Segurança e privacidade

Como a Nevox protege os dados que passam pela API, e as suas responsabilidades na integração.

O que a Nevox faz

Criptografia: todo tráfego usa HTTPS (TLS 1.2 ou superior). Os dados ficam criptografados no banco.
Isolamento: cada conta só enxerga os próprios dados. Uma chave nunca acessa dados de outra conta.
Chaves e segredos: guardamos só o hash das chaves de API. Segredos de webhooks e ações aparecem uma única vez.
Dados de treino: o que passa pela Nevox (conversas, conhecimento, eventos) não é usado para treinar modelos de IA de terceiros.
Portabilidade: você pode exportar seus dados a qualquer momento e levar tudo se sair.
Exclusão: DELETE /v1/contacts/{external_id} apaga o contato, as conversas e as mensagens dele na hora.
Registro de acesso: cada chamada à API fica registrada com a chave usada, o horário e o resultado por 30 dias, visível em Painel → Desenvolvedores.
Regras do agente: o agente não inventa informações, não pede cartão, senha ou documentos, e não dá orientação médica, jurídica ou financeira, em nenhum canal.

LGPD e leis dos EUA

A Nevox atua como operadora (LGPD) ou service provider (CCPA e leis estaduais dos EUA) dos dados dos seus clientes. Você continua sendo o controlador: decide o que é coletado e para quê.

Os termos de tratamento de dados ficam em /termos e a política de privacidade em /privacidade.
Informe na sua política de privacidade que usa a Nevox para atendimento e análise.
Use o consentimento do rastreamento ligado ao seu banner de cookies.

Dados de saúde

Se o seu negócio é da área de saúde nos EUA e vai trafegar informações de saúde protegidas (PHI, pela HIPAA), fale com a gente antes de enviar esse tipo de dado pela API. Enquanto isso:

não envie diagnósticos, exames, prescrições ou histórico clínico em contatos, eventos, metadados ou conhecimento;
nas ações, devolva só o necessário para o atendimento (ex.: data, horário e nome do médico, mas nunca o motivo da consulta).

Suas responsabilidades

Chaves secretas só no servidor. Nunca no front, em apps móveis ou em repositórios.
Escopos mínimos. Cada sistema com a sua chave e só os escopos que usa.
Valide assinaturas de webhooks e ações sempre.
Domínios permitidos configurados para a chave pública.
Autorize no seu sistema. Nas ações, confira se o contato pode fazer aquilo. O agente nunca deve ser a única barreira.
Dados mínimos. Envie para a Nevox só o que o agente precisa para atender.

Reportar uma vulnerabilidade

Encontrou uma falha de segurança? Escreva para security@nevox.ai. Respondemos em até 2 dias úteis.