Para onde vão os dados do seu Instagram quando você conecta uma ferramenta de IA

O cliente manda uma mensagem numa segunda-feira de manhã: "você conectou meu Instagram em quê?". Ele viu uma notícia sobre vazamento em ferramenta de IA e quer saber onde foram parar os dados da conta dele. Você administra o perfil há meses, autorizou a conexão no primeiro dia e, naquele momento, só clicou em "permitir".

A pergunta é legítima e tem resposta objetiva. Conectar um perfil comercial a uma ferramenta externa não é um gesto abstrato: gera uma credencial, move dados para servidores específicos e cria prazos de retenção. Quem administra perfil de terceiro precisa saber dizer tudo isso em voz alta.

O contexto ajuda a entender a desconfiança. A OpenAI confirmou um vazamento de fotos de usuários do ChatGPT, segundo reportagem do Olhar Digital. E a Meta tem feito esforço público para convencer usuários de que pode receber seus dados em sistemas de IA, como registrou o Social Media Today. A pergunta de privacidade deixou de ser detalhe jurídico.

Quem passa a ver seus dados quando você autoriza uma ferramenta externa?

Não é só a empresa dona da ferramenta: é a cadeia de fornecedores que ela usa por trás. Toda ferramenta de IA para redes sociais é montada sobre serviços de terceiros, banco de dados, hospedagem, modelo de linguagem, pagamento, banco de imagens. Cada um desses fornecedores recebe alguma fatia do que você entrega.

É por isso que a pergunta certa não é "vocês são confiáveis?", e sim "quem são seus fornecedores e o que cada um recebe?". Uma resposta útil é uma lista com nomes próprios, não um parágrafo sobre "parceiros selecionados".

Na prática, dá para exigir o mapeamento em quatro colunas: o dado, o fornecedor que o processa, o país onde ele fica e o prazo em que é apagado. Se a ferramenta não consegue preencher essa tabela, você também não consegue responder ao seu cliente.

O que é o token de acesso e por que ele é o item mais sensível da conexão

O token é a credencial que a ferramenta guarda para agir no seu perfil sem pedir sua senha de novo. Quando você clica em "conectar", o Instagram não entrega sua senha: entrega uma chave de acesso com escopo definido. Essa chave fica armazenada na ferramenta.

É o item mais sensível porque é o único que representa capacidade de ação, e não só leitura. Métricas exportadas são um retrato do passado. Um token ativo é uma porta aberta no presente.

Duas perguntas resolvem a maior parte da dúvida: o token é guardado criptografado e em que região do mundo ele fica. Guardar token em texto puro é diferente de guardar token cifrado, e a diferença só aparece no dia do incidente.

Em que país ficam armazenados os dados que a ferramenta guarda

Depende de cada fornecedor da cadeia, e por isso a resposta só serve quando vem discriminada. Hospedagem e banco de dados podem estar em países diferentes dentro do mesmo produto. "Nossos dados estão na nuvem" não responde nada.

A HugYou Labs declara em sua página de privacidade que o banco de dados fica no Brasil, na região de São Paulo, cadastro, briefing, criativos, calendário, métricas em cache e token do Instagram, e que a hospedagem da aplicação, no Railway, fica nos Estados Unidos. A origem das métricas e o destino das publicações, Meta/Instagram, também estão declarados nos Estados Unidos.

Esse é o nível de granularidade que serve como resposta ao cliente. Dado guardado e aplicação hospedada são camadas distintas; misturar as duas é o que produz respostas vagas.

Por quanto tempo uma ferramenta pode guardar seus dados depois que você sai

O prazo tem que estar escrito, com número, antes de você conectar. "Apagamos quando solicitado" é uma promessa sem contorno. Prazo declarado é um compromisso que você pode cobrar.

A página de privacidade da HugYou Labs declara os seguintes prazos: exclusão dos dados em até 30 dias após o encerramento da conta, salvo o que a lei obrigue a guardar; resposta a pedidos previstos na LGPD em até 15 dias; logs mantidos por até 90 dias; roteiro de teleprompter por 60 dias; e registros fiscais por até 5 anos.

Repare que os prazos são diferentes entre si, e isso é o esperado. Log de sistema, conteúdo gerado e nota fiscal têm finalidades distintas. Uma política que promete um prazo único para tudo provavelmente não foi escrita olhando para o produto real.

Quais negativas você deve exigir por escrito antes de conectar

Quatro: não vender dados, não treinar modelos com seu conteúdo, não publicar sem ação sua e não ler mensagens diretas. São negativas porque delimitam o que a ferramenta não faz, e é justamente isso que o cliente quer saber.

A HugYou Labs declara as quatro em sua página de privacidade: não vende os dados, não usa dados nem conteúdo do cliente para treinar modelos de inteligência artificial, não publica nada no Instagram sem que o usuário mande, e não lê mensagens diretas.

A de treinamento costuma ser a mais decisiva para quem trabalha com conteúdo. Se seu criativo e seu briefing alimentam o modelo de alguém, seu diferencial vira insumo de terceiro. Peça a frase literal na política, não uma paráfrase por e-mail.

O que uma página de privacidade precisa ter para servir de resposta ao cliente

Precisa ter nomes de fornecedores, países, prazos com número e negativas explícitas. Esses quatro elementos permitem que você copie e cole a resposta para quem perguntar. Qualquer coisa além disso é redação jurídica defensiva.

Um teste rápido: abra a página de privacidade da ferramenta que você já usa e tente montar a tabela dado → fornecedor → país → prazo. Se você precisar adivinhar qualquer célula, a página não está cumprindo a função.

Outro teste: procure o que a política diz sobre o token especificamente. Muita página fala de "dados pessoais" em geral e nunca menciona a credencial de acesso ao perfil, que é o ponto mais sensível da conexão.

O que você ainda precisa perguntar, mesmo com a política aberta

Três coisas costumam ficar de fora até de políticas detalhadas, e você precisa perguntar por e-mail. Primeiro: quais permissões exatas do Instagram a ferramenta solicita na tela de consentimento, leitura de métricas e publicação são escopos diferentes.

Segundo: se a empresa faz alguma avaliação de segurança dos fornecedores que ela mesma lista. Terceiro: quem, internamente, pode acessar dados de cliente e em que situação isso fica registrado.

Guarde as respostas por escrito. No dia em que o cliente perguntar, a diferença entre uma resposta em cinco minutos e uma semana de apuração é ter esse material salvo.

Onde a HugYou Labs declara isso

A página de privacidade da HugYou Labs lista os fornecedores por nome, Supabase, Railway, Meta/Instagram, Anthropic, Stripe, Pexels e GNews, informa que o banco fica na região de São Paulo e que o token do Instagram é armazenado criptografado em AES-256-GCM. Os prazos de retenção e as quatro negativas estão na mesma página.

O que fazer na segunda-feira de manhã

Abra a lista de aplicativos conectados aos perfis que você administra e escreva os nomes num documento. Para cada um, tente preencher: que dados ele lê, quem hospeda, em que país, por quanto tempo guarda depois do cancelamento.

O que você não conseguir preencher vira uma pergunta por e-mail para o fornecedor, no mesmo dia. O que não tiver resposta em uma semana vira uma decisão: manter conectado sabendo o risco, ou revogar o acesso.

Revogar é barato. Explicar um incidente para o dono do perfil, não.