Política de Privacidade do Fellows

Versão v1. Última atualização: [PENDENTE: data de publicação]

Esta política explica quais dados pessoais a Harpia Lab trata no Fellows (apps para iOS e Android, app web em app.fellows.harpialab.com e site fellows.harpialab.com), para quê, com quem compartilha, por quanto tempo guarda e como você exerce seus direitos pela Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018).

1. Quem somos

Harpia Lab, Curitiba/PR, CNPJ [PENDENTE: CNPJ]. Contato de privacidade: [PENDENTE: e-mail de privacidade].

Somos a controladora dos dados descritos aqui.

2. A quem se aplica

• Visitantes do site fellows.harpialab.com.
• Quem cria uma conta no Fellows. O Fellows é só para maiores de 18 anos no Brasil (seção 9).
• Quem abre o link público de uma atividade (por exemplo, recebido no WhatsApp) sem ter conta.

3. Quais dados tratamos e por quê

3.1 Conta e login

E-mail e senha (a senha fica com o serviço de login do Google, nós não a vemos), ou o login com Google ou Apple (recebemos o e-mail e, se você permitir, o nome dessa conta). Telefone celular, confirmado por SMS; um telefone por conta.

Para criar e proteger sua conta e prestar o serviço (execução de contrato, art. 7º, V).

3.2 Identidade e verificação de idade

Nome completo, data de nascimento e CPF.

Usamos esses dados para confirmar que você é uma pessoa real, maior de 18 anos, e que cada pessoa tem uma só conta. Um provedor de consulta de CPF confirma que o CPF existe, está regular e que nome e data de nascimento batem com ele. CPF de menor de idade, inválido, já usado, banido ou com situação irregular (cancelado, suspenso, de pessoa falecida) não passa.

Base legal: legítimo interesse em manter a plataforma segura e evitar fraude, perfis falsos e menores de idade (art. 7º, IX), e execução do contrato, que só existe com maiores de 18 (art. 7º, V). [PENDENTE: jurídico confirmar se a verificação de idade também é cumprimento de obrigação legal (art. 7º, II), por exemplo pela Lei 15.211/2025 (ECA Digital)]. O CPF não é dado sensível pela LGPD; mesmo assim, guardamos o mínimo:

• Não guardamos o CPF em claro. Guardamos um código derivado dele (hash HMAC-SHA256, com chave secreta) para impedir duas contas com o mesmo CPF, e os 3 últimos dígitos para o suporte confirmar que é você.
• Enquanto a verificação não termina, o CPF fica cifrado (AES-256-GCM) só para repetir a consulta ao provedor. Essa cópia é apagada quando a verificação dá certo, quando as tentativas acabam (3 no total), depois de 30 dias sem verificar ou quando você exclui a conta, o que vier primeiro.
• Nome completo e data de nascimento ficam guardados. Para outros usuários mostramos só o primeiro nome, a inicial do sobrenome e a idade (seção 5).

3.3 Perfil

Gênero (feminino, masculino ou outro), foto de perfil (obrigatória), bio curta (opcional, até 160 caracteres), modalidades de interesse, se você quer mostrar sua nota (desligado até você ligar) e os contadores da sua conta: atividades concluídas, criadas, faltas e cancelamentos em cima da hora.

Para montar seu perfil, aplicar o público das atividades (por exemplo, "só mulheres") e dar confiança a quem vai praticar com você (art. 7º, V).

O gênero é autodeclarado e usado só para as regras de público das atividades. Não pedimos nem tratamos dados de saúde, orientação sexual, religião ou origem racial.

Fotos e biometria. Toda foto enviada (perfil e capa de atividade) passa por uma checagem automática de conteúdo (Google Cloud Vision SafeSearch), que só avalia se a imagem tem nudez, violência ou conteúdo impróprio. Não fazemos reconhecimento facial nem extraímos dados biométricos das fotos.

3.4 Localização

• Base: cidade e bairro que você escolhe, ou "usar minha localização" no cadastro. Guardamos um ponto aproximado da sua base para buscar atividades perto e, se você ligar, avisar sobre atividade nova perto de você. Outros usuários veem só cidade e bairro.
• Posição atual: só quando você usa o app e dá permissão no celular, para buscar atividades perto de onde você está. Nunca acessamos sua localização em segundo plano. [PENDENTE: confirmar por quanto tempo a posição enviada na busca fica nos registros técnicos (seção 3.10)].
• Busca de locais: o texto que você digita para achar um endereço (e, se houver, sua posição para priorizar resultados próximos) vai para o Google Maps Platform, pelo nosso servidor.

Base legal: execução do contrato (art. 7º, V). A posição atual depende também da permissão que você dá no sistema do celular, que você pode retirar a qualquer momento.

3.5 Atividades e participação

As atividades que você cria (título, descrição, modalidade, local, ponto de encontro, data, vagas, público, nível, foto de capa, link externo opcional), os pedidos de participação, aceites, recusas, fila de espera, saídas e a presença marcada pelo organizador.

Para o serviço funcionar (art. 7º, V) e para manter os contadores de faltas e cancelamentos que dão confiança à comunidade (legítimo interesse, art. 7º, IX).

3.6 Avaliações

Depois de uma atividade, quem esteve presente avalia os outros presentes com 1 a 5 estrelas e até 3 etiquetas de uma lista fixa (por exemplo, "pontual" ou "atrasou"). Não existe texto livre. A avaliação é anônima: quem é avaliado não sabe quem deu qual nota. Registramos quem avaliou quem, para impedir avaliação repetida e para a moderação investigar abuso.

Base legal: legítimo interesse em dar confiança à comunidade (art. 7º, IX).

3.7 Mural da atividade

Mensagens de texto que você escreve no mural de uma atividade, visíveis ao organizador e aos participantes aceitos (art. 7º, V).

3.8 Denúncias, bloqueios e moderação

Denúncias que você faz ou recebe (motivo, comentário opcional, o que foi denunciado e, no caso de mensagem, as mensagens ao redor), bloqueios, advertências, suspensões e banimentos, e o histórico das ações da equipe de moderação.

Para segurança dos usuários, prevenir abuso e nos defender em processos (legítimo interesse, art. 7º, IX, e exercício regular de direitos, art. 7º, VI).

3.9 Notificações

O identificador do seu aparelho para notificações (token de push), as notificações enviadas e suas preferências por tipo. Push só com sua permissão no celular; você desliga cada tipo em Configurações (art. 7º, V).

3.10 Registros técnicos de acesso

Endereço IP, data e hora, a requisição feita e o resultado, para segurança, investigar abuso e cumprir o Marco Civil da Internet (Lei 12.965/2014, art. 15). Base legal: obrigação legal (art. 7º, II) e legítimo interesse (art. 7º, IX). Prazo na seção 7.

3.11 Dados de uso (Google Analytics e Firebase Analytics)

Para entender como o Fellows é usado e melhorar o produto, registramos:

• telas vistas e marcos como "atividade criada", "busca feita", "pedido de participação" ou "avaliação enviada", com detalhes sem identificação (por exemplo, a modalidade, o público escolhido para a atividade ou o número de estrelas dado, sem dizer a quem);
• tipo de aparelho, sistema, navegador, idioma e localização aproximada (cidade e país);
• de onde a visita veio (site de origem e campanha);
• um identificador aleatório do app ou do navegador e, com você logado, um identificador interno da sua conta, que não revela quem você é.

Não registramos nome, e-mail, telefone, CPF, foto, endereço, posição, texto que você digita (bio, mural, descrição, denúncia) nem com quem você pratica.

Base legal:

• Site fellows.harpialab.com: consentimento (art. 7º, I). Nada é coletado antes de você clicar em "Aceitar" no aviso de cookies. Você muda a escolha quando quiser em "Preferências de cookies", no rodapé.
• Apps e app web: legítimo interesse em melhorar o produto que você usa (art. 7º, IX). Você desliga em Configurações, na opção de dados de uso. Se recusou os cookies no site, essa escolha também vale no app web.

Os dados de uso não são usados para publicidade: os recursos de anúncios e de dados demográficos do Google (Google Signals) estão desligados.

4. Cookies e armazenamento

5. O que outros usuários veem

Perfis só aparecem para quem tem conta ativa e está logado; não existe perfil público na internet aberta. Quem bloqueou você ou foi bloqueado por você não vê seu perfil, suas atividades nem suas mensagens.

Outros usuários veem: primeiro nome e inicial do sobrenome, idade, gênero, cidade e bairro, foto, bio, modalidades, contadores (atividades concluídas, criadas, faltas, cancelamentos em cima da hora) e as etiquetas positivas mais frequentes. A nota média só aparece se você ligar essa opção e tiver pelo menos 3 avaliações. Etiquetas negativas nunca aparecem no perfil; só a moderação as vê.

Nunca mostramos a outro usuário: telefone, e-mail, sobrenome completo, CPF, data de nascimento (só a idade) ou o endereço da sua base.

Nas atividades:

• Quem cria escolhe se o local é exato ou aproximado. No aproximado, quem não foi aceito vê só o bairro e um ponto no mapa deslocado de 150 a 350 m do local real; endereço, ponto exato e ponto de encontro só para quem foi aceito.
• O organizador vê o perfil de quem pede para participar. Os participantes aceitos veem uns aos outros e leem o mural.
• O link público de uma atividade, aberto sem login, mostra título, modalidade, data, cidade e bairro, vagas e a foto de capa. Não mostra participantes nem o local exato.
• Conta excluída aparece como "Usuário removido", sem foto.

6. Com quem compartilhamos

Não vendemos dados. Usamos fornecedores que tratam dados em nosso nome, só para prestar o serviço:

• Provedor de consulta de CPF contratado ([PENDENTE: nome do provedor]): recebe CPF, nome e data de nascimento e responde se batem e se o CPF está regular (seção 3.2).
• Google Cloud e Firebase: hospedagem da API, do app web e do site fellows.harpialab.com, banco de dados, login (Identity Platform, inclusive o SMS de confirmação do telefone), armazenamento das fotos (Cloud Storage), checagem de fotos (Cloud Vision SafeSearch), envio de notificações (Firebase Cloud Messaging) e mapas e busca de locais (Google Maps Platform). [PENDENTE: região onde ficam o banco e as fotos (ex.: São Paulo)].
• Google Analytics / Firebase Analytics: dados de uso (seção 3.11).
• Apple e Google: se você entrar com essas contas, e para entregar notificações nos celulares.

A equipe da Harpia Lab acessa os dados só na medida da função (suporte, moderação, administração), com acesso por permissão, segundo fator de login obrigatório e registro de cada ação. O suporte nunca vê o CPF, só os 3 últimos dígitos.

Também podemos compartilhar dados quando a lei, uma ordem judicial ou uma autoridade exigir.

7. Por quanto tempo guardamos

• Conta, perfil e atividade no serviço: enquanto a conta existir.
• CPF cifrado: só enquanto a verificação está pendente, no máximo 30 dias (seção 3.2).
• Exclusão de conta: o efeito é imediato (seção 8). Em até 30 dias apagamos nome, data de nascimento, telefone, e-mail, fotos, bio, base, modalidades, tokens de push, o código do CPF e o seu usuário no serviço de login.
• Contas banidas: o código do CPF (hash, nunca o CPF em claro) fica guardado numa lista de identidades banidas para impedir um novo cadastro. [PENDENTE: prazo máximo de guarda da lista de banidos, ou "por tempo indeterminado"].
• Avaliações: as que você deu e recebeu continuam depois da exclusão, anônimas como sempre foram, ligadas a uma conta sem dados pessoais.
• Atividades passadas, participações e mensagens do mural de conta excluída: [PENDENTE: definir se são apagadas ou mantidas sem identificação].
• Denúncias e registros de moderação: [PENDENTE: prazo].
• Registros técnicos de acesso: [PENDENTE: prazo; o Marco Civil (art. 15) exige ao menos 6 meses].
• Cópias de backup: [PENDENTE: prazo de expiração dos backups do banco].
• Dados de uso: [PENDENTE: prazo no Google Analytics (ex.: 14 meses, como no Control) e se há cópia para análise].

8. Seus direitos

Pela LGPD (art. 18), você pode pedir: confirmação de que tratamos seus dados, acesso, correção, anonimização, bloqueio ou eliminação do que for desnecessário ou tratado em desconformidade, portabilidade, eliminação dos dados tratados com consentimento, informação sobre com quem compartilhamos, informação sobre a possibilidade de não dar consentimento e as consequências, revogação do consentimento e oposição a um tratamento feito por legítimo interesse.

Como exercer:

• Corrigir perfil, base, modalidades, notificações e dados de uso: direto em Perfil e Configurações. Nome e data de nascimento podem ser corrigidos durante a verificação; o CPF não pode ser alterado depois do cadastro (fale com o suporte).
• Excluir a conta: em Configurações → Excluir conta, nos apps ou no app web. Também pelo formulário em fellows.harpialab.com/suporte. A conta é desativada na hora, suas atividades futuras são canceladas, você sai das atividades em que estava e os dados são apagados como na seção 7.
• Os demais pedidos: escreva para [PENDENTE: e-mail de privacidade] (ou [PENDENTE: e-mail de suporte do Fellows]) do e-mail da sua conta. Confirmamos que o pedido é seu antes de agir e respondemos em até 15 dias.

Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

9. Menores de idade

O Fellows é só para maiores de 18 anos. A idade é confirmada no cadastro pela data de nascimento junto com o CPF, no provedor de consulta. Se a verificação indicar menor de idade, a conta não é ativada. Se depois soubermos que uma conta é de menor (por denúncia, por exemplo), encerramos a conta e apagamos os dados pessoais [PENDENTE: confirmar o fluxo; a SPEC não define]. Se você souber de um menor usando o Fellows, denuncie no app ou escreva para o e-mail da seção 1.

10. Encarregado

Como agente de tratamento de pequeno porte, a Harpia Lab está dispensada de indicar um encarregado (Resolução CD/ANPD nº 2/2022, art. 11). [PENDENTE: jurídico confirmar que a dispensa vale para o Fellows, que trata localização e verificação de identidade e pode se enquadrar como tratamento de alto risco]. O canal para qualquer assunto de privacidade é o e-mail da seção 1.

11. Segurança

• Criptografia em trânsito e em repouso.
• CPF nunca guardado em claro (seção 3.2); chaves guardadas num cofre de segredos separado do banco.
• Fotos num armazenamento privado: só abrem por links temporários, válidos por 1 hora, entregues a quem pode vê-las.
• Acesso da equipe por permissão, com segundo fator de login obrigatório e registro de cada ação.

Nenhum sistema é infalível. Se acontecer um incidente que possa causar risco ou dano relevante, avisamos você e a ANPD.

12. Transferência internacional

Alguns fornecedores processam dados fora do Brasil, principalmente nos Estados Unidos (serviço de login e SMS, Google Analytics e Firebase Analytics, Firebase Cloud Messaging, Google Maps Platform, Cloud Vision). Essas transferências seguem o art. 33 da LGPD, com as cláusulas contratuais de proteção de dados que os fornecedores oferecem.

13. Mudanças nesta política

Cada versão desta política tem um número, e gravamos a versão que você aceitou. Quando a política mudar, atualizamos a versão e a data no topo. Se a mudança for relevante, avisamos no app e pedimos um novo aceite antes de continuar.