Política de Privacidade do MOVA

1. Quem somos e como falar conosco

O MOVA é um aplicativo para iPhone, com servidor próprio, feito para profissionais independentes que trabalham viajando organizarem agenda, clientes, viagens, finanças e segurança.

Controlador dos dados (quem decide como os seus dados são tratados — LGPD, art. 9º, III):

• Responsável: o MOVA é operado por um desenvolvedor independente (pessoa física). O contato é feito somente pelos e-mails abaixo.
• E-mail de suporte: [email protected]
• E-mail para assuntos de privacidade: [email protected]
• Encarregado pelo tratamento de dados (LGPD): Bruno, responsável pelo MOVA — [email protected]

Esta política explica, em linguagem simples, quais dados o MOVA guarda, por quê, com quem compartilha, por quanto tempo, o que nunca fazemos e quais são os seus direitos.

2. Resumo em um minuto

• Guardamos no nosso servidor o que você digita no app para trabalhar: sua conta, seus clientes, sua agenda, suas viagens e suas finanças. Em uso normal, só você (e quem você autorizar) vê esses dados.
• Fotos de clientes e fotos anexadas a relatos nunca vão para o nosso servidor. Ficam só no seu iPhone e no seu próprio iCloud.
• Nosso servidor e o banco de dados ficam nos Estados Unidos. Se você usa o MOVA no Brasil, seus dados são enviados para fora do país (secção 7).
• Cadastro, login, troca de senha e envio de relato guardam o seu endereço IP e a hora por 6 meses e depois apagam sozinhos (secção 3.2).
• O histórico dos números que você consulta fica só no seu iPhone e no seu iCloud. O nosso servidor não guarda quais números você consulta.
• O bloqueio de ligações e SMS usa uma lista que fica dentro do seu iPhone.
• Não vendemos dados, não mostramos anúncios e não rastreamos você em outros apps ou sites.
• Os relatos da comunidade são anônimos para quem consulta. Por dentro, sabemos qual conta escreveu cada relato, só para combater abuso e para moderação (e para cumprir ordem da Justiça). A autora não apaga o relato sozinha, mas pode pedir a retirada (a moderação decide); e todo relato é revisto depois de 2 anos.
• O dono da plataforma (Owner) pode abrir sua conta para ver, sem pedir sua autorização antes, quando precisar (segurança, suporte, abuso). Você vê depois, na tela "Atividade", que o suporte acessou. Mudar dados só com um chamado seu aberto. O Owner também tem um painel onde vê, de uma usuária, os nomes e telefones dos clientes que ela anotou, sempre com um motivo escrito e registrado a cada acesso (secção 11). Tudo fica registrado e o registro não pode ser apagado.
• Você pode excluir a conta dentro do app: clientes, agenda, viagens, hotéis, finanças, foto de perfil, sessões e links de redefinição de senha são apagados do servidor na hora (secção 13). O registro de IP segue o prazo de 6 meses, porque a lei manda guardar.

3. Que dados guardamos e para quê

3.1 Dados da sua conta (você nos dá ao criar a conta e no perfil)

3.2 Dados da sua sessão e registros de acesso (automáticos)

Registros de acesso. O Marco Civil da Internet (art. 15) manda guardar IP, data e hora de acesso por 6 meses, sob sigilo. Por isso o servidor guarda IP e horário (em UTC) só nos quatro eventos acima, por 6 meses, e apaga depois. Esses registros não são usados para publicidade, para perfil nem para qualquer outra finalidade, e só são entregues a autoridade com ordem judicial (art. 15, § 3º). Não guardamos IP em cada uso do app. "Login" inclui e-mail e senha e "Entrar com a Apple"; a renovação automática da sessão não grava IP. O registro é gravado junto com o próprio evento, fica numa tabela que o sistema do MOVA só consegue escrever (não lê, não altera e não apaga; quem apaga é uma rotina separada, depois de 6 meses) e não é apagado quando você exclui a conta, porque a obrigação legal é guardar por 6 meses. Base legal: obrigação legal (LGPD, art. 7º, II) e exercício regular de direitos (art. 7º, VI). Os provedores de hospedagem (secção 6) mantêm registros técnicos próprios de acesso ao servidor, conforme as políticas deles.

3.3 Dados do seu trabalho

Tudo o que você anota para trabalhar fica no nosso servidor, ligado só à sua conta, para que você possa usar em mais de um aparelho e não perder nada se trocar de iPhone:

• Clientes: nome ou apelido, telefone (opcional), cidade/região/país, origem (site, Instagram, secretária, indicação etc.; a lista de origens é sua e você pode criar e renomear), data do primeiro contato, situação (ativo ou bloqueado), observações. A foto do cliente não vai para o servidor (secção 5).
• Agenda (atendimentos): cliente, data e hora, fuso horário, duração, cidade, valor, gorjeta, comissão, origem, situação (agendado, confirmado, concluído, cancelado, não compareceu), lembrete e observações.
• Viagens: cidade/região/país, datas, fuso horário, hotel (nome, endereço e observação), check-in e check-out, transporte, comissão padrão e observações. Os hotéis onde você já ficou ficam numa lista sua para o app sugerir na próxima viagem.
• Finanças: despesas e outras receitas (cada uma com descrição, valor, moeda e data), categorias de despesa que você mesma cria, e investimentos em publicidade por origem.
• Recados no atendimento: textos curtos que você e sua secretária trocam dentro de um atendimento marcado na colaboração (secção 8).
• Exportação: você pode exportar uma planilha (CSV) dos seus atendimentos e lançamentos, com o telefone dos clientes só se você marcar. O arquivo é gerado no seu aparelho e vai para onde você mandar; a partir daí ele é responsabilidade sua.

Esses dados são usados só para o app funcionar para você: mostrar sua agenda, seus totais por moeda, seus relatórios e seu resumo do dia. O MOVA não analisa esses dados para outros fins, não cruza com outras contas e não cria base global de clientes: o mesmo telefone em duas contas são dois registros separados e invisíveis entre si. As exceções estão descritas nesta política: o que você compartilha com uma secretária (secção 8), os relatos (secção 9) e o acesso administrativo (secção 11).

Não escreva dados sensíveis dos seus clientes nas observações, nas descrições nem nos nomes de categorias (saúde, orientação sexual, religião, origem racial, opinião política etc.). A lei dá proteção reforçada a esses dados (LGPD, art. 5º, II, e art. 11) e o MOVA não foi feito para guardá-los.

3.4 Dados que ficam só no seu iPhone (não vão para o servidor)

• Foto do cliente e foto anexada a um relato (secção 5).
• Histórico dos números que você consulta: fica só no seu iPhone e no seu iCloud, até você apagar um número ou tudo. O app usa esse histórico para avisar "você já consultou este número em <data>", mostrar quantos relatos novos surgiram desde então e indicar quando o número é de um cliente seu. O servidor do MOVA recebe o número (em código) apenas para responder a consulta e não guarda quais números você consultou; guarda só contadores de uso (secção 9). A secretária não vê o seu histórico.
• Bloqueio de ligações e SMS: os números que você marca como "Bloqueado" entram numa lista que o iPhone usa para não tocar e para mandar os SMS para o lixo. Essa lista fica no próprio iPhone (nas extensões do iOS do app) e não é enviada a ninguém. A marcação "Bloqueado" é privada sua e não é um relato à comunidade. O app não bloqueia WhatsApp: ele abre a conversa para você bloquear lá.
• Lembretes de atendimento: são notificações locais, agendadas no próprio iPhone; o texto na tela bloqueada é só "Reunião às 13:00", sem nome de cliente e sem a palavra "atendimento".
• Cópia de leitura dos seus dados (cache) e fila de alterações feitas sem internet, para o app abrir e funcionar sem rede. O servidor é sempre a fonte da verdade.
• Chave de sessão no cofre do iPhone (Keychain), só neste aparelho.
• Trava do app com Face ID, Touch ID ou código (opcional; vem desligada, você liga): usa o sistema do iPhone; o MOVA nunca recebe nem guarda dados biométricos.
• Localização ao criar uma viagem ("Usar minha localização"): usada no iPhone só para sugerir cidade, região e país em texto. As coordenadas nunca saem do aparelho.

3.5 Dados que o MOVA não coleta

• Lista de contatos do seu iPhone.
• Fotos da sua galeria além da que você escolher como foto de perfil (e as fotos de cliente e de relato, que ficam só no aparelho).
• Conteúdo de mensagens, ligações ou e-mails que você troca com clientes (o app só abre o outro aplicativo para você).
• Dados de pagamento ou cartão: o MOVA não cobra nada e não processa pagamentos.
• Dados de uso para publicidade, perfil comportamental ou rastreamento entre apps.
• Relatórios de falha e desempenho de terceiros: o app não usa nenhum serviço de análise ou de falhas de terceiros. Se um for adicionado, esta secção muda antes.

3.6 Visitas a este site

Este site (movapro.app) conta as visitas de forma agregada: a página visitada, a cidade, o estado e o país (aproximados pela rede, a partir do endereço de internet, que não é guardado), o domínio de onde a pessoa veio, e se o aparelho é celular ou computador. Não usamos cookies para visitantes, não guardamos o endereço IP, não criamos perfil de ninguém e não compartilhamos esses números com terceiros, além da Cloudflare, que hospeda o site. Esses registros são apagados depois de 400 dias. Isso vale só para o site; o app não envia esses dados.

4. Para que usamos os dados e em que base legal (LGPD)

A LGPD (Lei 13.709/2018, art. 7º) exige que cada uso de dado tenha uma "base legal". Cada finalidade abaixo tem a sua.

Legítimo interesse, em resumo: (1) legitimidade — proteger as contas, impedir invasão e golpe e manter um espaço de relatos sem abuso; (2) necessidade — guardamos só hash de IP/e-mail para limitar tentativas, ações sem dados pessoais além do código da conta e, nos relatos, só o comentário e a autoria interna; (3) expectativas e direitos — descrevemos tudo nesta política antes do uso, e nada disso é usado para publicidade ou para outra finalidade; (4) salvaguardas — registro só de acréscimo, acesso restrito, aviso à usuária depois do acesso do Owner e direito de oposição.

Dados de saúde, vida sexual e outros dados sensíveis. O MOVA não pede esses dados. O conteúdo que você digita nas observações e nos comentários é livre, e por isso pedimos que você não registre dados sensíveis de ninguém (secção 3.3).

5. Fotos de clientes e de relatos: só com você

Por decisão de produto, a foto de um cliente e a foto anexada a um relato nunca são enviadas ao servidor do MOVA e nunca ficam visíveis para a comunidade, para secretárias ou para a administração. Elas ficam:

• no espaço privado do app no seu iPhone (fora da galeria de fotos), com proteção de arquivo do iOS; e
• no espaço privado do app no seu iCloud, para voltarem quando você reinstalar o app ou trocar de iPhone. O iCloud é um serviço da Apple, na sua conta Apple, regido pelos termos da Apple.

A foto é reduzida e perde os metadados (localização GPS, aparelho, data) antes de ser guardada. Sair da conta mantém as fotos de clientes no aparelho; excluir a conta apaga as fotos de clientes do iPhone, e também as fotos de relatos, do iPhone e do seu iCloud.

Como a foto de um cliente é dado de terceiro, você responde por ter motivo para guardá-la (Termos de Uso, secção 4). Lembre que o iCloud é seu: o MOVA não consegue apagar, ver nem recuperar essas fotos.

6. Com quem compartilhamos

Nunca vendemos nem alugamos seus dados. Compartilhamos só com quem é necessário para o app funcionar:

Não há outros terceiros: nenhuma rede de anúncios, nenhum serviço de análise, nenhum corretor de dados. Os provedores acima são "operadores" e, na linguagem das leis dos EUA, "prestadores de serviço" ou "subprocessadores": só tratam os dados para nos prestar o serviço, sob contrato com proteção de dados. Se trocarmos ou acrescentarmos um provedor, esta lista e o aviso da secção 19 mudam antes.

7. Transferência internacional de dados

Onde ficam os dados. O servidor, o banco de dados, o armazenamento de fotos de perfil e o envio de e-mails ficam em provedores nos Estados Unidos (secção 6). A razão é que o público que mais usa o MOVA está no exterior. O MOVA começa disponível só no Brasil e nos Estados Unidos.

• Se você está nos Estados Unidos: seus dados ficam no seu próprio país.
• Se você está no Brasil: seus dados são enviados para fora do Brasil. Isso é uma transferência internacional de dados (LGPD, arts. 33 a 36, e Resolução CD/ANPD nº 19/2024).

Em que base fazemos a transferência. A transferência é necessária para executar o contrato que você pediu (art. 33, IX, combinado com o art. 7º, V): guardar a sua agenda e os seus clientes para o app funcionar. Além disso, ao criar a conta, você recebe um aviso claro de que os dados ficam nos Estados Unidos e dá o seu consentimento específico e destacado para isso (art. 33, VIII). Nos contratos com os provedores, adotamos as cláusulas de proteção de dados que eles oferecem, conforme os mecanismos do art. 33 da LGPD: cláusulas-padrão contratuais, quando os provedores as oferecem, execução de contrato e consentimento destacado.

• País para onde os dados vão: Estados Unidos.
• O que vai: tudo o que o app guarda no servidor (secção 3), a foto de perfil e os e-mails do app. Não vão as fotos de clientes e de relatos (ficam no seu iPhone e iCloud).
• Você pode pedir informações sobre a transferência e exercer os direitos da secção 14 normalmente.
• Para usuárias nos Estados Unidos e outras leis, ver secção 17.

8. Colaboração com secretárias e assistentes

Cada pessoa tem a própria conta; o login nunca é compartilhado. Você decide se convida alguém, com quais permissões, e pode encerrar o acesso quando quiser. Uma profissional pode ter várias secretárias, e uma secretária pode trabalhar para várias profissionais.

O que a secretária vê da profissional que a convidou:

• A agenda da profissional só no período liberado ("só esta viagem" ou "sem prazo"). Os atendimentos que a profissional marcou sozinha aparecem para a secretária só como "Ocupado 15:00–16:00", sem nome de cliente e sem valor. Ela vê e edita os detalhes só dos que ela marcou.
• Da viagem: cidade e datas; hotel, endereço e transporte vêm liberados por padrão (permissão "Viagem"), e a profissional pode desligar essa permissão no convite.
• Dinheiro: os valores dos atendimentos que ela marcou (preço, gorjeta, comissão) e o que vem deles. O restante do financeiro (despesas gerais, relatórios) só com permissão que a profissional ligar.
• A lista de clientes da profissional só com a permissão "Seus clientes", que vem desligada.
• Quando o acesso termina (a profissional encerra o acesso, ou o prazo "só esta viagem" acaba), a secretária continua vendo, só para leitura, o que ela mesma marcou (e o hotel daquelas viagens, se tinha a permissão), para poder cobrar a comissão.
• Se a profissional excluir a conta: os dados dela são apagados na hora, como na secção 13, e a secretária deixa de ver a agenda, as viagens e o hotel. Fica com a secretária só um extrato das comissões, com: data, cidade, o cliente dela (os clientes marcados pela secretária são da secretária) e os valores. Nada mais da profissional (outros atendimentos, outros clientes, observações, hotéis, finanças) fica com a secretária. O extrato não identifica a profissional por nome, @ ou telefone. O extrato é da secretária, que é a titular desses registros e responde por eles; ele existe só para ela poder cobrar o que lhe é devido.
• Se a secretária excluir a conta: os clientes e dados dela são apagados; os atendimentos que ela marcou continuam na agenda da profissional (são da profissional), ligados a uma conta anônima e ao nome do cliente que já aparecia ("João (via secretária)"), sem o telefone escondido.

O que a profissional vê da secretária:

• Os clientes que a secretária marca são da secretária (as ligações chegam no número dela). Na agenda da profissional, o cliente aparece só com o nome ("João (via Mariana)"), sem telefone e sem observações. A secretária pode mostrar o telefone num atendimento específico, se quiser; a profissional pode então salvar esse cliente na própria lista (vira uma cópia dela).
• O agendamento feito pela secretária não mostra à profissional nada sobre relatos.

Para quem trabalha como secretária: a profissional vê o que você marcou para ela. Cada profissional tem uma cor na sua tela (você pode trocar a cor; iniciais e nome sempre aparecem). Você vê só as profissionais que a convidaram, e cada uma não vê as outras.

Convites: pelo @nome exato, ou a secretária pede e a profissional aprova; a busca nunca revela e-mail nem telefone de ninguém. Convidar e aceitar exigem e-mail confirmado; o convite e o pedido vencem em 7 dias. Há uma só parceria por dupla.

Avisos: a profissional recebe notificação quando a secretária marca, muda horário/valor/cliente, cancela ou marca "não compareceu"; a secretária é avisada quando a profissional muda o que ela marcou. Na tela bloqueada o aviso tem texto neutro ("Mariana marcou uma reunião às 13:00"), sem cliente e sem valor. As outras ações ficam numa tela "Atividade" dos últimos 90 dias.

Recados no atendimento. Dentro de cada atendimento marcado na colaboração, a profissional e a secretária podem deixar recados curtos. Não é um chat livre.

• O que é guardado: o texto do recado, quem o escreveu e a hora. Na tela "Atividade" aparece que um recado foi deixado, mas o registro de ações não copia o texto (secção 12).
• Quem vê: a profissional e a secretária daquele atendimento, enquanto a colaboração vale para ele. Outras secretárias da mesma profissional, administradores comuns e a comunidade não veem. O Owner só vê pelo acesso à conta, com motivo registrado (secção 11).
• Aviso: a notificação na tela bloqueada tem texto neutro ("Mariana deixou um recado"), sem o texto, sem nome de cliente e sem valor.
• Quando é apagado: com o atendimento a que pertence e, na exclusão da conta, junto com os dados da conta excluída (secção 13).
• Cuidado: não escreva dados sensíveis de clientes nos recados (secção 3.3). Recados abusivos podem ser denunciados e levar à suspensão da conta (secção 9, "Moderação").

Quem responde por quê: cada pessoa responde pelos dados que insere (Termos, secção 6). Ao convidar uma secretária, a profissional passa a compartilhar dados dela e de clientes com essa pessoa; a profissional deve ter motivo para isso.

9. Relatos da comunidade

O módulo de segurança permite consultar se há relatos sobre um número de telefone e enviar um relato. Os relatos falam de pessoas que, em geral, não usam o MOVA — por isso esta secção é importante também para elas.

O que guardamos de um relato: um código (hash, feito com um segredo do servidor) do número de telefone, a categoria (golpe, comportamento suspeito, inconsistência de identidade, não compareceu, informação falsa, outro), o comentário (obrigatório: de 10 a 300 caracteres), a data de criação e, por dentro, qual conta escreveu. O código do número continua sendo dado pessoal (LGPD, art. 13, § 4º: dado pseudonimizado), porque com o segredo e o número alguém pode refazer o código; por isso é tratado com segurança máxima e o segredo fica fora do banco de dados.

O que quem consulta vê: só o comentário e a data (fixada em UTC na criação; nunca "há 3 dias", para não revelar a região de quem escreveu). A categoria fica só para a moderação. Quem escreveu nunca aparece para a comunidade, nem para secretárias, nem para administradores comuns. O app apresenta os relatos com linguagem neutra ("existem relatos associados a este número") e nunca como prova de nada.

Consulta: só acontece quando você toca "Consultar número" (na aba Consultar, na ficha do cliente ou no atalho do ícone do app). O app nunca envia sua lista de clientes ao servidor. A consulta é só por número exato; não existe listagem, busca parcial nem exportação. O servidor guarda só contadores de uso para limitar abuso (cerca de 30 consultas por hora e 100 por dia, ajustáveis) e não guarda quais números você consultou (o histórico fica só no seu aparelho — secção 3.4). O número consultado não aparece nos registros (logs) do servidor.

Quem pode relatar: conta com e-mail confirmado e pelo menos 7 dias, até 5 relatos por dia; um relato por autora por número. Relatos de autoras diferentes sobre o mesmo número ficam independentes e se acumulam.

Permanência e retirada. Depois de enviado, o relato não pode ser editado nem apagado pela autora sozinha. Mas: (a) a autora pode pedir a retirada do próprio relato pelo suporte, e a moderação decide (retira, por exemplo, se o relato foi um engano ou não faz mais sentido); (b) todo relato é revisto depois de 2 anos: a moderação confere se ainda faz sentido e, se não fizer, ele sai; (c) qualquer pessoa pode pedir a remoção (abaixo). Se você excluir a conta, seus relatos continuam visíveis (já são anônimos) e, por dentro, ficam ligados só a um código anônimo para o controle contra abuso. Se a conta for suspensa, os relatos ficam escondidos enquanto durar a suspensão.

Moderação e denúncia: qualquer usuária pode marcar um relato como "Relato inadequado"; há também alerta automático para o que parece conter nome, endereço, contato, ofensa ou ameaça. O administrador vê o comentário, a categoria, a data, quantos relatos a autora fez e a situação da conta, sem nome nem e-mail. Só o Owner pode descobrir quem escreveu, e cada consulta dessa fica registrada. Contas que abusam são suspensas ou encerradas. Respondemos a denúncias em até 72 horas quando houver ameaça, exposição de dados ou ofensa grave, e em até 7 dias nos demais casos.

Para a pessoa relatada (ou qualquer pessoa citada): o número de telefone é dado pessoal seu. Você pode, a qualquer momento, pedir informação, correção ou remoção de relatos sobre o seu número escrevendo para [email protected], informando o número. Para evitar que outra pessoa peça em seu nome, vamos confirmar que o número é seu: o suporte envia um código ao próprio número (por SMS ou WhatsApp) e você responde por e-mail. Analisamos em até 15 dias e removemos o que for falso, ofensivo, ilegal, que identifique alguém além do número ou que viole os Termos. Não informamos a quem relatou que você pediu a remoção, e não revelamos quem escreveu, salvo ordem da Justiça.

Responsabilidade por conteúdo de terceiros. O relato é conteúdo de outra usuária. O MOVA não verifica a verdade dos relatos. Conforme o Marco Civil da Internet (art. 19) e a interpretação do Supremo Tribunal Federal, a plataforma pode ser responsabilizada se, depois de ser avisada, não remover conteúdo ilícito; por isso o canal acima existe e é levado a sério.

A autora é anônima para a comunidade, não para a Justiça. Se um juiz mandar, o MOVA entrega os dados da conta que escreveu o relato e os registros de acesso que tiver (secção 3.2).

10. Check-in de segurança

Recurso opcional. Ao ir a um atendimento, você liga um temporizador e escolhe um contato de confiança, que também precisa usar o MOVA e aceitar essa função. Se você não confirmar "estou bem" no horário, o MOVA avisa esse contato pelo próprio app (sem SMS) e o aviso leva a localização do início (o lugar de onde você partiu para o atendimento). A localização do início é apagada quando você confirma que está bem.

• Enquanto o temporizador corre, a localização do início fica no servidor (nos Estados Unidos), só até o fim do check-in. Se você não confirma, a localização é apagada 7 dias depois do aviso; o contato não vê mais nada depois que você confirmar ou o prazo acabar. O contato é só um, precisa ter e-mail confirmado e aceitar antes.
• O contato de confiança recebe seu nome/@ e a localização; por isso ele precisa aceitar a função e você deve avisá-lo. Você pode trocar de contato ou desligar o recurso quando quiser.
• Este recurso não substitui serviços de emergência e pode falhar (Termos, secção 7).

11. Acesso administrativo: o que o Owner e os administradores podem ver

Esta secção existe porque achamos que você precisa saber disso antes de confiar seus dados ao MOVA.

O Owner (dono da plataforma). O Owner pode abrir qualquer conta quando precisar, sem pedir sua autorização antes, para ver dados: perfil, agenda, viagens, clientes, finanças, colaborações, recados, relatos e atividade. A finalidade é suporte e segurança: resolver um problema que você relatou, investigar abuso ou fraude, ou agir em risco à sua segurança.

• Você vê depois: cada acesso aparece na sua tela "Atividade" ("o suporte acessou sua conta em <data>"). Só se o aviso imediato puder atrapalhar a apuração de crime ou ordem de autoridade, o aviso pode ser adiado; isso será exceção e registrada.
• Mudar dados: só com um chamado seu aberto.
• Registro: cada abertura fica registrada (quem abriu, quando e por quê), numa sessão de acesso identificada, e todas as ações dentro dela entram no registro de ações, que não pode ser apagado nem alterado (secção 12).
• Painel do Owner: só o Owner vê, de uma usuária, um resumo e os nomes e telefones dos clientes que ela anotou na agenda, para poder saber quem a visitou caso aconteça algo com ela. A cada acesso o Owner precisa escrever um motivo, e o motivo fica registrado (quem, quando, qual conta, por quê), sem possibilidade de apagar. Administradores comuns não têm esse acesso.

Por que isso exige cuidado (aviso honesto). Os clientes de uma usuária são pessoas que não sabem que estão no MOVA. Ver nome e telefone deles é um uso diferente de apenas guardar os dados para ela, e a lei e as regras da Apple dão atenção especial a isso (LGPD: finalidade e necessidade, art. 6º; Apple 5.1.2(ii)). Por isso:

1. Em uso de rotina (suporte), o Owner não precisa ver nome e telefone de clientes e não os abre. O painel só mostra clientes depois do motivo registrado.
2. A base legal é o legítimo interesse em segurança e prevenção de abuso (LGPD, art. 7º, IX) e, em risco concreto à vida ou à integridade física, a proteção da vida (art. 7º, VII).
3. Cada acesso é um "tratamento" seu e do MOVA: o motivo registrado serve para provar, depois, que havia finalidade. Acessos sem motivo concreto seriam abuso.

O Owner é uma só pessoa, definida no servidor (nunca pelo painel); ele cria e remove os administradores, e um administrador não suspende outro. O painel exige segunda verificação (código de app autenticador) além da senha. Na criação da conta há um aceite destacado deste acesso (Termos, secção 9).

Administradores comuns. Cuidam de suporte, moderação e chamados. Veem as contagens gerais (usuárias ativas, novas, atendimentos, viagens, relatos, chamados) e, de cada usuária, só: @nome, nome de exibição, situação da conta, data de cadastro e última atividade. Não veem e-mail, telefone, foto, clientes, valores, recados, nem nada do trabalho dela. Na moderação, veem o relato sem a identidade da autora. Podem suspender uma conta, sempre com motivo registrado; a reativação devolve tudo.

Suporte. Pela tela "Ajuda" (em "Mais"), você escreve e as respostas aparecem ali. O conteúdo do chamado fica no servidor e é visto pela equipe de suporte. Sem anexos.

12. Registro de ações (audit log)

O MOVA registra ações relevantes: quem agiu (você, uma secretária ou um administrador), o que fez (ex.: "entrou", "mudou o idioma", "criou um atendimento", "excluiu a conta", "tentativa de login falhou"), sobre o quê, quando e um contexto curto, com códigos e nomes de campos, sem copiar o conteúdo (nomes, telefones, valores). O registro é gravado junto com a própria ação e é só de acréscimo: o sistema do MOVA não tem permissão para apagar nem alterar linhas dele.

Serve para: segurança, suporte, moderação e comprovar o que foi feito nas sessões de acesso do Owner. A tela "Atividade" mostra a você as ações da colaboração dos últimos 90 dias e os acessos do suporte à sua conta. Prazo de guarda: ver secção 13.

13. Por quanto tempo guardamos e o que acontece quando você exclui a conta

O que acontece quando você exclui a conta (dentro do app, em Mais → Configurações):

• Na hora: sua sessão em todos os aparelhos é derrubada; e-mail, nome de usuário, nome, telefone, foto de perfil (o arquivo é apagado do armazenamento), senha, identificador Apple, país, região e cidade são removidos ou trocados por um código anônimo; a conta passa a "excluída". O e-mail fica livre na hora; o nome de usuário fica reservado por 30 dias.
• Na hora: clientes, atendimentos, viagens, hotéis, finanças, categorias e origens são apagados do servidor. As fotos de clientes são apagadas do seu iPhone.
• Contas criadas com "Entrar com a Apple": o vínculo com a Apple é revogado.
• Colaborações: terminam. Se quem exclui é a profissional, a secretária fica só com o extrato de comissões (data, cidade, cliente dela e valores); os recados e os demais dados da profissional são apagados (secção 8). Se quem exclui é a secretária, os atendimentos que ela marcou ficam na agenda da profissional, ligados a uma conta anônima.
• Fotos de relatos são apagadas também do seu iPhone e do seu iCloud.
• Permanecem: os relatos da comunidade (anônimos, ligados a um código anônimo); o registro de ações (códigos, sem conteúdo); a linha mínima da conta com o código anônimo e as datas, para o registro de ações continuar apontando para algo; e os dados que a lei nos obrigar a guardar.
• Também na hora: as sessões antigas (inclusive as já revogadas, com identificador e descrição do aparelho) e os links de redefinição de senha são apagados.
• Registros de acesso (IP e hora) não são apagados na exclusão: saem sozinhos depois de 6 meses.
• A exclusão é imediata e não pode ser desfeita.

14. Seus direitos e como exercê-los

14.1 Direitos (LGPD, art. 18)

Você pode, a qualquer momento: confirmar que tratamos seus dados e acessá-los; corrigir dados incompletos ou errados; pedir anonimização, bloqueio ou eliminação de dados desnecessários ou tratados fora da lei; portabilidade; eliminar dados tratados com o seu consentimento; saber com quem compartilhamos; saber que pode recusar o consentimento e as consequências; retirar o consentimento; opor-se a tratamento feito com base em legítimo interesse; revisar decisão tomada só por tratamento automatizado (o MOVA não toma decisões automáticas sobre você, e o alerta automático de relatos só encaminha à moderação humana); e reclamar à ANPD (www.gov.br/anpd).

14.2 Como exercer e em quanto tempo

Dentro do app: perfil e configurações (acessar e corrigir); "Exportar meus dados" em Finanças; excluir cliente, atendimento, viagem, despesa ou receita; excluir a conta. Pelo suporte: tela "Ajuda" ou e-mail [email protected]. Confirmamos a existência de tratamento de forma imediata quando for pelo app, e damos a resposta completa em até 15 dias (LGPD, art. 19). Podemos pedir prova de que a conta é sua para não entregar seus dados a outra pessoa. É grátis.

Alguns pedidos têm limites que esta política já explica: relatos enviados só saem pelo canal da moderação (secção 9), o registro de ações não é alterável (secção 12), e os dados compartilhados com uma secretária seguem a secção 8. Se a lei nos obrigar a guardar algo, avisamos.

14.3 Encarregado (DPO)

A LGPD (art. 41) pede a indicação de um encarregado e a publicação de um canal de contato. Encarregado: Bruno, responsável pelo MOVA — [email protected]. Contato: [email protected].

14.4 Seus clientes e outras pessoas citadas

Se você é cliente de uma usuária do MOVA, ou foi citada de outra forma, e quer saber, corrigir ou apagar seus dados: fale primeiro com a profissional (ela é quem decidiu anotar seus dados e responde por eles — secção 15). Você também pode escrever para [email protected] e nós ajudamos a encaminhar ou, quando o dado estiver sob nossa responsabilidade (relatos, secção 9), atendemos diretamente.

15. Quem é responsável pelos dados dos seus clientes

• Os clientes que você cadastra são pessoas de quem você decidiu guardar dados. Nesse caso, você é a controladora desses dados e o MOVA é operador: guarda e organiza por você, só para você, segundo as suas instruções (LGPD, art. 5º, VI e VII, e art. 39). Se você usa o MOVA só para fins pessoais e não profissionais, a LGPD nem se aplica a você (art. 4º, I); mas o MOVA foi feito para uso profissional.
• O MOVA é controlador (decide sozinho) do que for de interesse da plataforma: a sua conta, a segurança, os relatos, a moderação, os registros de acesso e o acesso administrativo da secção 11.

16. Segurança, incidentes e backup

• Senhas guardadas só como hash Argon2id; bloqueio das 10 mil senhas mais comuns; mínimo de 10 caracteres.
• Comunicação sempre criptografada (HTTPS, com HSTS).
• Sessão com chave de acesso curta (15 minutos), só na memória do app, e chave de renovação rotativa guardada no Keychain do iPhone; reuso de chave antiga derruba a sessão do aparelho.
• Limite de tentativas de login, cadastro e recuperação por IP e por conta; registro de tentativas falhas com aviso interno quando passa do normal.
• Cada dado privado tem dona, e o servidor confere a dona em todas as operações; trocar um identificador na requisição nunca dá acesso a dado de outra conta (testado automaticamente).
• Foto de perfil conferida pelo conteúdo real do arquivo, não só pela extensão.
• Registro de ações só de acréscimo, imposto pelo banco de dados.
• No iPhone: Keychain, proteção de arquivo e trava opcional com Face ID/Touch ID/código, com a imagem do app escondida no seletor de apps.
• O servidor se recusa a rodar contra um banco de dados do ambiente errado.
• Servidor e banco em provedores nos Estados Unidos (secção 6), sob contrato de proteção de dados.
• Registros de acesso (IP): tabela que o sistema só consegue escrever; a leitura e o apagamento ficam com uma rotina separada e restrita.
• Cópias de segurança: diárias, nos Estados Unidos; dados excluídos saem das cópias em até 30 dias (secção 13).

Nenhum sistema é 100% seguro. Se houver um incidente de segurança que possa causar risco ou dano relevante a você, avisaremos você e a ANPD em até 3 dias úteis depois de sabermos (Resolução CD/ANPD nº 15/2024), dizendo o que aconteceu, que dados foram afetados, os riscos, o que fizemos e o que você pode fazer. Também manteremos registro interno de todos os incidentes por 5 anos. Para usuárias nos EUA, valem também as leis estaduais de aviso de violação de dados (secção 17).

17. Países e outras leis

Na primeira versão, o MOVA é oferecido na App Store só no Brasil e nos Estados Unidos. O app tem cinco línguas (português, inglês, espanhol, russo e chinês simplificado), mas a língua não decide a lei: quem decide é o país onde o app é oferecido e onde estão as usuárias.

• Brasil: LGPD, Marco Civil da Internet e, para os Termos, Código de Defesa do Consumidor.
• Estados Unidos: não há lei federal geral de privacidade. As leis estaduais de privacidade (como a CCPA/CPRA, da Califórnia) só se aplicam a empresas acima de certos limites de receita ou de número de consumidores, que o MOVA não atinge hoje; o MOVA não se declara sujeito a elas neste momento e reavalia isso periodicamente. Mesmo assim, damos a todas as usuárias, inclusive nos EUA, o que essas leis costumam pedir: saber quais dados guardamos e por quê, acessar e baixar (pelo app e pelo suporte), corrigir, apagar (excluir a conta no app) e não sofrer discriminação por exercer esses direitos. Não vendemos dados pessoais, não os compartilhamos para publicidade entre contextos e não usamos "dados pessoais sensíveis" para inferir características. Se uma lei estadual passar a valer para nós, esta política será atualizada com o procedimento exigido. Para pedir: o e-mail da secção 20. As leis estaduais de aviso de violação de dados e a lei federal contra práticas enganosas (FTC) valem para qualquer porte, e nós as cumprimos. Para usuárias nos EUA, os dados ficam no próprio país (secção 7).
• Fora dessa lista (União Europeia, Reino Unido, Rússia, China, resto da América Latina e do mundo): não oferecido na primeira versão. Uma usuária brasileira ou americana que viaje continua podendo usar o app com a conta que já tem.

18. Menores de idade

O MOVA é só para maiores de 18 anos. Menores de 18 não podem criar conta (Termos de Uso). O app não é direcionado a crianças ou adolescentes; por isso não coletamos dados deles de propósito. Se descobrirmos uma conta de menor, ela será suspensa e os dados apagados (LGPD, art. 14).

19. Mudanças nesta política

Quando mudarmos esta política, avisaremos no app e por e-mail antes de a mudança valer, com a data da nova versão. Mudanças que ampliem o uso dos seus dados só valem depois do aviso e, quando a lei exigir, do seu novo consentimento. Versões anteriores ficam disponíveis mediante pedido ao suporte.

20. Contato

• Suporte: tela "Ajuda" no app e e-mail [email protected].
• Privacidade e direitos, denúncia de relato, pedido de remoção: [email protected].
• Esta política fica publicada em https://movapro.app/pt/privacidade/ e é acessível dentro do app.