Política de Privacidade

Esta Política se aplica ao site mandafoto.com.br, ao aplicativo web app.mandafoto.com.br e aos serviços relacionados do MandaFoto.

O MandaFoto é controlador dos dados necessários para operar a plataforma, administrar contas, processar pagamentos, prevenir abusos e atender solicitações. Quando um Host cria um Álbum e convida pessoas, ele define a finalidade do evento e quais conteúdos serão reunidos. Nessa situação, o Host pode ser controlador dos dados e das Mídias dos Convidados, e o MandaFoto atua como operador na medida em que processa esses dados para prestar o serviço ao Host.

O Host deve informar seus Convidados sobre o uso do Álbum e garantir que possui fundamento legítimo para coletar, publicar e compartilhar as Mídias do evento.

Os dados dependem de como você usa o MandaFoto:

• Conta do Host: nome, e-mail, imagem de perfil, identificadores da conta Google e dados de sessão, como endereço IP, dispositivo e navegador.
• Integração com o Google: tokens de acesso e autorização para criar pastas e enviar arquivos ao Google Drive escolhido pelo Host. O MandaFoto solicita o escopo drive.file quando o Host ativa o plano Premium, limitado aos arquivos e pastas criados ou abertos pelo serviço.
• Álbuns: título, data e tipo do evento, código público, plano, configurações de acesso e moderação, datas de disponibilidade e identificador da pasta no Drive.
• Mídias dos Convidados: arquivos enviados, miniaturas, tipo, tamanho, dimensões, data do envio, nome ou apelido opcional e estado de moderação/sincronização.
• Segurança de uploads: uma impressão digital abreviada e pseudonimizada gerada a partir do endereço IP com um segredo interno. Ela é usada para limitar abusos e nunca é exibida em respostas públicas.
• Pagamentos: plano, valor, moeda, estado da cobrança, identificador e dados técnicos da sessão do Stripe. Os dados completos do cartão são coletados diretamente pelo Stripe, não pelo MandaFoto.
• Aviso de expiração: quando um Álbum Grátis com Mídias está prestes a expirar, enviamos ao e-mail do Host um aviso transacional com o título do Álbum, a contagem de contribuintes e o horário exato em que a galeria deixa de abrir. Esse envio usa o e-mail que o Host já forneceu ao entrar com o Google.
• Analytics de produto: se um Host ou visitante do site institucional aceitar, poderemos registrar eventos explícitos de uso, como páginas ou fluxos vistos, cliques em chamadas principais, início e conclusão de etapas, plano do Álbum, origem de campanha permitida e identificadores opacos necessários para medir funis. Para Hosts, o identificador é apenas o User.id interno da Better-Auth. A experiência pública do Álbum não envia eventos ao PostHog nem ao Microsoft Clarity e não solicita consentimento de analytics ao Convidado.
• Contagens da galeria: registramos contagens diárias por Álbum, como aberturas, envios iniciados, falhas de envio, uso do visualizador de fotos (quantas fotos foram vistas, por quanto tempo, zoom, downloads, compartilhamentos e se foram como link do Álbum ou como arquivo, e o que foi escolhido ao chegar ao fim do Álbum) e há quanto tempo o aparelho abriu o Álbum pela primeira vez, em faixas como “mesmo dia” ou “7 a 13 dias”. Elas ficam no nosso banco de dados, sem identificador do Convidado, endereço IP, dados do aparelho ou da foto, e não vão para nenhum fornecedor de analytics.
• Armazenamento local e cookies: cookies estritamente necessários para manter a sessão do Host; no dispositivo do Convidado, o armazenamento local do navegador pode guardar o nome opcional, o token temporário de acesso a Álbum protegido e preferências do próprio aparelho, como a ordem da galeria, avisos já dispensados, se este aparelho já enviou fotos e a data em que abriu o Álbum pela primeira vez. Essa data nunca sai do aparelho e é apagada quando o aparelho abre o Álbum depois que a galeria expirou. Também podemos usar o cookie primário mf_attribution, por até 30 dias, para lembrar as etiquetas de campanha e a origem do primeiro acesso (utm_source, utm_medium, utm_campaign, utm_content, utm_term, utm_id, fbclid, ad_id, adset_id e placement) e anexar as quatro primeiras quando um Host cria um Álbum. Esse cookie é primário, guarda apenas etiquetas de campanha e nunca recebe dados pessoais, mas não é estritamente necessário para o serviço funcionar.
• Site de marketing: dados técnicos normalmente enviados em uma visita, como IP, navegador e registros de acesso, inclusive aos provedores de hospedagem e de fontes web. Análises comportamentais próprias no site só acontecem com consentimento prévio por meio do PostHog e do Microsoft Clarity; este último pode registrar a sessão de navegação para identificar pontos de melhoria. Com o mesmo consentimento, também carregamos o Meta Pixel para medir os resultados dos nossos anúncios no Facebook e no Instagram, o que envolve cookies publicitários de terceiros.

• autenticar Hosts, manter sessões e administrar contas;
• criar, exibir, proteger, moderar e operar Álbuns;
• receber Mídias e mostrá-las na galeria conforme as escolhas do Host;
• sincronizar Mídias aprovadas com o Google Drive do Host;
• processar upgrades, confirmar pagamentos e combater fraudes;
• aplicar limites de plano, segurança e volume de uploads;
• lembrar, quando houver, etiquetas de campanha e origem do primeiro acesso para entender de onde veio a criação de um Álbum;
• medir, somente com consentimento e fora da experiência pública do Álbum, desempenho de páginas, funis de criação de Álbum, conversão de planos e melhorias do produto;
• diagnosticar falhas, manter registros operacionais e melhorar a confiabilidade;
• cumprir obrigações legais e responder a titulares, autoridades ou ordens válidas.

Não vendemos dados pessoais nem usamos as Mídias dos Álbuns para publicidade direcionada.

Conforme a Lei Geral de Proteção de Dados Pessoais (LGPD), o tratamento pode se apoiar na execução do contrato e de procedimentos solicitados por você; no cumprimento de obrigações legais ou regulatórias; no exercício regular de direitos; no legítimo interesse de operar e proteger o serviço, após avaliação dos direitos envolvidos; e no consentimento, quando essa for a base adequada.

O envio voluntário de uma Mídia não substitui outras autorizações que possam ser necessárias para uso de imagem, tratamento de dados de terceiros ou participação de crianças e adolescentes. Essas responsabilidades são tratadas também nos Termos de Serviço.

O Aviso de expiração é um aviso de serviço sobre um Álbum do próprio Host, com base na execução do contrato — não é comunicação de marketing e não depende de consentimento prévio.

Para analytics de produto enviado ao PostHog, usamos consentimento prévio e explícito para todas as finalidades e para a transferência internacional correspondente. Não usamos legítimo interesse como base alternativa para esse processamento pelo fornecedor.

Quando ativarmos a medição de produto, o MandaFoto poderá usar a PostHog Inc. e o Microsoft Clarity como operadoras/processadoras para entender, de forma limitada, como Hosts e visitantes do site institucional chegam aos fluxos principais, onde abandonam etapas e quais melhorias priorizar. Com o mesmo consentimento, o Meta Pixel mede os resultados dos nossos anúncios e recebe os eventos de conversão descritos abaixo. A coleta depende de consentimento explícito antes de qualquer captura.

A preferência tem três estados: indeciso, aceito ou rejeitado, e é uma escolha única que vale para as três ferramentas: aceitar cobre tanto a medição de produto (PostHog e Microsoft Clarity) quanto a publicidade (Meta Pixel). Enquanto estiver indecisa, nenhum evento será enviado ao PostHog, o Microsoft Clarity não será carregado e o Meta Pixel não será inicializado. Se a preferência for rejeitada depois de um aceite, a coleta do PostHog é interrompida, o Microsoft Clarity já carregado recebe o sinal de consentimento negado pela Consent API V2 e nenhum novo evento é enviado ao Meta. Aceitar e rejeitar são escolhas igualmente fáceis, e a retirada do consentimento continua disponível depois da escolha. O controle de preferências fica acessível no site institucional e nas áreas autenticadas do aplicativo.

Você pode revisar ou alterar sua escolha a qualquer momento: abrir preferências de privacidade.

Para Hosts autenticados, o PostHog pode receber apenas o identificador opaco interno da conta (User.id da Better-Auth), sem nome, e-mail, conta Google ou identificadores de pagamento. A experiência pública do Álbum não carrega nem captura PostHog, mesmo que uma preferência tenha sido registrada anteriormente em outra área. O uploaderFingerprint usado na segurança de uploads nunca é enviado ao PostHog.

O PostHog será usado na região Cloud US, hospedada na Virgínia, Estados Unidos. O consentimento para analytics inclui essa transferência internacional. Essa adoção é uma decisão operacional do MandaFoto, com riscos contratuais e de transferência internacional residuais documentados, e não uma opinião jurídica independente.

Não enviamos ao PostHog, ao Microsoft Clarity ou ao Meta, e não habilitamos para medição:

• autocaptura automática de tela, gravação/replay de sessão, GeoIP ou armazenamento de IP bruto;
• Mídias do Álbum, miniaturas, URLs, chaves de armazenamento, nomes de arquivo, EXIF ou conteúdo enviado;
• nome, e-mail, telefone, conta Google, dados de cartão, identificadores do Stripe ou mensagens livres;
• título do Álbum, código público, senha de acesso, uploaderFingerprint, cookies de sessão, tokens, cabeçalhos de autorização ou URLs de upload;
• venda de dados, segmentação publicitária a partir de Mídias ou treinamento de modelos com Mídias.

O Meta Pixel recebe menos do que o PostHog: apenas o fato de que um evento de conversão aconteceu, o plano pretendido no início de um checkout e um identificador de evento opaco, derivado do registro que confirma a conversão e usado somente para evitar contagem duplicada. Ele nunca recebe o valor pago, o identificador do Álbum, o User.id, nem qualquer dado das listas acima. O evento CompleteRegistration só é enviado quando uma conta de Host é criada de fato, nunca em um login de retorno.

Compartilhamos apenas o necessário para operar o serviço:

• Cloudflare: hospedagem, entrega de conteúdo, segurança e armazenamento de Mídias no R2;
• provedor de banco de dados: armazenamento dos registros de contas, Álbuns, Mídias e pagamentos;
• Google: autenticação e sincronização com o Drive autorizada pelo Host;
• Stripe: Checkout e processamento dos pagamentos;
• Resend: entrega por e-mail do Aviso de expiração ao Host, operadora recebendo apenas o e-mail do Host, o título do Álbum, a contagem de contribuintes e o link de checkout do Álbum — nunca Mídias, senha de Álbum ou uploaderFingerprint;
• Inngest: execução e acompanhamento de tarefas em segundo plano;
• PostHog Inc.: analytics de produto de Hosts e do site institucional somente após consentimento, como operadora/processadora, na região Cloud US (Virgínia, Estados Unidos); a experiência pública do Álbum fica excluída;
• Microsoft Clarity: análise de navegação e gravações de sessão do site institucional somente após consentimento; a experiência pública do Álbum fica excluída;
• Meta Platforms: medição e otimização de anúncios no Facebook e no Instagram, somente após consentimento, por meio do Meta Pixel no site institucional e nas áreas autenticadas do aplicativo; recebe apenas os eventos de conversão PageView, CompleteRegistration, AlbumCreated e InitiateCheckout, com identificadores de evento opacos e sem qualquer dado pessoal. A experiência pública do Álbum fica excluída: nenhuma rota pública de Álbum carrega o Meta Pixel;
• Host e Convidados: Mídias aprovadas, nome ou apelido do remetente e dados do Álbum podem aparecer na galeria pública ou protegida por senha, conforme a configuração do Host;
• autoridades ou terceiros: quando necessário para cumprir a lei, ordem válida, proteger direitos ou investigar fraude e abuso.

Alguns fornecedores podem processar dados fora do Brasil. Nesses casos, adotamos medidas contratuais e técnicas compatíveis com a LGPD e exigimos proteção adequada aos dados transferidos. No caso do PostHog, a transferência para os Estados Unidos só poderá ocorrer se você aceitar analytics. O Resend também pode processar o envio do Aviso de expiração fora do Brasil; por se apoiar na execução do contrato, essa transferência não depende de consentimento de analytics.

Mantemos os dados pelo tempo necessário para prestar o serviço, cumprir os períodos do plano, resolver disputas, prevenir fraude e atender obrigações legais. A expiração de uma galeria interrompe sua disponibilidade pública, mas não significa eliminação imediata de todos os registros e cópias.

Todo Álbum tem um prazo de guarda definido pelo plano, contado a partir da âncora do ciclo de vida (a data do evento ou, se posterior, a criação do Álbum): 7 dias no Grátis, 3 meses no Essencial e 6 meses no Premium. Enquanto as Mídias estão guardadas, a galeria fica no ar. Esse prazo é um mínimo: nada é removido antes dele. Encerrado o prazo, a galeria sai do ar e as Mídias tornam-se elegíveis para remoção definitiva dos nossos servidores, após um período técnico interno de retenção. O Host deve baixar as fotos que quiser manter antes do fim do prazo.

Em Álbuns Premium, Mídias aprovadas podem ser copiadas para o Google Drive do Host. Essa cópia pertence ao Host, fica na conta dele e não é removida por nós. Registros mínimos podem ser conservados quando permitidos pela LGPD.

Usamos controles de acesso, hashes para senhas de Álbum, pseudonimização de IP, links de upload temporários e medidas de infraestrutura. Nenhum sistema é infalível; por isso, o Host deve manter cópias próprias das Mídias importantes e proteger sua conta e seus links de acesso.

Em analytics, eventos brutos enviados ao PostHog deverão ser mantidos por no máximo 12 meses. As gravações de sessão do Microsoft Clarity ficam disponíveis por até 30 dias, e sessões marcadas ou dados agregados podem permanecer por até 9 meses. A atribuição de campanha do cookie mf_attribution dura até 30 dias. Os dados enviados ao Meta seguem os prazos de retenção da própria Meta Platforms, definidos por ela e descritos na política de dados da plataforma. Se o plano do PostHog não oferecer prazo configurável de retenção, usaremos um procedimento recorrente de exclusão ou rotação de projeto, testado antes de qualquer captura em produção.

Nos termos da LGPD, você pode solicitar confirmação e acesso ao tratamento; correção; anonimização, bloqueio ou eliminação de dados desnecessários ou irregulares; portabilidade quando aplicável; informação sobre compartilhamentos; revisão de decisões automatizadas; oposição; e revogação do consentimento, quando essa for a base utilizada.

Para exercer um direito, escreva para privacidade@mandafoto.com.br. Podemos pedir informações razoáveis para confirmar sua identidade. Se o pedido tratar de uma Mídia ou dado controlado por um Host, poderemos encaminhá-lo ao Host ou orientar você a contatá-lo.

O MandaFoto não é direcionado a crianças para criação de contas. Eventos podem envolver crianças e adolescentes; nesses casos, o Host deve observar o melhor interesse do menor e obter as autorizações necessárias de pais ou responsáveis antes de coletar ou publicar Mídias e dados pessoais.

Se você identificar conteúdo de menor publicado sem autorização adequada, solicite a remoção em privacidade@mandafoto.com.br.

Podemos atualizar esta Política para refletir mudanças no serviço, na legislação ou em nossas práticas. A versão vigente sempre indicará a data da última atualização. Mudanças relevantes poderão ser comunicadas também dentro do serviço.

Dúvidas, solicitações ou comunicações sobre privacidade: privacidade@mandafoto.com.br.