Política de Privacidade

Esta Política de Privacidade explica como a TEOFILO VIEIRA TEOFILO CONSULTORIA EM TECNOLOGIA DA INFORMACAO LTDA, pessoa jurídica inscrita no CNPJ sob nº 66.741.329/0001-11, com sede na Rua Pais Leme, nº 215, Conjunto 1713, Pinheiros, São Paulo/SP, CEP 05424-150, responsável pela disponibilização da plataforma Igreja em Ordem ou IgrejaEmOrdem, trata dados pessoais no contexto do seu sistema de gestão eclesiástica.

O Igreja em Ordem é uma plataforma SaaS voltada para igrejas, ministérios, congregações e redes eclesiásticas brasileiras, oferecendo recursos de cadastro de membros e congregados, controle financeiro, emissão de carteirinhas com QR Code, gestão de patrimônio, relatórios, notificações, equipe, auditoria e cobrança por assinatura.

Quando acessarem páginas, links públicos, formulários ou funcionalidades da plataforma, os titulares poderão declarar ciência das práticas descritas nesta Política. Quando os dados forem cadastrados manualmente pela igreja contratante, caberá à igreja informar os titulares e registrar a origem, fundamento ou autorização aplicável, conforme o caso.

---

1. Quem somos

O Igreja em Ordem é uma plataforma digital de gestão eclesiástica destinada a centralizar informações administrativas, cadastrais, financeiras, patrimoniais e operacionais de igrejas e ministérios.

Para fins desta Política:

• Plataforma significa o sistema Igreja em Ordem, incluindo painel web, páginas públicas, links de cadastro, páginas de verificação por QR Code, APIs, relatórios e demais funcionalidades.
• Empresa Prestadora significa TEOFILO VIEIRA TEOFILO CONSULTORIA EM TECNOLOGIA DA INFORMACAO LTDA, pessoa jurídica responsável pela disponibilização técnica e comercial da plataforma.
• Igreja contratante significa a igreja, ministério, congregação ou rede eclesiástica que contrata ou utiliza o sistema.
• Usuário significa a pessoa autorizada a acessar o painel da igreja, como pastor, administrador, secretário, tesoureiro ou membro de equipe.
• Membro ou congregado significa a pessoa cadastrada pela igreja na plataforma.
• Menor de idade significa criança ou adolescente cadastrado na plataforma, conforme a legislação brasileira.
• Responsável legal significa pai, mãe, tutor, guardião ou outra pessoa com poderes legais para autorizar ou acompanhar o tratamento de dados de menor de idade.
• Responsável legal declarado significa pessoa indicada ou autodeclarada como responsável pelo menor, sob responsabilidade da igreja contratante ou do próprio declarante, sem que a plataforma valide automaticamente guarda, tutela ou poder familiar.
• Responsável externo significa pessoa vinculada a um menor ou cadastro, sem necessariamente ser membro ou congregado da igreja.
• Titular de dados significa qualquer pessoa natural cujos dados pessoais sejam tratados na plataforma.
• Controladora de dados significa, em regra, a igreja contratante, quando define as finalidades e meios de tratamento dos dados pessoais cadastrados na plataforma.
• Operador de dados significa o papel exercido pela Empresa Prestadora quando trata dados pessoais em nome da igreja contratante.

---

2. Nosso papel no tratamento de dados

Em regra, a igreja contratante atua como controladora dos dados pessoais inseridos e gerenciados no sistema, pois define quais dados serão cadastrados, para quais finalidades serão utilizados, quais pessoas serão registradas, qual base legal será aplicada e quem terá acesso às informações dentro da sua organização.

O Igreja em Ordem atua, em geral, como operador dos dados tratados em nome da igreja contratante, fornecendo a infraestrutura tecnológica, os recursos de segurança, armazenamento, autenticação, registros, permissões e funcionalidades necessárias para a operação do sistema.

Em determinadas situações, a Empresa Prestadora poderá atuar como controladora dos dados necessários para sua própria operação, como dados de cadastro da igreja, representante legal, usuários da plataforma, assinatura, cobrança, suporte, segurança, prevenção a fraudes, comunicações institucionais e cumprimento de obrigações legais.

Quando a igreja contratante atuar como controladora, caberá a ela definir a base legal adequada, prestar informações aos titulares, obter consentimentos quando necessários e responder às solicitações dos titulares, contando com o apoio técnico da plataforma nos limites contratados e tecnicamente possíveis.

---

3. Dados pessoais que podemos tratar

A plataforma pode tratar diferentes categorias de dados, conforme os módulos utilizados pela igreja contratante.

3.1. Dados institucionais da igreja

Podemos tratar dados como:

• razão social;
• nome fantasia;
• CNPJ;
• denominação;
• endereço;
• telefone;
• e-mail;
• logotipo;
• dados de contato;
• configurações da conta;
• informações de assinatura e cobrança;
• aceite de documentos legais e registros relacionados.

3.2. Dados do representante legal

Podemos tratar dados como:

• nome;
• CPF;
• telefone;
• e-mail;
• vínculo com a igreja;
• dados necessários para identificação, contratação, cobrança, suporte e administração da conta.

O CPF do representante legal é armazenado em estrutura separada e protegido por mecanismos de segurança adequados.

3.3. Dados de usuários da plataforma

Podemos tratar dados dos usuários autorizados a acessar o painel, como:

• identificador de autenticação;
• nome;
• e-mail;
• foto;
• telefone;
• CPF;
• status da conta;
• papel ou permissão dentro da igreja;
• congregação vinculada;
• trilha de auditoria de ações realizadas no sistema;
• registros de acesso a recursos sensíveis, quando aplicável;
• aceite de documentos legais e consentimentos aplicáveis.

A autenticação e eventos técnicos próprios de login poderão ser gerenciados por provedor externo de identidade, como Firebase Auth ou tecnologia equivalente, sem que isso signifique necessariamente registro detalhado de login na trilha de auditoria interna da igreja.

3.4. Dados de membros e congregados

A igreja contratante poderá cadastrar ou permitir o auto-cadastro de membros e congregados, incluindo dados como:

• nome;
• tipo de vínculo, como membro ou congregado;
• ministério;
• cargo ou função;
• dia e mês de aniversário;
• foto;
• e-mail;
• telefone;
• data de nascimento;
• CPF;
• nome do pai;
• nome da mãe;
• endereço completo;
• congregação;
• notas internas;
• histórico cadastral;
• situação do cadastro;
• informações necessárias para carteirinhas, relatórios e administração eclesiástica.

O vínculo de uma pessoa com uma igreja, congregação ou ministério pode revelar convicção religiosa ou filiação a organização de caráter religioso. Por isso, o tratamento de dados de membros e congregados pode envolver dado pessoal sensível nos termos da legislação aplicável e recebe proteção reforçada.

3.5. Dados de menores de idade

Quando a igreja cadastrar ou permitir o cadastro de crianças e adolescentes, a plataforma poderá tratar, conforme a necessidade e configuração do sistema:

• nome do menor;
• data de nascimento ou faixa etária;
• vínculo com a igreja;
• congregação;
• grupo, ministério ou atividade;
• foto, quando autorizada e necessária;
• informações de contato do responsável;
• nome, telefone e e-mail de pai, mãe, responsável legal ou responsável legal declarado;
• relação do responsável com o menor;
• contato de emergência;
• origem da autorização;
• registros de consentimento ou ciência do responsável;
• dados estritamente necessários para atividades, eventos, segurança ou administração eclesiástica.

Dados de menores devem ser tratados com privacidade reforçada, minimização de coleta, restrição de acesso, limitação de exposição pública e observância do melhor interesse da criança ou adolescente.

3.6. Dados financeiros

A plataforma poderá tratar dados relacionados ao controle financeiro da igreja, incluindo:

• entradas financeiras, como dízimos, ofertas e outros recebimentos;
• despesas pagas, pendentes ou canceladas;
• valores;
• método de pagamento;
• datas;
• vínculo opcional com membro ou congregado;
• plano de contas;
• fornecedores;
• beneficiários;
• recibos numerados;
• comprovantes;
• anexos;
• histórico de alterações.

Documentos de beneficiários e fornecedores, como CPF ou CNPJ, são protegidos por mecanismos técnicos adequados.

Quando lançamentos financeiros forem vinculados nominalmente a membros, congregados ou menores, tais informações podem revelar prática religiosa ou participação comunitária e devem ser acessadas apenas por usuários autorizados.

3.7. Dados de assinatura e cobrança

Para cobrança da assinatura da plataforma, podemos tratar:

• plano contratado;
• status da assinatura;
• faturas;
• cupons;
• indicações entre igrejas;
• histórico de pagamento;
• referências externas de provedores de pagamento;
• dados de PIX, boleto ou cartão quando aplicável;
• QR Code e copia-e-cola PIX;
• identificadores de transação.

Os pagamentos são processados por provedores externos. O Igreja em Ordem armazena referências, estados e informações necessárias para conciliação, suporte e auditoria, mas não armazena dados completos de cartão de crédito, salvo se expressamente indicado de outra forma e por meio de provedor certificado.

3.8. Dados de patrimônio

A plataforma poderá tratar dados relacionados ao patrimônio da igreja, como:

• bens móveis;
• imóveis;
• veículos;
• bens intangíveis;
• histórico do bem;
• declarações;
• anexos;
• documentos relacionados;
• responsáveis;
• status;
• datas de aquisição, movimentação ou baixa.

3.9. Solicitações de cadastro público

Quando a igreja utilizar link público de auto-cadastro, poderão ser coletados dados enviados pelo próprio titular ou por responsável legal, como:

• nome;
• e-mail;
• telefone;
• CPF;
• data de nascimento;
• filiação;
• endereço;
• foto;
• vínculo pretendido;
• ciência do aviso de privacidade;
• consentimentos ou autorizações específicas;
• demais informações solicitadas pela igreja.

Esses cadastros ficam sujeitos à aprovação da equipe autorizada da igreja.

3.10. Dados de navegação e audiência

Para entender como as pessoas chegam até a plataforma e para acompanhar a estabilidade e o uso das páginas públicas, podemos tratar dados técnicos de navegação, como:

• canal de origem do acesso, classificado em categorias amplas como busca, assistente de inteligência artificial, rede social, indicação ou acesso direto;
• endereço do site de origem, quando informado pelo navegador;
• nome da campanha e identificação do conteúdo do link, quando o acesso vier de um link identificado — por exemplo, a indicação de que o link estava na descrição de um perfil de rede social. Valores que aparentem conter dado pessoal, como endereço de e-mail, CPF ou telefone, são descartados antes de qualquer gravação;
• caminho das páginas acessadas, sem os parâmetros da URL, e a ordem em que foram abertas dentro da mesma visita;
• tipo de dispositivo, em categorias amplas: celular, tablet ou computador;
• país e estado de origem do acesso, informados pela infraestrutura de rede que atende o site;
• horário de início e de fim da visita, do que se calcula a duração dela;
• indicação de que o acesso partiu de um programa automatizado, como um robô de busca ou de indexação.

Identificador de visita. Para distinguir uma pessoa que abre cinco páginas de cinco pessoas que abrem uma página cada, atribuímos a cada visita um identificador aleatório, guardado em um cookie próprio do site. Ele não identifica a pessoa: é um número sorteado, sem relação com nome, e-mail, endereço IP ou qualquer característica de quem navega, e não existe cadastro que o ligue a alguém.

Esse identificador expira sozinho após 30 minutos sem navegação e não é renovado depois disso. Trata-se de um identificador de visita, não de visitante: quando a mesma pessoa retorna ao site mais tarde, ela recebe um identificador novo, e não temos como saber que se trata de alguém que já esteve aqui. Não reconhecemos visitantes recorrentes, não medimos retorno e não construímos histórico de navegação de ninguém ao longo do tempo.

Passados 30 dias, o identificador é apagado dos nossos registros de audiência, que permanecem apenas como contagens sem qualquer titular — antes mesmo do prazo de eliminação do próprio registro, previsto na seção 23.

O que continua valendo. Não armazenamos endereço IP. Não armazenamos o identificador completo do navegador (user agent), apenas a categoria de dispositivo derivada dele. Não associamos a navegação a um usuário, membro ou congregado. Não há criação de perfil comportamental, não há gravação de tela ou de movimento do cursor, não há rastreamento entre sites, não há cookies de terceiros e não há compartilhamento com terceiros. A análise é feita sobre contagens agregadas — quantas visitas chegaram por cada canal, quantas leram determinada página, quantas seguiram até o cadastro —, nunca sobre o percurso de uma pessoa identificável.

Quando uma igreja conclui o cadastro, registramos junto à conta dela o canal de origem do primeiro acesso — informação sobre a instituição, não sobre a pessoa que navegou.

---

4. Dados sensíveis e dados protegidos com cuidado especial

A plataforma trata dados relacionados ao vínculo religioso de membros e congregados, o que pode caracterizar dado pessoal sensível por revelar convicção religiosa ou filiação a organização religiosa.

Além disso, para fins operacionais e de segurança, o Igreja em Ordem trata como críticos, entre outros:

• CPF;
• CNPJ de beneficiário ou fornecedor;
• data de nascimento;
• filiação;
• endereço;
• notas internas;
• telefone;
• e-mail;
• foto;
• dados financeiros;
• dados de membros e congregados;
• dados de crianças e adolescentes;
• dados de responsáveis legais;
• dados de saúde, emergência ou evento, quando coletados pela igreja.

Essas informações não devem ser expostas fora do escopo autorizado da igreja contratante e não devem ser incluídas em logs, relatórios de diagnóstico, páginas públicas ou respostas não autorizadas.

---

5. Para quais finalidades usamos os dados

Os dados pessoais podem ser tratados para as seguintes finalidades:

• criar e administrar a conta da igreja;
• permitir o acesso seguro dos usuários autorizados;
• gerenciar membros, congregados, responsáveis e equipes;
• permitir auto-cadastro por link público;
• permitir cadastro manual por usuários autorizados da igreja;
• registrar origem, fundamento ou confirmação de cadastros;
• aprovar, revisar ou rejeitar solicitações de cadastro;
• permitir revisão cadastral pelo titular ou responsável;
• emitir carteirinhas de membro com QR Code;
• permitir a verificação pública limitada de carteirinhas, quando ativada;
• controlar entradas, despesas, fornecedores, recibos e relatórios financeiros;
• administrar patrimônio;
• gerar relatórios;
• enviar notificações no painel;
• gerar avisos agregados;
• registrar trilha de auditoria;
• aplicar permissões por papel e por congregação;
• processar assinaturas, faturas, cupons e indicações;
• integrar com provedores de pagamento;
• prevenir fraude, abuso, spam, cadastros automatizados e acessos indevidos;
• cumprir obrigações legais, regulatórias e contratuais;
• prestar suporte técnico;
• melhorar a segurança e estabilidade da plataforma;
• medir a audiência das páginas públicas e identificar o canal de origem dos acessos, sem identificar o visitante.

No cadastro público, a plataforma poderá utilizar mecanismos anti-bot e antifraude, como Cloudflare Turnstile ou tecnologia equivalente, para proteger formulários públicos contra abuso, automações maliciosas e tentativas de fraude.

---

6. Bases legais para tratamento

O tratamento de dados pessoais comuns poderá ocorrer com fundamento nas bases legais previstas na LGPD, conforme o caso, incluindo:

• execução de contrato ou procedimentos preliminares relacionados ao contrato;
• cumprimento de obrigação legal ou regulatória;
• consentimento do titular, quando necessário;
• exercício regular de direitos;
• legítimo interesse, quando aplicável e respeitados os direitos e liberdades do titular;
• proteção do crédito;
• prevenção à fraude e segurança do titular.

O tratamento de dados pessoais sensíveis, incluindo dados que possam revelar convicção religiosa em razão do vínculo com igreja, congregação ou ministério, observará as hipóteses específicas previstas na LGPD para dados sensíveis, como:

• consentimento específico e destacado do titular, quando aplicável;
• cumprimento de obrigação legal ou regulatória;
• exercício regular de direitos;
• proteção da vida ou da incolumidade física do titular ou de terceiro;
• prevenção à fraude e segurança do titular;
• outras hipóteses autorizadas pela legislação aplicável.

Quando o tratamento depender de consentimento, ele deverá ser registrado e poderá ser revogado, observadas as consequências operacionais e legais dessa revogação.

A base legal aplicável aos dados cadastrados pela igreja contratante deverá ser definida pela própria igreja, na qualidade de controladora, conforme a finalidade do tratamento e o contexto de coleta.

---

7. Quadro geral de finalidades e bases legais

A tabela abaixo resume exemplos de finalidades, categorias de dados e bases legais normalmente aplicáveis. A base legal concreta poderá variar conforme a atuação da igreja contratante, o módulo utilizado e o contexto do tratamento.

---

8. Auto-cadastro por link público

Quando a igreja contratante disponibilizar link público de auto-cadastro, o titular ou responsável legal poderá informar dados diretamente à plataforma.

Nesse fluxo, a plataforma poderá apresentar:

• aviso de privacidade;
• declaração de ciência;
• aceite de documentos aplicáveis;
• consentimentos específicos por finalidade;
• informações sobre a igreja controladora;
• informações sobre a plataforma como operadora;
• opção de envio para análise da igreja.

A solicitação de cadastro não implica aprovação automática. A igreja contratante poderá aprovar, rejeitar ou solicitar correções.

A plataforma poderá registrar informações necessárias para comprovar a solicitação, como data, hora, versão do aviso exibido, escopos aceitos, status da solicitação e usuário da igreja responsável pela aprovação.

Não utilizamos a expressão “aceite LGPD” como se a lei fosse objeto de aceite. O titular poderá declarar ciência da Política de Privacidade, aceitar Termos aplicáveis ou consentir com finalidades específicas, conforme o caso.

---

9. Cadastro manual realizado pela igreja

A igreja contratante poderá cadastrar membros, congregados, menores, responsáveis, fornecedores, beneficiários ou outros registros diretamente por meio de usuários autorizados, como pastor, administrador, secretário ou tesoureiro.

Nesse caso, o cadastro não significa que o titular consentiu diretamente pela plataforma.

Ao realizar cadastro manual, a igreja contratante deve possuir fundamento legal adequado e, quando aplicável, informar o titular, obter autorização, manter evidência ou registrar a origem do cadastro.

Sempre que realizar cadastro manual, a igreja contratante deverá registrar ao menos uma origem ou fundamento do cadastro, selecionando uma das opções disponíveis ou informando justificativa própria.

A origem e fundamento do cadastro poderá incluir:

• titular solicitou cadastro presencialmente;
• ficha física assinada pelo titular;
• cadastro pré-existente migrado para a plataforma;
• titular já integra o rol de membros ou congregados da igreja;
• dados informados por pai, mãe ou responsável legal;
• dados mínimos para contato ou regularização cadastral;
• outra origem justificada pela igreja.

Quando houver documento, ficha, autorização, solicitação ou outro registro de suporte, a igreja contratante deverá preservá-lo pelos meios adequados.

A plataforma poderá disponibilizar recursos para envio de aviso de privacidade, revisão cadastral, confirmação de dados ou complementação do cadastro pelo titular.

Enquanto um cadastro manual estiver pendente de ciência, confirmação ou revisão pelo titular, funcionalidades de maior exposição, como QR Code público, foto pública, comunicações não essenciais, exportação ampla e divulgação em listas públicas, permanecerão desativadas por padrão, salvo configuração expressa da igreja contratante quando houver base legal adequada e registro da justificativa.

---

10. Dados de crianças e adolescentes

A igreja contratante poderá cadastrar dados de crianças e adolescentes, especialmente em contextos como ministério infantil, escola bíblica, eventos, congregações, acompanhamento eclesiástico e atividades internas.

Dados de crianças e adolescentes serão tratados com privacidade reforçada, minimização de coleta, restrição de acesso, desativação padrão de exposição pública e observância do melhor interesse do menor.

Quando o titular for criança, o tratamento deverá observar consentimento específico e em destaque de pelo menos um dos pais ou responsável legal, salvo hipóteses legais aplicáveis.

Quando o titular for adolescente, a plataforma adotará salvaguardas proporcionais, podendo exigir consentimento do responsável para funcionalidades de maior risco, como foto, carteirinha, QR Code público, comunicações, eventos, dados de saúde, exportações ou exposição pública.

Como regra de segurança, menor de idade não deverá se cadastrar sozinho como membro ou congregado comum.

O cadastro de menor de idade deverá ocorrer por meio de um dos seguintes fluxos:

• por pai, mãe ou responsável legal, em fluxo próprio;
• por usuário autorizado da igreja, com vinculação do menor a pai, mãe ou responsável legal;
• excepcionalmente, por cadastro provisório e restrito, com justificativa registrada pela igreja, quando a vinculação imediata ao responsável não for possível.

O responsável legal vinculado ao menor não precisa ser membro ou congregado da igreja. A plataforma poderá permitir responsável externo apenas para fins de autorização, contato, emergência ou gestão do vínculo do menor.

Contato de emergência não equivale automaticamente a responsável legal apto a consentir o tratamento de dados do menor.

A plataforma não valida automaticamente guarda, tutela, poder familiar ou poderes legais do responsável informado. A declaração de responsabilidade e a veracidade das informações fornecidas serão de responsabilidade da igreja contratante e/ou do declarante, conforme o fluxo utilizado.

Ao atingir a maioridade, o cadastro poderá ser submetido a revisão para que o titular confirme seus dados, atualize informações, revise consentimentos e assuma, quando aplicável, decisões próprias sobre foto, comunicação, carteirinha e demais funcionalidades.

---

11. Restrições especiais para menores

A plataforma deverá restringir por padrão determinadas funcionalidades envolvendo menores de idade.

Em especial:

• QR Code público de menor permanecerá desativado por padrão;
• foto pública de menor permanecerá desativada por padrão;
• menor não deverá aparecer em lista pública de aniversariantes por padrão;
• dados de menor não deverão ser incluídos em exportações amplas por padrão;
• comunicação direta com criança deverá ocorrer preferencialmente por meio do responsável;
• menor não deverá ser usuário administrativo da plataforma;
• dados de saúde, emergência ou evento envolvendo menor deverão ter finalidade específica e acesso restrito;
• vínculo financeiro nominal a menor deve ser evitado, salvo necessidade real e base adequada;
• notas internas sobre menor devem ser usadas com máxima cautela e apenas quando estritamente necessárias.

Para crianças, a verificação pública por QR Code será bloqueada ou permanecerá indisponível, salvo funcionalidade futura com proteção reforçada e base legal adequada.

Para adolescentes, a verificação pública por QR Code poderá depender de autorização específica do responsável legal, aviso destacado, configuração expressa da igreja e registro da justificativa.

A ativação de recursos de maior exposição envolvendo menor, como QR Code público, foto pública, comunicação direta, exportação ampliada ou divulgação em relatórios/listas, dependerá de consentimento específico, aviso destacado, permissão elevada ou registro de justificativa, conforme os recursos disponíveis e a base legal aplicável.

---

12. Carteirinhas e verificação pública por QR Code

A plataforma permite que igrejas emitam carteirinhas de membro com QR Code.

Por padrão, a verificação pública exibirá apenas a validade da credencial e a igreja emissora, sempre que o recurso estiver configurado dessa forma na plataforma.

A exibição de nome, foto, tipo de vínculo, situação do vínculo ou congregação dependerá de configuração expressa da igreja contratante, base legal adequada e, quando aplicável, consentimento específico.

Quando habilitada pela igreja contratante, a página pública poderá exibir informações limitadas, como:

• validade da credencial;
• nome;
• foto, quando permitida;
• tipo de vínculo;
• situação do vínculo, como ativo ou inativo;
• congregação;
• igreja.

A igreja contratante deverá optar pela menor exposição necessária à finalidade pretendida.

A página pública não deve expor CPF, data de nascimento, filiação, endereço, telefone, e-mail, notas internas, dados financeiros ou outros dados sensíveis.

A verificação pública por QR Code não substitui documento oficial de identificação e poderá ser desativada, revogada, limitada ou atualizada conforme critérios da plataforma, da igreja contratante ou por razões de segurança e privacidade.

A contratante reconhece que mesmo a exibição de nome, foto, igreja, congregação, tipo de vínculo ou situação do vínculo pode revelar relação com organização religiosa. Por isso, deverá avaliar a base legal, a necessidade e a proporcionalidade antes de ativar ou divulgar esse recurso.

Para menores de idade, a verificação pública por QR Code deverá permanecer desativada por padrão ou ser limitada, conforme as configurações e salvaguardas disponíveis na plataforma.

---

13. Uso de imagem e foto

A plataforma poderá permitir o cadastro de fotos de usuários, membros, congregados ou menores.

A igreja contratante é responsável por garantir que possui autorização, base legal ou fundamento adequado para inserir, manter e utilizar fotos na plataforma.

O uso de foto para identificação interna não autoriza automaticamente o uso público da imagem, incluindo QR Code público, site, redes sociais, materiais promocionais, murais, relatórios públicos ou qualquer divulgação fora do ambiente restrito da igreja.

Para menores de idade, a foto deverá ser opcional, restrita e não pública por padrão, salvo autorização específica e avaliação do melhor interesse do menor.

---

14. Como protegemos os dados

Adotamos medidas técnicas e administrativas para proteger os dados tratados na plataforma, incluindo:

• criptografia forte, compatível com padrões de mercado, para campos sensíveis;
• separação lógica de dados pessoais identificáveis;
• isolamento lógico por igreja ou organização;
• controles de acesso no servidor e no banco de dados;
• controle de permissões por papel;
• restrição de acesso por congregação, quando aplicável;
• autenticação por provedor de identidade;
• trilha de auditoria por ação;
• mecanismos de prevenção contra acessos indevidos;
• processamento seguro de integrações e webhooks;
• exclusão lógica em entidades principais;
• logs e relatórios de diagnóstico projetados para não conter dados pessoais identificáveis;
• armazenamento de arquivos em infraestrutura adequada, referenciada por chaves internas;
• limitação dos dados retornados ao cliente;
• boas práticas para evitar exposição indevida de objetos completos de usuários ou membros;
• controles adicionais para dados de menores, quando aplicável.

Para perfis administrativos, financeiros ou com acesso a dados sensíveis, a plataforma poderá exigir autenticação multifator ou controles adicionais de segurança.

Apesar dos esforços de segurança, nenhum sistema é absolutamente imune a incidentes. Caso ocorra incidente relevante envolvendo dados pessoais, serão adotadas as medidas cabíveis conforme a legislação aplicável e a relação controlador/operador.

---

15. Isolamento por igreja

O Igreja em Ordem é uma plataforma multi-tenant. Isso significa que cada igreja contratante possui um escopo lógico próprio.

O acesso aos dados é controlado por regras de servidor e banco de dados, não apenas por filtros visuais na interface. Toda leitura e escrita deve ocorrer sob o escopo da igreja e do usuário corrente.

Funções que envolvem mais de uma igreja, como programa de indicação ou verificação pública de carteirinha, são projetadas para retornar apenas informações mínimas necessárias, sem exposição indevida de dados sensíveis.

---

16. Compartilhamento de dados

Os dados poderão ser compartilhados apenas quando necessário para operação da plataforma, cumprimento legal ou prestação do serviço contratado.

Podemos compartilhar dados com categorias de fornecedores como:

• provedores de autenticação;
• provedores de hospedagem e infraestrutura;
• provedores de banco de dados;
• provedores de armazenamento de arquivos;
• provedores de pagamento;
• ferramentas de envio de e-mail transacional;
• serviços de suporte, monitoramento, segurança e auditoria;
• mecanismos anti-bot e antifraude;
• autoridades públicas, quando houver obrigação legal ou ordem válida.

Atualmente, a operação da plataforma pode envolver fornecedores como Cloudflare, Google/Firebase, Asaas, Neon, Resend ou outros prestadores equivalentes, conforme a arquitetura vigente e os recursos utilizados.

Os fornecedores e operadores contratados devem tratar os dados apenas conforme instruções aplicáveis e com medidas compatíveis de segurança.

---

17. Suboperadores e transferência internacional

A prestação da plataforma pode depender de fornecedores e suboperadores, incluindo provedores de infraestrutura, autenticação, banco de dados, armazenamento, pagamento, segurança, e-mail transacional, suporte, monitoramento e ferramentas anti-bot.

A depender dos fornecedores utilizados, dados pessoais poderão ser processados fora do Brasil.

Quando houver transferência internacional de dados pessoais, a Empresa Prestadora adotará mecanismo válido previsto na legislação brasileira, incluindo, quando aplicável, cláusulas-padrão contratuais, cláusulas específicas, normas corporativas globais, decisão de adequação ou outro mecanismo admitido pela ANPD.

A Empresa Prestadora manterá, nesta Política, em central de privacidade, página de subprocessadores ou documento equivalente, informações sobre categorias de suboperadores e fornecedores relevantes utilizados na prestação da plataforma.

A lista poderá indicar, conforme aplicável:

• fornecedor;
• finalidade;
• categorias de dados tratados;
• país ou região de processamento;
• papel do fornecedor;
• mecanismo de transferência internacional utilizado.

A Empresa Prestadora poderá atualizar a lista de fornecedores e suboperadores ao longo do tempo, conforme evolução técnica, substituição de serviços ou necessidade operacional.

---

18. Provedores de pagamento

A cobrança de assinaturas, faturas, PIX, boleto, cartão e demais meios de pagamento poderá ser realizada por provedores externos.

Esses provedores podem atuar como controladores independentes ou operadores, conforme seus próprios termos, políticas e arranjos contratuais.

O Igreja em Ordem armazena referências, estados, identificadores de transação, faturas e informações necessárias para conciliação, suporte, auditoria e controle da assinatura.

---

19. Armazenamento de arquivos

Arquivos como logos, fotos, comprovantes, anexos, documentos patrimoniais e relatórios podem ser armazenados em infraestrutura de armazenamento de objetos ou serviço equivalente.

A plataforma armazena referências por chave interna, e não deve expor arquivos fora do escopo autorizado da igreja.

Arquivos envolvendo menores, fotos, documentos pessoais, comprovantes, dados financeiros ou dados sensíveis devem ser tratados com cautela reforçada pela igreja contratante e pelos usuários autorizados.

---

20. Cookies, sessão e tecnologias similares

A plataforma poderá utilizar cookies, tokens, armazenamento local e tecnologias semelhantes para:

• manter sessão autenticada;
• proteger a conta;
• validar segurança de navegação;
• prevenir fraude, abuso e cadastros automatizados;
• lembrar preferências essenciais;
• manter a estabilidade operacional do sistema;
• registrar a origem de acesso para medição de audiência e para o programa de indicação entre igrejas;
• agrupar as páginas abertas em uma mesma visita, para medir audiência de forma correta.

A plataforma também poderá utilizar ferramentas anti-bot e antifraude, como Cloudflare Turnstile ou tecnologia equivalente, que podem processar sinais técnicos necessários para verificar se uma interação é legítima.

Não utilizamos cookies de publicidade comportamental, cookies de terceiros, redes de anúncios ou ferramentas de rastreamento entre sites.

Para medição de audiência, a plataforma utiliza solução própria, de primeira parte (first-party), hospedada na infraestrutura já utilizada para operar o serviço. Os dados de audiência não são compartilhados com terceiros, não são utilizados para publicidade e não permitem a identificação do visitante.

Nesse contexto, a plataforma poderá utilizar os seguintes cookies próprios, nenhum deles contendo dado pessoal:

Esses cookies são do tipo httpOnly — não podem ser lidos por scripts —, restritos ao domínio da plataforma, não trafegam entre sites e não armazenam nome, e-mail, telefone, endereço IP ou qualquer identificador do dispositivo.

O cookie iem_sess merece nota específica: ele identifica a visita, e não o visitante. Expira sozinho após 30 minutos sem navegação e não é reemitido, de modo que a mesma pessoa, ao voltar ao site depois disso, é vista como uma visita inteiramente nova. Não reconhecemos visitantes recorrentes e não medimos retorno. Ele não é usado para publicidade, não é compartilhado, e é eliminado dos nossos registros de audiência após 30 dias, conforme a seção 3.10.

Caso futuramente sejam adotadas ferramentas de publicidade, cookies de terceiros, identificadores persistentes de visitante, gravação de sessão ou outras tecnologias de rastreamento comportamental, esta Política será atualizada e, quando necessário, será solicitado consentimento específico.

---

21. Logs, auditoria e diagnóstico

A plataforma registra ações relevantes para fins de segurança, auditoria, suporte e rastreabilidade.

As trilhas de auditoria podem envolver ações como criação, edição, exclusão, aprovação, alterações financeiras, emissão de documentos, alteração de permissões, acesso a recursos sensíveis e ações envolvendo dados de menores.

A autenticação e eventos técnicos próprios de login poderão ser gerenciados por provedor externo de identidade, sem que isso signifique necessariamente registro detalhado de login na trilha de auditoria interna da igreja.

Logs e relatórios de diagnóstico são projetados para não conter dados pessoais identificáveis. Dados pessoais não devem ser registrados em logs técnicos, mensagens de erro ou relatórios internos, salvo quando estritamente necessário e com proteção adequada.

---

22. Incidentes de segurança

Caso a Empresa Prestadora identifique incidente de segurança confirmado ou suspeita relevante envolvendo dados pessoais tratados em nome da igreja contratante, adotará medidas razoáveis para avaliar, conter, mitigar e apurar o ocorrido.

Quando o incidente envolver dados sob controle da igreja contratante, a Empresa Prestadora comunicará a contratante sem demora injustificada e, sempre que razoavelmente possível, em até 24 horas após a confirmação interna do incidente, fornecendo, conforme as informações disponíveis:

• natureza do incidente;
• dados ou categorias de dados potencialmente afetados;
• titulares ou categorias de titulares envolvidos;
• riscos identificados;
• medidas técnicas e administrativas adotadas;
• recomendações de mitigação;
• informações necessárias para que a contratante avalie suas obrigações legais.

A responsabilidade por eventual comunicação à Autoridade Nacional de Proteção de Dados e aos titulares caberá, em regra, à igreja contratante quando ela atuar como controladora, sem prejuízo do apoio técnico da Empresa Prestadora nos limites aplicáveis.

Quando a Empresa Prestadora atuar como controladora em relação a determinados dados, adotará as medidas de comunicação cabíveis conforme a legislação aplicável.

Incidentes envolvendo dados de menores de idade, dados religiosos, fotos, documentos, dados financeiros ou exposição pública indevida serão tratados com prioridade reforçada.

---

23. Retenção e exclusão de dados

A plataforma utiliza exclusão lógica em entidades principais. Isso significa que determinados dados podem ser marcados como removidos sem serem apagados imediatamente, especialmente quando houver necessidade de auditoria, segurança, obrigações legais ou integridade operacional.

A retenção poderá ocorrer para:

• cumprimento de obrigações legais, contábeis, fiscais ou regulatórias;
• preservação de auditoria;
• prevenção a fraude;
• segurança;
• exercício regular de direitos;
• backup;
• integridade financeira e contábil;
• cumprimento contratual.

Como critérios gerais de retenção:

• contas não verificadas poderão ser excluídas ou anonimizadas após 30 dias, salvo necessidade de preservação por segurança, fraude, cobrança, obrigação legal ou exercício regular de direitos;
• solicitações de cadastro pendentes poderão ser excluídas ou anonimizadas após 90 dias, salvo se forem aprovadas, rejeitadas com necessidade de retenção ou houver justificativa legítima da igreja;
• após o cancelamento da assinatura ou encerramento da conta, a igreja contratante poderá exportar os dados disponíveis pelo prazo de até 30 dias, salvo prazo diverso previsto no plano, proposta comercial ou contrato específico;
• backups técnicos poderão ser mantidos por até 90 dias, salvo necessidade de preservação por incidente, investigação, obrigação legal ou continuidade operacional;
• logs técnicos e trilhas de auditoria poderão ser mantidos por até 24 meses, salvo necessidade de preservação por incidente, cobrança, investigação, obrigação legal ou exercício regular de direitos;
• registros de navegação e audiência das páginas públicas serão mantidos por até 180 dias, após os quais são eliminados; o identificador aleatório de visita descrito na seção 3.10 é apagado antes disso, em até 30 dias, restando apenas contagens sem titular; indicadores agregados de audiência — como o total de visitas por canal em cada dia, que não contêm identificador algum — podem ser mantidos por até 24 meses para permitir comparações entre períodos; o canal de origem associado ao cadastro de uma igreja é mantido enquanto durar a relação contratual, por integrar o histórico da conta;
• dados de cobrança, faturas e registros fiscais ou contábeis poderão ser mantidos pelos prazos legais aplicáveis;
• dados financeiros, recibos, faturas, registros de pagamento e documentos relacionados podem ser mantidos pelo prazo necessário ao cumprimento de obrigações legais, contábeis, fiscais e exercício regular de direitos;
• dados de membros e congregados serão mantidos enquanto a igreja contratante mantiver o cadastro ativo ou enquanto houver base legal aplicável para retenção;
• dados de menores devem observar cautela reforçada, revisão periódica e eliminação, bloqueio ou anonimização quando deixarem de ser necessários;
• fotos, autorizações, dados de saúde/evento e informações de exposição pública devem observar prazos compatíveis com sua finalidade.

Dados de evento ou saúde de menores deverão ser excluídos, bloqueados ou anonimizados em até 90 dias após o encerramento da finalidade específica, salvo obrigação legal, incidente, segurança, auditoria ou exercício regular de direitos.

Após o prazo aplicável, a plataforma poderá iniciar procedimentos de exclusão, anonimização, bloqueio ou retenção limitada dos dados, observadas as obrigações legais, regulatórias, fiscais, contábeis, contratuais, de segurança e de exercício regular de direitos.

Quando não houver mais necessidade de retenção, os dados poderão ser excluídos, anonimizados ou mantidos de forma agregada e não identificável.

---

24. Direitos dos titulares

Nos termos da LGPD, o titular de dados pode solicitar, conforme aplicável:

• confirmação da existência de tratamento;
• acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• portabilidade, quando aplicável;
• informação sobre compartilhamento;
• revogação do consentimento;
• eliminação de dados tratados com base no consentimento, quando aplicável;
• oposição ao tratamento em determinadas situações;
• revisão de decisões automatizadas, quando aplicável.

Quando os dados forem controlados pela igreja contratante, a solicitação poderá ser direcionada à própria igreja. O Igreja em Ordem poderá auxiliar a igreja no atendimento das solicitações, conforme viabilidade técnica, contrato e legislação aplicável.

Dados de navegação (seção 3.10). Os registros de audiência não guardam endereço IP, identificador de visitante persistente, nem qualquer chave capaz de ligar um acesso a uma pessoa. O único identificador existente é o número aleatório de visita descrito na seção 3.10, que expira em 30 minutos, não é reemitido e é apagado dos registros em até 30 dias — ele agrupa páginas de uma mesma visita, mas não aponta para pessoa alguma: não há cadastro, chave ou meio técnico que o associe a um nome, e-mail, dispositivo ou endereço.

Por isso, não é tecnicamente possível localizar, exportar, corrigir ou excluir os registros de navegação de um titular específico: não há como saber quais registros seriam seus, nem mesmo mediante apresentação de documento. Essa impossibilidade é consequência direta da minimização adotada, e não uma recusa de atendimento. Pela mesma razão, esses registros são contagens sem titular identificável, e são eliminados integralmente após 180 dias, conforme a seção 23.

Quem preferir não ser incluído nessas contagens pode bloquear o cookie iem_sess nas configurações do navegador. O site continua funcionando normalmente: sem esse cookie, cada página aberta é contada isoladamente, exatamente como antes — nada é perdido para a pessoa, apenas a precisão da nossa contagem interna.

O registro do canal de origem associado ao cadastro de uma igreja, esse sim, depende do cookie descrito na seção 20 — quem preferir não contribuir com ele pode bloquear os cookies deste domínio no navegador antes de se cadastrar.

A plataforma poderá exigir medidas de verificação de identidade antes de atender ou auxiliar solicitações, para evitar acesso indevido a dados pessoais.

A Empresa Prestadora buscará responder ou encaminhar solicitações em prazo razoável, conforme a LGPD, a natureza da solicitação, a complexidade do pedido e o papel exercido no tratamento dos dados.

Determinados dados poderão não ser eliminados imediatamente quando houver obrigação legal, necessidade de retenção para auditoria, prevenção a fraude, segurança, exercício regular de direitos ou outra hipótese legal aplicável.

---

25. Fluxo de atendimento de direitos dos titulares

As solicitações de titulares poderão ser recebidas pelo canal de privacidade da Empresa Prestadora ou diretamente pela igreja contratante.

Quando a solicitação envolver dados cadastrados e controlados pela igreja, a Empresa Prestadora poderá:

• orientar o titular a procurar a igreja contratante;
• encaminhar a solicitação à igreja, quando houver meios adequados;
• apoiar tecnicamente a igreja na localização, correção, exportação, bloqueio ou exclusão de dados, quando viável;
• responder diretamente quando a Empresa Prestadora atuar como controladora dos dados envolvidos.

A igreja contratante permanece responsável por avaliar a base legal, a identidade do solicitante, a legitimidade do pedido e eventuais restrições legais ou operacionais.

No caso de menores de idade, solicitações deverão observar a participação do responsável legal, quando aplicável, e o melhor interesse da criança ou adolescente.

---

26. Decisões automatizadas

A plataforma não realiza decisões exclusivamente automatizadas que produzam efeitos jurídicos ou impactos relevantes sobre titulares.

Alertas, painéis, filtros, notificações e relatórios têm finalidade de apoio administrativo e não substituem decisão humana da igreja contratante.

Caso futuramente sejam implementadas decisões exclusivamente automatizadas com efeitos relevantes sobre titulares, esta Política será atualizada e serão observados os direitos previstos na legislação aplicável.

---

27. Responsabilidades da igreja contratante

A igreja contratante é responsável por:

• informar os titulares sobre o uso da plataforma;
• obter consentimentos quando necessários;
• possuir base legal adequada para cadastrar e tratar dados pessoais e dados sensíveis;
• cadastrar apenas dados adequados, necessários e pertinentes;
• registrar origem e fundamento de cadastros manuais, quando aplicável;
• diferenciar auto-cadastro, cadastro manual, cadastro migrado e cadastro de menor;
• definir quem terá acesso ao sistema;
• remover acessos de usuários desligados ou não autorizados;
• revisar permissões por papel e congregação;
• não inserir informações desnecessárias em notas internas;
• não usar o sistema para finalidade ilícita, discriminatória ou incompatível com a finalidade eclesiástica e administrativa;
• atender solicitações de titulares quando for controladora dos dados;
• manter seus próprios documentos internos de privacidade, quando necessário;
• obter autorização adequada de pais ou responsáveis quando cadastrar menores;
• evitar exposição pública desnecessária de membros, congregados e menores;
• usar recursos de QR Code, foto, relatórios e exportações de forma compatível com a legislação aplicável e com o melhor interesse dos titulares.

---

28. Aviso resumido para formulários públicos

Nos formulários públicos de cadastro, a plataforma poderá apresentar aviso resumido de privacidade em linguagem simples, contendo informações essenciais, como:

• quem controla os dados: a igreja contratante indicada no formulário;
• quem opera a plataforma: Igreja em Ordem;
• para que os dados serão usados: análise de cadastro, gestão eclesiástica, comunicação e finalidades informadas pela igreja;
• indicação de que o vínculo religioso pode ser inferido a partir do cadastro;
• informação de que o titular pode solicitar acesso, correção, exclusão ou outros direitos aplicáveis;
• link para esta Política de Privacidade completa.

Esse aviso resumido não substitui esta Política, mas facilita a transparência no momento da coleta.

---

29. Alterações nesta Política

Esta Política poderá ser atualizada periodicamente para refletir mudanças legais, técnicas, operacionais ou comerciais.

Quando houver alterações relevantes, poderemos comunicar os usuários por meio do painel, e-mail, aviso no site ou outro meio adequado.

---

30. Canal responsável por privacidade e proteção de dados

O canal responsável por privacidade e proteção de dados é o ponto de contato entre a Empresa Prestadora, os titulares de dados, as igrejas contratantes e a Autoridade Nacional de Proteção de Dados, quando aplicável.

Canal responsável por privacidade e proteção de dados: Canal de Privacidade — Igreja em Ordem

E-mail de privacidade: contato@igrejaemordem.com.br

Empresa Prestadora: TEOFILO VIEIRA TEOFILO CONSULTORIA EM TECNOLOGIA DA INFORMACAO LTDA

CNPJ: 66.741.329/0001-11

Endereço: Rua Pais Leme, nº 215, Conjunto 1713, Pinheiros, São Paulo/SP, CEP 05424-150.

Caso a solicitação envolva dados cadastrados por uma igreja contratante, poderemos orientar o titular a contatar diretamente a igreja responsável pelo cadastro, sem prejuízo do apoio técnico cabível à igreja contratante.