Luma Albums
English
Acordo de tratamento de dados
Luma Studio · Última atualização: 24 de outubro de 2026
Este acordo faz parte dos termos do Luma Studio e aplica-se a cada subscrição, sem ser preciso assiná-lo. As partes são o fotógrafo subscritor («Responsável») e Nelson Silva, empresário em nome individual com o nome comercial VisualMind, NIF 257272259, com domicílio profissional na Rua de São Vicente, 20, Braga, Portugal («Subcontratante»). Cumpre o artigo 28.º do Regulamento Geral sobre a Proteção de Dados (RGPD). Se precisares de uma cópia assinada, pede-a para [email protected].
1. Objeto e duração
A Subcontratante aloja e mostra as provas de álbum que o Responsável publica, recebe os comentários e as aprovações dos clientes, e envia os emails do serviço. O acordo dura enquanto a Subcontratante guardar dados das provas do Responsável.
2. Dados e titulares
| Titulares | Dados |
|---|---|
| Clientes do Responsável e quem eles convidarem a ver a prova | Nome e email do cliente, se indicados; imagens das lâminas, que podem mostrar pessoas; comentários e as suas posições; nome de quem aprovou; datas; endereço IP, usado só em memória para limitar pedidos; cookie de sessão do PIN. |
| Pessoas fotografadas | A sua imagem, nas lâminas publicadas. |
O serviço não se destina a categorias especiais de dados (art. 9.º do RGPD). Se uma imagem as revelar, o Responsável assegura que tem fundamento para as tratar.
3. Instruções
A Subcontratante trata os dados só para prestar o serviço, segundo as instruções do Responsável. As instruções são as que o Responsável dá ao usar a app e o serviço (publicar, alterar, apagar, enviar emails), as destes termos e as que der por escrito. A Subcontratante avisa se considerar que uma instrução viola a lei. Não usa os dados para fins próprios: não os analisa, não os vende e não treina modelos com eles.
4. Confidencialidade
Só têm acesso aos dados as pessoas que precisam dele para manter o serviço, com dever de confidencialidade.
5. Segurança (art. 32.º)
- Ligações cifradas (HTTPS) e servidor na União Europeia, atrás da proteção da Cloudflare.
- Links das provas aleatórios; só se guarda o seu hash. PIN opcional, guardado com hash, com tentativas limitadas.
- Cada conta só vê as suas provas; tokens de acesso aleatórios, guardados com hash.
- Imagens verificadas no envio; quotas de espaço e limites de emails e pedidos.
- Cópias de segurança diárias, guardadas 14 dias, com uma cópia fora do servidor, na Cloudflare R2, na jurisdição UE, cifrada em repouso.
- Registos do servidor sem endereços IP e sem os códigos dos links.
6. Subcontratantes ulteriores
O Responsável autoriza os subcontratantes seguintes:
| Entidade | Serviço | Localização |
|---|---|---|
| Hetzner Online GmbH | Servidor | Alemanha |
| Cloudflare, Inc. | Proxy, proteção e cópias de segurança (R2, jurisdição UE) | Rede global; cópias guardadas na UE |
| Brevo (Sendinblue SAS) | Emails aos clientes e ao fotógrafo | França |
A Subcontratante impõe-lhes obrigações de proteção de dados equivalentes às deste acordo. Avisa o Responsável por email com pelo menos 30 dias de antecedência antes de juntar ou substituir um subcontratante. Se o Responsável se opuser por razões fundamentadas e não houver solução, pode cancelar a subscrição e recebe a parte não usada do período pago.
7. Transferências internacionais
Os dados são guardados na União Europeia. A Cloudflare pode tratar dados de passagem fora do Espaço Económico Europeu para entregar e proteger o serviço. Esse tratamento assenta no Quadro de Privacidade de Dados UE-EUA e nas cláusulas contratuais-tipo da Comissão Europeia.
8. Ajuda ao Responsável
A app e o serviço deixam o Responsável ver, corrigir e apagar as provas e os seus dados. Se um titular pedir à Subcontratante para exercer os seus direitos, ela encaminha o pedido ao Responsável sem lhe responder diretamente. A Subcontratante ajuda, na medida do razoável, com avaliações de impacto e consultas à autoridade de controlo.
9. Violações de dados
A Subcontratante avisa o Responsável sem demora injustificada, e no máximo em 48 horas, depois de tomar conhecimento de uma violação que afete os seus dados. Diz o que aconteceu, que dados e titulares foram afetados, as consequências prováveis e as medidas tomadas.
10. Fim do tratamento
O Responsável pode apagar as provas quando quiser. Quando a subscrição termina, as provas ficam só de leitura durante 30 dias e depois são apagadas. Desaparecem das cópias de segurança, no máximo, 14 dias depois de serem apagadas. As imagens originais e os álbuns ficam sempre no Mac do Responsável, por isso não há dados a devolver para além dos que a app já recebe (comentários e aprovações).
11. Informação e auditorias
A Subcontratante dá ao Responsável a informação necessária para demonstrar que cumpre este acordo. Responde a questionários razoáveis e permite auditorias, com aviso prévio de 30 dias, no máximo uma vez por ano, salvo depois de uma violação de dados ou a pedido de uma autoridade. As auditorias são feitas sem pôr em causa a segurança nem a confidencialidade dos dados de outros clientes.
12. Obrigações do Responsável
O Responsável garante que tem fundamento legal para tratar os dados que publica, incluindo as imagens das pessoas fotografadas, e que informa os seus clientes de que as provas estão alojadas no Luma Studio.