Política de privacidade
Versão 2026-11-06. Atualizado em 6 de novembro de 2026. Vale para o aplicativo e para o site.
Esta política descreve o tratamento de dados pessoais no Acolhe Patas, no aplicativo e no site, com base no que o sistema faz hoje. Dado de animal, por si, não é dado pessoal. Passa a ser quando a foto, o texto, o local ou o vínculo com a conta identificam ou tornam identificável uma pessoa.
1. Quem responde
A plataforma Acolhe Patas, no aplicativo e no site, é de responsabilidade do Acolhe Patas, pessoa natural. Para os dados da conta, da segurança, do aceite destes documentos e da base que o produto opera, Acolhe Patas é o controlador, nos termos do art. 5º, VI, da Lei nº 13.709/2018 (LGPD).
Não há encarregado pelo tratamento nomeado nesta versão. A Resolução CD/ANPD nº 18, de 16 de julho de 2024, regula a atuação do encarregado. A Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, pode dispensar a nomeação para agente de tratamento de pequeno porte, desde que exista canal de comunicação. Esta política não afirma esse enquadramento, porque ele depende de fatos que não estão no produto. Enquanto não houver encarregado publicado, o pedido do titular segue pelos canais que o sistema já tem.
- No aplicativo, a pessoa exclui a própria conta em Perfil. O perfil deixa de exibir nome, e-mail, telefone, foto e cidade.
- No site, quem está na equipe pede acesso, correção ou exclusão em Configurações. O pedido fica registrado. A exclusão de quem administra a organização não é automática, para a organização não perder o acesso.
- Não há e-mail de privacidade publicado nesta versão. Não inventamos um endereço de contato.
2. Abrangência
A política cobre o aplicativo usado por quem registra animais, avistamentos e denúncias, e o site usado pela equipe da organização. O mesmo texto vale para os dois. Não cobre um serviço de clínica, prontuário veterinário ou integração que o produto não possui.
3. Papéis de cada envolvido
O papel não é único para o produto inteiro. Ele muda conforme quem decide a finalidade e os meios essenciais daquela operação (art. 5º, VI e VII, da LGPD). Ser dono do software não torna Acolhe Patas controlador de tudo o que uma organização decide fazer depois.
Conta, autenticação, sessão, aceite e segurança. Acolhe Patas define quais dados a conta pede, como o login funciona e quanto tempo a sessão do site dura. Nessa operação ele é controlador. A senha não é gravada no banco da plataforma. O Firebase Authentication, da Google, guarda a credencial.
Registros de animais, avistamentos e denúncias. A pessoa decide enviar o conteúdo. A plataforma define o formulário, o armazenamento e quem, na mesma cidade, pode ler. Nessa base compartilhada, Acolhe Patas é controlador. A organização que assume o caso decide o atendimento: etapa, responsável, intervenção e desfecho. Para esse uso próprio ela é controladora independente, não operadora da plataforma. Não há contrato no produto que a coloque como operadora, nem arranjo escrito de controle conjunto. Controle conjunto só existiria se plataforma e organização decidissem juntas as mesmas finalidades. Isso não está implementado.
ONG, protetor autorizado e parceiro. Entram como organização, com um dos tipos ngo, authorized_protector ou partner. Leem os registros da própria cidade e, conforme o papel da equipe, o nome, o e-mail, o telefone e a foto de quem contribuiu. Usam esses dados para a missão delas. São controladoras independentes desse atendimento.
Prefeitura. Entra como organização do tipo city_hall, pelo mesmo fluxo das demais. Para a política pública que ela conduz, é controladora, e órgão público sujeito aos arts. 23 a 30 da LGPD. A Lei nº 12.527/2011 (Lei de Acesso à Informação) alcança o órgão sobre os documentos que ele detém. Ela não transforma, por si, a plataforma privada em sujeito da LAI. Não há, no produto, contrato em que a plataforma opere banco sob ordem exclusiva da prefeitura.
Clínica veterinária e veterinário. Não existe cadastro próprio de clínica, conselho profissional ou prontuário. Uma clínica só recebe dados se criar uma conta de organização na cidade, em geral como parceiro ou ONG. O profissional é membro da equipe, com papel e permissões daquela conta. Fora isso, não há envio automático a clínicas.
Infraestrutura. Google Firebase (Authentication, Firestore e Storage) e Vercel hospedam o que a plataforma grava e o site. Nessa hospedagem atuam como operadores: tratam para entregar o serviço, não para uma finalidade própria do Acolhe Patas. O mapa da equipe pede mosaicos ao OpenStreetMap. A busca de estados e cidades, no cadastro, é feita pelo navegador direto na API pública do IBGE. O geocodificador do aparelho, quando a pessoa busca um endereço, é o do sistema (Apple ou Google). Esses três recebem a conexão técnica daquele pedido. Não recebem a base de contas e não são operadores dessa base.
4. Matriz de agentes
Papel, dados, base legal e limite de cada agente.
| Agente | Papel | Dados | Finalidade | Base legal | Responsabilidade | Limite de acesso | Segurança | Pedido do titular |
|---|---|---|---|---|---|---|---|---|
| Acolhe Patas | Controlador da conta, da sessão, do aceite, da segurança e da base da cidade | Conta, registros ligados à conta, auditoria, pedidos de direitos | Prestar o serviço pedido e proteger a conta | Art. 7º, V, II, VI, VII e IX, conforme a operação | Definir os meios essenciais dessa base e atender o pedido sobre a conta | Não vende dados. Não há publicidade nem analytics de terceiros | HTTPS, TLS até o Firebase, cookie httpOnly, regras de acesso por cidade e papel | Canais do aplicativo e do painel descritos na seção 1 |
| Pessoa que registra | Titular da própria conta. Quem insere dado de outra pessoa responde por ter base para isso | O que ela envia e a conta dela | Registrar animal, avistamento ou denúncia | Art. 7º, V, para a conta e o recurso que ela aciona | Veracidade do que envia e cuidado com dado de terceiro | Vê registros da própria cidade depois de autenticada. Não lê o perfil de outra pessoa | Guarda da própria senha | Exclusão da conta no aplicativo |
| ONG, protetor ou parceiro | Controlador independente do atendimento que assume | Registros da cidade e, se o papel permitir, identidade de quem contribuiu | Cuidar do caso na missão da organização | Art. 7º, IX, e art. 7º, VII, quando houver risco à vida ou à segurança de alguém | Usar só para o atendimento. Não tratar como operadora da plataforma | Equipe da mesma cidade, segundo a permissão do papel | Conta individual, sem repasse de senha | A organização responde pelo uso que ela mesma faz |
| Prefeitura | Controladora independente e órgão público | Os mesmos registros da cidade, no painel da conta dela | Política pública de proteção animal | Art. 7º, III, e arts. 23 a 30 da LGPD | Finalidade pública, sem desvio. LAI sobre o que o órgão detém | Equipe autorizada daquele município | A do órgão, somada à da plataforma | O órgão atende o titular quanto ao tratamento público dele |
| Clínica ou veterinário | Só se houver conta de organização. Aí o papel é o da organização. Sem conta, não há tratamento | Nenhum fluxo automático | Nenhuma finalidade automática | Não se aplica fora de uma conta de organização | Não há prontuário no produto | Não há envio a clínica externa | A da conta, se existir | Não há canal clínico separado |
| Google Firebase e Vercel | Operadores de infraestrutura | O que a plataforma armazena e a requisição do site, inclusive IP de conexão | Autenticar, guardar e entregar o serviço | Execução do serviço sob instrução do controlador | Tratar para a hospedagem contratada | Sem finalidade comercial própria do Acolhe Patas | Criptografia de infraestrutura do provedor. Isto não é certificação nossa | O pedido chega pelo controlador |
5. Dados tratados
A tabela abaixo é o inventário do que o código grava, mostra ou transmite. Onde o sistema não fixa um prazo de apagamento, a retenção diz isso com clareza. Não há rotina automática de expurgo.
Dado, finalidade, base legal, com quem segue e por quanto tempo.
| Dado | Finalidade | Base legal | Compartilhamento | Retenção |
|---|---|---|---|---|
| Nome | Identificar a conta e, na organização, quem administra | Art. 7º, V. Necessário no cadastro | Firebase. Equipe da cidade com acesso a pessoas. Cidadãos autenticados veem o nome da organização e do responsável, não a lista de cidadãos | Enquanto a conta existir. No aplicativo, a exclusão troca o nome por “Conta removida” |
| Login, recuperação de senha e contato da organização | Art. 7º, V. Necessário | Firebase Authentication e o documento do usuário. Equipe com acesso a pessoas. O e-mail institucional da organização fica no perfil da organização, legível por quem está autenticado na cidade | Enquanto a conta existir. A exclusão no aplicativo apaga o e-mail do perfil e a conta de autenticação | |
| Telefone | Contato opcional da organização. Contas antigas do aplicativo ainda podem ter número. Cadastro novo por e-mail grava telefone vazio | Art. 7º, I, porque é opcional e não é exigido para entrar | Perfil da organização, para quem está autenticado na cidade. Equipe com acesso a pessoas, se o número estiver no perfil do cidadão | Até a pessoa ou a organização remover, ou até a exclusão da conta |
| Identificador da conta (uid) | Ligar registro, avistamento, denúncia e reconhecimento ao autor sem repetir o e-mail em cada tela | Art. 7º, V | Quem está autenticado na cidade enxerga o identificador no registro. A equipe consegue resolvê-lo para nome e contato | Permanece nos registros depois da exclusão da conta. O perfil já não tem nome, e-mail, telefone nem foto |
| Senha | Autenticar | Art. 7º, V | Só o Firebase Authentication. A plataforma não grava a senha | Enquanto a conta de autenticação existir |
| Versão e data do aceite | Provar que a pessoa aceitou esta versão | Art. 7º, II e VI | Documento do usuário. Não vai para a página pública | Mantido como evidência do aceite, inclusive depois que o contato sai do perfil |
| Foto de perfil | Opcional, para reconhecer a conta | Art. 7º, I | Storage em users/. A equipe da cidade pode ver | Removida na exclusão da conta do aplicativo. Não há prazo automático antes disso |
| Cidade do perfil | Mostrar organizações e registros daquele município | Art. 7º, V, depois que a pessoa autoriza a localização ou a organização escolhe a cidade no cadastro | Documento do usuário. A equipe lê. Outros cidadãos não leem o perfil alheio | Removida na exclusão da conta do aplicativo |
| Coordenadas, referência e bairro do animal, avistamento ou denúncia | Colocar o caso no mapa, limitar a busca de “é o mesmo animal” a um raio de 400 metros e descrever o local | Art. 7º, V, no recurso que a pessoa aciona. Na denúncia que protege alguém, também art. 7º, VII | Quem está autenticado na mesma cidade. A equipe vê no mapa e na ficha | Sem prazo automático. A exclusão da conta não apaga o local do caso |
| Foto de animal, avistamento, denúncia ou resgate | Documentar o caso. O produto aceita imagem, não vídeo | Art. 7º, V. Se a imagem identificar pessoa, art. 7º, IX, com o mínimo necessário. Na denúncia de risco a alguém, art. 7º, VII | Storage. Leitura exige conta, salvo capa de campanha e logo da organização, que são públicas. A página de pata acolhida mostra a foto do animal, o código, a frase, o papel e a data, sem o nome da pessoa | Sem prazo automático |
| Espécie, porte, cores, marcas e descrição | Descrever o animal. O texto vira dado pessoal se nomear ou identificar alguém | Art. 7º, V, ou IX quando o texto identifica pessoa | Quem está autenticado na cidade e a equipe | Sem prazo automático |
| Histórico do caso: status, prioridade, responsável, intervenção e atualização da equipe | Acompanhar o atendimento | Art. 7º, V, para a organização que atende, e art. 7º, IX, para a plataforma guardar o histórico | Equipe da cidade. Parte do status aparece para quem consulta o caso na cidade | Sem prazo automático |
| Denúncia: relato, evidências, urgência, triagem e autor | Receber e triar um relato de maus-tratos | Art. 7º, VII e IX. Se o órgão público usar o relato em política pública, art. 7º, III na ponta dele | O autor e a equipe da cidade. Não há encaminhamento automático a polícia, Ministério Público ou clínica | Sem prazo automático. A exclusão da conta não apaga a denúncia |
| Identidade vista pela equipe: nome, e-mail, telefone e foto de quem contribuiu | A organização saber quem registrou, para o atendimento | Art. 7º, IX, limitado a quem tem acesso de equipe | Papéis com leitura de pessoas e demais leituras de staff previstas nas regras. Não é página pública | Enquanto a conta e o acesso da equipe existirem |
| Organização: nome, tipo, cidade, e-mail, telefone, endereço, redes, responsável e logo | Mostrar quem atende na cidade | Art. 7º, V. Dado institucional. Vira pessoal quando identifica uma pessoa, como o responsável ou um telefone particular | Quem está autenticado na cidade. A logo pode ser lida sem login | Enquanto a organização existir |
| Equipe: nome, e-mail, papel, permissões, ativo, entrada e último acesso | Controlar quem opera o painel | Art. 7º, V | A própria organização | Enquanto o vínculo existir. O pedido de exclusão da equipe é analisado antes de apagar o acesso |
| Cookie de sessão do site | Manter o login por 14 dias | Art. 7º, V. Cookie estritamente necessário. Não há cookie de publicidade nem de analytics | Navegador e hospedagem do site. httpOnly, SameSite=Lax e, em produção, Secure | 14 dias ou até sair |
| Tema claro ou escuro no navegador | Lembrar a preferência visual neste aparelho | Não identifica a pessoa fora do navegador. Fica só no localStorage | Não sai do navegador | Até a pessoa limpar os dados do site |
| Endereço IP | Limitar tentativas de login, cadastro e algumas rotas. A chave fica na memória do processo e não é gravada no banco | Art. 7º, IX, segurança. Art. 7º, VII, do Marco Civil, para a confidencialidade da conexão | Vercel e Google podem guardar log de infraestrutura da conexão, pelo prazo deles. Nós não operamos esse arquivo | A memória do limite se perde com o processo. O prazo do provedor não é fixado por esta política |
| Auditoria da equipe | Saber quem alterou um registro, a ação, o motivo e os valores anterior e novo | Art. 7º, II, VI e IX | Equipe da mesma organização | Sem prazo automático |
| Pedido de acesso, correção ou exclusão | Registrar e atender o titular da equipe | Art. 7º, II e V | Documento dataRequests, lido pela equipe da organização | Mantido como prova do pedido, com e-mail e identificador |
| Preferência de pedir a localização ao abrir a etapa | Não pedir de novo o toque no botão, se a pessoa ligou essa opção | Art. 7º, V | Documento do usuário | Até mudar a opção ou excluir a conta |
6. Como a coleta acontece
- A pessoa digita nome, e-mail e senha no aplicativo. O telefone não é pedido nesse cadastro.
- A organização, no site, informa nome da organização, tipo, estado, cidade, nome de quem administra, e-mail e senha de no mínimo 8 caracteres. Telefone, endereço e redes são opcionais.
- O aceite é obrigatório para criar a conta e para entrar. O sistema grava a versão do documento e a data no usuário.
- A foto sai da câmera ou da galeria, com permissão do sistema. No site, a equipe envia imagens de caso, campanha, logo e resgate.
- A localização sai do GPS, se a pessoa autorizar, ou de um endereço que ela pede para buscar. Recusar o GPS não impede um registro que tenha outra referência, quando o fluxo permite.
- Estados e cidades vêm da API do IBGE no navegador. A lista não fica copiada no projeto. O pedido não leva nome nem e-mail.
- O painel não usa ferramenta de analytics de terceiros. Os números da tela de indicadores saem dos registros da cidade.
7. Localização
Coordenada não está na lista de dado sensível do art. 5º, II, da LGPD. Ainda assim pode revelar moradia, rotina ou uma pessoa. Por isso o uso é o do caso: o ponto do animal ou da denúncia, a cidade do perfil e o retângulo de busca de 400 metros. Não há histórico de deslocamento da pessoa. A permissão do aparelho é exigência do sistema operacional. A base da LGPD, no recurso que a pessoa abre, é o art. 7º, V, e não um consentimento genérico para qualquer uso futuro.
8. Fotografias e arquivos
O armazenamento aceita imagem. Vídeo não entra. Há limite de tamanho nas regras do Storage: 8 MB para ocorrência, avistamento e denúncia, e 5 MB para foto de perfil. No site, quando a biblioteca de compressão está disponível, a foto de campanha e a de resgate são reduzidas antes do envio. Arquivo público, sem login, é a capa de campanha e a logo da organização. O restante exige conta.
Uma foto de animal pode mostrar rosto, casa, placa ou criança. Esse pedaço é dado pessoal, e pode ser dado de terceiro ou de criança. Quem envia deve cortar o que não for necessário ao caso.
9. Dados de outras pessoas inseridos por quem usa
O relato pode nomear alguém, mostrar uma casa ou acusar uma conduta. A pessoa relatada não consentiu. A base não é o art. 7º, I. É a proteção da vida ou da segurança, quando couber (art. 7º, VII), o legítimo interesse de receber e triar o relato (art. 7º, IX) e, na prefeitura, a política pública (art. 7º, III). O legítimo interesse não serve para dado sensível fora das hipóteses legais, nem para tratar criança como se fosse adulto. Quem escreve o relato responde pela veracidade e pelo mínimo necessário.
10. Compartilhamento
- ONG, protetor, parceiro e prefeitura recebem, no painel da própria cidade, os registros dessa cidade. Não há seleção de uma clínica de fora nem envio automático a órgão que não tenha conta.
- Cidadão autenticado na mesma cidade lê ocorrências, avistamentos e campanhas publicadas. Não lê o perfil de outro cidadão.
- Firebase e Vercel tratam a hospedagem. OpenStreetMap recebe IP e o recorte do mapa quando a equipe abre o mapa. IBGE recebe a conexão da lista de municípios. O geocodificador do aparelho recebe o endereço que a pessoa pediu para buscar.
- Não vendemos dados e não fazemos publicidade comportamental.
11. Transferência internacional
Firebase e Vercel podem tratar dados fora do Brasil, conforme a região do projeto e a região do provedor. Esta política não afirma um país, porque a região não está fixada no repositório. Se o tratamento ocorrer fora do Brasil, aplica-se o art. 33 da LGPD e a Resolução CD/ANPD nº 19, de 23 de agosto de 2024, com a retificação de 18 de agosto de 2025, que aprova o regulamento de transferência internacional e as cláusulas-padrão. A Resolução CD/ANPD nº 32, de 26 de janeiro de 2026, reconhece a União Europeia como adequada. Isso só vale se o destino for a União Europeia. Não afirmamos que as cláusulas-padrão já foram incorporadas a um contrato nosso. O mecanismo atual é o contrato do provedor, e as cláusulas exigidas pela resolução devem ser completadas quando a transferência depender delas.
12. Segurança e acesso
O site de produção usa HTTPS. O aplicativo fala com o Firebase por TLS. A sessão do site é um cookie httpOnly, SameSite=Lax, Secure em produção, por 14 dias. A senha não aparece no banco. Não há criptografia de campo feita pelo aplicativo em cima do Firestore. A criptografia em repouso é a de infraestrutura do provedor. Isso não é certificação ISO, laudo NIST nem auditoria formal. Não declaramos conformidade com ISO/IEC 27001, 27002, 27701, 27017 ou 27018, nem com o NIST Privacy Framework, o NIST Cybersecurity Framework, o OWASP Top 10, o OWASP ASVS ou o OWASP MASVS. Essas normas são referência de governança e de engenharia, não um selo desta versão.
O acesso ao banco exige conta. Cidadão lê a própria cidade. Equipe lê a cidade do token e só escreve o que a permissão do papel permite. Pedido de direitos e auditoria ficam na organização. Reconhecimento, nas regras do cliente, é lido pelo próprio usuário. A página pública da pata acolhida não publica o nome de quem ajudou.
13. Retenção, descarte e anonimização
Não há anonimização estatística nem pseudonimização além do identificador da conta. Na exclusão do aplicativo, nome, e-mail, telefone, foto e cidade saem do perfil, e a conta de autenticação é apagada. O documento do usuário permanece com a marca “Conta removida” e a data. Registros, fotos, denúncias e o identificador antigo continuam, porque o caso ainda serve a outras pessoas e organizações. Isso é limite real da exclusão, não uma promessa de apagar o histórico do animal.
A exclusão da equipe não é imediata. O pedido fica em análise para a organização não ficar sem quem administre. Obrigações de guarda, defesa de direito e o registro de um incidente de segurança, quando existir, podem manter dado por prazo legal. A Resolução CD/ANPD nº 15/2024 manda guardar o registro do incidente por no mínimo cinco anos. O art. 15 do Marco Civil da Internet fala em guarda de registros de acesso a aplicações por pessoa jurídica provedora. Esta versão não grava um arquivo próprio de IP. Não afirmamos cumprir esse artigo por um log que o sistema não produz.
14. Direitos do titular
O art. 18 da LGPD assegura confirmação, acesso, correção, anonimização, bloqueio ou eliminação do que for desnecessário ou tratado em desconformidade, portabilidade, informação sobre compartilhamento, informação sobre a possibilidade de não consentir, e revogação do consentimento quando essa for a base. Também cabe oposição a tratamento fundado em legítimo interesse, nos termos do art. 18, § 2º, e revisão de decisão automatizada quando houver. Esta versão não toma decisão exclusivamente automatizada sobre a pessoa.
No aplicativo, a eliminação da conta é o caminho da seção 1. Correção de nome está no perfil. No site, o pedido de acesso, correção ou exclusão fica registrado para a equipe da organização e para o controlador da plataforma. Não há prazo interno publicado além do dever de atender em prazo razoável. Eliminação não alcança o que a lei manda guardar, o que já esteja dissociado da pessoa, nem o histórico do caso que permanece sem o contato.
15. Crianças e adolescentes
O serviço é para maiores de 18 anos. Não há verificação de idade no cadastro. Se soubermos que uma conta é de criança ou de adolescente sem a representação exigida, a conta será encerrada e o perfil, tratado como na exclusão. O art. 14 da LGPD exige o melhor interesse e, para criança, o consentimento específico de pelo menos um dos pais ou responsável. Não há fluxo de consentimento parental nesta versão. Foto de criança não deve ser enviada, salvo se for indispensável a um relato de risco, e ainda assim só o trecho necessário.
17. Incidentes de segurança
Se um incidente atingir dado pessoal e puder acarretar risco ou dano relevante, o controlador comunica a ANPD e os titulares no prazo de três dias úteis contados do conhecimento, na forma da Resolução CD/ANPD nº 15, de 24 de abril de 2024. Informações complementares podem seguir em vinte dias úteis. Para agente de pequeno porte, esses prazos de comunicação são contados em dobro, se o enquadramento existir. O registro do incidente fica guardado por no mínimo cinco anos. A comunicação descreve a natureza, os dados atingidos, os titulares, as medidas e o contato. Sanções administrativas, se houver, seguem a Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023, e a Resolução CD/ANPD nº 1, de 28 de outubro de 2021.
18. Normas consideradas
- Lei nº 13.709/2018 e Lei nº 13.853/2019.
- Lei nº 12.965/2014 e Decreto nº 8.771/2016.
- Lei nº 8.078/1990, quando a relação for de consumo.
- Lei nº 10.406/2002.
- Lei nº 12.527/2011, na relação com órgão público.
- Resoluções CD/ANPD nº 2/2022, nº 4/2023, nº 15/2024, nº 18/2024, nº 19/2024 e nº 32/2026, nos pontos citados.
- ISO/IEC 27001, 27002, 27701, 27017 e 27018, NIST Privacy Framework, NIST Cybersecurity Framework, OWASP Top 10, OWASP ASVS e OWASP MASVS, só como referência técnica. Sem certificação.
19. Mudanças desta política
A versão vigente é 2026-11-06, de 6 de novembro de 2026. Uma mudança relevante passa a valer quando publicada neste endereço. Novo aceite é pedido no próximo login, porque o sistema grava a versão aceita. O histórico desta página substitui o rascunho anterior.