Política de privacidade — PAKUM

1. Quem cuida dos seus dados e como falar conosco

O controlador é Primeiro Milhão Consultoria e Treinamento Ltda, CNPJ 42.576.295/0001-99, com endereço em Rua Mandiuba, 302, Vila Celeste, São Paulo/SP, CEP 03158-070.

Canal de privacidade: saas@pakum.io. Por ele você exerce os seus direitos, tira dúvidas e faz reclamações sobre os seus dados; a Autoridade Nacional de Proteção de Dados (ANPD) também pode nos contatar por ele.

Como agente de tratamento de pequeno porte, mantemos este canal de comunicação com os titulares no lugar de um encarregado (DPO) nomeado, como permite a regulamentação da ANPD.

2. Dados que tratamos e para quê

Cadastro e acesso

• E-mail e senha. A senha é guardada pelo serviço de autenticação (Supabase Auth) em formato protegido (hash), nunca em texto legível.
• Nome de exibição (opcional) e fuso horário, que você pode mudar em Configurações.
• Telefone (WhatsApp): obrigatório no cadastro com e-mail, para podermos falar com você sobre a sua conta. Fica nos dados da sua conta no serviço de autenticação.
• As datas do cadastro e do teste grátis e a versão dos Termos e desta política que você aceitou, com a data do aceite. No cadastro com e-mail, esse registro é feito no próprio cadastro; ao entrar com o Google, na tela de aceite que aparece no primeiro acesso.
• Dados técnicos das sessões, guardados pelo serviço de autenticação (Supabase Auth): data e hora, endereço IP e a identificação do programa que fez o pedido (o seu navegador ou o servidor do PAKUM). Veja “Registros técnicos e de segurança”, abaixo.
• Se você escolheu um plano na página inicial antes de se cadastrar, guardamos essa escolha só para lembrar a contratação (ela não libera nem cobra nada).
• Se você chegar por um anúncio ou link de divulgação, guardamos na conta o nome da campanha (os parâmetros “utm” do endereço, que o navegador lembra só até você fechar a aba) apenas para saber quais divulgações funcionam, sem cookie de publicidade nem rastreador de anúncios.

Verificação de senha vazada: ao criar ou trocar a senha, o servidor do PAKUM calcula um código da senha (hash SHA-1) e envia ao serviço Pwned Passwords, do HaveIBeenPwned, só os 5 primeiros caracteres desse código (técnica chamada k-anonimato). A comparação é feita no nosso servidor: a senha e o código completo nunca saem dele. Se a senha aparecer em vazamentos conhecidos, pedimos que você escolha outra. Se o serviço não responder, a verificação é pulada.

Para quê: criar e proteger a sua conta, permitir o acesso, falar com você, aplicar o teste grátis e medir de onde vêm os cadastros, para saber quais divulgações funcionam. Base legal: execução do contrato (LGPD, art. 7º, V) e legítimo interesse na segurança das contas e na medição das nossas divulgações (art. 7º, IX).

Login com Google

Se você usar “Continuar com o Google”, o Google nos envia o seu e-mail e os dados básicos do seu perfil (nome, foto e o identificador da conta Google), usados para criar a conta e permitir o acesso. Não recebemos a sua senha do Google. Entrar com o Google não dá ao PAKUM acesso ao seu canal do YouTube: isso só acontece se você conectar o canal em Contas conectadas (veja Google e YouTube). Base legal: execução do contrato.

Fotos, vídeos e publicações

• As fotos e os vídeos que você envia e as capas geradas a partir deles, com os dados técnicos de cada arquivo (nome, tipo, tamanho, duração e dimensões).
• O que você escreve e escolhe para cada publicação: título, legenda ou descrição, hashtags, opções de cada rede e a data, o horário e o fuso do agendamento.
• O andamento de cada publicação: situação, tentativas, mensagens de erro e, depois de publicada, o identificador e o link da publicação na rede.

Para quê: guardar as suas mídias, publicar o que você pediu e mostrar o histórico. Base legal: execução do contrato.

Contas de redes sociais conectadas

Quando você conecta uma rede, guardamos o identificador da conta na rede, o nome, o nome de usuário (@), a foto e o tipo de conta; as permissões concedidas; a situação da conexão e as datas de verificação; e os tokens de acesso (as chaves que a rede nos dá para agir em seu nome), sempre cifrados. O que cada rede nos envia está nas seções Instagram, TikTok e Google e YouTube. Base legal: execução do contrato, a seu pedido.

Pagamentos

• O plano, a situação da assinatura, o início e o fim de cada período, cancelamentos e o histórico de mudanças de plano.
• As cobranças: número do pedido na Cakto, forma de pagamento, valor, situação e datas; no PIX, o código “copia e cola” e a validade dele.
• Se uma compra chegar da Cakto antes de sabermos de qual conta ela é, guardamos o e-mail do comprador só até ligar a compra à conta.

Na tela de pagamento você informa nome, e-mail, telefone e CPF ou CNPJ e, no cartão, os dados do cartão. Esses dados vão para a Cakto, que processa o pagamento. O PAKUM não guarda CPF ou CNPJ, o telefone informado no pagamento nem dados do cartão — o número e o código de segurança do cartão nem passam pelos nossos servidores. Também enviamos à Cakto um identificador aleatório do aparelho, guardado no seu navegador, e a Cakto usa um componente antifraude nessa tela (veja Cookies e armazenamento no navegador).

Para quê: cobrar, liberar e cancelar o plano, prevenir fraudes, atender reembolsos e cumprir obrigações legais. Base legal: execução do contrato, cumprimento de obrigação legal (art. 7º, II) e legítimo interesse na prevenção de fraudes.

Avisos e e-mails

Guardamos os avisos que o app mostra a você (sobre publicações, conexões e plano). Por e-mail, enviamos só mensagens do próprio serviço, como a confirmação do cadastro e a recuperação de senha; não enviamos e-mail de marketing. Base legal: execução do contrato.

Registros técnicos e de segurança

Para manter o serviço funcionando e seguro, o PAKUM registra eventos técnicos (data e hora, tipo de ação, códigos de erro e identificadores internos, com tokens e dados sensíveis mascarados). Quando o PAKUM usa o endereço IP para limitar tentativas de login, de cadastro e de outras ações, esse uso acontece só na memória do servidor, sem gravar o IP nas tabelas do PAKUM. Já o serviço de autenticação (Supabase Auth), que funciona dentro do nosso banco de dados, guarda os dados de cada sessão aberta — data e hora, endereço IP e a identificação do programa que fez o pedido (o seu navegador ou o servidor do PAKUM) — e pode guardar também um histórico dos acessos (como entradas, saídas e trocas de senha), com data e hora, o e-mail da conta e o endereço IP. A sessão de um aparelho é apagada quando você clica em “Sair” nele, e todas as sessões são apagadas quando você exclui a conta. Os provedores de hospedagem e de banco de dados também podem registrar o IP e dados do navegador nos registros deles. As ações da administração do PAKUM ficam em um registro de auditoria. Base legal: legítimo interesse na segurança e na prevenção de abusos.

Sugestões de texto com inteligência artificial

Essa função só funciona quando está ativa no app. Quando ela estiver ativa e você pedir uma sugestão, enviamos ao provedor de IA (Anthropic, nos Estados Unidos) o texto que você escreveu para a publicação e as opções escolhidas (como rede, idioma, tom e tamanho); o seu vídeo e os dados recebidos das redes não são enviados. Guardamos só dados de uso dessa função (tipo de pedido, rede, quantidade de caracteres, situação e data), não o texto. Base legal: execução do contrato.

3. Instagram (Meta)

Para conectar o Instagram, usamos a API do Instagram com login do Instagram, da Meta, que só funciona com contas profissionais (Empresa ou Criador de conteúdo). Você aprova estas permissões, e cada uma serve para:

• instagram_business_basic — identificar a conta conectada: lemos o identificador da conta, o nome de usuário (@), o nome, a foto do perfil e o tipo de conta. Com ela também lemos a lista dos 25 posts mais recentes da conta — inclusive os que não foram publicados pelo PAKUM —, com legenda, link, data, tipo e miniatura de cada um.
• instagram_business_content_publish — publicar na sua conta as fotos, os vídeos (Reels) e os carrosséis que você mandar publicar, acompanhar o processamento e obter o link do post. Antes de publicar, consultamos quantas publicações a conta ainda pode fazer nas últimas 24 horas, um limite definido pela Meta.
• instagram_business_manage_insights — ler as métricas de cada um desses posts recentes: visualizações, curtidas, comentários e compartilhamentos. Não pedimos métricas gerais da conta, como alcance, seguidores ou dados do público.

Para quê: identificar a conta conectada, publicar o que você mandar — na hora ou no horário que você agendou; o PAKUM não publica nada por conta própria — e mostrar a você o desempenho dos seus posts. Esses dados aparecem só para o usuário do PAKUM que conectou a conta: não são vendidos, não são compartilhados com outros usuários e não são usados para publicidade. Da lista de posts, guardamos o identificador, o começo da legenda (até 200 caracteres), o link, a data e a miniatura.

Como a Meta recebe a sua mídia: na hora de publicar, a Meta busca a foto ou o vídeo em um link temporário e protegido, criado pelo PAKUM só para isso.

Desconectar, remover o app ou pedir a exclusão dos dados

• Desconectar em Contas conectadas: apagamos na hora os tokens de acesso daquela conta. O Instagram não permite que o PAKUM revogue o acesso pela API, então remova também o PAKUM no Instagram. O nome, o @, a foto, a lista de posts e as métricas continuam até você excluir a sua conta do PAKUM ou pedir a exclusão dos dados.
• Remover o PAKUM no Instagram (Configurações → Permissões do site → Apps e sites): a Meta nos avisa; apagamos os tokens de acesso e desligamos a conexão, que passa a pedir que você conecte de novo. Remover não apaga as métricas nem a lista de posts já coletadas.
• Pedir a exclusão dos dados (pelo Instagram, ao remover o app, ou como explicado na página Exclusão de dados): apagamos os tokens, as métricas e a lista de posts daquela conta do Instagram, cancelamos as publicações agendadas que ainda não começaram e tiramos o nome, o @ e a foto do registro da conexão. Você recebe um código para acompanhar o pedido na página Exclusão de dados. O pedido vale para todas as conexões do PAKUM com aquela conta do Instagram.

Em todos os casos, o histórico das publicações feitas pelo PAKUM (texto e link) continua até você excluir a conta, e as mídias da sua Biblioteca ficam até você apagá-las ou excluir a conta.

4. TikTok

Conectamos o TikTok pelo Login Kit e pelas APIs oficiais de publicação (Content Posting API) e de vídeos (Display API). Você aprova estas permissões:

• user.info.basic — identificar a conta: o identificador da conta (open_id), o nome de exibição e a foto do perfil.
• video.publish — publicar diretamente no seu perfil o vídeo que você mandar, com as escolhas que você fizer na tela de publicação (visibilidade, comentários, Duet, Stitch e divulgação de conteúdo comercial). Antes de publicar, consultamos no TikTok o apelido da conta, as opções de visibilidade liberadas e a duração máxima de vídeo permitida para ela.
• video.upload — enviar o vídeo como rascunho para a caixa de entrada do TikTok, para você concluir a publicação no app do TikTok.
• video.list — ler a lista dos vídeos mais recentes da conta (até 60) — inclusive os que não foram publicados pelo PAKUM —, com título ou descrição, capa, link e data, e as métricas acumuladas de cada um: visualizações, curtidas, comentários e compartilhamentos.

Pedimos video.publish, video.upload ou os dois, conforme o modo de publicação no TikTok que estiver ativo no PAKUM.

Para quê: identificar a conta, publicar ou enviar como rascunho o que você mandar e mostrar a você o desempenho dos seus vídeos. Esses dados aparecem só para quem conectou a conta e não são vendidos nem usados para publicidade.

Ao desconectar em Contas conectadas, pedimos ao TikTok que revogue o acesso do PAKUM (quando nenhum outro usuário do PAKUM usa a mesma conta do TikTok) e apagamos os tokens. O nome, a foto, a lista de vídeos e as métricas continuam até você excluir a sua conta do PAKUM; para apagá-los antes, escreva para saas@pakum.io. Você também pode retirar o acesso nas configurações do próprio TikTok.

5. Google e YouTube

Permissões pedidas ao conectar um canal: youtube.readonly (identificação do canal e lista e estatísticas dos vídeos), youtube.upload (enviar os vídeos que você mandar publicar) e yt-analytics.readonly (estatísticas diárias do canal).

O PAKUM usa os Serviços de API do YouTube (YouTube API Services). Ao conectar um canal, você autoriza o Google a compartilhar conosco a identificação do canal (id, nome, imagem e endereço), os dados dos vídeos mais recentes do canal (título, capa, link e data de publicação) e as estatísticas desses vídeos (visualizações, curtidas e comentários) e do canal (visualizações, curtidas, comentários e compartilhamentos). Usamos esses dados só para publicar os vídeos que você enviar e mostrar as suas métricas a você; os tokens de acesso ficam cifrados. Ao conectar um canal, você também concorda com os Termos de Serviço do YouTube. A equipe de atendimento do PAKUM pode ver o nome e o @ do canal conectado e os títulos e links dos vídeos que o PAKUM enviou, só para atender você.

Por quanto tempo: os dados dos vídeos ficam enquanto a sincronização os atualizar — um vídeo é apagado, com as estatísticas dele, antes de completar 30 dias sem atualização; as estatísticas do canal ficam enquanto a sua autorização continuar válida, o que conferimos a cada 30 dias no máximo. Se a autorização não for reconfirmada nesse prazo (acesso revogado, vencido ou canal desconectado), apagamos as estatísticas, a lista de vídeos e o nome, o endereço e a imagem daquele canal; ficam só o id do canal e as permissões que ele concedeu, para uma nova conexão encontrar o mesmo registro. Ao desconectar o canal em Contas conectadas, esses dados são apagados na hora. Continua também, no histórico de publicações do PAKUM, o código e o endereço dos vídeos que o PAKUM enviou ao seu canal (veja a página de Exclusão de dados). Se você pedir por e-mail a exclusão dos dados do YouTube, apagamos em até 7 dias corridos.

Além de desconectar por aqui, você pode revogar o acesso do PAKUM na página de segurança da sua Conta do Google: security.google.com/settings/security/permissions. O Google não nos avisa dessa revogação: apagamos esses dados em até 30 dias dela. O tratamento dos seus dados pelo Google segue a Política de Privacidade do Google. Dúvidas ou reclamações: saas@pakum.io.

No seu aparelho: o PAKUM grava no navegador cookies de sessão, para manter você conectado, e de preferências das telas; no armazenamento local do navegador, guarda rascunhos, preferências e um identificador aleatório do aparelho, enviado ao provedor de pagamento quando você assina um plano.

Uso limitado: o uso e a transferência, pelo PAKUM, de informações recebidas das APIs do Google seguem a Política de Dados do Usuário dos Serviços de API do Google, inclusive os requisitos de Uso Limitado. Os dados do Google não são vendidos, não são usados para publicidade e não são usados para treinar modelos de inteligência artificial.

6. Com quem compartilhamos

Não vendemos dados pessoais e não os usamos para publicidade. Compartilhamos só o necessário com:

• Supabase — banco de dados, autenticação (login e senha) e armazenamento das suas fotos e vídeos. O banco de dados fica na região de São Paulo.
• Hostinger — hospedagem do site e dos servidores do PAKUM, e a caixa de e-mail que envia as mensagens de confirmação de cadastro e de recuperação de senha.
• Cakto — pagamentos por PIX e cartão, antifraude, cancelamento e reembolso.
• Meta (Instagram), TikTok e Google (YouTube) — quando você conecta essas redes: recebem o que você manda publicar (arquivo, texto e opções) e nos enviam os dados descritos nas seções de cada rede.
• Google (login) — se você usar “Continuar com o Google”.
• HaveIBeenPwned (serviço Pwned Passwords) — recebe só o começo do código da senha, nunca a senha, ao criar ou trocar a senha.
• Anthropic — provedor de IA, somente quando a função de sugestões de texto estiver ativa e você a usar.
• Autoridades públicas — quando a lei ou uma ordem judicial exigir, ou para defender direitos em processos.

Cada rede social e a Cakto também tratam os dados segundo as próprias políticas de privacidade.

7. Transferência internacional

Alguns desses fornecedores tratam dados fora do Brasil, como Google, Meta, TikTok e HaveIBeenPwned, e, conforme o caso, as empresas que prestam serviço aos provedores de infraestrutura; o provedor de IA fica nos Estados Unidos, quando a função estiver ativa. Essas transferências acontecem para executar o serviço que você pediu (por exemplo, publicar na rede que você conectou) ou com as garantias contratuais oferecidas por esses fornecedores, como prevê o art. 33 da LGPD.

8. Segurança

• Tokens de acesso às redes cifrados (AES-256-GCM), numa área do banco que o navegador não acessa; nunca são exibidos nem gravados em registros.
• Dados separados por usuário no banco de dados: cada conta só enxerga os próprios dados.
• Fotos e vídeos em armazenamento privado, entregues só por links temporários.
• Limite de tentativas no login, no cadastro e em outras ações sensíveis, e verificação de senha vazada.
• Conexão sempre cifrada (HTTPS).

Nenhum sistema é totalmente livre de riscos. Se houver um incidente de segurança que possa causar risco ou dano relevante a você, avisaremos você e a ANPD, como manda a LGPD.

9. Por quanto tempo guardamos e como apagamos

• Enquanto a sua conta existir, guardamos os dados descritos aqui. O fim do teste grátis ou do plano não apaga nada: os dados continuam até você excluir a conta.
• Ao apagar uma mídia da Biblioteca, o arquivo e a capa são removidos do armazenamento; o registro da mídia (com o nome do arquivo) e o histórico das publicações continuam.
• Ao desconectar uma rede, os tokens são apagados na hora. No YouTube, também apagamos na hora as métricas, a lista de vídeos e o nome e a foto do canal. No Instagram e no TikTok, esses dados continuam até você excluir a conta (no Instagram, também até um pedido de exclusão dos dados).
• Os dados do YouTube também seguem os prazos descritos em Google e YouTube.
• Ao excluir a conta (Configurações → Excluir minha conta), cancelamos antes a renovação do plano, revogamos o acesso nas redes que permitem isso, apagamos os tokens e apagamos a sua conta de acesso e, com ela, as mídias, as capas, as conexões, as publicações, as métricas, os avisos, as assinaturas e as cobranças registradas no PAKUM. Os arquivos são removidos do armazenamento logo em seguida.
• Continuam depois da exclusão da conta: os registros técnicos dos avisos de pagamento recebidos da Cakto (sem vínculo com a sua conta e sem documento, telefone ou cartão); o registro de auditoria das ações da administração, que não pode ser alterado nem apagado; o registro dos pedidos de exclusão recebidos das redes (só o código, a rede, a data e quantas conexões foram afetadas); e, quando existir, o histórico de acessos do serviço de autenticação (Supabase Auth), que pode incluir o e-mail da conta, a data e hora e o endereço IP de cada acesso. Os provedores podem manter registros técnicos próprios, conforme as políticas deles.
• O que você publicou nas redes continua lá: apagar no PAKUM não apaga nada nas redes.

O detalhe de cada ação e como acompanhar um pedido estão na página Exclusão de dados.

10. Seus direitos

Pela LGPD (art. 18), você pode: confirmar se tratamos os seus dados e acessá-los; corrigir dados incompletos, inexatos ou desatualizados; pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei; pedir a portabilidade dos dados; pedir a eliminação dos dados tratados com base no seu consentimento; saber com quem compartilhamos os seus dados; saber que pode não dar consentimento e o que acontece se não der; revogar o consentimento; e se opor a um tratamento feito com base em outra hipótese legal, se houver descumprimento da LGPD (art. 18, § 2º).

Muita coisa você faz direto no app: corrigir o nome e o fuso horário em Configurações, desconectar redes em Contas conectadas e excluir a conta em Configurações. Para o resto, escreva para saas@pakum.io a partir do e-mail da sua conta (podemos pedir uma confirmação de que é você). Respondemos na hora, de forma simplificada, quando possível, ou com uma declaração completa em até 15 dias. Pedidos de exclusão dos dados que vieram do YouTube são atendidos em até 7 dias corridos. Se não ficar satisfeito, você pode reclamar à ANPD.

11. Cookies e armazenamento no navegador

O PAKUM não usa cookies de publicidade nem ferramentas de terceiros de rastreamento ou de análise de marketing. Usamos só o necessário para o serviço funcionar, para lembrar as suas preferências e para saber de qual divulgação você veio:

• Cookie de sessão do login (o nome começa com “sb-”): mantém você conectado. Dura até 400 dias, é renovado a cada visita e só sai quando você clica em “Sair”.
• pk_auth_next: lembra para qual página voltar depois de entrar com o Google. Dura 30 minutos.
• pakum_theme e pakum_sidebar: lembram o tema (claro ou escuro) e se o menu fica aberto ou fechado. Duram 1 ano.
• Armazenamento do navegador: rascunhos das suas publicações, preferências de tela, controles para não repetir avisos, a origem do link de divulgação por onde você chegou (os parâmetros “utm”), guardada só na aba até você fechá-la, e um identificador aleatório do aparelho, enviado à Cakto quando você paga, para prevenção de fraude.
• Antifraude da Cakto: na tela de pagamento, o componente antifraude da Cakto coleta sinais do aparelho, do navegador e da interação com a página para avaliar o risco da compra, conforme a política da Cakto.

Como esses itens servem só para o funcionamento do serviço, para lembrar as suas preferências, para a segurança do pagamento e para medir a origem das nossas divulgações (sem enviar essa informação às plataformas de anúncio), não mostramos aviso de consentimento de cookies. Se um dia usarmos ferramentas de terceiros de análise ou de publicidade, pediremos o seu consentimento antes.

12. Crianças e adolescentes

O PAKUM é só para maiores de 18 anos e não é direcionado a crianças e adolescentes. Se soubermos que uma conta é de alguém com menos de 18 anos, poderemos encerrá-la e apagar os dados.

13. Mudanças nesta política

Podemos atualizar esta política. A versão e a data de vigência ficam no topo desta página. Mudanças relevantes serão avisadas no app ou por e-mail antes de valer. Se mudarmos a forma de usar os dados recebidos do Google, pediremos o seu consentimento antes.

Dúvidas, pedidos e reclamações: saas@pakum.io. Veja também os Termos de uso.