Política de privacidade

5.1 Dados de registro e de conta

• No momento do cadastro, coletamos:
• • Endereço de e-mail (campo obrigatório)
• • Nome de usuário (campo obrigatório)
• • Senha (criptografada com bcrypt, no mínimo 8 caracteres)
• • Tipo de conta (Pessoal ou Empresarial)
• • Data de registro
• • Autenticação de dois fatores (2FA) — opcional, mas recomendada
• Finalidade: disponibilização e gestão da sua conta, autenticação, segurança
• Os dados da autenticação de duas etapas (2FA) são armazenados apenas localmente no seu dispositivo (leitura do código QR). Nós armazenamos apenas o status de ativação.
• Observação: como alternativa, você também pode se cadastrar/fazer login pelo Google, Meta (Facebook), LinkedIn, TikTok ou X — consulte a seção 5.1a para saber quais dados e permissões são solicitados em cada caso.
• Para nos proteger contra registros automatizados (bots), utilizamos o Cloudflare Turnstile (consulte a seção 10a.2).

5.1a Registro e login por meio de serviços de terceiros (login por redes sociais)

• Além do cadastro clássico com e-mail e senha, você pode se cadastrar ou fazer login no PostMaestro.ai por meio dos seguintes serviços de terceiros. Essas conexões servem exclusivamente para a criação de conta e o login e são independentes das conexões com redes sociais para a publicação de postagens (consulte a seção 5.5) — em cada caso, são solicitadas autorizações OAuth (escopos) específicas, com permissões significativamente mais restritas:
• • Google (Scopes: openid, profile, email) — são transmitidos o ID do Google, o endereço de e-mail, o nome e o sobrenome, a foto de perfil e o idioma
• • Login via Meta/Facebook (escopos: public_profile, email) — são transmitidos o ID do Facebook, o endereço de e-mail, o nome e o sobrenome, a foto do perfil e o idioma
• • Login no Instagram Business (escopo: instagram_business_basic) — são transmitidos o ID do Instagram, o nome de usuário, o nome de exibição e a foto do perfil (sem endereço de e-mail — este é solicitado separadamente durante o processo de integração)
• • LinkedIn (OpenID Connect, escopos: openid, profile, email) — são transmitidos o ID do LinkedIn, o endereço de e-mail, o nome e o sobrenome, a foto do perfil e o idioma
• • Kit de login do TikTok (escopos: user.info.basic, user.info.profile) — são transmitidos o Open-ID do TikTok, o nome de usuário, o nome de exibição e a foto de perfil (o TikTok não fornece endereço de e-mail — até que seja inserido durante o processo de integração, é utilizado internamente um endereço provisório)
• • X / Twitter (OAuth 2.0 com PKCE, escopos: users.read, users.email, tweet.read) — são transmitidos o X-ID, o nome de usuário, o nome de exibição, a foto de perfil e, caso tenha sido autorizado no X, o endereço de e-mail confirmado
• Esses escopos permitem exclusivamente a leitura dos dados básicos do perfil para a criação da conta. Nenhuma publicação é feita, nenhuma mensagem é lida e não é concedido acesso aos seus contatos.
• Se um endereço de e-mail já registrado se cadastrar novamente por meio de outro provedor, reconhecemos a conta existente com base no endereço de e-mail (independentemente do uso de maiúsculas ou minúsculas) e vinculamos o novo ID do provedor posteriormente (vinculação de contas), em vez de criar uma conta duplicada.
• Caso essa opção esteja ativada em suas configurações de segurança, enviamos, a cada login (inclusive por meio de login via rede social), uma notificação por e-mail com a hora, o dispositivo, o navegador e a localização aproximada. A localização é determinada com base no seu endereço IP por meio do provedor terceirizado ipinfo.io (consulte a seção 10a.1).
• Exclusão de conta do Meta: Para o login via Meta (Facebook/Instagram), disponibilizamos os pontos de retorno (callback endpoints) exigidos pelo Meta para a revogação de autorização e a exclusão de dados. Se você remover o aplicativo nas configurações da sua conta do Facebook ou solicitar a exclusão de dados por lá, receberemos automaticamente uma solicitação correspondente e disponibilizaremos o status do processamento em uma URL de status indicada pela Meta.

5.2 Perfis de marca e dados de marca

• Ao criar um perfil de marca, nós salvamos:
• - Nome da marca e descrição
• - URL do site (para o analisador de marcas)
• - Diretrizes e documentos da marca carregados
• - Análise dos dados da marca (cores, fontes, tom de voz)
• - Logotipo e ativos visuais
• - Definições do grupo-alvo
• - Setor e categoria
• Objetivo: Criação de conteúdo compatível com o mercado, gerenciamento da identidade da marca

5.3 Dados de conteúdo (postagens, mídia, campanhas)

• Ao utilizar o recurso de criação de conteúdo, armazenamos:
• • Publicações criadas e programadas nas redes sociais (texto, legendas, hashtags)
• • Imagens, vídeos e gráficos enviados e gerados
• • Dados da campanha e modelos
• • Validação de ideias (dados de swipe no Idea Generator)
• • Documentos de pesquisa
• • Status do conteúdo (Rascunho, Revisão, Programado, Publicado)
• • Datas e plataformas de publicação
• • Dados de classificação e origem dos materiais gerados (classe de conteúdo, status de classificação, status dos metadados), bem como sua confirmação da revisão editorial dos textos gerados
• Objetivo: gerenciamento de conteúdo, planejamento, automação, arquivamento e comprovação do cumprimento das obrigações de transparência em relação à IA
• Na medida em que for tecnicamente viável, os arquivos de mídia gerados contêm informações de identificação, metadados ou indicadores técnicos semelhantes que indicam que se trata de conteúdo gerado por IA ou com o auxílio de IA (ver seção 8.2).

5.4 Dados e análises de uso

• Armazenamos dados para aprimorar a plataforma:
• - Horários de login e duração da sessão
• - Recursos e funções utilizados
• - Consumo de token e dados de faturamento
• - Relatórios de erros e dados de desempenho
• - Feedback e solicitações de suporte
• Objetivo: aprimoramento da plataforma, análise de erros, suporte, faturamento

5.5 Links para plataformas de mídia social (publicação)

• Ao conectar contas de redes sociais para publicação (LinkedIn, Instagram, Facebook, Threads, X, YouTube, TikTok, Wix, WordPress, site próprio), cada plataforma solicita, por meio do OAuth, apenas as autorizações (escopos) necessárias para tal. Essas conexões são independentes do login social para acesso à conta (consulte a seção 5.1a).
• Os tokens de acesso e de atualização do OAuth são armazenados no banco de dados, criptografados com AES-256-GCM, de acordo com a plataforma (consulte a seção 10). Os tokens vencidos e não renováveis são automaticamente invalidados.
• Para a publicação e agendamento pontuais, o fuso horário é consultado, em primeiro lugar, junto ao respectivo provedor da plataforma (desde que a plataforma ofereça esse suporte, por exemplo, no Facebook, Instagram, Wix, WordPress e YouTube) ou é adotado com base na sua definição manual. Caso uma plataforma não ofereça a consulta de fuso horário (como o LinkedIn, onde, por motivos de proteção de dados, não são criados dados derivados da localização), determinamos o fuso horário principalmente com base no país (Country) registrado no perfil da marca e, como alternativa, com base no idioma ou no fuso horário padrão da marca.
• As seções a seguir descrevem, para cada plataforma, quais dados são processados, para que são utilizados e quando são excluídos. Os dados da plataforma são utilizados exclusivamente para a gestão da presença online do respectivo cliente.
• Você pode desativar qualquer conexão a qualquer momento nas configurações. Além disso, recomendamos revogar a autorização do aplicativo diretamente na respectiva plataforma (por exemplo, nas configurações da conta do LinkedIn ou do Meta).

5.6 Dados da conta da equipe e da empresa

• No caso de contas corporativas com vários usuários, armazenamos adicionalmente:
• • Membros da equipe e suas funções
• • Permissões e controle de acesso (incluindo acesso baseado em funções aos perfis das marcas e às conexões com redes sociais; apenas as funções autorizadas recebem notificações sobre conexões prestes a expirar)
• • Fluxos de trabalho de aprovação e comentários
• • Registros de atividades (Registro de auditoria)
• Objetivo: colaboração em equipe, controle de acesso, conformidade

5.7 Notificações (no aplicativo, push e e-mail)

• O PostMaestro.ai informa você sobre eventos em sua conta, como comentários e menções, gerações concluídas, publicações, convites para a equipe, faturamento, segurança e manutenção. Para isso, processamos:
• • Notificações na sua caixa de entrada (símbolo de sino), incluindo o status de lido e de ocultação
• • Suas configurações de notificações por canal, categoria, área e grupo de equipe
• • Para notificações push (aplicativo móvel e navegador): token do dispositivo, um ID aleatório do dispositivo, nome do dispositivo, plataforma, versão do aplicativo e a data e hora do último uso
• • Se o aplicativo está aberto no momento em um dispositivo (sinal de visibilidade, válido por 90 segundos), para que você não receba nenhuma notificação push adicional no dispositivo que está usando no momento
• Enviamos notificações push por meio do Firebase Cloud Messaging (Google) e notificações por e-mail por meio do SendGrid (consulte a seção 6.3).
• Você pode ativar ou desativar as notificações opcionais em Configurações → Notificações para cada canal; as notificações push também podem ser configuradas nas configurações do seu dispositivo ou navegador.
• Enviamos avisos necessários para o uso da sua conta (por exemplo, problemas de pagamento, exigência de autenticação de dois fatores, manutenção, alterações nos Termos e Condições) pelo aplicativo e por e-mail, independentemente dessas configurações. As notificações de login estão excluídas disso e são opcionais (consulte a seção 12.1). Em casos excepcionais — como em trabalhos de manutenção ou avisos relacionados à segurança —, podemos exibir notificações independentemente das suas configurações de categoria no aplicativo e por meio de notificações push; tais avisos são marcados como “Importante”.
• Você só receberá e-mails promocionais (por exemplo, sobre novos recursos) se estiver inscrito no boletim informativo (seção 6).

5.8 Notícias, pesquisas e feeds RSS

• A plataforma oferece uma função de notícias que usa pesquisa apoiada por IA (via Perplexity AI) como padrão para fornecer notícias relevantes do setor. Você também pode adicionar seus próprios feeds RSS. Ao fazer isso, processamos:
• - Consultas de pesquisa e preferências de tópicos para pesquisas de notícias com suporte de IA
• - Os URLs dos feeds RSS que você adicionou
• - Suas preferências e categorizações para esses feeds
• - Ler ou salvar artigos
• A plataforma recupera o conteúdo dos feeds de terceiros por meio de nossos servidores, de modo que seu endereço IP não é transmitido aos operadores dos feeds RSS. Ao usar a pesquisa de notícias com suporte de IA, suas consultas de pesquisa são transmitidas à Perplexity AI (consulte a seção 7.3).
• Objetivo: fornecer notícias personalizadas do setor, pesquisa e inspiração de conteúdo

6.1 Procedimento de dupla confirmação

Após a inscrição pelo site, você receberá um e-mail com um link de confirmação. Somente após clicar nesse link é que o incluiremos na lista de distribuição. As inscrições não confirmadas serão excluídas após 30 dias; não enviamos nenhum lembrete.

Ao se cadastrar no aplicativo, você confirma a assinatura clicando no link do e-mail de confirmação da sua conta, no qual indicamos isso separadamente.

Isso evita que endereços de e-mail de terceiros sejam cadastrados.

6.2 Comprovação do seu consentimento

Para poder comprovar que você deu seu consentimento (Art. 7, § 1 do RGPD), registramos a inscrição, a confirmação e o cancelamento do cadastro com data e hora, origem, endereço IP, identificador do navegador e a versão do texto de consentimento exibido.

Nós mantemos esse registro por 3 anos após o seu cancelamento de inscrição e, em seguida, o excluímos automaticamente.

6.3 SendGrid (envio de e-mails)

Para o envio da newsletter, bem como de e-mails de serviço e notificações, utilizamos o SendGrid (Twilio Inc., EUA).

A SendGrid processa seu endereço de e-mail e o conteúdo do e-mail em nosso nome e nos informa sobre eventos técnicos de entrega (entregue, não entregue, marcado como spam, cancelado). Utilizamos esses eventos para manter a lista de distribuição atualizada: endereços não entregáveis e denúncias de spam resultam no bloqueio do endereço.

Firmamos com a SendGrid um contrato de processamento de dados (CPD) de acordo com o Art. 28 do RGPD. A SendGrid é certificada de acordo com o Quadro de Privacidade de Dados UE-EUA.

Mais informações: https://www.twilio.com/legal/privacy

Política de Privacidade da Twilio (SendGrid)

6.4 Rastreamento da newsletter

No momento, não medimos nem aberturas nem cliques.

Antes de introduzirmos tais estatísticas, informaremos você com antecedência e, caso seja necessário, solicitaremos seu consentimento.

6.5 Cancelamento de inscrição

Você pode cancelar a assinatura da newsletter a qualquer momento:

• por meio do link de cancelamento de inscrição presente em cada e-mail ou da função de cancelamento de inscrição do seu programa de e-mail

• através do formulário na parte inferior desta seção: insira seu endereço de e-mail e enviaremos um link para confirmar a cancelamento da inscrição

• na sua conta do PostMaestro, em Configurações → Notificações

• por e-mail para support@postmaestro.ai

Após o cancelamento da inscrição, você não receberá mais boletins informativos. Seu endereço não constará mais na lista de distribuição; apenas o comprovante previsto na seção 6.2 será mantido.

8.1 Divulgação da interação com um sistema de IA

• No PostMaestro.ai, você interage diretamente com sistemas de IA. Todas as funções que geram, avaliam, resumem, traduzem ou reformulam conteúdos são baseadas em IA e identificadas como tal na interface do usuário.
• A informação deve ser apresentada antes da primeira interação, de forma clara, compreensível e claramente diferenciável dos demais elementos de controle (Art. 50, parágrafo 1, da Lei da IA da UE).
• Disponibilizamos essas orientações de forma acessível e as alinhamos aos requisitos de acessibilidade reconhecidos (Art. 50, parágrafo 5, da Lei da UE sobre a Deficiência).
• As respostas e sugestões da IA podem estar incompletas, desatualizadas ou conter erros factuais. Elas não constituem aconselhamento jurídico, tributário, médico ou financeiro.

8.2 Marcação legível por máquina de conteúdos gerados

• De acordo com o Art. 50, parágrafo 2, da Lei da UE sobre IA, as produções de sistemas de IA que geram conteúdo sintético de imagem, áudio, vídeo ou texto devem ser identificadas, em um formato legível por máquina, como tendo sido geradas ou manipuladas artificialmente. A identificação deve ser eficaz, interoperável, robusta e confiável.
• Implementamos esse requisito por meio de vários procedimentos complementares, uma vez que, de acordo com o estado da técnica, nenhum procedimento isolado alcança, por si só, a robustez exigida:
• • Metadados de origem no arquivo: incorporamos metadados padronizados diretamente nos arquivos de imagem e vídeo. Isso inclui o campo IPTC “Digital Source Type” (com os valores “trainedAlgorithmicMedia” para mídias totalmente sintéticas e “compositeWithTrainedAlgorithmicMedia” para imagens reais editadas por IA), descrições do Dublin Core (“AI GENERATED”), informações EXIF, bem como um namespace XMP dedicado (https://postmaestro.ai/ns/ai-transparency/1.0/) com detalhes sobre o sistema de IA, a versão do modelo, a classe de conteúdo, a data de geração e o status da marcação.
• • Content Credentials (C2PA): imagens, vídeos e arquivos de áudio recebem, adicionalmente, um certificado de origem assinado criptograficamente de acordo com o padrão C2PA (detalhes na seção 8.2a).
• • Marcas d’água do fornecedor: caso o respectivo fornecedor de modelos forneça marcas d’água invisíveis, estas serão mantidas e não serão removidas. No caso dos modelos de imagem do Google Gemini, trata-se do método de marca d’água SynthID.
• • Validação: Após a gravação, lemos novamente a marcação e registramos um status para cada arquivo (pendente, válido, ausente, removido). Se a incorporação falhar, aplicamos uma marcação visível para classes de conteúdo sensíveis.
• • Resistência ao formato: caso uma plataforma ou uma etapa de conversão remova os metadados, a marcação óptica gravada continua válida como mecanismo de proteção principal (ver 8.3).
• Estado de implementação e prazo: As obrigações de transparência previstas no art. 50 da Lei da IA da UE estão em vigor desde 2 de agosto de 2026. Para sistemas de IA que — como o PostMaestro.ai — já estavam no mercado antes dessa data, o prazo de transição se estende até 2 de dezembro de 2026. Implementaremos integralmente os procedimentos descritos acima dentro desse prazo e documentaremos internamente o andamento da implementação.
• Uma simples menção nesta declaração de privacidade não é suficiente para cumprir o Art. 50, parágrafo 2, da Lei de Inteligência Artificial da UE. O que é determinante é a marcação legível por máquina no próprio arquivo.

8.2a Certificados de origem assinados (C2PA Content Credentials)

• Além dos metadados descritos na seção 8.2, fornecemos imagens geradas e editadas por IA (JPEG, PNG, WebP), vídeos (MP4) e arquivos de áudio (MP3, WAV) com um certificado de proveniência assinado criptograficamente, de acordo com o padrão aberto da Coalition for Content Provenance and Authenticity (C2PA). As plataformas e ferramentas de verificação podem ler esse certificado e exibi-lo, por exemplo, como o símbolo “CR” (Content Credentials).
• A C2PA confirmou o PostMaestro.ai em 18 de outubro de 2026, em seu Programa de Conformidade, como um Produto Gerador em conformidade (Nível de Garantia 1).
• Conteúdo da declaração: Nome e versão do software (“PostMaestro.ai”), tipo de criação (totalmente gerado por IA ou editado por IA), nome do sistema ou modelo de IA utilizado, data de criação, indicação se foi inserida uma marca de identificação de IA visível, bem como a assinatura digital. No caso de edições e de mídias que foram fornecidas como modelo ao modelo de IA (por exemplo, fotos de referência, de produtos ou de pessoas, logotipo), a certificação deve conter os nomes dos arquivos, o formato dos arquivos e um valor de hash criptográfico. Caso um arquivo de origem já possua um comprovante C2PA, este será adotado. Imagens de pré-visualização dos arquivos de origem não serão incorporadas.
• Não estão incluídos o nome, o endereço de e-mail ou os identificadores de conta do usuário ou de sua empresa. Adotamos os nomes dos arquivos dos modelos exatamente como foram enviados; não atribua nomes de arquivo com dados pessoais (por exemplo, “max-mustermann.jpg”) se esses dados não devem constar na mídia publicada.
• A assinatura é feita com um certificado da Nexaluna AI Solutions UG (responsabilidade limitada). A chave privada de assinatura está armazenada no AWS Key Management Service (região de Frankfurt), onde é protegida em módulos de segurança de hardware e não sai desse serviço. O fato de uma ferramenta de verificação indicar que o certificado é confiável depende de ela reconhecer a autoridade certificadora emissora (por exemplo, por meio da Lista de Confiança da C2PA).
• Carimbo de data e hora: para que a assinatura continue verificável mesmo após o vencimento do certificado, ela pode ser acompanhada do carimbo de data e hora de um serviço de carimbo de data e hora. Nesse processo, é transmitido exclusivamente um valor de hash; nem o arquivo nem dados pessoais são transmitidos.
• A certificação faz parte do arquivo e é publicada junto com ele. No nível “Sem certificação da UE”, nenhuma certificação de origem é incorporada. Plataformas que recodificam ou convertem arquivos durante o upload podem remover a certificação; uma marca visível gravada permanentemente não é afetada por isso (ver 8.3).

Base jurídica: Art. 6, parágrafo 1, alínea c) do RGPD, em conjugação com o Art. 50, parágrafo 2 do Regulamento (UE) 2024/1689 (identificação legível por máquina de conteúdos gerados por IA), bem como o Art. 6, parágrafo 1, alínea b) do RGPD (fornecimento da função de identificação acordada contratualmente).

8.3 Suas obrigações como operador em relação aos deepfakes e à identificação visível da UE

• Ao publicar conteúdos gerados pelo PostMaestro.ai, você é considerado um “operador” nos termos da Lei da IA da UE. A obrigação de divulgação prevista no art. 50, parágrafo 4, da Lei da IA da UE para conteúdos de imagem, vídeo e áudio que se assemelhem de forma enganosa a pessoas, locais ou eventos reais (“deepfakes”) se aplica diretamente a você.
• Símbolos oficiais da UE: Para cumprir essa obrigação, a PostMaestro.ai disponibiliza os símbolos oficiais da Comissão Europeia, que são incorporados diretamente ao material gráfico na forma de imagens vetoriais:
• 1. “AI GENERATED” (emblema em forma de pílula): Para conteúdos de imagem e mídia gerados inteiramente de forma sintética.
• 2. “AI MODIFIED” (Pill-Badge): Para imagens reais existentes ou fotos que foram alteradas ou retocadas por meio de IA generativa.
• 3. “AI” (ícone redondo): Para conteúdos de voz sintética e também como alternativa em formatos de imagem extremamente estreitos ou miniaturas pequenas, nas quais o texto ficaria ilegível.
• Três níveis de classificação: antes da publicação, você pode escolher entre três níveis para cada mídia no menu da UE:
• • Emblema de IA + metadados (padrão para conteúdos gerados): emblema óptico da UE gravado, além de metadados de arquivo XMP/IPTC legíveis por máquina e certificado de origem C2PA assinado (ver 8.2a).
• • Apenas metadados: metadados de origem XMP/IPTC completos e legíveis por máquina, além do comprovante de origem C2PA no arquivo, mas sem um selo visível na imagem.
• • Sem identificação da UE: renúncia total a emblemas visíveis, remoção dos metadados de origem da IA do arquivo e ausência de comprovante de origem C2PA.
• Restrições obrigatórias para conteúdos sensíveis: para imagens fotorrealistas de pessoas (classe de conteúdo A1) e vozes sintéticas (classe de conteúdo V1), a identificação visível é exigida por lei. Enquanto o botão da Lei de IA da UE da marca estiver ativo para o idioma em questão, o sistema desativa, para essas classes, as opções “Apenas metadados” e “Sem identificação da UE” (“LABEL_REQUIRED”). Se o botão estiver desativado para um idioma porque os conteúdos não se destinam ao mercado da UE, o usuário pode selecionar “Apenas metadados”; a identificação legível por máquina é sempre mantida (“METADATA_REQUIRED”). O usuário é responsável pelo cumprimento das obrigações de rotulagem no respectivo mercado-alvo.
• Você é obrigado a verificar, por sua própria responsabilidade, antes da publicação, se o modo escolhido atende aos requisitos da Lei de IA da UE e às diretrizes da respectiva plataforma de destino.

8.3a Escolha de cores dos crachás, verificação de contraste e composição

• Para que o identificador legal não prejudique a qualidade visual da sua publicação e, ao mesmo tempo, permaneça legível, o PostMaestro.ai oferece opções flexíveis de design:
• • Opções de cor disponíveis: No menu da UE, você pode escolher entre cinco opções: “Auto” (padrão), “Preto”, “Branco”, “Preto 50% transparente” e “Branco 50% transparente”.
• • Modo padrão “Auto”: seleciona automaticamente uma placa semitransparente a 50% com o contraste ideal em relação ao fundo – branco a 50% em cantos escuros, preto a 50% em cantos claros.
• • Planejamento de composição com IA: Nossos agentes de prompt (Visual Agent, Thumbnail Agent, Visual Creator) planejam antecipadamente, durante a criação do prompt, um canto da imagem (disclosureCorner) tranquilo e com poucos detalhes, livre de textos, rostos ou logotipos, e sugerem uma cor adequada (disclosureStyle).
• • Verificação algorítmica de contraste: durante a renderização, o sistema mede a luminância real e o desvio padrão do canto alvo. Se a luminosidade real da imagem diferir da sugestão do agente, o renderizador corrige a cor automaticamente para evitar representações ilegíveis (por exemplo, um emblema escuro sobre uma sombra escura).

8.3b Uploads próprios (“Sem imagem gerada por IA”) e ciclo de vida das versões não marcadas

• Sem classificação incorreta de mídias reais: os arquivos enviados por você mesmo ou as mídias reais da Biblioteca de Conteúdo são reconhecidos pelo sistema como não gerados por IA (aiOrigin: false) e marcados na interface com um status cinza neutro como “Nenhuma imagem gerada por IA”. Por padrão, não é atribuída nenhuma marca de IA a esses arquivos de mídia.
• Marcação voluntária de IA: Se desejar, você também pode, de forma voluntária, atribuir uma marcação da UE e metadados aos seus próprios arquivos enviados (por exemplo, no caso de diretrizes internas da empresa ou edições híbridas). Essa marcação voluntária pode ser removida a qualquer momento.
• Versão temporária sem marcação (Clean Source): Para permitir que você alterne com flexibilidade entre os níveis (“Emblema + metadados”, “Apenas metadados”, “Sem marcação”) até o momento da publicação, o PostMaestro.ai armazena, durante a fase de rascunho, uma versão bruta sem marcação da imagem em um armazenamento protegido.
• Exclusão irrevogável após a publicação: assim que uma publicação é publicada (status “published”), nossa limpeza automática de dados (post-media-cleanup) entra em ação: todas as versões brutas não marcadas são irrevogavelmente excluídas de nossos servidores. O status de publicação da postagem é fixado de forma permanente, de modo que nenhuma marcação possa ser removida posteriormente sem ser percebida.

Período de retenção: As versões preliminares não marcadas permanecem em nossos sistemas apenas até o momento da publicação ou até a exclusão do rascunho da postagem.

8.4 Textos gerados por IA e responsabilidade editorial

• No que diz respeito aos textos, o Art. 50 da Lei da IA da UE tem uma redação significativamente mais restrita do que no caso de imagens, áudio e vídeo. Só existe a obrigação de divulgação se todas as três condições a seguir forem atendidas:
• 1. O texto foi gerado ou manipulado por IA.
• 2. O texto será publicado.
• 3. A publicação tem como objetivo informar o público sobre assuntos de interesse público – como notícias, declarações políticas ou sociais e contribuições para debates públicos.
• A obrigação de identificação não se aplica quando o conteúdo tiver sido submetido a uma revisão humana ou a um controle editorial e uma pessoa física ou jurídica assumir a responsabilidade editorial pela publicação.
• Não existe uma obrigação geral de identificação para todos os textos gerados por IA. Quem utiliza a IA como ferramenta auxiliar, revisa os textos editorialmente e assume a responsabilidade por eles, geralmente não está sujeito a nenhuma obrigação adicional de identificação.
• O PostMaestro.ai foi projetado exatamente para isso: os textos gerados são sugestões. Antes de agendar ou publicar, solicitamos uma confirmação expressa de que você verificou o texto e assume a responsabilidade editorial. Registramos essa confirmação com a data e hora, a conta do usuário e a versão do texto, para que a exceção permaneça comprovável.
• A observação no aplicativo diz: “Este texto é uma sugestão. Por favor, verifique-o antes da publicação. Ao verificá-lo, você assume a responsabilidade editorial.”
• Sem essa verificação, você não pode publicar textos gerados como conteúdos de responsabilidade editorial; a obrigação de divulgação prevista no Art. 50, § 4, da Lei da IA da UE pode, então, ser aplicada.

8.5 Ausência de reconhecimento de emoções e de categorização biométrica

• A PostMaestro.ai não utiliza sistemas de reconhecimento de emoções e não deduz emoções, estados emocionais ou intenções a partir de dados biométricos.
• Não realizamos categorização biométrica, reconhecimento facial, identificação biométrica nem reconhecimento de características protegidas, como origem étnica, orientação política, religião, filiação sindical, saúde ou orientação sexual.
• Funções de avaliação, como a Validação de Ideias, o Analisador de Marca ou as análises de desempenho, referem-se exclusivamente a conteúdos, dados de marcas e de alcance – e não a pessoas nem a características biométricas.
• As obrigações de informação previstas no Art. 50, parágrafo 3, da Lei da IA da UE para sistemas de reconhecimento de emoções e de categorização biométrica, portanto, não se aplicam ao nosso caso.

8.6 Uso proibido: imagens de natureza íntima sem consentimento e imagens de abuso infantil

• O Art. 5 da Lei da IA da UE proíbe sistemas de IA cujo resultado razoavelmente previsível seja representações íntimas não consentidas (NCII) ou representações de abuso sexual infantil (CSAM). Como fornecedores de uma ferramenta geral de geração de imagens e vídeos, avaliamos esse risco de abuso já na fase de projeto e prevemos medidas técnicas de proteção.
• Medidas de proteção adotadas:
• • Filtros de entrada que bloqueiam prompts relevantes antes mesmo da invocação dos modelos de imagem e vídeo
• • Filtros de saída e as configurações de segurança dos fornecedores de modelos utilizados
• • Bloqueio de publicações direcionadas a menores em contexto sexualizado ou que contenham imagens íntimas de pessoas identificáveis
• • Bloqueio das funções “Persona” e “Voice” sem o consentimento documentado do titular dos dados (ver seção 5.9)
• • Registro de solicitações bloqueadas para detecção de abusos, bem como a possibilidade de bloquear as contas afetadas
• Qualquer uso da plataforma para esses fins é estritamente proibido e resultará no bloqueio imediato da conta, bem como, caso haja indícios de crimes, na intervenção das autoridades competentes.
• Denunciar abuso: você e terceiros podem denunciar violações a qualquer momento pelo e-mail info@nexaluna.ai, com o assunto “Denunciar abuso de IA”. Analisamos as denúncias recebidas com prioridade e confirmamos o recebimento.
• Documentamos internamente nossa avaliação de riscos realizada na fase de projeto, os filtros utilizados e o tratamento das notificações, e os apresentamos mediante solicitação das autoridades competentes.

8.7 Distribuição de funções: fornecedores e operadores

• O provedor, nos termos da Lei de IA da UE, é a Nexaluna AI Solutions UG (de responsabilidade limitada) para o sistema de IA PostMaestro.ai. Estamos sujeitos às obrigações do provedor, em especial à marcação legível por máquina das saídas, nos termos do art. 50, parágrafo 2, e à divulgação da interação com IA, nos termos do art. 50, parágrafo 1.
• Você é considerado operador assim que utiliza a plataforma sob sua responsabilidade e publica os conteúdos gerados. Você está sujeito às obrigações do operador, em especial à divulgação prevista no art. 50, parágrafo 4, no caso de deepfakes e de textos de interesse público.
• Os modelos básicos utilizados são de terceiros (ver seção 7). Seus fornecedores são os fornecedores dos respectivos modelos de IA; nós somos os fornecedores do sistema de IA desenvolvido com base neles.
• Mantemos internamente um registro de todos os modelos utilizados, com a respectiva atribuição de funções, e o atualizamos sempre que houver alterações.
• No que diz respeito à competência em IA, conforme o Art. 4 da Lei da UE sobre IA, treinamos nossos funcionários no uso dos sistemas de IA utilizados e documentamos os treinamentos.

8.8 Fiscalização e reclamações

• Desde 29 de julho de 2026, a Agência Federal de Redes é a autoridade responsável pela fiscalização do mercado, o ponto de contato central e o órgão de reclamações para a Lei de IA da UE na Alemanha.
• Agência Federal de Redes, Tulpenfeld 4, 53113 Bonn, https://www.bundesnetzagentur.de
• Você pode apresentar reclamações sobre a transparência da IA a qualquer momento por meio desse canal. Pedimos que entre em contato conosco previamente pelo e-mail info@nexaluna.ai, para que possamos esclarecer sua questão imediatamente.