Política de Privacidade — Zelo Church

Última atualização: 22 de outubro de 2026

Esta política explica quais dados o Zelo Church trata, para quê, com quem os divide e quais são os seus direitos. Ela é escrita em linguagem simples, de propósito, a partir do que o sistema faz hoje.

1. Quem é quem (LGPD)

A igreja contratante é a CONTROLADORA dos dados pessoais dos seus membros, visitantes e crianças: é ela quem decide quais dados registrar e para quê.
O Zelo Church é o OPERADOR: trata esses dados exclusivamente conforme as instruções da igreja e para prestar o serviço contratado.
Os dados da conta de quem usa o painel (nome, e-mail e senha) e da cobrança da assinatura o Zelo Church trata por conta própria, só para criar e proteger a conta, cobrar e dar suporte.
Ao criar a conta, você aceita os Termos de uso e esta política. Guardamos a data e a versão do que você aceitou.

2. Dados tratados

Cadastro de membros (nome, contato, datas, vínculos familiares e de célula), fornecido pela igreja.
Foto do membro (opcional). Só entra com a autorização registrada na hora de salvar: da própria pessoa ou, se for menor de 18 anos, do responsável. O sistema guarda quando e por quem a autorização foi registrada; tirar a foto apaga o registro. A foto fica na ficha e é vista por quem já vê a ficha e, no app, pela própria pessoa.
Dados sensíveis de contexto religioso (participação, notas pastorais): acesso restrito por PAPEL no próprio sistema. As notas marcadas como sensíveis ficam só com o pastorado.
Dados de crianças (ministério infantil): nome, nascimento, responsável, alergias e cuidados, código de retirada e horários de entrada e saída, visíveis apenas ao ministério Kids e ao pastorado. A retirada é feita por código ou QR; não há check-in infantil por rosto.
Zelo Cam (opcional e adicional; a igreja decide se usa). Reconhece, nas câmeras da entrada, só quem autorizou por escrito (menor de idade, só com o responsável), para marcar a presença nos cultos e apontar quem parou de vir.
- As fotos do rosto são tiradas no computador da igreja e transformadas em um código numérico; a foto é apagada depois.
- O rosto e o código ficam só no computador da igreja. Para o Zelo Church vão apenas o nome, a família, a data da autorização e, culto a culto, "presente" ou "ausente".
- A igreja pode desligar o Zelo Cam a qualquer momento, e a pessoa pode retirar a autorização. O pedido de exclusão apaga o rosto e as presenças na hora, na igreja e no Zelo Church.
- Biometria é dado pessoal sensível pela LGPD. Culto com câmera fora do ar não gera falta para ninguém.
Inscrições públicas em eventos e cartão de visitante: nome e telefone, com consentimento explícito registrado (data e hora). O cartão de visitante pode pedir CEP e endereço (opcional) para sugerir a célula mais perto de casa.
Endereço da célula: só é visto por quem participa dela, por quem a lidera e pelo pastorado e a secretaria com permissão.
App do membro: a própria pessoa vê seus dados, escolhe a foto e pode excluir a própria conta.
Aconselhamento pastoral (quando a igreja usa): data, horário, duração, se foi presencial ou por vídeo e com quem foi a conversa, visíveis ao pastor titular e aos pastores da igreja. A transcrição e o resumo da conversa ficam cifrados e só o pastor que aconselhou lê (nem o titular).
- Gravação do áudio só com a autorização da pessoa (ou do pai, da mãe ou do responsável, se for menor de 18 anos), registrada na própria sessão (lida na tela do pastor ou assinada em papel), com a versão do termo. O áudio fica guardado cifrado por 30 dias e é apagado automaticamente; o pastor pode apagar antes, e retirar a autorização também apaga a gravação. O texto é tirado do áudio no próprio aparelho do pastor. No modo "só transcrever ao vivo", nenhum áudio é guardado e o aceite fica registrado.
- O resumo é feito por padrão com um modelo pronto, sem inteligência artificial. A IA só é usada se a pessoa autorizar por escrito naquela sessão (autorização separada da gravação), como descrito na seção 5.
- Conversa por vídeo: o vídeo e o áudio vão direto entre os aparelhos, com a criptografia do próprio navegador; o Zelo Church não grava vídeo. Quando a rede exige, a conexão passa por um servidor de retransmissão do Zelo, que não abre o conteúdo. A sala é aberta por um link com chave própria, válido só perto do horário marcado; o servidor guarda apenas o resumo criptográfico (hash) dessa chave.
Dados técnicos: o endereço de IP é usado para proteger o serviço contra abuso (limites de acesso) e para a segurança.

3. Segurança

Isolamento por igreja e por papel via regras de acesso no banco (testado por suíte automatizada).
Trilha de auditoria em lançamentos financeiros (quem criou, editou ou estornou, carimbado pelo banco).
Aconselhamento: transcrição, resumo e áudio cifrados (AES-256) com uma chave que fica fora do banco de dados; as cópias de segurança do banco não levam esse conteúdo legível.
Dízimos e ofertas não passam pelo Zelo Church: o PIX cai direto na conta da igreja.
Não vendemos dados nem os compartilhamos com terceiros para publicidade.

4. Fornecedores (sub-operadores)

O Zelo Church usa estes serviços para funcionar. Cada um recebe só o que precisa para a sua parte:

Hostinger (servidor VPS): hospedagem do site e do aplicativo.
Supabase: banco de dados, login e armazenamento de arquivos (como o áudio cifrado do aconselhamento).
Resend: envio de e-mails (convites, recuperação de senha, avisos e relatórios).
ViaCEP: ao preencher um CEP (célula ou cartão de visitante), o navegador consulta o ViaCEP para completar rua, bairro e cidade.
OpenStreetMap / Nominatim: para pôr a célula no mapa, o servidor do Zelo envia o endereço ao Nominatim, sem guardar o pedido; as imagens do mapa são carregadas dos servidores do OpenStreetMap pelo navegador de quem abre o mapa.
Anthropic (inteligência artificial, nos Estados Unidos): ver a seção 5.
Stripe e, quando for ligado, Asaas: cobrança da assinatura da igreja pelo Zelo. Nunca de dízimos e ofertas.
Serviços de notificação do navegador e do sistema (Google, Apple, Microsoft ou Mozilla): entregam os avisos no celular.
PostHog, se estiver ligado: métricas de uso do produto (por exemplo, "igreja criou a conta"), com o identificador da conta e da igreja e nunca dados de membros.

5. Inteligência artificial

A IA ajuda o pastor a ler os números da igreja. Ela não prega, não aconselha e não decide nada sozinha. O que vai para a Anthropic:

IA Pastoral, "Pergunte ao Zelo" e resumo da semana: números agregados da igreja (membros, células, presença, escalas, quantos check-ins no Kids) e listas de nomes de adultos que o papel de quem pergunta já pode ver (por exemplo, visitantes sem retorno e aniversariantes). Nunca telefones, e-mails nem endereço de rua. As finanças só entram como totais para quem pode vê-las, nunca por pessoa. Dados de crianças não vão: nem o nome, nem a ficha, nem o aniversário.
Resumo de uma pessoa ("Conheça seu rebanho"): nome, situação, idade, cidade, tempo de casa, célula, marcos, acompanhamentos e as notas pastorais não sigilosas (as marcadas como sensíveis nunca vão). Não é feito para ficha de criança.
Resumo de pregação e sugestão de músicas: o texto que o pastor fornece e os títulos do repertório da igreja.
Aconselhamento: só com a autorização por escrito da pessoa naquela sessão. Antes do envio, os nomes são trocados por marcadores ([PESSOA], [CÔNJUGE], [FAMILIAR], [MEMBRO]) e telefones, e-mails, CPF, CEP e endereços são retirados; os nomes voltam só na tela do pastor. Sem essa autorização, nada de aconselhamento vai para a IA.
O texto enviado não é guardado pelo Zelo Church. Pelo contrato da API, a Anthropic não usa esse conteúdo para treinar modelos.

6. Direitos e portabilidade

Exportação TOTAL dos dados da igreja em CSV, self-service, a qualquer momento — inclusive após cancelamento.
Exclusão definitiva mediante solicitação da igreja controladora.
Titulares (membros) exercem seus direitos junto à igreja; o Zelo Church dá suporte técnico à controladora. Quem usa o app pode excluir a própria conta.
Dúvidas sobre esta política: fale com a gente pela Central de Ajuda.

7. Retenção

Dados mantidos enquanto durar o contrato + 30 dias de cortesia pós-cancelamento para exportação; após esse prazo, exclusão definitiva (backups expiram em ciclo de até 30 dias).
Áudio do aconselhamento: 30 dias depois de gravado (ou antes, se o pastor apagar ou a pessoa retirar a autorização). Transcrição e resumo: até o pastor apagar a sessão ("Apagar tudo desta sessão") ou a igreja pedir a exclusão.
Registro do aceite dos Termos e desta política (data e versão): enquanto a conta existir.

8. Mudanças nesta política

Quando mudarmos esta política, a versão e a data mudam aqui e pedimos um novo aceite. A razão social e o CNPJ do Zelo Church serão informados nesta página na versão final.