Política de Privacidade

1. Quem somos

FabricaPosts ("nós", "app", "plataforma") é operado por BLUE MARKETING LAGUNA LTDA - ME, CNPJ 61.149.830/0001-70, sediada em RUA ANITA GARIBALDI 48, Laguna - SC. Este documento explica quais dados pessoais tratamos, por quê, com quem compartilhamos e quais são seus direitos sob a LGPD (Lei 13.709/2018) e o GDPR (UE 2016/679).

2. Quais dados coletamos

2.1 Cadastro

• Email (usado para login via Magic Link)
• Nome (opcional, para personalização do perfil)
• Locale preferido (pt-BR ou en)

2.2 Conteúdo gerado pela plataforma

• Carrosséis, briefs, slides e edições
• Identidade de marca: nicho, tom de voz, paleta de cores, logos e referências visuais que você opta por enviar
• Estatísticas de uso (cota mensal, quantidade de gerações)

2.3 Dados do Instagram (via Instagram API)

Quando você conecta sua conta Instagram Business ou Creator, armazenamos:

• ID da conta Instagram Business (numérico)
• Username público (@handle)
• Token de acesso de longa duração da Instagram API, criptografado em repouso com AES-256-GCM
• Data de expiração do token (geralmente 60 dias)
• Permissões (scopes) autorizadas: instagram_business_basic e instagram_business_content_publish

Não coletamos mensagens diretas, lista de seguidores, posts existentes, comentários, métricas de alcance nem dados de terceiros. Acessamos a Instagram API estritamente para publicar os carrosséis que você cria no FabricaPosts e confirmar o link público do post após a publicação.

2.4 Dados de navegação e uso

Coletamos automaticamente, por motivos técnicos e de segurança:

• Endereço IP (anonimizado em métricas agregadas)
• Tipo de navegador, sistema operacional e identificadores de dispositivo
• Páginas acessadas, data e hora de acesso
• Logs de atividade dentro da plataforma (gerações, edições, publicações)

Esses dados são usados para segurança (detecção de fraude e abuso), debugging técnico e métricas agregadas internas. Não são vendidos nem cruzados com cookies de terceiros para fins de publicidade comportamental.

3. Como usamos seus dados

• Autenticar você na plataforma
• Gerar carrosséis utilizando IA (Anthropic Claude e Replicate)
• Publicar conteúdo no Instagram somente quando você solicita explicitamente a partir do editor
• Notificar via email quando seu token Instagram estiver próximo de expirar (cron diário)
• Métricas internas agregadas, sem informações pessoais identificáveis

4. Com quem compartilhamos

Para entregar o serviço, alguns dados trafegam através de provedores terceiros, contratualmente obrigados a manter a confidencialidade:

Nunca vendemos seus dados. Nunca os usamos para treinar modelos de IA de terceiros.

5. Seus direitos

Sob a LGPD e o GDPR, você pode a qualquer momento:

• Solicitar cópia dos seus dados
• Corrigir informações incorretas
• Apagar sua conta e todos os dados associados — veja instruções de apagamento
• Revogar a conexão com o Instagram a qualquer momento (Configurações → Desconectar)
• Solicitar portabilidade dos dados
• Apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD)

6. Retenção

• Dados ativos: enquanto sua conta existir e por até 90 dias após o último login
• Após apagamento solicitado: 30 dias em backup encriptado, depois purga definitiva
• Tokens do Instagram: deletados imediatamente quando você clica em "Desconectar" em Configurações
• Logs de auditoria: 12 meses
• Dados fiscais/contábeis (faturas, notas fiscais, comprovantes de pagamento): retidos por 5 anos após emissão, conforme exigido pelo Código Tributário Nacional e legislação tributária aplicável a pessoa jurídica

7. Segurança

• Tokens Instagram criptografados em repouso com AES-256-GCM
• Comunicação TLS 1.3 em todas as APIs públicas
• Row-Level Security (RLS) no PostgreSQL: cada usuário só consegue ler/escrever os próprios dados, mesmo via API
• Senhas: não armazenamos. Autenticação 100% via Magic Link

8. Crianças

Não coletamos intencionalmente dados de menores de 13 anos. A plataforma não é direcionada a crianças. Caso identifiquemos cadastro de menor, apagamos imediatamente.

9. Mudanças nesta política

Notificamos mudanças materiais por email e por banner dentro do app, com 30 dias de antecedênciaantes da vigência. Mudanças editoriais menores são aplicadas e versionadas via campo "Última atualização" no topo deste documento.

10. Uso permitido e proibido dos dados da Instagram API

Em conformidade com a Plataforma para Desenvolvedores da Meta, os dados que recebemos da Instagram API são usados estritamente para:

• Identificar a conta Instagram conectada e exibir o handle no app
• Publicar carrosséis que você cria no FabricaPosts, quando você confirma manualmente no editor
• Recuperar o permalink público do post após a publicação
• Validar a expiração do token e alertá-lo via email quando estiver próximo do vencimento

Os dados obtidos via Instagram API NUNCA são usados para:

• Publicidade direcionada, retargeting ou marketing comportamental
• Venda ou intermediação de dados (data brokering)
• Análise de crédito ou decisões automatizadas que afetem o usuário de forma significativa
• Treinamento de modelos de inteligência artificial — próprios ou de terceiros
• Compartilhamento com partidos políticos, agências governamentais, empregadores ou seguradoras

11. Processamento automatizado e Inteligência Artificial

Usamos os seguintes provedores de IA para gerar carrosséis:

• Anthropic Claude (Sonnet 4.5 e Haiku 4.5) — geração de roteiros textuais e análise de imagens de marca
• Replicate (Gemini, Seedream, Flux) — geração de imagens para os slides

Os provedores acima processam seus inputs (briefs, dados de marca, prompts) apenas para gerar a resposta solicitada e retornam o resultado de forma síncrona. Os contratos de uso da API com Anthropic e Replicate vedam expressamente o uso de inputs de clientes para treinar modelos de IA.

Em nenhuma hipótese seus dados obtidos via Instagram API ou seus dados de marca são usados para treinar modelos de IA — nem por nós, nem pelos provedores acima.

12. Transferência internacional de dados

FabricaPosts utiliza serviços de infraestrutura hospedados fora do Brasil, em especial:

• Supabase (banco PostgreSQL + Auth) — região AWS us-east-1 ou São Paulo
• Cloudflare R2 (armazenamento de imagens) — rede global Cloudflare
• Upstash Redis (filas e cache) — AWS us-east-1
• Anthropic (Claude) — Estados Unidos
• Replicate (geração de imagens) — Estados Unidos
• Resend (email transacional) — Estados Unidos

A transferência internacional ocorre em conformidade com o Artigo 33 da LGPD: os provedores acima oferecem grau de proteção de dados pessoais adequado ao previsto na legislação brasileira, mediante cláusulas contratuais específicas (Data Processing Agreements) que vedam o uso fora dos fins contratados.

13. Contato

• Encarregado (DPO): Daniel Santana — dpo@fabrica-de-posts.site
• Privacidade geral: privacy@fabrica-de-posts.site
• Comercial: contato@fabrica-de-posts.site
• Reclamações: gov.br/anpd