Política de privacidade

O Clube Santo é mantido por Saulo Souza, com sede em Águas Formosas, MG. É quem decide como os dados são tratados, o que a LGPD chama de controlador.

Para qualquer assunto sobre os seus dados, escreva para santooclube@gmail.com. Esse é o nosso canal de privacidade, e quem responde por ele atua como encarregado pelo tratamento de dados (art. 41 da LGPD).

Tratamos apenas os dados abaixo, agrupados pelo que você faz no app.

Conta

• E-mail, usado para entrar com um código ou link enviado a você, ou com uma senha, se você criar uma. A senha é guardada pelo serviço de login de forma protegida (só um resumo cifrado, nunca o texto), e nem nós a vemos.
• Nome completo e, se quiser, um apelido.
• Foto de perfil, se você enviar uma. Antes do envio, você ajusta o recorte no próprio aparelho: só a parte escolhida é enviada, já reduzida.
• WhatsApp, se você informar (é opcional).
• Se você quer receber o convite para a comunidade do Clube Santo no WhatsApp, a data em que marcou e, se retirar, a data em que retirou. Começa sempre desmarcado.
• O clube de que você participa, o convite que usou para entrar (se usou um) e, para menores de 18, quem é o responsável cadastrado.
• A data e a versão destes documentos que você aceitou.

Clube do seu lugar

• Para achar o clube da sua cidade ou da sua região, você digita um CEP. O nosso servidor consulta esse CEP no ViaCEP, um serviço público de endereços, e usa a resposta só para saber a cidade, o estado e o código do município (IBGE). O CEP não é guardado, nem no banco nem no seu aparelho.
• O clube guarda só o lugar dele: cidade, estado e código do município e, nas cidades com vários CEPs, os 5 primeiros dígitos do CEP da região e um bairro de referência, usados no nome do clube. Nunca o CEP de uma pessoa.
• Se você começar o clube do seu lugar, fica registrado que foi você quem o começou, e você passa a ser fundador dele.
• A data em que você entrou no clube, para acolher quem chega com o plano de leitura já andando (“o clube está no dia 40; comece hoje, com todos”).

Perfil

• Sexo, porque as mesas são formadas por pessoas do mesmo sexo.
• Data de nascimento, para confirmar a maioridade (ou a necessidade de um responsável).
• Áreas de influência em que você atua (família, igreja, educação, artes, mídia, negócios, governo), ou “ainda não sei”. Você pode trocá-las no Perfil ou na Missão na cidade.
• Dia de jejum escolhido, se você quiser registrar jejum.
• Versão da Bíblia preferida para a leitura.

Vida devocional

• Registros diários: se você leu a Palavra, orou e jejuou naquele dia.
• Anotações pessoais que você escreve sobre a leitura do dia (“O que Deus falou com você hoje?”). Se você tocar em “Compartilhar com a mesa”, uma cópia do texto vai como mensagem para a conversa da mesa; a anotação original continua só sua.
• O seu Caderno: estudos, sermões e o que Deus tem falado com você, com título, texto e passagens. O título, o corpo e as passagens ficam cifrados no servidor, como as respostas da mesa (anotações antigas que você ainda não editou guardam o título em texto até a próxima edição). Só você lê. Enquanto uma anotação ainda não chegou ao servidor (por exemplo, sem internet), ela fica guardada no seu aparelho e sai de lá assim que é salva ou quando você sai da conta. Se você compartilhar um estudo com a mesa, uma cópia cifrada vai para a mesa (a entrada do caderno continua só sua); se a liderança publicar um estudo para o clube, ele passa a ser uma mensagem aberta ao clube inteiro.
• Os versículos que você destaca ou salva na Bíblia: só a referência (livro, capítulo e versículo), a cor do destaque, a versão em que você marcou e as datas. O texto bíblico não é guardado: ele vem da Bíblia na hora de mostrar. Só você vê, em qualquer aparelho em que entrar. A anotação feita a partir de um versículo vai para o seu Caderno, com as mesmas proteções dele.

Mesa

• De qual mesa você faz parte, desde quando e se é o líder; ou, enquanto espera uma mesa, o seu lugar na fila. Da mesa em si, guardamos também o tamanho escolhido pelo líder (de 3 a 12 lugares).
• Respostas às 7 perguntas semanais, em texto.
• Áudios que você gravar como resposta.
• Pedidos de oração à mesa, se são urgentes e se já foram respondidos. O pedido também aparece como um cartão na conversa da mesa, com as mesmas proteções do pedido.
• O encontro fixo da mesa, se ela combinar um: o dia, o horário e o lugar. O lugar fica cifrado, como as respostas.
• Se você tocar em “Quero abrir uma mesa” (numa mesa madura): o pedido, a frase opcional que você escrever, quando pediu e o que foi decidido (enviar, “agora não” ou desistência). Da mesa, guardamos também de qual mesa ela nasceu.

Conversas do clube e da mesa

• As mensagens que você manda: texto, áudio, foto (com legenda, se quiser) ou versículo, a mensagem a que você respondeu, a data e a hora.
• Quem você marca com @ numa mensagem. Na conversa do clube, a lista de quem foi marcado (a pessoa e o nome como você escreveu) fica guardada junto da mensagem, que lá não é cifrada, e sai quando a mensagem é apagada. Na conversa da mesa, ela vai dentro da mensagem cifrada: o banco de dados não sabe quem foi marcado.
• As reações que você deixa nas mensagens.
• As fotos são reduzidas no seu aparelho (até 1280 pixels no lado maior) e salvas de novo antes do envio. Com isso saem os dados escondidos do arquivo original, como o lugar onde a foto foi tirada.
• As denúncias que você faz (a mensagem, o testemunho ou o tema de oração, o motivo e a observação que escrever), os pedidos de ajuda que você faz à liderança sobre alguém da sua mesa (só a mesa, a pessoa e o motivo, sem texto nenhum) e as pessoas que você bloqueia.

Chama

• Cálculos diários feitos pelo nosso servidor uma vez por dia, a partir dos seus registros: valor da chama, dias seguidos, dias sem registro e recuperação.
• Avisos à sua mesa quando a sua chama diminui, apaga ou volta a subir, para que orem por você (só em mesa com 3 pessoas ou mais).

Movimento (encontros e ações do clube)

• Presença que você confirma nos encontros (vou, talvez, não vou) e o horário do check-in.
• Check-in por localização: o seu aparelho envia a sua posição ao nosso servidor só naquele momento, para conferir se você está perto do local. A posição não é guardada; fica registrado apenas que você fez o check-in.
• Caronas: se você oferece ou precisa, quantas vagas e a observação que escrever. Quem vê a carona pode te chamar no WhatsApp informado.
• Eventos que você cria (se puder criar): título, descrição, local, endereço e coordenadas.

Palavra da semana e temas de oração

• A palavra da semana que a liderança do clube publica (o texto, a passagem e pelo que orar) e quem da liderança a publicou por último.
• Os temas de oração que você propõe ao clube: o título, o detalhe, se escrever, e a data.
• As suas marcas “Estou orando por isso” em temas do clube. O banco de dados não guarda quem marcou: guarda só um código embaralhado, diferente para cada tema, e o dia da marca (não a hora). Só o servidor do app, com uma chave que não fica no banco, reconhece a sua marca, para você ver o que marcou e poder desmarcar (veja “Quem vê o quê”).

Testemunhos

• Os testemunhos que você escreve: a categoria (provisão, cura, conversão, porta aberta ou oração respondida), o título, se quiser, o texto, a data em que Deus agiu, a passagem, se houver, e a data de publicação e de edição.
• Quem escreveu cada testemunho. Guardamos isso à parte, numa tabela que as regras do banco só deixam cada pessoa ler sobre si mesma. No testemunho em si fica só o seu primeiro nome, tirado do perfil na hora de publicar, ou nada, se você escolher publicar sem nome. Guardamos também o nome do clube onde ele foi escrito.
• Se você escolheu publicar sem nome e se marcou “Compartilhar com todos os clubes”.
• A foto, se você enviar uma (só uma por testemunho). Ela é reduzida e salva de novo no seu aparelho antes do envio, e o nosso servidor confere de novo e tira os dados escondidos do arquivo (como o lugar onde foi tirada e o aparelho) antes de guardar, num espaço de arquivos privado. A foto de perfil passa pela mesma limpeza no servidor.
• As suas marcas “Glória a Deus” (em quais testemunhos você marcou) e as denúncias que você faz (o testemunho, o motivo e a observação que escrever).

Missão na cidade

• Cada vez que você marca “Fiz” num desafio do mês ou registra uma ação livre: a área, o desafio (se houver), o dia e o mês, e o clube em que você estava naquele dia. A nota que você escrever, se quiser, fica cifrada no servidor, como o Caderno. Só você lê.
• Um contador do clube, por dia e por área, que sobe quando alguém registra. Ele só desce quando é apagado um registro do próprio dia, que ainda não aparece no total. Ele não guarda quem foi: só o clube, o dia, a área e quantas ações.
• Os desafios do mês são escritos pela liderança do movimento e são iguais para todos os clubes; não são dados seus.

Família

• O progresso das histórias para ler com os filhos, na sua conta (é “a família”): qual história vocês terminaram e quando, se montaram o versículo e se fizeram o quiz de conversa. Não guardamos as respostas do quiz, pontos nem quantas vezes a história foi aberta.
• Nenhum dado da criança. A criança não tem conta, e nada sobre ela é guardado: nem nome, nem idade, nem foto, nem voz. O “Ouvir” usa a voz do seu próprio aparelho, sem gravar nada.
• As histórias e as ilustrações são conteúdo do movimento, iguais para todas as famílias; não são dados seus.

Notificações

• Inscrição de notificações do aparelho, se você ativar: o endereço técnico fornecido pelo navegador, as chaves que cifram as mensagens e o tipo de navegador. No app de iPhone, no lugar disso, o identificador de avisos que a Apple dá ao aparelho (token da APNs) e a data em que o app o confirmou pela última vez.
• No app de iPhone, o lembrete da Palavra do dia é agendado no próprio aparelho, no horário que você escolheu, para os próximos 14 dias, só com a Palavra do dia ligada e os avisos ativos. O texto é só um convite (“A Palavra de hoje está esperando por você.”), sem versículo. Para isso, nada sai do aparelho: o iPhone guarda o agendamento e o dia em que você marcou a Palavra neste aparelho, para não lembrar do que você já leu. Os lembretes agendados são cancelados quando você desliga o aviso, sai da conta ou a exclui.
• Preferências: quais lembretes e avisos quer receber (Palavra do dia, mesa, Movimento, novos eventos do Movimento, chama, palavra da semana, mensagens da liderança, carta do movimento, desafios da Missão, lembrete na véspera do jejum, conversas, quando marcarem você com @ e, para quem funda o clube, os avisos da liderança) e em que horário.
• O lembrete na véspera do seu dia de jejum, se você ligar. Ele é só seu, em secreto (Mateus 6.17-18): ninguém vê se você o ligou, nem a mesa, nem a liderança, e ele não registra se você jejuou.
• Conversas que você silenciou pelo sino (a da mesa ou a do clube) e até quando. Só você vê; nem a mesa, nem a liderança sabem.
• Registro do que já foi enviado, para não mandar a mesma notificação duas vezes e, nas conversas, no máximo um aviso por conversa a cada 3 minutos. O aviso de quando marcam você com @ no clube fica fora desse limite (é um por mensagem), e guardamos por 1 dia só para quem ele foi e de qual mensagem. Na mesa, nada do que guardamos diz quem foi marcado.

Filtro de conteúdo

• Quando uma foto, um link ou uma mensagem é barrada pelo filtro automático (veja “Conversas, denúncias e bloqueios”), fica registrado quem tentou, em que lugar do app e o motivo (por exemplo, “nudez” ou “site adulto”). O conteúdo em si não é guardado.

Dados técnicos

• Cookies de sessão, que mantêm você conectado.
• Sinais de tempo real das conversas: avisam o app de que chegou, saiu ou recebeu reação uma mensagem numa sala. Levam só a sala, o número da mensagem e o tipo do aviso, sem conteúdo e sem nome.
• Preferências e cópias guardadas no próprio aparelho (detalhes na seção “Cookies e dados no seu aparelho”).
• Registros técnicos de acesso mantidos pelos nossos provedores de infraestrutura, como endereço IP, data e hora, usados para funcionamento e segurança.

Para a LGPD, convicção religiosa e participação em organização religiosa são dados pessoais sensíveis (art. 5º, II). No Clube Santo, quase tudo aponta para a sua fé: estar no clube, ler a Palavra, orar, jejuar, responder à mesa, pedir oração, ir a um encontro.

Se você não consentir, o app não tem como funcionar para você, porque tudo nele gira em torno desses dados. Os encontros presenciais do clube e a sua igreja local continuam de portas abertas, com ou sem o app.

Cada grupo de dados tem um propósito claro. Não usamos os seus dados para nada além disso.

• Conta e acesso (e-mail, senha, se você criar uma, e cookies de sessão): permitir que você entre e continue conectado. Base: execução do serviço que você pediu (art. 7º, V).
• Perfil, clube, vida devocional, mesa, conversas, chama, Movimento e Missão na cidade: achar ou começar o clube do seu lugar, formar mesas do mesmo sexo, confirmar a maioridade, mostrar a leitura do dia na versão que você escolheu, guardar seus registros e anotações, levar as suas respostas, pedidos e mensagens à mesa, mostrar as mensagens da conversa do clube a quem é do clube, calcular a chama, avisar a mesa para orar, organizar presença, check-in e caronas, mostrar os desafios das suas áreas, guardar o que você marcou como feito e somar o total do clube sem nomes. Base: o seu consentimento específico (art. 11, I), porque esses dados revelam a sua fé.
• Denúncias e bloqueios: esconder de você o que você denunciou ou quem você bloqueou e, no clube, levar a denúncia à liderança para cuidar da conversa. Base: o seu consentimento específico (art. 11, I) e o legítimo interesse de manter as conversas seguras para todos (art. 7º, IX).
• Notificações: lembrar da Palavra, das perguntas da mesa, dos encontros (um dia e uma hora antes, se você confirmou presença), da véspera do seu dia de jejum (só se você ligar esse lembrete), avisar quando um encontro novo é marcado no seu clube (das 07:00 às 21:00; o marcado de noite, às 07:00), quando alguém da mesa precisa de oração e, no dia 1 (das 07:00 às 21:00), que chegaram os desafios das áreas que você escolheu. O aviso do encontro fixo da mesa sai 1 hora antes, para todos da mesa, pela preferência “Mesa”, e não leva o lugar: o dia e a hora ficam em claro para o servidor de lembretes, e o lugar continua cifrado. Também avisar quando a liderança do clube publica a palavra da semana ou uma mensagem nova (estudo ou sermão), sem o texto; esses avisos só saem das 07:00 às 21:00, e o que for publicado fora desse horário é avisado às 07:00. Só com a sua permissão no aparelho, que você desliga quando quiser. Base: consentimento (art. 7º, I e art. 11, I). Os avisos de conversa nunca trazem o conteúdo da mensagem: na mesa dizem só que chegou mensagem nova, sem dizer quem escreveu; no clube, quando alguém responde você, aparece só o primeiro nome de quem respondeu. Quando alguém marca você com @, o aviso diz só isso: no clube, “Ana marcou você no clube” ou “Ana chamou todo o clube” (só o primeiro nome de quem marcou); na mesa, “Marcaram você na conversa da mesa” ou “Chamaram toda a mesa na conversa”, sem nome. Nas conversas com a liderança, nem nome: “Você tem uma resposta no Clube Santo” (quando a liderança responde você), “Uma pessoa do clube escreveu para a liderança” ou “Nova mensagem na conversa da liderança”, e só para quem pode abrir a conversa. Quem é convidado para a liderança do clube recebe “Você recebeu um convite no Clube Santo”, sem dizer de quê (e não recebe esse aviso se bloqueou quem convidou; o convite continua no app). Quem é assunto de um pedido para deixar a liderança, ou deixa a liderança por um pedido confirmado, recebe só “Você tem um aviso no Clube Santo”: o aviso, sem motivo e sem dizer quem pediu, aparece dentro do app. Esses são avisos de serviço, sem interruptor, mas respeitam o silêncio noturno; o aviso fica marcado no menu do clube até você abrir. A liderança recebe, sem nomes, “Há um convite novo na liderança do clube”, “Alguém aceitou servir na liderança” e “Há um pedido na liderança do clube”, pelo mesmo interruptor da conversa da liderança. Você escolhe quais avisos de conversa recebe em Perfil e pode silenciar cada conversa pelo sino, por 8 horas ou até ligar de novo. A marcação pelo seu nome avisa mesmo com o sino silenciado; para não receber, desligue “Quando me marcarem” em Perfil. O silêncio à noite e o bloqueio valem também para as marcações. O “@todos” respeita o sino; no clube, só a liderança usa.
• Convite para a comunidade do Clube Santo no WhatsApp (o seu primeiro nome e o WhatsApp que você informou): convidar você para a comunidade nacional do movimento no WhatsApp, só se você marcar “Quero receber o convite para a comunidade do Clube Santo no WhatsApp”, no cadastro ou no Perfil. A caixa vem desmarcada, e não marcar não muda nada no app. Quem envia o convite é a liderança do movimento; o clube e a liderança do clube não veem quem pediu. Guardamos a data em que o convite foi enviado, para não convidar a mesma pessoa duas vezes; ela é apagada se você retirar o consentimento ou trocar o número. Registramos quem da liderança enviou o convite e quando, sem guardar o número nesse registro. Você retira o consentimento quando quiser, em Perfil, Privacidade e dados, e a partir daí o seu número deixa de ser usado para isso (se já tiver entrado na comunidade, saia também por lá, no WhatsApp). Quem tem menos de 18 anos não recebe o convite. Base: o seu consentimento, específico para esse fim (art. 7º, I, e art. 11, I, porque fazer parte da comunidade revela a sua fé).
• Registro do aceite (data e versão) e do convite da comunidade no WhatsApp (a sua escolha, a data em que marcou e a data em que retirou): comprovar o seu consentimento, como a lei exige (art. 8º, § 2º). Base: cumprimento de obrigação legal (art. 7º, II).
• Segurança (registros técnicos de acesso, controle de sessão, regras contra abuso): proteger a sua conta e o clube contra acessos indevidos e fraudes. Base: legítimo interesse (art. 7º, IX), sempre limitado ao necessário e sem usar o conteúdo que você escreve.

O que nunca fazemos: vender, alugar ou emprestar seus dados; mostrar anúncios; montar perfil para publicidade; usar inteligência artificial para ler, resumir, classificar ou treinar modelos com o que você escreve.

Só você

• Seus registros diários de Palavra, oração e jejum (Mateus 6). Ninguém vê se você orou ou jejuou. Da Palavra, os fundadores do clube veem só a média semanal do clube, sem nomes, e só quando 5 pessoas ou mais estiveram no clube a semana inteira; ninguém vê se você, em particular, leu.
• Suas anotações pessoais. Se você compartilhar uma com a mesa, a mesa lê a cópia que foi para a conversa; a anotação continua só sua.
• O seu Caderno (título, texto e passagens). Compartilhar com a mesa ou publicar para o clube manda uma cópia; o original continua só seu.
• O CEP que você digitou (ele nem fica guardado).
• Quem você bloqueou e o que você escondeu na mesa. Se você pedir ajuda à liderança sobre alguém da mesa, ela não é informada de quem pediu; numa mesa de duas pessoas, porém, a liderança e a própria pessoa podem entender que foi você.
• A sua chama individual. Não existe ranking nem comparação entre pessoas.
• Suas preferências de notificação, inclusive se você ligou o lembrete na véspera do jejum.
• Se você pediu ou não o convite para a comunidade do Clube Santo no WhatsApp. Nem o clube, nem a liderança do clube, nem a sua mesa veem essa escolha. Só a liderança do movimento usa a lista de quem pediu (primeiro nome e WhatsApp), e só para enviar o convite.
• O que você marcou como feito na Missão na cidade (“Fiz”) e as suas notas, em secreto (Mateus 6.3). Nem a sua mesa, nem os fundadores do clube, nem a liderança do movimento veem quem fez o quê: as regras do banco deixam cada pessoa ler só os próprios registros, e a nota fica cifrada.
• O progresso da Família (as histórias que vocês terminaram, o versículo e o quiz). Ninguém mais vê.
• Os versículos que você destacou ou salvou na Bíblia. Nem a sua mesa, nem a liderança, nem o movimento veem; não há contagem nem ranking de destaques. Só vai para a mesa o versículo que você mesmo levar (“Levar à mesa”), como mensagem da conversa.
• Em quais temas de oração você marcou “Estou orando por isso”. Nem a liderança, nem quem propôs o tema sabe quem marcou, e o banco de dados não guarda essa informação.
• Em quais testemunhos você marcou “Glória a Deus”. Ninguém vê quem marcou, nem quem escreveu o testemunho. Quem escreveu vê só quantas pessoas deram glória a Deus pelo próprio testemunho; ninguém mais vê esse número.

Só a sua mesa

A mesa reúne até 12 pessoas do mesmo sexo (começa com 2); o líder escolhe o tamanho ao formá-la, de 3 a 12 lugares. Tudo o que você partilha nela é lido por todos os membros atuais da mesa (até 12 pessoas), e por mais ninguém. Mesas menores favorecem a sinceridade: pense nisso ao escolher o tamanho ou a mesa em que entra.

• Suas respostas às 7 perguntas, seus áudios e seus pedidos de oração. Quem entra na mesa depois vê as respostas e os áudios só a partir da semana em que entrou, e os pedidos de oração só os feitos depois da entrada. Quem sai da mesa deixa de ver tudo isso (as suas próprias respostas e pedidos continuam seus, inclusive na exportação).
• A conversa da mesa: mensagens, áudios, fotos, versículos, reações e quem foi marcado com @. Só quem está na mesa agora lê, e só o que foi escrito depois que entrou. Quem sai da mesa deixa de ver a conversa, mas continua podendo apagar as mensagens que escreveu nela.
• Se você já respondeu na semana (quem está na mesa vê quem já respondeu e quem ainda não, para lembrar com carinho).
• Se você pedir para abrir uma mesa: quem lidera a mesa (ou, se é você quem lidera, quem vai assumir a liderança) vê o seu primeiro nome e a frase que você escreveu, para decidir com oração. As outras pessoas da mesa não veem o pedido nem quem pediu: se alguém mais tentar se oferecer enquanto ele está aberto, vê só “Já existe um pedido em conversa nesta mesa”. Um pedido sem decisão vence em 30 dias. Se a mesa enviar você, a conversa da mesa recebe um aviso com o seu primeiro nome, para todos orarem por você e pela mesa nova.
• Os estudos do caderno que alguém compartilhou com a mesa: cifrados como as respostas, lidos pelos membros atuais e só os compartilhados depois da entrada de cada um. Quem compartilhou pode apagar.
• O encontro fixo da mesa (dia, horário e lugar), se a mesa combinar um. O lugar fica cifrado, como as respostas: nem a liderança do clube, nem quem é de outra mesa vê onde a mesa se encontra.
• A chama da mesa (a média das chamas dos membros ativos) e o aviso de que a sua chama diminuiu, apagou ou voltou a subir, para orarem por você, só com 3 pessoas ou mais na mesa. Numa mesa de 2, a média mostraria a chama do outro, por isso ali não há chama da mesa nem esses avisos.

O seu clube

• Seu nome, apelido, foto e áreas de influência, e se você é da liderança do clube. Na conversa do clube, “Quem faz parte” mostra cada pessoa pelo apelido (ou pelo nome, se não houver apelido), com a foto e o selo da liderança; a busca procura no nome e no apelido.
• Seu sexo, para a formação de mesas do mesmo sexo.
• Seu WhatsApp, se você informar, para combinar encontros e caronas.
• Em qual mesa você está (não o que se fala nela).
• Sua presença confirmada, seu check-in e suas caronas nos encontros.
• A conversa do clube: as mensagens, áudios, fotos, versículos e reações que você manda, e quem você marcou com @. Todo mundo que é do clube vê, inclusive quem entrar depois (o histórico fica aberto a quem é do clube).
• A chama do clube, que é a média das mesas ativas com 3 pessoas ou mais.
• A palavra da semana da liderança, com o primeiro nome de quem a publicou.
• As mensagens da liderança para o clube (estudos e sermões publicados pelos fundadores), com o primeiro nome de quem publicou.
• Os testemunhos que você publica no mural do clube: a categoria, o título, o texto, a data em que Deus agiu, a passagem, a foto, se houver, e o seu primeiro nome, ou “Alguém do clube” se você escolher publicar sem nome. Se você mudar de clube, o testemunho continua no clube onde foi escrito (enquanto aquele clube existir), e você continua podendo editá-lo e apagá-lo, na aba “Meus” do mural.
• Os temas de oração que você propõe, com o seu nome e a sua foto, por 30 dias (se você sair do clube, o tema continua até sair da lista, sem o seu nome e sem a sua foto). Das marcas “Estou orando por isso”, o clube nunca vê quem marcou nem o número exato: só uma faixa (“3 ou mais”, “5 ou mais”, “10 ou mais” pessoas orando), contando as marcas das outras pessoas, e só em clubes com 5 pessoas ou mais. Assim ninguém descobre quem marcou, nem marcando e desmarcando. Os temas com mais marcas ganham destaque; é o destaque do tema, nunca de uma pessoa.
• Na Missão na cidade, o total de ações do clube no mês (“12 ações na cidade este mês”), sem nomes e contado até ontem, para ninguém ser reconhecido pela hora em que marcou. Só aparece em clubes com 5 pessoas ou mais. Por área, só nas áreas escolhidas por 5 pessoas ou mais, e só quando as áreas que ficam escondidas não juntam de 1 a 4 pessoas (senão, pela diferença, daria para saber o que poucas pessoas fizeram); nesse caso, só o total geral. Nunca há ranking nem comparação entre pessoas ou entre clubes. O total que o clube já viu nunca diminui: apagar um registro de outro dia, sair do clube ou excluir a conta não muda o que já foi contado, para a sua saída não revelar o que você fez. O mínimo de 5 conta contas com o cadastro concluído.
• O mapa das áreas: quantas pessoas do clube estão em cada área e, tocando numa área, os primeiros nomes de quem a escolheu (as áreas já aparecem na lista de quem faz parte do clube), para quem está na mesma área agir junto.
• A árvore das mesas: o nome de cada mesa do clube, de qual mesa ela nasceu, quando nasceu, o primeiro nome de quem a lidera e o estado (em formação, ativa, madura, em espera), com a sua mesa em destaque só para você. Não mostra quem mais está em cada mesa, quantas pessoas ela tem, quantas mesas alguém abriu, a chama ou qualquer número de desempenho. Mesas encerradas aparecem só para não partir a linhagem, sem nome nenhum.
• O pulso do clube, que mostra só totais da semana (quantas pessoas, quantas mesas, quantas responderam, quantos vão ao próximo encontro), com limites mínimos para não apontar ninguém: o número de mesas que responderam (aquelas em que todos os membros ativos responderam) só aparece quando há pelo menos 3 mesas ativas, e o de pessoas que chegaram na semana, só quando são 2 ou mais.

Todos os clubes

• A Carta do movimento: no máximo uma por mês, escrita pelo fundador do movimento para todas as pessoas de todos os clubes, com o primeiro nome de quem escreveu (guardado na própria carta). Nada de quem lê é mostrado a ninguém.
• Os testemunhos que você marcar como “Compartilhar com todos os clubes”: o mesmo que o seu clube vê, mais o nome do seu clube. Qualquer pessoa com conta no Clube Santo pode ler. Quem tem menos de 18 anos publica só no mural do clube.
• Os desafios da Missão na cidade: um por área, por mês, escritos pela liderança do movimento para todos os clubes. Nada de quem os faz é mostrado a ninguém.

Testemunho sem nome

Quando você escolhe publicar sem nome, o testemunho aparece como “Alguém do clube” e o seu nome não fica gravado nele. Só os fundadores do clube onde ele foi escrito podem saber que foi você, para cuidar de você e do clube, nunca para expor. Mais ninguém: nem as outras pessoas do clube, nem as de outros clubes, nem a liderança do movimento. As regras do banco impedem esse acesso também por fora das telas do app, e o endereço da foto não leva nenhuma informação sua. Quem se tornar fundador do clube depois (por exemplo, por sucessão) também passa a poder saber.

Se quem escreveu o testemunho é o único fundador do clube, ninguém da liderança do clube cuida das denúncias contra ele (ninguém modera o próprio testemunho). Nesse caso, as denúncias vão à liderança do movimento, que vê o testemunho denunciado, sem o nome, e pode retirá-lo do mural do clube. Por essa regra, a liderança do movimento pode deduzir que quem escreveu é um fundador daquele clube.

A imagem para o Instagram é feita no seu aparelho e não leva nome nem foto. Mas, se você postar no seu perfil a imagem de um testemunho publicado sem nome, quem vê o seu perfil fica sabendo que foi você.

Fundadores e líderes

Quem começa o clube de um lugar pelo app vira fundador daquele clube (e só dele). Fundadores veem o mesmo que o clube e, para cuidar do clube, também: quem está na fila esperando uma mesa e as denúncias feitas na conversa do clube (veja a próxima seção), as denúncias dos temas de oração e os pedidos de ajuda das mesas (só sobre quem é o pedido, em qual mesa, o motivo e o dia do primeiro pedido; nada do que foi escrito na mesa, e sem dizer quem pediu). Quem é ou já foi daquela mesa não cuida do pedido. Podem remover mensagens da conversa do clube, publicar a palavra da semana, remover temas de oração fora do tom e, depois de conversar, tirar alguém de uma mesa. Não podem mudar a cidade ou a região do clube, nem saber quem marcou “Estou orando por isso”.

Os fundadores do clube também têm uma conversa só entre eles, a conversa da liderança, e leem o que as pessoas do clube escolhem escrever em “Falar com a liderança” (veja a próxima seção). A liderança do movimento não lê nenhuma das duas, a não ser que seja fundadora daquele clube.

O painel da liderança, só dos fundadores do clube, mostra totais para cuidar e orar: quantas pessoas há no clube, quantas mesas estão em formação, ativas, maduras e em espera, quantas mesas nasceram de um envio no mês e no total, as ações da Missão na cidade e os testemunhos do mês, e a fila de quem espera uma mesa (primeiro nome, sexo e há quantos dias). Com 5 pessoas ou mais no clube, também médias sem nomes: a porcentagem de mesas ativas em que todos responderam na última semana fechada (só com 3 mesas ativas ou mais, como no pulso) e a média semanal da Palavra no clube na última semana fechada (segunda a domingo), contando só quem esteve no clube a semana inteira e só quando são 5 pessoas ou mais, em faixas de 10 (“cerca de 60%”), nunca 0% nem 100% (aparece “menos de 10%” ou “mais de 90%”). E as “mesas para visitar e orar” (em espera, ou ativas há duas semanas sem nenhuma resposta), só com o nome da mesa e o primeiro nome de quem lidera. Nada disso mostra respostas, pedidos, o registro de alguém, jejum, oração ou a chama de alguém, nem compara mesas ou pessoas.

No mural de testemunhos, os fundadores do clube veem as denúncias dos testemunhos do clube, sabem quem escreveu um testemunho sem nome do próprio clube (para cuidar) e podem retirar um testemunho do mural do clube, o que o tira também do mural de todos os clubes; quem escreveu continua vendo o próprio testemunho. A liderança do movimento vê as denúncias dos testemunhos compartilhados com todos os clubes e pode tirá-los do mural do movimento; eles continuam no clube. Ninguém da liderança vê quem deu “Glória a Deus” nem quem denunciou, e ninguém cuida das denúncias contra o próprio testemunho.

Se o último fundador de um clube excluir a conta ou mudar de clube, a pessoa mais antiga do clube (quem concluiu o cadastro nele primeiro), com 18 anos ou mais, passa a ser fundadora, automaticamente. Menores de 18 não assumem. Se ainda nenhum adulto tiver concluído o cadastro, assume o primeiro que concluir (ou quem completar 18 anos no clube). Para isso, a data em que você concluiu o cadastro fica registrada e a data de nascimento não muda depois do cadastro.

A liderança do clube pode convidar outras pessoas adultas do clube para a liderança (até 12 pessoas). Para montar a lista de quem pode ser convidado, o app usa a sua data de nascimento só para saber se você tem 18 anos ou mais; a data não é mostrada a ninguém, e quem tem menos de 18 anos apenas não aparece na lista. Ninguém entra na liderança sem aceitar o convite, e quem entra não lê o que foi escrito antes na conversa da liderança nem nas conversas com a liderança. Quem está na liderança sai quando quiser (menos a última pessoa, que primeiro convida alguém). Todo convite é avisado aos outros líderes e fica no histórico. Tirar alguém da liderança pede o pedido de uma pessoa da liderança e a confirmação de outra, que já estava na liderança antes do pedido há pelo menos 7 dias, e só depois de 48 horas (tempo para conversar pessoalmente); o motivo, se houver, é lido só pela liderança, nunca pela pessoa, e é apagado quando o pedido termina. A pessoa fica sabendo que existe um pedido sobre a participação dela, sem o motivo e sem saber quem pediu. A liderança atual do clube vê o histórico da liderança dos últimos 2 anos: quem convidou quem, quem aceitou, respondeu “Agora não”, saiu, pediu, confirmou, e quando, com o primeiro nome; nos pedidos sobre você, quem pediu ou confirmou não aparece para você. A liderança do movimento não participa disso.

Fundadores e líderes do clube nunca veem as respostas, os pedidos de oração ou a conversa de uma mesa de que não sejam membros, nem registros diários, jejum, anotações, a chama individual ou as ações da Missão na cidade de ninguém. Da Palavra, os fundadores veem só a média semanal do clube descrita acima, sem nomes, com 5 pessoas ou mais que estavam no clube a semana toda. A liderança do movimento escreve os desafios do mês e também não vê quem fez o quê.

Sobre a sua foto

A foto de perfil fica guardada num endereço público da internet para carregar rápido: quem tiver o link direto consegue abri-la. Use uma foto que você não se importe de mostrar. Você pode trocá-la ou removê-la a qualquer momento no Perfil.

Conversa do clube

Quem é do clube lê e escreve. O texto fica guardado no banco protegido pelas regras de acesso (não é cifrado como o da mesa, porque é uma conversa aberta ao clube). Fotos e áudios ficam num espaço de arquivos privado e abrem por links temporários, que expiram em 30 minutos. Ninguém edita mensagens: quem escreveu pode apagar; a liderança do clube pode remover. Em ambos os casos o conteúdo sai do banco e fica só o aviso de mensagem apagada ou removida. Quem você marca com @ fica guardado junto da mensagem e sai com ela; o “@todos” é só da liderança do clube.

Conversa da mesa

Tem o mesmo cuidado das respostas da mesa: o conteúdo é cifrado no servidor antes de ir para o banco, todos os membros atuais da mesa (até 12 pessoas) leem, e só o que foi escrito depois que entraram. Nem fundador, nem líder do clube, nem administrador do banco lê. Só quem escreveu pode apagar a própria mensagem, inclusive depois de sair da mesa (em Perfil, Privacidade e dados); não existe moderação da liderança sobre o conteúdo da mesa (veja “Denunciar”). Quem é marcado com @ vai dentro da mensagem cifrada, e qualquer pessoa da mesa pode usar o “@todos”.

Conversa da liderança

Só quem funda o clube lê e escreve, e só enquanto for fundador: quem deixa de ser perde o acesso na hora, e quem passa a ser fundador lê só o que foi escrito dali em diante (as mensagens, fotos e áudios de antes continuam fora do alcance dele). Quem deixou de ser fundador pode apagar o que escreveu nessa conversa, sem ler o que os outros escreveram, em Perfil, Privacidade e dados. Serve para a liderança combinar entre si. Funciona como a conversa do clube: o texto fica guardado no banco protegido pelas regras de acesso; fotos e áudios ficam num espaço de arquivos privado e abrem por links temporários, que expiram em 10 minutos; ninguém edita, e quem escreveu pode apagar. Não há moderação: “Denunciar” esconde a mensagem só para quem tocou, e o bloqueio vale como nas outras conversas. A liderança do movimento não lê, a não ser que seja fundadora daquele clube.

Falar com a liderança

Se você quiser, pode escrever para a liderança do seu clube: uma dúvida, um pedido de oração, uma ideia ou algo que precise de cuidado. É você quem escolhe escrever. Só você e os fundadores atuais do seu clube leem essa conversa; mais ninguém: nem as outras pessoas do clube, nem a liderança do movimento (a não ser que seja fundadora do clube). A liderança vê o seu primeiro nome, o que você escreveu e as datas, e pode marcar a conversa como resolvida. A resposta aparece para você como “Liderança do clube”: guardamos quem respondeu, como registro, mas isso não é mostrado a você. Só texto, até 2.000 caracteres por mensagem; para evitar abuso, até 5 conversas novas e 30 mensagens por dia. Se você sair do clube, continua vendo as suas conversas e pode apagá-las, mas não escreve mais nelas; a liderança daquele clube continua vendo até você apagar.

A página mostra o primeiro nome de quem lê hoje (os fundadores atuais do clube). Se a liderança mudar, quem assumir não lê o que foi escrito antes: a conversa antiga continua com você, só para leitura, e você pode apagá-la ou começar outra com a liderança de agora. Se você também é da liderança, o que escreve aqui vai para os outros fundadores; se não houver mais ninguém na liderança do clube, não há como começar uma conversa, porque ninguém a leria. Quem tem menos de 18 anos não usa “Falar com a liderança”: para conversar com a liderança, fala com o responsável ou procura a liderança pessoalmente, na igreja.

Filtro automático

Para o clube ser um lugar seguro para todos, inclusive para quem tem menos de 18 anos, o app confere alguns conteúdos antes de eles chegarem a alguém. Nenhuma pessoa participa dessa conferência; é uma máquina, e ela não guarda o que confere.

• Fotos (conversa do clube, conversa da mesa, conversa da liderança, foto de perfil e testemunhos): primeiro o próprio aparelho confere a foto com um modelo que roda no celular, sem enviar nada a ninguém; se for claramente explícita, ela é barrada ali mesmo. Depois, ao enviar, cada foto é enviada ao serviço Google Cloud Vision, que devolve só uma classificação (nudez, conteúdo sexual, violência). A foto não fica guardada no Google. Se a classificação indicar nudez ou sexo, violência explícita ou conteúdo sensual no extremo, a foto não é enviada e você recebe um aviso. Isso vale também para a mesa: a mesa continua sem moderação humana, mas a foto passa pela máquina antes de chegar aos membros.
• Links (em qualquer mensagem, legenda ou tema de oração): o domínio é conferido numa lista pública de sites adultos, guardada no nosso banco, e o link é enviado ao Google Safe Browsing para saber se aponta para golpe ou vírus. Links encurtados são seguidos até o destino. Se cair em alguma dessas conferências, a mensagem não é enviada.
• Palavras: só na conversa do clube, nos temas de oração e nos testemunhos (título e texto), uma lista curta de nomes de sites pornôs e termos sexuais crus. Palavras como “pornografia”, “sexo” e “nudez” nunca são barradas: elas aparecem em confissão, testemunho e aconselhamento. Na mesa, o texto não passa por filtro de palavras; é o lugar da confissão. Nas conversas com a liderança também não: são lugar de pedir ajuda, e às vezes é preciso contar o que se ouviu.
• Áudios não passam por filtro automático. Contam com a denúncia e o bloqueio.

O filtro pode errar. Se uma foto ou mensagem sua for barrada sem motivo, escreva para o e-mail no fim desta página.

Denunciar

• Ao denunciar uma mensagem, ela some para você na hora.
• No clube, o fundador do clube vê a mensagem denunciada, o motivo, a observação que você escrever e a data. Quem denunciou não é entregue a ele: nem o app mostra, nem o banco de dados libera essa informação para a liderança. Ele pode remover a mensagem ou mantê-la. Evite se identificar na observação se não quiser ser reconhecido.
• Nos testemunhos, o testemunho denunciado some para você na hora. Os fundadores do clube onde ele foi escrito e, se ele estiver compartilhado com todos os clubes, a liderança do movimento veem o testemunho, o motivo, a observação que você escrever e a data, sem saber quem denunciou. Cada pessoa denuncia um testemunho uma vez.
• Nos temas de oração, o tema denunciado some para você na hora. Os fundadores do clube veem o tema, o motivo, a observação que você escrever e a data, sem saber quem denunciou, e podem retirá-lo da lista ou mantê-lo. Se quem propôs o tema é o único fundador do clube, a denúncia vai à liderança do movimento.
• Na mesa, nada do que foi escrito sai dela: a liderança do clube não lê a mesa. Denunciar uma mensagem esconde a mensagem para você. Você também pode bloquear a pessoa, sair da mesa e pedir ajuda à liderança do clube: o pedido leva só a mesa, a pessoa e o motivo (sem texto, sem a mensagem, sem dizer quem pediu nem quantas pessoas pediram). A liderança não é informada de quem pediu; numa mesa de duas pessoas, porém, ela e a própria pessoa podem entender que foi você. Quem cuida é um fundador do clube que nunca foi daquela mesa; se não houver, a liderança do movimento. A liderança conversa com a pessoa e, se for preciso, a tira da mesa.

Bloquear

Você pode bloquear alguém do seu clube. As mensagens dessa pessoa deixam de aparecer para você, na conversa do clube e na da mesa, e também os pedidos de oração dela na mesa, os temas de oração que ela propôs e os testemunhos que ela publicou com nome. Testemunho publicado sem nome não entra no bloqueio, para o bloqueio nunca revelar quem escreveu; se algum incomodar, denuncie. Ela não é avisada, e o bloqueio vale só para você: ela continua vendo as suas mensagens e os seus testemunhos, como antes, e nada no app mostra a ela que foi bloqueada. Se ela marcar você com @, o aviso não chega a você. Você desfaz o bloqueio quando quiser.

Para o app funcionar, contamos com alguns serviços (os operadores), que tratam dados só para nos atender, conforme as nossas instruções:

• Supabase: banco de dados, login, armazenamento de arquivos e as tarefas diárias (como o cálculo da chama e os lembretes). O projeto está hospedado na região de São Paulo.
• Resend: envia os e-mails de acesso (o código, o link de entrada e o de criar uma nova senha) a pedido do serviço de login. Recebe só o seu e-mail e a mensagem. Pode processar dados fora do Brasil (veja “Transferência internacional”).
• Vercel: hospeda e entrega o app. Pode processar dados fora do Brasil (veja “Transferência internacional” abaixo).
• Serviços de notificação dos navegadores (Google, Apple, Mozilla, conforme o seu aparelho): entregam as notificações. O texto da notificação viaja cifrado pelo padrão Web Push; o serviço sabe que há uma mensagem para aquele aparelho, mas não lê o conteúdo. No app de iPhone, os avisos vão pelo serviço de notificações da Apple (APNs), que entrega o título e o texto curto do aviso; por isso nenhum aviso traz o texto das conversas, as respostas da mesa nem números da chama.
• OpenStreetMap (Nominatim): quando alguém cria ou edita um evento sem coordenadas, o nosso servidor envia o endereço digitado do evento para descobrir o ponto no mapa. Nenhum dado de pessoas vai junto.
• Texto bíblico: a Bíblia Livre (a versão padrão) e a Tradução Brasileira ficam no nosso próprio banco de dados. Para as outras versões, o nosso servidor pede o texto à YouVersion ou à bible-api.com, informando só a versão e a passagem (por exemplo, “Marcos 1”), inclusive quando alguém manda um versículo numa conversa. Nenhum dado seu vai junto: esses serviços não sabem quem está lendo.
• Google Cloud Vision e Google Safe Browsing: o nosso servidor envia cada foto que alguém tenta publicar (conversas, perfil e testemunhos) ao Cloud Vision, que devolve só uma classificação de nudez, sexo e violência, e envia os links das mensagens ao Safe Browsing, que devolve só se o endereço é conhecido por golpe ou vírus. O Google não recebe quem enviou nem guarda a foto ou o link depois da resposta. Processa fora do Brasil (veja “Transferência internacional”).
• Google Cloud Text-to-Speech: para a voz do Clube Santo ler a Bíblia em voz alta, o nosso servidor envia ao Google só o texto bíblico das versões livres (domínio público ou licença aberta), uma vez por capítulo. Nenhum dado seu vai junto, e o áudio fica guardado no nosso provedor de arquivos.
• Ilustrações da Família (IA do Google): as imagens das histórias são geradas pelo movimento, antes de ir ao app, com o serviço de imagens do Google, a partir só da descrição de cada cena, e aprovadas por uma pessoa. Nenhum dado seu, da sua família ou de uma criança é enviado. As imagens ficam num espaço público do nosso provedor de arquivos, sem nada pessoal.
• ViaCEP: quando você procura o clube do seu lugar, o nosso servidor envia só o CEP digitado para saber a cidade, o estado e o código do município. Seu nome, e-mail ou qualquer outro dado seu não vão junto, e o CEP não fica guardado.

Quando você toca para conversar com alguém no WhatsApp (por uma carona) ou para compartilhar um convite, o app apenas abre o WhatsApp no seu aparelho. O que você manda por lá segue as regras do WhatsApp.

Se você pediu o convite para a comunidade do Clube Santo no WhatsApp, a liderança do movimento envia o convite pelo WhatsApp (da Meta) para o número que você informou. A comunidade fica no WhatsApp, fora do app: entrar nela é escolha sua, e lá valem as regras e a política de privacidade do WhatsApp; quem administra a comunidade pode ver o seu número. Nada do que você registra no app (mesa, conversas, registros, chama) vai para a comunidade.

Se você fizer uma oferta por Pix (em “Doar”, quando essa opção aparecer no Perfil), ela acontece no app do seu banco, fora do Clube Santo. O app só mostra o código Pix e o nome de quem recebe: não registra quem doou nem o valor. Quem recebe é uma pessoa, a que cuida do Clube Santo, e ela vê o seu nome e o valor no extrato do próprio banco, como em qualquer Pix. No app de iPhone, a página da oferta abre no navegador.

Fora isso, só compartilhamos dados se a lei ou uma ordem judicial obrigar, e apenas o estritamente exigido.

Transferência internacional

Alguns desses provedores são empresas estrangeiras e podem processar dados fora do Brasil, em especial a Vercel, o Resend e os serviços de notificação (e o WhatsApp, para quem pediu o convite da comunidade). Quando isso acontece, a transferência segue o art. 33 da LGPD, com as garantias de proteção de dados que esses provedores oferecem em seus termos. Ao aceitar esta política, você fica ciente dessa transferência.

• Enquanto a sua conta existir. Pelo próprio app, você pode a qualquer momento corrigir seus dados de perfil, editar ou apagar suas anotações, remover seus pedidos de oração, apagar as suas mensagens nas conversas e trocar ou remover a sua foto.
• Mensagens das conversas: ficam guardadas até você apagá-las ou excluir a conta (no clube, também até a liderança removê-las). Ao apagar, o conteúdo, o arquivo e a lista de quem foi marcado com @ saem na hora; fica só o aviso de mensagem apagada. Se outra pessoa marcou você numa mensagem dela, a mensagem é dela: continua com a marcação e o seu nome como ela escreveu, até ela apagar, mesmo que você saia do clube ou exclua a conta. Uma cópia de anotação compartilhada com a mesa é uma mensagem como as outras. Se você saiu de uma mesa, pode apagar as mensagens que escreveu nela (mensagens e estudos do caderno compartilhados) em Perfil, Privacidade e dados, “Apagar minhas mensagens e estudos de mesas anteriores”.
• Conversas com a liderança: as mensagens da conversa da liderança ficam até quem escreveu apagá-las ou excluir a conta. As conversas de “Falar com a liderança” ficam até você apagá-las (a conversa inteira, com as respostas) ou excluir a conta; se quem respondeu pela liderança excluir a conta, a resposta continua na sua conversa, como “Liderança do clube”, e o registro de quem respondeu é apagado. Para o limite diário, guardamos só quem escreveu e quando, por 2 dias.
• Liderança do clube: convites para a liderança e pedidos para alguém deixar a liderança ficam até 30 dias depois de respondidos, cancelados ou vencidos (o convite vence em 14 dias; o pedido, em 7); o motivo de um pedido é apagado assim que ele termina. O histórico da liderança fica 2 anos e depois é apagado numa limpeza diária.
• Fotos e áudios sem dono: um arquivo que ficou sem mensagem ou resposta que aponte para ele (um envio interrompido, um áudio regravado, uma remoção que falhou no meio) é apagado automaticamente numa limpeza diária, depois de pelo menos 1 hora.
• Clube que fica vazio: quando ninguém mais está num clube, ele é apagado com o plano de leitura, os eventos do Movimento, as mesas, as conversas e as denúncias, e o lugar fica livre para um novo clube. O clube de Águas Formosas, onde o movimento nasceu, nunca é apagado.
• Temas de oração: ficam na lista do clube por 30 dias e são apagados automaticamente depois de 90, com as marcas “Estou orando por isso”. Quem propôs pode apagar o tema antes; a liderança pode remover temas fora do tom.
• Palavra da semana: fica guardada enquanto o clube existir, e só a desta semana aparece na tela Hoje.
• Testemunhos: ficam no mural até você apagá-los ou excluir a conta (ou até a liderança retirá-los do mural; nesse caso só você continua vendo). Ao apagar, a foto sai junto, com as marcas “Glória a Deus” e as denúncias daquele testemunho. Se o clube onde ele foi escrito ficar vazio e for apagado, os testemunhos dele saem junto.
• Missão na cidade: os seus registros (“Fiz”) e as notas ficam até você apagá-los ou excluir a conta. O contador do clube, que não guarda pessoa, continua enquanto o clube existir.
• Família: o progresso das histórias fica até você excluir a conta.
• Destaques e salvos da Bíblia: ficam até você tirá-los ou excluir a conta.
• Convite para a comunidade no WhatsApp: a sua escolha e as datas (quando marcou e, se for o caso, quando retirou) ficam enquanto a conta existir, para mostrar quando você consentiu e quando retirou; saem quando você exclui a conta. Apagar o seu WhatsApp do perfil também retira o consentimento.
• Pedidos para abrir uma mesa: ficam até você excluir a conta. A mesa nova continua na árvore do clube depois disso, sem o seu nome.
• Sinais de tempo real das conversas: apagados automaticamente depois de 2 dias, numa limpeza diária.
• Exclusão em um clique. Em Perfil, Privacidade e dados, “Excluir minha conta” apaga o seu acesso, o seu perfil e os dados ligados a ele: registros diários e anotações, o seu caderno e os estudos que você compartilhou com mesas, respostas da mesa, pedidos de oração, participação em mesas e na fila, os seus pedidos para abrir uma mesa (a mesa nova continua na árvore, sem o seu nome), presenças e caronas, convites que você criou, avisos da chama sobre você, preferências e inscrições de notificação, as conversas que você silenciou, a sua foto, os áudios que você gravou para a mesa, o histórico da sua chama individual e, nas conversas do clube e da mesa, as suas mensagens, fotos, áudios e reações, as denúncias que você fez e os seus bloqueios, as suas conversas com a liderança (com as respostas) e o que você escreveu na conversa da liderança (as respostas que você deu como liderança nas conversas de outras pessoas continuam lá, sem o seu nome, como “Liderança do clube”), os temas de oração que você propôs e as suas marcas “Estou orando por isso”, os testemunhos que você escreveu (com as fotos, as marcas “Glória a Deus” e as denúncias deles), as suas marcas “Glória a Deus”, as denúncias que você fez e os seus registros e notas da Missão na cidade (o total que o clube já viu, que não guarda pessoa, não muda), o progresso da Família, os seus destaques e salvos da Bíblia, os convites para a liderança que você recebeu e os pedidos que você fez para alguém deixar a liderança (no histórico da liderança, o registro fica sem o seu nome). Eventos que você criou continuam no Movimento do clube, sem o seu nome, uma palavra da semana ou mensagem da liderança que você publicou continua no clube, assinada só como “Liderança do clube”, e uma carta do movimento que você escreveu continua publicada, assinada só como “Clube Santo”. Um clube que você começou continua existindo para quem está nele, sem o registro de que foi você; se você era o último fundador, a pessoa adulta mais antiga do clube assume, e se ninguém mais ficar, o clube é apagado (veja “Clube que fica vazio”).
• Registro do filtro de conteúdo (quem, onde e motivo de cada bloqueio; sem o conteúdo): apagado automaticamente depois de 90 dias.
• Registro de notificações enviadas: apagado automaticamente numa limpeza diária: o dos lembretes depois de 60 dias; o dos avisos de conversa (inclusive o de marcação com @ no clube), depois de 1 dia.
• Rascunho das respostas da mesa (guardado só no seu aparelho): apagado quando você envia as respostas.
• Cópias de segurança técnicas dos provedores, quando existem, são substituídas periodicamente e não são usadas para recuperar contas excluídas.

Pela LGPD (art. 18), você pode, a qualquer momento:

• confirmar se tratamos dados seus e acessá-los;
• corrigir dados incompletos, inexatos ou desatualizados;
• pedir anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei;
• receber seus dados num formato que permita levá-los a outro serviço (portabilidade);
• pedir a eliminação dos dados tratados com o seu consentimento;
• saber com quem compartilhamos os seus dados;
• saber que pode não consentir, e o que acontece nesse caso;
• revogar o consentimento.

Direto no app

• Acessar e levar seus dados: Perfil, Privacidade e dados, “Exportar meus dados”. Você baixa um arquivo com o seu perfil (com a escolha do convite da comunidade no WhatsApp e as datas), registros diários, presenças, preferências, as suas respostas e pedidos de oração já decifrados e as mensagens que você escreveu nas conversas do clube e da mesa (texto, versículos, tipo e data; as da mesa, já decifradas), os temas de oração que você propôs, os temas em que marcou “Estou orando por isso”, as palavras da semana que publicou, o seu caderno (já decifrado), os estudos que compartilhou com mesas, as mensagens da liderança que publicou, as cartas do movimento que escreveu, os seus testemunhos (inclusive os sem nome e os retirados do mural), em quais testemunhos você marcou “Glória a Deus”, as suas ações da Missão na cidade (com as notas já decifradas; as suas áreas estão no perfil), os seus pedidos para abrir uma mesa, o progresso da Família, os seus destaques e salvos da Bíblia (só as referências, sem o texto) e as suas conversas com a liderança (as conversas que você abriu, o que você escreveu nelas e as respostas da liderança a você, sem o nome de quem respondeu, como “Liderança do clube”; e, se for ou tiver sido da liderança, o que você escreveu na conversa da liderança), os convites para a liderança do clube que recebeu e que fez, os pedidos que fez para alguém deixar a liderança e o histórico da liderança em que você aparece. Fora isso, mensagens de outras pessoas não entram. De fotos e áudios, o arquivo traz o tipo e o nome do arquivo, sem link; se quiser uma cópia dos próprios arquivos, peça pelo e-mail abaixo.
• Corrigir: Perfil, Sobre você.
• Retirar o consentimento do convite da comunidade no WhatsApp (ou dar de novo): Perfil, Privacidade e dados, “Quero receber o convite para a comunidade do Clube Santo no WhatsApp”. Retirar não muda nada no resto do app. Se você já entrou na comunidade, saia também por lá, no WhatsApp.
• Eliminar e revogar o consentimento: Perfil, Privacidade e dados, “Excluir minha conta”.
• Apagar o que você escreveu numa mesa de que saiu: Perfil, Privacidade e dados, “Apagar minhas mensagens e estudos de mesas anteriores”.
• Apagar o que você escreveu na conversa da liderança de um clube em que não é mais da liderança: Perfil, Privacidade e dados, “Apagar o que escrevi em conversas da liderança anteriores” (o botão aparece quando há algo seu para apagar). Se preferir, peça pelo e-mail abaixo.

Por e-mail

Para qualquer outro pedido, escreva para santooclube@gmail.com. Podemos pedir uma confirmação simples de que a conta é sua, para não entregar dados à pessoa errada. Respondemos em até 15 dias (art. 19). Se não ficar satisfeito, você pode reclamar à Autoridade Nacional de Proteção de Dados, a ANPD (gov.br/anpd (abre em nova aba)).

Quem tem menos de 18 anos só entra no Clube Santo com o convite de um responsável cadastrado no clube. O responsável fica vinculado ao perfil do menor, e esse convite é a forma como ele autoriza e acompanha a participação. Sem ele, o cadastro não é concluído.

Quem tem menos de 18 anos publica testemunhos só no mural do próprio clube: a opção de compartilhar com todos os clubes não aparece, e o banco de dados também não aceita.

Quem tem menos de 18 anos não usa “Falar com a liderança”: para conversar com a liderança, fala com o responsável ou procura a liderança pessoalmente, na igreja. O formulário não aparece, e o banco de dados também não aceita. A idade é conferida pela data de nascimento na hora de escrever.

Na área Família, as histórias são para os pais lerem com os filhos no próprio celular: a criança não tem conta, e nada sobre ela é guardado. O progresso fica na conta do adulto.

Quem tem menos de 18 anos não recebe o convite para a comunidade do Clube Santo no WhatsApp: a opção não aparece, e o banco de dados também não aceita.

Tratamos dados de crianças e adolescentes sempre no melhor interesse deles (art. 14 da LGPD). O responsável pode pedir acesso, correção ou exclusão dos dados do menor pelo e-mail santooclube@gmail.com.

Cuidamos dos seus dados com medidas técnicas e de organização, entre elas:

• regras de acesso no próprio banco de dados, por pessoa e por mesa, que valem mesmo se alguém tentar acessar os dados por fora das telas do app;
• criptografia AES-256-GCM das respostas da mesa, dos pedidos de oração e da conversa da mesa, com a chave fora do banco;
• fotos e áudios das conversas e fotos dos testemunhos em espaço de arquivos privado, abertos só por links temporários;
• conexões sempre cifradas (HTTPS);
• entrada por link ou código enviado a você, ou por senha guardada de forma protegida pelo serviço de login;
• cálculos sensíveis, como a chama, feitos só no servidor.

Ainda assim, sendo honestos: nenhum sistema é infalível. Se acontecer um incidente de segurança que possa trazer risco ou dano relevante a você, vamos comunicar você e a ANPD, dizendo o que aconteceu, quais dados foram afetados e o que estamos fazendo (art. 48).

A sua parte também conta: proteja o acesso ao seu e-mail e ao seu celular, use bloqueio de tela e, em aparelho compartilhado, saia da conta ao terminar.

Usamos apenas cookies de sessão, necessários para manter você conectado, e um cookie de preferência que guarda só se o leitor da Bíblia está no modo Noite (para a página já abrir escura), e outro, cs_reader_layout, que guarda as opções de leitura da Bíblia (fonte, espaçamento, um versículo por linha e títulos de seção) por até 1 ano, para o capítulo já abrir do seu jeito; nada pessoal. Há ainda um cookie técnico,cs_canal, que indica se o app foi aberto pela loja (Android/iOS), para cumprir licenças; não guarda dado pessoal. Dois cookies técnicos são só de passagem: o do convite que você abriu, que guarda o código até você terminar de entrar (por até 7 dias), e o da recuperação de senha, que leva você a criar a nova senha depois de entrar pelo e-mail de recuperação e sai quando a senha é salva ou você sai da conta. Não usamos cookies de publicidade, de estatística nem de rastreamento.

Para o app ser rápido e funcionar sem internet, alguns dados ficam guardados só no seu aparelho:

• o tema (claro ou escuro), o tamanho do texto do app, o tamanho da letra da leitura, as opções de leitura da Bíblia (fonte, espaçamento, um versículo por linha, títulos de seção e se a tela fica acesa enquanto você lê), a velocidade e a voz escolhidas no “Ouvir” e se o aviso de instalar o app já apareceu desde que você o abriu;
• o rascunho das respostas da mesa enquanto você escreve, apagado quando você envia e quando você sai da conta ou a exclui;
• o rascunho de uma anotação do Caderno que você ainda não salvou (em texto aberto, só neste aparelho; não vai ao servidor), apagado quando você salva ou descarta, depois de 7 dias e quando você sai da conta ou a exclui;
• os registros do dia feitos sem internet, até serem enviados ou por até 7 dias; vão só para a sua conta, nunca para a de outra pessoa que entre no mesmo aparelho, e são apagados se você excluir a conta;
• uma cópia da tela Hoje e da leitura do dia (com o seu registro do dia), para abrirem sem rede, guardada por até 1 dia e apagada quando você sai da conta ou a exclui; as outras telas (caderno, mesa, missão, perfil e as demais) não ficam guardadas no aparelho;
• cópias do texto bíblico e das fotos de perfil, para abrir sem rede (as fotos também saem quando você sai da conta).
• a Bíblia que você baixar em “Ler sem internet” (só versões livres, inteiras): o texto fica num banco de dados do próprio aparelho, só se você pedir, e você remove quando quiser, no Perfil. Não tem nada seu ali, por isso continua no aparelho quando você sai da conta. No app de iPhone essa opção não aparece;
• no app de iPhone: o identificador de avisos do aparelho, enquanto os avisos estiverem ativos, se a vibração leve está ligada e o lembrete da Palavra do dia agendado no próprio iPhone (com o dia em que você marcou a Palavra aqui), que não sai do aparelho;
• quando você abriu “Minha chama” pela última vez, para mostrar um pontinho discreto se houver um pedido de oração da sua mesa que você ainda não viu; apagado quando você sai da conta ou a exclui;
• a data de publicação da mensagem da liderança e da carta do movimento mais recentes que você já viu (não a hora em que você abriu), para mostrar um pontinho discreto se houver mensagem ou carta mais nova; apagada quando você sai da conta ou a exclui;
• a data do aviso da liderança do clube para você que você já abriu (um pedido sobre a sua participação na liderança, ou o encerramento dela), para o pontinho do menu sumir; apagada quando você sai da conta ou a exclui;
• a data (do servidor) da mensagem ou do pedido de oração de outra pessoa mais recente que você já viu na Mesa e da resposta a você mais recente que viu na conversa do Clube, para o pontinho de novidade na barra, e a do pedido de oração mais recente que você viu na aba Semana da mesa, para o pontinho dela. Nunca o conteúdo nem quem escreveu. Apagadas quando você sai da conta ou a exclui;
• se você fechou o cartão “Seus primeiros passos” da tela Hoje e se a pergunta do dia de jejum já apareceu para você neste aparelho (só isso: não diz se você jejuou). Ficam no aparelho mesmo depois de sair da conta, para o cartão e a pergunta não voltarem;
• outras marcas de conveniência, sem conteúdo: se você já fechou a acolhida do plano de leitura, se já viu a carta do mês na tela Hoje, o tempo escolhido na oração guiada e se a música dela está ligada, com o volume (o som é gerado no próprio aparelho, sem baixar nada), quantas vezes a dica do menu das conversas já apareceu, o próximo encontro que você escondeu na aba Clube e, só enquanto o app está aberto, a aba do Perfil em que você estava;
• durante uma recuperação de senha, o e-mail para o qual você pediu o código, só naquela aba do navegador e por até 1 hora, para o código levar você a criar a nova senha;
• as referências das últimas leituras que você abriu na Bíblia (até 8: livro, capítulo, o versículo escolhido e a sigla da versão, sem o texto) e o versículo em que você parou no último capítulo, para continuar de onde parou e para a faixa “Recentes”; apagadas quando você sai da conta ou a exclui;
• qual nota do Caderno você estava escrevendo (só o código dela e a hora, nunca o título nem o texto), por até 12 horas, para “Notas” reabrir nela; apagada quando você volta à lista de notas ou sai da conta. Quando você vai da nota para a Bíblia, a mesma marca vale só naquela aba, por até 4 horas, para o “voltar” levar você à nota;
• os pontos de oração que você marca no seu dia de jejum: ficam só no aparelho e só naquele dia, e saem quando você sai da conta ou a exclui;
• se o modo criança da Família está ligado neste aparelho, com a senha de 4 números guardada só como um código embaralhado (hash com sal), nunca a senha e nunca no servidor. É uma trava de conveniência, não de segurança, e é apagada quando você sai da conta ou a exclui.

As fotos e os áudios das conversas não ficam guardados no aparelho pelo app: abrem sempre pela internet.

Esses dados não saem do aparelho por conta própria. Você pode apagá-los limpando os dados do site nas configurações do navegador.

Se mudarmos a forma como tratamos os seus dados, publicamos uma nova versão com a data em que passa a valer, no topo desta página. Quando isso acontecer, o app mostra o que mudou e pede o seu novo aceite antes de você continuar. Se não concordar, você pode baixar seus dados e excluir a conta.

O que mudou na versão 8

• Agora dá para marcar alguém com @ nas conversas. No clube, a mensagem guarda quem você marcou, junto do texto, e isso sai quando a mensagem é apagada. Na mesa, quem foi marcado vai dentro da mensagem cifrada: só quem é da mesa vê.
• Quem é marcado recebe um aviso, sem o texto da mensagem. No clube aparece só o primeiro nome de quem marcou; na mesa, nenhum nome. No clube, o registro técnico desse aviso fica guardado por 1 dia; na mesa, não há registro de quem foi marcado.
• A marcação pelo seu nome avisa mesmo com o sino da conversa silenciado. Para não receber, desligue “Quando me marcarem” no Perfil. O silêncio à noite e o bloqueio continuam valendo. O “@todos” respeita o sino e, no clube, só a liderança usa.
• Na conversa do clube, o título abre “Quem faz parte”: quem é do clube vê o nome, a foto e quem é da liderança, e pode buscar pelo nome. É o mesmo que o clube já via na lista de pessoas.
• No Perfil pode aparecer “Doar”: uma oferta voluntária por Pix, para ajudar a manter o Clube Santo. Ela é feita no app do seu banco, direto para quem cuida do Clube Santo, e não libera nada no app. Não guardamos quem doou nem quanto.
• Você pode baixar a Bíblia para ler sem internet, nas versões livres. O texto fica guardado no seu aparelho, só se você pedir, e você apaga quando quiser. Não é dado seu: é só o texto bíblico.
• O app guarda no seu aparelho mais algumas marcas simples: o versículo em que você parou na Bíblia, qual nota você estava escrevendo (nunca o texto), as opções de leitura e se a tela fica acesa. As opções de leitura também ficam num cookie, para a página já abrir do seu jeito.
• A versão padrão da Bíblia agora é a Bíblia Livre, que fica no nosso próprio banco, como a Tradução Brasileira. Outras versões vêm de serviços de texto bíblico, a quem o nosso servidor informa só a versão e a passagem, nunca quem está lendo.

Saulo Souza · Águas Formosas, MG
E-mail: santooclube@gmail.com

Veja também os Termos de uso e a nossa página de suporte, com as dúvidas mais comuns.