Responsável e âmbito
A Martins Social Media («MSM»), com operação em Portugal, é responsável pelo tratamento descrito nesta política. Pode contactar-nos através de geral@martinssocialmediadigitalagency.com.
Esta política aplica-se ao serviço MSM que liga contas profissionais ou páginas do Instagram, Facebook e TikTok para receber, organizar e responder a interações sociais. Não substitui as políticas de privacidade dessas plataformas.
As páginas públicas da MSM não incluem formulários, publicidade comportamental nem scripts de rastreio. As ligações curtas de campanhas sociais registam apenas métricas de clique sem cookies, conforme descrito abaixo. O fornecedor de alojamento pode também gerar registos técnicos essenciais à segurança e disponibilidade do serviço.
Dados que tratamos
O conteúdo exato depende da plataforma, do tipo de interação e das permissões concedidas pela conta profissional. Podemos tratar:
- Dados da conta ligada: plataforma, identificador da conta ou página, chave interna da conta, metadados de configuração, estado da ligação e validade das credenciais. Os tokens de acesso e renovação são armazenados de forma cifrada.
- Identificação social: identificadores de utilizador limitados à aplicação ou página, nome de utilizador e nome de apresentação, quando enviados pela plataforma.
- Conteúdo e contexto das interações: comentários, respostas a comentários, mensagens diretas, respostas a histórias, comentários em direto, texto enviado e identificadores de publicação, conteúdo multimédia, comentário principal ou conversa.
- Dados de evento: plataforma, conta destinatária, tipo, origem e estado da interação, identificadores do evento e da interação, datas e horas de ocorrência, receção e atualização.
- Dados técnicos: payloads de webhook brutos recebidos, cabeçalhos técnicos sanitizados, hashes usados para impedir duplicados e estado de processamento ou erro.
- Métricas de ligações: cidade e rede social associadas à ligação, data e hora do pedido, domínio de referência quando disponível, indicação de robô ou pré-visualização e um identificador pseudónimo criado por HMAC a partir do endereço IP e do navegador. Não guardamos o endereço IP, o agente de utilizador completo, cookies de medição, parâmetros da página de origem nem o destino comercial neste registo.
- Respostas e automação: rascunhos, mensagens aprovadas ou enviadas, canal de resposta, correspondência com regras por palavras-chave, histórico de execução e identificadores ou resultados devolvidos pela plataforma.
A MSM não pede palavras-passe das redes sociais e não deve enviar-nos dados sensíveis que não sejam necessários para resolver o seu pedido.
Finalidades e bases legais
Tratamos estes dados para:
- ligar e administrar contas profissionais autorizadas;
- reunir comentários e mensagens numa caixa de entrada operacional;
- permitir a preparação, aprovação, envio e histórico de respostas;
- aplicar regras determinísticas configuradas pelo operador da conta;
- evitar duplicados, abuso, acessos indevidos e envios repetidos;
- diagnosticar falhas e manter a integridade do serviço;
- responder a pedidos de direitos e cumprir obrigações legais.
Nos termos do Regulamento Geral sobre a Proteção de Dados (RGPD), as bases legais podem incluir a execução de um contrato com o operador da conta profissional, o interesse legítimo em gerir comunicações solicitadas e proteger o serviço, e o cumprimento de obrigações legais. Quando o consentimento for necessário, solicitá-lo-emos de forma específica.
As regras automáticas podem verificar palavras ou características objetivas de uma interação para propor ou preparar uma resposta. Não são usadas para tomar decisões com efeitos jurídicos ou impacto semelhante sobre a pessoa.
Como recebemos os dados
Recebemos dados diretamente das APIs e webhooks do Instagram, Facebook e TikTok quando alguém interage com uma conta profissional ligada à MSM. Também recebemos configurações e credenciais do representante autorizado que liga e administra essa conta.
Validamos a origem técnica dos webhooks antes de processar o conteúdo e ignoramos eventos destinados a contas que não estejam expressamente configuradas.
Armazenamento e partilha
O serviço é executado em infraestrutura alojada na Render e conserva os registos operacionais numa base de dados gerida através da Supabase. O acesso é limitado a operadores autorizados que necessitem dos dados para prestar, proteger ou suportar o serviço.
Podemos partilhar dados apenas com:
- a plataforma social relevante — Meta para Instagram ou Facebook, ou TikTok — quando é necessário receber uma interação, enviar uma resposta ou gerir a ligação autorizada;
- fornecedores de alojamento, base de dados e segurança que tratam dados segundo as nossas instruções;
- autoridades ou terceiros quando a lei o exige ou quando seja necessário proteger direitos, segurança e integridade do serviço.
Não vendemos dados pessoais, não os transferimos entre plataformas sociais para fins não relacionados e não os partilhamos para publicidade de terceiros.
Alguns fornecedores ou plataformas podem tratar dados fora do Espaço Económico Europeu. Quando aplicável, recorremos às garantias previstas na legislação de proteção de dados para essas transferências.
Conservação
Conservamos os dados apenas durante o período necessário para gerir as interações, manter o histórico e a segurança do serviço, resolver incidentes, exercer ou defender direitos e cumprir obrigações legais.
Os eventos pseudónimos das ligações curtas são conservados por um máximo de 395 dias e eliminados por uma rotina diária. As contagens agregadas apresentadas ao operador não expõem endereços IP nem identificadores pseudónimos.
Quando uma conta é desligada ou os dados deixam de ser necessários, são eliminados ou anonimizados de forma segura, salvo se existir uma obrigação legal ou um motivo legítimo devidamente documentado para os conservar.
Os pedidos de eliminação verificados são normalmente concluídos no prazo de 30 dias. Se o pedido for complexo, se for necessária verificação adicional ou se a lei exigir conservação, explicaremos a situação ao requerente.
Segurança
Aplicamos medidas técnicas e organizativas proporcionais ao risco, incluindo:
- transmissão por HTTPS/TLS;
- validação criptográfica das assinaturas dos webhooks;
- cifragem dos tokens de acesso e renovação armazenados;
- proteção do back-office e das APIs operacionais;
- segredos mantidos em configuração protegida do alojamento;
- minimização de dados, limitando a recolha e utilização ao que seja adequado, relevante e necessário para cada finalidade;
- limitação de acesso e registo de estados operacionais relevantes.
Nenhum sistema é absolutamente seguro. Revemos as medidas aplicáveis e atuamos quando identificamos um incidente que possa afetar dados pessoais.
Os seus direitos
Nos termos aplicáveis, pode pedir acesso, retificação, eliminação, limitação, portabilidade ou oposição ao tratamento dos seus dados. Pode ainda retirar um consentimento anteriormente dado, sem afetar a licitude do tratamento já realizado.
Para nos ajudar a localizar os registos certos, siga as instruções de eliminação de dados. Podemos pedir uma verificação proporcional da sua ligação à conta ou interação, mas nunca a palavra-passe da rede social.
Tem também o direito de apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD), sem prejuízo de outros meios administrativos ou judiciais.
Contacto e alterações
Podemos atualizar esta política quando o serviço, os fornecedores ou as obrigações legais mudarem. A data no início da página identifica a versão publicada.