Política de privacidade

5.1 Dados de registro e de conta

• No momento do cadastro, coletamos:
• • Endereço de e-mail (campo obrigatório)
• • Nome de usuário (campo obrigatório)
• • Senha (criptografada com bcrypt, no mínimo 8 caracteres)
• • Tipo de conta (Pessoal ou Empresarial)
• • Data de registro
• • Autenticação de dois fatores (2FA) — opcional, mas recomendada
• Finalidade: disponibilização e gestão da sua conta, autenticação, segurança
• Os dados da autenticação de duas etapas (2FA) são armazenados apenas localmente no seu dispositivo (leitura do código QR). Nós armazenamos apenas o status de ativação.
• Observação: como alternativa, você também pode se cadastrar/fazer login pelo Google, Meta (Facebook), LinkedIn, TikTok ou X — consulte a seção 5.1a para saber quais dados e permissões são solicitados em cada caso.
• Para nos proteger contra registros automatizados (bots), utilizamos o Cloudflare Turnstile (consulte a seção 10a.2).

5.1a Registro e login por meio de serviços de terceiros (login por redes sociais)

• Além do cadastro clássico com e-mail e senha, você pode se cadastrar ou fazer login no PostMaestro.ai por meio dos seguintes serviços de terceiros. Essas conexões servem exclusivamente para a criação de conta e o login e são independentes das conexões com redes sociais para a publicação de postagens (consulte a seção 5.5) — em cada caso, são solicitadas autorizações OAuth (escopos) específicas, com permissões significativamente mais restritas:
• • Google (Scopes: openid, profile, email) — são transmitidos o ID do Google, o endereço de e-mail, o nome e o sobrenome, a foto de perfil e o idioma
• • Login via Meta/Facebook (escopos: public_profile, email) — são transmitidos o ID do Facebook, o endereço de e-mail, o nome e o sobrenome, a foto do perfil e o idioma
• • Login no Instagram Business (escopo: instagram_business_basic) — são transmitidos o ID do Instagram, o nome de usuário, o nome de exibição e a foto do perfil (sem endereço de e-mail — este é solicitado separadamente durante o processo de integração)
• • LinkedIn (OpenID Connect, escopos: openid, profile, email) — são transmitidos o ID do LinkedIn, o endereço de e-mail, o nome e o sobrenome, a foto do perfil e o idioma
• • Kit de login do TikTok (escopos: user.info.basic, user.info.profile) — são transmitidos o Open-ID do TikTok, o nome de usuário, o nome de exibição e a foto de perfil (o TikTok não fornece endereço de e-mail — até que seja inserido durante o processo de integração, é utilizado internamente um endereço provisório)
• • X / Twitter (OAuth 2.0 com PKCE, escopos: users.read, users.email, tweet.read) — são transmitidos o X-ID, o nome de usuário, o nome de exibição, a foto de perfil e, caso tenha sido autorizado no X, o endereço de e-mail confirmado
• Esses escopos permitem exclusivamente a leitura dos dados básicos do perfil para a criação da conta. Nenhuma publicação é feita, nenhuma mensagem é lida e não é concedido acesso aos seus contatos.
• Se um endereço de e-mail já registrado se cadastrar novamente por meio de outro provedor, reconhecemos a conta existente com base no endereço de e-mail (independentemente do uso de maiúsculas ou minúsculas) e vinculamos o novo ID do provedor posteriormente (vinculação de contas), em vez de criar uma conta duplicada.
• Caso essa opção esteja ativada em suas configurações de segurança, enviamos, a cada login (inclusive por meio de login via rede social), uma notificação por e-mail com a hora, o dispositivo, o navegador e a localização aproximada. A localização é determinada com base no seu endereço IP por meio do provedor terceirizado ipinfo.io (consulte a seção 10a.1).
• Exclusão de conta do Meta: Para o login via Meta (Facebook/Instagram), disponibilizamos os pontos de retorno (callback endpoints) exigidos pelo Meta para a revogação de autorização e a exclusão de dados. Se você remover o aplicativo nas configurações da sua conta do Facebook ou solicitar a exclusão de dados por lá, receberemos automaticamente uma solicitação correspondente e disponibilizaremos o status do processamento em uma URL de status indicada pela Meta.

5.2 Perfis de marca e dados de marca

• Ao criar um perfil de marca, nós salvamos:
• - Nome da marca e descrição
• - URL do site (para o analisador de marcas)
• - Diretrizes e documentos da marca carregados
• - Análise dos dados da marca (cores, fontes, tom de voz)
• - Logotipo e ativos visuais
• - Definições do grupo-alvo
• - Setor e categoria
• Objetivo: Criação de conteúdo compatível com o mercado, gerenciamento da identidade da marca

5.3 Dados de conteúdo (postagens, mídia, campanhas)

• Ao utilizar o recurso de criação de conteúdo, armazenamos:
• • Publicações criadas e programadas nas redes sociais (texto, legendas, hashtags)
• • Imagens, vídeos e gráficos enviados e gerados
• • Dados da campanha e modelos
• • Validação de ideias (dados de swipe no Idea Generator)
• • Documentos de pesquisa
• • Status do conteúdo (Rascunho, Revisão, Programado, Publicado)
• • Datas e plataformas de publicação
• • Dados de classificação e origem dos materiais gerados (classe de conteúdo, status de classificação, status dos metadados), bem como sua confirmação da revisão editorial dos textos gerados
• Objetivo: gerenciamento de conteúdo, planejamento, automação, arquivamento e comprovação do cumprimento das obrigações de transparência em relação à IA
• Na medida em que for tecnicamente viável, os arquivos de mídia gerados contêm informações de identificação, metadados ou indicadores técnicos semelhantes que indicam que se trata de conteúdo gerado por IA ou com o auxílio de IA (ver seção 8.2).

5.4 Dados e análises de uso

• Armazenamos dados para aprimorar a plataforma:
• - Horários de login e duração da sessão
• - Recursos e funções utilizados
• - Consumo de token e dados de faturamento
• - Relatórios de erros e dados de desempenho
• - Feedback e solicitações de suporte
• Objetivo: aprimoramento da plataforma, análise de erros, suporte, faturamento

5.5 Links para plataformas de mídia social (publicação)

• Ao conectar contas de redes sociais para publicação (LinkedIn, Instagram, Facebook, Threads, WhatsApp Business, X, YouTube, TikTok, Wix, WordPress, site próprio), cada plataforma solicita, por meio do OAuth, apenas as permissões (escopos) necessárias para tal. Essas conexões são independentes do login por rede social para o cadastro na conta (consulte a seção 5.1a).
• Os tokens de acesso e de atualização do OAuth são armazenados no banco de dados, criptografados com AES-256-GCM para cada plataforma (consulte a seção 10). Os tokens vencidos e não renováveis são invalidados automaticamente.
• As seções a seguir descrevem, para cada plataforma, quais dados são processados, para que são utilizados e quando são excluídos. Os dados das plataformas são utilizados exclusivamente para a gestão da presença online do respectivo cliente.
• Você pode desativar qualquer conexão a qualquer momento nas configurações. Além disso, recomendamos revogar a permissão do aplicativo diretamente na plataforma correspondente (por exemplo, nas configurações da conta do LinkedIn ou do Meta).

5.6 Dados da equipe e da conta da empresa

• Para contas de empresas com vários usuários, também armazenamos dados:
• - Membros da equipe e suas funções
• - Autorizações e controle de acesso
• - Fluxos de trabalho de aprovação e comentários
• - Registros de atividades (registro de auditoria)
• Finalidade: colaboração em equipe, controle de acesso, conformidade

5.7 Notificações (no aplicativo, push e e-mail)

• O PostMaestro.ai informa você sobre eventos em sua conta, como comentários e menções, gerações concluídas, publicações, convites para a equipe, faturamento, segurança e manutenção. Para isso, processamos:
• • Notificações na sua caixa de entrada (símbolo de sino), incluindo o status de lido e de ocultação
• • Suas configurações de notificações por canal, categoria, área e grupo de equipe
• • Para notificações push (aplicativo móvel e navegador): token do dispositivo, um ID aleatório do dispositivo, nome do dispositivo, plataforma, versão do aplicativo e a data e hora do último uso
• • Se o aplicativo está aberto no momento em um dispositivo (sinal de visibilidade, válido por 90 segundos), para que você não receba nenhuma notificação push adicional no dispositivo que está usando no momento
• Enviamos notificações push por meio do Firebase Cloud Messaging (Google) e notificações por e-mail por meio do SendGrid (consulte a seção 6.3).
• Você pode ativar ou desativar as notificações opcionais em Configurações → Notificações para cada canal; as notificações push também podem ser configuradas nas configurações do seu dispositivo ou navegador.
• Enviamos avisos necessários para o uso da sua conta (por exemplo, problemas de pagamento, exigência de autenticação de dois fatores, manutenção, alterações nos Termos e Condições) pelo aplicativo e por e-mail, independentemente dessas configurações. As notificações de login estão excluídas disso e são opcionais (consulte a seção 12.1). Em casos excepcionais — como em trabalhos de manutenção ou avisos relacionados à segurança —, podemos exibir notificações independentemente das suas configurações de categoria no aplicativo e por meio de notificações push; tais avisos são marcados como “Importante”.
• Você só receberá e-mails promocionais (por exemplo, sobre novos recursos) se estiver inscrito no boletim informativo (seção 6).

5.8 Notícias, pesquisas e feeds RSS

• A plataforma oferece uma função de notícias que usa pesquisa apoiada por IA (via Perplexity AI) como padrão para fornecer notícias relevantes do setor. Você também pode adicionar seus próprios feeds RSS. Ao fazer isso, processamos:
• - Consultas de pesquisa e preferências de tópicos para pesquisas de notícias com suporte de IA
• - Os URLs dos feeds RSS que você adicionou
• - Suas preferências e categorizações para esses feeds
• - Ler ou salvar artigos
• A plataforma recupera o conteúdo dos feeds de terceiros por meio de nossos servidores, de modo que seu endereço IP não é transmitido aos operadores dos feeds RSS. Ao usar a pesquisa de notícias com suporte de IA, suas consultas de pesquisa são transmitidas à Perplexity AI (consulte a seção 7.3).
• Objetivo: fornecer notícias personalizadas do setor, pesquisa e inspiração de conteúdo

6.1 Procedimento de dupla confirmação

Após a inscrição pelo site, você receberá um e-mail com um link de confirmação. Somente após clicar nesse link é que o incluiremos na lista de distribuição. As inscrições não confirmadas serão excluídas após 30 dias; não enviamos nenhum lembrete.

Ao se cadastrar no aplicativo, você confirma a assinatura clicando no link do e-mail de confirmação da sua conta, no qual indicamos isso separadamente.

Isso evita que endereços de e-mail de terceiros sejam cadastrados.

6.2 Comprovação do seu consentimento

Para poder comprovar que você deu seu consentimento (Art. 7, § 1 do RGPD), registramos a inscrição, a confirmação e o cancelamento do cadastro com data e hora, origem, endereço IP, identificador do navegador e a versão do texto de consentimento exibido.

Nós mantemos esse registro por 3 anos após o seu cancelamento de inscrição e, em seguida, o excluímos automaticamente.

6.3 SendGrid (envio de e-mails)

Para o envio da newsletter, bem como de e-mails de serviço e notificações, utilizamos o SendGrid (Twilio Inc., EUA).

A SendGrid processa seu endereço de e-mail e o conteúdo do e-mail em nosso nome e nos informa sobre eventos técnicos de entrega (entregue, não entregue, marcado como spam, cancelado). Utilizamos esses eventos para manter a lista de distribuição atualizada: endereços não entregáveis e denúncias de spam resultam no bloqueio do endereço.

Firmamos com a SendGrid um contrato de processamento de dados (CPD) de acordo com o Art. 28 do RGPD. A SendGrid é certificada de acordo com o Quadro de Privacidade de Dados UE-EUA.

Mais informações: https://www.twilio.com/legal/privacy

Política de Privacidade da Twilio (SendGrid)

6.4 Rastreamento da newsletter

No momento, não medimos nem aberturas nem cliques.

Antes de introduzirmos tais estatísticas, informaremos você com antecedência e, caso seja necessário, solicitaremos seu consentimento.

6.5 Cancelamento de inscrição

Você pode cancelar a assinatura da newsletter a qualquer momento:

• por meio do link de cancelamento de inscrição presente em cada e-mail ou da função de cancelamento de inscrição do seu programa de e-mail

• através do formulário na parte inferior desta seção: insira seu endereço de e-mail e enviaremos um link para confirmar a cancelamento da inscrição

• na sua conta do PostMaestro, em Configurações → Notificações

• por e-mail para support@postmaestro.ai

Após o cancelamento da inscrição, você não receberá mais boletins informativos. Seu endereço não constará mais na lista de distribuição; apenas o comprovante previsto na seção 6.2 será mantido.

8.1 Divulgação da interação com um sistema de IA

• No PostMaestro.ai, você interage diretamente com sistemas de IA. Todas as funções que geram, avaliam, resumem, traduzem ou reformulam conteúdos são baseadas em IA e identificadas como tal na interface do usuário.
• A informação deve ser apresentada antes da primeira interação, de forma clara, compreensível e claramente diferenciável dos demais elementos de controle (Art. 50, parágrafo 1, da Lei da IA da UE).
• Disponibilizamos essas orientações de forma acessível e as alinhamos aos requisitos de acessibilidade reconhecidos (Art. 50, parágrafo 5, da Lei da UE sobre a Deficiência).
• As respostas e sugestões da IA podem estar incompletas, desatualizadas ou conter erros factuais. Elas não constituem aconselhamento jurídico, tributário, médico ou financeiro.

8.2 Marcação legível por máquina de conteúdos gerados

• De acordo com o Art. 50, parágrafo 2, da Lei da UE sobre IA, os conteúdos gerados por sistemas de IA que produzam imagens, áudio, vídeo ou texto sintéticos devem ser identificados, em um formato legível por máquina, como tendo sido gerados ou manipulados artificialmente. A identificação deve ser eficaz, interoperável, robusta e confiável.
• Implementamos esse requisito por meio de vários procedimentos complementares, uma vez que, de acordo com o estado da técnica, nenhum procedimento isolado alcança, por si só, a robustez exigida:
• • Metadados de origem no arquivo: Durante a exportação, inserimos metadados XMP e IPTC nos arquivos de mídia gerados, especialmente no campo IPTC “Digital Source Type” com o valor “trainedAlgorithmicMedia”, além de informações sobre o sistema de IA utilizado, a versão do modelo e a data de geração.
• • Credenciais de Conteúdo (C2PA): Para arquivos de imagem e vídeo gerados, incorporamos uma indicação de origem assinada criptograficamente, de acordo com o padrão C2PA, no fluxo de saída.
• • Marcas d’água do provedor: caso o respectivo provedor de modelos forneça marcas d’água invisíveis, estas serão mantidas e não serão removidas. No caso dos modelos de imagem do Google Gemini, trata-se do método de marca d’água SynthID.
• • Validação: Após a gravação, lemos novamente a marcação e registramos um status para cada arquivo (pendente, válido, ausente, removido). Se a incorporação falhar, exigimos uma marcação visível para classes de conteúdo sensíveis.
• A marcação é definida no servidor antes que um arquivo seja armazenado ou entregue, para que ela permaneça intacta durante a renderização, o upload e o download. Tecnicamente, não se pode descartar a possibilidade de que terceiros ou plataformas de destino removam metadados durante um novo upload, compactação ou recorte. Nesse caso, a marcação visível continua sendo sua garantia (ver 8.3).
• Situação da implementação e prazo: As obrigações de transparência previstas no Art. 50 da Lei da IA da UE estão em vigor desde 2 de agosto de 2026. Para sistemas de IA que — como o PostMaestro.ai — já estavam no mercado antes dessa data, o prazo de transição se estende até 2 de dezembro de 2026. Implementaremos integralmente os procedimentos descritos acima dentro desse prazo e documentaremos internamente o estado da implementação.
• Uma simples menção nesta Declaração de Privacidade não é suficiente para cumprir o Art. 50, parágrafo 2, da Lei da IA da UE. O que é determinante é a marcação legível por máquina no próprio arquivo.

8.3 Suas obrigações como operador no que diz respeito aos deepfakes

• Ao publicar conteúdos gerados pelo PostMaestro.ai, você é considerado “operador” nos termos da Lei da IA da UE. A obrigação de divulgação prevista no art. 50, parágrafo 4, da Lei da IA da UE recai, neste caso, sobre você e não sobre nós.
• Se você criar ou editar conteúdos de imagem, áudio ou vídeo que sejam extremamente semelhantes a pessoas, objetos, locais, instituições ou eventos reais (“deepfakes”), deverá declarar, no momento da publicação, que o conteúdo foi gerado ou manipulado artificialmente.
• De acordo com as diretrizes da Comissão Europeia, essa obrigação se aplica independentemente da existência de intenção de enganar e mesmo quando não há a representação de uma pessoa real específica. Por isso, ela é frequentemente aplicável a publicações nas redes sociais.
• Para auxiliar, disponibilizamos: uma marcação visível como configuração padrão para classes de conteúdo sensíveis, uma sugestão de texto de aviso durante a exportação e um aviso no fluxo de publicação.
• A configuração padrão é sempre “marcada”. A desativação deve ser documentada: registramos a data e a hora, a conta do usuário, a área de trabalho e a versão do texto de confirmação. Para representações fotorrealistas de pessoas e vozes sintéticas, a desativação é impossível.
• Você não deve remover, desativar, contornar ou prejudicar o funcionamento dos mecanismos de identificação e divulgação que disponibilizamos (consulte a seção 6.4 dos Termos e Condições).
• Essa obrigação é adicional às normas de identificação da respectiva plataforma de mídia social. Cabe a você verificar se, em cada caso específico, existe a obrigação de divulgação.

8.4 Textos gerados por IA e responsabilidade editorial

• No que diz respeito aos textos, o Art. 50 da Lei da IA da UE tem uma redação significativamente mais restrita do que no caso de imagens, áudio e vídeo. Só existe a obrigação de divulgação se todas as três condições a seguir forem atendidas:
• 1. O texto foi gerado ou manipulado por IA.
• 2. O texto será publicado.
• 3. A publicação tem como objetivo informar o público sobre assuntos de interesse público – como notícias, declarações políticas ou sociais e contribuições para debates públicos.
• A obrigação de identificação não se aplica quando o conteúdo tiver sido submetido a uma revisão humana ou a um controle editorial e uma pessoa física ou jurídica assumir a responsabilidade editorial pela publicação.
• Não existe uma obrigação geral de identificação para todos os textos gerados por IA. Quem utiliza a IA como ferramenta auxiliar, revisa os textos editorialmente e assume a responsabilidade por eles, geralmente não está sujeito a nenhuma obrigação adicional de identificação.
• O PostMaestro.ai foi projetado exatamente para isso: os textos gerados são sugestões. Antes de agendar ou publicar, solicitamos uma confirmação expressa de que você verificou o texto e assume a responsabilidade editorial. Registramos essa confirmação com a data e hora, a conta do usuário e a versão do texto, para que a exceção permaneça comprovável.
• A observação no aplicativo diz: “Este texto é uma sugestão. Por favor, verifique-o antes da publicação. Ao verificá-lo, você assume a responsabilidade editorial.”
• Sem essa verificação, você não pode publicar textos gerados como conteúdos de responsabilidade editorial; a obrigação de divulgação prevista no Art. 50, § 4, da Lei da IA da UE pode, então, ser aplicada.

8.5 Ausência de reconhecimento de emoções e de categorização biométrica

• A PostMaestro.ai não utiliza sistemas de reconhecimento de emoções e não deduz emoções, estados emocionais ou intenções a partir de dados biométricos.
• Não realizamos categorização biométrica, reconhecimento facial, identificação biométrica nem reconhecimento de características protegidas, como origem étnica, orientação política, religião, filiação sindical, saúde ou orientação sexual.
• Funções de avaliação, como a Validação de Ideias, o Analisador de Marca ou as análises de desempenho, referem-se exclusivamente a conteúdos, dados de marcas e de alcance – e não a pessoas nem a características biométricas.
• As obrigações de informação previstas no Art. 50, parágrafo 3, da Lei da IA da UE para sistemas de reconhecimento de emoções e de categorização biométrica, portanto, não se aplicam ao nosso caso.

8.6 Uso proibido: imagens de natureza íntima sem consentimento e imagens de abuso infantil

• O Art. 5 da Lei da IA da UE proíbe sistemas de IA cujo resultado razoavelmente previsível seja representações íntimas não consentidas (NCII) ou representações de abuso sexual infantil (CSAM). Como fornecedores de uma ferramenta geral de geração de imagens e vídeos, avaliamos esse risco de abuso já na fase de projeto e prevemos medidas técnicas de proteção.
• Medidas de proteção adotadas:
• • Filtros de entrada que bloqueiam prompts relevantes antes mesmo da invocação dos modelos de imagem e vídeo
• • Filtros de saída e as configurações de segurança dos fornecedores de modelos utilizados
• • Bloqueio de publicações direcionadas a menores em contexto sexualizado ou que contenham imagens íntimas de pessoas identificáveis
• • Bloqueio das funções “Persona” e “Voice” sem o consentimento documentado do titular dos dados (ver seção 5.9)
• • Registro de solicitações bloqueadas para detecção de abusos, bem como a possibilidade de bloquear as contas afetadas
• Qualquer uso da plataforma para esses fins é estritamente proibido e resultará no bloqueio imediato da conta, bem como, caso haja indícios de crimes, na intervenção das autoridades competentes.
• Denunciar abuso: você e terceiros podem denunciar violações a qualquer momento pelo e-mail info@nexaluna.ai, com o assunto “Denunciar abuso de IA”. Analisamos as denúncias recebidas com prioridade e confirmamos o recebimento.
• Documentamos internamente nossa avaliação de riscos realizada na fase de projeto, os filtros utilizados e o tratamento das notificações, e os apresentamos mediante solicitação das autoridades competentes.

8.7 Distribuição de funções: fornecedores e operadores

• O provedor, nos termos da Lei de IA da UE, é a Nexaluna AI Solutions UG (de responsabilidade limitada) para o sistema de IA PostMaestro.ai. Estamos sujeitos às obrigações do provedor, em especial à marcação legível por máquina das saídas, nos termos do art. 50, parágrafo 2, e à divulgação da interação com IA, nos termos do art. 50, parágrafo 1.
• Você é considerado operador assim que utiliza a plataforma sob sua responsabilidade e publica os conteúdos gerados. Você está sujeito às obrigações do operador, em especial à divulgação prevista no art. 50, parágrafo 4, no caso de deepfakes e de textos de interesse público.
• Os modelos básicos utilizados são de terceiros (ver seção 7). Seus fornecedores são os fornecedores dos respectivos modelos de IA; nós somos os fornecedores do sistema de IA desenvolvido com base neles.
• Mantemos internamente um registro de todos os modelos utilizados, com a respectiva atribuição de funções, e o atualizamos sempre que houver alterações.
• No que diz respeito à competência em IA, conforme o Art. 4 da Lei da UE sobre IA, treinamos nossos funcionários no uso dos sistemas de IA utilizados e documentamos os treinamentos.

8.8 Fiscalização e reclamações

• Desde 29 de julho de 2026, a Agência Federal de Redes é a autoridade responsável pela fiscalização do mercado, o ponto de contato central e o órgão de reclamações para a Lei de IA da UE na Alemanha.
• Agência Federal de Redes, Tulpenfeld 4, 53113 Bonn, https://www.bundesnetzagentur.de
• Você pode apresentar reclamações sobre a transparência da IA a qualquer momento por meio desse canal. Pedimos que entre em contato conosco previamente pelo e-mail info@nexaluna.ai, para que possamos esclarecer sua questão imediatamente.