Âmbito e responsável pelo tratamento
Esta política abrange a área pública TagLyght, as contas de marcas e criadores, os espaços de trabalho, as aplicações web e híbridas e os pedidos dirigidos à API. Abrange também os dados recebidos quando um utilizador liga uma conta social ou um método de autenticação externo.
A TagLyght é um produto da Advance Coding Experts. Os pedidos relacionados com privacidade podem ser submetidos através do formulário público de contacto, indicando no assunto que se trata de um pedido de privacidade.
Dados tratados pela plataforma
- Conta e identidade: nome de utilizador, nome completo, email, telefone, fotografia de perfil, género, data de nascimento, funções, permissões, confirmações de contacto e credenciais protegidas.
- Sessões e segurança: identificadores de sessão, endereço IP, informação do dispositivo, plataforma, versão da aplicação, idioma, autenticação multifator, WebAuthn, registos de acesso e eventos de segurança.
- Marcas, empresas e criadores: dados de perfil, equipa, identidade visual, website, setor, portefólio, pacotes, audiências, preferências e informação pública associada ao perfil.
- Conteúdos e campanhas: textos, prompts, imagens, vídeos, voz, ficheiros, URLs, produtos, calendários, comentários, aprovações, métricas, briefings e conteúdos importados por CSV ou loja.
- Canais sociais: fornecedor, identificadores da conta/página, metadados autorizados, tokens OAuth protegidos, estado da ligação, publicações, resultados e métricas devolvidos pelo canal.
- Comunidade e colaborações: pesquisas, propostas, mensagens, convites, entregáveis, direitos de utilização, estados e referências de pagamento e histórico operacional.
- Dados técnicos: erros, desempenho, telemetria, pedidos HTTP, notificações push e interações necessárias para operar e proteger o serviço.
O formulário público de contacto envia nome, email, assunto e mensagem para a API TagLyght, exclusivamente para registar e responder ao pedido. Não devem ser incluídas palavras-passe, tokens ou outros dados sensíveis na mensagem.
Dados de utilizador Google e Serviços da API do YouTube
A TagLyght utiliza os Serviços da API do YouTube apenas depois de o utilizador escolher ligar um canal YouTube e conceder as permissões pedidas. A TagLyght acede, recolhe e conserva o identificador e o título do canal; os âmbitos OAuth autorizados e os tokens de acesso e de atualização protegidos; estatísticas agregadas do canal, como número de subscritores, vídeos e visualizações; e dados agregados de audiência do YouTube Analytics por grupo etário, género e país, incluindo percentagens de espectadores e visualizações. Para uma publicação, trata ainda o ficheiro de vídeo, título, descrição, etiquetas e visibilidade privada fornecidos ou aprovados pelo utilizador. A TagLyght nunca recebe nem armazena a palavra-passe Google.
Estes dados Google são utilizados exclusivamente para identificar e apresentar o canal escolhido, manter a ligação autorizada, carregar um vídeo privado após uma ação de publicação expressa ou agendada pelo utilizador, apresentar métricas do canal e da audiência, renovar a autorização e diagnosticar falhas de ligação ou publicação. Não são vendidos nem utilizados para publicidade, vigilância ou definição de perfis sem relação com estas funcionalidades.
A TagLyght envia à Google/YouTube o vídeo, os metadados aprovados e os pedidos de API necessários para executar a ação solicitada. Os membros autorizados do mesmo espaço de trabalho podem ver o canal ligado, o conteúdo aprovado e as métricas resultantes de acordo com as respetivas permissões. Os fornecedores contratados de alojamento, base de dados, cópias de segurança, segurança e observabilidade podem tratar apenas os dados mínimos necessários enquanto prestadores de serviços. Os dados Google não são divulgados a intermediários de dados, anunciantes ou outros terceiros não aprovados.
Os dados Google são protegidos em trânsito através de HTTPS/TLS. Os tokens de acesso e de atualização OAuth são protegidos ao nível da aplicação antes do armazenamento. A autorização no servidor, o isolamento por proprietário e espaço de trabalho, as permissões por função, o acesso operacional restrito e a monitorização de segurança destinam-se a impedir acesso, utilização ou divulgação não autorizados.
Os tokens OAuth são conservados apenas enquanto o canal YouTube permanecer ligado e são eliminados da TagLyght quando a ligação é removida. Os dados da API do YouTube mantidos para insights ativos são atualizados e a autorização é revalidada regularmente e, pelo menos, a cada 30 dias. Após revogação, eliminação da conta ou pedido de eliminação verificado, os Dados Autorizados Google/YouTube são eliminados ou anonimizados logo que possível e, no máximo, no prazo de 7 dias de calendário. Eventuais registos cuja conservação seja legalmente obrigatória são mantidos separadamente e não contêm Dados Autorizados do YouTube. Eliminar dados da TagLyght não elimina dados conservados pelo YouTube; esses dados devem ser geridos no YouTube.
Finalidades e fundamentos legais
| Finalidade | Dados típicos | Fundamento |
|---|---|---|
| Criar conta, autenticar e manter sessões | Identidade, contactos e segurança | Execução de contrato ou diligências pré-contratuais |
| Operar conteúdos, campanhas, canais e colaborações | Perfis, conteúdo, integrações e atividade | Execução de contrato |
| Prevenir abuso, proteger contas e diagnosticar falhas | IP, dispositivo, logs, erros e sessões | Interesse legítimo e/ou obrigação legal |
| Enviar comunicações pedidas e notificações operacionais | Email, telefone, push e preferências | Contrato, pedido do titular ou consentimento, conforme a mensagem |
| Analytics ou marketing opcional no browser | Identificadores e eventos, se ativados | Consentimento prévio |
Destinatários, fornecedores e integrações
A plataforma integra as categorias de serviços abaixo conforme a funcionalidade e a configuração ativas.
- Infraestrutura: SQL Server, Redis e Hangfire; o operador de alojamento e as localizações não estão identificados no repositório.
- Observabilidade: Microsoft Application Insights no cliente quando configurado, Sentry e OpenTelemetry no servidor/cliente.
- IA e geração: Google Gemini, OpenAI e Azure AI/OpenAI, selecionados pela configuração e pela funcionalidade utilizada.
- Autenticação externa: Google, GitHub, X/Twitter, Apple e Facebook, apenas quando configurados e escolhidos pelo utilizador.
- Canais sociais: integrações e publicação para Instagram/Meta, Facebook, TikTok, LinkedIn e YouTube/Google, conforme a conta que o utilizador decide ligar.
- Comunicações: email/SMTP e notificações push (incluindo APNS e Web Push/VAPID) quando configurados.
- Pagamentos e faturação: Stripe para subscrições, pagamentos e portal de faturação; SAP Business One para documentos fiscais quando o respetivo provider está ativo.
Dados também podem ser visíveis a membros autorizados da mesma empresa, marca ou colaboração, de acordo com funções e permissões. Cada fornecedor recebe apenas os dados necessários à operação solicitada.
Transferências internacionais
Alguns fornecedores podem tratar dados fora do Espaço Económico Europeu. Quando aplicável, são utilizados os mecanismos de transferência reconhecidos pela legislação aplicável e medidas adequadas à natureza dos dados e do serviço.
Prazos de conservação
Contas, conteúdos, canais, campanhas, colaborações e registos operacionais são conservados enquanto a conta ou relação contratual estiver ativa e pelo período adicional necessário para segurança, suporte, cumprimento de obrigações legais e defesa de direitos. Tokens, sessões e ligações temporárias têm expirações técnicas próprias.
Segurança
Foram identificados controlos como autorização no servidor, isolamento por proprietário, tokens protegidos, cookies de autenticação com atributos de segurança, rotação de refresh tokens, sessões revogáveis, autenticação multifator, WebAuthn, limitação de pedidos e registo de eventos. Nenhuma medida elimina todo o risco.
Direitos dos titulares
Conforme a legislação aplicável e as respetivas condições, o titular pode pedir acesso, retificação, apagamento, limitação, portabilidade, oposição e retirada do consentimento. Pode ainda contestar decisões exclusivamente automatizadas, caso venham a existir com efeitos jurídicos ou significativos.
Retirar o consentimento não afeta a licitude do tratamento anterior. Certos pedidos podem exigir verificação de identidade e alguns dados podem ter de ser mantidos por obrigação legal ou para defesa de direitos.
Menores
A TagLyght destina-se a utilização profissional por pessoas com capacidade legal para criar uma conta ou representar uma organização. Não devem ser criadas contas em nome de menores sem a autorização e os requisitos exigidos pela legislação aplicável.
Contactos e reclamações
Os pedidos de privacidade podem ser submetidos através do formulário de contacto público da TagLyght. Para proteger o titular, pode ser necessária a confirmação da identidade antes de executar o pedido. O titular mantém o direito de apresentar reclamação à autoridade de controlo competente.