Política de Privacidade.

1. Quem somos e quem responde

Associação Casa Hacker, CNPJ 36.038.079/0001-97, associação civil sem fins lucrativos, com sede em São Paulo/SP e operação em Campinas/SP. Somos a controladora dos dados pessoais descritos aqui, nos termos da LGPD (Lei nº 13.709/2018).

Encarregado de Dados (DPO): Geraldo Barros — privacidade@casahacker.org. É o canal para qualquer pergunta ou pedido sobre seus dados, e respondemos em até 15 dias.

2. O que este documento cobre

Cobre o tratamento de dados pessoais em todas as frentes da Casa Hacker, e não só neste site: programas educacionais e socioculturais, inscrições em eventos, relação com equipe e prestadores, obrigações contábeis e fiscais, prestação de contas a financiadores e o canal de denúncias.

A relação completa das operações de tratamento é mantida internamente em um Registro de Operações de Tratamento (RoPA), com finalidade, base legal, prazo de guarda e operadores envolvidos, revisado periodicamente. O que está resumido abaixo é derivado dele.

3. Dados que tratamos, por finalidade

Agrupamos por para que serve, porque é isso que determina o que pedimos e por quanto tempo guardamos.

• Programas educacionais e socioculturais — identificação, contato, endereço, data de nascimento, dados do responsável legal, registro de atividades, frequência, progresso e entregas; quando o programa avalia impacto, também respostas de instrumentos de avaliação. Inclui prontuário social dos participantes.
• Inscrição em eventos abertos — nome, contato, endereço, data de nascimento, gênero, necessidades de acessibilidade, presença e emissão de certificado.
• Equipe, prestadores e fornecedores — dados cadastrais, financeiros, fiscais e de contrato; verificação de integridade (due diligence) exigida pela legislação anticorrupção; benefícios, viagens e telefonia corporativa.
• Obrigações contábeis, fiscais e societárias — escrituração, notas fiscais, documentos societários e certificados digitais de representantes legais.
• Prestação de contas a financiadores — dados de participantes exigidos por editais, convênios e sistemas públicos de fomento cultural.
• Comunicação e site — nome, e-mail e mensagem enviada; dados de navegação, quando você aceita a estatística e a medição de anúncios (ver cookies).
• Canal de denúncias — o que a pessoa relatar, e sua identificação apenas se ela quiser se identificar (ver canal de denúncias).

4. Crianças e adolescentes

Boa parte dos nossos programas atende crianças e adolescentes — é o propósito da Casa Hacker, e por isso este item existe em destaque.

• O tratamento observa o art. 14 da LGPD: o melhor interesse da criança e do adolescente orienta cada decisão sobre o dado.
• A participação depende de consentimento específico e em destaque de pelo menos um dos pais ou do responsável legal (art. 14, §1º), recolhido no Termo de Participação.
• Não condicionamos a participação em atividade nossa ao fornecimento de dado além do necessário (art. 14, §4º).
• Uso de imagem e depoimento tem autorização própria, separada da inscrição, e pode ser retirada.
• O pedido de acesso, correção ou eliminação pode ser feito pelo responsável legal, pelo formulário no fim desta página.

5. Dados sensíveis

Algumas atividades exigem dado que a LGPD classifica como sensível (art. 5º, II). Tratamos apenas o necessário, e sempre com base própria — não por conveniência.

• Saúde e deficiência — quando você informa necessidade de acessibilidade para participar de um evento ou atividade. Serve só para organizar aquela participação.
• Dado de criança e adolescente em prontuário social — registro de desenvolvimento e participação nos programas, com consentimento do responsável.
• Raça/cor e gênero — usados de forma agregada, para medir alcance e equidade dos programas e prestar contas a financiadores.
• Biometria — apenas na emissão de certificado digital ICP-Brasil de representantes legais, por exigência da autoridade certificadora.

Não usamos dado sensível para publicidade, perfilamento comercial ou qualquer decisão automatizada.

6. Bases legais

Todo tratamento tem uma base legal declarada. As que usamos:

• Consentimento (art. 7º, I; art. 11, I) — inscrição em evento, comunicações opcionais, cookies de estatística, uso de imagem e depoimento, e o prontuário social dos participantes;
• Consentimento do responsável legal (art. 14, §1º) — participação de criança e adolescente;
• Execução de contrato (art. 7º, V) — relação com equipe, prestadores, fornecedores e parceiros, e a execução dos programas;
• Obrigação legal ou regulatória (art. 7º, II; art. 11, II, a) — contabilidade, fiscal, societário, prestação de contas a órgãos públicos e financiadores, e apuração de denúncia;
• Legítimo interesse (art. 7º, IX) — segurança da informação, prevenção de fraude, suporte técnico aos equipamentos da associação e melhoria dos programas.

7. Cookies e armazenamento local

Essencial (sempre ativo): guardamos no seu navegador (localStorage) as suas preferências da barra de acessibilidade (tema, fonte, contraste etc.) e a sua escolha neste aviso. Nada disso identifica você nem sai do seu dispositivo.

Estatística e medição de anúncios (opcionais, só com o seu aceite): se você aceitar no aviso, ativamos o Google Analytics 4 com IP anonimizado para entender como o site é usado. O mesmo aceite permite medir quais anúncios do programa Google Ad Grants trouxeram você até aqui: o cookie _gcl_aw guarda por 90 dias o identificador do clique no anúncio, e a contagem de conversões (um material baixado, um e-mail iniciado) é enviada ao Google Ads — sem nenhum dado que identifique você. Você pode recusar sem perder nenhuma função. Para revogar depois, limpe os dados deste site no navegador — o aviso reaparece na próxima visita.

Não fazemos publicidade personalizada nem remarketing. A personalização de anúncios fica negada no próprio Consent Mode, o Google Signals está desligado, e os seus dados não são usados para montar perfis nem para seguir você em outros sites. Não vendemos dado de navegação.

8. Com quem compartilhamos

Não vendemos nem cedemos dados pessoais. O compartilhamento acontece em três situações, e só nelas:

• Operadores — empresas que tratam dado por nossa conta e sob nossas instruções, para viabilizar a operação. Exigimos cláusula de proteção de dados no contrato. Por categoria: infraestrutura e nuvem, assinatura eletrônica, sistema de gestão financeira e contábil, plataforma educacional, plataforma de inscrição em eventos, mobilidade e viagens, benefícios, telefonia, certificação digital e plataforma do canal de denúncias.
• Controladores autônomos — instituições que recebem o dado e passam a tratá-lo por decisão e responsabilidade próprias: financiadores e fundações a quem prestamos contas, órgãos públicos de fomento cultural e serviços registrais.
• Autoridades — quando legalmente exigido, e no limite do que for exigido.

A relação nominal de operadores e a situação contratual de cada um constam do nosso registro interno e podem ser solicitadas pelo formulário no fim desta página, escolhendo “Com quem vocês compartilharam?”.

9. Transferência internacional

Parte da nossa infraestrutura fica fora do Brasil, e isso precisa estar dito com clareza: há transferência internacional de dados (art. 33 da LGPD).

• Nuvem e colaboração — serviços de infraestrutura, e-mail, armazenamento e videoconferência hospedados nos Estados Unidos. Por eles transita o conjunto dos dados da organização.
• Backup em nuvem — cópias de segurança em regiões fora do Brasil, cifradas.
• Estatística do site e medição de anúncios — o Google Analytics 4 e o Google Ads processam dado de navegação nos Estados Unidos, e só são ativados se você aceitar.
• Mobilidade corporativa — o serviço de transporte usado em atividades da organização é operado por empresa nos Estados Unidos.

A transferência se apoia em cláusulas contratuais de proteção de dados com os operadores e no cumprimento do art. 33. Mantemos backup redundante em datacenter no Brasil (Valinhos/SP) e o Cockpit, sistema próprio onde vive o prontuário dos participantes, roda em servidor no Brasil (São Paulo).

10. Por quanto tempo guardamos

O prazo segue a finalidade, e o que a lei exige. Depois dele, o dado é eliminado ou anonimizado.

• Contabilidade, fiscal e due diligence de fornecedor — 10 anos, por exigência da legislação tributária;
• Contratos e relação com equipe e prestadores — vigência + 5 anos;
• Programas e prontuário social — vigência + 5 anos, prazo da prestação de contas aos financiadores;
• Avaliação de impacto — respostas individuais até a publicação do relatório do ciclo; depois, anonimizadas. Resultados agregados: ciclo + 5 anos;
• Inscrição em evento — 2 anos após o evento;
• Formulário de contato — 24 meses;
• Denúncia — apuração + 5 anos;
• Documento societário e validade jurídica de assinatura — permanente, por natureza do registro;
• Estatística do site — 26 meses;
• Medição de anúncios — 90 dias (cookie _gcl_aw);
• Preferências no seu navegador — até você limpá-las.

11. Segurança

Dados em trânsito por TLS 1.2 ou superior. Dados em repouso com criptografia, e backups cifrados.

O acesso é por perfil e escopo — cada pessoa alcança apenas o dado necessário à sua função —, e as ações sobre dado pessoal ficam registradas em trilha de auditoria encadeada por hash, que não permite alteração retroativa.

Mantemos registro de incidentes de segurança. Se ocorrer incidente com risco relevante aos seus direitos, comunicamos você e a ANPD, como manda o art. 48.

12. Seus direitos, e como exercer

Você pode, a qualquer momento:

• Confirmar que existe tratamento e acessar seus dados;
• Corrigir dado incompleto, inexato ou desatualizado;
• Pedir anonimização, bloqueio ou eliminação de dado desnecessário ou excessivo;
• Pedir portabilidade;
• Saber com quem compartilhamos;
• Revogar consentimento, e saber o que acontece se você não consentir;
• Opor-se a tratamento feito sem consentimento.

O caminho é o formulário no fim desta página. Ele abre um pedido formal com número de protocolo e prazo contado, que entra direto na fila do Encarregado — você não precisa saber o nome jurídico do que quer, basta escolher a frase que mais parece com a sua pergunta. Respondemos em até 15 dias.

O formulário não pede documento, e você não deve enviar CPF, RG ou foto de documento por ele. Se o pedido exigir conferir que é você, o Encarregado combina isso na resposta, de forma proporcional.

Se preferir escrever, privacidade@casahacker.org vale o mesmo e tem o mesmo prazo. E você pode, a qualquer momento, reclamar à ANPD.

13. Canal de denúncias

Irregularidade, assédio ou violação ética têm canal próprio, confidencial e independente desta política: compliance.casahacker.org.

A identificação é opcional. Quando a pessoa se identifica, a identidade é protegida e o acesso restrito a quem apura. O expurgo do caso é ato humano do Encarregado, sem automação.

14. Alterações nesta política

Quando esta política mudar de forma relevante, atualizamos a data no topo e, se a mudança afetar a base legal ou ampliar finalidade, avisamos pelos canais que você já usa com a gente.

As âncoras das seções (#dados, #direitos, #solicitar…) são estáveis: link que você compartilhou continua funcionando.