Política de Privacidade

Versão 1.7 — vigente desde 17 de setembro de 2026.

Esta Política explica como o AchaPost coleta, usa, compartilha, protege e elimina dados pessoais, em conformidade com a Lei 13.709/2018 (LGPD), o Marco Civil da Internet (Lei 12.965/2014) e o Código de Defesa do Consumidor.

Controlador: PAULO EDUARDO BARDINI PINTO — CNPJ 30.611.444/0001-24 — Rua Benjamin Constant, 2836, ap. 402, Blumenau/SC, CEP 89035-100. Encarregado pelo tratamento de dados (DPO): Paulo Eduardo Bardini Pinto — privacidade@achapost.com.

1. Os dois papéis do AchaPost

1.1. Somos controladores dos dados que você nos fornece para ter uma conta e usar o serviço: cadastro, cobrança, suporte, registros de acesso.

1.2. Somos operadores dos dados pessoais de terceiros que você insere ou conecta à Plataforma — por exemplo: números e nomes de grupos de WhatsApp, identificadores de contatos, mensagens capturadas de grupos de origem, conteúdo de seguidores em automações de Instagram, dados dos vendedores que constam no relatório da Shopee usado para emitir notas fiscais. Nesses casos você é o controlador: define a finalidade, responde pela base legal e pelos direitos dos titulares. Nós tratamos esses dados apenas para executar as funções que você contratou e conforme suas instruções, nos termos do art. 39 da LGPD.

2. Dados que tratamos

2.1. Dados de cadastro e conta

Nome, e-mail, telefone (WhatsApp), senha (armazenada apenas como hash — nunca em texto claro), data de verificação de e-mail, papel na plataforma (usuário/admin), preferências e status de onboarding. No login com Google: nome, e-mail e identificador da conta Google.

2.2. Dados de assinatura e pagamento

Status do plano, ciclo, datas de ativação e expiração, identificador do pedido e eventos de cobrança recebidos da Kiwify. Não coletamos nem armazenamos número de cartão, CVV ou dados bancários — isso fica com o processador de pagamento.

2.3. Credenciais e tokens de integração

• Shopee: App ID e App Secret do seu programa de afiliados, armazenados criptografados.
• Instagram (via Notifiquei): chave de API, armazenada criptografada; identificador e nome de usuário da conta Instagram conectada.
• Telegram: identificador do seu chat com o bot.
• WhatsApp: número conectado, identificador de dispositivo (JID) e a sessão do dispositivo, mantidos no nosso worker para permitir a reconexão. Nós não temos acesso à sua senha do WhatsApp — a conexão é feita por leitura de QR Code no seu aparelho, e você pode desconectar a qualquer momento pelo próprio WhatsApp ou pelo painel.

2.4. Conteúdo que você cria ou envia

Imagens, vídeos, textos, frases, legendas, modelos de capa e CTA, marcas, cores, guias de voz, pastas, projetos do Estúdio, carrosséis e cards gerados, links de afiliado gerados e mídia importada.

2.5. Dados operacionais das automações

Grupos de origem e de destino (identificadores e nomes), números conectados e apelidos, fila de envio, mensagem original capturada, mensagem final publicada, horário de envio, número que enviou, erros e status. Esses dados são necessários para montar a fila, evitar duplicidade e mostrar o histórico.

2.6. Registros de acesso e uso

Endereço IP, data e hora, ações relevantes (login, cadastro, aceite de termos, geração de conteúdo, envio), identificador de sessão e informações técnicas do dispositivo/navegador. A guarda de registros de acesso a aplicação por 6 meses é obrigação legal (art. 15 do Marco Civil da Internet).

2.7. Dados de suporte

Mensagens que você nos envia por e-mail, WhatsApp ou Telegram, e o histórico do atendimento.

2.8. Automação de comentários e mensagens no Instagram

O AchaPost oferece automação de respostas para contas profissionais do Instagram que você conecta à plataforma usando o login oficial do Instagram (API do Instagram, Meta Platforms). Ao conectar uma conta, você autoriza as permissões instagram_business_basic, instagram_business_manage_comments e instagram_business_manage_messages.

O que coletamos dessa integração:

• Identificadores, nome de usuário e foto de perfil da conta conectada, e um token de acesso da API, armazenado criptografado (AES-256-GCM) e renovado automaticamente.
• Lista de publicações da conta (ID, legenda, miniatura, data), para que você escolha em quais publicações a automação atua.
• Comentários recebidos nas suas publicações e mensagens recebidas no Direct, entregues pela Meta por webhook: ID, texto, data, nome de usuário e ID do autor.

Para que usamos:

• Verificar se um comentário ou mensagem contém a palavra-chave configurada por você.
• Enviar, em seu nome e apenas quando você criou uma automação, uma resposta pública ao comentário e/ou uma mensagem no Direct para quem comentou, respondeu a um story ou enviou mensagem.
• Quando você mesmo clica na tela "Comments & Direct" do painel: publicar um comentário ou uma resposta, ocultar, reexibir ou apagar um comentário nas suas publicações e mandar uma resposta privada no Direct para quem comentou. Nada disso acontece sem o seu clique.
• Registrar o resultado de cada envio para exibir no seu painel.

Limites que respeitamos. Todas as mensagens automáticas seguem as políticas da Plataforma Meta: resposta privada a comentário em até 7 dias; continuação de conversa em até 24 horas após a última mensagem da pessoa; sem envio em massa ou sem gatilho da própria pessoa.

Retenção. Comentários, mensagens e registros de envio são mantidos por 90 dias e apagados em seguida. O token de acesso é apagado imediatamente quando você desconecta a conta ou remove o AchaPost em Instagram > Configurações > Site e apps.

Exclusão de dados. Você pode (a) desconectar a conta no painel, (b) remover o AchaPost nas configurações do Instagram, o que aciona nosso callback de exclusão e apaga os dados da conta, ou (c) escrever para privacidade@achapost.com. Confirmamos a exclusão em até 7 dias.

Dados de terceiros. Os dados de pessoas que comentam ou enviam mensagens para a sua conta são tratados exclusivamente para executar a automação que você configurou. Não os usamos para outros fins, não os vendemos e não os compartilhamos.

2.9. Extensões do AchaPost para o Chrome

O AchaPost tem extensões para o navegador Chrome: a AchaPost Afiliado, que funciona nas páginas de produto da Shopee, da Amazon e do Mercado Livre, e a AchaPost, que funciona no Instagram. Elas só funcionam depois que você conecta a extensão à sua conta do AchaPost.

O que a extensão lê. Apenas a página da loja (ou do Instagram) que está aberta na aba em que você usa a extensão: o endereço da página e as informações do produto ou da publicação que aparecem nela (nome, preço, foto). A extensão não lê outras abas, não guarda o seu histórico de navegação e não funciona em sites fora das lojas e do Instagram.

O que fica no seu navegador. Um token de conexão com a sua conta, guardado no armazenamento local da extensão. Ele sai do navegador quando você desconecta a extensão ou a remove do Chrome. Para invalidar o token também no nosso servidor, escreva para privacidade@achapost.com.

O que é enviado ao AchaPost e para quê. O endereço e as informações do produto são enviados ao nosso servidor somente quando você usa o painel da extensão, para: consultar a comissão do produto no seu programa de afiliados, procurar o mesmo produto com comissão maior, gerar o seu link de afiliado e colocar a oferta na fila do WhatsApp que você configurou. Para isso usamos as credenciais de afiliado que você cadastrou (item 2.3) e, na comparação de fotos de produtos parecidos, o Google (Gemini), que recebe só as fotos e os nomes dos produtos.

O que não fazemos com esses dados. Não vendemos, não usamos para publicidade, não usamos para avaliar crédito e não transferimos a terceiros fora das finalidades acima. O uso de dados recebidos pelas extensões segue a Política de Dados do Usuário da Chrome Web Store, incluindo os requisitos de Uso Limitado.

Links de afiliado. A extensão só gera um link de afiliado quando você clica para gerar ou enviar a oferta. Ela nunca troca links, cupons ou códigos de afiliado de uma página sem a sua ação.

2.10. Dados das notas fiscais

A área Notas fiscais emite NFS-e pela API nacional da SEFIN (Emissor Nacional) em nome da sua empresa. As regras de uso estão no Termo de Notas Fiscais.

Dados fiscais da sua empresa. CNPJ, razão social, município, regime tributário (Simples Nacional, MEI ou fora do Simples), inscrição municipal, código de tributação municipal, alíquota do Simples, série e numeração das notas, resultado do teste obrigatório na homologação da SEFIN, créditos de notas e o extrato de uso.

Certificado digital A1. Do arquivo .pfx que você envia guardamos só a chave privada e o certificado, cifrados (AES-256-GCM, com chave de dados gerada e protegida pelo AWS KMS). O arquivo original e a senha não são guardados. Ficam em aberto o nome do titular e a data de validade. O certificado só é aberto pelo serviço de emissão, para assinar as notas e os cancelamentos que você pediu ou aprovou, e é apagado quando você o remove no Cadastro fiscal.

Dados dos vendedores (terceiros). Do relatório da Shopee que você envia tratamos nome ou razão social, CNPJ, CPF ou identificação fiscal estrangeira, endereço, país, e-mail, nome e ID da loja e valor da comissão. Nas notas avulsas, os dados do tomador que você informa ou que consultamos pelo CNPJ. Para esses dados você é o controlador e nós somos operadores (item 1.2): tratamos apenas para emitir, consultar e cancelar as notas.

Arquivos. O arquivo do relatório e os XML das notas e dos cancelamentos ficam no nosso armazenamento de arquivos. O arquivo do relatório é apagado automaticamente 90 dias depois que o lote termina; os XML ficam guardados para você consultar e baixar.

Consultas públicas. Para preencher o cadastro e a nota avulsa consultamos dados públicos de CNPJ na BrasilAPI (base da Receita Federal) e, para corrigir o município de um endereço, o CEP na ViaCEP. Nessas consultas enviamos só o número do CNPJ ou do CEP.

2.11. O que NÃO fazemos

Não vendemos dados pessoais. Não tratamos dados sensíveis (art. 5º, II, da LGPD) intencionalmente — não os insira na Plataforma. Não usamos seu conteúdo para treinar modelos de inteligência artificial próprios ou de terceiros.

3. Por que tratamos (finalidades e bases legais)

3.1. Legítimo interesse. Quando usamos legítimo interesse, limitamos o tratamento ao necessário e preservamos seus direitos e liberdades. Você pode se opor a esse tratamento pelo e-mail do Encarregado.

4. Inteligência artificial

4.1. Funções opcionais de legenda e reescrita usam a API do Google Gemini. O texto enviado para a IA é o conteúdo da promoção/legenda e a diretriz que você configurou.

4.2. Não envie dados pessoais sensíveis, dados de terceiros desnecessários ou segredos nesses campos.

4.3. O resultado da IA é sugestão automatizada e passível de erro; a decisão de publicar é sempre sua. Você pode pedir revisão humana de decisões automatizadas que afetem seus interesses (art. 20 da LGPD) escrevendo para o Encarregado.

5. Com quem compartilhamos

Compartilhamos apenas o necessário, com operadores que prestam serviços para a Plataforma e, na emissão de notas fiscais, com a administração tributária (SEFIN / Receita Federal), que recebe as notas por obrigação legal e não atua como nossa operadora:

5.1. Também podemos compartilhar dados: (a) com autoridades, mediante ordem judicial ou requisição legal; (b) com advogados e auditores, sob dever de sigilo; (c) em caso de reorganização societária, fusão ou venda do negócio, mantida esta Política.

5.2. Transferência internacional. Parte dos operadores está fora do Brasil. Fazemos a transferência com base no art. 33 da LGPD, exigindo contratualmente padrões de proteção compatíveis com a lei brasileira (cláusulas contratuais dos próprios fornecedores e compromissos de segurança).

5.3. Publicação nos seus canais. Quando você publica ou agenda envio, o conteúdo vai para as plataformas de destino que você conectou (Instagram, WhatsApp, Telegram). A partir daí, o tratamento segue as políticas dessas plataformas, sobre as quais não temos controle.

6. Por quanto tempo guardamos

• Conta ativa: enquanto durar a relação.
• Após o encerramento da conta: exclusão ou anonimização em até 90 dias, salvo os prazos abaixo.
• Registros de acesso: 6 meses (art. 15 do Marco Civil).
• Dados fiscais e de cobrança: até 5 anos, por obrigação legal e prescrição.
• Notas fiscais: o arquivo do relatório da Shopee é apagado 90 dias depois que o lote termina. Os dados das notas e os XML das notas e dos cancelamentos ficam guardados enquanto a conta existir, para consulta e download, e seguem depois os prazos acima. Guarde você também os XML pelo prazo que a lei exige da sua empresa.
• Certificado digital: até você removê-lo no Cadastro fiscal ou até o encerramento da conta.
• Registro de aceite de termos, de ciência de risco e do Termo de Notas Fiscais: até 5 anos após o fim do contrato, para exercício regular de direitos.
• Backups: rotação natural em até 90 dias após a exclusão do dado no sistema principal.
• Mídia gerada: pode ser apagada por rotinas de limpeza automática mesmo com conta ativa; guarde o que for importante.

7. Seus direitos (art. 18 da LGPD)

Você pode, a qualquer momento: confirmar a existência de tratamento; acessar seus dados; corrigir dados incompletos ou desatualizados; pedir anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade; pedir portabilidade; obter informação sobre compartilhamentos; revogar consentimento; e opor-se a tratamento baseado em legítimo interesse.

7.1. Como exercer. Escreva para privacidade@achapost.com a partir do e-mail cadastrado. Respondemos em até 15 dias. Podemos pedir confirmação de identidade antes de atender, para proteger sua conta.

7.2. Limites. Alguns pedidos podem ser recusados de forma fundamentada quando houver obrigação legal de guarda ou necessidade para exercício regular de direitos.

7.3. ANPD. Você pode reclamar à Autoridade Nacional de Proteção de Dados (www.gov.br/anpd).

8. Segurança

8.1. Adotamos medidas técnicas e administrativas compatíveis com o risco: tráfego criptografado (HTTPS/TLS), senhas com hash (bcrypt), criptografia de credenciais sensíveis de integração em banco, certificado digital cifrado com chave protegida por serviço de gestão de chaves (AWS KMS), controle de acesso por perfil, segredos em variáveis de ambiente, limites de requisição (rate limit) em rotas críticas, autenticação de webhooks e rotinas de expiração de tokens.

8.2. Nenhum sistema é 100% seguro. Você também tem papel: use senha forte e exclusiva, não compartilhe acesso e mantenha seu e-mail seguro.

8.3. Incidentes. Em caso de incidente de segurança com risco relevante, comunicaremos os titulares afetados e a ANPD em prazo razoável, na forma do art. 48 da LGPD, informando o que aconteceu, os dados envolvidos e as medidas adotadas.

9. Cookies

Usamos cookies estritamente necessários (sessão e autenticação) e, quando aplicável, de preferência. Detalhes na Política de Cookies.

10. Crianças e adolescentes

A Plataforma é destinada a maiores de 18 anos. Não tratamos intencionalmente dados de crianças e adolescentes. Identificado um cadastro nessa condição, a conta é encerrada e os dados eliminados.

11. Alterações desta Política

Podemos atualizar esta Política. A versão vigente fica sempre nesta página, com data. Mudanças relevantes são comunicadas por e-mail ou aviso no painel com 15 dias de antecedência.

12. Contato do Encarregado

Paulo Eduardo Bardini Pinto — Encarregado pelo Tratamento de Dados Pessoais privacidade@achapost.com Rua Benjamin Constant, 2836, ap. 402 — Blumenau/SC — CEP 89035-100