Política de Privacidade do NX CRM
1. Quem somos e qual é o nosso papel
O NX CRM é um sistema de atendimento e gestão de clientes usado por empresas e por agências. Cada empresa que usa o NX CRM tem o próprio espaço de trabalho, separado dos demais.
Quando uma empresa conecta os canais dela ao NX CRM e atende os clientes dela por aqui, essa empresa é a controladora dos dados das pessoas que falam com ela, e nós somos a operadora: tratamos esses dados por conta dela e conforme as instruções dela.
2. Dados do Instagram
Quando uma empresa conecta a conta profissional dela do Instagram ao NX CRM, tratamos, em nome dessa empresa: as mensagens diretas e os comentários recebidos pela conta e as respostas enviadas pela equipe dela; o identificador, o nome, o @ e a foto de perfil de quem escreveu para a conta; e os identificadores das publicações comentadas.
Usamos esses dados só para exibir e responder as conversas dentro do CRM da própria empresa e para as automações que ela configurar. Não vendemos esses dados e não os usamos para publicidade. Dentro do NX CRM, eles ficam no espaço de trabalho daquela empresa e daquela conta de Instagram.
O que não é copiado para os nossos servidores
As fotos, os vídeos e os áudios recebidos nas mensagens e a foto de perfil de quem escreveu não são baixados nem guardados por nós: são exibidos no navegador de quem atende a partir do endereço fornecido pela Meta, enquanto a Meta os disponibilizar. Quando a Meta deixa de servir o arquivo, a conversa mostra um marcador de mídia indisponível.
Os arquivos que a própria equipe da empresa envia pelo CRM ficam guardados conosco, como qualquer anexo enviado pela empresa.
Quando a pessoa apaga uma mensagem no Instagram
Apagamos o conteúdo e a mídia dessa mensagem no CRM. A conversa continua existindo, com a mensagem marcada como apagada.
Como revogar o acesso
A empresa pode revogar a qualquer momento no CRM, em Configurações > Integrações > card Instagram > "Gerenciar" > "Remover autorização", o que desconecta a conta e apaga o token de acesso na hora. As conversas já recebidas continuam no CRM da empresa, que é a controladora delas.
A revogação também pode ser feita no app do Instagram, em Configurações > Permissões do site > Apps e sites > Remover e, se a conta tiver sido conectada pelo Facebook, no Facebook, em Configurações e privacidade > Configurações > Apps e sites. Esses dois caminhos são telas da Meta, e ela muda o nome e o lugar delas de tempos em tempos: se o nome estiver diferente no seu aparelho, procure nas configurações da conta a lista de apps e sites conectados a ela.
O que apagamos quando a remoção é feita no Instagram ou no Facebook
Isso também vale quando a Meta nos envia um pedido de exclusão de dados da conta. Apagamos na hora, só daquela conta de Instagram e só no espaço de trabalho dela:
- o token de acesso e o cadastro da conta;
- as conversas de Instagram dessa conta, com as mensagens, os comentários e os anexos delas;
- os contatos criados por essa conta, com as oportunidades desses contatos;
- os registros ligados a essas conversas, inclusive o histórico de execução das automações, os registros de uso de IA e a auditoria de conteúdo.
O contato que também conversou com a empresa por outro canal continua na base da empresa, sem o que o Instagram contou: sai a identidade do Instagram, o @, o nome do perfil e a foto vinda da Meta, e o nome que tinha sido gerado a partir do Instagram passa a ser o nome que o outro canal informou, ou o telefone, ou um nome neutro. Nome cadastrado por uma pessoa é preservado.
Acompanhamento do pedido
A Meta recebe de nós um código de confirmação e o endereço onde o andamento pode ser consultado:
https://api.nxbrasil.com/api/public/data-deletion-status?id=SEU_CODIGOO código tem 16 caracteres e pode trazer letras maiúsculas e minúsculas, números, hífen (-) e sublinhado (_). Copie o código inteiro no lugar de SEU_CODIGO.
Essa página mostra só o estado do pedido, as datas e as contagens do que foi apagado. Nunca mostra nome, @ ou identificador de pessoa. Enquanto o pedido está em andamento, uma etapa que falhar é repetida automaticamente até a data que a própria página informa.
Há um caso em que não existe nova tentativa automática: quando o pedido inteiro é dado como não concluído. A página diz isso com todas as letras e pede que você escreva para a nossa caixa de privacidade informando o código, e nós concluímos a exclusão na mão.
Prazo de guarda
Enquanto a empresa mantiver a conta conectada e não pedir a exclusão, as conversas de Instagram ficam no CRM dela, sem prazo automático de descarte. A empresa pode excluir ou anonimizar o cadastro de uma pessoa a qualquer momento, em Configurações > Privacidade.
3. Seus direitos
Se você conversou com uma empresa que usa o NX CRM, essa empresa é a controladora dos seus dados. Peça a ela o acesso, a correção, a portabilidade, a anonimização ou a exclusão dos seus dados. Dentro do CRM, essa empresa consegue exportar, anonimizar ou excluir o seu cadastro em Configurações > Privacidade.
Se você não conseguir contato com a empresa, escreva para privacidade@nxbrasil.com dizendo com qual empresa você falou, e encaminhamos o pedido a ela.
O passo a passo completo, por caso, está em Como pedir a exclusão dos seus dados.
4. Com quem compartilhamos
Não vendemos dados e não os usamos para publicidade. Compartilhamos apenas com os fornecedores de que o serviço precisa para existir. Esta é a lista conferida no código do produto e no ar em 23 de setembro de 2026, e ela é atualizada sempre que entra ou sai fornecedor:
- Meta: é a origem e o destino das mensagens e dos comentários do Instagram. Os dados descritos na seção 2 já estão com a Meta antes de chegarem ao NX CRM. Política da Meta.
- Hostinger: a VPS onde o NX CRM roda. É nessa máquina que ficam o banco de dados, os anexos e os backups. Política da Hostinger.
- Cloudflare: DNS e borda dos endereços do domínio nxbrasil.com. Todo acesso ao CRM, à API e a esta página passa por ela. Política da Cloudflare.
- Anthropic: é o provedor de IA padrão do produto. Recebe o trecho da conversa quando a empresa liga um agente de IA naquela conversa. Política da Anthropic.
- OpenAI: tem dois papéis. É o provedor de IA de reserva na conversa, e nesse papel só é chamado se a chave estiver configurada no nosso ambiente e a chamada ao provedor padrão falhar. E é também o provedor de embeddings da busca na base de conhecimento, e nesse papel entra no caminho normal, sem depender de falha nenhuma: quando o agente de IA ligado na conversa tem documentos anexados à base de conhecimento, o texto da última mensagem da conversa é enviado à OpenAI para gerar o vetor da busca, inclusive quando essa mensagem veio do Instagram, e o conteúdo dos documentos anexados é enviado no momento em que são indexados. Os dois papéis dependem da chave da OpenAI estar configurada no nosso ambiente: sem a chave, o vetor é calculado na própria VPS e nada sai dela. Política da OpenAI.
- UAZAPI: o nosso provedor de WhatsApp. Trata só o canal de WhatsApp.
- Google: entrada no CRM por conta Google e leitura de métricas do Google Ads e do Google Analytics, quando a empresa conecta essas contas. Além disso, o CRM carrega do Google as fontes tipográficas da interface (Google Fonts) a cada abertura de tela, o que envia ao Google o endereço IP e o User-Agent de quem está atendendo, sempre, mesmo sem login por conta Google e sem nenhuma conta de anúncio ou de análise conectada. Política do Google.
- ElevenLabs: transcreve mensagens de áudio guardadas no CRM, quando quem atende pede a transcrição e o recurso está habilitado no nosso ambiente. Política da ElevenLabs.
A UAZAPI e o Google não recebem o conteúdo das conversas de Instagram: a UAZAPI trata só o canal de WhatsApp; o Google recebe a entrada no CRM, as contas de anúncio e de análise que a empresa conectar e, pelas fontes tipográficas da interface, o endereço IP e o User-Agent de quem abre o CRM.
A IA não entra sozinha: no NX CRM a conversa nasce com a IA desligada, e é a empresa que decide ligar. Empresa que não ligar nenhum agente de IA não tem conversa enviada a provedor de IA.
5. Onde os dados ficam
- Uma máquina só: o NX CRM roda numa VPS contratada na Hostinger. O banco de dados, os anexos enviados pela equipe e os backups ficam nessa mesma máquina.
- Anexo em disco, não em nuvem de terceiro: o arquivo fica no disco da VPS e o banco guarda só o índice dele. Não usamos serviço de armazenamento de arquivos de terceiro.
- Nada exposto direto: os serviços escutam só dentro da máquina. O que é público passa pelo servidor web dela, com certificado emitido pela Let's Encrypt, e pela Cloudflare.
- Em trânsito: HTTPS em todo acesso público.
- Em repouso: os tokens de acesso das integrações, inclusive o do Instagram, ficam cifrados com AES-256-GCM. Em produção, o sistema se recusa a subir sem a chave de cifragem.
- Backups: diários, cifrados no momento em que são gerados e guardados por 14 dias. Hoje não enviamos backup para nenhum serviço de nuvem de terceiro.
6. Cookies e esta página
Esta página e a de instruções de exclusão são arquivos estáticos. O arquivo não traz cookie nosso, script nosso, rastreador nem formulário: não há nada aqui que nos conte que você passou.
As duas são servidas pela Cloudflare, que fica na frente do domínio nxbrasil.com. A Cloudflare registra o acesso, insere script próprio e pode gravar cookie técnico de segurança no seu navegador. Na medição de 23 de setembro de 2026, a resposta do servidor não trouxe cookie nenhum e trouxe dois scripts da Cloudflare: o da proteção contra robô e o que revela o endereço de e-mail que ela mesma esconde no código. O endereço de contato desta página leva o marcador que pede à Cloudflare para não escondê-lo, e ainda assim, na mesma medição, o endereço apareceu limpo no texto e o do link foi reescrito por ela para um endereço /cdn-cgi/l/email-protection, decodificado no seu navegador por esse segundo script. Não há prova de que isso mude enquanto essa função continuar ligada na conta da Cloudflare. O que a Cloudflare trata está na política dela.
O NX CRM também não usa cookie: a credencial de sessão de quem atende fica no armazenamento local do próprio navegador.
7. Encarregado pelo tratamento e contato
Encarregado pelo Tratamento de Dados (DPO): Arthur Pinto.
Contato: privacidade@nxbrasil.com
Escreva para essa caixa para qualquer dúvida ou pedido sobre privacidade, inclusive os direitos da seção 3. Respondemos no prazo da lei.
Se você entender que o seu pedido não foi atendido, pode procurar a Autoridade Nacional de Proteção de Dados (ANPD).
NX CRM Privacy Policy
1. Who we are and what our role is
NX CRM is a customer conversation and management system used by businesses and by agencies. Every business using NX CRM has its own workspace, separate from all others.
When a business connects its channels to NX CRM and serves its customers here, that business is the controller of the data of the people who talk to it, and we are the processor: we process that data on its behalf and under its instructions.
2. Instagram data
When a business connects its own Instagram professional account to NX CRM, we process, on that business's behalf: the direct messages and comments received by the account and the replies sent by its team; the ID, name, username and profile picture of the people who contacted the account; and the IDs of the posts that were commented on.
We use this data only to display and answer conversations inside the business's own CRM and to run the automations the business configures. We do not sell this data and we do not use it for advertising. Inside NX CRM it stays within that business's workspace and that Instagram account.
What is not copied to our servers
Photos, videos and audio received in messages, and the profile pictures of the people who contacted the account, are not downloaded or stored by us: they are rendered in the agent's browser from the address provided by Meta, for as long as Meta serves it. When Meta stops serving the file, the conversation shows a "media unavailable" marker.
Files that the business's own team sends through the CRM are stored by us, like any attachment the business uploads.
When a person deletes a message on Instagram
We delete that message's content and media in the CRM. The conversation remains, with the message marked as deleted.
How to revoke access
The business can revoke access at any time in the CRM, under Settings > "Integrações" [Integrations] > the Instagram card > "Gerenciar" [Manage] > "Remover autorização" [Remove authorization], which disconnects the account and deletes the access token immediately. Conversations already received remain in the business's CRM, as the business is their controller. Some labels inside the CRM are still shown in Portuguese even when the interface is set to English; the English meaning is in brackets.
Access can also be revoked in the Instagram app, under Settings > Website permissions > Apps and websites > Remove and, if the account was connected through Facebook, in Facebook, under Settings & privacy > Settings > Apps and websites. Both paths are Meta screens, and Meta renames and moves them from time to time: if the name is different on your device, look in the account settings for the list of apps and websites connected to it.
What we delete when access is removed in Instagram or Facebook
The same applies when Meta sends us a data deletion request for the account. We immediately delete, for that Instagram account only and only in its workspace:
- the access token and the account record;
- that account's Instagram conversations, with their messages, comments and attachments;
- the contacts created by that account, together with those contacts' leads;
- the records linked to those conversations, including automation run history, AI usage records and content audit trails.
A contact who also talked to the business through another channel stays in the business's records, without what Instagram contributed: the Instagram identity, username, profile name and the Meta-hosted picture are removed, and a name that had been generated from Instagram is replaced by the name the other channel provided, or the phone number, or a neutral name. A name entered by a human is preserved.
Checking the request
Meta receives from us a confirmation code and the address where the status can be checked:
https://api.nxbrasil.com/api/public/data-deletion-status?id=YOUR_CODEThe code is 16 characters long and may contain upper and lower case letters, digits, hyphen (-) and underscore (_). Paste the whole code in place of YOUR_CODE.
That page shows only the request status, the dates and the counts of what was deleted. It never shows a name, username or personal identifier. While the request is still in progress, a step that fails is retried automatically until the date shown on that page.
There is one case with no automatic retry: when the whole request is reported as not completed. The page says so in plain words and asks you to write to our privacy mailbox with the code, and we complete the deletion by hand.
Retention
While the business keeps the account connected and does not request deletion, Instagram conversations remain in its CRM with no automatic disposal period. The business can delete or anonymize a person's record at any time, under Settings > "Privacidade" [Privacy].
3. Your rights
If you talked to a business that uses NX CRM, that business is the controller of your data. Ask it directly for access, correction, portability, anonymization or deletion. Inside the CRM, that business can export, anonymize or delete your record under Settings > "Privacidade" [Privacy].
If you cannot reach the business, write to privacidade@nxbrasil.com telling us which business you talked to, and we will forward the request.
The full step by step, case by case, is at How to request deletion of your data.
4. Who we share data with
We do not sell data and we do not use it for advertising. We share it only with the vendors the service needs in order to exist. This is the list as checked in the product code and in production on 23 September 2026, and it is updated whenever a vendor is added or removed:
- Meta: the origin and the destination of Instagram messages and comments. The data described in section 2 is already with Meta before it reaches NX CRM. Meta privacy policy.
- Hostinger: the VPS where NX CRM runs. The database, the attachments and the backups live on that machine. Hostinger privacy policy.
- Cloudflare: DNS and edge for the nxbrasil.com addresses. Every request to the CRM, to the API and to this page goes through it. Cloudflare privacy policy.
- Anthropic: the product's default AI provider. It receives the excerpt of the conversation when the business turns an AI agent on in that conversation. Anthropic privacy policy.
- OpenAI: it has two roles. It is the fallback AI provider for conversations, and in that role it is called only when the key is configured in our environment and the call to the default provider fails. It is also the embeddings provider for knowledge base search, and in that role it is on the normal path, with no failure involved: when the AI agent turned on in the conversation has documents attached to its knowledge base, the text of the last message in the conversation is sent to OpenAI to generate the search vector, including when that message came from Instagram, and the content of the attached documents is sent when they are indexed. Both roles depend on the OpenAI key being configured in our environment: without the key, the vector is computed on our own VPS and nothing leaves it. OpenAI privacy policy.
- UAZAPI: our WhatsApp provider. It handles the WhatsApp channel only.
- Google: signing in to the CRM with a Google account, and reading Google Ads and Google Analytics metrics when the business connects those accounts. On top of that, the CRM loads the interface typefaces from Google (Google Fonts) every time a screen opens, which sends Google the IP address and the User-Agent of the person answering, always, even with no Google sign in and with no advertising or analytics account connected. Google privacy policy.
- ElevenLabs: transcribes voice messages stored in the CRM, when someone on the team asks for the transcript and the feature is enabled in our environment. ElevenLabs privacy policy.
UAZAPI and Google receive no content from Instagram conversations: UAZAPI handles the WhatsApp channel only; Google receives the sign in, the advertising and analytics accounts the business connects and, through the interface typefaces, the IP address and the User-Agent of whoever opens the CRM.
AI does not switch itself on: in NX CRM a conversation starts with AI turned off, and it is the business that decides to turn it on. A business that turns no AI agent on sends no conversation to an AI provider.
5. Where the data lives
- One machine: NX CRM runs on a VPS contracted at Hostinger. The database, the attachments uploaded by the team and the backups all live on that same machine.
- Attachments on disk, not in third party cloud storage: the file sits on the VPS disk and the database keeps only its index. We use no third party file storage service.
- Nothing exposed directly: the services listen inside the machine only. What is public goes through its web server, with a certificate issued by Let's Encrypt, and through Cloudflare.
- In transit: HTTPS on every public request.
- At rest: the integration access tokens, the Instagram one included, are encrypted with AES-256-GCM. In production the system refuses to start without the encryption key.
- Backups: daily, encrypted as they are generated and kept for 14 days. Today we send no backup to any third party cloud service.
6. Cookies and this page
This page and the data deletion instructions page are static files. The file carries no cookie of ours, no script of ours, no tracker and no form: there is nothing here that tells us you came by.
Both are served by Cloudflare, which sits in front of the nxbrasil.com domain. Cloudflare logs the request, injects scripts of its own and may write a technical security cookie in your browser. Measured on 23 September 2026, the server response carried no cookie at all and carried two Cloudflare scripts: the one from its bot protection and the one that reveals the email address Cloudflare itself hides in the code. The contact address on this page carries the marker that asks Cloudflare not to hide it, and even so, in that same measurement, the address showed clean in the text while the one in the link was rewritten by Cloudflare into a /cdn-cgi/l/email-protection address, decoded in your browser by that second script. There is no proof that this changes while that feature stays on in the Cloudflare account. What Cloudflare processes is covered by its own policy.
NX CRM uses no cookie either: the session credential of the person answering stays in the browser's own local storage.
7. Data protection officer and contact
Data Protection Officer (DPO): Arthur Pinto.
Contact: privacidade@nxbrasil.com
Write to that mailbox for any privacy question or request, including the rights in section 3. We answer within the legal deadline.
If you believe your request was not honoured, you may contact the Brazilian data protection authority, Autoridade Nacional de Proteção de Dados (ANPD).