Política de Privacidade

1. Quem somos

O replibo(doravante "replibo", "nós", "nosso serviço") é uma plataforma SaaS que automatiza respostas a comentários de contas profissionais (Business ou Criador) do Instagram, por meio das APIs oficiais da Meta. Esta Política de Privacidade descreve como tratamos dados pessoais conforme a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD) e as exigências da Meta Platforms, Inc. para apps que utilizam a Instagram API.

Para dúvidas, solicitações de acesso, correção ou exclusão de dados: privacidade@replibo.com.

2. Dados que coletamos

Coletamos as seguintes categorias de dados:

• Cadastro do cliente replibo: nome, e-mail e senha (armazenada apenas como hash bcrypt — nunca em texto puro).
• Tokens de autorização do Instagram: quando você conecta uma conta Instagram via o OAuth oficial da Meta, recebemos e armazenamos o long-lived access token emitido pela Meta. Esse token é armazenado criptografado em repouso (Fernet / AES-128) e permite apenas as permissões que você autorizou:instagram_business_basic,instagram_business_manage_comments einstagram_business_manage_messages.
• Identificadores da conta Instagram conectada: ig_business_account_id, ig_user_id e o username, recebidos diretamente da Meta.
• Eventos de webhook: comentários que o Instagram envia para nós (texto do comentário, ID do comentário, ID da mídia, username de quem comentou). Apenas eventos relativos às contas que você conectou, e apenas enquanto a conexão estiver ativa.
• Histórico de automação: regras configuradas por você (palavra-chave → mensagem) e log de respostas enviadas (status/sucesso/falha) — para que você possa auditar o funcionamento.
• Dados técnicos: logs de acesso do servidor (endereço IP de origem, agente do navegador, timestamps) por período mínimo necessário à operação, segurança e diagnóstico.

Não coletamos: conteúdo de Direct Messages (DMs) além do necessário para responder o comentário associado via Private Reply; dados de terceiros que não interajam com as contas conectadas; dados de menores de 13 anos.

3. Como usamos os dados

Os dados coletados são usados exclusivamente para:

• Operar o serviço de auto-resposta de comentários conforme as regras que você configurou.
• Renovar periodicamente o token de acesso do Instagram (a cada ~60 dias, conforme determinado pela Meta).
• Autenticar você no dashboard via cookie HttpOnly assinado (JWT).
• Exibir histórico, métricas e desempenho das suas regras.
• Cumprir obrigações legais e responder a eventuais ordens judiciais válidas.
• Prevenir fraude, abuso, ataques automatizados e uso em violação dos Termos da Meta ou do replibo.

Não vendemos dados pessoais. Não usamos seus dados para treinar modelos de terceiros ou para publicidade comportamental.

4. Compartilhamento

Compartilhamos dados com os terceiros estritamente necessários ao funcionamento do serviço:

• Meta Platforms, Inc. — todas as chamadas de API e webhooks do Instagram. Sujeito à Política de Privacidade da Meta.
• Amazon Web Services (AWS) — provedor de infraestrutura (EC2, RDS Postgres, Secrets Manager, Amplify), na região us-east-1. Os dados não são transferidos entre regiões nem para fora dos provedores listados.
• Autoridades públicas — quando legalmente obrigados, mediante ordem judicial válida ou determinação do Poder Público.

Não compartilhamos dados com parceiros de marketing, data brokers ou qualquer terceiro para fins de perfilamento comercial.

5. Retenção de dados

• Cadastro e tokens: mantidos enquanto sua conta replibo estiver ativa. Ao excluir a conta, os tokens são removidos em até 30 dias.
• Eventos de webhook (comentários) e logs de resposta: mantidos por até 90 dias para auditoria e diagnóstico; após esse prazo são agregados ou apagados.
• Desconexão de conta Instagram: ao desconectar, o token é revogado e os dados daquela conta são anonimizados ou excluídos em até 30 dias, salvo obrigação legal em contrário.
• Logs técnicos: retidos por até 30 dias para fins de segurança operacional.

6. Seus direitos (LGPD)

A qualquer momento você pode solicitar:

• Confirmação da existência de tratamento;
• Acesso aos dados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• Portabilidade;
• Eliminação dos dados tratados com consentimento;
• Informação sobre com quem compartilhamos;
• Revogação do consentimento.

Para exercer qualquer direito, envie e-mail para privacidade@replibo.com. Respondemos no prazo máximo de 15 dias corridos.

Você também pode exigir deleção pela Meta, seguindo o fluxo oficial da plataforma (Data Deletion Request). Nós atendemos a esses pedidos em até 30 dias.

7. Segurança

Medidas técnicas e organizacionais em vigor:

• Criptografia em trânsito (TLS 1.2+) em todas as conexões.
• Criptografia em repouso (AES) para tokens de acesso do Instagram armazenados no banco.
• Senhas armazenadas apenas como hash bcrypt de 12+ rounds.
• Autenticação via cookie HttpOnly + Secure + SameSite.
• Validação de HMAC SHA-256 em toda requisição de webhook recebida da Meta, descartando payloads forjados.
• Proteção contra CSRF no fluxo OAuth (state persistido e validado).
• Banco em subnet privada; acesso apenas via aplicação autorizada.
• Segredos armazenados em AWS Secrets Manager; nunca em código.

Em caso de incidente de segurança que possa causar risco relevante, notificaremos os titulares afetados e a ANPD no prazo da LGPD.

8. Transferência internacional

Nossa infraestrutura AWS opera na região us-east-1 (Estados Unidos). A Meta também processa dados nos Estados Unidos. Esses países possuem quadros jurídicos reconhecidos como adequados para a proteção de dados pessoais pela ANPD, e as transferências ocorrem mediante salvaguardas contratuais dos respectivos provedores.

9. Cookies

Utilizamos um único cookie essencial: access_token, de sessão, HttpOnly, necessário para autenticar você no dashboard. Não usamos cookies de publicidade ou de rastreamento cross-site.

10. Crianças

O replibo não é destinado a menores de 13 anos. Não coletamos intencionalmente dados dessa faixa etária. Se tomarmos ciência de coleta indevida, os dados serão eliminados.

11. Alterações nesta Política

Podemos atualizar esta Política periodicamente. A data de última atualização é mostrada no topo. Mudanças materiais serão comunicadas por e-mail aos titulares com conta ativa.

12. Encarregado (DPO) e contato

Encarregado pelo Tratamento de Dados Pessoais: dpo@replibo.com.

Endereço para contatos formais: (a ser informado no ato da publicação — preencha com o seu endereço comercial antes de submeter ao Meta App Review).