A maioria dos artigos que comparam galerias de seleção ordena-as por preço, armazenamento e aspeto da galeria do cliente. Isso conta. Mas se trabalha na Europa, há uma pergunta a que nenhuma dessas comparações responde: onde estão fisicamente as fotos dos seus clientes e o que é que isso o obriga a fazer?
Isto não é uma lição de conformidade. É a lista curta do que um fotógrafo europeu deve saber responder sobre a sua plataforma de galerias e do que muda quando os ficheiros ficam na Europa.
Primeiro, a palavra: proofing
Nos Estados Unidos, «proofing» é o termo habitual para a galeria que se envia a um cliente para este rever, escolher e aprovar as imagens antes da entrega final. Na Europa, esse mesmo passo chama-se normalmente apenas entrega da galeria, e é por isso que os fotógrafos europeus que pesquisam em inglês falham muitas vezes metade do mercado.
Vale a pena saber, porque é a palavra em torno da qual todas as plataformas norte-americanas organizam o seu produto. Se estiver a comparar ferramentas em inglês, pesquise galerias de proofing e não galerias de entrega.
As fotos dos seus clientes são dados pessoais, e o responsável pelo tratamento é você
Uma fotografia em que uma pessoa pode ser identificada é um dado pessoal. É o ponto de partida, e aplica-se tanto a uma sessão de retratos corporativos como a um casamento.
Daqui decorrem dois papéis. É você quem decide de quem se tiram fotos, porquê e durante quanto tempo ficam online, o que faz de si o responsável pelo tratamento. A plataforma que aloja a galeria age segundo as suas instruções, o que faz dela um subcontratante.
Essa relação não é informal. O artigo 28.º exige um contrato escrito entre ambos, um acordo de tratamento de dados, que abranja o que o subcontratante pode fazer, as suas medidas de segurança, quem são os seus próprios subcontratantes ulteriores e o que acontece aos dados no final.
O teste prático: consegue descarregar esse acordo do site da plataforma hoje mesmo, sem contactar a equipa comercial? Nas plataformas sérias, consegue. Quando não consegue, é você quem tem a obrigação sem ter o documento.
Alojar nos Estados Unidos não é ilegal. É burocracia
É aqui que se concentra a maior parte da confusão, e corta nos dois sentidos.
Transferir dados pessoais para fora do Espaço Económico Europeu é lícito quando um mecanismo jurídico o cobre. Desde julho de 2023, o Quadro de Privacidade de Dados UE-EUA (Data Privacy Framework) oferece exatamente isso: uma empresa norte-americana que se tenha autocertificado ao abrigo dele pode receber dados pessoais da UE sem mais formalidades, tal como funcionaria uma transferência dentro da UE.
Portanto, uma plataforma de seleção norte-americana não é automaticamente um problema. O que importa é uma pergunta factual: esta empresa em concreto está certificada?
O registo é público. Pesquise a denominação social da empresa em dataprivacyframework.gov e verifique se a certificação está ativa. Note que uma página de marketing a dizer «conforme com o RGPD» não é uma resposta, nem uma resposta do apoio ao cliente a dizer que os dados estão «seguros». A certificação é um estatuto numa lista pública, ou não é.
Se o fornecedor não consta dessa lista, a transferência exige cláusulas contratuais-tipo e uma avaliação de impacto da transferência, uma análise para saber se as leis do país de destino comprometem na prática essas cláusulas. Essa avaliação é tarefa do responsável pelo tratamento. Ou seja, sua.
As seis coisas a verificar antes de assinar
Aplique-as a qualquer plataforma, europeia ou não. A maioria demora cinco minutos.
O acordo de tratamento de dados. Descarregável sem ter de o pedir e assinado pela entidade a quem está realmente a pagar.
A região de armazenamento. Não a sede da empresa, mas a região onde estão os ficheiros de imagem e os registos da base de dados. Algumas plataformas deixam-no escolher, a maioria não.
O mecanismo de transferência. Certificação no Data Privacy Framework, ou cláusulas contratuais-tipo mais a sua própria avaliação.
A lista de subcontratantes ulteriores. Uma plataforma de galerias nunca está sozinha: armazenamento de objetos, uma rede de distribuição de conteúdos, e-mail transacional, estatísticas. Peça a lista e como será notificado quando mudar. As adições feitas em silêncio são a falha habitual.
Conservação e eliminação. O que acontece aos ficheiros quando uma galeria expira ou quando encerra a sua conta. Uma plataforma que não consegue indicar um prazo de eliminação não o pode ajudar a responder a um pedido de eliminação de um cliente.
A correspondência de rostos, se a usar. As fotografias não são dados biométricos por defeito. O considerando 51 é explícito neste ponto. Só se tornam biométricas quando tratadas por meios técnicos que permitem a identificação inequívoca, que é precisamente o que faz a correspondência de rostos, e isso leva-o para o artigo 9.º e para o consentimento explícito. O enquadramento é tratado em pormenor em reconhecimento facial e RGPD para fotógrafos.
O que a opção europeia muda realmente
Nada de mágico. Retira do seu processo um capítulo do regulamento.
Com o armazenamento na União Europeia, o capítulo V, sobre as transferências internacionais, deixa de se aplicar a essa parte da sua infraestrutura. Nenhuma certificação a verificar, nenhuma cláusula contratual-tipo a anexar, nenhuma avaliação de impacto da transferência a redigir e a manter atualizada. As restantes obrigações ficam exatamente como estavam.
Onde isto deixa de ser abstrato é no B2B. Os clientes empresariais enviam cada vez mais um questionário de fornecedores antes de uma sessão, e uma das suas linhas pergunta onde os subcontratantes ulteriores guardam os dados. Responder «na União Europeia, aqui está o acordo» encerra o assunto num só e-mail. Responder «nos Estados Unidos, ao abrigo de um quadro, deixe-me encontrar o certificado» abre uma conversa com um departamento jurídico que não tem nenhuma razão para se apressar.
A segunda coisa que muda é a jurisdição. Um subcontratante europeu contrata ao abrigo do direito europeu, com uma autoridade de controlo europeia. Quando algo corre mal, é uma camada a menos entre si e uma solução.
Pixieset, ShootProof e a questão europeia
Para ser justo com eles: são bons produtos, criados por equipas sérias, e os fotógrafos usam-nos porque funcionam. Nada aqui diz o contrário, e a nossa própria comparação de alternativas ao Pixieset recomenda várias delas consoante o perfil.
O que não são é produtos pensados em torno da questão europeia. O seu armazenamento, o seu apoio e os seus contratos estão organizados para um mercado norte-americano onde esta burocracia não existe. Isso não é um defeito, é um mercado diferente.
Por isso, não pergunte se são conformes, o que não é uma propriedade de sim ou não de um produto. Faça as três perguntas factuais acima: o que diz o acordo, onde fica o armazenamento e se a empresa consta do registo público. Depois decida com as respostas à frente.
Onde a Evokly se situa, e onde não
A Evokly, uma galeria de eventos em marca branca com pesquisa de rostos, aloja na União Europeia, publica um acordo de tratamento de dados e enquadra a correspondência de rostos num consentimento explícito registado, com eliminação quando o evento expira. As galerias ficam em marca branca, sob a sua própria marca, a partir do plano Event Pro, de pagamento único, sem subscrição.
Foi concebida para eventos com muitos sujeitos diferentes: casamentos, galas, conferências, dias de empresa. Os convidados leem um código QR e cada pessoa encontra as fotos em que aparece tirando uma selfie, o que acaba com a troca de mensagens «consegues encontrar as fotos em que apareço?» na semana seguinte.
Onde não serve: a Evokly não é uma plataforma de venda de impressões e não gere contratos nem faturação. Se o seu modelo de negócio assenta em impressões em papel, ou se quer a entrega e a administração do estúdio num único painel, as ferramentas acima fazem-no e a Evokly não.
Quando uma plataforma norte-americana continua a ser a resposta certa
Três casos, com honestidade.
Os seus clientes são norte-americanos. A questão da transferência corre no sentido contrário, e a plataforma local é aquela em torno da qual se constroem as expectativas deles.
As vendas de impressões são a sua margem. As integrações com laboratórios que fazem isso funcionar são maduras nas plataformas norte-americanas e estão ausentes da maioria das europeias.
Já está instalado e funciona. A migração custa horas reais, e uma plataforma que conhece vale mais do que um processo marginalmente melhor no papel. Mude quando houver uma razão, não por causa de um artigo.
Em resumo
O local de alojamento não é conformidade, e o alojamento europeu não é um certificado. O que faz é eliminar um capítulo das suas obrigações, o das transferências internacionais, e dar-lhe uma resposta de um só e-mail quando um cliente empresarial pergunta onde estão as fotos.
Antes de assinar o que quer que seja, obtenha por escrito o acordo, a região de armazenamento e o mecanismo de transferência. Se uma plataforma não consegue apresentar os três numa tarde, essa é a sua resposta sobre o resto.
Para saber durante quanto tempo deve guardar os ficheiros depois de entregues, veja conservação das fotos de eventos segundo o RGPD.
Experimente grátis uma galeria em marca branca, numa sessão real, antes de decidir seja o que for.
Perguntas frequentes
É ilegal alojar fotos de clientes nos Estados Unidos segundo o RGPD?
Não. As transferências para fora do Espaço Económico Europeu são lícitas quando um mecanismo jurídico as cobre. Desde julho de 2023, o Quadro de Privacidade de Dados UE-EUA (Data Privacy Framework) oferece um: uma empresa norte-americana que se tenha autocertificado ao abrigo dele pode receber dados pessoais da UE sem cláusulas contratuais-tipo. Se o seu fornecedor não estiver certificado, a transferência exige cláusulas contratuais-tipo e uma avaliação de impacto da transferência, e esse trabalho recai sobre si, como responsável pelo tratamento, e não sobre ele.
Como verifico se uma plataforma de seleção de fotos está certificada no Data Privacy Framework?
A lista é pública e pode ser consultada em dataprivacyframework.gov. Pesquise a denominação social da empresa e não o nome do produto, e verifique se a certificação está ativa e se abrange as categorias de dados certas. Um fornecedor que afirma ser «conforme com o RGPD» numa página de marketing não é o mesmo que uma certificação ativa nesse registo.
Sou o responsável pelo tratamento das galerias dos meus clientes?
No caso normal, sim. É você quem decide de quem se tiram fotos, porquê e durante quanto tempo ficam online, o que faz de si o responsável pelo tratamento. A plataforma de seleção age segundo as suas instruções, o que faz dela um subcontratante. Essa relação exige um acordo escrito de tratamento de dados, ao abrigo do artigo 28.º, e é o documento que deve poder descarregar sem contactar a equipa comercial.
As fotografias são dados biométricos segundo o RGPD?
Não por defeito. O considerando 51 é explícito ao dizer que as fotografias não são sistematicamente dados de categorias especiais. Só se tornam dados biométricos quando tratadas por meios técnicos específicos que permitem identificar uma pessoa de forma inequívoca, que é exatamente o que faz o reconhecimento facial. Uma galeria simples de rostos são dados pessoais comuns; acrescente a correspondência de rostos e passa para o artigo 9.º, que exige consentimento explícito.
Alojar na Europa torna-me conforme por si só?
Não, e qualquer fornecedor que lhe diga o contrário está a vender. O alojamento europeu retira do seu processo um capítulo do regulamento, o das transferências internacionais. Continua a precisar de um fundamento jurídico para as fotos, de um acordo de tratamento de dados, de um prazo de conservação que aplique de facto e de uma forma de responder a um pedido de eliminação. O local de alojamento é uma linha da lista de verificação, não a lista de verificação.