Política de privacidade

1. Introdução

Esta Política de Privacidade explica como a Nori coleta, utiliza, armazena, protege e compartilha informações relacionadas ao uso de seus serviços.

A Nori é uma aplicação independente para Discord. Ela não é afiliada, endossada, patrocinada ou operada pelo Discord Inc. ou por suas afiliadas.

A Nori é operada no Brasil e não possui CNPJ próprio no momento desta versão. Isso não afasta direitos obrigatórios de usuários ou consumidores nem as obrigações legais aplicáveis.

O contato público para questões de privacidade, LGPD, solicitações de dados e comunicações jurídicas é Nori — Canal de Privacidade, em [email protected]. Nome civil, endereço residencial e telefone pessoal do responsável não são divulgados nestes documentos.

Ao utilizar a Nori, autenticar com Discord, configurar recursos, gerar pagamentos ou manter a aplicação em um servidor, você reconhece que compreende as práticas descritas nesta Política.

Caso não concorde com estas práticas, você não deve utilizar a Nori nem permitir sua utilização em seu servidor.

2. Controlador, operador e papéis de tratamento

Quando a Nori decide finalidades próprias de tratamento, como segurança, cobrança, login, suporte, prevenção de fraude, manutenção de sessões, operação do serviço e cumprimento de obrigações legais, ela atua como controladora dos dados pessoais relacionados a essas finalidades.

Quando a Nori processa tickets, formulários, mensagens, transcripts, anexos, logs e configurações definidas por servidores, ela pode atuar como operadora ou ferramenta técnica do servidor, que define a finalidade, o conteúdo coletado, a equipe com acesso e o uso interno desses dados.

Em alguns fluxos, os papéis podem coexistir: o servidor define o atendimento e o conteúdo do ticket, enquanto a Nori trata dados técnicos próprios para segurança, auditoria, cobrança e funcionamento da plataforma.

O canal [email protected] é o contato público Nori — Canal de Privacidade para solicitações sobre dados pessoais, exercício de direitos previstos na LGPD, dúvidas sobre tratamento e comunicações jurídicas.

2.1 Bases legais de tratamento

A Nori trata dados pessoais apenas quando houver base legal adequada à finalidade. A base aplicável pode variar conforme o recurso usado, o tipo de dado, o papel da Nori e a relação com o servidor.

Quando um servidor configura tickets, formulários, pagamentos ou IA, ele também deve possuir base legítima própria para solicitar, armazenar e usar as informações dos seus membros.

• execução de contrato ou procedimentos preliminares, para operar a Nori, autenticar usuários, entregar recursos e processar assinaturas;
• cumprimento de obrigação legal ou regulatória, quando registros precisarem ser preservados para auditoria, fraude, pagamento, ordem legítima ou defesa de direitos;
• exercício regular de direitos, para manter evidências, investigar abuso, responder disputas, contestar chargebacks e proteger a Nori ou terceiros;
• legítimo interesse, para segurança, prevenção de fraude, logs técnicos, melhoria do produto, estabilidade e proteção contra abuso;
• consentimento, quando um fluxo exigir autorização específica, como login via Discord OAuth2 ou conexão de conta Mercado Pago por OAuth;
• proteção do crédito e prevenção a fraude, quando aplicável a pagamentos, chargebacks, cupons, gifts, assinaturas e risco financeiro.

3. Informações que podemos coletar

A Nori pode coletar e processar informações necessárias para funcionamento, segurança, autenticação, atendimento, pagamentos e suporte.

A quantidade de dados pode variar conforme os recursos usados por cada servidor e conforme as permissões concedidas no Discord.

• IDs de usuários, servidores, canais, cargos e mensagens do Discord;
• nome de usuário, nome global, apelido, avatar e informações públicas de perfil;
• servidores administráveis pelo usuário autenticado;
• configurações de tickets, formulários, painéis, automações, logs e permissões;
• mensagens, respostas, anexos e transcripts enviados em tickets ou formulários;
• registros de ações operacionais, moderação, atendimento e auditoria;
• dados de licença, assinatura, vencimento, histórico de pagamentos, cancelamento e downgrade;
• identificadores de cobrança, txid, status de pagamento, webhooks, cupons aplicados, gifts resgatados, descontos e dados técnicos do checkout;
• cookies de sessão, identificadores temporários, códigos de segurança e registros antifraude;
• dados técnicos como horários, eventos, erros, status, IP quando aplicável, user agent e uso de funcionalidades;
• credenciais, chaves ou tokens configurados pelo cliente quando algum recurso exigir integração externa.

3.1 Informações que não solicitamos

A Nori não deve solicitar dados excessivos ou incompatíveis com sua finalidade. Alguns dados podem aparecer em tickets ou formulários porque o próprio servidor ou usuário os enviou, mas isso não significa que a Nori recomende essa coleta.

• senha da conta Discord;
• token de bot, token de usuário, cookie de sessão ou código 2FA;
• dados completos de cartão de crédito dentro da Nori;
• senha bancária, saldo bancário ou acesso direto à conta financeira;
• CPF, documento ou endereço do responsável pela operação da Nori em página pública;
• documentos pessoais de membros, salvo quando o servidor tiver finalidade legítima, aviso claro e responsabilidade própria.

4. Informações do Discord OAuth2

O login da Nori utiliza Discord OAuth2. Durante esse processo, a Nori pode receber informações autorizadas pela própria plataforma para identificar o usuário e validar servidores relacionados.

Essas informações são usadas para confirmar se o usuário pode acessar áreas protegidas, iniciar checkout, renovar assinatura, cancelar licença, resgatar gift, aplicar cupom ou alterar configurações permitidas.

• identificar a conta autenticada;
• validar servidores vinculados e permissões administrativas;
• preservar o retorno ao fluxo original por callbackUrl quando o login ocorre no meio de uma ação;
• evitar acesso indevido a recursos de servidores não autorizados.

5. Como utilizamos as informações

As informações são utilizadas para fornecer, proteger, melhorar e auditar os recursos da Nori.

Também podem ser utilizadas para cumprir obrigações legais, responder a solicitações legítimas, investigar abuso e manter a integridade dos sistemas.

• operar tickets, formulários, transcripts, logs e automações;
• autenticar sessões, validar callback de login e proteger checkout;
• confirmar pagamentos, aplicar licenças, validar cupons, registrar gifts e manter histórico financeiro;
• prevenir fraude, abuso, spam, acesso indevido e violações de segurança;
• prestar suporte técnico, financeiro, legal e operacional;
• enviar alertas de vencimento, status de assinatura, confirmação de pagamento, renovação, downgrade, resgate de gift e outras notificações essenciais;
• cumprir obrigações legais, regulatórias, contratuais e fiscais quando aplicável;
• melhorar estabilidade, segurança, desempenho e experiência de uso.

6. Responsabilidade do servidor

A Nori atua como ferramenta utilizada por servidores e comunidades do Discord. Em muitos casos, o responsável pelo servidor define quais dados serão coletados, por qual motivo e quem poderá acessá-los.

Administradores de servidores devem garantir que tickets, formulários, pagamentos, logs e automações estejam de acordo com suas regras internas, expectativas dos usuários e legislação aplicável.

A Nori processa dados conforme necessário para executar o serviço, cumprir relação contratual, proteger sistemas, atender solicitações legítimas e manter registros operacionais.

7. Tickets, formulários, conteúdo e IA

Mensagens, arquivos, respostas e informações enviadas por usuários em tickets ou formulários podem ser armazenadas para atendimento, revisão, histórico, transcript, auditoria e funcionamento adequado do serviço.

Essas informações podem ser acessadas por membros autorizados da equipe do servidor, conforme permissões configuradas.

Em recursos de blacklist, podem ser tratados o ID do usuário, motivo, duração, responsável pela ação e até 3 imagens de prova de até 8 MB cada. As imagens ficam em armazenamento de objetos; a Nori solicita sua remoção quando a medida é retirada ou expira. Cada objeto pode ter validade de até 1.825 dias, e cópias técnicas seguem os ciclos do provedor.

Quando o servidor ativa recursos inteligentes, mensagens de tickets, respostas de formulários, metadados e contexto operacional podem ser processados por provedores de IA para classificação, resumo, sugestão, automação ou apoio ao atendimento.

Recursos de IA podem gerar respostas, resumos, classificações, sugestões ou automações auxiliares. Essas respostas não devem ser tratadas como decisão humana definitiva, aconselhamento jurídico, financeiro, médico ou garantia de resultado.

Quando uma decisão relevante depender de IA ou automação, o servidor deve manter revisão humana proporcional e permitir contestação quando necessário.

Usuários e administradores devem evitar inserir senhas, tokens, documentos, dados bancários, informações sensíveis ou dados pessoais excessivos, salvo quando estritamente necessário e quando houver base legítima.

7.1. Treinamento personalizado de IA no plano Completo

O recurso de treinamento personalizado de IA está disponível exclusivamente para servidores com licença do plano Completo e depende de ativação por um responsável autorizado do servidor.

A Nori pode processar transcripts, tickets encerrados, mensagens, categorias, avaliações, anexos contabilizados e métricas operacionais do servidor selecionado para gerar uma base resumida de procedimentos e dúvidas recorrentes.

A finalidade é melhorar o atendimento daquele servidor. O material não é transformado em um modelo global da Nori, não é disponibilizado para outros servidores e não deve ser usado para publicidade ou venda de dados.

Antes do processamento, a Nori aplica redução e anonimização técnica sempre que possível. IDs, menções, e-mails, telefones, CPFs, links, tokens e outros identificadores são mascarados; mensagens identificadas como contendo senha, token, chave ou credencial são excluídas do contexto de treinamento.

Os resultados são salvos como insights e itens de base de conhecimento vinculados ao servidor. O servidor pode revisar, corrigir, desativar ou solicitar a remoção desses resultados pelos canais oficiais, observadas retenções necessárias para segurança, auditoria, disputas e obrigações legais.

A Nori pode utilizar provedores de IA contratados para gerar resumos ou classificações dentro desse fluxo. O conteúdo enviado deve ser reduzido ao necessário, e o tratamento segue as configurações, contratos e políticas aplicáveis ao provedor utilizado.

O treinamento não garante respostas corretas. A IA pode errar, e decisões sobre pagamentos, garantias, reembolsos, estoque, moderação, segurança ou acesso devem permanecer sob revisão da equipe responsável.

• base legal, transparência e comunicação aos membros são responsabilidades compartilhadas com o servidor que ativou o recurso;
• o servidor deve evitar coletar dados excessivos em tickets e formulários;
• senhas, tokens, códigos 2FA e credenciais não devem ser enviados à Nori;
• o servidor pode solicitar revisão, correção ou exclusão da base pelo canal [email protected];
• a Nori mantém somente o necessário para operar o recurso, proteger sistemas, responder disputas e cumprir obrigações legais;
• quando não houver confirmação suficiente, a orientação esperada é encaminhar para atendimento humano.

8. Pagamentos e provedores externos

A Nori pode integrar-se a provedores externos de pagamento para criar, consultar e confirmar cobranças, especialmente em fluxos de contratação ou renovação de licenças.

Servidores que optarem por receber pagamentos por Mercado Pago poderão conectar a própria conta por OAuth. Nesse caso, a Nori pode armazenar tokens de acesso e renovação de forma criptografada para criar cobranças, consultar status e receber notificações técnicas do provedor.

A Nori não deve solicitar que administradores colem access tokens manualmente no painel. Quando houver conexão Mercado Pago, a autorização deve ocorrer pelo fluxo oficial do provedor e pode ser revogada ou desconectada pelo servidor quando disponível.

Em pagamentos por ticket, a Nori pode registrar valor bruto, taxa da plataforma, valor líquido estimado, plano do servidor, aceite dos termos, usuário que solicitou, usuário que aceitou, IDs do ticket, status detalhado do Mercado Pago, identificadores de webhook, data de aprovação, recusa, estorno ou contestação.

Registros históricos de operações GoatPay realizadas antes da desativação podem incluir referência de cobrança, valores, taxas, status, dados do pagador recebidos, chave Pix de saque protegida, titular informado, lançamentos internos e evidências de conciliação. Esses registros podem ser usados para suporte, conciliação, prevenção a fraude e obrigações legais.

A integração GoatPay foi descontinuada; a Nori não recebe novas transações por esse fluxo nem controla as políticas de privacidade, retenção, KYC ou liquidação do provedor para operações históricas.

No checkout de licenças, a Nori pode registrar identificadores técnicos da sessão, servidor selecionado, tentativa de cobrança, txid, expiração, status de aprovação, cupom aplicado, gift resgatado e retorno de webhooks para aplicar a licença correta ao servidor correto.

Quando uma licença é aprovada, renovada, rebaixada ou ativada por gift, a Nori pode enviar mensagem direta transacional ao dono do servidor pelo Discord, desde que isso seja tecnicamente possível e permitido pelas configurações de privacidade do usuário.

A Nori não controla as práticas de privacidade dos provedores externos. O uso desses serviços também está sujeito às políticas e termos próprios de cada provedor.

• dados de pagamento podem ser usados para conciliação, suporte, antifraude e auditoria;
• detalhes técnicos de cobrança podem ser preservados para resolver contestação, fraude, chargeback, suporte financeiro, auditoria e cumprimento de obrigação legal;
• dados de cupom e gift podem ser usados para validar elegibilidade, limitar usos, prevenir abuso e comprovar resgates;
• a Nori não solicita dados completos de cartão dentro do site quando o fluxo for Pix;
• status de pagamento pode ser atualizado por consulta direta ao provedor ou por webhook;
• credenciais e tokens de pagamento configurados pelo servidor devem ser protegidos, criptografados em repouso e acessados apenas por rotinas autorizadas;
• webhooks de pagamento podem ser registrados para auditoria, conciliação, segurança e suporte, sem armazenar segredos em texto aberto.

9. Cookies, sessões e segurança de acesso

A Nori pode utilizar cookies de sessão e identificadores temporários para manter o usuário autenticado, proteger áreas restritas, preservar callbackUrl, validar checkout e reduzir risco de fraude.

Esses cookies não devem ser compartilhados. Qualquer acesso feito por uma sessão autenticada pode ser tratado como ação do usuário relacionado a ela.

A Nori não usa cookies para vender dados pessoais. Cookies e identificadores técnicos são usados principalmente para sessão, segurança, autenticação, diagnóstico e funcionamento do painel. O site também pode usar armazenamento local do navegador para preferências funcionais, como dispensar avisos.

O site carrega o Crisp quando o chat de suporte é disponibilizado. Nesse fluxo, o Crisp pode tratar o conteúdo enviado no chat, identificadores técnicos e dados necessários à comunicação, conforme a política própria do serviço. O site não identificou, na revisão desta versão, Google Analytics, Meta Pixel ou ferramenta equivalente de publicidade comportamental.

Em formulários protegidos, o Cloudflare Turnstile executa verificações técnicas para diferenciar tráfego automatizado de uso humano. O Turnstile não foi configurado para receber o conteúdo dos campos enviados; os sinais técnicos necessários são tratados conforme a documentação e os termos de privacidade da Cloudflare.

• cookies de sessão podem expirar automaticamente;
• sessões podem ser invalidadas por logout, expiração, risco de segurança ou alteração técnica;
• códigos temporários de checkout podem ser usados para impedir criação indevida de pagamentos.
• o bloqueio de cookies ou scripts de terceiros pode limitar chat de suporte, login, checkout ou mecanismos antiabuso.

10. Compartilhamento e provedores

A Nori não vende dados pessoais.

Informações podem ser compartilhadas apenas quando necessário para operar o serviço, proteger usuários, cumprir obrigações ou integrar provedores essenciais.

• Discord: autenticação, operação do bot, permissões e recursos da plataforma;
• Square Cloud/hospedagem: execução da aplicação, infraestrutura e disponibilidade;
• Cloudflare/DNS/CDN/e-mail: DNS, proteção, entrega de conteúdo e roteamento de e-mails oficiais;
• Crisp: chat de suporte e comunicação com a equipe, quando o usuário iniciar ou utilizar esse canal;
• Cloudflare Turnstile: verificação antiabuso e proteção de formulários contra automações maliciosas;
• MongoDB/banco de dados: armazenamento de configurações, sessões, pagamentos, tickets, logs e registros necessários;
• monitoramento e logs: estabilidade, auditoria, diagnóstico de falhas e segurança;
• provedores de pagamento: criação, consulta, confirmação, conciliação e contestação de cobranças;
• provedores de IA: processamento de recursos inteligentes quando ativados pelo servidor;
• armazenamento/CDN: arquivos, mídia, anexos, transcripts e recursos públicos quando necessário;
• autoridades competentes, quando houver obrigação legal ou solicitação legítima.

11. Retenção de dados

A Nori mantém informações pelo tempo necessário para fornecer o serviço, cumprir obrigações legais, resolver disputas, manter segurança, preservar histórico operacional ou atender configurações definidas pelo servidor.

Os prazos abaixo são referências operacionais padrão e podem ser reduzidos ou ampliados conforme configuração do servidor, pedido legítimo, investigação de abuso, obrigação legal, disputa, chargeback, fraude, backup técnico ou ordem de autoridade competente.

12. Segurança das informações

A Nori adota medidas técnicas e organizacionais para proteger informações contra acesso não autorizado, perda, alteração, uso indevido ou divulgação indevida.

Essas medidas podem incluir controle de acesso, validação de permissões, registros de auditoria, proteção de credenciais, criptografia de segredos sensíveis, rate limit, monitoramento operacional e isolamento de recursos.

Apesar dos esforços de segurança, nenhum sistema é completamente imune a falhas, ataques ou eventos externos.

• tokens sensíveis de integrações devem ser armazenados de forma criptografada quando a Nori precisar mantê-los;
• acessos administrativos devem ser limitados a pessoas e sistemas necessários;
• incidentes podem gerar invalidação de sessão, rotação de segredo, bloqueio preventivo e preservação de evidências;
• relatórios de vulnerabilidade devem ser enviados para [email protected] sem exploração pública.

13. Incidentes, abuso e remoção de dados

Suspeitas de incidente de segurança, abuso, bug, violação, fraude, vazamento, acesso indevido ou problema técnico devem ser enviadas para [email protected] com IDs, contexto, evidências e impacto conhecido.

A Nori poderá analisar registros, bloquear sessões, limitar recursos, preservar evidências, remover dados quando cabível, orientar o servidor responsável, comunicar provedores ou adotar outras medidas proporcionais.

Quando houver indício de incidente envolvendo dados pessoais, a Nori buscará avaliar o caso com prioridade, reduzir impacto, preservar evidências, corrigir a falha e comunicar usuários afetados ou autoridades quando a lei exigir.

Denúncias relacionadas a servidores podem ser tratadas de forma sigilosa. A Nori poderá armazenar evidências, IDs, contexto, status de análise, avisos emitidos e medidas aplicadas pelo tempo necessário para segurança, auditoria, prevenção de abuso, defesa de direitos ou cumprimento de obrigação legal.

Pedidos de remoção de dados devem indicar claramente quais dados estão envolvidos, o servidor relacionado, IDs do Discord quando disponíveis e o motivo do pedido. Quando os dados forem controlados pelo servidor, a solicitação poderá precisar de participação dos administradores desse servidor.

14. Direitos LGPD

Titulares de dados pessoais podem exercer direitos previstos na Lei Geral de Proteção de Dados, observadas as bases legais, limitações técnicas, segredos comerciais, obrigações legais e papéis de controlador ou operador em cada caso.

Pedidos LGPD e solicitações de privacidade devem ser enviados para [email protected] — Nori — Canal de Privacidade. A solicitação deve conter informações suficientes para localizar os dados e entender o pedido; a Nori pode pedir confirmação mínima de identidade para localizar ou proteger os dados. Nunca envie senha, token, cookie, código 2FA ou credenciais.

O prazo operacional inicial para resposta é de até 7 dias úteis após o recebimento das informações necessárias. Esse prazo não substitui os prazos legais obrigatórios previstos na LGPD e na regulamentação aplicável.

• confirmação da existência de tratamento;
• acesso aos dados pessoais;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• portabilidade, quando aplicável e observados requisitos legais;
• informação sobre compartilhamento com entidades públicas e privadas;
• oposição ao tratamento nos casos previstos em lei;
• exclusão de dados tratados com consentimento, quando aplicável e ressalvadas hipóteses legais de conservação.

15. Dados de menores

A Nori é utilizada dentro do Discord e depende das regras de idade e uso da própria plataforma.

Servidores que utilizam a Nori são responsáveis por cumprir regras aplicáveis sobre participação de menores, coleta de dados, consentimento e conteúdo adequado quando necessário.

Fluxos de pagamento, saque, KYC, envio de documentos e contratação de licenças não são destinados a menores sem a participação e autorização exigidas do responsável legal. A Nori pode interromper ou encaminhar para análise qualquer fluxo que indique idade incompatível, fraude ou risco.

Quando a Nori receber informação de que dados de criança ou adolescente foram coletados de forma indevida, o responsável poderá solicitar orientação pelo canal [email protected]. A análise considerará a finalidade, o papel do servidor, a base legal e as exigências aplicáveis.

16. Transferência e provedores de infraestrutura

A Nori utiliza provedores terceiros para hospedagem, banco de dados, armazenamento, pagamentos, segurança, atendimento e recursos de inteligência artificial.

Esses provedores podem processar ou armazenar dados em diferentes localidades, inclusive fora do Brasil, conforme sua infraestrutura, contratos e políticas próprias.

A retenção de cópias técnicas e backups pode variar conforme o ciclo operacional de cada provedor. A Nori não promete backup permanente, recuperação de qualquer dado específico ou exclusão instantânea de todas as cópias técnicas.

A Nori compartilha apenas os dados necessários para executar o recurso solicitado, proteger a plataforma, processar pagamentos, prevenir fraude, atender usuários e cumprir obrigações legais.

17. Lei aplicável e autoridade de proteção de dados

Esta Política é interpretada conforme as leis da República Federativa do Brasil, especialmente a Lei Geral de Proteção de Dados quando aplicável.

Solicitações de titulares devem ser feitas primeiro pelos canais oficiais da Nori para permitir análise, correção e resposta adequada. Isso não impede o titular de buscar autoridades competentes quando entender necessário.

18. Alterações nesta política

Esta Política de Privacidade pode ser atualizada periodicamente para refletir mudanças no produto, práticas de dados, segurança, pagamentos, provedores, legislação ou operação.

A continuidade do uso da Nori após alterações indica ciência da versão atualizada.

19. Contatos oficiais

Solicitações relacionadas a privacidade, dados pessoais, segurança ou remoção de informações devem ser encaminhadas exclusivamente pelos contatos oficiais abaixo.

• [email protected] — suporte geral.
• [email protected] — denúncias, bugs, abuso, violações, segurança e problemas técnicos.
• [email protected] — Nori — Canal de Privacidade; privacidade, LGPD, jurídico e solicitações de dados.
• [email protected] — pagamentos, reembolsos, cobranças e financeiro.