Política de Privacidade Institucional — EBD 2026 (Operador SaaS)
Versão: 2.0 Vigência: [DATA] Classificação: Pública — site, app e contratos Base legal: Lei nº 13.709/2018 (LGPD), arts. 6º, 9º, 18, 41 e 46
1. Quem somos
[RAZÃO SOCIAL], CNPJ [CNPJ], com sede em [ENDEREÇO], é a desenvolvedora e Operadora do sistema EBD 2026 ("Plataforma"), oferecido na modalidade SaaS para igrejas e instituições religiosas.
Para os tratamentos de dados realizados por conta própria (site institucional, leads, faturamento, suporte), atuamos como Controlador.
Para os tratamentos realizados em nome das igrejas contratantes, atuamos como Operador, conforme DPA (202_DPA_PROCESSAMENTO_DADOS.md).
2. Encarregado pelo Tratamento de Dados (DPO)
- Nome: [NOME COMPLETO]
- E-mail: dpo@[DOMINIO]
- Endereço postal: [ENDEREÇO]
- Atendimento: dias úteis, das [HH:MM] às [HH:MM]
- Prazo padrão de resposta: até 15 dias corridos (Art. 19, LGPD)
3. Dados que tratamos como Controlador
| Categoria | Exemplos | Finalidade | Base legal |
|---|---|---|---|
| Cadastro de leads | Nome, e-mail, igreja, telefone | Pré-venda, demonstração | Legítimo interesse (Art. 7º, IX) |
| Conta de administrador da igreja | Nome, e-mail, telefone | Execução do contrato | Execução de contrato (Art. 7º, V) |
| Dados de faturamento | Razão social, CNPJ, endereço, dados de pagamento | Cumprimento legal/fiscal | Obrigação legal (Art. 7º, II) |
| Suporte | Conteúdo de tickets, prints, logs | Atender solicitações | Execução de contrato |
| Cookies essenciais e de medição | Identificadores anônimos | Funcionamento e melhoria | Legítimo interesse / Consentimento |
| Dados de marketing | E-mail e preferências | Newsletter, conteúdo | Consentimento (revogável) |
Para dados pessoais de alunos, visitantes e voluntários inseridos na Plataforma pelas igrejas, o Controlador é a igreja. Consulte a política da igreja contratante.
4. Como coletamos
- Diretamente: formulários, contratos, contato comercial, suporte.
- Automaticamente: logs de acesso, telemetria, cookies (ver
305_POLITICA_COOKIES.md). - De terceiros: parceiros indicadores, gateways de pagamento.
5. Compartilhamento
Não vendemos dados. Compartilhamos apenas com:
- Subprocessadores listados em
405_CADASTRO_SUBOPERADORES_VIGENTES.md(hospedagem, e-mail transacional, antifraude, pagamentos). - Autoridades públicas, mediante ordem legal.
- Sucessores em caso de operação societária, mantidas as proteções desta Política.
6. Transferência internacional
Quando aplicável (ex.: hospedagem ou e-mail em provedores estrangeiros), realizamos transferência com base em:
- Cláusulas contratuais padrão equivalentes às do art. 33 da LGPD;
- Garantias de nível de proteção adequado;
- Subprocessador certificado (ISO 27001, SOC 2 Type II, ou equivalente).
7. Segurança
Medidas técnicas e organizacionais (descritas em 102_POLITICA_SEGURANCA_INFORMACAO.md):
- TLS 1.2+ em trânsito; criptografia em repouso para campos sensíveis e backups.
- Hashing de senhas com bcrypt e rotação de tokens JWT.
- Multi-tenant com isolamento por
church_id+PermissionGuard. - Auditoria dupla (
StudentAudit+AuditLogService). - Backups diários, RTO 4h / RPO 24h.
- Treinamento anual da equipe em LGPD e segurança.
8. Retenção
Vide 107_POLITICA_RETENCAO_E_ELIMINACAO.md. Em síntese:
| Dados | Retenção |
|---|---|
| Conta ativa | Enquanto durar o contrato |
| Faturamento e fiscais | 5 anos (CTN, art. 173) |
| Logs de auditoria | 6 meses on-line + 5 anos em arquivo frio |
| Dados de marketing | Até a revogação do consentimento |
| Backups | 30 dias rotativos |
9. Direitos do titular (Art. 18)
O titular pode, a qualquer tempo: confirmar tratamento, acessar, corrigir, anonimizar/bloquear/eliminar dados desnecessários, portabilizar, eliminar dados consentidos, obter informação sobre compartilhamento, revogar consentimento e peticionar à ANPD.
Canal: dpo@[DOMINIO]. Solicitações são autenticadas para evitar fraude.
10. Crianças e adolescentes
Tratamos dados de menores somente quando inseridos pela igreja Controladora, no melhor interesse do titular e mediante consentimento específico do responsável legal (304_TERMO_CONSENTIMENTO_RESPONSAVEL_LEGAL.md).
11. Incidentes
Comunicação à ANPD e aos titulares conforme 105_PLANO_RESPOSTA_INCIDENTES.md, em prazo razoável (referência: 2 dias úteis para triagem; até 3 dias para notificação).
12. Alterações
Esta Política pode ser atualizada. A versão vigente fica disponível em [URL]. Mudanças materiais serão comunicadas com 30 dias de antecedência.
13. Foro
Foro da Comarca de [CIDADE/UF], salvo regra mais favorável ao titular consumidor.
Documento aprovado por: [NOME], em [DATA].