Conta, equipe e privacidade

Tudo nesta página fica no painel, em Configurações. A API pública (/v1) usa chaves de API, que são do projeto e não de uma pessoa.

Entrar no painel#

Há dois jeitos, e os dois levam à mesma conta quando o e-mail é o mesmo:

• Google: o botão "Continuar com Google".
• Link por e-mail: digite o e-mail e clique em "Receber link de acesso por e-mail". O link vale por 15 minutos e funciona uma vez só. Ele abre uma página que pede um clique em "Entrar": leitores automáticos de e-mail que abrem links sozinhos não conseguem entrar no seu lugar.

Se o e-mail ainda não tem conta, ela é criada no primeiro acesso, como no Google, e você segue para as Boas-vindas. A resposta da tela é sempre a mesma, tenha o e-mail conta ou não. Pedidos repetidos demais do mesmo e-mail ou do mesmo IP esperam alguns minutos.

Com a verificação em duas etapas ligada, o código do app continua sendo pedido depois do Google ou do link.

Verificação em duas etapas#

Em Configurações > Segurança, ligue o código de 6 dígitos de um app autenticador e guarde os 10 códigos de recuperação. Cada pessoa da equipe liga a própria.

Equipe e papéis#

Em Configurações > Equipe, convide pessoas pelo e-mail e escolha o papel. Não há cobrança por pessoa.

A regra vale em todas as rotas do painel: uma ação fora do papel responde 403 com o código insufficient_role.

Convites#

• A pessoa recebe um e-mail do Couryo com o link do convite. Ele vale por 7 dias e funciona uma vez.
• Para aceitar, ela entra com o mesmo e-mail do convite (Google ou link por e-mail).
• Dá para reenviar (o link antigo para de funcionar e o prazo recomeça) e revogar.
• Cada pessoa participa de uma conta por vez. Quem já usa outra conta como desenvolvedor, admin ou leitura sai dela ao aceitar. Quem é dono de uma conta sem uso (sem domínio, envio ou contato) tem essa conta encerrada ao aceitar; se a conta tiver uso, é preciso transferir a propriedade ou excluí-la antes.
• O teto é de 50 pessoas por conta, contando os convites pendentes, igual em todos os planos (member_limit_reached). A conta manda no máximo 30 convites por dia.

Remover, sair e transferir a propriedade#

• Admin e dono mudam o papel e removem as outras pessoas. Ninguém muda o próprio papel.
• A pessoa removida sai na hora: as sessões dela terminam e os apps que ela conectou pelo MCP param. As chaves de API são do projeto e continuam funcionando: revogue as que ela conhecia.
• Qualquer pessoa, menos o dono, pode sair da equipe.
• Transferir a propriedade: o dono escolhe outra pessoa da equipe, que vira dona; ele continua como admin. Com a verificação em duas etapas ligada, o código é pedido. A conta nunca fica sem dono (last_owner).

Nível 0 (sandbox)#

No nível 0, a conta só envia para os seus próprios endereços: os e-mails das pessoas da equipe. Quem aceitou o convite conta; convite pendente não.

Atividade da conta#

Em Configurações > Atividade (admin e dono), a lista do que aconteceu na conta, da mais nova para a mais antiga, com quem fez, quando e de qual IP:

• entradas no painel (Google ou link);
• convites, aceites, mudanças de papel, remoções, saídas e transferência da propriedade;
• chaves de API criadas e revogadas;
• domínios adicionados e removidos (pelo painel, pela API ou pelo MCP) e a conexão com a Cloudflare;
• projetos criados e apagados;
• pedidos de exportação e de exclusão da conta.

A atividade fica guardada por 12 meses.

Exportar os dados#

Em Configurações > Privacidade, admin e dono pedem um arquivo ZIP com os dados da conta (portabilidade, LGPD art. 18):

• a conta, as pessoas da equipe com os papéis e os convites pendentes;
• projetos, chaves de API (só o nome e o prefixo, nunca a chave), domínios com os registros DNS, domínios de recebimento, webhooks (sem o segredo) e apps conectados;
• templates com todas as versões, contatos (com os tópicos de cada um) e eventos, tópicos de inscrição, importações por CSV (contadores, relatório e o registro do consentimento; o arquivo CSV não é guardado), sequências e inscrições, campanhas e destinatários, supressões;
• e-mails enviados com a linha do tempo de eventos, dentro do prazo de logs do plano (anexos só com o nome e o tamanho), e e-mails recebidos;
• a atividade da conta.

O arquivo é gerado em segundo plano. Quando fica pronto, quem pediu recebe um e-mail com o link de download. O link é assinado e vale por 72 horas; depois disso o arquivo é apagado. São até 3 pedidos por dia. Segredos ficam de fora: chaves DKIM privadas, segredos de webhook, tokens e códigos da verificação em duas etapas.

Excluir a conta#

Também em Configurações > Privacidade, só o dono, digitando o nome da conta (e o código da verificação em duas etapas, se estiver ligada).

Ao pedir:

1. A assinatura deixa de renovar: vale até o fim do período já pago e não é cobrada de novo.
2. As chaves de API, os apps conectados, o envio (inclusive campanhas e sequências) e as mudanças no painel param; o painel continua aberto para ler, exportar e cancelar. Chamadas com a chave recebem account_pending_deletion.
3. Há 7 dias de carência. Até lá, o dono cancela em Configurações > Privacidade e tudo volta a funcionar. A assinatura continua sem renovar até você reativar em Cobrança.

Depois dos 7 dias, o Couryo apaga domínios (que saem do motor de envio e da zona DNS do Couryo), chaves, webhooks, templates, contatos, tópicos, importações, sequências, campanhas, supressões, e-mails e eventos, recebidos, relatórios DMARC e as pessoas da equipe, e manda a confirmação para o dono. Fica só o que a lei exige: os registros de cobrança (com a identificação da empresa, quando houve pagamento), o registro do aceite dos termos e a atividade sem nomes nem e-mails, apagada em até 6 meses. As cópias de segurança do banco expiram em até 30 dias. Detalhes na Política de privacidade.

Depois da exclusão, o mesmo e-mail pode criar uma conta nova, vazia.