Política de Privacidade

Esta Política de Privacidade explica como o Dvar coleta, usa e protege seus dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018). Ela se aplica ao uso do Dvar pelo navegador (dvar.com.br) e pelo aplicativo para iOS e Android, que carrega a mesma plataforma — não se trata de um serviço separado, e a coleta de dados é a mesma descrita aqui.

0. Controlador e encarregado (DPO)

O controlador dos dados pessoais tratados no Dvar é Eldorado Reawaker LTDA, inscrita no CNPJ sob o nº 60.831.227/0001-00, com sede em Av. Brasília, 6119, Novo Mundo, Curitiba/PR. Solicitações sobre dados pessoais e contato com o encarregado pelo tratamento de dados (DPO) devem ser enviados para contato@dvar.com.br.

1. Dados que coletamos

• Dados de conta: nome, e-mail, nome de usuário, foto de perfil, imagem de capa e data de nascimento. Se você entrar com sua conta Google (no navegador ou pelo login nativo do aplicativo), recebemos nome, e-mail e foto associados a ela. Se você entrar com a Apple, quando disponível, recebemos o nome (só na primeira vez, e você pode alterá-lo) e o e-mail, que pode ser um endereço de retransmissão gerado pela Apple para esconder o seu; tratamos esse endereço como qualquer outro e ele recebe nossos e-mails normalmente.
• Data de nascimento e faixa etária: perguntada no primeiro passo do cadastro, antes de qualquer conta existir, para confirmar a idade mínima de 13 anos e aplicar as proteções para adolescentes descritas na seção 6. Enquanto você cria a conta, a data (e o e-mail do responsável, se você tem menos de 16 anos) fica assinada no cookie dvar_age, por até 24 horas; ao criar a conta ela passa para o seu cadastro, e o cookie é apagado ao concluir o cadastro. Quem informa menos de 13 anos é impedido de continuar e não guardamos nada: nem a data, nem um registro da recusa. Também usamos a data para recursos de aniversário.
• Cadastro aguardando o código por e-mail: quando você cria uma conta com e-mail e senha, enviamos um código de 6 dígitos para confirmar o endereço antes da primeira entrada. Até a confirmação existe só uma conta provisória (nome, e-mail, senha já protegida por hash e data de nascimento), que não consegue entrar na plataforma. Se o código não for confirmado, essa conta provisória e o código são apagados 60 minutos depois do cadastro.
• Responsável legal: para contas de 13 a 15 anos, armazenamos o e-mail do responsável indicado, a conta que autorizou, a data da autorização e eventuais revogações.
• Registros de consentimento e aceite: quais documentos e consentimentos você aceitou (versão, data, endereço IP) e quando os revogou.
• Dados de notificação push: se você ativar notificações, armazenamos um identificador do seu dispositivo/navegador. No aplicativo, as notificações podem ser entregues pelo Apple Push Notification service e pelo Firebase Cloud Messaging.
• Conteúdo gerado por você: estudos, anotações (de culto e em versículos da Bíblia), artigos, devocionais, posts, comentários, menções, marcações de pessoas, coleções, favoritos e planos de leitura, além de imagens e vídeos que você envia. Se você importar um arquivo (ex. PDF) para criar um estudo, ele é processado apenas para extrair o texto.
• Stories: imagens ou vídeos publicados como story ficam visíveis por 24 horas.
• Links compartilhados: quando você publica um link, nossos servidores acessam essa URL para gerar uma pré-visualização (título, descrição e imagem).
• Planos de leitura: planos em que você está inscrito, dias concluídos e a posição da sua leitura.
• Jogos: resultados, tentativas e pontuação de jogos bíblicos diários (ex. Biblo, Termo e Bibledle), incluindo classificações exibidas a outros participantes.
• Orações e pedidos de oração: o texto do pedido, quem orou e a data. Em pedidos anônimos, registramos internamente quem é o autor, mas essa informação nunca é exibida a outros usuários. A única exceção é a moderação: se um pedido anônimo for denunciado, o moderador que analisa a denúncia vê o texto e quem o escreveu, para poder agir sobre a conta, e quem denunciou nunca vê o autor.
• Caderno de oração: os pedidos que você guarda no caderno, a agenda de cada um e o registro de quando você orou. É privado: só você vê, não aparece em busca, feed ou perfil e fica guardado até você excluir o pedido ou a sua conta. Um pedido só chega ao mural se você decidir publicá-lo.
• Dados de devocionais: datas de conclusão e sequência de dias consecutivos, usadas para exibir seu progresso e enviar um lembrete diário.
• Sugestões: o texto de sugestões de melhoria que você enviar e o status da análise.
• Mensagens: o conteúdo de conversas diretas, em grupo e com comunidades. Mensagens diretas e em grupo são visíveis apenas aos participantes. Mensagens enviadas a uma comunidade são visíveis à equipe dela; registramos internamente qual pessoa respondeu em nome da comunidade, apenas para auditoria.
• Interações sociais e bloqueios: grupos e comunidades de que você participa ou segue, usuários que você segue, curtidas, menções e os usuários que você bloqueou (a pessoa bloqueada não é avisada).
• Documentos de verificação: se você solicitar o selo de verificação e esse recurso estiver disponível, coletamos documento de identidade (RG, CNH ou passaporte) ou comprovantes de organização, somente após seu consentimento específico e exclusivamente para conferir sua identidade. Acesso restrito à equipe de verificação, com cada acesso registrado em log.
• Registros de acesso: endereço IP, navegador/dispositivo (user agent), data e hora de cada login e da sua atividade na plataforma (no máximo um registro por hora por endereço IP), exigidos pelo Art. 15 do Marco Civil da Internet.
• Dados de navegação e visualizações: páginas acessadas (caminho da página e sua conta, ou um identificador anônimo guardado no cookie dvar_vid) e, no máximo uma vez por dia, a visualização de estudos, artigos e devocionais, usados de forma agregada para métricas e rankings. No uso sem conta, também registramos as métricas descritas na seção 7. Para quem não está conectado, o identificador anônimo e essas contagens existem só se você aceitar a categoria “Medição anônima” da escolha de cookies (seção 9); sem a sua autorização, nada disso é registrado a seu respeito.
• Convite de quem te trouxe: se você abriu o link de convite de um membro (cookie dvar_invite, válido por 30 dias) e criou uma conta, registramos na sua conta quem te convidou. Usamos isso para avisar essa pessoa de que você entrou, para sugerir que você a siga e para métricas agregadas de cadastros por convite. O cookie é apagado ao concluir o cadastro.
• Origem do cadastro: se a sua conta foi criada depois de usar o Dvar sem conta e a partir de qual convite (seção 7).
• Denúncias, moderação e recursos: quem denunciou, o alvo, o motivo e o detalhe informado (a identidade de quem denunciou não é revelada ao denunciado); as ações de moderação aplicadas, seus motivos e os recursos que você apresentar. Se um moderador analisar uma mensagem denunciada, ele vê a mensagem e até 10 mensagens próximas da mesma conversa, e esse acesso é registrado em log.
• Notificações extrajudiciais: nome, e-mail, link, descrição e endereço IP de quem usa o formulário público de notificação de conteúdo ilícito.
• Câmera: no check-in por QR Code em eventos, as imagens da câmera são processadas localmente no seu dispositivo; apenas o código lido é enviado ao servidor.
• Presença em eventos: confirmação de presença, horário do check-in e, quando solicitada, informações de acomodação especial (ex. acessibilidade).

2. Por que tratamos seus dados e em que base legal

• Dados que revelam convicção religiosa — consentimento específico (Art. 11, I): por ser uma plataforma de estudo bíblico, estudos, orações, pedidos de oração, devocionais, planos de leitura e participação em grupos e comunidades podem revelar sua fé, o que a LGPD considera dado sensível. Tratamos esses dados com base no consentimento específico e destacado que você dá no cadastro. Como a plataforma não funciona sem esse tratamento, a revogação é feita pela exclusão da conta (seção 5).
• Execução de contrato (Art. 7º, V): criar e manter sua conta, exibir seu conteúdo conforme sua configuração e viabilizar recursos sociais, mensagens, bloqueio e denúncias.
• Consentimento (Art. 7º, I e Art. 11, I): notificações push, login via Google, análise de documentos de verificação e autorização do responsável para contas de 13 a 15 anos.
• Obrigação legal (Art. 7º, II): guarda de registros de acesso por 6 meses (Marco Civil da Internet) e atendimento a requisições de autoridades.
• Legítimo interesse (Art. 7º, IX): segurança, prevenção a fraude e abuso, moderação, métricas de uso (inclusive do uso sem conta e da origem do cadastro), pré-visualização de links e sugestões automáticas de versículos. Documentamos a avaliação de legítimo interesse de cada uma dessas finalidades. Você pode desativar as sugestões com IA nas configurações.
• Melhor interesse de crianças e adolescentes (Art. 14): dados de usuários menores de 18 anos são tratados com as proteções descritas na seção 6.

3. Compartilhamento de dados

Não vendemos seus dados pessoais. Conteúdo público é visível a outros usuários e, para contas de adultos, pode ser indexado por mecanismos de busca. Compartilhamos dados com os seguintes prestadores de serviço, estritamente para operar o Dvar:

• Vercel: hospedagem e métricas agregadas sem cookies.
• Neon: banco de dados onde os dados da plataforma são armazenados.
• Upstash: cache e dados temporários (Redis); armazenamento dos arquivos enviados, como fotos, vídeos e imagens de estudos, e dos documentos de verificação (Upstash Blob); e a fila que entrega notificações a muitas pessoas de uma vez (QStash).
• Sentry: registro de erros técnicos (mensagem de erro, página e navegador). Não recebe o conteúdo que você escreve, seu nome, e-mail ou endereço IP — no máximo o identificador interno da conta.
• Resend: envio de e-mails (senha, verificação, convites de responsável, decisões de moderação e protocolos de notificação).
• Google: login social (OAuth), Firebase Cloud Messaging e, só se você autorizar a categoria “Entrar com um toque” da escolha de cookies, o script do aviso de entrada com um toque, carregado dos servidores do Google.
• Apple: entrar com a Apple, quando disponível, e as notificações do aplicativo para iOS. Do login recebemos o nome (só na primeira vez) e o e-mail, ou o endereço de retransmissão que a Apple gera. Quando você exclui a conta, pedimos à Apple que revogue a autorização do login.
• LiveKit: transmissão do áudio das salas de voz, em servidores fora do Brasil. O áudio passa pelo serviço apenas enquanto a sala está aberta e não é gravado, armazenado nem transcrito, nem por nós nem pelo serviço.
• Google Gemini, via Vercel AI Gateway: na busca, quando você escolhe “Encontrar este trecho na Bíblia”, a frase digitada (até 200 caracteres) é enviada ao modelo apenas para identificar o versículo que ela cita. Nada mais é enviado: nem seu nome, nem sua conta, nem o texto dos seus estudos. Essa frase não passa por provedores com retenção zero de dados, então o Google pode guardá-la por um período, conforme os termos dele. O recurso pode ser desativado nas configurações (Sugestões de versículos com IA) e fica sempre desativado para menores de 18 anos. O mesmo serviço gera conteúdo de alguns jogos, sem dados pessoais.
• Apple: Apple Push Notification service, no aplicativo para iOS.
• Giphy: busca de GIFs — os termos de busca digitados são enviados ao Giphy.
• Provedores de texto bíblico licenciado (YouVersion Platform e api.bible): recebem apenas a referência (livro, capítulo, versículo) e a tradução — nenhum dado pessoal.
• Provedores de push do navegador (ex. Google, Apple, Mozilla): entrega de notificações na versão web. Se a prévia de mensagens estiver desativada (ou você tiver menos de 18 anos), a notificação não inclui remetente nem conteúdo.

Esses prestadores processam dados principalmente nos Estados Unidos. As transferências internacionais são realizadas com base nas cláusulas-padrão contratuais aprovadas pela Autoridade Nacional de Proteção de Dados (Resolução CD/ANPD nº 19/2024), nos termos do Art. 33, II, da LGPD.

Também podemos compartilhar dados com autoridades públicas quando houver ordem judicial ou obrigação legal, incluindo registros de acesso.

4. Seus direitos (LGPD)

Como titular de dados, você tem direito a:

• Confirmar a existência de tratamento e acessar seus dados;
• Corrigir dados incompletos, inexatos ou desatualizados;
• Solicitar anonimização, bloqueio ou eliminação de dados desnecessários;
• Solicitar a portabilidade dos seus dados;
• Saber com quem seus dados são compartilhados;
• Revogar consentimentos e se opor a tratamentos baseados em legítimo interesse.

Nas configurações você pode pedir uma cópia dos seus dados (enviamos o link do arquivo ao e-mail da sua conta), ver e revogar consentimentos, desativar as sugestões com IA e a prévia de mensagens, gerenciar usuários bloqueados, acompanhar decisões de moderação e excluir sua conta. Para os demais direitos, escreva para contato@dvar.com.br.

5. Retenção

• Conta e conteúdo: enquanto a conta estiver ativa. Ao solicitar a exclusão, há carência de 30 dias (você pode cancelar entrando novamente); depois disso os dados são removidos permanentemente. Mensagens que você enviou em conversas com outras pessoas permanecem para elas, exibidas como “Usuário excluído”.
• Arquivos enviados (fotos, vídeos, capas, imagens de estudos): apagados do armazenamento no mesmo dia em que a conta é removida ou em que você apaga o conteúdo; imagens retiradas de um estudo ou artigo, 7 dias depois; arquivos enviados mas nunca publicados, após 24 horas.
• Documentos excluídos (lixeira): um estudo, reflexão, anotação ou apresentação que você exclui fica na lixeira, oculto para todos, por 30 dias, e você pode restaurá-lo (ele volta como privado). Depois disso, ou se você usar “Excluir agora”, é apagado de vez, junto com seus comentários, compartilhamentos e a capa; as imagens do texto saem do armazenamento 7 dias depois.
• Registros de acesso: 6 meses.
• Cadastros não confirmados: um cadastro com e-mail e senha cujo código não foi confirmado é apagado, com a senha (já protegida por hash), a data de nascimento e o código, 60 minutos depois do cadastro. A idade informada antes de criar a conta fica só no cookie dvar_age, por até 24 horas.
• Sua escolha de cookies: fica no cookie dvar_consent, no seu navegador, por 180 dias (cerca de seis meses); não é gravada em nenhum banco de dados.
• Páginas acessadas, visualizações de conteúdo e métricas do uso sem conta: 180 dias (contadores agregados de visualização são mantidos).
• Denúncias encerradas, decisões e recursos de moderação e notificações extrajudiciais encerradas: 5 anos, para defesa em processos e prevenção de reincidência. Denúncias e recursos em aberto não são excluídos.
• Documentos de verificação: 90 dias após a conclusão da análise.
• Registros de consentimento: enquanto a conta existir, como prova do consentimento.
• Stories: deixam de ser exibidos 24 horas após a publicação.
• Apresentações: os slides de uma sessão de apresentação são apagados 30 dias depois de ela ser encerrada. O registro de uma tela pareada (um navegador sem conta) é apagado após 30 dias sem uso.
• Grupos: se alguém que administra um grupo remover você, guardamos esse fato (o grupo e a data, sem quem removeu) para que um link antigo não traga você de volta; ele só é apagado quando você é convidado de novo, o grupo é excluído ou a conta é removida. O registro das mudanças de papel, de Dono e de link do grupo fica enquanto o grupo existir. Nenhum dos dois tem prazo para ser apagado antes disso.
• Eventos: quando um evento é cancelado, guardamos quem cancelou e quando, enquanto o evento existir; o nome deixa de constar se a conta de quem cancelou for removida. Depois de um check-in por QR Code ou por código digitado, cada uma das duas pessoas vê o nome e a foto da outra naquele momento. Quem organiza o evento vê, na lista de presença, quem fez cada check-in e, nos manuais, quem o registrou. Esses registros não têm prazo próprio para ser apagados antes disso.
• Salas de voz: guardamos apenas quem abriu a sala, quem foi convidado, quem entrou e saiu e os horários, por 90 dias depois de a sala ser encerrada. O áudio nunca é gravado.
• Cópia dos seus dados (exportação): o arquivo preparado fica em armazenamento privado, e o link enviado ao e-mail da sua conta vale por 7 dias; depois disso o arquivo é apagado. O registro do pedido (datas e situação, sem o conteúdo) é apagado após 30 dias.
• Pedidos para seguir: um pedido para seguir uma conta privada que ninguém respondeu é apagado após 90 dias.
• Pedidos de conversa: um pedido para conversar que ninguém respondeu, que foi recusado ou cancelado é apagado, com a nota que o acompanhava, após 90 dias. Quando o pedido é aceito, a nota vira a primeira mensagem da conversa e deixa de ser guardada no pedido.
• Devocionais: concluir um devocional não publica nada: o registro fica na sua conta, e a publicação no feed só existe se você ligar “Compartilhar no feed” ao concluir (você pode desligar depois). Quem visita sem conta vê apenas quantas pessoas concluíram, nunca quem. Quem tem conta vê o nome de quem concluiu só entre as pessoas que segue, e nunca o de menores de idade, o de contas bloqueadas (em qualquer direção) ou o de contas desativadas. Se você concluir sem conexão, a conclusão e as respostas que escreveu ficam guardadas só no seu aparelho até serem enviadas, por no máximo 24 horas, e são apagadas quando você sai da conta.

6. Crianças e adolescentes

• O Dvar não permite contas de menores de 13 anos. A idade é perguntada antes de qualquer conta existir: quem informa menos de 13 anos não continua e nada é guardado.
• Contas de 13 a 15 anos só são liberadas depois que um pai, mãe ou responsável legal, com conta própria de maior de idade, aprova o convite enviado ao e-mail indicado. O responsável acompanha a conta em dvar.com.br/responsavel (sem acesso a mensagens) e pode revogar a autorização a qualquer momento.
• Para todos os menores de 18 anos: perfil e conteúdo não aparecem para visitantes sem login, em mecanismos de busca nem na busca de usuários de quem não os segue; sugestões com IA e prévia de mensagens nas notificações ficam desativadas; não é possível administrar comunidades.
• Se você acredita que uma criança menor de 13 anos criou uma conta, escreva para contato@dvar.com.br.

7. Uso sem conta (modo convidado)

Quando disponível, você pode ler a Bíblia, escrever estudos e ler devocionais sem criar uma conta.

• Estudos e devocionais ficam só no seu dispositivo: os estudos que você escreve e o seu progresso nos devocionais (quais você abriu, respostas, conclusões e sequência) são guardados no armazenamento do navegador ou do aplicativo e não são enviados ao Dvar. Eles só chegam aos nossos servidores se você criar uma conta e escolher adicioná-los a ela. Nesse momento, você também pode apagá-los do dispositivo.
• Limpar os dados do navegador apaga tudo: se você limpar os dados do site, usar uma janela anônima ou desinstalar o aplicativo, esses estudos e esse progresso são apagados. Alguns navegadores também os apagam sozinhos depois de um período sem visitas ao site. Como nunca os recebemos, o Dvar não tem como recuperá-los.
• Métricas de uso: se você aceitar a categoria “Medição anônima” da escolha de cookies (seção 9), registramos, com o identificador anônimo do cookie dvar_vid, eventos como capítulo lido, estudo criado, devocional aberto ou concluído e convite para criar conta exibido ou clicado. Cada evento guarda só números e categorias, como quantos estudos há no dispositivo ou o motivo do convite (por exemplo, o limite de estudos). As páginas da Bíblia e dos estudos no dispositivo são registradas sem o livro, o capítulo ou o estudo (por exemplo, /biblia/:livro/:capitulo). Essas métricas nunca contêm o texto dos estudos, os trechos da Bíblia lidos, as respostas dos devocionais nem o seu endereço IP. São usadas apenas de forma agregada, para entender e melhorar o uso sem conta, e são apagadas após 180 dias.
• Origem do cadastro: ao criar uma conta, registramos nela se você veio do uso sem conta e de qual convite (por exemplo, o limite de estudos ou de devocionais), para medir de forma agregada o que leva as pessoas a se cadastrar. Se você aceitou a medição anônima, com o identificador anônimo registramos também que o cadastro foi concluído e quantos itens foram adicionados à conta, sem o identificador da conta; sem a sua autorização, nada disso é registrado e a conta não recebe a origem “veio do uso sem conta”.

8. Segurança

Adotamos medidas técnicas e organizacionais para proteger seus dados contra acesso não autorizado, perda ou alteração, incluindo controle de acesso por permissões e registro de acessos a dados sensíveis.

9. Cookies

Agrupamos o que guardamos em três categorias: essenciais (sessão, segurança, sua idade no cadastro, o link de convite, preferências e a própria escolha, sempre ativos), medição anônima e entrar com um toque (o script do Google). As duas últimas ficam desligadas até você escolher, no aviso que aparece quando você abre o site sem estar conectado, e você pode mudar a escolha a qualquer momento em Política de Cookies ou no link “Preferências de cookies” do rodapé. Recusar é tão fácil quanto aceitar e não impede o uso do Dvar. O aviso não aparece dentro do aplicativo. Veja a lista completa, com a duração de cada cookie, na Política de Cookies.

10. Alterações

Alterações relevantes nesta política são comunicadas na plataforma e exigem novo aceite antes de você continuar usando o Dvar.

11. Contato

Para exercer seus direitos ou tirar dúvidas, escreva para contato@dvar.com.br.