Política de Privacidad
esta es una traducción de cortesía. en caso de cualquier conflicto, prevalece la versión en portugués como texto legalmente vinculante bajo la ley brasileña.
1. Quiénes somos
Madalena es un marketplace que conecta a videomakers y fotógrafos locales con quienes quieren registrar un momento en Rio de Janeiro, con propuesta editorial de registro autoral hecho por moradores de la ciudad. Atendemos a turistas que visitan la ciudad, ocasiones personales, y también a empresas y marcas en sus eventos.
Esta Política de Privacidad describe cómo tratamos los datos personales recolectados en los formularios y en la navegación del sitio, en conformidad con la Ley General de Protección de Datos (Lei nº 13.709/2018, "LGPD").
Controlador de los datos (responsable legal por el tratamiento, conforme al art. 5º, VI de la LGPD):
- Razón social: MADALENA PRODUÇÕES CRIATIVAS LTDA
- CNPJ: 66.676.716/0001-11
- Dirección: R. Cardeal Dom Sebastião Leme, 93, Apt 302, Santa Teresa, Rio de Janeiro/RJ, CEP 20.240-012
- Canal para titulares: contato@somosmadalena.com.br
2. Qué datos recopilamos
2.1 Cuando pides una sesión (el panel "busca tu sesión")
Recopilamos los datos que nos das voluntariamente:
- Nombre.
- Correo electrónico.
- Teléfono, con el código del país.
- Si el registro es para un momento personal o para un evento, y qué profesional buscas: fotógrafo, storymaker o videomaker.
- Las fechas previstas de la sesión, cuando las eliges en el calendario.
- Lo que quieras contarnos sobre tu idea, en un campo de texto libre y opcional.
Adicionalmente, recopilamos automáticamente en el momento del envío:
- Parámetros de campaña de marketing presentes en la URL de entrada (utm_source, utm_medium, utm_campaign, utm_term, utm_content, gclid, fbclid) y el referrer, que es el sitio de origen del clic.
- Dirección IP truncada a /24 para IPv4 y /48 para IPv6, retenida en los registros del servidor para fines de auditoría temporal y detección de incidentes. El truncamiento agrega tu dirección en una subred y no permite la identificación individual.
2.2 Cuando te postulas como parceiro que recomienda (página /ser-parceiro)
Recopilamos:
- Nombre.
- Número de WhatsApp, con el código del país.
- Correo electrónico, opcional.
- Perfil de Instagram.
- Lo que quieras contarnos sobre tu negocio, en un campo de texto libre y opcional.
Los mismos parámetros de campaña y la misma dirección IP truncada descritos en 2.1.
2.3 Cuando te registras como creador (página /ser-criador)
Recopilamos, en esta primera etapa:
- Nombre.
- Correo electrónico.
- Número de WhatsApp, con el código del país.
- Ciudad donde vives.
- Lo que haces, entre las opciones ofrecidas en el formulario.
- Enlace de tu portafolio.
- Perfil de Instagram.
Si tu trabajo conversa con el nuestro, una segunda etapa llega por WhatsApp, mediante un enlace personal y temporal, con preguntas abiertas sobre ti y sobre tu forma de trabajar. Lo que respondas ahí se trata con la misma finalidad y por el mismo plazo que el registro.
Los mismos parámetros de campaña y la misma dirección IP truncada descritos en 2.1.
2.4 Recopilación automática para la prevención de abusos
En el momento del envío de cualquier formulario, y también al abrir el enlace personal de la etapa 2 del registro de creador, la dirección IP completa de tu conexión se consulta en una caché temporal por hasta 1 minuto, para verificar si el número de solicitudes consecutivas excede los límites técnicos definidos. Pasado ese período, el registro expira automáticamente de la caché y no es recuperable. Esta medida protege los formularios contra el abuso automatizado, el spam y los ataques de denegación de servicio.
En el registro de creador hay además una verificación anti-robot de Cloudflare, que resuelves marcando una casilla. Para funcionar, recibe la dirección IP de tu conexión y un identificador temporal del desafío, y devuelve a madalena solo la respuesta de que ese envío vino de una persona. Ningún dato del formulario pasa por ella.
2.5 Qué no recopilamos
- No cargamos cookies analíticas ni de marketing sin tu consentimiento explícito, manifestado en el banner de cookies. Antes de tu elección, ninguna de esas cookies se graba y ningún dato se envía a Google ni a Meta.
- No vendemos ni alquilamos tus datos personales. No los compartimos con ningún tercero más allá de los operadores listados en esta Política, y cualquier compartición ocurre solo bajo la base legal aplicable, siendo tu consentimiento la base en el caso de las cookies de marketing.
- No realizamos profiling automatizado para tomar decisiones con efecto jurídico o que afecten materialmente al titular.
- No recopilamos datos personales sensibles (origen racial o étnico, convicción religiosa, opinión política, afiliación sindical, datos de salud, vida sexual, datos genéticos o biométricos), en los términos del art. 5º, II de la LGPD, en ninguno de los formularios del sitio.
3. Por qué recolectamos, finalidad y base legal
Cada categoría de dato es tratada con finalidad específica y base legal declarada, conforme al art. 7º de la LGPD:
| Categoría | Finalidad | Base legal LGPD |
|---|---|---|
| Pedido de sesión (cliente) | Establecer contacto comercial para cerrar un servicio de fotografía o videografía | Art. 7º, V, ejecución de procedimientos preliminares relacionados con un contrato |
| Postulación de parceiro que recomienda | Evaluar la postulación del negocio y formalizar la colaboración de recomendación con quien sea seleccionado | Art. 7º, V, ejecución de procedimientos preliminares relacionados con un contrato |
| Registro de creador | Evaluar el trabajo del videomaker o del fotógrafo y formalizar la relación contractual con quien sea seleccionado | Art. 7º, V, ejecución de procedimientos preliminares relacionados con un contrato |
| Parámetros UTM, gclid, fbclid y referrer | Medir la efectividad agregada de las campañas de marketing | Art. 7º, IX, interés legítimo, con tratamiento en base agregada y sin identificación individual |
| Origen de tu llegada, cuando vienes por el enlace de un socio recomendador | Reconocer qué socio te llevó hasta Madalena, para pagarle la bonificación acordada si contratas un servicio. A diferencia de la línea anterior, aquí el origen queda vinculado a tu solicitud de sesión de forma individual, y no de forma agregada | Art. 7º, IX, interés legítimo de Madalena y del socio recomendador en determinar el origen del contacto para remunerar la recomendación. Puedes oponerte en cualquier momento en contato@somosmadalena.com.br, sin ningún perjuicio en tu atención |
| Dirección IP truncada en los registros | Auditoría temporal de las solicitudes y detección de incidentes de seguridad | Art. 7º, IX, interés legítimo, con finalidad exclusiva de seguridad de la información |
| Dirección IP completa en el rate limiting (TTL 1 minuto) | Prevención de abuso, spam y ataques automatizados | Art. 7º, IX, interés legítimo, con finalidad exclusiva de seguridad de la información |
| Dirección IP en la verificación anti-robot del registro de creador | Distinguir persona de automatización antes de aceptar el envío del formulario | Art. 7º, IX, interés legítimo, con finalidad exclusiva de seguridad de la información |
| Cookies analíticas (Google Analytics 4) | Medir el tráfico agregado y los patrones de navegación para mejorar el contenido del sitio | Art. 7º, I, consentimiento, recogido mediante el banner de cookies antes de la carga de las cookies |
| Cookies de marketing (Meta Pixel) | Medir conversiones y optimizar las campañas publicitarias de madalena en las plataformas de Meta (Facebook e Instagram), incluido el remarketing | Art. 7º, I, consentimiento, recogido mediante el banner de cookies antes de la carga de las cookies |
La evaluación de impacto sobre los tratamientos basados en legítimo interés consideró: (a) la finalidad legítima y específica de cada tratamiento, (b) la necesidad del tratamiento para alcanzar la finalidad, (c) el impacto mínimo sobre el titular, y (d) la ausencia de medio menos invasivo para el mismo objetivo. Los tratamientos respetan las legítimas expectativas del titular y los principios del art. 6º de la LGPD.
4. Con quién compartimos, operadores
Para operar el sitio y los formularios, contratamos proveedores de infraestructura (operadores, conforme al art. 5º, VII de la LGPD) que reciben datos en la medida estrictamente necesaria para la prestación del servicio.
| Operador | Finalidad | Localización del procesamiento | Base contractual |
|---|---|---|---|
| Vercel Inc. | Hospedaje del sitio y de los endpoints de la API | Estados Unidos | Cláusulas contractuales aplicables conforme a los Términos de Uso de Vercel, incluyendo el Data Processing Addendum publicado por el proveedor |
| Supabase Inc. | Banco de datos PostgreSQL donde los formularios son almacenados | São Paulo, Brasil (región sa-east-1) | Cláusulas contractuales aplicables conforme a los Términos de Uso de Supabase, incluyendo el Data Processing Addendum publicado por el proveedor |
| Resend Inc. | Envío de emails de notificación a los socios sobre nuevos registros recibidos | Estados Unidos | Cláusulas contractuales aplicables conforme a los Términos de Uso de Resend, incluyendo el Data Processing Addendum publicado por el proveedor |
| Upstash Inc. | Cache temporario de direcciones IP (TTL de 1 minuto) para prevención de abuso vía rate limiting | São Paulo, Brasil (región sa-east-1) | Cláusulas contractuales aplicables conforme a los Términos de Uso de Upstash, incluyendo el Data Processing Addendum publicado por el proveedor |
| Cloudflare, Inc. | Verificación anti-robot (Turnstile) en el registro de creador, recibiendo la dirección IP de la conexión y un identificador temporal del desafío | Estados Unidos | Cláusulas contractuales aplicables conforme a los Términos de Servicio de Cloudflare, incluido el Data Processing Addendum publicado por el proveedor |
| Google LLC | Recolección de métricas de tráfico agregadas vía Google Analytics 4, exclusivamente después de tu consentimiento explícito en el banner de cookies | Estados Unidos | Cláusulas contractuales aplicables conforme a los Términos de Uso de Google Analytics, incluyendo los Data Processing Terms publicados por el proveedor |
| Meta Platforms, Inc. | Recolección de eventos de conversión vía Meta Pixel para medición y optimización de las campañas publicitarias de Madalena, exclusivamente después de tu consentimiento explícito en el banner de cookies | Estados Unidos | Cláusulas contractuales aplicables conforme a los Términos de Servicio y los Data Processing Terms publicados por Meta para el producto Meta Pixel |
Ninguno de estos operadores está autorizado a tratar los datos para finalidades propias más allá de las estrictamente necesarias para la ejecución del servicio contratado por Madalena, con excepción de Meta, que, mediante tu consentimiento, recibe eventos de conversión del Meta Pixel también para finalidades propias de medición y optimización publicitaria. No vendemos tus datos ni los compartimos con data brokers o con cualquier tercero que no esté listado arriba.
5. Por cuánto tiempo retenemos tus datos
Cada categoría de dato tiene plazo de retención definido con base en la finalidad del tratamiento y en los plazos legales aplicables:
| Categoría | Plazo de retención |
|---|---|
| Pedido de sesión que no se convirtió en contrato | 24 meses a contar desde la fecha del envío del formulario |
| Cliente con contrato cerrado | 5 años tras el término del servicio, conforme al plazo prescripcional civil |
| Postulación de parceiro que recomienda no aprobada | 12 meses a contar desde la fecha del envío del formulario |
| Parceiro que recomienda activo | Mientras dure la colaboración, más 5 años tras su término |
| Registro de creador no aprobado | 12 meses a contar desde la fecha del envío del formulario |
| Creador activo | Mientras dure la relación contractual, más 5 años tras su término |
| Dirección IP completa en el cache de rate limiting | 1 minuto (TTL automático en el proveedor Upstash) |
| Logs de aplicación, sin datos personales identificables y con IP truncada | Conforme a la política de retención del proveedor de hospedaje (Vercel, en el plan contratado, retiene logs por aproximadamente 1 hora) |
| Cookie de consentimiento propio (madalena.consent) | 12 meses a contar de la elección; después de ese período, el banner es exhibido nuevamente para nueva manifestación |
| Cookie del enlace de la etapa 2 del registro de creador (madalena.etapa2) | Hasta 48 horas, contadas desde la emisión del enlace; expira junto con el enlace y es borrado apenas las respuestas son enviadas |
| Registro de la recomendación, en el almacenamiento local del navegador (madalena.origem) | 30 días desde tu primera llegada por el enlace del socio. Pasado ese plazo el registro deja de valer y se descarta |
| Cookies del Google Analytics 4 (_ga, _ga_*) | 2 años a contar de la última visita, conforme a la política de Google |
| Cookies del Meta Pixel (_fbp y _fbc, este último solo cuando llegas al sitio desde un anuncio de Meta) | 90 días a contar de la última visita, conforme a la política de Meta |
| Cookie de publicidad de Meta (fr) | 90 días, grabado en el dominio facebook.com por Meta |
Después del decurso del plazo de retención, los datos son eliminados o anonimizados, excepto cuando hubiere obligación legal de mantenimiento en plazo superior, como registros fiscales y contables exigidos por la legislación aplicable.
6. Tus derechos como titular
Como titular de los datos personales, tienes los derechos previstos en el art. 18 de la LGPD:
- Confirmación de la existencia de tratamiento de tus datos personales.
- Acceso a los datos que mantenemos sobre ti.
- Corrección de datos incompletos, inexactos o desactualizados.
- Anonimización, bloqueo o eliminación de datos innecesarios, excesivos o tratados en disconformidad con la LGPD.
- Portabilidad de tus datos a otro proveedor de servicio, en formato estructurado e interoperable.
- Eliminación de los datos personales tratados con base en consentimiento.
- Información sobre las entidades públicas y privadas con las cuales compartimos tus datos.
- Información sobre la posibilidad de no proveer consentimiento y sus consecuencias.
- Revocación del consentimiento en cualquier momento, mediante manifestación expresa.
- Revisión de decisiones tomadas únicamente con base en tratamiento automatizado de datos que afecten tus intereses, cuando aplicable (no realizamos ese tipo de tratamiento, conforme al ítem 2.5 de esta Política).
Adicionalmente, puedes presentar reclamación ante la Autoridad Nacional de Protección de Datos (ANPD), órgano fiscalizador de la LGPD, por los canales oficiales publicados por la autoridad.
Cómo ejercer tus derechos: envía tu solicitud para contato@somosmadalena.com.br. Atendemos en hasta 15 (quince) días, conforme al art. 19, §1º de la LGPD. Si fuere necesaria comprobación adicional de identidad para evitar fraude o acceso indebido por tercero, solicitaremos los elementos mínimos pertinentes.
7. Cookies y tecnologías similares
Utilizamos cookies en dos categorías, conforme detallado en el banner de consentimiento exhibido en tu primera visita al sitio. Tu elección puede ser alterada en cualquier momento vía link "Preferencias de cookies" en el pie de página del sitio.
7.1 Cookies esenciales (siempre activos)
Necesarios para el funcionamiento del sitio. No exigen consentimiento previo, conforme al entendimiento consolidado de protección de datos.
| Cookie | Finalidad | Proveedor | Duración |
|---|---|---|---|
| madalena.consent | Almacenar tu elección sobre cookies analíticos, evitando que el banner reaparezca a cada visita | Madalena (cookie propio, grabado client-side) | 12 meses |
| madalena.etapa2 | Mantener válido el enlace personal de la etapa 2 del registro de creador mientras respondes las preguntas, sin que la dirección de la página muestre tu código de acceso. Grabado solo para quien abre ese enlace, y borrado cuando las respuestas son enviadas | Madalena (cookie propio, grabado server-side) | Hasta 48 horas, y nunca más allá de la validez del propio enlace |
7.2 Cookies analíticos y de marketing (solamente después de tu consentimiento explícito)
Cargados solamente después de que optes por aceptarlos en el banner de consentimiento. Antes de tu elección, esos cookies no son grabados y ningún dato es enviado a Google o a Meta.
| Cookie | Finalidad | Proveedor | Duración |
|---|---|---|---|
| _ga | Distinguir usuarios únicos para medición de tráfico agregado | Google Analytics 4 | 2 años |
| _ga_4BJQRQZP99 | Persistir el estado de la sesión del usuario en el Google Analytics 4 (vinculado al Measurement ID G-4BJQRQZP99) | Google Analytics 4 | 2 años |
| _fbp | Identificar el navegador para medición de conversiones y remarketing en las plataformas de Meta | Meta Pixel | 90 días |
| _fbc | Almacenar el identificador de clic de anuncio (fbclid) cuando llegas al sitio a partir de un anuncio de Meta | Meta Pixel | 90 días |
| fr | Entrega y medición de anuncios en las plataformas de Meta | Meta Platforms (dominio facebook.com) | 90 días |
La configuración del Google Analytics 4 utiliza el Consent Mode v2 con analytics_storage definido como denied por defecto hasta que el consentimiento sea concedido. La dirección IP es anonimizada por Google antes de cualquier procesamiento, conforme a la política de producto declarada por el proveedor. El Meta Pixel sigue la misma postura: el script de recolección de Meta solo es cargado después de tu consentimiento y, antes de eso, el navegador no tiene ninguna comunicación con Meta. Puedes revocar en cualquier momento por el link "preferencias de cookies" en el pie de página del sitio.
7.3 Registro de la recomendación del socio (almacenamiento local, no es una cookie)
Cuando llegas al sitio por el enlace de un socio recomendador, tu navegador guarda el código de ese socio y la página por la que entraste. Esto no es una cookie: vive en el almacenamiento local del navegador y no viaja en las peticiones al servidor. Existe para que la recomendación se reconozca si vuelves días después, desde otro dispositivo u otra red, y es lo que permite pagar al socio que te trajo. Puedes borrarlo cuando quieras limpiando los datos del sitio en tu navegador, y puedes oponerte al tratamiento en contato@somosmadalena.com.br.
| Registro | Finalidad | Proveedor | Duración |
|---|---|---|---|
| madalena.origem | Guarda de qué socio recomendador vino el enlace que te trajo, y la página de entrada, para que la recomendación se reconozca si contratas un servicio después. No te identifica por sí solo: guarda el código del socio, no tus datos | Madalena (almacenamiento local del navegador, escrito client-side) | 30 días |
8. Cómo protegemos tus datos
Adoptamos medidas técnicas y administrativas en cinco capas para proteger tus datos:
- Capa de aplicación: validación rigurosa de entrada con schemas tipados y límites de tamaño en todos los campos, mecanismo honeypot anti-bot, rate limiting vía Upstash, logs estructurados sin datos personales identificables, dirección IP truncada en los registros persistidos.
- Capa de transporte: comunicación obligatoria sobre HTTPS/TLS, con Strict-Transport-Security activo. El navegador es instruido a siempre usar conexión criptografada con el sitio, incluso en primera visita después del opt-in.
- Capa de banco de datos: Row-Level Security activada por defecto en el Supabase en todas las tablas con datos personales, separación entre llaves de lectura/escritura del servidor (service_role) y llaves públicas con acceso restricto (anon), criptografía en reposo provista por el proveedor.
- Capa de credenciales y secretos: todas las llaves de API y credenciales almacenadas en variables de ambiente, fuera del control de versión. Rotación periódica de llaves. Autenticación de dos factores en todas las cuentas administrativas (GitHub, Vercel, Supabase, Resend, Upstash, Registro.br, Google).
- Capa de operación: monitoreo continuo de logs estructurados, revisión periódica de accesos administrativos y procedimiento documentado de respuesta a incidentes.
En caso de incidente de seguridad que afecte tus datos personales, comunicaremos a la ANPD y a los titulares afectados en plazo razonable, conforme al art. 48 de la LGPD, con indicación clara del alcance, de la naturaleza de los datos involucrados, de las medidas adoptadas para mitigar el impacto y de las recomendaciones de autoprotección a los afectados.
9. Transferencia internacional de datos
Algunos operadores listados en el ítem 4 están localizados fuera de Brasil:
- Vercel (Estados Unidos), responsable por el hospedaje del sitio.
- Resend (Estados Unidos), responsable por el envío de las notificaciones por email a los socios.
- Cloudflare (Estados Unidos), responsable de la verificación anti-robot del registro de creador.
- Google (Estados Unidos), responsable por los cookies analíticos, con tratamiento condicionado a tu consentimiento explícito.
- Meta Platforms (Estados Unidos), responsable por los cookies de marketing del Meta Pixel, con tratamiento condicionado a tu consentimiento explícito.
Esas transferencias cumplen el art. 33 de la LGPD por medio de:
- Cláusulas contractuales aplicables conforme a los Términos de Uso de cada proveedor, incluyendo los Data Processing Addenda publicados por los operadores.
- Evaluación de adecuación de los países de destino, considerando los mecanismos de protección contractuales y las certificaciones de seguridad publicadas por los proveedores.
- Principio de minimización aplicado tanto a la cantidad como a la sensibilidad de los datos transferidos.
Los operadores Supabase y Upstash, que almacenan los datos personales propiamente dichos (formularios y cache de rate limiting), operan en servidores localizados en São Paulo, Brasil (región sa-east-1). No hay transferencia internacional de los datos almacenados en esa infraestructura.
10. Encargado por el tratamiento de datos
Madalena se enmarca como Microempresa (ME) en los términos de la Lei Complementar nº 123/2006 y está sujeta al régimen simplificado de la Resolución CD/ANPD nº 2/2022, que dispone sobre la aplicación de la LGPD a agentes de tratamiento de pequeño porte.
Conforme a esa Resolución, agentes de tratamiento de pequeño porte están dispensados de la obligación de indicar formalmente Encargado por el Tratamiento de Datos Personales, siempre que sea mantenido canal abierto y eficiente de comunicación con los titulares y con la Autoridad Nacional de Protección de Datos.
Como medida adicional de transparencia, designamos voluntariamente un responsable por el canal de comunicación:
Jonathan da Silva Sousa, socio fundador de Madalena.
Canal de comunicación: contato@somosmadalena.com.br
Solicitudes relacionadas a derechos del titular, dudas sobre el tratamiento de datos personales o cualquier comunicación relativa a esta Política deben ser direccionadas exclusivamente a este canal, garantizando trilla auditable escrita de las interacciones.
Madalena no cuenta con departamento jurídico interno en ejercicio. Demandas legales específicas, cuando necesarias, son encaminadas a consultoría jurídica externa contratada para ese fin.
11. Actualizaciones de esta Política
Esta Política puede ser actualizada periódicamente para reflejar cambios en los servicios ofrecidos, en la legislación aplicable o en las prácticas de protección de datos.
Actualizaciones materiales, entendidas como aquellas que alteran sustancialmente las bases legales declaradas, las finalidades del tratamiento, los plazos de retención, los derechos del titular o las transferencias internacionales, serán comunicadas con antecedencia mínima de 30 días por:
- Email, a los titulares cuyo contacto mantenemos.
- Aviso destacado en el sitio, durante toda la ventana de antecedencia.
La versión vigente está siempre disponible en la página /privacidade, con indicación de la fecha de la última revisión.
Última actualización: 12 de agosto de 2026
12. Cómo hablar con nosotros
Para cualquier duda, solicitud o comunicación relacionada a esta Política de Privacidad o al tratamiento de datos personales por Madalena:
Email: contato@somosmadalena.com.br
Mantenemos ese canal como única vía formal para el ejercicio de derechos por el titular, garantizando trilla auditable escrita de todas las interacciones. La atención ocurre en hasta 15 (quince) días de la fecha de recibimiento, conforme al art. 19, §1º de la LGPD.