Política de Privacidade

1. Quem trata os seus dados

O responsável pelo tratamento dos dados recolhidos através deste sítio web e na contratação dos nossos produtos é:

• Titular: TWO MILLIONS DREAMS, S.L. (doravante, «PictiaX», «nós»)
• CIF: B13744396
• Domicílio: Calle Correa de Araújo 2, 41702 Dos Hermanas (Sevilla), España
• Correio de contacto em matéria de proteção de dados: hello@pictiax.com

PictiaX® é uma marca da TWO MILLIONS DREAMS, S.L. Pode escrever-nos para esse endereço para qualquer questão relacionada com esta política ou para exercer os seus direitos.

2. Três situações muito distintas: o utilizador, os convidados dos seus eventos e o teste deste site

Esta é a secção mais importante de toda a política, porque dela depende quem responde por quê. O nosso produto é usado em três planos e em cada um ocupamos um papel diferente.

Se é nosso cliente

Se compra o sistema, nos escreve, subscreve as nossas comunicações ou navega neste site, o responsável por esses dados somos nós e decidimos para que são usados. Tudo o que se segue aplica-se-lhe diretamente.

Se é uma pessoa fotografada num evento

Quando um operador utiliza o nosso sistema num casamento, numa feira ou numa festa de empresa, o responsável por esses dados é esse operador, não nós. É quem organiza o evento, quem decide recolher a sua fotografia e o seu e-mail, quem lhe pede o consentimento e quem determina para que se usa o resultado.

Nós atuamos como subcontratante na aceção do artigo 28 do Regulamento Geral sobre a Proteção de Dados: disponibilizamos a ferramenta e processamos a imagem seguindo as suas instruções, e não usamos esses dados para fins próprios.

Todo o operador que utiliza o nosso sistema aceita um contrato de subcontratação do tratamento no qual se compromete, entre outras coisas, a informar os participantes, a recolher o seu consentimento e a colocar a informação correspondente no próprio evento.

Se testa a caricatura neste site

Se carregar a sua fotografia no formulário de teste deste site, o responsável somos nós, tal como se fosse cliente: é o utilizador que no-la entrega diretamente e somos nós que decidimos o que se faz com ela. Esse tratamento tem as suas próprias regras, detalhadas na secção 5.

3. Que dados tratamos, com que base legal e durante quanto tempo

Tratamos unicamente os dados necessários para cada finalidade. Esta é a relação completa:

Se em algum momento quiséssemos usar os seus dados para algo diferente do anterior, avisá-lo-íamos antes e pedir-lhe-íamos autorização.

4. As fotografias tiradas num evento

Este é o tratamento que mais nos importa explicar bem, porque afeta pessoas que não são nossas clientes e que apenas se aproximaram de um robô numa festa.

O que acontece exatamente

1. O convidado tira uma fotografia no ponto que o organizador montou.
2. Essa imagem é enviada ao nosso fornecedor de inteligência artificial, que gera o retrato.
3. O robô desenha-o em papel e o convidado leva-o consigo.
4. Se o convidado o tiver pedido, é-lhe ainda enviada uma cópia digital para o e-mail que tenha indicado.

O que NÃO fazemos com essas imagens

• Não as usamos para treinar modelos de inteligência artificial, nem nossos nem de terceiros.
• Não as usamos na nossa publicidade salvo se existir uma autorização expressa e específica para tal, dada pela pessoa que aparece na imagem. Uma autorização do organizador não basta.
• Não as vendemos nem as cedemos a ninguém com fins comerciais.
• Não as cruzamos entre eventos nem construímos com elas qualquer perfil da pessoa.

Durante quanto tempo são conservadas

5. O teste de caricatura deste site

Neste site oferecemos um teste: carrega uma fotografia sua e mostramos-lhe no ecrã uma caricatura gerada com o mesmo motor que o robô utiliza. Aqui não somos subcontratante de ninguém: o responsável pelo tratamento dessa fotografia somos nós, porque é o utilizador que no-la entrega diretamente e somos nós que decidimos o que se faz com ela. É a diferença em relação ao que acontece num evento, onde o responsável é o operador.

Que dados tratamos e porquê

Tratamos a fotografia que carrega, o seu endereço de e-mail e, se o indicar, o seu nome. Para a fotografia, a base legal é o seu consentimento (artigo 6.1.a do Regulamento Geral sobre a Proteção de Dados), que nos dá ao assinalar a caixa do formulário antes de o enviar. Sem essa caixa assinalada o formulário não é enviado. Para o seu e-mail e o seu nome, a base legal é a execução de diligências pré-contratuais a seu pedido (artigo 6.1.b): ao pedir uma amostra de um produto profissional, está a pedir-nos informação sobre ele.

Para que se usa e para que não

A fotografia é usada para gerar essa caricatura e mostrar-lha e, juntamente com o desenho resultante, para que a nossa equipa reveja a qualidade dos resultados e melhore o sistema. O seu e-mail e o seu nome são usados para identificar o seu teste, fazer-lhe chegar o resultado e para que a nossa equipa comercial entre em contacto consigo a propósito do seu pedido e de como funciona o PictiaX nos seus eventos. Se preferir que não o contactemos, escreva-nos para hello@pictiax.com e não o faremos. Não o inscrevemos em nenhuma newsletter nem lista de correio em massa por ter usado o teste, não cedemos os seus dados a ninguém com fins publicitários (exceto o aviso à Meta com o seu e-mail e o seu telefone convertidos num hash, descrito na secção 9, que só é enviado se tiver aceitado «Marketing») e não publicamos a sua fotografia nem o desenho resultante em lado nenhum.

Quanto tempo dura

A fotografia que carrega e o desenho resultante são guardados durante 90 dias no nosso espaço do Google Workspace, a que só a nossa equipa tem acesso, para rever a qualidade dos resultados. Passado esse prazo são eliminados e desaparecem definitivamente num máximo de 30 dias adicionais. Não são publicados, não são usados para treinar modelos de inteligência artificial e não são cedidos a ninguém. Pode pedir que sejam apagados antes escrevendo para hello@pictiax.com. Além disso, o desenho é guardado uma hora no servidor do site, apenas para lho mostrarmos no ecrã. O seu endereço de e-mail conserva-se doze meses desde o teste, para tratar o seu pedido e fazer o seu acompanhamento comercial, e depois é eliminado.

Quem a processa

Para gerar o desenho, a fotografia é enviada à OpenAI, que atua como subcontratante por nossa conta, com as mesmas condições explicadas nas secções 7 e 9. As imagens não são utilizadas para treinar modelos de inteligência artificial.

Este tratamento não é identificação biométrica: não medimos nem armazenamos traços faciais para reconhecer ninguém, como se explica na secção 6. Pode retirar o seu consentimento e pedir o apagamento do seu e-mail a qualquer momento escrevendo para hello@pictiax.com.

6. Não realizamos identificação biométrica

Dizemo-lo de forma expressa porque é uma dúvida razoável quando uma máquina analisa uma cara.

A PictiaX® não gera, não calcula e não armazena moldes faciais, geometrias do rosto nem qualquer outro identificador biométrico destinado a identificar ou verificar de forma inequívoca uma pessoa, na aceção do artigo 4.14 do Regulamento Geral sobre a Proteção de Dados. Também não na aceção da legislação norte-americana sobre privacidade biométrica, em particular a Biometric Information Privacy Act do Illinois, a lei CUBI do Texas e a HB 1493 do estado de Washington.

A análise que o sistema faz serve unicamente para converter uma imagem num traço desenhável. É um cálculo momentâneo: não se guarda, não se reutiliza e não permite reconhecer essa pessoa noutra fotografia nem noutro evento.

Se um operador decidisse por sua conta ligar ferramentas de terceiros que façam reconhecimento facial sobre o material gerado, seria ele o responsável por esse tratamento para todos os efeitos, teria de obter as bases legais e os consentimentos específicos que a legislação exija, e manter-nos-ia indemnes perante qualquer reclamação daí decorrente.

7. Inteligência artificial

O sistema usa modelos de inteligência artificial da OpenAI para transformar uma fotografia num retrato desenhável. Sobre isto convém que saiba o seguinte:

• O resultado é gerado por inteligência artificial e assim se informa a pessoa no próprio ponto de captura, em cumprimento do artigo 50 do Regulamento (UE) 2024/1689 de Inteligência Artificial.
• Não é uma decisão automatizada com efeitos jurídicos na aceção do artigo 22 do Regulamento Geral sobre a Proteção de Dados: gera-se um desenho, não se toma nenhuma decisão sobre a pessoa.
• O resultado não é único. Modelos generativos parecidos, perante fotografias parecidas, podem produzir traços semelhantes. Não garantimos exclusividade do resultado.
• As imagens que enviamos à OpenAI não são utilizadas para treinar os seus modelos, conforme as condições da sua interface de programação para empresas.

8. Menores de idade

Num evento há crianças, e isto não se pode resolver com uma frase genérica.

Em Espanha, o artigo 7 da Lei Orgânica 3/2018 permite que uma pessoa consinta o tratamento dos seus dados a partir dos 14 anos. Abaixo dessa idade é necessário o consentimento de quem exerça as responsabilidades parentais ou a tutela. Outros países fixam idades diferentes, e o organizador tem de aplicar a que vigora no local onde o evento se realiza.

Transmitimos esta obrigação ao organizador do evento por contrato, que se compromete a:

• Obter o consentimento do adulto responsável quando a pessoa fotografada for menor de 14 anos.
• Não recolher o e-mail de um menor de 14 anos: a cópia digital é enviada ao adulto acompanhante.
• Informar de tudo isto no próprio evento, e não apenas num ecrã que ninguém lê.

O nosso site e a nossa loja não se dirigem a menores de idade e não recolhemos conscientemente dados de menores através deles.

9. Com quem partilhamos dados e transferências internacionais

Não vendemos dados pessoais. Partilhamos o indispensável com fornecedores que nos prestam serviços e que atuam como nossos subcontratantes, sob contrato:

• Geração do retrato: OpenAI. A fotografia do convidado é enviada à OpenAI, que é quem gera o retrato a partir dela.
• Armazenamento do teste de caricatura: Google (Google Workspace). A fotografia e o desenho do teste deste site são guardados durante 90 dias no nosso espaço do Google Workspace, como se explica no ponto 5.
• Pagamentos: Stripe, para processar a cobrança.
• Alojamento e funções de servidor: Netlify, Inc. (Estados Unidos), que aloja e serve o site e executa as funções de servidor que processam os formulários e os envios para a API de Conversões da Meta. A transferência baseia-se no EU-US Data Privacy Framework ou em cláusulas contratuais-tipo.
• Domínio: a Cloudflare gere os DNS do domínio pictiax.com. O tráfego do site não passa pelos seus servidores.
• Medição: Google (Google Analytics), para a analítica do site, apenas se aceitar as cookies de «Estatísticas».
• Publicidade na Google: Google (Google Ads), para medir que anúncios nos trazem visitas e contactos, apenas se aceitar as cookies de «Marketing».
• Publicidade na Meta: Meta Platforms Ireland Limited (Facebook e Instagram), apenas se aceitar as cookies de «Marketing». Utilizamos o Meta Pixel (conjunto de dados da PictiaX®), que mede as nossas campanhas no Facebook e no Instagram e permite mostrar-lhe anúncios: regista cada página que visita, o contacto direto (telefone, e-mail ou WhatsApp) e o envio de um formulário. O píxel tem ativada a correspondência avançada automática: se preencher um formulário deste site, pode recolher os dados que escreve (como o e-mail, o telefone, o nome, a localidade, o código postal ou o país), convertê-los num hash (SHA-256) no seu próprio navegador e enviá-los à Meta para associar a sua visita a uma conta da Meta. Além disso, enviamos dados à Meta a partir do nosso próprio servidor, através da sua API de Conversões: cada página que visita e, se fizer o teste de caricatura, um aviso quando responde às perguntas prévias (que indica apenas se o seu pedido corresponde ou não ao que procuramos, sem as suas respostas) e outro quando lhe entregamos a caricatura. Com a visita seguem o seu endereço IP, o agente de utilizador do seu navegador, o endereço da página e os identificadores de cookie da Meta (_fbp e _fbc). Com os avisos do teste seguem também o seu e-mail e, se no-lo tiver indicado, o seu telefone, convertidos num hash (SHA-256). Cada evento leva o mesmo identificador que o do navegador, para que a Meta o conte uma só vez. Nada disto é enviado sem a sua autorização: o nosso servidor só envia se tiver aceitado «Marketing» e se existir a cookie que o píxel cria ao ser carregado. O fundamento é o seu consentimento, que pode retirar a qualquer momento em «Preferências», no rodapé. Somos responsáveis conjuntos com a Meta pela recolha e pelo envio desses dados a partir deste site (artigo 26.º do Regulamento Geral sobre a Proteção de Dados); o que a Meta fizer depois com eles rege-se pela sua própria política de privacidade. A Meta Platforms Ireland Limited (Irlanda) pode transferir esses dados para a Meta Platforms, Inc. (Estados Unidos) ao abrigo do EU-US Data Privacy Framework ou de cláusulas contratuais-tipo.
• Publicidade no TikTok: TikTok Technology Limited (Irlanda), apenas se aceitar as cookies de «Marketing». Utilizamos o píxel do TikTok «PictiaX Web», que mede as nossas campanhas no TikTok e permite mostrar-lhe anúncios: regista cada página que visita, o contacto direto e o envio de um formulário, com os dados técnicos do seu navegador. Não enviamos nada ao TikTok a partir do nosso servidor. O fundamento é o seu consentimento, que pode retirar a qualquer momento em «Preferências», no rodapé. A TikTok Technology Limited pode transferir esses dados para outros países fora do Espaço Económico Europeu, ao abrigo de cláusulas contratuais-tipo.
• Correio: o nosso fornecedor de envio de comunicações.

Estes fornecedores estão estabelecidos fora do Espaço Económico Europeu. Nesses casos a transferência baseia-se numa decisão de adequação da Comissão Europeia, no quadro EU-US Data Privacy Framework quando o fornecedor está aderente, ou em cláusulas contratuais-tipo aprovadas pela Comissão, com a correspondente avaliação de impacto.

Pode pedir-nos a qualquer momento a lista atualizada de fornecedores, com a sua função, a sua localização e o mecanismo que ampara a transferência.

Também podemos comunicar dados às autoridades quando uma lei nos obrigue a tal.

10. Os seus direitos

Pode exercer a qualquer momento os seguintes direitos:

• Acesso: saber que dados seus temos.
• Retificação: corrigir os que estejam inexatos.
• Apagamento: pedir que os eliminemos.
• Oposição: opor-se a um tratamento baseado no nosso interesse legítimo.
• Limitação: pedir que os conservemos mas não os utilizemos.
• Portabilidade: recebê-los num formato que possa levar consigo.
• Retirar o consentimento a qualquer momento, sem que isso afete o que foi feito antes.

Escreva-nos para hello@pictiax.com indicando que direito quer exercer. Responder-lhe-emos no prazo de um mês. O exercício destes direitos é gratuito.

Se considerar que não atendemos bem o seu pedido, pode reclamar junto da Agência Espanhola de Proteção de Dados, em www.aepd.es, ou junto da autoridade de controlo do seu país de residência.

11. Se está fora da União Europeia

Vendemos e prestamos serviço em todo o mundo. Além do anterior, tenha em conta o seguinte consoante o sítio onde esteja:

Reino Unido

Aplicamos o UK GDPR e a Data Protection Act 2018 aos residentes no Reino Unido, com os mesmos direitos descritos na secção 10. A autoridade de controlo é o Information Commissioner's Office.

Suíça

Aplicamos a Lei Federal de Proteção de Dados suíça aos residentes na Suíça.

Estados Unidos

Independentemente de, pela nossa dimensão e volume, não atingirmos hoje os limiares de aplicação da California Consumer Privacy Act, reconhecemos de forma voluntária aos residentes na Califórnia os direitos a saber que informação recolhemos, a solicitar a sua eliminação, a corrigi-la e a não serem discriminados por os exercerem.

Não vendemos os seus dados a troco de dinheiro. No entanto, se aceitar as cookies de «Marketing», partilhamos com a Google, a Meta e o TikTok dados de navegação e, com a Meta, os dados de formulário convertidos num hash descritos na secção 9, para medir os nossos anúncios e mostrar-lhe publicidade. Na Califórnia, isto pode ser considerado «partilha» (sharing) de informação pessoal para fins de publicidade comportamental entre contextos. Pode impedi-lo recusando «Marketing» quando entra no site ou retirando o consentimento quando quiser em «Preferências», no rodapé.

América Latina e resto do mundo

Cumprimos, além do anterior, a legislação local que resulte aplicável, e em particular a Lei Geral de Proteção de Dados do Brasil para os residentes nesse país. Pode exercer os seus direitos no mesmo endereço de contacto.

12. Segurança

Aplicamos medidas técnicas e organizativas para proteger os dados: cifragem em trânsito, controlo de acessos por perfis, registo de acessos, cópias de segurança e compromisso de confidencialidade do pessoal.

Nenhum sistema é infalível. Se ocorresse uma violação de segurança que implicasse um risco para os seus direitos, comunicávamos-lho e notificávamos a autoridade de controlo no prazo legalmente previsto.

13. Cookies

Usamos cookies próprias e de terceiros. As estritamente necessárias para que o site funcione são instaladas sempre; as restantes apenas se as aceitar.

Pode aceitá-las, rejeitá-las todas ou escolher por categorias no próprio aviso, e mudar de ideias quando quiser a partir da ligação de preferências do rodapé. Rejeitar é tão fácil como aceitar: os dois botões estão ao mesmo nível e no mesmo passo.

As cookies de terceiros são da Google, da Meta e do TikTok. As do Google Analytics só são instaladas se aceitar «Estatísticas». As do Google Ads, o píxel da Meta (Facebook e Instagram) e o píxel do TikTok só são instalados se aceitar «Marketing»: sem essa autorização, nem o píxel da Meta nem o do TikTok são carregados, e não enviam quaisquer dados. Os detalhes de cada fornecedor estão na secção 9.

Meta Pixel (Meta Platforms Ireland Limited, Facebook e Instagram): é uma cookie de marketing e de publicidade. Serve para medir as nossas campanhas no Facebook e no Instagram e para lhe mostrar anúncios. Só é carregado se aceitar «Marketing». Os dados podem ser transferidos para a Meta Platforms, Inc., nos Estados Unidos, ao abrigo do EU-US Data Privacy Framework ou de cláusulas contratuais-tipo. Para retirar o seu consentimento, abra «Preferências» no rodapé e desative «Marketing»: o píxel deixa de ser carregado. A correspondência avançada do píxel e o que enviamos à Meta a partir do nosso servidor seguem o mesmo critério: sem «Marketing» não é enviado nada.

Píxel do TikTok (TikTok Technology Limited, Irlanda): é uma cookie de marketing e de publicidade. Serve para medir as nossas campanhas no TikTok e para lhe mostrar anúncios. Só é carregado se aceitar «Marketing». Os dados podem ser transferidos para fora do Espaço Económico Europeu ao abrigo de cláusulas contratuais-tipo. Para retirar o seu consentimento, abra «Preferências» no rodapé e desative «Marketing»: o píxel deixa de ser carregado.

14. Alterações a esta política

Podemos atualizar esta política quando mudar a legislação ou a forma como trabalhamos. A versão em vigor é sempre a publicada nesta página, com a sua data e o seu número de versão em cima e em baixo.

Se a alteração for substancial e o afetar como cliente, avisamo-lo por e-mail com pelo menos 30 dias de antecedência.