Política de Privacidade e Proteção de Dados (GDPR / RGPD)

1. Quem somos

A Photohawk é uma plataforma de fotografia de eventos que permite a fotógrafos e organizadores publicar, pesquisar e vender fotos de eventos.

• Entidade jurídica: CLOUDCONCUR LTD (número de sociedade 13399913), uma sociedade registada em Inglaterra e no País de Gales, que opera sob o nome comercial Photohawk.
• Endereço da sede: 23 Caldey Gardens, Ingleby Barwick, Stockton-on-Tees, TS17 5HW, United Kingdom.
• Encarregado da Proteção de Dados (DPO): Andrew Hammond — contacto support@photohawk.com.
• Representante na UE (art. 27 do GDPR): não designámos um representante na UE, com fundamento em que o nosso tratamento de dados de residentes da UE é ocasional e não constitui a nossa atividade principal (art. 27(2)). Reavaliamos regularmente este ponto e designaremos um representante se o nosso tratamento se alterar.
• Autoridades de controlo: o Information Commissioner's Office (ICO) para o Reino Unido, e as autoridades da UE, incluindo a CNIL em França, para as pessoas situadas na UE.

2. Os nossos dois papéis — responsável pelo tratamento e subcontratante

A Photohawk dirige-se a duas categorias de pessoas, e o nosso papel jurídico difere para cada uma:

• Fotógrafos e organizadores (os nossos clientes). Relativamente aos dados da sua conta (nome, e-mail, dados profissionais, credenciais de acesso, faturação e pagamentos), a Photohawk é o responsável pelo tratamento.
• Participantes em eventos e compradores (os seus clientes). Relativamente aos dados das pessoas que figuram nas fotos e que as compram, o utilizador (o fotógrafo/organizador) é o responsável pelo tratamento e a Photohawk é o seu subcontratante — tratamos esses dados de acordo com as suas instruções para gerir as galerias, a pesquisa e as vendas que configurou. Um acordo de tratamento de dados (ver §11) rege esta relação.

3. Que dados pessoais tratamos

Para fotógrafos/organizadores (somos o responsável pelo tratamento):

• Identidade e contacto: nome, e-mail, telefone, denominação comercial, endereço.
• Conta e segurança: credenciais de acesso (via AWS), sessões.
• Dados financeiros: dados de subscrição/faturação (via Stripe) e dados de pagamento (via Trolley).

Para participantes/compradores (somos subcontratante, por conta do organizador):

• Identidade e contacto: nome, e-mail, número de telefone, endereço postal/de faturação.
• Fotografias dos participantes.
• Dados biométricos — quando a pesquisa por rosto/selfie está ativada (ver §4).
• Dados de encomenda e de pagamento (tratados através dos nossos prestadores de pagamento; não conservamos os números de cartão completos).
• Estado de consentimento de marketing, quando o participante o autoriza.

4. Pesquisa por rosto e selfie (dados biométricos de categoria especial)

Quando um organizador ativa a pesquisa por selfie/rosto, a Photohawk cria uma representação matemática dos rostos para que um participante possa encontrar as suas próprias fotos.

• Finalidade: exclusivamente para associar uma pessoa às suas próprias fotos do evento.
• Local: tratados e armazenados na União Europeia (AWS, região da Irlanda).
• Conservação: os dados biométricos/de rosto são automaticamente eliminados quando uma galeria expira (no prazo de ~60 dias) e aquando da eliminação de uma galeria — consoante o que ocorrer primeiro.
• Fundamento jurídico (art. 9 do GDPR): os dados biométricos constituem uma categoria especial, tratados com base no consentimento explícito da pessoa. Enquanto responsável pelo tratamento dos participantes, o organizador é responsável por obter o consentimento explícito exigido antes de ativar a pesquisa por rosto. Para o apoiar, a Photohawk disponibiliza um passo de consentimento integrado: o participante é convidado a consentir antes de a sua selfie ser utilizada para a pesquisa por rosto, podendo recusar.
• Menores: ver §13.

5. Por que utilizamos os dados e os nossos fundamentos jurídicos

• Para prestar o serviço (alojar galerias, executar a pesquisa, processar encomendas): execução de um contrato.
• Pagamentos, transferências, registos fiscais e contabilísticos: execução de um contrato e cumprimento de uma obrigação legal.
• Pesquisa por rosto/selfie: o consentimento explícito da pessoa (art. 9), obtido conforme descrito no §4.
• E-mails/mensagens de marketing: apenas com o consentimento do destinatário (opt-in), que pode ser retirado a qualquer momento.
• Cookies de análise de audiência e publicitários: apenas com o seu consentimento, dado através do nosso banner de cookies (ver §12).
• Segurança, prevenção da fraude e melhoria do serviço: o nosso interesse legítimo, ponderado face aos seus direitos.

6. Onde os seus dados são armazenados e transferências internacionais

• Localização dos dados: os dados dos participantes e das contas — incluindo as fotos e os dados biométricos de rosto — são alojados na União Europeia (AWS, Irlanda / eu-west-1). O nosso serviço de identidade (AWS) está igualmente na UE.
• Transferências internacionais: alguns dos nossos subcontratantes (ver §7) operam fora da UE/do Reino Unido (por ex. nos Estados Unidos). Quando os dados pessoais são transferidos para fora da UE/do Reino Unido, baseamo-nos numa decisão de adequação quando aplicável e, na sua falta, nas Cláusulas Contratuais-Tipo (CCT) da Comissão Europeia, juntamente com o Adendo de Transferência de Dados Internacionais do Reino Unido, acrescidas de garantias adicionais quando necessário.

7. Subcontratantes

Recorremos a um pequeno número de prestadores cuidadosamente selecionados para prestar o serviço, cada um vinculado por um acordo de tratamento de dados (e pelas CCT/Adendo do Reino Unido quando tratam dados fora da UE/do Reino Unido):

Uma lista atualizada está disponível mediante pedido.

8. Durante quanto tempo conservamos os dados (conservação)

• Dados biométricos / de rosto: eliminados no prazo de ~60 dias após a expiração de uma galeria, e aquando da eliminação de uma galeria (ver §4).
• Fotos e vídeos: a conservação é controlada pelo titular da conta (o organizador/fotógrafo). O conteúdo é conservado enquanto o titular da conta o mantiver; os titulares de conta podem eliminar fotos, vídeos, galerias e registos de participantes a qualquer momento, e eliminamo-los quando o fazem. A Photohawk não impõe um período de vida fixo a este conteúdo.
• Encomendas e registos financeiros: conservados durante 7 anos para cumprir as obrigações fiscais e contabilísticas.
• Registos de contacto de participantes/compradores: controlados pelo organizador — conservados enquanto o organizador os mantiver, e eliminados quando o organizador os elimina ou mediante um pedido de apagamento verificado.
• Listas de marketing: conservadas até à retirada do consentimento.
• Os registos operacionais/de segurança são conservados durante 30 dias.

9. Como protegemos os dados

• Em trânsito: cifrados através de HTTPS/TLS em todo o lado.
• Em repouso: as fotos e os conteúdos são armazenados na AWS e na Cloudflare R2, que cifram os dados em repouso por predefinição; as credenciais sensíveis (por ex. tokens de contas associadas) são adicionalmente cifradas com AWS.
• Controlos de acesso: acesso autenticado via AWS; o acesso do pessoal está limitado ao que é necessário para operar o serviço.

10. Os seus direitos

Ao abrigo do GDPR/RGPD e do UK GDPR, tem o direito de: aceder aos seus dados; retificá-los; apagá-los («direito a ser esquecido»); limitar ou opor-se ao tratamento; à portabilidade dos dados; e de retirar o consentimento a qualquer momento. Tem igualmente o direito de apresentar reclamação junto de uma autoridade de controlo (o ICO no Reino Unido, ou a sua autoridade local, tal como a CNIL em França).

Como exercê-los:

• Fotógrafos/organizadores (somos o responsável pelo tratamento): contacte o nosso DPO em support@photohawk.com. Respondemos no prazo de um mês.
• Participantes/compradores (o organizador é o responsável pelo tratamento): contacte o fotógrafo ou o organizador que geriu o seu evento. Os fotógrafos podem eliminar os dados pessoais de um participante — incluindo as suas fotos e quaisquer dados de pesquisa por rosto — a partir da Photohawk, e a Photohawk executará um pedido verificado por conta do organizador.

O encerramento de uma conta Photohawk cessa a faturação, mas não apaga por si só os dados armazenados; peça-nos o apagamento dos dados se for disso que necessita.

11. Acordo de Tratamento de Dados (DPA)

Para os fotógrafos/organizadores, o nosso tratamento dos dados dos seus participantes é regido por um Acordo de Tratamento de Dados ao abrigo do art. 28 do GDPR, que disponibilizamos mediante pedido em support@photohawk.com.

12. Cookies e tecnologias semelhantes

• Os cookies estritamente necessários (para o início de sessão, a segurança e as funcionalidades essenciais) estão sempre ativos; não requerem consentimento.
• Os cookies de análise de audiência e publicitários — Google Analytics e o Meta Pixel (ver §7) — não são essenciais e apenas são carregados após o seu consentimento, dado através do nosso banner de consentimento de cookies. Pode alterar ou retirar a sua escolha a qualquer momento através do banner / das definições de cookies. A recusa deixa o serviço plenamente utilizável.
• Mais pormenores constam da nossa Política de Cookies separada.

13. Dados de menores

Os eventos podem incluir menores. O consentimento para a pesquisa por rosto/selfie é da responsabilidade do organizador (ver §4); quando possam estar presentes menores, o organizador deve obter o consentimento de um progenitor ou tutor antes de ativar a pesquisa por rosto para eles. A Photohawk não cria conscientemente dados biométricos de uma criança sem esse consentimento, e o passo de consentimento integrado reforça este princípio.

14. Violações de dados

Em caso de violação de dados pessoais, a Photohawk notificará o responsável pelo tratamento em causa sem demora injustificada após dela tomar conhecimento, e ajudá-lo-á a cumprir as suas próprias obrigações de notificação às autoridades de controlo e às pessoas em causa (Art. 33–34 do GDPR).

15. Alterações a esta política

Podemos atualizar esta política; a «Data de efeito» acima indica a versão em vigor. As alterações substanciais serão comunicadas aos titulares de conta.

16. Contacto

Encarregado da Proteção de Dados — Andrew Hammond. CLOUDCONCUR LTD (número de sociedade 13399913), que opera sob o nome Photohawk. E-mail: support@photohawk.com · 23 Caldey Gardens, Ingleby Barwick, Stockton-on-Tees, TS17 5HW, United Kingdom.