Política de Privacidade

Quem somos

O BossYou Manager é uma plataforma de gestão de redes sociais e de entregas de agência. A empresa responsável pelo tratamento dos dados descritos aqui — o controlador, na linguagem da Lei Geral de Proteção de Dados — é:

Sempre que esta política disser “nós”, “a BossYou” ou “a plataforma”, está se referindo à empresa acima e ao BossYou Manager.

O essencial

O resumo do que vem a seguir. Cada ponto está detalhado na seção correspondente.

• O que coletamos. Dados de cadastro de quem usa a plataforma, dados de uso do serviço, e dados das contas do Facebook e do Instagram que você conecta — publicações, métricas de desempenho e comentários.
• Por que coletamos. Para executar o serviço que você contratou: publicar, medir resultados, responder comentários e produzir relatórios. Não vendemos dados pessoais e não fazemos publicidade com eles.
• O que fazemos com comentários. Classificamos automaticamente o sentimento e o tema dos comentários públicos. Isso roda em um modelo local, dentro da nossa própria infraestrutura: o texto dos comentários não é enviado a nenhum serviço de inteligência artificial de terceiros.
• Como excluir. Escreva para itacontabilidade@terra.com.br. O passo a passo, o que apagamos e o prazo estão em Como pedir a exclusão dos seus dados.
• Cookies. Esta página não usa cookies e não tem rastreadores. A plataforma usa apenas o necessário para manter você conectado e lembrar suas preferências de interface.

A quem esta política se aplica

Três grupos diferentes de pessoas têm dados tratados por nós, e por motivos diferentes. Vale a pena saber em qual você se encaixa, porque os seus direitos e a forma de exercê-los mudam um pouco em cada caso.

1. Equipe da BossYou

Funcionários e prestadores que usam a plataforma para produzir o trabalho dos clientes.

2. Clientes e suas equipes

Pessoas das empresas clientes que são convidadas para um workspace — para acompanhar o trabalho, comentar e aprovar entregas.

3. Público que interage com as páginas dos clientes

Pessoas que comentaram ou mencionaram uma página do Facebook ou um perfil do Instagram administrado por nós. Esse grupo não tem cadastro conosco e provavelmente nunca ouviu falar da BossYou — mas o nome de usuário e o texto do comentário público chegam até nós pelas APIs da Meta quando a página é gerenciada na plataforma. Explicamos exatamente o que guardamos em Quais dados coletamos, com que base legal em Por que tratamos, e como pedir exclusão em Como pedir a exclusão dos seus dados.

Quais dados coletamos

a) Dados que você nos fornece

• Cadastro e conta: nome, e-mail corporativo, senha (armazenada apenas como hash, nunca em texto legível), cargo ou função, e a organização a que você pertence.
• Dados da empresa cliente: razão social, contatos, segmento, observações e o histórico de relacionamento registrado pela equipe.
• Conteúdo de trabalho: projetos, tarefas, comentários internos, solicitações de aprovação e os arquivos anexados (peças de design, vídeos, documentos).
• Conteúdo que você publica: textos, imagens e vídeos que você compõe na plataforma para serem publicados nas redes conectadas.
• Dados de cobrança: dados necessários para faturamento do plano contratado. O pagamento em si é processado pela Asaas — veja Com quem compartilhamos.
• O que você nos escreve: mensagens de suporte e solicitações enviadas por e-mail ou pelos canais de atendimento.

b) Dados coletados automaticamente

• Registros de acesso à aplicação: endereço IP, data e hora das requisições, e a ação executada. A guarda desses registros por seis meses é uma obrigação legal do Marco Civil da Internet (Lei 12.965/2014, art. 15).
• Dados técnicos do dispositivo: tipo e versão do navegador, sistema operacional e idioma — enviados pelo próprio navegador em toda requisição na internet.
• Preferências de interface: guardadas no armazenamento local do seu navegador, no seu próprio dispositivo. Não são enviadas para os nossos servidores. Veja Cookies e armazenamento local.
• Registros das coletas: data, hora, resultado e quantidade de linhas de cada sincronização com a Meta, para diagnóstico de falhas.

Não usamos ferramentas de analytics de terceiros, pixels de publicidade, redes de rastreamento ou qualquer tecnologia de perfilamento para publicidade.

c) Dados recebidos da Meta (Facebook e Instagram)

Quando um usuário autorizado conecta uma Página do Facebook, uma conta profissional do Instagram ou uma conta de anúncios, passamos a acessar dados dessas contas pela API do Graph da Meta, dentro das permissões concedidas na tela de autorização. Concretamente, armazenamos:

Permissões da Meta, uma a uma

Ao conectar uma conta, a Meta mostra as permissões que estamos pedindo. A tabela abaixo traduz cada uma delas: o que ela nos deixa ler ou fazer, e para quê. Só pedimos o que a funcionalidade contratada exige.

Uma permissão de escrita significa que a plataforma pode agir em seu nome naquele escopo — não que ela aja sozinha. Toda publicação, alteração de campanha ou exclusão parte de uma ação de alguém da sua equipe ou da nossa, e fica registrada no log de auditoria com autor e horário.

Você pode revogar essas permissões a qualquer momento, direto na Meta, sem passar por nós: no Facebook, em Configurações e privacidade → Configurações → Aplicativos e sites; no Instagram, em Configurações → Aplicativos e sites. A revogação interrompe o nosso acesso imediatamente. Ela não apaga, sozinha, os dados já coletados — para isso, veja Como pedir a exclusão dos seus dados.

Por que tratamos e com que base legal

A LGPD exige que todo tratamento tenha uma finalidade determinada e uma base legal (art. 7º). Uma linha por finalidade, com os dados envolvidos e a base que a sustenta.

O que não fazemos. Não vendemos, alugamos nem cedemos dados pessoais. Não usamos os dados dos clientes ou do público para publicidade própria ou de terceiros. Não construímos perfis comportamentais de indivíduos para segmentação publicitária. Não usamos os dados coletados pelas APIs da Meta para treinar modelos de inteligência artificial de uso geral.

Classificação automatizada de comentários

Para que o relatório mostre não só quantos comentários chegaram, mas o clima deles, classificamos automaticamente cada comentário público em positivo, neutro ou negativo e atribuímos um tema (por exemplo, preço, prazo de entrega ou atendimento).

Três coisas importam sobre como isso funciona:

• Roda localmente. A classificação é feita por um modelo de linguagem executado na nossa própria infraestrutura. O texto dos comentários não é enviado a nenhum serviço de inteligência artificial de terceiros, não é usado para treinar modelos, e não sai do nosso ambiente para essa finalidade.
• Não decide nada sobre ninguém. O rótulo alimenta um gráfico agregado em um relatório de marketing. Ele não é usado para bloquear, ocultar ou moderar comentários automaticamente, não define preço nem condição comercial para ninguém, e não produz nenhum efeito jurídico ou impacto relevante sobre a pessoa que comentou.
• Erra, e nós sabemos disso. Nenhum classificador é perfeito, especialmente com ironia e com comentários que misturam elogio e reclamação. Por isso o rótulo é sempre tratado como estimativa agregada, nunca como um julgamento sobre uma pessoa específica.

Ainda assim, o art. 20 da LGPD garante a você o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado. Se um comentário seu foi classificado e você quer contestar, escreva para itacontabilidade@terra.com.br: revisamos o caso e, se você preferir, removemos a classificação.

Com quem compartilhamos

Não vendemos dados pessoais. Compartilhamos apenas o necessário, com quem precisa para que o serviço funcione, e sempre com obrigação contratual de confidencialidade e de uso restrito à finalidade.

Se um dia a BossYou passar por fusão, aquisição ou reorganização societária, os dados podem ser transferidos como parte do negócio. Nesse caso, avisaremos previamente e a parte que os receber ficará vinculada aos mesmos compromissos desta política.

Transferência internacional

Nossa operação e nossos dados ficam no Brasil. Há, no entanto, duas transferências internacionais inevitáveis, ambas decorrentes de serviços de terceiros:

• Meta Platforms — as chamadas às APIs do Facebook e do Instagram são processadas em infraestrutura da Meta, majoritariamente nos Estados Unidos. Essa transferência é necessária para a execução do contrato que você celebrou conosco (LGPD, art. 33, VI): sem ela, não há integração com as redes sociais.
• Google Fonts — o carregamento das fontes envia dados técnicos da requisição a servidores do Google fora do Brasil.

Em ambos os casos, a transferência se limita ao estritamente necessário para a finalidade. Se no futuro passarmos a usar provedores de nuvem sediados no exterior, atualizaremos esta seção antes de a mudança entrar em vigor e adotaremos as garantias previstas no art. 33 da LGPD.

Por quanto tempo guardamos

Guardamos cada dado pelo tempo necessário à finalidade que o justificou. Depois disso, ele é excluído ou anonimizado — e dado anonimizado, que não permite mais identificar ninguém, deixa de ser dado pessoal (LGPD, art. 12), então indicadores históricos agregados podem permanecer nos relatórios.

Segurança da informação

Nenhum sistema é imune, e prometer segurança absoluta seria desonesto. O que podemos descrever com precisão são as medidas que efetivamente adotamos:

• Tráfego cifrado. Toda comunicação com a plataforma e com as APIs da Meta acontece exclusivamente por HTTPS.
• Credenciais fora do código. Os tokens de acesso da Meta ficam em arquivos de configuração protegidos, fora do repositório de código e do controle de versão, acessíveis apenas ao processo que faz as chamadas.
• Tokens nunca aparecem em log. O cliente de API remove automaticamente qualquer token do texto de logs e de mensagens de erro antes de gravá-lo. Quando um token falha, o erro identifica o cliente afetado — nunca a credencial.
• Isolamento por cliente. Todo registro armazenado carrega obrigatoriamente o identificador do cliente a que pertence, e uma verificação automatizada falha se algum registro estiver sem dono ou apontando para um cliente inexistente. A titularidade de um dado nunca é deduzida de qual credencial o buscou.
• Processamento local do texto de comentários. A classificação de sentimento roda na nossa própria infraestrutura, sem envio a serviços externos.
• Acesso restrito. Só a equipe que precisa operar a conta de um cliente tem acesso aos dados dele, e ações relevantes ficam registradas com autor e horário.
• Senhas. Armazenadas apenas como hash criptográfico. Nem nós conseguimos lê-las.

Encontrou uma vulnerabilidade? Escreva para itacontabilidade@terra.com.br. Agradecemos relatos responsáveis e não tomamos medidas contra quem os faz de boa-fé.

Seus direitos

O art. 18 da LGPD garante a você, a qualquer momento e gratuitamente, o direito de pedir:

1. Confirmação de que tratamos dados seus;
2. Acesso aos dados que temos sobre você;
3. Correção de dados incompletos, inexatos ou desatualizados;
4. Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
5. Portabilidade a outro fornecedor, mediante requisição expressa;
6. Eliminação dos dados tratados com base no seu consentimento;
7. Informação sobre com quem compartilhamos seus dados;
8. Informação sobre a possibilidade de não consentir e sobre as consequências disso;
9. Revogação do consentimento, quando for essa a base do tratamento.

Some-se a isso o direito de opor-se a um tratamento fundado em legítimo interesse (art. 18, § 2º) e o de solicitar revisão de decisões automatizadas (art. 20) — veja Classificação automatizada de comentários.

Como exercer

Escreva para itacontabilidade@terra.com.br com o assunto “LGPD — [o direito que você quer exercer]”. Diga qual é o pedido e inclua as informações que nos permitam localizar seus dados (mesma lista da seção seguinte).

Vamos confirmar o recebimento em até 5 dias úteis e responder em até 15 dias contados do pedido. Se o caso for complexo e exigir mais tempo, explicaremos o motivo e daremos um novo prazo antes que o primeiro se esgote.

Podemos pedir informações adicionais para confirmar a sua identidade antes de agir. Não é burocracia: é o que impede que outra pessoa acesse ou apague os seus dados se passando por você.

Como pedir a exclusão dos seus dados

Qualquer pessoa pode pedir a exclusão dos seus dados — com ou sem cadastro conosco, inclusive quem apenas comentou em uma página que administramos.

O que incluir no pedido

Quanto mais preciso, mais rápido e seguro é localizar exatamente os seus dados.

• Sempre: seu nome completo e um e-mail para resposta.
• Se você usa a plataforma: o e-mail da sua conta e o nome do workspace ou da organização.
• Se você conectou contas da Meta: quais Páginas do Facebook, perfis do Instagram ou contas de anúncios estão envolvidos.
• Se você apenas comentou em uma página nossa: o seu nome de usuário no Facebook ou no Instagram e, se possível, o link da publicação. Sem isso não conseguimos identificar quais comentários são seus — é a única chave que temos.
• Opcional: diga se quer excluir tudo ou apenas parte (por exemplo, somente os comentários).

Prazo

Confirmamos o recebimento em até 5 dias úteis e concluímos a exclusão em até 30 dias corridos a partir do pedido, ou explicamos por escrito, dentro desse prazo, o motivo de não podermos excluir algo — e qual base legal nos obriga a manter.

O que apagamos

• Seu cadastro, perfil, credenciais e vínculos com workspaces;
• Os tokens de acesso da Meta: revogamos a credencial junto à Meta e destruímos a cópia guardada por nós;
• A conexão com os ativos: desconectamos as Páginas, contas do Instagram e contas de anúncios vinculadas, encerrando qualquer acesso futuro;
• As publicações, métricas e comentários que coletamos por meio dessa conexão, e as classificações de sentimento derivadas deles;
• Os comentários e menções atribuídos ao seu nome de usuário, quando o pedido for do público que interagiu com uma página;
• Projetos, tarefas, comentários internos e anexos de sua autoria;
• Suas mensagens de suporte.

O que precisamos manter, e por quê

A LGPD permite — e às vezes obriga — a conservação de certos dados mesmo após um pedido de exclusão (art. 16). No nosso caso:

• Documentos fiscais, contábeis e contratuais, por 5 anos, por obrigação legal (art. 16, I);
• Registros de acesso à aplicação, por 6 meses, por determinação do Marco Civil da Internet, art. 15 (art. 16, I);
• Registros de auditoria do que foi feito na plataforma, pelo tempo necessário à prestação de contas e ao exercício regular de direitos (art. 16, II e III);
• Indicadores agregados e anonimizados já incorporados a relatórios históricos — números que não permitem identificar ninguém e que, por isso, não são mais dados pessoais (art. 12).

Fora essas hipóteses, a exclusão é definitiva: os dados são removidos das nossas bases ativas e das cópias de segurança nos ciclos seguintes de rotação de backup.

Cookies e armazenamento local

Esta página de política não usa cookies e não carrega nenhum rastreador. A única requisição a outro domínio é o carregamento das fontes tipográficas — veja Com quem compartilhamos.

Na plataforma, o uso é igualmente restrito:

• Cookies estritamente necessários: mantêm você autenticado durante a sessão e protegem os formulários contra requisições forjadas. Sem eles, não é possível fazer login. Por serem indispensáveis ao serviço que você pediu, não dependem de consentimento prévio.
• Armazenamento local (localStorage): guarda preferências de interface — tema visual, workspace ativo e ajustes de exibição. Fica no seu dispositivo e não é enviado aos nossos servidores. Limpar os dados do site no navegador apaga tudo isso.

Não usamos cookies de publicidade, de rastreamento entre sites, nem ferramentas de analytics de terceiros. Não há, portanto, o que recusar em um banner de consentimento — o que também explica por que esta página não exibe nenhum.

Crianças e adolescentes

O BossYou Manager é uma ferramenta profissional, destinada a empresas e a maiores de 18 anos. Não direcionamos o serviço a crianças ou adolescentes e não coletamos dados deles de forma consciente.

Comentários públicos coletados de páginas de clientes podem, eventualmente, ter sido escritos por um menor de idade, sem que tenhamos como saber. Se identificarmos, ou se formos informados por um responsável, que temos dados de uma criança ou adolescente sem o amparo legal exigido pelo art. 14 da LGPD, excluiremos esses dados assim que possível. Pais e responsáveis podem solicitar a exclusão pelo mesmo canal descrito em Como pedir a exclusão dos seus dados.

Alterações nesta política

Esta política pode mudar quando lançarmos funcionalidades novas, trocarmos um fornecedor ou quando a legislação exigir. Quando isso acontecer:

• Atualizamos a data de “Última atualização” e o número de versão no topo desta página;
• Em mudanças relevantes — nova finalidade, nova categoria de dados, novo destinatário ou prazo de retenção maior — avisamos por e-mail e por aviso dentro da plataforma com pelo menos 15 dias de antecedência da entrada em vigor;
• Quando a mudança exigir consentimento, pediremos um novo consentimento — o tratamento anterior não é ampliado retroativamente.

A versão vigente é sempre a publicada nesta página, no endereço https://bossyoumedia.com/privacidade.

Encarregado e contato

O encarregado pelo tratamento de dados pessoais (DPO) é o canal de comunicação entre você, a BossYou e a Autoridade Nacional de Proteção de Dados, conforme o art. 41 da LGPD.

Use esse mesmo canal para dúvidas sobre esta política, para exercer qualquer direito do art. 18, para pedir a exclusão dos seus dados ou para relatar um problema de segurança.

Se você não ficar satisfeito com a nossa resposta, pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) em gov.br/anpd.