De quem compra
- nome e e-mail, obrigatórios no checkout;
- CPF, somente se a pessoa preencher o campo no pagamento com cartão. No Pix esse campo não é exibido. Quando o CPF é informado, ele fica no pedido e segue para o Mercado Pago;
- dados do pedido: fotografias escolhidas, código, evento, valores, cupom, valor extra se houver, forma de pagamento e situação da cobrança;
- no cartão, o número completo e o CVV são digitados nos campos do Mercado Pago. O servidor da loja recebe um token dessa cobrança, não o cartão em aberto;
- no Pix, a loja guarda o código necessário para concluir aquela cobrança, junto do pagamento;
- um link de acesso ao pedido, mostrado na tela depois da compra. A loja não envia esse link por e-mail, porque não há serviço de envio de mensagens neste sistema.
No navegador, antes da compra
O carrinho fica no próprio aparelho, na memória local do navegador, com identificador da foto, nome do evento, código, endereço da prévia e o preço então exibido. Isso não cria conta e não é enviado ao servidor até o checkout. Dá para apagar limpando os dados do site no navegador ou esvaziando o carrinho.
No download
Quando um arquivo pago é baixado, a loja registra a data, um identificador derivado do endereço IP (não o IP em texto aberto), um trecho da identificação do navegador e a foto correspondente. O registro serve para contar os usos do link e perceber abuso. O identificador não deve ser lido como anonimização irreversível.
De quem aparece na fotografia
A vitrine mostra prévias reduzidas, com marca d’água, geradas sem reaproveitar os metadados da câmera. O arquivo original entregue depois do pagamento é o arquivo enviado à loja e pode conservar metadados técnicos da captura. A publicação pode permitir identificar pessoas do evento. Isso é dado pessoal dessas pessoas, ainda que elas não comprem nada.
De quem opera a loja
O painel administrativo usa e-mail, nome e senha armazenada apenas como hash. Esse acesso não é um produto oferecido ao comprador. A sessão fica num cookie chamado fa_admin, por 12 horas, restrito ao site, inacessível a script da página e marcado como seguro na publicação em produção.
O que não é coletado
Não há cadastro de comprador, newsletter, ferramenta de audiência, pixel de anúncio nem reconhecimento facial. Limites contra excesso de tentativas podem usar o IP da requisição por uma janela curta, sem gravar um perfil de cliente.