Seus dados, e o que o Gatilho faz com eles.

O Gatilho é um serviço de automação de mensagens no Instagram: você escolhe uma publicação sua e uma palavra; quando alguém comenta essa palavra, o Gatilho envia no Direct a mensagem que você escreveu. Tudo acontece pelas APIs oficiais da Meta, sem scraping e sem automação de navegador.

Para a Lei Geral de Proteção de Dados (Lei 13.709/2018), o controlador dos dados descritos aqui é Gatilho, que responde por contato@matheusreis.dev.

Há uma divisão que vale entender. Sobre os seus dados de cadastro e de uso do serviço, nós somos o controlador. Sobre os dados de quem comenta nas suas publicações, quem decide é você: nesse tratamento você é o controlador e o Gatilho age como operador, executando apenas as automações que você criou.

O Gatilho é um produto independente. Não é afiliado, patrocinado nem endossado pela Meta Platforms, Inc.; Instagram e Meta são marcas dela.

Coletamos o mínimo necessário para a automação funcionar. Nada é comprado de terceiros nem inferido sobre você.

Cadastro

Nome, e-mail e senha. A senha é guardada apenas como hash pelo Supabase Auth: nem nós conseguimos lê-la.

Conta do Instagram

Ao conectar, recebemos da Meta o identificador da conta, o @, o nome de exibição, a foto de perfil e um token de acesso com prazo de validade. Você nunca digita a senha do Instagram no Gatilho: o login acontece na própria Meta.

Publicações

Identificador, tipo, legenda, link, miniatura e data das publicações da conta conectada, para você escolher qual automatizar.

Automações

O nome que você deu à regra, a palavra-gatilho, a mensagem a enviar e se ela está ativa.

Execuções

De cada comentário que aciona uma automação: o identificador do comentário, o @ e o identificador de quem comentou, o texto comentado, a mensagem enviada e os horários. É o que forma o seu histórico.

Eventos da Meta

Os avisos (webhooks) enviados pela Meta ficam registrados para evitar envio duplicado e permitir diagnóstico.

Registros técnicos

Data, endereço IP, navegador e erros, gerados pela infraestrutura que hospeda o serviço.

Não tratamos dados sensíveis na acepção do art. 5º, II da LGPD, não lemos conversas do seu Direct que não tenham sido iniciadas por uma automação sua e não acessamos publicações de contas que você não conectou.

• Criar e manter sua conta, autenticar seu acesso e sustentar a sessão aberta.
• Conectar sua conta do Instagram e listar suas publicações.
• Receber o aviso de novos comentários e comparar cada um com as palavras que você definiu.
• Enviar, em seu nome, a mensagem no Direct de quem comentou.
• Mostrar o histórico de execuções e os números do painel.
• Investigar erros, prevenir abuso e manter o serviço seguro.
• Falar com você sobre o serviço: avisos de funcionamento, mudanças e suporte.
• Cumprir obrigações legais e regulatórias.

Não vendemos seus dados, não os cedemos para publicidade e não os usamos para treinar modelos de inteligência artificial.

Cada tratamento descrito acima se apoia em uma hipótese do art. 7º da LGPD.

Contrato

Inciso V. Operar o serviço que você contratou: conta, conexão, automações, envios e histórico.

Consentimento

Inciso I. A conexão da conta do Instagram e as permissões concedidas na tela da Meta. Pode ser revogado a qualquer momento.

Legítimo interesse

Inciso IX. Segurança, prevenção a fraude e abuso, e melhoria do serviço.

Obrigação legal

Inciso II. Guarda dos registros de acesso exigida pelo Marco Civil da Internet.

Na tela de autorização da Meta, o Gatilho pede exatamente três permissões, e usa cada uma para uma coisa só:

• instagram_business_basic: ler o perfil da conta conectada (@, nome e foto) e a lista de publicações, para você escolher qual automatizar.
• instagram_business_manage_comments: receber e ler os comentários das publicações que você automatizou, para identificar a palavra-gatilho.
• instagram_business_manage_messages: enviar a mensagem no Direct de quem comentou.

Não pedimos permissão para publicar, apagar comentários ou administrar anúncios. Você pode revogar o acesso quando quiser, sem falar com a gente, em Instagram → Configurações → Aplicativos e sites.

O Gatilho não vende nem aluga dados. Eles chegam a terceiros apenas onde o serviço não existiria sem isso:

Meta

É de lá que vêm os comentários e é para lá que vão as mensagens. O tratamento dos dados dentro do Instagram segue a política da própria Meta.

Supabase

Banco de dados, autenticação e execução das rotinas de servidor do serviço.

Vercel

Hospedagem do site e da área logada.

Autoridades

Quando houver ordem judicial ou obrigação legal, no limite exato do que for exigido.

Esses fornecedores atuam como operadores e seguem nossas instruções. Parte deles mantém servidores fora do Brasil, o que caracteriza transferência internacional de dados (arts. 33 e seguintes da LGPD); nesses casos contratamos empresas que oferecem garantias de proteção equivalentes às da lei brasileira.

• O token de acesso do Instagram fica cifrado no Supabase Vault, separado das demais tabelas, e só é lido pelas rotinas de servidor que precisam dele.
• Cada conta enxerga apenas os próprios dados: o isolamento é feito no banco, por Row Level Security, e não somente na tela.
• Todo o tráfego acontece por HTTPS.
• Os eventos recebidos da Meta são verificados por assinatura (HMAC-SHA256 com o segredo do aplicativo) antes de qualquer processamento: o que não vem da Meta é descartado.
• Chaves e segredos existem apenas no servidor e nunca são enviados ao navegador.

Ainda assim, nenhum sistema é imune. Se ocorrer um incidente com risco relevante aos seus dados, comunicaremos você e a ANPD, como determina o art. 48 da LGPD.

Enquanto sua conta existir, mantemos o necessário para o serviço funcionar e para você consultar o próprio histórico.

Histórico

As execuções ficam guardadas pelo prazo do seu plano (7, 30, 90, 180 ou 365 dias), e nunca menos que o mês corrente, que é a base da cota de mensagens. Depois disso são apagadas automaticamente. Das boas-vindas no Direct fica apenas o identificador de quem já foi recebido, sem texto nem @, para a mesma pessoa não ser saudada duas vezes.

Eventos da Meta

Os avisos recebidos da Meta são apagados 30 dias depois de processados.

Ao desconectar

Desconectar uma conta do Instagram no painel apaga o token de acesso, o cadastro dessa conta, as publicações sincronizadas, as automações e os eventos recebidos dela, e pedimos à Meta que pare de enviar os avisos da conta. O histórico de execuções segue a regra de prazo acima.

Ao encerrar

A exclusão da conta remove em cascata perfil, contas conectadas, publicações, automações e histórico de execuções.

Registros técnicos

Logs de acesso são mantidos por até 6 meses, prazo do art. 15 do Marco Civil da Internet, e depois descartados.

Exceções

Alguns registros podem ser guardados por mais tempo quando a lei exigir ou para o exercício regular de direitos em processo.

Há dois caminhos, e você pode usar os dois:

• Pelo Instagram. Configurações → Aplicativos e sites → remover o Gatilho. A Meta nos avisa, o token de acesso é apagado na hora e as automações da conta param. Se, ao remover, você também pedir a exclusão dos dados, apagamos imediatamente tudo o que se refere à conta — inclusive o histórico — e a Meta mostra um código para você acompanhar o pedido.
• Pelo Gatilho. Desconecte a conta na página Instagram do painel, ou escreva para contato@matheusreis.dev pedindo a exclusão da conta e de todos os dados associados.

Pedidos de exclusão são atendidos em até 15 dias, e confirmamos por e-mail quando terminarmos.

O art. 18 da LGPD garante a você, a qualquer momento:

• Confirmação de que tratamos seus dados e acesso a eles.
• Correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados fora da lei.
• Portabilidade dos dados a outro fornecedor.
• Informação sobre com quem compartilhamos seus dados.
• Informação sobre a possibilidade de não consentir e sobre o que isso acarreta.
• Revogação do consentimento e eliminação dos dados tratados com base nele.
• Revisão de decisões tomadas de forma automatizada.

Para exercer qualquer um deles, escreva para contato@matheusreis.dev. Respondemos em até 15 dias. Se algo não ficar resolvido, você pode apresentar reclamação à ANPD.

Sessão

Cookies do Supabase Auth que mantêm você conectado. Sem eles não existe área logada.

Preferências

O tema claro ou escuro que você escolhe fica no armazenamento local do navegador, no seu aparelho, e não é enviado a lugar nenhum.

Não usamos cookies de publicidade nem rastreadores de terceiros para perfilamento.

O Gatilho é feito para quem administra uma conta profissional no Instagram e não se destina a menores de 18 anos. Não coletamos intencionalmente dados de crianças e adolescentes; identificado um cadastro assim, ele é removido. Se você é responsável e acredita que isso aconteceu, escreva para contato@matheusreis.dev.

Esta política muda quando o serviço muda. A data no topo indica sempre a versão vigente, e alterações relevantes são avisadas por e-mail ou na própria área logada antes de passarem a valer.

Dúvidas sobre privacidade, pedidos de acesso, correção ou exclusão: contato@matheusreis.dev. Esse é também o canal do encarregado pelo tratamento de dados (DPO) de que trata o art. 41 da LGPD.

Controlador: Gatilho.