Política de privacidade

5.1 Dados de registro e de conta

• No momento do cadastro, coletamos:
• • Endereço de e-mail (campo obrigatório)
• • Nome de usuário (campo obrigatório)
• • Senha (criptografada com bcrypt, no mínimo 8 caracteres)
• • Tipo de conta (Pessoal ou Empresarial)
• • Data de registro
• • Autenticação de dois fatores (2FA) — opcional, mas recomendada
• Finalidade: disponibilização e gestão da sua conta, autenticação, segurança
• Os dados da autenticação de duas etapas (2FA) são armazenados apenas localmente no seu dispositivo (leitura do código QR). Nós armazenamos apenas o status de ativação.
• Observação: como alternativa, você também pode se cadastrar/fazer login pelo Google, Meta (Facebook), LinkedIn, TikTok ou X — consulte a seção 5.1a para saber quais dados e permissões são solicitados em cada caso.
• Para nos proteger contra registros automatizados (bots), utilizamos o Cloudflare Turnstile (consulte a seção 10a.2).

5.1a Registro e login por meio de serviços de terceiros (login por redes sociais)

• Além do cadastro clássico com e-mail e senha, você pode se cadastrar ou fazer login no PostMaestro.ai por meio dos seguintes serviços de terceiros. Essas conexões servem exclusivamente para a criação de conta e o login e são independentes das conexões com redes sociais para a publicação de postagens (consulte a seção 5.5) — em cada caso, são solicitadas autorizações OAuth (escopos) específicas, com permissões significativamente mais restritas:
• • Google (Scopes: openid, profile, email) — são transmitidos o ID do Google, o endereço de e-mail, o nome e o sobrenome, a foto de perfil e o idioma
• • Login via Meta/Facebook (escopos: public_profile, email) — são transmitidos o ID do Facebook, o endereço de e-mail, o nome e o sobrenome, a foto do perfil e o idioma
• • Login no Instagram Business (escopo: instagram_business_basic) — são transmitidos o ID do Instagram, o nome de usuário, o nome de exibição e a foto do perfil (sem endereço de e-mail — este é solicitado separadamente durante o processo de integração)
• • LinkedIn (OpenID Connect, escopos: openid, profile, email) — são transmitidos o ID do LinkedIn, o endereço de e-mail, o nome e o sobrenome, a foto do perfil e o idioma
• • Kit de login do TikTok (escopos: user.info.basic, user.info.profile) — são transmitidos o Open-ID do TikTok, o nome de usuário, o nome de exibição e a foto de perfil (o TikTok não fornece endereço de e-mail — até que seja inserido durante o processo de integração, é utilizado internamente um endereço provisório)
• • X / Twitter (OAuth 2.0 com PKCE, escopos: users.read, users.email, tweet.read) — são transmitidos o X-ID, o nome de usuário, o nome de exibição, a foto de perfil e, caso tenha sido autorizado no X, o endereço de e-mail confirmado
• Esses escopos permitem exclusivamente a leitura dos dados básicos do perfil para a criação da conta. Nenhuma publicação é feita, nenhuma mensagem é lida e não é concedido acesso aos seus contatos.
• Se um endereço de e-mail já registrado se cadastrar novamente por meio de outro provedor, reconhecemos a conta existente com base no endereço de e-mail (independentemente do uso de maiúsculas ou minúsculas) e vinculamos o novo ID do provedor posteriormente (vinculação de contas), em vez de criar uma conta duplicada.
• Caso essa opção esteja ativada em suas configurações de segurança, enviamos, a cada login (inclusive por meio de login via rede social), uma notificação por e-mail com a hora, o dispositivo, o navegador e a localização aproximada. A localização é determinada com base no seu endereço IP por meio do provedor terceirizado ipinfo.io (consulte a seção 10a.1).
• Exclusão de conta do Meta: Para o login via Meta (Facebook/Instagram), disponibilizamos os pontos de retorno (callback endpoints) exigidos pelo Meta para a revogação de autorização e a exclusão de dados. Se você remover o aplicativo nas configurações da sua conta do Facebook ou solicitar a exclusão de dados por lá, receberemos automaticamente uma solicitação correspondente e disponibilizaremos o status do processamento em uma URL de status indicada pela Meta.

5.2 Perfis de marca e dados de marca

• Ao criar um perfil de marca, nós salvamos:
• - Nome da marca e descrição
• - URL do site (para o analisador de marcas)
• - Diretrizes e documentos da marca carregados
• - Análise dos dados da marca (cores, fontes, tom de voz)
• - Logotipo e ativos visuais
• - Definições do grupo-alvo
• - Setor e categoria
• Objetivo: Criação de conteúdo compatível com o mercado, gerenciamento da identidade da marca

5.3 Dados de conteúdo (postagens, mídia, campanhas)

• Ao utilizar o recurso de criação de conteúdo, armazenamos:
• • Publicações criadas e programadas nas redes sociais (texto, legendas, hashtags)
• • Imagens, vídeos e gráficos enviados e gerados
• • Dados da campanha e modelos
• • Validação de ideias (dados de swipe no Idea Generator)
• • Documentos de pesquisa
• • Status do conteúdo (Rascunho, Revisão, Programado, Publicado)
• • Datas e plataformas de publicação
• • Dados de classificação e origem dos materiais gerados (classe de conteúdo, status de classificação, status dos metadados), bem como sua confirmação da revisão editorial dos textos gerados
• Objetivo: gerenciamento de conteúdo, planejamento, automação, arquivamento e comprovação do cumprimento das obrigações de transparência em relação à IA
• Na medida em que for tecnicamente viável, os arquivos de mídia gerados contêm informações de identificação, metadados ou indicadores técnicos semelhantes que indicam que se trata de conteúdo gerado por IA ou com o auxílio de IA (ver seção 8.2).

5.4 Dados e análises de uso

• Armazenamos dados para aprimorar a plataforma:
• - Horários de login e duração da sessão
• - Recursos e funções utilizados
• - Consumo de token e dados de faturamento
• - Relatórios de erros e dados de desempenho
• - Feedback e solicitações de suporte
• Objetivo: aprimoramento da plataforma, análise de erros, suporte, faturamento

5.5 Links para plataformas de mídia social (publicação)

• Ao conectar contas de redes sociais para publicação (Instagram, Facebook, Threads, WhatsApp Business, LinkedIn, X, YouTube, TikTok, Wix, WordPress, site próprio), cada plataforma solicita, por meio do OAuth, apenas as permissões (escopos) necessárias para tal. Essas conexões são independentes do login por rede social para o acesso à conta (consulte a seção 5.1a). Nesse processo, armazenamos:
• • Tokens de acesso e de atualização do OAuth por plataforma, armazenados no banco de dados com criptografia AES-256-GCM (ver seção 10)
• • IDs de conta, página e canal da plataforma, bem como nome de exibição, foto de perfil ou logotipo
• • No LinkedIn, além disso: páginas corporativas gerenciadas por você (ID, nome, logotipo) para a seleção do destino da publicação
• • No Facebook/Instagram/WhatsApp: associações reconhecidas automaticamente entre a página do Facebook, a conta comercial do Instagram e a conta comercial do WhatsApp (transferência de contas vinculadas ao estabelecer a conexão)
• • Prazo de validade do token de acesso para renovação automática (por exemplo, no X e no Wix)
• • No caso do WordPress, site próprio: os dados de acesso fornecidos por você (senha de aplicativo ou URL do endpoint e segredo) em vez do token OAuth
• Esses dados são utilizados exclusivamente para publicar, em seu nome, postagens nas contas vinculadas e exibir as estatísticas correspondentes (Analytics) no PostMaestro.ai. O acesso a mensagens privadas ou contatos ocorre exclusivamente no âmbito da função de gerenciador de comunidade ativada por você (Facebook Messenger, Instagram Direct, WhatsApp).
• Você pode desativar qualquer conexão a qualquer momento nas configurações. Além disso, recomendamos revogar a autorização do aplicativo diretamente na respectiva plataforma (por exemplo, nas configurações da conta do Meta).

5.6 Dados da equipe e da conta da empresa

• Para contas de empresas com vários usuários, também armazenamos dados:
• - Membros da equipe e suas funções
• - Autorizações e controle de acesso
• - Fluxos de trabalho de aprovação e comentários
• - Registros de atividades (registro de auditoria)
• Finalidade: colaboração em equipe, controle de acesso, conformidade

5.7 Notificações push (aplicativo móvel)

• Se você utilizar nosso aplicativo móvel e ativar as notificações push, processaremos:
• • Token do dispositivo (Device Token) para o envio das notificações
• • Preferências de notificações
• Para o envio das notificações push, utilizamos o Firebase Cloud Messaging (Google).
• Você pode desativar as notificações push a qualquer momento nas configurações do seu dispositivo.

5.8 Notícias, pesquisas e feeds RSS

• A plataforma oferece uma função de notícias que usa pesquisa apoiada por IA (via Perplexity AI) como padrão para fornecer notícias relevantes do setor. Você também pode adicionar seus próprios feeds RSS. Ao fazer isso, processamos:
• - Consultas de pesquisa e preferências de tópicos para pesquisas de notícias com suporte de IA
• - Os URLs dos feeds RSS que você adicionou
• - Suas preferências e categorizações para esses feeds
• - Ler ou salvar artigos
• A plataforma recupera o conteúdo dos feeds de terceiros por meio de nossos servidores, de modo que seu endereço IP não é transmitido aos operadores dos feeds RSS. Ao usar a pesquisa de notícias com suporte de IA, suas consultas de pesquisa são transmitidas à Perplexity AI (consulte a seção 7.3).
• Objetivo: fornecer notícias personalizadas do setor, pesquisa e inspiração de conteúdo

6.1 Procedimento de dupla adesão

Depois de se registrar para receber o boletim informativo, você receberá um e-mail de confirmação.

Você só será adicionado à lista de envio de boletins após clicar no link de confirmação.

Isso serve para proteger contra o uso indevido de seu endereço de e-mail.

6.2 SendGrid (envio de e-mail)

Usamos o SendGrid (Twilio Inc., EUA) para enviar boletins informativos.

A SendGrid processa seu endereço de e-mail em nosso nome para enviar o boletim informativo.

Concluímos um contrato de processamento de pedidos (AVV) com a SendGrid de acordo com o Art. 28 do GDPR.

A SendGrid é certificada pela Estrutura de Privacidade de Dados UE-EUA.

Mais informações: https://www.twilio.com/legal/privacy

Política de privacidade da Twilio (SendGrid)

6.3 Rastreamento de boletins informativos

Atual: Sem rastreamento de taxas de abertura ou cliques

Planejado: Opção para estatísticas de boletins informativos (taxa de abertura, rastreamento de cliques)

Você será informado antes da ativação do rastreamento e poderá dar ou recusar seu consentimento.

6.4 Cancelamento

Você pode cancelar a assinatura do boletim informativo a qualquer momento:

- Por meio do link de cancelamento de assinatura em cada e-mail de boletim informativo

- Por e-mail para newsletter@nexaluna.ai

- Nas configurações de sua conta (se disponível)

Após o cancelamento, seus dados serão excluídos da lista de distribuição de boletins.

8.1 Divulgação da interação com um sistema de IA

• No PostMaestro.ai, você interage diretamente com sistemas de IA. Todas as funções que geram, avaliam, resumem, traduzem ou reformulam conteúdos são baseadas em IA e identificadas como tal na interface do usuário.
• A informação deve ser apresentada antes da primeira interação, de forma clara, compreensível e claramente diferenciável dos demais elementos de controle (Art. 50, parágrafo 1, da Lei da IA da UE).
• Disponibilizamos essas orientações de forma acessível e as alinhamos aos requisitos de acessibilidade reconhecidos (Art. 50, parágrafo 5, da Lei da UE sobre a Deficiência).
• As respostas e sugestões da IA podem estar incompletas, desatualizadas ou conter erros factuais. Elas não constituem aconselhamento jurídico, tributário, médico ou financeiro.

8.2 Marcação legível por máquina de conteúdos gerados

• De acordo com o Art. 50, parágrafo 2, da Lei da UE sobre IA, os conteúdos gerados por sistemas de IA que produzam imagens, áudio, vídeo ou texto sintéticos devem ser identificados, em um formato legível por máquina, como tendo sido gerados ou manipulados artificialmente. A identificação deve ser eficaz, interoperável, robusta e confiável.
• Implementamos esse requisito por meio de vários procedimentos complementares, uma vez que, de acordo com o estado da técnica, nenhum procedimento isolado alcança, por si só, a robustez exigida:
• • Metadados de origem no arquivo: Durante a exportação, inserimos metadados XMP e IPTC nos arquivos de mídia gerados, especialmente no campo IPTC “Digital Source Type” com o valor “trainedAlgorithmicMedia”, além de informações sobre o sistema de IA utilizado, a versão do modelo e a data de geração.
• • Credenciais de Conteúdo (C2PA): Para arquivos de imagem e vídeo gerados, incorporamos uma indicação de origem assinada criptograficamente, de acordo com o padrão C2PA, no fluxo de saída.
• • Marcas d’água do provedor: caso o respectivo provedor de modelos forneça marcas d’água invisíveis, estas serão mantidas e não serão removidas. No caso dos modelos de imagem do Google Gemini, trata-se do método de marca d’água SynthID.
• • Validação: Após a gravação, lemos novamente a marcação e registramos um status para cada arquivo (pendente, válido, ausente, removido). Se a incorporação falhar, exigimos uma marcação visível para classes de conteúdo sensíveis.
• A marcação é definida no servidor antes que um arquivo seja armazenado ou entregue, para que ela permaneça intacta durante a renderização, o upload e o download. Tecnicamente, não se pode descartar a possibilidade de que terceiros ou plataformas de destino removam metadados durante um novo upload, compactação ou recorte. Nesse caso, a marcação visível continua sendo sua garantia (ver 8.3).
• Situação da implementação e prazo: As obrigações de transparência previstas no Art. 50 da Lei da IA da UE estão em vigor desde 2 de agosto de 2026. Para sistemas de IA que — como o PostMaestro.ai — já estavam no mercado antes dessa data, o prazo de transição se estende até 2 de dezembro de 2026. Implementaremos integralmente os procedimentos descritos acima dentro desse prazo e documentaremos internamente o estado da implementação.
• Uma simples menção nesta Declaração de Privacidade não é suficiente para cumprir o Art. 50, parágrafo 2, da Lei da IA da UE. O que é determinante é a marcação legível por máquina no próprio arquivo.

8.3 Suas obrigações como operador no que diz respeito aos deepfakes

• Ao publicar conteúdos gerados pelo PostMaestro.ai, você é considerado “operador” nos termos da Lei da IA da UE. A obrigação de divulgação prevista no art. 50, parágrafo 4, da Lei da IA da UE recai, neste caso, sobre você e não sobre nós.
• Se você criar ou editar conteúdos de imagem, áudio ou vídeo que sejam extremamente semelhantes a pessoas, objetos, locais, instituições ou eventos reais (“deepfakes”), deverá declarar, no momento da publicação, que o conteúdo foi gerado ou manipulado artificialmente.
• De acordo com as diretrizes da Comissão Europeia, essa obrigação se aplica independentemente da existência de intenção de enganar e mesmo quando não há a representação de uma pessoa real específica. Por isso, ela é frequentemente aplicável a publicações nas redes sociais.
• Para auxiliar, disponibilizamos: uma marcação visível como configuração padrão para classes de conteúdo sensíveis, uma sugestão de texto de aviso durante a exportação e um aviso no fluxo de publicação.
• A configuração padrão é sempre “marcada”. A desativação deve ser documentada: registramos a data e a hora, a conta do usuário, a área de trabalho e a versão do texto de confirmação. Para representações fotorrealistas de pessoas e vozes sintéticas, a desativação é impossível.
• Você não deve remover, desativar, contornar ou prejudicar o funcionamento dos mecanismos de identificação e divulgação que disponibilizamos (consulte a seção 6.4 dos Termos e Condições).
• Essa obrigação é adicional às normas de identificação da respectiva plataforma de mídia social. Cabe a você verificar se, em cada caso específico, existe a obrigação de divulgação.

8.4 Textos gerados por IA e responsabilidade editorial

• No que diz respeito aos textos, o Art. 50 da Lei da IA da UE tem uma redação significativamente mais restrita do que no caso de imagens, áudio e vídeo. Só existe a obrigação de divulgação se todas as três condições a seguir forem atendidas:
• 1. O texto foi gerado ou manipulado por IA.
• 2. O texto será publicado.
• 3. A publicação tem como objetivo informar o público sobre assuntos de interesse público – como notícias, declarações políticas ou sociais e contribuições para debates públicos.
• A obrigação de identificação não se aplica quando o conteúdo tiver sido submetido a uma revisão humana ou a um controle editorial e uma pessoa física ou jurídica assumir a responsabilidade editorial pela publicação.
• Não existe uma obrigação geral de identificação para todos os textos gerados por IA. Quem utiliza a IA como ferramenta auxiliar, revisa os textos editorialmente e assume a responsabilidade por eles, geralmente não está sujeito a nenhuma obrigação adicional de identificação.
• O PostMaestro.ai foi projetado exatamente para isso: os textos gerados são sugestões. Antes de agendar ou publicar, solicitamos uma confirmação expressa de que você verificou o texto e assume a responsabilidade editorial. Registramos essa confirmação com a data e hora, a conta do usuário e a versão do texto, para que a exceção permaneça comprovável.
• A observação no aplicativo diz: “Este texto é uma sugestão. Por favor, verifique-o antes da publicação. Ao verificá-lo, você assume a responsabilidade editorial.”
• Sem essa verificação, você não pode publicar textos gerados como conteúdos de responsabilidade editorial; a obrigação de divulgação prevista no Art. 50, § 4, da Lei da IA da UE pode, então, ser aplicada.

8.5 Ausência de reconhecimento de emoções e de categorização biométrica

• A PostMaestro.ai não utiliza sistemas de reconhecimento de emoções e não deduz emoções, estados emocionais ou intenções a partir de dados biométricos.
• Não realizamos categorização biométrica, reconhecimento facial, identificação biométrica nem reconhecimento de características protegidas, como origem étnica, orientação política, religião, filiação sindical, saúde ou orientação sexual.
• Funções de avaliação, como a Validação de Ideias, o Analisador de Marca ou as análises de desempenho, referem-se exclusivamente a conteúdos, dados de marcas e de alcance – e não a pessoas nem a características biométricas.
• As obrigações de informação previstas no Art. 50, parágrafo 3, da Lei da IA da UE para sistemas de reconhecimento de emoções e de categorização biométrica, portanto, não se aplicam ao nosso caso.

8.6 Uso proibido: imagens de natureza íntima sem consentimento e imagens de abuso infantil

• O Art. 5 da Lei da IA da UE proíbe sistemas de IA cujo resultado razoavelmente previsível seja representações íntimas não consentidas (NCII) ou representações de abuso sexual infantil (CSAM). Como fornecedores de uma ferramenta geral de geração de imagens e vídeos, avaliamos esse risco de abuso já na fase de projeto e prevemos medidas técnicas de proteção.
• Medidas de proteção adotadas:
• • Filtros de entrada que bloqueiam prompts relevantes antes mesmo da invocação dos modelos de imagem e vídeo
• • Filtros de saída e as configurações de segurança dos fornecedores de modelos utilizados
• • Bloqueio de publicações direcionadas a menores em contexto sexualizado ou que contenham imagens íntimas de pessoas identificáveis
• • Bloqueio das funções “Persona” e “Voice” sem o consentimento documentado do titular dos dados (ver seção 5.9)
• • Registro de solicitações bloqueadas para detecção de abusos, bem como a possibilidade de bloquear as contas afetadas
• Qualquer uso da plataforma para esses fins é estritamente proibido e resultará no bloqueio imediato da conta, bem como, caso haja indícios de crimes, na intervenção das autoridades competentes.
• Denunciar abuso: você e terceiros podem denunciar violações a qualquer momento pelo e-mail info@nexaluna.ai, com o assunto “Denunciar abuso de IA”. Analisamos as denúncias recebidas com prioridade e confirmamos o recebimento.
• Documentamos internamente nossa avaliação de riscos realizada na fase de projeto, os filtros utilizados e o tratamento das notificações, e os apresentamos mediante solicitação das autoridades competentes.

8.7 Distribuição de funções: fornecedores e operadores

• O provedor, nos termos da Lei de IA da UE, é a Nexaluna AI Solutions UG (de responsabilidade limitada) para o sistema de IA PostMaestro.ai. Estamos sujeitos às obrigações do provedor, em especial à marcação legível por máquina das saídas, nos termos do art. 50, parágrafo 2, e à divulgação da interação com IA, nos termos do art. 50, parágrafo 1.
• Você é considerado operador assim que utiliza a plataforma sob sua responsabilidade e publica os conteúdos gerados. Você está sujeito às obrigações do operador, em especial à divulgação prevista no art. 50, parágrafo 4, no caso de deepfakes e de textos de interesse público.
• Os modelos básicos utilizados são de terceiros (ver seção 7). Seus fornecedores são os fornecedores dos respectivos modelos de IA; nós somos os fornecedores do sistema de IA desenvolvido com base neles.
• Mantemos internamente um registro de todos os modelos utilizados, com a respectiva atribuição de funções, e o atualizamos sempre que houver alterações.
• No que diz respeito à competência em IA, conforme o Art. 4 da Lei da UE sobre IA, treinamos nossos funcionários no uso dos sistemas de IA utilizados e documentamos os treinamentos.

8.8 Fiscalização e reclamações

• Desde 29 de julho de 2026, a Agência Federal de Redes é a autoridade responsável pela fiscalização do mercado, o ponto de contato central e o órgão de reclamações para a Lei de IA da UE na Alemanha.
• Agência Federal de Redes, Tulpenfeld 4, 53113 Bonn, https://www.bundesnetzagentur.de
• Você pode apresentar reclamações sobre a transparência da IA a qualquer momento por meio desse canal. Pedimos que entre em contato conosco previamente pelo e-mail info@nexaluna.ai, para que possamos esclarecer sua questão imediatamente.