Política de Privacidade — Outposted

Vigente a partir de: 17 de agosto de 2026 (vigência por prazo indeterminado)

Esta Política de Privacidade descreve como o Outposted ("Outposted", "nós", "nosso") coleta, usa, armazena, compartilha e protege dados pessoais quando você utiliza nossa API e plataforma de publicação de conteúdo em múltiplas redes sociais (o "Serviço").

O Outposted é operado por RC Negócios Digitais Ltda, inscrita no CNPJ sob nº 37.248.046/0001-34, com sede em Av. Paulista, nº 807, conjunto 2315, Bela Vista, São Paulo/SP, CEP 01311-915.

Esta Política é regida primariamente pela Lei Geral de Proteção de Dados Pessoais — LGPD (Lei nº 13.709/2018) e, para usuários localizados na União Europeia, pelo Regulamento Geral sobre a Proteção de Dados — GDPR (Regulamento UE 2016/679).

Ao utilizar o Serviço, você declara ter lido e compreendido esta Política.

1. Quem somos e o papel no tratamento de dados

O Outposted é um produto B2B que permite que clientes conectem suas contas de redes sociais e publiquem conteúdo nelas de forma programática, a partir de uma única integração via API ou painel.

Em relação aos dados:

Controlador: Você (cliente) é o controlador do conteúdo que envia para publicação e das contas de redes sociais que conecta. Você decide o que publicar, quando e em quais plataformas.
Operador: O Outposted atua como operador ao processar esses dados em seu nome, exclusivamente para executar as publicações que você solicita.
Controlador dos dados de cadastro: Em relação aos dados estritamente necessários para criar e administrar sua conta (como e-mail e registros de uso), o Outposted atua como controlador.

2. Definições

Termo	Significado
Titular	Pessoa natural a quem se referem os dados pessoais.
Dado pessoal	Informação relacionada a pessoa natural identificada ou identificável.
Tratamento	Toda operação realizada com dados pessoais (coleta, uso, acesso, armazenamento, eliminação etc.).
Conta conectada / Connection	Conta de rede social (TikTok, Instagram, Facebook, Threads, YouTube ou LinkedIn) que você autoriza o Outposted a acessar via OAuth.
Token OAuth	Credencial emitida pela plataforma social que autoriza o Outposted a publicar em seu nome.
Workspace / Brand	Estruturas organizacionais da sua conta para agrupar marcas e contas conectadas.
Sub-processador	Terceiro contratado pelo Outposted para apoiar a prestação do Serviço.

3. Dados que coletamos

Coletamos apenas os dados necessários para operar o Serviço:

3.1. Dados de conta e autenticação

Endereço de e-mail — usado para autenticação (login via magic-link), comunicações transacionais e suporte.

3.2. Credenciais de redes sociais conectadas

Tokens OAuth das plataformas que você conecta (TikTok, Meta, Google/YouTube, LinkedIn). Esses tokens são armazenados criptografados em repouso e usados apenas para executar as publicações que você solicita.

3.3. Conteúdo enviado para publicação

Texto, legendas, títulos e descrições que você envia para publicar.
Arquivos de mídia (imagens e vídeos), hospedados temporariamente apenas pelo tempo necessário para entregá-los às plataformas de destino.

3.4. Metadados de publicação

Status da publicação, identificadores dos posts criados nas plataformas, datas/horários de agendamento e entrega, e registros de erro associados.

3.5. Dados técnicos e de uso

Registros de acesso à API (logs), identificadores de requisição, e dados estritamente necessários para segurança, prevenção a fraude e diagnóstico operacional.
Dados de uso do produto, em quatro grupos:
- Navegação: as páginas que você acessa e as ações que realiza no painel.
- Operações: as operações realizadas pela sua conta e o canal utilizado.
- Dispositivo e conexão: dados técnicos do dispositivo e da conexão, como navegador e endereço IP, e a origem da visita.
- Cadastro e conta: dados gerais de cadastro e da conta, como e-mail e plano.
Não registramos o que você digita, nem credenciais, tokens ou dados de pagamento.

Não coletamos dados sensíveis (origem racial, opinião política, saúde, biometria etc.) de forma intencional. Não solicite que tais dados sejam processados pelo Serviço.

4. Como usamos os dados (finalidades)

Utilizamos os dados exclusivamente para:

Executar a publicação de conteúdo nas redes sociais que você conecta e solicita.
Autenticar seu acesso e administrar sua conta, workspaces e brands.
Processar pagamentos de assinaturas.
Enviar comunicações transacionais (confirmações, alertas de status, recuperação de acesso).
Garantir segurança, prevenir abuso/fraude e cumprir obrigações legais.
Operar e melhorar a confiabilidade técnica do Serviço.
Entender como o Serviço é usado — quais telas e funções são usadas, por qual canal, e quais contas deixaram de usar — para melhorar o produto e entrar em contato com você sobre o uso da sua conta.

O que NÃO fazemos com seus dados:

Não vendemos dados pessoais a terceiros.
Não usamos seu conteúdo ou os dados das plataformas para treinar modelos de inteligência artificial.
Não acessamos conteúdo além do estritamente necessário para executar a publicação solicitada.
Não usamos os dados das plataformas para finalidades de publicidade própria ou perfilamento.
Não usamos os dados de uso do produto (finalidade 7) para publicidade de terceiros, nem os compartilhamos para esse fim.

5. Base legal para o tratamento (LGPD / GDPR)

Finalidade	Base legal LGPD	Base legal GDPR
Prestação do Serviço (publicação, conta, conexões)	Execução de contrato (art. 7º, V)	Execução de contrato (art. 6(1)(b))
Conexão de contas e uso de tokens OAuth	Consentimento do titular (art. 7º, I)	Consentimento (art. 6(1)(a))
Pagamentos e cobrança	Execução de contrato / cumprimento de obrigação legal	Execução de contrato / obrigação legal
Comunicações transacionais	Execução de contrato	Execução de contrato
Segurança, prevenção a fraude, logs	Legítimo interesse (art. 7º, IX)	Legítimo interesse (art. 6(1)(f))
Análise de uso do produto (finalidade 7)	Legítimo interesse (art. 7º, IX)	Legítimo interesse (art. 6(1)(f))
Cumprimento de obrigações fiscais/legais	Obrigação legal (art. 7º, II)	Obrigação legal (art. 6(1)(c))

A conexão de cada rede social depende do consentimento explícito concedido por você durante o fluxo OAuth, que pode ser revogado a qualquer momento (ver Seções 6 e 9).

6. Tratamento de dados por plataforma conectada

Esta seção detalha, para cada plataforma, quais dados são acessados, como são usados, como são armazenados e como você pode revogar o acesso e excluir os dados. O acesso ocorre em seu nome, por meio das APIs oficiais de cada plataforma, mediante a autorização OAuth que você concede.

6.1. TikTok

Dados acessados: token de acesso OAuth (Content Posting API), identificador básico da conta TikTok autorizada e status das publicações criadas.
Como usamos: exclusivamente para publicar (ou agendar) os vídeos/conteúdos que você envia para sua conta TikTok, conforme os escopos autorizados.
Como armazenamos: o token OAuth é armazenado criptografado em repouso. A mídia é hospedada temporariamente apenas até a entrega à TikTok e então eliminada conforme nossa política de retenção (Seção 9).
Não fazemos: não lemos seu feed, mensagens privadas ou dados de outros usuários; não vendemos nem usamos esses dados para treinar modelos; não acessamos nada além do necessário para a publicação.
Como revogar/excluir: desconecte a conta TikTok no painel do Outposted (revoga o token imediatamente). Você também pode revogar o acesso diretamente nas configurações de Apps autorizados/Segurança da sua conta TikTok. Após a revogação, os tokens são eliminados de nossos sistemas.

6.2. Meta (Instagram, Facebook e Threads)

Dados acessados: token de acesso OAuth, identificadores das páginas/contas profissionais do Instagram, Facebook e/ou Threads autorizadas e status das publicações criadas.
Como usamos: exclusivamente para publicar (ou agendar) o conteúdo que você envia para as contas Meta que você conecta, conforme os escopos/permissões autorizados.
Como armazenamos: tokens OAuth criptografados em repouso; mídia hospedada temporariamente até a entrega às plataformas Meta e então eliminada.
Não fazemos: não acessamos mensagens diretas, dados de seguidores, ou qualquer conteúdo além do necessário para publicar; não vendemos nem usamos para treinar modelos.
Como revogar/excluir: desconecte a conta no painel do Outposted, ou remova o aplicativo em Configurações → Apps e sites (Facebook/Instagram) ou nas configurações de privacidade do Threads. A revogação invalida e elimina os tokens correspondentes em nossos sistemas.

6.3. Google / YouTube

Dados acessados: token de acesso OAuth (YouTube Data API), identificador do canal autorizado e status/IDs dos vídeos publicados.
Como usamos: exclusivamente para fazer upload e publicar (ou agendar) os vídeos que você envia ao seu canal do YouTube, conforme os escopos autorizados.
Como armazenamos: tokens OAuth criptografados em repouso; arquivos de vídeo hospedados temporariamente apenas até o upload ao YouTube e então eliminados.
Uso conforme as Políticas do Google: o uso e a transferência de informações recebidas das APIs do Google aderem à Google API Services User Data Policy, incluindo seus requisitos de Uso Limitado (Limited Use). Não usamos esses dados para publicidade, não os vendemos e não os usamos para treinar modelos.
Como revogar/excluir: desconecte o canal no painel do Outposted, ou revogue o acesso do aplicativo em myaccount.google.com/permissions. A revogação elimina os tokens correspondentes em nossos sistemas.

6.4. LinkedIn

Dados acessados: token de acesso OAuth, identificador do perfil/página autorizada e status das publicações criadas.
Como usamos: exclusivamente para publicar (ou agendar) o conteúdo que você envia para o perfil ou página LinkedIn que você conecta, conforme os escopos autorizados.
Como armazenamos: tokens OAuth criptografados em repouso; mídia hospedada temporariamente até a entrega e então eliminada.
Não fazemos: não acessamos sua rede de conexões, mensagens ou dados além do necessário para publicar; não vendemos nem usamos para treinar modelos.
Como revogar/excluir: desconecte a conta no painel do Outposted, ou revogue o acesso em Configurações e privacidade → Aplicativos permitidos do LinkedIn. A revogação elimina os tokens correspondentes em nossos sistemas.

Em todos os casos, ao desconectar uma conta no Outposted, o token OAuth associado é imediatamente invalidado e eliminado de nossos sistemas. O conteúdo já publicado nas plataformas permanece sob a gestão da respectiva plataforma e das suas próprias configurações.

7. Compartilhamento de dados e sub-processadores

Compartilhamos dados apenas com terceiros estritamente necessários à prestação do Serviço. Não vendemos dados pessoais.

7.1. Plataformas de destino (em seu nome)

Enviamos o conteúdo e metadados de publicação às plataformas que você conecta — TikTok, Meta (Instagram/Facebook/Threads), Google (YouTube) e LinkedIn — por meio de suas APIs oficiais, exclusivamente para executar a publicação que você solicita.

7.2. Sub-processadores de infraestrutura

Sub-processador	Finalidade	Dados envolvidos
Cloudflare	Hospedagem da aplicação, armazenamento temporário de mídia, cache e transcrição de áudio	Conteúdo enviado para publicação, tokens em trânsito, metadados
Supabase	Banco de dados e armazenamento de registros da aplicação	Dados de conta, tokens criptografados, metadados
Vercel	Hospedagem do painel web	Dados de conta e das contas conectadas exibidos no painel
Upstash QStash	Enfileiramento e processamento assíncrono de tarefas de publicação	Metadados de publicação e referências de tarefas
Sentry	Monitoramento de erros da aplicação	Metadados técnicos de requisição
Better Stack	Gestão e armazenamento de logs	Registros técnicos de requisição
Stripe	Processamento de pagamentos e assinaturas	Dados de cobrança e transação
Resend	Envio de e-mails transacionais	Endereço de e-mail e conteúdo da mensagem
Provedores de modelos de inteligência artificial	Execução dos recursos de inteligência artificial que você aciona no Serviço	Conteúdo enviado ao recurso acionado
Amplitude	Análise de uso do produto (finalidade 7), com dados armazenados nos Estados Unidos	Dados de uso do produto (Seção 3.5)
Flows.sh	Guias de primeiros passos dentro do painel	Identificador da pessoa e propriedades não sensíveis da conta (ex.: plano, etapa do onboarding)

Cada sub-processador trata dados conforme instruções do Outposted e suas próprias políticas de privacidade e segurança.

7.3. Obrigações legais

Podemos divulgar dados quando exigido por lei, ordem judicial ou autoridade competente, ou para proteger direitos, segurança e integridade do Serviço.

8. Armazenamento e segurança

Adotamos medidas técnicas e organizacionais para proteger seus dados, incluindo:

Criptografia em repouso dos tokens OAuth.
Criptografia em trânsito (TLS/HTTPS) em todas as comunicações.
Controles de acesso restrito e princípio do menor privilégio.
Hospedagem temporária e eliminação programada de arquivos de mídia.

Nenhum sistema é completamente imune a riscos. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos os titulares afetados e a Autoridade Nacional de Proteção de Dados (ANPD) nos termos da LGPD.

9. Retenção e eliminação de dados

Categoria de dado	Período de retenção
Arquivos de mídia (imagens/vídeos)	Eliminados após a entrega à plataforma de destino, conforme janela técnica de processamento.
Tokens OAuth	Mantidos enquanto a conta permanecer conectada; eliminados imediatamente após a desconexão/revogação.
Dados de conta (e-mail)	Mantidos enquanto a conta estiver ativa; eliminados após o encerramento, salvo obrigação legal.
Metadados de publicação e logs	Mantidos pelo período necessário às finalidades operacionais, de segurança e legais.
Dados de cobrança	Mantidos pelo prazo exigido pela legislação fiscal e contábil aplicável.
Dados de uso do produto	Mantidos enquanto a conta estiver ativa; eliminados, inclusive na ferramenta de análise, com a conta.

Após o encerramento da conta, eliminamos ou anonimizamos os dados pessoais, exceto quando a conservação for necessária para cumprimento de obrigação legal/regulatória ou exercício regular de direitos.

10. Transferência internacional de dados

Alguns sub-processadores (Seção 7) podem armazenar ou processar dados em servidores localizados fora do Brasil. Nesses casos, garantimos que a transferência ocorra com salvaguardas adequadas, conforme exigido pela LGPD (art. 33) e, quando aplicável, pelo GDPR (cláusulas contratuais padrão ou mecanismos equivalentes), assegurando nível de proteção compatível com a legislação brasileira.

11. Direitos do titular

Conforme a LGPD (art. 18) e o GDPR, você pode exercer os seguintes direitos:

Acesso — confirmar a existência de tratamento e acessar seus dados.
Correção — solicitar a correção de dados incompletos, inexatos ou desatualizados.
Exclusão/Eliminação — solicitar a eliminação de dados tratados com base no consentimento, ou desnecessários/excessivos.
Portabilidade — solicitar a portabilidade dos dados a outro fornecedor, observados segredos comercial e industrial.
Revogação do consentimento — retirar o consentimento a qualquer momento (ex.: desconectar uma rede social), sem afetar a legalidade do tratamento anterior.
Informação sobre compartilhamento e sobre as consequências da não concessão do consentimento.
Oposição — opor-se a tratamento realizado com base em legítimo interesse.
Revisão de decisões automatizadas, quando aplicável.

Para exercer qualquer direito, entre em contato pelo e-mail suporte@outposted.one. Responderemos no prazo legal aplicável. Poderemos solicitar informações para confirmar sua identidade antes de atender à solicitação.

Você também tem o direito de apresentar reclamação à ANPD (Brasil) ou à autoridade de proteção de dados competente em sua jurisdição.

12. Exclusão de conta e desconexão

Desconectar uma rede social: acesse o painel do Outposted e desconecte a conta desejada. O token OAuth correspondente será invalidado e eliminado imediatamente.
Excluir sua conta Outposted: solicite a exclusão pelo painel ou pelo e-mail suporte@outposted.one. Eliminaremos seus dados pessoais conforme a Seção 9.

A revogação de acesso no Outposted não exclui automaticamente o conteúdo já publicado nas plataformas; isso deve ser gerenciado diretamente em cada rede social.

13. Cookies e tecnologias similares

O painel web do Outposted utiliza cookies estritamente necessários para autenticação e segurança da sessão (por exemplo, cookie de sessão HttpOnly). Esses cookies são essenciais para o funcionamento do Serviço e não são utilizados para publicidade.

Além deles, o painel usa a biblioteca de análise da Amplitude, que guarda no seu navegador (cookie e armazenamento local, no domínio do Outposted) um identificador de dispositivo e de sessão, usados para a análise de uso do produto (Seção 4, finalidade 7). Esses dados são enviados ao Outposted — não diretamente à Amplitude — e o Outposted os repassa à Amplitude (Seção 7.2). Não são usados para publicidade. Você pode apagá-los limpando os dados do site no seu navegador.

14. Crianças e adolescentes

O Serviço é destinado a empresas e profissionais e não se dirige a menores de 18 anos. Não coletamos intencionalmente dados de crianças ou adolescentes. Caso identifiquemos tal coleta, eliminaremos os dados.

15. Alterações desta Política

Podemos atualizar esta Política periodicamente. Mudanças relevantes serão comunicadas pelos canais apropriados (e-mail e/ou aviso no Serviço), com indicação da nova data de vigência. O uso contínuo do Serviço após a vigência das alterações implica concordância com a versão atualizada.

16. Encarregado pelo Tratamento de Dados (DPO) e contato

Para questões relacionadas a privacidade, proteção de dados ou exercício de direitos:

Encarregado (DPO): Rafaela Campos — rafaela@rafaelacampos.com
E-mail: suporte@outposted.one
Controlador: RC Negócios Digitais Ltda — CNPJ 37.248.046/0001-34 — Av. Paulista, nº 807, conjunto 2315, Bela Vista, São Paulo/SP, CEP 01311-915