Política de Privacidad

Fullturi Company LTDA (CNPJ 39.243.939/0001-12, Av. Paulista, 1471, Conj. 511, Bela Vista, São Paulo/SP, Brasil, CP 01311-927) opera el sitio fullturi.com y el sistema app.fullturi.com. En este texto, "Fullturi", "nosotros" y "nuestro" se refieren a ella.

En algunos casos somos RESPONSABLES del tratamiento (decidimos para qué y cómo se usan los datos); en otros somos ENCARGADOS (tratamos datos por cuenta de un cliente nuestro, siguiendo sus instrucciones). La sección 2 explica la diferencia, porque cambia quién responde a cada solicitud tuya.

Fullturi es un sistema de marketing usado por empresas y agencias. Eso crea dos grupos de personas en situaciones distintas:

• Quien usa el sistema o habla con nosotros (creas una cuenta, contratas un plan, pides un diagnóstico de tu sitio o nos escribes): somos responsables de tus datos y atendemos tus derechos directamente.
• Quien es cliente o contacto de un cliente nuestro (por ejemplo, la persona que conversó por WhatsApp con una tienda que usa nuestro CRM, o el seguidor de una marca que publica por el sistema): nuestro cliente es el responsable y nosotros somos encargados. Para ejercer derechos sobre esos datos, el camino principal es hablar con la empresa con la que te relacionaste. Ayudamos a esa empresa a atenderte y, si nos escribes, reenviamos tu solicitud.

Tratamos solo lo que el servicio necesita para funcionar. Por grupo:

• Cuenta y organización: nombre, correo, contraseña (guardada de forma irreversible, nunca en texto), nombre de la empresa, rol de cada persona del equipo y preferencias de la cuenta.
• Contratación y pago: el plan y el historial de cobro. Los datos de la tarjeta los recibe y guarda el procesador de pagos (Stripe), no nosotros. En las ventas del sitio, el Pix lo procesa PushinPay.
• Proyectos y contenido: los registros de clientes de la agencia, textos, imágenes, leyendas, líneas editoriales, agenda y tareas que escribes o subes al sistema.
• CRM y atención (cuando lo usas): contactos, empresas, negocios, notas, mensajes de WhatsApp y archivos recibidos. Esos datos son de tu negocio; los guardamos y procesamos por ti.
• Conexiones con otras plataformas: las credenciales que autorizas (Meta, Google, WhatsApp y las claves de proveedores de IA que registras). Se guardan cifradas (AES-256-GCM) y las rutas del sistema nunca las devuelven.
• Datos de Instagram y Facebook, detallados en la sección 5.
• Datos de YouTube, detallados en la sección 6.
• Diagnóstico del sitio: la dirección del sitio que pides analizar, tu nombre y tu WhatsApp, y las respuestas del formulario que acompaña el informe.
• Uso y seguridad: dirección IP, fecha y hora, tipo de navegador y las acciones que quedan en el registro de auditoría (quién hizo qué), para proteger la cuenta e investigar abusos.

Cada uso se apoya en una base legal de la ley brasileña de protección de datos (LGPD, art. 7). No usamos los datos para otra finalidad sin avisarte.

• Prestar el servicio que contrataste (crear la cuenta, generar contenido, programar y publicar, atender en el CRM, cobrar): ejecución de contrato.
• Mantener el sistema seguro, prevenir fraude y abuso, y guardar registros de acceso: interés legítimo y cumplimiento de obligación legal. El Marco Civil de Internet brasileño nos obliga a guardar los registros de acceso a la aplicación por seis meses.
• Responderte (soporte, dudas, resultado del diagnóstico de tu sitio): ejecución de contrato y medidas precontractuales, o interés legítimo.
• Medir visitas y anuncios en el sitio, cuando activamos esas herramientas (sección 10): interés legítimo o consentimiento, según el caso.
• Cumplir obligaciones fiscales y contables: obligación legal (guardamos los documentos fiscales por el plazo de la ley).
• Ejercer derechos en procesos judiciales, administrativos o arbitrales: ejercicio regular de derechos.

No vendemos datos personales. No usamos datos provenientes de Meta o de Google para armar perfiles publicitarios ni para entrenar modelos de inteligencia artificial.

Cuando conectas una Página de Facebook y una cuenta profesional de Instagram en Integraciones, el sistema recibe de Meta, con tu autorización, solo lo que necesita para publicar y programar posts. Fullturi no está afiliada ni respaldada por Meta Platforms, Inc.

La autorización la pide Meta (Inicio de sesión de Facebook para Empresas) y tú eliges qué Páginas y cuentas compartir. Los permisos que pedimos y para qué sirve cada uno:

• instagram_basic: leer el perfil de la cuenta de Instagram que conectaste (identificador, nombre de usuario y foto), para mostrarla en pantalla y saber dónde publicar.
• instagram_content_publish: publicar en Instagram las imágenes, carruseles y leyendas que tú mismo eliges publicar.
• pages_show_list: listar las Páginas que administras, para que elijas cuál vincular al proyecto.
• pages_read_engagement: leer los datos básicos de la Página elegida (nombre, foto), necesarios para identificarla.
• pages_manage_posts: publicar en la Página de Facebook lo que eliges publicar.

Lo que guardamos: el identificador, el nombre y la foto de la Página y de la cuenta de Instagram, y el token de acceso (cifrado). Lo que enviamos a Meta: las imágenes, leyendas y horarios que apruebas. Guardamos el resultado de la publicación (el identificador del post y posibles errores) para mostrártelo.

De Instagram y Facebook, no leemos mensajes privados, comentarios ni la lista de seguidores. Si algún día ofrecemos funciones que necesiten otros permisos, te lo pediremos en ese momento y actualizaremos este texto.

Contenido generado por inteligencia artificial: cuando la pieza se crea con apoyo de IA, el sistema ofrece marcarla como "generada por IA" al publicar en Instagram, como pide Meta. La decisión final es tuya.

Si usas la conexión de anuncios (Meta Ads), leemos métricas de las cuentas publicitarias que autorizas, para informes y análisis. No modificamos campañas.

Los tokens de Meta se usan solo para las acciones que pediste. Si te desconectas, retiramos el acceso (ver la sección 12).

Cuando conectas un canal de YouTube en Integraciones, el sistema usa los Servicios de API de YouTube (YouTube API Services) para subir al canal los videos que eliges publicar. Al usar esta función, también aceptas los Términos de Servicio de YouTube (https://www.youtube.com/t/terms), y Google trata tus datos conforme a la Política de Privacidad de Google (https://policies.google.com/privacy). Fullturi no está afiliada ni respaldada por YouTube ni por Google LLC.

La autorización la pide Google, en su propia pantalla, y vale para un canal. Los permisos que pedimos y para qué sirve cada uno:

• youtube.upload: subir a tu canal los videos (Shorts) que tú mismo eliges publicar.
• youtube.readonly: leer el identificador, el nombre, el identificador público (@) y la foto del canal que conectaste, para mostrarlo en pantalla, y consultar si el video subido terminó de procesarse.

Lo que guardamos: el identificador, el nombre, el identificador público (@) y la foto del canal, y los tokens de acceso y de renovación (cifrados). Lo que enviamos a YouTube: el archivo del video, el título, la descripción, las etiquetas, la visibilidad, tu respuesta sobre si el video está hecho para niños y, cuando lo marcas, el aviso de contenido generado o alterado por IA. Guardamos el identificador del video publicado y posibles errores, para mostrártelos.

De YouTube, no leemos comentarios, mensajes, la lista de suscriptores, el historial, las estadísticas ni los videos que ya están en el canal. Usamos los datos del canal solo para la publicación que pediste: no los vendemos, no los usamos para anuncios ni para entrenar modelos de inteligencia artificial, y no los compartimos con terceros más allá de los proveedores de infraestructura de la sección 8. Las personas de nuestro equipo solo acceden a ellos con tu autorización (en una atención de soporte), por seguridad o para cumplir la ley.

El uso que hacemos de la información recibida de las APIs de Google cumple la Política de Datos del Usuario de los Servicios de API de Google (https://developers.google.com/terms/api-services-user-data-policy), incluidos los requisitos de uso limitado.

Puedes revocar el acceso de Fullturi en cualquier momento: haz clic en "Desconectar" en el canal, en Integraciones, o quita a Fullturi en la página de seguridad de tu Cuenta de Google (https://security.google.com/settings/security/permissions). La sección 12 explica qué se borra y en cuánto tiempo.

El sistema usa modelos de inteligencia artificial de terceros (como Anthropic, OpenAI y Google, o un agregador que elijas) para escribir textos, proponer líneas editoriales, generar piezas e imágenes y apoyar la atención. Para eso, enviamos al proveedor lo que pediste y el contexto necesario: tu solicitud, las instrucciones que guardaste y datos del proyecto (como segmento, público y voz de la marca).

En la mayoría de las funciones, quien contrata al proveedor eres tú, con tu propia clave de acceso: el uso y el costo quedan en tu cuenta con él, y rigen sus términos. En el CRM, la IA usa solo la clave de tu organización. No usamos el contenido de los clientes para entrenar modelos propios. Revisa siempre lo que la IA produce antes de publicar o enviar.

Solo con quien necesita participar del servicio, bajo contrato y para esa finalidad. Hoy, estos son los tipos de proveedor (encargados y subencargados):

• Infraestructura: servidores (VPS) y almacenamiento de archivos (Cloudflare R2, cuando está habilitado).
• Pago: Stripe (suscripciones del sistema) y PushinPay (Pix en las ventas del sitio).
• Correo: Resend, para los correos del sistema y del embudo.
• Plataformas que conectas: Meta (Instagram, Facebook y la API oficial de WhatsApp) y Google (agenda y YouTube), y WhatsApp por emparejamiento de dispositivo, cuando eliges ese camino.
• Inteligencia artificial: los proveedores de la sección 7.
• Avisos internos: Telegram, que entrega a nuestro equipo el lead del diagnóstico del sitio.
• Medición del sitio: Google PageSpeed Insights (analiza la dirección del sitio que informas) y, cuando están activados, el Píxel de Meta y Plausible Analytics.

También compartimos datos cuando la ley, una orden judicial o una autoridad lo exijan, o para defender derechos nuestros. Si la empresa pasa por una fusión o venta, los datos pueden acompañar al negocio, manteniendo estas garantías.

Algunos de estos proveedores tratan datos en otros países. Cuando ocurre, buscamos proveedores que ofrezcan garantías compatibles con la LGPD (art. 33), como cláusulas contractuales estándar y compromisos de seguridad, y limitamos lo que enviamos a lo necesario.

Usamos pocas cookies, y la mayoría es necesaria para que el sitio y el sistema funcionen:

• Sesión (necesaria): te mantiene conectado en el sistema y en el panel. Sin ella no hay inicio de sesión.
• Idioma (necesaria): guarda el idioma que elegiste en el sitio.
• Conteo de visitas: un número sorteado, que no te identifica, usado solo para contar una visita por navegador por día.
• Origen de la visita: guarda la campaña o el enlace por donde llegaste (por ejemplo, un anuncio), para saber de dónde vienen las conversaciones.
• Medición de terceros, cuando está activada: Plausible Analytics (estadística de visitas) y el Píxel de Meta (medición de anuncios). Puedes bloquearlos en la configuración del navegador o con extensiones de privacidad, y puedes pedirnos que tratemos o eliminemos tus datos.

Guardamos los datos por el tiempo necesario para la finalidad con que se recopilaron, y luego los eliminamos o anonimizamos, salvo cuando la ley nos obliga a conservarlos:

• Cuenta, proyectos y contenido: mientras la cuenta exista. Al cerrarla, o a pedido tuyo, eliminamos o anonimizamos, salvo lo que la ley manda guardar.
• Registros de acceso a la aplicación: seis meses, como determina el Marco Civil de Internet.
• Documentos fiscales y de cobro: por el plazo legal (en general, cinco años).
• Detalles de los turnos del agente de IA del CRM: se purgan tras seis meses.
• Tokens de acceso de Meta, Google y otras plataformas: hasta que te desconectes, o hasta que la plataforma revoque el acceso; después se eliminan (sección 12).
• Lead del diagnóstico del sitio: no se guarda en una base de datos; se entrega a nuestro equipo por mensaje y se usa solo para hablar del diagnóstico.

Puedes desconectar una cuenta y pedir la eliminación de los datos que vinieron de ella en cualquier momento, de cualquiera de estas maneras:

• En el sistema: entra en app.fullturi.com, abre Integraciones, ve a Redes sociales y haz clic en "Desconectar" en la cuenta. El acceso se apaga y el token deja de valer para nosotros.
• Desde Facebook o Instagram: en la configuración de tu cuenta de Meta, abre "Integraciones comerciales" (o "Apps y sitios web"), encuentra Fullturi y quítalo. Meta nos avisa automáticamente, y entonces apagamos las cuentas vinculadas a esa autorización y borramos el token.
• Pidiendo la eliminación de los datos: si le pides a Meta eliminar los datos vinculados a la app, o nos escribes, borramos las cuentas de Facebook e Instagram vinculadas a tu autorización y las credenciales guardadas, y devolvemos un código de confirmación. Puedes seguir la solicitud en la dirección que Meta muestra, o con el código, en fullturi.com/privacidade.
• YouTube: en Integraciones, haz clic en "Desconectar" en el canal. Revocamos el acceso en Google y borramos en el momento los tokens y los datos del canal (identificador, nombre y foto). Si prefieres quitar a Fullturi en la página de seguridad de tu Cuenta de Google (https://security.google.com/settings/security/permissions), el acceso deja de valer en el momento, y borramos los datos del canal en cuanto el sistema detecta la eliminación, en un máximo de 30 días. Si nos lo pides por correo, los borramos en hasta 7 días.
• Por correo: escribe al contacto del final de este texto, indicando el correo de tu cuenta. Respondemos en hasta 15 días.

Lo que se borra: las cuentas de Instagram y Facebook vinculadas a tu autorización (nombre, foto, identificadores) y los tokens de acceso. Lo que continúa: las publicaciones y el historial del proyecto pertenecen al cliente que las creó, quedan con él y dejan de tener cualquier vínculo con tu cuenta de Meta. Los registros que la ley manda guardar permanecen por el plazo legal.

Borrar los datos en nuestro sistema no elimina lo que ya se publicó en Instagram, Facebook o YouTube: eso lo borras en la propia plataforma.

Adoptamos medidas técnicas y organizativas proporcionales al riesgo. Entre ellas:

• Conexión cifrada (HTTPS) entre tú y el sistema.
• Tokens y claves de acceso de terceros cifrados en la base de datos (AES-256-GCM); no vuelven a la pantalla.
• Separación entre organizaciones: cada organización ve solo sus datos, y el acceso por proyecto se controla por rol.
• Autenticación en dos pasos disponible, registro de auditoría de las acciones sensibles y enlaces de acceso de clientes guardados solo como huella digital (hash).
• Límites de uso y verificaciones contra abuso, y los archivos subidos son reescritos por nosotros antes de guardarse.

Ningún sistema es infalible. Si ocurre un incidente que pueda causar riesgo o daño relevante, comunicaremos a la Autoridad Nacional de Protección de Datos de Brasil (ANPD) y a las personas afectadas, en el plazo y la forma que exija la regulación.

La LGPD (art. 18) te garantiza, respecto de los datos de los que somos responsables:

• confirmar que tratamos tus datos y acceder a ellos;
• corregir datos incompletos, inexactos o desactualizados;
• pedir anonimización, bloqueo o eliminación de datos innecesarios o tratados en desacuerdo con la ley;
• pedir la portabilidad de los datos;
• pedir la eliminación de los datos tratados con tu consentimiento;
• saber con quién compartimos los datos;
• saber que puedes no dar tu consentimiento, y las consecuencias;
• revocar el consentimiento, cuando esa sea la base;
• oponerte a un tratamiento hecho con base en interés legítimo;
• pedir la revisión de decisiones tomadas únicamente por tratamiento automatizado.

Para ejercer cualquiera de ellos, escribe al contacto de abajo. Confirmamos la recepción y respondemos en hasta 15 días. Podemos pedir información para confirmar quién eres, para no entregar datos a la persona equivocada. También puedes reclamar ante la ANPD (gov.br/anpd).

El sistema está dirigido a empresas y profesionales mayores de 18 años. No recopilamos datos de niños y adolescentes a propósito. Si crees que ocurrió, avísanos y los borramos.

Cuando cambiemos algo relevante, actualizamos la fecha de vigencia arriba y, a quien tiene cuenta, le avisamos por el sistema o por correo. La versión anterior sigue disponible para quien la pida.

Para cualquier asunto de privacidad y protección de datos, incluso hablar con el encargado (la persona que se ocupa de esto aquí), escribe a [email protected]. Por WhatsApp (+55 79 99116-7468) atendemos dudas generales, pero las solicitudes formales sobre datos personales deben llegar por correo.