Política de Privacidade

1. Quem somos

A NovuFlow é uma plataforma SaaS de gestão de projetos criativos desenvolvida e operada por Aric Pazzini, com sede no Brasil. Para fins desta Política, "NovuFlow", "nós", "nosso" ou "Controlador" referem-se ao operador desta plataforma, acessível em novuflow.app.

Esta Política se aplica a todos os usuários da plataforma NovuFlow, incluindo visitantes do site, usuários registrados e clientes com planos pagos. Ela foi elaborada em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD — Lei 13.709/2018), o Marco Civil da Internet (Lei 12.965/2014) e o Código de Defesa do Consumidor (Lei 8.078/1990).

2. Base legal aplicável

Esta Política é regida pelas seguintes legislações brasileiras, aplicadas de forma complementar:

• LGPD (Lei 13.709/2018): Regula o tratamento de dados pessoais de pessoas naturais no Brasil, inclusive quando o tratamento ocorre no exterior mas os titulares estão no Brasil.
• Marco Civil da Internet (Lei 12.965/2014): Estabelece princípios, garantias, direitos e deveres dos provedores de aplicações de internet, incluindo obrigações de transparência e segurança.
• Código de Defesa do Consumidor (Lei 8.078/1990): Aplicável aos planos pagos do NovuFlow, garantindo direito à informação clara, proteção contra práticas abusivas e reparação por danos.
• Resoluções da ANPD: Especialmente a Resolução CD/ANPD nº 2/2022 (flexibilizações para pequenos agentes) e a Resolução CD/ANPD nº 19/2024 (Cláusulas Contratuais Padrão para transferência internacional).

3. Dados que coletamos

Coletamos apenas os dados estritamente necessários para operar o serviço:

3.1 Dados fornecidos diretamente

• Dados de conta: nome completo, endereço de e-mail e foto de perfil, obtidos via autenticação Google OAuth no momento do cadastro.
• Dados de projetos: nome do projeto, nome do cliente, datas, arquivos, briefings, comentários e quaisquer informações inseridas pelo usuário na plataforma.
• Dados de equipe: e-mails de membros convidados para projetos.
• Dados de pagamento: processados diretamente pelo Stripe. Não armazenamos números de cartão em nossos servidores.

3.2 Dados coletados automaticamente

• Dados técnicos de acesso: endereço IP, user agent do navegador, timestamps de login, páginas acessadas — utilizados para segurança, prevenção de fraudes e detecção de anomalias.
• Dados de uso: projetos criados, arquivos enviados, ações realizadas na plataforma (logs de atividade).
• Cookies de sessão: necessários para manter o usuário autenticado e garantir a segurança da navegação.

3.3 Dados de integrações

• Tokens Google: tokens de acesso ao Google Drive e Google Calendar, armazenados de forma criptografada (Fernet AES-128) para permitir as integrações do serviço. Você pode revogar esse acesso a qualquer momento pelo painel do Google.

4. Finalidades e base legal (LGPD — Art. 7º)

Não utilizamos seus dados pessoais para venda a terceiros, perfilamento para publicidade de outras empresas ou qualquer finalidade não listada acima.

5. Compartilhamento com terceiros

Compartilhamos dados apenas com os parceiros estritamente necessários para operar o serviço. Todos os parceiros estão sujeitos às suas próprias políticas de privacidade e, quando aplicável, à LGPD:

• Google LLC — autenticação (OAuth 2.0), armazenamento (Drive API) e agenda (Calendar API). Política Google
• Stripe, Inc. — processamento de pagamentos e gestão de assinaturas. Certificado PCI-DSS nível 1. Política Stripe
• Resend, Inc. — envio de e-mails transacionais (domínio verificado novuflow.app). Política Resend
• Railway Corp. — hospedagem da aplicação e banco de dados PostgreSQL. Política Railway
• Sentry, Inc. — monitoramento de erros em produção. Configurado para minimizar captura de dados pessoais. Política Sentry
• Z-API (Zenvia) — envio de notificações via WhatsApp, quando habilitado pelo usuário. Apenas para contatos do próprio usuário.

Requisições legais: Podemos divulgar dados pessoais quando exigido por lei, ordem judicial, autoridade competente ou para proteger direitos legais do NovuFlow.

Fusão ou aquisição: Em caso de fusão, aquisição ou venda de ativos, os dados poderão ser transferidos ao novo controlador, mediante aviso prévio a você com no mínimo 30 dias de antecedência.

6. Transferência internacional de dados

Parte da nossa infraestrutura está localizada nos Estados Unidos da América. O Brasil, por meio da ANPD, não reconhece os EUA como país com nível de proteção de dados adequado. Por isso, adotamos as salvaguardas exigidas pela LGPD e pela Resolução CD/ANPD nº 19/2024:

7. Menores de idade

O NovuFlow é uma plataforma profissional destinada a pessoas maiores de 18 anos ou emancipadas legalmente.

• Crianças (até 12 anos): O tratamento de dados de crianças exige consentimento específico e destacado de pelo menos um dos pais ou responsável legal, conforme o Art. 14 da LGPD. Não coletamos dados de crianças intencionalmente.
• Adolescentes (13 a 17 anos): O acesso ao NovuFlow por adolescentes deve ser autorizado por responsável legal. Ao se cadastrar, o usuário declara ter 18 anos ou mais, ou possuir autorização do responsável legal.
• Descoberta de conta de menor: Se identificarmos que coletamos dados de menores sem o consentimento adequado, excluiremos esses dados imediatamente. Para reportar, entre em contato: aric.pazzini@gmail.com.

8. Retenção de dados

Após os períodos acima, os dados são permanentemente excluídos ou irreversivelmente anonimizados. Dados exigidos por lei (registros fiscais, obrigações tributárias) são mantidos pelo prazo legalmente necessário mesmo após a exclusão da conta.

9. Segurança

Adotamos as seguintes medidas técnicas e organizacionais para proteger seus dados:

• Comunicação via HTTPS/TLS em toda a plataforma
• Criptografia de tokens sensíveis em repouso (Fernet AES-128)
• Rate limiting nas rotas de autenticação e API
• Registro e monitoramento de tentativas de acesso suspeitas
• Alertas automáticos de anomalia (>10 erros/hora)
• Monitoramento de erros em produção via Sentry
• Backup semanal criptografado do banco de dados (PostgreSQL → Google Drive)
• Headers de segurança HTTP: CSP, HSTS, X-Frame-Options, X-Content-Type-Options
• Proteção CSRF em todos os formulários
• Autenticação via Google OAuth 2.0 (sem senhas armazenadas)

Incidentes de segurança: Em caso de violação de dados que possa causar risco ou dano relevante aos titulares, notificaremos a ANPD no prazo de 72 horas após a ciência do incidente (conforme Art. 48 da LGPD), e notificaremos os titulares afetados em prazo razoável.

Nenhum método de transmissão pela internet é 100% seguro. Embora adotemos as medidas acima, não podemos garantir segurança absoluta contra todos os tipos de ameaça.

10. Cookies e tecnologias de rastreamento

Categoria A — Essenciais (sem opção de recusa)

• Cookie de sessão: mantém o usuário autenticado durante a navegação.
• Token CSRF: protege formulários contra ataques cross-site.
• Preferências de tema: armazena escolha de tema claro/escuro no localStorage.

Categoria B — Análise (requerem consentimento)

• Atualmente não utilizamos ferramentas de análise de comportamento (Google Analytics, Hotjar, etc.).
• Caso venham a ser implementadas, esta seção será atualizada com 15 dias de antecedência.

Categoria C — Marketing e publicidade (requerem consentimento)

• Atualmente não utilizamos Meta Pixel, Google Ads Pixel ou ferramentas similares.
• Quando formos implementar campanhas pagas (Google Ads, Meta Ads), esta Política será atualizada com 15 dias de antecedência mínima, e você poderá optar por não participar do rastreamento antes que ele seja ativado.

Você pode gerenciar ou excluir cookies nas configurações do seu navegador. Remover cookies essenciais pode afetar o funcionamento da plataforma.

11. Seus direitos como titular de dados (LGPD — Art. 18)

Você tem os seguintes direitos em relação aos seus dados pessoais, garantidos pela LGPD:

• Confirmação e acesso: confirmar se tratamos seus dados e obter cópia completa.
• Correção: solicitar correção de dados incompletos, inexatos ou desatualizados.
• Anonimização ou exclusão: solicitar anonimização ou eliminação de dados desnecessários ou tratados em desconformidade com a LGPD.
• Portabilidade: receber seus dados em formato estruturado e interoperável para transferência a outro fornecedor.
• Informação sobre compartilhamento: ser informado sobre com quais terceiros compartilhamos seus dados.
• Revogação do consentimento: revogar consentimento a qualquer momento, sem prejuízo do tratamento já realizado.
• Oposição: opor-se a tratamentos baseados em legítimo interesse quando não houver justificativa adequada.
• Revisão de decisões automatizadas: solicitar revisão de decisões tomadas exclusivamente por meios automatizados que afetem seus interesses.

Caso não seja atendido adequadamente, você pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) pelo portal gov.br/anpd, ou ao PROCON da sua cidade, conforme o Código de Defesa do Consumidor.

12. Responsabilidade compartilhada (clientes B2B)

Quando empresas ou profissionais ("Clientes") utilizam o NovuFlow para gerenciar projetos com seus próprios clientes finais, as responsabilidades são distribuídas conforme a LGPD:

• O Cliente é o Controlador dos dados pessoais inseridos na plataforma a respeito de seus próprios clientes, equipe e terceiros. O Cliente é responsável por: obter os consentimentos necessários, informar seus usuários sobre o uso do NovuFlow, e cumprir as leis de proteção de dados aplicáveis à sua atividade.
• O NovuFlow é o Operador desses dados, processando-os exclusivamente conforme as instruções do Cliente e as finalidades descritas nesta Política.
• Usuários finais que tenham dúvidas sobre como seus dados são tratados por um Cliente devem, primeiramente, entrar em contato com esse Cliente. Se não forem atendidos, podem nos contatar.

Ao inserir dados pessoais de terceiros na plataforma, o Cliente declara que possui base legal adequada para esse tratamento e que informou os titulares conforme exigido pela LGPD.

13. Limite de responsabilidade

Na máxima extensão permitida pela legislação brasileira aplicável:

• O NovuFlow não se responsabiliza por danos indiretos, incidentais, especiais ou consequentes decorrentes do uso ou da incapacidade de uso do serviço.
• Nossa responsabilidade total por reclamações relacionadas a dados pessoais é limitada ao valor pago pelo usuário nos últimos 3 meses de assinatura, salvo em casos de dolo ou negligência grave comprovados.
• Não nos responsabilizamos por violações de dados causadas por terceiros que atuem fora do nosso controle razoável, desde que tenhamos adotado as medidas de segurança descritas na Seção 9.
• Nada nesta seção exclui ou limita responsabilidades que não possam ser excluídas por lei, incluindo as garantias previstas no Código de Defesa do Consumidor.

14. Alterações nesta Política

Podemos atualizar esta Política periodicamente. O histórico de versões é mantido:

• Alterações relevantes (novas finalidades, novos terceiros, cookies de marketing): comunicadas por e-mail e aviso na plataforma com mínimo de 15 dias de antecedência.
• Alterações menores (correções, clareza de redação): comunicadas pelo aviso de "última atualização" no topo desta página.
• O uso continuado do serviço após o prazo de aviso implica aceitação das novas condições. Caso não concorde, você poderá cancelar sua conta antes da entrada em vigor das mudanças.

15. Contato e Encarregado de Dados (DPO)

Para exercer seus direitos, enviar dúvidas ou apresentar reclamações sobre privacidade:

• 👤 Controlador / DPO: Aric Pazzini
• 📧 E-mail de privacidade: aric.pazzini@gmail.com
• 🌐 Site: novuflow.app
• ⏱️ Prazo de resposta: até 15 dias úteis

Conforme a Resolução CD/ANPD nº 2/2022, startups e pequenas empresas dispõem de flexibilização na nomeação formal de DPO. Ainda assim, mantemos canal de comunicação eficiente e comprometido com a plena conformidade com a LGPD.

Se não for atendido satisfatoriamente, você pode registrar reclamação na ANPD: gov.br/anpd.