Política de Privacidade

A Skalyn é um serviço operado por PUBNIC DESENVOLVIMENTO DE SISTEMAS E MARKETING DIGITAL LTDA, inscrita no CNPJ sob o nº 35.191.622/0001-29, com sede na Avenida Paulista, 777, Andar 15, Conjunto 15, Sala 2009, Bela Vista, São Paulo, SP, CEP 01311-914 ("PUBNIC", "nós"). "Skalyn" é o nome comercial e de produto do serviço.

Para as atividades em que atua como controladora — como os dados de cadastro e autenticação dos usuários, segurança, assinatura e faturamento, suporte e operação do serviço —, a responsável pelo tratamento dos dados pessoais é a PUBNIC, operadora do serviço Skalyn. Solicitações, dúvidas e requerimentos relacionados à privacidade e à proteção de dados pessoais podem ser enviados para privacidade@skalyn.com.br.

Esta Política se aplica ao site (skalyn.com.br e skalyn.io), ao aplicativo (app.skalyn.com.br e app.skalyn.io) e à API (api.skalyn.com.br e api.skalyn.io). Organizações no Brasil operam em reais (BRL) e organizações internacionais operam em dólares (USD).

Ela se aplica a todas as pessoas que utilizam o Skalyn: coordenadores que administram uma organização, voluntários que participam das escalas e pessoas convidadas a integrar uma organização.

A PUBNIC atua como controladora dos dados de cadastro e autenticação dos usuários e dos dados de assinatura, faturamento, suporte e segurança — ou seja, do tratamento necessário para operar, proteger e cobrar pelo próprio serviço.

Quando uma organização cadastra e gerencia dados de seus voluntários no Skalyn, essa organização é a controladora desses dados e o Skalyn atua como operador, tratando-os conforme as instruções da organização e esta Política. A organização é responsável por ter autoridade e base legal para cadastrar, convidar, gerenciar e se comunicar com seus voluntários.

Coletamos apenas os dados necessários para operar o serviço de escala de voluntários:

• Dados de conta: nome, sobrenome, endereço de e-mail, telefone (opcional), idioma de preferência e preferências de notificação.
• Credenciais de acesso: senha (armazenada de forma cifrada, nunca em texto puro) ou, se você optar pelo login com Google, os dados de autenticação (nome e e-mail) fornecidos pela sua conta Google.
• Dados da organização e do vínculo: nome e tipo da organização (por exemplo, ONG, religiosa, escola ou outro), seu papel (função) e o status do seu vínculo.
• Dados de voluntários inseridos pela organização: nome, e-mail e telefone de voluntários cadastrados por um coordenador.
• Dados operacionais de escala: locais, turnos, atribuições, convites, confirmações, recusas, registros de presença ou ausência e eventuais observações de presença, além de histórico de atividades e notificações.
• Dados da integração com o Google Calendar (quando ativada): e-mail da conta Google conectada, identificador do calendário criado e um token de atualização (refresh token) armazenado de forma cifrada.
• Dados de assinatura e faturamento: plano, intervalo, moeda, status da assinatura, período vigente e identificadores de cliente e de assinatura no Stripe. Não armazenamos números de cartão — o pagamento é processado diretamente pelo Stripe.
• Comunicações de suporte e feedback: mensagens que você nos envia, inclusive pelo recurso de feedback dentro do aplicativo.
• Dados técnicos e de segurança: endereço IP, informações do navegador e do dispositivo, registros de acesso (logs), identificador de sessão e eventos de segurança gerados automaticamente.

O Skalyn não possui campos destinados a coletar dados pessoais sensíveis (como convicção religiosa, saúde, origem racial ou orientação sexual) e recomenda que as organizações não insiram dados sensíveis desnecessários.

Ainda assim, o Skalyn é utilizado por igrejas, comunidades de fé, ONGs e projetos sociais. A combinação da identidade de uma pessoa com o tipo da organização (por exemplo, "religiosa"), com sua participação, seus turnos e seu histórico de presença pode, por inferência, revelar convicção ou filiação religiosa ou a participação em determinada comunidade — o que pode caracterizar dado pessoal sensível nos termos da LGPD.

Quando esse tratamento ocorre, ele se destina a viabilizar a operação de escala contratada. Cada organização, na condição de controladora dos dados de seus voluntários, é responsável por assegurar a base legal adequada e, quando exigido pela LGPD, obter o consentimento específico e destacado dos titulares para dados sensíveis, coletando apenas o necessário.

Tratamos dados pessoais para as finalidades a seguir, com base nas hipóteses legais da LGPD (art. 7º) e, quando aplicável, do GDPR (art. 6º):

• Criar e manter sua conta e permitir o acesso ao serviço — execução de contrato.
• Operar as escalas: montar turnos, enviar convites e registrar confirmações, presenças e ausências — execução de contrato.
• Enviar e-mails operacionais (convites, pedidos e lembretes de confirmação e alertas) — execução de contrato e legítimo interesse.
• Gerenciar assinaturas, testes e faturamento por meio do Stripe — execução de contrato e cumprimento de obrigação legal.
• Sincronizar compromissos com o Google Calendar, quando você autorizar — consentimento.
• Garantir segurança, prevenir fraudes e abusos, aplicar limites de uso e diagnosticar erros — legítimo interesse.
• Cumprir obrigações legais e regulatórias, inclusive a guarda de registros de acesso — cumprimento de obrigação legal.
• Exercer direitos em processos judiciais, administrativos ou arbitrais — exercício regular de direitos.

O tratamento de eventuais dados sensíveis segue o previsto na Seção 5, sob responsabilidade da organização controladora.

Não vendemos dados pessoais. Compartilhamos dados apenas com prestadores de serviço (operadores) que nos ajudam a operar o Skalyn, sob obrigações contratuais de segurança e confidencialidade:

• Amazon Web Services (AWS): hospedagem da aplicação, do banco de dados e de arquivos (Estados Unidos).
• Stripe: processamento de pagamentos e gestão de assinaturas.
• Google: autenticação de login e, quando você ativa o recurso, sincronização com o Google Calendar.
• Resend (que utiliza a infraestrutura da Amazon SES): envio de e-mails transacionais.
• Sentry: monitoramento de erros e desempenho; pode receber dados técnicos e identificadores para diagnóstico de falhas.
• Slack: recebimento interno de notificações operacionais (por exemplo, novos cadastros e mensagens de feedback), que podem conter e-mail e o conteúdo enviado.
• Cloudflare (Turnstile): proteção contra automação e abuso no cadastro; recebe sinais técnicos, como o endereço IP.
• Doppler: gerenciamento seguro de segredos e configuração da aplicação (não recebe dados de voluntários).

Também podemos compartilhar dados quando exigido por lei, ordem judicial ou autoridade competente. Uma lista atualizada de suboperadores pode ser solicitada pelo canal de privacidade.

Nossa infraestrutura de hospedagem está localizada nos Estados Unidos (AWS, região us-east-2). Os dados de organizações brasileiras e internacionais são processados nessa mesma região nos Estados Unidos. Assim, seus dados podem ser transferidos e processados fora do Brasil e do Espaço Econômico Europeu.

Alguns operadores (por exemplo, Stripe, Google, Sentry, Cloudflare e Slack) podem processar dados em outros países. Essas transferências apoiam-se nas hipóteses do art. 33 da LGPD e do Capítulo V do GDPR, com salvaguardas contratuais junto aos operadores para buscar nível de proteção compatível com a legislação aplicável.

Adotamos medidas técnicas e organizacionais para proteger os dados pessoais, incluindo:

• Criptografia em trânsito (TLS 1.2/1.3) nas comunicações com o serviço.
• Criptografia dos dados em repouso no banco de dados e cifragem específica do token do Google Calendar.
• Senhas protegidas com o algoritmo de hash Argon2 e autenticação por sessão com cookies HttpOnly, inacessíveis a scripts do navegador.
• Isolamento lógico entre organizações (multi-inquilino) e controle de acesso por papel.
• Proteção de borda (firewall de aplicação) e limites de requisição para mitigar abuso, além de proteção contra automação no cadastro.
• Monitoramento de eventos, registros de segurança, gestão de segredos com armazenamento cifrado e cópias de segurança automáticas do banco de dados.

Nenhum sistema é totalmente imune a incidentes. Caso ocorra um incidente de segurança que possa acarretar risco relevante aos titulares, comunicaremos os afetados e as autoridades competentes conforme a legislação aplicável.

Mantemos os dados pessoais pelo tempo necessário às finalidades desta Política, observados os seguintes critérios:

• Dados de conta e de uso: enquanto sua conta estiver ativa.
• Registros operacionais e de segurança (logs): mantidos por cerca de 90 dias em monitoramento ativo e arquivados por até 12 meses, atendendo ao mínimo de 6 meses de guarda de registros de acesso a aplicações previsto no art. 15 do Marco Civil da Internet (Lei nº 12.965/2014).
• Dados de faturamento: pelo prazo exigido pela legislação fiscal e regulatória aplicável.
• Cópias de segurança do banco de dados: recicladas dentro da janela de retenção de backups.
• Convites pendentes: expiram em 7 dias.

Ao excluir sua conta ou sua organização, os dados pessoais correspondentes entram em um estado reversível e são mantidos por 30 dias; após esse prazo, são permanente e irreversivelmente eliminados de nossos sistemas de produção por rotina automatizada. O link de reativação enviado por e-mail é válido por 24 horas. Podemos manter um registro mínimo da exclusão, sem dados pessoais identificáveis, como evidência de cumprimento.

Quando uma organização remove um voluntário ou exclui um turno, o registro pode ser mantido como histórico da organização enquanto ela existir, para fins de auditoria, salvo solicitação de exclusão.

A qualquer momento, você pode exercer os direitos previstos na LGPD (art. 18) e, quando aplicável, no GDPR (arts. 15 a 22):

• Confirmar a existência de tratamento e acessar seus dados.
• Corrigir dados incompletos, inexatos ou desatualizados.
• Solicitar a anonimização, o bloqueio ou a eliminação de dados desnecessários ou tratados em desconformidade com a lei.
• Solicitar a portabilidade dos dados a outro fornecedor.
• Revogar o consentimento e ser informado sobre o compartilhamento de seus dados.
• Opor-se a tratamento realizado com base em legítimo interesse.

No aplicativo, você pode exportar uma cópia dos seus dados em formato JSON e excluir sua conta a qualquer momento; administradores podem excluir a organização e seus dados. A exclusão segue o cronograma de retenção de 30 dias descrito acima. Você também pode escrever para privacidade@skalyn.com.br.

Não tomamos decisões unicamente automatizadas que produzam efeitos jurídicos relevantes sobre você. Pedidos relativos a dados de voluntários controlados por uma organização podem exigir coordenação com essa organização; nesse caso, atuamos como operadores para auxiliar. Você também tem o direito de apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) ou, no caso de titulares na União Europeia, à autoridade de controle competente.

O Skalyn utiliza apenas cookies estritamente necessários para autenticar seu acesso e manter sua sessão (incluindo um cookie de sessão e um cookie de proteção contra CSRF). Não utilizamos cookies de publicidade nem rastreamento de comportamento para fins de marketing.

Utilizamos também o armazenamento local do navegador (local storage) para guardar preferências como idioma, tema e organização ativa. Isso não são cookies e não servem para publicidade.

Para diagnóstico de erros, a ferramenta Sentry pode registrar informações técnicas da sessão. Atualmente não carregamos ferramentas de analytics de terceiros por padrão; caso venhamos a utilizá-las, faremos isso com a base legal e os mecanismos de consentimento aplicáveis.

A integração com o Google Calendar é opcional e ativada por um coordenador. Ao ativá-la, solicitamos permissão para acessar o e-mail da sua conta Google e para criar e gerenciar um calendário dedicado ("Skalyn — nome da organização") no Google Calendar.

Com a integração ativa, publicamos os turnos como eventos (título, local e instruções) e adicionamos os voluntários escalados como convidados, pelo e-mail. Armazenamos, de forma cifrada, apenas um token de atualização; não armazenamos outros dados da sua conta Google.

Você pode desconectar a integração a qualquer momento nas configurações. Ao desconectar, ou ao excluir a organização, removemos o calendário criado pelo Skalyn e seus eventos, revogamos o token junto ao Google e apagamos a conexão dos nossos sistemas.

O uso das informações recebidas das APIs do Google adere à Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado (Limited Use).

O Skalyn não é direcionado a menores de 18 anos e não solicita a idade dos usuários. Contas devem ser criadas por pessoas maiores de idade e legalmente capazes.

Caso uma organização precise cadastrar voluntários menores de idade, isso ocorre sob responsabilidade da própria organização, que deve obter o consentimento específico e destacado dos pais ou responsáveis quando exigido por lei e coletar apenas o necessário. Se soubermos que coletamos dados de uma criança sem base adequada, tomaremos medidas para eliminá-los.

Podemos atualizar esta Política de tempos em tempos. Quando houver mudanças relevantes, informaremos por meio do serviço ou por e-mail. A data da última atualização está indicada no topo desta página.

Dúvidas sobre esta Política ou sobre o tratamento dos seus dados podem ser enviadas ao nosso canal de privacidade e proteção de dados pessoais, pelo e-mail privacidade@skalyn.com.br. Para outros assuntos, utilize contato@skalyn.com.br.