Conectar seu Instagram a uma ferramenta de IA: onde seus dados ficam e o que nunca é feito com eles

Sexta-feira, fim do dia. A tela de autorização da Meta está aberta, com o nome de uma ferramenta que você acabou de contratar pedindo acesso à conta do Instagram do seu cliente. Não é a sua conta. É a conta de alguém que confiou o perfil a você.

O dedo para no botão. A pergunta que aparece nesse segundo é sempre a mesma: depois que eu clicar aqui, o que exatamente essa empresa consegue ver, guardar e fazer?

Esta página responde isso em linguagem direta, com o que está declarado publicamente, e diz também o que ainda não está.

Onde os seus dados ficam depois que você autoriza o acesso ao perfil

O banco de dados fica no Brasil, na região de São Paulo. Segundo a política de privacidade publicada, cadastro, briefing, criativos, calendário, métricas em cache e o token do Instagram ficam armazenados nessa região e não saem do país.

O token do Instagram, a credencial que permite a uma ferramenta acessar a API da Meta em nome da sua conta, é armazenado criptografado em AES-256-GCM. Criptografia aqui significa que a credencial não fica gravada em texto legível no banco.

A hospedagem da aplicação, ou seja, o servidor que roda o software, está declarada nos Estados Unidos, via Railway. Dado armazenado e aplicação rodando são coisas diferentes, e vale saber disso antes de perguntar "os dados ficam no Brasil?" e ouvir só um lado da resposta.

Quais empresas participam da operação e para que servem

Sete fornecedores estão declarados na política, cada um com uma função específica. Nenhuma ferramenta de IA opera sozinha, e a lista aberta é o que permite conferir isso.

• Supabase, banco de dados, login e armazenamento das artes, no Brasil (São Paulo).
• Railway, hospedagem da aplicação, nos Estados Unidos.
• Meta (Instagram), origem das métricas e destino das publicações, nos Estados Unidos.
• Anthropic, geração de texto por IA.
• Stripe, pagamento.
• Pexels, fotos.
• GNews, notícias.

Quando uma ferramenta não publica essa lista, você não tem como saber por quantas mãos o conteúdo do seu cliente passa. Quando publica, você consegue checar cada nome por conta própria.

O que nunca é feito com o seu conteúdo

Quatro compromissos estão escritos de forma literal na política de privacidade:

1. Os seus dados não são vendidos.
2. Os seus dados e o seu conteúdo não são usados para treinar modelos de inteligência artificial.
3. Nada é publicado no seu Instagram sem que você mande, publicação e agendamento partem de uma ação sua.
4. Mensagens diretas não são lidas.

Esses quatro itens são checáveis: estão publicados em texto, não em atendimento. Se uma ferramenta afirma algo parecido apenas por e-mail ou no chat de suporte, você não tem documento nenhum para cobrar depois.

Em quanto tempo tudo é apagado se você encerrar a conta

Até 30 dias após a exclusão da conta, ressalvado o que a lei obrigue a guardar. Os outros prazos declarados são:

• pedidos com base na LGPD: resposta em até 15 dias;
• logs do sistema: até 90 dias;
• roteiro de teleprompter: 60 dias;
• registros fiscais: até 5 anos.

Prazo de exclusão sem prazo escrito é promessa. Prazo com número publicado é algo que você pode cobrar por escrito no dia em que cancelar.

Como avaliar qualquer ferramenta antes de clicar em "autorizar"

Leia a política de privacidade procurando quatro coisas concretas: país onde o banco fica, lista nominal de fornecedores, frases negativas explícitas (o que não é feito) e prazos em dias. Se qualquer um dos quatro estiver ausente, a dúvida não é sua, é da ferramenta.

Aplique o mesmo teste antes de conectar contas de terceiros. Quem administra o perfil de um cliente responde por essa autorização, e a política publicada é o único documento que você pode mostrar para ele.

O que esta página ainda não responde

Quatro pontos não estão publicados e, por isso, não são afirmados aqui:

• se existe registro de auditoria dos acessos feitos ao perfil conectado e uma política de resposta a incidentes publicável;
• quais escopos de permissão são solicitados exatamente na conexão com a API da Meta;
• se o conteúdo enviado ao fornecedor de geração de texto é retido por ele e por quanto tempo;
• nome do encarregado de dados (DPO) e canal formal para pedidos com base na LGPD.

Essas lacunas ficam registradas até que exista resposta documentada para cada uma. Cobrar esses quatro itens de qualquer fornecedor, inclusive deste, é legítimo.

Onde ler as declarações completas

Todos os pontos citados acima estão na política de privacidade da HugYou Labs, com a lista de fornecedores, os prazos e as frases negativas no texto original. Leia antes de autorizar, não depois.

O que você decide antes de clicar em autorizar

Abra a política da ferramenta que está na sua tela agora e procure por país, fornecedores, frases negativas e prazos em dias. Copie os trechos que encontrar e guarde num documento junto com a data da autorização.

Se faltar algum dos quatro, escreva ao suporte pedindo por escrito, e não conecte a conta do cliente enquanto a resposta não chegar. Autorização é fácil de dar e difícil de reconstruir depois; o registro do que foi prometido é o que sobra para você quando algo dá errado.