Política de privacidade

1. Quem trata seus dados

Esta política descreve como a Nexafy coleta, usa e protege dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (Lei 13.709/2018). Para exercer qualquer direito previsto aqui, escreva para privacidade@nexafy.io.

2. Dados que coletamos

• Cadastro: nome, e-mail, telefone e, quando aplicável, CPF ou CNPJ e endereço — necessários para identificação e emissão fiscal.
• Credenciais de loja: tokens de acesso das lojas Shopify que você conecta, usados exclusivamente para executar as funções que você configura.
• Dados operacionais: informações das suas operações, mapeamentos de produtos, histórico de rotações, pedidos e métricas de vendas disponibilizados pelas integrações que você ativa.
• Dados de uso e desempenho: um identificador aleatório de sessão, a rota normalizada, eventos do funil e métricas técnicas de experiência (CLS, FCP, INP, LCP e TTFB), com data e versão publicada. Quando você está autenticado, o servidor pode associar o evento ao identificador da sua conta. Essa telemetria não armazena query strings, tokens de convite, identificadores de operações, endereço IP bruto, user-agent ou e-mail em propriedades.
• Mensuração de publicidade, com sua permissão: páginas permitidas, cliques nos nossos convites para criar conta ou escolher plano, cadastro, início do teste e ações concluídas no produto. Para atribuição de anúncios, podemos usar parâmetros de campanha (UTM), identificadores de clique e navegador da Meta, endereço IP e user-agent. Quando disponíveis e necessários para correspondência, identificadores da sua conta e e-mail são transformados em hash antes do envio pelo servidor. Não enviamos campos de formulários, credenciais, produtos, pedidos ou dados dos compradores das suas lojas para o pixel publicitário da Nexafy.

Não coletamos dados de cartão dos seus compradores. A Nexafy não processa pagamentos e não tem acesso a esses dados.

3. Como usamos

• operar as funcionalidades que você contratou;
• autenticar seu acesso e proteger sua conta;
• medir estabilidade, velocidade e uso das funções para diagnosticar falhas e melhorar o serviço, com minimização dos dados coletados;
• quando você permitir cookies de publicidade, medir a origem e os resultados de anúncios da Nexafy e formar públicos para nossas campanhas. Recusar essa finalidade não impede o uso da plataforma;
• enviar comunicações transacionais (código de acesso, aprovação de conta, alterações de senha);
• enviar novidades sobre o produto — você pode sair dessa lista a qualquer momento pelo link no rodapé do e-mail, sem afetar as mensagens transacionais;
• cumprir obrigações legais e regulatórias.

4. Segurança

Os tokens de acesso das suas lojas são criptografados antes de serem gravados no banco de dados, e o acesso aos seus registros é isolado por usuário no nível do banco. Nenhuma credencial sua é exposta ao navegador nem incluída no script instalado na sua vitrine.

Nenhum sistema é imune a incidentes. Caso ocorra um evento de segurança que possa acarretar risco relevante aos seus direitos, comunicaremos você e a Autoridade Nacional de Proteção de Dados nos prazos legais.

5. Compartilhamento

Não vendemos dados pessoais. Compartilhamos apenas o necessário com operadores que sustentam o serviço, como provedores de infraestrutura, banco de dados, envio de e-mail e as integrações que você decide conectar, como Shopify e Meta. O conjunto efetivo de operadores depende dos recursos usados na sua conta. Também podemos compartilhar dados para cumprir ordem judicial ou obrigação legal.

Com sua permissão para publicidade, compartilhamos os dados de mensuração descritos acima com a Meta por meio do Pixel e da API de Conversões. Essa finalidade é separada da conexão de contas de anúncios usada nas funcionalidades da plataforma. O checkout da assinatura é operado pela Hypercash, que possui seu próprio ambiente de pagamento e rastreamento.

6. Retenção

Mantemos os dados enquanto a conta estiver ativa e pelo período necessário para prestar o serviço, cumprir obrigações legais, exercer direitos e prevenir fraude. Após o encerramento, eliminamos ou anonimizamos os dados quando essas finalidades deixam de existir; cópias residuais podem permanecer em backups até o ciclo normal de substituição. Registros fiscais e de segurança podem ser conservados pelos prazos exigidos em lei.

Os eventos de produto e métricas de desempenho são mantidos por até 90 dias. Registros de auditoria de ações sensíveis são mantidos por até 365 dias para segurança, prevenção a fraude e investigação de incidentes, ressalvados prazos legais ou necessidade de preservação devidamente justificada.

7. Seus direitos

Você pode solicitar, a qualquer momento: confirmação da existência de tratamento; acesso aos seus dados; correção de dados incompletos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários; portabilidade; informação sobre compartilhamentos; e revogação do consentimento.

Basta escrever para privacidade@nexafy.io. Confirmações e acessos simplificados são tratados sem demora; quando o pedido exigir uma declaração completa, aplicamos o prazo legal de até 15 dias. Outros pedidos seguem os prazos previstos na regulamentação aplicável.

8. Cookies e armazenamento local

Usamos cookies estritamente necessários para manter sua sessão autenticada e concluir conexões autorizadas com serviços externos. O navegador também pode guardar, localmente, o e-mail quando você marca “lembrar”, preferências de exibição, o código de indicação e o estado temporário de algumas operações. Um UUID aleatório de telemetria é mantido apenas no sessionStorage para agrupar eventos da sessão atual e é descartado quando essa sessão do navegador termina.

O script instalado na vitrine pode conservar parâmetros de atribuição no armazenamento local por até 30 dias para manter a continuidade da jornada entre vitrine e checkout. Esse mecanismo pertence à operação da sua loja e é separado da publicidade da Nexafy.

O Pixel e a API de Conversões da Meta só são usados pela Nexafy após sua permissão. A preferência é compartilhada entre o site e o aplicativo por até 180 dias; a atribuição de campanhas é mantida por até 90 dias. Você pode aceitar, recusar ou revogar a permissão em “Preferências de cookies”, no rodapé do site e das telas de acesso ou no menu da sua conta dentro do aplicativo. A revogação interrompe novos eventos, remove os identificadores publicitários locais e solicita o cancelamento dos eventos pendentes no servidor. Até a confirmação desse cancelamento, conservamos apenas um identificador interno de permissão e a data, para repetir a solicitação se houver uma falha de conexão. Esse comprovante não é enviado à Meta. Eventos já entregues à Meta não são desfeitos por essa opção; para solicitar atendimento sobre seus dados, use o contato informado nesta política.

9. Alterações

Esta política pode ser atualizada. Mudanças relevantes serão comunicadas por e-mail ou dentro da plataforma antes de entrarem em vigor.