Política de Privacidade da Keymatic

Versão 1.18 · Em vigor a partir da data de publicação indicada nesta página.

Esta é a Política de Privacidade da VTS Comércio e Serviços LTDA (CNPJ 03.477.617/0001-90), responsável pela Keymatic. Ela explica, sem rodeios, quais dados a gente coleta, por que coleta, com quem compartilha, por quanto tempo guarda e como você pede a exclusão.

Esta página é pública: ela não fica atrás de login, de pagamento ou de bloqueio por país.

1. Os dois papéis da Keymatic

- Dados de quem contrata (nome, e-mail, documento, cobrança, registros de acesso): a Keymatic é a controladora. - Dados das pessoas que comentam ou respondem nas contas dos clientes: a Keymatic é operadora — quem decide a finalidade é o cliente, dono da conta.

Quando somos operadora, tratamos os dados a mando e no interesse do cliente, apenas conforme ele configurou no painel.

2. Que dados coletamos

Acesso compatível entre produtos da Keymatic: um serviço interno da própria empresa mantém o nome, o e-mail, a senha protegida e os registros necessários à segurança do acesso. Cada produto mantém sua própria sessão, seus dados específicos, o aceite dos seus documentos e sua assinatura. Entrar em outro produto não contrata automaticamente um plano nem transfere para ele conversas ou dados comerciais do produto anterior.

De quem contrata:

- nome, e-mail e senha (guardada apenas como hash, jamais em texto legível); - documento (CPF/CNPJ) e dados de cobrança, quando há assinatura paga; - registros de acesso: endereço IP, data, hora e informações do navegador, usados para segurança e guardados de forma identificável por até 6 meses; - registro dos aceites destes documentos: versão, hash do texto, data, IP e navegador. - eventos categóricos de uso do produto, como visualização de planos, início de checkout e primeira automação bem-sucedida. Esses eventos não recebem conteúdo de comentários ou mensagens, nome de usuário do Instagram, URL livre ou endereço IP. - origem do cadastro: quando você chega ao cadastro por um link do nosso site ou de um parceiro, guardamos de onde veio — os parâmetros de campanha (origem, canal, nome da campanha, termo de busca e conteúdo do anúncio), o código do parceiro que indicou, a página de entrada no site, apenas o domínio do site que trouxe você, o botão clicado e o identificador da sua escolha de cookies no site, quando houver. Os identificadores de clique de anúncio do Google e da Meta só entram se você tiver aceitado a categoria de marketing no site. - localização aproximada do negócio: país e, quando possível, estado, cidade e código IBGE, estimados pelo IP do cadastro, do aceite ou de um acesso autenticado ao painel. A estimativa pode ser atualizada após 30 dias, no próximo acesso. Enviamos apenas o IP ao serviço ipdata.free, da ipdata, para essa consulta, sem nome, e-mail, conteúdo de mensagens ou identificador da conta. A base local DB-IP (IP Geolocation by DB-IP, db-ip.com) é usada como fallback. Guardamos a região estimada, a fonte e a data. Não guardamos o IP para essa finalidade; o cache técnico usa um código pseudonimizado e expira em até 30 dias, com limpeza dos registros em até 32 dias em atividade. Usamos a cidade retornada pelo provedor. A estimativa pode errar ou ficar em branco, especialmente em redes móveis, VPN ou conexões compartilhadas. Você pode pedir correção, exclusão ou se opor pelo privacidade@keymatic.com.br, sem prejuízo ao serviço.

Se você escolher Pix Automático ou compensação de assinatura:

- Pix Automático: identificadores internos do contrato e do cliente de cobrança, da autorização, da assinatura, da conciliação e do pagamento; status, valores inicial e recorrente, datas, expiração, QR Code enquanto necessário e informações mínimas do retorno do Asaas para conferir o pagamento e a autorização. Não recebemos a sua senha bancária, tokens de acesso ao banco nem o saldo da sua conta bancária. - Compensação com crédito: usuário e conta que autorizaram, programa escolhido, data e hora, versão e código de verificação do texto, estado da autorização e sua revogação; vínculo opcional com a conta de parceiro, referência do documento fiscal quando aplicável, reservas, lançamentos, valores, faturas, provas minimizadas da cobrança e registros de aplicação, devolução e auditoria. O aceite específico de crédito não coleta endereço IP nem identificação do navegador; os registros gerais de acesso seguem a descrição acima.

Da conta do Instagram conectada:

- identificador da conta, nome de usuário, nome de exibição, foto, tipo de conta e número de seguidores; - token de acesso fornecido pela Meta, guardado cifrado; - lista de posts e reels, para você escolher onde a automação vale; - imagens, textos e links enviados pelo cliente para compor suas automações. Imagens de carrossel são armazenadas e disponibilizadas por endereço público para entrega pela Meta. Não envie documentos privados ou imagens sensíveis: quem obtiver esse endereço poderá acessar a mídia enquanto estiver disponível.

Das pessoas que interagem com a conta do cliente (dados de terceiros):

- o identificador da pessoa no Instagram (IGSID), que é opaco e escopado a cada conta — ele não identifica a pessoa fora daquela relação; - o nome de usuário e o texto do comentário público que acionou a automação, além do identificador do comentário e do post; - o conteúdo das mensagens automáticas enviadas e o registro dos cliques nos botões dessas mensagens. - quando a IA é utilizada, mensagens recebidas, instruções e respostas geradas, além dos documentos fornecidos pelo cliente e suas representações numéricas para busca na base de conhecimento.

Não solicitamos dados sensíveis e não os usamos deliberadamente. Comentários e mensagens são texto livre: se alguém inserir conteúdo sensível sem que o produto o peça, esse conteúdo incidental segue as mesmas regras de minimização, retenção e exclusão desta política. O cliente não pode configurar automações que peçam ou induzam essa revelação.

Não pedimos acesso a mensagens que não sejam as da automação e não temos acesso à senha do Instagram de ninguém.

De quem visita o site da Keymatic (www.keymatic.com.br, inclusive as páginas de Instagram, WhatsApp e Parceiros):

- medição de audiência sem cookies, com o Umami instalado no nosso próprio servidor no Brasil (metricas.keymatic.com.br), para onde o navegador envia a medição diretamente: página visitada, parâmetros de campanha do endereço, o código do parceiro, o site e a página de onde você veio, tipo de navegador, sistema e aparelho, tamanho da tela, idioma, localização aproximada, os cliques nos links para o app (de cadastro ou de acesso à conta) e nos botões principais — de cadastro, de planos e de WhatsApp —, com o destino sem a consulta, o texto do botão e a seção da página, e até onde a página foi rolada (metade e quase o fim). Esses eventos não levam o que você digita, e-mail, telefone ou número de documento, e não usam cookie. O IP e a identificação do navegador são usados só no momento da visita, para estimar a localização e gerar um identificador pseudônimo que é trocado periodicamente; o IP não é gravado. Antes do envio, o endereço da página perde todo o resto da consulta — inclusive os identificadores de clique de anúncio do Google, da Meta e da Microsoft, que dependem de consentimento — e o endereço de onde você veio perde a consulta inteira; - origem da visita, guardada no seu próprio navegador por 90 dias e levada nos links para este painel, que é o que vira a origem do cadastro acima; - registro das escolhas de cookies: identificador aleatório criado no seu navegador, versão do aviso, categorias aceitas ou recusadas, ação, página, idioma, um rótulo genérico do aparelho (como "iPhone · Safari") e data e hora — sem o endereço IP e sem a identificação completa do navegador; - dados técnicos do acesso (endereço IP, tipo de navegador, endereço da página pedida e os cookies do site que o navegador enviar), recebidos pela hospedagem do site para entregar as páginas e proteger o site contra abuso (seção 7); - somente com o seu consentimento e quando ativados: os dados enviados ao Google Analytics e ao Microsoft Clarity (categoria de análise; no Clarity, também os cliques, toques, rolagem e movimentos na página, para mapas de calor e gravações da navegação no site, com o que é digitado em campos de formulário mascarado) e ao Pixel da Meta (categoria de marketing).

Os nomes, prazos e o caminho para mudar a escolha estão na seção 12 da política do site: www.keymatic.com.br/politica-de-privacidade. Para não ter as suas visitas medidas, use o botão "Não medir minhas visitas neste navegador", na seção 12.2 dessa página.

3. Para que usamos

- Executar o serviço: enviar a mensagem que o cliente configurou para quem acionou a palavra-chave, e mostrar o resultado no painel. - Respeitar pedidos de saída: quem responde PARAR (ou outra das palavras de saída listadas nos Termos de Uso) entra numa lista de exclusão daquela conta e não recebe mais mensagens automáticas dela. - Segurança e prevenção a abuso: identificar uso indevido, spam e acesso não autorizado. - Cobrança e obrigações legais: emitir notas, atender fisco e autoridades; executar e conciliar pagamentos, autorizações de Pix Automático e eventuais devoluções; comprovar a autorização opcional de crédito e aplicar, reservar ou devolver saldo na assinatura escolhida. - Suporte: responder você quando pedir ajuda. - Melhorar o produto: medir, com eventos próprios e minimizados, onde o fluxo de ativação funciona ou falha e quais recursos são efetivamente usados. Não usamos pixel, cookie adicional nem plataforma externa de analytics para essa medição. - Saber de onde vêm os cadastros: atribuir cada cadastro à campanha, ao parceiro, à página e ao botão que o trouxeram, contar quantos viram clientes pagantes e atribuir a contratação ao parceiro que indicou. - Medir a audiência do site de forma agregada e sem cookies. - Comprovar as escolhas de cookies feitas no site. - Saber em quais estados e cidades estão os nossos clientes, para planejar a divulgação da Keymatic por região. Usamos essa informação apenas em números agregados (por exemplo, quantos clientes há em cada estado). Não enviamos listas de clientes, nem a cidade de cada cliente, a redes de anúncios.

Fora dessas finalidades, não usamos os dados para outra coisa. Especificamente: não montamos perfis de consumo, não treinamos modelos de inteligência artificial com o conteúdo das suas mensagens e não enriquecemos dados com fontes externas, com uma única exceção: a estimativa de estado e cidade a partir do IP, descrita na seção 2, feita com uma base de localização instalada no nosso próprio servidor.

4. Base legal

O tratamento se apoia em execução de contrato (LGPD, art. 7º, V): sem esses dados o serviço contratado simplesmente não existe.

Também usamos, quando é o caso:

- cumprimento de obrigação legal (art. 7º, II) — guarda de registros de acesso e documentos fiscais; - exercício regular de direitos (art. 7º, VI) — guarda dos aceites, das faturas e do registro das escolhas de cookies do site para defesa em eventual processo judicial, administrativo ou arbitral; no caso do consentimento, cabe a nós provar que ele foi obtido de acordo com a lei (art. 8º, § 2º); - legítimo interesse (art. 7º, IX, e art. 10) — segurança, prevenção a fraude e melhoria do produto por eventos categóricos minimizados; medição de audiência do site sem cookies; registro da origem do cadastro e o cookie de indicação de parceiro, para apoio e promoção das nossas atividades e do programa de parceiros (art. 10, I); estimativa da localização aproximada do negócio (estado, cidade e código do município), usada só em números agregados para planejar a divulgação por região (art. 10, I). Você pode se opor a esses tratamentos a qualquer momento, sem prejuízo ao serviço: é um compromisso nosso, mais amplo que o mínimo da LGPD, que garante a oposição em caso de descumprimento da lei (art. 18, § 2º); preservação de pedidos para não receber novas mensagens após reconexão, em lista mínima pseudonimizada. Sempre limitados aos dados estritamente necessários (art. 10, § 1º) e sem rastreamento entre sites; - consentimento (art. 7º, I) — no site, o Google Analytics, o Microsoft Clarity, o Pixel da Meta e a guarda dos identificadores de clique de anúncio do Google e da Meta, somente quando ativados e depois do seu aceite na categoria correspondente. Ele pode ser revogado a qualquer momento, de graça, pelo link "Preferências de cookies" do site (art. 8º, § 5º).

Hoje a Keymatic não envia comunicações de marketing. Se esse canal for criado no futuro, ele exigirá consentimento em opção separada, não pré-marcada, e recusá-la não tirará nenhum recurso do produto.

5. Nós não vendemos dados

A Keymatic não vende nem aluga dados pessoais e não faz monetização de base. Isso não significa ausência de compartilhamento: operadores e demais destinatários necessários à execução do serviço são descritos na seção 6. Dados do painel, das contas conectadas e das pessoas que interagem com elas nunca são repassados a redes de anúncios nem usados para publicidade comportamental. A única exceção de publicidade fica no site: o Pixel da Meta, quando ativado, só envia dados de navegação do site à Meta se você aceitar a categoria de marketing.

6. Com quem compartilhamos

Só com quem é necessário para o serviço funcionar:

- Meta Platforms (Instagram) — é de onde os dados vêm e para onde as mensagens vão. Sem isso não há produto. - Hostinger — hospedagem da aplicação, do banco de dados, do registro das escolhas de cookies e da nossa instalação do Umami (servidor no Brasil). - Vercel Inc. — hospedagem e entrega das páginas do site da Keymatic (seção 7). - Google LLC (Google Analytics), Microsoft Corporation (Microsoft Clarity) e Meta Platforms, Inc. (Pixel da Meta) — as "empresas parceiras" do aviso de cookies do site: somente no site, somente quando ativados e somente depois do seu consentimento na categoria correspondente. Nunca recebem dados do painel, das contas conectadas ou das conversas, e o Microsoft Clarity não é usado no painel. No código do site, desligamos o Google Signals e o uso para personalizar anúncios no Google Analytics. O seu endereço IP chega ao Google. Segundo o Google, ele é usado só para estimar a localização aproximada (cidade, região, país) e para filtrar acessos falsos, e depois é descartado, sem ser ligado a identificadores de usuário. No Microsoft Clarity, todo campo de formulário é marcado para ser mascarado antes de ele carregar: o que você digita não sai do seu navegador e não aparece nas gravações. A Meta também usa os dados do Pixel para fins próprios, como escolher e personalizar anúncios e melhorar os produtos dela, conforme os termos da Meta. Não enviamos à Meta o seu e-mail nem o seu telefone, nem eventos do nosso servidor. - Provedores de inteligência artificial configurados para o recurso — a integração suporta OpenAI, Anthropic e APIs compatíveis. Ao usar IA, instruções, comentários, mensagens e trechos dos documentos podem ser enviados ao provedor para geração de respostas ou processamento da base de conhecimento. Os provedores efetivamente usados e suas condições de tratamento podem ser consultados pelo canal de privacidade. - Resend Inc. — o motor dos e-mails transacionais enviados a quem tem conta no app (confirmação, recuperação de senha, avisos de segurança, de cobrança e do serviço). Recebe o seu e-mail e o conteúdo de cada aviso; nunca recebe dados das pessoas que comentam e nunca é usada para marketing. - Asaas Gestão Financeira S.A. (CNPJ 19.540.550/0001-21) — processamento de pagamentos. Recebe apenas dados do contratante, nunca de quem comenta; quando cumpre obrigações legais, fiscais e regulatórias próprias, atua como controladora independente limitada a essas finalidades. - Vínculo com a conta de Parceiro Keymatic (opcional): se você vincular, os ambientes da própria Keymatic trocam identificadores internos de conta, usuário e vínculo, nome comercial da conta, identificadores das faturas, cobranças e assinaturas, valores reservados, usados ou devolvidos, versões e códigos de verificação dos termos próprios e referências de documentos fiscais. A comunicação ocorre entre servidores, com autenticação própria. Esse fluxo não troca e-mail, senha, cookies, CPF nem CNPJ. Desvincular impede novas compensações pelo vínculo; o histórico necessário para comprovação e a conciliação de operações iniciadas são preservados. - Indicação de um Parceiro Keymatic: se você chegou pelo link de um parceiro, o Programa de Parceiros da própria Keymatic recebe o código do parceiro, o identificador interno da sua conta, o seu e-mail e, a cada pagamento, o valor da assinatura, para calcular a comissão dele. O e-mail serve só para conferir que não é o próprio parceiro se indicando (prevenção a fraude) e não fica guardado nesse programa. O parceiro não recebe o seu e-mail nem os seus dados de contato. - ipdata (ipdata.free) — recebe somente o IP necessário para estimar a localização aproximada descrita na seção 8, sem os demais dados da conta. - Autoridades públicas — quando houver ordem legal, na exata medida do que for pedido.

7. Tratamento fora do Brasil

Alguns fornecedores que nos ajudam a operar a Keymatic e o site podem tratar dados em servidores fora do Brasil. São eles, com o que cada um recebe e o fundamento de cada envio:

- ipdata (ipdata.free) — o IP para a consulta de localização aproximada descrita acima; esse serviço externo pode processar a consulta fora do Brasil. Não recebe nome, e-mail nem conteúdo de mensagens nessa consulta.

- Meta Platforms — comentários, mensagens e dados da conta conectada, para a automação de Instagram funcionar. O dado nasce na plataforma da Meta, e o envio é necessário para executar o contrato (LGPD, art. 33, IX, c/c art. 7º, V). - Resend Inc. — o seu e-mail e o conteúdo de cada aviso da conta, para enviar os e-mails transacionais. O envio é necessário para executar o contrato de que você é parte, a seu pedido (LGPD, art. 33, IX, c/c art. 7º, V), e se limita aos avisos do serviço. - Provedores de inteligência artificial — quando os recursos de IA são usados, o conteúdo descrito na seção 6. O provedor, o mecanismo aplicável à transferência e suas condições são identificados antes da utilização do recurso e podem ser solicitados pelo canal de privacidade. A disponibilidade técnica de uma integração não comprova, por si só, suas salvaguardas contratuais. - Vercel Inc. — os dados técnicos do acesso ao site, descritos abaixo. - Google LLC (Google Analytics), Microsoft Corporation (Microsoft Clarity) e Meta Platforms, Inc. (Pixel da Meta) — somente no site, somente quando ativados e somente com o seu consentimento: eventos de navegação, identificadores dos cookies e dados técnicos do navegador.

No site, o Google Analytics, o Microsoft Clarity e o Pixel da Meta, quando ativados, enviam dados a essas empresas, que podem tratá-los fora do Brasil. Esse envio se apoia no seu consentimento específico e em destaque (LGPD, art. 33, VIII). Antes da escolha, o aviso de cookies diz que, com a sua permissão, o site usa cookies de empresas parceiras, nomeia as ferramentas de cada categoria e traz o link para a política do site, que lista os fornecedores que podem processar dados fora do Brasil (seção 10). Sem o seu aceite, nada é enviado a essas empresas pelo site.

Hospedagem do site. As páginas do site da Keymatic são hospedadas pela Vercel Inc. A rede de distribuição escolhe de onde entregar cada página; foram observados acessos entregues por São Paulo, sem garantia de que todos os acessos ou registros permaneçam nessa região. Para entregar a página e proteger o site contra abuso, a Vercel recebe diretamente do seu navegador os dados técnicos do acesso: endereço IP, tipo de navegador, endereço da página pedida e os cookies do site que o navegador enviar. A Keymatic usa a Vercel apenas para essa finalidade, como prestadora de serviço. A Vercel pode manter registros técnicos desses acessos em servidores fora do Brasil (veja a seção 10 da política do site).

Os dados da medição de audiência sem cookies, da origem do cadastro e do registro das escolhas de cookies são enviados pelo navegador diretamente ao nosso servidor no Brasil e guardados lá, sem passar pela Vercel.

8. Por quanto tempo guardamos

- Dados operacionais da automação (comentários, disparos, interações e identificadores de quem interage): pelo número de dias exibido no plano vigente. A limpeza é periódica; quando o plano pago termina, passa a valer a retenção do plano gratuito. Contadores estatísticos sem o identificador da pessoa podem permanecer. - Token de acesso do Instagram: enquanto a conta estiver conectada; é apagado na desconexão, na revogação pelo Instagram ou na exclusão da conta. - Conta do Instagram desconectada: desaparece do painel imediatamente. O token e os eventos brutos de webhook são removidos na desconexão. As automações e o histórico operacional, incluindo identificadores de terceiros, textos de comentários registrados e cliques, ficam por até 7 dias para permitir reconexão e são eliminados ao fim da janela. Falhas de limpeza precisam ser retomadas pela manutenção. - Pedidos para não receber mensagens automáticas: após a desconexão, guardamos somente hashes da identidade estável da conta e do destinatário escopado, o vínculo com a conta Keymatic, a data e a origem do pedido. Não guardamos nome, texto da mensagem, token ou identificador legível da pessoa nessa lista. São dados pseudonimizados, não anônimos; servem somente para impedir novos envios, inclusive após reconexão. Permanecem até a exclusão efetiva dos dados da conta correspondente, por pedido verificado de exclusão da Meta, ou da conta Keymatic. A limpeza técnica da conexão após 7 dias não desfaz uma recusa de mensagens. - Conversas de IA: conversas do assistente do painel ficam por até 90 dias após a última atividade; conversas dos agentes de comentários e mensagens, por até 30 dias. A limpeza é periódica. Documentos da base de conhecimento e seus índices permanecem até a remoção pelo cliente ou a exclusão da conta Keymatic. Remover somente o Instagram não exclui a base de conhecimento do cliente. A exclusão da conta elimina esse estado de IA; registros de consumo minimizados podem permanecer para apuração financeira. - Registros de acesso: IP e informações do navegador ficam identificáveis por até 6 meses. Depois disso são removidos; data, hora e ação podem permanecer sem esses identificadores quando necessários para auditoria, obrigação legal ou defesa de direitos. - Callbacks de remoção e exclusão enviados pela Meta: a assinatura crua, e o payload são descartados no recebimento; os identificadores necessários ficam por até 6 meses para investigação de fraude e prova do atendimento. Depois são removidos; permanecem somente o código público, o resultado e as datas, para a página de acompanhamento continuar funcionando sem manter o vínculo com a conta. - Faturas e documentos fiscais: 5 anos, por prazo fiscal. - Registro de aceite dos documentos: 5 anos, como prova do contrato. Depois disso, o IP, o navegador e o aparelho são removidos; ficam a versão, o código de verificação do texto e a data. - Autorizações Pix e histórico de compensações: os registros necessários para executar e conciliar o contrato e comprovar autorizações e operações são preservados para essas finalidades, obrigações legais e defesa de direitos. Revogar a autorização ou desfazer o vínculo não apaga esse histórico. Não há prazo automático de exclusão específico desses registros nem promessa de limpeza automática em cinco anos. Os prazos das faturas e dos registros gerais de acesso permanecem os indicados acima; pedidos de exclusão são analisados pelo canal de privacidade, com informação sobre o que pode ser eliminado e o que deve ser conservado, com a justificativa. - Registro das escolhas de cookies do site: 5 anos a partir de cada escolha, como prova do consentimento; depois é apagado. - Origem do cadastro: até 24 meses a partir do cadastro, ou até antes, se a conta for excluída ou se você pedir. - Localização aproximada do negócio: enquanto a conta existir. É apagada na exclusão da conta ou antes, se você pedir ou se opuser. - Medição de audiência do site, inclusive os eventos de clique e de rolagem: até 24 meses. - Dados enviados ao Google Analytics, quando você consentiu no site: os a retenção dos dados de eventos na propriedade padrão pode ser configurada em 2 ou 14 meses. A retenção de identificadores de usuário pode ser renovada por novas atividades, conforme a configuração da propriedade; os relatórios agregados seguem regras próprias e podem permanecer por mais tempo. Você pode pedir informações e a exclusão aplicável pelo nosso canal de privacidade. - Dados enviados ao Microsoft Clarity, quando você consentiu no site: segundo a Microsoft, as gravações ficam disponíveis por 30 dias (uma amostra e as marcadas como favoritas, por até 9 meses) e os mapas de calor e de cliques, por até 9 meses. - Dados enviados ao Pixel da Meta, quando você consentiu no site: pelos prazos das políticas da Meta. - Cookie de indicação de parceiro (cookie de indicação): por até 30 dias no navegador, apagado quando o cadastro é concluído. - Cookie de dispositivo lembrado (autenticação em dois fatores): por até 400 dias no navegador, renovado a cada uso, até você revogar a confiança. - Eventos de produto: eventos recorrentes permanecem por até 24 meses, sem IP, conteúdo de mensagens ou identificador do Instagram. Os três marcos de primeiro valor — primeira automação criada, primeiro envio bem-sucedido e ativação — permanecem para não serem recriados e para medir a jornada inicial. Quando a conta é excluída, os registros da pessoa e da conta empresarial deixam de conter identificação direta; o que resta serve somente a métricas agregadas e à prova operacional, sem identificação direta.

Cancelar a assinatura não é um pedido de exclusão. O pedido feito no painel pausa as automações imediatamente e, após o prazo de segurança de 60 dias, apaga os dados operacionais e anonimiza a conta; durante esse prazo ele pode ser cancelado pelo próprio titular.

Ao fim do prazo, os dados são apagados ou pseudonimizados de forma irreversível.

9. Os seus direitos (LGPD, art. 18)

Você — e também qualquer pessoa que tenha interagido com uma conta que use a Keymatic — pode pedir, a qualquer momento e sem custo:

1. confirmação de que tratamos dados seus; 2. acesso aos dados; 3. correção de dados incompletos, inexatos ou desatualizados; 4. anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade; 5. portabilidade a outro fornecedor; 6. eliminação dos dados tratados com base em consentimento; 7. informação sobre com quem compartilhamos; 8. informação sobre a possibilidade de não consentir e as consequências disso; 9. revogação do consentimento, quando ele for a base do tratamento; 10. revisão de decisões automatizadas que afetem seus interesses; 11. oposição a tratamento feito sem consentimento, em caso de descumprimento da LGPD (art. 18, § 2º).

Como exercer: escreva para privacidade@keymatic.com.br. Respondemos em até 15 dias. Se você é uma pessoa que interagiu com a conta de um cliente nosso, encaminhamos o pedido a esse cliente (que é o controlador) e o atendemos operacionalmente por ele.

10. Como pedir a exclusão dos seus dados

Há dois caminhos, e os dois funcionam:

1. Direto com a gente: escreva para privacidade@keymatic.com.br pedindo a exclusão. Confirmamos o pedido e informamos o que foi apagado e o que permanece por obrigação legal (com a justificativa). 2. Pelo próprio Instagram: em *Configurações e privacidade → Apps e sites* você pode remover a Keymatic. Isso revoga o acesso imediatamente e inicia a janela de recuperação de 7 dias descrita acima. O pedido de exclusão de dados da Meta é uma ação própria: quando recebido, apagamos os dados vinculados e devolvemos um código de confirmação com um endereço público onde o andamento pode ser consultado.

Remover o aplicativo pelo Instagram encerra o nosso acesso à conta na hora e apaga o token de acesso que guardávamos.

Excluir a conta do Keymatic para Instagram apaga os dados deste produto. Se o seu acesso também é usado em outros produtos da Keymatic (seção 2), o nome, o e-mail, a senha protegida e os registros de segurança do serviço interno de acesso continuam, porque servem a esses produtos. Para excluí-los também, peça pelo privacidade@keymatic.com.br.

11. Sessão e cookies

Usamos cookies próprios e estritamente necessários para manter a sessão e proteger os fluxos temporários de cadastro, autenticação em dois fatores e conexão com o Instagram. Eles não servem a publicidade nem rastreiam navegação fora do nosso site; os temporários expiram ao concluir ou abandonar o fluxo, e o da sessão é encerrado quando você sai.

Se você marcar "Lembrar este dispositivo" ao confirmar a autenticação em dois fatores, um cookie próprio guarda essa confiança por até 400 dias, renovado a cada uso, até você revogá-la em *Conta → Dispositivos e sessões*. Ele só dispensa o código do autenticador nesse navegador e não rastreia navegação.

Há também um cookie próprio que não é de autenticação: o cookie de indicação. Quando você abre o cadastro por um link de indicação de parceiro, ele guarda apenas o código desse parceiro por até 30 dias, para que a contratação seja atribuída a quem indicou mesmo que você conclua o cadastro depois. Ele não é enviado a terceiros, é apagado quando o cadastro é concluído e se apoia no legítimo interesse (LGPD, art. 7º, IX, e art. 10, I). Para não usá-lo, apague os cookies deste site no navegador ou escreva para o canal de privacidade.

Os parâmetros de origem que chegam do site — campanha, código do parceiro, página de entrada, domínio do site que trouxe você, botão clicado, o identificador da sua escolha de cookies no site e, só com o aceite de marketing lá, os identificadores de clique de anúncio do Google e da Meta — ficam guardados na sessão do navegador (armazenamento temporário da aba), que os envia junto com o cadastro. Eles são apagados quando o cadastro é concluído ou quando a aba é fechada, o que vier primeiro.

Os eventos próprios de produto descritos nesta política não criam cookies de analytics nem são enviados a plataformas de analytics. No armazenamento local do navegador, o painel guarda apenas preferências de uso, como a data em que o aviso de cookies foi fechado, as versões dos documentos cujo aviso de atualização você dispensou, a conta do Instagram em foco e os avisos de uso do plano que você já viu; esses valores ficam no aparelho e não são enviados nas requisições. O painel não usa cookies de terceiros. No site, cookies de terceiros para análise ou marketing só funcionam com o seu consentimento.

12. Segurança

O token do Instagram é guardado cifrado; as senhas, com algoritmo próprio para senhas; o tráfego é sempre por HTTPS; e cada cliente é isolado dos demais no banco de dados. Os detalhes estão na nossa Política de Segurança.

Se ocorrer um incidente com risco relevante, comunicamos você e a ANPD nos prazos legais aplicáveis, conforme o art. 48 da LGPD e o regulamento da ANPD sobre incidentes de segurança.

13. Encarregado pelo tratamento de dados (DPO)

A VTS Comércio e Serviços LTDA é agente de tratamento de pequeno porte e, por isso, está dispensada de indicar um encarregado (Resolução CD/ANPD nº 2/2022, art. 11). O canal de comunicação com a Keymatic sobre dados pessoais, que recebe pedidos e reclamações dos titulares e comunicações da ANPD, é:

Privacidade da Keymatic — privacidade@keymatic.com.br VTS Comércio e Serviços LTDA · CNPJ 03.477.617/0001-90 São Paulo — SP, Brasil

14. Mudanças nesta política

Toda versão publicada fica guardada, e cada uma mostra o que mudou em relação à anterior. Mudanças relevantes são comunicadas com antecedência e, quando afetarem a relação contratual, exigem novo aceite. Quando a mudança traz uma finalidade nova, mesmo por legítimo interesse, avisamos também por e-mail. Quando ela só descreve com mais clareza o que já fazemos, avisamos no painel, e você não precisa confirmar de novo. Correções de redação que não mudam nenhum tratamento ficam registradas no histórico de versões.

A Keymatic não é afiliada, patrocinada nem endossada pela Meta Platforms, Inc., pelo Instagram ou pelo Facebook.