1. Introdução e identificação

A NexTool Soluções em TI LTDA, inscrita no CNPJ sob o nº 38.239.534/0001-48 ("NexTool", "NexTool Solutions", "nós" ou "nosso"), responsável pelo domínio nextoolsolutions.com e pelos serviços a ele associados, respeita a privacidade dos titulares de dados e está comprometida com a proteção dos dados pessoais que trata, em conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais - LGPD).

Esta Política de Privacidade descreve como tratamos dados pessoais nas três frentes do nosso ecossistema:

• Site institucional (nextoolsolutions.com): páginas informativas, blog, formulário de contato e newsletter;
• Portal de clientes (app.nextoolsolutions.com): cadastro, autenticação, gestão de conta, contratação, pagamento e licenciamento de módulos;
• Plugin NexTool para GLPI e seus módulos: software instalado na infraestrutura do cliente, incluindo funcionalidades de inteligência artificial, mensageria e integrações com serviços externos.

Ao utilizar qualquer dessas frentes, você declara estar ciente desta Política. Recomendamos a leitura integral. Em caso de dúvida, utilize o canal do Encarregado indicado na seção 14.

2. Papéis no tratamento: Controlador e Operador

A LGPD distingue o Controlador (a quem competem as decisões sobre o tratamento - Art. 5º, VI) do Operador (quem trata dados em nome do Controlador - Art. 5º, VII). No nosso ecossistema, a NexTool atua nos dois papéis, dependendo da frente:

Frente	Papel da NexTool	Controlador dos dados
Site institucional	Controladora	NexTool
Portal de clientes (conta, pagamento, licenciamento)	Controladora	NexTool
Plugin e módulos rodando dentro do GLPI do cliente	Operadora	O cliente (organização que opera a instância GLPI)

O que isso significa na prática: quando você navega no nosso site ou cria uma conta no Portal, a NexTool decide as finalidades e os meios do tratamento e é a sua interlocutora direta. Já os dados que vivem dentro da instância GLPI do cliente (usuários, chamados, anexos) pertencem ao cliente, que é o Controlador; nesses casos a NexTool atua como Operadora, tratando os dados por conta e ordem do cliente, conforme contrato e instruções. Se você é colaborador de uma organização cliente e deseja exercer direitos sobre dados tratados dentro do GLPI dela, sua solicitação deve ser dirigida primeiro à sua organização (Controladora); a NexTool dará suporte na qualidade de Operadora.

3. Dados que tratamos, por frente

3.1 Site institucional (NexTool como Controladora)

• Dados do formulário de contato: nome, e-mail, telefone, assunto e conteúdo da mensagem (texto livre, que pode conter outros dados que você decida informar).
• Newsletter: endereço de e-mail e data da inscrição, quando você opta por recebê-la.
• Dados técnicos de navegação: endereço IP, User-Agent (navegador e sistema operacional), páginas acessadas, data e hora, status e tempo de resposta.
• Métrica de audiência do blog: identificadores de visualização para contagem de acessos por publicação. Quando utilizamos o endereço IP para essa finalidade, ele é anonimizado/tratado de forma a não permitir a identificação direta do visitante.
• Comentários do blog: quando você comenta via o sistema de comentários integrado (GitHub Discussions/giscus), seu login, avatar e o conteúdo do comentário são tratados diretamente pela plataforma GitHub.
• Dados de medição e publicidade: identificadores e cookies de medição (Google Analytics) e de publicidade (Google AdSense), carregados somente após o seu consentimento (ver seção 6).

3.2 Portal de clientes (NexTool como Controladora)

• Dados de conta e contato: nome, e-mail, telefone (e indicação se é WhatsApp), empresa, cargo e foto de perfil (quando enviada).
• Dados fiscais: CPF e/ou CNPJ e, quando aplicável, data de nascimento, solicitados no momento da contratação/checkout para emissão de cobrança e cumprimento de obrigações fiscais.
• Credenciais e segredos de autenticação: senha (armazenada de forma cifrada), tokens de "lembrar-me" e segredos de autenticação em dois fatores (2FA/MFA). Esses dados são mantidos cifrados e não são acessíveis em texto claro pela nossa equipe.
• Identidade de login social (quando você usa SSO): ao entrar com Google, GitHub, Microsoft ou LinkedIn, recebemos do provedor seu nome, e-mail e um identificador da conta.
• Dados de pagamento: o processamento do cartão é feito pela Stripe. Não armazenamos o número completo do cartão; mantemos apenas um espelho mínimo (identificador do cliente na Stripe, bandeira e os quatro últimos dígitos) e os dados da assinatura.
• Dados de licenciamento: chave e situação da licença, plano, módulos habilitados, vínculo entre a sua conta e o ambiente GLPI ao qual a licença se aplica, e registros de transações.
• Dados de sessão, dispositivo e auditoria: endereço IP, User-Agent, registros de acesso e trilha de auditoria das ações relevantes (ex.: login, vínculo de ambiente, alteração de licença).
• Preferências e comunicação: preferências de exibição e opção (opt-in) de recebimento de comunicados e novidades.

3.3 Plugin NexTool e módulos (NexTool como Operadora)

O plugin NexTool e seus módulos são executados dentro da instância GLPI do cliente, sobre os dados que pertencem ao cliente (usuários, chamados, anexos). Nesses tratamentos a NexTool atua como Operadora. As categorias de dados envolvidas dependem dos módulos ativados pelo cliente e incluem:

• Identificação de usuários do GLPI (nome, e-mail, login) de técnicos, atendentes e solicitantes;
• Conteúdo de chamados ITIL (descrições, acompanhamentos, tarefas, soluções e anexos), que pode conter dados pessoais de terceiros informados pelo solicitante;
• Identidade corporativa via Microsoft Teams/Azure AD (nome, e-mail corporativo, identificador da conta e tenant) e conteúdo das mensagens, quando o cliente ativa o assistente de atendimento por Teams;
• Telefone/WhatsApp, identificador de Telegram e conteúdo das mensagens, quando ativados os módulos de mensageria;
• Geolocalização (coordenadas), capturada apenas mediante autorização explícita do usuário no navegador, quando ativado o módulo de geolocalização;
• Dados de signatário (nome, e-mail, CPF, documento e telefone para validação) quando ativado o módulo de assinatura digital;
• Dados de requisitante/aprovador em integrações de compra B2B;
• Dados de tickets sincronizados entre instâncias GLPI, quando ativada a sincronização.

Além disso, para viabilizar o licenciamento (relação em que a NexTool é Controladora), o plugin comunica-se com a nossa infraestrutura (ContainerAPI) enviando dados técnicos da instalação, como um identificador do ambiente, o domínio da instância e contadores de validação de licença. Esses dados destinam-se ao controle de licença, distribuição de módulos e prevenção de fraude.

4. Finalidades do tratamento

Tratamos dados pessoais para as seguintes finalidades, conforme a frente:

• Site: responder solicitações de contato (com abertura de chamado no nosso GLPI), conduzir diligências pré-contratuais e comerciais, enviar newsletter mediante consentimento, garantir segurança e prevenir fraude/abuso, medir audiência (mediante consentimento) e viabilizar comentários no blog.
• Portal: criar e manter a conta, autenticar o acesso (incluindo 2FA e login social), processar a contratação e o pagamento, emitir e gerir licenças, vincular a conta ao ambiente GLPI, prestar suporte, cumprir obrigações fiscais e legais, prevenir fraude e manter trilha de auditoria.
• Plugin/módulos: executar as funcionalidades contratadas pelo cliente (assistência por IA, mensageria, assinatura digital, sincronização, geolocalização etc.) por conta e ordem do cliente Controlador, e operar o controle de licença.

5. Bases legais

O tratamento fundamenta-se nas bases legais da LGPD aplicáveis a cada finalidade:

• Execução de contrato e diligências pré-contratuais (Art. 7º, V): conta, autenticação, contratação, pagamento, licenciamento e vínculo de ambiente; atendimento ao contato comercial; execução dos módulos por conta do cliente.
• Cumprimento de obrigação legal ou regulatória (Art. 7º, II): dados fiscais (CPF/CNPJ, transações) e guarda de registros de acesso a aplicações, nos termos do Marco Civil da Internet (Lei nº 12.965/2014).
• Legítimo interesse (Art. 7º, IX): segurança da informação, prevenção a fraude, auditoria, telemetria de uso e métricas, sempre mediante avaliação de proporcionalidade e respeito às suas expectativas e direitos.
• Consentimento (Art. 7º, I, e Art. 8º): newsletter e comunicações de marketing, cookies de medição e publicidade, captura de geolocalização e tratamentos específicos que o exijam. O consentimento pode ser revogado a qualquer momento.

Quando a NexTool atua como Operadora (plugin/módulos), a base legal é definida pelo cliente Controlador; a NexTool trata os dados conforme as instruções e o contrato.

6. Cookies e tecnologias de rastreamento

Utilizamos cookies e tecnologias similares classificados por categoria. Cookies não essenciais (medição e publicidade) são carregados somente após o seu consentimento, manifestado no banner de consentimento, que permite aceitar ou recusar por categoria e alterar a escolha a qualquer momento.

Site institucional:

Cookie/tecnologia	Categoria	Finalidade
Preferência de tema (localStorage)	Necessário	Lembrar o modo claro/escuro; não sai do navegador
cookie_consent	Necessário	Registrar suas preferências de consentimento
Cloudflare Turnstile	Funcional	CAPTCHA do formulário de contato
Cloudflare (CDN/segurança)	Necessário	Distribuição e proteção do site
giscus (GitHub)	Funcional	Comentários do blog (login gerido pelo GitHub)
Google Analytics (_ga, _ga_*)	Medição	Medição de audiência - carregado só após consentimento
Google AdSense (__gads, __gpi etc.)	Publicidade	Anúncios e perfilamento - carregado só após consentimento

Portal de clientes: utiliza cookies estritamente necessários ao funcionamento (sessão autenticada, proteção CSRF, "lembrar-me" e estado do fluxo de login social). Por serem essenciais à prestação do serviço, dispensam consentimento, mas estão aqui listados por transparência.

7. Tratamento automatizado e Inteligência Artificial

Alguns módulos do plugin oferecem funcionalidades baseadas em inteligência artificial (por exemplo, resumo de chamados, sugestão de resposta, análise de sentimento, busca semântica e tradução) e assistentes de atendimento automatizado (chatbots em Teams, WhatsApp e Telegram).

• Esses recursos processam o conteúdo dos chamados para gerar a assistência solicitada, mas não tomam decisões automatizadas com efeitos jurídicos ou que afetem significativamente o titular (Art. 20 da LGPD); o atendimento é conduzido por equipe humana, e você pode solicitar revisão humana.
• Em vários módulos adota-se o modelo BYOK ("traga sua própria chave"): o provedor de IA é contratado e configurado pelo próprio cliente, que determina para qual serviço o conteúdo é enviado.
• Quando esses recursos enviam dados a provedores externos, aplicam-se as seções 8 (sub-operadores) e 9 (transferência internacional).

8. Compartilhamento, operadores e sub-operadores

Não vendemos seus dados pessoais. Compartilhamos dados apenas com operadores e parceiros necessários à prestação dos serviços, nos limites das finalidades desta Política. Os principais são:

Parceiro	Função	Frente
Cloudflare	CDN, segurança, CAPTCHA	Site
Google Analytics	Medição de audiência (após consentimento)	Site
Google AdSense	Publicidade (após consentimento)	Site
GitHub (giscus)	Comentários do blog	Site
Google / GitHub / Microsoft / LinkedIn	Login social (SSO)	Portal
Stripe	Processamento de pagamento e assinaturas	Portal
Brevo	Envio de e-mails transacionais (verificação, redefinição de senha)	Portal
Hostinger	Hospedagem de infraestrutura	Portal/infra
OpenAI, Google, Anthropic	Provedores de IA (resumo, resposta, tradução, embeddings)	Módulos
NexSuite (api-chat)	Orquestração do assistente de chat	Módulos
Microsoft 365/Teams	Canal e identidade do assistente por Teams	Módulos
WhatsApp/Meta, Telegram	Mensageria	Módulos
DeepL, Google Translate	Tradução	Módulos
Mercado Eletrônico	Requisições de compra B2B	Módulos
Autentique	Assinatura digital	Módulos
Provedores de geocodificação	Conversão de coordenadas em endereço	Módulos

A lista detalhada e atualizada de operadores pode ser solicitada ao Encarregado (seção 14). Nos tratamentos em que a NexTool é Operadora, os parceiros acima atuam como sub-operadores, e o compartilhamento ocorre por conta e ordem do cliente Controlador.

9. Transferência internacional de dados

Alguns operadores e parceiros estão localizados ou processam dados fora do Brasil (por exemplo, nos Estados Unidos e na União Europeia), entre eles Google, Microsoft, Stripe, Brevo, OpenAI, Anthropic, DeepL, Meta, Telegram e provedores de geocodificação. O backend de orquestração de chat (NexSuite) também pode processar dados fora do Brasil. Nesses casos, a transferência internacional observa o disposto nos Arts. 33 a 36 da LGPD, mediante garantias de nível adequado de proteção, como cláusulas contratuais padrão e os compromissos de privacidade dos próprios provedores.

A infraestrutura operada pela própria NexTool é mantida no Brasil, sem transferência desses dados a terceiros para finalidades próprias: a instância GLPI do site, a infraestrutura de licenciamento (ContainerAPI) e o gateway de mensageria WhatsApp. Os módulos de assinatura digital (Autentique) e de compra B2B (Mercado Eletrônico) são fornecidos por empresas brasileiras; na medida em que qualquer processamento ocorra fora do Brasil, aplica-se igualmente o regime de transferência internacional acima.

10. Retenção e descarte

Mantemos os dados pessoais apenas pelo tempo necessário às finalidades para as quais foram coletados, observados os prazos legais. Critérios por categoria:

Categoria	Critério de retenção
Contato/chamado (site)	Enquanto durar o atendimento e pelo prazo de guarda contratual/legal aplicável
Newsletter	Até a revogação do consentimento (descadastro), que pode ser feito a qualquer momento
Logs de acesso	Pelo prazo de segurança/diagnóstico, observado o mínimo legal do Marco Civil
Métricas de audiência	Por período limitado, de forma agregada/anonimizada
Conta e licenciamento (portal)	Durante a vigência da relação contratual e pelos prazos legais subsequentes
Dados fiscais e transações	Pelos prazos exigidos pela legislação fiscal/contábil
Trilha de auditoria	Por período compatível com as finalidades de segurança e prova

Encerrados os prazos, os dados são eliminados ou anonimizados, salvo hipóteses de guarda obrigatória (Art. 16 da LGPD).

11. Direitos do titular

Nos termos do Art. 18 da LGPD, você pode, a qualquer momento:

• confirmar a existência de tratamento e acessar seus dados;
• corrigir dados incompletos, inexatos ou desatualizados;
• solicitar anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• solicitar a portabilidade dos dados;
• solicitar a eliminação dos dados tratados com base no consentimento;
• obter informação sobre o compartilhamento dos seus dados;
• revogar o consentimento;
• opor-se a tratamento realizado com base em legítimo interesse.

No Portal, disponibilizamos meios para atualização dos dados de conta e para solicitação de exclusão/anonimização da conta, ressalvados os dados que devemos reter por obrigação legal (ex.: registros fiscais).

Para dados tratados dentro do GLPI do cliente (em que a NexTool é Operadora), dirija a solicitação à organização Controladora; a NexTool dará suporte ao atendimento.

Para exercer seus direitos, utilize o canal do Encarregado (seção 14).

12. Segurança da informação

Adotamos medidas técnicas e organizacionais para proteger os dados, incluindo: conexão HTTPS/TLS; armazenamento com criptografia e controles de acesso; autenticação em dois fatores e segredos cifrados no Portal; isolamento por instância e por base de dados de cada cliente; comunicação assinada (HMAC) entre componentes; princípio do menor privilégio; e registros de auditoria. Acessos administrativos a dados de clientes (incluindo a funcionalidade de visualização assistida de conta no Portal) são controlados e auditados.

13. Gestão de incidentes

Mantemos processos para detecção, resposta e contenção de incidentes de segurança. Caso ocorra incidente que possa acarretar risco ou dano relevante aos titulares, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados, nos termos do Art. 48 da LGPD. Quando atuamos como Operadora, comunicaremos o cliente Controlador para que ele cumpra seus deveres.

14. Encarregado pelo Tratamento de Dados (DPO)

A NexTool disponibiliza canal de contato com seu Encarregado para esclarecimentos sobre esta Política e para o exercício de direitos:

• Encarregado: Richard Loureiro Leite
• E-mail: privacidade@nextoolsolutions.com

15. Alterações desta Política

Podemos atualizar esta Política a qualquer momento. Em caso de alterações relevantes, revisaremos a data de "última atualização" no topo e, quando apropriado, comunicaremos pelos canais disponíveis. O uso continuado após a vigência das alterações implica ciência da versão atualizada.

16. Contato e foro

Para questões sobre esta Política, fale conosco em privacidade@nextoolsolutions.com. Esta Política é regida pela legislação brasileira. Fica eleito o foro da Comarca de São João del-Rei/MG para dirimir controvérsias, com renúncia a qualquer outro.