Política de Privacidade

1. Quem somos

O app é desenvolvido e operado pela Orddum Serviços de Tecnologia LTDA (CNPJ 42.816.497/0001-60), de Itabira (MG), para a Igreja Presbiteriana de Itabira (CNPJ 16.891.277/0001-91).

• A Orddum decide sobre a conta do app, o funcionamento das notificações e as estatísticas de uso. Para esses dados, ela é a controladora.
• A Igreja decide sobre o rol de membros, ou seja, a ficha de membro, e sobre os registros das atividades dela: inscrições em eventos, biblioteca, escalas, pedidos de oração, EBD, aniversários dos membros, Vitrine de Negócios, diretorias das sociedades, boletins, avisos e o texto das notificações que a liderança envia. Para esses dados, a controladora é a Igreja; a Orddum guarda e processa em nome dela, segundo as instruções da Igreja.

Pedidos e dúvidas sobre privacidade, inclusive sobre a ficha: Luiz Gonzaga, encarregado pelo tratamento de dados pessoais da Orddum (LGPD, art. 41), em luiz.gonzaga@orddum.com. Respondemos em até 15 dias e, quando o assunto é da Igreja, encaminhamos à secretaria em até 2 dias úteis. A secretaria da Igreja, para o rol e a ficha: igrejapresbiterianadeitabira@gmail.com · (31) 3834-5026.

2. O que o app guarda, e de onde vem

2.1 A sua conta (você informa no cadastro)

Nome, data de nascimento, telefone, e-mail e senha. Nos servidores, a senha fica só com o serviço de login (Firebase Authentication), que não a mostra a ninguém; no aparelho, veja o item 6. Junto com a conta ficam:

• o seu papel no app (visitante, membro, gestor de alguma área ou administrador);
• se a conta está ligada a uma ficha de membro;
• os hinos que você favoritou e os vídeos do Acervo que marcou como assistidos;
• o código do seu aparelho para notificações;
• o registro de que você aceitou os Termos de Uso e esta Política (as versões, a data e a hora do servidor, a versão do app e o sistema do aparelho) e, se você respondeu, a autorização da área de membros (sim ou não, com a data).

No Perfil você pode completar o cadastro, se quiser, com sexo, naturalidade, endereço, estado civil, cônjuge, data de casamento, filhos, nomes do pai e da mãe, escolaridade e profissão.

2.2 A sua ficha de membro (a secretaria registra)

É o registro da Igreja. Tem os mesmos dados pessoais acima, quando informados à Igreja, e os dados eclesiásticos:

• atribuição, local (sede ou congregação), situação e se é comungante;
• procedência religiosa;
• as referências do livro de registros: fichas, atas de exame, recebimento e remoção, e data de admissão;
• os ministérios em que você serve.

Ser membro de uma igreja revela convicção religiosa, que a LGPD trata como dado pessoal sensível. As fichas vieram dos registros que a Igreja já tinha e são mantidas pela secretaria. Quando a sua conta é ligada à sua ficha, você pode corrigir no Perfil os dados pessoais dela; os dados eclesiásticos só a secretaria altera, e o app os mostra no Perfil quando você autoriza a área de membros (item 2.5).

2.3 O que você faz no app

• Inscrições em eventos (por exemplo, o acampamento): as respostas que cada formulário pede, por exemplo nome, idade, telefone, período e forma de pagamento. Quando você está logado, ficam ligadas à sua conta, e os campos podem vir preenchidos com o seu cadastro. Também dá para se inscrever sem conta.
• Favoritos e vídeos assistidos, como no item 2.1.

2.4 Registros da Igreja em que o seu nome pode aparecer

• Empréstimos da biblioteca: nome e telefone de quem pegou o livro, datas e o nome de quem registrou. Visíveis só para quem administra a biblioteca.
• Escalas (louvor, diaconia, multimídia): o nome de quem serve, visível para membros com a conta ligada à ficha e para quem monta as escalas. A partir da versão 1.15, o app abre as escalas só para quem autorizou a área de membros.
• Grupos, Equipe ministerial e diretorias das sociedades internas: nome, cargo e telefone de contato dos líderes, que a liderança publica, com a autorização de cada um, para que as pessoas os encontrem. Visíveis para todos, inclusive sem conta. O telefone é opcional. Na UPA, que reúne adolescentes, a liderança publica a diretoria só com o nome, sem telefone.
• Pedidos de oração: texto escrito pela liderança com a autorização de quem pediu (ou do responsável), sem detalhes de saúde; a partir da versão 1.15, quem escreve declara essa autorização no app a cada pedido. Visíveis para membros com a conta ligada à ficha e, a partir da versão 1.15, só para quem autorizou a área de membros. Quando a liderança escolhe avisar, a notificação traz o texto do pedido e pode aparecer na tela bloqueada do aparelho de quem recebe. Deixam de aparecer na data de validade, quando há uma, e a liderança apaga os vencidos.
• Autoria de alterações: os registros guardam o nome de quem os criou ou alterou no app.
• Boletins, avisos e fotos: boletins e avisos são públicos no app. Quando citam alguém (aniversariante, enfermo, falecimento), a liderança publica só o nome, com a autorização da pessoa ou da família, sem detalhes de saúde. Fotos e vídeos de cultos e eventos, nos avisos, no Acervo e na página Sobre a Igreja, podem mostrar quem estava presente. Se você aparece e quer que a imagem saia do app, peça à secretaria ou a nós. Imagem de criança só entra com a autorização dos responsáveis.

2.5 A área de membros (só com a sua autorização)

A partir da versão 1.15, o app pergunta, em separado e sem a resposta vir marcada, se você autoriza o uso da informação de que é membro da Igreja para abrir a área de membros: pedidos de oração, escalas, os dados eclesiásticos da sua ficha no Perfil e os avisos para membros. Sem a autorização, a sua conta funciona como a de um visitante, e a sua ficha continua no rol: a ficha é da Igreja (item 4) e não depende dessa resposta. Você dá ou desfaz a autorização quando quiser, em Configurações › Privacidade.

Os aniversários dos membros (item 2.6) e a Vitrine de Negócios (item 2.8) também ficam dentro da área de membros. Quando a Igreja liberá-los, o app pede de novo a autorização, com o texto que os inclui.

2.6 Aniversários dos membros (em testes)

A partir do rol, o servidor monta duas listas: a dos aniversários de nascimento e a dos de casamento. Elas têm só o nome e o dia e o mês, nunca o ano, a idade, o contato ou o resto da ficha, e são refeitas sozinhas quando a secretaria muda uma ficha. Enquanto a função está em testes, só a administração do app as vê, no Calendário e na Barra do Dia. Quando a Igreja liberar a função para os membros:

• as listas aparecem só para quem tem a área de membros aberta (item 2.5);
• mostram o nome curto (primeiro nome e último sobrenome), e só de quem autorizou aparecer, no Perfil ou pela secretaria;
• ficam de fora as fichas inativas, as de quem faleceu e as de menores de 18 anos.

Você retira a autorização quando quiser, e o seu nome sai das listas na hora.

2.7 Escola Bíblica Dominical — EBD (em testes)

Para organizar as turmas e a chamada, o app guarda o nome e a faixa etária de cada turma; os professores (nome e a ligação com a ficha); os alunos (nome e, se for membro, a ligação com a ficha; visitante entra só pelo nome); e, em cada aula, a data, o tema e quem esteve presente. Nenhum outro dado do aluno: nem nascimento, telefone, endereço ou responsável. A frequência é calculada a partir das chamadas.

Muitos alunos são crianças e adolescentes, e frequentar a EBD revela a fé. Por isso:

• só veem a EBD a gestão da EBD e o professor de cada turma, que vê só as turmas dele. Nenhum outro membro, visitante ou pessoa sem conta;
• para montar as turmas, a gestão e os professores veem a lista de nomes dos membros ativos, sem nenhum outro dado;
• a EBD não tem cópia própria no app: ele sempre busca no servidor. O banco de dados do Google guarda no aparelho uma cópia técnica do que foi aberto, que sai quando o app é desinstalado; nenhum nome vai ao Google Analytics;
• quando a Igreja liberar a função, cada aluno só entra numa turma com a autorização dele ou, se tiver menos de 18 anos, do pai, da mãe ou do responsável, e o professor declara essa autorização no app.

Enquanto a função está em testes, só a administração do app a usa.

2.8 Vitrine de Negócios (em testes)

Um mural dos negócios de membros, só para a área de membros. Quem anuncia informa o nome do negócio, a categoria, uma descrição curta, ao menos um contato (telefone, Instagram ou site) e, se quiser, o local e uma foto.

• O anúncio revela que você é membro. Por isso, só é enviado com a sua autorização, numa caixa própria, desmarcada, a cada envio. Guardamos a versão do texto e a hora do servidor.
• A liderança aprova o anúncio antes de ele aparecer. Quem tem a área de membros aberta vê os aprovados; você e a moderação veem também os seus em análise e recusados, com o motivo da recusa.
• Qualquer membro pode denunciar um anúncio, com um motivo opcional: ele sai da vitrine até a liderança rever. A moderação vê os motivos, nunca quem denunciou. O app guarda uma marca de que a sua conta já denunciou aquele anúncio, que só você lê.
• Você tira o anúncio do ar quando quiser, e isso desfaz a autorização. Desligar a área de membros ou excluir a conta também apaga o anúncio, a foto e as denúncias que ele recebeu.
• A Vitrine é para quem tem 18 anos ou mais. As conversas e os negócios acontecem fora do app, entre você e quem anuncia.

Enquanto a função está em testes, só a administração do app a vê.

3. O que os serviços técnicos recebem

O app usa serviços do Google Firebase, sem nenhum anúncio:

• Authentication: o login.
• Firestore: o banco de dados.
• Storage: as imagens de avisos, boletins, capas de livros e da página Sobre a Igreja e, na Vitrine, a foto do anúncio. O app não tem foto de perfil.
• Cloud Messaging: as notificações. O título e o texto passam pelos servidores do Google e da Apple até o aparelho. Cada notificação enviada fica 30 dias na Central de notificações do app e depois é apagada: as gerais, visíveis para todos; as de pedidos de oração, só para a área de membros; as individuais, como o lembrete de devolução de livro, só para você.
• Cloud Functions: a exclusão de conta, o envio de notificações, as listas de aniversários (item 2.6) e a lista de nomes para montar as escalas e as turmas da EBD.

Outros dois serviços do Firebase coletam por conta própria, e só na versão publicada do app:

• Google Analytics: as telas abertas e os botões tocados (pelo nome do botão, nunca o que você escolhe ou escreve), com o seu identificador interno de conta quando você está logado e aceitou estes textos, e se a conta é de gestor, de administrador ou outra; um identificador da instalação do app e a região aproximada que o Google deduz do endereço IP. Serve para saber o que é usado. Não recebe nome, e-mail, telefone nem o ID de publicidade do aparelho. Também conta quantos aceites destes textos acontecem. As telas da área de membros (Pedidos de oração, Escalas, Vitrine de Negócios e EBD) e o que se toca nelas não vão ao Analytics, porque revelariam que a conta é de membro. Atenção: gestores e administradores são da liderança da Igreja, então o tipo de conta permite deduzir que é de membro. Até a versão 1.15.0, iam também as telas da área de membros, as opções marcadas nos formulários e, no Android, o ID de publicidade; até a 1.14.3, ia o papel no app (inclusive "membro"), e, na tela em que a liderança monta uma escala, tocar no nome de um membro mandava esse nome.
• Crashlytics: quando o app trava ou encontra um erro, envia o relatório técnico (modelo e sistema do aparelho, versão do app, onde o código falhou), sem identificar você.

Outros serviços veem só o endereço IP da conexão, como em qualquer acesso à internet:

• o servidor da Rádio IPB, quando você toca a rádio;
• o YouTube, pelas miniaturas dos vídeos do Acervo. O vídeo abre no app ou no site do YouTube, sob a política do Google;
• as lojas de aplicativos, quando o app confere se há versão nova.

Quem cadastra livros na biblioteca envia o ISBN, o título e o autor ao Google Books e à Open Library, para buscar os dados do livro. Nenhum dado pessoal vai junto.

Não vendemos dados, não mostramos anúncios e não rastreamos você em outros apps ou sites.

4. Para que usamos, e com qual base legal

• Criar e manter a sua conta e o acesso por papel (conta, item 2.1): execução do serviço que você pediu (art. 7º, V).
• Registrar o seu aceite dos Termos e a sua resposta sobre a área de membros (versões, data, versão do app): exercício regular de direitos, para poder comprovar (art. 7º, VI; e art. 11, II, d, para a autorização da área de membros, que revela a condição de membro).
• Área de membros: abrir pedidos de oração, escalas, os dados eclesiásticos no Perfil e os avisos para membros (a condição de membro): consentimento específico (art. 11, I), revogável em Configurações › Privacidade.
• Manter o rol de membros da Igreja (ficha, item 2.2): exercício regular de direitos da Igreja como organização religiosa, que precisa do rol para as suas assembleias, a eleição de oficiais, as transferências e os demais atos da sua constituição (art. 11, II, d).
• Inscrições em eventos (respostas do formulário, item 2.3): execução do que você pediu (art. 7º, V) e, como a inscrição num evento da igreja pode revelar a fé, a sua autorização no formulário (art. 11, I), que os formulários abertos passam a pedir até 6 de novembro de 2026; para menor de 18, a do responsável (art. 14, § 1º); o registro de pagamento, pelo exercício regular de direitos (art. 7º, VI).
• Pedidos de oração (texto, item 2.4): consentimento de quem pediu, colhido pela liderança (art. 11, I).
• Escalas (nome de quem serve, item 2.4): exercício regular de direitos da Igreja na organização do serviço voluntário de quem aceitou servir (art. 11, II, d).
• Contatos de líderes e diretorias (nome, cargo e telefone, item 2.4): consentimento de cada pessoa (art. 11, I).
• Boletins, avisos e fotos que citam ou mostram alguém (nome, imagem, item 2.4): autorização da pessoa ou da família (art. 11, I, e Código Civil, art. 20); de criança, dos responsáveis (art. 14).
• Biblioteca (empréstimos, item 2.4): legítimo interesse da Igreja em organizar a biblioteca (art. 7º, IX).
• Aniversários dos membros (nome curto, dia e mês, item 2.6): consentimento de quem aparece (art. 11, I).
• EBD (turmas, alunos e chamadas, item 2.7): consentimento do aluno ou, se menor de 18, do responsável (art. 11, I, e art. 14, § 1º), declarado pelo professor.
• Vitrine: o anúncio (anúncio e foto, item 2.8): consentimento específico de quem anuncia (art. 11, I), revogável removendo o anúncio.
• Vitrine: denúncias e moderação (motivo, marca de quem denunciou): exercício regular de direitos, para cumprir os Termos e as regras das lojas (art. 7º, VI, e art. 11, II, d).
• Notificações e a Central de notificações (código do aparelho, histórico de 30 dias): legítimo interesse (art. 7º, IX); para as de pedidos de oração, a mesma base do pedido. Você pode desligar nas configurações do aparelho ou do app.
• Estatísticas de uso e relatórios de falha (item 3): legítimo interesse em manter o app funcionando e melhorá-lo (art. 7º, IX).

5. Quem vê o quê

• A sua conta: só você e os administradores do app.
• A sua ficha: você, quando a conta está ligada a ela, e os administradores.
• As suas inscrições: você e os administradores.
• A EBD: a gestão da EBD e o professor de cada turma (item 2.7).
• A Vitrine: os anúncios aprovados, quem tem a área de membros aberta; os em análise e os recusados, só o dono e a moderação; as denúncias, só a moderação, sem saber quem denunciou (item 2.8).
• Os aniversários: em testes, só a administração; depois, como no item 2.6.
• Os registros do item 2.4: o público descrito em cada linha.
• Quem gerencia uma área vê os dados daquela área: por exemplo, quem administra a biblioteca vê os empréstimos, e quem monta as escalas vê os nomes de quem pode servir.

Os administradores e os gestores são pessoas da liderança da Igreja designadas no app. Não compartilhamos dados com ninguém fora da Igreja e da Orddum, além dos serviços do item 3 e do que a lei exigir.

6. No seu aparelho

• A sessão: o seu e-mail e o seu cadastro (com o registro do aceite), para você continuar conectado. Fica no armazenamento seguro do sistema (Keychain no iPhone, Keystore no Android) e é apagada quando você sai da conta. Até a versão 1.14.3, a senha também ficava guardada ali; a versão 1.15 a apaga na primeira vez que abre.
• Na mesma área segura: os favoritos, o tema e os canais de notificação.
• Pequenos registros de uso: quais notificações você já leu e, na Vitrine, os anúncios que você denunciou, para não vê-los de novo.
• Uma cópia do conteúdo da Igreja (avisos, boletins, agenda, biblioteca e o resto), com as imagens, para o app abrir rápido e funcionar sem internet.

Desinstalar o app apaga tudo isso. No iPhone, o sistema pode manter a sessão guardada até você instalar o app de novo, que a apaga na primeira abertura.

7. Onde fica e por quanto tempo

Os dados ficam nos servidores do Google Cloud nos Estados Unidos, onde também são processadas as estatísticas e os relatórios de falha. É uma transferência internacional, feita para o app funcionar e enquanto ele existir, com as garantias dos termos de tratamento de dados que o Google oferece aos seus clientes (LGPD, art. 33). Os seus direitos continuam os do item 9.

• Conta: enquanto ela existir; ao excluir, é apagada na hora (item 8).
• Registro do aceite e da autorização da área de membros: enquanto a conta existir; sai junto com ela.
• Ficha de membro: enquanto fizer parte do rol. Quando a pessoa sai do rol (transferência, desligamento ou falecimento), a Igreja guarda só o registro eclesiástico (nome, datas e referências do livro de registros) e apaga contatos, endereço e família em até 1 ano.
• Inscrições: até 12 meses depois do evento; o registro de pagamento, por 5 anos, para a prestação de contas da Igreja. A pedido, removemos o seu nome antes.
• Empréstimos: o histórico da biblioteca; a pedido, removemos o seu nome dos empréstimos já devolvidos.
• Pedidos de oração: até a validade; vencidos, a liderança apaga.
• Escalas: as passadas, por até 12 meses.
• Aniversários (2.6): refeitos a cada mudança no rol; quem sai do rol ou retira a autorização sai das listas na hora.
• EBD (2.7): turmas e alunos, enquanto a turma existir; as chamadas, até o fim do ano seguinte ao da aula.
• Vitrine (2.8): enquanto o anúncio existir; as denúncias saem junto com ele.
• Notificações (Central): 30 dias.
• Estatísticas de uso: no máximo 14 meses, no Google Analytics.
• Relatórios de falha: 90 dias, no Crashlytics.

8. Como excluir a sua conta

No app (a partir da versão 1.15): Perfil › Excluir conta, ou Configurações › Privacidade › Excluir conta, ou a partir da tela que pede o aceite destes textos, sem precisar aceitá-los. A tela mostra o que sai e o que fica, e pede a sua senha para confirmar. A exclusão é imediata e não pode ser desfeita.

Sem o app: escreva para luiz.gonzaga@orddum.com a partir do e-mail da conta, pedindo a exclusão. Fazemos em até 15 dias e confirmamos por e-mail.

O que é apagado:

• o login (e-mail e senha) e o cadastro da conta, com papel, favoritos, vídeos assistidos e o código do aparelho para notificações;
• a ligação da conta com a ficha e com as inscrições;
• o registro dos seus aceites e da autorização da área de membros;
• o seu anúncio na Vitrine, com a foto e as denúncias que ele recebeu, e as marcas das denúncias que você fez (o motivo que você escreveu fica, sem o seu nome, no anúncio de outra pessoa);
• as notificações individuais guardadas para você;
• no aparelho, a sessão e os favoritos.

As estatísticas de uso já enviadas ao Google Analytics, ligadas ao identificador interno da conta (sem nome nem contato), não são apagadas na hora: expiram em até 14 meses.

O que fica com a Igreja, sem ligação com a conta:

• a ficha de membro, que é do rol;
• as inscrições em eventos e os empréstimos da biblioteca;
• o seu nome nos registros de autoria, nas escalas e nas chamadas da EBD.

Para pedir também a remoção da ficha, fale com a secretaria da Igreja ou escreva para nós, que encaminhamos. A decisão sobre o rol é da Igreja.

Se o seu app pede para confirmar a exclusão sem pedir a senha, ele é de uma versão anterior, em que o botão só desativava o acesso. Atualize o app. Quem usou essa opção antiga terá a exclusão completa até 6 de novembro de 2026, sem precisar pedir de novo. Se quiser antes, escreva para luiz.gonzaga@orddum.com.

Se quiser voltar depois, crie uma conta nova e peça à secretaria para ligá-la à sua ficha.

9. Os seus direitos

Pela LGPD (art. 18), você pode:

• confirmar se tratamos dados seus e ter acesso a eles;
• corrigir dados;
• pedir anonimização, bloqueio ou eliminação do que for desnecessário;
• pedir portabilidade;
• saber com quem compartilhamos;
• se opor a um tratamento;
• não consentir, sabendo o que acontece: sem a autorização da área de membros, a conta funciona como a de um visitante;
• e, quando a base for o consentimento, revogá-lo e pedir a eliminação do que foi tratado com ele.

Pelo app, você vê e corrige o seu cadastro no Perfil e exclui a conta (item 8). A partir da versão 1.15, em Configurações › Privacidade, você liga ou desliga a área de membros e vê o que aceitou e quando. O resto é por e-mail, em luiz.gonzaga@orddum.com, respondido em até 15 dias. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

10. Crianças e adolescentes

O app não é feito para crianças. A conta é para quem tem 13 anos ou mais (a partir da versão 1.15, o cadastro recusa idade menor). De 13 a 15 anos, a conta só pode ser criada com a autorização de um dos pais ou do responsável, que aceita os Termos e decide sobre a área de membros pelo adolescente; de 16 a 17, com o conhecimento e a autorização deles. O app pede a idade, mas ainda não confere essa autorização: se soubermos de uma conta de menor de 16 sem ela, fechamos a área de membros e falamos com a família.

Dados de crianças e adolescentes entram no app, sempre no melhor interesse deles (LGPD, art. 14):

• na ficha de membro: a criança batizada pode fazer parte do rol, como membro não comungante, e a ficha dos pais pode listar os filhos (nome, sexo e data de nascimento), informados pelos pais;
• nas inscrições de eventos: o responsável informa os dados e autoriza no formulário, que os formulários abertos passam a pedir até 6 de novembro de 2026;
• na EBD: nome e presença, com a autorização do responsável (item 2.7);
• na diretoria da UPA: só o nome (item 2.4).

Os aniversários de menores de 18 anos não aparecem para os membros (item 2.6), e a Vitrine é só para maiores de 18 (item 2.8). O pai, a mãe ou o responsável pode pedir acesso, correção ou exclusão desses dados como no item 9, e excluir a conta de um filho como no item 8.

11. Segurança

• Toda comunicação do app é criptografada (HTTPS).
• O Google guarda os dados criptografados nos servidores.
• Regras no banco de dados limitam quem lê cada coisa, como no item 5.
• A exclusão de conta exige a senha digitada na hora.

Nenhum sistema é infalível. Se houver um incidente que possa trazer risco ou dano relevante a você, avisamos você e a ANPD em até 3 dias úteis depois de confirmá-lo, dizendo o que aconteceu, quais dados e o que fazer (Resolução CD/ANPD nº 15/2024). Quando o dado é da Igreja, a Orddum avisa a Igreja em até 24 horas, e as duas comunicam juntas. Todo incidente fica registrado.

12. Mudanças nesta política

Cada versão tem número e data, no topo. O número muda quando muda o que fazemos com os dados: a finalidade, os dados tratados, a base legal, com quem compartilhamos, quem é o controlador, os seus direitos, ou se passamos a guardar por mais tempo. Nesse caso, o app pede um novo aceite antes de a mudança valer para você, e mostra o que mudou. Se a mudança só reduz o que tratamos ou corrige a redação, muda só a data, e contamos nesta página e no app, na versão seguinte. As versões anteriores ficam disponíveis a pedido.

Veja também os Termos de Uso do IPI App. Esta política trata do IPI App. Os outros aplicativos da Orddum têm a deles — o Lastro, por exemplo, não tem servidor nem cadastro, e por isso o texto é outro.