Política de Privacidade
Última atualização:
Esta política explica quais dados a Alquimista trata, para quê, com quem eles são compartilhados, por quanto tempo ficam guardados e como você pode exercer os seus direitos. Ela vale para o site e o painel em alquimista.app e para as integrações com Pinterest, Instagram (Meta) e Telegram. Vale também para o Cartboard, o nosso produto de conteúdo e vendas no Pinterest, que funciona dentro do mesmo painel.
1. Quem somos
Alquimista é um estúdio de conteúdo para agências de marketing e marcas. O serviço é operado por Pollyana Gomes Melo, pessoa física residente em Espanha (Barcelona), que é a responsável pelo tratamento de dados descrito aqui.
Contato para qualquer assunto de privacidade: pollyana.pgm2@gmail.com.
A Alquimista não nomeou um encarregado de proteção de dados (DPO). Os pedidos são atendidos diretamente pela responsável.
2. Em que papel tratamos os seus dados
A Alquimista atende agências, que por sua vez atendem as marcas delas. Por isso, o nosso papel muda conforme o dado:
- Somos controladores dos dados das pessoas que usam o painel (nome, e-mail, login) e dos dados técnicos de funcionamento e segurança do serviço.
- Somos operadores (subcontratantes, no RGPD) do conteúdo das marcas: as ideias enviadas, as peças geradas, as aprovações e os dados das contas sociais conectadas. Nesses casos, quem decide sobre os dados é a agência ou a marca cliente, e nós tratamos esses dados só para prestar o serviço a ela.
Se você é cliente de uma agência que usa a Alquimista, pode falar diretamente com a sua agência ou conosco. Se o pedido chegar a nós, avisamos a agência responsável.
3. Que dados tratamos e para quê
| Dado | De onde vem | Para quê |
|---|---|---|
| Nome, e-mail e senha de acesso ao painel (a senha fica guardada só como hash) | Cadastro feito pela agência ou convite | Dar acesso ao painel e mandar e-mails de convite e de redefinição de senha |
| E-mail da conta Google, quando você entra com o Google | Login com Google | Identificar você no painel |
| Nome da marca, logotipo, contexto, objetivos e perfil de voz | Cadastro no painel | Gerar conteúdo coerente com a marca |
| Identificador de chat do Telegram | Cadastro e mensagens recebidas | Receber ideias e enviar avisos e links de aprovação |
| Conteúdo enviado pelo Telegram ou por upload: texto, áudio, imagem e vídeo | A própria pessoa envia | Transformar as ideias em pautas e peças de conteúdo |
| Transcrição de áudio, descrição de imagem e representação vetorial do texto | Gerados automaticamente a partir do conteúdo enviado | Organizar e agrupar ideias parecidas |
| Pautas, textos, versões e artes geradas | Gerados com IA e editados por pessoas | Entregar o conteúdo à marca |
| Histórico de decisões: quem aprovou, editou ou descartou o quê, e quando | Uso do painel | Controle de aprovação e melhoria das sugestões para a própria marca |
| Fotos e imagens de produto da biblioteca da marca | Upload feito pela equipe | Montar a arte dos Pins |
| Dados das contas sociais conectadas (ver seção 4) | Autorização da própria marca | Publicar o que foi aprovado e mostrar resultados à marca |
| Registros técnicos: execução das automações, erros e consumo | Funcionamento do sistema | Segurança, suporte, controle de custos e limites do plano |
Atenção ao conteúdo livre. Um áudio ou uma mensagem pode conter qualquer coisa, inclusive dados de outras pessoas ou dados sensíveis (como saúde). O sistema não tem como filtrar isso antes de receber. Pedimos que você não envie dados sensíveis nem dados de terceiros que não sejam necessários para o conteúdo.
Bases legais
Quando somos controladores, tratamos os dados com base em:
- execução do contrato com a agência ou marca cliente, para prestar o serviço e dar acesso ao painel;
- autorização da própria conta, para as conexões com Pinterest e Instagram, que você concede na tela oficial de cada plataforma e pode retirar a qualquer momento;
- interesse legítimo, para manter o serviço seguro, investigar erros e evitar abuso;
- obrigação legal, quando a lei exigir que um dado seja guardado ou entregue.
Quando somos operadores, a base legal é definida pela agência ou marca que nos contratou.
4. Dados das plataformas conectadas
A Alquimista só age numa conta de rede social depois que a própria marca autoriza, pela tela oficial da plataforma (OAuth). Nunca pedimos a senha do Pinterest, do Instagram ou do Facebook, e não usamos cookies de sessão dessas plataformas.
Os tokens de acesso que recebemos são guardados cifrados no banco de dados, com uma chave que fica fora do banco. Eles são usados só para atender a marca que conectou a conta.
Permissões pedidas: user_accounts:read, boards:read, boards:write, pins:read e pins:write. O Pinterest exige boards:write para criar um Pin dentro de um board; não criamos, editamos nem apagamos boards.
O que lemos:
- o nome de usuário e o identificador da conta conectada, para mostrar qual conta foi autorizada;
- a lista de boards da conta, para encontrar o board escolhido pela marca;
- os Pins criados pela Alquimista e as métricas desses Pins (impressões e cliques de saída), para mostrar os resultados à marca;
- palavras-chave e categorias em alta na região da marca, para sugerir temas e produtos a essa mesma marca.
O que escrevemos: criamos um Pin na conta da marca, no board escolhido por ela, somente depois que uma pessoa aprova aquele Pin específico no painel. A Alquimista não curte, não segue, não comenta, não manda mensagens e não salva Pins de outras pessoas.
O que guardamos: o nome de usuário conectado, os tokens cifrados, o identificador, o link e o board de cada Pin criado pela Alquimista, as métricas diárias desses Pins e as listas de tendências usadas nas sugestões.
Instagram e Facebook (Meta)
A conexão usa o Login do Facebook para Empresas. Na tela da Meta aparecem as permissões pedidas, que servem para ler o perfil profissional do Instagram ligado à Página do Facebook e as estatísticas dele (como instagram_basic, instagram_manage_insights e pages_read_engagement).
O que lemos: o identificador e o nome de usuário da conta profissional do Instagram; números da conta (seguidores, contas seguidas, número de publicações, alcance, visualizações, contas com interação, curtidas, comentários, compartilhamentos, salvamentos e toques em links do perfil); e, para cada publicação, o tipo, a data, o link permanente e as métricas de alcance, visualizações, curtidas, comentários, compartilhamentos e salvamentos.
O que escrevemos: nada. Hoje a Alquimista não publica no Instagram, não lê mensagens diretas e não lê o texto dos comentários.
O que guardamos: o identificador e o nome de usuário da conta, o token cifrado e o histórico diário das métricas.
Telegram
Não há login no Telegram. Você escolhe mandar mensagens ao bot da Alquimista. Recebemos o identificador do chat e o conteúdo das mensagens, e usamos esse canal para responder e mandar avisos e links de aprovação. O Telegram é operado pela Telegram Messenger.
Até setembro de 2026 também recebíamos ideias por WhatsApp. O que chegou por lá, incluindo o número de telefone, segue os mesmos prazos de retenção e pode ser apagado a pedido (seção 8).
Como revogar o acesso
Você pode cortar o acesso a qualquer momento, por qualquer um destes caminhos:
- No Pinterest: nas configurações da sua conta, na área de aplicativos com acesso à conta, remova o app da Alquimista.
- Na Meta: no Facebook, em Configurações e privacidade → Configurações → Integrações comerciais, remova a Alquimista. No Instagram, confira também a área de apps e sites conectados.
- No Telegram: pare de enviar mensagens ou bloqueie o bot, e peça a remoção do seu contato.
- Conosco: escreva para pollyana.pgm2@gmail.com pedindo a desconexão ou o apagamento.
Depois da revogação, a Alquimista não consegue mais ler nem publicar naquela conta. Os dados já guardados continuam até o fim do prazo de retenção ou até você pedir o apagamento (seção 8).
O que nunca fazemos com esses dados
- Não vendemos, não alugamos e não compartilhamos dados das plataformas com terceiros além dos suboperadores da seção 5, que só os tratam para prestar o serviço.
- Não usamos esses dados para publicidade fora das próprias plataformas.
- Não cruzamos dados de contas de clientes diferentes.
- Não usamos dados do Pinterest, da Meta ou o conteúdo das marcas para treinar ou aperfeiçoar modelos de inteligência artificial.
5. Com quem compartilhamos: suboperadores
Para funcionar, a Alquimista usa os fornecedores abaixo. Cada um recebe só o necessário para a sua função.
| Fornecedor | Função | Que dados recebe |
|---|---|---|
| Hetzner (Alemanha) | Servidor onde rodam as automações | Todos os dados que passam pelo sistema, em trânsito |
| Supabase (servidores na União Europeia) | Banco de dados e armazenamento de arquivos | Todos os dados listados na seção 3 |
| Cloudflare (R2) | Cópia de segurança diária | Cópia completa do banco de dados |
| Anthropic (Claude) | Gera pautas e textos, descreve imagens | O conteúdo enviado, o contexto e o perfil de voz da marca |
| AssemblyAI | Transcreve áudios | O áudio e a transcrição |
| Voyage AI | Gera a representação vetorial do texto | O texto do conteúdo |
| Google (Gemini) | Gera imagens de base para artes | A instrução (prompt) da imagem |
| Google (Login) | Login com conta Google no painel | O e-mail de quem entra |
| Meta (Graph API) | Estatísticas do Instagram | Dados da conta conectada |
| Telegram | Mensagens pelo bot | Identificador do chat e teor das mensagens |
| Publicação de Pins aprovados e leitura de resultados | Dados da conta conectada e conteúdo dos Pins | |
| Resend | Envio de e-mails de convite e de redefinição de senha | E-mail do destinatário e teor da mensagem |
| healthchecks.io | Monitoramento de funcionamento | Nenhum dado pessoal, só um sinal de que o sistema está ativo |
Transferências para fora do Espaço Econômico Europeu. Alguns desses fornecedores ficam fora do EEE, principalmente nos Estados Unidos. Nesses casos, a transferência usa os mecanismos previstos no RGPD oferecidos pelo fornecedor, como o EU-US Data Privacy Framework ou as cláusulas contratuais-tipo da Comissão Europeia.
Também podemos divulgar dados quando uma autoridade competente exigir por lei.
6. Uso de inteligência artificial
Parte do conteúdo é criada com modelos de IA de terceiros (Anthropic, Google, AssemblyAI e Voyage AI, listados acima). Na prática:
- a IA sugere; uma pessoa revisa, edita e aprova cada peça antes de qualquer publicação;
- enviamos a cada fornecedor só o necessário para aquela tarefa;
- a Alquimista não usa o seu conteúdo nem os dados das plataformas para treinar modelos de IA, nem os entrega a ninguém com essa finalidade;
- o sistema aprende com as decisões de aprovação e edição apenas para ajustar as sugestões da própria marca, guardando exemplos no nosso banco de dados, sem treinar nenhum modelo;
- nenhuma decisão com efeito jurídico ou igualmente relevante sobre uma pessoa é tomada de forma automática.
7. Por quanto tempo guardamos
| Dado | Prazo |
|---|---|
| Ideias enviadas | Pelo número de meses de histórico previsto no plano contratado. Depois disso, o conteúdo da ideia é apagado e fica só o registro técnico, sem o texto nem a transcrição |
| Pautas e peças geradas | Pelo número de meses de histórico do plano. Depois disso, saem do painel e vão para um arquivo interno, guardado enquanto o contrato da agência estiver ativo e apagado quando a agência encerra o contrato ou pede o apagamento |
| Arquivos da biblioteca de imagens | Enquanto a marca usar o serviço. Arquivos enviados que ficaram sem uso e arquivos de marcas apagadas são removidos por uma rotina de limpeza |
| Tokens das contas sociais | Enquanto a conexão estiver ativa ou até o pedido de apagamento |
| Métricas das contas conectadas | Enquanto a conexão existir ou até o pedido de apagamento |
| Contas de acesso ao painel | Enquanto a pessoa tiver acesso. Depois do fim do contrato, por até 90 dias, para permitir a exportação dos dados; depois disso, são apagadas |
| Registros técnicos de execução | Até 14 dias |
| Cópias de segurança | 14 dias, com substituição automática |
| Registro de custos | Sem vínculo com a marca depois de um apagamento |
Depois de um apagamento, os dados ainda podem existir por até 15 dias nas cópias de segurança, que expiram sozinhas. Se for preciso restaurar uma cópia nesse período, o apagamento é aplicado de novo antes de a cópia voltar ao uso.
8. Os seus direitos e como exercê-los
Pelo Regulamento Geral sobre a Proteção de Dados (RGPD) e, para titulares no Brasil, pela Lei Geral de Proteção de Dados (LGPD), você pode pedir:
- acesso aos seus dados e uma cópia deles;
- retificação de dados incorretos ou incompletos;
- apagamento dos dados;
- portabilidade, num formato estruturado e de uso comum;
- limitação do tratamento ou oposição a ele, quando a base for o interesse legítimo;
- retirada da autorização dada a uma plataforma, a qualquer momento, sem afetar o que foi feito antes;
- informação sobre com quem os seus dados são compartilhados (LGPD).
Para exercer qualquer direito, escreva para pollyana.pgm2@gmail.com. Podemos pedir uma confirmação de identidade antes de atender. Respondemos em até um mês. Se o pedido for sobre dados que tratamos em nome de uma agência, avisamos essa agência.
Pedido de apagamento de dados
- Envie um e-mail para pollyana.pgm2@gmail.com com o nome da marca e, se houver, a conta de Pinterest ou Instagram conectada.
- Confirmamos a identidade e registramos o pedido.
- Uma rotina diária apaga os dados da marca: ideias enviadas, pautas, peças e versões, histórico de aprovações e edições, perfil de voz, contatos de Telegram (e de WhatsApp, quando houver), contas sociais conectadas com os tokens e as métricas, e os dados e imagens da biblioteca de Pins. Os registros de custo ficam sem vínculo com a marca, e o nome é substituído por um marcador de apagamento.
- Confirmamos por e-mail quando terminar.
O apagamento na Alquimista não apaga o que já foi publicado nas suas redes. Isso fica sob o seu controle, na própria plataforma. Também não apaga cópias que os fornecedores da seção 5 mantenham pelas próprias regras de retenção.
Reclamação a uma autoridade
Se achar que os seus dados não foram tratados corretamente, você pode reclamar à Agencia Española de Protección de Datos (AEPD), na Espanha, à autoridade de proteção de dados do seu país na União Europeia ou, no Brasil, à Autoridade Nacional de Proteção de Dados (ANPD). Se puder, fale conosco antes, para tentarmos resolver.
9. Cookies e armazenamento no navegador
- Estas páginas públicas (como esta Política de Privacidade) não usam cookies, JavaScript nem ferramentas de análise. A fonte tipográfica vem do nosso próprio domínio.
- O painel não usa cookies de publicidade nem de análise. Ele usa o armazenamento local do navegador (
localStorage) para duas coisas: manter você conectado por até 8 horas, só se você marcar essa opção no login, e lembrar o idioma escolhido na tela de login. - O botão "Entrar com o Google" carrega um script do Google na tela de login do painel. O Google pode usar os próprios cookies para isso, conforme a política de privacidade dele.
Para apagar o que ficou guardado, saia do painel ou limpe os dados do site nas configurações do navegador.
10. Segurança
- Conexões cifradas (HTTPS) em todas as páginas e integrações.
- Tokens de contas sociais cifrados no banco de dados.
- Senhas guardadas só como hash.
- Acesso ao servidor restrito por chave e protegido por firewall.
- Painel com login e níveis de permissão por usuário.
- Cópia de segurança diária e monitoramento automático de falhas.
Nenhum sistema é totalmente imune a incidentes. Se houver uma violação de dados com risco para você, avisamos a autoridade competente e as pessoas afetadas nos prazos da lei.
11. Crianças
A Alquimista é um serviço profissional para agências e marcas. Não é destinada a menores de 18 anos e não tratamos, de propósito, dados de crianças.
12. Mudanças nesta política
Podemos atualizar esta política quando o serviço mudar. A data no topo mostra a última versão. Se a mudança for relevante, avisamos os clientes pelo painel ou por e-mail antes de ela valer.
13. Contato
- Alquimista, operada por Pollyana Gomes Melo
- E-mail: pollyana.pgm2@gmail.com