Política de privacidade

1. Quem somos e a quem esta política se aplica

O Notas.buzz é um serviço de notas, tarefas e colaboração para pessoas e empresas, oferecido por:

Neste documento, essa empresa é chamada de “Notas.buzz” ou “nós”. Esta política explica, em linguagem simples, como tratamos dados pessoais, nos termos da Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, “LGPD”) e do Marco Civil da Internet (Lei nº 12.965/2014). Ela vale para o site, para o app (no navegador, no computador e no celular), para a extensão de recorte da web e para os canais de atendimento.

Esta política complementa os termos de uso. “Tratar” dados quer dizer qualquer operação com eles: coletar, guardar, usar, enviar, apagar e assim por diante.

2. Resumo em poucas linhas

• O que a sua empresa coloca nas notas é dela. Nós guardamos e processamos esse conteúdo só para prestar o serviço, seguindo as instruções da empresa.
• Não vendemos dados pessoais e não usamos o conteúdo das notas para publicidade.
• O banco de dados e os arquivos ficam armazenados no Brasil (região de São Paulo). Alguns fornecedores, como os de IA e de e-mail, ficam fora do Brasil.
• A IA só recebe conteúdo quando alguém usa um recurso de IA, e cada pessoa pode desligar esses recursos.
• Guardamos os registros de acesso por 6 meses, como exige o Marco Civil da Internet.
• Você pode pedir acesso, correção, exclusão e outros direitos pelo e-mail do encarregado (item 16).

3. Controlador ou operador: os dois papéis do Notas.buzz

A LGPD diferencia quem decide sobre os dados (controlador) de quem trata os dados em nome de outro (operador). O Notas.buzz tem os dois papéis, conforme o tipo de dado:

• Somos operadores do conteúdo das empresas clientes. Notas, anexos, gravações, transcrições, comentários, tarefas, eventos e tudo o que as pessoas de uma empresa cliente colocam no Notas.buzz pertencem a essa empresa, que é a controladora. Nós tratamos esse conteúdo apenas para prestar o serviço, conforme o contrato e as instruções da empresa (por exemplo, as configurações escolhidas pelos administradores). Nas contas individuais (como os planos Gratuito, Pessoal e Profissional contratados por uma pessoa), quem decide o que guardar é o próprio titular da conta, e nós tratamos o conteúdo da mesma forma, só para prestar o serviço.
• Somos controladores dos dados que usamos para gerir o nosso negócio: cadastro e conta, cobrança, segurança, registros de acesso, atendimento, comunicações sobre o serviço e os dados enviados pelo site.

Importante para quem usa o Notas.buzz pela empresa: os administradores da sua empresa podem gerenciar contas, ver o histórico de atividades (nos planos que têm esse recurso) e gerenciar e exportar o conteúdo da empresa pelo console. Para saber como a sua empresa trata os seus dados, consulte as regras internas dela.

4. Dados que tratamos

Dados sensíveis. Não pedimos dados pessoais sensíveis (como saúde, religião, biometria ou opinião política). Se uma empresa cliente ou uma pessoa decidir guardar esse tipo de dado nas notas, cabe a ela, como controladora, ter uma base legal adequada (art. 11 da LGPD). Para conteúdo muito delicado, recomendamos usar os trechos cifrados com senha.

5. Para que usamos os dados e com qual base legal

Cada uso tem uma base legal prevista no art. 7º da LGPD. Quando somos operadores, a base legal do conteúdo é definida pela empresa cliente, que é a controladora.

Quando usamos o legítimo interesse, tratamos apenas o necessário e respeitamos as suas expectativas e direitos. Você pode se opor a esse uso (item 12).

6. Inteligência artificial e transcrição

Os recursos de IA estão disponíveis nos planos pagos e só funcionam quando alguém os aciona. Eles incluem o assistente, a edição com IA (resumir, traduzir, ajustar o tom), o resumo de reunião, a leitura de texto em imagens e a revisão de transcrições.

• O que é enviado: somente o trecho necessário para a resposta (o texto, a imagem ou a transcrição em uso e, no assistente, as notas que a própria pessoa pode ver e que são relevantes para a pergunta).
• Para quem: ao fornecedor do modelo de IA: a Anthropic (modelos Claude) e, quando a pessoa escolhe essa opção, a OpenAI.
• Treinamento: usamos esses fornecedores pelas suas interfaces comerciais (API). De acordo com as políticas comerciais publicadas por eles na data desta versão, os dados enviados pela API não são usados para treinar os modelos deles e podem ser guardados por um período limitado para segurança e prevenção de abusos. Essas políticas são dos fornecedores e podem mudar; acompanhamos as mudanças e atualizaremos esta política se elas afetarem você.
• Transcrição no aparelho: por padrão, a transcrição de áudio é feita no próprio aparelho (modelo Whisper), e o áudio não sai dele para ser transcrito. Na primeira vez, o aparelho baixa o arquivo do modelo do site da Hugging Face, que recebe só o pedido de download (com o seu endereço IP), nunca o áudio.
• Transcrição na nuvem: se a pessoa escolher transcrever pela OpenAI, o áudio é enviado a ela para isso.
• Busca por significado: a busca por significado e as notas relacionadas são calculadas na nossa própria infraestrutura, sem envio a fornecedor de IA.
• Controle: cada pessoa pode desligar os recursos de IA nas configurações. Quem não quiser IA pode usar o plano Gratuito, que não tem esses recursos.

As respostas da IA são sugestões para a pessoa avaliar. O Notas.buzz não toma decisões sobre pessoas com base apenas em tratamento automatizado. Se isso vier a acontecer, você poderá pedir a revisão da decisão (art. 20 da LGPD).

7. Com quem compartilhamos

Não vendemos nem alugamos dados pessoais. Compartilhamos apenas o necessário com fornecedores que tratam dados em nosso nome (suboperadores), com obrigações contratuais de confidencialidade e segurança:

Também há envios que dependem da sua escolha ou do uso do site:

• Integrações que você conecta (Google, Microsoft, Slack) e ferramentas que você liga pelo conector MCP: os dados vão para esses serviços conforme a sua escolha e os termos deles. Você pode desconectar a qualquer momento.
• Link público de nota: qualquer pessoa com o link pode ver a nota. Quem cria o link decide compartilhar e pode revogá-lo quando quiser.
• Site: as fontes vêm do Google Fonts e o mapa da página de contato vem do OpenFreeMap; ao abrir essas páginas, o seu endereço IP chega a esses serviços.
• Revendas: se a sua empresa contratou por um parceiro, ele recebe os dados de cadastro e de cobrança necessários para a relação comercial.
• Autoridades: quando houver ordem judicial ou requisição legal de autoridade competente. Registros de acesso e conteúdo só são fornecidos mediante ordem judicial, como manda o Marco Civil da Internet (arts. 10 e 22), salvo dados cadastrais que a lei permite requisitar.
• Operações societárias: em fusão, aquisição ou venda do negócio, com as mesmas proteções desta política.

Avisaremos as empresas clientes antes de incluir um novo suboperador que trate o conteúdo delas, nesta página e por aviso no app ou por e-mail.

8. Transferência internacional de dados

O banco de dados e os arquivos ficam armazenados no Brasil. Alguns fornecedores da lista acima (como Anthropic, OpenAI, Resend e Cloudflare) tratam dados em outros países, principalmente nos Estados Unidos. Essas transferências se apoiam no art. 33 da LGPD, em especial:

• na necessidade para executar o contrato com você ou com a sua empresa, a seu pedido (art. 33, IX, combinado com o art. 7º, V), por exemplo quando você aciona um recurso de IA;
• em garantias contratuais de proteção de dados com os fornecedores, como cláusulas contratuais, observando a regulamentação da Autoridade Nacional de Proteção de Dados (ANPD) sobre transferência internacional (Resolução CD/ANPD nº 19/2024).

Escolhemos fornecedores que publicam compromissos de segurança e de proteção de dados e enviamos apenas o necessário para cada finalidade.

9. Por quanto tempo guardamos e como excluímos

Depois dos prazos, os dados são excluídos ou anonimizados, salvo as exceções do art. 16 da LGPD (como cumprimento de obrigação legal).

10. Segurança

Adotamos medidas técnicas e administrativas para proteger os dados (art. 46 da LGPD), entre elas:

• isolamento dos dados de cada empresa por regras de acesso no próprio banco de dados, conferidas em cada leitura e gravação, inclusive em arquivos e atualizações em tempo real;
• comunicação cifrada (HTTPS) e dados armazenados cifrados pela infraestrutura do provedor;
• senhas guardadas apenas como hash, verificação em duas etapas (que o administrador pode exigir), login único (SAML) e provisionamento (SCIM) para empresas;
• tokens de integração guardados cifrados, sem acesso pelo app;
• dados do modo offline guardados cifrados no aparelho e apagados ao sair da conta;
• trechos de nota cifrados com senha, que só abrem para quem sabe a senha;
• registros de acesso e histórico de atividades;
• acesso interno restrito às pessoas que precisam dele para prestar o serviço, com dever de sigilo.

Você também ajuda: use uma senha forte e exclusiva, ative a verificação em duas etapas e não compartilhe o seu acesso. Nenhum sistema é totalmente imune a falhas, mas trabalhamos para reduzir os riscos.

11. Incidentes de segurança

Se acontecer um incidente de segurança que possa gerar risco ou dano relevante às pessoas:

• como controlador, comunicaremos a ANPD e as pessoas afetadas no prazo e na forma da regulamentação da ANPD (art. 48 da LGPD e Resolução CD/ANPD nº 15/2024, que hoje prevê 3 dias úteis), informando o que aconteceu, os dados envolvidos, os riscos e as medidas tomadas;
• como operador, avisaremos sem demora a empresa cliente afetada, com as informações de que ela precisa para cumprir as obrigações dela como controladora, e apoiaremos a resposta.

12. Seus direitos e como exercê-los

Pelo art. 18 da LGPD, você pode pedir, sem custo:

1. confirmação de que tratamos dados seus;
2. acesso aos dados;
3. correção de dados incompletos, inexatos ou desatualizados;
4. anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
5. portabilidade dos dados a outro fornecedor;
6. eliminação dos dados tratados com base no seu consentimento;
7. informação sobre com quem compartilhamos os seus dados;
8. informação sobre a possibilidade de não dar consentimento e as consequências disso;
9. revogação do consentimento.

Você também pode se opor a um tratamento feito com base em outra hipótese legal, quando houver descumprimento da LGPD (art. 18, § 2º), e pedir a revisão de decisões tomadas unicamente com base em tratamento automatizado (art. 20).

Como exercer:

• Muita coisa você faz direto no app: corrigir o nome e o e-mail nas configurações, exportar notas e cadernos (PDF, ENEX ou HTML), desconectar integrações e desligar a IA.
• Para os demais pedidos, escreva ao encarregado (item 16). Poderemos pedir informações para confirmar a sua identidade, para proteger os seus dados.
• Respondemos de forma simplificada imediatamente ou com uma declaração completa em até 15 dias (art. 19 da LGPD). Se não pudermos atender, explicaremos o motivo.
• Se o pedido for sobre o conteúdo de uma empresa cliente, a decisão cabe a ela, que é a controladora. Nesse caso, indicaremos a empresa responsável e encaminharemos o pedido a ela, e apoiaremos a resposta.

Se não ficar satisfeito, você pode reclamar à ANPD (gov.br/anpd) e aos órgãos de defesa do consumidor.

13. Cookies e armazenamento local

No site: não usamos cookies de publicidade nem de rastreamento. O armazenamento do navegador guarda apenas escolhas suas, como o tema (claro ou escuro) e o ciclo de preços exibido (mensal ou anual). Como explicado no item 7, ao abrir o site o seu endereço IP chega à Cloudflare (hospedagem), ao Google Fonts (fontes) e, na página de contato, ao OpenFreeMap (mapa).

No app: o armazenamento do navegador guarda o que é necessário para funcionar: a sessão de login, as preferências, os arquivos do app para abrir mais rápido e, para o uso sem internet, as notas abertas ou marcadas como disponíveis offline e as edições pendentes. Os dados do modo offline ficam cifrados no aparelho e são apagados quando você sai da conta. Também podem ficar no aparelho os modelos de transcrição baixados e as cópias de segurança de gravações em andamento, que você pode recuperar ou descartar nas configurações.

Esses itens são essenciais ou guardam escolhas suas; por isso não pedimos consentimento para eles. Você pode apagá-los nas configurações do navegador, mas algumas funções podem deixar de funcionar.

14. Crianças e adolescentes

O Notas.buzz é destinado ao uso profissional. Contas individuais são para maiores de 18 anos, e não coletamos de propósito dados de crianças. Se uma instituição cliente (como uma escola) cadastrar menores de idade, ela é a controladora desses dados e deve cumprir o art. 14 da LGPD, inclusive quanto ao consentimento dos pais ou responsáveis e ao melhor interesse da criança e do adolescente. Se você souber de uma conta de criança criada sem essas condições, avise o encarregado.

15. Alterações desta política

Podemos atualizar esta política para refletir mudanças no serviço, nos fornecedores ou na lei. A data da última atualização fica no topo da página. Mudanças relevantes serão avisadas no app ou por e-mail com pelo menos 30 dias de antecedência, salvo quando a mudança for exigida por lei ou autoridade em prazo menor.

16. Encarregado (DPO) e contato

O encarregado pelo tratamento de dados pessoais é o canal entre você, o Notas.buzz e a ANPD (art. 41 da LGPD).