Política de Privacidade

Última atualização: 7 de setembro de 2026

Esta Política de Privacidade explica como Nalgora LTDA, CNPJ 68.570.858/0001-25, com endereço em Av Primeiro de Maio 338, Lages SC, Brasil ("Nalgora", "nós"), trata dados pessoais quando você usa o Nalgora em https://nalgora.com, nossa API e nossos canais de atendimento.

Tratamos dados pessoais conforme a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados — LGPD) e, quando aplicável, conforme as leis de proteção de dados do país onde você está.

1. Dados pessoais que coletamos

1.1 Dados que você fornece

Cadastro: email, senha (armazenada apenas como hash, nunca em texto claro) ou identificador da conta Google ou Apple usada no login, nome de exibição, foto de perfil, idioma e moeda.
Conteúdo do usuário: suas conversas, prompts, mensagens, instruções personalizadas, arquivos enviados (imagens, PDFs e outros documentos) e o conteúdo gerado a partir deles, incluindo imagens.
Pagamento: dados necessários à cobrança, processados pela Stripe. Recebemos apenas identificadores da assinatura, status, moeda e os últimos dígitos/bandeira do meio de pagamento — nunca o número completo do cartão.
Programa de revendedores: nome completo, CPF, dados de contato e informações para pagamento de comissões (por exemplo, chave Pix).
Comunicações: mensagens enviadas por email, WhatsApp ou outros canais de suporte, incluindo anexos.

1.2 Dados coletados automaticamente

Dados de log e conexão: endereço IP, data e hora das requisições, agente do navegador (user agent), sistema operacional, tipo de dispositivo, plataforma e idioma do navegador.
Dados de uso: mensagens enviadas, imagens geradas, remoções de fundo, PDFs criados, armazenamento consumido, chamadas de API, modelos utilizados, erros e tempos de resposta.
Localização aproximada: país e região inferidos do endereço IP, usados para definir a moeda de cobrança, cumprir obrigações legais e detectar acessos anômalos. Não coletamos GPS.
Cookies e tecnologias similares: ver a seção 8.

1.3 Dados recebidos de terceiros

Google: ao entrar com o Google, recebemos do token verificado o seu email, identificador da conta, nome e foto. Se você conectar serviços da sua Conta Google, recebemos também, a cada pedido seu, os dados desses serviços — ver a seção 7.
Apple: ao entrar com a Apple, recebemos do token verificado o seu email (que pode ser um endereço de retransmissão privada da Apple) e o identificador da conta vinculado ao aplicativo.
Stripe: status da assinatura, do pagamento, reembolsos e contestações.
Plataformas de anúncio e parceiros de indicação: identificadores de clique (por exemplo, gclid do Google Ads e fbclid da Meta), parâmetros de campanha (UTM), página de entrada, site de origem e o código do revendedor que indicou você.

2. Como usamos os dados pessoais

Usamos dados pessoais para:

Fornecer o serviço: autenticar você, manter sua sessão, processar prompts, gerar respostas e imagens, armazenar suas conversas e arquivos e aplicar os limites do seu plano.
Cobrar e administrar assinaturas: checkout, renovação, reembolso, emissão de documentos fiscais, cálculo e pagamento de comissões de revendedores.
Dar suporte: responder solicitações e investigar problemas relatados.
Manter a segurança: detectar e prevenir fraude, abuso, criação automatizada de contas, uso indevido de chaves de API, ataques e violações dos Termos de Uso.
Melhorar o serviço: entender quais recursos são usados, medir desempenho e corrigir falhas, sempre que possível com dados agregados ou pseudonimizados.
Comunicar: avisos operacionais, mudanças de plano, alterações contratuais e — quando você autorizar ou quando permitido pela legislação — comunicações de marketing, das quais você pode sair a qualquer momento.
Medir marketing: entender quais campanhas geram cadastros e assinaturas (ver seções 5 e 8).
Cumprir a lei: atender obrigações legais, regulatórias e ordens de autoridades competentes, e exercer direitos em processos.

Não usamos o seu conteúdo (prompts, arquivos, conversas e imagens) para treinar modelos de inteligência artificial, nem os disponibilizamos a terceiros para esse fim.

3. Bases legais

Conforme a LGPD, tratamos dados com base em:

Execução de contrato (art. 7º, V): fornecer o serviço contratado, cobrar e dar suporte.
Cumprimento de obrigação legal ou regulatória (art. 7º, II): guarda de registros de acesso exigida pelo Marco Civil da Internet, obrigações fiscais e contábeis.
Legítimo interesse (art. 7º, IX): segurança da plataforma, prevenção a fraude e abuso, melhoria do serviço e medição de marketing — sempre ponderado com seus direitos e liberdades.
Consentimento (art. 7º, I): cookies não essenciais, comunicações de marketing e outras hipóteses em que o consentimento for pedido. Você pode revogá-lo a qualquer momento.
Exercício regular de direitos (art. 7º, VI): defesa em processos judiciais, administrativos ou arbitrais.

4. Compartilhamento de dados pessoais

Compartilhamos dados pessoais com terceiros nas situações abaixo. Não vendemos dados pessoais.

4.1 Fornecedores e operadores

Empresas que tratam dados por nossa conta e conforme nossas instruções, sob contrato e obrigações de confidencialidade:

Fornecedor	Finalidade	Dados tratados
Google	Login com o Google, e serviços de anúncio e medição quando você chega por uma campanha	Email, identificador de conta, nome e foto; identificadores de clique e eventos de conversão
Apple	Login com a Apple	Email ou endereço de retransmissão privada e identificador de conta vinculado ao aplicativo
Meta (Facebook e Instagram)	Medição e otimização de campanhas publicitárias, inclusive via API de Conversões	Identificadores de clique e cookies de publicidade (`_fbc`, `_fbp`), evento de cadastro e de compra, email de forma criptografada (hash), IP e agente do navegador
Stripe	Processamento de pagamentos, assinaturas e antifraude	Email, identificadores de cobrança, dados do meio de pagamento (coletados diretamente pela Stripe), país e moeda
Cloudflare	Proteção contra ataques, entrega de conteúdo e verificação anti-robô (Turnstile)	Endereço IP, dados da requisição e sinais de verificação
Provedores de infraestrutura, hospedagem e envio de email	Operar servidores, bancos de dados e enviar códigos de acesso e avisos	Dados de conta, conteúdo armazenado e logs

Fornecedores de infraestrutura e de modelos processam conteúdo apenas para produzir a resposta solicitada, sem autorização para usá-lo em treinamento ou para finalidades próprias.

Os serviços da sua Conta Google que você conecta por conta própria — Agenda, Gmail, Drive, Planilhas e Contatos — são tratados na seção 7.

4.2 Publicidade e medição

Quando você chega ao serviço por um anúncio ou link de campanha, guardamos os identificadores de clique e enviamos a plataformas como Google e Meta eventos indicando que houve cadastro ou compra, para medir o resultado do anúncio. Nessas comunicações, dados diretamente identificáveis são enviados de forma criptografada (hash) sempre que a plataforma oferece esse recurso. Para essas finalidades, Google e Meta podem atuar como controladores independentes, conforme suas próprias políticas de privacidade.

4.3 Revendedores e parceiros

Se você chegou por indicação de um revendedor, informamos a ele apenas o necessário para calcular a comissão: um identificador do cadastro, a data, o plano contratado e o status do pagamento. Revendedores não têm acesso às suas conversas, arquivos ou senha.

4.4 Autoridades e obrigações legais

Podemos divulgar dados a autoridades públicas, judiciais ou regulatórias quando houver requisição legal válida, ou quando necessário para apurar fraude, proteger direitos, a segurança de pessoas ou a integridade do serviço.

4.5 Reorganização societária

Em fusão, aquisição, reestruturação ou venda de ativos, dados podem ser transferidos ao sucessor, mantido o mesmo nível de proteção e mediante comunicação prévia quando exigido.

5. Publicidade e medição de campanhas

Guardamos, por até 90 dias antes do cadastro, os parâmetros da campanha que trouxe você (UTMs, identificadores de clique, página de entrada e site de origem), para atribuir corretamente o cadastro e pagar comissões. Não vinculamos essas informações ao conteúdo das suas conversas.

Você pode limitar a publicidade personalizada nas configurações da sua conta Google e da sua conta Meta, e bloquear cookies não essenciais no seu navegador.

6. Inteligência artificial: como seu conteúdo é processado

Suas mensagens e arquivos são enviados aos modelos apenas para produzir a resposta pedida.
Geramos automaticamente título, legenda e resumo das conversas para organizar sua biblioteca.
Podemos aplicar verificações automatizadas de segurança sobre entradas e saídas para bloquear conteúdo proibido pelos Termos de Uso. Uma suspeita relevante pode ser revista por uma pessoa da nossa equipe.
Seu conteúdo não é usado para treinar modelos.

7. Serviços da sua Conta Google que você conecta

O Nalgora permite conectar serviços da sua Conta Google — Google Agenda, Gmail, Google Drive, Google Planilhas e Google Contatos — para que a assistente possa usá-los dentro da conversa, a seu pedido. Nada disso é obrigatório e nada vem conectado por padrão. Cada serviço é autorizado individualmente por você, por OAuth 2.0, na tela de consentimento do próprio Google, que mostra as permissões pedidas antes de qualquer acesso.

7.1 O que acessamos e para quê

Pedimos apenas o acesso necessário à função descrita:

Serviço	Dados acessados	Finalidade
Google Agenda	Eventos e disponibilidade; criação e alteração de eventos	Responder sobre a sua agenda, encontrar horários livres e marcar, remarcar ou cancelar compromissos que você pedir
Gmail	Mensagens da sua caixa de entrada; criação de rascunhos	Localizar e resumir emails e redigir respostas em seu nome. O envio efetivo só ocorre se você habilitar essa permissão separadamente
Google Drive	Somente os arquivos que você seleciona no seletor do Google ou que o Nalgora cria (escopo drive.file)	Ler o arquivo indicado para responder sobre ele e salvar no Drive arquivos gerados na conversa
Google Planilhas	As planilhas que você indicar, para leitura e escrita	Ler intervalos, acrescentar linhas, atualizar células e criar planilhas a seu pedido
Google Contatos	Nome e email dos seus contatos, somente leitura	Localizar o endereço da pessoa certa quando você pede para convidar alguém ou escrever para ela

7.2 Como esses dados são tratados

Leitura ao vivo, sem cópia. Não replicamos a sua agenda, os seus emails, os seus contatos nem os seus arquivos em nosso banco de dados. Cada ferramenta consulta o Google no momento do seu pedido, e o resultado é usado apenas para compor aquela resposta — permanecendo na conversa, como qualquer outra mensagem sua.
Credenciais. Guardamos apenas os tokens de acesso e de atualização emitidos pelo Google, cifrados em repouso, e o registro de quais serviços você autorizou.
Registro de uso. Guardamos qual ferramenta foi usada, quando, quanto demorou e se teve sucesso — sem o conteúdo lido ou escrito. Nem o painel administrativo nem o registro de diagnóstico têm acesso a esse conteúdo.
Sem treinamento e sem publicidade. Dados obtidos das APIs do Google não são usados para treinar modelos de inteligência artificial, nem vendidos, nem compartilhados com terceiros para publicidade ou para qualquer finalidade alheia à sua solicitação.
Como o acesso termina. Você pode desconectar um serviço a qualquer momento em Configurações → Conexões, ou revogar o acesso em myaccount.google.com/permissions. A desconexão revoga o acesso junto ao Google e apaga imediatamente os tokens armazenados.

7.3 Uso Limitado

O uso e a transferência, pelo Nalgora, de informações recebidas das APIs do Google obedecem à Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado.

8. Cookies e armazenamento local

Usamos:

Essenciais: manter sua sessão, lembrar preferências (tema, idioma, densidade) e permitir a verificação anti-robô do Cloudflare Turnstile. Sem eles o serviço não funciona.
Analíticos e de marketing: entender uso agregado e medir campanhas, incluindo os cookies _fbp e _fbc da Meta quando presentes no seu navegador.

Você pode bloquear ou apagar cookies nas configurações do navegador; recursos essenciais podem parar de funcionar.

9. Retenção

Dado	Prazo
Conta e cadastro	Enquanto a conta existir
Conversas e mensagens	Até você excluí-las, ou pelo prazo de retenção do seu plano
Arquivos enviados e imagens geradas	Conforme o prazo de retenção do plano; depois são apagados automaticamente
Registros de acesso (logs)	6 meses, conforme o Marco Civil da Internet, ou mais quando exigido por autoridade
Dados fiscais e de pagamento	5 anos, conforme a legislação fiscal
Atribuição de campanha	90 dias antes do cadastro
Dados de revendedor e comissões	Enquanto durar a relação e pelos prazos legais aplicáveis

Encerrada a conta, apagamos ou anonimizamos os dados nos prazos acima, salvo o que a lei exigir manter.

10. Segurança

Adotamos medidas técnicas e administrativas compatíveis com o risco, entre elas: criptografia em trânsito (HTTPS), senhas armazenadas com argon2id, sessões revogáveis no servidor, verificação em duas etapas no painel administrativo, controle de acesso por função, limitação de requisições, isolamento de recursos por usuário e registro de eventos de segurança.

Nenhum sistema é totalmente seguro. Em caso de incidente com risco relevante, comunicaremos você e a Autoridade Nacional de Proteção de Dados (ANPD) nos prazos legais.

11. Transferência internacional

Nossos fornecedores podem estar fora do Brasil, inclusive nos Estados Unidos e na União Europeia. Quando transferimos dados para outro país, adotamos as salvaguardas exigidas pela LGPD, como cláusulas contratuais padrão e verificação do nível de proteção do país de destino.

12. Seus direitos

Você pode, a qualquer momento:

confirmar a existência de tratamento e acessar seus dados;
corrigir dados incompletos, inexatos ou desatualizados;
solicitar anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
solicitar a portabilidade a outro fornecedor;
eliminar dados tratados com base no consentimento;
obter informação sobre com quem compartilhamos seus dados;
revogar o consentimento;
opor-se a tratamento fundado em legítimo interesse;
peticionar perante a ANPD.

Exercite seus direitos pelo email contato@nalgora.com ou pelo WhatsApp +55 47 99678-6035. Responderemos em até 15 dias. Podemos pedir informações adicionais para confirmar sua identidade antes de atender ao pedido — essa verificação protege você.

Boa parte dessas ações também está disponível diretamente no aplicativo: você pode excluir conversas e arquivos, alterar seus dados de perfil e encerrar sua conta nas configurações.

13. Crianças e adolescentes

O serviço não se destina a menores de 13 anos e não coletamos dados de forma consciente dessa faixa etária. Entre 13 e 17 anos, o uso depende de consentimento e supervisão de um dos pais ou responsável legal, e o tratamento observa o melhor interesse do adolescente. Se identificarmos cadastro irregular, a conta é encerrada e os dados apagados. Responsáveis podem solicitar exclusão pelo email contato@nalgora.com.

14. Alterações desta Política

Podemos atualizar esta Política. Mudanças relevantes serão comunicadas por email ou dentro da plataforma, com antecedência razoável. A data no topo indica a última atualização.

15. Contato e Encarregado de Dados

Para exercer direitos, tirar dúvidas ou falar com o Encarregado pelo Tratamento de Dados Pessoais (DPO):

Razão social: Nalgora LTDA
CNPJ: 68.570.858/0001-25
Endereço: Av Primeiro de Maio 338, Lages SC, Brasil
Email: contato@nalgora.com
WhatsApp: +55 47 99678-6035

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd.