Política de Privacidade

POLÍTICA DE PRIVACIDADE DA PLATAFORMA VALSA

Versão 1.2 — vigente a partir de 27 de outubro de 2026

Esta Política explica como a VALSA SISTEMA E TECNOLOGIA DA INFORMAÇÃO LTDA ("Valsa"), CNPJ 40.891.799/0001-78, com sede na Rua Prof. Anunciada da Rocha Melo, 214 – Sala 802, Madalena, Recife – PE, CEP 50.710-309, trata dados pessoais na plataforma Valsa, nos termos da Lei nº 13.709/2018 (Lei Geral de Proteção de Dados — LGPD).

1. A quem esta Política se aplica

1.1. Clientes da Valsa (estúdios e fotógrafos, "Contratantes") e seus usuários administradores. Em relação aos dados deles, a Valsa é controladora.

1.2. Clientes finais dos Contratantes (formandos, responsáveis, compradores, convidados e demais pessoas atendidas pelos estúdios). Em relação a esses dados, o Contratante é o controlador e a Valsa atua como operadora, tratando-os conforme as instruções do Contratante. Pedidos sobre esses dados devem ser dirigidos preferencialmente ao estúdio responsável; a Valsa colabora com o atendimento e encaminha ao estúdio os pedidos que receber diretamente.

1.3. Visitantes das páginas públicas da plataforma.

2. Dados que tratamos

2.1. Cadastro e conta: nome, CPF/CNPJ, e-mail, telefone, endereço, data de nascimento, dados da empresa, credenciais de acesso (a senha é armazenada de forma criptografada e irreversível).

2.2. Dados financeiros e de pagamento: dados de cobrança, histórico de assinaturas, faturas e pagamentos. Dados de cartão e credenciais bancárias são coletados e processados diretamente pelo Asaas (item 6), e não são armazenados pela Valsa.

2.3. Conteúdo e imagens: fotos, vídeos, álbuns e documentos inseridos na plataforma.

2.4. Dados biométricos (dado pessoal sensível):

• vetores faciais gerados a partir de fotos para o reconhecimento facial (localizar a pessoa nas fotos do evento) e para a busca por selfie;
• verificação de vida por selfie (prova de vida) na assinatura de contratos, no aceite dos Termos de Uso pelo administrador principal do Contratante e no cadastro de foto de perfil. As imagens capturadas durante a verificação são descartadas após a análise; guarda-se apenas o resultado da verificação e o vetor facial correspondente e, quando a verificação comprova uma assinatura ou um aceite, a foto final da selfie, que integra a prova daquele ato.

2.5. Dados de uso e navegação: endereço IP, data e hora de acesso, dispositivo, navegador, páginas acessadas, registros de aceite de documentos (inclusive o texto aceito, seu código de integridade e o código de verificação enviado por e-mail) e registros de auditoria de ações na plataforma.

2.6. Comunicações: mensagens de suporte, chat e e-mails trocados pela plataforma.

3. Para que usamos os dados e com qual base legal

Finalidade	Base legal (LGPD)
Criar e manter a conta, prestar os serviços contratados	Execução de contrato (art. 7º, V)
Cobrança da assinatura e operações financeiras via Asaas	Execução de contrato (art. 7º, V) e cumprimento de obrigação legal/regulatória (art. 7º, II)
Reconhecimento facial, busca por selfie e verificação de vida	Consentimento específico e destacado do titular ou de seu responsável legal (art. 11, I, e art. 14, § 1º), coletado antes do tratamento
Guarda da prova de assinaturas e de aceites, inclusive a selfie da verificação de vida	Exercício regular de direitos em contrato e em processo (art. 7º, VI, e art. 11, II, "d")
Emissão de notas fiscais e guarda de registros exigidos por lei	Obrigação legal (art. 7º, II)
Registros de acesso à aplicação (Marco Civil da Internet)	Obrigação legal (art. 7º, II; Lei nº 12.965/2014, art. 15)
Segurança, prevenção a fraudes e auditoria	Legítimo interesse (art. 7º, IX) e proteção do crédito (art. 7º, X)
Suporte e comunicações sobre o serviço	Execução de contrato (art. 7º, V)
Melhoria da plataforma e comunicações de novidades	Legítimo interesse (art. 7º, IX), com opção de descadastro

3.1. A Valsa não vende dados pessoais.

3.2. Os dados biométricos são usados exclusivamente para as finalidades do item 2.4 e não são utilizados para treinar modelos de inteligência artificial sem consentimento específico para esse fim.

4. Consentimento para biometria

4.1. O reconhecimento facial, a busca por selfie e a verificação de vida só são aplicados a quem consentiu, de forma específica e destacada, antes da captura. A plataforma recusa a captura sem esse consentimento.

4.2. O consentimento pode ser revogado a qualquer momento, sem custo. Após a revogação, nenhuma nova captura, busca ou comparação facial é feita para o titular, e ele pode solicitar a eliminação dos seus vetores faciais pelo canal do item 11. A revogação não alcança a prova de assinaturas e aceites já realizados (item 7.4).

5. Crianças e adolescentes

5.1. Formandos e outros clientes finais podem ser crianças ou adolescentes. Seus dados são tratados no seu melhor interesse (art. 14 da LGPD), apenas para as finalidades desta Política.

5.2. Para titulares menores de 18 (dezoito) anos, o consentimento para biometria só é aceito quando dado por um dos pais ou pelo responsável legal, identificado por nome e documento, e esse registro é guardado com o consentimento.

6. Compartilhamento

Compartilhamos dados apenas quando necessário, com:

6.1. Asaas Gestão Financeira Instituição de Pagamentos S.A. — instituição de pagamento autorizada pelo Banco Central do Brasil, responsável pelos serviços financeiros e de pagamento (contas de pagamento, Pix, boletos, cartões, transferências, KYC e PLD/FT). O Asaas trata esses dados como controlador, segundo sua própria política de privacidade.

6.2. Provedores de infraestrutura (suboperadores) — hospedagem em nuvem, armazenamento de arquivos, envio de e-mails e mensagens, e processamento de imagens (inclusive o processamento facial), contratados como operadores e sujeitos a obrigações de confidencialidade e segurança.

6.3. Provedores de login social (Google, Meta), apenas quando o usuário escolhe entrar por eles.

6.4. Autoridades públicas, quando exigido por lei ou ordem judicial.

6.5. O próprio Contratante, em relação aos dados dos seus clientes finais.

6.6. A comissão de formatura (comitê da turma), nos contratos de arrecadação coletiva: os membros da comissão escolhidos pela turma veem o nome de cada formando e a situação dos pagamentos das suas parcelas (valores pagos, em aberto e em atraso, com vencimentos e datas de pagamento), exclusivamente para acompanhar a arrecadação e decidir os pagamentos do fundo, e assumem dever de confidencialidade sobre esses dados. Os demais formandos veem apenas totais, sem dados individuais. O formando ou o seu responsável é informado disso em cláusula própria do contrato, aceita na adesão.

6.7. O titular da conta de pagamento da turma, nos contratos de arrecadação coletiva: as cobranças da turma são emitidas numa conta de pagamento própria da turma no Asaas, e o seu titular pode ver, nessa instituição, os dados de cobrança dos pagadores (nome, CPF/CNPJ, e-mail e situação das cobranças).

7. Por quanto tempo guardamos

7.1. Mantemos os dados enquanto a conta estiver ativa e pelo tempo necessário às finalidades desta Política.

7.2. Registros excluídos pelo Contratante podem ser restaurados na Lixeira por 7 (sete) dias. Fotos e galerias excluídas têm os arquivos eliminados. Registros vinculados a contratos, pedidos, pagamentos ou documentos fiscais deixam de ser exibidos, mas são conservados de forma restrita pelo tempo necessário ao cumprimento de obrigações legais e ao exercício regular de direitos.

7.3. Os vetores faciais gerados a partir das fotos de evento são mantidos enquanto o Contratante (o estúdio) mantiver o cliente e seus eventos na plataforma — uma formatura pode durar vários anos, e a busca facial precisa continuar funcionando durante todo esse período. O Contratante, como controlador desses dados, decide quando encerrar o tratamento, e o titular pode solicitar a eliminação dos seus vetores faciais a qualquer momento pelo canal do item 11.

7.4. São conservados por prazo indeterminado, sem alteração, por comprovarem atos jurídicos e servirem ao exercício regular de direitos: os registros de aceite dos Termos de Uso e de assinatura de contratos (inclusive a selfie da verificação de vida), os registros de consentimento e de sua revogação e os registros de auditoria.

7.5. Registros de acesso à aplicação são guardados por, no mínimo, 6 (seis) meses (Marco Civil da Internet, art. 15), e documentos fiscais e contábeis pelo prazo legal.

7.6. Encerrada a conta do Contratante, o acesso é bloqueado ao término do período já pago e, 30 (trinta) dias depois, os demais dados — inclusive fotos, galerias e vetores faciais — são eliminados ou anonimizados, ressalvadas as hipóteses de conservação do art. 16 da LGPD descritas neste item. A Valsa não oferece serviço de exportação de dados; a extração é feita pelo próprio Contratante, antes do encerramento, pelas ferramentas da plataforma.

8. Transferência internacional

8.1. Parte dos provedores de infraestrutura armazena ou processa dados fora do Brasil, principalmente nos Estados Unidos. Essas transferências observam os arts. 33 a 36 da LGPD e a regulamentação da ANPD, com cláusulas contratuais e garantias de proteção adequadas.

9. Segurança

9.1. Adotamos medidas técnicas e administrativas como criptografia em trânsito (HTTPS), senhas com hash, controle de acesso por perfil e permissão, isolamento de dados por Contratante, registros de auditoria e backups.

9.2. Em caso de incidente de segurança que possa acarretar risco ou dano relevante: quanto aos dados de que a Valsa é controladora, comunicaremos a ANPD e os titulares, na forma e no prazo da regulamentação; quanto aos dados de que o Contratante é controlador, comunicaremos o Contratante sem demora injustificada, para que ele faça as comunicações que lhe cabem.

10. Cookies

10.1. Utilizamos cookies estritamente necessários (sessão e segurança), que não dependem de consentimento, e cookies opcionais apenas quando autorizados no aviso de cookies, que pode ser alterado a qualquer momento. Os detalhes estão na Política de Cookies.

11. Direitos do titular e Encarregado (DPO)

11.1. O titular pode solicitar, nos termos do art. 18 da LGPD: confirmação da existência de tratamento; acesso aos dados; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos; portabilidade; eliminação dos dados tratados com consentimento; informação sobre compartilhamentos; informação sobre a possibilidade de não consentir e suas consequências; revogação do consentimento; e revisão de decisões tomadas unicamente com base em tratamento automatizado.

11.2. Os pedidos podem ser feitos ao Encarregado pelo tratamento de dados pessoais:

• Encarregado: Pedro Euzébio
• E-mail: privacidade@valsa.app
• Endereço: Rua Prof. Anunciada da Rocha Melo, 214 – Sala 802, Madalena, Recife – PE, CEP 50.710-309.

11.3. Responderemos no prazo legal: a confirmação de existência ou o acesso em formato simplificado, de imediato; a declaração completa, em até 15 (quinze) dias do pedido (art. 19 da LGPD). Poderemos solicitar informações para confirmar a identidade do solicitante. Pedidos sobre dados de clientes finais são encaminhados ao Contratante controlador.

11.4. O titular também pode peticionar à Autoridade Nacional de Proteção de Dados (ANPD).

12. Alterações

12.1. Esta Política pode ser atualizada, e cada versão publicada é mantida com sua data de vigência. Alterações relevantes serão comunicadas na plataforma ou por e-mail, com indicação da nova versão e da data de vigência.

12.2. Se uma alteração mudar a finalidade de um tratamento baseado em consentimento de forma incompatível com o consentimento original, o titular será informado previamente e poderá revogá-lo (art. 8º, § 6º, e art. 9º, § 2º, da LGPD).