Política de Privacidade

Esta Política de Privacidade descreve como a plataforma GeDOA, de titularidade de RAS Tecnologia e Serviços, CNPJ 33.813.709/0001-65, com sede na Alameda Salvador, 1057, Salvador Shopping Business, Salvador/BA, coleta, utiliza, compartilha, armazena e protege dados pessoais, em conformidade com a Lei nº 13.709/2018 (LGPD), com o Marco Civil da Internet (Lei nº 12.965/2014) e com as demais normas aplicáveis.

Ela se aplica ao uso da plataforma em app.gedoa.com.br, ao aplicativo instalável (PWA), às páginas públicas de captação de doadores e às comunicações enviadas pela plataforma. O uso do GeDOA está sujeito também aos Termos de Uso.

O GeDOA é utilizado por instituições beneficentes para gerir doações recorrentes realizadas por meio da fatura de energia elétrica. Por isso, os papéis definidos pela LGPD variam conforme a categoria de dado:

• Dados de doadores: a instituição que cadastra ou capta o doador é a controladora. Ela decide as finalidades do tratamento e responde pela base legal, em especial pela autorização do débito na fatura. A GeDOA atua como operadora, tratando esses dados exclusivamente em nome da instituição e conforme suas instruções.
• Dados de usuários da plataforma e registros de acesso: a GeDOA é a controladora, pois define como esses dados são tratados para operar, proteger e melhorar o serviço.

Se você é doador e deseja exercer direitos sobre seus dados, o canal principal é a instituição para a qual você doa. A GeDOA apoia as instituições no atendimento dessas solicitações e também recebe pedidos pelo canal indicado na seção 12.

3.1. Dados de usuários da plataforma (colaboradores das instituições):

3.2. Dados de doadores (tratados em nome das instituições):

3.3. Dados de navegação: cookies estritamente necessários de autenticação e sessão, preferência de tema e token da verificação anti-robô. Não utilizamos cookies de publicidade nem realizamos rastreamento para fins de marketing. Métricas de uso, quando coletadas, são agregadas e não identificam o visitante.

Quando o tratamento se basear em consentimento, o titular pode revogá-lo a qualquer momento, pelos canais da seção 12, sem prejuízo da licitude do tratamento realizado até a revogação. A revogação do consentimento do doador implica o cancelamento da doação recorrente nas remessas seguintes.

O GeDOA não vende dados pessoais. O compartilhamento ocorre apenas nas hipóteses abaixo:

• Distribuidora de energia (grupo Neoenergia): recebe, por arquivos de remessa, os dados necessários à efetivação do débito da doação na fatura (identificação da conta contrato e valor), e devolve o resultado do processamento.
• A própria instituição controladora: os dados dos doadores são acessíveis aos usuários autorizados da instituição responsável, nunca a outras instituições da plataforma.
• Suboperadores de infraestrutura: provedores listados na seção 6, contratados para hospedagem, banco de dados, envio de e-mails e mensagens, proteção anti-robô e execução de tarefas em segundo plano.
• Provedor de identidade (Google): quando o usuário escolhe entrar com sua conta Google, a autenticação é feita pelo Google, que informa à GeDOA apenas a identificação básica da conta (identificador, nome e e-mail). A GeDOA não recebe a senha do Google nem acessa outros dados daquela conta.
• Autoridades públicas: quando exigido por lei, regulação ou ordem de autoridade competente.

Os dados da plataforma são armazenados primariamente no Brasil. Alguns suboperadores, contudo, processam dados em outros países, hipótese em que a transferência é amparada pelo art. 33 da LGPD, mediante cláusulas contratuais e padrões de proteção adequados dos próprios provedores. A tabela abaixo relaciona os principais suboperadores da plataforma. Serviços auxiliares de menor alcance, como o encaminhamento dos e-mails recebidos nos endereços de contato, também observam os mesmos critérios de seleção e proteção:

Quando a instituição habilita notificações por WhatsApp, ou quando o usuário solicita um código de recuperação de senha por esse canal, as mensagens são entregues por meio da plataforma WhatsApp, operada pela Meta, sujeita aos termos e às políticas de privacidade próprios daquele serviço. O envio depende de o usuário manter um telefone válido e sob seu controle no cadastro.

Adotamos medidas técnicas e administrativas compatíveis com o padrão de mercado, entre elas:

• criptografia dos dados em trânsito (TLS) e em repouso;
• isolamento lógico dos dados por instituição, aplicado na camada do banco de dados, de modo que uma instituição não acessa dados de outra;
• controle de acesso por perfis e permissões granulares por módulo e ação;
• senhas armazenadas com criptografia irreversível, política de senha forte e bloqueio de senhas conhecidamente vazadas;
• verificação em duas etapas por aplicativo autenticador, disponível a todos os usuários e de ativação obrigatória a critério da instituição, com códigos de recuperação de uso único armazenados com criptografia irreversível;
• exigência da senha atual para alteração de senha, e códigos temporários de recuperação com validade curta e número limitado de tentativas;
• limitação automática de tentativas repetidas de acesso, de recuperação de senha e de verificação em duas etapas, por conta e por endereço IP;
• registro em trilha de auditoria das ações sensíveis de gestão de contas, como a redefinição da verificação em duas etapas por gestores e as alterações na política de segurança da instituição;
• trilha de auditoria das alterações em cadastros de doadores, com autor, data e conteúdo modificado;
• verificação anti-robô nas páginas de acesso e de captação pública;
• armazenamento de fichas, assinaturas e documentos em repositório privado, com acesso controlado por instituição.

A eficácia dessas medidas depende também da conduta de cada usuário. Credenciais, aplicativo autenticador, códigos de recuperação e dispositivos de acesso são de guarda exclusiva do usuário. A GeDOA não tem acesso ao segredo do autenticador nem aos códigos de recuperação depois de exibidos e não responde por acessos realizados por quem detenha o controle do e-mail, do telefone, do dispositivo ou das credenciais do usuário.

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a GeDOA comunicará o fato às instituições afetadas, aos titulares quando cabível e à Autoridade Nacional de Proteção de Dados, nos termos do art. 48 da LGPD.

Nos termos do art. 18 da LGPD, o titular de dados pode solicitar:

• confirmação da existência de tratamento e acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• portabilidade dos dados a outro fornecedor de serviço, observados os segredos comercial e industrial;
• eliminação dos dados tratados com consentimento, ressalvadas as hipóteses legais de guarda;
• informação sobre compartilhamentos realizados e sobre a possibilidade de não fornecer consentimento;
• revogação do consentimento.

Doadores devem direcionar as solicitações preferencialmente à instituição para a qual doam, que é a controladora dos seus dados. Usuários da plataforma e demais titulares podem contatar diretamente o canal da seção 12. As solicitações são respondidas em prazo razoável e compatível com a LGPD, com verificação de identidade do solicitante.

O titular também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD), nos canais oficiais disponíveis em gov.br/anpd.

Utilizamos exclusivamente cookies e armazenamento local estritamente necessários: manutenção da sessão autenticada, segurança contra uso indevido, preferência de tema e funcionamento do aplicativo instalável. Por serem essenciais, não dependem de consentimento e não podem ser desativados sem comprometer o funcionamento da plataforma. Não há cookies de publicidade ou de rastreamento entre sites.

A plataforma e as páginas de captação são destinadas a maiores de 18 anos, uma vez que a doação recorrente pressupõe a titularidade de conta contrato de energia elétrica. Não coletamos intencionalmente dados de crianças ou adolescentes. Caso um cadastro nessa condição seja identificado, ele será eliminado.

A RAS Tecnologia e Serviços mantém canal dedicado para assuntos de privacidade e proteção de dados, incluindo o exercício de direitos dos titulares e comunicações com a ANPD:

• E-mail do encarregado: privacidade@gedoa.com.br
• Suporte geral: suporte@gedoa.com.br

Esta Política pode ser atualizada para refletir mudanças na plataforma, na legislação ou nas práticas de tratamento. A versão vigente, com número e data, permanece publicada nesta página. Alterações relevantes serão comunicadas pelos canais da plataforma. Recomendamos a revisão periódica deste documento.