Política de Privacidade

1. Escopo desta política

Esta política se aplica ao SpamPost, um serviço de organização, agendamento, automação, publicação e análise de conteúdo social. Ela abrange os dados tratados quando você cria uma conta, utiliza um workspace, envia conteúdo ou conecta serviços de terceiros.

2. Dados que tratamos

De acordo com os recursos utilizados, o SpamPost trata:

• dados de cadastro, como nome, email, hash da senha, datas de criação e informações de sessão;
• dados do workspace, membros, permissões e preferências, como fuso horário;
• mídias, nomes de arquivos, legendas, calendários, filas, horários, destinos e histórico de publicação fornecidos pelo usuário;
• identificadores e metadados de contas sociais conectadas, além de métricas disponibilizadas pelas respectivas plataformas;
• dados técnicos estritamente necessários para autenticação, segurança, limitação de tentativas, diagnóstico e operação do serviço.

A senha não é armazenada em texto legível. O SpamPost mantém somente um hash com salt e utiliza cookies de sessão protegidos para manter o acesso autenticado.

3. Dados fornecidos pelo Google OAuth

Ao conectar uma conta Google, o SpamPost solicita os escopos openid, userinfo.email, userinfo.profile e drive.file. A partir dos dados de identidade, podemos receber o identificador estável da conta Google, nome, endereço de email e imagem de perfil. Esses dados são usados para identificar e exibir corretamente cada conexão no seu workspace e permitir múltiplas contas Google sem misturá-las.

4. Google Drive e o escopo drive.file

O escopo drive.file limita o acesso do SpamPost aos arquivos e pastas criados pelo aplicativo ou disponibilizados e autorizados para ele. O SpamPost não solicita acesso geral a todos os arquivos do seu Google Drive.

Para viabilizar as funcionalidades solicitadas, podemos tratar IDs de arquivos e pastas, nomes, tipo MIME, tamanho, datas, checksum, pasta pai e estado do item. O conteúdo dos arquivos autorizados pode ser enviado, listado, baixado temporariamente e movido entre as pastas configuradas pelo usuário. Isso permite preparar filas, materializar a mídia necessária, publicar o conteúdo selecionado e executar a ação pós-publicação configurada, como manter o arquivo, movê-lo para “Guardados” ou enviá-lo para a lixeira.

5. Tokens e credenciais de integração

Para manter a conexão autorizada, armazenamos access tokens, refresh tokens quando fornecidos, escopos concedidos e informações de expiração. As credenciais são cifradas no servidor com AES-256-GCM, usando IV aleatório e autenticação de integridade. A chave de criptografia é mantida separadamente no ambiente do serviço.

Tokens não são entregues ao navegador, incluídos em jobs ou registrados intencionalmente em logs. Eles são descriptografados somente no servidor quando uma chamada autorizada ao provedor é necessária.

6. Como usamos os dados

Tratamos os dados descritos nesta política para:

• criar e proteger contas, sessões e workspaces;
• prestar as funções escolhidas pelo usuário;
• organizar, agendar e publicar conteúdo;
• sincronizar fontes autorizadas e atualizar analytics;
• detectar falhas, prevenir abuso e proteger o serviço;
• cumprir obrigações legais aplicáveis.

7. Compartilhamento e processamento necessário

O SpamPost não vende dados pessoais nem dados recebidos das APIs do Google e não os utiliza para publicidade direcionada. Dados podem ser processados por provedores de infraestrutura necessários à hospedagem, banco de dados, filas, armazenamento e segurança do serviço.

Quando você solicita uma publicação, a mídia, legenda e os dados indispensáveis são transmitidos à plataforma social escolhida. Google e Meta processam dados de acordo com seus próprios termos e políticas. Também poderemos divulgar informações quando exigido por lei ou para investigar abuso e proteger direitos e segurança.

8. Google API Services e Limited Use

O uso e a transferência, pelo SpamPost, de informações recebidas das APIs do Google seguem a Google API Services User Data Policy, incluindo os requisitos de Limited Use quando aplicáveis.

Informações do Google são usadas somente para fornecer ou melhorar recursos visíveis solicitados pelo usuário. Não transferimos esses dados para publicidade, corretores de dados ou avaliação de crédito. O acesso humano a dados do Google não é permitido, salvo com consentimento específico do usuário, quando necessário para segurança ou cumprimento legal, ou nas demais hipóteses admitidas pela política do Google.

9. Retenção, desconexão e revogação

Mantemos dados enquanto forem necessários para operar a conta, cumprir as finalidades descritas, preservar histórico solicitado pelo usuário e atender obrigações legais e de segurança. O projeto ainda não define um prazo único para todas as categorias de dados.

Ao desconectar o Google Drive no SpamPost, os tokens locais da conexão são removidos ou inutilizados e as fontes associadas são desativadas. Metadados operacionais e histórico podem permanecer para preservar a integridade das publicações e registros do workspace. A desconexão não apaga arquivos do Google Drive.

Você também pode revogar o acesso diretamente nas configurações de conexões de terceiros da sua Conta Google. A revogação interrompe novos acessos, mas não substitui uma solicitação de exclusão de dados que já estejam legitimamente armazenados no SpamPost.

10. Segurança

O SpamPost aplica controles como HTTPS em produção, credenciais cifradas, cookies HttpOnly e Secure quando aplicável, validação de origem, limitação de tentativas, armazenamento privado de mídia e autorização por workspace. Nenhum sistema é totalmente imune a incidentes, mas adotamos medidas técnicas proporcionais aos dados e às funções oferecidas.

11. Direitos do usuário

Conforme a legislação aplicável, você pode solicitar confirmação de tratamento, acesso, correção, portabilidade, oposição, revogação de consentimento e exclusão. Alguns registros poderão ser preservados quando houver obrigação legal, necessidade de segurança ou proteção de direitos. A exclusão integral da conta ainda não possui fluxo automático no produto e deve ser solicitada ao responsável pelo SpamPost.

12. Contato

O canal oficial para solicitações jurídicas e de privacidade ainda precisa ser definido pelo responsável pelo SpamPost. Um endereço de email válido deve ser publicado nesta seção antes da disponibilização comercial e do envio para verificação pública do Google OAuth.

13. Alterações desta política

Esta política pode ser atualizada para refletir mudanças no produto, na legislação ou nas integrações. A data de atualização será indicada no início da página. Quando uma mudança alterar materialmente o uso de dados do Google ou de outros dados pessoais, o SpamPost deverá fornecer aviso adequado e obter novo consentimento quando exigido.