Política de Privacidade

Esta Política de Privacidade descreve como a Huios Soluções Digitais LTDA, inscrita no CNPJ sob o nº 66.743.876/0001-36 (doravante "Huios", "boraADS", "nós"), coleta, utiliza, armazena e compartilha dados pessoais e dados de contas de publicidade dos usuários da plataforma boraADS (acessível em app.boraads.com.br).

Operamos em conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, "LGPD") e seguimos as obrigações aplicáveis às ferramentas de terceiros que se integram à Google Ads API.

1. Controlador e encarregado

O controlador dos dados pessoais é a Huios Soluções Digitais LTDA, com sede no Brasil, CNPJ 66.743.876/0001-36. Para exercer direitos ou tirar dúvidas sobre esta política, entre em contato com o nosso Encarregado pelo Tratamento de Dados (DPO), Guilherme dos Santos Fernandes, pelo e-mail dpo@boraads.com.br.

2. Que dados coletamos

2.1. Dados que você fornece diretamente

• Dados de cadastro: nome, e-mail, senha (armazenada com hash bcrypt), nome da organização e CPF/CNPJ usado para emissão de nota fiscal.
• Dados de pagamento: processados via Asaas Pagamentos S.A. — nós não armazenamos número de cartão. Mantemos apenas referência ao identificador da assinatura.
• Comunicações: conteúdo de mensagens enviadas ao suporte por e-mail ou formulário.

2.2. Dados de contas Google Ads conectadas via OAuth

Ao conectar uma conta Google Ads, você nos autoriza, por meio do fluxo oficial OAuth 2.0 da Google, a acessar os seguintes recursos por meio da Google Ads API com o escopo https://www.googleapis.com/auth/adwords:

• Estrutura da conta: campanhas, grupos de anúncios, anúncios, palavras-chave, extensões e configurações.
• Métricas de performance: impressões, cliques, custo, conversões, CTR, CPC, ROAS, share de impressão e similares.
• Termos de busca (search_term_view) e auction insights.
• Assets (imagens, vídeos, headlines, descriptions) e relatórios de Performance Max e Shopping.
• Quando autorizado por você, aplicamos modificações (mutate) — pause/resume de campanhas, ajuste de lances, adição de palavras negativas etc.

Não acessamos: dados de cartão de pagamento associado à conta Google Ads, dados de outras contas Google fora do escopo OAuth, ou qualquer outro produto Google fora do Google Ads.

2.3. Dados coletados automaticamente

• Telemetria de uso: via PostHog (eventos de produto, sem PII além do ID interno).
• Logs de erro: via Sentry, com filtros para não capturar PII em mensagens de erro.
• Cookies essenciais: sessão autenticada (Supabase Auth) e preferência de tema. Não usamos cookies de marketing/rastreamento de terceiros.

3. Para que usamos seus dados

Os dados coletados são tratados para as seguintes finalidades, com a base legal indicada conforme a LGPD:

• Execução do contrato (Art. 7º, V LGPD) — operar a plataforma, executar os agentes de IA, persistir auditorias e recomendações, aplicar modificações aprovadas na conta Google Ads.
• Cumprimento de obrigação legal (Art. 7º, II) — emissão de nota fiscal, retenção fiscal (5 anos) e respostas a autoridades.
• Legítimo interesse (Art. 7º, IX) — segurança da plataforma, prevenção a fraude, métricas agregadas de produto.
• Consentimento (Art. 7º, I) — envio de comunicações de marketing (opcional, opt-in explícito).

4. Com quem compartilhamos

Atuamos com sub-operadores (sub-processadores) listados abaixo. Cada um recebe apenas os dados estritamente necessários para a sua função. A lista completa, atualizada, está em /lgpd.

• Google LLC — Google Ads API (mutations e leitura de dados que você nos autoriza).
• Anthropic PBC — modelos Claude para geração de recomendações. Operamos com a configuração de Zero Data Retention (ZDR): o contexto enviado não é retido nem usado para treinamento de modelos.
• Supabase Inc. — banco de dados Postgres e Auth (servidores em região AWS us-east-1).
• Vercel Inc. — hospedagem da aplicação web.
• Inngest Inc. — fila de execução de jobs assíncronos.
• Asaas Pagamentos S.A. — processamento de pagamentos (Pix, boleto e cartão) — sediada no Brasil.
• Resend Inc. — envio de e-mails transacionais.
• Sentry, Inc. — observabilidade de erros (com filtros de PII).
• PostHog Inc. — analytics de produto (eventos sem PII).

Não vendemos seus dados a terceiros. Os dados da sua conta Google Ads nunca são compartilhados com outros clientes nem agregados em produtos derivados.

5. Transferência internacional

Alguns sub-operadores acima processam dados fora do Brasil (Estados Unidos e União Europeia). Garantimos que estas transferências respeitam o art. 33 da LGPD por meio de cláusulas contratuais padrão e/ou de uma decisão de adequação do controlador. Você pode solicitar cópia das salvaguardas em dpo@boraads.com.br.

6. Retenção

• Dados da conta (cadastro, organizações, configurações): mantidos enquanto a sua assinatura estiver ativa e por 30 dias após o cancelamento (para permitir reativação).
• Auditorias e recomendações: mesma janela de 30 dias após cancelamento, depois anonimizadas.
• Audit log de execuções (mutations aplicadas): retido por 12 meses mesmo após cancelamento, por exigência de governança e auditabilidade.
• Dados fiscais (notas, comprovantes de pagamento): retidos por 5 anos, conforme legislação tributária brasileira.
• Tokens OAuth: revogados imediatamente no cancelamento e/ou quando você desconecta a conta no painel.

7. Seus direitos como titular

Você tem direito a, a qualquer momento, e gratuitamente (Art. 18 LGPD):

• Confirmar a existência de tratamento e acessar seus dados.
• Corrigir dados incompletos, inexatos ou desatualizados.
• Anonimizar, bloquear ou eliminar dados desnecessários ou tratados em desconformidade.
• Portar seus dados a outro fornecedor (exportação de auditorias em JSON via painel).
• Eliminar dados pessoais tratados com base no seu consentimento.
• Revogar o consentimento a qualquer momento.
• Obter informação sobre com quem compartilhamos seus dados.

Para exercer qualquer direito, envie um e-mail para dpo@boraads.com.br. Responderemos em até 15 dias.

8. Segurança

• Toda comunicação trafega via TLS 1.2+.
• Tokens OAuth são armazenados criptografados em repouso (AES-256-GCM, chave gerenciada).
• Senhas armazenadas com hash bcrypt (cost factor ≥ 12).
• Acesso aos sistemas de produção restrito por SSO + 2FA obrigatório.
• Logs auditados em append-only para forense.
• Backups diários automáticos do banco com retenção mínima de 7 dias.

9. Conformidade com a Google API Services User Data Policy

O uso que o boraADS faz das informações recebidas das Google APIs adere à Google API Services User Data Policy, incluindo os requisitos de Limited Use. Em particular, declaramos que os dados obtidos via Google Ads API (scope https://www.googleapis.com/auth/adwords) não são utilizados para:

• Treinar modelos de inteligência artificial, próprios ou de terceiros.
• Publicidade segmentada, perfilamento ou enriquecimento de público para qualquer outra plataforma.
• Venda, locação, transferência ou disponibilização a terceiros para fins promocionais.
• Leitura, processamento ou inspeção humana além do estritamente necessário para suporte técnico solicitado pelo Cliente, depuração de falhas e cumprimento de obrigação legal.

Os dados acessados via Google Ads API são tratados exclusivamente para operar as funcionalidades visíveis ao Cliente: leitura de campanhas e métricas, geração de recomendações pelos agentes de IA, e aplicação de mutações aprovadas explicitamente pelo Cliente (HITL). Em conformidade com a Limited Use Policy, transferimos contexto a sub-operadores estritamente necessários (notadamente Anthropic PBC, em modo Zero Data Retention, sem retenção nem treinamento).

10. Crianças e adolescentes

O boraADS é uma ferramenta B2B voltada a profissionais de mídia paga. Não direcionamos serviços, nem coletamos intencionalmente dados de pessoas com menos de 18 anos. Caso identifiquemos cadastro indevido, removeremos.

11. Atualizações desta política

Esta política pode ser atualizada a qualquer momento. Mudanças materiais serão comunicadas por e-mail e/ou banner no painel da plataforma com antecedência mínima de 15 dias. A data da última atualização está sempre no topo desta página.

12. Contato

Encarregado pelo Tratamento de Dados (DPO): Guilherme dos Santos Fernandes — dpo@boraads.com.br

Suporte geral: suporte@boraads.com.br

Endereço: Huios Soluções Digitais LTDA — CNPJ 66.743.876/0001-36 — Brasil.

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) em gov.br/anpd.