Política de Privacidade

Atualizada em 16 de agosto de 2026

Esta política explica como os dados pessoais são tratados no site fotos.lucafchala.com, em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD).

1. Quem é o responsável

O controlador dos dados é Luca F. Chala (pessoa física), responsável pela fotografia e pela operação deste site.

Encarregado pelo tratamento de dados (DPO) e canal para exercer direitos: privacidade@lucafchala.com.

2. Quais dados são coletados

O site coleta o mínimo necessário, apenas quando você usa um dos formulários:

• Solicitação de remoção de foto: e-mail, telefone, mensagem (opcional) e, se você escolher enviar, a própria foto identificada.
• Formulário de suporte: nome (opcional), e-mail (opcional) e a mensagem.
• Registro de autorização de uso de imagem: ao acessar as fotos de um evento, registramos o seu aceite dos Termos de Uso com data e hora, o evento, a versão dos Termos aceita, a categoria de acesso do projeto (público, privado ou familiar) e a autodeclaração eventualmente aceita (de participação ou de vínculo familiar), além de dados técnicos do acesso (endereço IP, localização aproximada, provedor, navegador/dispositivo, idioma e verificação anti-robô) — e o seu nome, caso você opte por informá-lo. Esses dados servem como comprovação do consentimento e não são usados para outra finalidade.

Além disso, são usados cookies e medição estritamente funcionais:

• Cookie de sessão (apenas no painel administrativo, restrito a mim).
• Cookie de contagem de visualização (fv_…, expira em 1 hora) para não contar a mesma visita várias vezes.
• Medição de acesso anônima e sem cookies (Cloudflare Web Analytics), que não identifica visitantes individualmente.

3. As fotos dos eventos

O tratamento dos dados e imagens obedece à natureza de cada projeto:

• Projetos Familiares: Conforme o art. 4º, I, da LGPD, o tratamento realizado para fins estritamente particulares e não econômicos é isento da aplicação da lei. Protegemos o acesso para garantir a privacidade da família.
• Projetos Privados: A publicação nas galerias apoia-se no legítimo interesse (art. 7º, IX, da LGPD) para entregar o material aos participantes, sustentado pela autodeclaração de participação no acesso.
• Projetos Públicos: Envolvem fotografias sem expectativa de privacidade de terceiros, preservando os direitos autorais.

Para uso em portfólio, a exibição segue o legítimo interesse. Qualquer pessoa retratada pode exercer seu direito de oposição solicitando a remoção da imagem pelo canal facilitado no rodapé do evento.

4. Com quem os dados são compartilhados

Para funcionar, o site utiliza serviços de terceiros que podem processar dados:

• Google Drive — hospeda e disponibiliza as fotos dos eventos.
• Resend — envio dos e-mails das solicitações e do suporte.
• Cloudflare — hospedagem do site, medição anônima de acesso e proteção contra robôs (Turnstile). O Turnstile roda em modo invisível, fazendo uma verificação automática do navegador para distinguir pessoas de robôs, sem exibir desafio nem coletar dados para publicidade. Consulte o Adendo de Privacidade do Turnstile da Cloudflare.
• Google Fonts — fontes tipográficas do site.

Os dados não são vendidos nem usados para publicidade.

4.1. Transferência internacional de dados

Todos os serviços listados acima são operados por empresas sediadas nos Estados Unidos, com infraestrutura distribuída globalmente. Isso significa que os seus dados — inclusive as fotografias — são tratados fora do Brasil.

Essa transferência se apoia no art. 33, inciso III, da LGPD: cada um desses fornecedores oferece garantias por meio de cláusulas contratuais específicas de proteção de dados (Data Processing Agreements), que incorporam as cláusulas-padrão internacionais e obrigam o fornecedor a um nível de proteção compatível com a lei brasileira.

Em outras palavras: o site não roda em servidor no Brasil, e é justo que você saiba disso. A proteção dos seus dados fora do país está garantida por contrato com cada fornecedor, não por promessa minha.

4.2. Decisões automatizadas

Não existem. Nenhum tratamento neste site toma decisão automatizada que produza efeito jurídico ou afete você de forma significativa (art. 20 da LGPD). A verificação anti-robô (Turnstile) apenas distingue pessoas de programas para liberar um formulário — e, se ela falhar, você sempre tem o caminho humano: WhatsApp ou e-mail, indicados na própria tela.

5. Por quanto tempo guardamos

• Solicitações de remoção: mantidas enquanto necessárias para atender ao pedido e apagadas automaticamente em até 6 meses após a resolução.
• Mensagens de suporte: não ficam armazenadas no sistema do site — são entregues por e-mail para mim.
• Registros de autorização de uso de imagem: mantidos como comprovação do consentimento durante o prazo em que a autorização pode ser questionada e apagados automaticamente após 5 anos.

6. Seus direitos

O art. 18 da LGPD garante a você, gratuitamente e sem precisar criar conta:

• Confirmação de que existe (ou não) tratamento de dados seus;
• Acesso aos dados que tenho sobre você;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados fora da lei;
• Portabilidade a outro fornecedor, mediante requisição expressa;
• Eliminação dos dados tratados com o seu consentimento;
• Informação sobre com quem os dados são compartilhados (está na seção 4 acima);
• Informação sobre o que acontece se você não consentir — no caso do acesso às fotos, sem o aceite dos Termos o link do Drive não é liberado, mas isso não impede você de pedir a remoção de uma foto sua;
• Revogação do consentimento, a qualquer momento;
• Oposição a tratamento feito com base no legítimo interesse — este é o direito que se aplica se você aparece numa foto e nunca preencheu nada aqui.

Para exercer qualquer um deles, escreva para mim em privacidade@lucafchala.com ou me chame no WhatsApp.

Para pedir a remoção de uma foto sua, o caminho mais rápido é o botão “Solicitar remoção de foto” no rodapé da página de cada evento. Respondo em até 15 dias.

Para confirmar que o pedido é mesmo seu, posso pedir alguma informação que ajude a te identificar na foto (o evento, o número da imagem). Não peço documento de identidade como primeiro passo — exigir RG ou CPF de quem está justamente pedindo menos exposição seria coletar mais dados do que o necessário.

6.1. Se você não concordar com a minha resposta

Você pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd, ou aos órgãos de defesa do consumidor. Se eu recusar algum pedido, explico o motivo por escrito, citando o fundamento legal — você não vai receber um “não” sem justificativa.

7. Alterações nesta política

Esta política pode ser atualizada para refletir mudanças no site ou na legislação. A data de atualização no topo indica a versão vigente.

8. Menores de idade

Os eventos fotografados (formaturas, eventos escolares e familiares) podem incluir crianças e adolescentes. O tratamento da imagem de menores observa o art. 14 da LGPD e o seu melhor interesse: o consentimento é dado pelos pais ou pelo responsável legal — coletado, quando aplicável, junto à instituição contratante no momento do evento e/ou no aceite dos Termos de Uso feito por quem acessa as fotos na condição de responsável.

Pedidos de remoção de imagens de menores têm prioridade e podem ser feitos a qualquer momento por um responsável, pelo botão “Solicitar remoção de foto” no rodapé do evento ou por privacidade@lucafchala.com.

9. Como os dados são protegidos

As medidas não são genéricas — cada uma está implementada e descrita em detalhe na política de segurança da informação, com o ponteiro para o trecho de código que a executa:

• Conexão sempre cifrada (HTTPS obrigatório) e política de segurança de conteúdo restritiva em todas as páginas.
• Acesso às fotos protegido no servidor: o link do Google Drive não fica no código da página — ele só é liberado após a verificação anti-robô e o aceite dos Termos.
• Painel administrativo com senha derivada por PBKDF2 (100 mil iterações), sessão curta e limite de tentativas com alerta por e-mail.
• Coleta mínima: a mensagem de suporte não é guardada em banco nenhum, e a foto enviada num pedido de remoção não é armazenada — trafega apenas no e-mail.
• Metadados removidos: se você envia uma foto para pedir a remoção, os metadados EXIF (que costumam incluir a localização por GPS de onde a foto foi tirada, o modelo do aparelho e a hora exata) são apagados no servidor antes de qualquer coisa. Você está pedindo menos exposição, não mais.
• Apagamento automático dos prazos da seção 5, executado por rotina diária — com verificação de que a rotina de fato rodou.

10. Incidentes de segurança

Caso ocorra um incidente que possa acarretar risco ou dano relevante aos titulares, comunicarei a ANPD e as pessoas afetadas em até 3 dias úteis do meu conhecimento do fato, conforme o art. 48 da LGPD e a Resolução CD/ANPD nº 15/2024. A comunicação dirá o que aconteceu, quais dados foram afetados e o que fazer a respeito.

Suspeitas de vulnerabilidade podem ser reportadas a security@lucafchala.com — há chave PGP e política de divulgação responsável no security.txt.

Em caso de dúvida sobre seus dados, fale comigo — a remoção de fotos e o atendimento a pedidos são gratuitos e simples.