Política de privacidade

1 Quem é o responsável

O responsável pelo tratamento é Duribe Tech, nome comercial de David Adrian Uribe Soto, com sede em Turbaco, Bolívar, Colômbia, titular do serviço publicado em fotara.app.

Para qualquer assunto relacionado aos seus dados pessoais: duribe@fotara.app.

2 Quais dados tratamos

Apenas o que o serviço precisa para funcionar:

• Conta do anfitrião: um e-mail verificado e, se você escrever, um nome de exibição.
• Identidade de acesso: o identificador estável que o Google ou a Apple entregam quando você entra por eles. Não recebemos nem guardamos a sua senha desses serviços. A Apple permite ocultar o e-mail real e entregar um de retransmissão; se você usar, é esse o e-mail que guardamos.
• Códigos de acesso: se você entra com o código de seis dígitos, guardamos o hash dele — nunca o código —, o e-mail para onde foi enviado, a validade e o número de tentativas.
• Sessões: um hash do token de sessão, a validade e a data do último uso.
• Álbuns: nome, data do evento, plano, design e configurações.
• Lembranças: as fotos e vídeos enviados, seus derivados (miniatura, versão web e capa do vídeo) e dados técnicos como tamanho, dimensões e duração.
• Convidados: um identificador aleatório criado no próprio navegador e, só se a pessoa escrever, um nome exibido ao lado do que ela envia.
• Pagamentos: o identificador do pedido, o plano comprado, o valor e o e-mail associado à compra, conforme informados pelo provedor de pagamento.

3 Os convidados não têm conta

Quem recebe o link ou escaneia o QR envia direto do navegador sem se cadastrar: não pedimos e-mail, nem telefone, nem senha. A única coisa que o distingue é um identificador aleatório guardado no próprio navegador, que existe para que ele possa apagar o que enviou.

Escrever um nome é opcional: serve para o anfitrião saber de quem são as fotos, é pedido depois do primeiro envio e pode ser ignorado.

4 Para que usamos os dados

• Operar o serviço: criar o álbum, receber os arquivos, processá-los e mostrá-los a quem tem acesso.
• Identificar você: enviar o código de acesso, verificar seu e-mail e manter sua sessão aberta.
• Cobrar o plano e registrar a compra.
• Escrever para você sobre assuntos operacionais do serviço.
• Proteger o serviço: prevenir abuso, fraude e uso automatizado.
• Cumprir obrigações legais e contábeis.

5 Base legal do tratamento

Quando se aplicam a LGPD, o RGPD ou lei equivalente, as bases são: a execução do contrato (operar o serviço e a sua conta), o legítimo interesse (segurança, prevenção de abuso e manutenção), o cumprimento de obrigações legais (contabilidade e faturamento) e o seu consentimento quando o pedimos de forma explícita.

Não tratamos seus dados com fins publicitários nem os vendemos a ninguém.

6 Quando você chega pelo InvitiApp

Fotara e InvitiApp são produtos irmãos com contas separadas. Se, a partir do seu convite no InvitiApp, você pedir para criar o álbum na Fotara, o InvitiApp nos entrega — só nesse momento e só porque você pediu — seu nome, seu e-mail, seu idioma e o identificador, o título, a data e o status de pagamento daquele convite.

Com isso criamos ou recuperamos sua conta na Fotara, criamos o álbum com o nome e a data do evento e registramos o desconto a que ele dá direito.

O InvitiApp não nos entrega o cookie de sessão dele nem seus tokens do Google ou da Apple, e nós não devolvemos suas fotos nem a lista dos seus convidados.

7 Com quem compartilhamos

Não vendemos seus dados nem os repassamos a anunciantes. Eles são tratados apenas pelos provedores de que precisamos para operar, unicamente para nos prestar esse serviço e sob nossas instruções.

Também podemos comunicá-los quando exigido por autoridade competente nos termos da lei, ou quando necessário para defender direitos próprios ou de terceiros.

8 Provedores que tratam dados por nós

Esta é a lista completa hoje:

• Amazon Web Services (Estados Unidos, região us-east-1): servidores, banco de dados, armazenamento das fotos e vídeos, rede de entrega, filas de processamento e guarda de credenciais.
• Amazon SES: o envio do e-mail com o seu código de acesso e dos avisos do serviço.
• Lemon Squeezy: a plataforma de pagamento, que atua também como comerciante registrado. Os dados do seu cartão são tratados na plataforma deles e nunca chegam aos nossos servidores.
• Google e Apple: só se você escolher entrar por eles, e só para verificar sua identidade.
• InvitiApp: só se você vier de um convite e pedir para criar o álbum, como descrito acima.
• A Fotara não usa analytics de terceiros, nem pixels publicitários, nem redes de rastreamento.

9 Transferências internacionais

A infraestrutura fica nos Estados Unidos (AWS, região us-east-1). Se você nos escrever de outro país, seus dados são tratados lá.

Quando a lei exige, essas transferências se apoiam em cláusulas contratuais padrão ou em outro mecanismo válido oferecido pelo provedor.

10 Por quanto tempo guardamos

Cada álbum nasce com uma data de conservação calculada a partir do dia do evento e conforme o plano: 30 dias no Grátis, 365 dias no Plus e 1.095 dias no Max. Esse é o prazo durante o qual guardamos o álbum e suas lembranças; passado ele, deixam de estar garantidos e podem ser apagados.

A eliminação do que venceu não é automática hoje, então um álbum pode continuar existindo depois dessa data. Se você quiser que ele suma em um momento específico, apague-o você mesmo.

A conta e seu e-mail são mantidos enquanto a conta existir. As sessões duram no máximo 400 dias. Os códigos de acesso expiram em dez minutos. Os registros de pagamento são mantidos pelo prazo exigido pelas normas contábeis.

11 Apagar seus dados

Você pode apagar um álbum específico em «Seus álbuns» e toda a sua conta no seu perfil.

Apagar a conta elimina a conta, seus álbuns, todas as lembranças com seus derivados, as sessões abertas e os arquivos guardados no armazenamento. É imediato e não pode ser desfeito.

Pode restar vestígio por algum tempo em cópias de segurança e nos registros de pagamento enquanto a lei obrigar a mantê-los.

12 Seus direitos

Conforme onde você mora, você pode:

• Acessar os dados pessoais que tratamos sobre você.
• Corrigir o que estiver inexato.
• Eliminá-los, com as ferramentas de exclusão já presentes no produto ou escrevendo para nós.
• Opor-se a um tratamento ou pedir que ele seja limitado.
• Receber seus dados em formato portável.
• Retirar seu consentimento quando o tratamento se basear nele.
• Apresentar reclamação à autoridade de proteção de dados do seu país.

13 Segurança

O tráfego viaja criptografado. As fotos e vídeos ficam em armazenamento privado e são servidos por URLs assinadas que expiram: não são endereços públicos e permanentes.

Os tokens de sessão e os códigos de acesso são guardados como hash, nunca em texto claro, e os códigos limitam o número de tentativas.

Nenhum sistema é infalível: fazemos o razoável, mas não podemos garantir segurança absoluta.

14 Menores de idade

A Fotara não é dirigida a menores de 13 anos e não criamos contas para eles conscientemente.

Em um evento de família aparecem crianças nas fotos: quem organiza o álbum e quem envia são responsáveis por ter a permissão dos pais ou responsáveis. Se você acha que há conteúdo de uma criança que não deveria estar publicado, escreva para nós e retiramos.

15 Mudanças nesta política

Se atualizarmos esta política, publicamos a nova versão aqui com a data. Se a mudança for relevante, avisamos por e-mail as contas ativas.

16 Contato

Duribe Tech, nome comercial de David Adrian Uribe Soto — Turbaco, Bolívar, Colômbia.

E-mail para assuntos de privacidade: duribe@fotara.app.