Política de Privacidade & LGPD.

1. Nosso Compromisso com a sua Privacidade

A NIKKI AI é uma marca e serviço operado por Elevate Tecnologia LTDA, inscrita no CNPJ sob o nº 67.831.208/0001-23. Para os tratamentos descritos nesta Política, a Elevate Tecnologia LTDA atua como controladora dos dados pessoais. A NIKKI AI foi concebida sob o princípio fundamental de Privacy by Design (Privacidade desde a Concepção). Sua assistente pessoal de inteligência artificial deve operar com discrição, protegendo suas conversas, seus dados de integração e suas informações cotidianas contra uso indevido ou comercialização não autorizada.

2. Quais Dados Coletamos e Como Utilizamos

Coletamos estritamente os dados necessários para prestar o serviço de assistência pessoal executiva solicitado por você:

• Dados de Identificação e Contato: Nome, número de telefone de cadastro no WhatsApp e endereço de e-mail quando fornecido ou conectado.
• Interesse em funcionalidades futuras: quando você solicitar novidades sobre a NIKKI Invest, tratamos o e-mail informado, a origem do cadastro, a versão do consentimento e as datas necessárias para registrar sua manifestação. Esses dados são usados somente para comunicações sobre essa funcionalidade, não criam conta nem ordem financeira e podem ser eliminados mediante revogação do consentimento ou solicitação do titular.
• Mensagens de Comando e Áudios: Áudios e mensagens de texto enviados por você para a Nikki a fim de transcrever, interpretar o pedido e executar a tarefa desejada, como agendamentos, lembretes e e-mails.
• Tokens de Acesso Autorizados: Chaves OAuth criptografadas de serviços que você conecta voluntariamente (incluindo Google Agenda, Google Meet, Gmail somente para envio, Microsoft Outlook, Calendário Microsoft e Zoom). Nós nunca temos acesso às suas senhas mestras.
• Integração com o Zoom: quando você conecta voluntariamente sua conta, usamos os acessos autorizados somente para identificar a conta conectada e criar, consultar, atualizar ou cancelar reuniões solicitadas por você. Guardamos tokens OAuth de forma criptografada e mantemos apenas os metadados operacionais necessários, como identificador, título, data, duração, estado e trilha de execução. Você pode desconectar o Zoom a qualquer momento.
• Integração com o Instagram profissional: quando disponível e conectada voluntariamente pelo login oficial do Instagram, tratamos identificadores da conta profissional, tokens OAuth protegidos, mídias, legendas, comentários e métricas disponibilizadas pelas permissões concedidas. Esses dados são usados somente para organizar e executar publicações autorizadas, consultar insights e apoiar a gestão de comentários. A NIKKI AI não solicita acesso ao Instagram Direct e não lê nem responde mensagens privadas.
• Coordenação de consultas: a Nikki não solicita no WhatsApp que o usuário digite CPF ou dados da carteirinha. Nome completo, CPF e identificação do convênio, assim como uma foto da carteirinha quando fornecida, podem ser cadastrados no ambiente seguro, com autorização revogável, e compartilhados apenas com a clínica escolhida quando necessários ao agendamento solicitado. A imagem é normalizada para remover metadados, armazenada separadamente em segredo criptografado e somente é enviada quando a clínica solicitar a carteirinha. Esses dados não são exibidos novamente no painel. Pagamentos e dados de cartão não são coletados para execução.
• Assinatura eletrônica: quando você participa de uma assinatura, tratamos o documento, o desenho da assinatura, a manifestação de aceite, data e hora, endereço IP obtido pelo servidor e informações técnicas mínimas para formar a trilha de auditoria. A geolocalização é opcional, solicitada separadamente pelo navegador e não impede a assinatura quando recusada. Documentos, assinatura e evidências são armazenados de forma criptografada; hashes criptográficos permitem detectar alterações posteriores.
• Viagens e acompanhamento de voos: quando solicitado e incluído no plano, tratamos número do voo, data, aeroportos, horários, status, terminal, portão, atraso e vínculo com a tarefa de viagem. Localizadores e detalhes de confirmação permanecem protegidos; mensagens de alerta não exibem o localizador. Consultamos um provedor técnico de dados aeronáuticos apenas com os identificadores mínimos necessários e mantemos eventos deduplicados para evitar notificações repetidas.

3.1. Dados das APIs da Microsoft

A conexão com a Microsoft é opcional e ocorre somente depois do seu consentimento na tela oficial da Microsoft. Conforme as funções escolhidas, a Nikki pode solicitar acesso delegado a informações básicas da conta, e-mails e calendário por meio do Microsoft Graph. O acesso pertence à conta que você selecionou e não concede à Nikki uma chave global para acessar outras caixas de correio ou organizações.

As permissões atualmente utilizadas são User.Read, Mail.ReadWrite, Mail.Send, Calendars.ReadWrite e offline_access. Elas permitem:

• identificar a conta Microsoft escolhida e exibir o e-mail conectado;
• consultar mensagens e itens enviados quando você solicitar uma busca, resumo, triagem ou preparação de resposta;
• enviar novos e-mails ou responder a uma conversa somente após um pedido ou uma autorização aplicável;
• consultar disponibilidade e eventos, além de criar, atualizar ou cancelar compromissos solicitados por você, inclusive convites e reuniões online quando disponíveis;
• renovar a sessão de forma segura para que você não precise conectar novamente a conta a cada tarefa.

Quando a triagem de e-mails estiver incluída no plano e ativada pelo usuário, a Nikki poderá verificar periodicamente a caixa conectada para identificar mensagens relevantes, respostas aguardadas e ações solicitadas. O conteúdo é processado apenas para prestar essa funcionalidade, produzir o resultado pedido e manter evidências operacionais mínimas de segurança. Ele não é usado para publicidade, venda de dados, criação de perfis comerciais ou treinamento de modelos gerais de inteligência artificial.

Tokens OAuth e metadados da conexão permanecem protegidos enquanto a integração estiver ativa. Você pode desconectar a conta na Nikki ou revogar o consentimento nas configurações da sua conta Microsoft. A revogação interrompe novos acessos; os dados da integração são eliminados conforme os prazos desta Política, ressalvados registros mínimos temporariamente necessários para segurança, prevenção a fraude, auditoria ou cumprimento de obrigação legal. Em contas corporativas, o administrador da organização também pode limitar ou revogar as permissões concedidas.

3. Dados das APIs do Google

A conexão com o Google é opcional e acontece somente depois do seu consentimento na tela oficial do Google. A Nikki solicita apenas as permissões necessárias para:

• identificar a conta Google escolhida e exibir o endereço de e-mail conectado;
• consultar disponibilidade e listar as agendas necessárias para organizar seus compromissos;
• criar, atualizar ou cancelar eventos nas agendas das quais você é proprietário, inclusive com convite e Google Meet, quando você solicitar;
• enviar e-mails pela conta conectada somente quando você pedir;

A leitura automática da caixa do Gmail não está disponível enquanto essa permissão estiver em homologação com o Google. A Nikki não solicita esse acesso nem orienta o usuário a ignorar avisos de aplicativo não verificado. Como alternativa, você pode encaminhar voluntariamente um e-mail específico ou compartilhar seu conteúdo ou anexo para receber ajuda com resumo, organização ou resposta.

Quando você encaminha um e-mail específico, o conteúdo é tratado somente para a finalidade solicitada. A Nikki não usa esse conteúdo para publicidade, venda de dados, criação de perfis comerciais ou treinamento de modelos gerais de inteligência artificial. Detalhes necessários à tarefa são protegidos por criptografia e excluídos quando a integração ou a conta for removida, ressalvados registros mínimos exigidos temporariamente para segurança ou obrigação legal.

Metadados da conexão e tokens OAuth permanecem armazenados de forma protegida enquanto a integração estiver ativa. Ao desconectar a conta ou solicitar a exclusão da conta Nikki, revogamos o acesso e eliminamos esses dados, ressalvados registros mínimos que precisem ser preservados temporariamente para segurança, prevenção a fraude ou cumprimento de obrigação legal. Você também pode revogar o acesso a qualquer momento nas configurações de segurança da sua Conta Google.

O uso e a transferência, pela Nikki AI, de informações recebidas das APIs do Google obedecem à Política de Dados do Usuário dos Serviços de API do Google , incluindo os requisitos de Limited Use.

3.2. Instagram profissional: desconexão e exclusão de dados

A conexão com uma conta profissional do Instagram é opcional e ocorre pelo login oficial do Instagram. A Nikki usa somente as permissões concedidas para identificar a conta conectada, consultar insights, publicar conteúdo autorizado e apoiar a gestão de comentários. Não solicitamos acesso ao Instagram Direct nem à conta do WhatsApp do cliente.

Para encerrar o acesso, entre na área de integrações da conta Nikki, localize Instagram profissional e escolha Desconectar. Você também pode remover a Nikki nas configurações de aplicativos e sites do Instagram. Ao receber a notificação assinada de desautorização da Meta, invalidamos automaticamente a credencial correspondente e interrompemos novos acessos.

Para excluir dados, use Privacidade e dados no portal autenticado ou escreva para privacidade@nikkiai.com.br. Uma solicitação iniciada pela Meta recebe um código de confirmação e um endereço individual para acompanhamento. Tokens e dados operacionais da conexão são removidos, ressalvados apenas registros mínimos que precisem ser preservados temporariamente por obrigação legal, segurança, prevenção a fraude ou exercício regular de direitos.

Veja também as instruções públicas da integração com o Instagram.

3.3. Compartilhamento com prestadores de tecnologia

Para executar uma tarefa solicitada pelo usuário, a Nikki pode utilizar prestadores especializados em processamento de inteligência artificial e transcrição de áudio. Somente o conteúdo e o contexto mínimo necessários à execução da funcionalidade são compartilhados. Quando indispensável à tarefa, esse contexto pode conter dados obtidos das APIs do Google ou da Microsoft, como informações de disponibilidade, eventos da agenda ou o conteúdo de um e-mail que o próprio usuário pediu para consultar, resumir, preparar ou enviar.

Senhas, segredos do aplicativo, tokens OAuth e chaves de acesso nunca são enviados aos prestadores. O tratamento é limitado à prestação da funcionalidade solicitada, sem autorização para publicidade, comercialização dos dados ou treinamento de modelos de uso geral.

Dados recebidos das APIs do Google ou da Microsoft não são utilizados para desenvolver, melhorar ou treinar modelos de inteligência artificial ou aprendizado de máquina. O compartilhamento permanece limitado à finalidade informada ao usuário e, no caso do Google, também observa os requisitos de Limited Use.

3.4. Open Finance e histórico financeiro

Quando você conecta uma instituição pelo ambiente seguro da Malvo, a Nikki recebe somente os dados autorizados no consentimento para organizar saldos, gastos, contas e investimentos no seu portal e responder às suas consultas. A Nikki não recebe sua senha bancária e não usa esses dados para executar Pix, pagamentos, ordens de investimento ou compras de cripto.

A capacidade do plano ou do adicional Open Finance +4 limita apenas quantas instituições podem ficar conectadas. Cada instituição mantém um consentimento separado, que você pode consultar ou revogar a qualquer momento, sem compartilhar senha bancária com a Nikki.

Os snapshots do histórico financeiro são criptografados, isolados por cliente e mantidos por até 365 dias. Eles são eliminados automaticamente ao vencer esse prazo e apagados imediatamente quando você desconecta a respectiva instituição, sem prejuízo de registros mínimos de auditoria que não contenham o conteúdo financeiro e precisem ser preservados por segurança ou obrigação legal.

5. Segurança, Criptografia & Armazenamento Seguro

Sua navegação é protegida por conexões criptografadas. Os dados das integrações ficam protegidos e vinculados à sua conta. O acesso é limitado às permissões que você autoriza para os recursos escolhidos.

6. Seus Direitos como Titular dos Dados (Art. 18 da LGPD)

Conforme estabelecido pela Lei Geral de Proteção de Dados (Lei nº 13.709/2018), você possui total controle sobre suas informações, incluindo o direito de:

• Confirmar a existência de tratamento dos seus dados.
• Acessar e receber uma cópia completa das suas informações.
• Corrigir dados incompletos, inexatos ou desatualizados.
• Eliminação: Solicitar a exclusão dos dados tratados com base em consentimento e, quando aplicável, da conta e do histórico. A solicitação passa por confirmação de identidade, revogação das integrações e exclusão programada. Registros mínimos podem ser preservados pelo prazo necessário para cumprir obrigação legal, prevenir fraude, exercer direitos ou respeitar retenção de backups, sempre com acesso restrito.
• Revogar qualquer consentimento ou integração a qualquer momento.