Política de Privacidade
1. Quem é o responsável
O controlador dos dados pessoais tratados nestes serviços é César Stenico, pessoa física, responsável pelo domínio satinama.com e pelas aplicações nele publicadas.
Canal de contato para qualquer assunto de privacidade, incluindo o exercício de direitos e pedidos de exclusão: cesarstenico@gmail.com.
2. O que coletamos
Só tratamos dados que você fornece ao usar os serviços, ou que são gerados pelo uso deles. Não compramos listas nem enriquecemos cadastros com fontes externas.
2.1 Dados de conta
- Nome e endereço de e-mail.
- Senha, guardada exclusivamente como hash scrypt. A senha em texto claro nunca é gravada e não pode ser recuperada por nós.
- Estado da conta, data do último acesso e contagem de tentativas de login malsucedidas — usados para bloquear ataques de força bruta.
2.2 Dados de sessão
- Dois cookies estritamente necessários, ambos
HttpOnly,SecureeSameSite=Lax: um de acesso, com validade de 15 minutos, e um de renovação, com validade de 30 dias. Não são legíveis por JavaScript. - Registro da sessão com endereço IP e identificação do navegador (user-agent), para que você possa reconhecer e encerrar sessões e para detectar uso indevido.
2.3 Conteúdo que você cria
- Espaços de trabalho, membros convidados (e-mail do convidado e validade do convite) e Territórios Digitais.
- O conteúdo que você registra: ativos, dados financeiros, publicações planejadas e informações de marca.
- Arquivos que você envia (logotipos e mídias), guardados no nosso próprio banco de dados.
2.4 Integrações que você conecta
Nenhuma integração é ativada sozinha: cada conexão com Meta, Google Ads, TikTok, Instagram, Facebook ou YouTube é iniciada por você, para um Território Digital específico, e pode ser desfeita a qualquer momento. Quando você conecta uma conta, guardamos:
- As credenciais de acesso devolvidas pela plataforma, cifradas com AES-256-GCM antes de tocarem o banco.
- O identificador e o nome da conta na plataforma, as permissões concedidas e a lista de contas de anúncios disponíveis e vinculadas.
- Métricas agregadas das campanhas e publicações — investimento, impressões, cliques, conversões e valor de conversão, por dia.
3. O que não fazemos
- Sem rastreadores de terceiros. Nenhum Google Analytics, pixel publicitário, mapa de calor ou ferramenta de sessão. Os únicos cookies são os dois de autenticação descritos acima.
- Sem venda ou aluguel de dados. Em nenhuma hipótese, para ninguém.
- Sem publicidade direcionada e sem construção de perfis de comportamento.
- Sem uso dos seus dados para treinar modelos de inteligência artificial, nossos ou de terceiros.
- Sem decisões automatizadas que produzam efeitos jurídicos sobre você.
4. Para que usamos
| Finalidade | Base legal (LGPD) |
|---|---|
| Criar e manter sua conta, autenticar acessos e prestar o serviço contratado | Execução de contrato (art. 7º, V) |
| Ler e exibir os dados das plataformas de anúncios e redes sociais que você conectou | Consentimento específico, dado no momento da conexão (art. 7º, I) |
| Executar as ações que você solicita nessas plataformas: pausar, ativar e criar campanhas | Consentimento específico (art. 7º, I) |
| Registrar IP e navegador da sessão para segurança e detecção de abuso | Legítimo interesse (art. 7º, IX) |
| Enviar e-mails operacionais: convites e redefinição de senha | Execução de contrato (art. 7º, V) |
Nada do que fazemos com dados de plataformas conectadas vai além do que você autorizou na tela de consentimento da própria plataforma. O serviço cria campanhas sempre pausadas: nenhuma ação nossa começa a gastar o seu dinheiro sozinha.
5. Com quem compartilhamos
Não vendemos e não compartilhamos dados para fins de marketing. Há apenas três categorias de terceiros envolvidos:
- Plataformas que você conecta (Meta, Google, TikTok). A comunicação é direta entre este serviço e a API delas, com a permissão que você concedeu. O tratamento que cada plataforma faz dos seus dados é regido pela política de privacidade dela.
- Infraestrutura. Os serviços rodam em servidor dedicado sob nosso controle. O DNS e o registro do domínio são da Cloudflare; os certificados TLS são emitidos pela Let's Encrypt. Nenhum dos dois tem acesso ao conteúdo das aplicações.
- Autoridades, quando houver ordem judicial ou obrigação legal — caso em que informaremos você, salvo se a lei proibir.
O servidor está localizado na União Europeia. Ao usar o serviço a partir do Brasil, há transferência internacional dos dados, realizada com as garantias do art. 33 da LGPD.
6. Por quanto tempo guardamos
| Dado | Prazo |
|---|---|
| Conta e conteúdo que você criou | Enquanto a conta existir |
| Sessões | Apagadas automaticamente em 30 dias, ou imediatamente ao sair |
| Convites e códigos de redefinição de senha | Expiram e são apagados automaticamente |
| Métricas diárias de campanhas | 400 dias, por exclusão automática do banco |
| Credenciais de plataformas conectadas | Até você desconectar a integração ou apagar o Território |
7. Seus direitos e como exercer
A LGPD (art. 18) garante a você confirmação do tratamento, acesso, correção, anonimização, portabilidade, informação sobre compartilhamentos, revogação do consentimento e eliminação dos dados.
7.1 Exclusão que você mesmo faz, na hora
- Desconectar uma plataforma: no card da integração, dentro do Território Digital. As credenciais são apagadas imediatamente e a autorização é revogada na plataforma de origem.
- Apagar um Território Digital: remove o conteúdo dele e revoga as integrações associadas.
- Apagar um espaço de trabalho inteiro: disponível ao proprietário. É irreversível e elimina territórios, conteúdos e convites.
7.2 Exclusão por pedido
Escreva para cesarstenico@gmail.com a partir do e-mail cadastrado, pedindo a exclusão da conta. Confirmamos o recebimento e concluímos a eliminação em até 15 dias, apagando conta, espaços dos quais você é único proprietário, conteúdos, arquivos enviados e credenciais de integrações. Cópias em backup são sobrescritas no ciclo seguinte, em no máximo 30 dias.
Se você removeu o acesso do nosso aplicativo diretamente nas configurações da Meta, do Google ou do TikTok, a plataforma nos notifica e a conexão correspondente é apagada automaticamente, sem que você precise fazer mais nada.
8. Segurança
- Todo o tráfego é servido exclusivamente por HTTPS, com certificado emitido pela Let's Encrypt.
- Senhas em hash scrypt; credenciais de plataformas cifradas com AES-256-GCM em repouso.
- Cookies de sessão
HttpOnlyeSameSite=Lax, inacessíveis a scripts e protegidos contra CSRF. - Bloqueio temporário da conta após tentativas repetidas de login malsucedidas.
- Acesso ao banco de dados restrito à aplicação, com usuário próprio e sem exposição à internet.
Nenhum sistema é imune a falhas. Se ocorrer um incidente de segurança com risco relevante aos seus dados, comunicaremos você e a ANPD, conforme o art. 48 da LGPD.
9. Crianças e adolescentes
O serviço destina-se a maiores de 18 anos, no contexto de gestão de negócios. Não coletamos intencionalmente dados de crianças ou adolescentes. Se soubermos de um cadastro assim, ele será apagado.
10. Mudanças nesta política
Alterações relevantes são anunciadas por e-mail aos usuários ativos, com no mínimo 15 dias de antecedência. A data no topo indica a versão vigente.
11. Contato
César Stenico — cesarstenico@gmail.com
Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).
Privacy Policy
1. Who is responsible
The controller of the personal data processed in these services is César Stenico, an individual, who owns the satinama.com domain and the applications published on it.
Contact for any privacy matter, including exercising your rights and deletion requests: cesarstenico@gmail.com.
2. What we collect
We only process data you provide by using the services, or that your use generates. We do not buy lists and do not enrich records from outside sources.
2.1 Account data
- Name and e-mail address.
- Password, stored solely as a scrypt hash. The plaintext password is never written and cannot be recovered by us.
- Account status, last sign-in date and failed sign-in count — used to stop brute-force attacks.
2.2 Session data
- Two strictly necessary cookies, both
HttpOnly,SecureandSameSite=Lax: an access cookie valid for 15 minutes and a refresh cookie valid for 30 days. Neither is readable by JavaScript. - A session record with IP address and browser identification (user-agent), so you can recognise and end sessions and so we can detect misuse.
2.3 Content you create
- Workspaces, invited members (invitee e-mail and invitation expiry) and Digital Territories.
- The content you record: assets, financial data, planned posts and brand information.
- Files you upload (logos and media), stored in our own database.
2.4 Integrations you connect
No integration turns itself on: every connection to Meta, Google Ads, TikTok, Instagram, Facebook or YouTube is started by you, for one specific Digital Territory, and can be undone at any time. When you connect an account we store:
- The access credentials returned by the platform, encrypted with AES-256-GCM before they reach the database.
- The platform account id and name, the permissions granted, and the list of available and linked ad accounts.
- Aggregated campaign and post metrics — spend, impressions, clicks, conversions and conversion value, per day.
3. What we do not do
- No third-party trackers. No Google Analytics, no advertising pixel, no heatmap or session-recording tool. The only cookies are the two authentication cookies described above.
- No selling or renting of data. Never, to anyone.
- No targeted advertising and no behavioural profiling.
- No use of your data to train artificial intelligence models, ours or anyone else's.
- No automated decisions producing legal effects on you.
4. Why we use it
| Purpose | Legal basis (Brazilian LGPD) |
|---|---|
| Create and maintain your account, authenticate access and deliver the service | Performance of a contract (art. 7, V) |
| Read and display data from the ad platforms and social networks you connected | Specific consent, given when connecting (art. 7, I) |
| Carry out the actions you request on those platforms: pause, enable and create campaigns | Specific consent (art. 7, I) |
| Record session IP and browser for security and abuse detection | Legitimate interest (art. 7, IX) |
| Send operational e-mail: invitations and password resets | Performance of a contract (art. 7, V) |
Nothing we do with data from connected platforms goes beyond what you authorised on that platform's own consent screen. The service always creates campaigns paused: no action of ours starts spending your money on its own.
5. Who we share with
We do not sell data and do not share it for marketing. Only three categories of third parties are involved:
- Platforms you connect (Meta, Google, TikTok). Communication is direct between this service and their APIs, under the permission you granted. Each platform's handling of your data is governed by its own privacy policy.
- Infrastructure. The services run on a dedicated server under our control. DNS and domain registration are with Cloudflare; TLS certificates are issued by Let's Encrypt. Neither has access to application content.
- Authorities, upon a court order or legal obligation — in which case we will tell you, unless the law forbids it.
The server is located in the European Union. Using the service from Brazil involves an international transfer, carried out under the safeguards of art. 33 of the LGPD.
6. How long we keep it
| Data | Retention |
|---|---|
| Account and content you created | For as long as the account exists |
| Sessions | Deleted automatically after 30 days, or immediately on sign-out |
| Invitations and password-reset codes | Expire and are deleted automatically |
| Daily campaign metrics | 400 days, by automatic database expiry |
| Credentials of connected platforms | Until you disconnect the integration or delete the Territory |
7. Your rights and how to exercise them
The LGPD (art. 18) grants you confirmation of processing, access, correction, anonymisation, portability, information about sharing, withdrawal of consent and deletion.
7.1 Deletion you perform yourself, immediately
- Disconnect a platform: on the integration card, inside the Digital Territory. Credentials are deleted at once and the authorisation is revoked at the source platform.
- Delete a Digital Territory: removes its content and revokes the integrations attached to it.
- Delete a whole workspace: available to its owner. Irreversible, and it removes territories, content and invitations.
7.2 Deletion on request
Write to cesarstenico@gmail.com from your registered e-mail address asking for account deletion. We acknowledge receipt and complete the deletion within 15 days, removing the account, workspaces you solely own, content, uploaded files and integration credentials. Backup copies are overwritten on the next cycle, within 30 days at most.
If you removed our app's access directly in your Meta, Google or TikTok settings, the platform notifies us and the matching connection is deleted automatically, with nothing further for you to do.
8. Security
- All traffic is served over HTTPS only, with a certificate issued by Let's Encrypt.
- Passwords as scrypt hashes; platform credentials encrypted with AES-256-GCM at rest.
- Session cookies are
HttpOnlyandSameSite=Lax, unreachable by scripts and protected against CSRF. - Temporary account lockout after repeated failed sign-in attempts.
- Database access restricted to the application, with its own user and no exposure to the internet.
No system is immune to failure. Should a security incident pose a relevant risk to your data, we will notify you and the Brazilian data protection authority (ANPD), as required by art. 48 of the LGPD.
9. Children
The service is intended for adults, in a business management context. We do not knowingly collect data from children. If we learn of such an account, it will be deleted.
10. Changes to this policy
Material changes are announced by e-mail to active users at least 15 days in advance. The date at the top shows the version in force.
11. Contact
César Stenico — cesarstenico@gmail.com
You may also lodge a complaint with the Brazilian National Data Protection Authority (ANPD).