Política de Privacidade — Vervo Film

1. Quem trata seus dados

A plataforma Vervo é operada por GSD COMERCIO E NEGOCIOS DIGITAIS LTDA, inscrita no CNPJ 28.528.315/0001-25, com sede em Rua Santa Cruz, 2187, Sala 10 — Vila Mariana, São Paulo/SP, CEP 04121-002 ("Vervo", "nós").

Contato geral: hello@getvervo.com · (11) 91435-7984. Encarregado pelo Tratamento de Dados Pessoais (DPO): dpo@getvervo.com.

2. As duas naturezas: quando somos Controladora e quando somos Operadora

A LGPD distingue quem decide sobre o tratamento (Controlador) de quem apenas executa o tratamento por conta de outrem (Operador). No Vervo Film, a Vervo ocupa os dois papéis, dependendo do dado:

• Controladora — dados da sua conta de comprador: nome, e-mail, telefone e dados de pagamento de quem contrata o evento. Sobre esses dados, é a Vervo que decide as finalidades e os meios do tratamento.
• Operadora — dados do convidado e do evento: as fotos e vídeos enviados, o nome que o convidado informa na entrada, o identificador do dispositivo (device_id) e os horários de envio. Sobre esses dados, quem decide é o Organizador do evento, que é o Controlador; a Vervo apenas os trata conforme a instrução dele, para executar o serviço contratado, e pode recusar instrução ilegal.

3. Dados que tratamos

Tratamos apenas os dados necessários a cada finalidade:

• Da sua conta (como Controladora): nome, e-mail, telefone e dados de pagamento — coletados no cadastro e na contratação do evento.
• Do convidado e do evento (como Operadora): o nome que o convidado informa na entrada, um identificador do dispositivo (device_id), a data e a hora de cada envio e o conteúdo enviado (fotos e vídeos). Não pedimos e-mail, telefone, CPF nem cadastro do convidado para participar.
• Técnicos e de segurança: endereço IP, versão do navegador e registros de acesso, usados para autenticação, prevenção a fraude e cumprimento de obrigações legais.

4. Bases legais (art. 7º e art. 11 da LGPD)

Cada tratamento tem a sua própria base legal:

• Dados da conta do comprador: execução do contrato (art. 7º, V), cumprimento de obrigação legal e fiscal (art. 7º, II) e legítimo interesse em segurança e prevenção a fraude (art. 7º, IX).
• Nome, device_id e horário do convidado: consentimento do titular, manifestado no aceite dos Termos do Convidado na entrada (art. 7º, I), somado à obrigação legal de guarda dos registros de acesso (art. 15 do Marco Civil da Internet).
• Fotos e vídeos do evento: a base é eleita pelo Organizador, na condição de Controlador — em regra, o legítimo interesse na documentação do próprio evento ou o consentimento das pessoas retratadas. Cabe ao Organizador informar os convidados e obter as autorizações de imagem.
• Moderação automática de conteúdo: legítimo interesse (art. 7º, IX, combinado com o art. 10) em impedir a exibição de conteúdo impróprio no telão.

5. Não fazemos reconhecimento facial

A Vervo NÃO faz reconhecimento facial, não extrai templates biométricos e não indexa rostos. Quando o adicional de telão está contratado, uma inteligência artificial analisa cada envio apenas para detectar obscenidade e conteúdo impróprio antes da exibição — ela avalia a imagem, não identifica a pessoa.

Como não há identificação biométrica de indivíduos, esse tratamento não envolve dado pessoal sensível na acepção do art. 11 da LGPD. O conteúdo é processado exclusivamente para essa moderação e não é usado para treinar modelos de inteligência artificial, próprios ou de terceiros.

6. Por quanto tempo guardamos

Os prazos de retenção seguem a natureza do dado:

• Dados da conta: mantidos enquanto a conta existir. Encerrada a conta, são eliminados, ressalvados os dados que a lei obrigue a conservar (por exemplo, registros fiscais).
• Conteúdo do evento (fotos e vídeos): fica disponível por 10 dias corridos contados da data do evento — ou 30 dias, se contratada a Guarda Estendida. Terminado o prazo, é eliminado definitivamente dos nossos servidores, sem backup e sem possibilidade de recuperação.
• Registros de acesso (o nome informado, o device_id e o horário dos envios, sem as imagens): guardados pelo prazo legal do art. 15 do Marco Civil da Internet, para permitir a identificação de autoria mesmo depois de o conteúdo ter sido apagado. A separação é intencional: as imagens somem no prazo do álbum; o registro de quem enviou, o quê e quando permanece pelo período que a lei exige.

7. Com quem compartilhamos e transferência internacional

Não vendemos, alugamos nem comercializamos seus dados. Para operar o serviço, contamos com suboperadores, cada um com acesso limitado ao mínimo necessário:

• Supabase Inc. — hospedagem, banco de dados e armazenamento (storage) do conteúdo e dos registros.
• Mercado Pago e Stripe — processamento de pagamento. Recebem apenas os dados necessários à cobrança e NÃO têm acesso ao conteúdo do evento.
• Provedor de e-mail — envio de confirmações, do link do álbum e dos avisos de expiração.
• Autoridades competentes — apenas mediante requisição legal ou ordem judicial.
• Parte desse armazenamento pode ocorrer em servidores localizados fora do Brasil. Nesses casos, a transferência internacional é feita com garantias compatíveis com a LGPD (art. 33).

8. Segurança e comunicação de incidentes

Adotamos medidas técnicas e organizacionais para proteger os dados:

• Criptografia em trânsito (TLS) e em repouso.
• Segregação de acesso por linha (Row Level Security): os dados de cada evento ficam isolados dos demais.
• Segregação e proteção das chaves de acesso, com separação entre chaves públicas e chaves privilegiadas.
• Eliminação programada e automática do conteúdo ao fim do prazo de retenção.

9. Seus direitos e como exercê-los

Como titular, a LGPD (art. 18) garante a você:

• confirmar a existência de tratamento e acessar seus dados;
• corrigir dados incompletos, inexatos ou desatualizados;
• solicitar anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
• solicitar a portabilidade e a eliminação dos dados tratados com base no consentimento;
• revogar o consentimento e ser informado sobre o compartilhamento dos seus dados.

10. Canais de atendimento

Para exercer seus direitos, fale com o nosso Encarregado (DPO) em dpo@getvervo.com — respondemos em até 15 dias. Se você é convidado e quer apagar suas fotos antes do prazo, escreva para dpo@getvervo.com informando o nome do evento, o nome que usou na entrada e a data. Sobre os dados do evento o Controlador é o Organizador, de modo que pedidos que dependam de decisão dele podem ser encaminhados a ele.

Achou no telão ou no álbum algo que expõe você ou outra pessoa, ou conteúdo ilícito? Escreva para abuso@getvervo.com. Analisamos em até 24 horas úteis e, na dúvida, removemos.

11. Cookies e armazenamento local

Usamos armazenamento local no navegador (localStorage e sessionStorage) para manter você autenticado durante a sessão, guardar preferências e manter a conexão com o evento ativo. Esses dados ficam no seu dispositivo, não são usados para publicidade e não são compartilhados com terceiros para marketing.

12. Alterações desta política

Podemos atualizar esta Política periodicamente. Alterações relevantes serão informadas pelo site ou por e-mail, e a data de atualização no topo sempre reflete a versão vigente. As condições aplicáveis à contratação do seu evento são as vigentes na data da compra.

13. Lei aplicável e foro

Esta Política é regida pelas leis da República Federativa do Brasil. Para dirimir controvérsias, fica eleito o foro do domicílio do consumidor (art. 101, I, do Código de Defesa do Consumidor), em alinhamento com os Termos do Evento.