Política de Privacidad de Worxpace

2. Datos que recopilamos

• Registro de usuario: nombre completo, correo electrónico, foto de perfil (avatar) y rol en la agencia (administrador o personalizado).
• Registro de agencia: nombre, logo y configuración interna.
• Registro de clientes de la agencia: nombre, logo, briefs, manuales de marca y perfiles sociales asociados.
• Contenido producido: jobs (brief, archivos multimedia, historial), comentarios internos, flujos de aprobación y publicaciones programadas.
• Integraciones OAuth: al conectar cuentas de Meta (Instagram/Facebook), LinkedIn, TikTok o YouTube, almacenamos tokens de acceso cifrados con AES-256-GCM, junto con el identificador externo de la cuenta, el nombre público (display name o nombre del canal) y la foto de perfil/avatar/canal (solo la URL de la imagen alojada por la propia plataforma — no hacemos copia local). No almacenamos tu contraseña de esas plataformas.
• Datos de YouTube (YouTube API Services): al conectar un canal de YouTube mediante Google OAuth, Worxpace usa YouTube API Services. Recopilamos únicamente metadatos públicos del canal autorizado (channel ID, nombre, avatar, número de suscriptores y número de videos) para mostrar el canal seleccionado en el panel de la agencia. El alcance `youtube.upload` se usa exclusivamente para publicar videos programados por la propia agencia en el canal conectado. Puedes revocar el acceso en cualquier momento en myaccount.google.com/permissions. Esta integración cumple los YouTube API Services Terms of Service y la Política de Privacidad de Google.
• Datos de uso: registros de acciones en el sistema (creación de jobs, cambios de estado, comentarios) usados para historial y auditoría.
• Señales técnicas del registro (prevención de abuso de la prueba gratis): al crear una agencia y al contratar un plan, recopilamos la dirección IP de la conexión y una huella del dispositivo armada a partir de características que informa el navegador (sistema, idioma, zona horaria, resolución de pantalla, número de núcleos). También usamos el dominio del correo electrónico y el CPF/CNPJ informado en el pago. La IP y la huella del dispositivo nunca se almacenan en texto plano: guardamos solo un resumen criptográfico (hash SHA-256 con clave secreta del servidor), que sirve para comparar dos registros y no permite recuperar el valor original ni identificar a la persona. Del correo electrónico guardamos solamente el dominio (p. ej., “gmail.com”). No usamos canvas fingerprinting, WebGL fingerprinting, cookies de terceros ni ningún rastreo entre sitios.

3. Cómo usamos tus datos

• Operación del producto: autenticación, gestión de permisos, visualización de jobs, comentarios, aprobaciones e informes.
• Publicación automática: los tokens de las integraciones sociales se usan exclusivamente para hacer publicaciones en las fechas/horarios programados por la agencia, en las cuentas conectadas por el propio cliente.
• Notificaciones: alertas dentro de la aplicación sobre menciones en comentarios, aprobaciones pendientes, fallas de publicación y asignaciones de jobs.
• Aprobaciones públicas: enlaces únicos (`/aprovacao/<token>`) permiten que el cliente final apruebe o pida ajustes sin necesidad de registrarse.
• Prevención de abuso de la prueba gratis: las señales técnicas del registro se combinan en una puntuación de riesgo, usada solo para decidir si se concede un nuevo período de prueba gratis. Ninguna señal aislada bloquea nada, la decisión nunca impide la contratación de un plan pago ni el acceso a una cuenta existente, y la puntuación y las señales quedan registradas para que podamos revisar casos a pedido. Si crees que hubo un error, escribe al contacto que está al final de esta página — revisamos manualmente. Estos datos no se usan para elaboración de perfiles comerciales, publicidad ni ninguna otra finalidad.

No usamos tus datos para venta, marketing conductual para terceros ni entrenamiento de modelos de IA fuera del contexto del propio Worxpace.

4. Compartición con terceros

Trabajamos con proveedores que procesan datos en nuestro nombre, siempre bajo acuerdos contractuales y solo para los fines descritos aquí:

• Supabase — base de datos PostgreSQL y autenticación. Ubicación: AWS São Paulo (sa-east-1).
• Vercel — alojamiento del front-end y funciones serverless.
• Meta Platforms (Instagram & Facebook) — publicación de contenido mediante la Graph API oficial, solo en las cuentas conectadas voluntariamente por el cliente.
• LinkedIn — publicación de contenido mediante la API oficial, solo en las cuentas/páginas conectadas.
• TikTok — publicación de contenido mediante la Content Posting API oficial, solo en las cuentas conectadas.
• Google & YouTube — autenticación mediante Google OAuth y publicación de videos mediante YouTube Data API v3, solo en los canales conectados.
• cron-job.org — ejecución de tareas programadas (publicación automática de las publicaciones programadas).
• Anthropic — generación asistida de copy mediante la Claude API, cuando el usuario activa explícitamente las herramientas de IA.

Nunca vendemos tus datos.

5. Seguridad

• Toda la comunicación se realiza bajo HTTPS/TLS.
• Los tokens de las integraciones sociales se cifran en reposo con AES-256-GCM.
• La base de datos usa Row Level Security (RLS) de PostgreSQL para aislar los datos de cada agencia e impedir el acceso cruzado.
• Las contraseñas de los usuarios nunca son almacenadas por Worxpace — toda la autenticación ocurre mediante Supabase Auth con hashing seguro.
• Las cookies httpOnly y la validación de CSRF en los flujos de OAuth protegen contra request forgery.

6. Tus derechos

• Acceder a tus datos: ver toda la información que mantenemos sobre ti en el panel de Worxpace.
• Revocar integraciones: en cualquier momento, en “Cliente → Integrações → Desconectar”. Los tokens se eliminan de inmediato de nuestra base de datos. También puedes revocar el acceso directamente en Meta Business Suite, en LinkedIn Settings, en TikTok Settings o en myaccount.google.com/permissions (Google/YouTube).
• Solicitar la eliminación de la cuenta o la exportación de los datos: envía un correo electrónico a contato@agenciabehave.com y responderemos en un plazo de hasta 7 días hábiles.
• Corregir datos incorrectos: la mayor parte de la información se puede editar directamente en el panel.

7. Retención

Mantenemos tus datos mientras la cuenta esté activa. Al solicitar la eliminación, eliminamos la información personal en un plazo de hasta 30 días, excepto cuando exista una obligación legal de retención (registros fiscales, por ejemplo).

Las señales técnicas del registro (hashes de IP y de huella del dispositivo, dominio del correo electrónico y la puntuación de riesgo) se mantienen durante 12 meses contados desde el registro, plazo necesario para que la prevención de abuso funcione, y después de eso se descartan.

8. Cookies y almacenamiento local

Usamos cookies httpOnly solo para autenticación (sesión de Supabase) y cookies temporales durante los flujos de OAuth (validación de CSRF). No usamos cookies de rastreo ni analítica de terceros.

9. Cambios en esta política

Podemos actualizar esta política periódicamente. Los cambios relevantes se comunican por correo electrónico o mediante notificación en Worxpace, con al menos 15 días de anticipación.

10. Contacto

Dudas, solicitudes o reclamos sobre esta política:
contato@agenciabehave.com