Operação Meta API
Política de Privacidade · Operação Meta API
Como tratamos os dados das contas Meta dos clientes que contratam gestão de redes sociais e tráfego pago.
Versão 1.0, vigência maio de 2026
Sobre esta política
Sobre esta política
Esta política descreve como a Creative Soul trata dados de contas Meta (Facebook e Instagram) de clientes B2B que contratam serviços de gestão de redes sociais. Não se aplica a visitantes do site: para isso, veja a política de privacidade do site.
1. Escopo desta política
1. Escopo desta política
Esta política descreve o tratamento de dados realizado pela Creative Soul .Digital (CNPJ 65.365.064/0001-31) quando opera contas Meta (Facebook Pages, Instagram Business e Meta Business Manager) de clientes B2B, provedores de internet (ISPs) regionais brasileiros, que contratam nossos serviços de gestão de redes sociais e tráfego pago.
Não se aplica a visitantes do site creativesoul.digital. Para esse escopo, consulte a política de privacidade do site.
2. Como obtemos acesso às contas Meta dos clientes
2. Como obtemos acesso às contas Meta dos clientes
O acesso ocorre via Partner-share do Business Manager. O cliente autoriza explicitamente a Creative Soul Business Manager (ID 1456302599073368) como parceira controladora total da Page Facebook, da conta Instagram Business e do Business Manager dele.
Usamos um System User Token dedicado da Creative Soul, nunca credenciais pessoais de usuários Meta. O token é armazenado criptografado (AES-GCM) no nosso banco de dados, com AAD vinculado ao ID do cliente.
Permissões solicitadas e propósito
- instagram_basic: identificar a conta IG Business vinculada e ler metadados (nome, username, contagem de seguidores).
- instagram_content_publish: publicar conteúdo pré-aprovado pelo cliente no feed do Instagram (posts únicos e carrossel).
- pages_show_list: listar as Pages do Facebook a que o System User da Creative Soul tem acesso via Partner-share.
- business_management: confirmar o Partner-share ativo e identificar Business Managers delegados (diagnóstico e entrada do cliente).
3. Quais dados coletamos via Meta API
3. Quais dados coletamos via Meta API
Coletamos exclusivamente os dados necessários para executar os serviços contratados. Não coletamos dados privados de seguidores individuais.
| Endpoint Meta API | Dado coletado | Finalidade |
|---|---|---|
| /me/accounts | ID e nome das Pages do cliente, IG user ID | Identificar onde publicar |
| /{page_id}?fields=access_token | Page-scoped access token | Operar a Page |
| /{ig_user_id}/media | media_id, status de publicação | Auditoria de publicação |
| /{page_id}/insights | Impressões, alcance, engajamentos agregados | Relatórios mensais |
| /{ig_user_id}/insights | Impressões, alcance, engajamentos agregados | Relatórios mensais |
| /me/businesses | ID e nome dos Business Managers acessíveis | Verificar Partner-share ativo |
4. O que não coletamos
4. O que não coletamos
Para reforçar a transparência, declaramos o que não coletamos no âmbito da gestão de redes sociais e tráfego pago de contas de clientes via Meta API:
- Mensagens privadas (DMs) de seguidores ou contatos do cliente.
- Dados pessoais de seguidores individuais (nomes, e-mails, telefones).
- Conteúdo de contas Meta fora do Business Manager do cliente contratante.
- Histórico de navegação ou comportamento de visitantes do feed do cliente.
- Localização geográfica precisa de usuários ou seguidores.
O tratamento de dados de visitantes do site (incluindo o Pixel da Meta) está descrito na política de privacidade do site, e não nesta política de operação Meta API.
5. Compartilhamento de dados
5. Compartilhamento de dados
Os dados tratados nesta operação são compartilhados exclusivamente com a Meta Platforms Inc. (Facebook e Instagram), por meio das APIs oficiais Meta Graph API e Marketing API. A Meta atua como processadora upstream dos dados e não é terceira no sentido da LGPD, pois é a plataforma controladora dos dados originais.
A política de privacidade da Meta está em facebook.com/privacy/policy.
Não compartilhamos dados desta operação com nenhum outro terceiro. Nossas ferramentas internas são proprietárias e mantidas exclusivamente pela Creative Soul.
6. Retenção dos dados
6. Retenção dos dados
| Categoria | Prazo de retenção |
|---|---|
| System User Token e Page tokens (AES-GCM) | Enquanto o contrato estiver ativo. Apagados em até 15 dias úteis após o encerramento. |
| Métricas agregadas (insights mensais) | Até 24 meses, para análise histórica do cliente. |
| Registro de publicações (media_id e data e hora) | Até 24 meses, para rastreabilidade. |
| Posts publicados no feed do cliente | Permanecem sob controle exclusivo do cliente; despublicação a pedido. |
7. Direitos do cliente e rota de saída
7. Direitos do cliente e rota de saída
O cliente é controlador secundário dos dados das contas Meta delegadas. A qualquer momento, ele pode:
- Revogar o Partner-share pelo Business Manager dele, com efeito imediato.
- Pedir a exclusão dos tokens e dos dados associados, em até 15 dias úteis.
- Pedir a despublicação ou a edição de posts publicados em seu nome.
- Receber os dados de métricas tratados em formato estruturado.
Para qualquer desses pedidos, siga as instruções na página de exclusão de dados ou escreva para dpo@creativesoul.digital.
8. Encarregado de Proteção de Dados (DPO)
8. Encarregado de Proteção de Dados (DPO)
E-mail: dpo@creativesoul.digital
Endereço para correspondência: Creative Soul .Digital, CNPJ 65.365.064/0001-31, Rua Pais Leme, 215, cj. 1713, Pinheiros, São Paulo/SP.
Respondemos os pedidos em até 15 dias úteis, conforme a LGPD, art. 18, § 3º.
9. Vigência e atualizações
9. Vigência e atualizações
Versão 1.0, vigência maio de 2026.
Esta política pode ser atualizada para refletir mudanças nas APIs da Meta, novos serviços contratados ou ajustes regulatórios.