Política de Privacidade

1. Controlador dos dados

Cloud Ninja Consulting ApS
Apeldoorn Allé 20, 2791 Dragør, Denmark
Número de IVA: DK46044118
Eventphoto.io é o controlador (na terminologia europeia, responsável pelo tratamento) dos dados pessoais coletados por meio do serviço.
Contato: support@eventphoto.io

Esta política abrange Eventcam.dk, Eventphoto.io, Eventcam.se, Eventkamera.de, Eventphoto.fr, Eventcamera.es e Eventfoto.it, que são o mesmo serviço, com um único operador.

2. Quais dados coletamos?

• Dados do anfitrião e do evento: e-mail do anfitrião, nome do evento, código do evento, token privado do anfitrião, idioma selecionado, horário de abertura, plano, data de expiração e o PIN opcional para convidados, se houver.
• Dados da conta do anfitrião e da organização (usuários do painel): e-mail de login, idioma da conta e, no caso de organizações, o nome da organização, um nome de marca opcional, logo e cor, além do saldo de créditos de evento e do histórico de compras.
• Conteúdo enviado: fotos, vídeos, a escolha opcional da foto de capa e metadados como tipo de arquivo, tamanho, horário do envio e o nome opcional do convidado.
• Mensagens do livro de visitas: o texto da mensagem, o nome opcional do convidado e o horário em que ela foi escrita, quando o anfitrião ativou o livro de visitas.
• Identificadores de sessão dos convidados: um ID de sessão anônimo usado para vincular os envios e as mensagens do livro de visitas ao mesmo dispositivo do convidado e para aplicar os limites do plano.
• Registro de atividades do evento: um registro das ações realizadas em um evento (por exemplo, envios, exclusões, downloads, início de upgrade) com o horário e a indicação de quem agiu, o anfitrião ou um convidado, para que os anfitriões possam ver o que aconteceu com o seu evento e nós possamos investigar casos de suporte.
• Referências de pagamento e cobrança dos planos pagos: as referências da Stripe de sessão, cliente, intenção de pagamento (payment intent) e fatura, necessárias para ativar e documentar a compra. A Stripe guarda os dados do cartão e o endereço de cobrança; nunca vemos os números completos dos cartões.
• Dados de acesso e login: sessões de autenticação do painel e da área de administração, cookies de desbloqueio para eventos protegidos por PIN e cookies de verificação do anfitrião para ações de download e de administração.
• Dados das requisições: o seu endereço IP e a identificação do navegador são usados em memória para limitar a frequência de requisições abusivas e aparecem nos logs de requisições, de curta duração, do nosso provedor de hospedagem. Não criamos perfis a partir deles.
• Marcações geradas por IA nos planos pagos: se um evento pago usa a marcação por IA, as tags derivadas das imagens são armazenadas nos registros dos envios.
• Feedback: se você responder às perguntas de feedback indicadas em um e-mail anterior enviado após o evento, a sua resposta e eventuais comentários são armazenados com o evento.
• Referência do clique no anúncio: se você chegar por um dos nossos anúncios no ChatGPT e a análise estatística estiver ativada (seção 8), os nomes de campanha do link do anúncio e a referência do clique que a OpenAI acrescentou a ele. O seu navegador os guarda por 30 dias. Um evento gratuito que você criar nesse período os armazena até o evento ser excluído, e uma finalização de compra que você iniciar os armazena com o registro do pagamento.

3. Finalidades e base legal

O Regulamento Geral sobre a Proteção de Dados da UE (GDPR) exige uma base legal para cada finalidade:

• Criação e operação do evento (envios dos convidados, livro de visitas, acesso à galeria, compartilhamento por QR Code, login do anfitrião, downloads, gestão da capa, e-mails transacionais como confirmações, links de login, códigos de download, recibos, avisos do primeiro envio e lembretes de expiração): execução do contrato com o anfitrião, art. 6(1)(b) do GDPR. Para os convidados, o nosso legítimo interesse em prestar o serviço solicitado pelo anfitrião, art. 6(1)(f) do GDPR.
• Pagamento, ativação e contabilidade: execução do contrato, art. 6(1)(b) do GDPR, e a nossa obrigação legal de manter registros contábeis nos termos da lei dinamarquesa de contabilidade (bogføringsloven), art. 6(1)(c) do GDPR.
• Segurança e prevenção de abusos (limites de frequência, proteção por PIN, verificação do anfitrião, registro de atividades, logs de requisições): o nosso legítimo interesse em manter o serviço e os seus usuários seguros, art. 6(1)(f) do GDPR.
• Marcação de imagens por IA em eventos pagos: execução do contrato com o anfitrião, art. 6(1)(b) do GDPR. A marcação gera palavras-chave descritivas para a busca; não é usada para identificar pessoas e não usa reconhecimento facial.
• Análise estatística do site (Google Analytics 4): o seu consentimento para a análise estatística, art. 6(1)(a) do GDPR, que nas nossas páginas em inglês vem ativado por padrão para visitantes nas Américas (seção 8) e, nos demais casos, é dado no banner de cookies; você pode desativá-lo a qualquer momento em Configurações de cookies, no rodapé.
• Medição dos nossos anúncios no ChatGPT (seção 5): o seu consentimento para a análise estatística, art. 6(1)(a) do GDPR, que nas nossas páginas em inglês vem ativado por padrão para visitantes nas Américas (seção 8). Desativar a análise estatística em Configurações de cookies interrompe essa medição e exclui do seu navegador o registro do clique no anúncio; uma referência já armazenada com um evento permanece até o evento ser excluído.
• Medição de desempenho do site (Vercel Speed Insights): o nosso legítimo interesse em manter o site rápido, art. 6(1)(f) do GDPR. Envia à Vercel os tempos de carregamento e a URL da página; não define cookies nem armazena nenhum identificador no seu dispositivo.
• Feedback sobre o produto (respostas a essas perguntas de feedback): o nosso legítimo interesse em melhorar o serviço, art. 6(1)(f) do GDPR. Responder é opcional.
• E-mail de avaliação e convites: após um evento pago, quando pelo menos sete convidados tiverem enviado conteúdo e os envios estiverem parados há dois dias, enviamos um único e-mail ao anfitrião pedindo uma avaliação no Trustpilot; o e-mail informa quantos convidados compartilharam quantas fotos e vídeos. Quais anfitriões de eventos pagos o recebem depende apenas dessa atividade de envio, nunca de como o evento foi nem do que eles possam dizer. Uma cópia do e-mail vai para o Trustpilot, que cerca de uma semana depois envia ao anfitrião um convite próprio. Anfitriões de eventos gratuitos recebem o mesmo e-mail apenas se o enviarmos manualmente, e o Trustpilot não recebe nada de nós sobre esses eventos. Eventos criados a partir de um espaço de trabalho profissional não recebem nem um nem outro. O nosso legítimo interesse em reunir avaliações autênticas de clientes, art. 6(1)(f) do GDPR. Escrever uma avaliação é opcional, e você pode se opor a qualquer momento.

4. Retenção e exclusão

A expiração do evento segue o plano escolhido:

• Plano gratuito: o evento expira 14 dias após a criação.
• Plano pago: o evento expira 365 dias após a criação.

Quando um evento expira, os envios são interrompidos e a galeria é fechada. Em seguida, um processo automático exclui permanentemente o evento, as suas fotos e vídeos, as mensagens do livro de visitas, as fotos de capa, os arquivos compactados para download, o registro de atividades e o próprio registro do evento; apenas um registro técnico da geração dos arquivos para download (código do evento, tamanhos, tempos) e o histórico de créditos de uma organização podem manter o código do evento. O processo roda uma vez por dia, portanto a exclusão ocorre no dia seguinte à data de expiração, normalmente em até 48 horas após a expiração. Os anfitriões também podem excluir um evento ou arquivos individuais a qualquer momento pelo painel, e nós podemos fazer a exclusão mediante solicitação. O conteúdo excluído não pode ser recuperado, por isso baixe o que precisar antes da data de expiração. Enviamos e-mails de lembrete antes da expiração.

As demais categorias são mantidas pelos prazos indicados aqui:

• Dados da conta do anfitrião e da organização: até você nos pedir para excluir a conta.
• Registros de pagamentos e faturas: 5 anos a partir do fim do exercício financeiro da compra, conforme exigido pela lei dinamarquesa de contabilidade. A Stripe mantém os próprios registros de acordo com a sua própria política.
• Correspondência de suporte: até 2 anos após o encerramento do caso.
• Respostas de feedback: até 2 anos.
• Logs de requisições no nosso provedor de hospedagem: um período curto, atualmente alguns dias.
• Dados de análise estatística: o Google Analytics 4 mantém os dados no nível de evento por 14 meses.

5. Operadores e transferências para fora da UE

Não vendemos nem compartilhamos os seus dados com terceiros, exceto com os seguintes operadores (na terminologia europeia, subcontratantes), que atuam de acordo com as nossas instruções com base em contratos de tratamento de dados:

• Supabase Inc. – banco de dados, autenticação e armazenamento de arquivos. O nosso projeto roda na região de Londres da Supabase (Reino Unido). O Reino Unido é coberto por uma decisão de adequação da UE, portanto nenhuma garantia adicional é necessária.
• Vercel Inc. (EUA) – hospedagem da aplicação, entrega de conteúdo e Speed Insights. As nossas funções de servidor rodam em Frankfurt; a rede de borda (edge) e os sistemas de suporte da Vercel são globais. As transferências se baseiam na certificação da Vercel no Quadro de Privacidade de Dados UE-EUA (EU-US Data Privacy Framework) e nas cláusulas contratuais padrão da UE.
• Brevo (Sendinblue SAS, França) – e-mails transacionais como confirmações, links de login, lembretes e avisos. Tratamento na UE.
• Stripe (Stripe Payments Europe Ltd., Irlanda, e Stripe Inc., EUA) – processamento de pagamentos, faturas, cálculo de impostos e metadados relacionados a pagamentos dos planos pagos. As transferências para os EUA se baseiam na certificação da Stripe no Data Privacy Framework e em cláusulas contratuais padrão.
• OpenAI (OpenAI Ireland Ltd. e OpenAI, L.L.C., EUA) – marcação de imagens por IA em eventos pagos. As fotos são enviadas como miniaturas em tamanho reduzido por meio de links de curta duração; a OpenAI as processa para devolver palavras-chave e não usa dados da API para treinar os seus modelos. As transferências se baseiam na certificação da OpenAI no Data Privacy Framework e em cláusulas contratuais padrão.
• Trustpilot A/S (Dinamarca) – convites de avaliação para anfitriões de eventos pagos. Recebe uma cópia do e-mail de avaliação enviado após o evento, incluindo o e-mail do anfitrião, o nome do evento e os números de convidados, fotos e vídeos do evento. Uma avaliação que você decidir escrever é tratada de acordo com a política de privacidade do próprio Trustpilot.
• Google (Google Ireland Ltd. e Google LLC, EUA) – análise estatística do site, baseada em consentimento, por meio do Google Analytics 4. As transferências se baseiam na certificação do Google no Data Privacy Framework e em cláusulas contratuais padrão. O Google Analytics 4 não registra nem armazena endereços IP.

Se você chegar por um anúncio exibido no ChatGPT e a análise estatística estiver ativada, informamos à OpenAI (OpenAI, L.L.C., EUA) que o anúncio levou a um evento gratuito, a uma finalização de compra iniciada ou a uma compra, para podermos medir o anúncio. Enviamos a referência do clique no anúncio que a OpenAI acrescentou ao link, o nosso próprio ID para essa etapa (a referência de pagamento da Stripe, no caso de uma finalização de compra ou de uma compra, ou um código derivado da referência do clique, no caso de um evento gratuito), o valor e a moeda do pedido, o endereço da página (nunca a página de um evento ou de uma conta) e o horário. Não enviamos o seu nome, e-mail, endereço IP nem quaisquer outros dados de contato. As transferências se baseiam na certificação da OpenAI no Data Privacy Framework e em cláusulas contratuais padrão.

Também podemos divulgar dados quando a lei exigir, por exemplo às autoridades fiscais ou mediante ordem legal válida.

6. Convidados e outras pessoas nas fotos

Os convidados enviam conteúdo a convite do anfitrião. Usamos o conteúdo dos convidados apenas para operar o evento do anfitrião: exibi-lo na galeria do evento, disponibilizá-lo ao anfitrião para download e, em eventos pagos, marcá-lo para a busca. Nunca o publicamos, nunca o usamos para marketing e nunca o compartilhamos com ninguém além do anfitrião e dos convidados daquele evento. O anfitrião é responsável por informar os convidados de que fotos estão sendo coletadas e por obter as autorizações que o evento exigir.

7. Os seus direitos

Nos termos do GDPR, você tem os seguintes direitos:

• acesso aos dados pessoais que mantemos sobre você e a uma cópia deles;
• retificação de dados inexatos;
• apagamento (“direito a ser esquecido”), por exemplo de uma foto sua enviada por um convidado;
• limitação do tratamento enquanto uma solicitação estiver sendo analisada ou houver uma contestação em aberto;
• portabilidade dos dados que você nos forneceu, em formato de leitura automática;
• oposição ao tratamento baseado nos nossos legítimos interesses, incluindo o registro de atividades e a medição de desempenho;
• revogação do consentimento a qualquer momento, quando o tratamento se basear no consentimento (cookies analíticos), sem afetar o tratamento realizado antes da revogação.

Escreva para support@eventphoto.io para exercer qualquer um desses direitos. Respondemos em até um mês. Se você é convidado e quer que uma foto seja removida, informe o código do evento e qual é o arquivo; o anfitrião também pode removê-la diretamente.

Você também pode apresentar uma reclamação à autoridade dinamarquesa de proteção de dados, Datatilsynet, Carl Jacobsens Vej 35, 2500 Valby, Dinamarca, ou à autoridade de controle (autoridade supervisora) do país da UE ou do EEE onde você mora.

8. Cookies e armazenamento no navegador

Usamos cookies necessários e o armazenamento no navegador relacionado, indispensáveis para o login, o desbloqueio de eventos, a verificação do anfitrião, a escolha do idioma, a continuidade da sessão dos convidados e para lembrar a sua escolha sobre cookies. A análise estatística é opcional: o Google Analytics 4 para medir o tráfego e, se você chegou por um dos nossos anúncios no ChatGPT, um registro desse clique no anúncio que o seu navegador guarda por 30 dias (seção 5). Nas nossas páginas em inglês, visitantes nas Américas (com base no fuso horário configurado no dispositivo) têm a análise estatística ativada por padrão, sem banner; para todos os demais, ela só é ativada depois que clicam em Aceitar. Qualquer pessoa pode desativá-la em Configurações de cookies. Não usamos cookies de publicidade nem pixels de marketing. A lista completa está na Política de Cookies.

9. Segurança

Os dados são criptografados em trânsito (TLS) e em repouso no nosso provedor de armazenamento. As galerias dos eventos só podem ser acessadas com o código do evento e, se o anfitrião definir um, com um PIN para convidados; as ações do anfitrião exigem um link de anfitrião assinado ou um login. O acesso aos sistemas de produção é restrito ao operador. Nenhum método de transmissão ou armazenamento é totalmente seguro, portanto não podemos garantir segurança absoluta.

10. Alterações nesta política

Atualizamos esta política quando o serviço ou a lei mudam e mostramos no topo a data da última atualização. Alterações relevantes na forma como usamos os dados dos anfitriões são comunicadas por e-mail aos anfitriões com eventos ativos.