Política de Privacidade
Versão: PREENCHER: número · Vigente desde: PREENCHER: data · Última atualização: PREENCHER: data
Esta política explica, em linguagem simples, quais dados pessoais coletamos, para que usamos, com quem compartilhamos, por quanto tempo guardamos e como você exerce seus direitos, conforme a Lei Geral de Proteção de Dados (Lei 13.709/2018, "LGPD") e o Marco Civil da Internet (Lei 12.965/2014).
Ela vale para:
- Storycontent Club — a plataforma da mentoria, em
sistemastorycontent.com.br("Club"); - Conteúdo Sem Esforço — o desafio de 40 dias, em
app.sistemastorycontent.com.br("CSE"), incluindo o nível pago Aplicativo CSE + Assistentes de IA ("nível pago"); - as páginas públicas onde você pode deixar contato antes de ser aluno: as análises gratuitas (IANA, Raio-X, Reel → Carrossel), o formulário de aplicação à mentoria e a área da imersão.
1. Quem somos (controlador dos dados)
PREENCHER: razão social, CNPJ PREENCHER: CNPJ, com sede em PREENCHER: endereço, é a controladora dos dados pessoais tratados nos produtos acima ("nós", "Storycontent").
Encarregada(o) pelo tratamento de dados (DPO): PREENCHER: nome — PREENCHER: e-mail do encarregado/DPO.
Suporte e pedidos sobre seus dados: suporte@sistemastorycontent.com.br. É o mesmo endereço impresso no rodapé do CSE e nos e-mails que enviamos.
2. Como você entra (conta e login)
Sem senha. Nos dois produtos você entra com um link mágico: digita o e-mail, recebe um link de uso único e clica. Para isso guardamos seu e-mail e criamos uma conta na nossa infraestrutura de autenticação (Supabase). Cada entrada gera um cookie de sessão (ver seção 9).
Club — lista de acesso. Só entra no Club quem está na lista de e-mails autorizados pela equipe da mentoria. Se seu e-mail sair da lista, a sessão é encerrada e o acesso é revogado.
CSE — a compra cria a conta. Quando a Hotmart aprova sua compra, nós criamos sua conta automaticamente com o e-mail da compra e enviamos o e-mail de boas-vindas com o link de entrada. Reembolso, chargeback ou contestação encerram o acesso.
Login com Google (quando disponível). Você poderá entrar com a sua conta Google em vez do link por e-mail. O que acontece nesse caso está na seção 10.
3. Quais dados coletamos
3.1 Dados que você nos dá
| Onde | O que | Observação |
|---|---|---|
| Cadastro (Club) | e-mail, nome, @ do Instagram, nicho, foto de perfil | A foto fica num repositório com endereço público (quem tem o link vê). |
| Onboarding (Club) | respostas do diagnóstico inicial (profissão, tese, objetivo, público, travas, concorrentes, frequência, números) e prints do seu perfil e das suas métricas do Instagram | Prints podem mostrar dados de terceiros (seguidores, comentários). |
| Contexto para as IAs (Club) | até 3 textos curtos (quem sou, para quem crio, meu estilo), 500 caracteres cada | Enviados às IAs junto com cada pedido seu. |
| Onboarding (CSE) | nome de exibição, se está começando, estágio, quantos posts faz hoje, nicho/assunto, objetivo, ritmo escolhido, tempo por dia, @ do Instagram, foto (opcional) | A foto fica dentro do banco, não em repositório público. |
| Semana Zero (CSE) | suas respostas às questões e campos do estudo dos 7 dias (até 2.000 caracteres por campo) e os acertos | Respostas livres alimentam o contexto das IAs do nível pago. |
| Conteúdo que você cria | roteiros, legendas, mensagem central, tese, mapas, carrosséis, respostas das ferramentas de IA | É seu conteúdo autoral; guardamos para você reabrir e para as IAs continuarem de onde parou. |
| Depoimento (CSE) | texto ou vídeo que você envia para recuperar a ofensiva, com o aceite de uso público | Vídeo em repositório privado (até 45 MB). Ver seção 7, "Decisões automatizadas". |
| Avaliação das IAs | 👍/👎, motivos e comentário (até 1.000 caracteres) | Opcional. |
| Feedback da plataforma (Club) | texto e print opcional | Vai por e-mail para a equipe; não fica no banco. |
| Páginas públicas | nome, e-mail, WhatsApp, @ do Instagram, nicho, respostas do formulário de aplicação; parâmetros de campanha (UTM) | Ver seção 8. |
3.2 Dados sobre o seu Instagram (perfil público)
Usamos um provedor externo (RapidAPI) para consultar dados públicos do Instagram. Nunca pedimos sua senha nem acessamos sua conta.
- Club — monitor diário. Se você informou o @, consultamos seu perfil todo dia (seguidores, seguindo, número de posts, médias de engajamento) e, às segundas, seus 12 últimos posts (tipo, curtidas, comentários, data e o começo da legenda, até 120 caracteres). Bio e foto não são guardadas. Alimenta o gráfico do seu perfil, a ofensiva do painel e o relatório semanal da equipe.
- CSE — só os posts que você registrar. Quando você cola o link de um post, acompanhamos só números dele (curtidas, comentários, visualizações), toda semana, pelo prazo do desafio. Não guardamos legenda, comentários nem quem comentou — a tabela não tem nem coluna para isso, e um teste automático impede que ela ganhe uma. Você autoriza essa coleta no onboarding, e o texto que aceitou fica registrado com versão e data.
- CSE — verificação do @ e perfil semanal. Ao conferir seu @ no onboarding, consultamos seu perfil (e, hoje, uma amostra de 12 posts com trecho de legenda) e podemos adotar sua foto pública como foto da carteirinha. Depois, consultamos o perfil uma vez por semana para a série de seguidores.
3.3 Dados de compra (CSE)
Da Hotmart recebemos: e-mail, nome, código da transação, produto e oferta comprados, afiliado e origem da venda (campanha). Não recebemos nem guardamos CPF, telefone, endereço ou dados de pagamento — a leitura do evento é campo a campo, e esses campos ficam de fora. No registro técnico de provisionamento o e-mail entra apenas como hash (não reversível).
3.4 Registros de uso (o que o sistema anota sozinho)
- Ações importantes (criar roteiro, registrar post, usar uma IA, concluir um dia de estudo, ver uma tela), com data, hora, endereço IP e navegador (user-agent). É a trilha que a equipe usa para acompanhar quem precisa de ajuda e para segurança.
- Páginas visitadas (Club).
- Uso das IAs: ferramenta, modelo, tamanho do texto, custo, duração e se deu certo — nunca o texto em si.
- Consentimentos (CSE): tipo, versão e hash do texto aceito, data.
- Trilha da retenção (CSE): avisos enviados, pedidos de cópia, exclusão realizada.
3.5 Dados do aparelho (avisos no celular, CSE)
Se você ligar os avisos, guardamos o endereço técnico de entrega do seu navegador (endpoint), as chaves de criptografia geradas pelo navegador e o user-agent. Isso permite enviar a notificação só para aquele aparelho. Você desliga a qualquer momento nas configurações do navegador ou do app.
3.6 Erros e desempenho
Quando algo quebra, o Sentry recebe o erro com a página, o horário e, em caso de erro, uma gravação da tela com todo texto mascarado e mídias bloqueadas. Segredos, tokens e cookies são apagados antes do envio. Em 10% das navegações (30% no servidor) enviamos também tempos de carregamento.
3.7 Medição de marketing (CSE e páginas públicas)
No CSE e nas páginas públicas carregamos o Google Tag Manager (por um servidor próprio, Stape). No CSE, os eventos enviados são de uma lista fechada (tela vista, onboarding concluído, post registrado, oferta vista, checkout clicado, IA grátis usada, nível ativado) e nunca levam nome, e-mail, telefone ou @ — só um código da sua conta. Nas páginas públicas de captação, o envio do formulário vai ao Tag Manager com nome, e-mail, telefone e @, para medir a campanha. O Tag Manager pode acionar ferramentas do Google (Analytics) e da Meta (anúncios).
4. Para que usamos
| Finalidade | Dados | Base legal sugerida DECIDIR: confirmar com o Jurídico |
|---|---|---|
| Entregar o produto que você comprou ou a mentoria em que foi aceito | conta, perfil, conteúdo, respostas, posts registrados | execução de contrato |
| Personalizar as ferramentas de IA para você | contexto do perfil, respostas da Semana Zero, seu texto | execução de contrato |
| Acompanhar seu desempenho no Instagram | @ e métricas públicas | consentimento (CSE) · DECIDIR: base do monitor diário do Club |
| Recuperar a ofensiva com depoimento e divulgar o depoimento | texto/vídeo, primeiro nome, @ | consentimento |
| Acompanhamento pedagógico e suporte (quem precisa de atenção) | registros de uso, relatório semanal para a equipe | legítimo interesse |
| Segurança, prevenção a fraude e cumprimento do Marco Civil | IP, user-agent, data e hora | obrigação legal (art. 15 do Marco Civil) e legítimo interesse |
| Controlar custo e limites diários das IAs | registro de uso das IAs | legítimo interesse |
| Enviar avisos do produto (boas-vindas, expiração, retenção, ofertas do nível) | execução de contrato; ofertas respeitam descadastro | |
| Medir campanhas e anúncios | eventos sem identificação (CSE); dados do formulário (páginas públicas) | DECIDIR: consentimento por banner ou legítimo interesse |
| Corrigir erros | Sentry | legítimo interesse |
| Conciliação financeira e contábil | código da compra, hash do e-mail | obrigação legal |
5. Com quem compartilhamos (operadores)
Não vendemos dados. Compartilhamos apenas com empresas que processam dados em nosso nome, para as finalidades acima. Quase todas ficam fora do Brasil, o que configura transferência internacional de dados (LGPD, art. 33).
| Empresa | Para quê | O que recebe | Produto |
|---|---|---|---|
| Supabase (EUA; servidores CONFIRMAR: região do projeto) | banco de dados, login, arquivos | todos os dados guardados | Club, CSE |
| Vercel (aplicação executada em São Paulo, Brasil) | hospedagem e contagem de visitas sem identificação | endereço das páginas, dados técnicos | Club, CSE |
| Anthropic (EUA) | as IAs (Claude) | o texto que você envia e o contexto do seu perfil; no CSE, também as respostas da Semana Zero. Nunca seu e-mail | Club, CSE (nível pago e análise grátis), triagem do depoimento |
| Groq (EUA) | transcrever o áudio do seu Reel (Reel → Carrossel) | o áudio do Reel | nível pago e isca pública |
| Google (EUA) | login com Google (seção 10); Gemini na triagem de notícias (sem dado seu); Tag Manager/Analytics; fontes e vídeos do YouTube nas aulas | conforme cada uso | Club, CSE |
| Meta / Instagram (EUA) | exibir posts incorporados; baixar o vídeo do Reel; anúncios via Tag Manager | dados de navegação; eventos do Tag Manager | Club, CSE |
| Stape (CONFIRMAR: sede) | servidor do Tag Manager (metrics.anacioffis.com.br) | os mesmos eventos do Tag Manager | CSE, páginas públicas |
| RapidAPI (EUA) | consultar dados públicos do Instagram | o @ ou o link do post | Club, CSE |
| SerpApi (EUA) | tendências de busca para a NotícIA | termos de busca, sem dado seu | Club |
| Resend (EUA) | envio de e-mails | nome e e-mail; no feedback do Club, o texto e o print | Club, CSE |
| Hotmart (Brasil) | venda, área de membros das aulas do CSE | nos envia seus dados de compra; recebe de nós um código da sua conta no link de compra | CSE |
| Sentry (EUA) | erros e desempenho | seção 3.6 | Club, CSE |
| Boost.space (CRM) | receber os cadastros das páginas públicas | nome, e-mail, WhatsApp, @, campanha | páginas públicas |
| Serviços de notificação (Apple, Google, Mozilla, Microsoft) | entregar avisos no celular | endereço técnico do aparelho | CSE |
| YouTube, Vimeo, TikTok, Instagram | reproduzir vídeos das aulas e referências | dados de navegação no player | Club, CSE |
A equipe do Storycontent (administradores) acessa seus dados pelo painel interno para suporte e acompanhamento pedagógico.
6. Por quanto tempo guardamos
6.1 CSE (Conteúdo Sem Esforço e nível pago)
- Regra geral: 60 dias depois do fim. Contamos 60 dias a partir do que terminar por último — o último dia do seu desafio ou a validade do nível pago. Nesse prazo apagamos: perfil e foto, jornadas e grade, posts registrados e suas métricas, ofensiva e marcos, respostas da Semana Zero, análises e carrosséis das IAs (inclusive a análise grátis da IANA), depoimentos (inclusive o vídeo no repositório), consentimentos, inscrição de avisos, entitlements e a membership.
- Dois avisos antes, por e-mail, aos 30 e aos 50 dias, com a data exata da exclusão.
- Nada é apagado enquanto houver desafio ativo, pedido de cópia dos dados em aberto, retenção legal ou nível pago vigente.
- O que fica fora dessa regra (e por quanto tempo):
- conta de login e e-mail — enquanto a conta existir DECIDIR: prazo para apagar a conta depois da purga;
- registros de uso, com IP e navegador — no mínimo seis meses (Marco Civil, art. 15) DECIDIR: prazo máximo; hoje não há rotina de exclusão;
- registro de custo das IAs — anonimizado quando a conta é apagada;
- avaliações 👍/👎 — DECIDIR: entrar na purga;
- dados do Instagram guardados na verificação do @ e no perfil semanal, e a legenda/transcrição do Reel usado no carrossel — DECIDIR: entrar na purga;
- histórico de compra (código da transação e hash do e-mail) — 5 anos, para conciliação DECIDIR: confirmar prazo e criar rotina;
- a trilha de que a exclusão aconteceu — permanente (é a prova).
6.2 Club
Guardamos seus dados enquanto você for aluno e DECIDIR: prazo após a saída da lista de acesso — hoje não há regra de exclusão automática no Club. Análises e carrosséis que você "apaga" somem da sua tela, mas continuam no banco DECIDIR: excluir de fato.
6.3 Páginas públicas
Cadastros das análises gratuitas, da aplicação à mentoria e da imersão: DECIDIR: prazo — hoje sem rotina de exclusão. O link de acesso à análise gratuita expira em 15 dias.
7. Seus direitos (LGPD, art. 18)
Você pode, a qualquer momento: confirmar se tratamos seus dados; acessar e receber uma cópia; corrigir dados incompletos ou desatualizados; pedir anonimização, bloqueio ou eliminação; saber com quem compartilhamos; revogar um consentimento; e pedir a portabilidade.
Como exercer: escreva para suporte@sistemastorycontent.com.br (no CSE, o botão "Pedir cópia ou exclusão" em Minha conta já abre o e-mail com o assunto certo). Respondemos em até 15 dias. Enquanto um pedido de cópia estiver em aberto, a exclusão automática do CSE não roda.
Exclusão a pedido. No CSE, a exclusão a pedido apaga o mesmo conjunto da seção 6.1, inclusive antes do prazo e mesmo com nível pago vigente (você abre mão do acesso). Os registros exigidos por lei (seção 6.1, "o que fica fora") são mantidos pelo prazo legal.
Revogar consentimento. DECIDIR: hoje não há tela para revogar o aceite das métricas nem o do depoimento; a revogação é feita pelo suporte.
Decisões automatizadas. No CSE, um depoimento em texto passa por uma triagem automática (IA) que decide se ele recupera a ofensiva. Se for recusado, você pode enviar mais uma vez (duas tentativas no total). Se a triagem automática não conseguir decidir, o depoimento fica aguardando conferência da equipe DECIDIR: prazo dessa conferência. Você pode pedir revisão humana pelo suporte.
Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).
8. Antes de ser aluno (páginas públicas)
Nas análises gratuitas (IANA, Raio-X, Reel → Carrossel), no formulário de aplicação à mentoria e na área da imersão, coletamos nome, e-mail, WhatsApp, @ do Instagram, respostas do formulário e parâmetros de campanha (UTM, identificadores de anúncio). O IP entra apenas como hash, para limitar abuso. Esses cadastros vão para o nosso CRM (Boost.space) e para o Tag Manager (seção 3.7). No Raio-X e na IANA gratuita consultamos o seu perfil público do Instagram para gerar a análise; no Raio-X guardamos seguidores, seguindo, número de posts e a bio. Você pode se descadastrar de qualquer e-mail nosso pelo link no rodapé.
10. Login com Google
Quando o botão estiver disponível, você poderá entrar com a sua conta Google.
O que recebemos do Google: seu nome, seu endereço de e-mail e a foto do perfil, além de um identificador da conta. Só isso — são os escopos básicos de identidade (openid, email, profile).
O que não pedimos: não solicitamos acesso a Gmail, Contatos, Drive, Agenda, YouTube ou qualquer outro dado da sua conta Google.
Para que usamos: para identificar você e ligar o login à sua conta no Club ou no CSE (pelo e-mail), e para preencher nome e foto do perfil quando estiverem vazios. Não usamos esses dados para anúncios nem os compartilhamos com terceiros além dos operadores da seção 5 (que os armazenam por nós).
Regras de acesso continuam valendo. Entrar com Google não dá acesso a quem não está na lista do Club ou não comprou o CSE: nesse caso a sessão é encerrada e, se a conta tiver acabado de ser criada nessa tentativa, ela é apagada na hora, junto com o nome, o e-mail e a foto recebidos do Google.
Revogar: você pode retirar a permissão a qualquer momento em myaccount.google.com/permissions. Isso não apaga sua conta aqui — para isso, seção 7.
O uso que fazemos das informações recebidas das APIs do Google obedece à Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado.
11. Crianças e adolescentes
Nossos produtos são para criadores de conteúdo adultos. Não coletamos intencionalmente dados de menores de 18 anos DECIDIR: idade mínima; hoje não há verificação de idade. Se souber de cadastro de menor, escreva para o suporte e apagaremos.
12. Segurança
Acesso ao banco por regras por linha (cada pessoa lê só o que é dela); operações sensíveis feitas só pelo servidor; e-mail em hash nos registros de infraestrutura; gravações de tela com texto mascarado; segredos apagados dos relatórios de erro; link de descadastro assinado. Nenhum sistema é infalível — se houver incidente que afete você, avisaremos conforme a LGPD.
13. Mudanças nesta política
Podemos atualizar esta política. A versão e a data ficam no topo; mudanças relevantes serão avisadas por e-mail ou no app. O texto aceito no onboarding do CSE é guardado com versão e hash, então sempre é possível saber com o que você concordou.
14. Contato
- Suporte e pedidos de titular:
suporte@sistemastorycontent.com.br - Encarregada(o) (DPO): PREENCHER: e-mail do encarregado/DPO
- Controlador: PREENCHER: razão social · CNPJ PREENCHER: CNPJ · PREENCHER: endereço