mexerica

Privacy Policy

What we process, where each piece of data lives, who else is involved and how you exercise your rights.

Effective from November 1, 2026 · Updated November 7, 2026

This English version is a translation provided for convenience. If it differs from the Portuguese version, the Portuguese version prevails.

1. Overview

GUILHERME VASQUES LTDA, Brazilian taxpayer ID (CNPJ) 62.441.139/0001-28, with offices at Av. Rio Grande do Sul, 2649, Sala B, Jardim Belvedere, Umuarama/PR, Brazil, ZIP 87505-000 (“MEXERICA”, “we”), offers Mexerica: an app and a Hub that run AI agents on the computer or server of whoever installs them (the “Service”).

This policy separates two situations:

  • Your account data and access through our cloud: we decide how this data is processed. For it, we are the controller under Brazil’s General Data Protection Law (Law 13.709/2018, “LGPD”).
  • What stays in your Hub (conversations, memories, skills, files, bots): it is stored and processed on your own equipment. We do not receive this content in readable form. You decide what goes in and who you share it with.

2. What stays on your computer or server

The Mexerica Hub runs on a computer or server you choose. It holds:

  • the bots’ conversations, memories, skills and instructions;
  • the files you or the bots use;
  • the settings for bots, routines, approval rules and connected apps;
  • AI provider keys and app credentials, kept in an encrypted vault whose key is protected by the operating system (for example, the macOS Keychain).

This content is not sent to our cloud. Anyone with access to that equipment, or to copies and backups of it, may access this content. Securing and backing up that equipment is your responsibility.

3. Data we process in our cloud

You only need an account for features that depend on our cloud, such as talking to your Hub from your phone or connecting several computers to the same Hub. In those cases, we process:

  • Account: email, name and password. Identity is managed by Clerk, which stores the password securely. We never receive your password. Our cloud keeps the account ID, email, account status and the creation and deletion dates.
  • Sign in with Google or another provider: if you choose this, the provider shares basic profile data with Clerk, such as name, email, ID and photo, according to the permissions you approve on its screen. We never receive your Google password.
  • Devices: the name you give the device, system type, public key, creation date, last use and any revocation.
  • Computers connected to the Hub: name, system, hardware type, software version, public keys, whether it is online and when it was last seen.
  • Links and access requests: which device or computer may talk to which Hub, with which permissions, request status (pending, approved, denied, expired or cancelled), dates and pairing verification codes.
  • Security logs: who took each relevant action (for example, deleting an account), on which item, with what result and when.
  • Usage limits: counters of external triggers received per minute and per day, used against abuse.
  • IP address: used at request time to limit sign-up and external trigger attempts. We do not store it. See Retention and deletion for what Cloudflare may log.

We do not sell personal data and do not use it for advertising. The Service is free today, so we do not process billing data.

4. Why we use it and on what legal basis

  • Creating and maintaining your account, authenticating you and connecting your devices and computers to your Hub: performance of a contract (LGPD, art. 7, V).
  • Protecting the Service (rate limits, security logs, fraud and abuse prevention): legitimate interest (art. 7, IX).
  • Sending account messages, such as email verification or password recovery, when Clerk sends them: performance of a contract (art. 7, V).
  • Complying with legal obligations and responding to authorities: art. 7, II.
  • Exercising rights in legal proceedings: art. 7, VI.

Where processing depends on your consent, you can withdraw it at any time. Withdrawal does not affect what was done before it.

5. Remote access, multiple computers and external triggers

Cloud access is optional. It only works if your Hub is configured to use it. Without that setting, your Hub does not talk to our cloud.

  • Traffic between device, computer and Hub: goes through our relay on Cloudflare. Messages are end-to-end encrypted between the device or computer and the Hub. The relay only sees the encrypted content and the metadata needed to deliver it: which device, which Hub, when and how large.
  • Waiting box: if the Hub is off, the relay keeps encrypted messages for the Hub for up to 24 hours, with size and count limits. After delivery or the deadline, they are deleted.
  • External routine triggers (webhooks): when an outside service calls the address of one of your routines, our cloud receives the trigger and encrypts it immediately with your Hub’s key. It only delivers if the Hub is connected. The content is not stored and is wiped from memory after sending. Only the limit counters and request metadata remain. If the Hub is off, the trigger is refused and the sender can retry.

Encrypting content does not hide metadata. So we do not claim we see nothing: we see what is listed in this section and in section 3.

6. AI providers, apps and WhatsApp

Bots use third-party AI models (for example, Anthropic, OpenAI, Google and xAI) through the engine you already use on your computer, such as Claude Code, Codex, Cursor, Gemini, Grok, OpenCode or Pi, with your account or key. The Hub sends the provider what the bot needs to work: instructions, conversation, relevant memory and tool results. It goes from your Hub straight to the provider, without passing through our cloud. That use follows the provider’s terms and privacy policy, and the provider bills you for it.

When you connect an app (for example, through the Composio integration or an MCP server), the data the bots read or write passes through that service and follows its terms. We do not control what these third parties do with data.

When you give a bot a WhatsApp number, messages exchanged through that number go through WhatsApp’s infrastructure and follow Meta’s terms and privacy policy. You are responsible for having a legal basis to talk to the people who message that number.

7. Telemetry, cookies and this site

The app and the Hub send us no usage telemetry or crash reports. They also do not check our servers for updates automatically. Technical logs stay on your equipment.

This site does not use analytics, advertising or tracking cookies. The sign-in page loads Clerk on this site. It only uses the technical cookies and local storage needed for the session and for Clerk’s and Cloudflare’s (Turnstile) fraud and bot protection. None of it is used for advertising.

8. Who we share data with

We use these processors, which handle data on our behalf:

  • Clerk: identity, sign-in, password and account emails;
  • Cloudflare: hosting for this site and our cloud, database, relay, DNS and attack protection.

If you choose to sign in with Google, Google processes your sign-in data as a controller under its own terms. AI providers, connected apps and WhatsApp are not our processors. You contract with them directly (section 6).

We may also share data when the law requires it, by order of a competent authority or to defend rights in legal proceedings.

9. International transfers

Clerk and Cloudflare may process data outside Brazil, including in the United States. This includes Cloudflare’s network across many countries. These transfers follow article 33 of the LGPD, with the contractual safeguards these providers offer.

10. Retention and deletion

  • Account: kept while it exists. To delete it, use your account page (accounts.mexerica.app/user) or write to privacy@mexerica.app. On deletion, the account is marked as deleted and its devices, computers and links are revoked. Hubs are no longer linked to it, and pending access requests are cancelled.
  • Remaining technical records (ID, email and device and computer names): kept for security and possible legal defense. After the account is deleted, they are erased or anonymized within 6 months, unless the law requires otherwise. Only a technical ID with no personal data remains.
  • Security logs: deleted within 30 days.
  • Server logs: we do not turn on logs for our servers on Cloudflare. As a network provider, Cloudflare may keep its own technical logs, under its privacy policy.
  • Relay waiting box: up to 24 hours.
  • External triggers: not stored.
  • Your Hub’s content: stays on your equipment until you delete it. Deleting your account does not delete what is in your Hub.

11. Security

Connections use encryption in transit (TLS). Messages between device, computer and Hub use end-to-end encryption. New devices and computers must be approved in the Hub itself, and access to our infrastructure is restricted. No system is perfectly secure. If an incident may bring you relevant risk or harm, we will notify you and Brazil’s National Data Protection Authority (ANPD), as the LGPD requires.

12. Your rights under the LGPD

Under article 18 of the LGPD, you may request:

  • confirmation that we process your data, and access to it;
  • correction of incomplete, inaccurate or outdated data;
  • anonymization, blocking or deletion of unnecessary or excessive data, or data processed unlawfully;
  • portability;
  • deletion of data processed with consent;
  • information about who we share data with;
  • information about the option not to consent and its consequences;
  • withdrawal of consent.

You may also object to processing based on other legal grounds if the law is not being followed. To exercise your rights, write to privacy@mexerica.app. We may confirm your identity before responding. We will respond within the LGPD deadlines. You may also file a complaint with the ANPD.

13. Under 18

The Service is meant for people aged 18 or over. We do not knowingly collect data from minors. If you learn of such a case, write to privacy@mexerica.app and we will delete the data.

14. Changes to this policy

We may update this policy when the Service changes. Relevant changes will be announced before they take effect, by email or in the app. The current version is always on this page, with the date at the top.

15. Contact and data protection officer

GUILHERME VASQUES LTDA · CNPJ 62.441.139/0001-28 · Av. Rio Grande do Sul, 2649, Sala B, Jardim Belvedere, Umuarama/PR, Brazil, ZIP 87505-000.

Data protection officer (DPO): Guilherme Vasques, at privacy@mexerica.app.

This policy is governed by Brazilian law. See also the Terms of Use.

Política de Privacidade

O que tratamos, onde cada dado fica, quem mais participa e como você exerce seus direitos.

Vigente a partir de 1º de novembro de 2026 · Atualizada em 7 de novembro de 2026

Esta política também está disponível em inglês. Em caso de divergência entre as versões, prevalece a versão em português.

1. Visão geral

GUILHERME VASQUES LTDA, inscrita no CNPJ 62.441.139/0001-28, com sede em Av. Rio Grande do Sul, 2649, Sala B, Jardim Belvedere, Umuarama/PR, CEP 87505-000 (“MEXERICA”, “nós”), oferece a Mexerica: um aplicativo e um Hub que executam agentes de IA no computador ou servidor de quem os instala (o “Serviço”).

Esta política separa duas situações:

  • Dados da sua conta e do acesso pela nossa nuvem: nós decidimos como são tratados. Para esses dados, somos a controladora, nos termos da Lei Geral de Proteção de Dados (Lei 13.709/2018, “LGPD”).
  • O que fica no seu Hub (conversas, memórias, skills, arquivos, bots): é guardado e processado no seu equipamento. Não recebemos esse conteúdo em texto legível. Você decide o que entra nele e com quem compartilha.

2. O que fica no seu computador ou servidor

O Hub da Mexerica roda em um computador ou servidor escolhido por você. Lá ficam:

  • as conversas, as memórias, as skills e as instruções dos bots;
  • os arquivos que você ou os bots usam;
  • as configurações dos bots, das rotinas, das regras de aprovação e dos aplicativos conectados;
  • as chaves de provedores de IA e as credenciais dos aplicativos, guardadas em um cofre cifrado com uma chave protegida pelo sistema operacional (por exemplo, o Keychain no macOS).

Esse conteúdo não é enviado para a nossa nuvem. Quem tem acesso ao equipamento, ou a cópias e backups dele, pode ter acesso a esse conteúdo. A segurança e os backups desse equipamento são sua responsabilidade.

3. Dados que tratamos na nossa nuvem

Criar uma conta é necessário só para recursos que dependem da nossa nuvem, como falar com o seu Hub pelo celular ou ligar vários computadores ao mesmo Hub. Nesses casos, tratamos:

  • Conta: e-mail, nome e senha. A identidade é gerida pelo Clerk, que guarda a senha protegida. Nós não recebemos a senha. Nossa nuvem guarda o identificador da conta, o e-mail, a situação da conta e as datas de criação e de exclusão.
  • Entrar com Google ou outro provedor: se você escolher essa opção, o provedor compartilha com o Clerk dados básicos do perfil, como nome, e-mail, identificador e foto, conforme as permissões que você aprovar na tela dele. Nunca recebemos a senha da sua conta Google.
  • Aparelhos: nome dado ao aparelho, tipo de sistema, chave pública, data de criação, último uso e eventual revogação.
  • Computadores ligados ao Hub: nome, sistema, tipo de equipamento, versão do programa, chaves públicas, se está on-line e quando foi visto pela última vez.
  • Vínculos e pedidos de acesso: qual aparelho ou computador pode falar com qual Hub, com quais permissões, situação do pedido (pendente, aprovado, negado, expirado ou cancelado), datas e códigos de verificação do pareamento.
  • Registros de segurança: quem fez cada ação relevante (por exemplo, exclusão de conta), sobre qual item, com qual resultado e quando.
  • Limites de uso: contadores de avisos externos recebidos por minuto e por dia, usados contra abuso.
  • Endereço IP: usado no momento da requisição para limitar tentativas de cadastro e de avisos externos. Não o gravamos. Veja em Retenção e exclusão o que a Cloudflare pode registrar.

Não vendemos dados pessoais e não os usamos para publicidade. Hoje o Serviço é gratuito e, portanto, não tratamos dados de cobrança.

4. Para que usamos e com qual base legal

  • Criar e manter sua conta, autenticar você e ligar seus aparelhos e computadores ao seu Hub: execução do contrato (LGPD, art. 7º, V).
  • Proteger o Serviço (limites de taxa, registros de segurança, prevenção de fraude e abuso): legítimo interesse (art. 7º, IX).
  • Enviar mensagens da conta, como verificação de e-mail ou recuperação de senha, quando o Clerk as enviar: execução do contrato (art. 7º, V).
  • Cumprir obrigações legais e atender autoridades: art. 7º, II.
  • Exercer direitos em processos: art. 7º, VI.

Se algum tratamento depender do seu consentimento, você pode retirá-lo a qualquer momento. A retirada não afeta o que foi feito antes dela.

5. Acesso remoto, vários computadores e avisos externos

O acesso pela nuvem é opcional. Só funciona se o seu Hub for configurado para usá-lo. Sem essa configuração, seu Hub não fala com a nossa nuvem.

  • Conversa entre aparelho, computador e Hub: passa por um retransmissor nosso na Cloudflare. As mensagens são cifradas de ponta a ponta entre o aparelho ou computador e o Hub. O retransmissor vê só o conteúdo cifrado e os metadados necessários para entregá-lo: qual aparelho, qual Hub, quando e o tamanho.
  • Caixa de espera: se o Hub estiver desligado, o retransmissor guarda mensagens cifradas para o Hub por até 24 horas, com limite de tamanho e quantidade. Depois da entrega ou do prazo, elas são apagadas.
  • Avisos externos das rotinas (webhooks): quando um serviço de fora chama o endereço de uma rotina sua, nossa nuvem recebe o aviso e o cifra na hora, com a chave do seu Hub. Só entrega se o Hub estiver conectado. O conteúdo não é guardado e é apagado da memória depois do envio. Ficam só os contadores de limite e os metadados do pedido. Se o Hub estiver desligado, o aviso é recusado e o remetente pode tentar de novo.

Cifrar o conteúdo não esconde os metadados. Por isso, não afirmamos que não vemos nada: vemos o que está listado nesta seção e na seção 3.

6. Provedores de IA, aplicativos e WhatsApp

Os bots usam modelos de IA de terceiros (por exemplo, Anthropic, OpenAI, Google e xAI) pelo motor que você já usa no seu computador, como Claude Code, Codex, Cursor, Gemini, Grok, OpenCode ou Pi, com a sua conta ou chave. O Hub envia ao provedor o que o bot precisa para trabalhar: instruções, conversa, memória relevante e resultados de ferramentas. O envio sai do seu Hub direto para o provedor, sem passar pela nossa nuvem. Esse uso segue os termos e a política de privacidade do provedor, e os custos são cobrados por ele de você.

Ao ligar um aplicativo (por exemplo, pela integração com o Composio ou um servidor MCP), os dados lidos ou escritos pelos bots passam por esse serviço e seguem os termos dele. Não controlamos o que esses terceiros fazem com os dados.

Ao dar a um bot um número de WhatsApp, as mensagens trocadas por esse número passam pela infraestrutura do WhatsApp e seguem os termos e a política de privacidade da Meta. Você é responsável por ter base legal para conversar com as pessoas que escrevem para esse número.

7. Telemetria, cookies e site

O aplicativo e o Hub não enviam telemetria de uso nem relatórios de erro para nós. Também não buscam atualizações automaticamente em servidores nossos. Os registros técnicos ficam no seu equipamento.

Este site não usa cookies de análise, publicidade ou rastreamento. A página de login carrega o Clerk no próprio site. Ele usa só os cookies técnicos e o armazenamento local necessários para a sessão e para a proteção contra fraude e robôs do Clerk e da Cloudflare (Turnstile). Nada disso é usado para publicidade.

8. Com quem compartilhamos

Usamos estes operadores, que tratam dados em nosso nome:

  • Clerk: identidade, login, senha e e-mails da conta;
  • Cloudflare: hospedagem do site e da nossa nuvem, banco de dados, retransmissor, DNS e proteção contra ataques.

Se você escolher entrar com Google, o Google trata seus dados de login como controlador, conforme os termos dele. Provedores de IA, aplicativos conectados e o WhatsApp não são nossos operadores. Você os contrata diretamente (seção 6).

Também podemos compartilhar dados quando a lei exigir, por ordem de autoridade competente ou para defender direitos em processos.

9. Transferência internacional

Clerk e Cloudflare podem tratar dados fora do Brasil, inclusive nos Estados Unidos. Isso inclui a rede da Cloudflare em vários países. Essas transferências seguem o art. 33 da LGPD, com as garantias contratuais oferecidas por esses fornecedores.

10. Retenção e exclusão

  • Conta: mantida enquanto existir. Para excluí-la, use a página da sua conta (accounts.mexerica.app/user) ou escreva para privacy@mexerica.app. Na exclusão, a conta é marcada como excluída e os aparelhos, computadores e vínculos são revogados. Os Hubs deixam de estar ligados a ela, e os pedidos de acesso pendentes são cancelados.
  • Registros técnicos que sobram (identificador, e-mail e nomes de aparelhos e computadores): guardados para segurança e eventual defesa em processos. Depois da exclusão da conta, são apagados ou anonimizados em até 6 meses, salvo obrigação legal. Fica só um identificador técnico, sem dado pessoal.
  • Registros de segurança: apagados em 30 dias.
  • Registros (logs) dos servidores: não ligamos registros dos nossos servidores na Cloudflare. Como provedora de rede, a Cloudflare pode manter registros técnicos próprios, conforme a política de privacidade dela.
  • Caixa de espera do retransmissor: até 24 horas.
  • Avisos externos: não são guardados.
  • Conteúdo do seu Hub: fica no seu equipamento até você apagá-lo. Excluir a conta não apaga o que está no seu Hub.

11. Segurança

As conexões usam cifra em trânsito (TLS). As mensagens entre aparelho, computador e Hub usam cifra de ponta a ponta. A autorização de novos aparelhos e computadores depende de aprovação no próprio Hub, e o acesso à nossa infraestrutura é restrito. Nenhum sistema é totalmente seguro. Se houver um incidente que possa trazer risco ou dano relevante a você, avisaremos você e a Autoridade Nacional de Proteção de Dados (ANPD), como exige a LGPD.

12. Seus direitos pela LGPD

Pelo art. 18 da LGPD, você pode pedir:

  • confirmação de que tratamos seus dados e acesso a eles;
  • correção de dados incompletos, inexatos ou desatualizados;
  • anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei;
  • portabilidade;
  • eliminação dos dados tratados com consentimento;
  • informação sobre com quem compartilhamos;
  • informação sobre a possibilidade de não consentir e suas consequências;
  • revogação do consentimento.

Você também pode se opor a tratamentos baseados em outras hipóteses legais, se houver descumprimento da lei. Para exercer seus direitos, escreva para privacy@mexerica.app. Poderemos confirmar sua identidade antes de atender. Responderemos nos prazos da LGPD. Você também pode reclamar à ANPD.

13. Menores de 18 anos

O Serviço é destinado a maiores de 18 anos. Não coletamos dados de menores intencionalmente. Se souber de um caso assim, escreva para privacy@mexerica.app e apagaremos os dados.

14. Alterações desta política

Podemos atualizar esta política quando o Serviço mudar. Mudanças relevantes serão avisadas antes de valer, por e-mail ou no aplicativo. A versão em vigor fica sempre nesta página, com a data no topo.

15. Contato e encarregado

GUILHERME VASQUES LTDA · CNPJ 62.441.139/0001-28 · Av. Rio Grande do Sul, 2649, Sala B, Jardim Belvedere, Umuarama/PR, CEP 87505-000.

Encarregado pelo tratamento de dados pessoais (DPO): Guilherme Vasques, pelo e-mail privacy@mexerica.app.

Esta política segue a lei brasileira. Veja também os Termos de Uso.