Política de Privacidade

1. Quem somos

O SimPost é uma plataforma de gestão e aprovação de conteúdo para agências de marketing e profissionais de social media, operada por [RAZÃO SOCIAL], CNPJ nº [CNPJ], com sede em [ENDEREÇO COMPLETO] ("SimPost", "nós").

Esta Política explica como tratamos dados pessoais em conformidade com a Lei nº 13.709/2018 (LGPD), o Marco Civil da Internet (Lei nº 12.965/2014) e a regulamentação da Autoridade Nacional de Proteção de Dados (ANPD).

2. Controlador e operador: quem decide o quê

A LGPD distingue quem decide o tratamento (controlador) de quem executa a pedido de outro (operador). No SimPost, essa divisão funciona assim:

Quando atuamos como operador, tratamos os dados apenas conforme as instruções do Cliente e para as finalidades do serviço contratado, sem utilizá-los para fins próprios. Se um titular de dados — por exemplo, um cliente da sua agência — nos procurar diretamente, encaminharemos a solicitação a você e prestaremos o apoio necessário.

2.5. Informações exigidas pelo art. 9º da LGPD

Em atenção ao art. 9º da LGPD, informamos de forma clara e ostensiva:

• Finalidade específica do tratamento: as finalidades estão descritas uma a uma na tabela da seção 3 e na seção 5, sempre vinculadas a um serviço concreto.
• Forma e duração do tratamento: o tratamento ocorre de forma automatizada em servidores de nuvem, durante a vigência da conta e pelos prazos de retenção da seção 9.
• Identificação e contato do controlador: [RAZÃO SOCIAL], CNPJ [CNPJ], [ENDEREÇO COMPLETO], pelo e-mail [E-MAIL DO DPO].
• Uso compartilhado: ocorre apenas com os subprocessadores listados na seção 6.
• Responsabilidades dos agentes: conforme a divisão descrita nesta seção 2.
• Direitos do titular: listados com referência expressa ao art. 18 da LGPD na seção 12, com o canal e os prazos para exercê-los.

O tratamento dos dados de cadastro e cobrança é condição para a prestação do serviço, pois sem eles não é possível criar a conta nem manter a assinatura ativa. Os direitos da seção 12 podem ser exercidos gratuitamente pelo canal ali indicado.

Mantemos registro das operações de tratamento e, quando aplicável, realizamos avaliação de impacto (RIPD), nos termos dos arts. 37 e 38 da LGPD.

3. Quais dados tratamos

Não tratamos dados sensíveis (art. 5º, II, da LGPD) de forma intencional. Como o conteúdo é livremente inserido pelo Cliente, caso ele inclua dados sensíveis em artes, briefings ou formulários, isso ocorrerá por sua decisão e sob sua responsabilidade como controlador.

Não coletamos dados de pagamento completos: números de cartão são informados diretamente ao processador de pagamentos e não passam pelos nossos servidores.

4. Bases legais

Tratamos dados pessoais com base nas seguintes hipóteses do art. 7º da LGPD:

• Execução de contrato (V) — para fornecer o serviço contratado, gerenciar a conta, processar a assinatura e prestar suporte.
• Cumprimento de obrigação legal ou regulatória (II) — para guarda de registros de acesso, emissão de documentos fiscais e atendimento a autoridades.
• Legítimo interesse (IX) — para segurança da plataforma, prevenção a fraudes, melhoria do produto e métricas agregadas, sempre com avaliação de que o interesse não prevalece sobre os direitos do titular.
• Consentimento (I) — para comunicações de marketing e cookies não essenciais, quando aplicável. O consentimento pode ser revogado a qualquer momento.
• Exercício regular de direitos (VI) — para defesa em processos administrativos, judiciais ou arbitrais.

5. Para que usamos os dados

• criar, autenticar e manter a conta e os acessos de cada usuário por papel;
• operar o fluxo de aprovação, o Kanban, os briefings, o moodboard e o Brand Kit;
• armazenar e exibir o conteúdo e gerar miniaturas e pré-visualizações;
• processar pagamentos, controlar a vigência do plano e a cota de armazenamento;
• enviar notificações operacionais do serviço (aprovações, ajustes, menções);
• prestar suporte e responder solicitações;
• manter registros de acesso e auditoria, conforme exigido por lei;
• garantir segurança, prevenir fraudes e abusos e diagnosticar falhas técnicas;
• produzir métricas agregadas e anônimas para aprimorar o produto;
• enviar comunicações de marketing, quando houver consentimento ou base legal;
• cumprir obrigações legais e exercer direitos em processo.

Não utilizamos o conteúdo enviado para treinar modelos de inteligência artificial nem para qualquer finalidade estranha à prestação do serviço.

6. Compartilhamento e subprocessadores

6.1. Nós não vendemos, alugamos ou cedemos dados pessoais. O compartilhamento ocorre apenas com operadores necessários ao funcionamento do serviço, sob obrigações contratuais de confidencialidade e segurança:

6.2. Também podemos compartilhar dados para cumprir ordem judicial ou requisição de autoridade competente, quando exigido por lei, ou para exercer direitos em processo administrativo ou judicial.

6.3. Em caso de reorganização societária, fusão, aquisição ou venda de ativos, os dados poderão ser transferidos ao sucessor, mantendo-se os mesmos compromissos desta Política, com comunicação aos titulares.

6.4. A lista de subprocessadores pode ser atualizada. Quando a mudança afetar materialmente a proteção dos dados, o Cliente será comunicado com antecedência mínima de 15 (quinze) dias e poderá se opor, hipótese em que as partes buscarão solução alternativa ou o Cliente poderá rescindir o contrato sem penalidade.

7. Transferência internacional de dados

7.1. Nossos provedores de infraestrutura podem processar e armazenar dados em servidores localizados fora do Brasil, principalmente nos Estados Unidos.

7.2. Essas transferências observam o disposto nos arts. 33 a 36 da LGPD e o Regulamento de Transferência Internacional de Dados da ANPD (Resolução CD/ANPD nº 19, de 23 de agosto de 2024). Como não há, até a presente data, decisão de adequação da ANPD para os Estados Unidos, a transferência é amparada pelas Cláusulas-Padrão Contratuais previstas no Anexo II dessa Resolução, adotadas integralmente e sem alteração, com definição das partes como controlador ou operador em cada ponta.

7.3. Ao contratar o SimPost, o Cliente autoriza a transferência internacional nos termos deste item, ciente de que ela é necessária para a prestação do serviço.

7.4. Transparência sobre a transferência (art. 17, §2º, do Regulamento): a transferência ocorre de forma contínua e automatizada, durante toda a vigência da conta, com a finalidade de hospedar a aplicação, armazenar os arquivos de mídia e processar pagamentos. O país de destino é os Estados Unidos da América, podendo haver replicação em outras regiões do provedor de nuvem. O controlador é [RAZÃO SOCIAL], CNPJ [CNPJ], contato [E-MAIL DO DPO]; o uso compartilhado está descrito na seção 6 e as responsabilidades dos agentes, na seção 2. As medidas de segurança são as da seção 10, e os direitos do titular, com o canal de exercício e o direito de peticionar à ANPD, estão na seção 12.

7.5. Você pode solicitar a íntegra das cláusulas-padrão aplicáveis pelo canal indicado na seção 16. O documento será fornecido em até 15 (quinze) dias, contados do pedido, conforme o art. 17, §1º, do referido Regulamento.

8. Cookies e tecnologias semelhantes

8.1. Utilizamos as seguintes categorias:

• Essenciais — necessários para autenticar a sessão, manter o login e garantir a segurança. Sem eles a plataforma não funciona e não podem ser desativados.
• De preferência — guardam escolhas como o tema claro ou escuro, usando o armazenamento local do navegador.
• De desempenho e analytics — ajudam a entender como a plataforma é usada, de forma agregada, para corrigir erros e melhorar a experiência.
• De marketing — utilizados para medir o desempenho de campanhas e, se aplicável, criar públicos (Meta Pixel).

8.2. Você pode gerenciar ou bloquear cookies nas configurações do navegador. O bloqueio dos cookies essenciais impede o funcionamento da plataforma. A limpeza do armazenamento local apenas restaura as preferências padrão.

8.3. O portal de aprovação acessado por link com token utiliza apenas cookies e armazenamento essenciais para manter a sessão de revisão do Usuário Convidado.

8.4. Utilizamos o Google Analytics 4 (GA4) e o Meta Pixel (Facebook) para medir visitas, conversões e desempenho de campanhas e, se aplicável, formar públicos. Essas ferramentas são carregadas nas páginas do site. Você pode bloquear cookies e scripts nas configurações do navegador ou gerenciar suas preferências de anúncios na Meta e no Google; o bloqueio pode afetar a medição de campanhas.

9. Por quanto tempo guardamos os dados

Encerrados os prazos, os dados são eliminados ou anonimizados de forma irreversível, ressalvadas as hipóteses de guarda obrigatória previstas na LGPD.

10. Segurança da informação

10.1. Adotamos medidas técnicas e administrativas para proteger os dados pessoais, entre elas:

• criptografia em trânsito (HTTPS/TLS) em toda a plataforma e nas APIs;
• autenticação gerenciada com tokens de sessão e cookies HttpOnly, SameSite e Secure em produção;
• controle de acesso por papel (owner, admin, designer, social media, agência);
• links de aprovação com token único e URLs de arquivo assinadas e temporárias, em vez de endereços públicos permanentes;
• limitação de taxa de requisições para conter abusos e ataques automatizados;
• cabeçalhos de segurança HTTP, auditoria de dependências e registro de eventos com ocultação de credenciais nos logs;
• segregação de dados por conta e verificação de titularidade em cada requisição;
• backups periódicos e monitoramento de disponibilidade.

10.2. Nenhum sistema é totalmente imune a falhas. Por isso, mantemos processos de revisão e melhoria contínua e recomendamos que o Cliente também adote boas práticas, como senhas fortes, uso de autenticação segura e cuidado no compartilhamento de links de aprovação.

11. Incidentes de segurança

11.1. Caso ocorra um incidente de segurança que possa acarretar risco ou dano relevante aos titulares, adotaremos as seguintes providências:

• contenção imediata do incidente e investigação da causa e do alcance;
• registro interno do ocorrido, com evidências e medidas adotadas, mantido por no mínimo 5 (cinco) anos, inclusive quanto aos incidentes que não forem objeto de comunicação;
• comunicação à ANPD em até 3 (três) dias úteis, contados do conhecimento do incidente, por meio do formulário eletrônico oficial, com as informações exigidas pela regulamentação e complementação em até 20 (vinte) dias úteis quando necessário;
• comunicação aos titulares afetados em até 3 (três) dias úteis, em linguagem simples e individualizada, informando a natureza dos dados afetados, os riscos envolvidos, as medidas adotadas e as recomendações de mitigação. Sendo inviável a comunicação individual, faremos divulgação em nosso site e canais oficiais por no mínimo 3 (três) meses;
• comunicação ao Cliente controlador, quando os dados atingidos forem de sua responsabilidade, em prazo que lhe permita cumprir seus próprios deveres de comunicação.

11.2. Os prazos acima seguem o Regulamento de Comunicação de Incidente de Segurança da ANPD (Resolução CD/ANPD nº 15, de 24 de abril de 2024). A comunicação será feita pelos canais oficiais do item 16 e poderá ser complementada por aviso no painel da plataforma.

11.3. Consideramos como potencialmente relevantes, entre outros, incidentes que envolvam dados de autenticação, dados financeiros, dados de crianças e adolescentes, dados sob sigilo legal ou tratamento em larga escala.

12. Seus direitos (LGPD)

12.1. Nos termos do art. 18 da LGPD, você pode solicitar a qualquer momento:

1. confirmação da existência de tratamento dos seus dados;
2. acesso aos dados que mantemos sobre você;
3. correção de dados incompletos, inexatos ou desatualizados;
4. anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
5. portabilidade dos dados a outro fornecedor, mediante requisição expressa;
6. eliminação dos dados tratados com base no consentimento, ressalvadas as hipóteses de guarda obrigatória;
7. informação sobre as entidades com as quais compartilhamos dados;
8. informação sobre a possibilidade de não fornecer consentimento e as consequências da recusa;
9. revogação do consentimento, a qualquer momento;
10. oposição a tratamentos fundamentados em legítimo interesse, quando houver descumprimento da LGPD.

12.2. Como exercer. Envie sua solicitação para [E-MAIL DO DPO], indicando seu nome, e-mail de cadastro e o direito que deseja exercer. Podemos solicitar informações adicionais para confirmar sua identidade e evitar fraudes. O exercício dos direitos é gratuito.

12.3. Prazos. Atenderemos imediatamente os requerimentos e, quando não for possível, responderemos em até 15 (quinze) dias contados do recebimento, prazo prorrogável por mais 10 (dez) dias mediante justificativa. Esse prazo observa o art. 19, II, da LGPD e o padrão de mercado, uma vez que o regulamento geral da ANPD sobre direitos dos titulares ainda não foi publicado.

12.4. Se você é cliente de uma agência. Caso seus dados tenham sido inseridos na plataforma pela agência que presta serviço a você, o pedido deve ser dirigido a ela, que é a controladora desses dados. Ainda assim, você pode nos contatar e encaminharemos a solicitação, apoiando o atendimento.

12.5. Você também pode peticionar à Autoridade Nacional de Proteção de Dados (ANPD), pelo canal oficial gov.br/anpd, e aos órgãos de defesa do consumidor, nos termos do art. 18, §1º, da LGPD.

13. Crianças e adolescentes

A plataforma é destinada a pessoas maiores de 18 anos, no contexto profissional. Não coletamos intencionalmente dados de crianças ou adolescentes. Caso identifiquemos esse tipo de dado tratado sem o consentimento específico exigido pelo art. 14 da LGPD, os dados serão eliminados. Se você identificar essa situação, comunique-nos pelo canal do item 16.

14. Decisões automatizadas

O SimPost não toma decisões automatizadas que afetem interesses pessoais dos titulares nem realiza perfilamento comportamental para fins de publicidade. A aprovação ou reprovação de conteúdo é sempre uma decisão humana, tomada por você ou por seu cliente. Se isso mudar com a inclusão de novos recursos, esta Política será atualizada e os titulares poderão solicitar revisão de decisões automatizadas, conforme o art. 20 da LGPD.

15. Alterações desta Política

15.1. Esta Política pode ser atualizada para refletir mudanças no produto, na legislação ou nas práticas de tratamento. A versão vigente fica sempre disponível nesta página, com data de última atualização.

15.2. Mudanças relevantes serão comunicadas por e-mail ou aviso no painel com antecedência mínima de 15 (quinze) dias. O uso contínuo da plataforma após a entrada em vigor significa concordância com a versão atualizada.

16. Como falar conosco

Para exercer direitos, tirar dúvidas sobre privacidade ou reportar um incidente:

• Encarregado(a) pelo Tratamento de Dados (DPO): [NOME DO DPO]
• E-mail do DPO: [E-MAIL DO DPO]
• Encarregado(a) suplente: [NOME DO DPO SUPLENTE]
• Endereço: [ENDEREÇO COMPLETO]
• Suporte geral: [E-MAIL DE SUPORTE]