Um ambiente de trabalho em que o agente que trata das suas campanhas Google Ads e Meta lê os relatórios, propõe a mudança com o motivo escrito e executa apenas dentro dos limites que lhe deu.

Vocês. E por isso o ambiente é construído para que possam assumir a responsabilidade em conhecimento de causa, não para vos apanhar de surpresa. Concretamente: o agente não tem nenhuma permissão de escrita que alguém não lhe tenha dado por nome, por escrito, campo a campo; cada campo aberto tem um limite acima do qual a proposta segue para aprovação humana; cada ação executada é escrita num registo com o valor antigo, o valor novo e o motivo, na mesma transação da execução; e existe um comutador que interrompe todas as escritas sem interromper a leitura. Nós respondemos pelo que construímos — que os limites que escreveram são respeitados pelo código, que o registo está completo, que a paragem funciona. Não respondemos pelo resultado comercial de uma alteração que aprovaram, tal como também não responde a agência que carrega no botão manual. Se alguém vos prometer outra coisa, perguntem-lhe o que diz o contrato no capítulo da limitação da responsabilidade.

Não. Em lado nenhum do nosso código aparece qualquer campo através do qual se altere um orçamento, uma licitação ou uma estratégia de licitação no Google ou na Meta. Verificámos procurando exatamente esses nomes de campos em todos os repositórios. O que temos é o envio das conversões para o Google, um motor que compra promoção paga noutra plataforma, e os mecanismos de segurança à volta disso. O serviço é construído a partir daí, e é marcado como oferta precisamente para não haver confusão.

O nosso motor de promoção paga numa plataforma de anúncios classificados da Moldávia. Coloca etiquetas pagas, inicia boosters com limite diário e preço por clique, ativa pacotes e republica anúncios após um intervalo calculado a partir da velocidade real da categoria. Recusa iniciar um booster cujo limite diário não seja superior ao preço por clique — uma verificação pequena, mas exatamente o tipo de verificação que normalmente falta. Cada ação passa pela verificação de dry-run antes de qualquer chamada que custa.

Decide-se em conjunto, antes, e escreve-se. O nosso ponto de partida na discussão: sozinho — ajustes abaixo de um percento acordado do orçamento diário, dentro de um teto diário absoluto, nas campanhas que vocês marcaram como abertas; com aprovação — qualquer ultrapassagem do teto, novas campanhas, novos públicos, qualquer toque nas licitações; nunca — a paragem de campanhas iniciadas por outra pessoa, métodos de pagamento, contas de faturação. Se quiserem tudo sujeito a aprovação no início, é uma escolha válida e nós preferimo-la.

Porque o sinal não é enviado ao clicar no botão. Só é enviado quando o pedido é confirmado a jusante, no sistema que conta para vocês — um identificador de pedido devolvido pelo CRM ou pelo parceiro. Até lá, nada aconteceu que mereça ser chamado conversão. A diferença não é cosmética: o algoritmo de licitação do Google aprende com o que lhe enviam, por isso, se lhe enviarem formulários, ele trará pessoas que preenchem formulários.

O email e o telefone seguem apenas como resumo criptográfico SHA-256, calculado localmente antes do envio, com normalização — email sem espaços e com letras minúsculas, telefone convertido para formato internacional. O endereço postal não é enviado de todo. Nada é enviado antes de a pessoa ter aceite a finalidade de marketing no banner, porque o Consent Mode começa todo em `denied`. A base legal e a informação escrevem-se antes do primeiro envio, não depois da primeira pergunta de alguém.

Regista-se a falha com a resposta bruta, e a ação é adiada — no nosso executor de republicação, com o máximo entre o arrefecimento configurado e cinco minutos, explicitamente para que um erro não se transforme num ciclo de chamadas. Os envios de conversões falhados são retomados através de um job separado, em lotes de 50, com no máximo cinco tentativas por pedido, na janela de 90 dias. Após a quinta tentativa, pára e fica marcado como não enviado, para que se veja, não para desaparecer.

O interruptor de escrita. A leitura e o reporte continuam, a execução pára. Nos nossos sistemas existentes isto está implementado de duas formas, ambas verificáveis: uma variável de ambiente que tem de ter exatamente o valor `false` para que se gaste dinheiro — qualquer outra coisa mantém a torneira fechada — e um interruptor no orquestrador de campanhas que recusa o arranque e não tem `--force`. Não dependemos de um botão numa interface que pode não carregar.

Não, e vale a pena dizer porquê, porque no nosso código existe exatamente esse número. No comentário no início da integração de conversões está escrita uma expectativa — quanto poderia descer o custo por aquisição e quanto poderia subir a quota de impressões. É uma expectativa escrita por quem a construiu, não uma medição, e por isso não a encontrará em lado nenhum neste site como resultado. O que vos podemos prometer é que a medição poderá ser feita: com conversões que significam algo e com um registo de cada alteração, a comparação antes-depois torna-se possível. Sem isso, não é.