Política de Privacidade do Tocapu

Versão 2026-10-05, vigente a partir de 05/10/2026

A GLPA DATA SERVICES LTDA, CNPJ 55.704.724/0001-08, é a controladora dos dados tratados no Tocapu. Dúvidas e pedidos sobre seus dados: contato@tocapu.com.br.

1. Que dados tratamos e para quê

Conta: e-mail, nome e senha (guardada só como hash, nunca em claro), para você entrar e recuperar o acesso.
Marca: nome, @ e logotipo, para assinar os slides, os conjuntos de modelos que você salva em cada marca, com o nome que você der, para usar de novo nos próximos carrosséis, e a voz da marca: as legendas de posts que você cola para a IA ler o seu jeito de escrever, e a voz que sai delas (tom, público, palavras que a marca usa e evita e o jeito de chamar quem lê), para escrever os carrosséis da marca nesse jeito.
Conteúdo: documentos, temas, instruções e os carrosséis gerados, para prestar o serviço.
Contas conectadas: o @ e o identificador de cada conta de rede social que você conecta, e as publicações agendadas nela, para publicar.
Pagamento: plano, pagamentos e carrosséis disponíveis, e os dados de cobrança que o Asaas nos envia, para cobrar. Na primeira compra pedimos seu CPF ou CNPJ, que o Asaas exige para emitir a cobrança. Ele vai direto para o Asaas e não fica guardado no Tocapu. No plano anual no cartão, guardamos os 4 últimos dígitos do cartão, o código que o Asaas devolve para cobrar o mesmo cartão na renovação (o número do cartão nunca passa pelo Tocapu) e o endereço IP da compra, que o Asaas pede para essa cobrança.
Uso e segurança: endereço IP, data e hora de acesso, e o registro das chamadas de IA (modelo, custo, recusa), para cumprir a lei, limitar tentativas e evitar abuso.
Aceite dos termos: a versão aceita, a data e a hora e o endereço IP de cada aceite, para provar o que você aceitou e quando.
Anúncio que trouxe você: se você chegou por um anúncio do Google, o endereço traz um identificador do clique (gclid). Guardamos esse identificador num cookie por 90 dias e, quando você cria a conta, junto com ela. Depois enviamos ao Google Ads, uma vez, que você criou a conta e o valor de cada pagamento, para saber quais anúncios funcionam. Não enviamos seu nome, e-mail nem CPF ou CNPJ.

As bases legais são a execução do contrato, o cumprimento de obrigação legal (registros de acesso e fiscais) e o legítimo interesse (segurança e moderação). Pedimos que não envie dados pessoais de terceiros.

Usamos o cookie de sessão, necessário para o login, e, só para quem chega por um anúncio do Google, um cookie que guarda o identificador do clique por 90 dias. Não há script nem pixel de publicidade ou de análise no site: o envio ao Google Ads sai do nosso servidor.

2. Com quem compartilhamos

OpenAI (EUA): tema, trechos do documento, instruções e as legendas coladas na voz da marca, para moderar, escrever, ler a voz da marca e gerar as imagens. Seu logotipo e seus dados de conta não vão para a OpenAI. Pela política da OpenAI, esses dados não treinam modelos e podem ser guardados por até 30 dias para monitorar abuso.
Resend (EUA): seu e-mail, para enviar confirmação, recuperação de senha e o aviso de senha trocada. Esses dois últimos dizem a data, a hora e o navegador e o sistema do pedido, nunca o IP.
Zoho (EUA): as mensagens que você troca com o contato@tocapu.com.br.
Sentry (Alemanha): os erros técnicos da aplicação, para corrigir falhas. Saem sem e-mail, IP, conteúdo dos pedidos ou valores de formulário.
Fornecedor de publicação nas redes (Espanha): as imagens, a legenda e o horário de cada publicação, e a conta de rede social que você conectou, para publicar nela. Só recebe dados de quem conecta uma conta.
Asaas (Brasil): nome, e-mail, CPF ou CNPJ e dados de cobrança, para cobrar e para avisar de cada cobrança, e o IP da compra na renovação do plano anual no cartão.
Google Ads (EUA): o identificador do clique do anúncio, a data de cada conversão e o valor pago em reais, só de quem chegou por um anúncio do Google, para medir o resultado do anúncio.
Magalu Cloud (Brasil): arquivos e cópias de segurança.
Hostinger (Brasil, São Paulo): servidor da aplicação e do banco.

Os envios para fora do Brasil são necessários para executar o contrato com você (LGPD, art. 33, IX, combinado com o art. 7º, V). Não vendemos dados.

3. Por quanto tempo

Arquivo do documento enviado: apagado logo depois de extrair o texto.
Texto do documento e pedidos enviados à IA: 90 dias.
Rascunhos de carrossel: enquanto a conta existir. O rascunho que você descarta sai da lista na hora, e o texto dele é apagado em 90 dias.
Conjuntos de modelos salvos: enquanto a conta existir.
Legendas coladas e a voz da marca: enquanto a conta existir.
Carrosséis e trechos usados neles: enquanto a conta existir.
Slide ou imagem que você substituiu: sai na limpeza diária.
Registros de acesso (IP, data e hora): 6 meses, como exige o Marco Civil da Internet.
Registros de pagamento: pelo prazo das obrigações fiscais.
Identificador do clique do anúncio: no cookie, 90 dias; na conta, enquanto ela existir. Quando a conta é anonimizada, o identificador é apagado. O Google Ads guarda o que já recebeu pelo prazo da política dele.
Aceites dos termos: a versão e a data de cada aceite ficam como prova, e o IP do aceite fica enquanto a conta existir.
Cópias de segurança: 30 dias, em rodízio.

4. Quando você apaga a conta

Saem e-mail, nome, senha, sessões, documentos, rascunhos, conjuntos de modelos salvos, carrosséis, arquivos e o cartão guardado para a renovação, com o IP da compra e o dos aceites dos termos. Ficam a versão e a data de cada aceite dos termos e, até o fim dos prazos acima, os registros de acesso e de pagamento, e o registro técnico das chamadas de IA sem conteúdo. As cópias de segurança antigas saem no rodízio de 30 dias.

5. Seus direitos

Pelo contato@tocapu.com.br você pode pedir acesso, correção, portabilidade, eliminação, informação sobre com quem compartilhamos e revisão de decisão automatizada, como uma recusa da moderação. Respondemos em até 15 dias. Você também pode reclamar à ANPD.

6. Segurança

Senha com hash Argon2id, sessão encerrada ao sair ou trocar a senha, bloqueio após tentativas seguidas, arquivos privados entregues por link temporário e banco sem acesso público. Em incidente que possa causar dano relevante, avisamos você e a ANPD nos prazos da regulação.

7. Idade e mudanças

O Tocapu é para maiores de 18 anos. Mudança relevante nesta política pede novo aceite no próximo acesso.