Política de privacidade

5.1 Dados de registo e de conta

• No momento do registo, recolhemos:
• • Endereço de e-mail (campo obrigatório)
• • Nome de utilizador (campo obrigatório)
• • Palavra-passe (encriptada com bcrypt, com pelo menos 8 caracteres)
• • Tipo de conta (Pessoal ou Empresarial)
• • Data de registo
• • Autenticação de dois fatores (2FA) — opcional, mas recomendada
• Finalidade: disponibilização e gestão da sua conta, autenticação, segurança
• Os dados da autenticação de duas etapas (2FA) são guardados apenas localmente no seu dispositivo (leitura do código QR). Nós guardamos apenas o estado de ativação.
• Nota: Em alternativa, também pode registar-se/iniciar sessão através do Google, Meta (Facebook), LinkedIn, TikTok ou X — consulte a secção 5.1a para saber quais os dados e autorizações solicitados em cada caso.
• Para nos protegermos contra registos automatizados (bots), utilizamos o Cloudflare Turnstile (ver secção 10a.2).

5.1a Registo e início de sessão através de serviços de terceiros (início de sessão através de redes sociais)

• Para além do registo clássico com e-mail e palavra-passe, pode registar-se ou iniciar sessão no PostMaestro.ai através dos seguintes serviços de terceiros. Estas ligações destinam-se exclusivamente à criação de contas e ao início de sessão e são independentes das ligações às redes sociais para a publicação de conteúdos (ver secção 5.5) — em cada caso, são solicitadas autorizações OAuth (escopos) específicas, com um âmbito de acesso significativamente mais restrito:
• • Google (Scopes: openid, profile, email) — são transmitidos o ID do Google, o endereço de e-mail, o nome próprio e o apelido, a fotografia de perfil e o idioma
• • Início de sessão no Meta / Facebook (âmbitos: public_profile, email) — são transmitidos o ID do Facebook, o endereço de e-mail, o nome próprio e o apelido, a fotografia de perfil e o idioma
• • Início de sessão no Instagram Business (âmbito: instagram_business_basic) — são transmitidos o ID do Instagram, o nome de utilizador, o nome de exibição e a foto de perfil (não é transmitido o endereço de e-mail — este é solicitado separadamente durante o processo de integração)
• • LinkedIn (OpenID Connect, âmbitos: openid, profile, email) — são transmitidos o ID do LinkedIn, o endereço de e-mail, o nome próprio e o apelido, a fotografia de perfil e o idioma
• • Kit de início de sessão do TikTok (âmbitos: user.info.basic, user.info.profile) — são transmitidos o Open-ID do TikTok, o nome de utilizador, o nome de exibição e a imagem de perfil (o TikTok não fornece um endereço de e-mail — até que este seja introduzido durante o processo de integração, é utilizado internamente um endereço provisório)
• • X / Twitter (OAuth 2.0 com PKCE, âmbitos: users.read, users.email, tweet.read) — são transmitidos o X-ID, o nome de utilizador, o nome de exibição, a imagem de perfil e, caso tenha sido autorizado no X, o endereço de e-mail confirmado
• Estes scopes permitem apenas a leitura dos dados básicos do perfil para a criação da conta. Não são publicadas publicações, não são lidas mensagens e não é concedido acesso aos seus contactos.
• Se um endereço de e-mail já registado se inscrever novamente através de outro fornecedor, identificamos a conta existente com base no endereço de e-mail (independentemente das maiúsculas e minúsculas) e associamos posteriormente o novo ID do fornecedor (associação de contas), em vez de criar uma conta duplicada.
• Caso esta opção esteja ativada nas suas definições de segurança, enviamos, sempre que efetuar o início de sessão (incluindo através do início de sessão através de redes sociais), uma notificação por e-mail com a hora, o dispositivo, o navegador e a localização aproximada. A localização é determinada com base no seu endereço IP através do prestador de serviços externo ipinfo.io (ver secção 10a.1).
• Eliminação da conta Meta: Para o registo através da Meta (Facebook/Instagram), disponibilizamos os pontos de contacto (callback endpoints) exigidos pela Meta para a revogação da autorização e a eliminação de dados. Se remover a aplicação nas definições da sua conta do Facebook ou solicitar a eliminação de dados nessas definições, receberemos automaticamente o pedido correspondente e disponibilizaremos o estado do processamento numa URL de estado indicada pela Meta.

5.2 Perfis de marca e dados de marca

• Ao criar um perfil de marca, guardamos:
• - Nome da marca e descrição
• - URL do sítio Web (para o analisador de marcas)
• - Carregamento de documentos e diretrizes da marca
• - Analisámos os dados da marca (cores, tipos de letra, tom de voz)
• - Logótipo e activos visuais
• - Definições do grupo-alvo
• - Setor e categoria
• Objetivo: Criação de conteúdos compatíveis com o mercado, gestão da identidade da marca

5.3 Dados de conteúdo (publicações, meios de comunicação, campanhas)

• Ao utilizar a funcionalidade de criação de conteúdos, guardamos:
• • Publicações nas redes sociais criadas e programadas (texto, legendas, hashtags)
• • Imagens, vídeos e gráficos carregados e gerados
• • Dados das campanhas e modelos
• • Validação de ideias (dados de swipe no Idea Generator)
• • Documentos de investigação
• • Estado do conteúdo (Rascunho, Em revisão, Agendado, Publicado)
• • Datas e plataformas de publicação
• • Dados de classificação e origem dos conteúdos multimédia gerados (classe de conteúdo, estado da classificação, estado dos metadados), bem como a sua confirmação da revisão editorial dos textos gerados
• Objetivo: gestão de conteúdos, planeamento, automatização, arquivo e comprovação do cumprimento das obrigações de transparência em matéria de IA
• Na medida em que tal seja tecnicamente viável, os ficheiros multimédia gerados contêm informações de identificação, metadados ou indicadores técnicos semelhantes que indicam que se trata de conteúdos gerados por IA ou apoiados por IA (ver secção 8.2).

5.4 Dados e análises de utilização

• Armazenamos dados para melhorar a plataforma:
• - Tempos de início de sessão e duração da sessão
• - Caraterísticas e funções utilizadas
• - Consumo de tokens e dados de faturação
• - Relatórios de erros e dados de desempenho
• - Feedback e pedidos de apoio
• Objetivo: Melhoria da plataforma, análise de erros, apoio, faturação

5.5 Ligações a plataformas de redes sociais (publicação)

• Ao ligar contas de redes sociais para publicação (LinkedIn, Instagram, Facebook, Threads, X, YouTube, TikTok, Wix, WordPress, site próprio), cada plataforma solicita, através do OAuth, apenas as autorizações (escopos) necessárias para o efeito. Estas ligações são independentes do «Social Login» para o início de sessão na conta (ver secção 5.1a).
• Os tokens de acesso e de atualização OAuth são armazenados na base de dados, encriptados com AES-256-GCM, consoante a plataforma (ver secção 10). Os tokens caducados e não renováveis são automaticamente invalidados.
• Para a publicação e agendamento pontuais, o fuso horário é obtido, em primeiro lugar, junto do respetivo fornecedor da plataforma (desde que a plataforma o suporte, por exemplo, no Facebook, Instagram, Wix, WordPress, YouTube) ou é adotado a partir da sua definição manual. Caso uma plataforma não suporte a consulta do fuso horário (como o LinkedIn, onde, por motivos de proteção de dados, não são criados dados derivados da localização), determinamos o fuso horário principalmente com base no país (Country) indicado no perfil da marca e, em segundo lugar, com base no idioma ou no fuso horário padrão da marca.
• As secções seguintes descrevem, para cada plataforma, quais os dados que são tratados, para que são utilizados e quando são eliminados. Os dados da plataforma são utilizados exclusivamente para a gestão da presença online do respetivo cliente.
• Pode desativar qualquer ligação a qualquer momento nas definições. Recomendamos ainda que revogue a autorização da aplicação diretamente na respetiva plataforma (por exemplo, nas definições da conta do LinkedIn ou da Meta).

5.6 Dados da conta da equipa e da empresa

• No caso das contas empresariais com vários utilizadores, guardamos ainda:
• • Membros da equipa e as suas funções
• • Autorizações e controlo de acesso (incluindo acesso baseado em funções aos perfis das marcas e às ligações às redes sociais; apenas as funções autorizadas recebem notificações sobre ligações prestes a expirar)
• • Fluxos de trabalho de aprovação e comentários
• • Registos de atividades (registo de auditoria)
• Objetivo: colaboração em equipa, controlo de acesso, conformidade

5.7 Notificações (na aplicação, notificações push e e-mail)

• O PostMaestro.ai informa-o sobre eventos na sua conta, por exemplo, comentários e menções, gerações concluídas, publicações, convites para a equipa, faturação, segurança e manutenção. Para tal, tratamos:
• • Notificações na sua caixa de entrada (símbolo do sino), incluindo o estado de leitura e de ocultação
• • As suas definições de notificações por canal, categoria, área e grupo de equipa
• • Para notificações push (aplicação móvel e navegador): token do dispositivo, um ID aleatório do dispositivo, nome do dispositivo, plataforma, versão da aplicação e a data e hora da última utilização
• • Se a aplicação está aberta num dispositivo neste momento (sinal de visibilidade, válido por 90 segundos), para que não receba nenhuma notificação push adicional no dispositivo que está a utilizar neste momento
• Enviamos notificações push através do Firebase Cloud Messaging (Google) e notificações por e-mail através do SendGrid (ver secção 6.3).
• Pode ativar ou desativar as notificações opcionais em Definições → Notificações, separadamente para cada canal; as notificações push podem ser configuradas adicionalmente nas definições do seu dispositivo ou navegador.
• As notificações necessárias para a utilização da sua conta (por exemplo, problemas de pagamento, obrigatoriedade da autenticação de dois fatores, manutenção, alterações aos Termos e Condições) são enviadas por e-mail e através da aplicação, independentemente destas definições. As notificações de início de sessão estão excluídas desta regra e são opcionais (ver secção 12.1). Em casos excecionais — por exemplo, em caso de trabalhos de manutenção ou avisos relacionados com a segurança —, podemos também apresentar avisos independentemente das suas definições de categoria na aplicação e através de notificações push; esses avisos são assinalados como «Importantes».
• Só receberá e-mails promocionais (por exemplo, sobre novas funcionalidades) se tiver subscrito a newsletter (secção 6).

5.8 Notícias, investigação e feeds RSS

• A plataforma oferece uma função de notícias que utiliza a investigação apoiada por IA (através da Perplexity AI) como padrão para fornecer notícias relevantes do sector. Também pode adicionar os seus próprios feeds RSS. Ao fazê-lo, processamos:
• - Consultas de pesquisa e preferências temáticas para pesquisas de notícias apoiadas por IA
• - Os URLs dos feeds RSS que adicionou
• - As suas preferências e categorizações para estes feeds
• - Ler ou guardar artigos
• A plataforma obtém o conteúdo dos feeds de terceiros através dos nossos servidores, pelo que o seu endereço IP não é transmitido aos operadores dos feeds RSS. Ao utilizar a pesquisa de notícias apoiada por IA, as suas consultas de pesquisa são transmitidas à Perplexity AI (ver secção 7.3).
• Objetivo: Fornecer notícias personalizadas sobre o sector, investigação e inspiração de conteúdos

6.1 Procedimento de dupla confirmação

Após a inscrição através do site, receberá um e-mail com um link de confirmação. Só depois de clicar nesse link é que o incluiremos na lista de distribuição. As inscrições não confirmadas são eliminadas após 30 dias; não enviamos qualquer lembrete.

Ao registar-se na aplicação, confirma a subscrição clicando na ligação incluída no e-mail de confirmação da sua conta, no qual indicamos isso separadamente.

Isto evita que sejam utilizadas endereços de e-mail de terceiros para a inscrição.

6.2 Comprovação do seu consentimento

Para poder comprovar que deu o seu consentimento (art. 7.º, n.º 1, do RGPD), registamos a inscrição, a confirmação e a cancelamento do registo, indicando a hora, a origem, o endereço IP, o identificador do navegador e a versão do texto de consentimento apresentado.

Conservamos este registo durante 3 anos após a sua cancelamento da subscrição e, posteriormente, eliminamo-lo automaticamente.

6.3 SendGrid (envio de e-mails)

Para o envio da newsletter, bem como de e-mails de serviço e notificações, utilizamos o SendGrid (Twilio Inc., EUA).

A SendGrid processa o seu endereço de e-mail e o conteúdo do e-mail em nosso nome e comunica-nos eventos técnicos de entrega (entregue, não entregável, marcado como spam, cancelamento de subscrição). Utilizamos estes eventos para manter a lista de distribuição atualizada: endereços não entregáveis e denúncias de spam resultam no bloqueio do endereço.

Celebrámos com a SendGrid um contrato de subcontratação (AVV) nos termos do artigo 28.º do RGPD. A SendGrid está certificada ao abrigo do Quadro de Proteção de Dados UE-EUA.

Mais informações: https://www.twilio.com/legal/privacy

Política de Privacidade da Twilio (SendGrid)

6.4 Acompanhamento da newsletter

De momento, não medimos nem as aberturas nem os cliques.

Antes de introduzirmos essas estatísticas, informá-lo-emos antecipadamente e, caso seja necessário, solicitaremos o seu consentimento.

6.5 Cancelamento da subscrição

Pode cancelar a subscrição da newsletter a qualquer momento:

• através do link de cancelamento de subscrição presente em cada e-mail ou da função de cancelamento de subscrição do seu programa de e-mail

• através do formulário na parte inferior desta secção: introduza o seu endereço de e-mail e enviar-lhe-emos um link para confirmar a cancelamento da subscrição

• na sua conta PostMaestro, em Definições → Notificações

• por e-mail para support@postmaestro.ai

Após a cancelamento da subscrição, deixará de receber newsletters. O seu endereço deixará então de constar da lista de distribuição; apenas será conservado o registo previsto na secção 6.2.

8.1 Divulgação da interação com um sistema de IA

• No PostMaestro.ai, interage diretamente com sistemas de IA. Todas as funcionalidades que criam, avaliam, resumem, traduzem ou reformulam conteúdos são suportadas por IA e estão identificadas como tal na interface do utilizador.
• A indicação é apresentada antes da primeira interação, de forma clara, compreensível e claramente distinguível dos restantes elementos de comando (art. 50.º, n.º 1, da Lei da UE sobre a Inteligência Artificial).
• Disponibilizamos estas orientações de forma acessível e alinhamo-las com os requisitos de acessibilidade reconhecidos (art. 50.º, n.º 5, da Lei da UE sobre a Inteligência Artificial).
• As respostas e sugestões da IA podem estar incompletas, desatualizadas ou factualmente incorretas. Não constituem aconselhamento jurídico, fiscal, médico ou financeiro.

8.2 Marcação legível por máquina de conteúdos gerados

• Nos termos do artigo 50.º, n.º 2, da Lei da UE sobre IA, os conteúdos gerados por sistemas de IA que produzam imagens, áudio, vídeo ou texto sintéticos devem ser identificados, num formato legível por máquina, como tendo sido gerados ou manipulados artificialmente. A identificação deve ser eficaz, interoperável, robusta e fiável.
• Implementamos este requisito através de vários procedimentos complementares, uma vez que, de acordo com o estado da técnica, nenhum procedimento isolado atinge, por si só, a robustez exigida:
• • Metadados de origem no ficheiro: incorporamos metadados padronizados diretamente nos ficheiros de imagem e vídeo. Isto inclui o campo IPTC «Digital Source Type» (com os valores «trainedAlgorithmicMedia» para meios totalmente sintéticos e «compositeWithTrainedAlgorithmicMedia» para imagens reais editadas por IA), descrições Dublin Core («AI GENERATED»), informações EXIF, bem como um espaço de nomes XMP dedicado (https://postmaestro.ai/ns/ai-transparency/1.0/) com informações sobre o sistema de IA, a versão do modelo, a classe de conteúdo, a data de criação e o estado da marcação.
• • Content Credentials (C2PA): as imagens, os vídeos e os ficheiros de áudio recebem adicionalmente um certificado de origem assinado criptograficamente, de acordo com a norma C2PA (detalhes no ponto 8.2a).
• • Marcas de água do fornecedor: na medida em que o respetivo fornecedor de modelos inclua marcas de água invisíveis, estas são mantidas e não são removidas. No caso dos modelos de imagem do Google Gemini, trata-se do método de marca de água SynthID.
• • Validação: Após a gravação, lemos novamente a marcação e registamos um estado para cada ficheiro (pendente, válido, em falta, removido). Se a incorporação falhar, impomos uma marcação visível para as classes de conteúdo sensíveis.
• • Resistência ao formato: caso uma plataforma ou uma etapa de conversão remova os metadados, a marca ótica gravada continua a ser eficaz como mecanismo de proteção principal (ver 8.3).
• Estado de transposição e prazo: As obrigações de transparência previstas no artigo 50.º da Lei da IA da UE são aplicáveis desde 2 de agosto de 2026. Para os sistemas de IA que, tal como o PostMaestro.ai, já se encontravam no mercado antes dessa data, aplica-se o período de transição até 2 de dezembro de 2026. Iremos implementar na íntegra os procedimentos acima descritos dentro deste prazo e documentar internamente o estado de implementação.
• Uma simples referência nesta declaração de proteção de dados não é suficiente para cumprir o artigo 50.º, n.º 2, da Lei da IA da UE. O que é determinante é a marcação legível por máquina no próprio ficheiro.

8.2a Certificados de origem assinados (C2PA Content Credentials)

• Para além dos metadados referidos no ponto 8.2, dotamos as imagens geradas e editadas por IA (JPEG, PNG, WebP), vídeos (MP4) e ficheiros de áudio (MP3, WAV) com um certificado de proveniência assinado criptograficamente, de acordo com o padrão aberto da Coalition for Content Provenance and Authenticity (C2PA). As plataformas e as ferramentas de verificação podem ler este certificado e exibi-lo, por exemplo, como o símbolo «CR» (Content Credentials).
• A C2PA confirmou o PostMaestro.ai, a 18 de outubro de 2026, no seu Programa de Conformidade como um Produto Gerador em conformidade (Nível de Garantia 1).
• Conteúdo da declaração: Nome e versão do software («PostMaestro.ai»), tipo de criação (totalmente gerado por IA ou editado por IA), nome do sistema ou modelo de IA utilizado, data de criação, indicação da inclusão ou não de uma marca visível de IA, bem como a assinatura digital. No caso de edições e de ficheiros multimédia que tenham sido fornecidos como modelo ao modelo de IA (por exemplo, fotografias de referência, de produtos ou de pessoas, logótipo), a certificação deve incluir os nomes dos ficheiros, o formato dos ficheiros e um valor hash criptográfico. Se um modelo de partida já contiver um certificado C2PA, este é adotado. As imagens de pré-visualização dos modelos de partida não são incorporadas.
• Não estão incluídos o nome, o endereço de e-mail ou os identificadores de conta do utilizador ou da sua empresa. Adotamos os nomes dos ficheiros dos modelos tal como foram carregados; não atribua nomes de ficheiros com dados pessoais (por exemplo, «max-mustermann.jpg») se estes não devem constar no meio publicado.
• A assinatura é efetuada com um certificado da Nexaluna AI Solutions UG (de responsabilidade limitada). A chave privada de assinatura encontra-se no AWS Key Management Service (região de Frankfurt), onde é protegida em módulos de segurança de hardware e não sai desse serviço. O facto de uma ferramenta de verificação indicar que o certificado é fiável depende de essa ferramenta conhecer a entidade certificadora emissora (por exemplo, através da Lista de Confiança da C2PA).
• Carimbo temporal: para que a assinatura continue a ser verificável mesmo após o vencimento do certificado, esta pode ser acompanhada do carimbo temporal de um serviço de carimbo temporal. Neste processo, é transmitido exclusivamente um valor hash, não sendo transmitidos nem o ficheiro nem dados pessoais.
• A prova faz parte do ficheiro e é publicada juntamente com ele. No nível «Sem marcação da UE», não é incorporada qualquer prova de origem. As plataformas que recodificam ou convertem os ficheiros durante o carregamento podem remover a prova; uma marca visível gravada não é afetada por isso (ver 8.3).

Base jurídica: Art. 6.º, n.º 1, alínea c) do RGPD, em conjugação com o Art. 50.º, n.º 2 do Regulamento (UE) 2024/1689 (identificação legível por máquina de conteúdos gerados por IA), bem como o Art. 6.º, n.º 1, alínea b) do RGPD (disponibilização da função de identificação acordada contratualmente).

8.3 As suas obrigações enquanto operador no que diz respeito aos deepfakes e à identificação visível da UE

• Se publicar conteúdos gerados pelo PostMaestro.ai, é considerado um «operador» (Operator) nos termos da Lei da UE sobre IA. A obrigação de divulgação prevista no artigo 50.º, n.º 4, da Lei da IA da UE, relativa a conteúdos de imagem, vídeo e áudio que se assemelhem de forma enganosa a pessoas, locais ou acontecimentos reais («deepfakes»), aplica-se diretamente a si.
• Símbolos oficiais da UE: Para cumprir esta obrigação, a PostMaestro.ai disponibiliza os símbolos oficiais da Comissão Europeia, que são incorporados diretamente no material gráfico sob a forma de imagens vetoriais:
• 1. «AI GENERATED» (emblema em forma de comprimido): Para conteúdos visuais e multimédia gerados de forma totalmente sintética.
• 2. «AI MODIFIED» (Pill-Badge): Para imagens reais ou fotografias existentes que tenham sido alteradas ou retocadas através de IA generativa.
• 3. «AI» (ícone redondo): Para conteúdos de voz sintética e como alternativa para formatos de imagem extremamente estreitos ou pré-visualizações pequenas, nas quais o texto seria ilegível.
• Três níveis de classificação: Antes da publicação, pode escolher entre três níveis para cada meio no menu da UE:
• • Emblema de IA + metadados (padrão para conteúdos gerados): emblema visual da UE incorporado, juntamente com metadados de ficheiro XMP/IPTC legíveis por máquina e certificado de origem C2PA assinado (ver 8.2a).
• • Apenas metadados: metadados de proveniência XMP/IPTC completos e legíveis por máquina, bem como o comprovativo de proveniência C2PA no ficheiro, mas sem qualquer emblema visível na imagem.
• • Sem identificação da UE: renúncia total a emblemas visíveis, remoção dos metadados de origem da IA do ficheiro e ausência de comprovativo de origem C2PA.
• Restrições obrigatórias para conteúdos sensíveis: para imagens fotorrealistas de pessoas (classe de conteúdo A1) e vozes sintéticas (classe de conteúdo V1), a indicação visível é obrigatória por lei. Enquanto o botão da Lei da IA da UE da marca estiver ativo para o idioma em questão, o sistema desativa, para estas classes, as opções «Apenas metadados» e «Sem identificação da UE» («LABEL_REQUIRED»). Se o interruptor para um determinado idioma estiver desativado, porque os conteúdos não se destinam ao mercado da UE, o utilizador pode mudar para «Apenas metadados»; a identificação legível por máquina mantém-se sempre («METADATA_REQUIRED»). O utilizador é responsável pelo cumprimento das obrigações de rotulagem no mercado-alvo em questão.
• Tem a obrigação de verificar, por sua própria responsabilidade, antes da publicação, se o modo escolhido cumpre os requisitos da Lei da IA da UE e as diretrizes da respetiva plataforma de destino.

8.3a Escolha das cores dos emblemas, verificação do contraste e composição

• Para que o identificador legal não prejudique a qualidade visual da sua publicação e, ao mesmo tempo, permaneça legível, o PostMaestro.ai oferece opções de design flexíveis:
• • Variantes de cor disponíveis: No menu «EU», pode escolher entre cinco variantes: «Auto» (padrão), «Preto», «Branco», «Preto 50 % transparente» e «Branco 50 % transparente».
• • Modo padrão «Auto»: Seleciona automaticamente uma placa semitransparente a 50 % com o contraste ideal em relação ao fundo – branco a 50 % em cantos escuros, preto a 50 % em cantos claros.
• • Planeamento da composição com IA: Os nossos agentes de prompts (Visual Agent, Thumbnail Agent, Visual Creator) planeiam, de forma antecipada, durante a criação do prompt, um canto da imagem (disclosureCorner) tranquilo e com poucos detalhes, isento de textos, rostos ou logótipos, e sugerem uma cor adequada (disclosureStyle).
• • Verificação algorítmica do contraste: durante a renderização, o sistema mede a luminância real e o desvio padrão do canto alvo. Se a luminosidade real da imagem diferir da sugestão do agente, o renderizador corrige automaticamente a cor para evitar representações ilegíveis (por exemplo, um emblema escuro sobre uma sombra escura).

8.3b Uploads próprios («Sem imagem gerada por IA») e ciclo de vida das versões não marcadas

• Sem classificação errada de conteúdos reais: os ficheiros que o próprio utilizador carregar ou os conteúdos reais da Biblioteca de Conteúdos são reconhecidos pelo sistema como não gerados por IA (aiOrigin: false) e assinalados na interface com um estado cinzento neutro como «Imagem não gerada por IA». Por predefinição, não é atribuída qualquer marca de IA a estes ficheiros multimédia.
• Etiquetagem voluntária de IA: Se desejar, também pode atribuir voluntariamente uma marcação da UE e metadados aos seus próprios ficheiros carregados (por exemplo, no caso de diretrizes internas da empresa ou edições híbridas). Esta marcação voluntária pode ser removida a qualquer momento.
• Versão temporária sem marcações (Clean Source): Para lhe permitir alternar com flexibilidade entre os diferentes níveis («Emblema + metadados», «Apenas metadados», «Sem identificação») até à publicação, o PostMaestro.ai guarda, durante a fase de rascunho, uma versão bruta sem identificação da imagem num armazenamento protegido.
• Eliminação irrevogável após a publicação: assim que uma publicação é publicada (estado «published»), entra em ação o nosso processo automático de limpeza de dados (post-media-cleanup): todas as versões brutas não marcadas são irrevogavelmente eliminadas dos nossos servidores. O estado de publicação da publicação fica fixado de forma permanente, pelo que não é possível remover posteriormente quaisquer marcas sem que isso seja detetado.

Período de conservação: As versões preliminares não marcadas permanecem nos nossos sistemas apenas até ao momento da publicação ou até à eliminação do rascunho da publicação.

8.4 Textos gerados por IA e responsabilidade editorial

• No que diz respeito aos textos, o artigo 50.º da Lei da IA da UE tem um âmbito de aplicação significativamente mais restrito do que no caso de imagens, áudio e vídeo. Só existe uma obrigação de divulgação se estiverem reunidas as três condições seguintes:
• 1. O texto foi gerado ou manipulado por IA.
• 2. O texto será publicado.
• 3. A publicação tem como objetivo informar o público sobre assuntos de interesse público – tais como notícias, declarações políticas ou sociais e contribuições para debates públicos.
• A obrigação de identificação não se aplica se o conteúdo tiver sido submetido a uma verificação humana ou a um controlo editorial e se uma pessoa singular ou coletiva assumir a responsabilidade editorial pela publicação.
• Não existe uma obrigação geral de identificação para todos os textos gerados por IA. Quem utiliza a IA como ferramenta de apoio, revê os textos do ponto de vista editorial e assume a responsabilidade pelos mesmos, não está, em regra, sujeito a qualquer obrigação adicional de identificação.
• O PostMaestro.ai foi concebido precisamente para isso: os textos gerados são sugestões. Antes de agendar ou publicar, solicitamos uma confirmação expressa de que verificou o texto e que assume a responsabilidade editorial. Registamos essa confirmação com a data e hora, a conta de utilizador e a versão do texto, para que a exceção permaneça comprovável.
• A nota na aplicação diz: «Este texto é uma sugestão. Por favor, verifique-o antes da publicação. Ao verificá-lo, assume a responsabilidade editorial.»
• Sem essa verificação, não pode publicar textos gerados como conteúdos sob responsabilidade editorial; a obrigação de divulgação prevista no artigo 50.º, n.º 4, da Lei da IA da UE pode, nesse caso, ser aplicável.

8.5 Ausência de deteção de emoções e de categorização biométrica

• A PostMaestro.ai não utiliza sistemas de deteção de emoções nem deduz emoções, estados emocionais ou intenções a partir de dados biométricos.
• Não realizamos qualquer categorização biométrica, reconhecimento facial, identificação biométrica nem identificação de características protegidas, tais como origem étnica, orientação política, religião, filiação sindical, estado de saúde ou orientação sexual.
• As funções de avaliação, como a «Idea Validation», o «Brand Analyser» ou as análises de desempenho, referem-se exclusivamente a conteúdos, dados relativos a marcas e ao alcance – e não a pessoas nem a características biométricas.
• As obrigações de informação previstas no artigo 50.º, n.º 3, da Lei da UE sobre Inteligência Artificial (EU AI Act) relativas aos sistemas de deteção de emoções e de categorização biométrica não se aplicam, portanto, no nosso caso.

8.6 Utilização proibida: imagens de caráter íntimo sem consentimento e imagens de abuso infantil

• O artigo 5.º da Lei da UE sobre a IA proíbe os sistemas de IA cujo resultado razoavelmente previsível seja a representação de imagens íntimas não consentidas (NCII) ou de abuso sexual de menores (CSAM). Na qualidade de fornecedor de uma ferramenta geral de geração de imagens e vídeos, avaliamos este risco de abuso já na fase de conceção e prevemos medidas de proteção técnicas.
• Medidas de proteção implementadas:
• • Filtros de entrada que bloqueiam prompts relevantes antes mesmo de os modelos de imagem e vídeo serem chamados
• • Filtros de saída, bem como as definições de segurança dos fornecedores de modelos utilizados
• • Bloqueio de conteúdos dirigidos a menores num contexto sexual ou que apresentem imagens íntimas de pessoas identificáveis
• • Bloqueio das funcionalidades «Persona» e «Voice» sem o consentimento documentado da pessoa em causa (ver secção 5.9)
• • Registo das solicitações bloqueadas para deteção de abusos, bem como a possibilidade de bloquear as contas afetadas
• Qualquer utilização da plataforma para estes fins é estritamente proibida e implica o bloqueio imediato da conta, bem como, caso haja indícios de infrações penais, a intervenção das autoridades competentes.
• Denunciar abuso: tanto o utilizador como terceiros podem denunciar infrações a qualquer momento através do endereço info@nexaluna.ai, indicando no assunto «Denunciar abuso de IA». Analisamos as denúncias recebidas com prioridade e confirmamos a sua receção.
• Documentamos internamente a nossa avaliação de riscos realizada na fase de conceção, os filtros utilizados e o tratamento das notificações, e apresentamos esses documentos a pedido das autoridades competentes.

8.7 Repartição de funções: fornecedores e operadores

• O prestador de serviços, na aceção da Lei da IA da UE, é a Nexaluna AI Solutions UG (de responsabilidade limitada) relativamente ao sistema de IA PostMaestro.ai. Estamos sujeitos às obrigações do prestador de serviços, nomeadamente a marcação legível por máquina das publicações, nos termos do artigo 50.º, n.º 2, e a divulgação da interação com a IA, nos termos do artigo 50.º, n.º 1.
• É considerado operador assim que utilizar a plataforma sob a sua responsabilidade e publicar conteúdos criados. Deve cumprir as obrigações do operador, nomeadamente a divulgação prevista no artigo 50.º, n.º 4, no que diz respeito a deepfakes e a textos de interesse público.
• Os modelos de base utilizados são fornecidos por terceiros (ver secção 7). Os seus fornecedores são os fornecedores dos respetivos modelos de IA; nós somos os fornecedores do sistema de IA que se baseia nesses modelos.
• Mantemos internamente um registo de todos os modelos utilizados, com a respetiva atribuição de funções, e atualizamo-lo sempre que ocorrem alterações.
• No que diz respeito às competências em IA, nos termos do artigo 4.º da Lei da UE sobre a IA, ministramos formação aos nossos colaboradores sobre a utilização dos sistemas de IA implementados e documentamos essas formações.

8.8 Supervisão e reclamações

• Desde 29 de julho de 2026, a Agência Federal das Redes é a autoridade responsável pela fiscalização do mercado, o ponto de contacto central e o serviço de reclamações para a Lei da IA da UE na Alemanha.
• Agência Federal de Redes, Tulpenfeld 4, 53113 Bona, https://www.bundesnetzagentur.de
• Pode apresentar reclamações relativas à transparência da IA a qualquer momento através desse canal. Pedimos-lhe que nos contacte previamente através do endereço info@nexaluna.ai, para que possamos esclarecer imediatamente a sua questão.