Política de Privacidade — Nodu

1. Quem somos

O Nodu (noduarq.com) é operado pela PLANI TECNOLOGIA LTDA, CNPJ 68.877.721/0001-18, com sede na Rua Visconde do Rio Branco, 1488, conjunto 909, 9º andar, Centro, Curitiba/PR, CEP 80420-210 ("Nodu" ou "nós"). Para qualquer assunto sobre dados pessoais, inclusive como canal do encarregado pelo tratamento de dados (DPO), fale conosco pelo e-mail contato@noduarq.com.

2. A quem esta política se aplica

Esta política vale para visitantes do site, usuários da plataforma Nodu e usuários do Plugin Nodu para SketchUp.

Quando um arquiteto ou designer cadastra no Nodu dados dos seus próprios clientes, leads ou profissionais parceiros (como nome, contato, briefing e arquivos de projeto), ou quando esses clientes usam o portal do cliente, o profissional é o controlador desses dados e o Nodu atua como operador, tratando-os apenas para prestar o serviço contratado. Pedidos desses titulares devem ser feitos primeiro ao profissional responsável; o Nodu colabora quando necessário.

3. Dados que coletamos

• Cadastro e conta: nome, e-mail, WhatsApp e senha (armazenada de forma protegida), ou dados básicos da sua conta Google ou Apple, se você entrar por elas.
• Pagamentos: as assinaturas dos planos são processadas pela Stripe; as compras de créditos e do Plugin, pelo Asaas. Não armazenamos o número do seu cartão. Para as compras pelo Asaas, pedimos uma única vez seu nome completo e CPF, exigidos para emitir a cobrança e os documentos fiscais; esses dados ficam guardados com acesso restrito ao nosso servidor. Recebemos da Stripe e do Asaas informações como plano ou produto, valor, forma e status do pagamento e e-mail de cobrança.
• Uso da plataforma: o conteúdo que você insere (projetos, propostas, contratos, briefings, moodboards, imagens, arquivos, dados financeiros e agenda do escritório) e o registro de uso de créditos e funcionalidades.
• Plugin SketchUp: imagens e dados do modelo enviados para processamento quando você usa recursos como render, detalhamento e objetos 3D.
• Áudios: gravações de reuniões e áudios enviados por você ou pelo seu cliente, com transcrição por inteligência artificial. Cabe ao arquiteto informar as pessoas envolvidas e obter o consentimento necessário antes de gravar ou enviar.
• Contratos eletrônicos: conteúdo do contrato, código de verificação, endereço IP, data e horário da assinatura.
• Notas fiscais: quando você usa a emissão de notas, os dados fiscais do seu escritório e dos tomadores de serviço que você informar.
• Dados técnicos: endereço IP, navegador, dispositivo, páginas acessadas, datas e horários, incluindo os registros de acesso que a lei nos obriga a guardar.
• Cookies e tecnologias semelhantes: veja a seção 7.

4. Para que usamos seus dados

• Criar e manter sua conta, prestar os serviços, processar pagamentos e liberar créditos e licenças — execução de contrato.
• Enviar e-mails de serviço, como confirmações, cobranças e avisos — execução de contrato.
• Gerar imagens, textos, detalhamentos e respostas com inteligência artificial a partir do conteúdo que você envia — execução de contrato.
• Cumprir obrigações legais e fiscais e guardar registros de acesso — cumprimento de obrigação legal.
• Garantir a segurança, prevenir fraudes, prestar suporte e melhorar o produto — legítimo interesse.
• Medir campanhas e exibir anúncios mais relevantes no Google e na Meta — consentimento, dado por você no aviso de cookies.
• Defender direitos em processos judiciais ou administrativos — exercício regular de direitos.

5. Com quem compartilhamos

Não vendemos dados pessoais. Compartilhamos apenas o necessário com:

• Stripe — processamento das assinaturas dos planos.
• Asaas — processamento das compras de créditos e do Plugin, por Pix e cartão; recebe nome completo, CPF, e-mail e dados da compra.
• Supabase — banco de dados, autenticação e armazenamento de arquivos.
• Lovable — hospedagem e infraestrutura da aplicação.
• Provedor de e-mail — envio de avisos e mensagens necessários ao serviço.
• Google/Gemini — processamento por inteligência artificial quando você solicita gerações e transcrições.
• SerpApi e Firecrawl — pesquisa de produtos e informações para listas de mobiliário, quando você usa esse recurso.
• Meta/WhatsApp — comunicações e integrações quando estiverem ativas e forem usadas por você.
• Provedores de inteligência artificial — processamento das gerações que você solicita (imagens, textos, detalhamento e objetos 3D, incluindo a Tripo).
• PlugNotas — emissão de notas fiscais de serviço, quando você usa esse recurso.
• Google (Tag Manager e Google Ads) e Meta (Pixel e Conversions API) — medição de campanhas, somente com o seu consentimento. Quando você faz uma compra depois de aceitar os cookies, enviamos à Meta o valor e a moeda da compra, junto com identificadores protegidos: seu e-mail e um identificador interno, ambos criptografados (hash), além de identificadores do navegador (cookie da Meta, endereço IP e tipo de navegador).
• Autoridades públicas — quando exigido por lei ou por ordem judicial.

6. Transferência internacional

Alguns desses fornecedores armazenam ou processam dados fora do Brasil, por exemplo nos Estados Unidos. Nesses casos, a transferência ocorre nas hipóteses permitidas pela Lei Geral de Proteção de Dados (art. 33), como a necessidade para executar o contrato com você e a adoção de cláusulas contratuais de proteção.

7. Cookies

• Essenciais (sempre ativos): mantêm sua sessão de login, guardam sua escolha sobre cookies e lembram para onde você ia antes de entrar. Sem eles, o site não funciona.
• Medição e publicidade (somente se você clicar em "Aceitar"): Google Tag Manager, Google Ads (por exemplo, _gcl_au) e Meta Pixel (por exemplo, _fbp e _fbc). Nada disso é carregado antes do seu aceite. Se você recusar, esses cookies não são usados.

Você pode mudar sua escolha a qualquer momento pelo link "Preferências de cookies", no rodapé do site.

8. Por quanto tempo guardamos

• Conta e conteúdo da plataforma: enquanto sua conta estiver ativa. Quando disponível, Perfil → Excluir minha conta oferece exportação e confirmação pelo e-mail. Cancelamos assinatura Stripe e cobranças futuras Asaas imediatamente e bloqueamos a conta por sete dias para desistir pelo login ou link do e-mail. No oitavo dia a rotina apaga dados, arquivos, fotos, site, conexões (após revogação) e login. Falhas suspendem a conclusão e são retomadas com segurança. Desistir não reativa a assinatura. Membro só sai da equipe; pedido do dono bloqueia o acesso da equipe. Sem o botão, solicite pelo e-mail contato@noduarq.com.
• Áudio de reuniões e do cliente: apagado em até 90 dias; a transcrição e a ata permanecem na conta até serem apagadas.
• Registros de acesso (IP, data e hora): 6 meses, conforme o Marco Civil da Internet.
• Dados fiscais e de pagamento: 5 anos após a exclusão, com nome, e-mail, telefone e CPF substituídos por um identificador, em área restrita.
• Contratos assinados: PDF original e certificado ficam por 5 anos após a exclusão para prova jurídica das duas partes, em área restrita sem acesso pelo aplicativo; o original conserva os dados necessários à prova, portanto não é anônimo.
• Comprovante da exclusão: mantemos identificador não identificável e datas do pedido, desistência e conclusão. Registros de acesso são eliminados após 6 meses desde o acesso; os demais registros legais ao final de 5 anos.
• Dados de campanhas: pelos prazos definidos pelo Google e pela Meta em suas próprias políticas.
• Lista de espera: até você pedir a remoção ou até o encerramento da lista.

9. Seus direitos

Pela Lei Geral de Proteção de Dados (art. 18), você pode pedir: confirmação de que tratamos seus dados; acesso a eles; correção de dados incompletos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a lei; portabilidade; eliminação dos dados tratados com base no seu consentimento; informação sobre com quem compartilhamos; informação sobre a possibilidade de não consentir; revogação do consentimento; e oposição a tratamentos que você considere irregulares.

Faça seu pedido pelo e-mail contato@noduarq.com. Responderemos em até 15 dias. Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

10. Segurança

Adotamos medidas técnicas e administrativas para proteger seus dados, como conexão criptografada (HTTPS), controle de acesso, senhas protegidas e processamento de pagamentos pela Stripe e pelo Asaas. Nenhum sistema é totalmente imune a falhas; se ocorrer um incidente de segurança relevante, comunicaremos os titulares afetados e a ANPD, conforme a lei.

11. Dados de usuários do Google

Usamos estes serviços do Google, cada um só para a finalidade indicada: login com Google (entrar no Nodu); Google Agenda (criar, alterar e apagar somente os eventos que o próprio Nodu criou, quando o usuário conectar); Google Drive (somente arquivos criados pelo Nodu ou escolhidos pelo usuário no seletor do Google); Google Ads (ler e gerenciar as campanhas da conta que o próprio usuário conectar); Gemini (processar as gerações que o usuário pede).

O uso e a transferência, para qualquer outro aplicativo, de informações recebidas das APIs do Google pelo Nodu obedecem à Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado.

Os dados recebidos do Google não são vendidos, não são usados para publicidade e não são usados para treinar modelos de inteligência artificial. Pessoas só acessam esses dados com o consentimento do usuário, por motivo de segurança (como investigar abuso) ou por obrigação legal.

Dados do Google (Google Agenda, Google Meet e Google Drive)

Quais dados: quando você conecta o Google Agenda, o Nodu recebe o e-mail da sua conta Google e acesso aos eventos que o próprio Nodu cria na sua agenda (escopos openid, userinfo.email e calendar.events). O Nodu não lê, não altera e não apaga os outros eventos da sua agenda.

Para quê: mostrar qual conta está conectada e criar, atualizar ou remover na sua agenda os compromissos e visitas que você marca no Nodu, com link do Google Meet nas reuniões online e convite ao cliente quando você escolher.

Como guardamos: o token de acesso fica criptografado nos nossos servidores e só é usado para essas ações. Guardamos no compromisso o identificador do evento e o link do Meet.

O que não fazemos: esses dados não são vendidos, não são usados para anúncios e não são usados para treinar inteligência artificial.

Como desconectar e apagar: em Perfil → Integrações (ou na Agenda), clique em Desconectar. O Nodu revoga o acesso no Google e apaga o token guardado na hora. Você também pode remover o acesso em myaccount.google.com/permissions. Para apagar os demais dados, escreva para contato@noduarq.com.

Google Drive: quando o dono do escritório conecta o Google Drive, o Nodu usa só o escopo drive.file. Com ele, o Nodu acessa apenas os arquivos e pastas que ele mesmo cria no seu Drive (a pasta "Nodu" e as pastas dos projetos, com renders, contratos e PDFs) e os arquivos que você escolher no seletor do Google para trazer a um projeto. O Nodu não vê nem lista o restante do seu Drive. Ao desconectar, o acesso é revogado e o token apagado; os arquivos já enviados continuam no seu Drive, sob seu controle.

O uso e a transferência de informações recebidas das APIs do Google pelo Nodu seguem a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado.

A IA do Nodu gera somente imagens de ambientes de arquitetura e interiores a partir dos projetos do profissional. O Nodu não gera imagens íntimas, sexuais ou de pessoas reais e bloqueia pedidos desse tipo.

Dados da Meta (WhatsApp, Instagram e anúncios)

Quando o escritório conecta ao Nodu o próprio WhatsApp Business, Instagram ou conta de anúncios da Meta, recebemos apenas o necessário para o recurso funcionar: identificação da conta comercial e do número (WABA e número de telefone), nome verificado, um token de acesso da empresa (guardado criptografado), mensagens trocadas com os clientes do escritório, status de entrega e status dos modelos de mensagem, e métricas de publicações e anúncios.

• Para quê: enviar avisos do projeto aos clientes do escritório, receber as respostas no CRM do próprio escritório, gerir modelos de mensagem e mostrar resultados de publicações e anúncios.
• Esses dados não são vendidos, não são compartilhados para publicidade de terceiros e não são usados para treinar modelos de inteligência artificial.
• Como desconectar: em Perfil, no cartão do WhatsApp do escritório, toque em "Desconectar". Também é possível remover o Nodu em Configurações da empresa da Meta → Integrações.
• Instagram: guardamos o @usuário, a foto de perfil, o identificador da conta profissional e o token (criptografado, renovado a cada 60 dias). Usamos para publicar posts e Reels quando o escritório clica em publicar e para mostrar e responder mensagens do direct no CRM do escritório. Para desconectar: Perfil → Instagram do escritório → "Desconectar" (o token é apagado), ou no Instagram em Configurações → Apps e sites.
• Como pedir exclusão: veja a página Exclusão de dados ou escreva para contato@noduarq.com. Atendemos em até 15 dias.

Meta data (WhatsApp, Instagram and ads) — English

When a firm connects its own WhatsApp Business, Instagram or Meta ad account to Nodu, we only receive what the feature needs: business account and phone number IDs, verified name, a business access token (stored encrypted), messages exchanged with the firm's clients, delivery and template statuses, and post and ad metrics.

• Purpose: send project notifications to the firm's clients, receive replies in that firm's CRM, manage message templates and show post and ad results.
• This data is never sold, never shared for third-party advertising and never used to train artificial intelligence models.
• Instagram: we store the @username, profile picture, professional account ID and the access token (encrypted, renewed every 60 days). We use them to publish posts and Reels when the firm clicks publish and to show and reply to direct messages in the firm's CRM. To disconnect: Profile → Office Instagram → "Disconnect" (the token is deleted), or in Instagram under Settings → Apps and websites.
• How to disconnect: in Profile, on the business WhatsApp card, tap "Disconnect". You can also remove Nodu in Meta Business Settings → Integrations.
• How to request deletion: see the Data deletion page or email contato@noduarq.com. We respond within 15 days.

12. Menores de idade

O Nodu é destinado a profissionais maiores de 18 anos. Não coletamos intencionalmente dados de menores de idade.

13. Alterações desta política

Podemos atualizar esta política. A data da última atualização fica no topo da página, e mudanças relevantes serão avisadas por e-mail ou no próprio site.

14. Contato

PLANI TECNOLOGIA LTDA — CNPJ 68.877.721/0001-18
Rua Visconde do Rio Branco, 1488, conjunto 909, 9º andar, Centro, Curitiba/PR, CEP 80420-210
E-mail: contato@noduarq.com