Termos de uso do Onboara

Estes termos regem o uso do Onboara, plataforma sem código de tours guiados e adoção digital para sistemas web. Eles são um contrato entre:

• T C VERAS (Amplify - Desenvolvimento de Sistemas), CNPJ 54.177.424/0001-55, com endereço na Rua São Miguel, 1106, Bairro Alto Bonito, Luís Correia/PI, CEP 64220-000, chamada aqui de Amplify; e
• a empresa ou entidade que aceita estes termos no cadastro ou os assina, chamada aqui de organização.

O Acordo de tratamento de dados faz parte destes termos. Em assunto de dado pessoal, vale o acordo.

1. Palavras usadas aqui

• Membro: pessoa com login no painel e na extensão, dentro de uma organização.
• Usuário final: pessoa que usa o sistema da organização e vê os fluxos.
• Aplicativo: sistema web da organização onde os fluxos rodam.
• Ambiente: uma instalação do aplicativo, de desenvolvimento, de homologação ou de produção, com chave própria.
• Fluxo: experiência publicada no aplicativo, como um tour ou uma dica.
• Construtor: extensão de navegador que os membros usam para criar e reparar fluxos.
• SDK: código JavaScript do Onboara que roda no sistema da organização.
• Snippet: trecho de HTML que a organização cola no sistema dela para carregar o SDK.
• CDN: a rede que entrega o SDK e os manifestos.
• Manifesto: arquivo curto, por ambiente, que diz ao SDK quais fluxos estão publicados e o que vale ali.
• Runtime: o serviço que guarda a identidade e o progresso dos usuários finais.
• Agente de código: ferramenta de programação com IA que a pessoa usa no próprio computador.
• Servidor MCP: peça que deixa um agente de código ler o formato dos fluxos e preparar fluxos ainda não publicados.
• Chave de desligamento: interruptor que tira do ar um fluxo ou uma capacidade sem publicar código.
• MAU: a métrica de cobrança, definida na seção 10.
• Fases: MVP é a primeira versão em uso, sem cobrança. BETA é a fase de testes pagos, em que a cobrança liga. GA é o lançamento geral. Item que cita uma fase vale a partir dela. Item sem fase vale desde o MVP.

2. O serviço

O Onboara tem quatro partes: o construtor, o SDK, a plataforma (API, painel e métricas) e o servidor MCP. A organização mapeia as telas do próprio sistema, cria fluxos e os publica. O SDK mostra os fluxos aos usuários finais e mede quem viu, quem concluiu e onde desistiu.

O Onboara é oferecido a empresas e entidades estabelecidas no Brasil, em reais e em português. É um serviço para uso profissional. Nada nestes termos afasta direito que a lei não permita afastar.

As capacidades de cada plano estão na página de planos. Capacidade que ainda não entrou no ar não faz parte do contrato até entrar.

3. Aceite e mudanças

O aceite acontece no cadastro, junto com o do acordo de tratamento de dados. Guardamos a versão aceita, o horário e o membro. Quem aceita declara que pode representar a organização.

A versão é a data no alto do texto. As versões anteriores continuam publicadas.

Para mudar estes termos, avisamos com 30 dias de antecedência, por e-mail ao dono da organização e no painel. Se a organização não concordar, pode cancelar antes de a nova versão valer, sem multa e com devolução proporcional do que pagou adiantado. Um prazo menor só vale quando a lei exigir a mudança antes.

4. Cadastro, membros e credenciais

A organização responde pelo que os membros dela fazem com os acessos que ela concede. O dono da organização usa autenticação em dois fatores, que é obrigatória para esse papel.

• A chave pública do ambiente pode aparecer no HTML.
• O segredo de identidade fica no servidor da organização e nunca vai ao navegador.
• O token do servidor MCP é pessoal, vale 30 dias e fica em variável de ambiente, nunca em arquivo de repositório.

Se suspeitar de vazamento de uma credencial, a organização troca a credencial e avisa seguranca-onboara@amplify.tec.br.

5. Uso permitido

A organização usa o Onboara nos próprios sistemas ou em sistemas que ela tem direito de alterar. Ela não pode:

• servir produção com chave de teste nem usar ambiente que não é de produção para fugir da contagem de MAU;
• mandar ao Onboara dado que o produto proíbe, como CPF, CNPJ, e-mail ou cartão usados como identificador ou atributo, dado sensível, senha ou segredo;
• publicar fluxo ilegal, enganoso, que peça senha ou dado de pagamento ao usuário final ou que viole direito de terceiro;
• usar as métricas do Onboara para avaliar o desempenho de empregados ou de alunos;
• burlar limites, cotas ou chaves de desligamento postas pela cobrança;
• testar a segurança do Onboara fora da política de divulgação responsável;
• revender o Onboara sem contrato próprio;
• copiar ou descompilar o Onboara, salvo no que a lei permitir.

6. O que cabe à organização

• Instalar o snippet primeiro em homologação e conferir os fluxos antes de publicar. Nada é publicado sem um membro.
• Responder pelo conteúdo dos fluxos.
• Decidir a base legal do tratamento dos dados dos usuários finais e informá-los, como diz o acordo de tratamento de dados.
• Declarar, por aplicativo, se o público inclui crianças ou adolescentes. Nesse caso, vale o perfil “menores”, imposto pelo manifesto.
• Manter atualizados os contatos do dono, do financeiro e de privacidade.

7. O sistema da organização

O SDK roda no sistema da organização. Por isso, ele é feito para nunca quebrar esse sistema:

• todo erro do SDK é capturado nele e não sobe para a página;
• ele não cancela evento da página, salvo a guarda de teclado enquanto um fluxo está ativo;
• ele não altera classe, estilo ou atributo de elemento da página, salvo a classe opcional onboara-active no <body>, que vem desligada e só a organização liga;
• ele não bloqueia a página por mais de 50 ms seguidos;
• com a chave de desligamento ligada, ele não carrega nada;
• se a CDN ou a API do Onboara cair, o sistema continua igual, só sem os fluxos.

Tratamos defeito contra esse compromisso com severidade máxima. Ele é um compromisso de engenharia, não uma garantia absoluta: nenhum software está livre de defeito, e cada sistema é diferente. Por isso a organização instala primeiro em homologação e mantém a chave de desligamento ao alcance.

O snippet, a API JavaScript do SDK, o formato do fluxo publicado, o formato dos eventos, a API pública, os webhooks, os formatos de exportação e as ferramentas e os comandos do servidor MCP são contratos públicos. Mudança incompatível neles só sai em versão maior, com aviso e convivência de ao menos 6 meses. Versão publicada de um fluxo não muda: corrigir é publicar versão nova.

8. Disponibilidade, plantão e suporte

Metas de disponibilidade, ao mês:

Superfície	MVP e BETA	GA em diante
CDN (SDK e manifestos)	99,95%	99,95%
Runtime (identidade e progresso)	99,5%	99,9%
Ingestão de eventos	99,5%	99,9%
Painel, API administrativa e construtor	99,5%	99,5%

Essas metas guiam a operação e não dão direito a crédito, salvo o acordo de nível de serviço abaixo.

Acordo de nível de serviço (SLA) do plano Empresa (GA). O plano promete, ao mês, CDN 99,95%, runtime e ingestão 99,9% e painel 99,5%. Disponibilidade mensal do runtime ou da ingestão abaixo de 99,9% vira crédito de 10% da mensalidade; abaixo de 99,5%, 25%; abaixo de 99%, 50%. O crédito é aplicado na fatura seguinte, a pedido da organização.

Plantão. No MVP e na BETA, o plantão cobre dias úteis, das 8h às 22h, horário de Brasília. Nesse horário, a meta para uma falha de severidade máxima é reconhecer em até 15 minutos e começar a conter em até 30 minutos do alarme. Conter é tirar o dano do ar sem código novo. Fora desse horário:

• o alarme não tem obrigação de resposta imediata e é reconhecido até as 8h15 do dia útil seguinte;
• são exceção o vazamento entre organizações, o dado pessoal exposto e o SDK quebrando páginas, atendidos ao ler o alarme, a qualquer hora;
• seguram a falha fechada do SDK, que não mostra nada e deixa o sistema igual, e a chave de desligamento, que a própria organização liga pelo painel enquanto a API administrativa responde.

Da GA em diante, o plantão cobre 24 horas, todos os dias.

Suporte. O canal e o tempo de retorno de cada plano estão na página de planos. Esses tempos são metas, salvo no plano Empresa, em que são compromisso.

9. Planos e preços

Esta parte e as seções 10 a 16 valem a partir da BETA. No MVP, o Onboara não cobra. Antes de ligar a cobrança, avisamos com 30 dias. Nada é cobrado sem que a organização escolha um plano pago, e quem não escolher passa ao plano Grátis, com os limites dele.

Os planos, os preços, os MAU incluídos e o preço do bloco de excedente estão na página de planos, em https://onboara.com/precos. Vale a versão do plano em vigor na contratação ou na última renovação. Preço novo é versão nova: a assinatura mantém o preço até a renovação, com aviso de reajuste 30 dias antes.

O preço é em reais, com tributos inclusos. Se a lei mudar a forma de cobrar tributos, avisamos antes.

10. MAU

MAU são os usuários finais distintos, identificados ou anônimos, com ao menos uma sessão medida no mês civil, no fuso da organização, nos ambientes de produção de todos os aplicativos dela.

Não entram: ambientes que não são de produção; robôs e navegadores automatizados; até 25 usuários finais marcados como internos por ambiente; origem fora dos domínios autorizados; prévia do construtor e “Verificar agora”; usuário final com consentimento de métricas pendente ou negado.

Como se conta:

• identificado conta uma vez em qualquer aparelho, e anônimo, uma vez por navegador;
• anônimo que se identifica no mesmo mês conta uma vez;
• o mesmo identificador em dois aplicativos conta duas vezes;
• sem identificador persistente, como na identificação negada ou no perfil “menores”, a chave é a sessão, e as sessões do ambiente entram divididas pelo divisor do plano, hoje 20, arredondadas para cima.

Fechamento e conferência. O mês fecha às 0h do dia 9 do mês seguinte, no fuso da organização. A tela de uso mostra o mesmo número da fatura, por aplicativo e por tipo de chave, com série diária e exportação só de contagens. Se a nossa conferência interna der diferença acima de 2%, o excedente daquele mês fica retido até uma revisão manual, e a mensalidade segue normal.

A organização pode contestar a contagem por escrito em até 90 dias do fechamento. É o prazo em que a lista de chaves contadas existe. Da GA em diante, o painel a exporta a pedido do dono da organização.

Ambiente que não é de produção com mais de 1.000 chaves distintas no mês gera aviso ao dono da organização, nunca cobrança automática. Três meses seguidos acima disso abrem contato do suporte.

11. Excedente e limites

Excedente. Acima de 110% dos MAU incluídos, o excedente do mês é cobrado em blocos de 1.000 MAU, arredondados para cima, ao preço de bloco da versão do plano. Por exemplo, num plano com 2.500 MAU incluídos, 4.100 MAU dão 2 blocos, e 2.740 MAU não dão nenhum. A cobrança sai depois do fechamento: no ciclo mensal, junto com a mensalidade seguinte; no anual, avulsa.

Avisos. O dono da organização e o e-mail financeiro recebem aviso em 80%, 100% e 110% dos MAU incluídos e no dia em que a projeção do mês passa de 110%.

Limites. Ação acima de um limite do plano é recusada, com o limite atingido e o plano que a libera. Nenhum limite tira do ar um fluxo publicado sem o aviso previsto nestes termos.

Plano Grátis. MAU acima de 200% do incluído no mês, ou acima de 110% pelo segundo mês seguido, desliga o início automático em produção até o dia 1º do mês seguinte ou até a assinatura. Início manual, central de ajuda e métricas continuam.

12. Teste grátis

O teste dura 14 dias, uma vez por organização e por CNPJ, sem pedir meio de pagamento. Ele libera as capacidades do plano Profissional, com 10.000 MAU e 50 créditos de IA. No 11º dia, avisamos por e-mail e no painel. Sem assinatura, a organização passa ao plano Grátis no 15º dia, sem perder dado.

13. Ciclos e mudança de plano

Anual. Compromisso de 12 meses, com fatura única antecipada. Renova sozinho, com aviso 30 dias antes.

Mensal. Cobrança antecipada no mesmo dia de cada mês, sem fidelidade.

Subir de plano. As capacidades são liberadas em até 5 minutos, e a diferença é cobrada pelos dias restantes. Os MAU incluídos do plano novo valem para o mês inteiro. Mensal vira anual na hora, com crédito proporcional. Anual vira mensal só na renovação.

Descer de plano ou terminar o teste. Tours e dicas seguem publicados mesmo acima do limite, mas publicar fica bloqueado até caber. Fluxo que depende de capacidade fora do plano deixa de ser servido, com aviso 7 dias antes. A voz neural cai para a voz do navegador. Subir de novo devolve tudo sem republicar.

14. Pagamento e nota fiscal

A cobrança é processada pela Stripe. Os meios são boleto e cartão à vista, e Pix quando estiver disponível. A primeira cobrança pede CNPJ, razão social, endereço e e-mail financeiro.

Toda cobrança recebida gera nota fiscal de serviço (NFS-e) por um emissor terceiro, porque a Stripe não emite. Se o emissor falhar, a fatura segue paga, a nota sai depois e a organização não é bloqueada.

Serviços profissionais, como implantação guiada, pacote de fluxos e hora de especialista, são contratados à parte, com cobrança e nota próprias.

15. Fatura vencida

A régua conta dias corridos desde o vencimento:

Dia	O que acontece
D+1	e-mail
D+7	faixa no painel
D+15	publicação, IA e voz neural nova bloqueadas
D+30	início automático desligado em produção; início manual e central de ajuda continuam
D+45	o SDK deixa de mostrar fluxos em produção
D+90	cancelamento e fim do contrato

Em nenhuma etapa o sistema da organização é alterado: no pior caso, o SDK não mostra nada, e a página carrega como sempre. Os dados continuam guardados até o fim do contrato.

Pagamento confirmado desfaz todas as etapas em até 10 minutos, sem republicar fluxo e sem mostrar de novo fluxo já visto. As chaves postas pela cobrança são do sistema: nenhum membro as desliga. Cada etapa fica registrada e gera e-mail ao dono da organização.

16. Cancelamento e reembolso

O cancelamento é feito no painel, por quem tem permissão de cobrança, e vale no fim do período pago. O ciclo mensal não tem multa. O anual não tem reembolso proporcional, salvo nos casos abaixo.

• A primeira assinatura paga, cancelada em até 7 dias corridos do pagamento, é reembolsada por inteiro.
• Cobrança em duplicidade ou com erro de contagem confirmado é estornada em até 5 dias úteis ou vira crédito, à escolha da organização.
• Há devolução proporcional do período não usado quando a organização sai por descumprimento da Amplify, por mudança destes termos que ela recuse ou por objeção a um suboperador novo, e quando a Amplify encerra o serviço.

17. Conteúdo e propriedade intelectual

O que é da organização continua dela: fluxos, textos, áudio, vídeo, glossário e dados. Ela autoriza a Amplify a guardar, processar e publicar esse conteúdo só para prestar o serviço, enquanto o contrato durar. Ela garante que tem direito de usar o que publica.

O que é da Amplify continua dela: o Onboara, o SDK, o construtor, o formato dos fluxos e a marca Onboara. A organização recebe o direito de usá-los, sem exclusividade e sem poder transferir, pelo tempo do contrato. Código do SDK publicado com licença própria segue essa licença.

Divulgação. A marca Onboara aparece no balão do plano Grátis e pode ser removida nos planos pagos. Um caso público só sai com o texto aprovado antes pela organização.

Sugestões. A Amplify pode usar sugestões de melhoria sem obrigação com quem sugeriu, desde que não revele dado nem conteúdo da organização.

18. IA, voz, vídeo e agentes de código

IA de autoria (BETA). A organização liga e desliga. Ela roda só quando um membro pede, com cota mensal em créditos nos planos indicados. Sem saldo, a IA recusa o pedido, e nenhum fluxo publicado muda. O texto sugerido vem marcado como sugestão, e publicá-lo é decisão de um membro. Nenhum dado de usuário final vai ao modelo. Nem a Amplify nem o provedor treinam modelo com dado da organização ou de usuário final.

Voz neural (BETA). Consome a cota mensal de caracteres do plano. Sem saldo, passos novos usam a voz do navegador até o mês seguinte.

Vídeo. A organização escolhe o provedor: YouTube, Vimeo ou Panda. O navegador do usuário final fala direto com ele, e o contrato com esse provedor é da organização.

Agente de código. O servidor MCP só lê fluxos e cria ou altera versões não publicadas, num aplicativo. Publicar continua sendo ato de um membro, no painel ou no construtor. A organização escolhe o agente de código e o modelo dele, e eles não são fornecedores da Amplify. Os campos do servidor MCP não aceitam código-fonte, HTML de página nem dado de usuário final. Os planos em que o canal entra estão na página de planos.

19. Dados pessoais

Os dados dos usuários finais são da organização, que é a controladora. A Amplify é a operadora e trata esses dados só pelas instruções dela, como diz o acordo de tratamento de dados.

Todos os dados do Onboara, inclusive os dos seus usuários finais, ficam nos Estados Unidos, na região us-east-1 (Norte da Virgínia) da AWS. A CDN é global e guarda só arquivos públicos. Isso é transferência internacional de dados, e o acordo de tratamento de dados diz o mecanismo e o que cabe à organização. O que roda fora dessa região está listado, com o motivo, na página de suboperadores. Até essa página existir, a lista é o anexo do acordo.

A Amplify é a controladora dos dados de membros, de login, de registros de acesso e de cobrança, como diz a política de privacidade.

A Amplify não vende dado, não cruza dado entre organizações e não usa dado para publicidade, para comparação entre organizações nem para treinar modelo.

20. Confidencialidade

Cada parte mantém em sigilo o que conhecer do sistema e do negócio da outra, durante o contrato e por 5 anos depois dele. Segredo industrial segue protegido enquanto for segredo. Isso não vale para o que já é público, para o que a parte já sabia ou para o que a lei ou uma ordem judicial mandar revelar.

21. Responsabilidade

Cada parte responde pelos danos que causar à outra ao descumprir estes termos.

A responsabilidade total de cada parte perante a outra, somados todos os fatos de um período de 12 meses, fica limitada ao maior destes valores: o que a organização pagou à Amplify nos 12 meses anteriores ao fato, ou R$ 5.000.

Esse limite não vale para:

• dano causado de propósito ou por culpa grave;
• a obrigação da organização de pagar o preço;
• uso indevido da propriedade intelectual da outra parte;
• o que a lei não permita limitar.

O limite vale só entre a Amplify e a organização. Ele não reduz direito de titular de dados nem de autoridade, e não muda a responsabilidade prevista no art. 42 da Lei Geral de Proteção de Dados. Quem indenizar um titular pode cobrar da outra parte o que couber à participação dela no dano, dentro deste limite e das exceções acima.

Se a relação for de consumo, o limite só vale nas situações que o Código de Defesa do Consumidor admite para consumidor pessoa jurídica.

Nenhuma parte responde por caso fortuito ou força maior.

22. Suspensão e fim do contrato

Suspensão. A Amplify pode suspender o que for preciso para conter risco de segurança, cumprir ordem legal ou parar uso proibido, com aviso prévio quando for possível e pelo menor tempo necessário. A suspensão usa as chaves de desligamento, e o sistema da organização continua funcionando.

Rescisão. O contrato dura enquanto houver assinatura ou uso do plano Grátis. A organização sem plano pago pode sair a qualquer hora, por escrito; da BETA em diante, o dono dela a exclui no painel. Qualquer parte pode rescindir por descumprimento grave que não seja corrigido em até 30 dias do aviso por escrito. A Amplify pode encerrar o serviço com aviso de 90 dias.

Depois do fim. A organização exporta o que quiser até a data de fim. Em até 30 dias depois dela, tudo o que é de usuário final e todo o conteúdo da organização são excluídos, com comprovante por e-mail ao dono da organização. As cópias de segurança vencem em mais 35 dias.

O que fica. Faturas e notas fiscais ficam pelo prazo que a lei fiscal pedir, e ao menos 5 anos. O registro do aceite destes termos fica por 5 anos depois do fim do contrato, como prova dele. O que mais a lei ou o acordo de tratamento de dados mandar guardar segue os prazos deles.

23. Condições especiais e transferência

Condição especial por escrito prevalece sobre estes termos, no que for diferente. É o caso da carta de parceiro de design, com uso grátis no MVP e desconto nos meses seguintes, e do contrato do plano Corporativo.

A Amplify pode transferir este contrato à empresa que a suceder na operação do Onboara, com aviso de 30 dias. A organização que não concordar pode cancelar nesse prazo, sem multa e com devolução proporcional.

24. Avisos

Avisamos a organização por e-mail ao dono dela, ao e-mail financeiro ou ao contato de privacidade, conforme o assunto, e no painel. A organização nos avisa por escrito:

• sobre dados pessoais, em privacidade-onboara@amplify.tec.br, com o encarregado Tyago Costa Veras;
• sobre segurança, em seguranca-onboara@amplify.tec.br;
• sobre o resto, pelos canais de suporte do painel ou no endereço do início destes termos.

25. Lei e foro

Vale a lei brasileira. Antes de ir à Justiça, as partes procuram resolver por escrito, sem que isso impeça ninguém de ir a ela.

Fica eleito o foro da comarca de Luís Correia/PI, onde a Amplify tem endereço. Se a relação for de consumo, vale o foro do domicílio da organização.

Quando este texto mudar, a versão anterior continua publicada e listada aqui.