Última atualização: 29.10.2026
A NeXa é um serviço da Cleverthings Consulting, com sede em Lisboa, Portugal ("Cleverthings", "nós"). Contacto para assuntos de privacidade: info@cleverthings.pt.
A NeXa é uma assistente virtual de WhatsApp com agenda: atende os clientes de um negócio (salão, clínica, estúdio...) e marca, altera e cancela marcações em nome desse negócio.
| Quem | Que papel temos | Quem decide sobre os dados |
|---|---|---|
| Empresários que subscrevem a NeXa (os nossos clientes) | Responsável pelo tratamento | Cleverthings |
| Clientes finais que falam com a NeXa de um negócio pelo WhatsApp | Subcontratante (tratamos os dados por conta do negócio) | O negócio que usa a NeXa |
Se é cliente final de um negócio que usa a NeXa, o responsável pelos seus dados é esse negócio. Pode exercer os seus direitos junto dele ou junto de nós, e nós encaminhamos o pedido.
Empresários: - identificação e contacto (nome, email, nome da empresa, número de WhatsApp do negócio, telefone do responsável); - conta Google, se usar esse login (nome, email e identificador); - configuração da assistente, agenda, serviços e preços; - faturação, tratada pelo Stripe: plano, estado da subscrição e identificadores do Stripe. Não guardamos dados do cartão; - registos técnicos (acessos e erros, ver «Visitantes do site e do Portal»).
Visitantes do site e do Portal (qualquer pessoa que abra nexa.cleverthings.pt): - registos de acesso: endereço IP, browser e sistema (User-Agent), idioma do browser, página pedida, site de onde veio, hora e resultado do pedido; a partir do IP calculamos, no nosso servidor, o país e a cidade aproximados; - na página de entrada do Portal, os dados técnicos usados pela verificação anti-robô (ver secção 8).
Clientes finais (por conta do negócio): - número de telefone (WhatsApp) e nome; - mensagens trocadas com a assistente (texto; as mensagens de voz são transcritas e as imagens descritas automaticamente); - marcações (serviço, dia, hora e notas), incluindo marcações para outras pessoas indicadas pelo cliente; - uma memória curta de preferências (ex.: serviço habitual, para quem costuma marcar), para melhorar o atendimento. - um histórico do relacionamento com o negócio (primeiro contacto, marcações e alterações, pedidos para falar com uma pessoa e se aceita ou não receber ofertas), que o negócio pode consultar e exportar.
Não pedimos dados de saúde nem outras categorias especiais. Num negócio da área da saúde ou do bem-estar, o próprio pedido de marcação pode revelá-los. Nesse caso, o negócio é responsável por garantir a base legal e deve configurar a assistente para não recolher mais do que o necessário.
| Finalidade | Fundamento (RGPD) |
|---|---|
| Prestar o serviço ao empresário (conta, assistente, agenda, lembretes) | Execução do contrato (art. 6.º, n.º 1, al. b)) |
| Atender os clientes finais e gerir as suas marcações | Por conta do negócio, nos termos do acordo de subcontratação |
| Ajudar o negócio a manter a relação com os seus clientes (ex.: lembrar uma nova marcação, sugerir serviços semelhantes aos que já fez) | Por conta do negócio, que é o responsável. O cliente pode opor-se a qualquer momento, pedindo-o ao negócio, e deixa de receber ofertas |
| Faturação e obrigações fiscais | Obrigação legal (al. c)) |
| Segurança, prevenção de abuso (ex.: um teste grátis por número, proteção do login contra robôs e deteção de ataques) e suporte | Interesse legítimo (al. f)) |
| Estatísticas agregadas de utilização do site e do Portal e dimensionamento dos servidores | Interesse legítimo (al. f)) |
| Comunicações sobre o serviço (avisos, alterações) | Execução do contrato |
Não vendemos dados nem os usamos para publicidade. Os dados dos clientes de um negócio nunca são usados pela Cleverthings nem por outros negócios. As conversas não são usadas para treinar modelos de IA.
As respostas da assistente são geradas por um modelo de IA (OpenAI). Quem fala com a NeXa é informado de que está a falar com uma assistente virtual. A assistente segue regras fixas da plataforma: só fala das marcações da própria pessoa, não partilha dados de outros clientes e passa a conversa a uma pessoa quando é pedido ou necessário. Os textos enviados ao fornecedor de IA servem só para gerar a resposta e não são usados para treino (política de dados da API da OpenAI).
| Fornecedor | Para quê | Localização |
|---|---|---|
| Contabo | Alojamento dos servidores e cópias de segurança locais | França (UE) |
| Aiven (sobre DigitalOcean) | Base de dados do histórico de conversa e cópias de segurança cifradas | Países Baixos (UE) |
| OpenAI | Geração de respostas, transcrição de voz e descrição de imagens | EUA (cláusulas contratuais-tipo / EU-US Data Privacy Framework) |
| Stripe | Pagamentos e subscrições | Irlanda / EUA (cláusulas contratuais-tipo) |
| Login com conta Google (opcional) | UE / EUA | |
| Cloudflare | Verificação anti-robô na página de entrada do Portal (Turnstile) | EUA (EU-US Data Privacy Framework / cláusulas contratuais-tipo) |
| dominios.pt | Envio de emails (login e avisos) | Portugal (UE) |
| WhatsApp (Meta) | Canal das mensagens | Conforme os termos do WhatsApp |
As transferências para fora da UE têm as garantias previstas no RGPD (arts. 44.º e seguintes).
| Dados | Prazo |
|---|---|
| Conta do empresário | Enquanto a conta existir; depois de encerrada, 12 meses (e o que a lei fiscal exigir) |
| Histórico de conversa (memória curta da assistente) | 90 dias desde a última mensagem |
| Mensagens recebidas em processamento | Apagadas logo depois de tratadas (o texto não fica guardado) |
| Memória de preferências do cliente final | Até o negócio a apagar ou 180 dias sem contacto |
| Marcações | 24 meses depois da data da marcação |
| Contactos dos clientes finais (nome e número) | 24 meses sem contacto e sem marcações |
| Histórico do relacionamento do cliente com o negócio | 24 meses |
| Registo das mensagens automáticas enviadas aos clientes (tipo, data e hora, origem; sem o texto) | 24 meses |
| Texto de lembretes e sugestões enviados, à espera de entrar no histórico de conversa | Até o cliente voltar a escrever (passa para o histórico de conversa) ou 30 dias |
| Registo de que um número já usou o teste grátis | 24 meses (prevenção de abuso; só o número) |
| Cópias de segurança (cifradas) | Até 14 dias (diárias) e 8 semanas (semanais) |
| Registos de acesso ao site e ao Portal, com o endereço IP | 30 dias |
| Estatísticas de tráfego (totais por dia, sem IP) | 24 meses |
| Pedidos de link de entrada no Portal (email, IP e hora) | 1 dia |
Ligações cifradas (HTTPS), servidores sem portas de base de dados expostas, acessos com autenticação, cópias de segurança cifradas (AES-256) e testadas, e separação dos dados por negócio: a assistente de um negócio nunca vê os dados de outro.
Registos de acesso e estatísticas. Usamos os registos de acesso para detetar abusos e ataques e para estatísticas agregadas de utilização. Não usamos cookies para isto: para contar visitantes únicos calculamos um código a partir do IP e do browser com uma chave que muda todos os meses e é apagada no fim do mês seguinte. A localização aproximada é calculada no nosso servidor, sem enviar o IP a terceiros. Os links de entrada e os códigos de verificação nunca ficam nos registos.
Proteção do login contra robôs. Na página de entrada do Portal usamos o Cloudflare Turnstile para distinguir pessoas de programas automáticos. Ao abrir essa página, o browser envia à Cloudflare dados técnicos (endereço IP, características do browser e da interação com a página) só para essa verificação. Segundo a Cloudflare, estes dados não são usados para publicidade nem para seguir o visitante noutros sites.
Tem direito a pedir acesso, retificação, apagamento, limitação, portabilidade e oposição, e a retirar o consentimento quando o tratamento se baseie nele. Escreva para info@cleverthings.pt. Respondemos no prazo de um mês. Pode também apresentar reclamação à CNPD (www.cnpd.pt).
Clientes finais: o negócio também pode apagar a sua memória de preferências no Portal NeXa.
O Portal usa apenas cookies técnicos de sessão, necessários para o login. Não usamos cookies de publicidade nem de análise: as estatísticas do site não usam cookies (ver secção 8). A verificação anti-robô da página de entrada (Cloudflare Turnstile) é necessária para proteger o login.
Se esta política mudar de forma relevante, avisamos os empresários por email antes de a alteração entrar em vigor.