Política de Privacidade
Tradução fornecida por conveniência; a versão em inglês prevalece. English
Data de vigência: 2026-11-01
Versão: v1.0
1. Introdução
Esta Política de Privacidade descreve como a AZWAUL LP, sociedade em comandita (limited partnership, LP) registrada em Ontário, Canadá, com sede registrada em 1025 King Street East, Unit 107 #1697, Cambridge, ON N3H 3P5 (a “Empresa”, “nós”, “nosso”), coleta, usa, armazena e protege dados pessoais em relação ao Heraldly (o “Serviço”), disponível em heraldlyapp.com.
O Heraldly permite que criadores, empresas e agências publiquem e programem conteúdo em redes sociais, agrupem esse conteúdo em campanhas e meçam os resultados. Ao usar o Serviço, você (o “Usuário”) reconhece as práticas descritas nesta Política.
Em resumo:
- Acessamos suas contas sociais apenas para publicar o que você ou sua equipe programam e para ler as estatísticas dessas contas.
- Nunca lemos suas mensagens privadas, nunca vendemos seus dados e nunca os usamos para publicidade.
- Você pode desconectar uma conta, exportar seus dados ou excluir tudo a qualquer momento (veja nossa página Exclusão de dados).
2. Marco Legal Aplicável
A Empresa está estabelecida no Canadá e o Serviço é oferecido internacionalmente. Esta Política foi redigida com referência a:
- a Personal Information Protection and Electronic Documents Act (PIPEDA, lei canadense de proteção de informações pessoais e documentos eletrônicos) do Canadá e, para Usuários no Québec, a Loi sur la protection des renseignements personnels dans le secteur privé (lei do Québec sobre a proteção de informações pessoais no setor privado), conforme alterada pela Loi 25 (Lei 25);
- o Regulamento Geral sobre a Proteção de Dados (RGPD, UE 2016/679) para Usuários no Espaço Econômico Europeu, e o RGPD do Reino Unido (UK GDPR) para Usuários no Reino Unido;
- outras leis de proteção de dados aplicáveis aos Usuários no local onde residem, incluindo as leis estaduais de privacidade dos Estados Unidos, quando aplicáveis.
Quando esses marcos divergirem, prevalece o padrão que oferecer o mais alto nível de proteção ao Usuário.
3. Papéis de Controlador e Operador
- A Empresa é a controladora dos dados necessários para operar a conta do Usuário: dados de identidade e de login, o acesso concedido às contas sociais conectadas, dados de assinatura e dados técnicos e de segurança.
- Para o conteúdo que o Usuário cria ou envia (publicações, legendas, mídias, comentários no fluxo de aprovação), as estatísticas coletadas das contas conectadas do Usuário e os dados de cliques dos links curtos do Usuário, o Usuário (ou a Organização em nome da qual atua) é o controlador e a Empresa atua como operadora, tratando esses dados apenas para prestar o Serviço.
- As redes sociais (LinkedIn, Google/YouTube, Meta para Facebook e Instagram, TikTok) são controladoras independentes dos dados que mantêm. Quando o Usuário publica por meio do Heraldly, o conteúdo é enviado a elas por instrução do Usuário e passa a ser regido pelos termos e políticas de privacidade delas.
- A Paddle, nossa revendedora e Merchant of Record (vendedor oficial registrado; ver Seção 7), é controladora independente dos dados que coleta no checkout, nos termos de seu próprio aviso de privacidade (https://www.paddle.com/legal/privacy).
4. Dados Coletados
4.1 Dados de Conta e de Identidade
| Categoria | Dados | Momento da Coleta |
|---|---|---|
| Identificação | Nome, sobrenome, endereço de e-mail | Cadastro |
| Autenticação | Senha (com hash bcrypt), segredo de 2FA e códigos de recuperação, ou o identificador do provedor de login utilizado | Cadastro / configurações de segurança |
| Perfil | Avatar (imagem), idioma, fuso horário | Configurações do perfil |
| Participação | Organizações às quais o Usuário pertence, papel em cada uma | Convite / configurações da organização |
4.2 Dados das Contas Sociais Conectadas
Quando o Usuário conecta uma conta social, a rede solicita que o Usuário conceda permissões específicas ao Heraldly. Usamos apenas as permissões listadas abaixo, e somente para as finalidades indicadas.
| Rede | O que acessamos | Por quê |
|---|---|---|
| Nome, foto de perfil e identificador de membro; as Páginas que o Usuário administra (nome, logotipo, identificador); estatísticas das publicações e Páginas (impressões, cliques, contagens de reações, comentários e compartilhamentos, seguidores) | Publicar no perfil ou na Página; exibir estatísticas nos relatórios | |
| YouTube (via YouTube API Services) | Identificador, título e miniatura do canal; a capacidade de enviar vídeos e definir seu título, descrição, miniatura, playlist e visibilidade; estatísticas do YouTube Analytics dos vídeos do canal (visualizações, tempo de exibição, duração média de visualização, curtidas, comentários, inscritos ganhos) | Enviar e programar vídeos; exibir estatísticas nos relatórios |
| As Páginas que o Usuário gerencia (nome, imagem, identificador) e um token de acesso para cada uma; insights das Páginas e de suas publicações | Publicar na Página; exibir estatísticas nos relatórios | |
| Instagram (contas profissionais) | Identificador da conta, nome de usuário e foto de perfil; insights da conta e de suas mídias (alcance, visualizações, curtidas, comentários, salvamentos, compartilhamentos) | Publicar imagens, carrosséis e reels; exibir estatísticas nos relatórios |
| TikTok | Identificador aberto (open ID), nome de exibição e avatar; as opções de publicação da conta (níveis de privacidade disponíveis, duração máxima de vídeo); estatísticas dos vídeos publicados (contagens de visualizações, curtidas, comentários e compartilhamentos) | Publicar vídeos e fotos; exibir estatísticas nos relatórios |
Quando uma rede os fornece, também podemos receber detalhamentos agregados de público (por exemplo, visualizações por país). Esses números são estatísticas e não identificam espectadores individuais.
Não lemos mensagens privadas, não coletamos a identidade nem o conteúdo das pessoas que comentam ou reagem às publicações do Usuário, e nunca publicamos nada que o Usuário ou um membro de sua Organização não tenha criado e programado.
Os tokens de acesso das contas conectadas são criptografados em repouso (AES-256-GCM).
4.3 Dados de Conteúdo e do Espaço de Trabalho
Publicações, legendas, hashtags, links, arquivos de mídia (imagens e vídeos), miniaturas, programações, campanhas, tags, histórico de aprovação (comentários, alterações solicitadas, aprovações e seus autores) e o histórico de publicações importadas das contas conectadas. Quando o Usuário importa uma exportação de dados do LinkedIn (uma planilha baixada do LinkedIn), o arquivo é lido para extrair as estatísticas das publicações e, em seguida, é excluído.
4.4 Dados de Cliques em Links Curtos
Os links encurtados pelo Heraldly (go.heraldlyapp.com) registram cada clique para medir campanhas. Para cada clique, mantemos: a data e a hora, o link curto, o país, o tipo de dispositivo e a família do navegador, e o site de referência.
O endereço IP do visitante é usado apenas no momento do clique, para determinar o país e filtrar tráfego automatizado, e não é armazenado. O redirecionamento não define nenhum cookie e não identifica o visitante.
4.5 Dados Coletados Automaticamente
| Categoria | Dados | Finalidade |
|---|---|---|
| Conexão | Endereço IP, user agent | Segurança, detecção de fraudes |
| Auditoria | Ações realizadas, entidade envolvida, método HTTP, caminho, registros de data e hora | Rastreabilidade, segurança |
| Técnicos | Tipo de navegador, sistema operacional, erros | Compatibilidade, diagnóstico |
Observação: nenhum dado de cartão de pagamento é armazenado em nossos servidores. Os pagamentos são processados integralmente pela Paddle (ver Seção 7).
5. Finalidades e Bases Legais
| Finalidade | Base Legal |
|---|---|
| Prestação do Serviço (publicação, programação, calendário, campanhas, relatórios, aprovação) | Execução de contrato |
| Conexão de contas sociais e leitura de suas estatísticas | Execução de contrato; a autorização do Usuário em cada rede |
| Medição de cliques em links curtos | Interesse legítimo do Usuário em medir suas campanhas (sem cookie, sem endereço IP armazenado) |
| Gestão de assinaturas e pagamentos | Execução de contrato |
| Segurança, prevenção de fraudes, registros de auditoria | Interesse legítimo / obrigação legal |
| E-mails transacionais | Execução de contrato |
| Novidades do produto e newsletters | Consentimento (opt-in, revogável a qualquer momento) |
| Melhoria do Serviço | Interesse legítimo, com uso de dados de uso agregados |
6. YouTube API Services e Dados do Google
O Heraldly usa os YouTube API Services para enviar vídeos e ler estatísticas de canais. Ao conectar um canal do YouTube, o Usuário concorda em ficar vinculado aos Termos de Serviço do YouTube. O tratamento de dados pelo Google é descrito na Política de Privacidade do Google.
O uso e a transferência, pelo Heraldly, de informações recebidas das APIs do Google seguem a Política de Dados do Usuário dos Serviços de API do Google (Google API Services User Data Policy), incluindo os requisitos de Limited Use (uso limitado dos dados). Em particular, não usamos essas informações para veicular publicidade, não as vendemos e não permitimos que pessoas as leiam, exceto com o consentimento do Usuário, por razões de segurança ou quando a lei o exigir.
O Usuário pode revogar o acesso do Heraldly à sua conta do Google a qualquer momento na página de configurações de segurança do Google. Os dados obtidos por meio dos YouTube API Services são excluídos:
- em até 7 dias após o Usuário desconectar o canal no Heraldly;
- em até 30 dias após o Usuário revogar o acesso nas configurações do Google.
As estatísticas do YouTube são mantidas apenas enquanto o Heraldly permanecer autorizado a acessar o canal; verificamos essa autorização pelo menos a cada 30 dias.
7. Compartilhamento e Suboperadores
Não vendemos nem alugamos dados pessoais. Compartilhamos dados apenas com os seguintes suboperadores, na medida necessária para operar o Serviço:
| Suboperador | Localização | Função | Dados Envolvidos |
|---|---|---|---|
| Hetzner (Hetzner Online GmbH) | Alemanha / Finlândia (UE) | Hospedagem dos servidores de aplicação e dos bancos de dados | Todos os dados tratados pelo Serviço |
| Cloudflare | Estados Unidos (rede global) | DNS, terminação TLS, proteção de rede, entrega dos links curtos | Endereço IP e metadados das requisições; as requisições transitam pela sua rede |
| Backblaze (armazenamento de objetos B2 / S3) | Países Baixos (UE) | Armazenamento de arquivos de mídia e backups | Imagens e vídeos enviados, miniaturas, avatares, backups |
| Paddle (Paddle.com Market Limited) | Reino Unido | Revendedora e Merchant of Record dos planos pagos (controladora independente) | Nome, e-mail, país de cobrança, identificadores de assinatura e de transação, valores |
| Brevo | França / UE | Envio de e-mails transacionais | E-mail do destinatário, nome |
| Bugsink | Auto-hospedado / UE | Rastreamento de erros | Eventos de erro, metadados técnicos |
Redes sociais. Quando o Usuário publica, o conteúdo e as mídias são enviados à rede que o Usuário selecionou (LinkedIn, YouTube, Facebook, Instagram, TikTok). No caso do Instagram, a rede busca cada arquivo de mídia a partir de um link temporário, com tempo limitado, que criamos para esse fim. Depois de publicado, o conteúdo é público ou privado de acordo com as configurações que o Usuário escolheu nessa rede.
A Paddle vende os planos pagos ao Usuário como Merchant of Record. Para os dados que coleta no checkout (incluindo os dados do cartão de pagamento, que nunca chegam aos nossos servidores), ela atua como controladora independente. Recebemos da Paddle apenas o necessário para gerenciar a assinatura: identificadores de cliente e de assinatura, plano, valores e status do pagamento.
Nenhum terceiro veicula publicidade no Serviço.
As transferências internacionais (para a União Europeia, o Reino Unido e os Estados Unidos) são regidas por salvaguardas adequadas, incluindo Cláusulas Contratuais Padrão, quando aplicáveis.
8. Cookies e Tecnologias Semelhantes
O Serviço usa apenas cookies estritamente necessários: cookies de autenticação (tokens de acesso e de atualização httpOnly) e cookies de preferência (idioma, tema). Ele não usa cookies de publicidade nem cookies de rastreamento de terceiros. Os redirecionamentos de links curtos não definem nenhum cookie.
9. Retenção de Dados
| Tipo de Dado | Período de Retenção |
|---|---|
| Dados de conta e de perfil | Enquanto a conta existir |
| Tokens de acesso das contas conectadas | Até a conta ser desconectada ou o acesso ser revogado; excluídos imediatamente na desconexão |
| Rascunhos, publicações programadas, campanhas | Até serem excluídos pelo Usuário ou até a exclusão da Organização |
| Arquivos de mídia originais | 90 dias após a publicação da última publicação que os utiliza (as publicações publicadas e suas estatísticas permanecem); mídias não publicadas até serem excluídas, dentro da cota de armazenamento do plano |
| Estatísticas do YouTube | Enquanto o Heraldly permanecer autorizado (ver Seção 6) |
| Estatísticas de outras redes | Enquanto a Organização existir, a menos que o Usuário as exclua ao desconectar a conta |
| Arquivos de exportação de dados do LinkedIn | Excluídos após a importação, em até 24 horas |
| Eventos de cliques em links curtos | 13 meses; depois, mantidos apenas como contagens agregadas |
| Registros de auditoria | 365 dias |
| Backups | Rotativos, por até 30 dias |
| Referências de pagamento (Paddle) | Conforme exigido pela legislação contábil e tributária |
Na exclusão da conta:
- os dados pessoais de identidade do Usuário são anonimizados (nome, sobrenome e e-mail substituídos por valores genéricos);
- os tokens de acesso são excluídos e, quando a rede permitir, revogados;
- o conteúdo, as mídias, as estatísticas e os dados de cliques de uma Organização são excluídos quando a Organização é excluída, em até 30 dias (backups incluídos);
- o conteúdo já publicado em uma rede social permanece lá: sua exclusão é feita na própria rede.
10. Segurança dos Dados
- Criptografia em trânsito: todas as comunicações usam HTTPS/TLS.
- Hash de senhas: bcrypt com salt.
- Criptografia em repouso dos tokens de acesso das contas sociais: AES-256-GCM.
- Autenticação de dois fatores (TOTP) com códigos de recuperação.
- Isolamento: separação estrita entre Contas e Organizações; papéis dentro de cada Organização.
- URLs pré-assinadas: acesso temporário e seguro aos arquivos armazenados.
- Limitação de taxa (rate limiting) e registro de auditoria de acessos e ações.
Notificação de Incidentes
Em caso de violação das salvaguardas de segurança envolvendo dados pessoais, notificaremos as autoridades competentes e os Usuários afetados conforme exigido pela legislação aplicável: o Office of the Privacy Commissioner of Canada (Comissariado de Privacidade do Canadá) quando houver risco real de dano significativo e, quando o RGPD se aplicar, a autoridade de controle competente em até 72 horas.
11. Direitos do Usuário
Dependendo de onde você reside, você tem os seguintes direitos:
| Direito | Como Exercer |
|---|---|
| Acesso | Exportação de dados nas configurações da conta |
| Retificação | Editar o perfil e as configurações da organização |
| Eliminação | Desconectar contas, excluir uma Organização ou excluir a conta (ver Exclusão de dados) |
| Portabilidade | Exportação em JSON nas configurações da conta |
| Oposição / Limitação | Entre em contato com privacy@heraldlyapp.com |
| Revogação do consentimento | Configurações da conta, o link de cancelamento de inscrição nos e-mails, ou privacy@heraldlyapp.com |
Respondemos às solicitações no prazo exigido pela legislação aplicável (geralmente trinta (30) dias).
12. Dados Pessoais no Conteúdo do Usuário
O conteúdo que o Usuário publica pode conter dados pessoais de outras pessoas (por exemplo, uma pessoa que aparece em um vídeo ou é mencionada em uma publicação). O Usuário é o controlador desses dados e é responsável por obter os direitos e consentimentos necessários para publicá-los. Os visitantes de links curtos que desejarem exercer seus direitos podem entrar em contato com o Usuário que publicou o link, ou conosco em privacy@heraldlyapp.com, e encaminharemos a solicitação.
13. Dados de Menores
O Serviço destina-se a uso profissional e não é direcionado a pessoas com menos de 18 anos de idade. Não coletamos intencionalmente dados pessoais de menores como titulares de contas.
14. Comunicações
Enviamos os e-mails transacionais necessários para operar o Serviço (ativação da conta, redefinição de senha, convites, solicitações de aprovação, falhas de publicação, avisos de pagamento e alertas de segurança). Enviamos novidades do produto e newsletters apenas com o consentimento do Usuário.
15. Alterações desta Política
Podemos modificar esta Política. Em caso de alteração relevante, os Usuários serão notificados por e-mail ou no Serviço com pelo menos trinta (30) dias de antecedência, e a “Data de vigência” acima será atualizada.
16. Autoridades de Controle
Se você considerar que o tratamento de seus dados pessoais não está em conformidade com a legislação aplicável, você pode apresentar uma reclamação a:
- Canadá: Office of the Privacy Commissioner of Canada — priv.gc.ca
- Québec: Commission d’accès à l’information — cai.gouv.qc.ca
- União Europeia: a autoridade de proteção de dados do seu país de residência (por exemplo, a CNIL na França)
- Reino Unido: Information Commissioner’s Office — ico.org.uk
Recomendamos que você entre em contato conosco primeiro, para que possamos resolver qualquer preocupação.
17. Contato
Para qualquer dúvida sobre esta Política de Privacidade, ou para exercer seus direitos:
- Contato para proteção de dados: privacy@heraldlyapp.com
- E-mail: legal@heraldlyapp.com
- Telefone: +230 54 81 00 52
- BIN: 1001668734
- Endereço postal: AZWAUL LP, 1025 King Street East, Unit 107 #1697, Cambridge, ON N3H 3P5, Ontário, Canadá
AZWAUL LP — BIN 1001668734 — 1025 King Street East, Unit 107 #1697, Cambridge, ON N3H 3P5 — Ontário, Canadá — Tel.: +230 54 81 00 52 — Heraldly (heraldlyapp.com)