Política de Privacidade

A Mekan Foto ("Mekan", "nós"), operada pela MEKANYSMOS SOFTWARE INOVA SIMPLES (I.S.), CNPJ 58.572.331/0001-86, leva a sério a privacidade de quem usa a plataforma e dos clientes de quem a usa.

Esta Política segue a Lei Geral de Proteção de Dados Pessoais (LGPD, Lei nº 13.709/2018) e explica quais dados pessoais tratamos, para quê, com quem compartilhamos, por quanto tempo guardamos e como você exerce os seus direitos. Ela vale para o site da Mekan Foto, o aplicativo web, o app para celular e as páginas que os usuários publicam pela plataforma, como galerias, propostas, formulários e sites.

Os Termos de Uso completam esta Política, e o DPA detalha o tratamento que fazemos em nome dos usuários. Se tiver dúvidas, fale com a gente pelos canais da seção Contato e encarregado.

• •Dados pessoais: informação sobre uma pessoa identificada ou identificável, como nome, CPF, e-mail e telefone.
• •Dados pessoais sensíveis: dados sobre origem racial ou étnica, religião, opinião política, filiação sindical, saúde, vida sexual, genética ou biometria.
• •Titular: a pessoa a quem os dados se referem.
• •Tratamento: qualquer operação com dados pessoais, como coletar, guardar, usar, compartilhar e apagar.
• •Controlador: quem decide sobre o tratamento. A Mekan é controladora dos dados da conta; o usuário é controlador dos dados dos clientes dele.
• •Operador: quem trata dados em nome do controlador. A Mekan é operadora dos dados que o usuário coloca na plataforma.
• •Subprocessador: empresa que contratamos para operar a plataforma e que trata dados para nós (veja Subprocessadores).
• •Usuário: o profissional que tem conta na plataforma, como os fotógrafos e videomakers que usam a Mekan Foto, e a equipe que ele cadastra.
• •Cliente do usuário (cliente final): a pessoa que contrata o usuário e cujos dados são colocados na plataforma por ele ou por ela mesma, em galerias, propostas, formulários e na área do cliente.
• •Signatário: quem assina um documento eletronicamente pela plataforma.

Dados da sua conta: a Mekan é a controladora

Nos dados do seu cadastro, do uso da plataforma e do pagamento da assinatura, a Mekan é a controladora e responde pelas decisões sobre o tratamento.

Dados dos seus clientes: você é o controlador

Nos dados dos seus clientes, leads, fornecedores, signatários, visitantes do seu site e clientes das suas galerias e propostas, você é o controlador (LGPD, art. 5º, VI) e a Mekan é a operadora (art. 5º, VII). Tratamos esses dados só para prestar o serviço, conforme as suas instruções (art. 39): os Termos de Uso, as configurações que você faz na plataforma e o DPA.

Ao colocar dados de terceiros na plataforma, você declara que:

• •tem base legal para esse tratamento;
• •é o controlador desses dados;
• •cumpre as obrigações da LGPD em relação a eles;
• •informou os titulares sobre o tratamento, inclusive que usa a Mekan Foto.

Se você é cliente de um usuário da Mekan Foto, veja Como exercer seus direitos.

Dados da sua conta (usuário e equipe)

• •O que coletamos: nome, e-mail, telefone, CPF ou CNPJ, endereço, dados da empresa e, para quem tem equipe, os dados dos colaboradores cadastrados. Os dados do cartão da assinatura ficam com a Stripe, não com a Mekan.
• •Para quê: criar e manter a conta, prestar os serviços contratados, cobrar a assinatura, emitir nota fiscal, dar suporte, avisar sobre a conta e as novidades, proteger o acesso (como a verificação em duas etapas) e cumprir obrigações legais.
• •Base legal: execução de contrato (LGPD, art. 7º, V), cumprimento de obrigação legal (art. 7º, II) para os dados fiscais e legítimo interesse (art. 7º, IX) para segurança e melhoria da plataforma.

Dados dos seus clientes

• •O que pode entrar na plataforma: nome, CPF ou CNPJ, e-mail, telefone, endereço, datas de eventos, contratos, pagamentos, respostas a formulários, preferências, observações e as próprias fotos. Esses dados são colocados por você ou pelo seu cliente, nas páginas que você publica.
• •Para quê: organizar a agenda e os trabalhos, vincular clientes a contratos, galerias e cobranças, enviar as comunicações que você configurar e organizar o seu fluxo de trabalho.
• •Base legal: quem define é você, como controlador. Em geral, é a execução do contrato entre você e o seu cliente (art. 7º, V) e o seu legítimo interesse (art. 7º, IX).

Dados de signatários (assinatura eletrônica)

• •O que registramos: nome, CPF e e-mail do signatário; data e hora da assinatura; endereço IP, navegador e aparelho; localização aproximada (cidade, estado e país estimados pelo IP), quando disponível; e o resumo criptográfico (hash) do documento assinado.
• •Para quê: permitir a assinatura, garantir a autenticidade e a integridade do documento, manter a trilha de auditoria e permitir conferir a assinatura depois.
• •Base legal: execução de contrato (art. 7º, V), cumprimento de obrigação legal (art. 7º, II) e exercício regular de direitos (art. 7º, VI).
• •Responsabilidade: o usuário confirma a identidade do signatário e o informa sobre o tratamento. A Mekan responde pela segurança e pela integridade técnica do processo de assinatura.

Dados de navegação e uso

• •O que coletamos automaticamente: endereço IP, navegador, aparelho e sistema operacional, páginas visitadas, tempo de permanência, ações feitas na plataforma, cookies e tecnologias parecidas, e a origem do cadastro (como a campanha ou o anúncio que trouxe você).
• •Para quê: melhorar a experiência, fazer estatísticas de uso, prevenir fraudes, proteger a plataforma, medir os anúncios da Mekan e otimizar o desempenho (veja Análise de uso e anúncios).
• •Base legal: legítimo interesse (art. 7º, IX).

Dados verdadeiros

As informações que você nos passa devem ser verdadeiras, completas e atualizadas. Dados falsos ou fraudulentos violam esta Política e os Termos e podem levar à suspensão ou ao cancelamento da conta, sem prejuízo da responsabilidade civil e criminal. Mantenha o seu cadastro em dia.

O Seleto é o módulo de galerias da Mekan Foto: o usuário publica fotos e vídeos, e o cliente dele vê, seleciona, comenta, favorita e baixa. Esta seção substitui a antiga Política de Privacidade do Seleto.

Nas galerias, o usuário é o controlador dos dados do cliente dele e a Mekan é a operadora: tratamos os dados para a galeria funcionar, conforme a configuração do usuário. É o usuário quem define a base legal e informa o cliente sobre o tratamento (veja Quem é responsável pelos dados).

O que tratamos do cliente da galeria

• •O cliente não cria conta na Mekan Foto. Ele entra pelo link da galeria e, quando o usuário define uma, pela senha.
• •Depois da senha correta, um cookie de sessão, válido só para aquela galeria e por tempo limitado, mantém o acesso.
• •O endereço IP e o navegador são usados para segurança, como limitar tentativas de acesso, e podem constar nos registros de acesso. Na prova do álbum, as ações do cliente (comentários, pedidos de ajuste e aprovação) ficam registradas com data, IP e navegador.
• •Ao enviar a seleção, o cliente pode informar nome e e-mail e deixar observações.
• •Registramos as fotos selecionadas, os favoritos e as pastas de favoritos, os comentários e os downloads feitos, para mostrar ao usuário.

Pagamento das fotos extras

• •No pagamento automático, o cliente informa nome, e-mail, CPF ou CNPJ e telefone. Esses dados são enviados à conta Asaas do usuário, que gera a cobrança por Pix, boleto ou cartão, e também ficam no cadastro do cliente na conta do usuário.
• •A Mekan não recebe o pagamento e não guarda dados de cartão ou bancários. Registramos só o status da cobrança e o valor.
• •No pagamento manual, o pagamento é combinado direto entre o usuário e o cliente, fora da plataforma.

Onde ficam os arquivos

• •As fotos e os vídeos ficam no Cloudflare R2. O download, inclusive em pacote (zip), é feito por um Cloudflare Worker.
• •Uma cópia de segurança dos arquivos é feita no Backblaze B2.
• •Seleções, comentários e os demais registros ficam no banco de dados da plataforma (Supabase).
• •A lista completa de provedores está em Subprocessadores.

Por quanto tempo

• •Galeria publicada: os dados ficam enquanto a galeria existir.
• •Data de expiração: o usuário define. Na data, a galeria deixa de ficar disponível para o cliente. Se o usuário ligar a exclusão automática das galerias expiradas, a galeria é apagada depois de expirar.
• •Seleto no plano gratuito: cada galeria é apagada 90 dias depois de criada.
• •Plano do Seleto cancelado: as galerias são apagadas 90 dias depois do cancelamento. Nos dois casos, o usuário é avisado por e-mail cerca de 7 dias antes.
• •Exportações de álbum: apagadas 7 dias depois de geradas.
• •Quando uma galeria é apagada, as fotos, as seleções, os comentários e os álbuns dela vão junto, sem possibilidade de recuperação. O que ainda estiver nas cópias de segurança fica isolado e não fica disponível para restauração, nem a pedido (veja Cópias de segurança).
• •Registros de acesso: mantidos por pelo menos 6 meses, como exige o Marco Civil da Internet (Lei 12.965/2014, art. 15).
• •Os registros de cobrança (status e valor) ficam na conta do usuário enquanto ela existir.

Direitos do cliente da galeria

Para acessar, corrigir ou apagar os seus dados de uma galeria, fale primeiro com o usuário que a criou. Se não tiver resposta, fale com a gente e encaminharemos o pedido (veja Como exercer seus direitos).

Em três situações gravamos sessões de navegação. A gravação registra a página como ela aparece na tela e as interações, como rolagem, cliques e movimentos do mouse ou do dedo, para que a visita possa ser reproduzida depois, como um vídeo. Não é gravação de câmera nem de microfone.

1. Proposta pública (cliente do usuário)

• •Quem decide: o usuário, em cada proposta, na aba Engajamento do editor. A opção vem ligada.
• •O que é gravado: a proposta como o cliente a vê e a rolagem, os cliques e os movimentos dele na página. O que o cliente digita não é gravado: os campos, como nome, telefone e e-mail na aprovação ou o motivo da recusa, aparecem mascarados. Isso vale para as gravações feitas desde 21/10/2026; as anteriores podem conter o que foi digitado e são apagadas em até 90 dias.
• •Quem vê: o usuário, na própria proposta.
• •Por quanto tempo: até 90 dias. Depois, as gravações são apagadas automaticamente; cada proposta guarda as sessões mais recentes. Desligar a opção interrompe as novas gravações; as já feitas seguem até o fim desse prazo.
• •As estatísticas de visualização, como quando a proposta foi aberta e o tempo em cada seção, continuam sendo registradas mesmo com a gravação desligada.
• •O usuário é o controlador desses dados e a Mekan, a operadora. Cabe ao usuário informar o cliente.

2. Dentro do aplicativo (o próprio usuário)

• •Quando: só enquanto a conta não tem assinatura, como no teste grátis e logo depois do cadastro. Contas com assinatura não são gravadas.
• •O que é gravado: as telas do aplicativo e as interações. O que é digitado nos campos aparece mascarado. Os textos exibidos na tela, inclusive dados de clientes que você estiver vendo, fazem parte da gravação.
• •Quem vê: a equipe da Mekan, para dar suporte e melhorar o produto.
• •Por quanto tempo: 90 dias. Depois, as gravações são apagadas automaticamente.
• •Base legal: legítimo interesse (LGPD, art. 7º, IX). Você pode se opor pelos canais de Contato.

3. Site da Mekan Foto (visitantes)

• •Quando: numa amostra das visitas ao site da Mekan Foto feitas por quem não está logado.
• •O que é gravado: as páginas do site e as interações. O que é digitado nos campos, como nos formulários de contato, aparece mascarado.
• •Quem vê: a equipe da Mekan, para entender como o site é usado e melhorá-lo.
• •Por quanto tempo: 90 dias. Depois, as gravações são apagadas automaticamente.
• •Base legal: legítimo interesse (art. 7º, IX).

Há duas situações diferentes, com responsáveis diferentes.

A sua assinatura da Mekan Foto

• •A assinatura é cobrada pela Stripe, no cartão ou no Pix. A Stripe recebe os dados necessários para a cobrança, e os dados do cartão ficam com ela, não com a Mekan.
• •A nota fiscal de serviço é emitida com os dados cadastrados na conta, por meio do FocusNFe.
• •A Mekan também usa o Asaas e o Banco C6 em operações financeiras próprias, como o pagamento das comissões do Programa Embaixador. Nesses casos, tratamos os dados necessários para fazer o pagamento.
• •Nessas situações, a Mekan é a controladora.

As cobranças que você faz aos seus clientes (Asaas integrado)

• •Quando você integra a sua conta Asaas, as cobranças dos seus clientes (contratos, agendamentos, fotos extras do Seleto) são geradas na sua conta, com a sua chave de API, que guardamos criptografada.
• •Para gerar a cobrança, enviamos ao Asaas os dados do seu cliente que ela exige, como nome, CPF ou CNPJ, e-mail e telefone. O Asaas trata esses dados conforme os termos e a política dele.
• •O Asaas nos avisa por notificações automáticas (webhooks) quando o status de uma cobrança muda, para atualizarmos a tela. Não recebemos o dinheiro nem guardamos dados de cartão.
• •Você é o controlador desses dados e a Mekan, a operadora (veja Quem é responsável pelos dados).

No Meu Site e na página de Bio, os visitantes são do usuário. Ele é o controlador e a Mekan, a operadora.

Estatísticas de visita do site

• •Para mostrar as estatísticas ao usuário, registramos a página visitada, o site de origem, o tipo de aparelho, o país e a cidade estimados pelo IP e o tempo de visita.
• •Para contar visitantes únicos, usamos um identificador diário: um resumo criptográfico (hash) do IP e do navegador, feito com uma chave secreta e trocado todo dia. O endereço IP não é guardado.
• •Os registros de cada visita são apagados depois de 90 dias. A partir daí, ficam só os totais por dia.

Estatísticas da página de Bio

• •Registramos só o bloco clicado, o tipo do evento (visita ou clique), o site de origem e o tipo de aparelho. Não registramos país, cidade, IP nem identificador de visitante.
• •Esses registros são apagados depois de 180 dias.
• •As visitas do próprio usuário, logado na conta, não são contadas.

Formulários e leads

• •Os dados enviados pelos formulários do site, como nome, telefone, e-mail e a mensagem, vão para a conta do usuário, que decide como usá-los.
• •Usamos proteção contra abuso, como limite de envios, para evitar spam.

Pixel, Google Analytics e outras ferramentas

Se o usuário configurar o pixel da Meta, o Google Analytics ou outra ferramenta no site dele, os dados vão direto para essas empresas, conforme as regras delas. Quem responde por esse uso e por informar os visitantes é o usuário, por exemplo numa política de privacidade no próprio site. As ferramentas de análise da Mekan não são carregadas nos sites dos usuários.

Mensagens aos seus clientes

• •Para enviar as automações que você configura (lembretes de agenda, de pagamento, de propostas e outros avisos), usamos o nome e o telefone ou o e-mail do seu cliente e o conteúdo da mensagem.
• •As mensagens de WhatsApp saem do número oficial da Mekan Foto, pela Twilio, com modelos aprovados pela Meta. Os e-mails saem pela Resend.
• •Registramos o envio e o status de entrega de cada mensagem. Quando o cliente responde no WhatsApp, a resposta é registrada e mostrada a você.
• •Você é o controlador desses dados e responde pela base legal e pelo consentimento de quem recebe (veja Quem é responsável pelos dados).

Mensagens para você

A Mekan também envia a você, por e-mail, WhatsApp e notificações, avisos sobre a conta, as cobranças, a segurança e as novidades da plataforma, conforme as suas preferências de notificação. Nesses casos, a Mekan é a controladora.

Extensão do navegador (WhatsApp Web)

A extensão para Chrome e Edge funciona com a sua conta Mekan Foto. Ela usa os dados do contato aberto no WhatsApp Web, como o número de telefone, para buscar o cliente na sua conta e criar oportunidades. Você pode desconectá-la a qualquer momento em Configurações › Integrações › Extensão.

• •O FREELA, o assistente de IA da Mekan Foto, e os recursos de IA nos contratos usam modelos de terceiros (como OpenAI e Anthropic), acessados pela OpenRouter.
• •Para responder, enviamos ao provedor o necessário: a sua pergunta, trechos dos dados da sua conta, inclusive de clientes quando a pergunta for sobre eles, e o conteúdo dos anexos.
• •A Mekan Foto não usa o seu conteúdo nem o dos seus clientes para treinar modelos próprios. O tratamento feito pelos provedores de IA segue a política de cada um.
• •As conversas ficam salvas na sua conta, para dar contexto às próximas respostas, e os anexos são usados como contexto da conversa em que foram enviados. Você pode excluir uma conversa quando quiser.
• •O FREELA respeita as permissões do usuário que está usando e só grava um registro depois da sua confirmação.

API e webhooks

• •Quem tem a sua chave de API acessa os dados que ela permite. A chave aparece uma única vez, na criação: guardamos só um resumo criptográfico (hash) dela. Você pode revogá-la em Configurações › Desenvolvedores.
• •Os webhooks enviam os dados dos eventos configurados para o endereço que você cadastrar. O que acontece com os dados nesse destino é responsabilidade sua.
• •Registramos o uso de cada chave, como a última utilização e o número de requisições, para segurança e para aplicar os limites de uso. Os registros criados pela API entram no histórico da conta.

Conector para assistentes de IA (MCP) e OAuth

• •Quando você conecta a sua conta a um assistente de IA, como o ChatGPT ou o Claude, autoriza o acesso por OAuth. O assistente recebe uma credencial de acesso, não a sua senha.
• •O assistente lê os dados da sua conta dentro das permissões do usuário que autorizou e só grava algo depois da sua aprovação explícita.
• •Os dados que o assistente lê passam a ser tratados também pelo provedor dele, conforme os termos e a política desse provedor. A Mekan não controla esse tratamento.
• •Você pode encerrar o acesso a qualquer momento, removendo o conector Mekan Foto nas configurações do assistente.

O que pedimos ao Google

Ao conectar a sua conta Google, pedimos só dois acessos:

• •Agendas criadas pela Mekan Foto (calendar.app.created): criar a agenda da Mekan Foto na sua conta Google e gerenciar os eventos dela, com os links do Google Meet. Esse acesso não permite ler as suas outras agendas.
• •Seu endereço de e-mail (email): mostrar qual conta Google está conectada.

Não usamos login com Google.

O que fazemos e o que não fazemos com esses dados

• •Usamos os dados só para oferecer e melhorar a sincronização de trabalhos e compromissos com o Google Agenda e a criação de links do Google Meet, que você vê e controla na plataforma.
• •Não transferimos os dados a terceiros, exceto quando necessário para oferecer esse recurso, por segurança, para cumprir a lei ou numa fusão ou aquisição, com aviso a você.
• •Não usamos os dados para publicidade, não os vendemos e não os usamos para avaliar crédito.
• •Não usamos os dados para desenvolver, melhorar ou treinar modelos de inteligência artificial ou aprendizado de máquina generalistas.
• •Pessoas da nossa equipe não leem esses dados, exceto com o seu consentimento para um caso específico (como suporte), por segurança e investigação de abuso, para cumprir a lei, ou de forma agregada e anônima para a operação interna.

Guarda e desconexão

Os tokens de acesso do Google ficam guardados com criptografia. Você pode desconectar a qualquer momento em Configurações › Integrações › Google ou nas permissões da sua conta Google (abre em nova aba). Depois da desconexão, deixamos de acessar a sua conta Google.

• •Notificações push: se você permitir, registramos um identificador do aparelho no Firebase Cloud Messaging (Google) para enviar as notificações. Você pode desligá-las nas configurações do app ou do aparelho.
• •Câmera, fotos e microfone só são usados quando você aciona um recurso que precisa deles, como enviar uma foto ou ditar um texto. O que você envia passa a fazer parte da sua conta.
• •A biometria fica só no seu aparelho. A verificação (Face ID, digital) é feita pelo sistema do celular, e o acesso salvo fica no armazenamento seguro dele. A Mekan Foto não recebe nem guarda a sua biometria.
• •Versões antigas do app ainda podem usar a infraestrutura da BuildNatively, que mantemos só por compatibilidade.

As ferramentas desta seção funcionam só nas páginas da própria Mekan Foto: o site, o cadastro, o aplicativo e o Lensed. Elas não são carregadas nas páginas dos clientes finais, como galerias, propostas, área do cliente, formulários e sites dos usuários.

Análise de uso do produto (PostHog)

Registramos eventos de uso, como páginas abertas e cliques, para entender como a plataforma é usada e melhorá-la. Quando você está logado, os eventos ficam ligados à sua conta. A gravação de sessão do PostHog fica desligada (as gravações que fazemos estão em Gravações de sessão). Também usamos o Google Tag Manager e o Vercel Web Analytics para estatísticas de visita.

Anúncios da Mekan Foto na Meta (Facebook e Instagram)

• •Eventos da conta: quando você se cadastra, começa a usar a conta, inicia um período de teste ou contrata uma assinatura, enviamos à Meta o registro desse evento com o seu e-mail e telefone criptografados por hash (SHA-256), isto é, convertidos em um código irreversível antes de saírem dos nossos servidores, além do endereço IP, dos dados do navegador (user agent) e dos identificadores de clique e de cookie da própria Meta (fbc e fbp). Isso permite à Meta associar o evento ao anúncio que o originou.
• •Lista de assinantes: a lista de e-mails e telefones dos usuários com assinatura ativa também é enviada à Meta criptografada por hash (SHA-256), para não exibir anúncios da Mekan Foto a quem já é assinante. Quem cancela a assinatura ou exclui a conta deixa de constar nessa lista na atualização seguinte.

Anúncios da Mekan Foto no Google (Google Ads)

Quando você chega por um anúncio do Google, guardamos o identificador do clique (como o gclid). Se o cadastro virar uma conversão, como começar a usar o sistema, iniciar o teste ou assinar, informamos ao Google Ads, pela Data Manager API, esse identificador, a data e o valor da conversão. Nesse envio, não mandamos nome, e-mail nem telefone.

O que não é compartilhado e como se opor

• •A Meta e o Google não recebem, para os anúncios da Mekan, dados dos clientes do usuário: contratos, galerias, clientes do estúdio ou outros dados colocados na plataforma pelo usuário como controlador.
• •Esse tratamento se baseia no legítimo interesse da Mekan Foto (LGPD, art. 7º, IX), não envolve venda de dados e é feito com empresas sediadas fora do Brasil (veja Transferência internacional). A Meta e o Google tratam os dados recebidos conforme os próprios termos e políticas.
• •Você pode se opor a esse tratamento a qualquer momento (veja Seus direitos), pelos canais de Contato.

O Lensed, a plataforma gratuita que conecta profissionais de fotografia e vídeo a oportunidades de trabalho, tem documentos próprios: a Política de Privacidade do Lensed e os Termos de Uso do Lensed. Eles regem o tratamento de dados no Lensed. No que não tratarem, vale esta Política.

Usamos cookies e tecnologias parecidas (armazenamento local do navegador, pixels e tags) para a plataforma funcionar, lembrar as suas escolhas e medir o uso.

• •Essenciais: indispensáveis para o funcionamento, como login, segurança, sessão das galerias e das propostas e preferências de sessão. Não podem ser desligados.
• •Funcionalidade: lembram escolhas, como tema, layout e filtros.
• •Desempenho, análise e anúncios: mostram como as páginas da Mekan Foto são usadas e medem os anúncios da Mekan (veja Análise de uso e anúncios).

Você pode gerenciar e apagar cookies nas configurações do navegador. Desligar os essenciais pode impedir o funcionamento da plataforma.

A Mekan Foto não vende, não aluga e não comercializa dados pessoais. Só compartilhamos dados nestas situações:

• •Com os provedores que operam a plataforma, na medida do necessário (veja Subprocessadores).
• •Com o usuário, quando você é cliente dele: os dados que você informa em galerias, propostas, formulários e na área do cliente ficam na conta dele.
• •Com serviços que você conecta, por instrução sua: Google Agenda, Asaas, assistentes de IA pelo conector MCP, a sua API e os seus webhooks.
• •Por obrigação legal: quando exigido por lei, ordem judicial ou pedido legítimo de autoridade, ou para defender direitos em processos.
• •Com o seu consentimento, quando você autorizar expressamente.

Estes são os provedores que tratam dados pessoais para nós. Os que também tratam dados dos clientes dos usuários estão listados no DPA.

Todos os provedores são obrigados, por contrato ou pelos termos de serviço, a:

• •tratar os dados só para prestar o serviço contratado;
• •adotar medidas de segurança adequadas;
• •não usar os dados para fins próprios incompatíveis com o serviço;
• •cumprir a legislação de proteção de dados aplicável.

Parte dos nossos provedores fica fora do Brasil, o que resulta em transferência internacional de dados. Por país:

Estados Unidos

• •Supabase Inc.
• •Vercel Inc.
• •Cloudflare R2
• •Cloudflare, Inc.
• •Backblaze, Inc. (B2)
• •Upstash, Inc.
• •Stripe, Inc.
• •Resend, Inc.
• •Twilio Inc.
• •Google LLC (Firebase Cloud Messaging)
• •OpenRouter, Inc.
• •Google LLC (Calendar, Meet, OAuth)
• •BuildNatively
• •PostHog, Inc.
• •Meta Platforms, Inc.
• •Google LLC (Google Ads / Data Manager)
• •Google LLC (Tag Manager e Analytics)
• •Vercel Inc. (Web Analytics)

Alemanha

• •Hetzner Online GmbH

As transferências observam a LGPD (art. 33): são feitas para provedores que oferecem nível adequado de proteção e/ou com cláusulas contratuais específicas de proteção de dados.

Infraestrutura

Banco de dados e autenticação no Supabase; fotos, imagens e sites no Cloudflare R2; aplicação hospedada na Vercel; cópias de segurança dos arquivos no Backblaze B2.

Medidas técnicas

• •conexão criptografada (TLS) em todas as páginas;
• •criptografia dos dados armazenados, feita pelos provedores de infraestrutura;
• •isolamento dos dados de cada empresa no banco de dados e controle de acesso por permissão dentro da equipe;
• •verificação em duas etapas para o acesso à conta, que o administrador da empresa pode tornar obrigatória para a equipe;
• •credenciais de integrações, como chaves do Asaas e tokens do Google, guardadas com criptografia;
• •limite de tentativas e proteção contra abuso nas páginas públicas;
• •registros de atividade das operações importantes e monitoramento de erros.

Medidas organizacionais

• •acesso aos dados restrito às pessoas autorizadas da equipe, quando necessário para o serviço ou o suporte;
• •dever de confidencialidade;
• •procedimento de resposta a incidentes.

Nenhum sistema é totalmente seguro. Se houver um incidente de segurança que possa causar risco ou dano relevante aos titulares, avisaremos a ANPD e os titulares afetados, como manda a LGPD (art. 48). Quando o incidente atingir dados que um usuário controla, avisaremos esse usuário.

Dados da conta

• •Ficam guardados enquanto a conta existir, mesmo sem assinatura ativa.
• •Você pode pedir a exclusão da conta em mekanfoto.com.br/excluir-conta. Depois da exclusão, não é possível recuperar os dados.
• •Mesmo depois da exclusão, podemos manter o que a lei exige ou permite: dados fiscais por 5 anos (Código Tributário Nacional, arts. 173 e 195), contratos assinados e a trilha de assinatura pelo prazo prescricional (Código Civil, arts. 205 e 206) e o necessário para defesa em processos.
• •Registros de acesso são mantidos por pelo menos 6 meses, como exige o Marco Civil da Internet (art. 15).

Dados dos clientes do usuário

• •Ficam pelo tempo que o usuário, como controlador, decidir, enquanto a conta dele existir.
• •Quando o usuário exclui um registro, ele sai das telas na hora: fica marcado como excluído e só é apagado de vez com a exclusão da conta.
• •Documentos assinados e a trilha de assinatura seguem o prazo acima.

Cópias de segurança

Fazemos cópias de segurança para proteger a plataforma contra falhas, não para guardar dados apagados. Dados já apagados podem permanecer nessas cópias por um período depois da exclusão. Nesse tempo, ficam isolados, com acesso restrito, não são usados para nenhuma outra finalidade e não ficam disponíveis para restauração, nem a pedido.

Prazos automáticos

• •Galerias do Seleto e exportações de álbum: veja Seleto.
• •Gravações de sessão: 90 dias (veja Gravações de sessão).
• •Registros de cada visita aos sites dos usuários: 90 dias; depois, ficam só os totais por dia (veja Meu Site e Bio).
• •Registros de cada clique e visita na página de Bio: 180 dias (veja Meu Site e Bio).
• •Histórico de alterações: os registros saem do histórico depois de 30 dias, exceto os que forem fixados.

Passados os prazos, os dados são eliminados de forma segura ou anonimizados para fins estatísticos.

A LGPD (art. 18) garante a você estes direitos:

• •Confirmação e acesso: saber se tratamos os seus dados e acessá-los.
• •Correção: corrigir dados incompletos, inexatos ou desatualizados.
• •Anonimização, bloqueio ou eliminação: de dados desnecessários, excessivos ou tratados em desacordo com a lei.
• •Portabilidade: receber os seus dados em formato estruturado, para levar a outro fornecedor, mediante pedido expresso.
• •Eliminação dos dados tratados com consentimento, ressalvados os casos em que a lei permite guardá-los.
• •Informação sobre compartilhamento: saber com quais entidades públicas e privadas compartilhamos os seus dados.
• •Informação sobre o consentimento: saber que pode não consentir e o que acontece se não consentir.
• •Revogação do consentimento a qualquer momento, sem afetar o tratamento feito antes.
• •Oposição a tratamento feito sem consentimento, como o baseado em legítimo interesse, quando houver descumprimento da LGPD.
• •Revisão de decisões automatizadas que afetem os seus interesses (art. 20).

Como pedir

Envie o pedido para contato@mekanfoto.com.br com o assunto "Direitos LGPD - [seu nome]".

• •Prazo: a confirmação e o acesso em formato simplificado são respondidos imediatamente (LGPD, art. 19, I); a declaração completa, em até 15 dias do pedido (art. 19, II).
• •Forma: respondemos por e-mail ou, se você pedir, por outro meio previsto em lei.
• •Sem custo: o exercício dos direitos é gratuito (art. 18, § 5º).
• •Identidade: podemos pedir uma confirmação de identidade antes de atender, para proteger os seus dados de acesso indevido.

Se você é cliente de um usuário da Mekan Foto

Os seus dados em galerias, propostas, contratos, formulários e na área do cliente são controlados pelo usuário que os colocou na plataforma. Faça o pedido diretamente a ele. Se não tiver resposta, fale com a gente: encaminharemos o pedido ao usuário e ajudaremos no que couber à Mekan como operadora.

Se você assinou um documento pela plataforma

Você tem os mesmos direitos desta seção. Lembre que a trilha de assinatura pode precisar ser mantida pelo prazo legal (veja Por quanto tempo guardamos).

A plataforma não se destina a menores de 18 anos, e não coletamos de propósito dados de menores sem o consentimento dos pais ou responsáveis.

Dados de crianças e adolescentes podem ser colocados pelos usuários no contexto dos serviços fotográficos, como num aniversário infantil. Nesses casos:

• •o usuário é o controlador dos dados;
• •o usuário obtém o consentimento de um dos pais ou responsável (LGPD, art. 14);
• •a Mekan Foto atua só como operadora.

Se soubermos que coletamos dados de menores sem o consentimento adequado, tomaremos medidas para eliminá-los. Pais ou responsáveis podem exercer os direitos da LGPD em nome dos menores.

Podemos atualizar esta Política para refletir mudanças nas nossas práticas, na legislação ou na plataforma. Esta versão foi atualizada em 21 de outubro de 2026.

• •Mudanças relevantes serão avisadas com pelo menos 30 dias de antecedência, pelo e-mail cadastrado ou por aviso destacado na plataforma.
• •Ajustes menores, como correções de texto e de contato, podem ser feitos sem aviso prévio.
• •A data no topo desta página indica a versão atual. O uso continuado da plataforma depois de uma mudança significa que você a aceita.

Esta Política segue as leis brasileiras, em especial:

• •Lei nº 13.709/2018 (Lei Geral de Proteção de Dados, LGPD);
• •Lei nº 12.965/2014 (Marco Civil da Internet);
• •Lei nº 8.078/1990 (Código de Defesa do Consumidor).

Fica eleito o foro da comarca de residência do titular para resolver controvérsias sobre esta Política.

O encarregado pelo tratamento de dados pessoais (DPO) é o canal entre a Mekan Foto, os titulares e a ANPD. Ele recebe e trata os pedidos dos titulares, orienta a equipe sobre proteção de dados, fala com a ANPD e acompanha o cumprimento da LGPD.

Você também pode procurar a Autoridade Nacional de Proteção de Dados (ANPD) em gov.br/anpd (abre em nova aba).