Privacidade do aplicativo

Do que esta página trata

Esta é a política do aplicativo que o Grupo Bravum usa para automatizar o atendimento de contas profissionais do Instagram dos nossos clientes. Ela vale para os dados que o aplicativo acessa nessas contas.

Ela não trata do site. O que acontece com os seus dados quando você navega em bravum.group está na nossa política de privacidade do site, em bravum.group/politica-de-privacidade.

Duas pessoas diferentes são afetadas pelo que está aqui: o cliente, que é o médico ou a clínica dona da conta conectada, e a pessoa que comenta numa publicação dessa conta. Os dois estão descritos abaixo, em separado.

Quem responde pelos dados

O Grupo Bravum é quem opera o aplicativo, com sede em Recife, Pernambuco. Em relação aos dados dos pacientes e seguidores do cliente, o cliente é o controlador e o Grupo Bravum é o operador, na definição do artigo 5º, VI e VII, da Lei Geral de Proteção de Dados (Lei 13.709/2018). Em bom português: a conta é dele, a decisão é dele, e a gente executa.

Para qualquer assunto desta política, o canal é o e-mail thiago@bravum.group. Para pedido formal, prefira o e-mail: ele deixa registro do que foi pedido e de quando.

O que o aplicativo acessa

Quando o cliente autoriza o aplicativo, concedemos a nós mesmos três permissões, e nenhuma além delas: ler os dados básicos da conta profissional (nome de usuário, identificador e foto de perfil), ler e responder comentários nas publicações dessa conta, e ler e enviar mensagens diretas dessa conta.

Na prática, o aplicativo usa isso para uma coisa só: perceber que alguém comentou uma palavra combinada numa publicação e responder a essa pessoa com uma mensagem privada contendo o link do material prometido.

O aplicativo não acessa a conta pessoal do cliente, não acessa mensagens de outras contas e não acessa nada de quem não interagiu com a publicação.

O que o aplicativo não faz — e isso é o ponto

Não pergunta sintoma, queixa, diagnóstico, medicação nem histórico de saúde. Em nenhuma mensagem, em nenhuma etapa. Dado de saúde é dado sensível no artigo 11 da LGPD, e a nossa decisão de projeto é não coletar nenhum: a mensagem automática entrega um link e encerra. Se a conversa precisa avançar, ela avança com uma pessoa da equipe do cliente, pelo canal que o cliente já usa.

Não envia mensagem para quem não falou primeiro. A regra vem da própria Meta e a gente concorda com ela: só existe mensagem automática para quem comentou, e só uma por comentário.

Não publica, não apaga e não edita nada na conta do cliente por conta própria.

Não vende dado, não aluga lista, não usa o que leu para montar público de anúncio e não repassa contato para terceiro fazer oferta.

Se você comentou numa publicação e recebeu uma mensagem

Você comentou em público numa publicação, e a mensagem que chegou é a resposta a esse comentário. O que ficou registrado do seu lado é o mínimo para isso funcionar e não se repetir: o seu nome de usuário, o identificador do comentário, a data e a palavra que disparou a resposta.

O conteúdo da conversa em si fica no Instagram, sob a política de privacidade da Meta, como qualquer outra conversa que você tenha por lá.

A base legal é o legítimo interesse (artigo 7º, IX, da LGPD): responder a quem procurou o perfil por vontade própria. Você pode se opor a qualquer momento — basta responder pedindo para não receber mais, ou escrever para o e-mail no fim desta página.

Se você não quer mais nem o registro, peça a exclusão. A seção de exclusão explica como, e a gente apaga sem perguntar o motivo.

Se você é o cliente que conectou a conta

Guardamos o identificador da sua conta profissional, o nome de usuário e o token de acesso que a Meta emite — este último cifrado, usado só para o aplicativo agir em nome da conta e renovado periodicamente, como a Meta exige.

Guardamos também a configuração que você definiu: quais palavras disparam resposta e qual mensagem é enviada.

A base legal é a execução do contrato de prestação de serviço entre nós (artigo 7º, V, da LGPD).

Você pode desconectar o aplicativo a qualquer momento, sem falar com a gente: no Instagram, em Configurações, Apps e sites, removendo o acesso do aplicativo. A partir daí ele para de agir na sua conta no mesmo instante.

Com quem os dados são compartilhados

Meta Platforms — é de lá que os dados vêm e é para lá que as mensagens vão. Tudo que o aplicativo faz acontece dentro do Instagram.

Fornecedores de infraestrutura que hospedam o nosso sistema e o banco de dados onde ficam a configuração e o registro dos disparos, com acesso restrito à equipe que opera a conta do cliente.

Esses fornecedores operam servidores fora do Brasil, o que caracteriza transferência internacional, feita nos termos do artigo 33 da LGPD e das cláusulas contratuais de cada um.

Fora isso, ninguém.

Por quanto tempo guardamos

O registro de um disparo — nome de usuário, identificador do comentário, data e palavra-chave — fica por até 24 meses e depois é apagado. Ele existe para não mandar a mesma mensagem duas vezes para a mesma pessoa e para o cliente saber quantas respostas foram enviadas.

A configuração e o token da conta do cliente ficam enquanto durar o contrato. Encerrado o contrato, ou desconectado o aplicativo, o token é revogado e apagado, e a configuração é eliminada em até 30 dias.

Como pedir a exclusão dos seus dados

Escreva para thiago@bravum.group dizendo o seu nome de usuário do Instagram e que quer a exclusão. A gente apaga o registro associado a ele e confirma por e-mail, em até 15 dias contados do recebimento. Não cobramos nada e não precisamos saber o motivo.

Se você é o cliente, remover o aplicativo em Configurações, Apps e sites no Instagram já revoga o acesso na hora. A eliminação do que ficou guardado do lado de cá acontece em até 30 dias, e você pode pedir por e-mail que seja imediata.

Vale registrar o limite: o que está dentro do Instagram — os comentários e as conversas — é apagado por lá, pelas ferramentas da própria Meta, porque aquele conteúdo é da plataforma e não nosso.

Os seus direitos, e como exercê-los

O artigo 18 da LGPD garante a você: confirmação de que tratamos seus dados; acesso a eles; correção do que estiver incompleto ou errado; anonimização, bloqueio ou eliminação do que for desnecessário ou excessivo; portabilidade; informação sobre com quem compartilhamos; e revogação do consentimento.

Para exercer qualquer um deles, escreva para thiago@bravum.group. Respondemos em até 15 dias.

Se a nossa resposta não resolver, você pode registrar reclamação na Autoridade Nacional de Proteção de Dados (ANPD), pelo site gov.br/anpd.

Publicidade médica

Toda mensagem automática enviada por conta de cliente médico segue a Resolução CFM 2.336/2023: sem promessa de resultado, sem imagem de antes e depois, sem sensacionalismo e sem qualquer forma de captação de paciente vedada pela norma. A responsabilidade pelo conteúdo é do médico que assina o perfil, e a revisão do texto acontece antes de qualquer automação entrar no ar.

Segurança e alterações desta política

Os tokens de acesso são guardados cifrados e nunca aparecem em tela, em log ou em código-fonte. O acesso ao banco é restrito a quem opera o sistema.

Quando o aplicativo passar a pedir uma permissão nova, ou a fazer algo que não está descrito aqui, esta página muda antes — não depois. A data de atualização no topo muda junto, e alteração relevante é comunicada ao cliente pelo canal em que a gente já conversa.