Esta política explica quais dados a Koliby coleta, para que usa, com quem compartilha, por quanto tempo guarda e como você exerce seus direitos. Ela vale para o site, o painel e a conexão com assistentes de IA.
1. Quem somos
A Koliby é um serviço para publicar e agendar posts no Instagram, pelo painel ou por um assistente de IA. O serviço é oferecido por [razão social], CNPJ [número], com sede em [endereço]. Nesta política, "Koliby", "nós" e "a gente" se referem a essa empresa.
Para os dados descritos aqui, a Koliby é a controladora, nos termos da Lei Geral de Proteção de Dados (Lei nº 13.709/2018, a LGPD).
2. Que dados coletamos
2.1. Lista de espera
- Seu e-mail, quando você entra na lista de espera do site.
2.2. Sua conta na Koliby
- Nome e e-mail.
- Senha, guardada só em formato cifrado (hash). Ninguém da Koliby consegue ler.
- Se você entrar com o Google: nome, e-mail e a confirmação de que o e-mail foi verificado pelo Google.
- Convites: o e-mail da pessoa convidada e as contas e permissões que você liberou para ela.
- Papel de cada pessoa na assinatura: administrador, operador ou dono responsável por uma conta do Instagram.
2.3. Contas do Instagram conectadas
- Identificador e tipo da conta (comercial ou de criador de conteúdo), nome de usuário e fuso horário escolhido.
- Credenciais de acesso fornecidas pela Meta (tokens). Elas ficam cifradas e nunca aparecem em registros técnicos.
- Métricas da conta e dos posts, buscadas na API do Instagram quando você pede.
2.4. Posts e mídia
- Imagens e vídeos que você envia ou que a IA importa a partir de um link público.
- Legendas, data e hora de publicação, marcações de perfis, localização e capa de Reels.
- Situação de cada post (rascunho, aguardando aprovação, agendado, publicado, com falha) e os identificadores que a Meta devolve depois da publicação.
2.5. Conexão com assistentes de IA
- A autorização que você dá para o assistente de IA acessar a Koliby em seu nome, e os tokens dessa autorização. O acesso dura 15 minutos e é renovado automaticamente por até 30 dias, enquanto você não revogar.
- Os pedidos que o assistente faz à Koliby (por exemplo, "agendar este post") e o resultado de cada um.
A Koliby não recebe a sua conversa com o assistente. Recebemos só o que o assistente envia para executar uma ação.
2.6. Cobrança
- Plano, periodicidade, situação dos pagamentos e identificadores da sua assinatura na Stripe.
- Os dados do cartão são digitados e processados pela Stripe. A Koliby não recebe nem guarda o número do seu cartão.
2.7. Suporte
- Mensagens trocadas por e-mail e pelos tickets do painel, e a conta do Instagram associada a cada ticket.
2.8. Histórico de ações
- Quem criou, alterou, aprovou, cancelou, excluiu ou publicou cada post, e quando. Isso vale também para as ações pedidas por um assistente de IA.
2.9. Registros técnicos e cookies
- Registros de acesso ao painel e à API, com data, hora e endereço IP, como exige o Marco Civil da Internet (Lei nº 12.965/2014, art. 15).
- Registros de funcionamento (erros, tempo de resposta). Eles nunca guardam senhas, tokens ou links assinados.
- Cookies: usamos só o cookie de sessão necessário para manter você conectado ao painel. Hoje não usamos cookies de análise nem de publicidade. Se isso mudar, esta política e o aviso de cookies mudam antes.
3. Para que usamos
| Finalidade | Dados | Base legal (LGPD, art. 7º) |
|---|---|---|
| Avisar que o beta abriu | E-mail da lista de espera | [Consentimento (I) ou legítimo interesse (IX), a validar] |
| Criar e manter sua conta, autenticar e aplicar permissões | Conta, convites, papéis | Execução de contrato (V) |
| Publicar, agendar e mostrar métricas no Instagram | Contas do Instagram, posts, mídia, métricas | Execução de contrato (V) |
| Atender pedidos do assistente de IA que você conectou | Autorização da IA, pedidos e resultados | Execução de contrato (V) |
| Cobrar a assinatura e aplicar os limites do plano | Cobrança, uso da cota | Execução de contrato (V) |
| Enviar avisos do serviço (aprovação, falha, cobrança, inatividade) | E-mail, nome, dados do post | Execução de contrato (V) |
| Responder ao suporte | Mensagens e tickets | Execução de contrato (V) |
| Mostrar quem fez cada ação e investigar problemas | Histórico de ações, registros técnicos | [Legítimo interesse (IX), a validar] |
| Guardar registros de acesso e documentos fiscais | Registros de acesso, cobrança | Cumprimento de obrigação legal (II) |
| Proteger o serviço contra fraude e abuso | Registros técnicos | [Legítimo interesse (IX), a validar] |
A Koliby não vende dados, não usa seu conteúdo para treinar modelos de IA e não cria anúncios a partir dele.
4. Com quem compartilhamos
Só com quem precisamos para o serviço funcionar:
| Quem | Para quê | Onde |
|---|---|---|
| Meta Platforms (API do Instagram) | Publicar, agendar e buscar métricas nas contas que você conectou | [a confirmar] |
| Stripe | Pagamentos e assinaturas | Estados Unidos |
| Vercel | Hospedagem do site e do painel | Estados Unidos |
| Railway | Hospedagem da API, do banco de dados e das rotinas de agendamento | Estados Unidos (Virgínia) |
| Cloudflare (R2) | Armazenamento de imagens, vídeos e backups | [a confirmar] |
| Resend | Envio de e-mails do serviço | Estados Unidos |
| Login com conta Google, quando você escolhe essa opção | [a confirmar] |
Assistente de IA. Quando você conecta um assistente de IA à Koliby (por exemplo, [Claude, da Anthropic, ou ChatGPT, da OpenAI]), os dados que ele pede à Koliby passam a fazer parte da sua conversa com ele. Esse uso segue a política de privacidade do provedor da IA, que você contratou diretamente. A Koliby não controla o que o provedor faz com a conversa.
Pessoas da sua assinatura. Administradores, operadores e donos de contas veem os dados das contas do Instagram que foram liberadas para eles, de acordo com as permissões dadas pelo administrador.
Autoridades. Podemos compartilhar dados quando a lei ou uma ordem judicial exigir.
5. Transferência internacional
Vários desses serviços guardam dados fora do Brasil, principalmente nos Estados Unidos. A transferência acontece para executar o contrato com você e com as garantias previstas no art. 33 da LGPD. [Mecanismo de transferência a definir.]
6. Por quanto tempo guardamos
| Dado | Prazo |
|---|---|
| E-mail da lista de espera | Até você criar uma conta, pedir para sair ou [prazo máximo a definir] |
| Post publicado e a mídia dele | 30 dias depois da publicação. O post continua no Instagram; apagamos só a cópia guardada na Koliby. |
| Rascunho e mídia ainda não publicada | 90 dias sem nenhuma alteração |
| Post recusado, bloqueado, cancelado, com falha ou aguardando aprovação | 90 dias sem alterações. Editar, reenviar ou reagendar reinicia o prazo; só visualizar não reinicia. |
| Arquivo usado em mais de um post | Enquanto algum post ainda precisar dele |
| Histórico de ações | 90 dias |
| Conta gratuita ou com plano pago encerrado, sem uso | Excluída depois de 3 meses sem atividade, com aviso por e-mail 7, 3 e 1 dia antes. Assinaturas pagas ativas não são excluídas por inatividade. |
| Conta cujo administrador pediu a exclusão | Excluída em até 30 dias depois da confirmação |
| Registros de acesso | 6 meses (Marco Civil da Internet, art. 15) |
| Dados de cobrança e notas fiscais | [prazo legal a definir] |
| Métricas guardadas do Instagram | [prazo a definir] |
| Backups | Backup semanal cifrado. Guardamos as 4 cópias mais recentes, cerca de 4 semanas. |
Conta como atividade, para o prazo de inatividade: entrar no painel, usar a Koliby por um assistente de IA ou ter um post publicado.
Depois de uma exclusão, os dados podem continuar nos backups até a cópia ser substituída. Se precisarmos restaurar um backup, refazemos as exclusões antes de voltar a usar os dados.
7. Como protegemos
- Senhas guardadas só em formato cifrado (hash).
- Tokens da Meta e da IA cifrados no banco de dados.
- Sessão do painel em cookie que o código da página não consegue ler (HttpOnly) e que só trafega por conexão segura.
- Imagens e vídeos em armazenamento privado. A Meta recebe um link temporário só na hora de publicar.
- Cada assinatura só acessa os próprios dados. Toda ação confere quem você é e o que você pode fazer.
- Registros técnicos sem senhas, tokens nem links assinados.
Nenhum sistema é totalmente imune a falhas. Se acontecer um incidente de segurança que possa causar risco ou dano relevante a você, avisamos você e a Autoridade Nacional de Proteção de Dados (ANPD), como pede a LGPD.
8. Seus direitos
Pela LGPD (art. 18), você pode pedir:
- confirmação de que tratamos seus dados e acesso a eles;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a lei;
- portabilidade dos seus dados;
- eliminação dos dados tratados com base no seu consentimento;
- informação sobre com quem compartilhamos seus dados;
- revogação do consentimento, quando ele for a base legal.
Muitas dessas ações você faz direto no painel: corrigir seus dados, desconectar uma conta do Instagram, excluir posts e, se você for administrador, encerrar a conta e pedir a exclusão dos dados da assinatura inteira.
Para o resto, escreva para [e-mail do encarregado]. Respondemos em até [prazo a definir]. Podemos pedir uma confirmação de identidade antes de atender.
Desconectar o Instagram. Quando o administrador desconecta uma conta, a Koliby apaga as credenciais de acesso e bloqueia as publicações dela. Você também pode remover o acesso da Koliby nas configurações do próprio Instagram.
Desconectar a IA. Você pode revogar o acesso de um assistente de IA a qualquer momento. Quando um operador é removido da assinatura, os acessos dele pelo painel e pela IA são cortados na hora.
9. Idade mínima
A Koliby é feita para negócios e profissionais. Não aceitamos contas de menores de [18 anos, a validar].
10. Mudanças nesta política
Se mudarmos algo importante, avisamos por e-mail e no painel [com X dias de antecedência]. A data no topo mostra a última atualização.
11. Contato
- Encarregado pelo tratamento de dados (DPO): [nome], [e-mail]
- Suporte: [e-mail de suporte]
- Você também pode reclamar na ANPD: gov.br/anpd