Seus dados, e o que o Fluxo faz com eles.

O Fluxo é um serviço de automação de mensagens no Instagram: você escolhe uma publicação sua e uma palavra; quando alguém comenta essa palavra, o Fluxo envia no Direct a mensagem que você escreveu. Tudo acontece pelas APIs oficiais da Meta, sem scraping e sem automação de navegador.

Para a Lei Geral de Proteção de Dados (Lei 13.709/2018), o controlador dos dados descritos aqui é Fluxo, que responde por privacidade@fluxo.app.

Há uma divisão que vale entender. Sobre os seus dados de cadastro e de uso do serviço, nós somos o controlador. Sobre os dados de quem comenta nas suas publicações, quem decide é você: nesse tratamento você é o controlador e o Fluxo age como operador, executando apenas as automações que você criou.

O Fluxo é um produto independente. Não é afiliado, patrocinado nem endossado pela Meta Platforms, Inc.; Instagram e Meta são marcas dela.

Coletamos o mínimo necessário para a automação funcionar. Nada é comprado de terceiros nem inferido sobre você.

Cadastro

Nome, e-mail e senha. A senha é guardada apenas como hash pelo Supabase Auth: nem nós conseguimos lê-la.

Conta do Instagram

Ao conectar, recebemos da Meta o identificador da conta, o @, o nome de exibição, a foto de perfil e um token de acesso com prazo de validade. Você nunca digita a senha do Instagram no Fluxo — o login acontece na própria Meta.

Publicações

Identificador, tipo, legenda, link, miniatura e data das publicações da conta conectada, para você escolher qual automatizar.

Automações

O nome que você deu à regra, a palavra-gatilho, a mensagem a enviar e se ela está ativa.

Execuções

De cada comentário que aciona uma automação: o identificador do comentário, o @ e o identificador de quem comentou, o texto comentado, a mensagem enviada e os horários. É o que forma o seu histórico.

Eventos da Meta

Os avisos (webhooks) enviados pela Meta ficam registrados para evitar envio duplicado e permitir diagnóstico.

Registros técnicos

Data, endereço IP, navegador e erros, gerados pela infraestrutura que hospeda o serviço.

Não tratamos dados sensíveis na acepção do art. 5º, II da LGPD, não lemos conversas do seu Direct que não tenham sido iniciadas por uma automação sua e não acessamos publicações de contas que você não conectou.

• Criar e manter sua conta, autenticar seu acesso e sustentar a sessão aberta.
• Conectar sua conta do Instagram e listar suas publicações.
• Receber o aviso de novos comentários e comparar cada um com as palavras que você definiu.
• Enviar, em seu nome, a mensagem no Direct de quem comentou.
• Mostrar o histórico de execuções e os números do painel.
• Investigar erros, prevenir abuso e manter o serviço seguro.
• Falar com você sobre o serviço: avisos de funcionamento, mudanças e suporte.
• Cumprir obrigações legais e regulatórias.

Não vendemos seus dados, não os cedemos para publicidade e não os usamos para treinar modelos de inteligência artificial.

Cada tratamento descrito acima se apoia em uma hipótese do art. 7º da LGPD.

Contrato

Inciso V. Operar o serviço que você contratou: conta, conexão, automações, envios e histórico.

Consentimento

Inciso I. A conexão da conta do Instagram e as permissões concedidas na tela da Meta. Pode ser revogado a qualquer momento.

Legítimo interesse

Inciso IX. Segurança, prevenção a fraude e abuso, e melhoria do serviço.

Obrigação legal

Inciso II. Guarda dos registros de acesso exigida pelo Marco Civil da Internet.

Na tela de autorização da Meta, o Fluxo pede exatamente três permissões — e usa cada uma para uma coisa só:

• instagram_business_basic — ler o perfil da conta conectada (@, nome e foto) e a lista de publicações, para você escolher qual automatizar.
• instagram_business_manage_comments — receber e ler os comentários das publicações que você automatizou, para identificar a palavra-gatilho.
• instagram_business_manage_messages — enviar a mensagem no Direct de quem comentou.

Não pedimos permissão para publicar, apagar comentários ou administrar anúncios. Você pode revogar o acesso quando quiser, sem falar com a gente, em Instagram → Configurações → Aplicativos e sites.

O Fluxo não vende nem aluga dados. Eles chegam a terceiros apenas onde o serviço não existiria sem isso:

Meta

É de lá que vêm os comentários e é para lá que vão as mensagens. O tratamento dos dados dentro do Instagram segue a política da própria Meta.

Supabase

Banco de dados, autenticação e execução das rotinas de servidor do serviço.

Vercel

Hospedagem do site e da área logada.

Autoridades

Quando houver ordem judicial ou obrigação legal, no limite exato do que for exigido.

Esses fornecedores atuam como operadores e seguem nossas instruções. Parte deles mantém servidores fora do Brasil, o que caracteriza transferência internacional de dados (arts. 33 e seguintes da LGPD); nesses casos contratamos empresas que oferecem garantias de proteção equivalentes às da lei brasileira.

• O token de acesso do Instagram fica cifrado no Supabase Vault, separado das demais tabelas, e só é lido pelas rotinas de servidor que precisam dele.
• Cada conta enxerga apenas os próprios dados: o isolamento é feito no banco, por Row Level Security, e não somente na tela.
• Todo o tráfego acontece por HTTPS.
• Os eventos recebidos da Meta são verificados por assinatura (HMAC-SHA256 com o segredo do aplicativo) antes de qualquer processamento — o que não vem da Meta é descartado.
• Chaves e segredos existem apenas no servidor e nunca são enviados ao navegador.

Ainda assim, nenhum sistema é imune. Se ocorrer um incidente com risco relevante aos seus dados, comunicaremos você e a ANPD, como determina o art. 48 da LGPD.

Enquanto sua conta existir, mantemos o necessário para o serviço funcionar e para você consultar o próprio histórico.

Ao desconectar

Desconectar uma conta do Instagram no painel apaga o cadastro dessa conta, as publicações sincronizadas e as automações ligadas a ela; o Fluxo deixa de usar o token de acesso.

Ao encerrar

A exclusão da conta remove em cascata perfil, contas conectadas, publicações, automações e histórico de execuções.

Registros técnicos

Logs de acesso são mantidos por até 6 meses, prazo do art. 15 do Marco Civil da Internet, e depois descartados.

Exceções

Alguns registros podem ser guardados por mais tempo quando a lei exigir ou para o exercício regular de direitos em processo.

Há dois caminhos, e você pode usar os dois:

• Pelo Instagram. Configurações → Aplicativos e sites → remover o Fluxo. O acesso é revogado na hora e paramos de receber os eventos da sua conta.
• Pelo Fluxo. Desconecte a conta na página Instagram do painel, ou escreva para privacidade@fluxo.app pedindo a exclusão da conta e de todos os dados associados.

Pedidos de exclusão são atendidos em até 15 dias, e confirmamos por e-mail quando terminarmos.

O art. 18 da LGPD garante a você, a qualquer momento:

• Confirmação de que tratamos seus dados e acesso a eles.
• Correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados fora da lei.
• Portabilidade dos dados a outro fornecedor.
• Informação sobre com quem compartilhamos seus dados.
• Informação sobre a possibilidade de não consentir e sobre o que isso acarreta.
• Revogação do consentimento e eliminação dos dados tratados com base nele.
• Revisão de decisões tomadas de forma automatizada.

Para exercer qualquer um deles, escreva para privacidade@fluxo.app. Respondemos em até 15 dias. Se algo não ficar resolvido, você pode apresentar reclamação à ANPD.

Sessão

Cookies do Supabase Auth que mantêm você conectado. Sem eles não existe área logada.

Preferências

O tema claro ou escuro que você escolhe fica no armazenamento local do navegador, no seu aparelho, e não é enviado a lugar nenhum.

Não usamos cookies de publicidade nem rastreadores de terceiros para perfilamento.

O Fluxo é feito para quem administra uma conta profissional no Instagram e não se destina a menores de 18 anos. Não coletamos intencionalmente dados de crianças e adolescentes; identificado um cadastro assim, ele é removido. Se você é responsável e acredita que isso aconteceu, escreva para privacidade@fluxo.app.

Esta política muda quando o serviço muda. A data no topo indica sempre a versão vigente, e alterações relevantes são avisadas por e-mail ou na própria área logada antes de passarem a valer.

Dúvidas sobre privacidade, pedidos de acesso, correção ou exclusão: privacidade@fluxo.app. Esse é também o canal do encarregado pelo tratamento de dados (DPO) de que trata o art. 41 da LGPD.

Controlador: Fluxo.