Política de Privacidade

1. Quem trata os seus dados

O aplicativo Fundação CAS é disponibilizado pela Fundação CAS, CNPJ 32.928.258/0001-49, com endereço na Rua Guilherme Pinto, 155, Graças, Recife/PE, CEP 52011-210, que decide sobre o tratamento dos dados pessoais descrito nesta Política.

Canal para assuntos de privacidade e proteção de dados: atendimento@fundacaocas.com.br.

2. A quem esta Política se aplica

Esta Política vale para o aplicativo Fundação CAS para Android e iOS, versão 1.0, e para a página de validação da carteirinha digital usada por parceiros. O site institucional tem política própria, disponível em https://fundacaocas.com.br/politica-privacidade.php.

O aplicativo é exclusivo para contribuintes e beneficiários que já possuem cadastro na Fundação CAS. Não existe cadastro aberto: o acesso depende de vínculo e de cadastro prévio na instituição.

3. Dados pessoais tratados pelo aplicativo

Conforme as funcionalidades que você utiliza, tratamos:

• Acesso e segurança: CPF; senha, que é armazenada somente em forma cifrada irreversível (hash) e nunca em texto; códigos temporários de 6 dígitos usados no primeiro acesso e na recuperação de senha; e-mail da conta digital, quando confirmado por código; registros de sessão, de segurança e de auditoria das operações, que podem incluir data e hora, endereço IP e informações do aparelho ou navegador.
• Cadastro: nome, matrícula, tipo de vínculo (titular ou dependente) e situação cadastral; e, no recadastramento, e-mail, telefone, CEP, logradouro, número, complemento, bairro, cidade e estado.
• Foto da carteirinha: imagem que você fotografa ou escolhe no aparelho para a sua carteirinha, ou a selfie do primeiro acesso remoto; e a foto institucional, quando já existir no cadastro.
• Primeiro acesso remoto, quando disponível: foto de um documento de identificação com CPF e uma selfie (detalhes na seção 4).
• Carteirinha digital e QR: dados exibidos na carteirinha e um QR temporário para validação.
• Contribuições: competências, valores e situação das contribuições, exibidos apenas para consulta.
• Dependentes: nome, CPF, data de nascimento e parentesco informados pelo titular em solicitações; e a carteirinha do dependente exibida ao titular.
• Atendimento: mensagens enviadas pelo Fale Conosco e pela Ouvidoria e pedidos de exclusão da conta, acompanhados do nome, e-mail e telefone cadastrados.

O aplicativo não coleta localização, contatos, áudio ou microfone, dados de navegação para publicidade, nem utiliza ferramentas de análise de uso, de relatório de falhas ou de rastreamento entre aplicativos.

4. Primeiro acesso remoto e conferência do documento

Quando o primeiro acesso remoto estiver disponível, você poderá ativar a conta pelo próprio aparelho informando o CPF, uma foto do documento de identificação e uma selfie, e confirmando um e-mail por código.

A foto do documento passa por uma leitura automática de texto (OCR), executada em servidor da própria Fundação, sem envio a terceiros, apenas para localizar o CPF e compará-lo com o informado. O texto reconhecido não é armazenado. Quando a leitura não confirma o CPF, a solicitação é analisada por pessoas da equipe de atendimento da Fundação (CAC).

A selfie não é usada para reconhecimento facial nem para prova de vida. Ela passa a ser a foto da sua carteirinha no aplicativo e pode ser conferida pela Fundação em validação presencial da identidade.

As imagens desse processo são temporárias: ficam cifradas enquanto a solicitação está aberta e são apagadas na conclusão ou na recusa da solicitação, ou pela rotina automática de descarte quando a solicitação se encerra de outra forma.

5. Para que usamos os dados

• identificar você e permitir o primeiro acesso, o login e a recuperação de senha;
• manter e atualizar o seu cadastro;
• exibir a carteirinha digital e permitir a validação por QR;
• apresentar informações de contribuições e de dependentes;
• encaminhar e responder mensagens de atendimento, de Ouvidoria e pedidos de exclusão;
• proteger as contas e o serviço contra acesso indevido, abuso e fraude, inclusive por limites de tentativas e registros de auditoria;
• cumprir obrigações legais e regulatórias.

6. Bases legais

Cada finalidade acima é tratada com fundamento nas hipóteses do artigo 7º da Lei Geral de Proteção de Dados (Lei nº 13.709/2018).

7. Com quem os dados são compartilhados

A Fundação CAS não vende nem comercializa dados pessoais. Os dados podem ser acessados ou recebidos por:

• Parceiros que validam a carteirinha: ao ler o QR, o parceiro vê somente o nome, o tipo de vínculo, o resultado da validação e se a identidade já foi confirmada presencialmente.
• ViaCEP: quando você digita um CEP no recadastramento, o aplicativo consulta diretamente o serviço público ViaCEP para preencher o endereço. Apenas o CEP é enviado.
• Prestadores de serviços de tecnologia: hospedagem dos sistemas e envio de e-mails institucionais, atuando conforme instruções da Fundação.
• Autoridades públicas: quando houver obrigação legal ou ordem de autoridade competente.

A Apple e o Google distribuem o aplicativo pelas suas lojas, sob as suas próprias políticas.

8. Permissões do aparelho

O aplicativo solicita acesso à câmera, para fotografar a foto da carteirinha e, no primeiro acesso remoto, o documento e a selfie; e às fotos, para você escolher uma imagem existente. As permissões só são usadas quando você inicia essas ações. Se você negar uma permissão, apenas o recurso correspondente deixa de funcionar.

9. Segurança

Adotamos medidas técnicas e administrativas para proteger os dados, entre elas:

• comunicação cifrada (HTTPS) entre o aplicativo e os servidores;
• senhas guardadas somente como hash;
• tokens de sessão guardados no armazenamento seguro do aparelho;
• imagens do primeiro acesso remoto cifradas, com a chave guardada fora do banco de dados;
• remoção de metadados das imagens do primeiro acesso remoto, como localização (GPS);
• acesso ao painel administrativo restrito por perfil, com registro de auditoria.

Nenhum sistema é totalmente imune a incidentes. Havendo incidente de segurança que possa acarretar risco ou dano relevante, a Fundação adotará as providências previstas na legislação.

10. Por quanto tempo os dados são mantidos

Os dados são mantidos pelo tempo necessário às finalidades desta Política e ao cumprimento de obrigações legais e regulatórias. Prazos aplicados hoje pelo sistema:

• solicitações de primeiro acesso remoto não concluídas expiram em até 60 minutos sem envio, em até 7 dias quando aguardam análise e em até 72 horas após a aprovação;
• as imagens do primeiro acesso remoto são apagadas na conclusão ou na recusa da solicitação ou pela rotina automática de descarte;
• a foto da carteirinha substituída, removida ou de uma conta encerrada é descartada automaticamente após 30 dias;
• a assinatura digital (hash) das imagens descartadas, usada apenas para impedir a reutilização de imagens, e as solicitações de primeiro acesso sem cadastro correspondente são removidas após 180 dias.

Os demais dados do cadastro institucional, das contribuições, dos dependentes, do atendimento e dos registros de auditoria seguem a regra geral desta seção: são mantidos pelo tempo necessário às finalidades desta Política, pelo tempo exigido em lei ou pelo tempo necessário ao exercício regular de direitos.

11. Seus direitos

Nos termos da LGPD, você pode solicitar: confirmação da existência de tratamento; acesso aos dados; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei; portabilidade, quando aplicável; informação sobre compartilhamentos; e revogação do consentimento, quando o tratamento se basear nele.

Os pedidos podem ser feitos pelo canal informado na seção 1. Para proteger você, a Fundação confirmará a titularidade antes de atender o pedido e não solicitará a sua senha.

12. Exclusão da conta do aplicativo

Você pode pedir a exclusão da sua conta do aplicativo em Perfil › Solicitar exclusão da conta ou, sem o aplicativo, pela página https://fundacaocas.com.br/excluir-conta. O pedido gera um protocolo e é tratado pela Fundação; ele não é concluído no momento do envio.

Com a exclusão da conta, a Fundação encerra o acesso ao aplicativo: a senha do aplicativo é apagada, as sessões e os códigos pendentes são revogados e a foto da carteirinha enviada pelo aplicativo passa a seguir o descarte da seção 10. A exclusão da conta digital não cancela o vínculo com a Fundação nem as contribuições, e os registros institucionais sujeitos a obrigação legal de guarda podem ser mantidos. Pedidos de eliminação de outros dados do cadastro são analisados como pedido de direitos (seção 11).

Prazo para conclusão: até 30 dias corridos, contados da confirmação da titularidade. A conclusão é confirmada ao titular pelo canal de contato que consta no cadastro. Esse prazo é independente do descarte da foto da carteirinha descrito na seção 10.

13. Dependentes, crianças e adolescentes

O titular pode informar dados de dependentes, que podem incluir crianças e adolescentes, para a gestão de dependentes e a emissão das respectivas carteirinhas. O titular declara estar autorizado a fornecer essas informações, nos termos do artigo 7º e 14º da lei LGPD.

14. Alterações desta Política

Esta Política pode ser atualizada quando houver mudança nas funcionalidades, nos prestadores ou na legislação. A versão vigente e a data de vigência ficam sempre nesta página pública, sem necessidade de login. Mudanças relevantes serão comunicadas pelo aplicativo ou por outro meio adequado.