Política de Privacidade

1. Quem é o responsável pelo tratamento dos dados

A Nora é operada por:

Razão social: Nora AI
Nome fantasia: Nora
CNPJ: 66.045.624/0001-33
Endereço: Rua Leopoldo Couto de Magalhães Júnior, 1098, IT Office, conjunto 21, São Paulo, CEP 04542-001
Contato de privacidade: dev@noraai.co

Para os fins da LGPD, a empresa identificada acima atua como controladora dos dados pessoais tratados pela Nora, determinando as finalidades e os meios desse tratamento.

2. Dados que coletamos

A Nora coleta apenas as categorias de dados listadas abaixo. Quais delas efetivamente se aplicam depende dos recursos que o usuário utiliza, das permissões que concede e das contas que escolhe conectar.

Dados da conta

Nome e endereço de e-mail;
Senha, armazenada apenas na forma de hash criptográfico (nunca armazenamos nem transmitimos a senha em si);
O identificador da conta retornado pelo login com a Apple (Sign in with Apple) ou pelo login com o Google (Sign in with Google), quando o usuário entra por esses meios, juntamente com o nome e o endereço de e-mail que esses serviços compartilham conosco;
As preferências definidas pelo usuário durante a configuração, como idioma e áreas de foco.

Gravações e transcrições

Áudios que o usuário grava no aplicativo e as transcrições geradas a partir desses áudios;
Uma amostra de voz que o usuário grava durante a configuração inicial, usada para identificar quem está falando em gravações posteriores. A amostra e a assinatura vocal matemática derivada dela são processadas nos próprios sistemas da Nora e não são enviadas aos provedores de IA listados na seção 5;
Resumos, títulos, tópicos, lembretes e outros conteúdos que a Nora gera a partir das gravações do usuário.

Conteúdo do chat

Mensagens que o usuário escreve para a Nora e as respostas da Nora;
Fotos, imagens, documentos e outros arquivos que o usuário anexa no chat.

Conteúdo de apps conectados

Quando o usuário conecta uma conta, a Nora recebe conteúdo dessa conta dentro do escopo autorizado pelo usuário. Entre as contas que podem ser conectadas estão:

Google: Gmail, Agenda, Drive, Documentos, Planilhas, Apresentações e Tarefas;
Microsoft: Outlook, Teams, OneDrive e Excel;
Slack, Notion e Linear;
WhatsApp, incluindo mensagens e mídias;
Instagram e outras contas de redes sociais, como LinkedIn, YouTube, TikTok, X e Reddit;
Whoop e Oura, incluindo dados de sono, recuperação, prontidão e atividade;
Ferramentas de trabalho e produtividade, como GitHub, GitLab, Figma, Canva, ClickUp, Trello, Todoist, Calendly, Stripe, Vercel e Grafana.

A lista completa e atualizada é exibida na tela Integrações do aplicativo. Nenhuma conexão é feita sem a autorização expressa do usuário, que pode desconectar qualquer uma delas a qualquer momento.

Dados do dispositivo, com a permissão do usuário

Eventos de calendário e lembretes do iPhone, quando o usuário concede acesso ao calendário e aos lembretes;
Contatos, quando o usuário concede acesso aos contatos;
Localização: pontos coletados durante as gravações, locais que o usuário salva e as regiões que a Nora monitora para entregar lembretes baseados em localização;
Fotos e imagens da câmera, quando o usuário opta por anexá-las ou concede acesso à fototeca;
Falas que o usuário dita na caixa de mensagem, convertidas em texto pelo reconhecimento de fala do sistema operacional.

Dados técnicos e de assinatura

O token do dispositivo usado para enviar notificações push, incluindo notificações sobre as gravações e os lembretes do usuário;
Dados de uso necessários para operar a assinatura e aplicar sua cota, como o número e a duração das gravações, o número de mensagens e o custo de processamento atribuído à conta;
Informações do dispositivo e de diagnóstico, como versão do aplicativo, sistema operacional, idioma e relatórios de erro, usadas para manter o serviço funcionando;
Dados de cobrança, quando o usuário assina um plano, tratados pelo nosso provedor de pagamentos.

Dados de saúde recebidos do Whoop, do Oura ou de fontes semelhantes podem ser considerados dados pessoais sensíveis nos termos da LGPD e são tratados de acordo com essa classificação.

A Nora não coleta nada de um app que o usuário não tenha conectado e não usa o microfone fora das gravações iniciadas pelo usuário.

3. Como coletamos os dados

Todos os dados descritos acima chegam à Nora como resultado direto de uma ação realizada pelo usuário no aplicativo. Especificamente, a Nora recebe dados quando o usuário:

Cria uma conta ou entra com a Apple ou com o Google;
Inicia uma gravação;
Grava a amostra de voz durante a configuração inicial;
Escreve uma mensagem ou anexa uma foto, um documento ou outro arquivo;
Conecta uma conta externa e autoriza o escopo dessa conexão;
Concede uma permissão do sistema no dispositivo;
Assina um plano pago.

Cada permissão do dispositivo (microfone, reconhecimento de fala, calendário, lembretes, contatos, localização, notificações, câmera e fototeca) é solicitada separadamente e concedida expressamente pelo usuário por meio do iOS. A Nora não consegue acessar nenhuma delas até que o iOS registre essa permissão, e o usuário pode revogar qualquer uma delas a qualquer momento no app Ajustes do iOS. A revogação de uma permissão interrompe a coleta correspondente, e os recursos que dependem dela deixam de funcionar.

A Nora não compra dados pessoais de terceiros e não coleta dados de pessoas que não sejam usuárias, exceto as informações contidas em conteúdo que o próprio usuário grava, escreve, anexa ou importa de uma conta que conectou.

4. Como usamos os dados

A Nora usa os dados coletados para as seguintes finalidades, e nenhuma outra:

Transcrever os áudios que o usuário grava;
Identificar quem está falando nas gravações do usuário;
Responder ao usuário no chat, inclusive com respostas baseadas em arquivos anexados;
Gerar resumos, títulos, tópicos, lembretes e sugestões a partir do conteúdo do usuário;
Executar rotinas e ações solicitadas pelo usuário, inclusive ações nas contas que ele conectou;
Personalizar a assistente, para que ela leve em conta o que o usuário já gravou, escreveu, salvou e definiu como preferência;
Organizar e recuperar as informações que o usuário armazenou na Nora;
Enviar as notificações e os lembretes baseados em localização solicitados pelo usuário;
Criar e manter a conta e autenticar o usuário;
Operar a assinatura, incluindo cobrança e controle de cota;
Manter o serviço seguro, estável e em funcionamento, incluindo o diagnóstico de erros e a prevenção de abusos;
Prestar suporte e atender às solicitações dos usuários;
Cumprir obrigações legais e regulatórias.

A Nora não vende dados pessoais, não usa o conteúdo dos usuários para publicidade e não usa o conteúdo dos usuários para treinar modelos de inteligência artificial, sejam os seus próprios, sejam os de terceiros.

O tratamento é realizado com base nas hipóteses legais aplicáveis a cada atividade, incluindo a execução de contrato, o consentimento, o cumprimento de obrigação legal ou regulatória, o exercício regular de direitos, o legítimo interesse e, no caso de dados pessoais sensíveis, como dados de saúde, as hipóteses legais específicas previstas na LGPD.

5. Provedores terceiros de IA

Para operar a Nora, compartilhamos o conteúdo dos usuários com provedores de inteligência artificial que o processam em nosso nome: Anthropic, Google e OpenAI. Direcionamos cada tarefa ao modelo que melhor a executa, por isso os modelos específicos mudam ao longo do tempo; as empresas listadas acima são as únicas empresas de IA cujos modelos processam o conteúdo dos usuários.

Cada um desses provedores trata os dados nos termos de um contrato de tratamento de dados que exige proteção igual ou equivalente à que oferecemos nesta Política, exclusivamente para a finalidade de operar a Nora, e que não permite o uso dos dados para treinar seus próprios modelos.

O conteúdo enviado a eles se limita ao necessário para executar o recurso solicitado: os áudios e as transcrições das gravações do usuário, as mensagens e os arquivos enviados no chat, o conteúdo das contas que o usuário conectou, os locais que o usuário salvou ou compartilhou quando a localização está ativada, e o nome e as preferências de configuração do usuário. A senha do usuário nunca é enviada, tampouco qualquer dado de um app que o usuário não tenha conectado.

Dois intermediários técnicos levam esse conteúdo até esses modelos em nosso nome, nos mesmos termos contratuais descritos acima (a mesma limitação de finalidade, a mesma exigência de proteção e a mesma proibição de treinamento):

OpenRouter, o serviço de roteamento por meio do qual acessamos os modelos que respondem ao usuário no chat, geram resumos e lembretes e executam as ações solicitadas;
Groq, que executa o modelo de reconhecimento de fala que converte em texto os áudios que o usuário grava.

Separadamente, quando o usuário pede à Nora algo que exige uma busca na web, a consulta de busca (que pode incluir conteúdo escrito pelo usuário) é enviada ao nosso provedor de busca, Exa, e, se o usuário tiver conectado uma ferramenta de pesquisa na web, como Firecrawl ou Tavily, também a essa ferramenta. Esses provedores recebem a consulta, e não as gravações, os arquivos ou o conteúdo das contas conectadas do usuário.

Antes que qualquer desses conteúdos seja enviado, o próprio aplicativo informa o que é enviado e quais empresas o recebem, e solicita a concordância expressa do usuário. Sem essa concordância, a Nora não consegue transcrever, responder ou organizar nada.

6. Outros provedores que tratam dados para nós

Além dos provedores de IA mencionados na seção 5, os seguintes provedores tratam dados pessoais em nome da Nora, cada um nos termos de um contrato que exige proteção igual ou equivalente à que oferecemos nesta Política, limitado à finalidade descrita:

Amazon Web Services (AWS): hospedagem dos nossos servidores e bancos de dados, e armazenamento das gravações e dos arquivos anexados;
Composio: conexão técnica com as contas externas que o usuário conecta, que transmite o conteúdo trocado com essas contas;
Expo e Apple (Apple Push Notification service): envio de notificações push ao dispositivo do usuário;
Stripe: processamento de pagamentos e assinaturas. A Nora não recebe nem armazena números completos de cartão;
Sentry: relatórios de erros e diagnósticos, usados para detectar e corrigir falhas;
Vercel: hospedagem e medição de audiência do site noraai.co. Isso se aplica apenas ao site, e não aos dados do aplicativo.

A Nora também pode compartilhar dados pessoais com autoridades públicas e órgãos reguladores, quando exigido por lei, ordem judicial ou obrigação regulatória; com assessores profissionais, quando necessário para o exercício ou a defesa de direitos; e com empresa envolvida em reestruturação societária, fusão ou aquisição, observadas as proteções desta Política. A Nora não vende dados pessoais.

7. Contas que o usuário conecta

Quando o usuário conecta uma conta externa, a Nora a acessa apenas dentro do escopo autorizado e somente para executar os recursos solicitados pelo usuário. Cada uma dessas plataformas é controladora independente dos dados que mantém e possui seus próprios termos e política de privacidade, que a Nora não controla.

O usuário pode desconectar qualquer integração a qualquer momento no aplicativo. A desconexão interrompe todo acesso posterior. O conteúdo já importado permanece na conta até que o usuário o exclua ou exclua a conta.

8. Armazenamento e retenção

Gravações, transcrições, conteúdo do chat, conteúdo importado e demais dados associados à conta permanecem armazenados enquanto a conta estiver ativa, para que o usuário possa acessar seu histórico e para que os recursos de memória e personalização da Nora funcionem.

Os dados são excluídos:

Quando o usuário exclui a conta;
Mediante solicitação do usuário;
Quando deixam de ser necessários para as finalidades descritas na seção 4;
Quando seu armazenamento deixa de ser permitido pela legislação aplicável.

Mesmo após uma solicitação de exclusão, determinadas informações podem ser retidas pelo período necessário para o cumprimento de obrigações legais ou regulatórias, para o exercício regular de direitos, para a prevenção de fraudes e para a segurança do serviço. Cópias residuais podem permanecer temporariamente em sistemas de backup até serem sobrescritas, de acordo com nossos ciclos técnicos de retenção.

9. Exclusão dos seus dados e revogação do consentimento

Exclusão dos seus dados. O usuário pode excluir sua conta diretamente no aplicativo, em Configurações, pela opção “Excluir conta”. A exclusão da conta remove os dados do usuário da Nora (incluindo gravações, transcrições, a amostra de voz e a assinatura vocal derivada dela, conteúdo do chat, arquivos anexados, locais salvos, conteúdo importado e preferências), observados os prazos técnicos e os casos limitados de retenção descritos na seção 8. A exclusão é irreversível.

O usuário também pode solicitar a exclusão por e-mail, pelo endereço dev@noraai.co. Podemos solicitar informações adicionais para confirmar a identidade do solicitante e evitar exclusões indevidas.

Revogação do consentimento. O usuário pode revogar o consentimento a qualquer momento, por qualquer dos seguintes meios:

Revogando uma permissão específica do dispositivo (microfone, reconhecimento de fala, calendário, lembretes, contatos, localização, notificações, câmera ou fototeca) no app Ajustes do iOS, o que interrompe essa coleta;
Desconectando uma integração no aplicativo, o que interrompe todo acesso posterior a essa conta;
Excluindo a conta em Configurações, o que revoga o consentimento para o tratamento do conteúdo do usuário pelos provedores de IA mencionados na seção 5 e remove os dados do usuário da Nora;
Escrevendo para dev@noraai.co, para qualquer solicitação que não possa ser concluída no aplicativo.

Como a Nora não consegue transcrever, responder ou organizar nada sem enviar conteúdo a um provedor de IA, revogar esse consentimento significa que a assistente não poderá mais ser usada. A revogação não afeta o tratamento realizado licitamente antes dela.

10. Transferências internacionais de dados

Os provedores mencionados nas seções 5 e 6 podem armazenar ou tratar informações fora do Brasil, inclusive nos Estados Unidos. Nesses casos, a Nora adota os mecanismos e as salvaguardas exigidos pela LGPD e pela regulamentação aplicável, incluindo cláusulas contratuais que exigem proteção igual ou equivalente à prevista nesta Política.

11. Segurança

A Nora adota medidas técnicas, administrativas e organizacionais destinadas a proteger os dados pessoais contra acessos não autorizados e contra situações acidentais ou ilícitas de destruição, perda, alteração, divulgação ou tratamento inadequado. Entre elas estão a criptografia dos dados em trânsito, controles de acesso limitados ao que cada provedor precisa e o armazenamento de senhas apenas na forma de hash criptográfico.

Nenhum sistema é totalmente imune a riscos. Os usuários devem proteger suas credenciais de acesso, usar senhas seguras e comunicar imediatamente qualquer suspeita de acesso não autorizado à sua conta.

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares dos dados, a Nora adotará as medidas exigidas por lei, incluindo as comunicações eventualmente aplicáveis.

12. Direitos do usuário

Nos termos da LGPD, o usuário pode solicitar, quando aplicável:

Confirmação da existência de tratamento;
Acesso aos dados pessoais;
Correção de dados incompletos, inexatos ou desatualizados;
Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
Portabilidade dos dados, de acordo com a regulamentação aplicável;
Informação sobre as entidades com as quais os dados foram compartilhados;
Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
Revogação do consentimento;
Eliminação dos dados tratados com base no consentimento, ressalvadas as exceções legais;
Oposição a tratamento realizado em desconformidade com a LGPD;
Revisão de decisões tomadas unicamente com base em tratamento automatizado, quando aplicável;
Peticionamento perante a Autoridade Nacional de Proteção de Dados (ANPD).

As solicitações podem ser enviadas para dev@noraai.co. A Nora pode solicitar informações adicionais para confirmar a identidade do solicitante e evitar acessos ou exclusões indevidos.

13. Crianças e adolescentes

O tratamento de dados pessoais de crianças e adolescentes é realizado em seu melhor interesse e de acordo com as proteções previstas na legislação aplicável.

Quando exigido, o tratamento de dados de crianças depende de consentimento específico e em destaque dado por pelo menos um dos pais ou pelo responsável legal. A Nora poderá adotar medidas razoáveis para verificar essa autorização.

Pais e responsáveis legais podem entrar em contato pelo e-mail dev@noraai.co para solicitar acesso, correção ou exclusão de dados relativos a crianças sob sua responsabilidade.

14. Encarregado pelo tratamento de dados pessoais

O encarregado pelo tratamento de dados pessoais, também conhecido como DPO (Data Protection Officer), é a pessoa indicada para atuar como canal de comunicação entre a empresa, os usuários e a Autoridade Nacional de Proteção de Dados.

Até que a Nora indique e divulgue a identidade do seu encarregado, dúvidas e solicitações relacionadas à privacidade podem ser enviadas para dev@noraai.co.

15. Alterações nesta Política

Esta Política pode ser atualizada para refletir mudanças nos serviços ou nas operações da Nora, ou na legislação aplicável. Se adicionarmos um provedor que receba conteúdo dos usuários, ou uma nova finalidade para a qual os dados sejam usados, esta Política será atualizada antes que essa mudança entre em vigor.

Quando ocorrerem alterações relevantes, a Nora poderá notificar os usuários pelo aplicativo, por e-mail ou por outro meio adequado. A data da versão mais recente é indicada no início do documento.

16. Contato

Para dúvidas, solicitações ou reclamações relacionadas a esta Política ou ao tratamento de dados pessoais:

E-mail: dev@noraai.co
Endereço: Rua Leopoldo Couto de Magalhães Júnior, 1098, IT Office, conjunto 21, São Paulo, CEP 04542-001