Política de Privacidade — Zelo Church

Última atualização: 7 de novembro de 2026

Esta política explica quais dados o Zelo Church trata, para quê, com quem os divide e quais são os seus direitos. Ela é escrita em linguagem simples, de propósito, a partir do que o sistema faz hoje.

1. Quem é quem (LGPD)

A igreja contratante é a CONTROLADORA dos dados pessoais dos seus membros, visitantes e crianças: é ela quem decide quais dados registrar e para quê.
O Zelo Church é o OPERADOR: trata esses dados exclusivamente conforme as instruções da igreja e para prestar o serviço contratado.
Os dados da conta de quem usa o painel (nome, e-mail e senha) e da cobrança da assinatura o Zelo Church trata por conta própria, só para criar e proteger a conta, cobrar e dar suporte.
Ao criar a conta, você aceita os Termos de uso e esta política. Guardamos a data e a versão do que você aceitou.

2. Dados tratados

Cadastro de membros (nome, contato, datas, vínculos familiares e de célula), fornecido pela igreja.
Foto do membro (opcional). Só entra com a autorização registrada na hora de salvar: da própria pessoa ou, se for menor de 18 anos, do responsável. O sistema guarda quando e por quem a autorização foi registrada; tirar a foto apaga o registro. A foto fica na ficha e é vista por quem já vê a ficha e, no app, pela própria pessoa.
Dados sensíveis de contexto religioso (participação, notas pastorais): acesso restrito por PAPEL no próprio sistema. As notas marcadas como sensíveis ficam só com o pastorado.
Dados de crianças (ministério infantil): nome, nascimento, responsável, alergias e cuidados, código de retirada e horários de entrada e saída, visíveis apenas ao ministério Kids e ao pastorado. A retirada é feita por código ou QR; não há check-in infantil por rosto.
Zelo Cam (opcional e adicional; a igreja decide se usa). Reconhece, nas câmeras da entrada, só quem autorizou por escrito (menor de idade, só com o responsável), para marcar a presença nos cultos e apontar quem parou de vir.
- As fotos do rosto são tiradas no computador da igreja e transformadas em um código numérico; a foto é apagada depois.
- O rosto e o código ficam só no computador da igreja. Para o Zelo Church vão apenas o nome, a família, a data da autorização e, culto a culto, "presente" ou "ausente".
- A igreja pode desligar o Zelo Cam a qualquer momento, e a pessoa pode retirar a autorização. O pedido de exclusão apaga o rosto e as presenças na hora, na igreja e no Zelo Church.
- Biometria é dado pessoal sensível pela LGPD. Culto com câmera fora do ar não gera falta para ninguém.
Inscrições públicas em eventos e cartão de visitante: nome e telefone, com consentimento explícito registrado (data e hora). O cartão de visitante pode pedir CEP e endereço (opcional) para sugerir a célula mais perto de casa.
Endereço da célula: só é visto por quem participa dela, por quem a lidera e pelo pastorado e a secretaria com permissão.
App do membro (aplicativo Zelo Church, no navegador, no Android e no iPhone): ver a seção 2A.
Aconselhamento pastoral (quando a igreja usa): data, horário, duração, se foi presencial ou por vídeo e com quem foi a conversa, visíveis ao pastor titular e aos pastores da igreja. A transcrição e o resumo da conversa ficam cifrados e só o pastor que aconselhou lê (nem o titular).
- Gravação do áudio só com a autorização da pessoa (ou do pai, da mãe ou do responsável, se for menor de 18 anos), registrada na própria sessão (lida na tela do pastor ou assinada em papel), com a versão do termo. O áudio fica guardado cifrado por 30 dias e é apagado automaticamente; o pastor pode apagar antes, e retirar a autorização também apaga a gravação. O texto é tirado do áudio no próprio aparelho do pastor. No modo "só transcrever ao vivo", nenhum áudio é guardado e o aceite fica registrado.
- O resumo é feito por padrão com um modelo pronto, sem inteligência artificial. A IA só é usada se a pessoa autorizar por escrito naquela sessão (autorização separada da gravação), como descrito na seção 5.
- Conversa por vídeo: o vídeo e o áudio vão direto entre os aparelhos, com a criptografia do próprio navegador; o Zelo Church não grava vídeo. Quando a rede exige, a conexão passa por um servidor de retransmissão do Zelo, que não abre o conteúdo. A sala é aberta por um link com chave própria, válido só perto do horário marcado; o servidor guarda apenas o resumo criptográfico (hash) dessa chave.
Dados técnicos: o endereço de IP é usado para proteger o serviço contra abuso (limites de acesso) e para a segurança.

2A. Aplicativo Zelo Church (app do membro)

O app é a porta da igreja para o membro: agenda, avisos, escalas, células, Kids e comunicação da equipe. Ele é gratuito para quem o usa, não tem anúncios, não vende nada e não rastreia você em outros apps ou sites. Tudo o que você faz nele fica com a sua igreja.

Conta: nome, e-mail e senha (a senha é guardada pelo serviço de login só como um resumo criptográfico; o Zelo não a vê). A sessão fica no cofre do próprio celular (Keychain no iPhone, Keystore no Android).
Entrar na igreja: o código ou o QR da igreja, o seu nome e o seu WhatsApp. O app usa isso para achar a sua ficha na igreja e não criar cadastro repetido; a igreja pode pedir para confirmar antes de você entrar.
Foto do perfil (opcional): só a que você escolher ou tirar, com a sua autorização registrada; vai só para a sua igreja.
Kids (se você é responsável): nome, data de nascimento, alergias e cuidados da criança, quem pode buscar e, se você autorizar, a foto. Servem para o check-in e a retirada com segurança. O QR de cada criança fica no app.
Escalas, células e agenda: as suas respostas ("Confirmo", "Não posso" e o motivo, datas em que não pode), pedidos para entrar numa célula e a sua leitura dos avisos.
Comunicação da equipe (para quem serve): mensagens de texto, mensagens de voz (até 30 segundos, só quando você toca em Gravar; o texto da mensagem é feito no próprio aparelho) e os alertas da equipe. As mensagens de voz são apagadas automaticamente depois do prazo de guarda da igreja.
Meu carro (opcional): placa, cor e modelo, para a equipe do estacionamento avisar você (por exemplo, de farol aceso). No telão aparecem só cor, modelo e o final da placa; quem pediu e o dono não sabem o nome um do outro.
Notificações: se você ligar, o app guarda um identificador do aparelho para entregar os avisos (pelo Firebase Cloud Messaging, do Google, no Android; pelo serviço de notificação do navegador na versão web). Desligar ou sair do app apaga esse identificador.
Câmera e microfone: só abrem quando você toca para usar (ler o QR da igreja, tirar uma foto, gravar uma mensagem de voz). O app não usa a sua localização e não lê contatos nem arquivos; da galeria, só a foto que você escolher.
Entrada pelo rosto (só em igreja com Zelo Cam): o app guarda apenas a sua escolha (sim ou não). O rosto nunca passa pelo app: o cadastro do rosto é feito no computador da igreja, como descrito na seção 2.
Mapa das células: as imagens do mapa vêm do OpenStreetMap. O app pede o mapa da região, não a sua posição.
Dados técnicos: endereço de IP e a versão do app, para segurança e limites contra abuso. O app não usa ferramenta de estatística de terceiros nem de publicidade.
Excluir a conta: no app, em Eu › Excluir minha conta, ou pela página Excluir a conta deste site. Apagamos na hora a conta, o login, os aparelhos de notificação, a caixa de avisos, as preferências e as mensagens de voz; a ficha de membro é da igreja e continua com ela, sem a conta — e você pode, no mesmo passo, pedir à igreja que apague o cadastro. As cópias de segurança expiram em até 30 dias.
Pedido para apagar o cadastro: a igreja tem 15 dias para atender, e o Zelo Church acompanha esse prazo. Atender é anonimizar a ficha: o nome vira "Pessoa removida" e saem telefone, e-mail, foto, endereço, data de nascimento, informações adicionais, observações e as autorizações. Fica, sem o seu nome, o que a igreja precisa guardar por lei ou para o histórico: contribuições e recibos (com o valor), presenças, registros do Kids e escalas que já aconteceram. Se você usa a entrada pelo rosto, o pedido para apagar o rosto vai para o computador da igreja, onde ele fica.
Ver os seus dados: em Eu › Ver meus dados.

3. Segurança

Isolamento por igreja e por papel via regras de acesso no banco (testado por suíte automatizada).
Trilha de auditoria em lançamentos financeiros (quem criou, editou ou estornou, carimbado pelo banco).
Aconselhamento: transcrição, resumo e áudio cifrados (AES-256) com uma chave que fica fora do banco de dados; as cópias de segurança do banco não levam esse conteúdo legível.
Dízimos e ofertas não passam pelo Zelo Church: o PIX cai direto na conta da igreja.
Não vendemos dados nem os compartilhamos com terceiros para publicidade.

4. Fornecedores (sub-operadores)

O Zelo Church usa estes serviços para funcionar. Cada um recebe só o que precisa para a sua parte:

Hostinger (servidor VPS): hospedagem do site e do aplicativo.
Supabase: banco de dados, login e armazenamento de arquivos (como o áudio cifrado do aconselhamento).
Resend: envio de e-mails (convites, recuperação de senha, avisos e relatórios).
ViaCEP: ao preencher um CEP (célula ou cartão de visitante), o navegador consulta o ViaCEP para completar rua, bairro e cidade.
OpenStreetMap / Nominatim: para pôr a célula no mapa, o servidor do Zelo envia o endereço ao Nominatim, sem guardar o pedido; as imagens do mapa são carregadas dos servidores do OpenStreetMap pelo navegador de quem abre o mapa.
Anthropic (inteligência artificial, nos Estados Unidos): ver a seção 5.
Stripe e, quando for ligado, Asaas: cobrança da assinatura da igreja pelo Zelo. Nunca de dízimos e ofertas.
Serviços de notificação do navegador e do sistema (Google, Apple, Microsoft ou Mozilla) e o Firebase Cloud Messaging (Google), no app do Android: entregam os avisos no celular. Recebem o identificador do aparelho, o título e o texto curto do aviso.
Apple App Store e Google Play: distribuem o app. As lojas têm políticas próprias para o que coletam quando você baixa um app.
PostHog, se estiver ligado: métricas de uso do produto (por exemplo, "igreja criou a conta"), com o identificador da conta e da igreja e nunca dados de membros.

5. Inteligência artificial

A IA ajuda o pastor a ler os números da igreja. Ela não prega, não aconselha e não decide nada sozinha. O que vai para a Anthropic:

IA Pastoral, "Pergunte ao Zelo" e resumo da semana: números agregados da igreja (membros, células, presença, escalas, quantos check-ins no Kids) e listas de nomes de adultos que o papel de quem pergunta já pode ver (por exemplo, visitantes sem retorno e aniversariantes). Nunca telefones, e-mails nem endereço de rua. As finanças só entram como totais para quem pode vê-las, nunca por pessoa. Dados de crianças não vão: nem o nome, nem a ficha, nem o aniversário.
Resumo de uma pessoa ("Conheça seu rebanho"): nome, situação, idade, cidade, tempo de casa, célula, marcos, acompanhamentos e as notas pastorais não sigilosas (as marcadas como sensíveis nunca vão). Não é feito para ficha de criança.
Resumo de pregação e sugestão de músicas: o texto que o pastor fornece e os títulos do repertório da igreja.
Aconselhamento: só com a autorização por escrito da pessoa naquela sessão. Antes do envio, os nomes são trocados por marcadores ([PESSOA], [CÔNJUGE], [FAMILIAR], [MEMBRO]) e telefones, e-mails, CPF, CEP e endereços são retirados; os nomes voltam só na tela do pastor. Sem essa autorização, nada de aconselhamento vai para a IA.
O texto enviado não é guardado pelo Zelo Church. Pelo contrato da API, a Anthropic não usa esse conteúdo para treinar modelos.

6. Direitos e portabilidade

Exportação TOTAL dos dados da igreja em CSV, self-service, a qualquer momento — inclusive após cancelamento.
Exclusão definitiva mediante solicitação da igreja controladora.
Titulares (membros) exercem seus direitos junto à igreja; o Zelo Church dá suporte técnico à controladora. Quem usa o app pode excluir a própria conta (seção 2A e /excluir-conta).
Dúvidas sobre esta política ou sobre os seus dados: escreva para suporte@zelochurch.com.br ou fale com a gente pela Central de Ajuda. Respondemos em até 7 dias.

7. Retenção

Dados mantidos enquanto durar o contrato + 30 dias de cortesia pós-cancelamento para exportação; após esse prazo, exclusão definitiva (backups expiram em ciclo de até 30 dias).
Avisos recebidos no app: 12 meses na caixa de cada pessoa (depois sai; fica só a contagem de lidos de cada aviso). Registros técnicos de custo e de uso da IA: 12 meses em detalhe; depois, só o total por mês, sem pessoa.
Áudio do aconselhamento: 30 dias depois de gravado (ou antes, se o pastor apagar ou a pessoa retirar a autorização). Transcrição e resumo: até o pastor apagar a sessão ("Apagar tudo desta sessão") ou a igreja pedir a exclusão.
Registro do aceite dos Termos e desta política (data e versão): enquanto a conta existir.

8. Mudanças nesta política

Quando mudarmos esta política, a versão e a data mudam aqui e pedimos um novo aceite. A razão social e o CNPJ do Zelo Church serão informados nesta página na versão final.