Este Anexo faz parte dos Termos de Uso e segue a Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018).
A1. Quem é quem
A1.1. A Igreja é a controladora (art. 5º, VI, da LGPD) dos dados pessoais que ela cadastra no Sistema: membros, congregados, familiares, crianças, candidatos ao batismo, noivos, fornecedores, os próprios Usuários e todas as demais pessoas que aparecem nos cadastros, atas, cartas, lançamentos e relatórios. É a Igreja que decide quais dados guardar e para quê.
A1.2. A El Shaday é a operadora (art. 5º, VII): trata esses dados apenas em nome da Igreja e conforme as instruções dela (art. 39).
A1.3. A El Shaday é controladora apenas dos dados necessários para manter a conta e o contrato: o cadastro da Igreja e do administrador, a cobrança, os registros de acesso e de segurança, os chamados de suporte e o registro de aceite destes documentos. Esses casos estão descritos na Política de Privacidade.
A2. Instruções da Igreja
A2.1. As instruções da Igreja são estes Termos, as configurações que ela faz e o uso que ela dá às funções do Sistema.
A2.2. A El Shaday não usa os dados da Igreja para outra finalidade: não vende, não usa em publicidade, não usa para treinar inteligência artificial e não compartilha com ninguém fora dos casos deste Anexo.
A2.3. Se uma instrução nos parecer contrária à LGPD, avisaremos a Igreja.
A3. Quais dados são tratados
A3.1. Os tipos de dados estão descritos na Política de Privacidade, item 3. Destacamos que o Sistema guarda dados pessoais sensíveis (convicção religiosa: conversão, batismo, cargos, consagrações, histórico de ocorrências, cartas e frequência), dados de crianças e adolescentes (apresentação de crianças, dependentes e membros menores de idade) e dados financeiros (dízimos e ofertas por membro).
A4. Confidencialidade e acesso da nossa equipe
A4.1. Só pessoas da El Shaday que precisam disso para trabalhar acessam os dados, e todas estão obrigadas a manter sigilo.
A4.2. A nossa equipe só entra na conta da Igreja para dar suporte pedido pela Igreja, corrigir falhas, cumprir obrigação legal ou ordem de autoridade. A entrada na conta pelo painel da plataforma ("entrar como o ministério") fica registrada no registro de auditoria. Nessa situação, a nossa equipe não pode aceitar termos em nome da Igreja.
A5. Suboperadores (empresas que nos ajudam a prestar o serviço)
A5.1. A Igreja autoriza o uso das empresas abaixo. Cada uma recebe apenas o necessário para a sua tarefa:
- Hospedagem do servidor — Hostinger (Hostinger International Limited), em servidor localizado em datacenter no Brasil (Campinas/SP). É onde ficam o banco de dados, os arquivos enviados (fotos de membros, logotipos e documentos, guardados no próprio servidor) e as cópias de segurança.
- Asaas (Brasil) — cobrança da assinatura. Recebe o nome, o e-mail e o CPF ou CNPJ da Igreja e os dados do pagamento. Não recebe dados de membros.
- Brevo (França, União Europeia) — envio dos e-mails do Sistema: confirmação de cadastro, convite de usuário, troca de senha, avisos da avaliação e da cobrança e alertas de chamados para a nossa equipe. Recebe o nome e o e-mail do destinatário e o conteúdo da mensagem.
- ViaCEP (Brasil) — serviço público de consulta de CEP, chamado pelo navegador quando alguém digita um CEP num formulário de endereço. Recebe o CEP digitado e o endereço IP de quem está usando o Sistema; nenhum outro dado.
- Google — API Gemini (Estados Unidos) — usado apenas quando o administrador conversa com o assistente virtual de suporte. Recebe o texto das perguntas e as últimas mensagens da conversa (até 12), junto com trechos do manual do Sistema. Nenhum dado do banco da Igreja é enviado automaticamente e o envio não identifica a Igreja nem o Usuário. Por isso, pedimos que ninguém escreva no assistente dados pessoais de membros.
A5.2. Se trocarmos ou incluirmos um suboperador que receba dados da Igreja, avisaremos com antecedência de 15 dias. Se a Igreja não concordar, pode cancelar sem multa.
A5.3. Brevo e Google tratam dados fora do Brasil. A transferência internacional segue o art. 33 da LGPD (veja a Política de Privacidade, item 8).
A6. Segurança
A6.1. Adotamos medidas técnicas e administrativas para proteger os dados, entre elas:
- isolamento por cliente: cada registro pertence a um ministério e toda consulta é filtrada por ele; esse isolamento é conferido por testes automáticos que rodamos ao preparar novas versões;
- controle de acesso por perfil e por igreja: cada Usuário vê e faz só o que o perfil dele permite, e só nas igrejas a que foi vinculado;
- senhas guardadas embaralhadas, de um jeito que nem a nossa equipe consegue ler, links de convite e de troca de senha com prazo de validade, limite de tentativas de login e confirmação do e-mail;
- conexão criptografada (HTTPS) entre o navegador e o Sistema;
- registro de auditoria: quem fez o quê, quando, de qual endereço IP e com qual navegador;
- cópias de segurança diárias.
A7. Incidentes de segurança
A7.1. Se acontecer um incidente de segurança que possa afetar dados da Igreja, avisaremos a Igreja sem demora, em até 48 horas depois de confirmado, com: o que aconteceu, quais dados e titulares podem ter sido afetados, o que já fizemos e o contato de quem está cuidando do caso.
A7.2. Cabe à Igreja, como controladora, decidir sobre a comunicação à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares. Ajudaremos com as informações que tivermos.
A8. Pedidos dos titulares
A8.1. Se um titular (por exemplo, um membro) nos procurar diretamente, encaminharemos o pedido à Igreja em até 5 dias úteis e avisaremos o titular de que a Igreja é quem responde. Ajudaremos a Igreja a atender o pedido com as funções do Sistema.
A9. Fim do contrato: devolução e exclusão dos dados
A9.1. Enquanto a conta existir, o administrador da Igreja pode, em Plano e Assinatura, pedir a exportação completa dos dados: um arquivo ZIP com uma planilha (CSV) para cada tabela do Sistema, com todos os registros da Igreja, e com as fotos, documentos, comprovantes e demais arquivos enviados. O arquivo fica disponível para baixar por 7 dias e depois é apagado do servidor. A Igreja também pode tirar a ficha de cada membro em PDF (uma a uma ou em lote), os dados de um membro em arquivo próprio (para atender o pedido do titular, item A8) e os relatórios da secretaria e da tesouraria em PDF e, em vários deles, em planilha Excel.
A9.2. Quando a conta é cancelada (pela Igreja, por falta de pagamento ou depois de 60 dias suspensa), o acesso dos Usuários é encerrado e os dados ficam guardados, sem uso, por 90 dias contados do cancelamento. Nesse prazo, só o administrador da Igreja continua entrando, e apenas para baixar a exportação completa (item A9.1) ou reativar a assinatura; a Igreja também pode nos pedir a cópia dos dados ou a reativação pelos canais do item 12.
A9.3. Terminado esse prazo, o Sistema exclui automaticamente os dados da Igreja do banco de dados e dos arquivos. O administrador recebe um aviso por e-mail 15 dias e outro 1 dia antes da exclusão, com o caminho para exportar os dados. A exclusão pode ser feita antes, se a Igreja pedir por escrito, ou adiada por pedido da Igreja ou motivo justificado; nesse caso, os avisos são enviados de novo antes da nova data. As cópias de segurança antigas são apagadas automaticamente em até cerca de 3 meses. Guardamos apenas o que a lei obriga, pelo prazo legal: o cadastro da Igreja (razão social e CPF/CNPJ), a assinatura e as faturas (obrigação fiscal), o registro de aceite destes documentos, os registros de acesso dos últimos 6 meses (Marco Civil da Internet) e o registro da própria exclusão, sem nenhum dado de membro.
A10. Comprovação e auditoria
A10.1. Uma vez por ano, ou quando houver um incidente, a Igreja pode pedir informações que mostrem que cumprimos este Anexo (por exemplo, respostas a um questionário). Responderemos em até 30 dias.
A11. Responsabilidade
A11.1. Cada parte responde, nos termos dos arts. 42 a 45 da LGPD, pelos danos que causar por descumprir a lei ou este Anexo.