Política de Privacidade
Versão 1.2 — vigente desde 8 de setembro de 2026.
Esta Política explica como o AchaPost coleta, usa, compartilha, protege e elimina dados pessoais, em conformidade com a Lei 13.709/2018 (LGPD), o Marco Civil da Internet (Lei 12.965/2014) e o Código de Defesa do Consumidor.
Controlador: PAULO EDUARDO BARDINI PINTO — CNPJ 30.611.444/0001-24 — Rua Benjamin Constant, 2836, ap. 402, Blumenau/SC, CEP 89035-100. Encarregado pelo tratamento de dados (DPO): Paulo Eduardo Bardini Pinto — privacidade@achapost.com.
1. Os dois papéis do AchaPost
1.1. Somos controladores dos dados que você nos fornece para ter uma conta e usar o serviço: cadastro, cobrança, suporte, registros de acesso.
1.2. Somos operadores dos dados pessoais de terceiros que você insere ou conecta à Plataforma — por exemplo: números e nomes de grupos de WhatsApp, identificadores de contatos, mensagens capturadas de grupos de origem, conteúdo de seguidores em automações de Instagram. Nesses casos você é o controlador: define a finalidade, responde pela base legal e pelos direitos dos titulares. Nós tratamos esses dados apenas para executar as funções que você contratou e conforme suas instruções, nos termos do art. 39 da LGPD.
2. Dados que tratamos
2.1. Dados de cadastro e conta
Nome, e-mail, telefone (WhatsApp), senha (armazenada apenas como hash — nunca em texto claro), data de verificação de e-mail, papel na plataforma (usuário/admin), preferências e status de onboarding. No login com Google: nome, e-mail e identificador da conta Google.
2.2. Dados de assinatura e pagamento
Status do plano, ciclo, datas de ativação e expiração, identificador do pedido e eventos de cobrança recebidos da Kiwify. Não coletamos nem armazenamos número de cartão, CVV ou dados bancários — isso fica com o processador de pagamento.
2.3. Credenciais e tokens de integração
- Shopee: App ID e App Secret do seu programa de afiliados, armazenados criptografados.
- Instagram (via Notifiquei): chave de API, armazenada criptografada; identificador e nome de usuário da conta Instagram conectada.
- Telegram: identificador do seu chat com o bot.
- WhatsApp: número conectado, identificador de dispositivo (JID) e a sessão do dispositivo, mantidos no nosso worker para permitir a reconexão. Nós não temos acesso à sua senha do WhatsApp — a conexão é feita por leitura de QR Code no seu aparelho, e você pode desconectar a qualquer momento pelo próprio WhatsApp ou pelo painel.
2.4. Conteúdo que você cria ou envia
Imagens, vídeos, textos, frases, legendas, modelos de capa e CTA, marcas, cores, guias de voz, pastas, projetos do Estúdio, carrosséis e cards gerados, links de afiliado gerados e mídia importada.
2.5. Dados operacionais das automações
Grupos de origem e de destino (identificadores e nomes), números conectados e apelidos, fila de envio, mensagem original capturada, mensagem final publicada, horário de envio, número que enviou, erros e status. Esses dados são necessários para montar a fila, evitar duplicidade e mostrar o histórico.
2.6. Registros de acesso e uso
Endereço IP, data e hora, ações relevantes (login, cadastro, aceite de termos, geração de conteúdo, envio), identificador de sessão e informações técnicas do dispositivo/navegador. A guarda de registros de acesso a aplicação por 6 meses é obrigação legal (art. 15 do Marco Civil da Internet).
2.7. Dados de suporte
Mensagens que você nos envia por e-mail, WhatsApp ou Telegram, e o histórico do atendimento.
2.8. Automação de comentários e mensagens no Instagram
O AchaPost oferece automação de respostas para contas profissionais do Instagram que você conecta à plataforma usando o login oficial do Instagram (API do Instagram, Meta Platforms). Ao conectar uma conta, você autoriza as permissões instagram_business_basic, instagram_business_manage_comments e instagram_business_manage_messages.
O que coletamos dessa integração:
- Identificadores, nome de usuário e foto de perfil da conta conectada, e um token de acesso da API, armazenado criptografado (AES-256-GCM) e renovado automaticamente.
- Lista de publicações da conta (ID, legenda, miniatura, data), para que você escolha em quais publicações a automação atua.
- Comentários recebidos nas suas publicações e mensagens recebidas no Direct, entregues pela Meta por webhook: ID, texto, data, nome de usuário e ID do autor.
Para que usamos:
- Verificar se um comentário ou mensagem contém a palavra-chave configurada por você.
- Enviar, em seu nome e apenas quando você criou uma automação, uma resposta pública ao comentário e/ou uma mensagem no Direct para quem comentou, respondeu a um story ou enviou mensagem.
- Registrar o resultado de cada envio para exibir no seu painel.
Limites que respeitamos. Todas as mensagens automáticas seguem as políticas da Plataforma Meta: resposta privada a comentário em até 7 dias; continuação de conversa em até 24 horas após a última mensagem da pessoa; sem envio em massa ou sem gatilho da própria pessoa.
Retenção. Comentários, mensagens e registros de envio são mantidos por 90 dias e apagados em seguida. O token de acesso é apagado imediatamente quando você desconecta a conta ou remove o AchaPost em Instagram > Configurações > Site e apps.
Exclusão de dados. Você pode (a) desconectar a conta no painel, (b) remover o AchaPost nas configurações do Instagram, o que aciona nosso callback de exclusão e apaga os dados da conta, ou (c) escrever para privacidade@achapost.com. Confirmamos a exclusão em até 7 dias.
Dados de terceiros. Os dados de pessoas que comentam ou enviam mensagens para a sua conta são tratados exclusivamente para executar a automação que você configurou. Não os usamos para outros fins, não os vendemos e não os compartilhamos.
2.9. Atendimento automático no WhatsApp
Quando você ativa o atendimento automático, o número de WhatsApp que você conectou passa a responder sozinho a quem manda mensagem para ele. O AchaPost nunca inicia conversa: só responde quem escreveu primeiro.
O que tratamos dessa conversa:
- A mensagem recebida (texto, áudio ou imagem), usada para entender qual produto a pessoa procura.
- O identificador do remetente, usado apenas para aplicar os limites diários de resposta.
Por quanto tempo. A mensagem é processada e descartada. Não guardamos o conteúdo das conversas, nem os áudios, nem as imagens, nem o número de quem escreveu — o controle de limite usa um código derivado do número (hash), que não permite recuperá-lo.
Com quem compartilhamos. O conteúdo da mensagem é enviado ao Google (Gemini), nosso operador de inteligência artificial, exclusivamente para interpretar o pedido, e à Shopee, para buscar os produtos correspondentes. Nenhum dos dois recebe o número de telefone de quem escreveu.
Sua responsabilidade como titular do número. O atendimento acontece em nome da sua conta e do seu número. Você é o controlador dessa conversa perante quem lhe escreve, e o AchaPost atua como operador.
2.10. O que NÃO fazemos
Não vendemos dados pessoais. Não tratamos dados sensíveis (art. 5º, II, da LGPD) intencionalmente — não os insira na Plataforma. Não usamos seu conteúdo para treinar modelos de inteligência artificial próprios ou de terceiros.
3. Por que tratamos (finalidades e bases legais)
| Finalidade | Base legal (LGPD) |
|---|---|
| Criar e manter sua conta, autenticar e prestar o serviço | Execução de contrato (art. 7º, V) |
| Cobrar assinatura, emitir documento fiscal, prevenir fraude | Execução de contrato e obrigação legal (art. 7º, II e V) |
| Gerar conteúdo, converter links, enfileirar e publicar nos seus canais | Execução de contrato (art. 7º, V) |
| Enviar avisos operacionais e de segurança | Execução de contrato (art. 7º, V) |
| Guardar registros de acesso | Obrigação legal (art. 7º, II + Marco Civil, art. 15) |
| Melhorar o produto, medir uso de forma agregada, garantir segurança e evitar abuso | Legítimo interesse (art. 7º, IX) |
| Marketing e novidades por e-mail/WhatsApp | Consentimento (art. 7º, I), revogável a qualquer tempo |
| Exercício regular de direitos em processo | Art. 7º, VI |
3.1. Legítimo interesse. Quando usamos legítimo interesse, limitamos o tratamento ao necessário e preservamos seus direitos e liberdades. Você pode se opor a esse tratamento pelo e-mail do Encarregado.
4. Inteligência artificial
4.1. Funções opcionais de legenda e reescrita usam a API do Google Gemini. O texto enviado para a IA é o conteúdo da promoção/legenda e a diretriz que você configurou.
4.2. Não envie dados pessoais sensíveis, dados de terceiros desnecessários ou segredos nesses campos.
4.3. O resultado da IA é sugestão automatizada e passível de erro; a decisão de publicar é sempre sua. Você pode pedir revisão humana de decisões automatizadas que afetem seus interesses (art. 20 da LGPD) escrevendo para o Encarregado.
5. Com quem compartilhamos
Compartilhamos apenas o necessário, com operadores que prestam serviços para a Plataforma:
| Tipo de serviço | Uso | Onde ficam os dados |
|---|---|---|
| Hospedagem e execução da aplicação | Rodar o site e as APIs | Exterior |
| Banco de dados gerenciado (PostgreSQL) | Guardar dados da conta e do conteúdo | Exterior |
| Armazenamento de mídia (Cloudflare R2) | Guardar imagens e vídeos gerados | Exterior |
| Envio de e-mail transacional (Resend) | Verificação, redefinição de senha, avisos | Exterior |
| Processamento de pagamento (Kiwify) | Cobrança e status de assinatura | Brasil |
| Google (login OAuth e API Gemini) | Entrar com Google; gerar legendas | Exterior |
| Shopee (API de afiliados) | Converter link, buscar oferta e comissão | Exterior |
| Telegram | Bot de comandos e notificações | Exterior |
| Infraestrutura de workers (WhatsApp, renderização, download de mídia) | Executar conexões e gerar arquivos | Brasil/Exterior |
5.1. Também podemos compartilhar dados: (a) com autoridades, mediante ordem judicial ou requisição legal; (b) com advogados e auditores, sob dever de sigilo; (c) em caso de reorganização societária, fusão ou venda do negócio, mantida esta Política.
5.2. Transferência internacional. Parte dos operadores está fora do Brasil. Fazemos a transferência com base no art. 33 da LGPD, exigindo contratualmente padrões de proteção compatíveis com a lei brasileira (cláusulas contratuais dos próprios fornecedores e compromissos de segurança).
5.3. Publicação nos seus canais. Quando você publica ou agenda envio, o conteúdo vai para as plataformas de destino que você conectou (Instagram, WhatsApp, Telegram). A partir daí, o tratamento segue as políticas dessas plataformas, sobre as quais não temos controle.
6. Por quanto tempo guardamos
- Conta ativa: enquanto durar a relação.
- Após o encerramento da conta: exclusão ou anonimização em até 90 dias, salvo os prazos abaixo.
- Registros de acesso: 6 meses (art. 15 do Marco Civil).
- Dados fiscais e de cobrança: até 5 anos, por obrigação legal e prescrição.
- Registro de aceite de termos e de ciência de risco: até 5 anos após o fim do contrato, para exercício regular de direitos.
- Backups: rotação natural em até 90 dias após a exclusão do dado no sistema principal.
- Mídia gerada: pode ser apagada por rotinas de limpeza automática mesmo com conta ativa; guarde o que for importante.
7. Seus direitos (art. 18 da LGPD)
Você pode, a qualquer momento: confirmar a existência de tratamento; acessar seus dados; corrigir dados incompletos ou desatualizados; pedir anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade; pedir portabilidade; obter informação sobre compartilhamentos; revogar consentimento; e opor-se a tratamento baseado em legítimo interesse.
7.1. Como exercer. Escreva para privacidade@achapost.com a partir do e-mail cadastrado. Respondemos em até 15 dias. Podemos pedir confirmação de identidade antes de atender, para proteger sua conta.
7.2. Limites. Alguns pedidos podem ser recusados de forma fundamentada quando houver obrigação legal de guarda ou necessidade para exercício regular de direitos.
7.3. ANPD. Você pode reclamar à Autoridade Nacional de Proteção de Dados (www.gov.br/anpd).
8. Segurança
8.1. Adotamos medidas técnicas e administrativas compatíveis com o risco: tráfego criptografado (HTTPS/TLS), senhas com hash (bcrypt), criptografia de credenciais sensíveis de integração em banco, controle de acesso por perfil, segredos em variáveis de ambiente, limites de requisição (rate limit) em rotas críticas, autenticação de webhooks e rotinas de expiração de tokens.
8.2. Nenhum sistema é 100% seguro. Você também tem papel: use senha forte e exclusiva, não compartilhe acesso e mantenha seu e-mail seguro.
8.3. Incidentes. Em caso de incidente de segurança com risco relevante, comunicaremos os titulares afetados e a ANPD em prazo razoável, na forma do art. 48 da LGPD, informando o que aconteceu, os dados envolvidos e as medidas adotadas.
9. Cookies
Usamos cookies estritamente necessários (sessão e autenticação) e, quando aplicável, de preferência. Detalhes na Política de Cookies.
10. Crianças e adolescentes
A Plataforma é destinada a maiores de 18 anos. Não tratamos intencionalmente dados de crianças e adolescentes. Identificado um cadastro nessa condição, a conta é encerrada e os dados eliminados.
11. Alterações desta Política
Podemos atualizar esta Política. A versão vigente fica sempre nesta página, com data. Mudanças relevantes são comunicadas por e-mail ou aviso no painel com 15 dias de antecedência.
12. Contato do Encarregado
Paulo Eduardo Bardini Pinto — Encarregado pelo Tratamento de Dados Pessoais privacidade@achapost.com Rua Benjamin Constant, 2836, ap. 402 — Blumenau/SC — CEP 89035-100