Política de privacidade

5.1 Dados de registo e de conta

• No momento do registo, recolhemos:
• • Endereço de e-mail (campo obrigatório)
• • Nome de utilizador (campo obrigatório)
• • Palavra-passe (encriptada com bcrypt, com pelo menos 8 caracteres)
• • Tipo de conta (Pessoal ou Empresarial)
• • Data de registo
• • Autenticação de dois fatores (2FA) — opcional, mas recomendada
• Finalidade: disponibilização e gestão da sua conta, autenticação, segurança
• Os dados da autenticação de duas etapas (2FA) são guardados apenas localmente no seu dispositivo (leitura do código QR). Nós guardamos apenas o estado de ativação.
• Nota: Em alternativa, também pode registar-se/iniciar sessão através do Google, Meta (Facebook), LinkedIn, TikTok ou X — consulte a secção 5.1a para saber quais os dados e autorizações solicitados em cada caso.
• Para nos protegermos contra registos automatizados (bots), utilizamos o Cloudflare Turnstile (ver secção 10a.2).

5.1a Registo e início de sessão através de serviços de terceiros (início de sessão através de redes sociais)

• Para além do registo clássico com e-mail e palavra-passe, pode registar-se ou iniciar sessão no PostMaestro.ai através dos seguintes serviços de terceiros. Estas ligações destinam-se exclusivamente à criação de contas e ao início de sessão e são independentes das ligações às redes sociais para a publicação de conteúdos (ver secção 5.5) — em cada caso, são solicitadas autorizações OAuth (escopos) específicas, com um âmbito de acesso significativamente mais restrito:
• • Google (Scopes: openid, profile, email) — são transmitidos o ID do Google, o endereço de e-mail, o nome próprio e o apelido, a fotografia de perfil e o idioma
• • Início de sessão no Meta / Facebook (âmbitos: public_profile, email) — são transmitidos o ID do Facebook, o endereço de e-mail, o nome próprio e o apelido, a fotografia de perfil e o idioma
• • Início de sessão no Instagram Business (âmbito: instagram_business_basic) — são transmitidos o ID do Instagram, o nome de utilizador, o nome de exibição e a foto de perfil (não é transmitido o endereço de e-mail — este é solicitado separadamente durante o processo de integração)
• • LinkedIn (OpenID Connect, âmbitos: openid, profile, email) — são transmitidos o ID do LinkedIn, o endereço de e-mail, o nome próprio e o apelido, a fotografia de perfil e o idioma
• • Kit de início de sessão do TikTok (âmbitos: user.info.basic, user.info.profile) — são transmitidos o Open-ID do TikTok, o nome de utilizador, o nome de exibição e a imagem de perfil (o TikTok não fornece um endereço de e-mail — até que este seja introduzido durante o processo de integração, é utilizado internamente um endereço provisório)
• • X / Twitter (OAuth 2.0 com PKCE, âmbitos: users.read, users.email, tweet.read) — são transmitidos o X-ID, o nome de utilizador, o nome de exibição, a imagem de perfil e, caso tenha sido autorizado no X, o endereço de e-mail confirmado
• Estes scopes permitem apenas a leitura dos dados básicos do perfil para a criação da conta. Não são publicadas publicações, não são lidas mensagens e não é concedido acesso aos seus contactos.
• Se um endereço de e-mail já registado se inscrever novamente através de outro fornecedor, identificamos a conta existente com base no endereço de e-mail (independentemente das maiúsculas e minúsculas) e associamos posteriormente o novo ID do fornecedor (associação de contas), em vez de criar uma conta duplicada.
• Caso esta opção esteja ativada nas suas definições de segurança, enviamos, sempre que efetuar o início de sessão (incluindo através do início de sessão através de redes sociais), uma notificação por e-mail com a hora, o dispositivo, o navegador e a localização aproximada. A localização é determinada com base no seu endereço IP através do prestador de serviços externo ipinfo.io (ver secção 10a.1).
• Eliminação da conta Meta: Para o registo através da Meta (Facebook/Instagram), disponibilizamos os pontos de contacto (callback endpoints) exigidos pela Meta para a revogação da autorização e a eliminação de dados. Se remover a aplicação nas definições da sua conta do Facebook ou solicitar a eliminação de dados nessas definições, receberemos automaticamente o pedido correspondente e disponibilizaremos o estado do processamento numa URL de estado indicada pela Meta.

5.2 Perfis de marca e dados de marca

• Ao criar um perfil de marca, guardamos:
• - Nome da marca e descrição
• - URL do sítio Web (para o analisador de marcas)
• - Carregamento de documentos e diretrizes da marca
• - Analisámos os dados da marca (cores, tipos de letra, tom de voz)
• - Logótipo e activos visuais
• - Definições do grupo-alvo
• - Setor e categoria
• Objetivo: Criação de conteúdos compatíveis com o mercado, gestão da identidade da marca

5.3 Dados de conteúdo (publicações, meios de comunicação, campanhas)

• Ao utilizar a funcionalidade de criação de conteúdos, guardamos:
• • Publicações nas redes sociais criadas e programadas (texto, legendas, hashtags)
• • Imagens, vídeos e gráficos carregados e gerados
• • Dados das campanhas e modelos
• • Validação de ideias (dados de swipe no Idea Generator)
• • Documentos de investigação
• • Estado do conteúdo (Rascunho, Em revisão, Agendado, Publicado)
• • Datas e plataformas de publicação
• • Dados de classificação e origem dos conteúdos multimédia gerados (classe de conteúdo, estado da classificação, estado dos metadados), bem como a sua confirmação da revisão editorial dos textos gerados
• Objetivo: gestão de conteúdos, planeamento, automatização, arquivo e comprovação do cumprimento das obrigações de transparência em matéria de IA
• Na medida em que tal seja tecnicamente viável, os ficheiros multimédia gerados contêm informações de identificação, metadados ou indicadores técnicos semelhantes que indicam que se trata de conteúdos gerados por IA ou apoiados por IA (ver secção 8.2).

5.4 Dados e análises de utilização

• Armazenamos dados para melhorar a plataforma:
• - Tempos de início de sessão e duração da sessão
• - Caraterísticas e funções utilizadas
• - Consumo de tokens e dados de faturação
• - Relatórios de erros e dados de desempenho
• - Feedback e pedidos de apoio
• Objetivo: Melhoria da plataforma, análise de erros, apoio, faturação

5.5 Ligações a plataformas de redes sociais (publicação)

• Quando liga contas nas redes sociais para publicar (Instagram, Facebook, Threads, WhatsApp Business, LinkedIn, X, YouTube, TikTok, Wix, WordPress, site próprio), cada plataforma solicita, através do OAuth, apenas as autorizações (scopes) necessárias para o efeito. Estas ligações são independentes do início de sessão através das redes sociais para aceder à conta (ver secção 5.1a). Nesse contexto, guardamos:
• • Tokens de acesso e de atualização OAuth por plataforma, armazenados na base de dados com encriptação AES-256-GCM (ver secção 10)
• • IDs de conta, página e canal da plataforma, bem como nome de exibição, foto de perfil ou logótipo
• • No LinkedIn, além disso: páginas empresariais geridas por si (ID, nome, logótipo) para a seleção do destino de publicação
• • No Facebook/Instagram/WhatsApp: ligações detetadas automaticamente entre a página do Facebook, a conta empresarial do Instagram e a conta empresarial do WhatsApp («transferência» das contas associadas ao estabelecer a ligação)
• • Data de validade do token de acesso para renovação automática (por exemplo, no X e no Wix)
• • No caso do WordPress, num site próprio: os dados de acesso por si introduzidos (palavra-passe da aplicação ou URL do ponto de extremidade e chave secreta) em vez do token OAuth
• Estes dados são utilizados exclusivamente para publicar publicações nas contas associadas em seu nome e para apresentar as estatísticas correspondentes (Analytics) no PostMaestro.ai. O acesso a mensagens privadas ou contactos ocorre exclusivamente no âmbito da função de gestor de comunidade que ativou (Facebook Messenger, Instagram Direct, WhatsApp).
• Pode desligar qualquer ligação a qualquer momento nas definições. Recomendamos ainda que revogue a autorização da aplicação diretamente na respetiva plataforma (por exemplo, nas definições da conta Meta).

5.6 Dados da equipa e da conta da empresa

• Para contas de empresas com vários utilizadores, também armazenamos dados:
• - Membros da equipa e respectivas funções
• - Autorizações e controlo de acesso
• - Fluxos de trabalho de aprovação e comentários
• - Registos de atividade (registo de auditoria)
• Objetivo: Colaboração entre equipas, controlo de acesso, conformidade

5.7 Notificações push (aplicação móvel)

• Se utilizar a nossa aplicação móvel e ativar as notificações push, tratamos:
• • Token do dispositivo (Device Token) para o envio das notificações
• • Preferências de notificações
• Para o envio das notificações push, utilizamos o Firebase Cloud Messaging (Google).
• Pode desativar as notificações push a qualquer momento nas definições do seu dispositivo.

5.8 Notícias, investigação e feeds RSS

• A plataforma oferece uma função de notícias que utiliza a investigação apoiada por IA (através da Perplexity AI) como padrão para fornecer notícias relevantes do sector. Também pode adicionar os seus próprios feeds RSS. Ao fazê-lo, processamos:
• - Consultas de pesquisa e preferências temáticas para pesquisas de notícias apoiadas por IA
• - Os URLs dos feeds RSS que adicionou
• - As suas preferências e categorizações para estes feeds
• - Ler ou guardar artigos
• A plataforma obtém o conteúdo dos feeds de terceiros através dos nossos servidores, pelo que o seu endereço IP não é transmitido aos operadores dos feeds RSS. Ao utilizar a pesquisa de notícias apoiada por IA, as suas consultas de pesquisa são transmitidas à Perplexity AI (ver secção 7.3).
• Objetivo: Fornecer notícias personalizadas sobre o sector, investigação e inspiração de conteúdos

6.1 Procedimento de duplo opt-in

Depois de se registar para receber a newsletter, receberá uma mensagem eletrónica de confirmação.

Só será adicionado à lista de distribuição da newsletter depois de clicar na ligação de confirmação.

Isto serve para proteger contra a utilização indevida do seu endereço de correio eletrónico.

6.2 SendGrid (envio de correio eletrónico)

Utilizamos o SendGrid (Twilio Inc., EUA) para enviar boletins informativos.

A SendGrid processa o seu endereço de correio eletrónico em nosso nome para enviar a newsletter.

Celebrámos um acordo de processamento de encomendas (AVV) com a SendGrid, de acordo com o Art. 28 do RGPD.

O SendGrid tem certificação EU-US Data Privacy Framework.

Mais informações: https://www.twilio.com/legal/privacy

Política de privacidade da Twilio (SendGrid)

6.3 Acompanhamento do boletim informativo

Atual: Sem controlo das taxas de abertura ou de cliques

Planeado: Estatísticas do boletim informativo (taxa de abertura, rastreio de cliques)

O utilizador será informado antes da ativação do rastreio e poderá dar ou recusar o seu consentimento.

6.4 Anulação

Pode cancelar a subscrição da newsletter em qualquer altura:

- Através da ligação de anulação da subscrição em todas as mensagens de correio eletrónico da newsletter

- Por correio eletrónico para newsletter@nexaluna.ai

- Nas definições da sua conta (se disponível)

Após o cancelamento, os seus dados serão eliminados da lista de distribuição da newsletter.

8.1 Divulgação da interação com um sistema de IA

• No PostMaestro.ai, interage diretamente com sistemas de IA. Todas as funcionalidades que criam, avaliam, resumem, traduzem ou reformulam conteúdos são suportadas por IA e estão identificadas como tal na interface do utilizador.
• A indicação é apresentada antes da primeira interação, de forma clara, compreensível e claramente distinguível dos restantes elementos de comando (art. 50.º, n.º 1, da Lei da UE sobre a Inteligência Artificial).
• Disponibilizamos estas orientações de forma acessível e alinhamo-las com os requisitos de acessibilidade reconhecidos (art. 50.º, n.º 5, da Lei da UE sobre a Inteligência Artificial).
• As respostas e sugestões da IA podem estar incompletas, desatualizadas ou factualmente incorretas. Não constituem aconselhamento jurídico, fiscal, médico ou financeiro.

8.2 Marcação legível por máquina de conteúdos gerados

• Nos termos do artigo 50.º, n.º 2, da Lei da UE sobre IA, os conteúdos gerados por sistemas de IA que produzam imagens, áudio, vídeo ou texto sintéticos devem ser identificados, num formato legível por máquina, como tendo sido gerados ou manipulados artificialmente. A identificação deve ser eficaz, interoperável, robusta e fiável.
• Implementamos este requisito através de vários procedimentos complementares, uma vez que, de acordo com o estado da técnica, nenhum procedimento isolado atinge, por si só, a robustez exigida:
• • Metadados de origem no ficheiro: Durante a exportação, inserimos metadados XMP e IPTC nos ficheiros multimédia gerados, nomeadamente no campo IPTC «Digital Source Type» com o valor «trainedAlgorithmicMedia», bem como informações sobre o sistema de IA utilizado, a versão do modelo e a data de criação.
• • Credenciais de Conteúdo (C2PA): Para os ficheiros de imagem e vídeo gerados, incorporamos na cadeia de produção uma indicação de origem assinada criptograficamente, de acordo com a norma C2PA.
• • Marcas de água do fornecedor: na medida em que o respetivo fornecedor de modelos inclua marcas de água invisíveis, estas serão mantidas e não serão removidas. No caso dos modelos de imagem do Google Gemini, trata-se do método de marca de água SynthID.
• • Validação: Após a gravação, lemos novamente a marcação e registamos um estado para cada ficheiro (pendente, válido, em falta, removido). Se a incorporação falhar, impomos uma marcação visível para as classes de conteúdo sensíveis.
• A marcação é definida no servidor antes de um ficheiro ser armazenado ou entregue, para que resista à renderização, ao upload e ao download. Do ponto de vista técnico, não se pode excluir a possibilidade de terceiros ou plataformas de destino removerem metadados durante um novo carregamento, compressão ou recorte. Nesse caso, a marcação visível continua a ser a sua garantia (ver 8.3).
• Estado de transposição e prazo: As obrigações de transparência previstas no artigo 50.º da Lei da UE sobre IA são aplicáveis desde 2 de agosto de 2026. Para os sistemas de IA que, tal como o PostMaestro.ai, já se encontravam no mercado antes dessa data, aplica-se o período de transição até 2 de dezembro de 2026. Iremos implementar na íntegra os procedimentos acima descritos dentro deste prazo e documentar internamente o estado de implementação.
• Uma simples referência nesta declaração de proteção de dados não é suficiente para cumprir o artigo 50.º, n.º 2, da Lei da IA da UE. O que é determinante é a marcação legível por máquina no próprio ficheiro.

8.3 As suas obrigações enquanto operador no que diz respeito aos deepfakes

• Se publicar conteúdos criados com o PostMaestro.ai, é considerado «operador» na aceção da Lei da IA da UE. A obrigação de divulgação prevista no artigo 50.º, n.º 4, da Lei da IA da UE recai, neste caso, sobre si e não sobre nós.
• Se criar ou editar conteúdos de imagem, áudio ou vídeo que sejam de uma semelhança enganosa com pessoas, objetos, locais, instituições ou acontecimentos reais («deepfakes»), deve indicar, aquando da publicação, que o conteúdo foi criado ou manipulado artificialmente.
• De acordo com as orientações da Comissão Europeia, esta obrigação aplica-se independentemente da existência de intenção de induzir em erro e mesmo quando não é representada nenhuma pessoa real concreta. Por conseguinte, aplica-se regularmente às publicações nas redes sociais.
• Para ajudar, disponibilizamos: uma identificação visível como predefinição para classes de conteúdo sensíveis, uma sugestão de texto informativo durante a exportação e uma nota no processo de publicação.
• A predefinição é sempre «marcada». A desativação tem de ser documentada: registamos a hora, a conta de utilizador, o espaço de trabalho e a versão do texto de confirmação. No caso de representações fotorrealistas de pessoas e vozes sintéticas, a desativação não é possível.
• Não pode remover, desativar, contornar ou prejudicar o funcionamento dos mecanismos de identificação e divulgação que disponibilizamos (ver Termos e Condições, secção 6.4).
• Esta obrigação aplica-se para além das normas de identificação da respetiva plataforma de redes sociais. Cabe-lhe a si verificar se, em cada caso específico, existe uma obrigação de divulgação.

8.4 Textos gerados por IA e responsabilidade editorial

• No que diz respeito aos textos, o artigo 50.º da Lei da IA da UE tem um âmbito de aplicação significativamente mais restrito do que no caso de imagens, áudio e vídeo. Só existe uma obrigação de divulgação se estiverem reunidas as três condições seguintes:
• 1. O texto foi gerado ou manipulado por IA.
• 2. O texto será publicado.
• 3. A publicação tem como objetivo informar o público sobre assuntos de interesse público – tais como notícias, declarações políticas ou sociais e contribuições para debates públicos.
• A obrigação de identificação não se aplica se o conteúdo tiver sido submetido a uma verificação humana ou a um controlo editorial e se uma pessoa singular ou coletiva assumir a responsabilidade editorial pela publicação.
• Não existe uma obrigação geral de identificação para todos os textos gerados por IA. Quem utiliza a IA como ferramenta de apoio, revê os textos do ponto de vista editorial e assume a responsabilidade pelos mesmos, não está, em regra, sujeito a qualquer obrigação adicional de identificação.
• O PostMaestro.ai foi concebido precisamente para isso: os textos gerados são sugestões. Antes de agendar ou publicar, solicitamos uma confirmação expressa de que verificou o texto e que assume a responsabilidade editorial. Registamos essa confirmação com a data e hora, a conta de utilizador e a versão do texto, para que a exceção permaneça comprovável.
• A nota na aplicação diz: «Este texto é uma sugestão. Por favor, verifique-o antes da publicação. Ao verificá-lo, assume a responsabilidade editorial.»
• Sem essa verificação, não pode publicar textos gerados como conteúdos sob responsabilidade editorial; a obrigação de divulgação prevista no artigo 50.º, n.º 4, da Lei da IA da UE pode, nesse caso, ser aplicável.

8.5 Ausência de deteção de emoções e de categorização biométrica

• A PostMaestro.ai não utiliza sistemas de deteção de emoções nem deduz emoções, estados emocionais ou intenções a partir de dados biométricos.
• Não realizamos qualquer categorização biométrica, reconhecimento facial, identificação biométrica nem identificação de características protegidas, tais como origem étnica, orientação política, religião, filiação sindical, estado de saúde ou orientação sexual.
• As funções de avaliação, como a «Idea Validation», o «Brand Analyser» ou as análises de desempenho, referem-se exclusivamente a conteúdos, dados relativos a marcas e ao alcance – e não a pessoas nem a características biométricas.
• As obrigações de informação previstas no artigo 50.º, n.º 3, da Lei da UE sobre Inteligência Artificial (EU AI Act) relativas aos sistemas de deteção de emoções e de categorização biométrica não se aplicam, portanto, no nosso caso.

8.6 Utilização proibida: imagens de caráter íntimo sem consentimento e imagens de abuso infantil

• O artigo 5.º da Lei da UE sobre a IA proíbe os sistemas de IA cujo resultado razoavelmente previsível seja a representação de imagens íntimas não consentidas (NCII) ou de abuso sexual de menores (CSAM). Na qualidade de fornecedor de uma ferramenta geral de geração de imagens e vídeos, avaliamos este risco de abuso já na fase de conceção e prevemos medidas de proteção técnicas.
• Medidas de proteção implementadas:
• • Filtros de entrada que bloqueiam prompts relevantes antes mesmo de os modelos de imagem e vídeo serem chamados
• • Filtros de saída, bem como as definições de segurança dos fornecedores de modelos utilizados
• • Bloqueio de conteúdos dirigidos a menores num contexto sexual ou que apresentem imagens íntimas de pessoas identificáveis
• • Bloqueio das funcionalidades «Persona» e «Voice» sem o consentimento documentado da pessoa em causa (ver secção 5.9)
• • Registo das solicitações bloqueadas para deteção de abusos, bem como a possibilidade de bloquear as contas afetadas
• Qualquer utilização da plataforma para estes fins é estritamente proibida e implica o bloqueio imediato da conta, bem como, caso haja indícios de infrações penais, a intervenção das autoridades competentes.
• Denunciar abuso: tanto o utilizador como terceiros podem denunciar infrações a qualquer momento através do endereço info@nexaluna.ai, indicando no assunto «Denunciar abuso de IA». Analisamos as denúncias recebidas com prioridade e confirmamos a sua receção.
• Documentamos internamente a nossa avaliação de riscos realizada na fase de conceção, os filtros utilizados e o tratamento das notificações, e apresentamos esses documentos a pedido das autoridades competentes.

8.7 Repartição de funções: fornecedores e operadores

• O prestador de serviços, na aceção da Lei da IA da UE, é a Nexaluna AI Solutions UG (de responsabilidade limitada) relativamente ao sistema de IA PostMaestro.ai. Estamos sujeitos às obrigações do prestador de serviços, nomeadamente a marcação legível por máquina das publicações, nos termos do artigo 50.º, n.º 2, e a divulgação da interação com a IA, nos termos do artigo 50.º, n.º 1.
• É considerado operador assim que utilizar a plataforma sob a sua responsabilidade e publicar conteúdos criados. Deve cumprir as obrigações do operador, nomeadamente a divulgação prevista no artigo 50.º, n.º 4, no que diz respeito a deepfakes e a textos de interesse público.
• Os modelos de base utilizados são fornecidos por terceiros (ver secção 7). Os seus fornecedores são os fornecedores dos respetivos modelos de IA; nós somos os fornecedores do sistema de IA que se baseia nesses modelos.
• Mantemos internamente um registo de todos os modelos utilizados, com a respetiva atribuição de funções, e atualizamo-lo sempre que ocorrem alterações.
• No que diz respeito às competências em IA, nos termos do artigo 4.º da Lei da UE sobre a IA, ministramos formação aos nossos colaboradores sobre a utilização dos sistemas de IA implementados e documentamos essas formações.

8.8 Supervisão e reclamações

• Desde 29 de julho de 2026, a Agência Federal das Redes é a autoridade responsável pela fiscalização do mercado, o ponto de contacto central e o serviço de reclamações para a Lei da IA da UE na Alemanha.
• Agência Federal de Redes, Tulpenfeld 4, 53113 Bona, https://www.bundesnetzagentur.de
• Pode apresentar reclamações relativas à transparência da IA a qualquer momento através desse canal. Pedimos-lhe que nos contacte previamente através do endereço info@nexaluna.ai, para que possamos esclarecer imediatamente a sua questão.