Esta Política de Privacidade explica como a Numih Sistemas e Serviços LTDA, inscrita no CNPJ nº 42.471.833/0001-80 ("Numih", "nós"), trata dados pessoais no contexto do sistema de gestão empresarial (ERP) que oferecemos ("Plataforma", "Serviço").

Escrevemos este documento pensando em você, usuário da Plataforma. Nosso objetivo é que fique claro quais dados tratamos, por quê, com quem compartilhamos e quais são os seus direitos, em conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados – LGPD).

Esta Política trata do tratamento de dados pessoais. As regras de conduta no uso da Plataforma estão nos Termos de Uso, e as condições comerciais e as obrigações entre a Numih e a sua organização estão no Contrato celebrado entre elas. Os três documentos se complementam e não se sobrepõem.

1. Um ponto importante antes de começar: nossos dois papéis

A Numih atua de duas formas diferentes dependendo do dado, e isso determina a quem você deve recorrer para exercer seus direitos:

• Quando somos Controladores. Em relação aos dados da sua conta e cadastro de acesso (por exemplo, seu nome, e-mail corporativo, credenciais de login e registros de uso da Plataforma), é a Numih quem decide como esses dados são tratados. Aqui, você fala diretamente conosco.
• Quando somos Operadores. Em relação aos dados que a empresa contratante (sua organização, o "tenant") insere e gerencia dentro da Plataforma — como cadastros de clientes, fornecedores, informações financeiras, folha de pagamento e documentos —, quem decide as finalidades e os meios do tratamento é a sua organização. Nesse caso, a Numih apenas processa esses dados seguindo as instruções da sua organização. Se você quer exercer direitos sobre esses dados, o ponto de contato correto costuma ser o encarregado ou o responsável de privacidade da sua própria organização. Ainda assim, podemos ajudar a direcionar o pedido.

Sempre que possível, indicamos ao longo deste documento em qual papel estamos atuando. A repartição de responsabilidades entre a Numih e a sua organização, para os efeitos da relação entre elas, é definida no Contrato.

2. Definições rápidas

• Dado pessoal: informação relacionada a pessoa natural identificada ou identificável.
• Dado pessoal sensível: dado sobre origem racial ou étnica, convicção religiosa, opinião política, saúde, vida sexual, dado genético ou biométrico, entre outros previstos na LGPD.
• Titular: a pessoa natural a quem o dado se refere (você).
• Controlador: quem decide sobre o tratamento dos dados.
• Operador: quem trata os dados em nome do controlador.
• Tenant: a empresa/organização cliente que contrata e utiliza a Plataforma.
• Dado anonimizado: dado que perdeu a possibilidade de associação a uma pessoa, considerados os meios técnicos razoáveis e disponíveis. Nos termos do art. 12 da LGPD, não é dado pessoal.

3. Quais dados tratamos

3.1. Dados da sua conta e do seu uso da Plataforma (Numih como Controladora)

• Identificação e contato: nome, e-mail, telefone.
• Credenciais de acesso: o acesso é feito exclusivamente por SSO e chaves de acesso, na forma descrita na Seção 9.
• Perfil de acesso: cargo, funções e permissões dentro da Plataforma.
• Dados técnicos e de uso: endereço IP, registros (logs) de acesso e de atividade, data e hora de operações.

3.2. Dados inseridos na Plataforma pela sua organização (Numih como Operadora)

Estes dados são fornecidos e controlados pela sua organização. Podem incluir, por exemplo:

• Cadastro de clientes e fornecedores (nome, CPF/CNPJ, endereço, contato).
• Dados financeiros e bancários.
• Dados de folha de pagamento.
• Documentos fiscais (notas fiscais e afins).
• Dados pessoais sensíveis, quando a sua organização opta por inseri-los na Plataforma (por exemplo, informações de saúde ou dados biométricos, conforme o uso que cada organização faz do sistema).

3.3. Dados de uso, estatísticas e aprimoramento do Serviço

Coletamos informações sobre as buscas realizadas no módulo de busca e sobre como os agentes de inteligência artificial utilizam nossa interface de dados (MCP), além de métricas de desempenho e de utilização das funcionalidades. Usamos esses dados para operar, manter, dimensionar e aprimorar a Plataforma, bem como para apurar o consumo contratado.

Também produzimos estatísticas e indicadores agregados a partir do uso da Plataforma. Antes desse uso, os dados são agregados e anonimizados, de modo que não permitam identificar você, a sua organização ou qualquer titular. Uma vez anonimizados, esses dados podem ser utilizados para desenvolver funcionalidades, aferir desempenho e segurança e treinar modelos analíticos e de inteligência artificial próprios da Numih.

4. Integrações e acessos a fontes externas

A Plataforma pode se conectar a serviços externos quando a sua organização ativa e autoriza cada integração. Ao conectar uma integração, poderemos acessar:

• WhatsApp (API Oficial): mensagens trocadas por meio da integração. Na modalidade "coexistence" (coexistência), o acesso pode abranger todo o histórico de conversas da conta conectada.
• E-mail: histórico e conteúdo de mensagens da caixa conectada.
• Arquivos: documentos armazenados em SharePoint, OneDrive, Google Drive e serviços equivalentes.

Esses acessos ocorrem apenas mediante autorização expressa no momento da conexão de cada integração, e o escopo do acesso é apresentado nesse momento. A sua organização pode revogar as autorizações e desconectar as integrações a qualquer tempo. Nesses acessos a Numih atua como Operadora: quem define a finalidade, a base legal e o escopo é a sua organização.

5. Para que usamos os dados e com qual base legal

6. Inteligência Artificial e acesso via MCP

A Plataforma oferece uma interface (MCP – Model Context Protocol) que permite que agentes ou modelos de inteligência artificial escolhidos e operados por você ou pela sua organização acessem dados da Plataforma para realizar consultas e análises.

Nesse fluxo, é importante entender:

• A Numih fornece o meio de acesso (a interface MCP), aplicando os controles de isolamento e permissão descritos na Seção 9.
• Quem direciona os dados para uma IA é você/sua organização, ao conectar um agente ou modelo de sua escolha. O tratamento realizado por esse modelo de IA de terceiro — inclusive eventual transferência dos dados para os servidores desse provedor — ocorre sob a responsabilidade de quem o conecta e opera, conforme os termos do respectivo provedor de IA.
• Recomendamos avaliar cuidadosamente as políticas do provedor de IA que você conectar, especialmente quanto a retenção e uso dos dados.

Os recursos de inteligência artificial oferecidos pela própria Numih têm caráter auxiliar e podem conter imprecisões, na forma descrita nos Termos de Uso.

7. Com quem compartilhamos dados (operadores e subprocessadores)

Para operar a Plataforma, contamos com prestadores de serviço que tratam dados em nosso nome, sob obrigações de confidencialidade e segurança:

• Google Cloud Platform (GCP): infraestrutura de hospedagem e processamento.
• Microsoft: integrações de e-mail, SharePoint e OneDrive (via Microsoft Graph).
• Clerk: gestão de identidade e autenticação de acesso à Plataforma.

Esta relação é mantida atualizada nesta Política. A inclusão ou a substituição de um subprocessador que trate dados sob responsabilidade da sua organização é comunicada previamente a ela, na forma prevista no Contrato.

Não vendemos dados pessoais. Compartilhamentos adicionais ocorrem apenas para cumprir obrigação legal ou ordem de autoridade competente.

8. Transferência internacional de dados

Alguns dos nossos provedores (por exemplo, de infraestrutura em nuvem) podem processar ou armazenar dados em servidores localizados fora do Brasil. Além disso, quando você conecta um agente de IA de terceiro via MCP, os dados acessados podem ser transmitidos para servidores desse provedor, que podem estar no exterior.

Nesses casos, adotamos as salvaguardas exigidas pela LGPD (arts. 33 a 36) para assegurar proteção adequada aos dados transferidos, exigindo dos destinatários padrões de proteção compatíveis com os daquela lei.

9. Segurança da informação

Adotamos medidas técnicas e organizacionais para proteger os dados, entre elas:

• Isolamento por organização (tenant): cada organização opera em um espaço de dados segregado, com isolamento em nível de banco de dados (schema por tenant) e controle de acesso por linha (Row-Level Security), de forma que os dados de uma organização não sejam acessíveis por outra.
• Autenticação gerenciada: o acesso à Plataforma ocorre exclusivamente por SSO e chaves de acesso, com a identidade gerida por provedor especializado (Clerk); não armazenamos senhas de login de usuário.
• Proteção de segredos e certificados: credenciais de integração com serviços de terceiros (por exemplo, das APIs da Meta) e certificados digitais utilizados para a emissão de notas fiscais são armazenados de forma cifrada e com acesso restrito.
• Controle de acesso baseado em permissões e perfis.
• Registros de acesso e atividade (logs).

Nenhum sistema é imune a incidentes. Ocorrendo incidente de segurança que possa acarretar risco ou dano relevante: quando atuamos como Controladores, comunicamos os titulares e a Autoridade Nacional de Proteção de Dados nos prazos da regulamentação aplicável; quando atuamos como Operadores, comunicamos a sua organização, a quem cabe, como Controladora, decidir sobre as comunicações devidas. Os prazos dessa comunicação à sua organização constam do Contrato.

10. Por quanto tempo guardamos os dados

Durante a vigência do contrato com a sua organização, os prazos de retenção dos dados inseridos na Plataforma são definidos por ela, de acordo com suas necessidades e obrigações legais.

Encerrado esse contrato, os dados permanecem acessíveis apenas durante o período de transição previsto no Contrato — destinado à consulta e à obtenção de cópia pela sua organização —, findo o qual são definitivamente eliminados, ressalvada a conservação exigida por obrigação legal ou regulatória. Esses prazos contratuais prevalecem sobre eventuais configurações de retenção definidas dentro da Plataforma.

Para dados sob nossa responsabilidade como Controladora (conta e uso), mantemos os dados pelo tempo necessário às finalidades desta Política ou para cumprimento de obrigações legais, após o que são eliminados ou anonimizados.

11. Seus direitos como titular

Nos termos do art. 18 da LGPD, você pode solicitar, entre outros:

• Confirmação da existência de tratamento;
• Acesso aos seus dados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
• Portabilidade;
• Informação sobre com quem compartilhamos seus dados;
• Revogação do consentimento, quando esta for a base legal aplicável.

Responderemos aos pedidos nos prazos da LGPD — de imediato, em formato simplificado, ou em até 15 (quinze) dias para a declaração clara e completa de que trata o art. 19. Podemos solicitar informações adicionais para confirmar a sua identidade antes de atender ao pedido.

Lembre-se da Seção 1: para dados em que a Numih é Operadora, o pedido em geral deve ser dirigido à sua organização, que é a Controladora desses dados. Encaminharemos a ela os pedidos que recebermos e a auxiliaremos no que for cabível.

Você também pode peticionar diretamente à Autoridade Nacional de Proteção de Dados (ANPD), nos termos do art. 18, § 1º, da LGPD.

12. Como falar conosco (Encarregado pela Proteção de Dados)

Para exercer seus direitos ou tirar dúvidas sobre esta Política, entre em contato com o nosso Encarregado (DPO) pelo e-mail:

suporte@numih.com

13. Cookies e tecnologias semelhantes

Não utilizamos cookies de rastreamento, de perfilamento ou de publicidade, nem compartilhamos dados de navegação com redes de anúncios. Empregamos apenas os cookies e tecnologias estritamente necessários à autenticação e à manutenção da sua sessão na Plataforma, sem os quais o acesso não funciona.

14. Alterações nesta Política

Podemos atualizar esta Política periodicamente. Quando houver mudanças relevantes, comunicaremos pelos canais adequados e atualizaremos a data no topo do documento.

Este documento trata de dados pessoais nos termos da LGPD (Lei nº 13.709/2018).