LGPD e exportação de dados

A IGREJA é a controladora dos dados dos membros; o Zelo Church é o operador — trata os dados só para prestar o serviço.

Há um acordo de tratamento de dados (o DPA, na sigla em inglês) para a igreja assinar: peça à equipe Zelo em Ajuda e suporte.

Notas pastorais com visibilidade por papel: o líder não vê a nota que é só dos pastores, e a nota 'Sensível' é só do pastorado.

Em Visitantes e acolhimento, o telefone só é guardado com a autorização da pessoa, e o Zelo registra quando e como ela autorizou.

Dados de crianças ficam restritos ao ministério Kids e ao pastorado; o Kids não usa foto.

Cada igreja só enxerga os próprios dados: essa separação é garantida no banco e testada automaticamente.

Reconhecimento facial (Zelo Cam) só com autorização assinada (a de menor de idade, pelo responsável), e a foto do rosto nunca sai do computador da igreja (veja o guia do Zelo Cam).

A cópia completa é um arquivo .zip com uma planilha para cada parte do Zelo Church: membros e jornada, células, ministérios e escalas, Louvor, pregações, finanças (com o histórico de cada lançamento), campanhas e finalidades, missões, eventos, agenda, comunicados (com quem deu Ciente nos avisos Importantes; menor de idade conta sem identificação), Kids (salas, presenças, ocorrências), delegações, as sessões de aconselhamento (só data e quem) e o Zelo Cam (vínculos, autorizações, cultos, presenças e ausências). As fotos guardadas vão numa pasta.

Junto vai um LEIA-ME.txt com quantas linhas tem cada planilha e o que ficou de fora de propósito: o conteúdo do aconselhamento (cifrado, só de quem conduziu a conversa), o rosto do Zelo Cam (fica só no computador da igreja) e senhas, códigos e links de acesso.

Quem baixa é só o titular da conta, a qualquer momento: Configurações › Assinatura › 'Baixar todos os dados (.zip)'. O arquivo é feito na hora e vem por um link que vale uma vez só e por 5 minutos; fica registrado quem baixou e quando. Com o painel pausado (teste acabou, assinatura cancelada ou pagamento atrasado), o botão continua lá.

Depois de cancelar, os dados ficam guardados por 30 dias, contados do fim do período já pago, para a igreja baixar a cópia. O titular recebe um e-mail 7 dias antes e outro no dia; depois disso, são apagados de vez (as cópias de segurança expiram em até 30 dias).

O membro pede a exclusão dos dados dele à igreja, que é a controladora (pelo app, em Eu › 'Pedir à igreja para apagar meu cadastro' ou ao excluir a conta, ou falando com a igreja). O prazo é de 15 dias a partir do pedido; a equipe Zelo acompanha o prazo de todos os pedidos feitos pelo app.

Quem atende é o titular: em Pessoas › Pedidos do app (ou na ficha, no ⋯ › 'Anonimizar (LGPD)'). Anonimizar tira os dados pessoais da ficha — o nome vira 'Pessoa removida' — e guarda, sem o nome, o que a igreja precisa manter: contribuições e recibos (o valor não muda), presenças, check-ins do Kids e as escalas que já passaram. Não dá para desfazer.

Os avisos que chegaram no app ficam 12 meses na caixa de cada pessoa; depois saem (a contagem de lidos de cada aviso continua). As cópias de segurança expiram em até 30 dias.

Fotos do rosto e presenças do Zelo Cam: na ficha do membro, 'Pedido de exclusão' apaga na hora no Zelo Church. A ficha mostra 'esperando o computador da igreja confirmar' até o Zelo apagar lá também; quando ele confirma, chega um aviso no sino.