Política de Privacidade
Última atualização: 2 de novembro de 2026 · Conforme a LGPD (Lei 13.709/2018)
1. Quem somos
A REFEICARD ADMINISTRADORA DE CONVENIOS E TURISMO LTDA, CNPJ 00.801.272/0001-90, que opera a plataforma Agência 100 (agencia100.com.br), é a controladora dos dados da sua conta e da sua equipe. Para os dados das pessoas que você atende pela plataforma (o e-mail do seu cliente, os comentários de seguidores, as pessoas marcadas nos posts), a REFEICARD é operadora: trata esses dados em seu nome e conforme as suas instruções, e a controladora é a sua empresa. Encarregado (DPO): Gilberto Ferreira. Substituto: Gilberto Ferreira Junior. Contato dos dois: privacidade@agencia100.com.br
2. Dados coletados
| Dado | Finalidade | Base legal |
|---|---|---|
| E-mail e senha | Autenticação e comunicação | Execução de contrato |
| Tokens OAuth (IG, FB) | Publicação em redes sociais | Execução de contrato |
| Conteúdo dos posts | Agendamento e publicação | Execução de contrato |
| Métricas de posts | Analytics e relatórios | Execução de contrato |
| IP e user-agent | Segurança e auditoria | Legítimo interesse |
| Dados de uso | Melhoria do produto | Legítimo interesse |
| Dados de pagamento | Cobrança via Asaas | Execução de contrato |
Quem entra com o Google nos informa, por intermédio do Google, o nome, o e-mail e um identificador da conta Google, e só esses dados ficam gravados. Não recebemos a senha do Google nem acessamos outros dados da sua conta Google.
2.1. Mapa de dados pessoais e retenção
| Dado | Finalidade | Base legal | Retenção |
|---|---|---|---|
| E-mail, senha (hash), nome | conta e login | execução de contrato (art. 7º, V) | até a exclusão; anonimizado e apagado em 5 anos |
| 2FA | execução de contrato | até trocar de canal ou excluir a conta | |
| IP e navegador das sessões | segurança | legítimo interesse (art. 7º, IX) | 30 dias |
| E-mail de convidado | convite de equipe | legítimo interesse; a agência cliente é controladora | até aceitar, vencer ou excluir quem convidou |
| E-mail do cliente do cliente | relatório e aprovação | somos operadores; a base é do controlador | enquanto o workspace tiver membros |
| Dados fiscais e credencial cifrada | NFS-e | obrigação legal (art. 7º, II) | enquanto emitir NFS-e; registros das notas por 5 anos |
| NPS: nota e comentário | melhoria do produto | legítimo interesse | 2 anos |
| Payload de webhook do Asaas | reprocessar cobrança | execução de contrato | 90 dias depois de resolvido |
| Aceite de cobrança | defesa em chargeback | exercício regular de direitos (art. 7º, VI) | 5 anos, mesmo após a exclusão |
| Aceite dos termos | prova do aceite | exercício regular de direitos | enquanto a conta existir |
| Registros de e-mail | entrega e suporte | legítimo interesse | 180 dias, depois anonimizado |
Comentário de terceiro (usuário, texto e resposta, em comment_auto_replies) | resposta automática e caixa | somos operadores; a base é da marca cliente | texto e usuário apagados em 90 dias; fica só o id, que evita responder duas vezes |
Pessoas marcadas (posts.marcacoes) | publicar o post | somos operadores | enquanto o post existir |
| Foto, nome e texto enviados à IA (Anthropic, EUA; fal.ai) | legenda, imagem e resposta | execução de contrato; transferência internacional (art. 33) | sem guarda no nosso banco além do post |
| Registro de atividade da equipe | segurança e auditoria | legítimo interesse | 1 ano |
| Métricas dos posts (coletas) | relatórios | execução de contrato | 2 anos; depois fica só a coleta mais recente de cada post |
| Inscrição de notificação do navegador | avisos no navegador | consentimento | 90 dias sem uso |
| E-mails recebidos nas caixas de atendimento e de privacidade | responder e fazer a triagem | legítimo interesse; nos pedidos de titular, obrigação legal (art. 7º, II) | a mensagem fica na caixa, sem apagamento automático; o resumo da triagem, 30 dias, ou mais enquanto valerem a conta, o prazo ou a nota fiscal do e-mail; o endereço de remetente marcado como importante ou não, 180 dias sem uso |
3. Compartilhamento
Compartilhamos dados apenas com:
- Meta (Facebook/Instagram) — para publicação via API autorizada por você
- Asaas — processamento de pagamentos (Brasil)
- Resend — envio de e-mails transacionais
- Anthropic (EUA) — geração de legendas e textos com IA e triagem automática dos e-mails recebidos nas nossas caixas de atendimento e de privacidade. Enviamos só o necessário para o pedido. O texto enviado não fica guardado no nosso banco além do post que você salvar, e a guarda do lado da Anthropic segue a política dela para clientes da API
- fal.ai — geração de imagens com IA
- Sentry — monitoramento de erros
Não vendemos dados pessoais a terceiros.
3.1. Transferência internacional de dados
Nossa infraestrutura de aplicação e banco de dados é operada pela Railway em data centers nos Estados Unidos. Parte dos subprocessadores acima (Meta, Resend, Anthropic, fal.ai e Sentry) também trata dados fora do Brasil.
Essa transferência internacional ocorre nos termos do art. 33 da LGPD, para a execução do contrato firmado com você e mediante cláusulas contratuais de proteção oferecidas pelos fornecedores. Seus direitos previstos na LGPD permanecem integralmente aplicáveis, e continuamos sendo o controlador responsável perante você.
4. Seus direitos (LGPD art. 18)
- Confirmação e acesso aos dados
- Correção de dados incompletos ou desatualizados
- Anonimização, bloqueio ou eliminação
- Portabilidade dos dados
- Informação sobre compartilhamento
- Revogação do consentimento
Para exercer seus direitos: página de solicitações LGPD ou e-mail privacidade@agencia100.com.br
5. Retenção
Cada dado tem o seu prazo, listado no mapa acima. Os dados da conta ficam até você pedir a exclusão. No pedido, nome, e-mail e senha são anonimizados na hora, e o cadastro anonimizado é apagado em 5 anos. Ficam por mais tempo só o que a lei ou a defesa de um direito exige: os registros das notas fiscais (5 anos) e o aceite de cobrança (5 anos a partir do aceite).
6. Segurança
Tokens OAuth ficam cifrados com Fernet (AES-128). Senhas são armazenadas com argon2. Comunicações usam TLS 1.3. Acesso aos dados de produção é restrito e auditado.
7. Cookies
Usamos cookies essenciais (sessão, CSRF). Cookies de análise só com o seu consentimento, pedido no aviso de cookies; hoje nenhum está ativo. Você pode revogar o consentimento a qualquer momento no rodapé da plataforma.