Resumo Executivo
Este documento lista todos os operadores (prestadores de serviço) que processam dados pessoais em nome do Nivro, conforme Art. 37, § 1º da LGPD. Todos os operadores são contratados com cláusulas de proteção de dados adequadas.
Voltar para Conformidade LGPD
Documento legal · LGPD
Contratos com Operadores
Conforme Art. 37, § 1º da Lei Geral de Proteção de Dados (LGPD - Lei nº 13.709/2018)
Versão: 1.2 | Última atualização: 20 de outubro de 2026 | Próxima revisão: 9 de novembro de 2026
1. Lista de Operadores
1.1. Asaas (Cobrança e Pagamento de Assinaturas)
Serviço: Cobrança e processamento do pagamento das assinaturas do Nivro (cartão de crédito e Pix)
Localização: Brasil
Dados Processados: Nome, CPF ou CNPJ e e-mail do responsável pela assinatura, valor e histórico de cobranças e pagamentos, situação da assinatura. Os dados do cartão são informados na página de pagamento do próprio Asaas
Base Legal: Execução de contrato (Art. 7º, V, LGPD)
Medidas de Proteção: Criptografia em trânsito e em repouso, conformidade com o padrão PCI DSS exigido de processadores de pagamento
Cláusulas Contratuais: Cláusulas de proteção de dados incluídas no contrato de prestação de serviços
Observações: O Asaas é uma empresa brasileira, e os dados tratados por este operador ficam no Brasil. Números de cartão completos nunca passam pelo Nivro nem são armazenados por ele.
1.2. Railway (Hospedagem de Aplicação e Banco de Dados)
Serviço: Hospedagem da API e do processamento em segundo plano (worker) do Nivro, e do banco de dados PostgreSQL de produção
Localização: Estados Unidos / Europa
Dados Processados: Todos os dados da aplicação (dados pessoais, dados operacionais), incluindo tudo o que fica armazenado no banco de dados
Base Legal: Art. 33 LGPD - Consentimento tácito + cláusulas contratuais
Medidas de Proteção: Criptografia em trânsito (TLS), backups automatizados, isolamento dos dados de cada empresa no banco por políticas de segurança em nível de linha (RLS), certificações de segurança
Cláusulas Contratuais: Terms of Service incluem cláusulas de proteção de dados
1.3. Cloudflare (CDN, Segurança e Armazenamento de Arquivos)
Serviço: CDN, proteção DDoS, firewall de aplicação web (WAF) e armazenamento de arquivos enviados ao Nivro (Cloudflare R2)
Localização: Global (servidores distribuídos)
Dados Processados: Dados de tráfego, endereços IP, logs de acesso, dados de requisições HTTP, arquivos enviados pelo usuário (como logos e anexos)
Base Legal: Art. 33 LGPD - Consentimento tácito + cláusulas contratuais
Medidas de Proteção: Criptografia, anonimização de IP quando possível, certificações (ISO 27001, SOC 2)
Cláusulas Contratuais: Data Processing Addendum (DPA)
1.4. Vercel (Hospedagem de Frontend)
Serviço: Hospedagem de aplicação frontend (Next.js)
Localização: Estados Unidos / Global (Edge Network)
Dados Processados: Dados de frontend, logs de acesso, métricas de performance
Base Legal: Art. 33 LGPD - Consentimento tácito + cláusulas contratuais
Medidas de Proteção: Criptografia, certificações de segurança
Cláusulas Contratuais: Terms of Service incluem cláusulas de proteção de dados
1.5. Google Analytics (Analytics - Com Consentimento)
Serviço: Análise de uso do site, métricas
Localização: Estados Unidos
Dados Processados: Dados de navegação, cookies, métricas agregadas (apenas com consentimento)
Base Legal: Art. 7º, I (consentimento) + Art. 33 LGPD
Medidas de Proteção: Anonimização de IP, Consent Mode v2, políticas de privacidade do Google
Cláusulas Contratuais: Google Analytics Terms of Service
Observações: Só processa dados com consentimento explícito do usuário. Consent Mode v2 implementado (padrão DENIED). IP anonimizado. Google Signals desabilitado por padrão.
1.6. Brevo (Envio de E-mails)
Serviço: Envio de e-mails transacionais (verificação de conta, avisos e lembretes)
Localização: União Europeia
Dados Processados: Nome, endereço de e-mail e conteúdo das mensagens enviadas pelo sistema
Base Legal: Art. 33 LGPD - Consentimento tácito + cláusulas contratuais
Medidas de Proteção: Criptografia em trânsito (TLS)
1.7. Anthropic (Inteligência Artificial)
Serviço: Inteligência artificial (Claude) em três recursos: leitura de nota fiscal de compra em PDF, sugestão de vínculo entre as linhas da nota e os produtos cadastrados, e Assistente de Caixa (análise textual do caixa)
Localização: Estados Unidos (EUA)
Dados Processados: Leitura de PDF: o conteúdo do documento enviado (dados do fornecedor emitente, itens e valores da nota). Sugestão de vínculo: descrição, código, unidade e NCM das linhas da nota e nomes, marcas e categorias de produtos candidatos do catálogo. Assistente de Caixa: totais agregados do caixa (saldo, receita do dia, recebíveis atrasados, despesas pendentes e projeção de 30 dias)
Base Legal: Art. 33 LGPD - Consentimento tácito + cláusulas contratuais
Medidas de Proteção: Criptografia em trânsito (TLS)
Cláusulas Contratuais: Termos e DPA do fornecedor
Observações: O conteúdo só é enviado quando o usuário aciona o recurso (importar a nota em PDF, pedir a sugestão de produtos ou gerar a análise no Assistente de Caixa). Nada é enviado em segundo plano. O Assistente de Caixa não envia nomes de clientes nem texto digitado pelo usuário. As sugestões de produto são apenas sugestões: o usuário confirma cada vínculo.
1.8. Dados Jah (Emissão de Documentos Fiscais)
Serviço: Emissão de documentos fiscais eletrônicos (NF-e e NFC-e) e comunicação com a SEFAZ, em nome da empresa do cliente
Localização: Brasil
Dados Processados: Dados do emitente (razão social, CNPJ, endereço e e-mail de cadastro) e do destinatário da nota (nome, CPF/CNPJ e endereço), itens e valores do documento, e o certificado digital A1 do emitente (arquivo e senha), enviado uma vez para que o provedor possa assinar as notas
Base Legal: Art. 7º, V LGPD - Execução de contrato (emissão do documento fiscal solicitada pelo cliente)
Medidas de Proteção: Criptografia em trânsito (TLS)
Cláusulas Contratuais: Termos e DPA do fornecedor
Observações: O certificado digital e a senha só são enviados ao provedor quando a empresa configura a emissão fiscal no Nivro. Os dados da nota só são enviados quando um documento é emitido.
1.9. Sentry (Monitoramento de Erros)
Serviço: Monitoramento de erros e desempenho da API e do aplicativo web, para identificar e corrigir falhas
Localização: Estados Unidos (EUA)
Dados Processados: Dados técnicos de erro: pilha de execução (stack), rota e método da requisição, navegador/dispositivo (user-agent) e, quando há usuário autenticado, seu identificador, e-mail e o identificador da empresa. Campos da requisição também acompanham o erro, com senhas e tokens ocultados. No aplicativo web, amostra de gravações de sessão (replay) com todo o texto mascarado e mídia bloqueada
Base Legal: Art. 33 LGPD - Consentimento tácito + cláusulas contratuais
Medidas de Proteção: Criptografia em trânsito (TLS)
Cláusulas Contratuais: Termos e DPA do fornecedor
Observações: Na API, só são enviados erros inesperados e falhas de servidor (5xx); erros causados pelo usuário (como login inválido) não são. Tokens de sessão, e-mails e senhas que apareçam em mensagens de erro são removidos antes do envio. No aplicativo web, as gravações de sessão cobrem uma amostra das sessões e todas as sessões em que ocorre um erro.
1.10. Google (Login com Google)
Serviço: Autenticação por conta Google, opcional, para quem escolhe entrar com Google
Localização: Estados Unidos (EUA)
Dados Processados: Nome, e-mail (e se foi verificado pelo Google), identificador da conta Google e foto do perfil, lidos do token de identidade que o Google entrega. Apenas de quem escolhe esse método de login
Base Legal: Art. 7º, I LGPD - Consentimento (o usuário escolhe entrar com Google)
Medidas de Proteção: Criptografia em trânsito (TLS); o token de identidade é validado no servidor do Nivro (assinatura, emissor, validade e destinatário) antes de qualquer uso
Cláusulas Contratuais: Termos de Serviço do Google
Observações: O Nivro não recebe a senha da conta Google e não usa o login para acessar outros dados da conta (como contatos ou Gmail). Quem não escolhe esse login não tem dados enviados ao Google por este recurso.
2. Cláusulas Contratuais Padrão
Todos os contratos com operadores devem incluir:
- Obrigação de Confidencialidade: Operador não pode usar dados para outros fins
- Medidas de Segurança: Operador deve implementar medidas técnicas e administrativas adequadas
- Subprocessadores: Operador deve informar sobre subprocessadores
- Assistência ao Controlador: Operador deve auxiliar em requisições de titulares
- Retorno ou Exclusão de Dados: Ao término do contrato, operador deve retornar ou excluir dados
- Auditoria: Controlador tem direito de auditar operador
- Notificação de Incidentes: Operador deve notificar controlador imediatamente sobre incidentes
3. Transferências Internacionais
3.1. Base Legal
Art. 33 da LGPD: Transferência realizada com consentimento tácito ao aceitar Política de Privacidade. Países de destino oferecem grau adequado de proteção ou são adotadas cláusulas contratuais padrão.
3.2. Medidas de Proteção
Para todos os operadores:
- Cláusulas contratuais padrão de proteção de dados
- Criptografia em trânsito (TLS/HTTPS)
- Criptografia em repouso (quando disponível)
- Certificações de segurança do operador, quando existirem (como ISO 27001, SOC 2, PCI DSS)
4. Responsável pela Gestão
Responsável: Equipe de Desenvolvimento / DPO
E-mail de contato: privacidade@nivro.app
Frequência de revisão: Anual
Próxima revisão: 27 de janeiro de 2026