Política de Privacidade

Da sua conta: nome, e-mail e uma senha guardada como hash (nunca em texto). Registramos também as datas de acesso pra manter a sessão de pé.

Dos perfis que você conecta: o identificador, o nome público e os tokens de acesso que a plataforma devolve para Facebook, Instagram, TikTok, TikTok Business, YouTube, X, LinkedIn, Pinterest, Threads ou Kwai. Não recebemos e nunca pedimos a senha da sua rede social — a conexão é por OAuth, feita na tela da própria plataforma.

Do que você publica: as imagens e vídeos que você sobe, a legenda, o horário marcado, o resultado de cada publicação (deu certo, falhou, o link do post) e as métricas que a rede devolver, como alcance, visualizações e interações.

De quem interage com você: o Instagram envia comentários e DMs por webhook. A Caixa também consulta periodicamente comentários de Facebook Pages, Threads, YouTube, X, LinkedIn e TikTok Business, além das DMs do Messenger da Página. Guardamos o texto, o identificador e o nome público da pessoa, a data e o post ou comentário de origem, junto dos campos públicos que a plataforma devolver. Isso existe para mostrar a conversa e enviar a resposta que você escolher. Pinterest, Kwai e TikTok pessoal não entram na Caixa porque suas APIs atuais não entregam esses comentários ao Piloto.

Do acesso ao site: o Cloudflare, que hospeda o serviço, registra endereço IP e dados técnicos da requisição pra segurança e defesa contra abuso.

Da navegação nas páginas públicas: o Microsoft Clarity recebe eventos de página, cliques, rolagem, movimentos do ponteiro, tamanho da janela, falhas técnicas e uma reconstrução visual da sessão. Campos sensíveis de formulário são mascarados pela própria ferramenta. O Clarity usa o endereço IP para estimar a localização e pode usar cookies e armazenamento do navegador.

• Enviar para publicação o conteúdo que você agendou, usando a hora marcada como alvo.
• Consultar e mostrar as métricas dos perfis e posts conectados.
• Sincronizar comentários e DMs compatíveis e entregar as respostas automáticas ou humanas que você enviar pela Caixa.
• Manter sua sessão, renovar tokens quando a rede fornece um token de renovação e avisar quando uma conexão cai.
• Entender onde as páginas públicas falham ou confundem visitantes, por meio do Clarity.
• Investigar falha, abuso e fraude.

Se você participa de uma organização, integrantes convidados nos papéis owner, admin ou member podem ver e operar os dados do espaço conforme a autorização recebida. Ninguém fora das organizações às quais foi expressamente adicionado recebe esse acesso.

Não usamos seus dados nem os das pessoas que falam com você pra publicidade de terceiros, não vendemos dados e não treinamos modelo de IA com o conteúdo das suas mensagens.

• Execução de contrato (art. 7º, V da LGPD) — dados da conta, dos perfis conectados e do conteúdo agendado: sem eles o serviço simplesmente não faz o que foi contratado.
• Legítimo interesse (art. 7º, IX) — registros técnicos de acesso, segurança, prevenção de abuso e medição de usabilidade das páginas públicas pelo Clarity. Você pode se opor a essa medição pelos meios descritos na seção 5 ou escrevendo para contato@pilotodoafiliado.com.br.
• Consentimento (art. 7º, I) — a conexão de cada perfil, dada na tela da própria rede social e revogável a qualquer momento por lá ou aqui.

Só com quem é necessário pro serviço existir, e cada um recebe apenas o que precisa:

• Cloudflare — hospedagem, banco de dados e armazenamento das mídias.
• Microsoft Clarity — medição de uso das páginas públicas, mapas de interação e reconstrução de sessões para encontrar falhas de navegação.
• A rede social que você escolher conectar — Meta (Facebook, Instagram e Threads), TikTok, Google/YouTube, X, LinkedIn, Pinterest ou Kwai. Ela recebe apenas o token, o conteúdo e os comandos necessários para conectar o perfil, publicar, consultar métricas ou responder interações que você autorizou.
• Resend — entrega de convites por e-mail, quando esse envio estiver configurado. Recebe o endereço do destinatário e o link individual do convite.

Esses fornecedores podem processar dados fora do Brasil. Os países, subprocessadores e mecanismos de transferência variam conforme a rede escolhida e são descritos na política do próprio fornecedor. Você pode pedir pelo contato@pilotodoafiliado.com.br a relação aplicável ao seu caso.

Também podemos divulgar dados por ordem judicial ou exigência legal.

O cookie do Piloto é o de sessão, criado quando você entra e apagado quando você sai. Ele é estritamente necessário: sem ele não há como saber que a próxima página é sua.

A escolha de tema claro/escuro fica no localStorage do seu navegador, não sai dele e não é cookie.

O Microsoft Clarity carrega quando a página pública abre, sem esperar um banner. Ele pode gravar cookies próprios e usar armazenamento do navegador para medir páginas vistas e interações. Usamos essa medição por legítimo interesse, para corrigir o site, e não para publicidade comportamental.

Você pode impedir a coleta selecionando Microsoft no opt-out da Digital Advertising Alliance, ativando o Global Privacy Control ou bloqueando clarity.ms no navegador. Também pode apagar os cookies nas configurações do navegador e se opor pelo contato@pilotodoafiliado.com.br. Veja a Política de Privacidade da Microsoft.

Ao conectar um canal do YouTube, você autoriza somente os escopos openid e youtube.force-ssl. Com essa autorização, o Piloto guarda os tokens de acesso e renovação e consulta o identificador, nome, avatar e número de inscritos do canal; playlists disponíveis; o ID e o link dos vídeos publicados; métricas de visualização, curtidas e comentários; e os comentários e respostas necessários para a Caixa. O openid serve apenas para receber o identificador estável sub da Conta Google e transformá-lo em HMAC: essa impressão criptográfica correlaciona canais da mesma autorização para que a revogação seja segura. O sub em claro não é exibido nem usado para montar perfil.

Esses dados servem somente para mostrar o canal conectado, publicar o vídeo e a thumbnail, adicioná-lo à playlist escolhida, exibir métricas e comentários e enviar a resposta pedida por você. Não usamos dados do Google para publicidade, venda de dados, avaliação de crédito ou treinamento de modelos de IA.

Os dados autorizados do YouTube só podem ser vistos e operados por você e pelos integrantes nos papéis owner, admin ou member expressamente convidados para a mesma organização.

O tratamento das informações recebidas das APIs do Google segue a Google API Services User Data Policy, inclusive os requisitos de Limited Use. Ao usar o conector, você também fica sujeito aos Termos de Serviço do YouTube e à Política de Privacidade do Google.

Você pode revogar o acesso em Contas → Remover ou na página de permissões de segurança da Conta Google. A revogação no Google interrompe novas chamadas; remover a conexão no Piloto também revoga a autorização e elimina os dados locais conforme os prazos da seção seguinte.

• Conta e perfis conectados: enquanto a conta existir.
• Tokens de acesso: enquanto o perfil estiver conectado. Ao remover um perfil, o token fica bloqueado para qualquer novo uso imediatamente. Na Meta, ele pode continuar cifrado só pelo tempo necessário para confirmar a desassinatura remota. Recusas que comprovam que a operação não aconteceu podem ser tentadas novamente; resultado ambíguo não é repetido. Erro de credencial elimina o token na hora, e os demais casos têm limite máximo de 30 dias, quando o token é eliminado mesmo sem confirmação externa.
• Mídia enviada: enquanto a publicação existir na sua conta.
• Conversas (DM e comentários): enquanto a conta existir, pra você ter histórico do atendimento.
• Dados da API do YouTube: estatísticas só ficam por mais de 30 dias enquanto a autorização e os recursos são revalidados ao menos uma vez por mês. Os demais dados são atualizados ou eliminados em até 30 dias. Ao remover a conexão pelo Piloto, revogamos a autorização e eliminamos os dados autorizados em até 7 dias; se a revogação for feita fora do Piloto e detectada pela validação do token, a eliminação ocorre em até 30 dias.
• Registros técnicos de acesso: conforme a retenção do Cloudflare, tipicamente poucos dias.
• Microsoft Clarity: reproduções de sessão ficam disponíveis por 30 dias; dados de cliques e mapas de calor, por 9 meses; sessões marcadas com rótulo ou como favoritas, por 9 meses.
• Auditoria de segurança: quem fez uma alteração, qual rota foi usada e o resultado, sem corpo, senha ou token, por até 180 dias.

Excluída a conta, o conjunto operacional sob nosso controle que identifica você é apagado em até 30 dias; os dados do Clarity seguem a retenção do fornecedor informada acima. Pode restar um marcador técnico opaco, sem nome, e-mail, ID social em claro, token ou conteúdo de mensagem. Ele contém apenas uma impressão criptográfica da identidade social e o checkpoint da operação necessário para impedir que uma ação antiga e incerta seja repetida depois de uma desconexão, reconexão ou troca de titular. O marcador fica até a resposta tardia ou uma decisão autenticada e explícita encerrar a pendência e é eliminado em até 30 dias depois disso; ele não permite recuperar a identidade nem fazer uma nova chamada à rede. Pode permanecer apenas o hash mínimo da chave de idempotência, sem identidade ou conteúdo, para que a mesma mensagem jamais seja enviada duas vezes. Quando o resultado de um Web Push é incerto, também pode permanecer sem prazo a impressão SHA-256 da assinatura usada. Ela não guarda endpoint, chaves, titular nem conteúdo e serve apenas para impedir que a mesma assinatura seja reutilizada por outra conta; uma nova inscrição do navegador gera outra impressão. Veja Exclusão de dados.

A LGPD te dá direito a confirmação de tratamento, acesso, correção, anonimização, bloqueio, eliminação, portabilidade, informação sobre compartilhamento e revogação de consentimento.

Para exercer qualquer um deles, escreva para contato@pilotodoafiliado.com.br. Respondemos em até 15 dias.

A conexão de um perfil pode ser cortada a qualquer momento sem falar com a gente: aqui, em Contas → Remover; ou do lado da rede social, retirando o acesso do aplicativo.

Os tokens das redes sociais são guardados cifrados (AES-GCM) e só são abertos, em memória, no instante de publicar ou responder.

Toda consulta ao banco exige vínculo com a organização ativa. Integrantes convidados nos papéis owner, admin ou member acessam os dados dela conforme a autorização recebida, sem enxergar organizações às quais não pertencem.

O webhook que recebe eventos da Meta valida a assinatura criptográfica de cada chamada e recusa tudo se a chave não estiver configurada. Sem isso, qualquer um que descobrisse a URL poderia disparar mensagens em nome de um perfil.

As interações das outras redes são consultadas somente com o token OAuth da conta conectada; não há endpoint público que aceite uma mensagem e escolha o destinatário.

Nenhum sistema é infalível. Se acontecer incidente com risco relevante, comunicamos os titulares e a ANPD, como manda a lei.

Mudanças nesta política aparecem nesta página com a data de atualização no topo. Mudança que amplie o uso de dados é avisada por e-mail antes de valer.