Versão 1.0

Política de Privacidade — PULSElabs

Versão: 1.0 Vigência: [DATA DE PUBLICAÇÃO] Última atualização: [DATA DE PUBLICAÇÃO]

Esta Política de Privacidade descreve como [RAZÃO SOCIAL DA EMPRESA], CNPJ [CNPJ] ("PULSElabs", "nós"), coleta, utiliza, compartilha, armazena e protege dados pessoais no contexto da plataforma PULSElabs ("Plataforma"), em conformidade com a Lei nº 13.709/2018 (LGPD), o Marco Civil da Internet (Lei nº 12.965/2014) e o Código de Defesa do Consumidor.

Esta Política integra os Termos e Condições de Uso.

1. Dados que coletamos

1.1. Dados fornecidos diretamente pelo Cliente

• Dados de cadastro: nome, e-mail, senha (armazenada apenas como hash) e metadados do cadastro.
• Dados da marca/projeto: identidade da marca, URLs, voz, público-alvo, palavras-chave, produtos.
• Materiais enviados (Knowledge Base): documentos (PDF, texto), imagens e conteúdo que o Cliente carrega para orientar a geração (Briefing 56 — base de conhecimento da marca).
• Conteúdo gerado: textos, imagens e vídeos produzidos pela IA a partir dos insumos do Cliente.

1.2. Dados de inteligência competitiva ("Brain")

• A Plataforma coleta dados publicamente disponíveis de perfis, concorrentes e inspirações que o próprio Cliente configura como Referência (Briefing 50). Trata-se de informações públicas de redes sociais (ex.: posts públicos, métricas de engajamento públicas), coletadas sem login nas contas-alvo.

1.3. Dados coletados via OAuth (Plataformas Conectadas)

• Ao conectar Instagram, Facebook ou LinkedIn, coletamos apenas os dados dos escopos aprovados pelo Cliente (ex.: perfil, publicação de conteúdo, métricas das contas do próprio Cliente).
• Comentários e interações públicas acessados via Graph API (Briefing 61) quando o Cliente habilita a funcionalidade.
• Não armazenamos senhas das Plataformas Conectadas — apenas tokens de acesso cifrados (ver Segurança).

1.4. Dados de uso e técnicos

• Métricas de uso, logs de requisição (com requestId), endereço IP, identificação do navegador (user-agent) e dados de cobrança processados pelo Stripe.
• Registro de aceite legal: ao aceitar os Termos/Política, registramos user_id, versão, data/hora, IP e user-agent (prova de consentimento, art. 8º da LGPD).

1.5. Diagnóstico de problemas (bug-report / tickets)

• Quando o Cliente reporta um problema (botão "Reportar bug" ou ticket de suporte), coletamos, junto do relato, um contexto técnico para diagnóstico: rota/página, user-agent, resolução da tela, idioma e fuso horário, identificador da sessão (plano, marca), requestId para correlação com nossos logs, erros recentes do navegador e a última chamada de API que falhou.
• Captura de tela: ao enviar um report, a Plataforma anexa automaticamente uma imagem da área visível da própria Plataforma (a tela do Cliente dentro do produto, na sua própria sessão autenticada), exclusivamente para diagnóstico do problema relatado. A captura abrange apenas a aba/área do produto — não acessa outras abas, janelas ou a tela do dispositivo fora do navegador.
• O que NUNCA coletamos: senhas, tokens de acesso, cookies ou conteúdo do localStorage. Esses dados são removidos automaticamente (sanitização) no seu navegador, antes do envio.
• Finalidade e base legal: suporte técnico e correção de defeitos (execução de contrato e legítimo interesse, com avaliação de impacto). O Cliente pode ver, no próprio ticket, um painel de transparência com os dados técnicos coletados, e pode solicitar a exclusão a qualquer momento (ver seção 7).
• Retenção: tickets resolvidos são mantidos por 6 meses e depois removidos (soft delete).

2. Para que usamos os dados (finalidades)

• Operar a Plataforma e prover as funcionalidades contratadas (geração de conteúdo, agendamento, publicação).
• Gerar conteúdo exclusivamente a partir dos insumos configurados pelo Cliente.
• Processar pagamentos e gerenciar assinaturas (via Stripe).
• Métricas e melhoria do produto, com dados agregados e anonimizados.
• Suporte, segurança, prevenção a fraude e cumprimento de obrigações legais.
• Comunicações operacionais e transacionais (inclusive aviso de mudança de Termos/Política).

Bases legais (art. 7º LGPD): execução de contrato, consentimento, cumprimento de obrigação legal e legítimo interesse (este último para segurança e melhoria do produto, sempre com avaliação de impacto e respeito aos direitos do titular).

3. Compartilhamento e operadores (sub-processadores)

Compartilhamos dados estritamente com fornecedores necessários à operação, que atuam como operadores sob contrato:

3.1. Os modelos de IA (Anthropic/OpenAI) processam o conteúdo para gerar as saídas, mas, conforme suas políticas de API, não utilizam o conteúdo enviado via API para treinar seus modelos.

3.2. Não vendemos dados pessoais. Compartilhamento adicional só ocorre por obrigação legal ou ordem de autoridade competente.

4. Retenção e exclusão

4.1. Mantemos os dados pelo tempo necessário às finalidades acima e às obrigações legais.

4.2. Após o cancelamento da conta, os dados são retidos por até 30 (trinta) dias (para eventual recuperação), findos os quais são excluídos definitivamente (hard delete), ressalvadas hipóteses de guarda obrigatória (ex.: registros fiscais e logs de acesso exigidos pelo Marco Civil).

4.3. Dados agregados e anonimizados (que não permitem reidentificação) podem ser mantidos para fins estatísticos e de melhoria do produto.

5. Segurança da informação

5.1. Criptografia em repouso. Credenciais e tokens de integrações de terceiros são cifrados com AES-256-GCM (ADR 0002). A chave de criptografia é gerenciada como segredo de ambiente e nunca exposta ao cliente (navegador).

5.2. Criptografia de disco no worker. O worker de coleta de inteligência roda em ambiente com criptografia de disco LUKS (ADR 0013).

5.3. Senhas são armazenadas apenas como hash (PBKDF2 via Web Crypto) — nunca em texto claro.

5.4. Controle de acesso. O acesso ao banco usa chave de serviço server-only; o aplicativo isola os dados por usuário/marca em código. Sessões são cookies JWT assinados, com expiração.

5.5. Apesar das medidas adotadas, nenhum sistema é 100% seguro. Em caso de incidente de segurança relevante, comunicaremos os titulares e a ANPD conforme exigido pela LGPD.

6. Cookies

6.1. Utilizamos cookies funcionais (essenciais para autenticação e funcionamento da sessão) e, quando aplicável, cookies de analytics mediante opt-in.

6.2. O Cliente pode gerenciar cookies nas configurações do navegador. A desativação de cookies essenciais pode impedir o funcionamento da Plataforma.

7. Direitos do titular (LGPD)

Você pode, a qualquer momento, exercer os direitos do art. 18 da LGPD:

• confirmação da existência de tratamento;
• acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
• portabilidade a outro fornecedor;
• eliminação dos dados tratados com base no consentimento;
• informação sobre o compartilhamento;
• revogação do consentimento.

Como exercer: envie a solicitação para o canal de privacidade indicado na seção 9. Responderemos no prazo legal.

8. Transferência internacional

Alguns operadores (ex.: Anthropic, OpenAI, Stripe, Vercel) processam dados fora do Brasil. Tais transferências observam as salvaguardas exigidas pela LGPD (art. 33), incluindo cláusulas contratuais e garantias de nível adequado de proteção.

9. Encarregado pelo Tratamento de Dados (DPO)

Encarregado(a): [NOME DO ENCARREGADO — A PREENCHER] Canal de privacidade: [E-MAIL DE PRIVACIDADE — A PREENCHER] Contato geral: [hello@limaolaranja.com]

10. Alterações desta Política

10.1. Esta Política pode ser atualizada para refletir mudanças legais, técnicas ou de negócio. A versão vigente é identificada por número e data.

10.2. Mudanças materiais serão comunicadas e poderão exigir novo aceite no painel. A continuidade do uso após a vigência implica concordância.

Versão 1.0 — Draft, pendente revisão jurídica. Documento mantido em `docs/legal/privacy-policy-v1.md`. Versões anteriores arquivadas em `docs/legal/_archive/`.