Como o DM Flow trata os seus dados

1.Quem é o responsável

O DM Flow é um produto da Mocley, responsável pelo tratamento dos dados descritos nesta política. Para qualquer assunto relacionado a privacidade, incluindo o exercício dos seus direitos, escreva para [email protected].

Esta política se aplica ao site e ao painel em dmflow.mocley.com e à API que os atende. Você entra no painel pelo login do Instagram, com a sua conta profissional. Contas de equipe, criadas pela Mocley, entram com e-mail e senha.

2.Dados que coletamos

Coletamos apenas o necessário para o produto funcionar. Nada é obtido de fontes externas nem enriquecido com dados de terceiros.

Conta de acesso ao painel

• Nome, que vem do Instagram no primeiro login.
• Em contas de equipe, e-mail e senha. A senha é guardada apenas como hash bcrypt: não temos acesso a ela em texto e não conseguimos recuperá-la, apenas redefini-la.
• Se você começar o teste grátis, o e-mail e o número de celular que informar. São obrigatórios para o teste, e não servem para entrar no painel.
• O registro de cada aceite dos termos de uso: a versão aceita, a data e a hora, o endereço IP e o navegador. É a prova do contrato, e fica guardado enquanto a conta existir.
• As sessões abertas no painel: como você entrou, o nome do navegador (por exemplo, "Chrome no Windows") e o último uso, para você ver e encerrar cada uma em Configurações.

Conta do Instagram conectada

Ao autorizar o DM Flow pelo login do Instagram, recebemos da Meta e armazenamos:

• Os identificadores numéricos da conta profissional, o nome de usuário, o nome de exibição e a foto de perfil.
• O token de acesso de longa duração e a sua data de expiração. O token é gravado cifrado e nunca é exibido no painel.

A bio, o site, os números de seguidores, de seguindo e de publicações, e a lista dos seus posts são consultados na Meta no momento em que você abre as telas de Perfil e de Automações, apenas para mostrá-los, e não ficam guardados.

Publicações agendadas

• O arquivo de foto ou vídeo que você envia, e a capa do vídeo quando houver. Eles ficam num armazenamento de arquivos, num endereço que a Meta acessa para publicar, e são apagados de lá logo depois que o post é publicado.
• A legenda, o primeiro comentário, a data e a hora escolhidas e o resultado da publicação.

Eventos e entregas

Quando alguém comenta em uma publicação sua ou envia uma mensagem direta à conta conectada, a Meta nos notifica por webhook. Desse evento guardamos:

• O texto do comentário ou da mensagem, usado para avaliar as palavras-chave configuradas.
• O identificador e o nome de usuário de quem enviou, e o identificador da publicação relacionada.
• O identificador do evento, que impede que um mesmo comentário ou mensagem receba a resposta duas vezes.
• A mensagem enviada em resposta, o horário e o resultado do envio.

Assinatura, suporte, notificações e avaliação

• O pagamento é feito na Hotmart, e não recebemos dados de cartão. A Hotmart nos avisa de cada compra, e guardamos o e-mail e o nome de quem comprou, o plano, o valor e a situação da compra, para liberar o acesso.
• Se você ativar as notificações no celular, o endereço de inscrição que o navegador cria para recebê-las.
• Se você avaliar o produto, as estrelas e o comentário que escrever.
• Se você escrever ao suporte pelo formulário do site, o nome, o e-mail para resposta, a mensagem e a página de onde ela foi enviada; com o painel aberto, também a conta de quem escreveu.

Não coletamos a lista de seguidores, dados de cartão nem qualquer informação sensível na acepção da LGPD.

3.Para que usamos

• Autenticar o acesso ao painel.
• Identificar comentários e mensagens que correspondem às automações configuradas pelo titular da conta.
• Enviar, pela API da Meta, a resposta configurada.
• Publicar, pela API da Meta, os posts que o titular agendou, na data e na hora escolhidas.
• Manter o histórico de entregas e de publicações, para que o titular saiba o que foi enviado e publicado, para quem e quando.
• Respeitar os limites de envio e as janelas de resposta exigidos pela Meta.
• Liberar o acesso conforme a assinatura e avisar o titular sobre publicações e falhas.
• Falar com o titular sobre a conta, o teste grátis e a assinatura, pelo e-mail e pelo celular que ele informou, e preencher esse e-mail no checkout da Hotmart.
• Impedir que o teste grátis seja usado mais de uma vez pela mesma pessoa.
• Responder, por e-mail, às mensagens enviadas ao suporte.

Não usamos os dados para treinar modelos, criar perfis de comportamento, segmentar anúncios ou qualquer finalidade diferente das acima.

4.Base legal

O tratamento se apoia no consentimento do titular da conta do Instagram, que autoriza expressamente o acesso durante o fluxo de conexão, e na execução do contrato de uso do produto (art. 7º, incisos I e V, da Lei 13.709/2018, a LGPD). O consentimento pode ser retirado a qualquer momento, revogando o acesso do aplicativo no Instagram ou pelos caminhos da seção 9.

O registro que impede o uso repetido do teste grátis se apoia no legítimo interesse de evitar fraude (art. 7º, inciso IX, da LGPD), e guarda o mínimo para isso, como descrito na seção 7.

5.Compartilhamento

Os dados não são vendidos, alugados ou cedidos. Eles chegam apenas a:

• Meta Platforms, que recebe as chamadas necessárias para ler o perfil da conta conectada, entregar as mensagens e respostas e publicar os posts agendados. É a plataforma de origem dos dados.
• Hostinger, que hospeda o servidor onde rodam o DM Flow e o seu banco de dados.
• Cloudflare, que cuida do DNS e da proteção de rede de todo o tráfego do site e da API, e guarda os arquivos das publicações agendadas até elas saírem.

Hostinger e Cloudflare tratam os dados apenas para prestar esses serviços ao DM Flow, como operadores. As notificações no celular passam pelo serviço de envio do próprio navegador (Google, Mozilla ou Apple) cifradas de ponta a ponta: esse serviço entrega a notificação, mas não consegue ler o conteúdo.

Podemos divulgar informações se formos legalmente obrigados, mediante ordem judicial ou requisição de autoridade competente. Nesses casos, verificamos a legitimidade do pedido, contestamos o que não tiver base legal, entregamos apenas o estritamente necessário e guardamos registro do pedido e da resposta.

6.Onde ficam e como são protegidos

• Os dados residem em um banco PostgreSQL, em servidor privado da Hostinger nos Estados Unidos, não exposto à internet pública. Essa transferência internacional é necessária para prestar o serviço contratado (art. 33, inciso IX, da LGPD).
• Os arquivos das publicações agendadas ficam no armazenamento de arquivos da Cloudflare até o post ser publicado.
• Os tokens do Instagram são cifrados em repouso com AES-256-GCM. Um vazamento do banco, isoladamente, não dá acesso às contas.
• Senhas das contas de equipe são guardadas como hash bcrypt, nunca em texto.
• Todo o tráfego entre o navegador e o servidor usa HTTPS.
• As notificações recebidas da Meta têm a assinatura criptográfica conferida antes de serem processadas, o que impede eventos forjados.

Nenhuma medida de segurança é absoluta. Se ocorrer um incidente que possa acarretar risco relevante aos titulares, comunicaremos os afetados e a ANPD conforme exige a LGPD.

7.Por quanto tempo guardamos

• Dados da conta do Instagram e automações: enquanto a conta estiver conectada.
• Histórico de entregas e de publicações: mantido para consulta enquanto a conta estiver conectada, e excluído junto com ela.
• Arquivos de foto e vídeo enviados para publicar: apagados logo depois que o post é publicado.
• Ao desconectar a conta, os dados vinculados a ela (automações, mensagens configuradas, publicações, histórico de entregas e o token) são apagados do banco.
• Tokens expirados perdem a validade na origem, na Meta, e deixam de permitir qualquer acesso.
• Registros de pagamento: mantidos mesmo depois da exclusão da conta, como comprovante da compra.
• E-mail e celular informados para o teste grátis: enquanto a conta existir, e excluídos junto com ela.
• Mensagens enviadas ao suporte: por um ano, e depois apagadas. As enviadas com o painel aberto são excluídas antes, se a conta for excluída.
• Para impedir que o teste grátis seja usado de novo, guardamos por dois anos, mesmo depois da exclusão da conta, um código derivado (hash com chave secreta) do e-mail, do celular e do perfil do Instagram que iniciaram o teste. Desse código não se lê o dado original: ele só permite reconhecer o mesmo dado quando ele é informado de novo.
• Sobrevive à exclusão apenas um registro técnico de idempotência, com o identificador do evento e a data em que foi processado, sem texto, sem nome de usuário e sem qualquer dado de quem interagiu. Ele existe porque a Meta permite uma única resposta automática por comentário, e apagá-lo permitiria um envio duplicado.

8.Seus direitos

A LGPD garante ao titular o direito de confirmar a existência de tratamento, acessar os dados, corrigir dados incompletos ou desatualizados, solicitar anonimização, bloqueio ou eliminação, pedir a portabilidade, obter informação sobre compartilhamentos e revogar o consentimento.

Boa parte disso está disponível no próprio painel: as telas de Perfil, Automações, Publicação e Entregas mostram o que guardamos sobre a conta conectada. Para os demais pedidos, escreva para [email protected]. Respondemos em até 15 dias.

9.Como excluir seus dados

Há três caminhos, e qualquer um deles interrompe o tratamento:

1. Pelo Instagram. Em Configurações → Apps e sites, remova o acesso do aplicativo. O token deixa de funcionar imediatamente e nenhuma mensagem nova é enviada. Na mesma tela, você pode pedir a exclusão dos dados: o pedido chega até nós, apagamos na hora o perfil e tudo o que veio dele, e o código de confirmação que o Instagram mostra serve para acompanhar o pedido.
2. Por e-mail. Escreva para [email protected] informando o nome de usuário do Instagram. Confirmamos a exclusão completa em até 15 dias.
3. Pelo painel, em contas com vários perfis. Cada perfil pode ser desvinculado no seletor de contas, no topo do menu. Isso apaga o token, as automações, as mensagens configuradas, as publicações e o histórico de entregas daquele perfil. Na conta comum, em que o perfil do Instagram é a própria chave de entrada, use um dos caminhos acima.

Se você não é cliente do DM Flow, mas comentou ou enviou mensagem a uma conta que usa o produto e quer que o registro desse evento seja apagado, escreva para o mesmo endereço informando o seu nome de usuário do Instagram e a conta com quem interagiu.

10.Cookies

Usamos apenas cookies estritamente necessários. Um guarda o token da sua sessão no painel: é do tipo httpOnly (inacessível a scripts) e só trafega por HTTPS. Outro guarda o idioma que você escolheu para o site, e outro, o último perfil que você abriu no painel. Enquanto você entra pelo Instagram, um cookie temporário, apagado em até 10 minutos, confirma que a entrada termina no mesmo navegador em que começou. Não há cookies de análise, rastreamento ou publicidade, nem ferramentas de terceiros carregadas nas páginas.

11.Menores de idade

O DM Flow é uma ferramenta profissional e não se destina a menores de 18 anos. Não coletamos intencionalmente dados de crianças e adolescentes. O uso do Instagram, por sua vez, segue as regras de idade da própria plataforma.

12.Plataforma da Meta

O DM Flow usa a Instagram API e opera de acordo com os Termos da Plataforma e as Políticas para Desenvolvedores da Meta. Os dados obtidos por essas APIs são usados apenas para as finalidades descritas aqui, e o acesso pode ser revogado a qualquer momento pelo titular, diretamente no Instagram.

13.Alterações nesta política

Se esta política mudar, a data de atualização no topo da página muda junto. Alterações relevantes na forma como tratamos os dados serão comunicadas aos titulares das contas conectadas antes de entrarem em vigor.

14.Contato

Dúvidas, solicitações ou reclamações sobre privacidade: [email protected]. Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).