Política de retenção e exclusão

O que guardamos, por quanto tempo e por quê

• Selfie enviada na busca

  Descartada na mesma requisição

  Nunca é gravada em disco nem em bucket. Vira vetor em memória e é descartada; só o hash SHA-256 fica, para auditoria da busca.

  Base legal: Consentimento específico e destacado (LGPD art. 11, I; BIPA §15(b); CUBI §503.001)

• Medida do rosto (embedding facial)

  30 dias

  Cada vetor nasce com data de expiração gravada. Rotina diária apaga o que venceu e registra a exclusão em trilha de auditoria.

  Base legal: Consentimento específico para dado pessoal sensível (LGPD art. 11, I)

• Idade mínima para a busca pelo rosto (13 anos)

  Nada é coletado

  Abaixo de 13 anos não fazemos busca pelo rosto e não coletamos nada para isso: nem selfie, nem e-mail, nem endereço de responsável. O método de verificação parental que a lei exige nessa faixa (cartão de crédito, documento, videochamada) não é oferecido aqui, e sem ele o tratamento não pode acontecer. A busca pelo número de peito, que não usa rosto, continua disponível.

  Base legal: Recusa de tratamento — COPPA 16 CFR §312.5(b) exige verificação parental reforçada abaixo dessa idade

• Autorização do responsável legal (de 13 a 17 anos)

  365 dias

  Quem declara ter menos de 18 anos informa o e-mail do responsável. O pedido vai para esse endereço e nada é processado até o responsável confirmar: nenhuma medida do rosto é gerada, nenhuma busca é liberada e nenhum aviso é enviado. Abrir o link não decide nada — a confirmação só acontece com um clique no botão da página, para que um verificador automático de e-mail não possa autorizar no lugar do responsável. Depois de autorizar, um segundo e-mail chega com o que foi autorizado e um link de revogação. Se ninguém decidir até o link vencer, o pedido inteiro é destruído, com registro em trilha de auditoria — inclusive o endereço do menor e o do responsável.

  Base legal: Consentimento específico dado pelo responsável legal (BIPA §15(b); LGPD art. 14, §1º)

• Registro do consentimento

  365 dias

  Guardamos data, hora, IP, navegador e a versão do texto aceito. Revogar apaga a biometria na hora; este registro permanece porque é o que comprova o que foi aceito e que foi revogado.

  Base legal: Cumprimento de obrigação legal — é a prova do próprio consentimento

• Auditoria da busca (hash da selfie, limiar, nº de resultados)

  30 dias

  Apagada junto com a biometria, e imediatamente em caso de revogação.

  Base legal: Legítimo interesse em segurança e prestação de contas

• Fotos do evento

  365 dias

  Acesso rápido nos primeiros 30 dias; depois vão para armazenamento frio. Ao fim do prazo total a ação é "archive".

  Base legal: Execução de contrato com o fotógrafo / organizador do evento

Como destruímos

A exclusão é automática e auditável. Cada medida de rosto nasce com uma data de expiração gravada junto e é removida por uma rotina diária ao atingir o prazo. Cada exclusão gera uma linha de auditoria com o que foi apagado, quando e por quê — não depende de alguém lembrar de apagar, e conseguimos provar que aconteceu.

As fotos do evento seguem o mesmo princípio: acesso rápido no início, armazenamento frio depois e, ao fim do prazo total, a ação é arquivamento.

O que nunca fazemos

• Não guardamos a sua selfie. Ela vira uma medida numérica em memória e é descartada na mesma requisição.
• Não usamos o seu rosto para publicidade nem para treinar modelos.
• Não vendemos, alugamos nem compartilhamos dados biométricos.
• Não comparamos você com as fotos de outros eventos.

Seus direitos

• Revogar a qualquer momento, sem justificar e sem perder as fotos que já comprou.
• Confirmar, acessar e corrigir os dados que temos sobre você.
• Pedir a exclusão — a revogação já apaga a biometria na hora; o registro do consentimento é mantido apenas como prova de que você autorizou e de que revogou.
• Não usar o rosto. A busca pelo número de peito encontra as mesmas fotos e está sempre disponível.
• Autorizar por um menor de 18 anos. O pedido vai para o e-mail do responsável legal e nada é processado antes da confirmação dele. Ele revoga pelo mesmo canal, a qualquer tempo.

Revogar agora

Depois de revogar, a busca pelo rosto para de funcionar para você — a busca pelo número de peito continua normalmente.

Encarregado de dados

Encarregado de Proteção de Dados — FBPrimeShot
Dúvidas e exercício de direitos: privacidade@fbprimeshot.com
Pedido de exclusão por outro canal: exclusao@fbprimeshot.com

Respondemos em até 15 dias. Se você mora em Illinois, no Texas, no Colorado ou em Oregon, os seus direitos específicos sob a lei local também se aplicam.

Leis que seguimos

• BIPA — 740 ILCS 14 (Illinois)
• CUBI — Tex. Bus. & Com. Code §503.001 (Texas)
• Colorado Privacy Act / Oregon Consumer Privacy Act (biometria = dado sensível, opt-in)
• LGPD — Lei 13.709/2018, art. 11 (Brasil)