Política de Privacidade

Esta Política explica como a AISAC trata dados pessoais em todos os seus sites e serviços. É um documento único para o ecossistema inteiro, mantido na Central Legal. Ela foi escrita para ser lida por pessoas, não apenas por advogados — por isso diz o que fazemos de verdade, inclusive onde cada serviço é diferente do outro.

1. Quem somos e como falar com a gente

A controladora dos dados pessoais tratados nos sites e serviços AISAC é a empresa abaixo, responsável pela marca AISAC:

Se o aviso específico de um serviço indicar outra empresa como responsável por aquele serviço, vale o que estiver no aviso.

Somos controladora quando decidimos por que e como um dado é tratado — por exemplo, na administração de contas, na cobrança, na segurança e nos nossos sites. Quando você armazena num serviço AISAC informações sobre outras pessoas (numa memória, numa página ou numa lista de contatos, por exemplo), você decide o que entra ali e para quê; nesse caso tratamos esse conteúdo para prestar o serviço que você contratou, e você responde pela base legal desse uso.

2. A quais sites e serviços esta Política se aplica

Esta Política se aplica a todos os sites e serviços da AISAC, incluindo seus subdomínios:

• AISAC Global (aisac.global) — site institucional do ecossistema;
• AISAC.cloud (aisac.cloud) — site de produtos, tecnologias e sistemas;
• AI Brain (ai-brain.aisac.cloud, mcp.ai-brain.aisac.cloud) — memória persistente para ferramentas de IA (assinatura);
• AISAC Publisher (aisac.cloud/publisher) — publicação de vídeos e métricas do TikTok a partir da sua ferramenta de IA;
• AISAC Academy (aisac.academy) — plataforma de cursos e treinamentos;
• AISAC Agency (aisac.agency) — plataforma de marketing e aquisição operada por IA (beta fechado);
• AISAC Community (aisac.community) — comunidade, coortes e credenciais verificáveis.

Alguns serviços publicam um aviso específico, que detalha os dados, os fornecedores e os prazos daquele serviço. O aviso específico complementa esta Política e prevalece no que for específico daquele serviço. A lista atualizada de avisos específicos fica na Central Legal.

Esta Política não se aplica a sites e serviços de terceiros — inclusive aos que você conectar a um serviço AISAC, como sua ferramenta de IA, sua conta de anúncios ou a plataforma onde fez uma compra. Cada um deles tem a sua própria política.

3. Quais dados tratamos

Depende do que você faz. Separamos por situação:

• Ao visitar um site: registros técnicos gerados por qualquer servidor web — horário, endereço IP, navegador, página pedida — e, só onde indicado em Cookies e armazenamento no navegador, métricas de audiência.
• Ao escrever para a gente: seu e-mail, seu nome se você informar e o conteúdo da mensagem.
• Ao criar e usar uma conta: e-mail, nome, identificador da conta, códigos de acesso, sessões, eventos de autenticação e, se você entrar com uma conta Google, os dados básicos de perfil que o Google compartilha (nome, e-mail e foto).
• Conteúdo que você cria ou envia: memórias, notas, páginas, cursos, posts, comentários, arquivos e o que mais você colocar num serviço, além de datas e histórico de edição.
• Integrações que você conecta: identificadores e tokens de acesso das contas de terceiros que você autoriza (por exemplo Google, Meta, LinkedIn ou TikTok), as permissões concedidas e os dados que essas contas devolvem quando você pede uma ação.
• Compras e assinaturas: produto, plano, valor, situação do pagamento, identificadores da transação e dados de faturamento. O número do cartão é informado direto à plataforma de pagamento — nós não o recebemos.
• Perfil público e credenciais: quando um serviço oferece perfil ou credencial verificável e você escolhe deixá-los públicos, nome, foto e as informações que você decidiu exibir.
• Suporte e pesquisas opcionais: o que você nos conta num atendimento e as respostas que decidir dar em pesquisas facultativas.

Não pedimos dados sensíveis (saúde, religião, origem racial, biometria e afins). Evite colocá-los num serviço, assim como senhas, chaves de API ou dados de terceiros que você não tem autorização para usar.

4. Para que usamos os dados e com qual base legal

Cada uso tem uma finalidade e uma base legal da LGPD (Lei 13.709/2018). Para pessoas no Espaço Econômico Europeu ou no Reino Unido, indicamos também a base correspondente do GDPR.

• Prestar o serviço que você pediu — criar e manter a conta, guardar e processar seu conteúdo, executar as integrações que você autorizou e responder ao suporte: execução de contrato ou de procedimentos preliminares a pedido seu (LGPD art. 7º, V; GDPR art. 6(1)(b)).
• Cobrar, emitir documentos fiscais e manter registros comerciais: obrigação legal e execução de contrato (LGPD art. 7º, II e V; GDPR art. 6(1)(c) e (b)).
• Manter os sites e serviços disponíveis e seguros — registros técnicos, prevenção de fraude e de abuso, investigação de incidentes: legítimo interesse (LGPD art. 7º, IX; GDPR art. 6(1)(f)) e, para os registros de acesso a aplicações, obrigação legal (Marco Civil da Internet, art. 15).
• Responder quando você nos escreve: procedimentos preliminares a pedido seu ou legítimo interesse em atender quem nos procura.
• Mandar comunicações sobre o serviço — acesso, segurança, cobrança, mudanças relevantes: execução de contrato.
• Mandar novidades e ofertas: consentimento ou, para quem já é cliente e quando a lei permitir, legítimo interesse — sempre com descadastro em todas as mensagens.
• Medir audiência com ferramentas que dependem de consentimento e tratar respostas de pesquisas opcionais: consentimento (LGPD art. 7º, I; GDPR art. 6(1)(a)), que você pode retirar quando quiser.
• Defender direitos em processo judicial, administrativo ou arbitral: exercício regular de direitos (LGPD art. 7º, VI; GDPR art. 6(1)(f)).

Quando usamos o legítimo interesse, ponderamos antes se ele não se sobrepõe aos seus direitos e usamos apenas o necessário. Você pode se opor a esse uso pelo canal de privacidade.

5. Seu conteúdo, inteligência artificial e integrações

Vários serviços AISAC usam modelos de inteligência artificial para funcionar — por exemplo, para gerar representações numéricas (embeddings) que permitem a busca por significado, ou para gerar textos e páginas a seu pedido. Para isso, trechos do conteúdo envolvido são enviados a provedores de modelos de IA, como a OpenAI, apenas quando o recurso é usado.

• A AISAC não usa seu conteúdo para treinar modelos de IA.
• Contratamos esses provedores na modalidade de API, que, pelos termos vigentes deles, não usa os dados enviados para treinar modelos por padrão. Eles podem guardar os dados por um período curto para monitorar abuso, conforme as políticas de cada um.
• Quando você conecta sua própria ferramenta de IA (Claude, ChatGPT ou outra) a um serviço AISAC, o que o serviço devolve para ela passa a ser tratado também pelo fornecedor dessa ferramenta, segundo os termos que você aceitou com ele.

Integrações com contas de terceiros. Quando você autoriza um serviço AISAC a acessar uma conta sua (Google, Meta, LinkedIn e outras), guardamos o token de acesso de forma protegida e o usamos só para as ações que você pediu ou configurou. Você pode revogar o acesso no próprio serviço ou nas configurações de segurança da conta de terceiro; revogar impede acessos futuros, mas não apaga o que o terceiro já recebeu.

O uso e a transferência, para qualquer outro aplicativo, de informações recebidas das APIs do Google seguem a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado. Dados obtidos de APIs do Google não são usados para publicidade nem para treinar modelos de IA.

6. AISAC Publisher e TikTok

O AISAC Publisher publica no seu perfil do TikTok, ou envia para a sua caixa de entrada do TikTok como rascunho, os vídeos que você pede à sua ferramenta de IA (como o Claude), conectada por MCP ao nosso servidor em mcp-tiktok.vercel.app, e, quando você pergunta, lê os números da sua conta e dos seus vídeos públicos. Ele usa três produtos do TikTok — o Login Kit, para você autorizar o acesso, a Display API, para ler o perfil e os números, e a Content Posting API (publicação direta e rascunhos) — e pede só seis permissões: user.info.basic, para identificar sua conta; user.info.profile, user.info.stats e video.list, para ler, quando você pede, o seu perfil, os totais da conta e os seus vídeos públicos; video.publish, para publicar os vídeos que você confirmar; e video.upload, para enviar para a sua caixa de entrada do TikTok, como rascunho, os vídeos que você confirmar — você finaliza e publica no app do TikTok. Na tela de consentimento do TikTok você pode desmarcar as três permissões de leitura; a publicação continua funcionando sem elas.

O que recebemos e guardamos:

• Da sua conta, ao conectar: os identificadores que o TikTok atribui à sua conta para o nosso app (open_id e union_id), seu nome de exibição e as permissões que você concedeu.
• Tokens de acesso e de atualização emitidos pelo TikTok, cifrados com AES-256-GCM antes de serem gravados. Eles nunca são mostrados a você nem à sua ferramenta de IA.
• Antes de cada publicação, consultamos no TikTok o apelido e o nome de usuário do seu perfil, as opções de privacidade disponíveis para a sua conta, a duração máxima de vídeo e se comentários, dueto e costura estão liberados — para montar a prévia que você revisa. Desses dados, guardamos só o nome de usuário, junto ao registro da publicação.
• Registro de cada publicação ou rascunho: identificador do pedido, datas, situação, nível de privacidade escolhido (o rascunho não tem: você escolhe no TikTok), identificadores devolvidos pelo TikTok (da publicação e do post), o endereço temporário do vídeo e códigos de erro. A legenda não é guardada: fica só uma impressão digital (hash SHA-256) do pedido, para evitar que o mesmo post saia duas vezes.
• O arquivo de vídeo que você envia fica guardado temporariamente no Cloudflare R2, num endereço aleatório e não listado em tiktok-media.aisac.cloud, só para o TikTok buscá-lo. Ele é apagado automaticamente em cerca de 2 dias — a limpeza roda uma vez por dia, então o prazo pode chegar a 3 dias.

O que lemos sem guardar:

• Quando você pede o seu perfil ou as suas métricas, consultamos no TikTok o seu perfil (nome de usuário, bio, link do perfil e selo de verificado), os totais da sua conta (seguidores, contas que você segue, curtidas recebidas e número de vídeos públicos) e, de cada vídeo público, o identificador, título, descrição, duração, capa, link, data de publicação, visualizações, curtidas, comentários e compartilhamentos. O TikTok só devolve vídeos públicos.
• Esses dados vão direto para a sua ferramenta de IA, na resposta àquele pedido. Não os gravamos no nosso banco de dados, em cache nem nos registros do servidor, e só os consultamos quando você pede — não acompanhamos sua conta em segundo plano.

O que não fazemos:

• Não lemos comentários, mensagens, a lista de quem segue você ou de quem você segue, nem seus vídeos privados — o app não tem permissão para isso.
• Não publicamos nada sem que você revise a prévia e confirme aquele post.
• O rascunho só é publicado se você publicá-lo no app do TikTok.
• Não usamos dados recebidos do TikTok para publicidade nem para treinar modelos de IA, não os vendemos e não os repassamos a outros serviços AISAC ou a terceiros, além dos operadores abaixo.

Para que e com qual base legal: identificar sua conta, publicar o que você pediu com as configurações que você escolheu, mostrar a situação de cada publicação e trazer, quando você pede, o seu perfil e os números da sua conta e dos seus vídeos públicos — execução de contrato (LGPD art. 7º, V; GDPR art. 6(1)(b)).

Com quem: o TikTok recebe o vídeo, a legenda e as configurações de cada post (do rascunho, só o vídeo), porque é o destino da publicação, e trata esses dados segundo os próprios Termos de Serviço e Política de Privacidade. Operam em nosso nome a Vercel (execução do servidor), a Supabase (banco de dados), a Cloudflare (armazenamento temporário do vídeo) e a Upstash (cache cifrado e fila que acompanha a situação das publicações). A ferramenta de IA que você usa vê o que você escreve e o que o serviço responde — inclusive o perfil e os números que você pedir —, como explicado em Seu conteúdo, inteligência artificial e integrações. Se você anexar o vídeo na ferramenta de IA, ela recebe o arquivo e o envia para nós, sob os termos dela.

Por quanto tempo:

• identificadores, tokens e registro de publicações: enquanto sua conta estiver conectada e até você pedir a exclusão;
• arquivos de vídeo: cerca de 2 dias, no máximo 3;
• perfil e números de desempenho: não são guardados — são lidos de novo a cada pedido;
• registros técnicos do servidor, que não contêm tokens, nomes, legendas, vídeos, dados do perfil nem números de desempenho: pelos prazos de Por quanto tempo guardamos.

Como desconectar: no app do TikTok, toque em Perfil → menu ☰ → Configurações e privacidade → Segurança e permissões → Permissões de apps e serviços → AISAC Publisher → Remover acesso. A partir daí não conseguimos mais acessar sua conta, ler seu perfil e seus números nem publicar nela. Os dados acima continuam guardados — os tokens, cifrados e já sem efeito — até você pedir a exclusão.

Como pedir a exclusão: escreva para dpo@aisac.global informando o seu @ no TikTok. Apagamos identificadores, tokens e registro de publicações em até 15 dias e confirmamos por e-mail. Posts já publicados ficam no TikTok: para removê-los, apague-os no próprio app.

A AISAC não é afiliada ao TikTok nem patrocinada ou endossada por ele. TikTok é marca da ByteDance Ltd.

7. Cookies e armazenamento no navegador

Sites institucionais (aisac.global e aisac.cloud):

• Não gravam nada no seu navegador — nem cookie, nem localStorage, nem sessionStorage. Se um dia pedirem consentimento, nada será gravado antes da sua escolha.
• Em aisac.global, a Cloudflare coleta métricas agregadas de desempenho e de visitas (Cloudflare Web Analytics). A ferramenta não usa cookies nem armazenamento local e não identifica visitantes individualmente. As fontes tipográficas dessa página são carregadas dos servidores do Google Fonts, que recebem seu endereço IP para entregá-las.
• Em aisac.cloud não há medição de audiência e as fontes são servidas pelo próprio site.
• Nenhuma ferramenta de medição que dependa de consentimento (como o Google Analytics) está ativa hoje. Antes de ativar uma, atualizaremos esta seção com a ferramenta e o prazo de retenção e passaremos a pedir seu consentimento, com um controle permanente para você rever a escolha a qualquer momento.

Páginas de produtos, eventos e da comunidade (como ai-brain.aisac.cloud, aisac.community e imersao.aisac.community):

• Podem medir campanhas com Google Analytics e Meta Pixel, que só carregam depois que você aceita no aviso de consentimento. Recusar não impede o uso da página. Sua escolha fica guardada no navegador para não perguntarmos de novo.
• Antes da sua escolha, nada é gravado no navegador. Quando você chega por um link de campanha, os parâmetros de campanha da URL (utm_*) são usados só enquanto a página está aberta, para serem repassados ao checkout. Eles descrevem o anúncio ou link de origem, não você.

Serviços com conta:

• Usam um cookie de sessão necessário para manter você conectado. Ele não depende de consentimento, porque sem ele o serviço não funciona.
• Podem guardar preferências de interface no navegador (por exemplo, tema ou visualização).
• Podem usar o Cloudflare Turnstile para diferenciar pessoas de robôs no login e no cadastro.
• Vídeos incorporados (como os do YouTube) podem coletar dados quando você os reproduz, segundo a política do fornecedor.

Você pode apagar cookies e dados de site nas configurações do navegador. Apagar o cookie de sessão encerra seu acesso.

8. Com quem compartilhamos

Não vendemos dados pessoais. Compartilhamos apenas o necessário para cada finalidade, com fornecedores que tratam os dados em nosso nome (operadores), conforme o serviço que você usa:

• Cloudflare — DNS, CDN, hospedagem dos sites, proteção contra ataques, Turnstile e métricas agregadas;
• Vercel — hospedagem e execução das aplicações;
• Supabase — banco de dados e autenticação;
• Google — e-mail corporativo (Google Workspace), login com Google, fontes (Google Fonts), infraestrutura de nuvem (Google Cloud) e, quando houver consentimento, medição de audiência;
• Meta — medição de campanhas (Meta Pixel) nas páginas de produtos e eventos, somente com consentimento;
• Resend — envio de e-mails transacionais, como códigos de acesso;
• Upstash — cache e filas de processamento;
• OpenAI e outros provedores de modelos de IA — processamento de conteúdo quando você usa um recurso de IA;
• Hotmart e outras plataformas de pagamento — processamento de compras e assinaturas. Nessas compras, a plataforma também trata seus dados segundo a política dela.

Quando você pede a um serviço AISAC que aja numa conta sua de terceiro — por exemplo, publicar um vídeo no TikTok pelo AISAC Publisher —, enviamos a essa plataforma o que for necessário para a ação. Ela não é nossa operadora: trata os dados como controladora, segundo a política dela.

Os avisos específicos de cada serviço indicam quais desses fornecedores aquele serviço usa. Também podemos compartilhar dados para cumprir lei ou ordem de autoridade competente, para exercer direitos em processos, ou numa reorganização societária (fusão, aquisição), caso em que o sucessor continuará obrigado a esta Política.

9. Transferência internacional

Vários dos fornecedores acima operam fora do Brasil, principalmente nos Estados Unidos, e podem tratar dados em diferentes países. A localização de um banco de dados não significa que todo o processamento ocorra no mesmo país.

Essas transferências observam o art. 33 da LGPD — em especial as cláusulas-padrão contratuais previstas na Resolução CD/ANPD nº 19/2024, quando aplicáveis — e, para dados de pessoas no Espaço Econômico Europeu ou no Reino Unido, o Capítulo V do GDPR, por meio de decisões de adequação ou cláusulas contratuais padrão. Você pode pedir ao canal de privacidade informações sobre o mecanismo usado com cada fornecedor.

10. Por quanto tempo guardamos

• Conta e conteúdo: enquanto a conta estiver ativa. Quando você pede a exclusão, removemos os dados da base ativa; cópias de segurança expiram no ciclo técnico do fornecedor e não são restauradas para reativar o que foi apagado.
• Registros de acesso a aplicações: 6 meses, como exige o art. 15 do Marco Civil da Internet, ou mais se houver ordem judicial.
• Registros de compra e documentos fiscais: pelo prazo da legislação tributária e comercial — em regra, 5 anos.
• Mensagens de contato e suporte: pelo tempo necessário para resolver o assunto e, havendo relação de consumo, pelo prazo legal em que uma reclamação ainda pode ser feita.
• Tokens de integrações: até você revogar a integração, encerrar a conta ou o token expirar. No AISAC Publisher, até você pedir a exclusão (veja AISAC Publisher e TikTok).
• Vídeos enviados ao AISAC Publisher: cerca de 2 dias, no máximo 3, só até o TikTok buscá-los.
• Respostas de pesquisas opcionais: até você apagá-las ou encerrar a conta.
• Registros técnicos de hospedagem e CDN: pelos prazos operacionais e de segurança de cada fornecedor.

Cancelar uma assinatura não é o mesmo que excluir a conta: os dados ficam guardados até você pedir a exclusão, para que possa voltar sem perder nada.

11. Seus direitos e como exercê-los

Pela LGPD (art. 18), você pode pedir:

• confirmação de que tratamos seus dados e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• portabilidade dos dados a outro fornecedor;
• eliminação dos dados tratados com base no seu consentimento;
• informação sobre com quem compartilhamos seus dados;
• informação sobre a possibilidade de não consentir e as consequências disso;
• revogação do consentimento, sem afetar o que foi feito antes dela;
• oposição a um tratamento feito com outra base legal, se ele descumprir a lei;
• revisão de decisões tomadas unicamente com base em tratamento automatizado (art. 20).

Pelo GDPR (arts. 15 a 22), quem está no Espaço Econômico Europeu ou no Reino Unido tem os direitos de acesso, retificação, apagamento, limitação do tratamento, portabilidade, oposição (inclusive, sem exceção, ao uso para marketing direto) e de não ficar sujeito a decisão baseada exclusivamente em tratamento automatizado com efeitos jurídicos ou similarmente significativos.

Como pedir: escreva para dpo@aisac.global — mesmo que você não tenha mais acesso à conta. Podemos pedir informações proporcionais para confirmar que é você, para que ninguém peça os seus dados em seu nome. Respondemos nos prazos legais: a confirmação e o acesso completo em até 15 dias (LGPD, art. 19) e, para pedidos sob o GDPR, em até um mês, prorrogável por mais dois em casos complexos, com aviso (GDPR, art. 12).

Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD) e, se estiver no Espaço Econômico Europeu ou no Reino Unido, à autoridade de proteção de dados do país onde mora, trabalha ou onde ocorreu a suposta infração.

12. Decisões automatizadas

Hoje não tomamos decisões baseadas unicamente em tratamento automatizado que produzam efeitos jurídicos sobre você ou o afetem de forma igualmente significativa. Limites técnicos aplicados automaticamente para proteger a infraestrutura (como limites de requisições) não avaliam aspectos da sua pessoa. Se um serviço passar a tomar esse tipo de decisão, o aviso específico dele dirá quais critérios usa e como pedir revisão por uma pessoa.

13. Segurança

Usamos HTTPS em todos os sites e serviços; nos sites institucionais, também HSTS e política de segurança de conteúdo restritiva. Nos serviços com conta, usamos controle de acesso por conta, com separação dos dados de cada conta, armazenamento de credenciais com hash ou criptografia e acesso interno restrito ao mínimo necessário.

Nenhum sistema é imune a incidentes. Se ocorrer um incidente de segurança que possa trazer risco ou dano relevante, comunicaremos os titulares afetados e a ANPD — e, quando aplicável, a autoridade europeia competente — na forma e no prazo da lei. Proteja também seus dispositivos, códigos e tokens, e nos avise em dpo@aisac.global se suspeitar de uso indevido.

14. Crianças e adolescentes

Os sites e serviços AISAC são destinados a maiores de 18 anos e não são dirigidos a crianças ou adolescentes. Não coletamos intencionalmente dados de menores. Se você souber de um caso, escreva para dpo@aisac.global e removeremos os dados.

15. Alterações desta Política

Podemos atualizar esta Política para refletir mudanças nos serviços, nos fornecedores ou na lei. A versão e a data de vigência ficam no topo da página, e o histórico de versões fica na Central Legal. Quando a mudança for relevante, avisaremos quem tem conta por e-mail ou no próprio serviço e, se ela depender de consentimento, pediremos de novo.

Esta Política é publicada em português e em inglês com o mesmo conteúdo. Para usuários no Brasil, prevalece a versão em português.

16. Contato

Privacidade e proteção de dados, inclusive para exercer seus direitos: dpo@aisac.global. Assuntos gerais: contact@aisac.global. Correspondência: AISAC TECNOLOGIA, SISTEMAS E CERTIFICAACOES LTDA, Av. Cristóvão Colombo, 2144, Sala 408, 3º andar — Floresta, Porto Alegre/RS, CEP 90560-001, Brasil.

Leia também os Termos de Uso.