Política de privacidade

5.1 Dados de registo e de conta

• No momento do registo, recolhemos:
• • Endereço de e-mail (campo obrigatório)
• • Nome de utilizador (campo obrigatório)
• • Palavra-passe (encriptada com bcrypt, com pelo menos 8 caracteres)
• • Tipo de conta (Pessoal ou Empresarial)
• • Data de registo
• • Autenticação de dois fatores (2FA) — opcional, mas recomendada
• Finalidade: disponibilização e gestão da sua conta, autenticação, segurança
• Os dados da autenticação de duas etapas (2FA) são guardados apenas localmente no seu dispositivo (leitura do código QR). Nós guardamos apenas o estado de ativação.
• Nota: Em alternativa, também pode registar-se/iniciar sessão através do Google, Meta (Facebook), LinkedIn, TikTok ou X — consulte a secção 5.1a para saber quais os dados e autorizações solicitados em cada caso.
• Para nos protegermos contra registos automatizados (bots), utilizamos o Cloudflare Turnstile (ver secção 10a.2).

5.1a Registo e início de sessão através de serviços de terceiros (início de sessão através de redes sociais)

• Para além do registo clássico com e-mail e palavra-passe, pode registar-se ou iniciar sessão no PostMaestro.ai através dos seguintes serviços de terceiros. Estas ligações destinam-se exclusivamente à criação de contas e ao início de sessão e são independentes das ligações às redes sociais para a publicação de conteúdos (ver secção 5.5) — em cada caso, são solicitadas autorizações OAuth (escopos) específicas, com um âmbito de acesso significativamente mais restrito:
• • Google (Scopes: openid, profile, email) — são transmitidos o ID do Google, o endereço de e-mail, o nome próprio e o apelido, a fotografia de perfil e o idioma
• • Início de sessão no Meta / Facebook (âmbitos: public_profile, email) — são transmitidos o ID do Facebook, o endereço de e-mail, o nome próprio e o apelido, a fotografia de perfil e o idioma
• • Início de sessão no Instagram Business (âmbito: instagram_business_basic) — são transmitidos o ID do Instagram, o nome de utilizador, o nome de exibição e a foto de perfil (não é transmitido o endereço de e-mail — este é solicitado separadamente durante o processo de integração)
• • LinkedIn (OpenID Connect, âmbitos: openid, profile, email) — são transmitidos o ID do LinkedIn, o endereço de e-mail, o nome próprio e o apelido, a fotografia de perfil e o idioma
• • Kit de início de sessão do TikTok (âmbitos: user.info.basic, user.info.profile) — são transmitidos o Open-ID do TikTok, o nome de utilizador, o nome de exibição e a imagem de perfil (o TikTok não fornece um endereço de e-mail — até que este seja introduzido durante o processo de integração, é utilizado internamente um endereço provisório)
• • X / Twitter (OAuth 2.0 com PKCE, âmbitos: users.read, users.email, tweet.read) — são transmitidos o X-ID, o nome de utilizador, o nome de exibição, a imagem de perfil e, caso tenha sido autorizado no X, o endereço de e-mail confirmado
• Estes scopes permitem apenas a leitura dos dados básicos do perfil para a criação da conta. Não são publicadas publicações, não são lidas mensagens e não é concedido acesso aos seus contactos.
• Se um endereço de e-mail já registado se inscrever novamente através de outro fornecedor, identificamos a conta existente com base no endereço de e-mail (independentemente das maiúsculas e minúsculas) e associamos posteriormente o novo ID do fornecedor (associação de contas), em vez de criar uma conta duplicada.
• Caso esta opção esteja ativada nas suas definições de segurança, enviamos, sempre que efetuar o início de sessão (incluindo através do início de sessão através de redes sociais), uma notificação por e-mail com a hora, o dispositivo, o navegador e a localização aproximada. A localização é determinada com base no seu endereço IP através do prestador de serviços externo ipinfo.io (ver secção 10a.1).
• Eliminação da conta Meta: Para o registo através da Meta (Facebook/Instagram), disponibilizamos os pontos de contacto (callback endpoints) exigidos pela Meta para a revogação da autorização e a eliminação de dados. Se remover a aplicação nas definições da sua conta do Facebook ou solicitar a eliminação de dados nessas definições, receberemos automaticamente o pedido correspondente e disponibilizaremos o estado do processamento numa URL de estado indicada pela Meta.

5.2 Perfis de marca e dados de marca

• Ao criar um perfil de marca, guardamos:
• - Nome da marca e descrição
• - URL do sítio Web (para o analisador de marcas)
• - Carregamento de documentos e diretrizes da marca
• - Analisámos os dados da marca (cores, tipos de letra, tom de voz)
• - Logótipo e activos visuais
• - Definições do grupo-alvo
• - Setor e categoria
• Objetivo: Criação de conteúdos compatíveis com o mercado, gestão da identidade da marca

5.3 Dados de conteúdo (publicações, meios de comunicação, campanhas)

• Ao utilizar a funcionalidade de criação de conteúdos, guardamos:
• • Publicações nas redes sociais criadas e programadas (texto, legendas, hashtags)
• • Imagens, vídeos e gráficos carregados e gerados
• • Dados das campanhas e modelos
• • Validação de ideias (dados de swipe no Idea Generator)
• • Documentos de investigação
• • Estado do conteúdo (Rascunho, Em revisão, Agendado, Publicado)
• • Datas e plataformas de publicação
• • Dados de classificação e origem dos conteúdos multimédia gerados (classe de conteúdo, estado da classificação, estado dos metadados), bem como a sua confirmação da revisão editorial dos textos gerados
• Objetivo: gestão de conteúdos, planeamento, automatização, arquivo e comprovação do cumprimento das obrigações de transparência em matéria de IA
• Na medida em que tal seja tecnicamente viável, os ficheiros multimédia gerados contêm informações de identificação, metadados ou indicadores técnicos semelhantes que indicam que se trata de conteúdos gerados por IA ou apoiados por IA (ver secção 8.2).

5.4 Dados e análises de utilização

• Armazenamos dados para melhorar a plataforma:
• - Tempos de início de sessão e duração da sessão
• - Caraterísticas e funções utilizadas
• - Consumo de tokens e dados de faturação
• - Relatórios de erros e dados de desempenho
• - Feedback e pedidos de apoio
• Objetivo: Melhoria da plataforma, análise de erros, apoio, faturação

5.5 Ligações a plataformas de redes sociais (publicação)

• Ao ligar contas nas redes sociais para publicação (LinkedIn, Instagram, Facebook, Threads, WhatsApp Business, X, YouTube, TikTok, Wix, WordPress, site próprio), cada plataforma solicita, através do OAuth, apenas as autorizações (escopos) necessárias para o efeito. Estas ligações são independentes do início de sessão através das redes sociais para aceder à conta (ver secção 5.1a).
• Os tokens de acesso e de atualização OAuth são armazenados na base de dados, encriptados com AES-256-GCM, consoante a plataforma (ver secção 10). Os tokens caducados e não renováveis são automaticamente invalidados.
• As secções seguintes descrevem, para cada plataforma, quais os dados que são tratados, para que são utilizados e quando são eliminados. Os dados das plataformas são utilizados exclusivamente para a gestão da presença online do respetivo cliente.
• Pode desligar qualquer ligação a qualquer momento nas definições. Recomendamos ainda que revogue a autorização da aplicação diretamente na respetiva plataforma (por exemplo, nas definições da conta do LinkedIn ou da Meta).

5.6 Dados da equipa e da conta da empresa

• Para contas de empresas com vários utilizadores, também armazenamos dados:
• - Membros da equipa e respectivas funções
• - Autorizações e controlo de acesso
• - Fluxos de trabalho de aprovação e comentários
• - Registos de atividade (registo de auditoria)
• Objetivo: Colaboração entre equipas, controlo de acesso, conformidade

5.7 Notificações (na aplicação, notificações push e e-mail)

• O PostMaestro.ai informa-o sobre eventos na sua conta, por exemplo, comentários e menções, gerações concluídas, publicações, convites para a equipa, faturação, segurança e manutenção. Para tal, tratamos:
• • Notificações na sua caixa de entrada (símbolo do sino), incluindo o estado de leitura e de ocultação
• • As suas definições de notificações por canal, categoria, área e grupo de equipa
• • Para notificações push (aplicação móvel e navegador): token do dispositivo, um ID aleatório do dispositivo, nome do dispositivo, plataforma, versão da aplicação e a data e hora da última utilização
• • Se a aplicação está aberta num dispositivo neste momento (sinal de visibilidade, válido por 90 segundos), para que não receba nenhuma notificação push adicional no dispositivo que está a utilizar neste momento
• Enviamos notificações push através do Firebase Cloud Messaging (Google) e notificações por e-mail através do SendGrid (ver secção 6.3).
• Pode ativar ou desativar as notificações opcionais em Definições → Notificações, separadamente para cada canal; as notificações push podem ser configuradas adicionalmente nas definições do seu dispositivo ou navegador.
• As notificações necessárias para a utilização da sua conta (por exemplo, problemas de pagamento, obrigatoriedade da autenticação de dois fatores, manutenção, alterações aos Termos e Condições) são enviadas por e-mail e através da aplicação, independentemente destas definições. As notificações de início de sessão estão excluídas desta regra e são opcionais (ver secção 12.1). Em casos excecionais — por exemplo, em caso de trabalhos de manutenção ou avisos relacionados com a segurança —, podemos também apresentar avisos independentemente das suas definições de categoria na aplicação e através de notificações push; esses avisos são assinalados como «Importantes».
• Só receberá e-mails promocionais (por exemplo, sobre novas funcionalidades) se tiver subscrito a newsletter (secção 6).

5.8 Notícias, investigação e feeds RSS

• A plataforma oferece uma função de notícias que utiliza a investigação apoiada por IA (através da Perplexity AI) como padrão para fornecer notícias relevantes do sector. Também pode adicionar os seus próprios feeds RSS. Ao fazê-lo, processamos:
• - Consultas de pesquisa e preferências temáticas para pesquisas de notícias apoiadas por IA
• - Os URLs dos feeds RSS que adicionou
• - As suas preferências e categorizações para estes feeds
• - Ler ou guardar artigos
• A plataforma obtém o conteúdo dos feeds de terceiros através dos nossos servidores, pelo que o seu endereço IP não é transmitido aos operadores dos feeds RSS. Ao utilizar a pesquisa de notícias apoiada por IA, as suas consultas de pesquisa são transmitidas à Perplexity AI (ver secção 7.3).
• Objetivo: Fornecer notícias personalizadas sobre o sector, investigação e inspiração de conteúdos

6.1 Procedimento de dupla confirmação

Após a inscrição através do site, receberá um e-mail com um link de confirmação. Só depois de clicar nesse link é que o incluiremos na lista de distribuição. As inscrições não confirmadas são eliminadas após 30 dias; não enviamos qualquer lembrete.

Ao registar-se na aplicação, confirma a subscrição clicando na ligação incluída no e-mail de confirmação da sua conta, no qual indicamos isso separadamente.

Isto evita que sejam utilizadas endereços de e-mail de terceiros para a inscrição.

6.2 Comprovação do seu consentimento

Para poder comprovar que deu o seu consentimento (art. 7.º, n.º 1, do RGPD), registamos a inscrição, a confirmação e a cancelamento do registo, indicando a hora, a origem, o endereço IP, o identificador do navegador e a versão do texto de consentimento apresentado.

Conservamos este registo durante 3 anos após a sua cancelamento da subscrição e, posteriormente, eliminamo-lo automaticamente.

6.3 SendGrid (envio de e-mails)

Para o envio da newsletter, bem como de e-mails de serviço e notificações, utilizamos o SendGrid (Twilio Inc., EUA).

A SendGrid processa o seu endereço de e-mail e o conteúdo do e-mail em nosso nome e comunica-nos eventos técnicos de entrega (entregue, não entregável, marcado como spam, cancelamento de subscrição). Utilizamos estes eventos para manter a lista de distribuição atualizada: endereços não entregáveis e denúncias de spam resultam no bloqueio do endereço.

Celebrámos com a SendGrid um contrato de subcontratação (AVV) nos termos do artigo 28.º do RGPD. A SendGrid está certificada ao abrigo do Quadro de Proteção de Dados UE-EUA.

Mais informações: https://www.twilio.com/legal/privacy

Política de Privacidade da Twilio (SendGrid)

6.4 Acompanhamento da newsletter

De momento, não medimos nem as aberturas nem os cliques.

Antes de introduzirmos essas estatísticas, informá-lo-emos antecipadamente e, caso seja necessário, solicitaremos o seu consentimento.

6.5 Cancelamento da subscrição

Pode cancelar a subscrição da newsletter a qualquer momento:

• através do link de cancelamento de subscrição presente em cada e-mail ou da função de cancelamento de subscrição do seu programa de e-mail

• através do formulário na parte inferior desta secção: introduza o seu endereço de e-mail e enviar-lhe-emos um link para confirmar a cancelamento da subscrição

• na sua conta PostMaestro, em Definições → Notificações

• por e-mail para support@postmaestro.ai

Após a cancelamento da subscrição, deixará de receber newsletters. O seu endereço deixará então de constar da lista de distribuição; apenas será conservado o registo previsto na secção 6.2.

8.1 Divulgação da interação com um sistema de IA

• No PostMaestro.ai, interage diretamente com sistemas de IA. Todas as funcionalidades que criam, avaliam, resumem, traduzem ou reformulam conteúdos são suportadas por IA e estão identificadas como tal na interface do utilizador.
• A indicação é apresentada antes da primeira interação, de forma clara, compreensível e claramente distinguível dos restantes elementos de comando (art. 50.º, n.º 1, da Lei da UE sobre a Inteligência Artificial).
• Disponibilizamos estas orientações de forma acessível e alinhamo-las com os requisitos de acessibilidade reconhecidos (art. 50.º, n.º 5, da Lei da UE sobre a Inteligência Artificial).
• As respostas e sugestões da IA podem estar incompletas, desatualizadas ou factualmente incorretas. Não constituem aconselhamento jurídico, fiscal, médico ou financeiro.

8.2 Marcação legível por máquina de conteúdos gerados

• Nos termos do artigo 50.º, n.º 2, da Lei da UE sobre IA, os conteúdos gerados por sistemas de IA que produzam imagens, áudio, vídeo ou texto sintéticos devem ser identificados, num formato legível por máquina, como tendo sido gerados ou manipulados artificialmente. A identificação deve ser eficaz, interoperável, robusta e fiável.
• Implementamos este requisito através de vários procedimentos complementares, uma vez que, de acordo com o estado da técnica, nenhum procedimento isolado atinge, por si só, a robustez exigida:
• • Metadados de origem no ficheiro: Durante a exportação, inserimos metadados XMP e IPTC nos ficheiros multimédia gerados, nomeadamente no campo IPTC «Digital Source Type» com o valor «trainedAlgorithmicMedia», bem como informações sobre o sistema de IA utilizado, a versão do modelo e a data de criação.
• • Credenciais de Conteúdo (C2PA): Para os ficheiros de imagem e vídeo gerados, incorporamos na cadeia de produção uma indicação de origem assinada criptograficamente, de acordo com a norma C2PA.
• • Marcas de água do fornecedor: na medida em que o respetivo fornecedor de modelos inclua marcas de água invisíveis, estas serão mantidas e não serão removidas. No caso dos modelos de imagem do Google Gemini, trata-se do método de marca de água SynthID.
• • Validação: Após a gravação, lemos novamente a marcação e registamos um estado para cada ficheiro (pendente, válido, em falta, removido). Se a incorporação falhar, impomos uma marcação visível para as classes de conteúdo sensíveis.
• A marcação é definida no servidor antes de um ficheiro ser armazenado ou entregue, para que resista à renderização, ao upload e ao download. Do ponto de vista técnico, não se pode excluir a possibilidade de terceiros ou plataformas de destino removerem metadados durante um novo carregamento, compressão ou recorte. Nesse caso, a marcação visível continua a ser a sua garantia (ver 8.3).
• Estado de transposição e prazo: As obrigações de transparência previstas no artigo 50.º da Lei da UE sobre IA são aplicáveis desde 2 de agosto de 2026. Para os sistemas de IA que, tal como o PostMaestro.ai, já se encontravam no mercado antes dessa data, aplica-se o período de transição até 2 de dezembro de 2026. Iremos implementar na íntegra os procedimentos acima descritos dentro deste prazo e documentar internamente o estado de implementação.
• Uma simples referência nesta declaração de proteção de dados não é suficiente para cumprir o artigo 50.º, n.º 2, da Lei da IA da UE. O que é determinante é a marcação legível por máquina no próprio ficheiro.

8.3 As suas obrigações enquanto operador no que diz respeito aos deepfakes

• Se publicar conteúdos criados com o PostMaestro.ai, é considerado «operador» na aceção da Lei da IA da UE. A obrigação de divulgação prevista no artigo 50.º, n.º 4, da Lei da IA da UE recai, neste caso, sobre si e não sobre nós.
• Se criar ou editar conteúdos de imagem, áudio ou vídeo que sejam de uma semelhança enganosa com pessoas, objetos, locais, instituições ou acontecimentos reais («deepfakes»), deve indicar, aquando da publicação, que o conteúdo foi criado ou manipulado artificialmente.
• De acordo com as orientações da Comissão Europeia, esta obrigação aplica-se independentemente da existência de intenção de induzir em erro e mesmo quando não é representada nenhuma pessoa real concreta. Por conseguinte, aplica-se regularmente às publicações nas redes sociais.
• Para ajudar, disponibilizamos: uma identificação visível como predefinição para classes de conteúdo sensíveis, uma sugestão de texto informativo durante a exportação e uma nota no processo de publicação.
• A predefinição é sempre «marcada». A desativação tem de ser documentada: registamos a hora, a conta de utilizador, o espaço de trabalho e a versão do texto de confirmação. No caso de representações fotorrealistas de pessoas e vozes sintéticas, a desativação não é possível.
• Não pode remover, desativar, contornar ou prejudicar o funcionamento dos mecanismos de identificação e divulgação que disponibilizamos (ver Termos e Condições, secção 6.4).
• Esta obrigação aplica-se para além das normas de identificação da respetiva plataforma de redes sociais. Cabe-lhe a si verificar se, em cada caso específico, existe uma obrigação de divulgação.

8.4 Textos gerados por IA e responsabilidade editorial

• No que diz respeito aos textos, o artigo 50.º da Lei da IA da UE tem um âmbito de aplicação significativamente mais restrito do que no caso de imagens, áudio e vídeo. Só existe uma obrigação de divulgação se estiverem reunidas as três condições seguintes:
• 1. O texto foi gerado ou manipulado por IA.
• 2. O texto será publicado.
• 3. A publicação tem como objetivo informar o público sobre assuntos de interesse público – tais como notícias, declarações políticas ou sociais e contribuições para debates públicos.
• A obrigação de identificação não se aplica se o conteúdo tiver sido submetido a uma verificação humana ou a um controlo editorial e se uma pessoa singular ou coletiva assumir a responsabilidade editorial pela publicação.
• Não existe uma obrigação geral de identificação para todos os textos gerados por IA. Quem utiliza a IA como ferramenta de apoio, revê os textos do ponto de vista editorial e assume a responsabilidade pelos mesmos, não está, em regra, sujeito a qualquer obrigação adicional de identificação.
• O PostMaestro.ai foi concebido precisamente para isso: os textos gerados são sugestões. Antes de agendar ou publicar, solicitamos uma confirmação expressa de que verificou o texto e que assume a responsabilidade editorial. Registamos essa confirmação com a data e hora, a conta de utilizador e a versão do texto, para que a exceção permaneça comprovável.
• A nota na aplicação diz: «Este texto é uma sugestão. Por favor, verifique-o antes da publicação. Ao verificá-lo, assume a responsabilidade editorial.»
• Sem essa verificação, não pode publicar textos gerados como conteúdos sob responsabilidade editorial; a obrigação de divulgação prevista no artigo 50.º, n.º 4, da Lei da IA da UE pode, nesse caso, ser aplicável.

8.5 Ausência de deteção de emoções e de categorização biométrica

• A PostMaestro.ai não utiliza sistemas de deteção de emoções nem deduz emoções, estados emocionais ou intenções a partir de dados biométricos.
• Não realizamos qualquer categorização biométrica, reconhecimento facial, identificação biométrica nem identificação de características protegidas, tais como origem étnica, orientação política, religião, filiação sindical, estado de saúde ou orientação sexual.
• As funções de avaliação, como a «Idea Validation», o «Brand Analyser» ou as análises de desempenho, referem-se exclusivamente a conteúdos, dados relativos a marcas e ao alcance – e não a pessoas nem a características biométricas.
• As obrigações de informação previstas no artigo 50.º, n.º 3, da Lei da UE sobre Inteligência Artificial (EU AI Act) relativas aos sistemas de deteção de emoções e de categorização biométrica não se aplicam, portanto, no nosso caso.

8.6 Utilização proibida: imagens de caráter íntimo sem consentimento e imagens de abuso infantil

• O artigo 5.º da Lei da UE sobre a IA proíbe os sistemas de IA cujo resultado razoavelmente previsível seja a representação de imagens íntimas não consentidas (NCII) ou de abuso sexual de menores (CSAM). Na qualidade de fornecedor de uma ferramenta geral de geração de imagens e vídeos, avaliamos este risco de abuso já na fase de conceção e prevemos medidas de proteção técnicas.
• Medidas de proteção implementadas:
• • Filtros de entrada que bloqueiam prompts relevantes antes mesmo de os modelos de imagem e vídeo serem chamados
• • Filtros de saída, bem como as definições de segurança dos fornecedores de modelos utilizados
• • Bloqueio de conteúdos dirigidos a menores num contexto sexual ou que apresentem imagens íntimas de pessoas identificáveis
• • Bloqueio das funcionalidades «Persona» e «Voice» sem o consentimento documentado da pessoa em causa (ver secção 5.9)
• • Registo das solicitações bloqueadas para deteção de abusos, bem como a possibilidade de bloquear as contas afetadas
• Qualquer utilização da plataforma para estes fins é estritamente proibida e implica o bloqueio imediato da conta, bem como, caso haja indícios de infrações penais, a intervenção das autoridades competentes.
• Denunciar abuso: tanto o utilizador como terceiros podem denunciar infrações a qualquer momento através do endereço info@nexaluna.ai, indicando no assunto «Denunciar abuso de IA». Analisamos as denúncias recebidas com prioridade e confirmamos a sua receção.
• Documentamos internamente a nossa avaliação de riscos realizada na fase de conceção, os filtros utilizados e o tratamento das notificações, e apresentamos esses documentos a pedido das autoridades competentes.

8.7 Repartição de funções: fornecedores e operadores

• O prestador de serviços, na aceção da Lei da IA da UE, é a Nexaluna AI Solutions UG (de responsabilidade limitada) relativamente ao sistema de IA PostMaestro.ai. Estamos sujeitos às obrigações do prestador de serviços, nomeadamente a marcação legível por máquina das publicações, nos termos do artigo 50.º, n.º 2, e a divulgação da interação com a IA, nos termos do artigo 50.º, n.º 1.
• É considerado operador assim que utilizar a plataforma sob a sua responsabilidade e publicar conteúdos criados. Deve cumprir as obrigações do operador, nomeadamente a divulgação prevista no artigo 50.º, n.º 4, no que diz respeito a deepfakes e a textos de interesse público.
• Os modelos de base utilizados são fornecidos por terceiros (ver secção 7). Os seus fornecedores são os fornecedores dos respetivos modelos de IA; nós somos os fornecedores do sistema de IA que se baseia nesses modelos.
• Mantemos internamente um registo de todos os modelos utilizados, com a respetiva atribuição de funções, e atualizamo-lo sempre que ocorrem alterações.
• No que diz respeito às competências em IA, nos termos do artigo 4.º da Lei da UE sobre a IA, ministramos formação aos nossos colaboradores sobre a utilização dos sistemas de IA implementados e documentamos essas formações.

8.8 Supervisão e reclamações

• Desde 29 de julho de 2026, a Agência Federal das Redes é a autoridade responsável pela fiscalização do mercado, o ponto de contacto central e o serviço de reclamações para a Lei da IA da UE na Alemanha.
• Agência Federal de Redes, Tulpenfeld 4, 53113 Bona, https://www.bundesnetzagentur.de
• Pode apresentar reclamações relativas à transparência da IA a qualquer momento através desse canal. Pedimos-lhe que nos contacte previamente através do endereço info@nexaluna.ai, para que possamos esclarecer imediatamente a sua questão.