Política de Privacidade

Esta Política de Privacidade explica como o PostAut ("PostAut", "nós") coleta, usa, armazena, compartilha e apaga dados pessoais quando você usa o site e o painel do PostAut, uma ferramenta para agendar e publicar o seu próprio conteúdo no Instagram, Facebook, TikTok, YouTube, LinkedIn, Pinterest e Telegram pelas APIs oficiais dessas plataformas.

Esta política segue a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD) e os requisitos das plataformas integradas, incluindo os Termos para Desenvolvedores do TikTok, a Política da Plataforma da Meta, os Termos de API do LinkedIn, os Termos para Desenvolvedores do Pinterest e os Termos da API de Bots do Telegram.

O PostAut usa os Serviços de API do YouTube. Ao conectar um canal do YouTube, você também concorda com os Termos de Serviço do YouTube, e os dados tratados pelo Google seguem a Política de Privacidade do Google.

1. Quem é o responsável (controlador)

O controlador dos dados é Kelvin Vitor Francisco, Catanduva - SP. Para qualquer assunto sobre privacidade ou para exercer seus direitos, escreva para telecanais10@gmail.com.

2. Dados que coletamos

a) Dados da sua conta no PostAut

• Nome, e-mail e senha (a senha é guardada só como hash criptográfico, nunca em texto).
• Data de criação da conta e do último acesso.
• Ao assinar um plano pago: nome, e-mail e CPF ou CNPJ, enviados ao nosso processador de pagamentos para emitir a cobrança. Não recebemos nem guardamos dados de cartão.

b) Dados do TikTok (quando você conecta uma conta TikTok)

O acesso acontece pelo Login Kit oficial do TikTok, e só depois de você autorizar explicitamente na tela do próprio TikTok. Pedimos apenas os escopos abaixo:

• user.info.basic e user.info.profile: identificador da conta no app (open_id), nome de exibição, nome de usuário e foto de perfil, usados para mostrar qual conta está conectada.
• video.upload e video.publish: enviar ao TikTok os vídeos que você escolheu publicar e consultar o status da publicação. Também consultamos as informações de criador da sua conta (como as opções de privacidade disponíveis), exigidas pelo TikTok antes de cada publicação.
• Token de acesso e token de renovação emitidos pelo TikTok, com a data de expiração.

Não coletamos sua senha do TikTok, lista de seguidores, mensagens privadas, dados de pagamento ou vídeos que você não enviou pelo PostAut.

c) Dados do YouTube (quando você conecta um canal)

O acesso acontece pelo login oficial do Google (OAuth), só depois de você autorizar na tela do próprio Google. Pedimos apenas estes escopos:

• youtube.upload: enviar ao seu canal os vídeos que você escolheu publicar, com o título, a descrição e a privacidade (público, não listado ou privado) que você escolheu.
• youtube.readonly: ler o ID, o nome e o @ do canal, para mostrar qual canal está conectado.
• Token de acesso e token de renovação emitidos pelo Google, com a data de expiração.

Não coletamos sua senha do Google, inscritos, comentários, mensagens, dados de monetização nem vídeos que você não enviou pelo PostAut. O uso dos dados recebidos das APIs do Google segue a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado.

d) Dados do Instagram e do Facebook (quando você conecta essas contas)

• ID, nome e usuário da conta profissional do Instagram e das Páginas do Facebook que você administra.
• Tokens de acesso emitidos pela Meta.
• Métricas dos posts publicados pelo PostAut (alcance, visualizações, curtidas, comentários), quando a API disponibiliza.
• Comentários e mensagens recebidos nos seus posts, apenas se você ativar a resposta automática (Direct).
• Lista dos seus posts já publicados (miniatura, legenda, link e data), apenas quando você abre a tela "Direct em posts antigos" para escolher em qual ligar a resposta automática.

e) Dados do LinkedIn (quando você conecta seu perfil)

• Pelo login oficial do LinkedIn, com os escopos openid, profile e w_member_social: identificador e nome do perfil, para mostrar qual conta está conectada, e permissão para publicar no seu perfil os posts que você agendar.
• Token de acesso emitido pelo LinkedIn, com a data de expiração (cerca de 60 dias).

f) Dados do Pinterest (quando você conecta sua conta)

• Pelo login oficial do Pinterest, com os escopos user_accounts:read, boards:read, boards:write, pins:read e pins:write: nome de usuário da conta, lista das suas pastas (boards) para você escolher onde os pins saem, criação de pasta quando você pede e criação dos pins que você agendar.
• Token de acesso e token de renovação emitidos pelo Pinterest, com a data de expiração.

g) Dados do Telegram (quando você conecta um canal ou grupo)

• O token do seu próprio bot, que você cria no @BotFather e cola no PostAut, guardado criptografado no servidor.
• ID, nome e @ do canal ou grupo onde o bot publica, e o @ do bot.
• Não lemos as mensagens do canal: o bot só procura o código de conexão que você manda uma vez, e depois só publica.

h) Conteúdo que você envia

• Vídeos, imagens, legendas, hashtags, datas e horários de agendamento e rascunhos.
• Registros (logs) de cada publicação: sucesso, erro e identificador retornado pela plataforma.

i) Indique e ganhe (programa de afiliados)

• Se você participar: nome do titular, CPF/CNPJ e chave Pix para receber as comissões (guardados com criptografia), o código do seu link, quantos cliques ele teve e o histórico de comissões e saques.
• Se você criou a conta pelo link de alguém: o registro de quem indicou e os valores das comissões geradas pelos seus pagamentos. Quem indicou vê só seu primeiro nome com a inicial do sobrenome, o plano e esses valores.
• Ao assinar, guardamos um código derivado do seu CPF/CNPJ (não o número em si), só para impedir que alguém indique a si mesmo.

j) Dados técnicos

• Um cookie de sessão estritamente necessário (postaut_session) para manter você logado e cookies temporários de segurança (tt_oauth_state, yt_oauth_state, li_oauth_state e pin_oauth_state, 10 minutos) durante a conexão com o TikTok, o YouTube, o LinkedIn e o Pinterest.
• Quando você abre um link de indicação, um cookie próprio do PostAut (pa_ref) guarda o código de quem indicou por até 90 dias, para registrar a indicação se você criar uma conta. Ele é apagado quando a conta é criada.
• No app para Android, um identificador do aparelho para enviar os avisos que você ligou (post publicado, falha, post que decolou).
• Registros do servidor (endereço IP, data e hora, rota acessada), para segurança e diagnóstico.

Não usamos cookies de publicidade, pixels de rastreamento nem ferramentas de analytics de terceiros.

3. Para que usamos os dados e base legal

• Prestar o serviço (autenticar sua conta, conectar redes, enviar e publicar vídeos na data e hora que você escolheu, mostrar status e histórico). Base legal: execução de contrato (art. 7º, V, LGPD).
• Segurança e prevenção de abuso (logs, sessão, proteção contra acesso indevido). Base legal: legítimo interesse (art. 7º, IX).
• Cumprir obrigações legais e atender pedidos de autoridades. Base legal: obrigação legal (art. 7º, II).
• Resposta automática a comentários no Instagram/Facebook, só quando você ativa. Base legal: execução de contrato.
• Legendas com inteligência artificial, só quando você clica em gerar: uma imagem tirada do vídeo e a orientação que você escreveu são enviadas ao provedor de IA para escrever a legenda. Base legal: execução de contrato.
• Cobrança dos planos pagos. Base legal: execução de contrato e obrigação legal (guarda de registros fiscais).
• Indique e ganhe (registrar indicações, calcular e pagar comissões, evitar fraude). Base legal: execução de contrato e legítimo interesse (prevenção de fraude).

Não vendemos dados, não usamos seus dados para publicidade, não criamos perfis de marketing e não usamos os dados obtidos das APIs do TikTok, do Google/YouTube, da Meta, do LinkedIn, do Pinterest ou do Telegram para nenhuma finalidade além de oferecer as funções que você pediu.

4. Com quem compartilhamos

• TikTok (TikTok Pte. Ltd. e afiliadas): recebe o vídeo, a legenda e as configurações de privacidade que você escolheu, no momento da publicação.
• Google/YouTube (Google LLC): recebe o vídeo, o título e a descrição dos posts destinados ao seu canal, no momento da publicação.
• Meta (Instagram e Facebook): recebe mídia e legenda dos posts destinados a essas redes e, se você ligar o Direct, a resposta e a mensagem enviadas a quem comentou.
• LinkedIn (LinkedIn Corporation), Pinterest (Pinterest, Inc.) e Telegram (Telegram FZ-LLC): recebem a mídia, a legenda e, quando houver, o link dos posts destinados a cada uma.
• xAI (provedor da IA de legendas): recebe uma imagem do vídeo e a sua orientação, só quando você pede uma legenda. Não enviamos seu nome, e-mail nem suas contas.
• Asaas (Asaas Gestão Financeira S.A.): processa as cobranças por Pix, boleto e cartão dos planos pagos e recebe nome, e-mail, CPF/CNPJ e o valor do plano.
• Cloudflare (Cloudflare, Inc.): armazena por até 1 dia os arquivos enquanto são enviados ao nosso servidor, para o envio ficar mais rápido.
• Google Firebase: entrega os avisos no app Android a quem instalou o app e ligou os avisos.
• Provedor de hospedagem (servidor VPS onde o PostAut roda), que atua como operador e só armazena os dados em nosso nome.
• Autoridades, apenas quando exigido por lei ou ordem judicial.

Não compartilhamos dados com anunciantes, corretores de dados ou quaisquer outros terceiros.

5. Transferência internacional

Ao publicar nas redes, gerar legendas com IA ou enviar arquivos, o conteúdo passa pelos servidores das empresas listadas acima, que podem ficar fora do Brasil. Essa transferência é necessária para executar o serviço que você pediu (art. 33, IX, LGPD) e segue as políticas de privacidade dessas plataformas.

6. Por quanto tempo guardamos

• Tokens das redes (TikTok, Google, Meta, LinkedIn, Pinterest) e do seu bot do Telegram: enquanto a conta estiver conectada. Apagados na hora em que você desconecta a conta ou exclui sua conta no PostAut.
• Dados de perfil do TikTok (open_id, nome, usuário) e do canal do YouTube (ID, nome, @): enquanto a conta estiver conectada. O nome e o @ do canal são relidos do YouTube a cada 24 horas e tudo é apagado na hora em que você desconecta o canal ou exclui sua conta.
• Arquivos de vídeo e imagem enviados: guardados no servidor até o post ser publicado (para o agendamento e o reenvio em caso de erro) e apagados depois. Arquivos que não entraram em nenhum post são apagados em alguns dias.
• Imagens enviadas à IA de legendas: não são guardadas pelo PostAut; pedimos ao provedor que não as armazene.
• Dados de cobrança: pelo prazo exigido pela legislação fiscal.
• Comissões, saques e dados do Pix do Indique e ganhe: enquanto você participar e, depois, pelo prazo exigido pela legislação fiscal.
• Posts agendados, rascunhos e histórico: enquanto sua conta do PostAut existir, ou até você apagá-los.
• Logs do servidor: pelo tempo necessário para segurança e diagnóstico, e no máximo 6 meses (prazo do Marco Civil da Internet).
• Conta do PostAut: até você pedir a exclusão. Depois da exclusão, apagamos os dados em até 30 dias, salvo o que a lei obrigar a guardar.

7. Segurança

Usamos conexão HTTPS, senhas com hash, cookies de sessão assinados e com HttpOnly, acesso ao servidor restrito ao administrador, e os tokens das plataformas ficam somente no servidor — nunca são enviados ao navegador ou a terceiros. Nenhum sistema é 100% seguro; se houver um incidente que possa causar risco ou dano relevante, avisaremos você e a ANPD conforme a LGPD.

8. Seus direitos

Pela LGPD, você pode, a qualquer momento e sem custo:

• confirmar se tratamos seus dados e acessá-los;
• corrigir dados incompletos ou desatualizados;
• pedir anonimização, bloqueio ou exclusão;
• pedir a portabilidade dos seus dados;
• saber com quem compartilhamos;
• revogar o consentimento e desconectar qualquer rede;
• reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

Para exercer esses direitos, escreva para telecanais10@gmail.com. Respondemos em até 15 dias.

9. Como desconectar e apagar seus dados

• No PostAut: em Contas, clique em desconectar. O token e o vínculo são apagados do nosso servidor imediatamente.
• No TikTok: abra Perfil → Menu → Configurações e privacidade → Segurança e permissões → Apps e serviços → PostAut → Remover acesso.
• No YouTube/Google: acesse security.google.com/settings/security/permissions e remova o acesso do PostAut.
• No Instagram/Facebook: Configurações → Apps e sites → remova o PostAut.
• No LinkedIn: Configurações → Privacidade de dados → Outros aplicativos → remova o PostAut.
• No Pinterest: Configurações → Segurança e permissões → Apps → revogue o acesso do PostAut.
• No Telegram: tire o seu bot dos administradores do canal ou apague o bot no @BotFather.
• Apagar tudo: veja a página Exclusão de dados ou escreva para telecanais10@gmail.com.

Posts já publicados ficam nas redes até você apagá-los diretamente na plataforma.

10. Crianças e adolescentes

O PostAut não é destinado a menores de 18 anos e não coletamos intencionalmente dados de crianças ou adolescentes. Se soubermos que um menor criou uma conta, ela será apagada.

11. Alterações nesta política

Podemos atualizar esta política. A data de "Última atualização" no topo mostra a versão em vigor. Mudanças relevantes serão avisadas no painel ou por e-mail antes de valerem.

12. Contato

Kelvin Vitor Francisco · Catanduva - SP
E-mail: telecanais10@gmail.com