Política de privacidade do As Entrelinhas

Versão 2.0 · em vigor desde [DATA]

Em um minuto

Sua reflexão é sua. Fica guardada com criptografia, não é vendida, não vira anúncio e não é usada para treinar modelos de inteligência artificial.
Para usar o app, você cria uma conta, com e-mail e senha, com Apple ou com Google. A conta guarda o seu caderno, o seu teste grátis e a sua assinatura.
A lei trata a reflexão como dado sensível, porque ela pode revelar sua fé e sua saúde. Por isso pedimos sua autorização em dois momentos: antes de guardar o que você escreve e, se você quiser o parecer, antes de enviar o texto à IA. Você pode retirar cada uma delas quando quiser.
Para gerar o parecer, a reflexão sai do Brasil. Ela é enviada a um provedor de IA (hoje a Anthropic, nos Estados Unidos). Seu nome e seu e-mail não vão junto.
Quando você envia uma reflexão, um filtro automático procura sinais de crise. Se encontra algum, o app mostra o contato do CVV (188) e não gera o parecer. Ninguém de fora é avisado. A equipe vê apenas que houve um alerta, sem o texto.
Em casos excepcionais, uma pessoa autorizada da equipe pode ler uma reflexão ou um parecer. Isso exige um motivo por escrito e fica registrado. A criptografia que usamos não é de ponta a ponta (seção 8).
Você manda nos seus dados. Pode apagar todas as reflexões ou excluir a conta quando quiser, pelo app ou pelo site, mesmo sem assinatura ativa.

1. Quem é responsável pelos seus dados

Controlador: [RAZÃO SOCIAL], CNPJ [CNPJ], com sede em [ENDEREÇO] ("nós").
Encarregado pelo tratamento de dados (DPO): [NOME DO ENCARREGADO] — [E-MAIL DO ENCARREGADO].
Suporte geral: contato@asentrelinhas.com.br.

Esta política vale para o app As Entrelinhas (iOS e Android), seus widgets, o site do As Entrelinhas (inclusive a área Minha conta) e o atendimento por e-mail. Ela segue a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018).

2. Quais dados tratamos

Categoria	O que é	De onde vem
Cadastro	Nome (opcional), e-mail, senha (guardada só em forma de hash, nunca a senha em si) e o identificador do login com Apple ou Google. Se você escolher ocultar seu e-mail na Apple, guardamos o endereço de retransmissão que ela cria. Quando você entra com Apple, guardamos também, com criptografia, um código de autorização da Apple, usado só para desconectar o As Entrelinhas do seu ID Apple quando você excluir a conta	Você, Apple, Google
Tradição (dado sensível)	Evangélico, Católico ou Interdenominacional. Revela convicção religiosa	Você
Preferências	Tradução da Bíblia, horário do lembrete e se ele está ligado, fuso horário, aparência	Você
Uso do ritual	Dias lidos e concluídos, sequência, contagem de palavras da reflexão, pareceres salvos ou marcados como orados	Uso do app
Conteúdo pessoal (dado sensível)	Reflexões (rascunhos e enviadas), pareceres, revisões de domingo, temas curtos extraídos do parecer (como "cansaço"), a avaliação "isso não me representou" e o comentário opcional que vem com ela	Você e a geração por IA
Sinais de segurança (dado sensível)	Registro de que houve um alerta de crise: data, categoria (por exemplo, autolesão ou abuso) e se veio do filtro de palavras ou da IA. O texto não é guardado nesse registro	Sistema
Teste e assinatura	Data de início do teste grátis, plano, loja, tipo de período, datas de início e fim, se a renovação automática está ligada, situação da assinatura, identificador da transação e o link da loja para gerenciar a assinatura	Sistema, Apple, Google, RevenueCat
Histórico de cobrança	Eventos de cobrança enviados pela loja por meio da RevenueCat (compra, renovação, troca de plano, cancelamento, problema na cobrança, reembolso), com data, plano, valor, moeda, loja e país da loja	Apple, Google, RevenueCat
Técnicos	Endereço IP, data e hora dos acessos, nome e modelo do aparelho, sistema operacional, versão do app, navegador (no site), tokens e cookies de sessão e registros de erro (sem texto de reflexão ou parecer)	Aparelho, navegador e servidor
Atendimento	O que você nos escreve por e-mail	Você

Usar um app devocional já pode indicar a sua fé. Por isso tratamos todos os seus dados com o mesmo cuidado, inclusive os que a tabela não marca como sensíveis: sem publicidade, sem venda e sem perfil para terceiros.

O que não coletamos: localização, contatos, fotos, áudio do microfone e identificador de publicidade (IDFA/AAID). Não usamos ferramentas de publicidade nem de rastreamento de terceiros, no app ou no site.

Pagamento: quem cobra é a Apple ou o Google. Nós não vemos o número do seu cartão nem outros dados de pagamento.

O que fica só no seu aparelho: o rascunho escrito sem internet (até ser sincronizado); cópias do texto de hoje, do texto de amanhã e dos pareceres que você abriu nos últimos 7 dias, para uso offline; os dados que alimentam o widget (referência, versículo e sequência); e o agendamento do lembrete. Essas cópias ficam na área do app, protegida pelo sistema do aparelho, e são apagadas quando você sai da conta. O lembrete é uma notificação local, programada no próprio aparelho: o servidor não envia notificações para você.

3. Para que usamos seus dados e com qual base legal

Para quê	Quais dados	Base legal (LGPD)
Criar sua conta, entrar no app e na área Minha conta e manter você conectado	Cadastro, técnicos	Execução de contrato (art. 7º, V)
Controlar o teste grátis e o acesso ao app	Teste e assinatura	Execução de contrato (art. 7º, V)
Entregar o texto do dia, o áudio, o lembrete, a sequência, a Jornada e os widgets	Preferências, uso do ritual	Execução de contrato (art. 7º, V)
Adaptar à sua tradição o vocabulário dos textos e do parecer	Tradição	Consentimento específico, dado no momento da escolha (art. 11, I). Você pode trocar quando quiser ou ficar com "Interdenominacional"
Guardar suas reflexões e mostrá-las a você em qualquer aparelho	Conteúdo pessoal	Consentimento específico e destacado (art. 11, I): autorização 1
Gerar o parecer, a memória de 7 e 30 dias e a revisão de domingo, com envio da reflexão ao provedor de IA	Conteúdo pessoal, tradição	Consentimento específico e destacado (art. 11, I): autorização 2
Procurar sinais de crise quando você envia uma reflexão ou pede um parecer, mostrar o CVV e acompanhar, sem texto, se essa proteção funciona	Reflexão, sinais de segurança	Proteção da vida e da incolumidade física (art. 11, II, "e") e consentimento (autorizações 1 e 2, art. 11, I)
Ler o comentário de "isso não me representou" para melhorar o parecer	Comentário e parecer, sem a reflexão	Consentimento (art. 11, I), dado ao enviar o comentário
Cobrar e liberar o acesso, restaurar compras e mostrar seus pagamentos na área Minha conta	Teste e assinatura, histórico de cobrança, cadastro	Execução de contrato (art. 7º, V) e obrigações legais e fiscais (art. 7º, II)
Guardar os registros de acesso que a lei exige	IP, data e hora	Obrigação legal: Marco Civil da Internet, art. 15 (art. 7º, II)
Segurança, prevenção de fraude e abuso (inclusive de uso repetido do teste grátis), correção de falhas	Técnicos, metadados de uso	Legítimo interesse (art. 7º, IX)
Saber se o parecer está funcionando (falhas, tempo de resposta e contagens, como quantos pareceres foram marcados "não me representou"), sem ler os textos	Metadados técnicos e contagens	Legítimo interesse (art. 7º, IX) para os dados técnicos. O que vem da reflexão segue a autorização 2
Responder seus pedidos e mandar e-mails do serviço, como o código para trocar a senha no app ou o link para criar uma nova senha no site	Cadastro, atendimento	Execução de contrato (art. 7º, V)
Cumprir ordem de autoridade ou defender direitos em processo	O mínimo necessário em cada caso	Art. 7º, II e VI; art. 11, II, "a" e "d"

As duas autorizações da reflexão são pedidas em telas próprias do app, separadas da aceitação dos Termos de uso. Dados sensíveis só são tratados com as bases do art. 11 da LGPD; nunca usamos o legítimo interesse para eles.

Não usamos seus dados para publicidade, não vendemos dados e não montamos perfis para terceiros. Quando a base é o legítimo interesse, você pode se opor (seção 11).

4. Como o parecer é gerado

O que vai para a IA. Quando você toca "Pedir parecer", o servidor monta um pedido com sua reflexão, o texto e a pergunta do dia, sua tradição, uma lista de referências bíblicas do nosso banco e a sua memória: os temas e passos dos últimos 7 dias e a frequência dos temas nos últimos 30 dias. A revisão de domingo usa os pareceres e os temas da semana, sem o texto bruto das reflexões.
O que não vai. Seu nome, seu e-mail e os identificadores da sua conta.
Filtro de crise. Quando você envia uma reflexão, um filtro de palavras procura sinais de crise. Quando você pede o parecer, o texto passa de novo por esse filtro e por uma checagem automática feita por um modelo menor do mesmo provedor de IA. Se houver sinal de crise, nenhum parecer é gerado e o app mostra o CVV (188). Rascunhos que você só guarda não passam pelo filtro.
Versículo conferido. A IA só escolhe a referência. O texto bíblico vem do nosso banco, nunca da IA. Respostas com frases que proibimos (como "Deus está te dizendo") são descartadas e geradas de novo.
Provedor. Hoje usamos a Anthropic (modelos Claude), nos Estados Unidos. O sistema permite trocar para OpenAI ou Google. Se trocarmos, atualizamos esta política e avisamos no app antes da troca.
Sem treinamento. Só contratamos provedores em planos comerciais cujos termos não permitem usar o conteúdo enviado para treinar modelos. Nós também não usamos sua reflexão para isso. O provedor pode guardar o pedido por tempo limitado, para segurança e prevenção de abuso, conforme os termos dele (na Anthropic, em regra até [30 dias], e mais tempo para conteúdo sinalizado por violar a política de uso).
Decisão automatizada e seu direito de revisão. O parecer chega a você sem revisão humana prévia, e o filtro de crise decide sozinho se ele será gerado. Pelo art. 20 da LGPD, você pode pedir a revisão dessas decisões e informações claras sobre os critérios usados, respeitado o segredo comercial. Para pedir, escreva para o encarregado (seção 14). O botão "isso não me representou" nos avisa que o parecer errou, mas não abre um pedido formal de revisão. Na revisão, uma pessoa da equipe pode precisar ler o parecer e a reflexão. Isso só acontece se você autorizar no próprio pedido, e o acesso fica registrado como descrito na seção 9.

O parecer não é aconselhamento. Veja o que ele é e o que não é nos Termos de uso.

5. Com quem compartilhamos

Só com quem precisa dos dados para o serviço funcionar (operadores, que tratam os dados em nosso nome e sob contrato) e nos casos previstos em lei.

Quem	O que recebe	Para quê	Onde
Provedor de IA: Anthropic, PBC	Reflexão, tradição e o contexto descrito na seção 4	Gerar parecer, revisão de domingo e checagem de crise	EUA
Hospedagem e banco de dados: [PROVEDOR DE HOSPEDAGEM]	Todos os dados do servidor, criptografados onde indicado na seção 8	Guardar e processar	[PAÍS/REGIÃO]
RevenueCat, Inc.	Um identificador interno da conta (não é seu e-mail), recibos e situação da assinatura e dados técnicos do aparelho coletados pela ferramenta	Gerenciar a assinatura. Quando você exclui a conta, pedimos que ela apague o seu cadastro	EUA
Apple e Google	No login com Apple ou Google, no app ou no site: a confirmação da sua identidade. Nas compras: os dados da compra	Login e pagamento. Elas agem como controladoras independentes e seguem as próprias políticas. Quando você exclui a conta, pedimos à Apple que desconecte o As Entrelinhas do seu ID Apple	EUA e outros
Envio de e-mail: [PROVEDOR DE E-MAIL]	Seu e-mail e o conteúdo da mensagem (por exemplo, o código de senha)	E-mails do serviço	[PAÍS]
Alertas técnicos: Slack	Mensagens de erro técnico, sem texto de reflexão ou parecer	Avisar a equipe sobre falhas	EUA
Autoridades públicas	O mínimo exigido	Cumprir ordem judicial ou obrigação legal	Brasil

O serviço de voz sintética que gera o áudio do devocional recebe apenas textos editoriais, nunca dados seus.

Quando você compartilha. O card de versículo só sai do app quando você escolhe enviar, e ele nunca inclui sua reflexão nem o parecer. Depois de enviado pelo WhatsApp ou outro app, vale a política de quem recebe.

Venda ou fusão. Se o serviço for vendido ou incorporado por outra empresa, os dados podem passar ao sucessor, que fica obrigado a manter as proteções desta política. Avisaremos antes.

Não compartilhamos seus dados com igreja, pastor, família, empregador ou anunciantes.

6. Transferência para fora do Brasil

Alguns operadores ficam fora do Brasil, principalmente nos Estados Unidos (provedor de IA, RevenueCat, Apple, Google e Slack). Fazemos essas transferências conforme o art. 33 da LGPD:

com as cláusulas-padrão contratuais aprovadas pela ANPD (art. 33, II, "b", e Resolução CD/ANPD nº 19/2024), incluídas no contrato com cada operador; e
no caso da reflexão, também com o seu consentimento específico (art. 33, VIII): a autorização 2 informa, em destaque e antes do envio, que o texto vai para os Estados Unidos.

Você pode pedir informações sobre as garantias usadas (seção 11).

7. Por quanto tempo guardamos

Dado	Prazo
Conta, preferências, teste e assinatura	Enquanto a conta existir, mesmo depois que o teste ou a assinatura terminam
Reflexões, pareceres, revisões de domingo e avaliações	Até você apagar (Ajustes › Apagar todas as reflexões), retirar a autorização 1 ou excluir a conta
Cópias no aparelho	Rascunho offline: até sincronizar. Textos do dia e pareceres: até 7 dias, ou até você sair da conta ou apagar o app
Registro de alerta de crise (sem texto)	Até a exclusão da conta
Registros de acesso (IP, data e hora)	6 meses, como exige o Marco Civil da Internet (art. 15), mesmo depois da exclusão da conta
Registros técnicos de erro	[90 dias]
Código de troca de senha (app) e link para criar nova senha (site)	O código vale 30 minutos; o link, 60 minutos. Depois disso não funcionam mais
Histórico de cobrança	[5 anos] após a última transação, por obrigações fiscais e de defesa do consumidor. Fica mesmo depois da exclusão da conta, ligado apenas a um identificador interno e aos dados da transação, sem nome nem e-mail
Registro de auditoria de acesso a conteúdo privado	[5 anos]. Fica mesmo depois da exclusão da conta, sem vínculo com ela, para prestação de contas
Cópias de segurança (backup)	Dados apagados saem dos backups em até [30 dias]
No provedor de IA	Conforme os termos do provedor (seção 4)
Na RevenueCat, na Apple e no Google	Quando você exclui a conta, pedimos à RevenueCat que apague o seu cadastro. Os registros de compra que a Apple, o Google e a RevenueCat precisam manter seguem as políticas e obrigações legais de cada um

Quando você exclui a conta (no app ou na área Minha conta do site), apagamos na hora: conta, preferências, reflexões, pareceres, revisões, avaliações, alertas de crise, histórico de dias, dados do teste e da assinatura ligados à conta, sessões e códigos de senha. No mesmo momento, pedimos à Apple que desconecte o login com Apple (se você usava) e à RevenueCat que apague o seu cadastro. Se um desses serviços não responder na hora, sua conta é excluída do mesmo jeito e concluímos o pedido a eles manualmente. Ficam só os itens que a tabela acima marca como exceção, pelos motivos indicados. O passo a passo está em Como excluir sua conta.

A exclusão da conta não cancela a assinatura na loja. A cobrança é feita pela Apple ou pelo Google e só termina quando você cancela por lá.

8. Como protegemos

Conexões criptografadas (HTTPS/TLS), no app e no site.
Reflexões, pareceres, revisões de domingo e comentários de feedback são criptografados no banco de dados (AES-256), com a chave guardada fora do banco. O código de autorização da Apple também fica criptografado.
Senhas guardadas só em forma de hash. No app, o token de sessão fica no cofre seguro do aparelho (Keychain no iPhone, Keystore no Android). No site, a sessão usa cookie protegido.
A área Minha conta mostra a cada pessoa só os próprios dados: perfil, assinatura e pagamentos. Ela não mostra reflexões nem pareceres.
O painel interno é separado e restrito à equipe, com perfis. Editores só mexem no conteúdo editorial. Administradores veem dados de cadastro, de uso e de assinatura e a lista de alertas de crise (data, categoria e conta, sem texto), para dar suporte e acompanhar a segurança. Nenhum deles vê o texto privado sem a permissão especial descrita na seção 9.
Registros técnicos são feitos para não conter texto de reflexão ou parecer. O alerta de crise guarda só a categoria.
Chaves de integração criptografadas e limites de tentativas no login e nos pedidos.

Os limites. A criptografia protege seus textos se o banco de dados vazar, mas o nosso servidor consegue descriptografá-los. Isso é necessário para mostrar suas reflexões em outro aparelho e para gerar o parecer. Metadados como datas, contagem de palavras e temas curtos não são criptografados um a um; ficam protegidos pelo controle de acesso.

Incidentes. Se um incidente de segurança puder trazer risco ou dano relevante a você, avisamos você e a ANPD no prazo da regulamentação (hoje, 3 dias úteis, pela Resolução CD/ANPD nº 15/2024).

Sua parte. Use bloqueio de tela. Os widgets mostram versículo e sequência na tela inicial e na tela de bloqueio (nunca a reflexão). Quem pegar seu aparelho desbloqueado consegue abrir o app. No site, saia da conta ao usar um computador compartilhado.

9. Acesso excepcional da equipe ao conteúdo privado

Por padrão, ninguém da equipe lê sua reflexão: o painel interno mostra só metadados. Existe, porém, uma permissão especial, dada a poucas pessoas ([NÚMERO] hoje, nomeadas pelo administrador), que permite ler uma reflexão, um parecer, uma revisão de domingo ou um comentário de feedback.

Quando pode acontecer:

quando você pede suporte ou a revisão de um parecer e autoriza a leitura no próprio pedido;
quando você marca "isso não me representou" e escreve um comentário: uma pessoa autorizada pode ler o comentário e o parecer, sem a sua reflexão, para melhorar o serviço. O app avisa isso antes de você enviar;
para investigar uma falha técnica ou de segurança que não dá para resolver só com metadados (por exemplo, um parecer que chegou quebrado);
para verificar, num caso concreto, se os freios funcionaram (frases proibidas, filtro de crise);
para cumprir obrigação legal ou ordem de autoridade, ou defender direitos em processo.

Quando nunca acontece: por curiosidade, para marketing, para traçar perfil, para treinar IA, para falar com sua igreja ou sua família, ou para avaliar sua fé.

Como fica registrado. Antes de mostrar o texto, o sistema exige um motivo por escrito e grava quem acessou, quando, qual conteúdo, de qual conta, o motivo, o IP e o navegador. Quando um parecer é aberto, a reflexão daquele dia aparece junto, e as duas leituras ficam registradas. Esse registro não pode ser apagado pela ferramenta, e o encarregado o revisa [mensalmente]. O texto aberto não é copiado para outros sistemas.

Você pode perguntar ao encarregado se o seu conteúdo foi acessado, quando e por quê. Respondemos com base nesse registro.

10. Menores de idade

O As Entrelinhas é feito para maiores de 18 anos. Quem tem 16 ou 17 anos pode usar com autorização e acompanhamento do pai, da mãe ou do responsável legal, e a assinatura deve ser contratada pelo responsável. Menores de 16 anos não devem usar o app. Se soubermos de uma conta de menor de 16 anos, ou de 16 ou 17 anos sem autorização, encerramos a conta e apagamos os dados.

Por que essa regra:

a reflexão é dado sensível (fé e, às vezes, saúde e momentos de crise) e passa por inteligência artificial;
para menores de 12 anos, a LGPD exige consentimento específico de um dos pais (art. 14), e não temos como verificar isso com segurança;
pelo Código Civil, quem tem menos de 16 anos não contrata sozinho e quem tem 16 ou 17 precisa da assistência do responsável, e a assinatura é um contrato;
uma crise na adolescência pede rede de proteção presencial, que um app não substitui.

Pais e responsáveis podem pedir a exclusão da conta de um menor pelo e-mail do encarregado.

11. Seus direitos

Pela LGPD (art. 18), você pode, a qualquer momento e sem custo:

confirmar se tratamos seus dados e acessar uma cópia deles;
corrigir dados incompletos, errados ou desatualizados;
pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei;
pedir a portabilidade dos seus dados a outro serviço;
pedir a eliminação dos dados tratados com seu consentimento;
saber com quem compartilhamos seus dados;
saber que pode não dar o consentimento e o que acontece se não der;
retirar o consentimento;
pedir a revisão de decisões automatizadas e informações sobre seus critérios (art. 20);
se opor a um tratamento feito com base no legítimo interesse, se ele descumprir a lei;
reclamar à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd.

Como exercer.

No app: Ajustes › Conta (editar nome, trocar senha, sair, excluir conta); Ajustes › Assinatura (situação, gerenciar e restaurar compras); Ajustes › Privacidade (ver e retirar as autorizações); Ajustes › Apagar todas as reflexões; Ajustes › Tradição, Tradução, Lembrete e Aparência. Sem assinatura ativa, a tela de assinatura continua dando acesso a Minha conta, inclusive para excluir a conta.
No site: na área Minha conta, entrando com o mesmo e-mail e senha do app ou com Apple ou Google, você vê e edita seu perfil, vê a situação da assinatura e os pagamentos e pode excluir a conta.
Por e-mail: escreva para [E-MAIL DO ENCARREGADO]. Podemos pedir uma confirmação de identidade, como responder a partir do e-mail cadastrado.
Prazos: pedidos de confirmação e de acesso recebem resposta simplificada de imediato ou uma declaração completa em até 15 dias (art. 19). Os demais pedidos são atendidos no menor prazo possível e nos prazos que a ANPD fixar.
Portabilidade: a pedido, enviamos por e-mail um arquivo com seus dados, incluindo reflexões e pareceres, em [FORMATO].

Se você retirar uma autorização. Ao retirar a autorização 1 (guardar a reflexão), apagamos suas reflexões, pareceres, revisões e avaliações, e o campo de reflexão fica fechado até você autorizar de novo. Ao retirar a autorização 2 (parecer com IA), deixamos de enviar sua reflexão ao provedor e de gerar pareceres; o que já foi gerado continua guardado até você apagar. Nos dois casos, a leitura, o áudio e a sequência continuam funcionando enquanto você tiver acesso, e a assinatura não é cancelada sozinha: se quiser, cancele na loja.

12. Cookies

O app não usa cookies nem identificadores de publicidade. Ele guarda informações no armazenamento local do aparelho só para funcionar (sessão, preferências e cópia offline do dia).

O site usa apenas cookies necessários: o cookie de sessão, que mantém você conectado na área Minha conta, e um cookie de segurança contra pedidos falsificados. Não usamos cookies de publicidade nem de análise. Ao entrar com Apple ou Google, você passa pela página deles, que segue a política de cookies de cada um.

13. Mudanças nesta política

A data da versão fica no topo. Mudanças relevantes são avisadas no app ou por e-mail com [15 dias] de antecedência. Se a mudança afetar o tratamento da reflexão (uma nova finalidade, um novo provedor de IA, outro país), avisamos antes e, quando a lei pedir, pedimos o seu consentimento de novo, com a opção de retirá-lo. Versões anteriores ficam disponíveis a pedido.

14. Contato

Encarregado (DPO): [NOME DO ENCARREGADO] — [E-MAIL DO ENCARREGADO]
Suporte: contato@asentrelinhas.com.br
Endereço: [RAZÃO SOCIAL], [ENDEREÇO]
ANPD: gov.br/anpd