Política de privacidade

Que dados pessoais o Nessie trata, com que finalidade e que pedidos podem ser feitos sobre eles.

Esta página é uma tradução, disponibilizada para leitura na sua língua. Se houver diferenças em relação à versão em inglês, prevalece a versão em inglês.

Este documento é um rascunho. Descreve o que o software faz realmente hoje, mas não foi revisto por um advogado e o Nessie ainda não foi lançado.

1. Alojamento próprio ou Nessie Cloud — isto é o mais importante

O Nessie existe em duas formas, e são completamente diferentes em matéria de privacidade. Antes de ler o resto, perceba de qual delas está a ler.

• Alojamento próprio. O utilizador executa o Nessie na sua própria infraestrutura. A sua organização é a responsável pelo tratamento de tudo o que nele existe. A UnlikeOtherAI não tem acesso à sua instância, não recebe nada dela e não trata dados pessoais por sua conta. Esta política descreve o comportamento do software para que o utilizador possa redigir a sua própria; não faz de nós subcontratante do utilizador.
• Nessie Cloud. Somos nós que o operamos. Quanto aos dados pessoais que a organização do utilizador nele introduz, atuamos como subcontratante, seguindo as suas instruções; a organização do utilizador é a responsável pelo tratamento. Quanto ao pequeno conjunto de dados que tratamos por conta própria — administração de contas, faturação, correspondência de apoio, este sítio Web — somos nós os responsáveis pelo tratamento. O resto desta política diz respeito ao Nessie Cloud.

Uma ressalva quanto ao alojamento próprio. O Nessie é software que comunica com outros serviços, pelo que a sua instância contactará tudo aquilo que o utilizador a configurar para contactar: um fornecedor de modelos, um fornecedor de correio eletrónico, um serviço de pesquisa ou de navegador. Essas são relações do utilizador, estão fora do nosso controlo e fora desta política.

2. Quem somos

UnlikeOtherAI s.r.o., sociedade registada na República Checa. Contacte-nos sobre qualquer assunto desta página através de hello@nessie.works.

Missing: the company registration number (IČO) and the registered office address.

Missing: whether a data protection officer has been appointed, and their contact details if so. Nobody is named as DPO today.

Missing: the effective date of this policy.

3. Que dados pessoais tratamos e de onde provêm

Identidade, que provém do UnlikeOtherAI SSO

O Nessie Cloud não tem palavras-passe nem formulário de registo. O início de sessão é feito através do UnlikeOtherAI SSO, que é a entidade de referência para saber quem é o utilizador, a que organização pertence e em que equipas se encontra. O Nessie não cria contas, não permite definir uma palavra-passe e recusa um pedido de alteração da fotografia de perfil, porque essa fotografia reside no UnlikeOtherAI. O nome, o endereço de correio eletrónico e o perfil do utilizador são alterados nesse serviço.

O Nessie guarda, de facto, uma cópia de parte desses dados, e preferimos dizê-lo a afirmar o contrário. A sua base de dados contém o identificador estável de sujeito do utilizador no UnlikeOtherAI e, a seu lado, um espelho em cache do endereço de correio eletrónico, do nome de apresentação e do URL da fotografia, para que cem linhas de chat possam mostrar um nome sem cem consultas. Esse espelho é, de forma expressa, não autoritativo: nada inventa um valor, nada devolve as alterações do utilizador à origem, e é novamente sincronizado a partir das declarações verificadas do fornecedor de identidade sempre que o utilizador inicia sessão, muda de equipa ou renova a sessão. A lista de membros em tempo real da sua organização é lida do UnlikeOtherAI no momento em que é apresentada, através de caches de curta duração a que nunca é permitido decidir quem pode ver o quê. A remoção total das colunas espelhadas é trabalho planeado, não algo já concluído.

Guardamos também, de forma duradoura: os identificadores da organização e das equipas do utilizador no UnlikeOtherAI, a sua pertença e função nelas, e uma credencial de renovação do UnlikeOtherAI cifrada, bem como registos de sessão locais, para que o utilizador se possa manter com a sessão iniciada e para que um fim de sessão possa revogar de uma só vez todos os tokens pendentes.

O que o utilizador e os seus colegas colocam no Nessie

Mensagens, conversas e mensagens diretas; ficheiros e anexos; documentos da base de conhecimento; tarefas, projetos e canais; nomes, funções e instruções dos agentes; o seu estado e preferências. Qualquer destes elementos pode conter dados pessoais do utilizador, dos seus colegas ou de terceiros, como os seus clientes — isso depende inteiramente do que a organização do utilizador escreve.

Dados com que os agentes se deparam no seu trabalho

Esta é a parte que merece mais atenção, porque um agente chega mais longe do que uma aplicação de chat.

• Caixas de correio ligadas. Se alguém ligar uma caixa de correio — a sua própria ou o endereço partilhado de uma equipa —, um agente pode lê-la e enviar a partir dela em seu nome. O correio de uma conta ligada é lido em direto junto do fornecedor do utilizador: o Nessie guarda a credencial e um registo de auditoria, não importa as mensagens e não deixa correspondência copiada quando o utilizador a desliga. A exceção é uma caixa de correio ligada à caixa de entrada de Clientes, como sales@ ou support@: nesse caso, está a pedir que as conversas fiquem guardadas junto da ficha de cada cliente, pelo que o Nessie copia as mensagens dessa caixa de correio, com uma quantidade limitada de histórico anterior. Seja como for, enquanto um agente trabalha numa mensagem, o conteúdo dessa mensagem está no Nessie e é enviado a um modelo. Todas as pessoas que escrevem para essa caixa de correio são afetadas por isto, e nunca o aceitaram.
• Caixas de correio de agentes alojadas. Uma instalação pode, em alternativa, atribuir a um agente um endereço próprio. O correio enviado para esse endereço é guardado no Nessie: a mensagem é analisada, os anexos são guardados e o original em bruto é eliminado do contentor de entrada após um período configurável (30 dias, salvo se o operador o alterar).
• A Web e os navegadores. Os agentes podem obter páginas, fazer pesquisas e controlar uma sessão de navegador real. Uma pessoa pode ceder a um agente um navegador privado limitado a sítios indicados, durante no máximo quinze minutos. O Nessie guarda também uma pequena captura de ecrã de cada separador em que o navegador de um agente ficou, para que o produto a possa mostrar — o que significa que essas imagens podem conter o conteúdo de uma página com sessão iniciada.
• Ferramentas ligadas. Os servidores MCP, os calendários e outras integrações que o utilizador liga devolvem dados ao contexto do agente, e esses dados seguem para o modelo juntamente com tudo o resto.

Registos que o Nessie mantém sobre o que aconteceu

• Um registo de auditoria. Cada ação do plano de controlo é registada com quem a realizou (pessoa, agente ou serviço), o que fez, sobre quê, se teve êxito ou foi recusada e porquê, um identificador do pedido e — quando disponíveis — o endereço IP e o agente de utilizador do navegador. É apenas de acréscimo e está ligado a uma cadeia de hash por organização, pelo que qualquer adulteração é detetável. Os segredos, as credenciais e os corpos completos dos pedidos são deliberadamente mantidos fora dele.
• Um registo de custos de tokens. Cada chamada a um modelo é registada com o fornecedor, o modelo, o número de tokens e uma estimativa de custo, atribuídos a uma organização, equipa, projeto, canal, agente e pessoa.
• Contabilização do armazenamento, para que a utilização de armazenamento por organização e por pessoa seja sempre conhecida.
• Registos de sessões e de dispositivos: tokens de sessão e de renovação em forma de hash, prazo de validade, tipo de cliente e agente de utilizador e — se utilizar as aplicações móveis ou de computador — um token de notificações push.
• Diagnóstico de falhas. A aplicação alojada comunica as falhas de JavaScript não tratadas com uma classe de erro padrão e as coordenadas no ficheiro de compilação. Não envia a mensagem de erro, o conteúdo da pilha, o URL da página, o conteúdo das conversas nem os identificadores de utilizador ou de organização do Nessie. As versões para iOS e Android utilizam também comunicação nativa de falhas, que recolhe os registos de falhas e metadados do dispositivo e da instalação.

Dados derivados do conteúdo do utilizador

Para que os agentes se possam lembrar de coisas e para que a pesquisa funcione, o Nessie transforma texto em vetores numéricos (embeddings) e guarda-os na sua base de dados. Isto abrange a memória dos agentes, o conteúdo da base de conhecimento e as próprias pesquisas do utilizador. Produzir um vetor implica enviar o texto a um fornecedor de embeddings. Se não estiver configurado nenhum fornecedor de embeddings, a recordação e a pesquisa recorrem à simples correspondência de palavras-chave.

Este sítio Web

Consulte a secção 9 quanto aos cookies de preferências, à análise e à consulta local do país utilizada para o título da página inicial.

4. Porque tratamos os dados e com que fundamento de licitude

Quando a organização do utilizador é a responsável pelo tratamento, o fundamento de licitude para introduzir no Nessie os dados de uma determinada pessoa — o correio eletrónico de um cliente, por exemplo — cabe à organização do utilizador estabelecer, não a nós.

Não vendemos dados pessoais e não utilizamos o conteúdo do utilizador para lhe dirigir publicidade.

5. Quem mais os vê

Fornecedores de modelos — o mais importante

Quando um agente é executado, o conteúdo da conversa segue para um modelo de linguagem. Isso significa que as mensagens, os ficheiros relevantes, o correio em que está a trabalhar e os resultados das ferramentas que chamou saem do Nessie e chegam ao fornecedor de modelos com o qual a sua instalação está configurada. Não existe forma de executar um agente sem que isto aconteça.

Qual é esse fornecedor depende da configuração. O Nessie pode comunicar com um pequeno conjunto fixo de fornecedores indicados no seu código, ou com qualquer ponto de acesso compatível com a OpenAI que um operador indique, e cada pessoa pode ligar as suas próprias subscrições de IA para que os seus agentes sejam executados numa conta que já paga. No Nessie Cloud, as chamadas são encaminhadas através de um gateway operado pela UnlikeOtherAI, que as transmite ao fornecedor a montante juntamente com informação assinada que identifica a organização, a equipa, a pessoa, o agente e a execução de onde a chamada proveio. A pesquisa na Web e a investigação aprofundada passam pelo mesmo gateway.

O Nessie Cloud usa vários fornecedores de inferência, para chat e para embeddings, e escolhe entre eles por custo e qualidade. Alguns estão fora da UE. Uma organização poderá escolher na admin quais os fornecedores que os seus agentes podem usar: só fornecedores ocidentais, só fornecedores europeus, só fornecedores chineses ou sem preferência, caso em que o Nessie escolhe o fornecedor mais eficiente para cada trabalho.

Missing, and required before launch: the providers in each group, whether any of them may use traffic for training, and the date the regional choice is available in Admin.

Outras entidades em que nos apoiamos

• Alojamento — fornecedores de alojamento europeus, como a Scaleway e a Hetzner, escolhidos serviço a serviço. Ver secção 6.
• Identidade — UnlikeOtherAI SSO, que guarda a conta, o perfil e a pertença à organização do utilizador.
• Pagamentos — a subscrição e o extrato do utilizador são geridos pela UnlikeOtherAI, e os pagamentos com cartão são processados pela Stripe. O próprio Nessie não guarda dados de cartões, subscrições nem faturas.
• Os serviços de que uma funcionalidade necessita. As caixas de correio de agentes alojadas enviam e recebem através do Amazon SES. Os números de telefone, as chamadas e as mensagens de texto dos agentes passam pela Twilio. As mensagens e os comentários do Facebook e do Instagram chegam através da API oficial da Meta. As sessões de navegador na cloud são executadas na Browserbase. As chamadas de voz para o seu assistente na aplicação abrem uma ligação de áudio direta entre o dispositivo do utilizador e a Google; as mensagens ditadas são transcritas pelo Google Speech-to-Text através do nosso gateway. A memória dos agentes é guardada pelo remember.ninja, um serviço de memória que nós próprios operamos. As ligações de reunião são geradas com o fornecedor escolhido pela organização do utilizador — Google Meet, Jitsi ou Microsoft Teams. As notificações móveis passam pelos serviços push da Apple e da Google, transportando uma referência interna e não o conteúdo das mensagens.
• Comunicação de falhas. Os erros de JavaScript da aplicação alojada, depois de higienizados, seguem para a região de dados da UE do Sentry. As comunicações de falhas nativas de iOS e Android seguem para o Google Firebase Crashlytics. Estes fornecedores podem tratar metadados de rede e de dispositivo necessários para entregar e agrupar os relatórios. Não anexamos deliberadamente conteúdo de conversas do Nessie a esses relatórios.
• Medição de utilização. As aplicações do Nessie contam, por dia, que áreas são abertas e se algumas ações têm êxito, sem conteúdo anexado; o país é lido da ligação e descartado, e os totais diários seguem para o Google Analytics. Pode desativar isto em As suas definições → Perfil → Ajude a melhorar o Nessie. Para escolher a língua na primeira visita, a aplicação pede ao GeoJS o país da ligação do utilizador.
• Tudo o que o utilizador ligar por si — o seu fornecedor de correio, os seus servidores MCP, as suas próprias contas de IA e serviços como o HubSpot, o Mailchimp, o LinkedIn ou o Xero. Essas são relações do utilizador e aplicam-se as políticas dos respetivos fornecedores.

Missing: a proper sub-processor list — every processor by legal name, what it does, where it processes data, and a way to be told before we add one. The list above is based on the current implementation, not a maintained register.

Divulgamos também dados pessoais quando a lei o exige, e a consultores profissionais sujeitos a dever de confidencialidade.

6. Onde se encontram os dados e transferências para fora da UE

O Nessie Cloud funciona em fornecedores de alojamento europeus — a Scaleway, a Hetzner e outros. Escolhemos o melhor serviço de cada um, pelo que diferentes partes do produto podem funcionar em fornecedores diferentes, todos na Europa.

O conteúdo do utilizador não permanece dentro dessa fronteira num caso importante: quando um agente é executado, o pedido segue para um fornecedor de modelos, e esse fornecedor pode tratá-lo fora da UE. O mesmo se aplica à pesquisa, às sessões de navegador, às chamadas de voz e a tudo o que o utilizador ligar por si. O alojamento próprio coloca o armazenamento sob o controlo do utilizador, mas não altera por si só este aspeto — a chamada ao modelo continua a sair das suas instalações.

Missing: the transfer mechanism relied on for each non-EU processor — standard contractual clauses, an adequacy decision, or something else — and the transfer impact assessment behind it.

7. Durante quanto tempo os conservamos

Com franqueza: o Nessie não tem um calendário automático de conservação ou eliminação. O conteúdo permanece até alguém o eliminar. O registo de auditoria é deliberadamente apenas de acréscimo e, atualmente, não é eliminado de todo, porque o objetivo de um registo à prova de adulteração é precisamente que as entradas não possam desaparecer discretamente. O produto não tem exportação de dados em autosserviço nem eliminação de organização em autosserviço; quando o utilizador nos pede para exportar ou apagar, fazemo-lo manualmente.

As exceções que podemos apontar no código:

• O correio de entrada em bruto das caixas de correio de agentes alojadas é eliminado do contentor de armazenamento após um período configurável, por defeito 30 dias, depois de a mensagem ter sido importada.
• Uma concessão temporária de navegador privado expira após quinze minutos, no máximo.
• As caches de identidade são mantidas apenas em memória e expiram em segundos ou minutos; nunca constituem um armazenamento duradouro.
• A Firebase indica que o Crashlytics conserva os registos de falhas e os identificadores de instalação associados durante 90 dias antes de iniciar a sua remoção. A conservação de eventos do Sentry segue o plano configurado para a nossa organização na UE.
• Desligar uma caixa de correio ligada não deixa correspondência copiada, porque nenhuma foi guardada. O correio de uma caixa de correio ligada à caixa de entrada de Clientes permanece como histórico de conversas até ser eliminado.

Missing: actual retention periods for content, audit entries, ledger entries, session records and backups, and a period after an account or organisation closes. We will not publish numbers the software does not enforce.

8. Como os dados são protegidos

De forma concreta, e apenas o que existe no código:

• Os segredos nunca estão na base de dados em claro. Os segredos dos clientes vão para um cofre dedicado; se não houver nenhum cofre configurado, o Nessie recusa guardar um segredo em vez de recorrer a texto simples. As credenciais das subscrições pessoais de IA vão para um segundo cofre, separado, de modo a que uma identidade limitada a um não consiga ler o outro. As credenciais de renovação, os tokens de conectores e as chaves push são guardados como envelopes AES-256-GCM sob um conjunto de chaves versionado que pode ser rodado.
• O material secreto é mantido longe dos modelos. Um agente pode saber que um segredo existe e ter autorização para o utilizar, mas o valor nunca deve entrar num prompt, num argumento de ferramenta, num resultado de ferramenta, na memória, em embeddings, em registos ou numa notificação. Nunca pode ser concedida a um agente a permissão de revelar um segredo.
• Um verificador recusa mensagens que contenham credenciais, tanto no editor como novamente no servidor, e pode apagar retroativamente uma credencial já publicada — incluindo da memória do agente obtida a partir dessa mensagem.
• O registo de auditoria é à prova de adulteração, encadeado por organização com SHA-256 e verificável a posteriori.
• Os agentes veem apenas o que lhes foi dado, e o que um agente leu condiciona quem pode ler a sua resposta, de modo a que o material de uma fonte privada não possa ser branqueado numa sala pública.
• Os pedidos de saída têm o IP fixado e são revalidados em cada redirecionamento, pelo que um endereço fornecido por um modelo ou por um utilizador não pode ser redirecionado para a infraestrutura interna.
• Os metadados de localização são removidos das fotografias carregadas (EXIF e GPS) no ponto único em que os ficheiros são guardados, a menos que uma organização desative essa opção.
• Tudo é cifrado em trânsito e o acesso é delimitado por função ao nível da organização, da equipa e do projeto.

Nenhuma segurança é perfeita. Se encontrar um problema, comunique-nos através de hello@nessie.works.

Missing: whether backups are encrypted and where they are held, and our breach notification commitment — how quickly we tell a customer after we become aware of a personal data breach.

9. Cookies e este sítio Web

Para escolher o título da página inicial, o nosso servidor verifica o país do endereço IP da ligação do utilizador numa base de dados local. Nenhum endereço IP é enviado para um serviço externo de geolocalização. O resultado da consulta não é guardado no navegador do utilizador. Este produto inclui dados GeoLite2 criados pela MaxMind, disponíveis em MaxMind, ao abrigo da licença CC BY-SA 4.0.

É tudo o que há:

• A escolha do utilizador quanto aos cookies é guardada num cookie próprio designado nessie-cookie-consent, definido por um ano em nessie.works e nos seus subdomínios, para que baste responder uma vez. Contém um único valor — se o utilizador permitiu a análise — e nenhum identificador. Uma cópia é também mantida no armazenamento local do navegador, caso os cookies estejam bloqueados. Nenhum servidor lê qualquer deles.
• Um cookie de preferências, nessie-device-colour, memoriza a cor que o utilizador escolheu para o computador na página inicial. É próprio, dura um ano e contém o nome de uma cor.
• A análise está desativada, a menos que o utilizador a ative. A barra oferece a escolha, nós memorizamos a resposta, e recusar não custa nada ao utilizador. A nossa ferramenta de análise é o Google Analytics e, neste site, só funciona depois de o utilizador a permitir.

Sem a autorização do utilizador, não há nenhum script de rastreio, nenhum pixel publicitário nem nenhuma etiqueta de terceiros de qualquer tipo. O utilizador pode reabrir a barra e mudar de ideias através da ligação de cookies no rodapé. As contagens de utilização que as aplicações do Nessie enviam estão descritas na secção 5.

Missing: what Google Analytics stores for this website and for how long.

Iniciar sessão no produto define cookies e guarda tokens que são estritamente necessários para manter a sessão iniciada. Não são opcionais e não são utilizados para rastreio.

10. Os seus direitos

Se o RGPD se aplicar ao utilizador, pode pedir-nos que:

• o informemos sobre os dados pessoais que detemos a seu respeito e lhe forneçamos uma cópia;
• retifiquemos tudo o que esteja incorreto;
• apaguemos os dados;
• limitemos o modo como os utilizamos, ou que o utilizador se oponha a esse tratamento, incluindo ao que fazemos com base em interesses legítimos;
• transmitamos os dados a outro serviço num formato de leitura automática;
• retire o consentimento quando nos tenhamos baseado nele, o que, no nosso caso, significa os cookies de análise.

Escreva para hello@nessie.works. Responderemos no prazo de um mês.

Duas ressalvas sinceras. Primeiro, se a organização do utilizador utiliza o Nessie Cloud, essa organização é a responsável pelo tratamento do que lá se encontra — pelo que, quanto às mensagens e ficheiros do utilizador, normalmente transmitiremos o pedido à organização e atuaremos segundo as suas instruções. Se lhe perguntar diretamente, obterá uma resposta mais rápida. Segundo, a conta do utilizador reside no UnlikeOtherAI SSO, pelo que um pedido relativo ao nome, endereço de correio eletrónico ou perfil é, na realidade, um pedido a esse serviço; indicar-lhe-emos para onde se dirigir.

O Nessie não toma decisões automatizadas com efeitos jurídicos ou igualmente significativos a respeito do utilizador. Os agentes produzem rascunhos, sugestões e ações; o que um agente pode fazer sem aprovação de uma pessoa é uma definição controlada pela organização do utilizador.

O utilizador pode ainda apresentar reclamação a uma autoridade de controlo da proteção de dados — na República Checa, o Úřad pro ochranu osobních údajů (Gabinete de Proteção de Dados Pessoais), ou a autoridade do país da UE onde vive ou trabalha. Preferimos que se dirija primeiro a nós.

11. Crianças

O Nessie é uma ferramenta para organizações e não se destina a crianças. Não tratamos conscientemente, através dele, dados pessoais de pessoas com menos de 16 anos, e não dirigimos nenhuma parte dele a crianças. Se considerar que os dados de uma criança foram parar ao Nessie Cloud, informe-nos e removê-los-emos.

12. Alterações a esta política

Atualizaremos esta página à medida que o produto evolui — e vai evoluir, porque várias secções acima dizem claramente que falta alguma coisa. Quando uma alteração afetar materialmente o utilizador, dizê-lo-emos em vez de editar discretamente a página, e a versão atualizada indicará a respetiva data.

Missing: how we notify customers of a material change, and whether earlier versions of this policy will stay available.

13. Contacto

hello@nessie.works, para questões de privacidade, pedidos relativos aos seus direitos e qualquer outro assunto desta página.

Missing: an EU representative under Article 27, if one is required and appointed. None is appointed today.