Documentos

Política de Privacidade

Esta política vale para o site crucis.app e para o aplicativo Crucis, no celular e no portal (portal.crucis.app). Ela diz quais dados o Crucis trata, para quê, com quem compartilha, por quanto tempo guarda e como você exerce os seus direitos. Se algo aqui não estiver claro, escreva para contato@trivixai.com.br.

Quem somos

O Crucis é um produto da Trivix Sistemas, controladora dos dados para os fins da Lei Geral de Proteção de Dados (Lei 13.709/2018, LGPD). Contato do encarregado: contato@trivixai.com.br. Para dúvidas sobre o uso do Crucis, a equipe atende em crucis@trivixai.com.br (veja também a Ajuda).

Quais dados coletamos e para quê

• No pré-cadastro deste site: nome, e-mail, cidade e UF; e, se você quiser informar, WhatsApp, igreja, tradição e o seu papel na comunidade (membro, líder ou pastor). Finalidade: reconhecer o seu e-mail quando você criar a conta no aplicativo (a entrada antecipada, sem convite), avisar você do lançamento e entender de quais cidades e igrejas vêm as pessoas interessadas.
• No cadastro do aplicativo: nome, e-mail, senha (guardada apenas como hash), CPF, data de nascimento, a sua tradição (evangélica, católica ou cristã) e, se você quiser, a cidade. Finalidade: garantir uma conta por pessoa e saber a idade de verdade: só adulto cria a própria conta (veja “Idade mínima e adolescentes”). Quando a conferência estiver ligada, o CPF e a data de nascimento são consultados na base da Receita Federal, e o nome que você digitou é comparado com o de lá. O CPF é guardado cifrado, não é mostrado a ninguém (nem à liderança da igreja) e não é usado para nenhuma outra finalidade.
• Como a pessoa entra: por convite de alguém da igreja, pelo pré-cadastro deste site, pela porta do culto (o código que a igreja mostra no telão durante o culto, que vale só enquanto a porta está aberta) ou fundando a comunidade da própria igreja. Guardamos por qual porta cada pessoa entrou, e quem tem o acesso de administrador daquela igreja vê a lista de quem entrou pela porta do culto.
• No uso do aplicativo: o que você publica (textos, fotos, vídeos e momentos), os pedidos de oração, as intercessões, as mensagens, a igreja e os grupos de que você participa, as escalas que assume, a família que você liga à sua conta e as suas anotações na Bíblia.
• Fotos e vídeos: quando uma foto chega ao Crucis, os metadados dela (como o lugar em que foi tirada, a data e o aparelho) são apagados antes de ela ser guardada ou analisada; os vídeos também são gravados sem metadados. Toda foto, e quatro quadros de todo vídeo, passam pela análise automática descrita em “Com quem compartilhamos”.
• Presença automática no culto (a presença por chegada): nasce desligada e só funciona com o seu consentimento; você liga ou desliga quando quiser em Você › Ajustes › Presença automática no culto. Com ela ligada, quando você abre o Crucis durante o culto (de 30 minutos antes do início até o fim), o app confere, pela localização do celular, que você chegou perto da igreja e marca a presença. Sem a igreja marcada no mapa pela liderança, nada é marcado. A posição serve só para essa conferência e não é guardada: o Crucis guarda que você esteve naquele culto. Esse registro fica restrito a quem tem o acesso de administrador da igreja e não entra em nada que outras pessoas vejam (nem no Galardão); quem faltou nunca aparece em lista nenhuma. Se você desligar a presença automática, as presenças já marcadas são apagadas. Quem tem menos de 18 anos fica de fora: o Crucis não usa a localização de adolescentes.
• Conversas: nos grupos e no chat da comunidade, o texto fica no nosso servidor e passa pelo filtro do Guardião, e a liderança pode apagar. As conversas a sós (o Secreto) são cifradas ponta a ponta assim que as duas pessoas abrem o Secreto num aparelho: o texto é fechado no seu aparelho e aberto só no aparelho de quem recebe. O servidor guarda sem conseguir ler, e fica sabendo apenas quem conversa com quem, e quando. Até as duas abrirem, a conversa diz, na tela, que ainda não é fechada.
• Bloqueios, denúncias e moderação: quando você bloqueia alguém, guardamos o bloqueio para cumpri-lo; a partir daí, um não vê o conteúdo do outro, e vocês não trocam mensagens. A denúncia guarda quem denunciou, o que foi denunciado, quem escreveu e o motivo; quem a lê é a liderança que cuida da igreja e a equipe do Crucis, nunca a pessoa denunciada. Numa conversa a sós fechada, a denúncia só leva o texto que o aparelho de quem denunciou anexou, de propósito; esse texto sai quando a denúncia é resolvida ou, sem resolução, depois de 90 dias. A equipe do Crucis pode suspender contas que descumprem os Termos de Uso.
• Dados técnicos: endereço IP, tipo de aparelho e registros de acesso, usados para segurança, prevenção a abusos e limite de tentativas.

Base legal

• Consentimento (art. 7º, I) para o pré-cadastro e para o aviso de lançamento.
• Consentimento específico e em destaque (art. 11, I) para a presença automática no culto, que revela a sua prática religiosa: o Crucis pergunta antes de ligar, e você desliga quando quiser.
• Execução do contrato (art. 7º, V) para criar e manter a sua conta e entregar as funções do aplicativo.
• Cumprimento de obrigação legal (art. 7º, II) e legítimo interesse (art. 7º, IX) para segurança, moderação, prevenção a fraudes e proteção de adolescentes.
• Consentimento de um dos pais ou de quem responde pelo adolescente, dado em destaque (LGPD, art. 14, e ECA Digital, Lei 15.211/2025), para a conta de quem tem de 13 a 17 anos. O Crucis guarda quem consentiu, quando, como e o texto exato que essa pessoa leu.

Com quem compartilhamos

Não vendemos dados e não exibimos anúncios. Para o Crucis funcionar, alguns serviços (os operadores) recebem apenas o necessário para a função de cada um:

• Hospedagem — Vultr, em São Paulo (Brasil): o servidor onde ficam o banco de dados, as fotos, os vídeos e as cópias de segurança.
• E-mail — Resend (Estados Unidos): envia os e-mails do Crucis (o link para criar uma senha nova, o convite de um ministério, o pedido para responder pela conta de um adolescente e o lembrete do pré-cadastro). Recebe o endereço de e-mail e o texto da mensagem.
• Análise de imagens — Anthropic (Estados Unidos): toda foto, e quatro quadros de todo vídeo, passam por uma análise automática antes de aparecer, para proteger a comunidade, inclusive os adolescentes, de nudez, violência e outros conteúdos que não cabem aqui. Recebe a imagem, onde ela vai aparecer (numa publicação, num perfil…) e se quem publicou é adulto ou adolescente; não recebe o seu nome, o seu e-mail nem o seu CPF. Quando a análise fica em dúvida, a imagem vai para a liderança da sua igreja revisar.
• Notificações — Expo, Apple e Google (Estados Unidos): entregam os avisos no seu celular. Recebem o título e a prévia do aviso: nos grupos, no chat da comunidade e na conversa a sós que ainda não é fechada, o nome de quem escreveu e o começo da mensagem; na conversa fechada, o nome de quem escreveu e “Mensagem no Secreto”, nunca o texto.
• Endereços e lugares — OpenStreetMap (Nominatim, Reino Unido) e ViaCEP (Brasil): transformam um CEP, um endereço digitado ou uma posição no mapa (a da igreja, ou a do seu celular quando você toca em “Estou aqui agora” para pôr o lugar numa foto) em endereço. Recebem só o CEP, o texto buscado ou a coordenada, sem nada que identifique você. No painel da igreja, o mapa que marca o lugar dela é baixado pelo próprio aparelho: os azulejos do mapa vêm do OpenStreetMap, que recebe o endereço IP do aparelho e a região que aparece na tela, e a biblioteca do mapa (Leaflet) vem dos serviços de entrega unpkg e cdnjs (Cloudflare), que recebem o endereço IP.
• Conferência do CPF — Serpro, a base da Receita Federal (Brasil), quando estiver ligada: recebe o CPF e a data de nascimento e devolve o cadastro da Receita, que o Crucis compara com o nome e a data que você informou. Guardamos só o resultado (conferido ou não), nunca o que a Receita devolve.
• GIFs — Tenor, do Google (Estados Unidos), quando estiver ligado: recebe o que você digita na busca de GIFs. E quem vê uma publicação com GIF baixa a imagem direto do Tenor, que recebe o endereço IP do aparelho.
• Bíblia — YouVersion (Estados Unidos): as versões NVI e Nova Bíblia Viva são lidas do YouVersion pelo nosso servidor. Ele recebe a passagem pedida e, na busca, as palavras buscadas, sem nada que identifique você.
• Vídeos — YouTube, do Google: a transmissão do culto e as músicas tocam no player do YouTube, que recebe os dados de quem assiste pelas regras do Google.

Dentro do aplicativo, o que você publica é visto pela sua comunidade ou pelos seus amigos, conforme a visibilidade que você escolher. A Praça, que reúne várias igrejas, abre mais adiante; até lá, nada do que você publica sai da sua comunidade e dos seus amigos.

Transferência internacional

Parte desses operadores fica fora do Brasil (nos Estados Unidos; o OpenStreetMap, no Reino Unido; e os serviços de entrega de arquivos, como unpkg e cdnjs, em vários países) e recebe os dados lá. Usamos cada um só para a finalidade descrita acima e só com o mínimo necessário: a análise de imagens recebe a imagem, não quem você é; o serviço de notificações recebe o aviso, não o seu perfil. A transferência se apoia no art. 33 da LGPD, por ser necessária para executar o serviço que você usa (art. 33, IX, com o art. 7º, V).

Por quanto tempo guardamos

• Pré-cadastro: até 12 meses depois do lançamento, ou até você pedir a exclusão. Se ele virou conta, sai junto quando a conta é encerrada.
• A conta: enquanto ela existir. Ao encerrar a conta, apagamos na hora e de verdade o seu perfil, o que você publicou e comentou, os momentos, as mensagens (nos grupos, no chat da comunidade e no Secreto), o caderno, as anotações, os pedidos de oração, os laços de família, as amizades, os aparelhos e as chaves do Secreto, as fotos e os vídeos que só você usava, e o seu nome e o seu e-mail nos convites. Fica um registro, sem nenhum dado seu, de que houve o encerramento. Ficam também, para a moderação, as denúncias que alguém fez sobre você, com o motivo escrito por quem denunciou e “Conta encerrada” no lugar do seu nome; o texto de conversa que quem denunciou tenha anexado sai em até uma hora. E ficam as cópias de segurança, até se renovarem (veja abaixo). O que é da igreja continua com ela: os grupos que você criou passam para quem os lidera, e as escalas, os eventos, os estudos e os avisos ficam, sem o seu nome; o sermão que você pregou continua com o seu nome, como no boletim da igreja. O passo a passo e a lista completa estão em Excluir a sua conta.
• O que você apaga: sai do ar na hora, inclusive a foto ou o vídeo. O texto de uma publicação apagada (com o dos comentários que ela recebeu) ou de um comentário apagado é zerado 30 dias depois, e o trecho dele que um aviso guardava (a marcação numa publicação, o comentário numa anotação, a menção numa roda) sai do aviso na hora; a mensagem apagada para todos num grupo ou no chat da comunidade perde o texto na hora. O arquivo que saiu do ar fica guardado fora do alcance de todos por 30 dias, para a liderança poder desfazer um bloqueio feito por engano, e depois é apagado.
• Momentos: somem do aplicativo em 24 horas, e o arquivo sai do ar no minuto seguinte; o arquivo é apagado de vez, e o texto do momento é zerado, 30 dias depois.
• Cópias de segurança: o banco de dados é copiado uma vez por dia, e cada cópia é apagada quando completa 15 dias; o provedor da hospedagem também guarda cópias automáticas do servidor inteiro, inclusive das fotos e dos vídeos, que ele substitui por cópias mais novas no prazo dele. O que foi apagado continua nessas cópias até elas serem substituídas. Elas servem só para recuperar o Crucis depois de uma falha, e ninguém as abre para outro fim.
• Registros técnicos do servidor (endereço IP, horário e o endereço acessado): se apagam sozinhos à medida que registros novos chegam.

Seus direitos

Você pode, a qualquer momento, pedir: confirmação de que tratamos seus dados; acesso; correção; anonimização, bloqueio ou eliminação; portabilidade; informação sobre compartilhamentos; e revogação do consentimento (art. 18 da LGPD). No aplicativo, em Você › Ajustes:

• Baixar meus dados entrega uma cópia do que guardamos sobre você, num arquivo JSON que outros programas conseguem ler (acesso e portabilidade). O CPF não vai no arquivo. Das conversas a sós, as mensagens que você escreveu antes de a conversa ser fechada vão com o texto; as de depois vão só com a data e com quem: o conteúdo delas o Crucis não tem como ler.
• Encerrar minha conta apaga a sua conta e o que é seu (eliminação). Antes de pedir a senha, o aplicativo mostra o que vai sair e o que ainda precisa ser resolvido. Veja Excluir a sua conta.
• Presença automática no culto se desliga ali mesmo (revogação do consentimento).
• Você corrige os seus dados em Editar perfil.

Para o resto, ou se algo não funcionar, escreva para contato@trivixai.com.br. Respondemos em até 15 dias.

Idade mínima e adolescentes

• Ninguém com menos de 13 anos tem conta no Crucis, e ninguém com menos de 18 anos cria conta sozinho.
• De 13 a 17 anos: a conta depende de quem responde pelo adolescente, que a cria pela própria conta ou assume o pré-cadastro que o próprio adolescente começou (e o adolescente confirma quem assumiu). Esse pré-cadastro guarda o nome, a data de nascimento, o nome de usuário escolhido, a senha (só como hash) e o e-mail de quem vai responder, e é apagado em 15 dias se ninguém assumir. Não pedimos o CPF do adolescente.
• Perfil protegido: o perfil fica fechado, fora da Praça e da busca, sem localização, e o que o adolescente publica é visto só pela própria comunidade. Quem responde decide se as conversas e as amizades ficam ligadas.
• Acompanhamento: quem responde acompanha, pelo próprio Crucis, o que o adolescente faz (publicações, comentários, grupos, amizades e com quem conversa) e recebe, cifradas, as conversas a sós do adolescente desde o dia em que passou a responder. Esse acompanhamento é dito aqui, nos Termos e em “Sobre o Secreto”, e não em cada conversa.
• Aos 18 anos o acompanhamento termina sozinho e a conta passa a ser só da pessoa.
• Quem responde pode encerrar a conta do adolescente quando quiser: ela é apagada de verdade, inclusive o que o adolescente escreveu nos espaços dos outros. Fica só um registro, sem nenhum dado do adolescente, de quando a conta foi autorizada e de quem a encerrou.
• Só responde por um adolescente quem teve o CPF, o nome e a data de nascimento conferidos na Receita Federal. Enquanto essa conferência não estiver ligada, o Crucis não cria conta de adolescente.

Segurança

Usamos criptografia em trânsito (HTTPS), conversas a sós cifradas ponta a ponta, senhas guardadas apenas como hash, CPF cifrado com chave separada do banco, acesso restrito por papel e registros de acesso. Nenhum sistema é infalível; se houver um incidente que traga risco a você, avisaremos você e a Autoridade Nacional de Proteção de Dados conforme a lei.

Cookies

Este site não usa cookies de rastreamento nem ferramentas de análise. Guardamos no seu navegador apenas preferências técnicas locais (e, no portal, a sua sessão). As letras deste site vêm do Google Fonts: para baixá-las, o seu navegador se conecta ao Google, que recebe o seu endereço IP.

Mudanças nesta política

Quando esta política mudar, a data no topo será atualizada e, se a mudança for relevante, avisaremos por e-mail ou dentro do aplicativo.