ECHO.

Política de Privacidade

Última atualização: 27 de julho de 2026

1. Introdução

A ECHO Platform ("ECHO", "nós", "nosso") é uma plataforma de gestão de fotografia escolar que conecta estúdios fotográficos, escolas e famílias. Esta Política de Privacidade descreve como coletamos, usamos, armazenamos e protegemos suas informações pessoais, incluindo dados obtidos por meio de integrações com serviços de terceiros como o Google.

2. Dados que coletamos

  • Dados de cadastro: nome, e-mail, telefone, foto de perfil (via Google OAuth)
  • Dados de uso: páginas acessadas, ações realizadas na plataforma
  • Dados de pagamento: processados de forma segura via Stripe (não armazenamos dados de cartão)
  • Fotografias: imagens enviadas pelos estúdios para entrega às famílias
  • Dados de integração Google: eventos do Google Agenda (título, data, horário, local, descrição)

3. Como usamos seus dados

  • Fornecer e manter os serviços da plataforma
  • Processar pagamentos e emitir notas fiscais
  • Enviar notificações relevantes sobre entregas e eventos
  • Sincronizar eventos entre a ECHO Platform e o Google Agenda (quando autorizado)
  • Melhorar a experiência do usuário e a performance da plataforma
  • Cumprir obrigações legais e regulatórias

4. Uso de Dados do Google (Google API Services)

Esta seção descreve especificamente como a ECHO Platform acessa, usa, armazena e compartilha dados obtidos através das APIs do Google, em conformidade com a Google API Services User Data Policy.

4.1. Dados Acessados (Data Accessed)

Quando você conecta sua conta Google à ECHO Platform, acessamos exclusivamente:

  • Informações básicas do perfil: nome, endereço de e-mail e foto de perfil (via OpenID Connect)
  • Eventos do Google Agenda: título, data/hora de início e término, localização, descrição e participantes (via escopo calendar.events)

4.2. Uso dos Dados (Data Usage)

Os dados do Google Agenda são usados exclusivamente para:

  • Sincronizar eventos criados na ECHO Platform com o Google Agenda do usuário
  • Importar eventos existentes do Google Agenda para visualização na plataforma
  • Manter os eventos atualizados bidirecionalmente (alterações em um refletem no outro)
  • Enviar alertas e lembretes de eventos agendados

Não utilizamos dados do Google para publicidade, marketing, treinamento de modelos de inteligência artificial, ou qualquer finalidade que não seja o funcionamento direto da funcionalidade de sincronização de calendário.

4.3. Compartilhamento de Dados (Data Sharing)

Os dados obtidos via Google APIs não são compartilhados com terceiros, exceto:

  • Com o próprio Google, para manter a sincronização bidirecional de eventos
  • Com provedores de infraestrutura (Supabase, AWS) estritamente para armazenamento e processamento técnico, sob contratos que garantem proteção adequada dos dados
  • Quando exigido por ordem judicial ou determinação legal

Não vendemos, licenciamos ou compartilhamos dados do Google com corretores de dados, anunciantes ou qualquer terceiro para fins comerciais.

4.4. Armazenamento e Proteção (Data Storage & Protection)

  • Dados são armazenados em banco de dados PostgreSQL gerenciado (Supabase) com criptografia em repouso (AES-256) e em trânsito (TLS 1.2+)
  • Tokens de acesso do Google (refresh tokens) são armazenados de forma criptografada e acessíveis apenas pelo servidor
  • Acesso aos dados é controlado por Row Level Security (RLS) — cada empresa acessa apenas seus próprios dados
  • Controle de acesso baseado em função (RBAC): admin, editor, student
  • Logs de auditoria registram todas as operações sensíveis
  • Backups automáticos diários com retenção de 30 dias

4.5. Retenção e Exclusão (Data Retention & Deletion)

  • Dados do Google Agenda são mantidos enquanto a integração estiver ativa
  • Ao desconectar o Google Agenda na plataforma, o refresh token é imediatamente excluído e a sincronização cessa
  • Os eventos previamente importados permanecem na plataforma (são dados do estúdio), mas não há mais vínculo com a conta Google
  • Ao excluir sua conta na ECHO Platform, todos os dados associados (incluindo tokens e eventos importados) são permanentemente removidos em até 30 dias

Você pode revogar o acesso da ECHO Platform à sua conta Google a qualquer momento em: myaccount.google.com/permissions

5. Compartilhamento de dados (geral)

Não vendemos seus dados pessoais. Compartilhamos informações apenas com:

  • Provedores de infraestrutura (Supabase, AWS, Vercel) para hospedagem e armazenamento
  • Processadores de pagamento (Stripe) para transações financeiras
  • Google (quando você autoriza a integração com o Google Agenda)
  • Autoridades legais, quando exigido por lei

6. Armazenamento e segurança

Seus dados são armazenados em servidores seguros com criptografia em trânsito (TLS 1.2+) e em repouso (AES-256). Utilizamos práticas de segurança alinhadas com padrões de mercado, incluindo controle de acesso baseado em função (RBAC), Row Level Security (RLS), autenticação via OAuth 2.0 e logs de auditoria.

7. Seus direitos (LGPD)

De acordo com a Lei Geral de Proteção de Dados (Lei 13.709/2018), você tem direito a:

  • Acessar seus dados pessoais
  • Corrigir dados incompletos ou desatualizados
  • Solicitar a exclusão dos seus dados
  • Revogar consentimento a qualquer momento
  • Solicitar portabilidade dos dados
  • Solicitar informação sobre compartilhamento com terceiros

Para exercer seus direitos, entre em contato pelo e-mail: contato@echoplatform.com.br

8. Retenção de dados

Mantemos seus dados pelo tempo necessário para prestar os serviços contratados ou conforme exigido por lei. Fotografias são mantidas pelo período acordado com o estúdio. Após esse período ou ao encerrar a conta, os dados são permanentemente excluídos em até 30 dias.

9. Cookies

Utilizamos cookies essenciais para manter sua sessão ativa e cookies analíticos (PostHog) para entender o uso da plataforma. Você pode gerenciar as preferências de cookies nas configurações do seu navegador.

10. Alterações nesta política

Podemos atualizar esta política periodicamente. Notificaremos sobre mudanças significativas por e-mail ou por aviso na plataforma. O uso continuado após as alterações constitui aceitação da nova política.

11. Contato

Para dúvidas sobre esta política ou sobre o tratamento dos seus dados pessoais: