SP Invisível
Este resumo não substitui o texto completo abaixo — ele existe para você entender o principal sem precisar ler tudo.
Instituto SP Invisível — associação sem fins lucrativos, inscrita no CNPJ sob o nº 37.499.064/0001-99, com sede em São Paulo/SP, Brasil.
Somos o que a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 — LGPD) chama de controlador: quem decide quais dados são coletados, para quê e por quanto tempo. Nesta política, "nós", "SPi" e "SP Invisível" significam a mesma coisa. "Você" é a pessoa que usa o app.
A tecnologia do app, o banco de dados e os servidores são fornecidos pela Humanyx (A. S. T. IUNG DE SOUZA LTDA, CNPJ 68.330.811/0001-94), que atua como operadora. Quando você interage com outra organização da rede, os papéis mudam — veja a seção 8.
Encarregado pelo Tratamento de Dados Pessoais (DPO — art. 41 da LGPD):
E-mail: oi@spinvisivel.org · Assunto sugerido: "Dados pessoais — [seu pedido]".
Esse mesmo canal atende titulares de dados, autoridades e a ANPD (Autoridade Nacional de Proteção de Dados).
O app SP Invisível é exclusivo para pessoas maiores de 18 anos. Não coletamos intencionalmente dados de crianças e adolescentes e não oferecemos cadastro para menores de 18.
Se identificarmos uma conta de menor de 18 anos, ela será encerrada e os dados eliminados, salvo o que a lei nos obrigue a guardar. Se você é responsável e acredita que um menor criou conta aqui, escreva para oi@spinvisivel.org — resolvemos rápido.
O SP Invisível é um app só, mas cada pessoa enxerga uma parte dele. Chamamos isso de lentes. Esta política vale para todas, e o que tratamos muda conforme o seu papel:
| Lente | Quem é | O que muda |
|---|---|---|
| Voluntário (padrão) | Quem se inscreve e vai a campo | Inscrições, presença, pontos |
| Líder de ação | Voluntário que organiza uma ação | Vê a lista de inscritos daquela ação e confirma presença |
| Doador / Mantenedor | Quem apoia financeiramente | Vê o próprio histórico de doações |
| Colaborador de empresa parceira | Quem participa pelo programa da sua empresa | Participação contabilizada para a empresa |
| ONG parceira ou cliente | Organização que atua junto com a gente ou usa a plataforma da Humanyx | Dados de ações conjuntas; veja a seção 8 |
| Time SPI | Equipe do SP Invisível | Acesso administrativo, com controle por função |
Uma mesma pessoa pode ter mais de uma lente (por exemplo, ser voluntária e doadora).
Esses campos existem porque muitas ações exigem lista nominal de participantes, controle de acesso a locais, contato de logística e, em alguns casos, emissão de recibo ou certificado. Eles ficam guardados em área separada e restrita do banco de dados, apartada dos dados públicos da comunidade. Só o Time SPI vê esses dados.
Quando você tem presença confirmada numa ação, o app monta um cartão-resumo daquela participação, que qualquer participante presente pode baixar e compartilhar fora do app (por exemplo, no Instagram). Esse cartão pode incluir a foto de perfil de outros voluntários presentes na mesma ação — sem nome, só a imagem — ao lado dos números da ação.
Isso se apoia no legítimo interesse de celebrar o trabalho voluntário coletivo, com o menor dado possível. Se você preferir que sua foto não entre nos cartões de outras pessoas, desative a qualquer momento em Perfil → Privacidade ("Não me incluir nos cartões de compartilhamento"). A escolha vale para os próximos cartões; não é possível recolher cartões que alguém já tenha baixado ou publicado antes dela.
As fotos que você envia são reprocessadas antes de subir: os metadados do arquivo (como a localização GPS embutida pela câmera) são removidos.
A LGPD exige uma base legal para cada finalidade. Não é tudo "consentimento", e seria desonesto dizer que é. Abaixo, finalidade por finalidade.
| # | O que fazemos | Dados usados | Base legal (LGPD) |
|---|---|---|---|
| 1 | Criar e manter sua conta, autenticar login, dar suporte | Nome, e-mail, foto, senha | Execução de contrato — art. 7º, V |
| 2 | Inscrever você em ações e eventos, gerenciar vagas, emitir ingresso | Perfil, inscrições | Execução de contrato — art. 7º, V |
| 3 | Confirmar presença (check-in carimbado) e registrar seu histórico de participação | Presença, quem confirmou, data/hora | Legítimo interesse — art. 7º, IX (segurança das ações, auditoria e prestação de contas) |
| 4 | Emitir certificado de voluntariado e comprovar participação | Nome, CPF, data de nascimento, histórico | Execução de contrato — art. 7º, V |
| 5 | Listas nominais e controle de acesso exigidos por parceiros ou pelo local da ação | Nome, CPF, nascimento | Execução de contrato — art. 7º, V, e obrigação legal ou regulatória — art. 7º, II, quando exigido |
| 6 | Logística e segurança em ação de campo; contato de emergência | Telefone, endereço, cidade | Execução de contrato — art. 7º, V, e proteção da vida — art. 7º, VII, em emergências |
| 7 | Processar pagamento de ingresso, doação avulsa ou plano | Dados da transação (via Stripe ou Mercado Pago) | Execução de contrato — art. 7º, V |
| 8 | Registrar doações, prestar contas e emitir recibo/declaração | E-mail, nome, CPF, valores, datas | Execução de contrato — art. 7º, V, e obrigação legal contábil e fiscal — art. 7º, II |
| 9 | Mostrar a você o seu próprio histórico de doação | Dados de doação | Execução de contrato — art. 7º, V |
| 10 | Doação do crédito da Nota Fiscal Paulista | Dados do QR code, e-mail | Consentimento — art. 7º, I (você escolhe escanear e doar) |
| 11 | Gamificação: pontos, ranking, conquistas e cartões de compartilhamento | Participação, nome, foto | Legítimo interesse — art. 7º, IX (engajar e reconhecer quem serve), com direito de oposição — e o cartão tem desativação direta no app (seção 5.4) |
| 12 | Figurinhas do álbum geradas até 31/07/2026 (função descontinuada — não geramos mais, e nenhuma foto sua vai para IA) | Figurinha já criada | Consentimento — art. 7º, I (dado quando você escolheu gerar); guardada até você apagar a conta |
| 13 | Publicar seu depoimento, história ou foto | Conteúdo enviado por você | Consentimento — art. 7º, I (dado no envio, revogável) |
| 14 | Moderar conteúdo, apurar denúncias, bloquear usuários, prevenir fraude e abuso | Conteúdo, denúncias, dados de conta | Legítimo interesse — art. 7º, IX, e exercício regular de direitos — art. 7º, VI |
| 15 | Avisos operacionais essenciais (confirmação de inscrição, mudança de horário, cancelamento, recibo) | E-mail, telefone, push | Execução de contrato — art. 7º, V — são sobre algo que você pediu |
| 16 | Comunicação de relacionamento e campanhas com doadores (WhatsApp, e-mail, SMS, ligação, carta) | Contato + preferências de canal | Consentimento por canal — art. 7º, I, revogável a qualquer momento |
| 17 | Relatórios de participação agregada para a empresa parceira e certificados corporativos | Vínculo por domínio, participação agregada | Legítimo interesse — art. 7º, IX |
| 18 | Relatórios de impacto e prestação de contas a parceiros e financiadores | Dados agregados e anonimizados | Legítimo interesse — art. 7º, IX; quando anonimizados, fora do escopo da LGPD (art. 12) |
| 19 | Métricas de uso e melhoria do produto (web) | Dados de uso agregados | Legítimo interesse — art. 7º, IX |
| 20 | Mapas de calor e gravação de sessão na web (Hotjar) | Interação com a página | Consentimento — art. 7º, I |
| 21 | Segurança da informação, backup, continuidade e apuração de incidentes | Logs, dados de conta | Legítimo interesse — art. 7º, IX |
| 22 | Guarda de registros de acesso à aplicação | Registros de acesso | Obrigação legal — art. 7º, II, c/c art. 15 do Marco Civil da Internet |
| 23 | Defesa em processo judicial, administrativo ou arbitral | O que for pertinente | Exercício regular de direitos — art. 7º, VI |
Sobre o CPF: ele é solicitado para identificação inequívoca, emissão de recibo de doação, certificados e listas nominais exigidas por parceiros e locais. Fica em área restrita do banco, visível apenas ao Time SPI.
Sobre legítimo interesse: sempre que usamos essa base, avaliamos se a finalidade é legítima, se o tratamento é necessário e se os seus direitos e liberdades prevalecem. Você pode se opor a qualquer tratamento baseado em legítimo interesse (art. 18, §2º) escrevendo para oi@spinvisivel.org.
Sobre consentimento: onde usamos consentimento, ele é livre, informado e inequívoco — pedido em ação afirmativa sua, nunca em caixa pré-marcada — e pode ser revogado a qualquer momento, de forma gratuita. A revogação não desfaz o que foi feito de forma lícita antes dela.
Não vendemos, não alugamos e não trocamos seus dados. Compartilhamos apenas com quem precisa fazer o app funcionar — são nossos operadores, que só podem usar os dados conforme a nossa instrução e a finalidade contratada.
| Parceiro | Para quê | Onde ficam os dados |
|---|---|---|
| Google Firebase (Authentication, Firestore, Storage, Functions, Hosting) | Login, banco de dados, armazenamento de arquivos e fotos, hospedagem do app | EUA / infraestrutura global Google |
| Firebase Analytics / Google Analytics 4 | Métricas anônimas e agregadas (só web) | EUA |
| Google Gemini / Vertex AI | Assistentes internos de organização de dados, usados pela equipe da organização — por exemplo, para reconhecer o formato de uma planilha que a equipe importa, quando ela escolhe usar a IA (nesse caso a IA recebe algumas linhas de amostra; seção 8). Nenhuma foto sua nem o conteúdo que você publica no app é enviado à IA, e nunca há decisões automatizadas sobre você | EUA / infraestrutura global Google |
| Stripe | Pagamento com cartão e Apple Pay (ingressos, doações, planos) | EUA |
| Mercado Pago | Pagamento por Pix | Brasil / América Latina |
| Trackmob | Processamento e gestão de doações recorrentes | Brasil |
| Apple | Entrar com a Apple, Apple Pay e distribuição do app na App Store | EUA |
| Entrar com o Google e distribuição do app no Google Play | EUA | |
| Hotjar | Mapas de calor e gravação de sessão — só na web, com seu consentimento, nunca no app instalado | União Europeia / EUA |
| ViaCEP | Converter CEP em endereço | Brasil |
| ManyChat + WhatsApp (Meta) | Conversas com doadores que autorizaram esse canal | EUA / global |
Com todos exigimos, contratualmente ou pelos termos do serviço, medidas de segurança compatíveis e tratamento limitado à finalidade contratada.
Stripe, Mercado Pago e Trackmob atuam, em parte das operações de pagamento e doação, como controladores independentes dos dados que coletam diretamente de você em seus próprios ambientes — nesses casos valem também as políticas de privacidade deles.
Também podemos compartilhar dados:
A tecnologia deste app é da Humanyx (A. S. T. IUNG DE SOUZA LTDA, CNPJ 68.330.811/0001-94), que a oferece também a outras organizações. O SP Invisível é cliente dessa plataforma. Por isso, os papéis da LGPD ficam assim:
Como operadora, a Humanyx pode usar suboperadores de infraestrutura e pagamento — atualmente Google Firebase, Google Cloud (IA), Stripe, Mercado Pago, Apple e Google — sempre com obrigações de proteção de dados de nível ao menos equivalente.
As organizações da rede no app: o app mostra as ações do SP Invisível e das organizações da rede dele. Uma organização só aparece na lista pública do app enquanto faz parte da rede — o próprio SP Invisível ou uma organização com assinatura vigente da plataforma — e só com dados públicos dela (nome, cidade, categoria e marca). E-mail, telefone e documentos da organização não são publicados.
Uma conta para vários apps: a mesma plataforma pode servir a apps de outras organizações. Se você usar mais de um desses apps, a conta é uma só (o mesmo login, nome, e-mail e foto), e cada app mostra apenas o que é da organização dona dele. Hoje, "Apagar minha conta" apaga a conta inteira (seção 15).
Registros de pessoas atendidas (acompanhamento social): organizações podem manter, em área própria e fechada da plataforma, registros de acompanhamento das pessoas que atendem. Esses registros pertencem à organização (controladora), ficam separados do app público e são acessíveis apenas à equipe autorizada dela. As ferramentas internas de inteligência artificial da plataforma trabalham sobre a estrutura desses registros (rótulos, tipos de campo e consultas) — nas consultas, o conteúdo do registro individual de uma pessoa atendida não é enviado à IA. Quando a equipe importa uma planilha e escolhe usar a IA para reconhecer o formato, a IA recebe algumas linhas de amostra (e, para padronizar uma coluna, os valores dela); a tela avisa isso antes, e o resto da planilha não é enviado.
Parte da nossa infraestrutura fica fora do Brasil — principalmente nos Estados Unidos (Google/Firebase, Stripe, Apple, Meta) e, no caso do Hotjar, também na União Europeia.
Isso significa que seus dados podem ser armazenados e processados no exterior. É uma transferência internacional de dados, prevista no Capítulo V da LGPD (arts. 33 a 36). Ela se apoia em:
Se quiser detalhes sobre as salvaguardas de um fornecedor específico, escreva para oi@spinvisivel.org.
Na versão web (app.spinvisivel.org) usamos:
Você pode mudar sua escolha a qualquer momento pelo mesmo aviso de cookies ou escrevendo para oi@spinvisivel.org. Também é possível bloquear cookies pelo navegador — nesse caso, parte das funções pode deixar de funcionar.
No aplicativo instalado (iOS e Android) não há Hotjar, gravação de sessão, mapa de calor, publicidade nem rastreamento entre apps e sites de terceiros.
Guardamos cada dado pelo tempo necessário à finalidade que o justificou — e não além, salvo obrigação legal.
| Dado | Prazo |
|---|---|
| Conta e perfil (nome, e-mail, telefone, endereço, nascimento, CPF) | Enquanto sua conta existir. Ao apagar a conta, os dados de identificação são removidos imediatamente do seu cadastro; o restante é eliminado ou anonimizado em até 30 dias, exceto o que a lei obrigar a manter |
| Histórico de participação, presença e certificados | Enquanto a conta existir; depois, mantido apenas de forma agregada e anonimizada nas estatísticas de impacto |
| Depoimentos, histórias e fotos publicadas | Até você apagar o conteúdo ou a conta, ou até a moderação remover |
| Dados de doação, CPF e comprovantes | 5 anos contados do encerramento do exercício fiscal correspondente, por obrigação contábil, fiscal e de prestação de contas — mesmo após a exclusão da conta |
| Registro de pagamento de ingresso | 5 anos, para fins fiscais e de defesa em eventual contestação ou chargeback |
| Registros de acesso à aplicação (logs) | Guardados nos registros automáticos da nossa infraestrutura (Google Cloud), pelo prazo de retenção ali configurado. O art. 15 do Marco Civil da Internet prevê a guarda por 6 meses, prazo que observamos quando aplicável, e que pode ser estendido por ordem judicial |
| Denúncias, moderação e bloqueios | 2 anos após a decisão, para controle de reincidência e defesa |
| Consentimentos e suas revogações (incluindo a versão dos termos aceita) | Enquanto durar a relação + 5 anos, como prova de conformidade |
| Backups | Rotina diária, com sobrescrita cíclica; dados excluídos deixam os backups no ciclo de rotação seguinte |
| Dados necessários à defesa em processo | Até o fim do processo e dos prazos prescricionais |
Vencidos os prazos, os dados são eliminados ou anonimizados de forma irreversível. Números de impacto já publicados (por exemplo, "500 voluntários em 2026") continuam existindo em forma agregada, porque não identificam ninguém.
Nenhum sistema é 100% invulnerável, e seria mentira dizer o contrário. Mas tratamos segurança como parte do respeito às pessoas que confiam na gente. Se você suspeitar de acesso indevido à sua conta, troque a senha e avise oi@spinvisivel.org imediatamente.
Se ocorrer um incidente que possa acarretar risco ou dano relevante a você, nós:
Não vamos esconder nem minimizar. Mantemos registro interno de todos os incidentes, inclusive dos que não exigem comunicação. Se você suspeitar de um problema de segurança, avise em oi@spinvisivel.org.
Você pode, a qualquer momento e gratuitamente:
Prazo: respondemos em até 15 dias. Podemos pedir uma confirmação de identidade antes de liberar dados — é proteção sua, contra alguém se passar por você. Se você não ficar satisfeito com a nossa resposta, pode reclamar à ANPD — gov.br/anpd.
Dentro do app, em Perfil → Apagar minha conta. Funciona de verdade, está disponível para qualquer usuário e não depende de aprovação de ninguém.
Ao apagar:
A ação é definitiva: não conseguimos restaurar a conta depois.
Você controla os canais de relacionamento e campanha: WhatsApp, e-mail, SMS, ligação e carta. Para mudar ou parar: responda "SAIR" na mensagem, clique em "descadastrar" no e-mail, ou escreva para oi@spinvisivel.org dizendo quais canais quer (ou não quer). Registramos e respeitamos a escolha por canal.
Continuam chegando os avisos operacionais essenciais — confirmação de inscrição, mudança de horário, cancelamento de ação, recibo de pagamento. Eles não são publicidade: são sobre algo que você pediu.
Podemos atualizar este texto quando o app mudar, quando trocarmos de fornecedor ou quando a lei mudar. A data no topo sempre indica a versão vigente.
Quando a mudança for relevante — novo tipo de dado, nova finalidade, nova base legal, novo parceiro relevante — avisaremos com destaque no app e/ou por e-mail antes de ela valer. Quando o tratamento depender de consentimento, pediremos um novo consentimento. Versões anteriores podem ser solicitadas por e-mail.
Esta política é regida pela lei brasileira, em especial a LGPD (Lei nº 13.709/2018) e o Marco Civil da Internet (Lei nº 12.965/2014).
Instituto SP Invisível — Encarregado pelo Tratamento de Dados Pessoais (DPO)
CNPJ 37.499.064/0001-99 · São Paulo/SP, Brasil
oi@spinvisivel.org
Pode escrever em português simples. Não precisa de linguagem jurídica, não precisa citar artigo. Diga o que você quer e nós resolvemos.