Política de Privacidade — CUJA Digital

Versão 1.0 · Em vigor desde 18 de agosto de 2026

Esta política explica, sem rodeios, quais dados pessoais o CUJA Digital coleta, por quê, com que autorização legal, por quanto tempo os guarda, com quem os compartilha e como você controla tudo isso.

Ela foi escrita a partir do inventário real do sistema — cada linha das tabelas abaixo corresponde a um campo que existe de fato no banco de dados ou a um arquivo que é de fato armazenado. Não é um modelo genérico.

Uma advertência honesta antes de tudo: o CUJA coleta dados pessoais sensíveis de um público que inclui adolescentes. Raça/cor, deficiência, condição de saúde e convicção religiosa estão entre as informações que o processo seletivo solicita. As seções 5 e 6 tratam disso separadamente, e valem uma leitura atenta.

Em resumo

• Quem responde pelos seus dados é a ADCUJA, associação privada sem fins lucrativos, CNPJ 60.164.889/0001-74 — não a UNIFESP.
• Coletamos o necessário para inscrever, avaliar, convocar e matricular você, e para receber doações. Não vendemos, não alugamos e não cedemos dados para publicidade.
• Dados sensíveis (raça/cor, deficiência, saúde, convicção religiosa, identidade de gênero) só são tratados com o seu consentimento específico e destacado — e recusar não elimina você do processo.
• Você pode acessar, corrigir, portar, excluir e se opor, a qualquer momento, escrevendo para contato@cujaunifesp.com. Respondemos em até 15 dias.
• Produzimos estatísticas anônimas sobre o cursinho — contagens e percentuais dos quais não é possível chegar a você. Nenhuma resposta individual é publicada ou entregue a terceiros (seção 7.4).
• Analytics e mapas só carregam depois que você autoriza. Fontes são hospedadas por nós; nenhum recurso de terceiro é carregado antes do seu “sim”.

1. Controlador e contatos

1.1 A ADCUJA e a UNIFESP

O CUJA funciona nas dependências da Universidade Federal de São Paulo e mantém com ela vínculo histórico e institucional — inclusive o endereço e o e-mail acima, que são de unidade da universidade. A controladora dos dados tratados nesta plataforma, porém, é a ADCUJA, associação com CNPJ e personalidade jurídica próprios. A UNIFESP não opera a plataforma e não decide sobre o tratamento aqui descrito.

Essa distinção não é formalidade: ela determina quais bases legais podem ser usadas. Uma autarquia federal pode tratar dados para execução de política pública (LGPD, arts. 7º, III e 11, II, “b”); uma associação privada não pode. É por isso que esta política se apoia em execução de contrato, legítimo interesse e — para os dados sensíveis — no seu consentimento específico.

O vínculo existente é o reconhecimento do cursinho como projeto de extensão universitária da UNIFESP. Ele ampara a atividade educacional — não cria controladoria conjunta: a plataforma é da ADCUJA, que decide sozinha as finalidades e os meios do tratamento. O art. 5º, IX exige decisão compartilhada para haver dois controladores, e não há.

2. Encarregado pela Proteção de Dados

O Encarregado é a pessoa (ou empresa) indicada para ser o canal de comunicação entre a ADCUJA, os titulares de dados e a ANPD (LGPD, art. 41; Resolução CD/ANPD nº 18/2024).

Como associação sem fins lucrativos, a ADCUJA é agente de tratamento de pequeno porte na definição da Resolução CD/ANPD nº 2/2022. Essa resolução dispensa a indicação formal de Encarregado (art. 11) — mas apenas para tratamento de baixo risco, e o nosso não é: tratamos dados sensíveis de adolescentes, exatamente a hipótese que o art. 4º da mesma resolução classifica como de alto risco. Por isso a indicação é obrigatória para nós.

• Nome: Gustavo Rafael Cardilho
• E-mail: contato@cujaunifesp.com
• Ato de designação: ata da diretoria da ADCUJA de 19 de agosto de 2026

O endereço acima é o canal único de entrada. Internamente, cada demanda é encaminhada ao setor competente — Departamento de Tecnologia e Informação, secretaria acadêmica ou tesouraria, conforme o caso —, mas a responsabilidade pelo prazo de resposta permanece do Encarregado, que não se transfere com o encaminhamento.

2.1 Uma ressalva sobre independência

O Encarregado indicado também exerce funções técnicas no Departamento de Tecnologia e Informação da ADCUJA e possui acesso administrativo à plataforma. A Resolução CD/ANPD nº 18/2024, art. 2º, II, exige que o Encarregado atue livre de conflito de interesse, e reconhecemos que esse acúmulo cria um.

Optamos por declará-lo em vez de omiti-lo, com a seguinte salvaguarda: toda reclamação, pedido ou apuração que envolva a conduta do Departamento de Tecnologia e Informação, ou o próprio Encarregado, é remetida diretamente à diretoria da ADCUJA, que decide sobre ela sem participação do Encarregado. Titulares podem exigir esse encaminhamento expressamente, e a ADCUJA se compromete a revisar essa indicação a cada renovação de diretoria.

3. A quem esta política se aplica

• Candidatos ao processo seletivo do CUJA e seus responsáveis legais;
• Alunos matriculados;
• Doadores, com ou sem conta na plataforma;
• Voluntários e administradores com acesso ao painel;
• Familiares e demais pessoas do domicílio cujos documentos são enviados para comprovação de renda (ver 4.9);
• Visitantes do site institucional, ainda que não criem conta.

4. Dados que coletamos — inventário completo

Legenda das bases legais mais usadas nas tabelas:

• Art. 7º, V — execução de contrato ou de procedimentos preliminares solicitados por você. É a base da maior parte do tratamento: você pede para se inscrever, e inscrever você exige tratar esses dados.
• Art. 7º, IX — legítimo interesse, limitado ao estritamente necessário e sujeito às salvaguardas do art. 10. Usado em segurança e prevenção a fraude.
• Art. 7º, II — cumprimento de obrigação legal ou regulatória.
• Art. 7º, I — consentimento, livre e revogável.
• Art. 11, I — consentimento específico e destacado, exigido para dados sensíveis.
• Art. 11, II, “e” — proteção da vida ou da incolumidade física.

4.1 Cadastro e conta

4.2 Inscrição no processo seletivo

4.3 Questionário socioeconômico

O conjunto exato de perguntas é definido pelo edital de cada processo seletivo. Perguntas podem ser acrescentadas, alteradas ou retiradas de uma edição para outra, conforme os critérios que aquele edital estabelecer. O que não muda são as categorias de dado abaixo, as finalidades e as bases legais — e o edital é publicado antes da abertura das inscrições, para que você saiba exatamente o que será perguntado antes de decidir se inscrever.

O questionário é o instrumento que gera a pontuação socioeconômica — o critério central de seleção. As categorias coletadas são:

4.4 Documentos enviados

A lista de documentos exigidos também vem do edital vigente, e varia com os critérios de cada processo seletivo — inclusive porque parte deles só é pedida de quem concorre a determinada reserva de vaga ou solicita isenção. A tabela abaixo descreve as categorias de documento que a plataforma pode solicitar, com a finalidade e a base legal de cada uma. Nunca pedimos documento que o edital daquele processo não preveja.

Os arquivos ficam armazenados em nuvem, em região no Brasil — ver seções 7 e 9.

4.5 Pré-matrícula

Por que alergias não dependem do seu consentimento. O art. 11, II, “e” da LGPD autoriza o tratamento de dado sensível quando ele for necessário para proteger a vida ou a integridade física do titular. Saber que um aluno tem alergia grave é exatamente isso: a informação existe para que a equipe saiba agir numa emergência. Você continua podendo não informar — mas, se informar, não pedimos consentimento para uma informação que a lei já nos autoriza a usar em benefício da sua segurança.

4.6 Pagamentos e doações

Não recebemos, não armazenamos e não temos acesso ao número do seu cartão de crédito, código de segurança ou senha bancária. Esses dados vão diretamente para o Mercado Pago.

4.7 Dados técnicos, de segurança e de auditoria

4.8 Dados de navegação no site e no painel

Ver a Política de Cookies, que detalha cada item. Em resumo:

• O site institucional não possui ferramentas de análise de audiência. Não há Google Analytics, pixel de rede social ou rastreador equivalente nele.
• O painel utiliza Google Analytics 4, somente após o seu consentimento explícito, sem qualquer dado que o identifique. Antes do seu “sim”, a biblioteca do Google sequer é baixada.
• As fontes tipográficas são hospedadas por nós mesmos. Não usamos Google Fonts nem CDN de terceiros, justamente para não expor seu IP a eles.

4.9 Dados de terceiros que você nos fornece

Ao comprovar a renda familiar você envia documentos de outras pessoas — pais, cônjuge, irmãos, filhos. Elas são titulares de dados pessoais tanto quanto você, e não têm contrato conosco. Por isso a base legal em relação a elas é o legítimo interesse (art. 7º, IX), avaliado assim:

• Finalidade legítima: verificar a renda do grupo familiar declarada por você, sem a qual a pontuação socioeconômica — e portanto a distribuição justa das vagas — não se sustenta.
• Necessidade: não há meio menos invasivo de conferir renda declarada. Só pedimos os documentos indicados no edital, e apenas dos membros que você declarou.
• Expectativa: quem convive com um candidato a cursinho popular e fornece o próprio holerite para essa finalidade razoavelmente espera este uso.
• Salvaguardas: acesso restrito à equipe de análise documental, registro de auditoria, nenhum cruzamento com outras bases, nenhum compartilhamento.

Na prática:

• Você declara ter informado essas pessoas sobre o envio e sobre esta política.
• Tratamos esses dados exclusivamente para verificar a renda do grupo familiar. Não os usamos para nenhuma outra finalidade e não os compartilhamos.
• Qualquer pessoa cujos documentos tenham sido enviados pode se opor ao tratamento (art. 18, § 2º) e exercer todos os demais direitos da seção 11, escrevendo para contato@cujaunifesp.com.

5. Dados pessoais sensíveis

Dados sensíveis são os do art. 5º, II da LGPD: origem racial ou étnica, convicção religiosa, opinião política, filiação sindical ou a organização religiosa/filosófica/política, dados referentes à saúde ou à vida sexual, dado genético ou biométrico.

5.1 Por que aqui a base é o consentimento

Esta é a diferença mais importante entre esta política e a de uma universidade pública. O art. 11, II, “b” da LGPD — que autoriza tratar dado sensível para execução de política pública — só está disponível para órgãos da administração pública. A ADCUJA é uma associação privada. Nenhuma das outras seis hipóteses do art. 11, II se aplica a raça/cor, deficiência ou convicção religiosa no contexto de um processo seletivo.

Sobra, e é o correto, o art. 11, I: consentimento específico e destacado, para finalidades específicas.

Na prática, isso significa que:

1. O pedido é separado do aceite destes documentos. Você marca uma autorização própria, que lista quais categorias e para quê.
2. Recusar é possível e não elimina você do processo. Cada campo sensível tem a opção de não informar, e o efeito de não informar está descrito abaixo.
3. O consentimento é revogável a qualquer momento (art. 8º, § 5º), escrevendo para contato@cujaunifesp.com. A revogação vale dali em diante e não invalida o tratamento feito enquanto ela estava ativa.
4. Guardamos o texto exato que foi exibido no momento em que você autorizou, porque o ônus de provar que o consentimento foi informado é nosso (art. 8º, § 2º).

Sobre “consentimento condicionado”. O art. 9º, § 3º da LGPD permite que o fornecimento de um dado seja condição para o exercício de um direito, desde que você seja informado disso com destaque. É o que ocorre aqui: informar raça/cor é condição para concorrer às vagas reservadas — não para se inscrever. Quem não informa concorre normalmente à ampla concorrência.

5.2 Raça/cor e origem étnica

O que: raça/cor autodeclarada; RANI e autodeclaração indígena, quando aplicável.

Por quê: o CUJA é um projeto de ação afirmativa. A raça/cor entra na pontuação socioeconômica e nas reservas de vaga previstas no edital.

Base legal: art. 11, I — consentimento específico e destacado.

Se você não informar: escolha “Prefiro não informar”. Você continua inscrito e concorre à ampla concorrência; apenas não concorre às vagas reservadas que dependem dessa informação.

5.3 Identidade de gênero

O que: a identidade de gênero declarada no formulário de inscrição.

Por quê: o edital prevê reserva de vagas para pessoas trans e não-binárias, e a informação também orienta o tratamento respeitoso da pessoa pela equipe.

Base legal: art. 11, I. A LGPD não lista identidade de gênero expressamente entre os dados sensíveis, mas a tratamos como tal por precaução: é informação de altíssimo potencial discriminatório, e nos parece errado dar a ela proteção menor do que damos à raça/cor.

Se você não informar: escolha “Prefiro não informar gênero”. Você continua inscrito e concorre à ampla concorrência.

5.4 Deficiência e condição de saúde

O que: se você é pessoa com deficiência; necessidade de adaptação para a prova.

Por quê: para garantir que a prova seja aplicada em condições de igualdade — tempo adicional, fonte ampliada, sala acessível, entre outras adaptações —, em cumprimento ao dever de acessibilidade da Lei nº 13.146/2015.

Base legal: art. 11, I.

Se você não informar: a prova será aplicada em condições padrão, e não teremos como providenciar adaptação.

Alergias e considerações de saúde da pré-matrícula seguem regra diferente, explicada em 4.5: base legal art. 11, II, “e”.

5.5 Convicção religiosa

O que: a informação de que você observa o sábado como dia de guarda religiosa (campo “sabatista” do formulário).

Sendo direto: isto é dado sensível, ainda que a pergunta pareça apenas logística. Ela revela convicção religiosa, e é assim que a tratamos.

Por quê: exclusivamente para agendar sua prova em data ou horário compatíveis com a sua observância religiosa, em respeito à liberdade de crença (Constituição Federal, art. 5º, VI).

Base legal: art. 11, I. A informação não entra na pontuação socioeconômica, não influencia sua classificação e não é compartilhada para nenhuma outra finalidade.

Se você não informar: sua prova será agendada na data padrão.

5.6 Salvaguardas comuns a todos os dados sensíveis

• Acesso restrito, por permissões granulares, apenas aos membros da equipe cuja função exija a informação;
• Toda consulta ou alteração por administrador fica registrada no log de auditoria;
• Nunca são usados para publicidade, perfilamento comercial ou compartilhamento com terceiros;
• Não são transferidos para fora da ADCUJA, salvo por determinação legal ou judicial;
• Não são usados para treinar modelos, gerar recomendações automatizadas nem qualquer forma de perfilamento;
• Podem compor estatísticas agregadas e anônimas, nos limites estritos da seção 7.4 — nunca em recorte que descreva menos de cinco pessoas, e nunca de forma que permita chegar de volta a você.

6. Crianças e adolescentes

O CUJA atende adolescentes. Duas normas se somam aqui: o art. 14 da LGPD, orientado sempre pelo melhor interesse do menor, e a Lei nº 15.211/2025 (ECA Digital), em vigor desde 17 de março de 2026 e fiscalizada pela ANPD.

Como aplicamos isso:

1. Assistência do responsável. Candidatos menores de 18 anos só concluem o cadastro com a assistência de responsável legal, que aceita os Termos e esta política. Registramos nome, CPF e grau de parentesco do responsável. Adotamos 18 anos, e não os 16 exigidos pelo art. 24 da Lei nº 15.211/2025, porque a inscrição envolve declarar renda familiar e enviar documentos de terceiros.
2. Consentimento específico e destacado do responsável, na forma do art. 14, § 1º da LGPD, para tudo que dependa de consentimento — inclusive os dados sensíveis da seção 5.
3. Confirmação de idade sem depender de autodeclaração. O art. 9º, § 1º da Lei nº 15.211/2025 veda apurar idade por simples autodeclaração. A data de nascimento informada no cadastro é confrontada com o documento de identidade enviado na inscrição, conferido por uma pessoa da equipe na análise documental. Enquanto a conferência não ocorre, a data declarada é tratada como provisória e, se indicar menor de 18, já exigimos o responsável.
4. Nenhuma coleta excessiva. Não pedimos ao menor mais dados do que pedimos a um candidato adulto, e não condicionamos a participação em qualquer atividade ao fornecimento de dados além do necessário (art. 14, § 4º da LGPD).
5. Sem publicidade e sem perfilamento — nunca. Dados de menores não são usados para marketing, segmentação, publicidade comportamental ou análise de perfil, conforme vedação expressa dos arts. 22 e 26 da Lei nº 15.211/2025. A plataforma não veicula publicidade de nenhuma natureza, para nenhum público.
6. Sem mecanismos de recompensa aleatória. A vedação do art. 20 da Lei nº 15.211/2025 não tem incidência prática aqui: a plataforma não tem jogos, gamificação com premiação nem compra de itens.
7. Canal de denúncia. Conteúdo ou conduta que exponha criança ou adolescente a risco pode ser comunicado a contato@cujaunifesp.com; agimos imediatamente e comunicamos as autoridades quando for o caso (Lei nº 15.211/2025, art. 27).
8. Direitos exercíveis pelo responsável, ou pelo próprio adolescente com a assistência dele.
9. Informação em linguagem acessível. Se algum trecho desta política não estiver claro para você ou para o seu responsável, escreva para contato@cujaunifesp.com — explicaremos.

A obrigação de relatórios semestrais de transparência (art. 31 da Lei nº 15.211/2025) alcança plataformas com mais de um milhão de usuários menores de idade no Brasil, e não se aplica ao CUJA.

7. Com quem compartilhamos

Não vendemos, alugamos nem cedemos dados pessoais. O compartilhamento é limitado ao necessário e sempre com finalidade declarada.

7.1 Operadores (tratam dados por nossa conta e ordem)

Com cada operador mantemos instrumento contratual que o obriga a tratar os dados apenas conforme nossas instruções (LGPD, art. 39). Os adendos de proteção de dados vigentes ficam arquivados pela ADCUJA e podem ser apresentados à ANPD ou a você mediante pedido.

7.2 UNIFESP

A ADCUJA não compartilha com a UNIFESP os dados tratados nesta plataforma. Isso é literal: a universidade nunca teve acesso ao sistema, não possui contas, credenciais ou permissões nele, e nenhuma exportação de dados de candidatos, alunos ou doadores lhe foi entregue. O reconhecimento como projeto de extensão, descrito na seção 1.1, não envolve acesso a dados.

Há uma ressalva que preferimos declarar a omitir: o endereço cuja@unifesp.br é uma caixa postal hospedada na infraestrutura da universidade. Mensagens enviadas para ele — e apenas elas — transitam e ficam armazenadas em servidores da UNIFESP. Se você quiser tratar de dados pessoais sem que isso ocorra, use contato@cujaunifesp.com, que roda em infraestrutura contratada pela ADCUJA.

7.3 Por obrigação legal

Podemos compartilhar dados com autoridades públicas, Ministério Público e Poder Judiciário, quando houver requisição legal ou judicial. Sempre que a lei permitir, comunicaremos você.

Se a ADCUJA vier a receber recursos públicos para ações de interesse público, a Lei nº 12.527/2011 (Acesso à Informação) impõe transparência quanto à aplicação desses recursos (art. 2º, parágrafo único) — e não quanto aos seus dados pessoais, que a própria lei protege (art. 31).

7.4 Pesquisa, estatística e produção de conhecimento

O CUJA é um cursinho popular, e entender quem procura o cursinho, quem chega até a prova e quem se matricula é parte do que sustenta o projeto: relatórios de atividade, prestação de contas, pedidos de apoio institucional e pesquisas educacionais sobre acesso ao ensino superior.

Esse uso existe — e ele é anônimo. Não é uma declaração de intenção, é uma restrição sobre o que sai do banco de dados:

O que “anônimo” significa aqui

Anonimizar não é apagar o nome. Um conjunto sem nome, mas com bairro, idade, raça/cor e renda, identifica pessoas com facilidade — é assim que boa parte das reidentificações acontece. Por isso a regra é concreta, e não uma promessa:

1. Nome, CPF, e-mail, telefone, endereço, data de nascimento e qualquer número de documento são removidos — não substituídos por um código que permita voltar atrás.
2. Nenhum documento enviado por você entra em análise estatística. RG, comprovantes de renda, histórico escolar e declarações servem exclusivamente à avaliação da candidatura, e não saem dali.
3. Piso de grupo: cinco pessoas. Não divulgamos nenhum número que descreva menos de cinco pessoas. Se um recorte resultar em grupo menor, ele é agregado a outro ou não é divulgado — mesmo quando o dado seria interessante.
4. Idade vira faixa etária, renda vira faixa de renda, endereço vira município ou região. O detalhe que identifica é destruído antes da análise, não depois de alguém reclamar.
5. Não tentamos reidentificar ninguém, não autorizamos terceiros a tentar e não cruzamos nossos números com bases externas para chegar a pessoas.

Pseudonimizado e anonimizado não são a mesma coisa

A diferença importa, e é comum vê-la tratada como sinônimo:

• Pseudonimizado é o dado em que o identificador foi trocado por um código, mas existe em algum lugar uma chave capaz de desfazer a troca. Para a LGPD isso ainda é dado pessoal (art. 13, § 4º), e segue protegido por tudo o que está nesta política.
• Anonimizado é o dado que não pode mais ser associado a você por meios razoáveis. A LGPD deixa de se aplicar a ele (art. 12).

Internamente, quando precisamos manter respostas ligadas entre si sem saber de quem são, trabalhamos com dados pseudonimizados — e eles continuam sob esta política, com todos os seus direitos preservados. O que sai da ADCUJA, é publicado ou é entregue a um parceiro é sempre e apenas o anonimizado.

E os dados sensíveis?

Raça/cor, deficiência e observância religiosa são exatamente as informações que tornam o retrato do cursinho útil — e exatamente as que mais expõem quem respondeu. A regra aqui é mais rígida, não mais frouxa:

• entram somente como contagem agregada, sujeitas ao mesmo piso de cinco pessoas;
• nunca aparecem em recorte cruzado que reduza o grupo a poucas pessoas, ainda que o piso isolado fosse respeitado;
• a autorização específica que você deu (seção 5) mantém o alcance que ela declara: avaliar sua candidatura, aplicar as ações afirmativas e agendar sua prova. A estatística não usa esse dado para decidir nada sobre você — ela é o passo que encerra o tratamento, transformando o dado em número.

A base legal

Produzir o agregado é, em si, a operação de anonimização — e a LGPD trata a anonimização como o destino desejável do dado, não como um uso novo dele. O art. 16, IV autoriza expressamente a conservação para uso exclusivo do controlador desde que anonimizado; o art. 18, IV coloca a anonimização entre os direitos que você pode exigir de nós. Concluída a operação, o que resta não é mais dado pessoal (art. 12) — e é por isso que o número sobrevive aos prazos da seção 8, enquanto o dado que o originou é eliminado.

O que isso significa para os seus direitos. Você pode pedir acesso, correção ou exclusão dos seus dados a qualquer momento, e nós atendemos. O que não conseguimos fazer é retirar você de uma estatística já anonimizada: como não existe caminho de volta do número para a pessoa, não há onde localizar a sua contribuição dentro dele. Essa impossibilidade é o objetivo da anonimização, e é justamente ela que protege você.

7.5 O que nunca fazemos

• Vender ou alugar dados pessoais;
• Compartilhar dados com anunciantes ou corretores de dados;
• Usar dados de candidatos ou alunos para publicidade de terceiros;
• Compartilhar dados sensíveis fora das hipóteses da seção 5.6;
• Entregar a pesquisador, parceiro ou financiador qualquer base com uma linha por pessoa, ainda que sem nome — a seção 7.4 explica o que entregamos no lugar.

8. Por quanto tempo guardamos

O princípio é o do art. 15 da LGPD: o dado é eliminado quando a finalidade se esgota. Na prática:

Sobre os 6 meses de registros de acesso. O art. 15 do Marco Civil da Internet obriga a essa guarda os provedores de aplicação constituídos com fins econômicos — o que não é o caso de uma associação sem fins lucrativos. Mantemos o prazo assim mesmo, como medida de segurança (LGPD, art. 7º, IX) e porque a guarda pode ser requisitada judicialmente (art. 15, § 2º).

Sobre os documentos comprobatórios. É o prazo mais curto da tabela, e de propósito: RG, comprovante de residência, CTPS, IRPF e comprovantes de renda de todos os moradores da casa são o conjunto mais sensível que guardamos, e o que menos serve depois que o processo seletivo termina. Guardá-los “por segurança” seria acumular risco sem finalidade — exatamente o que os princípios da necessidade e da limitação temporal (art. 6º, III e I) proíbem.

Encerrada a retenção, os dados são eliminados ou anonimizados de forma irreversível. Registros contábeis de doações são mantidos com o nome do doador anonimizado quando ele solicita a exclusão: os totais precisam sobreviver para a escrituração, a identidade não.

9. Transferência internacional de dados

9.1 Seus documentos ficam no Brasil

Toda a infraestrutura que guarda os seus dados roda na região de São Paulo (sa-east-1) da AWS. Isso vale para o banco de dados e para os arquivos que você envia — RG, comprovante de residência, histórico escolar, comprovantes de renda da família. Eles não são armazenados fora do país.

Essa é uma escolha deliberada e é a salvaguarda mais forte desta política: o conjunto de dados mais sensível que tratamos simplesmente não atravessa a fronteira, e por isso não depende de cláusula contratual nenhuma para estar protegido.

Uma ressalva honesta: a AWS é empresa norte-americana, e a operação e o suporte da plataforma dela podem, em situações pontuais, ser executados por equipes fora do Brasil. Esse acesso remoto é regido pelo adendo de proteção de dados que mantemos com a AWS e está limitado ao necessário para manter o serviço no ar.

9.2 O que ainda sai do país

A hipótese legal aplicável é o art. 33, II, “b” da LGPD — garantias por meio de cláusulas-padrão contratuais, cujo conteúdo obrigatório foi aprovado pela Resolução CD/ANPD nº 19/2024 (Anexo II) e deve ser adotado integralmente, sem alteração.

9.3 Salvaguardas adicionais

• Criptografia em trânsito (TLS) e em repouso nos serviços de armazenamento;
• Minimização: para o Google Analytics não enviamos nome, CPF, e-mail nem qualquer identificador direto — e ele só é ativado com o seu consentimento;
• URLs de acesso temporárias para os arquivos, em vez de links permanentes;
• Nenhum documento comprobatório é enviado por e-mail — eles não passam pelo único operador estrangeiro que recebe conteúdo identificável.

9.4 A garantia que ampara a transferência para o Google

O tratamento pelo Google é regido pelo Aditivo sobre Tratamento de Dados do Cloud, que se aplica também aos contratos do Google Workspace. O apêndice de leis específicas desse aditivo tem uma seção dedicada ao Brasil, que incorpora as Cláusulas-Padrão Contratuais brasileiras (Controlador para Operador) — exatamente o instrumento previsto no art. 33, II, “b” da LGPD e na Resolução CD/ANPD nº 19/2024.

Como a ADCUJA é controladora e o Google mantém endereço fora de país reconhecido pela ANPD como adequado, essas cláusulas se aplicam automaticamente à nossa relação, sem necessidade de aditivo assinado à parte. O aditivo prevalece sobre qualquer termo conflitante do contrato e não pode ser modificado por ele.

Se você tiver objeção específica à transferência internacional, escreva para contato@cujaunifesp.com: avaliaremos alternativas caso a caso.

10. Segurança da informação

Medidas técnicas e administrativas que efetivamente adotamos (arts. 46 a 49 da LGPD):

Técnicas

• Senhas armazenadas apenas como hash bcrypt, com sal — não guardamos senha em texto;
• Comunicação exclusivamente por HTTPS/TLS;
• Sessão em cookie HttpOnly, ilegível por JavaScript, com validade limitada e revogação imediata;
• Verificação em duas etapas por e-mail;
• Controle de acesso por permissões granulares — cada membro da equipe enxerga apenas o que sua função exige;
• Limitação de taxa de requisições, para conter tentativas automatizadas de invasão;
• Registro de auditoria de toda ação administrativa sobre dados de candidatos;
• Arquivos armazenados em serviço com acesso restrito e URLs de acesso temporárias;
• Cópias de segurança periódicas.

Administrativas

• Acesso concedido por necessidade de função, revisado quando alguém sai da equipe;
• Dever de sigilo dos voluntários;
• Segregação entre ambientes de desenvolvimento e de produção.

Nenhum sistema é absolutamente seguro, e não seria honesto afirmar o contrário. Trabalhamos continuamente para reduzir riscos e corrigir falhas.

10.1 Incidentes de segurança

Havendo incidente de segurança que possa acarretar risco ou dano relevante, seguimos a Resolução CD/ANPD nº 15/2024:

1. Avaliamos se o incidente é comunicável, pelo critério cumulativo do art. 5º — risco ou dano relevante e envolvimento de dados sensíveis, de crianças e adolescentes, financeiros, de autenticação, protegidos por sigilo, ou tratamento em larga escala. Boa parte do que tratamos se enquadra, e é assim que nos preparamos.
2. Comunicamos a ANPD e os titulares afetados em até 3 dias úteis contados do conhecimento (arts. 6º e 9º). Como agente de tratamento de pequeno porte, a resolução nos faculta o dobro do prazo; nosso compromisso é com os 3 dias, e usaremos a extensão apenas se a apuração exigir, avisando antes.
3. A comunicação à ANPD contém os 12 itens do art. 6º, § 2º; a comunicação a você é feita em linguagem simples e traz os 7 itens do art. 9º — natureza dos dados atingidos, riscos, medidas de proteção que estavam em uso e o que fazer.
4. Registramos todos os incidentes, comunicados ou não, e mantemos esse registro por 5 anos (art. 10).

11. Seus direitos

O art. 18 da LGPD garante a você, gratuitamente e a qualquer momento:

11.1 Como exercer

Escreva para contato@cujaunifesp.com, indicando o direito que deseja exercer. Responderemos:

• imediatamente, em formato simplificado, quando possível;
• em até 15 dias, na forma do art. 19, II, quando a resposta exigir levantamento.

Como agente de tratamento de pequeno porte, a Resolução CD/ANPD nº 2/2022 (art. 14) nos faculta o dobro desse prazo. Nosso compromisso é com os 15 dias: se um caso concreto exigir mais tempo, avisaremos você antes do prazo vencer, com o motivo.

Para proteger você mesmo, podemos solicitar confirmação de identidade antes de atender a pedidos de acesso ou eliminação — é o que impede que um terceiro obtenha seus dados se passando por você.

11.2 Limites

Alguns pedidos não podem ser integralmente atendidos, e é melhor dizer isso com clareza:

• Dados sob obrigação legal de guarda (registros contábeis e fiscais) não podem ser eliminados antes do prazo;
• Excluir dados durante processo seletivo em andamento equivale a desistir dele;
• Documentos que fundamentam uma decisão (aprovação, reprovação, concessão de isenção) são preservados pelo prazo necessário à prestação de contas da associação e a eventual questionamento;
• Estatísticas já anonimizadas não podem ser desfeitas a pedido. Não é recusa por conveniência: como não existe caminho de volta do número para a pessoa, não há como localizar a sua contribuição dentro dele (seção 7.4).

Em qualquer recusa, explicaremos o motivo e a base legal.

11.3 Reclamação

Você pode reclamar à ANPD — Autoridade Nacional de Proteção de Dados (gov.br/anpd) a qualquer momento, inclusive sem nos ter procurado antes.

12. Comunicações que enviamos

Não enviamos publicidade de terceiros e não cedemos seu e-mail para terceiros enviarem.

13. Cookies e tecnologias semelhantes

Detalhados na Política de Cookies, que lista cada cookie e cada item de armazenamento local, com nome, domínio, finalidade, categoria e duração. Você pode revisar suas escolhas a qualquer momento pelo link “Preferências de cookies”, permanente no rodapé do site.

14. Alterações desta política

Esta política é versionada, como os Termos de Uso. Toda versão publicada permanece consultável, com número, data de vigência e identificador criptográfico (hash SHA-256) do texto.

• Alterações materiais — que afetem finalidades, bases legais, compartilhamentos ou seus direitos — geram versão nova e solicitação de novo aceite ao acessar a plataforma.
• Alterações de redação são publicadas sem exigir novo aceite, e ficam registradas no histórico de versões.

15. Glossário

• Dado pessoal: informação relacionada a pessoa natural identificada ou identificável.
• Dado pessoal sensível: dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical ou a organização religiosa, filosófica ou política, dado referente à saúde ou à vida sexual, dado genético ou biométrico.
• Tratamento: qualquer operação com dados — coleta, uso, acesso, armazenamento, transmissão, eliminação.
• Controlador: quem decide sobre o tratamento. Aqui, a ADCUJA.
• Operador: quem trata em nome do controlador. Aqui, os provedores da seção 7.1.
• Encarregado (DPO): canal de comunicação entre controlador, titulares e ANPD.
• Titular: você, a pessoa a quem os dados se referem.
• Agente de tratamento de pequeno porte: categoria da Resolução CD/ANPD nº 2/2022 que abrange, entre outros, pessoas jurídicas sem fins lucrativos.
• Anonimização: processo que torna impossível, por meios razoáveis, associar o dado a uma pessoa. O resultado deixa de ser dado pessoal (art. 12).
• Pseudonimização: troca do identificador por um código, mantida em separado a chave que desfaz a troca. Continua sendo dado pessoal (art. 13, § 4º) — não confundir com anonimização.
• Dado agregado: número que descreve um grupo (uma contagem, um percentual, uma média), e não uma pessoa.
• Hash: resultado de uma função matemática de sentido único; serve para verificar que um texto não mudou, sem revelar o texto original.

16. Contato

Esta política foi elaborada a partir do inventário técnico do sistema. Se você identificar qualquer divergência entre o que ela declara e o que a plataforma faz, avise-nos: uma política que não corresponde à realidade é pior do que política nenhuma, e queremos corrigi-la.