Política de Privacidade

A Fullturi Company LTDA (CNPJ 39.243.939/0001-12, Av. Paulista, 1471, Conj. 511, Bela Vista, São Paulo/SP, CEP 01311-927) é quem opera o site fullturi.com e o sistema app.fullturi.com. Neste texto, "Fullturi", "nós" e "nosso" se referem a ela.

Em alguns casos somos a CONTROLADORA dos dados (decidimos para que e como usá-los); em outros somos a OPERADORA (tratamos dados em nome de um cliente nosso, seguindo as instruções dele). A seção 2 explica a diferença, porque ela muda quem responde a cada pedido seu.

A Fullturi é um sistema de marketing usado por empresas e agências. Isso cria dois grupos de pessoas com situações diferentes:

• Quem usa o sistema ou fala com a gente (você que cria uma conta, assina um plano, pede um diagnóstico do seu site ou nos escreve): somos a controladora dos seus dados. Respondemos aos seus direitos diretamente.
• Quem é cliente ou contato de um cliente nosso (por exemplo, a pessoa que conversou no WhatsApp com uma loja que usa o nosso CRM, ou o seguidor de uma marca que publica pelo sistema): o cliente nosso é o controlador, e nós somos a operadora. Se você quer exercer direitos sobre esses dados, o caminho principal é falar com a empresa com quem você se relacionou. Nós ajudamos essa empresa a atender você e, se você escrever para nós, encaminhamos o seu pedido.

Tratamos só o que o serviço precisa para funcionar. Em cada grupo:

• Conta e organização: nome, e-mail, senha (guardada de forma irreversível, nunca em texto), nome da empresa, papel de cada pessoa na equipe e as preferências da conta.
• Contratação e pagamento: o plano e o histórico de cobrança. Os dados do cartão são recebidos e guardados pelo processador de pagamento (Stripe), não por nós. Nas vendas do site, o Pix é processado pela PushinPay.
• Projetos e conteúdo: os cadastros de clientes da agência, textos, imagens, legendas, linhas editoriais, agenda e tarefas que você escreve ou envia ao sistema.
• CRM e atendimento (quando você usa): contatos, empresas, negócios, notas, mensagens trocadas por WhatsApp e arquivos recebidos. Esses dados são do seu negócio; nós os guardamos e processamos para você.
• Conexões com outras plataformas: as credenciais que você autoriza (Meta, Google, WhatsApp e as chaves de provedores de IA que você cadastra). Elas são guardadas cifradas (AES-256-GCM) e nunca são devolvidas pelas rotas do sistema.
• Dados do Instagram e do Facebook, detalhados na seção 5.
• Dados do YouTube, detalhados na seção 6.
• Diagnóstico do site: o endereço do site que você pede para analisarmos, o seu nome e o seu WhatsApp, e as respostas do formulário que acompanha o relatório.
• Uso e segurança: endereço IP, data e hora, tipo de navegador e as ações que ficam em registro de auditoria (quem fez o quê), para proteger a conta e investigar abuso.

Cada uso se apoia em uma base legal da LGPD (art. 7º). Não usamos os dados para outra finalidade sem avisar você.

• Prestar o serviço que você contratou (criar a conta, gerar conteúdo, agendar e publicar, atender no CRM, cobrar): execução de contrato.
• Manter o sistema seguro, prevenir fraude e abuso, e guardar registros de acesso: legítimo interesse e cumprimento de obrigação legal. O Marco Civil da Internet nos obriga a guardar os registros de acesso à aplicação por seis meses.
• Responder a você (suporte, dúvidas, retorno do diagnóstico do site): execução de contrato e procedimentos preliminares, ou legítimo interesse.
• Medir visitas e anúncios no site, quando ativamos essas ferramentas (seção 10): legítimo interesse ou consentimento, conforme o caso.
• Cumprir obrigações fiscais e contábeis: obrigação legal (guardamos os documentos fiscais pelo prazo da lei).
• Exercer direitos em processo judicial, administrativo ou arbitral: exercício regular de direitos.

Não vendemos dados pessoais. Não usamos dados vindos da Meta ou do Google para montar perfis de anúncio nem para treinar modelos de inteligência artificial.

Quando você conecta uma Página do Facebook e uma conta profissional do Instagram em Integrações, o sistema recebe da Meta, com a sua autorização, apenas o que precisa para publicar e agendar posts. A Fullturi não é afiliada nem endossada pela Meta Platforms, Inc.

A autorização é pedida pela Meta (Login do Facebook para Empresas) e você escolhe quais Páginas e contas compartilha. As permissões que pedimos e o porquê de cada uma:

• instagram_basic: ler o perfil da conta do Instagram que você conectou (identificador, nome de usuário e foto), para mostrá-la na tela e saber onde publicar.
• instagram_content_publish: publicar no Instagram as imagens, carrosséis e legendas que você mesmo escolhe publicar.
• pages_show_list: listar as Páginas que você administra, para você escolher qual vincular ao projeto.
• pages_read_engagement: ler os dados básicos da Página escolhida (nome, foto), necessários para identificá-la.
• pages_manage_posts: publicar na Página do Facebook o que você escolher publicar.

O que guardamos: o identificador, o nome e a foto da Página e da conta do Instagram, e o token de acesso (cifrado). O que enviamos à Meta: as imagens, legendas e horários que você aprova. Guardamos o resultado da publicação (o identificador do post e eventuais erros) para mostrar a você.

Do Instagram e do Facebook, não lemos mensagens privadas, comentários nem a lista de seguidores. Se um dia oferecermos recursos que precisem de outras permissões, pediremos a você na hora e atualizaremos este texto.

Conteúdo gerado por inteligência artificial: quando a peça é criada com apoio de IA, o sistema oferece marcá-la como "gerada por IA" ao publicar no Instagram, como a Meta pede. A decisão final é sua.

Se você usa a conexão de anúncios (Meta Ads), lemos métricas das contas de anúncio que você autoriza, para relatórios e análises. Não alteramos campanhas.

Os tokens da Meta são usados só para as ações que você pediu. Se você desconectar, removemos o acesso (ver a seção 12).

Quando você conecta um canal do YouTube em Integrações, o sistema usa os Serviços de API do YouTube (YouTube API Services) para enviar ao canal os vídeos que você escolhe publicar. Ao usar esse recurso, você também concorda com os Termos de Serviço do YouTube (https://www.youtube.com/t/terms), e os seus dados são tratados pelo Google conforme a Política de Privacidade do Google (https://policies.google.com/privacy). A Fullturi não é afiliada nem endossada pelo YouTube nem pelo Google LLC.

A autorização é pedida pelo Google, na tela dele, e vale para um canal. As permissões que pedimos e o porquê de cada uma:

• youtube.upload: enviar ao seu canal os vídeos (Shorts) que você mesmo escolhe publicar.
• youtube.readonly: ler o identificador, o nome, o endereço (@) e a foto do canal que você conectou, para mostrá-lo na tela, e consultar se o vídeo enviado terminou de ser processado.

O que guardamos: o identificador, o nome, o endereço (@) e a foto do canal, e os tokens de acesso e de renovação (cifrados). O que enviamos ao YouTube: o arquivo do vídeo, o título, a descrição, as etiquetas, a visibilidade, a sua resposta sobre o vídeo ser ou não feito para crianças e, quando você marca, o aviso de conteúdo gerado ou alterado por IA. Guardamos o identificador do vídeo publicado e eventuais erros, para mostrar a você.

Do YouTube, não lemos comentários, mensagens, a lista de inscritos, o histórico, as estatísticas nem os vídeos que já estão no canal. Usamos os dados do canal só para a publicação que você pediu: não os vendemos, não os usamos para anúncios nem para treinar modelos de inteligência artificial, e não os compartilhamos com terceiros além dos fornecedores de infraestrutura da seção 8. Pessoas da nossa equipe só os acessam com a sua autorização (num atendimento de suporte), por segurança ou para cumprir a lei.

O uso que fazemos das informações recebidas das APIs do Google segue a Política de Dados do Usuário dos Serviços de API do Google (https://developers.google.com/terms/api-services-user-data-policy), inclusive os requisitos de uso limitado.

Você pode revogar o acesso do Fullturi a qualquer momento: clique em "Desconectar" no canal, em Integrações, ou remova o Fullturi na página de segurança da sua Conta do Google (https://security.google.com/settings/security/permissions). A seção 12 explica o que é apagado e em quanto tempo.

O sistema usa modelos de inteligência artificial de terceiros (como Anthropic, OpenAI e Google, ou um agregador que você escolher) para escrever textos, propor linhas editoriais, gerar peças e imagens e apoiar o atendimento. Para isso, enviamos ao provedor o que você pediu e o contexto necessário: o seu pedido, as instruções que você guardou e dados do projeto (como segmento, público e voz da marca).

Na maior parte dos recursos, quem contrata o provedor é você, com a sua própria chave de acesso: o uso e o custo ficam na sua conta com ele, e valem os termos dele. No CRM, a IA usa só a chave da sua organização. Não usamos o conteúdo dos clientes para treinar modelos nossos. Revise sempre o que a IA produz antes de publicar ou enviar.

Só com quem precisa participar do serviço, sob contrato e para essa finalidade. Hoje, são estes os tipos de fornecedor (operadores e suboperadores):

• Infraestrutura: servidores (VPS) e armazenamento de arquivos (Cloudflare R2, quando habilitado).
• Pagamento: Stripe (assinaturas do sistema) e PushinPay (Pix nas vendas do site).
• E-mail: Resend, para os e-mails do sistema e do funil.
• Plataformas que você conecta: Meta (Instagram, Facebook e a API oficial do WhatsApp) e Google (agenda e YouTube), e o WhatsApp por pareamento de aparelho, quando você escolhe esse caminho.
• Inteligência artificial: os provedores da seção 7.
• Avisos internos: o Telegram, que entrega ao nosso time o lead do diagnóstico do site.
• Medição do site: o Google PageSpeed Insights (analisa o endereço do site que você informa) e, quando ativados, o Pixel da Meta e o Plausible Analytics.

Também compartilhamos dados quando a lei, uma ordem judicial ou uma autoridade exigir, ou para defender direitos nossos. Se a empresa passar por fusão ou venda, os dados podem acompanhar o negócio, mantendo estas garantias.

Alguns desses fornecedores tratam dados em outros países. Quando isso acontece, buscamos fornecedores que ofereçam garantias compatíveis com a LGPD (art. 33), como cláusulas contratuais padrão e compromissos de segurança, e limitamos o que enviamos ao necessário.

Usamos poucos cookies, e a maior parte é necessária para o site e o sistema funcionarem:

• Sessão (necessário): mantém você conectado no sistema e no painel. Sem ele, não há login.
• Idioma (necessário): guarda o idioma que você escolheu no site.
• Contagem de visitas: um número sorteado, que não identifica você, usado só para contarmos uma visita por navegador por dia.
• Origem da visita: guarda a campanha ou o link por onde você chegou (por exemplo, um anúncio), para sabermos de onde vêm as conversas.
• Medição de terceiros, quando ativada: o Plausible Analytics (estatística de visitas) e o Pixel da Meta (medição de anúncios). Você pode bloqueá-los pelas configurações do navegador ou por extensões de privacidade, e pode nos pedir para tratar ou excluir os seus dados.

Guardamos os dados pelo tempo necessário para a finalidade para a qual foram coletados, e depois eliminamos ou anonimizamos, salvo quando a lei nos obriga a manter:

• Conta, projetos e conteúdo: enquanto a conta existir. Ao encerrá-la, ou a seu pedido, eliminamos ou anonimizamos, ressalvado o que a lei manda guardar.
• Registros de acesso à aplicação: seis meses, como o Marco Civil da Internet determina.
• Documentos fiscais e de cobrança: pelo prazo legal (em regra, cinco anos).
• Detalhes dos turnos do agente de IA do CRM: expurgados após seis meses.
• Tokens de acesso da Meta, do Google e de outras plataformas: até você desconectar, ou até a plataforma desautorizar o acesso; depois, são apagados (seção 12).
• Lead do diagnóstico do site: não é gravado em banco de dados; é entregue ao nosso time por mensagem e usado só para falar sobre o diagnóstico.

Você pode desconectar uma conta e pedir a exclusão dos dados que vieram dela a qualquer momento, de qualquer um destes jeitos:

• No sistema: entre em app.fullturi.com, abra Integrações, vá em Redes sociais e clique em "Desconectar" na conta. O acesso é desligado e o token deixa de valer para nós.
• Pelo Facebook ou Instagram: nas configurações da sua conta Meta, abra "Integrações comerciais" (ou "Apps e sites"), encontre o Fullturi e remova-o. A Meta nos avisa automaticamente, e então desligamos as contas ligadas a essa autorização e apagamos o token.
• Pedindo a exclusão dos dados: se você pedir à Meta a exclusão dos dados ligados ao app, ou nos escrever, apagamos as contas do Facebook e do Instagram vinculadas à sua autorização e as credenciais guardadas, e devolvemos um código de confirmação. Você acompanha o pedido pelo endereço que a Meta mostra, ou pelo código, em fullturi.com/privacidade.
• YouTube: em Integrações, clique em "Desconectar" no canal. Revogamos o acesso no Google e apagamos na hora os tokens e os dados do canal (identificador, nome e foto). Se você preferir remover o Fullturi pela página de segurança da sua Conta do Google (https://security.google.com/settings/security/permissions), o acesso deixa de valer na hora, e apagamos os dados do canal assim que o sistema percebe a remoção, em no máximo 30 dias. Se você nos pedir por e-mail, apagamos em até 7 dias.
• Por e-mail: escreva para o contato no fim deste texto, dizendo o e-mail da sua conta. Respondemos em até 15 dias.

O que é apagado: as contas do Instagram e do Facebook ligadas à sua autorização (nome, foto, identificadores) e os tokens de acesso. O que continua: as publicações e o histórico do projeto pertencem ao cliente que as criou, ficam com ele e deixam de ter qualquer ligação com a sua conta da Meta. Registros que a lei manda guardar permanecem pelo prazo legal.

Apagar os dados no nosso sistema não remove o que já foi publicado no Instagram, no Facebook ou no YouTube: isso você apaga na própria plataforma.

Adotamos medidas técnicas e administrativas proporcionais ao risco. Entre elas:

• Conexão cifrada (HTTPS) entre você e o sistema.
• Tokens e chaves de acesso de terceiros cifrados no banco de dados (AES-256-GCM); eles não voltam para a tela.
• Separação entre organizações: cada organização enxerga só os dados dela, e o acesso por projeto é controlado por papel.
• Autenticação em duas etapas disponível, registro de auditoria das ações sensíveis e links de acesso de clientes guardados apenas como impressão digital (hash).
• Limites de uso e verificações contra abuso, e arquivos enviados são reescritos por nós antes de serem guardados.

Nenhum sistema é infalível. Se ocorrer um incidente que possa causar risco ou dano relevante, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e as pessoas afetadas, no prazo e na forma que a regulamentação exigir.

A LGPD (art. 18) garante a você, em relação aos dados em que somos controladora:

• confirmar que tratamos os seus dados e acessá-los;
• corrigir dados incompletos, inexatos ou desatualizados;
• pedir anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desacordo com a lei;
• pedir a portabilidade dos dados;
• pedir a eliminação dos dados tratados com o seu consentimento;
• saber com quem compartilhamos os dados;
• saber que pode não consentir, e as consequências disso;
• revogar o consentimento, quando for essa a base;
• se opor a um tratamento feito com base em legítimo interesse;
• pedir a revisão de decisões tomadas só por tratamento automatizado.

Para exercer qualquer um deles, escreva para o contato abaixo. Confirmamos o recebimento e respondemos em até 15 dias. Podemos pedir informações para confirmar quem é você, para não entregar dados à pessoa errada. Você também pode reclamar à ANPD (gov.br/anpd).

O sistema é voltado a empresas e profissionais, maiores de 18 anos. Não coletamos dados de crianças e adolescentes de propósito. Se você acha que isso aconteceu, avise e apagamos.

Quando mudarmos algo relevante, atualizamos a data de vigência no topo e, para quem tem conta, avisamos pelo sistema ou por e-mail. A versão anterior continua disponível a quem pedir.

Para qualquer assunto de privacidade e proteção de dados, inclusive falar com o encarregado (a pessoa que cuida disso por aqui), escreva para [email protected]. Pelo WhatsApp (79) 99116-7468 atendemos dúvidas gerais, mas pedidos formais sobre dados pessoais devem vir por e-mail.