Política de Privacidade

Última atualização: 16 de outubro de 2026

Esta política explica quais dados pessoais o Postato trata, para que servem, com qual base legal, com quem são compartilhados, por quanto tempo ficam guardados e como você pode exercer os seus direitos. Ela vale para quem usa o Postato (criadores, agências e as equipes deles), para as pessoas que comentam ou mandam mensagem para uma conta que usa o Postato e para quem entra na lista de espera.

1. Quem é o controlador

O Postato é operado por 89DEV INFORMATICA LTDA, empresa brasileira, CNPJ 26.220.882/0001-94, com endereço para correspondência em Rua Homero Sales, 722, Parque São Domingos, São Paulo, SP, CEP 05126-000, Brasil. Ela é a controladora dos dados pessoais tratados no Postato.

2. Encarregado e canal de privacidade

Encarregado pelo tratamento de dados pessoais (LGPD, art. 41): Luciano Souza, pelo e-mail privacidade@postato.com.br. Use esse endereço para qualquer pedido ou dúvida sobre os seus dados. Para outros assuntos, o contato geral é contato@postato.com.br.

3. O que o Postato faz

O Postato é um painel para criadores e equipes lerem e responderem, em um lugar só, os comentários e as mensagens diretas (DMs) das próprias contas profissionais do Instagram e, quando conectada, os comentários dos vídeos da conta do TikTok. Para isso, o Postato:

classifica cada comentário e mensagem com inteligência artificial (por exemplo pergunta, elogio, crítica, parceria, ofensa ou spam) e o encaminha conforme a regra que o criador escolheu para aquele tipo: esperar a resposta, sugerir um emoji, ignorar ou ocultar. Um comentário só é ocultado automaticamente no Instagram ou no TikTok depois que o criador confirma a regra de ocultar daquele tipo, e ele pode ser mostrado de novo a qualquer momento;
escreve rascunhos de resposta com inteligência artificial, no jeito do criador, a partir das respostas que ele já deu, do guia de voz que ele revisa e dos fatos que ele confirma. Nada é enviado sem o criador ou a equipe, salvo as automações que eles ligarem;
envia respostas automáticas que o criador configura e liga: resposta pública e mensagem privada para quem comenta uma palavra-chave em um post, mensagem para quem envia uma palavra-chave por DM, responde a um story ou menciona a conta em um story, mensagem de boas-vindas na primeira DM e aviso de fora do horário de atendimento para quem manda DM quando a conta está fechada;
lê o contexto das publicações: o texto das imagens dos posts e a transcrição do áudio dos vídeos, para que os rascunhos saibam do que o post fala;
lê documentos e o site do criador, quando ele envia um documento ou indica o endereço do site, para sugerir fatos para a ficha dele (o site é lido de novo toda semana);
organiza as pessoas: guarda o histórico de cada pessoa que fala com a conta, as promessas que o criador fez a ela, notas e grupos da equipe, e calcula indicadores sobre a relação (veja a seção 6);
mostra métricas da conta e das publicações e agrupa os assuntos que o público mais pergunta;
permite trabalhar em equipe: membros com papéis, acesso por perfil, aprovação de respostas, notas internas e um registro de atividade.

4. Quais dados tratamos

De quem usa o Postato. Ao entrar com o Google: nome, e-mail e foto. Ao entrar com e-mail e senha: o e-mail e um código irreversível (hash) da senha, nunca a senha em si. Ao entrar com o link mágico: o e-mail. Também guardamos a foto que você enviar, os workspaces e perfis que você cria, os convites e os membros (e-mail e papel), os seus ajustes, os pedidos de plano e o registro de atividade da equipe (quem fez o quê e quando).

Das contas conectadas. Só das contas que o próprio usuário conecta, depois que ele dá permissão:

Instagram: identificador, nome de usuário, nome e foto da conta; publicações e suas métricas; comentários e respostas nas publicações; menções à conta; mensagens diretas, respostas e menções a stories, e reações a mensagens;
TikTok, quando conectado: perfil da conta, vídeos e suas métricas, e comentários;
os tokens de acesso dessas contas, guardados criptografados.

De quem comenta ou manda mensagem para uma conta que usa o Postato. O nome de usuário e o identificador na plataforma, o que a pessoa escreveu e quando, e, quando a plataforma informa, nome, foto, se segue ou é seguida pela conta, número de seguidores e se o perfil é verificado. A partir disso, o Postato gera: o tipo de cada mensagem, as promessas feitas à pessoa, sugestões de atributos que a própria pessoa contou sobre si (por exemplo a cidade), a força da relação e o quanto o criador conhece a pessoa. A equipe pode acrescentar notas, grupos, apelido e foto. As sugestões de atributos nunca incluem saúde, religião, política, vida sexual, dinheiro, documentos ou dados de contato, e só valem depois que alguém da equipe confirma.

Enriquecimento de perfis. Em workspaces em que essa função está ligada, o Postato consulta o ScrapeCreators para obter o nome e a foto públicos do perfil do Instagram de quem comentou e ainda não tem nome no Postato. É no máximo uma consulta por pessoa a cada 30 dias, e o nome e a foto obtidos são lidos de novo depois desse prazo.

Posts compartilhados por DM. Quando alguém compartilha um post ou Reel público em uma DM, o Postato consulta o ScrapeCreators uma vez para mostrar a prévia (imagem e legenda) e guarda uma cópia da imagem.

Documentos e site do criador. O texto dos documentos que o criador envia e das páginas do site que ele indica, para extrair fatos sobre ele e o trabalho dele.

Lista de espera. Veja a seção 13.

Dados técnicos. Registros do servidor e das chamadas aos provedores de inteligência artificial (quando, qual tarefa, quantos tokens e o custo), e as entregas brutas que o Instagram e o TikTok enviam ao Postato (webhooks).

5. Para que usamos os dados e com qual base legal

Prestar o serviço contratado a quem usa o Postato: login, painel, caixa de entrada, classificação, rascunhos, envio de respostas, automações, regras de ocultar, equipe, métricas e e-mails de serviço (link de acesso, convites, leitura concluída, resumos e avisos). Base legal: execução de contrato (LGPD, art. 7º, V).
Tratar os dados de quem comenta ou manda mensagem para organizar e responder as conversas da conta, inclusive com as automações e a classificação. Base legal: legítimo interesse do criador e do Postato em se relacionar com quem procurou a conta (art. 7º, IX), limitado ao que a pessoa enviou à conta e ao que a plataforma informa.
Formar o perfil de cada pessoa (força da relação, o quanto você conhece, atributos sugeridos e enriquecimento de nome e foto). Base legal: legítimo interesse (art. 7º, IX). A pessoa pode se opor e pedir a exclusão (seção 12).
Lista de espera: avisar da abertura. Base legal: consentimento (art. 7º, I), que você pode revogar a qualquer momento.
Segurança, prevenção de abuso e controle de custos (por exemplo limites por endereço IP, registro de atividade e das chamadas aos provedores de inteligência artificial). Base legal: legítimo interesse (art. 7º, IX).
Cumprir obrigações legais e regulatórias, como guardar registros de acesso exigidos pelo Marco Civil da Internet e documentos fiscais e de cobrança. Base legal: cumprimento de obrigação legal (art. 7º, II).
Exercer direitos em processos judiciais, administrativos ou arbitrais. Base legal: art. 7º, VI.

Não vendemos dados pessoais e não os usamos para publicidade. Não usamos os dados para treinar modelos de inteligência artificial.

6. Decisões automatizadas e perfis

O Postato faz três tratamentos automatizados que você deve conhecer:

Classificação e ocultação por regra. A inteligência artificial lê cada comentário e mensagem e diz de que tipo ele é. Se o criador confirmou a regra de ocultar aquele tipo (por padrão, ofensa, bullying e spam são sugeridos), o comentário é ocultado na plataforma. Tudo o que foi ocultado fica na fila de Moderação do painel, onde o criador revê e mostra de novo com um clique. O tipo também pode ser corrigido pela equipe.
Força da relação. Uma nota de 0 a 100 por pessoa, calculada a partir de quantas vezes e quão recentemente ela interagiu com a conta (DMs, respostas a stories, menções, comentários) e das promessas feitas a ela. Serve para o criador saber com quem a conversa é mais próxima.
O quanto você conhece. Uma contagem de sete itens por pessoa (nome, foto, se segue a conta, algum atributo, alguma nota, alguma DM e algum grupo), cada um contado só a partir do que a pessoa disse ou do que a equipe confirmou.

Esses indicadores não são usados para nenhuma decisão sobre a pessoa fora do painel do criador, não são compartilhados com terceiros e não passam de um workspace para outro. Quem foi afetado por uma decisão automatizada pode pedir a revisão dela (LGPD, art. 20) pelo privacidade@postato.com.br.

7. Com quem compartilhamos

Para operar o serviço, contamos com estes fornecedores (suboperadores), que tratam dados em nosso nome e só para a tarefa indicada:

Hostinger: o servidor onde ficam o banco de dados, a fila de tarefas e as aplicações, em São Paulo, Brasil;
Cloudflare (R2): armazenamento das imagens (fotos de perfil, de pessoas, cópias das imagens dos posts, das fotos, figurinhas e GIFs recebidos por DM e das prévias de posts compartilhados por DM) e das cópias de segurança do banco de dados;
Resend: envio dos e-mails do serviço;
Anthropic: inteligência artificial dos rascunhos de resposta, do guia de voz, das sugestões de fatos (inclusive a partir de documentos e do site do criador), da leitura do contexto dos posts (o texto das imagens) e do agrupamento de assuntos. Recebe o texto de comentários e mensagens, o guia de voz, os fatos do criador, as imagens dos posts e o texto de documentos e páginas do site, conforme a tarefa;
OpenAI: somente a transcrição do áudio dos vídeos;
TypeSafe: classificação dos comentários e das mensagens, que recebe o texto deles;
ScrapeCreators: consulta de dados públicos de perfis (nome e foto) e da prévia pública de posts e Reels compartilhados por DM (seção 4);
Meta (Instagram): a plataforma da conta conectada, de onde vêm os comentários e as mensagens e que recebe as respostas, as mensagens e as ocultações que o Postato envia em nome da conta, segundo as regras dela;
TikTok, quando a conta está conectada: o mesmo, para os comentários dos vídeos;
Google: somente o login com a conta Google, para quem escolhe essa opção.

Não usamos outros provedores de inteligência artificial. Esta lista de suboperadores é mantida atualizada nesta página. Também podemos compartilhar dados quando a lei ou uma ordem de autoridade exigir.

8. Transferência internacional

Cloudflare, Resend, Anthropic, OpenAI, TypeSafe, ScrapeCreators, Meta, TikTok e Google tratam dados fora do Brasil, principalmente nos Estados Unidos. Essas transferências são feitas com as garantias previstas no art. 33 da LGPD, como as cláusulas contratuais de proteção de dados desses fornecedores, e somente para as finalidades desta política.

9. Por quanto tempo guardamos

Enquanto o workspace estiver ativo (em teste ou com plano), os dados ficam guardados.
Teste de 7 dias terminado sem plano, ou plano cancelado ao fim do período pago: o painel fica só para leitura por 30 dias. Avisamos por e-mail 7 dias e 1 dia antes da exclusão. Depois disso, os dados do workspace são apagados.
Workspace excluído pelo dono: some do painel na hora, as contas são desconectadas e os dados são apagados de vez em 30 dias, inclusive as imagens.
Conta de usuário excluída: nome, e-mail, foto, sessões e acessos são apagados na hora; o registro restante é apagado em 30 dias. Workspaces em que a pessoa era o único membro são apagados junto.
Pedido de exclusão enviado pela Meta (quando você remove o Postato das configurações do Instagram): os dados daquela conta do Instagram são apagados assim que o pedido é processado.
Conta desconectada no painel: o Postato para de acessar a conta e apaga os tokens. O que já foi lido continua no workspace até ele ser excluído ou até um pedido de exclusão.
Entregas brutas das plataformas (webhooks): o conteúdo é apagado 30 dias depois de processado. Registro de atividade da equipe: 90 dias.
Para que o teste grátis valha uma vez por conta do Instagram, guardamos um código irreversível (hash) do identificador da conta, mesmo depois da exclusão.
Fazemos cópias de segurança diárias do banco de dados, guardadas por até 30 dias em armazenamento da Cloudflare (R2). Um dado apagado sai das cópias quando elas expiram.
Dados que a lei manda guardar ficam pelo prazo legal (por exemplo, registros de acesso por 6 meses e documentos fiscais pelo prazo da legislação tributária).

10. Como excluir seus dados

No painel: em Ajustes, o dono pode excluir o workspace, e cada pessoa pode excluir a própria conta.
No Instagram: remova o Postato da lista de aplicativos conectados. A Meta nos envia um pedido de exclusão, que apaga os dados daquela conta.
Por e-mail: escreva para privacidade@postato.com.br.

O passo a passo está na página Exclusão de dados.

11. Seus direitos

A LGPD (Lei nº 13.709/2018, art. 18) garante a você, entre outros, os direitos de: confirmar que tratamos seus dados e acessá-los; corrigir dados incompletos, inexatos ou desatualizados; pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários ou tratados em desconformidade; pedir a portabilidade; pedir a eliminação dos dados tratados com consentimento; saber com quem compartilhamos; revogar o consentimento; se opor a um tratamento feito com base no legítimo interesse; e pedir a revisão de decisões automatizadas.

Para exercer qualquer um deles, escreva para privacidade@postato.com.br. Podemos pedir uma informação para confirmar que o pedido é seu. Respondemos em até 15 dias. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

12. Se você comentou ou mandou mensagem para uma conta que usa o Postato

O Postato guarda o que você enviou a essa conta e o perfil descrito acima, apenas dentro do workspace do criador que usa o Postato. Para se opor ao perfil ou pedir a exclusão dos seus dados, escreva para privacidade@postato.com.br com o seu nome de usuário e a conta com que você falou. Nós apagamos os seus dados daquele workspace, ou de todos, se você pedir, e confirmamos por e-mail. O que você escreveu continua na plataforma (Instagram ou TikTok) conforme as regras dela.

13. Lista de espera

Enquanto o Postato não abre para todos, o site tem um formulário de lista de espera. Nele guardamos o seu e-mail, o @ do Instagram (opcional), o tipo de perfil que você escolheu (criador, equipe ou agência), o idioma e a página de onde você enviou e a data.

Para quê: só para avisar você quando o Postato abrir e saber que tipo de perfil está esperando. Não enviamos outros e-mails nem compartilhamos a lista.
Base legal: o seu consentimento, ao enviar o formulário.
Por quanto tempo: até avisarmos da abertura; depois do aviso, a lista é apagada em até 90 dias.
Como sair: escreva para privacidade@postato.com.br pedindo para sair da lista, e o seu registro é apagado.

14. Segurança

Os tokens das contas conectadas são guardados criptografados, as senhas só como código irreversível (hash), as imagens ficam em um armazenamento privado servido só a quem tem acesso ao perfil, e cada membro da equipe vê só os perfis que recebeu. Ao criar ou trocar uma senha, conferimos se ela aparece em vazamentos conhecidos no serviço Have I Been Pwned, que recebe só os 5 primeiros caracteres de um código irreversível da senha, nunca a senha nem o e-mail. Nenhuma medida é infalível: se acontecer um incidente que possa trazer risco a você, avisaremos você e a ANPD, como a lei exige.

15. Cookies

O site não usa cookies de análise nem de publicidade. O painel usa cookies de sessão, necessários para manter você conectado.

16. Mudanças nesta política

Se esta política mudar, a nova versão será publicada nesta página, com a data de atualização no topo. Mudanças relevantes também serão avisadas no painel ou por e-mail.