titulares.

Documentos relacionados: Termos de uso.