Política de privacidade

1. Quem é quem

A igreja é a controladora dos dados: é ela que decide cadastrar uma pessoa, registrar uma contribuição ou escrever uma anotação pastoral. A Dupply, que desenvolve e opera o Congregar, é a operadora: trata os dados seguindo as instruções da igreja.

Na prática isso significa que um pedido de correção ou exclusão começa na sua igreja. Se ela não responder, ou se você preferir falar direto com quem opera o sistema, escreva para privacidade@dupply.com.br.

2. O que é guardado

Depende do que a sua igreja usa. O sistema é capaz de guardar:

Dados sensíveis

Estar no cadastro de uma igreja diz qual é a sua religião, e a lei brasileira trata isso como dado sensível. O mesmo vale para a ficha de saúde. Por isso esses dados ficam em tabelas próprias, com permissões próprias, e não aparecem para quem tem acesso ao resto do cadastro.

Dados de criança

A ficha de saúde de uma criança só é guardada com a autorização do responsável, registrada com data e versão deste texto. Sem essa autorização, o sistema recusa a gravação — não é uma configuração que alguém possa desligar.

O check-in do ministério infantil registra entrada, saída e quem retirou a criança. É exatamente o que uma folha de papel no corredor faria, com a diferença de que aqui fica registrado quem entregou e quem levou.

3. Quem consegue ler

Acesso no Congregar é por permissão, não por cargo genérico. Quem cuida da tesouraria não lê aconselhamento; quem cuida do infantil lê a ficha de saúde das crianças que estão na sala naquele momento, e não do rol inteiro.

Os dados de cada igreja ficam isolados no banco por uma regra do próprio banco de dados, não por um filtro que alguém possa esquecer de escrever. Uma igreja nunca alcança o dado de outra.

A equipe da Dupply acessa dados de igreja apenas quando necessário para suporte ou para corrigir uma falha, e esses acessos ficam registrados.

4. O que você autoriza separadamente

Algumas coisas não acontecem sem um sim específico seu, e cada uma pode ser desligada depois sem afetar as outras:

• Avisos no celular. Só depois de você ligar no aplicativo e autorizar no aparelho. Desligar para de enviar na hora.
• Mostrar seu aniversário para os outros membros. Nasce desligado.
• Aparecer no diretório da sua unidade, e com qual contato. Nasce desligado, e você escolhe se mostra telefone, e-mail ou só o nome.
• Ficha de saúde de criança, autorizada pelo responsável.
• Mensagens no WhatsApp da igreja, se ela usar esse canal.

Quando você retira uma autorização, o registro dela não é apagado: fica marcado como revogado, com a data. Apagar destruiria a prova de que houve autorização no período em que o dado foi usado — que é justamente o que precisa ficar guardado.

5. Com quem os dados são compartilhados

Só com serviços necessários para o sistema funcionar, e só o necessário para cada um deles:

• Envio de e-mail (Resend) — mensagens do sistema, como convite e recuperação de senha.
• Notificação no celular — o serviço de push do próprio navegador ou sistema do aparelho (Google, Apple, Mozilla).
• Assistente com inteligência artificial (Anthropic) — quando alguém da equipe faz uma pergunta ao assistente, os dados necessários para responder são enviados ao provedor do modelo. Igreja que não usa o assistente não envia nada.
• Leitura de extrato bancário (Open Finance) — apenas se a igreja conectar a conta, e apenas em modo leitura. O Congregar não movimenta dinheiro.
• Agenda do Google — só para o usuário que conectar a própria agenda, e só enquanto ele mantiver a conexão.
• Cobrança da assinatura — os dados de quem contrata o sistema são tratados pela Dupply. Dados de membros nunca vão para a cobrança.

Contribuição por Pix acontece fora do Congregar: o aplicativo mostra a chave da igreja e você paga pelo aplicativo do seu banco. Nenhum dado de pagamento passa por aqui.

6. Por quanto tempo

Enquanto a igreja for cliente, os dados ficam disponíveis para ela. Quando o contrato termina:

• 30 dias depois, a igreja é avisada e recebe um link para baixar uma cópia de tudo.
• 90 dias depois, os dados e os arquivos são eliminados — banco e armazenamento.

Dentro do sistema, apagar uma pessoa é decisão da igreja. Algumas coisas não são apagadas de propósito: o histórico de contribuição alimenta a prestação de contas, que tem prazo legal de guarda próprio.

7. Seus direitos

Você pode pedir, a qualquer momento:

• saber quais dados seus a igreja tem;
• corrigir o que está errado — boa parte você mesmo corrige no aplicativo;
• uma cópia dos seus dados;
• a exclusão do que não for obrigatório guardar;
• retirar qualquer autorização que tenha dado.

Comece pela sua igreja, que é quem decide sobre o cadastro. Se precisar, escreva para privacidade@dupply.com.br.

8. Segurança

Senhas são guardadas de forma irreversível — nem quem opera o sistema consegue lê-las. Chaves de integração são cifradas. O acesso entre igrejas é isolado no banco de dados. Arquivos enviados só abrem por rotas autenticadas do próprio produto, e o acesso é conferido a cada abertura: quem sai da equipe ou do grupo perde o arquivo junto.

Nenhum sistema é imune a incidente. Se acontecer algo que possa afetar você, a igreja e a autoridade competente são comunicadas, como a lei determina.

9. Mudanças neste texto

Este documento tem versão. Quando ele mudar de um jeito que altere o que você está autorizando, a versão sobe — e quem aceitou a anterior não conta como tendo aceitado a nova. Você será perguntado de novo.