Política de Privacidade

1. Quem somos

O Content Up é uma plataforma de aprovação, publicação e relatório de conteúdo da Carretel Inovação em Comunicação Ltda. (nome fantasia Carretel mídia), CNPJ 53.808.722/0001-33, com sede na Rua Ministro Petrônio Portela, 570, Salinas, Fortaleza/CE, CEP 60834-425. Esta política descreve como tratamos dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018). O uso do Content Up também segue os Termos de Uso.

2. Quem decide sobre cada dado

• Para os dados de cadastro, de acesso e de cobrança de quem usa o Content Up, a Carretel é a controladora: decide como esses dados são tratados.
• Para os dados pessoais que o workspace coloca na plataforma ou recebe pelas redes que conecta, como os dos clientes convidados, os comentários e quem os escreveu, o workspace é o controlador, e a Carretel atua como operadora: trata esses dados só para prestar o serviço, conforme as instruções do workspace.

3. Dados que coletamos

• Dados de cadastro: nome, e-mail e senha (armazenada com hash).
• Dados de uso da plataforma: workspaces, marcas, posts, comentários de aprovação e relatórios que você cria.
• Dados de redes sociais conectadas via OAuth: tokens de acesso (criptografados em repouso), métricas públicas de posts, comentários e menções das contas que você autorizar.
• Dados de contas de anúncios (Meta Ads, Google Ads), quando conectadas: métricas de campanhas.
• Dados de cobrança: plano, número de marcas, faturas, a bandeira e os quatro últimos números do cartão. O número completo do cartão é digitado no ambiente do Stripe, que processa o pagamento, e não passa pelos nossos servidores.
• Dados do ClickUp, quando conectado: as tarefas, os comentários e os anexos ligados aos conteúdos.
• Avisos pelo WhatsApp, quando ligados: o número conectado, o nome e o identificador dos grupos que você liga às marcas e os avisos que enviamos.
• Registros de acesso ao app: endereço IP, data e hora de cada entrada, guardados por 6 meses em ambiente controlado, como manda o Marco Civil da Internet (Lei nº 12.965/2014, art. 15).

4. Como usamos e com que base legal

Usamos os dados exclusivamente para operar a plataforma: exibir métricas, viabilizar o fluxo de aprovação, agendar e publicar conteúdo nas redes que você conectar, gerar relatórios, mandar os avisos que você escolher, cobrar a assinatura e emitir a nota fiscal. Não vendemos seus dados.

• Execução do contrato (art. 7º, V, da LGPD): cadastro, operação da plataforma, publicação nas redes conectadas, avisos do serviço e cobrança da assinatura.
• Cumprimento de obrigação legal (art. 7º, II): emissão de nota fiscal, guarda dos dados fiscais pelo prazo da lei e registros de acesso pelo Marco Civil da Internet.
• Legítimo interesse (art. 7º, IX): segurança da plataforma, prevenção de fraude e de abuso e melhoria do serviço, sempre no limite do necessário.
• Consentimento (art. 7º, I): cookies de medição do site e envio de novidades por e-mail, que você pode retirar a qualquer momento.
• Para os dados em que o workspace é o controlador (seção 2), a base legal é definida por ele, e a Carretel trata esses dados por conta dele.

5. Dados que recebemos das redes que você conecta

Quando você conecta uma rede, recebemos só o que a rede autoriza e usamos só para entregar os recursos do Content Up à própria conta conectada: identificar a conta (nome, foto e identificador), publicar o que sua equipe e seu cliente aprovaram, listar e responder comentários, e mostrar métricas no Analytics e nos relatórios.

• Instagram, Threads e Páginas do Facebook (Meta): perfil, publicações, comentários e métricas.
• TikTok: nome de exibição, foto, vídeos publicados e métricas.
• YouTube (Google): canal, vídeos e métricas.
• LinkedIn: perfil ou Página, publicações e métricas.
• Pinterest: perfil, pastas, Pins e métricas.
• X: perfil, posts e métricas.

Não vendemos esses dados, não os usamos para publicidade e não os transferimos a terceiros, salvo aos provedores que operam o serviço por nós (seção 8) e quando a lei exigir.

6. Recursos de IA

Recursos de IA (sugerir legendas e respostas, classificar o sentimento de comentários e recomendar ações no Analytics) enviam o texto necessário a provedores de IA (OpenAI e Google Gemini), que o processam em nosso nome pelas regras de API deles. Os dados do YouTube não vão para esses provedores (seção 12).

7. Avisos pelo WhatsApp

O recurso é opcional. O workspace conecta um número de WhatsApp próprio, pelo QR Code, e liga grupos às marcas. Mandamos por esse número só avisos sobre os conteúdos do workspace, nos grupos ligados. Guardamos só os grupos ligados às marcas: os outros grupos do número e as conversas não são gravados. As credenciais da sessão ficam no nosso servidor e são apagadas quando o número é desconectado.

8. Compartilhamento e operadores

Compartilhamos dados apenas com quem é necessário à operação, e cada um recebe só o que a sua função exige:

• Hostinger: hospedagem do app e do banco de dados, em servidor no Brasil.
• Cloudflare: armazenamento de mídia e cópias de segurança, e entrega do site.
• Resend: envio dos e-mails de convite e de aviso.
• Stripe: processamento dos pagamentos.
• OpenAI e Google: recursos de IA (seção 6).
• RD Station: contatos do formulário do site (seção 13).
• As redes sociais, os serviços de anúncio, o ClickUp e o WhatsApp que você conectar, pelas APIs ou pela conexão de cada um.

Alguns desses provedores tratam dados fora do Brasil, como nos Estados Unidos. Nesses casos, a transferência segue as hipóteses da LGPD, com as garantias contratuais de cada provedor.

9. Seus direitos

Você pode solicitar acesso, correção, exportação ou exclusão dos seus dados, bem como revogar o consentimento e desconectar contas a qualquer momento. Para exercer seus direitos, escreva para suporte@contentup.app. Se os dados forem de um workspace do qual você é cliente convidado, encaminhamos o pedido ao workspace, que é o controlador. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

10. Desconexão e exclusão dos dados das redes

Ao desconectar uma rede pelo Content Up, apagamos a conta conectada, as publicações coletadas dela e as métricas. Se você remover o acesso do Content Up pela própria rede, só desconectamos a conta e mantemos o histórico até você pedir a exclusão, menos no YouTube, em que apagamos a conta e o histórico em até 30 dias (seção 12). Se pedir a exclusão dos dados, pela rede ou pelo e-mail suporte@contentup.app, apagamos a conta conectada e o que veio dela (publicações coletadas, métricas e comentários).

11. Segurança e guarda dos dados

Protegemos os dados pessoais e os dados recebidos das redes que você conecta, inclusive os do Google, com estas medidas:

• Toda comunicação entre o seu navegador, o aplicativo e a nossa API é criptografada com HTTPS (TLS).
• Os tokens de acesso das redes que você conecta ficam criptografados no banco de dados com AES-256-GCM e só são decifrados no servidor, na hora de usar.
• Senhas são guardadas só como hash (bcrypt). Os links de redefinição de senha também são guardados só como hash.
• O banco de dados não fica aberto na internet: só o servidor da aplicação acessa.
• As mídias ficam em armazenamento com criptografia em repouso e são abertas por endereços com código aleatório, que não aparecem em busca nem em listagem. As cópias de segurança ficam em armazenamento privado, também com criptografia em repouso. As cópias do banco são diárias e são apagadas depois de 30 dias.
• Cada pessoa vê só os workspaces e as marcas a que tem acesso, conforme o papel que recebeu.
• O acesso à infraestrutura de produção é restrito à equipe técnica da Carretel mídia.
• Em caso de incidente de segurança que afete dados pessoais, avisamos os titulares e a ANPD, como manda a LGPD.

Mantemos os dados enquanto a conta e a assinatura estiverem ativas. Quando a assinatura termina, os dados do workspace ficam guardados por 90 dias, para exportação, e depois podem ser apagados. Ao excluir seu cadastro, os dados associados são removidos, e as cópias de segurança que ainda os contenham expiram em até 30 dias. Guardamos por mais tempo só o que a lei obriga: os registros de acesso por 6 meses, pelo Marco Civil da Internet, e os dados de cobrança e de nota fiscal pelo prazo da lei tributária.

We protect personal data and the data received from the networks you connect, including Google data, with these measures:

• All communication between your browser, the app and our API is encrypted with HTTPS (TLS).
• Access tokens for the networks you connect are encrypted in the database with AES-256-GCM and are only decrypted on the server, at the moment of use.
• Passwords are stored only as hashes (bcrypt). Password reset links are also stored only as hashes.
• The database is not exposed to the internet: only the application server can reach it.
• Media is kept in storage with encryption at rest and opened through addresses with a random code, which are not listed or indexed. Backups are kept in private storage, also encrypted at rest. Database backups are daily and are deleted after 30 days.
• Each person sees only the workspaces and brands they have access to, according to the role they were given.
• Access to the production infrastructure is restricted to the technical team at Carretel mídia.
• In case of a security incident affecting personal data, we notify the data subjects and the ANPD (Brazil's data protection authority), as required by the LGPD.

We keep data while the account and the subscription are active. When the subscription ends, the workspace data is kept for 90 days, for export, and may then be deleted. When you delete your account, the associated data is removed, and backups that still contain it expire within 30 days. We keep data longer only where the law requires it: access logs for 6 months, under Brazil's Internet Civil Framework, and billing and invoice data for the period set by tax law.

12. Dados do Google

O uso e a transferência, para qualquer outro app, de informações recebidas das APIs do Google seguem a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado.

Content Up's use and transfer to any other app of information received from Google APIs will adhere to Google API Services User Data Policy, including the Limited Use requirements.

Os dados que recebemos do YouTube (canal, vídeos e métricas) ficam sob as proteções da seção 11. Usamos esses dados só para mostrar o canal conectado, publicar o que sua equipe e seu cliente aprovaram e exibir as métricas no Analytics e nos relatórios. Não os vendemos, não os usamos para publicidade, não os enviamos a provedores de IA e não os usamos para treinar modelos de IA. Pessoas da nossa equipe só os veem para dar suporte, com o seu consentimento, para cumprir a lei ou para investigar abuso.

The data we receive from YouTube (channel, videos and metrics) is protected by the measures in section 11. We use it only to show the connected channel, publish what your team and your client approved, and display metrics in Analytics and reports. We do not sell it, use it for advertising, send it to AI providers or use it to train AI models. Our staff only access it to provide support with your consent, to comply with the law or to investigate abuse.

Ao usar recursos do YouTube no Content Up, você concorda com os Termos de Serviço do YouTube, e o Google trata os dados pela Política de Privacidade do Google. Você pode retirar o acesso do Content Up à sua Conta do Google a qualquer momento na página de permissões do Google. Quando você desconecta o YouTube no Content Up, o acesso também é retirado na sua Conta do Google. Se você retirar o acesso pela página de permissões do Google, apagamos a conta conectada e os dados que vieram dela em até 30 dias.

By using YouTube features in Content Up, you agree to the YouTube Terms of Service, and Google processes data under the Google Privacy Policy. You can revoke Content Up's access to your Google Account at any time on the Google security settings page. When you disconnect YouTube in Content Up, the access is also revoked in your Google Account. If you revoke access on the Google security settings page, we delete the connected account and the data that came from it within 30 days.

13. Site e WhatsApp do site

No site contentup.app, o WhatsApp do site pede nome, e-mail e WhatsApp. Usamos esses dados para o nosso time falar com você. Eles ficam no CRM da Carretel mídia (RD Station), que opera o Content Up, e a conversa continua no WhatsApp da Carretel mídia. Os dados enviados pelo antigo formulário do beta seguem as mesmas regras, e as novidades por e-mail só vão para quem marcou essa opção nele.

Cookies de medição, como o monitoramento do RD Station, só são ativados depois que você aceita no aviso de cookies. Sem o aceite, o site funciona do mesmo jeito. A origem da sua visita (os parâmetros de campanha do link) fica no seu navegador e, com o aceite, num cookie de até 90 dias, para sabermos de onde veio o contato.

14. Contato e encarregado

O encarregado pelo tratamento de dados pessoais é Rafael Carrilho Telaroli. Dúvidas sobre privacidade e pedidos ao encarregado: suporte@contentup.app.