SP Invisível

Política de Privacidade

Aplicativo Invisible Movement (app.spinvisivel.org, iOS e Android)
Última atualização: 3 de setembro de 2026 — vigente a partir desta data.
Esta versão substitui integralmente as anteriores (junho e agosto de 2026).
Correção de 3 de setembro de 2026: a geração de figurinhas por inteligência artificial foi descontinuada em 31 de julho de 2026 — o app não envia mais nenhuma foto sua para serviço de IA. Detalhamos também o terceiro uso da câmera (o QR code do check-in). Nenhuma coleta nova foi acrescentada nesta correção.

1. O essencial, em um minuto

• Quem cuida dos seus dados aqui é o Instituto SP Invisível, uma organização da sociedade civil sediada em São Paulo/SP.
• Coletamos o que precisamos para você participar de ações, entrar em eventos, doar e acompanhar o seu impacto. Nada além disso.
• Não vendemos seus dados. Nunca, para ninguém. E não usamos seus dados para publicidade de terceiros.
• Valores de doação são privados. Você vê os seus. Ninguém mais vê.
• Você pode apagar sua conta dentro do app, a qualquer momento, sem pedir autorização a ninguém.
• O app é só para maiores de 18 anos.
• Dúvida, reclamação ou pedido: oi@spinvisivel.org. A gente responde.

Este resumo não substitui o texto completo abaixo — ele existe para você entender o principal sem precisar ler tudo.

2. Quem é o responsável pelos seus dados

Instituto SP Invisível — associação sem fins lucrativos, inscrita no CNPJ sob o nº 37.499.064/0001-99, com sede em São Paulo/SP, Brasil.

Somos o que a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 — LGPD) chama de controlador: quem decide quais dados são coletados, para quê e por quanto tempo. Nesta política, "nós", "SPi" e "SP Invisível" significam a mesma coisa. "Você" é a pessoa que usa o app. (Quando o app é usado por uma organização parceira da plataforma Invisible, os papéis mudam — veja a seção 8.)

Encarregado pelo Tratamento de Dados Pessoais (DPO — art. 41 da LGPD):
E-mail: oi@spinvisivel.org · Assunto sugerido: "Dados pessoais — [seu pedido]".
Esse mesmo canal atende titulares de dados, autoridades e a ANPD (Autoridade Nacional de Proteção de Dados).

3. Idade mínima: 18 anos

O Invisible Movement é exclusivo para pessoas maiores de 18 anos. Não coletamos intencionalmente dados de crianças e adolescentes e não oferecemos cadastro para menores de 18.

Se identificarmos uma conta de menor de 18 anos, ela será encerrada e os dados eliminados, salvo o que a lei nos obrigue a guardar. Se você é responsável e acredita que um menor criou conta aqui, escreva para oi@spinvisivel.org — resolvemos rápido.

4. Para quem esta política vale — as "lentes" do app

O Invisible Movement é um app só, mas cada pessoa enxerga uma parte dele. Chamamos isso de lentes. Esta política vale para todas, e o que tratamos muda conforme o seu papel:

Uma mesma pessoa pode ter mais de uma lente (por exemplo, ser voluntária e doadora).

5. Quais dados coletamos

5.1 Quando você cria a conta e entra

• Nome e e-mail.
• Foto de perfil, se você tiver uma no Google ou na Apple.
• Senha, apenas se você escolher entrar por e-mail e senha. A senha é gerenciada de forma criptografada pelo Firebase Authentication (Google) — nós não temos acesso à sua senha.
• Se você entra com a Apple e escolhe "Ocultar meu e-mail", recebemos apenas o endereço de encaminhamento privado (relay) da Apple, não o seu e-mail real. O app funciona normalmente assim.
• Registramos qual versão dos Termos e desta Política valia quando você criou a conta, e quando — é a prova do seu aceite.

5.2 No seu perfil

• Telefone / WhatsApp
• CPF
• Data de nascimento
• Endereço (usamos o serviço ViaCEP para preencher rua, bairro e cidade a partir do CEP) e cidade

Esses campos existem porque muitas ações exigem lista nominal de participantes, controle de acesso a locais, contato de logística e, em alguns casos, emissão de recibo ou certificado. Eles ficam guardados em área separada e restrita do banco de dados, apartada dos dados públicos da comunidade. Só o Time SPI vê esses dados.

5.3 Sua participação

• Inscrições em ações e eventos, e ingressos emitidos.
• Check-in de presença carimbado: registramos quem confirmou sua presença e em que momento. Isso é auditoria — protege você (sua presença fica comprovada) e a organização.
• Pontos, conquistas e posição no ranking.
• Figurinha do álbum — função descontinuada em 31 de julho de 2026. O app não gera mais figurinhas e não envia nenhuma foto sua para serviço de inteligência artificial. As figurinhas criadas antes dessa data seguem guardadas na sua conta e são eliminadas quando você apaga a conta.
• Data do último acesso.

5.4 Cartões de compartilhamento (fotos com outros voluntários)

Quando você tem presença confirmada numa ação, o app monta um cartão-resumo daquela participação, que qualquer participante presente pode baixar e compartilhar fora do app (por exemplo, no Instagram). Esse cartão pode incluir a foto de perfil de outros voluntários presentes na mesma ação — sem nome, só a imagem — ao lado dos números da ação.

Isso se apoia no legítimo interesse de celebrar o trabalho voluntário coletivo, com o menor dado possível. Se você preferir que sua foto não entre nos cartões de outras pessoas, desative a qualquer momento em Perfil → Privacidade ("Não me incluir nos cartões de compartilhamento"). A escolha vale para os próximos cartões; não é possível recolher cartões que alguém já tenha baixado ou publicado antes dela.

5.5 O que você publica

• Depoimentos e testemunhos (texto e foto) — enviados com o seu aceite explícito na tela de envio
• Histórias e avaliações de ação enviadas por você
• Fotos de ação enviadas para a galeria (que passa por moderação)
• Denúncias que você faz de conteúdo ou de outro usuário, e bloqueios que você aplica

As fotos que você envia são reprocessadas antes de subir: os metadados do arquivo (como a localização GPS embutida pela câmera) são removidos.

5.6 Doações

• Quem doa é identificado pelo e-mail.
• Os dados de doação (valores, datas, forma de pagamento, situação da cobrança) vêm da Trackmob, a plataforma que processa nossa captação, e ficam guardados também pelo SP Invisível, para prestação de contas e para montar a sua ficha.
• A "lente do doador" mostra a você e só a você o seu próprio histórico.
• Valores individuais nunca são públicos. Não aparecem em ranking, em mural, em post nem para outros usuários. Você nunca vê o valor de outra pessoa, e ninguém vê o seu.

5.7 Pagamentos dentro do app (ingressos, doações avulsas e planos)

• Pagamentos com cartão de crédito e Apple Pay são processados pela Stripe. Pagamentos por Pix são processados pelo Mercado Pago.
• Nós não recebemos nem armazenamos o número do seu cartão, o CVV ou a validade. Esses dados vão direto para o ambiente do provedor de pagamento. Recebemos de volta apenas a confirmação (pago / não pago), o valor, a data, os últimos dígitos e um identificador da transação.

5.8 Nota Fiscal Paulista e uso da câmera

• O app pede acesso à câmera para três usos: (a) ler o QR code da Nota Fiscal Paulista, quando você decide doar o crédito; (b) ler o QR code do check-in, para confirmar a sua presença na ação; e (c) tirar ou enviar fotos no seu perfil, em depoimentos e nas galerias de ação.
• A câmera só é acionada quando você abre essas telas. Não há captura em segundo plano.
• Na leitura da nota, processamos e guardamos apenas os dados do QR code (como a chave de acesso da nota) necessários para registrar a doação do crédito e atribuir a pontuação. Não guardamos imagem da nota e não temos acesso à lista do que você comprou.
• Você pode revogar a permissão de câmera a qualquer momento nos ajustes do seu aparelho — as demais funções continuam funcionando.

5.9 Empresas parceiras

• Se você é colaborador de uma empresa parceira, o vínculo é reconhecido pelo domínio do seu e-mail corporativo (ex.: @suaempresa.com.br).
• A empresa vê participação agregada (quantas pessoas, quantas ações, quantas horas) e os certificados dos seus próprios colaboradores.
• A empresa não vê seu CPF, seu endereço, seu telefone, seu histórico de doações nem o conteúdo dos seus depoimentos.

5.10 Dados técnicos e de uso

• Identificador do dispositivo, tipo de aparelho e versão do app, para diagnóstico de erro e segurança. Se você ativar notificações, guardamos o token de push do seu aparelho.
• Métricas de uso anônimas e agregadas (Firebase Analytics e Google Analytics 4), apenas na versão web — servem para saber quais telas funcionam, não para identificar você.
• Hotjar (mapas de calor e gravação de sessão) — apenas na versão web, e somente se você consentir (ver seção 10). No aplicativo instalado, iOS e Android, o Hotjar nunca é usado.

5.11 O que NÃO fazemos

• Não vendemos, alugamos nem trocamos dados pessoais.
• Não usamos seus dados para publicidade comportamental de terceiros.
• Não fazemos rastreamento entre apps e sites de terceiros. Por isso o app nativo não pede autorização de rastreamento (ATT) — não rastreamos.
• Não pedimos dados sensíveis (saúde, religião, orientação sexual, opinião política, origem racial). Não envie esse tipo de informação em campos abertos, depoimentos ou fotos. Se você enviar espontaneamente, trataremos apenas para exibir e moderar aquele conteúdo, e você pode removê-lo a qualquer momento.

6. Para que usamos cada dado — e com que base legal

A LGPD exige uma base legal para cada finalidade. Não é tudo "consentimento", e seria desonesto dizer que é. Abaixo, finalidade por finalidade.

Sobre o CPF: ele é solicitado para identificação inequívoca, emissão de recibo de doação, certificados e listas nominais exigidas por parceiros e locais. Fica em área restrita do banco, visível apenas ao Time SPI.

Sobre legítimo interesse: sempre que usamos essa base, avaliamos se a finalidade é legítima, se o tratamento é necessário e se os seus direitos e liberdades prevalecem. Você pode se opor a qualquer tratamento baseado em legítimo interesse (art. 18, §2º) escrevendo para oi@spinvisivel.org.

Sobre consentimento: onde usamos consentimento, ele é livre, informado e inequívoco — pedido em ação afirmativa sua, nunca em caixa pré-marcada — e pode ser revogado a qualquer momento, de forma gratuita. A revogação não desfaz o que foi feito de forma lícita antes dela.

7. Com quem compartilhamos

Não vendemos, não alugamos e não trocamos seus dados. Compartilhamos apenas com quem precisa fazer o app funcionar — são nossos operadores, que só podem usar os dados conforme a nossa instrução e a finalidade contratada.

Com todos exigimos, contratualmente ou pelos termos do serviço, medidas de segurança compatíveis e tratamento limitado à finalidade contratada.

Stripe, Mercado Pago e Trackmob atuam, em parte das operações de pagamento e doação, como controladores independentes dos dados que coletam diretamente de você em seus próprios ambientes — nesses casos valem também as políticas de privacidade deles.

Também podemos compartilhar dados:

• com líderes de ação: nome, contato operacional e presença dos inscritos da ação que eles lideram, para conduzir a atividade com segurança;
• com empresas parceiras, no formato descrito no item 5.9;
• com ONGs parceiras, apenas o mínimo necessário para a realização conjunta de uma ação em que você se inscreveu;
• com advogados, contadores e auditores, sob dever de sigilo, quando necessário;
• com autoridades públicas, quando houver obrigação legal, ordem judicial ou requisição de autoridade competente;
• em caso de reorganização institucional do SP Invisível, mantidas as condições desta política.

8. Quando uma organização usa a plataforma Invisible

A tecnologia deste app também é oferecida como plataforma (Invisible) para outras organizações da sociedade civil. Quando você interage com uma ONG cliente da plataforma — se inscreve nas ações dela, doa para ela ou participa da comunidade dela —, os papéis da LGPD mudam:

• a organização é a controladora dos dados dos seus voluntários, doadores e apoiadores — é ela quem decide finalidades e responde por eles;
• o Instituto SP Invisível (Invisible) é o operador: trata esses dados em nome da organização, conforme contrato com cláusulas de proteção de dados;
• para os dados cadastrais da própria organização e para as métricas de uso da plataforma, o Invisible é o controlador.

Como operador, o Invisible pode usar suboperadores de infraestrutura e pagamento — atualmente Google Firebase, Google Cloud (IA), Stripe, Mercado Pago, Apple e Google — sempre com obrigações de proteção de dados de nível ao menos equivalente.

Registros de pessoas atendidas (acompanhamento social): organizações podem manter, em área própria e fechada da plataforma, registros de acompanhamento das pessoas que atendem. Esses registros pertencem à organização (controladora), ficam separados do app público e são acessíveis apenas à equipe autorizada dela. As ferramentas internas de inteligência artificial da plataforma trabalham sobre a estrutura desses registros (rótulos, tipos de campo e consultas) — o conteúdo do registro individual de uma pessoa atendida não é enviado à IA.

9. Transferência internacional de dados

Parte da nossa infraestrutura fica fora do Brasil — principalmente nos Estados Unidos (Google/Firebase, Stripe, Apple, Meta) e, no caso do Hotjar, também na União Europeia.

Isso significa que seus dados podem ser armazenados e processados no exterior. É uma transferência internacional de dados, prevista no Capítulo V da LGPD (arts. 33 a 36). Ela se apoia em:

• cláusulas contratuais padrão e compromissos de proteção de dados firmados com cada fornecedor, com garantias compatíveis com a LGPD (art. 33, II);
• necessidade para a execução do contrato do qual você é parte (art. 33, VI), nos casos de login, hospedagem e pagamento;
• seu consentimento específico e destacado (art. 33, VIII), no caso do Hotjar.

Se quiser detalhes sobre as salvaguardas de um fornecedor específico, escreva para oi@spinvisivel.org.

10. Cookies e tecnologias semelhantes (versão web)

Na versão web (app.spinvisivel.org) usamos:

• Essenciais — mantêm você logado, guardam preferências básicas e protegem contra abuso. Sem eles o app não funciona, por isso não dependem de consentimento (art. 7º, V e IX).
• Analíticos — Firebase Analytics e Google Analytics 4, de forma agregada e anônima, para entender quais telas ajudam e quais atrapalham.
• Hotjar (mapas de calor e gravação de sessão) — registram cliques, movimento de cursor e navegação, para descobrir onde as pessoas travam. Só são ativados depois que você aceita explicitamente no aviso exibido na primeira visita. Se você recusar, o Hotjar não é carregado — e recusar não tira nenhuma função do app. Campos sensíveis são mascarados nas gravações.

Você pode mudar sua escolha a qualquer momento pelo mesmo aviso de cookies ou escrevendo para oi@spinvisivel.org. Também é possível bloquear cookies pelo navegador — nesse caso, parte das funções pode deixar de funcionar.

No aplicativo instalado (iOS e Android) não há Hotjar, gravação de sessão, mapa de calor, publicidade nem rastreamento entre apps e sites de terceiros.

11. Por quanto tempo guardamos

Guardamos cada dado pelo tempo necessário à finalidade que o justificou — e não além, salvo obrigação legal.

Vencidos os prazos, os dados são eliminados ou anonimizados de forma irreversível. Números de impacto já publicados (por exemplo, "500 voluntários em 2026") continuam existindo em forma agregada, porque não identificam ninguém.

12. Como protegemos seus dados

• Regras de acesso no banco de dados: cada pessoa só enxerga o que lhe diz respeito. Dados sensíveis e administrativos são visíveis apenas ao Time SPI, conforme a função de cada pessoa.
• Separação por área: CPF, telefone e nascimento ficam em coleção separada e restrita, apartada do app público; dados de doação também.
• Criptografia em trânsito (HTTPS/TLS) e criptografia em repouso na infraestrutura dos nossos provedores.
• Senhas não são armazenadas por nós — a autenticação é delegada ao Google/Apple/Firebase.
• Dados de cartão não passam por nós — vão direto para o provedor de pagamento.
• Backup diário da base.
• Trilha de auditoria em ações sensíveis (quem confirmou uma presença, quem editou um evento).
• Acesso administrativo restrito e revisado.

Nenhum sistema é 100% invulnerável, e seria mentira dizer o contrário. Mas tratamos segurança como parte do respeito às pessoas que confiam na gente. Se você suspeitar de acesso indevido à sua conta, troque a senha e avise oi@spinvisivel.org imediatamente.

13. Se acontecer um incidente de segurança

Se ocorrer um incidente que possa acarretar risco ou dano relevante a você, nós:

• Contemos e investigamos o incidente;
• Comunicamos a ANPD e você, em prazo razoável, conforme o art. 48 da LGPD e a regulamentação da ANPD, informando a natureza dos dados afetados, os titulares envolvidos, as medidas adotadas, os riscos e o que fizemos para reverter ou mitigar os efeitos;
• Dizemos o que você pode fazer para se proteger.

Não vamos esconder nem minimizar. Mantemos registro interno de todos os incidentes, inclusive dos que não exigem comunicação. Se você suspeitar de um problema de segurança, avise em oi@spinvisivel.org.

14. Seus direitos (art. 18 da LGPD) e como exercer

Você pode, a qualquer momento e gratuitamente:

• Confirmar se tratamos dados seus e acessar seus dados;
• Corrigir dados incompletos, inexatos ou desatualizados;
• Pedir anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• Pedir a portabilidade dos seus dados, mediante requisição expressa e conforme a regulamentação da ANPD;
• Pedir a eliminação dos dados tratados com base no seu consentimento, respeitadas as hipóteses de guarda obrigatória (seção 11);
• Saber com quem compartilhamos seus dados (seções 7 e 8);
• Ser informado sobre a possibilidade de não consentir e sobre as consequências disso;
• Revogar o consentimento a qualquer momento;
• Se opor a tratamentos feitos com base em legítimo interesse (art. 18, §2º);
• Pedir revisão de decisões automatizadas que afetem seus interesses (art. 20). Hoje não tomamos decisões exclusivamente automatizadas com efeitos jurídicos sobre você — pontos e ranking são cálculos de engajamento, sem efeito jurídico;
• Peticionar perante a ANPD (art. 18, §1º) — gov.br/anpd.

Como exercer, na prática

• Direto no app: editar seu perfil (correção), escolher não aparecer nos cartões de compartilhamento (Perfil → Privacidade), apagar depoimentos que você enviou, bloquear ou denunciar usuários e conteúdo, e apagar sua conta.
• Por e-mail: oi@spinvisivel.org, com o assunto "Direitos LGPD". Vale para qualquer direito, incluindo acesso completo, portabilidade, oposição e ajuste das preferências de comunicação por canal (WhatsApp, e-mail, SMS, ligação, carta).

Prazo: respondemos em até 15 dias. Podemos pedir uma confirmação de identidade antes de liberar dados — é proteção sua, contra alguém se passar por você. Se você não ficar satisfeito com a nossa resposta, pode reclamar à ANPD — gov.br/anpd.

15. Apagar sua conta

Dentro do app, em Perfil → Apagar minha conta. Funciona de verdade, está disponível para qualquer usuário e não depende de aprovação de ninguém.

Ao apagar:

• seu login é excluído e seus dados de identificação (nome, e-mail, CPF, telefone, nascimento, endereço e foto de perfil) são removidos imediatamente do seu cadastro;
• seu nome sai dos rankings e da comunidade;
• conteúdos publicados e demais registros vinculados são removidos ou anonimizados em até 30 dias;
• permanecem apenas os registros que a lei nos obriga a guardar (principalmente registros fiscais de doação e logs de acesso — seção 11), mantidos em área restrita e sem uso para qualquer outra finalidade, além de estatísticas agregadas e anonimizadas, que não identificam você.

A ação é definitiva: não conseguimos restaurar a conta depois.

16. Comunicações: como escolher e como parar

Você controla os canais de relacionamento e campanha: WhatsApp, e-mail, SMS, ligação e carta. Para mudar ou parar: responda "SAIR" na mensagem, clique em "descadastrar" no e-mail, ou escreva para oi@spinvisivel.org dizendo quais canais quer (ou não quer). Registramos e respeitamos a escolha por canal.

Continuam chegando os avisos operacionais essenciais — confirmação de inscrição, mudança de horário, cancelamento de ação, recibo de pagamento. Eles não são publicidade: são sobre algo que você pediu.

17. Mudanças nesta política

Podemos atualizar este texto quando o app mudar, quando trocarmos de fornecedor ou quando a lei mudar. A data no topo sempre indica a versão vigente.

Quando a mudança for relevante — novo tipo de dado, nova finalidade, nova base legal, novo parceiro relevante — avisaremos com destaque no app e/ou por e-mail antes de ela valer. Quando o tratamento depender de consentimento, pediremos um novo consentimento. Versões anteriores podem ser solicitadas por e-mail.

18. Lei aplicável

Esta política é regida pela lei brasileira, em especial a LGPD (Lei nº 13.709/2018) e o Marco Civil da Internet (Lei nº 12.965/2014).

19. Fale com a gente

Instituto SP Invisível — Encarregado pelo Tratamento de Dados Pessoais (DPO)
CNPJ 37.499.064/0001-99 · São Paulo/SP, Brasil
oi@spinvisivel.org

Pode escrever em português simples. Não precisa de linguagem jurídica, não precisa citar artigo. Diga o que você quer e nós resolvemos.

SP Invisível — Invisible Movement. Documento vigente desde 1º de setembro de 2026.