Política de Privacidade
Atualizada em 1º de outubro de 2026
O Flow é um aplicativo de automação para contas profissionais do Instagram. Ele permite configurar respostas a comentários, conversar pelo Direct e entregar materiais solicitados pelas pessoas que interagem com a conta.
1. Responsável e contato
O responsável pela operação do Flow descrita nesta política é LABREGO IA LTDA - ME. Para assuntos de privacidade, entre em contato pelo e-mail lucas.santos@labregoia.com.br.
Esta política se aplica aos dados tratados pelo Flow. A conta profissional que publica um conteúdo é responsável pelo material oferecido e pelas regras de suas campanhas.
2. Dados que recebemos
- Da conta profissional autorizada: identificador, nome de usuário, publicações disponíveis pela API e informações necessárias para manter a autorização de acesso.
- Das interações: identificadores dos participantes e das publicações, nomes de usuário quando disponíveis, textos de comentários e mensagens, respostas a botões e horários dos eventos entregues pela API.
- Das automações: palavras-chave, textos e links configurados, histórico das etapas, mensagens enviadas, falhas e pedidos para interromper as automações.
- Do agente de IA, quando utilizado: conhecimento e regras definidos pelo negócio, mensagens recebidas nos canais ativados, contexto recente da conversa, respostas geradas, pedidos de atendimento humano e registros de uso e compra de créditos.
- De acesso ao painel: cookies de sessão e de confirmação do login com o Instagram, além de registros técnicos necessários à segurança e ao funcionamento do serviço. Usamos apenas cookies essenciais, sem rastreamento ou publicidade; veja a Política de Cookies.
- Do suporte: assunto, mensagens, identificação do cliente, status e datas dos chamados. O histórico fica no espaço do cliente e é removido com a exclusão da conta.
- De cadastro e assinatura: nome, e-mail (informados por você ou pela sua conta Google, quando você escolhe entrar com o Google), confirmação do endereço de e-mail, identificadores de cliente e assinatura, plano, situação dos pagamentos e aceite dos termos. O processamento dos dados do cartão ocorre na Stripe; o Flow não armazena o número completo nem o código de segurança do cartão.
Quando uma campanha exige seguir o perfil, o Flow pode consultar a informação de relacionamento disponibilizada pela API do Instagram após a interação. A senha do Instagram é informada diretamente ao Instagram; o Flow recebe uma autorização de acesso, não essa senha.
3. Como usamos esses dados
O Flow atua como controlador dos dados necessários ao cadastro, contratação, cobrança, segurança e atendimento de seus clientes. Para executar as automações e o atendimento configurados pelo negócio, atua como operador dos dados dos participantes, conforme as instruções do cliente, que define a finalidade e a base legal. Cadastro e prestação do serviço se apoiam na execução do contrato; obrigações legais são atendidas quando aplicáveis; medidas de segurança e prevenção a abuso devem observar necessidade, proporcionalidade e os direitos dos titulares. O aceite dos termos não representa consentimento genérico para qualquer uso de dados.
Usamos os dados para reconhecer a interação com uma campanha, enviar as mensagens configuradas, verificar condições de entrega, disponibilizar o material solicitado, respeitar pedidos de interrupção e evitar mensagens duplicadas. Também usamos registros de operação para investigar falhas e proteger o acesso ao painel.
O Flow não utiliza o conteúdo das interações para treinar modelos de inteligência artificial, vender dados ou criar publicidade comportamental.
4. Acesso e serviços envolvidos
Os dados podem ser acessados pelo responsável e pelas pessoas autorizadas a operar a conta e o painel. O Instagram/Meta participa da autorização, da entrega dos eventos e do envio de mensagens. A infraestrutura usada para disponibilizar o Flow também pode processar dados técnicos e o tráfego necessário ao serviço.
O Flow é hospedado na Vercel e armazena seus dados no Cloud Firestore, serviço do Google Firebase. Backups da migração são mantidos no ambiente controlado pelo responsável. As páginas carregam fontes do Google Fonts, o que envolve requisições do navegador ao Google. Esses provedores podem processar dados em outros países, conforme suas próprias políticas.
No acesso de clientes, o Firebase Authentication verifica as credenciais, confirma o e-mail e envia instruções de recuperação de senha. A Stripe processa pagamentos e fornece o portal para gerenciar a assinatura. Consulte a política de privacidade da Stripe. Os dados das automações são separados por cliente; um cliente não recebe acesso ao espaço de outro.
Quando o agente de IA é utilizado, enviamos ao OpenRouter, que encaminha ao modelo da OpenAI, o conhecimento configurado, a mensagem a responder e um contexto limitado da mesma conversa. O histórico de Direct não é incluído em respostas a comentários públicos. As credenciais do Instagram e os dados de pagamento não são enviados ao modelo. O OpenRouter não guarda o conteúdo das chamadas por padrão; ainda podem existir registros de segurança mantidos pela OpenAI, em regra por até 30 dias, sujeitos às exceções descritas em sua documentação. Por padrão, dados da API não são usados para treinamento. Consulte a política de privacidade do OpenRouter, os controles de dados da OpenAI e sua política de privacidade.
E-mails do serviço, como boas-vindas, avisos de assinatura, alertas de conexão com o Instagram, de créditos de IA e o resumo semanal, são enviados pela Resend, que recebe o endereço de destino e o conteúdo da mensagem. O resumo semanal pode ser desativado pelo link presente em cada envio; avisos essenciais da conta continuam sendo enviados enquanto ela existir.
Consulte também as políticas do Instagram/Meta, da Vercel e do Google.
5. Armazenamento e segurança
O painel exige autenticação. As autorizações de acesso ao Instagram são armazenadas de forma criptografada, e os eventos recebidos são verificados antes de serem aceitos. O acesso público utiliza HTTPS.
O conteúdo de comentários, mensagens e respostas é mantido por 30 dias. Históricos operacionais de automações são mantidos por 90 dias e a auditoria administrativa por 365 dias. Rotinas periódicas removem ou apagam o conteúdo vencido; a conclusão ocorre conforme o ciclo de manutenção, com monitoramento de falhas. Configurações permanecem enquanto a conta existir. Marcadores mínimos de interrupção e de prevenção de abuso, além de registros necessários à conciliação de envios ou cobranças, podem permanecer para essas finalidades, sem o conteúdo das conversas. Pedidos de exclusão são avaliados também para esses registros. Dados sob obrigação de conservação têm finalidade e prazo próprios. Cópias de segurança precisam seguir o ciclo de descarte e não são utilizadas para retomar tratamentos encerrados.
O acesso da equipe administrativa a dados de clientes é restrito a pessoas autorizadas e registrado em trilha de auditoria, incluindo visualizações, exportações, suspensões e exclusões. A visualização de suporte exige motivo, dura até 15 minutos e não permite alterações na conta do cliente.
6. Suas escolhas e solicitações
Nos termos do art. 18 da Lei Geral de Proteção de Dados (Lei 13.709/2018), você pode pedir: confirmação da existência de tratamento; acesso aos dados; correção de dados incompletos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários; portabilidade; informação sobre compartilhamentos; e revisão de decisões automatizadas. Também pode se opor a tratamentos e revogar consentimentos, quando aplicáveis.
Você pode solicitar informações sobre seus dados, correção ou exclusão pelo e-mail de contato desta política. Podemos pedir uma confirmação mínima de identidade e da conta envolvida para evitar excluir ou entregar dados à pessoa errada.
Para interromper uma automação pelo Direct, responda PARAR. Esse pedido bloqueia novas automações e respostas de IA para aquele contato na conta, mas não equivale à exclusão dos registros. Para removê-los, siga as instruções de exclusão de dados.
O titular da conta profissional também pode revogar a autorização do Flow nas configurações do Instagram. A revogação impede novos acessos por essa autorização; os registros já armazenados precisam de uma solicitação de exclusão separada.
7. Atualizações
Esta política será atualizada quando houver mudanças relevantes no funcionamento do Flow ou no tratamento dos dados. A data no início da página identifica a versão disponível.