Política de Privacidade do aplicativo Despertai

1. Quem é o controlador dos dados

• Controlador: COMUNIDADE BATISTA DESPERTAI
• Nome fantasia: MINISTÉRIO BISPO WILIAM OLIVEIRA
• CNPJ: 57.589.746/0001-08
• Endereço: Rua Antônio Mariano, 368, Sala 03 C — Jardim Ipanema, São Paulo/SP — CEP 04784-000
• Representante legal: Bispo Wiliam Ribeiro Oliveira
• Canal de privacidade e proteção de dados: dpo@comunidadebatistadespertai.com.br
• Encarregado (pessoa jurídica): COMUNIDADE BATISTA DESPERTAI — CNPJ 57.589.746/0001-08. Responsável natural: Bispo Wiliam Ribeiro Oliveira (representante legal). Contato: dpo@comunidadebatistadespertai.com.br

2. A que esta Política se aplica

Esta Política se aplica:

• ao aplicativo móvel Despertai para Android e iOS;
• ao site institucional da Igreja em https://www.comunidadebatistadespertai.com.br, incluindo as páginas desta Política, dos Termos de Uso e do pedido de exclusão de conta;
• e aos fluxos diretamente relacionados ao serviço, incluindo criação e gerenciamento de conta, notificações, pedidos de oração, recuperação de senha e atendimento de solicitações de privacidade.

Links que levam a plataformas externas, como YouTube, WhatsApp, páginas de doação, são regidos também pelas políticas próprias desses terceiros. Ao abrir um serviço externo, o tratamento realizado por esse terceiro deixa de estar sob controle exclusivo da Igreja.

3. Uso do aplicativo sem cadastro e criação de conta

O cadastro é opcional. O usuário pode acessar o conteúdo principal do aplicativo sem criar conta. A criação de conta serve para funcionalidades de personalização e gerenciamento, como saudação pelo nome, troca de e-mail, redefinição de senha e exclusão da própria conta.

As contas são destinadas a pessoas com 13 anos ou mais. Menores de 13 anos podem consumir conteúdos adequados à idade sob orientação e responsabilidade de seus pais ou responsáveis, mas não devem criar conta própria nem enviar, de forma autônoma, dados pessoais por formulários do aplicativo.

No tratamento de dados de crianças e adolescentes, quando aplicável, a Igreja observará o melhor interesse, a proteção integral, a minimização de dados e as demais regras da LGPD, do Estatuto da Criança e do Adolescente e do Estatuto Digital da Criança e do Adolescente (ECA Digital). A classificação etária da loja (“Livre”) se refere ao conteúdo e não substitui regras de privacidade ou elegibilidade para criação de conta.

4. Quais dados podem ser tratados

Dependendo das funcionalidades utilizadas, podem ser tratadas as categorias abaixo (dados, finalidade e retenção resumida):

• Conta cadastrada — nome completo, e-mail, credencial de autenticação protegida por hash/verificador e identificador da conta. Finalidade: criar e manter a conta, autenticar, personalizar e permitir gerenciamento e exclusão. Retenção: enquanto a conta estiver ativa; após exclusão, remoção dos sistemas ativos, observadas cópias de segurança e retenções técnicas.
• Dados opcionais do perfil — data de nascimento e telefone. Finalidade da data de nascimento: poderemos enviar uma mensagem de aniversário por e-mail, disparada pela ferramenta de envio de e-mails indicada no item 8. Informar a data é o consentimento para esse envio; apagá-la no aplicativo o revoga. O aplicativo não dispara nenhum envio por conta própria. Finalidade do telefone: permitir contato direto da Igreja com o titular, mediante autorização específica para essa finalidade, registrada com a versão desta Política vigente no momento do aceite. A autorização é revogável a qualquer momento e, ao ser revogada, o telefone é APAGADO do perfil na mesma operação — não fica guardado com a autorização retirada. Retenção: data de nascimento enquanto a conta permanecer ativa ou até o titular remover o dado; telefone enquanto a autorização estiver válida e a conta estiver ativa.
• Dados técnicos — identificador aleatório da instalação, credencial da instalação, token de push e registros técnicos de uso. Esses identificadores NÃO são vendidos nem cedidos a terceiros para finalidade própria deles: o token só trafega pelos serviços de entrega de notificação listados no item 8, que o tratam em nome da Igreja. Finalidade: segurança, prevenção de abuso, rate limit, funcionamento técnico e entrega de notificações. O identificador da instalação é gerado aleatoriamente pelo próprio aplicativo e não deriva de IMEI, número de série, identificador de publicidade ou qualquer impressão digital do aparelho. Retenção: registros de visualização por 90 dias; token e identificador da instalação enquanto a instalação estiver ativa e por até 7 dias após a assinatura de notificações ser invalidada, quando a linha é apagada.
• Localização aproximada da instalação — país, unidade federativa e cidade aproximada, derivadas da rede e vinculadas à instalação do aplicativo. Finalidades, que são duas: (i) dimensionar o alcance territorial da Igreja, em números agregados por estado e por região, na visão geral do painel administrativo; e (ii) exibir a unidade federativa e a cidade aproximada AO LADO DO NOME de cada pessoa na lista de pessoas do painel, permitindo organizar o atendimento e a comunicação por região. No segundo uso, a informação deixa de ser agregada e passa a estar associada a um titular identificado. Acesso: apenas a administração geral e o papel responsável pela lista de pessoas, sempre em sessão com segundo fator de autenticação; papéis de conteúdo, de envio de notificações e de métricas não alcançam essa informação. O endereço de rede (IP) NÃO é armazenado — nem em texto, nem com hash, nem em prefixo: ele é usado apenas em memória, no instante do registro de notificações, para resolver a região contra uma base de faixas de rede mantida localmente pela Igreja. Não há acesso ao GPS do aparelho e nenhuma permissão de localização é solicitada. Retenção: enquanto a assinatura de notificações da instalação existir; é apagada junto com ela.
• Nome informado no aplicativo sem conta, quando essa opção estiver disponível no aplicativo — nome que o titular opte por informar para ser chamado, vinculado à instalação e não a uma conta. Finalidade: personalizar o atendimento e identificar a pessoa nas listas do painel administrativo. Informar será opcional e não criará conta, sessão nem login. Retenção: enquanto a instalação existir; apagado junto com a assinatura de notificações. Esta previsão descreve um recurso ainda não disponível: nenhum nome é coletado sem conta na versão atual do aplicativo.
• Marca de aparelho da equipe — vínculo entre uma conta administrativa e a instalação usada por ela. Finalidade: permitir que publicações marcadas como teste sejam entregues somente aos aparelhos da equipe, antes de alcançarem o público. Retenção: enquanto a conta administrativa e a instalação existirem.
• Pedido de oração — nome informado e texto livre do pedido. Finalidade: encaminhar o pedido aos pastores/administradores autorizados. Retenção: 90 dias, com exclusão automática após esse prazo.
• Interações de conteúdo — registro de visualizações necessário ao controle antiabuso/rate limit. Finalidades, que são duas: segurança e estabilidade do serviço, e análise agregada de audiência — quais conteúdos são mais acessados — para orientar o que a Igreja publica. Não é utilizado para publicidade comportamental nem para traçar perfil individual. Retenção: 90 dias.
• Comunicações transacionais — e-mail e metadados mínimos necessários ao envio. Finalidade: redefinição de senha, confirmação de troca de e-mail e comunicações essenciais da conta. Retenção: pelo período necessário ao envio, segurança e registros operacionais dos provedores.
• Registros de consentimento e exclusão — versão do aviso/consentimento aceito, data e evidência técnica minimizada, e registro da exclusão sem dado pessoal direto. Finalidade: demonstrar conformidade, atender direitos, segurança e exercício regular de direitos. Retenção: pelo prazo estritamente necessário à finalidade e à defesa de direitos, com minimização e pseudonimização quando possível.

5. Bases legais utilizadas

O tratamento não se apoia em um único “consentimento geral”. A base legal depende da finalidade. Entre as hipóteses aplicáveis estão:

A data de nascimento é opcional e se apoia no CONSENTIMENTO (art. 7º, I, da LGPD), com uma mecânica simples: preencher a data é consentir com a mensagem de aniversário; apagá-la no aplicativo é revogar. A revogação não depende de pedido nem de prazo de atendimento — o próprio titular apaga, pela tela de conta. Não informar ou apagar a data não limita nenhuma outra funcionalidade, e o consentimento é separado de marketing e de qualquer outro.

O consentimento para contato por telefone é registrado por FINALIDADE, com a versão desta Política vigente no momento do aceite, e admite apenas uma autorização vigente por vez. A revogação apaga o telefone na mesma operação, de modo que o dado não sobrevive à base legal que o sustentava.

• Execução de contrato ou de procedimentos solicitados pelo titular — dados necessários para criar, autenticar, manter e excluir a conta e prestar funcionalidades pedidas pelo usuário; art. 7º, V, da LGPD.
• Consentimento — dados opcionais quando não houver outra base adequada, notificações não essenciais e tratamento do conteúdo de pedido de oração quando a informação puder envolver dados sensíveis; arts. 7º, I, e, quando aplicável, 11, I, da LGPD.
• Legítimo interesse — segurança, prevenção de abuso, rate limit e proteção do serviço, mediante necessidade, proporcionalidade e salvaguardas; art. 7º, IX, da LGPD.
• Legítimo interesse, especificamente para a localização aproximada — conhecer o alcance territorial da Igreja e organizar o atendimento pastoral por região; art. 7º, IX, da LGPD. As salvaguardas são as efetivamente implementadas: a região é aproximada e tem a unidade federativa como único dado confiável; o endereço de rede não é armazenado em nenhuma forma, nem mesmo com hash ou em prefixo; nenhuma permissão de localização é solicitada ao aparelho; e o acesso é restrito à administração geral e ao papel responsável pela lista de pessoas, sempre com segundo fator de autenticação. O titular pode se opor a esse tratamento pelo canal de privacidade.
• Consentimento, especificamente para o nome informado sem conta, quando essa opção estiver disponível no aplicativo — informar o nome será opcional e servirá apenas para que a pessoa seja chamada pelo nome; art. 7º, I, da LGPD. A recusa não limitará nenhuma funcionalidade. O recurso só será ativado quando o aplicativo oferecer ao titular o caminho para apagar o próprio nome, de modo que o consentimento seja retirável por quem o deu; até então, nenhum nome é coletado sem conta.
• Execução de procedimento solicitado pelo titular, especificamente para a marca de aparelho da equipe — art. 7º, V, da LGPD. A base é esta, e não o legítimo interesse, porque a marca não é atribuída pela Igreja a ninguém: ela só existe quando a própria pessoa da equipe, já autenticada no painel, vincula deliberadamente o seu aparelho para receber as publicações de teste. O interesse da Igreja em conferir uma publicação antes do envio ao público é a razão da funcionalidade, não a base legal do tratamento.
• Cumprimento de obrigação legal/regulatória e exercício regular de direitos — quando for necessário conservar evidências mínimas, responder autoridades ou proteger direitos; arts. 7º, II e VI, da LGPD.

6. Pedidos de oração e dados potencialmente sensíveis

O pedido de oração é um campo de texto livre. Por sua natureza, o usuário pode, voluntariamente, inserir informações que revelem convicção religiosa, condição de saúde, situação familiar ou outros dados que possam receber proteção reforçada.

A Igreja não exige diagnóstico médico, documentos, endereço, CPF, dados bancários ou detalhes íntimos para receber um pedido de oração. O usuário deve fornecer apenas o mínimo necessário. Evite inserir dados de outras pessoas sem autorização e, sempre que possível, use apenas primeiro nome ou descrição genérica.

Antes do envio, é exibido consentimento destacado para o tratamento do conteúdo do pedido pelo prazo de retenção. O pedido não é publicado para outros usuários: ele é acessível apenas a pessoas autorizadas da administração e da pastoral.

7. Notificações push

O Despertai pode enviar notificações sobre lives, novos áudios, mensagens e avisos da Igreja. As notificações são opcionais e dependem da permissão do sistema operacional. O usuário pode recusá-las ou desativá-las a qualquer momento nas configurações do Android ou iOS.

Para entregar a notificação, podem ser tratados identificadores técnicos do aplicativo/dispositivo, como tokens de push, por meio do Expo Push Service, Firebase Cloud Messaging no Android e Apple Push Notification Service no iOS.

8. Com quem os dados podem ser tratados ou compartilhados

Os dados podem ser tratados ou compartilhados com os prestadores/terceiros abaixo, cada um no seu papel:

• Supabase — banco de dados, autenticação e storage. Projeto principal na região sa-east-1 (São Paulo, Brasil).
• Cloudflare, Inc. (Estados Unidos) — armazenamento e distribuição de arquivos de mídia do aplicativo (áudios, vídeos e imagens) por meio de rede de distribuição de conteúdo (CDN) e, também, gateway de rede das funções de servidor da Igreja. Nos dois papéis, o seu endereço IP e dados técnicos da conexão são processados pela Cloudflare exclusivamente para a entrega e a proteção da requisição. A transferência internacional é amparada pelo art. 33, IX, da LGPD, com cláusulas contratuais padrão adotadas pelo operador.
• Expo Push Service — intermediação técnica do envio de notificações push para FCM/APNs.
• Google Firebase Cloud Messaging (FCM) — entrega de notificações em Android e identificadores técnicos relacionados à instalação/registro.
• Apple Push Notification Service (APNs) — entrega de notificações em iOS.
• Amazon Web Services SES — envio de e-mails transacionais, como redefinição de senha e confirmação de troca de e-mail.
• Vercel — hospedagem do painel administrativo da Igreja; pode processar dados técnicos de conexão e logs necessários à entrega e segurança da hospedagem.
• GreatPages — hospedagem do site institucional da Igreja, onde ficam publicadas esta Política, os Termos de Uso e a página de pedido de exclusão de conta; pode processar dados técnicos de conexão e logs necessários à entrega da página.
• Google Workspace — correio eletrônico institucional da Igreja, inclusive o canal de privacidade; trata as mensagens recebidas e enviadas no atendimento de solicitações de titulares.
• Empresa contratada para desenvolvimento, manutenção técnica e envio de comunicações — opera o aplicativo e os sistemas de apoio por conta e ordem da Igreja, com acesso técnico limitado ao necessário para manter o serviço no ar, corrigir defeitos e disparar as comunicações que a Igreja determina. Não usa os dados para finalidade própria.
• MovMail — ferramenta usada para disparar os e-mails de comunicação, inclusive a mensagem de aniversário. A lista de destinatários serve apenas àquele envio: a planilha é apagada do computador depois dele, e a ferramenta guarda só o registro de quem recebeu, pelo prazo do item 10.
• YouTube — plataforma externa de lives; o aplicativo redireciona o usuário para o serviço externo.
• WhatsApp — canal externo aberto por iniciativa do usuário para contato; o tratamento posterior segue também as regras do WhatsApp.

A resolução da região aproximada descrita no item 4 NÃO é um compartilhamento: ela usa uma base de faixas de rede licenciada da MaxMind (GeoLite2), baixada e mantida nos sistemas da própria Igreja, sem qualquer consulta externa no momento do uso. Nenhum dado de titular é enviado à MaxMind.

A Igreja não vende dados pessoais e não utiliza Google Analytics, Meta Pixel, Hotjar, Mixpanel, Amplitude, OneSignal, RevenueCat, Sentry, AdMob ou SDK de publicidade comportamental/tracking cross-app.

9. Transferências internacionais de dados

O banco principal fica na região sa-east-1, em São Paulo. Parte dos prestadores do item 8, porém, opera infraestrutura ou empresas fora do Brasil, inclusive nos Estados Unidos: Google (notificações em Android e correio institucional), Apple (notificações em iOS), Expo (intermediação técnica do envio de notificações), Cloudflare (distribuição dos arquivos de mídia) e Vercel (hospedagem do painel administrativo). Nesses casos há transferência internacional dos dados estritamente necessários àquela finalidade, limitada ao mínimo e apoiada nas hipóteses do art. 33 da LGPD e nos instrumentos contratuais adotados por esses prestadores, observada a Resolução CD/ANPD nº 19/2024.

10. Retenção e exclusão

A Igreja mantém dados somente pelo tempo necessário à finalidade informada, conforme prazos descritos nesta Política e obrigações legais aplicáveis. Os pedidos de oração e os registros de visualização têm regra de 90 dias. Os dados ligados à instalação — token de push, nome informado sem conta, localização aproximada e marca de aparelho da equipe — são apagados junto com a assinatura de notificações, que é removida até 7 dias depois de ser invalidada. Dados de cadastro permanecem enquanto a conta estiver ativa.

Quando a conta é excluída, os dados associados são removidos dos sistemas ativos sem demora indevida, incluindo perfil, registros de autenticação, sessões ativas, tokens de push, visualizações e pedidos de oração associados. Cópias residuais podem permanecer temporariamente em backups e registros técnicos de operadores pelo prazo estritamente necessário à recuperação, segurança ou obrigação legal.

O prazo de backups do banco principal é de até 7 dias, conforme o plano de produção do Supabase.

Nos envios de comunicação por e-mail, a lista de destinatários não fica guardada na ferramenta: a planilha usada no disparo é apagada do computador depois dele. O que permanece é o registro de quem recebeu, mantido por 12 meses e apagado em seguida.

11. Exclusão da conta

Usuários cadastrados podem iniciar a exclusão em “Mais” > “Perfil e configurações” > “Zona de perigo” > “Excluir minha conta”, com confirmação da senha atual. A ação é irreversível.

A exclusão da conta não impede a manutenção de evidências estritamente necessárias para obrigação legal, segurança ou exercício regular de direitos, desde que minimizadas e claramente informadas.

12. Direitos do titular

Nos termos da LGPD, o titular poderá solicitar, quando aplicável:

• confirmação da existência de tratamento;
• acesso aos dados pessoais;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• portabilidade, quando aplicável e regulamentada;
• informação sobre compartilhamentos;
• revogação do consentimento e informação sobre suas consequências, quando o tratamento depender de consentimento;
• eliminação de dados tratados com consentimento, observadas as exceções legais;
• oposição a tratamento realizado em desconformidade com a LGPD;
• petição perante a ANPD, observados os procedimentos aplicáveis.

Solicitações podem ser encaminhadas para dpo@comunidadebatistadespertai.com.br. Poderemos solicitar informações proporcionais para confirmar a identidade do requerente e evitar acesso indevido a dados de terceiros.

13. Segurança da informação

A Igreja adota medidas técnicas e administrativas compatíveis com o risco do tratamento. O desenho inclui acesso administrativo restrito, segundo fator de autenticação obrigatório no painel, autenticação gerenciada pelo Supabase Auth e senhas armazenadas por mecanismo de hash/verificação, não em texto simples.

O acesso administrativo é separado por papel, com o menor conjunto de dados necessário a cada função. O papel responsável pela lista de pessoas vê nome, e-mail, unidade federativa e cidade aproximada, e NÃO vê telefone — o telefone é acessível apenas ao papel de administração geral. Papéis de conteúdo e de envio de notificações não alcançam a lista de pessoas. Todo acesso à lista exige sessão com segundo fator.

Nenhum sistema é absolutamente imune a riscos. Em caso de incidente de segurança com potencial risco ou dano relevante, serão adotadas as providências de contenção, investigação, registro e comunicação exigidas pela legislação e pela regulamentação da ANPD.

14. Site, cookies e tecnologias similares

O site institucional da Igreja (https://www.comunidadebatistadespertai.com.br), onde esta Política, os Termos de Uso e a página de pedido de exclusão de conta estão publicados, é hospedado em plataforma de criação de páginas. Esse site PODE usar cookies e tecnologias similares, próprios ou de terceiros, inclusive de medição de audiência. O aviso de cookies exibido no próprio site é o que rege esse uso, e é por ele que o visitante aceita, recusa ou revisa as escolhas — esta Política não afirma ausência de cookies no site e não substitui aquele aviso.

Independentemente de cookies, o provedor de hospedagem pode processar dados técnicos de conexão, como endereço IP e logs de requisição, para entregar, proteger e operar a infraestrutura. Se forem ativados analytics, pixels, cookies, chat, remarketing ou tecnologias equivalentes, esta Política será atualizada antes da ativação e o mecanismo de consentimento será reavaliado.

15. Links externos e doações

O aplicativo pode exibir links para YouTube, WhatsApp, páginas de doação e informações como chave PIX. O Despertai não processa pagamentos no aplicativo, não recebe dados de cartão, não oferece assinatura nem compra in-app.

Ao copiar uma chave PIX ou abrir o aplicativo do banco, a operação financeira ocorre fora do Despertai. A instituição financeira e outros serviços externos aplicam seus próprios termos e políticas.

16. Alterações desta Política

Esta Política poderá ser atualizada para refletir mudanças no aplicativo, em fornecedores, na legislação ou em orientações regulatórias. A versão e a data de atualização serão indicadas no topo da página. Mudanças relevantes poderão ser comunicadas pelo aplicativo ou por outro canal apropriado.