- Coletamos apenas os dados estritamente necessários para operar a plataforma
- Seus tokens de acesso Meta são usados somente para chamadas de API em seu nome — nunca compartilhados com terceiros
- Você pode revogar o acesso e solicitar a exclusão de todos os seus dados a qualquer momento
- Cumprimos a LGPD (Lei nº 13.709/2018) e as políticas de dados da Meta Platforms
A Pulse Hub Tecnologia LTDA ("nós", "nosso" ou "PulseCopilot"), inscrita no CNPJ 66.214.217/0001-02, valoriza a privacidade dos usuários e está comprometida em proteger os dados pessoais coletados e tratados através de nossa plataforma de automação de marketing para Instagram, Facebook, WhatsApp Business e anúncios do Meta Ads.
Esta Política de Privacidade descreve como coletamos, usamos, armazenamos, compartilhamos e protegemos suas informações em conformidade com a Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018) e demais legislações aplicáveis, incluindo as políticas de dados da Meta Platforms.
Coletamos apenas os dados estritamente necessários para o funcionamento do serviço:
- Dados de conta: nome, e-mail e senha (armazenada com hash bcrypt — nunca em texto simples)
- Tokens de acesso Meta: tokens de longa duração (60 dias) do Facebook/Instagram para realizar chamadas à API em seu nome, mediante autorização OAuth explícita
- Dados da conta Instagram/Facebook: ID da página, ID do Instagram Business, nome de usuário (@handle), foto de perfil pública
- Dados do WhatsApp Business: Phone Number ID, WABA ID, templates aprovados e métricas de entrega
- Mensagens diretas (DMs): conteúdo necessário para exibição no inbox e execução de automações configuradas — mantido enquanto a conta estiver ativa, e removido mediante solicitação de exclusão
- Comentários públicos: texto e metadados para gerenciamento de respostas automáticas
- Métricas de insights: alcance, impressões e engajamento fornecidos pela API oficial do Instagram
- Dados de anúncios (Meta Ads): ao conectar uma conta de anúncios, lemos as contas de anúncio que você seleciona, suas campanhas, conjuntos, anúncios e criativos e as métricas de desempenho (impressões, alcance, cliques, gasto e conversões), e gravamos o que você cria ou altera por aqui (campanhas, orçamentos e status)
- Leads de formulários de anúncios (Lead Ads): nome, telefone, e-mail e demais respostas enviadas por quem preenche o formulário de um anúncio da clínica, que passam a constar no inbox da clínica
- Eventos de conversão: quando a clínica ativa esse recurso, enviamos à Meta eventos como lead e venda, com identificadores (telefone e e-mail) transformados em hash e o identificador de clique do anúncio, para medir e otimizar os anúncios dela
- Dados de acesso: endereço IP, logs de acesso, tipo de navegador, data e hora (para segurança e prevenção de fraudes)
O tratamento de dados fundamenta-se nas seguintes bases legais previstas no Art. 7º da LGPD:
- Execução de contrato: para fornecer os serviços contratados
- Legítimo interesse: para melhorar a plataforma, segurança e análises estatísticas
- Consentimento: para acesso à conta Meta via OAuth — revogável a qualquer momento
- Cumprimento de obrigações legais: quando exigido por lei ou autoridade competente
- Exibir e gerenciar mensagens diretas do Instagram no inbox do PulseCopilot
- Executar automações configuradas pelo usuário (respostas automáticas, follow-ups, envio de templates)
- Publicar conteúdo agendado no Instagram (posts, reels, stories, carrosséis)
- Exibir métricas e relatórios de desempenho das contas conectadas
- Sincronizar e exibir o desempenho das contas de anúncio e, a pedido do usuário, criar, pausar e reativar campanhas no Meta Ads
- Enviar à Meta eventos de conversão configurados pela clínica, para medir e otimizar os anúncios dela
- Renovar automaticamente tokens de acesso antes do vencimento
- Gerenciar campanhas de broadcasting via WhatsApp Business API
- Prestar suporte técnico e atendimento ao cliente
- Prevenir fraudes e garantir a segurança da plataforma
Não vendemos, alugamos ou comercializamos dados pessoais. Compartilhamos informações apenas nas seguintes situações:
- Meta Platforms Inc. (Facebook/Instagram/WhatsApp/Meta Ads): chamadas de API para leitura e publicação de conteúdo, mensagens, gestão de anúncios e envio de eventos de conversão, conforme permissões concedidas pelo usuário via OAuth
- Vercel Inc.: infraestrutura de hospedagem e execução de funções serverless
- Upstash: armazenamento em cache Redis para sessões e dados temporários
- Neon (PostgreSQL): banco de dados persistente para configurações da conta, contas de anúncio e métricas
- OpenAI: processamento do texto das conversas pelo agente de IA, somente quando a clínica ativa esse recurso
- Resend: envio de e-mails transacionais (como a redefinição de senha) e de avisos internos de privacidade
- Asaas: cobrança e pagamento das assinaturas
- Autoridades competentes: quando exigido por lei, ordem judicial ou requisição de órgãos reguladores
Nossos provedores de infraestrutura (Vercel, Upstash, Neon) e a própria Meta Platforms podem estar localizados fora do Brasil. Nestes casos, garantimos que a transferência internacional de dados ocorra em conformidade com a LGPD, adotando salvaguardas adequadas como cláusulas contratuais padrão e mecanismos legais reconhecidos.
- Criptografia de dados em trânsito via HTTPS/TLS em todas as comunicações
- Tokens de acesso armazenados em bancos de dados gerenciados, com acesso restrito às funções do sistema; não aplicamos uma camada própria de criptografia sobre os tokens além da fornecida pela infraestrutura desses provedores
- Validação de todos os webhooks da Meta com assinatura HMAC-SHA256
- Autenticação via sessões com tokens únicos de 256 bits
- Controles de acesso por função e monitoramento contínuo de segurança
- Renovação automática de tokens antes do vencimento para evitar exposição
Em caso de incidente de segurança relevante, comunicaremos à ANPD e aos afetados conforme exigido pela LGPD.
- Dados de conta: durante a vigência e por até 5 anos após o encerramento (obrigações legais e fiscais)
- Histórico de mensagens e DMs: mantido enquanto a conta estiver ativa, porque é o registro de atendimento da clínica e faz parte do prontuário comercial dela; removido mediante solicitação de exclusão
- Rascunhos do agente de IA: o texto gerado e enviado pelo agente é anonimizado após 30 dias, preservando apenas as métricas do atendimento
- Tokens de acesso Meta: substituídos a cada renovação (ciclo de 60 dias)
- Registros de acesso e segurança: até 6 meses
- Dados de anúncios (contas, campanhas e métricas sincronizadas): mantidos enquanto a conta de anúncios estiver conectada e removidos mediante solicitação de exclusão
- Após exclusão solicitada: o pedido é registrado e processado manualmente em até 30 dias, e os dados são removidos, exceto os retidos por obrigação legal. Veja como solicitar e acompanhar
Em conformidade com a LGPD, você tem os seguintes direitos:
- Confirmação da existência de tratamento e acesso aos dados
- Correção de dados incompletos, inexatos ou desatualizados
- Anonimização, bloqueio ou eliminação de dados desnecessários
- Portabilidade dos dados para outro fornecedor de serviço
- Revogação do acesso do PulseCopilot à sua conta Meta (nas configurações do Facebook > Aplicativos e Sites)
- Eliminação de todos os seus dados mediante solicitação por e-mail
Utilizamos cookies e armazenamento local para:
- Manter sua sessão ativa e preferências de uso (tema, configurações)
- Armazenar o token de autenticação localmente para acesso sem novo login
Não utilizamos cookies de rastreamento publicitário. Os eventos de conversão enviados à Meta (seção 13) só acontecem quando a própria clínica ativa esse recurso, para medir os anúncios dela; não vendemos nem cedemos dados a terceiros para fins de marketing próprios.
O PulseCopilot é destinado exclusivamente a pessoas jurídicas e profissionais maiores de 18 anos. Não coletamos intencionalmente dados de menores de idade. Caso identificado tal uso, os dados serão excluídos imediatamente.
Nomeamos um Encarregado de Proteção de Dados para atuar como canal de comunicação entre o PulseCopilot, os titulares de dados e a ANPD.
E-mail DPO: contato@pulsecopilot.com.br
Empresa: Pulse Hub Tecnologia LTDA — CNPJ 66.214.217/0001-02
O PulseCopilot utiliza exclusivamente as APIs oficiais da Meta Platforms Inc. para integração com Instagram, Facebook, WhatsApp Business e Meta Ads. Ao conectar sua conta, você autoriza o PulseCopilot a acessar apenas as permissões explicitamente concedidas via fluxo OAuth.
Meta Ads (API de Marketing). Com as permissões ads_read e ads_management, o PulseCopilot lê o desempenho (impressões, alcance, cliques, gasto e conversões) e, quando você pede, cria, pausa ou reativa campanhas nas contas de anúncio que você escolhe dentro do PulseCopilot — inclusive contas de clínicas que você administra em nome delas. Usamos esses dados apenas para prestar o serviço a você: não os vendemos e não os usamos para outra finalidade.
Você pode revogar esse acesso a qualquer momento em facebook.com > Configurações > Aplicativos e Sites. Ao revogar, a Meta nos notifica e removemos os tokens de acesso daquela conta do Facebook e interrompemos o recebimento de mensagens de Instagram e Messenger vinculadas a ela. Os demais dados são excluídos mediante pedido, em até 30 dias — veja como solicitar a exclusão dos seus dados.
Podemos atualizar esta Política periodicamente. Alterações importantes serão notificadas por aviso na plataforma ou por e-mail, com pelo menos 15 dias de antecedência. A versão atualizada será sempre publicada nesta página.
Esta Política é regida pelas leis da República Federativa do Brasil, em especial pela Lei Geral de Proteção de Dados (Lei nº 13.709/2018). Fica eleito o foro da comarca da sede da Pulse Hub Tecnologia LTDA para dirimir quaisquer controvérsias, com renúncia expressa a qualquer outro foro.
- We collect only data strictly necessary to operate the platform
- Your Meta access tokens are used only for API calls on your behalf — never shared with third parties
- You can revoke access and request deletion of all your data at any time
- We comply with Brazil's LGPD (Law No. 13,709/2018) and Meta Platforms data policies
Pulse Hub Tecnologia LTDA ("we", "our" or "PulseCopilot"), CNPJ 66.214.217/0001-02, is committed to protecting the personal data collected and processed through our Instagram, Facebook, WhatsApp Business and Meta Ads marketing automation platform.
This Privacy Policy describes how we collect, use, store, share, and protect your information in compliance with Brazil's General Data Protection Law (LGPD — Law No. 13,709/2018) and applicable Meta Platforms data policies.
- Account data: name, email, and password (stored as bcrypt hash — never plain text)
- Meta access tokens: 60-day long-lived tokens from Facebook/Instagram to make API calls on your behalf, following explicit OAuth authorization
- Instagram/Facebook account data: Page ID, Instagram Business ID, username (@handle), public profile picture
- WhatsApp Business data: Phone Number ID, WABA ID, approved templates, and delivery metrics
- Direct messages (DMs): content required for inbox display and automation execution — retained while the account is active, and removed upon deletion request
- Public comments: text and metadata for automated reply management
- Insights metrics: reach, impressions, and engagement data from the official Instagram API
- Ads data (Meta Ads): when you connect an ad account, we read the ad accounts you select, their campaigns, ad sets, ads and creatives, and performance metrics (impressions, reach, clicks, spend and conversions), and we store what you create or change here (campaigns, budgets and status)
- Lead Ads form data: name, phone, email and other answers submitted by people who fill in a clinic's ad form, which then appear in the clinic's inbox
- Conversion events: when the clinic turns this feature on, we send Meta events such as lead and sale, with identifiers (phone and email) hashed and the ad click identifier, to measure and optimize the clinic's ads
- Access data: IP address, access logs, browser type, date and time (for security and fraud prevention)
- Contract performance: to provide the contracted services
- Legitimate interest: to improve the platform, security, and statistical analysis
- Consent: for Meta account access via OAuth — revocable at any time
- Legal obligation: when required by law or competent authority
- Display and manage Instagram direct messages in the PulseCopilot inbox
- Execute user-configured automations (auto-replies, follow-ups, template messages)
- Publish scheduled content on Instagram (posts, reels, stories, carousels)
- Display performance metrics and reports for connected accounts
- Sync and display ad account performance and, at the user's request, create, pause and resume Meta Ads campaigns
- Send Meta the conversion events the clinic configures, to measure and optimize its ads
- Automatically renew access tokens before expiration
- Manage WhatsApp Business API broadcasting campaigns
- Provide technical support and customer service
- Prevent fraud and ensure platform security
We do not sell, rent, or commercialize personal data. We share information only in the following situations:
- Meta Platforms Inc. (Facebook/Instagram/WhatsApp/Meta Ads): API calls for reading and publishing content, messages, ad management and conversion events, as authorized by the user via OAuth
- Vercel Inc.: hosting infrastructure and serverless function execution
- Upstash: Redis cache for sessions and temporary data
- Neon (PostgreSQL): persistent database for account configurations, ad accounts and metrics
- OpenAI: processing of conversation text by the AI agent, only when the clinic turns this feature on
- Resend: transactional email (such as password reset) and internal privacy notices
- Asaas: subscription billing and payments
- Competent authorities: when required by law or court order
Our infrastructure providers (Vercel, Upstash, Neon) and Meta Platforms may be located outside Brazil. We ensure international data transfers comply with the LGPD through appropriate safeguards such as standard contractual clauses and recognized legal mechanisms.
- HTTPS/TLS encryption for all communications
- Access tokens stored in managed databases with access restricted to system functions; we do not apply our own layer of encryption to the tokens beyond what those providers' infrastructure offers
- All Meta webhooks validated with HMAC-SHA256 signature
- Authentication via sessions with 256-bit unique tokens
- Role-based access controls and continuous security monitoring
- Automatic token renewal before expiration to prevent exposure
In the event of a relevant security incident, we will notify the ANPD and affected parties as required by the LGPD.
- Account data: while active and up to 5 years after termination (legal and fiscal obligations)
- Message history and DMs: retained while the account is active, as it is the clinic service record; removed upon deletion request
- AI agent drafts: text generated and sent by the agent is anonymized after 30 days, preserving only the interaction metrics
- Meta access tokens: replaced at each renewal (60-day cycle)
- Access and security logs: up to 6 months
- Ads data (synced accounts, campaigns and metrics): kept while the ad account is connected and removed upon deletion request
- After deletion request: the request is logged and processed manually within 30 days, and the data is removed, except data retained for legal obligations. See how to request and track it
- Confirmation of data processing and access to your data
- Correction of incomplete, inaccurate, or outdated data
- Deletion of unnecessary or unlawfully processed data
- Data portability to another service provider
- Revocation of PulseCopilot's access to your Meta account (Facebook Settings > Apps and Websites)
- Deletion of all your data upon request by email
We use cookies and local storage to:
- Maintain your active session and usage preferences (theme, settings)
- Store the authentication token locally for access without re-login
We do not use advertising tracking cookies. The conversion events sent to Meta (section 13) happen only when the clinic itself turns this feature on, to measure its own ads; we do not sell or give data to third parties for our own marketing purposes.
PulseCopilot is exclusively for legal entities and professionals over 18 years of age. We do not intentionally collect data from minors. If such use is identified, the data will be immediately deleted.
We have appointed a Data Protection Officer to act as a communication channel between PulseCopilot, data subjects, and the ANPD.
DPO Email: contato@pulsecopilot.com.br
Company: Pulse Hub Tecnologia LTDA — CNPJ 66.214.217/0001-02
PulseCopilot uses only the official Meta Platforms Inc. APIs for Instagram, Facebook, WhatsApp Business and Meta Ads integration. By connecting your account, you authorize PulseCopilot to access only the permissions explicitly granted via the OAuth flow.
Meta Ads (Marketing API). With the ads_read and ads_management permissions, PulseCopilot reads performance (impressions, reach, clicks, spend and conversions) and, when you ask, creates, pauses or resumes campaigns in the ad accounts you choose inside PulseCopilot — including accounts of clinics that you manage on their behalf. We use this data only to provide the service to you: we do not sell it and do not use it for any other purpose.
You can revoke this access at any time at facebook.com > Settings > Apps and Websites. Upon revocation, Meta notifies us and we remove the access tokens of that Facebook account and stop receiving Instagram and Messenger messages linked to it. The remaining data is deleted upon request, within 30 days — see how to request deletion of your data.
We may update this Policy periodically. Material changes will be notified by platform notice or email, with at least 15 days' advance notice. The updated version will always be published on this page.
This Policy is governed by the laws of the Federative Republic of Brazil, in particular the General Data Protection Law (Law No. 13,709/2018). The jurisdiction of the district where Pulse Hub Tecnologia LTDA is headquartered is elected to resolve any disputes.