Este Acordo de Tratamento de Dados (DPA) complementa os Termos de Uso (/termos) e a Política de Privacidade (/privacidade) do NexusCRM e vale para as organizações clientes (empresas e profissionais) que usam o sistema para tratar dados pessoais de terceiros, como contatos e clientes. Ele passa a valer quando a organização aceita os Termos de Uso. Em caso de conflito sobre proteção de dados, vale este acordo.
1. Partes e papéis
A organização cliente é a controladora dos dados pessoais que cadastra ou recebe no NexusCRM (contatos, empresas, negócios, conversas, e-mails, ligações, anexos e outros registros): ela decide quais dados entram no sistema e para quê.
O NexusCRM, oferecido por Victor Guilherme Pereira da Silva (dados na seção Contato dos Termos de Uso), é o operador desses dados: trata em nome da organização, para prestar o serviço.
Para os dados da conta e da cobrança, o NexusCRM é o controlador. Isso está na Política de Privacidade e fica fora deste acordo.
2. O que é tratado e para quê
Os dados que a organização colocar no NexusCRM, de contatos, clientes, leads e pessoas da equipe. A finalidade é só prestar o serviço contratado: guardar, organizar, mostrar e enviar esses dados conforme a organização usar o sistema.
O tratamento dura enquanto a organização tiver o sistema ativo e até a exclusão dos dados (cláusula 11).
3. Instruções da organização
O NexusCRM trata os dados só conforme as instruções da organização, dadas pelos Termos de Uso, pelo uso das telas e das configurações e por pedidos escritos feitos a suporte@nexuscrmm.com.
Se uma instrução parecer ilegal, avisamos a organização e podemos deixar de cumpri-la.
Não usamos os dados da organização para outras finalidades, não os vendemos e não os usamos para treinar modelos de inteligência artificial.
4. Responsabilidades da organização (controladora)
Ter base legal para os dados que cadastra, informar as pessoas, atender os pedidos delas e usar o sistema de forma lícita.
Se a organização cadastrar dados pessoais sensíveis (por exemplo, dados de saúde), ela é responsável por ter a base legal do art. 11 da LGPD e por pedir só o necessário.
5. Confidencialidade
Só têm acesso aos dados as pessoas do NexusCRM que precisam deles para prestar o serviço e dar suporte, e todas se comprometem a manter sigilo.
Não lemos o conteúdo dos dados da organização, exceto com o consentimento dela, para segurança e investigação de abuso, para cumprir a lei ou para resolver um pedido de suporte feito por ela.
6. Segurança
Adotamos as medidas descritas na seção 8 dos Termos de Uso e na Política de Privacidade, entre elas: conexões cifradas, senhas guardadas só como hash, verificação em duas etapas, credenciais de integrações cifradas, isolamento entre organizações, controle de acesso por permissões, registro de atividades, limite de tentativas de login e cópias de segurança automáticas.
Nenhum sistema é totalmente seguro: não garantimos risco zero, e a segurança é compartilhada, como na seção 8 dos Termos de Uso.
7. Suboperadores
A organização autoriza o NexusCRM a usar os suboperadores abaixo.
Sempre usados no serviço:
- Hostinger: servidor, banco de dados e anexos;
- Cloudflare: rede, proteção contra ataques e hospedagem do site.
Usados quando a organização liga ou conecta o recurso:
- Meta: WhatsApp por QR code, Instagram e Messenger;
- Google e Microsoft: agenda e e-mail;
- Twilio: ligações, gravação e transcrição;
- Clicksign: assinatura eletrônica;
- Anthropic: inteligência artificial;
- Serviços de notificação dos navegadores (push) e o provedor de envio de e-mails do sistema.
O Mercado Pago cuida só da cobrança da assinatura, que é dado de conta (o NexusCRM é o controlador).
Quando houver troca ou entrada de suboperador que trate dados da organização, avisamos o dono por e-mail com pelo menos 15 dias de antecedência. Se a organização não concordar, pode cancelar a assinatura.
Exigimos dos suboperadores proteção compatível com este acordo e respondemos por eles perante a organização, nos limites da cláusula 13.
8. Incidentes de segurança
Se houver incidente que possa causar risco ou dano relevante aos dados da organização, avisamos o dono por e-mail ou dentro do sistema, sem demora injustificada e, sempre que possível, em até 72 horas depois de confirmar o incidente, com o que se sabe (o que aconteceu, quais dados, as medidas tomadas e os riscos).
Cooperamos para a organização, como controladora, cumprir o art. 48 da LGPD. Informações novas seguem conforme forem apuradas.
9. Direitos das pessoas titulares
Pedidos de pessoas sobre os dados que a organização guarda (acesso, correção, exclusão etc.) são da organização.
O NexusCRM oferece ferramentas para isso (exportação, edição e exclusão de registros) e, se receber um pedido direto, encaminha à organização em até 5 dias úteis, sem responder pelo conteúdo. Ajudamos a organização, na medida do possível, a atender esses pedidos.
10. Transferência internacional
Alguns suboperadores (por exemplo, Cloudflare, Meta, Google, Microsoft, Twilio e Anthropic) tratam dados fora do Brasil, principalmente nos Estados Unidos.
Isso é feito para prestar o serviço, observando os mecanismos de transferência previstos no art. 33 da LGPD e na regulamentação da ANPD (Resolução CD/ANPD nº 19/2024).
11. Fim do contrato: devolução e exclusão
A organização pode exportar os dados a qualquer momento, inclusive com a assinatura vencida (seção 14 dos Termos de Uso).
Ao excluir a organização ou a conta, os dados saem do banco na hora; podem ficar em cópias de segurança automáticas por até 14 dias, até serem apagadas. Se a organização cancelar mas não excluir, guardamos os dados até ela excluir.
Podemos manter o que a lei exigir (por exemplo, registros de cobrança, que são dados de conta).
12. Auditoria e prova de conformidade
Para comprovar o cumprimento deste acordo, respondemos a questionários razoáveis e fornecemos documentos sobre as medidas de segurança.
Se isso não bastar, a organização pode pedir uma auditoria, uma vez por ano, com 30 dias de aviso, em horário comercial, por conta de quem pede, com sigilo e sem acesso a dados de outras organizações.
13. Responsabilidade
A responsabilidade de cada parte segue a seção 15 dos Termos de Uso (inclusive o limite ali previsto) e é aplicada nos limites permitidos pela LGPD, que também define quando operador e controlador respondem em conjunto (art. 42).
14. Mudanças e vigência
Podemos atualizar este acordo, avisando por e-mail ao dono ou dentro do sistema com pelo menos 15 dias de antecedência quando a mudança reduzir direitos ou aumentar obrigações (como na seção 17 dos Termos de Uso).
Ele vale enquanto a organização usar o NexusCRM e, quanto à cláusula 11, até a exclusão dos dados. O foro é o dos Termos de Uso.
15. Contato e encarregado
Dúvidas e pedidos sobre este acordo e sobre dados pessoais: suporte@nexuscrmm.com (escreva “LGPD” no assunto).
Encarregado pelo tratamento de dados pessoais: Victor Guilherme Pereira da Silva.