Privacidade no portal

Quem somos

• O a definir: nome do portal é um portal independente sobre cidades brasileiras. A lista das cidades cobertas está em Quem somos.
• Quem decide o que fazer com os dados (o “controlador”) é Luan Vieira, pessoa física, a definir: cidade e UF do controlador.
• A pessoa encarregada da proteção de dados é o próprio controlador, Luan Vieira, até haver um encarregado. Contato: a definir: e-mail de privacidade.
• Para que serve o portal e qual o vínculo político de quem o mantém: a definir: frase sobre o propósito e o vínculo político

O que coletamos e por quê

Quando você só navega

• Contagem de visitas: usamos o Cloudflare Web Analytics. Ele não usa cookie, não grava nada no seu navegador e não guarda seu IP. Um script da Cloudflare (static.cloudflareinsights.com) envia o endereço da página, o tempo de carregamento e o tipo de navegador. Vemos números como páginas mais vistas, tipo de aparelho e país. desligado hoje
• Uso das telas: contamos ações como “abriu uma página”, “trocou a aba do mapa” ou “abriu um perfil”. No botão “Compartilhar” de um gráfico, contamos quando o painel abre, quando a imagem é compartilhada ou salva e quando alguém chega pelo link curto da imagem, só com o nome do gráfico; o portal não sabe para qual app a imagem foi nem se ela foi publicada. Na escolha de estado e cidade (pesquisa “Faça parte” e seletor de cidade do cabeçalho), contamos só o caminho usado (mapa, busca, lista ou nome escrito à mão) e, quando a busca não acha nada, a sigla do estado; nunca o que você digitou. Guardamos só o total de cada dia, por cidade: por exemplo, “perfil X, 12 aberturas hoje”. Não guardamos IP, cookie, tipo de navegador nem nenhum código seu ou da sua visita, então não dá para saber quem fez o quê. Os totais ficam por 13 meses. Se o seu navegador pedir para não ser rastreado (Do Not Track ou Global Privacy Control), não contamos nada.
• Sua cidade: a Cloudflare nos diz a cidade aproximada pelo seu IP, para abrir o mapa certo. Não guardamos essa informação ligada a você; ela entra só na contagem de visitas por cidade, descrita a seguir.
• De onde vêm as visitas: uma vez por visita (por aba aberta), contamos a cidade aproximada de quem visita. Essa cidade é deduzida do seu IP pela Cloudflare no momento do acesso, como no item anterior; o seu navegador não envia nenhuma localização. Guardamos só o total de cada dia por cidade de origem (por exemplo, “cidade X, 40 visitas hoje”), ou só o estado quando a cidade não é conhecida, ou “fora do Brasil”. Não guardamos o IP nem nada que ligue a contagem a você. No painel, uma cidade com menos de 5 visitas no período não aparece com nome: entra num grupo “Outras”. Para contar a visita uma só vez, a aba guarda uma marca no sessionStorage (veja a tabela abaixo). Mesmo prazo e mesmas regras de Do Not Track e Global Privacy Control do item “Uso das telas”.
• Botão “Usar minha localização”: fica no seletor de cidade do cabeçalho e só age quando você clica. O navegador pede sua permissão; as coordenadas são usadas no seu aparelho para achar a cidade e não são enviadas nem guardadas. Guardamos só a cidade escolhida, no cookie cidade e no localStorage.
• Registros técnicos: nossos provedores (Cloudflare e Supabase) guardam registros de acesso, com IP, por a definir: prazo dos registros técnicos dos provedores, para segurança.
• Por quê: para o site funcionar, ficar seguro e melhorar. A base legal é o legítimo interesse (LGPD, art. 7º, IX).

Quando você manda um relato desligado hoje

• Guardamos o ponto no mapa, a categoria, o texto e a foto.
• No mapa público, o ponto é aproximado para uma área de cerca de 150 m. O ponto exato fica só com quem modera.
• Apagamos os metadados da foto (como local e modelo do celular) antes do envio.
• Uma pessoa revisa tudo antes de publicar. Relatos com nome, telefone ou ofensa a alguém não são publicados.
• O relato publicado não mostra quem enviou.
• Vínculo do relato com a sua conta, se houver login: a definir: vínculo do relato com a conta, se houver login
• Relatos recusados são apagados em a definir: prazo para apagar relato recusado.

Quando você vota numa prioridade ainda não está no ar

• Guardamos um código embaralhado (hash) do seu aparelho ou conta, só para impedir voto repetido.
• Usamos o Cloudflare Turnstile para barrar robôs. desligado hoje

Quando você se cadastra para receber contato ainda não está no ar

• Guardamos nome, a definir: canal do cadastro (e-mail ou WhatsApp), bairro e o texto exato com que você concordou, com data e hora.
• Usamos para a definir: finalidade do contato.
• Você sai quando quiser pelo link em cada mensagem ou pelo a definir: e-mail de privacidade. Apagamos seus dados em até a definir: prazo para apagar dados após descadastro dias.
• A base legal é o seu consentimento (LGPD, art. 7º, I).
• É preciso ter 18 anos ou mais.

Quando você responde a pesquisa “Faça parte”

• Guardamos suas respostas: nome, cidade, como quer ajudar, tempo disponível, motivo, e-mail e WhatsApp. Quando você escolhe a cidade no mapa ou na busca, guardamos também o código dela no IBGE.
• Pedimos o e-mail e o WhatsApp só para falar com você sobre a candidatura: o retorno da avaliação, o convite para uma reunião e, se você entrar no time, o convite de acesso ao painel, que vai para o e-mail.
• Se você usar o botão “Preencher com o GitHub”, o GitHub nos informa o seu nome de usuário, o nome do perfil e o e-mail principal verificado. O e-mail da candidatura passa a ser esse, e guardamos também o nome de usuário do GitHub e a data da confirmação, para a equipe saber que o e-mail foi confirmado. Não guardamos a senha nem a chave de acesso do GitHub, e nenhuma conta é criada no portal antes da aprovação. O nome de usuário segue o mesmo prazo de guarda da candidatura e sai junto com ela.
• Perguntas sensíveis são opcionais e têm um “sim” separado, só para elas:
  • concordância com os pilares da comunidade (serve só para conferir isso);
  • conflito de interesse (cargo, candidatura, gabinete ou partido);
  • autodeclaração de raça, gênero, orientação sexual e deficiência.
• Usamos a autodeclaração só para medir a diversidade do grupo, em gráficos que mostram grupos de 5 pessoas ou mais.
• Duas frases da pesquisa são escritas por inteligência artificial (veja abaixo).
• Uma pessoa lê cada resposta para decidir o convite. Nenhuma decisão é tomada só por máquina.
• Para acompanhar a candidatura, a coordenação registra a fase (em análise, conversa marcada, aprovada ou recusada), a data e o formato da conversa, o motivo da recusa e se você foi avisado. A equipe também pode escrever anotações internas sobre a candidatura, que só a coordenação lê. As anotações não podem ser editadas, entram no pacote que você recebe quando pede os seus dados e são apagadas junto com a candidatura.
• Para mostrar o gasto público ligado ao que você escreveu sobre a cidade, o seu navegador procura palavras do texto (como “saúde” ou “escola”) e pede ao portal só a cidade e, para cidade do portal, a área de governo. O texto não sai do navegador para isso, e o portal não guarda esse pedido. O portal consulta o Tesouro Nacional sem nenhum dado seu (como o número é calculado).
• Enquanto você responde, o rascunho fica salvo só no seu navegador. Ele some quando você envia.
• Quanto tempo guardamos: se você não entrar no time, apagamos tudo em 12 meses. Se entrar, guardamos enquanto participar e mais a definir: prazo de guarda da pesquisa após sair do time.
• A base legal é o seu consentimento (LGPD, art. 7º, I) e, para os dados sensíveis, o consentimento específico e destacado (LGPD, art. 11, I).
• É preciso ter 18 anos ou mais.

Quando você é responsável pelos dados de uma cidade

Quem é responsável pelos dados de uma cidade pode mostrar, na página dessa cidade, o nome público, uma frase curta e links para LinkedIn, Instagram, GitHub e X. A pessoa preenche tudo na página do próprio perfil, que só ela acessa, com o login do convite. O perfil guarda só isso: o nome de exibição, a frase, os links, o nome e as áreas da lista de colaboradores, o estado de cada opção de exibição com a data e a versão do texto aceito e, se a pessoa conectar o GitHub, a data da conferência. Nada aparece sem que a pessoa ligue essa opção e aceite o texto de consentimento; guardamos a data e a versão do texto aceito. A base legal é o consentimento (LGPD, art. 7º, I). Para tirar do site, basta desligar a opção no próprio perfil ou pedir pelo a definir: e-mail de privacidade: o perfil some da página em até 5 minutos. No perfil também dá para apagar tudo de uma vez. Quem colabora com a cidade sem ser o responsável não aparece na página da cidade, e quem se candidatou nunca aparece no site.

Conectar o GitHub é opcional. A pessoa entra no GitHub e autoriza a ligação com a conta de login do portal. O serviço de login (Supabase Auth) recebe do GitHub o nome de usuário, o nome, o e-mail e o endereço da foto da conta, e guarda esses dados enquanto a ligação existir. O portal usa só o nome de usuário, para montar o link do perfil e mostrar o selo “GitHub verificado”. A foto do GitHub não é usada nem publicada. Desconectar no perfil desfaz a ligação e apaga o link. Ligar ou desligar cada opção e conectar ou desconectar o GitHub ficam registrados com a data e só o identificador do cadastro, como prova do consentimento. Esse registro fica guardado por até 12 meses e é apagado antes, junto com o cadastro, quando a conta é apagada; ele entra no pacote de acesso e é apagado no pedido de exclusão.

Quando você colabora com uma cidade

Quem mantém os dados de uma cidade pode aparecer na lista de colaboradores da página Quem somos, com o nome de exibição que escolher (por padrão, o primeiro nome e a inicial do sobrenome), a cidade, a área de atuação e o mês de entrada no projeto. O nome da lista é separado do nome do perfil da página da cidade. Não publicamos e-mail, telefone, foto, bairro nem nada da candidatura. Ninguém entra na lista sem autorização por escrito da própria pessoa: hoje, ela mesma liga a opção no próprio perfil e aceita o texto de consentimento; guardamos a data e a versão do texto aceito (nas autorizações anteriores ao perfil, a data, quem registrou e onde está a autorização). A base legal é o consentimento (LGPD, art. 7º, I). Para sair da lista, basta desligar a opção no próprio perfil ou pedir pelo a definir: e-mail de privacidade: o nome sai do site em até 5 minutos depois. Quem deixa o projeto também sai da lista em até 5 minutos.

Quem mantém os dados de uma cidade, como responsável ou colaborador, tem uma conta de acesso ao painel do portal, ligada à candidatura. Quem colabora em outra frente (direito, comunicação, design, moderação e comunidade, por exemplo) não precisa de conta: guardamos só o papel, a cidade de atuação e a ligação com a candidatura, e o contato continua sendo o da candidatura. Sem conta não há perfil, então essa pessoa não aparece na lista de colaboradores. Quando a pessoa deixa o projeto, o acesso termina na hora; a conta e o cadastro ficam guardados por 12 meses e depois são apagados, como a candidatura.

Dados de vereadores e de outras pessoas públicas

• Publicamos dados sobre o mandato: votos, presença, propostas, diárias, salário, gabinete e campanha.
• Todos vêm de fontes públicas e oficiais: Câmara de Vereadores, Portal da Transparência e TSE. Cada número tem link e data da fonte.
• Fazemos isso pelo interesse público e pelo controle social do mandato (LGPD, art. 7º, §3º; Lei de Acesso à Informação).
• O que não publicamos:
  • CPF de ninguém (não lemos nem guardamos);
  • endereço, título de eleitor ou data de nascimento (mostramos só a idade);
  • nome de assessor ou salário por cargo do gabinete (mostramos o custo total do gabinete e o número de cargos);
  • CPF ou CNPJ de doador (mostramos nome e valor, como o TSE).
• A foto do vereador é a oficial da Câmara, guardada por nós com outro nome.
• Vereador que quiser responder ou corrigir usa o canal a definir: e-mail de resposta dos vereadores. Veja as regras em a definir: página do direito de resposta.

Notícias da imprensa

• Mostramos veículo, data, tema e bairro de notícias de veículos locais.
• Hoje título e link não aparecem: a classificação por IA, que confere se o título cita pessoa, está desligada. ainda não está no ar
• Não guardamos o texto da matéria. O título é guardado internamente, porque a classificação precisa dele, e só é publicado quando ela confirma que o título não cita pessoa.

Inteligência artificial

• Usamos o Claude, da Anthropic (EUA), com aviso na tela, para as tarefas abaixo. Só as que não têm marcador estão ligadas hoje:
  • achar a rua e o bairro citados nos pedidos dos vereadores; desligado hoje
  • resumir as sessões da Câmara; ainda não está no ar
  • classificar notícias por tema e bairro; ainda não está no ar
  • fazer a primeira triagem dos relatos; desligado hoje
  • escrever duas frases da pesquisa “Faça parte”.
• Nunca enviamos para a IA: seu contato, sua autodeclaração, suas respostas sobre princípios e conflito de interesse.
• No texto livre que vai para a IA, CPF, telefone, e-mail, placa e endereço com número são trocados por “#” antes do envio.
• A Anthropic apaga o que enviamos em até 30 dias, salvo casos previstos na política dela.
• Todo texto feito por IA tem um aviso no portal. A IA não dá nota a vereador.

Cookies e armazenamento no navegador

• Não usamos cookie de propaganda nem de rastreio. A contagem de visitas (Cloudflare Web Analytics) não usa cookie nem armazenamento no navegador.
• VLibras: se você abrir o tradutor de Libras, o navegador carrega um serviço do governo federal. Ele tem a própria política e usa uma ferramenta de métricas (PostHog, EUA). ainda não está no ar

Com quem compartilhamos

Não vendemos dados. Só usamos empresas que nos prestam serviço:

• Alguns ficam fora do Brasil. Nesses casos, a definir: base da transferência internacional.
• Podemos entregar dados a uma autoridade se houver ordem judicial.

Nosso plano é oferecer um serviço de qualidade e completamente nacional, avançando conforme voluntários se juntam à causa, para não depender mais de recursos estrangeiros.

Seus direitos

Você pode pedir, a qualquer hora:

• saber se temos dados seus e ver quais são;
• corrigir dado errado;
• apagar seus dados;
• receber uma cópia;
• saber com quem compartilhamos;
• retirar o “sim” que deu.

Como pedir:

1. Escreva para a definir: e-mail de privacidade a partir do e-mail que você usou no cadastro ou na pesquisa, ou informe o WhatsApp que deu na pesquisa. Achamos as suas respostas pelos dois.
2. Diga o que quer.
3. Respondemos em até a definir: prazo de resposta ao titular dias.

Para registrar o pedido, não guardamos o seu contato: guardamos só um código derivado dele, que serve para conferir que quem pede é a mesma pessoa. Antes de mostrar, corrigir ou apagar dados, confirmamos a sua identidade. desligado hoje

Se não ficar satisfeito, você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD): gov.br/anpd.

Segurança

• Só a definir: quem tem acesso ao painel acessa o painel, com login por link no e-mail. desligado hoje
• Toda ação no painel fica registrada: quem fez, quando e o quê. O registro não guarda contato nem texto pessoal. desligado hoje
• O público não consegue ler contatos nem respostas da pesquisa.
• Uma limpeza automática apaga, todos os dias, o que passou do prazo de guarda. desligado hoje
• Se houver um vazamento que possa causar dano, avisamos você e a ANPD.

Mudanças

• Se esta página mudar, a data no topo muda. Mudança grande é avisada na página inicial a definir: aviso de mudança por e-mail a quem se cadastrou.