Última atualização: julho de 2026 · Versão 1.1
Este Acordo de Processamento de Dados ("DPA") complementa os Termos de Serviço do Instagram AutoReply e estabelece as condições sob as quais o Operador (Instagram AutoReply) processa dados pessoais em nome do Controlador (cliente/usuário do serviço), em conformidade com a Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018) e o Regulamento Geral de Proteção de Dados da União Europeia (GDPR — Regulamento UE 2016/679).
O Operador processa os seguintes dados pessoais por conta do Controlador:
| Categoria | Dados | Finalidade | Retenção |
|---|---|---|---|
| Identificadores de comentário | ID público do comentário no Instagram | Deduplicação de eventos | 48 horas |
| Identificadores de usuário | ID público do usuário Instagram (scoped user ID) | Cooldown, opt-out, deduplicação, métricas de envio/clique | Anonimizado após 90 dias (retenção padrão) em métricas; mantido enquanto ativo no opt-out |
| Conteúdo de comentário | Texto do comentário/DM | Matching de palavras-chave para disparo de regras; quando o recurso de IA está habilitado pelo Controlador, o texto (até 500 caracteres) é transmitido ao subprocessador de IA (Anthropic) para classificação de intenção ou geração da mensagem, sem armazenamento pela aplicação | Não armazenado após processamento |
| Primeiro nome | Nome público do perfil Instagram (campo name) |
Personalização da mensagem com {nome}; quando o recurso de IA está habilitado pelo Controlador, o primeiro nome é transmitido ao subprocessador de IA (Anthropic) para geração da mensagem, sem armazenamento pela aplicação |
Cache de 1 hora, sem persistência permanente |
| Etiquetas de segmentação (tags de lead) | Tag definida pelo Controlador, associada ao ID público do usuário Instagram | Organização dos contatos do Controlador (CRM próprio) | Linha apagada integralmente após o período de retenção (90 dias por padrão) e na eliminação a pedido do Titular |
| Credenciais do Controlador | Token OAuth do Instagram Business do Controlador | Autenticação para envio de DMs e respostas em nome do Controlador | Enquanto a conta estiver ativa; excluído no logout ou revogação |
O processamento dos dados dos Titulares é realizado com base no legítimo interesse do Controlador (art. 7º, IX, LGPD; art. 6º(1)(f), GDPR) para fins de automatização de resposta a interações voluntárias dos Titulares em publicações públicas do Instagram. O Controlador é responsável por garantir que seu uso do serviço esteja em conformidade com as bases legais aplicáveis à sua atividade.
O Instagram AutoReply compromete-se a:
O Controlador declara e garante que:
O Operador utiliza os seguintes subprocessadores para fornecimento do serviço:
| Subprocessador | Finalidade | Localização |
|---|---|---|
| Meta Platforms, Inc. | API do Instagram (recebimento de webhooks, envio de DMs) | EUA |
| Hetzner / Kubernetes (infraestrutura) | Hospedagem da aplicação e banco de dados | Europa/Brasil |
| Stripe, Inc. | Processamento de pagamentos (dados de cobrança, não dados de Titulares) | EUA |
| Resend | E-mail transacional (alertas de serviço, quando há e-mail) | EUA |
| Sentry | Monitoramento de erros (quando ativo) | EUA |
| Anthropic PBC | Provedor de IA — classificação de intenção e geração de mensagem; recebe o texto do comentário/DM (até 500 caracteres) e o primeiro nome do Titular apenas quando o recurso de IA está habilitado pelo Controlador; conteúdo não armazenado pela aplicação nem usado para treinamento de modelos, conforme os termos comerciais da Anthropic | EUA |
A lista de subprocessadores pode ser atualizada mediante notificação ao Controlador com pelo menos 15 dias de antecedência, durante os quais o Controlador pode contestar a mudança.
O serviço opera via API da Meta, sediada nos EUA. Além disso, quando o recurso de IA está habilitado pelo Controlador, o texto do comentário/DM e o primeiro nome do Titular são transmitidos à Anthropic PBC, também nos EUA. Para clientes sujeitos ao GDPR, as transferências à Meta são baseadas nas Cláusulas Contratuais Padrão (SCCs) da Comissão Europeia; para a Anthropic, o instrumento de transferência (SCCs) está em formalização. Para fins de LGPD, as transferências ocorrem com base em garantias contratuais adequadas ou no necessário uso do serviço pelo Controlador.
As medidas de segurança implementadas incluem:
O Controlador pode solicitar ao Operador assistência para atender direitos dos Titulares (acesso, correção, exclusão, portabilidade). Solicitações devem ser enviadas para suporte.autoreply@gmail.com com identificação do Controlador e do Titular. O Operador responderá em até 15 dias úteis.
Os Titulares podem exercer opt-out imediato enviando PARE, STOP ou equivalente por mensagem direta para a conta do Controlador — o sistema processa automaticamente.
dm_events, link_clicks, scheduled_dms): anonimizado automaticamente após o período de retenção (90 dias por padrão, configurável via DATA_RETENTION_DAYS), preservando contadores agregados sem identificar o Titular.sender_id) pelo suporte/Controlador, nos termos da LGPD art. 18 e do GDPR art. 17.O Controlador pode solicitar, uma vez por ano e com aviso prévio de 30 dias, evidências documentais de conformidade deste DPA (ex: políticas de segurança, logs de acesso anonimizados). Auditorias in-loco estão disponíveis apenas para clientes Enterprise.
Este DPA entra em vigor na data de aceite dos Termos de Serviço e permanece válido enquanto o Controlador utilizar o serviço. Em caso de rescisão, o Operador excluirá todos os dados do Controlador em até 30 dias, salvo obrigação legal de retenção.
Para questões relacionadas a proteção de dados, entre em contato com: suporte.autoreply@gmail.com