Política de Privacidade

O AuroraPost é uma plataforma web de agendamento de publicações em redes sociais. O usuário conecta suas próprias contas (YouTube, Instagram, Telegram), escolhe seus próprios arquivos de vídeo, define título e horário, e o AuroraPost envia e agenda a publicação no canal/conta do próprio usuário. O AuroraPost não publica conteúdo de terceiros e não coleta dados de canais que o usuário não autorizou.

Para usar o AuroraPost é criada uma conta com e-mail e senha. Guardamos o e-mail, a data de criação, um perfil básico (nome de exibição, quando informado) e registros técnicos de uso (eventos de fila, upload e erros). Senhas são gerenciadas pelo provedor de autenticação (Supabase Auth) e não ficam acessíveis ao AuroraPost em texto claro.

A conexão com YouTube e Google Drive é feita por OAuth 2.0 do Google. O AuroraPost nunca pede nem recebe a senha da conta Google. Após o consentimento, recebemos e armazenamos um access token e, quando concedido, um refresh token. Esses tokens são cifrados no servidor antes de serem gravados, nunca são enviados ao navegador, nunca aparecem em logs e são usados apenas para executar as ações que o usuário pediu.

Escopos solicitados para o YouTube: https://www.googleapis.com/auth/youtube.upload (enviar o vídeo do usuário e atualizar o status desse vídeo) e https://www.googleapis.com/auth/youtube.readonly (identificar o canal conectado e ler o estado do vídeo enviado). Para o Google Drive é solicitado acesso aos arquivos que o usuário indica como origem das mídias.

Do YouTube lemos e guardamos apenas: identificador, título, handle e miniatura do canal conectado; e, para cada vídeo enviado pelo AuroraPost, o identificador do vídeo e seu estado (situação do upload, situação do processamento, privacidade, motivo de rejeição ou falha e restrições regionais). Não lemos comentários, playlists, inscritos, métricas de audiência nem conteúdo de outros canais. Não fazemos buscas no YouTube e não baixamos vídeos do YouTube.

O uso da YouTube Data API pelo AuroraPost está sujeito aos Termos de Serviço do YouTube e à Política de Privacidade do Google.

As mídias vêm do Google Drive do próprio usuário (pasta que ele autoriza) ou de arquivos que ele mesmo carrega. Durante o processo de publicação, o arquivo pode ser copiado temporariamente para nosso armazenamento de objetos privado, apenas para que a rede social de destino possa buscá-lo. Esses arquivos temporários são removidos após a publicação ou após a falha definitiva do item.

Tratamos os dados exclusivamente para: autenticar o usuário; conectar e identificar as contas que ele autorizou; enviar, agendar, acompanhar e publicar o conteúdo que ele escolheu; mostrar o histórico e o estado operacional; e diagnosticar erros. Não vendemos dados, não fazemos publicidade e não usamos os dados para treinar modelos.

Dados de conta, agendamentos, estados de publicação e logs ficam em banco de dados PostgreSQL gerenciado (Supabase). Mídias temporárias e imagens de avatar ficam em armazenamento de objetos privado (Cloudflare R2 e Supabase Storage), sem acesso público — o acesso ocorre por URLs assinadas e de curta duração.

Tokens de terceiros são cifrados em repouso com AES-256-GCM e chave derivada de um segredo que fica somente no servidor. O banco aplica regras de acesso por linha (RLS), de modo que cada usuário só alcança seus próprios dados. Logs são sanitizados e não contêm tokens, segredos ou cabeçalhos de autorização. As operações de fila usam trava e execução única para evitar publicação duplicada.

Dados de conta e histórico são mantidos enquanto a conta existir. Mídias temporárias são apagadas após o uso. Ao desconectar uma rede social, os tokens daquela conexão deixam de ser usados e a conexão é marcada como revogada. Ao encerrar a conta, os dados associados são excluídos; registros mínimos podem ser mantidos quando exigidos por lei.

Na tela Contas do AuroraPost o usuário desconecta um canal a qualquer momento. Nesse momento chamamos o endpoint de revogação do Google (https://oauth2.googleapis.com/revoke) e interrompemos o uso daquela conexão. O usuário também pode revogar o acesso diretamente em myaccount.google.com/permissions. Após a revogação, o AuroraPost não consegue mais acessar o canal.

O usuário pode solicitar acesso, correção, exportação ou exclusão de seus dados, além de revogar consentimentos de integração a qualquer momento. Pedidos são atendidos pelo canal de contato abaixo.

• Google / YouTube Data API v3 — envio e publicação no canal do usuário.
• Google Drive API — leitura dos arquivos que o usuário indica.
• Instagram Graph API — publicação na conta do usuário.
• Telegram Bot API — envio para canais/grupos do usuário.
• Supabase — autenticação, banco de dados e armazenamento.
• Cloudflare R2 — armazenamento temporário de mídias.

Dúvidas sobre esta política ou pedidos relativos a dados pessoais (acesso, correção, exportação ou exclusão) podem ser enviados para contato@aurorapost.online.