Conformidade com a LGPD e o GDPR
Versão 2026-10-21. O Next protege os documentos do cliente, registra as operações necessárias e atende aos direitos dos titulares com prazos claros.
Esta página resume os papéis, as bases legais e os controles usados no serviço.
O selo de conformidade da página inicial é uma autodeclaração, não uma certificação.
1. Papéis
Documentos e conteúdo do cliente: o Next é operador e o cliente é controlador; o cliente decide quais documentos envia e qual base legal autoriza esse uso.
Dados da conta: para nome, e-mail, empresa, IP, chaves, sessão e atendimento, o Next é controlador e mantém encarregado indicado para proteção de dados.
2. Quando cada lei se aplica
A LGPD se aplica ao tratamento feito no Brasil e ao serviço oferecido a pessoas no Brasil.
O GDPR se aplica aos clientes que oferecem bens ou serviços a pessoas na União Europeia, monitoram comportamento na União Europeia ou têm estabelecimento na União Europeia.
Nos casos sujeitos ao GDPR, como o Brasil não tem decisão de adequação, o contrato do art. 28 e as Cláusulas Contratuais-Padrão da Decisão (UE) 2021/914, módulo 2, integram o Anexo de tratamento de dados dos Termos; o representante na União Europeia é indicado para o cliente sujeito a essa exigência.
3. Mapa de obrigações
Legenda de estado: atende (controle aplicado pelo Next); depende do cliente (controle sob responsabilidade do controlador dos documentos); em confirmação (salvaguarda que está sendo confirmada com o operador).
| Obrigação | LGPD | GDPR | O que o Next faz | Estado |
|---|---|---|---|---|
| Base legal e finalidade | art. 7º | art. 6 | Cada tratamento tem base declarada: execução de contrato, inclusive para a cobrança dos planos pagos, legítimo interesse para segurança e limites, e obrigação legal para registro de acesso e para os registros fiscais da cobrança. | atende |
| Minimização | art. 6º, III | art. 5(1)(c) | Não guarda senha, não grava o conteúdo das perguntas e registra e-mail na auditoria apenas como hash. | atende |
| Transparência | art. 9º | arts. 13-14 | Política, Termos e esta página são públicos, versionados por data e escritos em linguagem direta. | atende |
| Direitos do titular | arts. 18-19 | arts. 15-22 | O canal de atendimento fica no portal; as respostas seguem até 15 dias pela LGPD e 1 mês pelo GDPR. | atende |
| Portabilidade e eliminação | art. 18 | arts. 17, 20 | Há download por arquivo e pelo sincronizador, exportação em lote, Meus dados, pessoa removida apagada em 30 dias e encerramento do espaço com purga em 7 dias. | atende |
| Registro das operações | art. 37 | art. 30 | Esta página, a Política e o registro interno das operações descrevem os tratamentos, finalidades, prazos e operadores. | atende |
| Segurança | art. 46 | art. 32 | Todo tráfego usa TLS; o servidor não é exposto diretamente à internet; cada espaço é isolado; chaves ficam apenas como hash; sessões expiram com 30 minutos sem uso e duram no máximo 12 horas; há limites por IP e rota, execução isolada e endurecida, auditoria à prova de reescrita e login por código. | atende |
| Incidente de segurança | art. 48 | arts. 33-34 | O runbook de incidente define triagem, contenção, registro, comunicação à ANPD em até 6 dias úteis pelo regime de pequeno porte e à autoridade da UE em 72 h. | atende |
| Operadores e suboperadores | art. 39 | art. 28 | Cloudflare, Stripe, provedor de e-mail (SMTP) e a ferramenta de IA que o cliente conectou atuam para finalidades específicas do serviço; o Stripe trata a assinatura e o pagamento por cartão dos planos pagos e não acessa os documentos do cliente. | atende |
| Ferramenta de IA e treino | art. 39 | art. 28 | Os trechos da busca saem para a ferramenta escolhida pelo cliente. O Next executa busca, reordenação e OCR sem treinar modelo com dado de cliente. | atende |
| Transferência internacional | art. 33 | cap. V | Os servidores do Next e dos operadores podem estar no Brasil ou no exterior; transferências usam as salvaguardas previstas na Política e nos Termos. Para a cobrança, a salvaguarda da transferência de dados de cobrança ao Stripe depende de confirmação no acordo de tratamento de dados (DPA) dele. | em confirmação |
| Retenção | arts. 15-16 | art. 5(1)(e) | Registros de acesso ficam por 6 meses com IP sanitizado ao fim do prazo; pessoa removida é apagada em 30 dias; auditoria de mutações é rotacionada por ano e preservada. | atende |
| Relatório de impacto (RIPD/DPIA) | art. 38 | art. 35 | O Next mantém RIPD curto interno para documentar riscos, controles e bases legais. | atende |
| Agente de pequeno porte | Resolução CD/ANPD 2/2022 | art. 30(5) | O Next é agente de tratamento de pequeno porte e adota o regime simplificado: registro simplificado das operações nesta página e encarregado indicado; os direitos do titular são atendidos nos prazos desta tabela. | atende |
| Cookies | art. 8º | Diretiva ePrivacy | Usa apenas cookies necessários para idioma, sessão e autenticação. Não há publicidade nem rastreamento; a medição de audiência é sem cookies. | atende |
| Crianças e adolescentes | art. 14 | art. 8 | O serviço é corporativo (B2B) e não é dirigido a crianças nem adolescentes. | atende |
| Decisões automatizadas | art. 20 | art. 22 | O Next não toma decisão automatizada sobre pessoas; ele busca documentos e devolve trechos com fonte. | atende |
| Cópia de segurança | art. 46 | art. 32(1)(c) | Há cópia diária retida por 30 dias, restauração operacional e status visível para administração. | atende |
| Uso dos documentos pelo cliente | arts. 7º, 11 e 18 | arts. 6, 9 e 15-22 | O cliente define a base legal dos documentos que envia, informa seus titulares nos casos exigidos e escolhe a ferramenta de IA conectada ao Next. | depende do cliente |
4. Contrato de grupo, espaço pessoal e marca
Os pontos abaixo resumem as seções dos Termos de uso e da Política de privacidade sobre o plano Empresarial, o espaço pessoal e a marca do cliente.
- Contrato de grupo. O contrato do plano Empresarial é de um grupo, com a empresa-mãe e as empresas; o espaço do grupo serve para publicar às empresas, uma empresa não vê outra e o espaço contratado é do grupo. Termos de uso, seção 12 · Política de privacidade, seção 9
- O que o grupo vê. Com a Visão do grupo desligada, que é o padrão, o grupo vê de cada empresa só totais e quem a administra; só o administrador da empresa liga a leitura dos documentos, que nunca alcança o espaço pessoal. Termos de uso, seção 13 · Política de privacidade, seção 10
- Fim do contrato. Encerrar o grupo encerra todas as empresas nele com o mesmo prazo de purga; antes disso, uma empresa pode sair do grupo pelo operador e seguir como cliente avulso com os seus arquivos; o espaço pessoal de quem sai fica guardado 30 dias e é apagado. Termos de uso, seção 14 · Política de privacidade, seção 11
- Espaço pessoal. Cada pessoa tem um espaço pessoal por empresa, que nem a empresa nem o grupo leem, e pode conectar a ele o Google Drive e o SharePoint/OneDrive, com o acesso ao provedor guardado cifrado e apagado ao desconectar ou sair da empresa. Termos de uso, seção 15 · Política de privacidade, seção 12
- Marca do cliente. Nos planos pagos, a marca do cliente aparece no portal, nos e-mails e no conector, com envio pelo endereço do Next e “Powered by Next”; nome com termo reservado é recusado, e o operador pode suspender a marca, com aviso por e-mail ao administrador. Termos de uso, seção 16 · Política de privacidade, seção 13
5. Contato
Dúvidas sobre proteção de dados e exercício de direitos são tratadas pelo encarregado indicado no rodapé desta página e na Política de privacidade. O titular também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD) ou, nos casos sujeitos ao GDPR, à autoridade de controle competente na União Europeia.