Política de privacidade

Esta política explica como o Posts, ferramenta de criação de posts para redes sociais, trata dados pessoais. O Posts é oferecido por GDC Produtora e Agência de Lançamentos Ltda, inscrita no CNPJ 53.402.689/0001-47, com endereço em Alameda Rio Negro, 503, sala 2020, Alphaville Centro Industrial e Empresarial, Barueri (SP), CEP 06454-000 ("nós").

Ela vale para as pessoas que têm conta no Posts, cadastradas pela organização cliente para a qual trabalham ou pela nossa equipe.

A Lei Geral de Proteção de Dados (LGPD) separa quem decide sobre os dados (controlador) de quem os trata em nome de outro (operador). No Posts fazemos os dois papéis, conforme o dado:

• Dados da conta (cadastro, login, e-mail, sessão, segurança e registro de consumo): somos a controladora. Decidimos como tratá-los para que o serviço funcione e fique seguro.
• Conteúdo que a organização cliente envia (textos, fotos, inclusive de pessoas, logos, elementos visuais e prints): somos operadora. Quem decide sobre esse conteúdo é a organização cliente, que é a controladora e responde por ter base legal e, quando for o caso, autorização das pessoas que aparecem nele. Nós o tratamos só para prestar o serviço.

• Identificação: login, nome, e-mail, papel e permissões de cada pessoa em cada organização.
• Senha: guardamos só um código irreversível gerado a partir dela (hash bcrypt), nunca a senha em si.
• Sessão: ao entrar, o navegador recebe um código de sessão; no nosso banco fica só um código irreversível dele (hash). A sessão termina depois de 7 dias sem uso e, em qualquer caso, em até 30 dias.
• Tentativas de login: o login tentado e o endereço IP, para frear tentativas repetidas. Apagadas em 24 horas.
• Pedidos de recuperação de senha e de troca de e-mail: o endereço IP de quem fez o pedido e, depois, o de quem abriu o link. Apagados em 30 dias.
• Trilha de auditoria: registro das ações administrativas sobre contas (criar, editar, inativar, reativar ou excluir um usuário, trocar senha), com quem fez, quando e o que mudou. A senha nunca entra nesse registro.
• Consumo de IA: cada uso das ferramentas de inteligência artificial registra quem usou, em qual organização, o modelo e o custo, para o controle de gasto da organização.

Tratamos como operadora, em nome da organização cliente:

• Textos dos posts e as versões de cada um.
• Pedidos feitos ao assistente de arte.
• Fotos. Cada foto recebe uma descrição gerada por IA, para facilitar a busca, sem o nome de nenhuma pessoa.
• Recortes de pessoa (a pessoa separada do fundo da foto), feitos no nosso próprio servidor.
• Elementos visuais e logo.
• Prints de referência, apagados em 7 dias.

Se o conteúdo mostra uma pessoa, cabe à organização cliente ter a autorização dela ou outra base legal para usar a imagem.

• Criar e manter a conta, autenticar o acesso e prestar o serviço contratado (gerar textos e artes, guardar os posts).

  Base legal (LGPD)Execução de contrato (art. 7º, V).

• Mandar mensagens da conta, como recuperação de senha e confirmação de e-mail.

  Base legal (LGPD)Execução de contrato (art. 7º, V).

• Controlar o consumo de IA e o teto de gasto da organização.

  Base legal (LGPD)Execução de contrato (art. 7º, V).

• Segurança e prevenção a fraude: freio de tentativas de login, prazo das sessões, trilha de auditoria.

  Base legal (LGPD)Legítimo interesse (art. 7º, IX).

• Guardar registros quando a lei exigir.

  Base legal (LGPD)Cumprimento de obrigação legal ou regulatória (art. 7º, II).

• Mostrar as métricas das contas do Instagram cadastradas pela organização.

  Base legal (LGPD)Execução de contrato (art. 7º, V).

Sobre o conteúdo da organização cliente, a base legal é definida por ela, como controladora.

O Posts usa serviços de terceiros para funcionar. Cada um recebe só o necessário para a sua tarefa:

• Anthropic

  O que recebeTextos dos posts e imagens dos slides e das fotos.

  Para quêGerar textos e analisar e revisar imagens e artes.

• OpenAI

  O que recebeO pedido (prompt) para gerar uma imagem; a foto ou a arte, quando o usuário pede uma edição.

  Para quêGerar e editar imagens.

• Freepik

  O que recebeO pedido (prompt) para gerar uma imagem.

  Para quêGerar imagens.

• Freepik

  O que recebeA foto do palestrante.

  Para quêRemover o fundo da foto nas artes de evento.

• Wikimedia Commons e Openverse

  O que recebeSó o termo de busca. Nenhum dado do usuário.

  Para quêBuscar fotos de licença livre.

• SendGrid

  O que recebeE-mail e nome.

  Para quêEnviar mensagens da conta (recuperação de senha, confirmação de e-mail).

• Meta (Instagram)

  O que recebeOs pedidos de métricas das contas do Instagram cadastradas pela organização.

  Para quêMostrar o desempenho dos posts publicados.

• Figma

  O que recebeA arte e os elementos do post, quando a pessoa usa o plugin do Posts no Figma.

  Para quêAbrir o post no Figma para ajuste fino.

• Radar (serviço interno, no mesmo servidor)

  O que recebeO aviso de que uma pauta virou post.

  Para quêTrazer pautas aprovadas para virarem post.

• Provedor de hospedagem do nosso servidor

  O que recebeTodos os dados acima, armazenados.

  Para quêManter o serviço no ar.

• Cloudflare

  O que recebeO tráfego entre o navegador e o servidor, com o endereço IP.

  Para quêDNS e rede de entrega (proxy).

Anthropic, OpenAI, SendGrid e Cloudflare ficam fora do Brasil, então parte dos dados descritos acima é tratada no exterior. Outros serviços da lista também podem tratar dados fora do país. Essas transferências se apoiam nas hipóteses do art. 33 da LGPD, como cláusulas contratuais e garantias de proteção oferecidas pelos fornecedores.

• Cookie "sessao", estritamente necessário: guarda o código da sessão para você continuar logado. Não pode ser lido por scripts da página (httpOnly), só viaja em conexão segura (Secure), não acompanha pedidos vindos de outros sites (SameSite=Lax) e vale por até 30 dias.
• Rascunho do editor, no armazenamento local do navegador: guardado por até 7 dias e apagado ao sair da conta.
• Origem do botão "Voltar", no armazenamento da aba: some quando a aba é fechada.

Não usamos cookies de terceiros, ferramentas de análise de navegação (analytics) nem publicidade.

• Conexão sempre cifrada (HTTPS).
• Senhas guardadas só como hash bcrypt.
• Chaves de API das organizações cifradas (AES-256-GCM).
• Dados de cada organização isolados dos das outras, e cada instalação do Posts com o próprio banco de dados.
• Freio de tentativas de login.
• Cópias de segurança (backups).

• Cadastro (login, nome, e-mail, papel, hash da senha)

  Por quanto tempoEnquanto a conta existir. Conta inativada ou excluída pela organização perde o acesso; a eliminação definitiva do cadastro é feita a pedido, pelo encarregado.

• Sessão

  Por quanto tempoAté 7 dias sem uso; no máximo 30 dias.

• Tentativas de login (com IP)

  Por quanto tempo24 horas.

• Pedidos de recuperação de senha e de troca de e-mail (com IP)

  Por quanto tempo30 dias.

• Trilha de auditoria e registro de consumo de IA

  Por quanto tempoEnquanto a organização existir.

• Prints de referência

  Por quanto tempo7 dias.

• Demais conteúdo da organização cliente

  Por quanto tempoEnquanto a organização usar o Posts. Ao fim, segue a instrução da organização, ressalvadas as obrigações legais.

• Rascunho do editor no navegador

  Por quanto tempoAté 7 dias, ou até sair da conta.

A LGPD (art. 18) garante a você, entre outros direitos: confirmar que tratamos seus dados e ter acesso a eles; corrigir dados incompletos, inexatos ou desatualizados; pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários ou tratados em desacordo com a lei; a portabilidade; saber com quem compartilhamos seus dados; e se opor a tratamento feito em desacordo com a lei.

Para exercer qualquer um deles, escreva para o nosso encarregado de dados em contato@drthiagocastro.com.br. Respondemos em até 15 dias. Podemos pedir uma confirmação de identidade antes de atender.

Hoje não há botão para excluir a conta nem para exportar os dados: os dois pedidos são atendidos pelo encarregado, no mesmo e-mail. O e-mail e a senha você mesmo troca em Minha conta.

Se o pedido for sobre o conteúdo de uma organização cliente (uma foto sua num post, por exemplo), procure a organização, que é a controladora desse conteúdo. Como operadora, ajudamos a organização a atender o pedido.

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

Quando esta política mudar, a versão e a data no topo da página mudam junto. Mudanças relevantes serão comunicadas a quem usa o Posts.

• Encarregado pelo tratamento de dados (DPO): contato@drthiagocastro.com.br
• GDC Produtora e Agência de Lançamentos Ltda, CNPJ 53.402.689/0001-47, Alameda Rio Negro, 503, sala 2020, Alphaville Centro Industrial e Empresarial, Barueri (SP), CEP 06454-000