Privacy Policy / Política de Privacidade

Last updated / Última atualização: July 2026

English Version

1. Introduction

This Privacy Policy explains how Nuvio ("we," "us," or "our") collects, uses, stores, and protects your personal data when you use our Total Agents Platform (TAP) ("Service"). We are committed to protecting your privacy in compliance with the Brazilian General Data Protection Law (LGPD — Lei Geral de Proteção de Dados, Lei nº 13.709/2018) and other applicable data protection regulations.

2. Data We Collect

2.1 Account Information

• Name, email address, organization name
• Authentication credentials (managed by Clerk)
• Billing information (managed by Stripe)

2.2 Usage Data

• Pages visited, features used, session duration
• Browser type, operating system, device information
• IP address and approximate location

2.3 Agent Execution Data

• Agent configurations and prompts
• Input files uploaded for agent processing
• Output files generated by agents
• Execution logs and performance metrics

2.4 Billing Information

• Payment method details (processed and stored by Stripe; we do not store card numbers)
• Credit consumption history
• Invoice records

3. Purposes of Processing

We process your personal data for the following purposes:

• Service delivery: Operating the platform, executing agents, generating outputs
• Billing: Processing payments, managing credit balances, issuing invoices
• Analytics: Understanding usage patterns, improving platform performance (via PostHog)
• Security: Detecting fraud, preventing abuse, maintaining platform integrity
• Communication: Sending transactional emails, service updates, and support responses

4. Legal Basis for Processing (LGPD)

Under the LGPD, we process your personal data based on the following legal bases:

• Consent (Art. 7, I): For analytics cookies and marketing communications
• Contract performance (Art. 7, V): For service delivery, billing, and account management
• Legitimate interest (Art. 7, IX): For security measures, fraud prevention, and platform improvement

5. Data Sharing with Subprocessors

We share data with the following subprocessors to deliver the Service:

| Subprocessor | Purpose | Data Shared | |-------------|---------|-------------| | Anthropic | AI model execution (Claude) | Agent prompts and inputs | | Supabase | Database hosting | Account data, agent configs | | Vercel | Web application hosting | Session data, usage logs | | Railway | API server hosting | API request data | | Upstash | Queue and caching | Job metadata | | AWS | File storage (S3), encryption (KMS) | Uploaded and generated files | | Clerk | Authentication and identity | User credentials, profile data | | Cloudflare | CDN and DDoS protection | Request metadata | | E2B | Sandbox code execution | Agent code execution data | | Stripe | Payment processing | Billing and payment data | | PostHog | Product analytics | Anonymized usage events | | Sentry | Error monitoring | Error traces, performance data |

All subprocessors are bound by data processing agreements and maintain appropriate security measures.

6. Your Rights Under LGPD

As a data subject, you have the following rights under the LGPD:

• Access: Request confirmation of data processing and access to your personal data
• Correction: Request correction of incomplete, inaccurate, or outdated data
• Deletion: Request deletion of unnecessary or excessively processed data
• Portability: Request transfer of your personal data to another service provider
• Information: Request information about subprocessors and data sharing practices
• Withdrawal of consent: Withdraw consent at any time for consent-based processing
• Opposition: Object to processing that violates the LGPD
• Review of automated decisions: Request review of decisions made solely by automated processing

To exercise any of these rights, contact our DPO at the address below.

7. Data Retention

| Data Category | Retention Period | |--------------|-----------------| | Active organization data | Retained while the organization account is active | | Deleted organization data | 30-day purge after deletion request | | Agent execution data | 90-day purge after execution | | Billing records | Retained per tax and legal requirements (minimum 5 years) | | Analytics data | Anonymized and retained indefinitely |

8. Data Security

We implement appropriate technical and organizational measures to protect your personal data, including:

• Encryption at rest and in transit (TLS 1.2+)
• Row-level security (RLS) for data isolation between organizations
• KMS-managed encryption keys for file storage
• Regular security assessments and monitoring
• Access controls and audit logging

9. International Data Transfers

Some of our subprocessors may process data outside Brazil. In such cases, we ensure adequate protection through:

• Standard contractual clauses
• Subprocessor certifications and compliance programs
• Data processing agreements with appropriate safeguards

10. DPO Contact Information

Our Data Protection Officer (DPO) can be contacted at:

• Email: dpo@nuvio.com.br
• Address: São Paulo, SP, Brazil

11. Changes to This Policy

We may update this Privacy Policy from time to time. Material changes will be communicated via email or in-app notification at least 30 days before taking effect.

12. Your California Privacy Rights

If you are a California resident, the California Consumer Privacy Act (CCPA) provides you with specific rights regarding your personal information. This section describes your CCPA rights and explains how to exercise them.

Right to Know

You have the right to request that we disclose the following about our collection and use of your personal information over the past 12 months:

• The categories of personal information we have collected about you
• The categories of sources from which your personal information was collected
• The business or commercial purpose for collecting your personal information
• The categories of third parties with whom we share your personal information
• The specific pieces of personal information we have collected about you

Nuvio collects account information, usage data, agent execution data, and billing information as described in Section 2 above. This information is collected directly from you and through automated means when you use our Service. We use this information for the business purposes described in Section 3.

Right to Delete

You have the right to request that we delete the personal information we have collected from you, subject to certain exceptions. Upon receiving a verified request, we will delete your personal information from our records and direct our subprocessors to delete your personal information, unless an exception applies. We will respond to your request within 45 days of receiving a verifiable consumer request.

Right to Opt-Out

You have the right to opt out of the sale or sharing of your personal information. Nuvio does not sell personal information. We do not sell, rent, or trade your personal data to third parties for monetary or other valuable consideration.

Do Not Sell My Personal Information

Nuvio does not sell your personal information to any third party for any purpose. If our practices change in the future, we will update this policy and provide you with an opt-out mechanism as required by the CCPA.

Non-Discrimination

We will not discriminate against you for exercising any of your CCPA rights. We will not deny you goods or services, charge you different prices, provide you a different level of quality, or suggest that you may receive a different price or level of quality for exercising your rights.

How to Submit a CCPA Request

To exercise any of the rights described above, please submit a verifiable consumer request to us by:

• Email: privacy@usenuv.io

We will acknowledge receipt of your request within 10 business days and provide a substantive response within 45 days. If we require more time (up to an additional 45 days), we will inform you of the reason and extension period in writing.

Only you, or a person authorized to act on your behalf, may make a verifiable consumer request related to your personal information. You may also make a verifiable consumer request on behalf of your minor child.

Versão em Português (pt-BR)

1. Introdução

Esta Política de Privacidade explica como a Nuvio ("nós" ou "nossa") coleta, utiliza, armazena e protege seus dados pessoais quando você utiliza nossa Total Agents Platform (TAP) ("Serviço"). Estamos comprometidos com a proteção da sua privacidade em conformidade com a Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018) e demais regulamentações de proteção de dados aplicáveis.

2. Dados que Coletamos

2.1 Informações de Conta

• Nome, endereço de e-mail, nome da organização
• Credenciais de autenticação (gerenciadas pelo Clerk)
• Informações de faturamento (gerenciadas pelo Stripe)

2.2 Dados de Uso

• Páginas visitadas, funcionalidades utilizadas, duração da sessão
• Tipo de navegador, sistema operacional, informações do dispositivo
• Endereço IP e localização aproximada

2.3 Dados de Execução de Agentes

• Configurações e prompts dos agentes
• Arquivos de entrada enviados para processamento
• Arquivos de saída gerados pelos agentes
• Logs de execução e métricas de desempenho

2.4 Informações de Faturamento

• Detalhes do método de pagamento (processados e armazenados pelo Stripe; não armazenamos números de cartão)
• Histórico de consumo de créditos
• Registros de faturas

3. Finalidades do Tratamento

Tratamos seus dados pessoais para as seguintes finalidades:

• Prestação do serviço: Operação da plataforma, execução de agentes, geração de outputs
• Faturamento: Processamento de pagamentos, gestão de saldo de créditos, emissão de faturas
• Analytics: Compreensão de padrões de uso, melhoria do desempenho da plataforma (via PostHog)
• Segurança: Detecção de fraude, prevenção de abusos, manutenção da integridade da plataforma
• Comunicação: Envio de e-mails transacionais, atualizações do serviço e respostas de suporte

4. Base Legal para o Tratamento (LGPD)

Nos termos da LGPD, tratamos seus dados pessoais com base nas seguintes bases legais:

• Consentimento (Art. 7, I): Para cookies de analytics e comunicações de marketing
• Execução de contrato (Art. 7, V): Para prestação do serviço, faturamento e gestão de conta
• Interesse legítimo (Art. 7, IX): Para medidas de segurança, prevenção de fraude e melhoria da plataforma

5. Compartilhamento de Dados com Suboperadores

Compartilhamos dados com os seguintes suboperadores para prestação do Serviço:

| Suboperador | Finalidade | Dados Compartilhados | |------------|-----------|---------------------| | Anthropic | Execução de modelo de IA (Claude) | Prompts e inputs dos agentes | | Supabase | Hospedagem de banco de dados | Dados de conta, configs de agentes | | Vercel | Hospedagem da aplicação web | Dados de sessão, logs de uso | | Railway | Hospedagem do servidor API | Dados de requisições API | | Upstash | Fila e cache | Metadados de jobs | | AWS | Armazenamento de arquivos (S3), criptografia (KMS) | Arquivos enviados e gerados | | Clerk | Autenticação e identidade | Credenciais de usuário, dados de perfil | | Cloudflare | CDN e proteção DDoS | Metadados de requisições | | E2B | Execução de código em sandbox | Dados de execução de código dos agentes | | Stripe | Processamento de pagamentos | Dados de faturamento e pagamento | | PostHog | Analytics de produto | Eventos de uso anonimizados | | Sentry | Monitoramento de erros | Traces de erro, dados de performance |

Todos os suboperadores estão vinculados por acordos de processamento de dados e mantêm medidas de segurança apropriadas.

6. Seus Direitos sob a LGPD

Como titular de dados, você possui os seguintes direitos sob a LGPD:

• Acesso: Solicitar confirmação do tratamento e acesso aos seus dados pessoais
• Correção: Solicitar correção de dados incompletos, inexatos ou desatualizados
• Eliminação: Solicitar eliminação de dados desnecessários ou tratados em excesso
• Portabilidade: Solicitar transferência dos seus dados pessoais a outro fornecedor de serviço
• Informação: Solicitar informações sobre suboperadores e práticas de compartilhamento de dados
• Revogação do consentimento: Revogar o consentimento a qualquer momento para tratamentos baseados em consentimento
• Oposição: Opor-se ao tratamento que viole a LGPD
• Revisão de decisões automatizadas: Solicitar revisão de decisões tomadas exclusivamente por tratamento automatizado

Para exercer qualquer destes direitos, entre em contato com nosso DPO no endereço abaixo.

7. Retenção de Dados

| Categoria de Dados | Período de Retenção | |-------------------|---------------------| | Dados de organização ativa | Retidos enquanto a conta da organização estiver ativa | | Dados de organização excluída | Eliminação em 30 dias após solicitação de exclusão | | Dados de execução de agentes | Eliminação em 90 dias após a execução | | Registros de faturamento | Retidos conforme requisitos fiscais e legais (mínimo de 5 anos) | | Dados de analytics | Anonimizados e retidos indefinidamente |

8. Segurança dos Dados

Implementamos medidas técnicas e organizacionais apropriadas para proteger seus dados pessoais, incluindo:

• Criptografia em repouso e em trânsito (TLS 1.2+)
• Segurança em nível de linha (RLS) para isolamento de dados entre organizações
• Chaves de criptografia gerenciadas por KMS para armazenamento de arquivos
• Avaliações e monitoramento de segurança regulares
• Controles de acesso e registro de auditoria

9. Transferências Internacionais de Dados

Alguns de nossos suboperadores podem tratar dados fora do Brasil. Nesses casos, garantimos proteção adequada por meio de:

• Cláusulas contratuais padrão
• Certificações e programas de conformidade dos suboperadores
• Acordos de processamento de dados com salvaguardas apropriadas

10. Informações de Contato do DPO

Nosso Encarregado de Proteção de Dados (DPO) pode ser contatado em:

• E-mail: dpo@nuvio.com.br
• Endereço: São Paulo, SP, Brasil

11. Alterações nesta Política

Podemos atualizar esta Política de Privacidade periodicamente. Alterações materiais serão comunicadas por e-mail ou notificação no aplicativo com pelo menos 30 dias de antecedência.

12. Seus Direitos de Privacidade na Califórnia

Se você é residente da Califórnia, a Lei de Privacidade do Consumidor da Califórnia (CCPA) lhe confere direitos específicos em relação às suas informações pessoais. Esta seção descreve seus direitos sob a CCPA e explica como exercê-los.

Direito de Saber

Você tem o direito de solicitar que divulguemos informações sobre a coleta e uso de suas informações pessoais nos últimos 12 meses:

• As categorias de informações pessoais que coletamos sobre você
• As categorias de fontes das quais suas informações pessoais foram coletadas
• A finalidade comercial para a coleta de suas informações pessoais
• As categorias de terceiros com quem compartilhamos suas informações pessoais
• As informações pessoais específicas que coletamos sobre você

A Nuvio coleta informações de conta, dados de uso, dados de execução de agentes e informações de faturamento conforme descrito na Seção 2 acima. Essas informações são coletadas diretamente de você e por meios automatizados quando você usa nosso Serviço. Utilizamos essas informações para os fins comerciais descritos na Seção 3.

Direito de Exclusão

Você tem o direito de solicitar que excluamos as informações pessoais que coletamos de você, sujeito a certas exceções. Ao receber uma solicitação verificada, excluiremos suas informações pessoais de nossos registros e instruiremos nossos suboperadores a excluí-las, salvo se uma exceção se aplicar. Responderemos à sua solicitação em até 45 dias após o recebimento de uma solicitação verificável.

Direito de Recusa

Você tem o direito de recusar a venda ou compartilhamento de suas informações pessoais. A Nuvio não vende informações pessoais. Não vendemos, alugamos ou negociamos seus dados pessoais a terceiros por contraprestação monetária ou de outro valor.

Não Venda Minhas Informações Pessoais

A Nuvio não vende suas informações pessoais a terceiros para qualquer finalidade. Se nossas práticas mudarem no futuro, atualizaremos esta política e forneceremos um mecanismo de recusa conforme exigido pela CCPA.

Não Discriminação

Não discriminaremos você por exercer qualquer um de seus direitos sob a CCPA. Não negaremos bens ou serviços, cobraremos preços diferentes, forneceremos um nível diferente de qualidade, ou sugeriremos que você pode receber um preço ou nível de qualidade diferente por exercer seus direitos.

Como Submeter uma Solicitação CCPA

Para exercer qualquer um dos direitos descritos acima, envie uma solicitação verificável para:

• E-mail: privacy@usenuv.io

Confirmaremos o recebimento da sua solicitação em até 10 dias úteis e forneceremos uma resposta substantiva em até 45 dias. Se precisarmos de mais tempo (até 45 dias adicionais), informaremos o motivo e o período de extensão por escrito.

Somente você, ou uma pessoa autorizada a agir em seu nome, pode fazer uma solicitação verificável relacionada às suas informações pessoais. Você também pode fazer uma solicitação verificável em nome de seu filho menor.