Política de Privacidade

0. Controlador e Encarregado (DPO)

1. Introdução

Esta Política de Privacidade explica quais dados pessoais tratamos, com que finalidade, com que base legal, com quem os compartilhamos, por quanto tempo os guardamos e como você exerce seus direitos. Ela se aplica à plataforma web, ao aplicativo móvel e a todas as integrações descritas aqui.

A Social Media Machine é uma plataforma de criação de conteúdo para redes sociais que utiliza inteligência artificial. Isso significa que parte do conteúdo que você envia é processada por provedores de IA de terceiros, todos nomeados na seção 4. Se você não concorda com esse compartilhamento, as ferramentas de IA não poderão ser utilizadas.

2. Dados que coletamos

2.1. Dados fornecidos por você

• Cadastro: nome completo, endereço de e-mail e senha (armazenada com hash, nunca em texto legível).
• Telefone (obrigatório): usado para verificação da conta, suporte e comunicação sobre a assinatura.
• Perfil: foto, nome de exibição e nome de usuário — inclusive o perfil do X/Twitter que você configura para os modelos de post.
• Chave PIX: apenas de usuários inscritos no programa de afiliados, para pagamento de comissões.
• Conteúdo enviado às ferramentas de IA: textos, imagens, documentos (PDF), áudio, vídeo, páginas de venda e briefings.
• Conteúdo criado: posts, carrosséis, roteiros, bios, vídeos, planos de conteúdo e criativos publicitários, com suas configurações.
• Dados de autenticação em dois fatores, quando você a ativa.

2.2. Dados de pagamento

O pagamento é processado integralmente pela Stripe. Não armazenamos dados de cartão. Guardamos apenas o identificador do cliente e da assinatura na Stripe e o histórico de status e valores da sua assinatura.

2.3. Dados de login social

• Google: nome, e-mail, foto de perfil (quando disponível) e o identificador único da conta Google.
• Apple (Sign in with Apple): nome, e-mail (ou o e-mail de redirecionamento privado, se você optar por ocultá-lo) e o identificador único Apple.

Não solicitamos acesso a contatos, calendário, arquivos em nuvem ou qualquer outro dado além dos listados. O login social serve exclusivamente para autenticação e criação de conta.

2.4. Conta do Instagram conectada

Se você conectar uma conta do Instagram, tratamos: nome de usuário, nome de exibição, foto, identificadores da conta e da página do Facebook vinculada, o token de acesso (armazenado criptografado), as permissões concedidas, as publicações e seu desempenho (alcance, visualizações, seguidores, interações) e o conteúdo que você publica ou agenda por aqui.

2.5. Dados de origem e atribuição

• Parâmetros de campanha utm_source, utm_medium, utm_campaign, utm_term, utm_content e sck.
• Código de indicação do programa de afiliados, quando você chega por um link de indicação.
• Eventos do seu uso do site que medem campanhas de anúncio: cadastro, início do checkout, compra e renovação da assinatura (ver seções 3 e 4).

2.6. Dados coletados automaticamente

• Uso: páginas visitadas, ferramentas utilizadas, data/hora do último login e da última atividade.
• Dispositivo e conexão: endereço IP, navegador, sistema operacional.
• Registros de erro da aplicação: mensagem, contexto técnico e URL da requisição, que podem conter identificadores seus.
• Cookies e analytics: apenas os essenciais por padrão — ver seção 8.

2.7. Dados armazenados no seu dispositivo (aplicativo móvel)

• Token de acesso: guardado no armazenamento seguro do sistema (Keychain no iOS, Keystore no Android).
• Rascunhos de formulário: guardados localmente, sem criptografia, e descartados automaticamente em 24 horas.

O aplicativo não embarca nenhum SDK de analytics, publicidade ou rastreamento de falhas.

2.8. Dados de pessoas que interagem com a sua conta do Instagram

Se você ativar as Automações de Direct, processamos em seu nome e sob a sua responsabilidade como controlador dados de pessoas que enviam mensagens diretas, respostas a stories ou comentários às suas publicações: identificador da conta (IGSID), nome de usuário e nome de exibição, se a pessoa segue ou não o perfil, data e hora das interações, a palavra-chave que acionou a automação, o histórico de entrega das mensagens automáticas e os cliques nos links enviados (com o navegador utilizado).

Nesse tratamento, a Social Media Machine atua como operadora (art. 5º, VII da LGPD) e você, usuário, como controlador. A base legal é o legítimo interesse (art. 7º, IX) na resposta automatizada a uma mensagem espontaneamente enviada pela própria pessoa, somado ao legítimo interesse da operadora na execução técnica do serviço contratado por você. Nenhum dado dessas pessoas é usado para publicidade, vendido ou compartilhado com terceiros.

Minimização: o conteúdo literal da mensagem é usado apenas para verificar a palavra-chave e é descartado assim que o evento é processado. Enquanto existe, o registro do evento fica criptografado em repouso. Os prazos de retenção estão na seção 6.

Se você é uma dessas pessoas e não é usuária da plataforma, pode solicitar acesso, correção ou exclusão dos seus dados escrevendo para [email protected]. Encaminharemos a solicitação ao controlador e a atenderemos na condição de operadores.

3. Finalidades e bases legais

Nos tratamentos baseados em legítimo interesse, realizamos e mantemos registrado o teste de balanceamento entre esse interesse e os seus direitos e liberdades fundamentais. Você pode se opor a esses tratamentos pelo canal da seção 7.

4. Operadores, subprocessadores e transferência internacional

Compartilhamos dados com os operadores abaixo, exclusivamente para as finalidades indicadas. Todos estão sediados fora do Brasil, o que caracteriza transferência internacional de dados (art. 33 da LGPD), realizada com base em cláusulas contratuais que oferecem grau de proteção compatível com o padrão brasileiro (art. 33, II, "a") e no que for necessário à execução do contrato firmado com você (art. 33, IX).

Provedores de inteligência artificial: o conteúdo que você envia às ferramentas é transmitido a esses provedores para gerar o resultado solicitado. Contratamos planos de API cujos termos vedam o uso do seu conteúdo para treinamento de modelos. Se você não concorda com esse compartilhamento, as ferramentas de IA não poderão ser utilizadas — o serviço não funciona sem esse envio.

Marketing: só compartilhamos nome, e-mail e telefone com o serviço de remarketing e só enviamos comunicações promocionais se você tiver marcado, de forma específica e separada, a autorização correspondente. Sem esse consentimento, nenhum dado sai para essa finalidade. Você pode revogar a qualquer momento (seção 7).

Medição de anúncios: quando você se cadastra, abre o checkout, assina ou renova, nosso servidor informa esse evento à Meta pela Conversions API, para sabermos se a pessoa chegou por um anúncio e quanto a campanha custou por resultado. O envio sai do servidor, não usa cookies e não depende do banner de cookies. E-mail e telefone vão criptografados com SHA-256 (a Meta só consegue compará-los com contas dela, sem lê-los); IP e navegador vão como estão. Nada do conteúdo que você cria é enviado. A base é o legítimo interesse em medir a nossa publicidade. Você pode se opor pelo canal da seção 7: ao registrar a oposição, deixamos de enviar qualquer evento seu à Meta a partir daquele momento.

Além dos operadores acima, podemos divulgar dados quando exigido por lei, ordem judicial ou processo legal; para proteger direitos, propriedade ou segurança nossa e de nossos usuários; e em caso de fusão, aquisição ou venda de ativos, situação em que você será notificado. Não vendemos nem alugamos seus dados pessoais.

5. Segurança dos dados

• Criptografia de dados em trânsito (HTTPS/TLS) em toda a plataforma e no aplicativo.
• Senhas armazenadas com hash seguro; nunca em texto legível.
• Criptografia em repouso do token de acesso do Instagram e dos registros de mensagens do Direct.
• Autenticação em dois fatores disponível, e limite de tentativas no login.
• Verificação de assinatura criptográfica em todos os webhooks recebidos.
• Acesso restrito aos dados pessoais e monitoramento contínuo de segurança.
• Cópias de segurança regulares.

Embora nos esforcemos para proteger suas informações, nenhum método de transmissão pela Internet é totalmente seguro e não podemos garantir segurança absoluta.

6. Retenção e descarte

Os prazos acima são aplicados por rotinas automáticas de expurgo executadas diariamente.

7. Seus direitos e como exercê-los

A LGPD garante a você (art. 18) os direitos de confirmação da existência de tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade, portabilidade, informação sobre com quem compartilhamos seus dados, informação sobre a possibilidade de não consentir, revogação do consentimento, oposição a tratamentos baseados em legítimo interesse e revisão de decisões automatizadas.

7.1. Autoatendimento

• Corrigir seus dados: em Configurações → Perfil.
• Excluir sua conta: em Configurações → Excluir conta, no site, ou em Conta → Excluir conta, no aplicativo. Instruções completas em https://app.thesocialmidiamachine.com/delete-account.
• Revogar o consentimento de marketing: pelo botão em Configurações → Perfil ou pelo link de descadastro no rodapé de qualquer e-mail promocional.
• Alterar sua escolha de cookies: pelo botão na seção 8 desta página.
• Desconectar o Instagram: na tela de Conexões, o que revoga o acesso concedido.

7.2. Pelo Encarregado

Para qualquer solicitação — inclusive acesso e portabilidade — escreva para [email protected]. Respondemos em até 15 (quinze) dias corridos. Você também pode peticionar diretamente à Autoridade Nacional de Proteção de Dados (gov.br/anpd).

7.3. O que acontece ao excluir a conta

Encerramos sua assinatura, revogamos o acesso à sua conta do Instagram junto à Meta e cancelamos a entrega de mensagens, apagamos seu conteúdo e seus arquivos, removemos os contatos, eventos e cliques do Direct vinculados às suas conexões e invalidamos todas as sessões e tokens do aplicativo. Mantemos apenas os registros financeiros exigidos por lei (art. 16, I), de forma segregada. A exclusão é imediata e irreversível.

8. Cookies e tecnologias semelhantes

Usamos cookies essenciais, que não podem ser desativados porque o serviço não funciona sem eles, e cookies de análise, que só são ativados depois do seu consentimento no banner exibido no primeiro acesso. Enquanto você não aceitar, o script do Google Analytics não é sequer carregado.

Os dados de analytics são enviados ao Google nos Estados Unidos — transferência internacional declarada na seção 4. Você pode mudar sua escolha a qualquer momento:

9. Menores de idade

O Serviço é destinado exclusivamente a pessoas com 18 anos ou mais e não é direcionado a crianças ou adolescentes. Não coletamos intencionalmente dados de menores de 18 anos. Se tomarmos conhecimento de que criamos uma conta para um menor, encerraremos a conta e eliminaremos os dados. Responsáveis que identifiquem essa situação podem nos contatar em [email protected].

10. Alterações nesta Política

Podemos atualizar esta Política periodicamente. A data de última atualização aparece no topo da página. Alterações significativas — em especial mudanças de finalidade, de bases legais ou a inclusão de novos operadores — serão comunicadas por e-mail ou por aviso na plataforma antes de entrarem em vigor.

11. Incidentes de segurança

Mantemos um plano de resposta a incidentes. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados em prazo razoável, descrevendo a natureza dos dados atingidos, os titulares envolvidos, as medidas técnicas de proteção adotadas, os riscos relacionados e as providências de mitigação, conforme o art. 48 da LGPD.

12. Contato