Política de Privacidade e Proteção de Dados Pessoais

1. Identificação do controlador

O responsável pelas decisões relativas ao tratamento de dados pessoais no Portal é o INSTITUTO POR TODOS OS SORRISOS, com sede em Parauapebas, Estado do Pará, doravante denominado “Instituto” ou “Controlador”.

Canais gerais atualmente divulgados pelo Portal: e-mail contato@portodosossorrisos.com.br, telefone/WhatsApp (94) 98428-0877 e formulário eletrônico disponível na página de contato.

Canal de privacidade e exercício de direitos: até a criação de canal específico, poderá ser utilizado o e-mail contato@portodosossorrisos.com.br, com o assunto “PRIVACIDADE E DADOS PESSOAIS”.

2. Escopo desta Política

Esta Política aplica-se aos tratamentos de dados pessoais realizados por meio ou em conexão com:

• navegação no Portal e utilização de recursos de busca, acessibilidade e segurança;
• formulário de contato destinado a reclamações, sugestões, elogios e solicitações;
• formulário e processo de cadastro de pessoas interessadas em voluntariado;
• comunicações realizadas por e-mail, telefone ou WhatsApp a partir dos canais oficiais;
• inscrições em campanhas, eventos, cursos, oficinas, mutirões e ações sociais que façam referência a esta Política;
• doações, parcerias, cooperações e prestação de contas, caso essas funcionalidades sejam disponibilizadas;
• publicação de documentos, notícias, relatórios, fotografias, vídeos e depoimentos no Portal.

Esta Política não controla as práticas de sites, redes sociais, aplicativos, plataformas de pagamento, mapas, vídeos ou serviços de terceiros acessados por links externos. Esses ambientes possuem políticas próprias, que devem ser consultadas pelo usuário.

3. Conceitos essenciais

4. Princípios adotados

O Instituto deverá tratar dados pessoais de acordo com a boa-fé e com os princípios previstos na legislação, especialmente:

• Finalidade e adequação: uso dos dados para propósitos legítimos, específicos, informados e compatíveis com o contexto;
• Necessidade: coleta limitada ao mínimo necessário para cada atividade;
• Livre acesso e transparência: informações claras sobre o tratamento e canais para exercício de direitos;
• Qualidade dos dados: esforços razoáveis para manter informações exatas e atualizadas;
• Segurança e prevenção: medidas proporcionais aos riscos para evitar acessos indevidos, perda, alteração ou divulgação não autorizada;
• Não discriminação: vedação ao uso de dados para fins discriminatórios, ilícitos ou abusivos;
• Responsabilização e prestação de contas: documentação de decisões, controles, contratos e medidas de conformidade;
• Melhor interesse de crianças e adolescentes: prioridade absoluta à proteção, segurança, dignidade e desenvolvimento desses titulares.

5.1. Dados de visitantes e registros técnicos

• endereço IP, data e horário de acesso, páginas visitadas e ações realizadas;
• tipo de navegador, sistema operacional, características do dispositivo e identificadores técnicos;
• registros de segurança, tentativas de acesso, erros, desempenho, origem aproximada do acesso e dados necessários à prevenção de fraude e abuso;
• preferências de acessibilidade e cookies, quando esses recursos estiverem habilitados.

5.2. Dados enviados no formulário de contato

• tipo de mensagem, nome completo, e-mail, telefone/WhatsApp, assunto e conteúdo da mensagem;
• resultado da verificação de segurança e metadados relacionados ao envio;
• informações adicionais espontaneamente inseridas pelo usuário.

O campo de mensagem é livre. Por isso, o usuário deverá evitar o envio de dados excessivos, senhas, informações bancárias completas, prontuários, exames, diagnósticos, documentos de terceiros ou dados de crianças sem necessidade e autorização.

5.3. Dados de candidatos e participantes do voluntariado

• nome completo, CPF e data de nascimento, observando que os dois últimos aparecem atualmente como opcionais na primeira etapa do cadastro;
• e-mail, telefone, município, endereço ou área de atuação, conforme a necessidade operacional;
• habilidades, interesses, formação, profissão, registro em conselho de classe, disponibilidade e experiência;
• informações necessárias para seleção, convocação, organização de ações, certificados, controle de presença, segurança e comunicação;
• documentos comprobatórios, autorizações e dados de emergência, quando indispensáveis à atividade e solicitados por canal adequado;
• fotografias, vídeos, depoimentos e registros de participação, mediante fundamento jurídico e autorização apropriados.

5.4. Dados relacionados a beneficiários, participantes e ações de saúde

Quando o Instituto realizar triagens, encaminhamentos, atendimentos, campanhas ou ações presenciais, poderão ser tratados dados de identificação, contato, elegibilidade, responsáveis legais, presença, imagem e, somente quando necessário, dados pessoais sensíveis relacionados à saúde. Esses tratamentos deverão ocorrer por formulários próprios, com acesso restrito e informações específicas sobre finalidade, responsáveis, compartilhamentos e prazos de guarda.

5.5. Dados de doadores, parceiros e fornecedores

• nome ou razão social, CPF/CNPJ, cargo, contatos, endereço e dados de representação;
• informações relativas à doação, parceria, contrato, nota fiscal, recibo, prestação de contas e comunicação institucional;
• dados financeiros estritamente necessários, normalmente processados por instituições bancárias ou plataformas de pagamento.

5.6. Dados contidos em documentos públicos e registros institucionais

A área de transparência poderá conter documentos institucionais, prestações de contas, instrumentos de cooperação e relatórios fotográficos. Antes da publicação, o Instituto deverá aplicar revisão de privacidade e, quando necessário, ocultar CPF, assinatura, endereço residencial, telefone pessoal, dados bancários, documentos de identidade, dados de saúde e outras informações incompatíveis com a finalidade pública.

6. Como os dados são coletados

Os dados poderão ser obtidos:

• diretamente do titular, quando ele preenche formulários, envia mensagens, realiza cadastro ou participa de atividades;
• por pais, responsáveis legais ou representantes devidamente autorizados;
• automaticamente, durante a navegação, por registros técnicos, cookies e mecanismos de segurança;
• por parceiros, escolas, unidades de saúde, organizações sociais, órgãos públicos ou profissionais envolvidos nas ações, desde que exista fundamento jurídico e dever de transparência;
• a partir de fontes públicas legítimas, somente quando o uso for compatível com a finalidade e os direitos do titular.

7. Finalidades e bases legais

A base legal aplicável depende do contexto e da categoria de dado. O consentimento não é utilizado automaticamente para todas as atividades e poderá ser dispensado quando houver outra hipótese legal adequada.

A indicação acima é orientativa e deverá ser confirmada no inventário de dados e nos registros internos das operações de tratamento. Sempre que o consentimento for utilizado, ele deverá ser livre, informado, inequívoco, específico para a finalidade e passível de revogação.

8. Dados pessoais sensíveis e dados de saúde

Dados de saúde, biometria e outras categorias sensíveis exigem proteção reforçada. O Instituto somente deverá coletá-los quando forem indispensáveis para uma finalidade legítima e por canal apropriado, aplicando controles de acesso, limitação de compartilhamento e base legal específica.

• formulários gerais de contato e voluntariado não devem ser usados para envio espontâneo de prontuários, exames ou descrições clínicas detalhadas;
• profissionais de saúde e entidades parceiras deverão observar sigilo profissional, normas do conselho de classe e regras de prontuário;
• o acesso a dados clínicos deverá ser limitado às pessoas que necessitam dessas informações para realizar a atividade autorizada;
• dados sensíveis não serão utilizados para publicidade comportamental, discriminação ou finalidades incompatíveis com o atendimento social e de saúde;
• compartilhamentos para encaminhamento ou continuidade do cuidado serão limitados ao necessário e documentados.

9. Crianças e adolescentes

O Instituto atua em ações que podem alcançar crianças e adolescentes. O tratamento de dados desses titulares deverá observar seu melhor interesse, a proteção integral, a minimização e salvaguardas adequadas à idade e ao risco.

• o Portal não deve solicitar que crianças enviem diretamente dados pessoais por formulários gerais sem participação de seus pais ou responsáveis;
• cadastros de voluntários menores de 18 anos dependerão de avaliação da atividade e de autorização do responsável legal;
• dados de crianças serão coletados somente na medida necessária para a ação, atendimento, segurança, comprovação ou obrigação aplicável;
• quando o consentimento for a base legal exigida, ele deverá ser específico, destacado, verificável e fornecido por pelo menos um dos pais ou responsável legal, observada a autonomia progressiva do adolescente;
• fotografias, vídeos, voz, depoimentos e identificações serão tratados com cautela reforçada, evitando exposição vexatória, dados de localização desnecessários ou associação indevida a condição de saúde ou vulnerabilidade;
• o Instituto não realizará publicidade comportamental, perfilamento comercial ou exploração econômica de dados de crianças e adolescentes.

Pedidos de remoção, correção ou esclarecimento envolvendo crianças e adolescentes terão tratamento prioritário, com verificação proporcional da legitimidade do solicitante.

10. Cookies e tecnologias semelhantes

Cookies são pequenos arquivos ou identificadores armazenados no dispositivo do usuário ou processados pelo navegador. O Portal poderá utilizar as categorias abaixo:

O usuário poderá bloquear ou apagar cookies nas configurações do navegador. Essa escolha poderá afetar algumas funcionalidades. Até que o Portal disponibilize um mecanismo efetivo de preferências, cookies e rastreadores não essenciais deverão permanecer desativados.

A lista efetiva de cookies, fornecedores, finalidades e prazos deverá ser apresentada no aviso ou painel de cookies e atualizada sempre que houver mudança tecnológica.

11. Compartilhamento de dados

O Instituto poderá compartilhar dados pessoais somente quando necessário, proporcional e compatível com a finalidade informada, incluindo:

• Prestadores de tecnologia: hospedagem, banco de dados, nuvem, manutenção, segurança, anti-spam, e-mail, mensagens, análise de desempenho e suporte;
• Parceiros de ações sociais e de saúde: clínicas, dentistas, profissionais, escolas, organizações sociais, voluntários autorizados e entidades responsáveis por encaminhamento ou atendimento;
• Instituições financeiras e plataformas de pagamento: quando houver doação, reembolso ou operação financeira;
• Consultores e prestadores profissionais: contabilidade, auditoria, assessoria jurídica, proteção de dados e seguros, sujeitos a deveres de confidencialidade;
• Órgãos públicos e autoridades: quando houver obrigação legal, ordem válida, fiscalização, proteção de direitos, investigação ou emergência;
• Sociedade e usuários do Portal: apenas nos casos de publicação legítima em notícias, relatórios, transparência ou registros de ações, com análise de necessidade e proteção de informações privadas.

O Instituto deverá selecionar fornecedores compatíveis com o nível de risco, limitar instruções e acessos, estabelecer deveres de segurança e confidencialidade e exigir comunicação de incidentes. A relação dos principais operadores deverá constar do inventário interno e poderá ser informada ao titular mediante solicitação, respeitados segredos comercial e industrial.

12. Transferência internacional de dados

Alguns fornecedores de nuvem, e-mail, mensageria, segurança, análise ou suporte podem armazenar ou acessar dados fora do Brasil. Quando houver transferência internacional, o Instituto deverá verificar a localização e o papel do fornecedor e adotar mecanismo permitido pela LGPD e pela regulamentação da ANPD, como decisão de adequação, cláusulas-padrão contratuais, normas corporativas globais, consentimento específico ou outra hipótese legal aplicável.

Sempre que possível, serão adotadas configurações de minimização, limitação de acesso, criptografia e escolha de regiões de armazenamento compatíveis com a finalidade e o risco.

13. Publicação de imagens, depoimentos e documentos

O Portal poderá divulgar fotografias, vídeos, voz, depoimentos e documentos relacionados às ações do Instituto. A publicação deverá respeitar direitos de personalidade, dignidade, contexto, finalidade institucional e a legislação de proteção de dados.

• autorizações de uso de imagem e voz deverão ser específicas quanto às finalidades, canais e período, especialmente quando houver identificação individual destacada;
• em eventos coletivos, o Instituto deverá fornecer informação visível sobre captação de imagens e oferecer canal para oposição ou solicitação fundamentada, sem prejuízo da análise da base legal aplicável;
• imagens de crianças, adolescentes, pacientes ou pessoas em situação de vulnerabilidade exigem cautela reforçada e, quando necessário, autorização do responsável legal;
• documentos da transparência deverão passar por anonimização, ocultação ou redução de dados não necessários antes da publicação;
• pedidos relacionados a imagem, voz, exposição indevida ou contexto constrangedor serão avaliados com prioridade e poderão resultar em remoção, edição ou restrição do conteúdo.

14. Retenção, armazenamento e eliminação

Os dados serão mantidos pelo período necessário ao cumprimento das finalidades informadas e, depois, pelo tempo exigido para obrigações legais, regulatórias, contábeis, contratuais, auditorias, defesa de direitos e preservação de evidências. Os prazos concretos deverão constar de tabela interna de temporalidade.

Ao final do período aplicável, os dados poderão ser eliminados, anonimizados ou mantidos em ambiente restrito quando existir fundamento jurídico. Cópias de segurança poderão persistir por ciclos limitados e serão submetidas a controles de acesso e descarte seguro.

15. Segurança da informação

O Instituto deverá adotar medidas técnicas e administrativas proporcionais à natureza dos dados, ao volume, ao contexto e aos riscos do tratamento. Essas medidas podem incluir:

• controle de acesso baseado em necessidade, senhas fortes, autenticação adicional e revisão periódica de permissões;
• conexão segura, atualização de sistemas, proteção contra códigos maliciosos, monitoramento e cópias de segurança;
• segregação de ambientes e limitação do acesso a dados de saúde, documentos e informações de crianças;
• contratos e instruções de tratamento com fornecedores e parceiros;
• treinamento de colaboradores, dirigentes e voluntários sobre sigilo, phishing, uso adequado de dispositivos e comunicação de incidentes;
• procedimentos para descarte, anonimização, restauração, continuidade e resposta a incidentes.

Nenhum sistema é totalmente imune a riscos. O usuário também deve proteger seus dispositivos e contas, desconfiar de mensagens suspeitas, verificar os canais oficiais e não compartilhar senhas ou códigos de autenticação.

16. Incidentes de segurança

Ao tomar conhecimento de incidente que possa afetar dados pessoais, o Instituto deverá registrar o evento, conter o risco, preservar evidências, avaliar natureza, titulares, volume, possíveis consequências e medidas adotadas. Quando houver risco ou dano relevante, serão realizadas as comunicações exigidas à ANPD e aos titulares nos prazos e condições da regulamentação vigente.

As comunicações poderão informar, conforme aplicável, os dados afetados, riscos, medidas de segurança, providências adotadas, canais de contato e recomendações para reduzir danos. O usuário que identificar falha ou suspeita deverá comunicar imediatamente pelo canal de privacidade, evitando divulgação pública que amplie o risco.

17. Direitos dos titulares

Nos termos da LGPD e observadas as limitações legais, o titular poderá solicitar:

• confirmação da existência de tratamento e acesso aos dados;
• correção de informações incompletas, inexatas ou desatualizadas;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• portabilidade, quando regulamentada e tecnicamente aplicável, preservados segredos comercial e industrial;
• eliminação de dados tratados com base no consentimento, ressalvadas hipóteses legais de conservação;
• informações sobre entidades públicas e privadas com as quais houve uso compartilhado;
• informação sobre a possibilidade de não consentir e sobre as consequências da negativa;
• revogação do consentimento e oposição a tratamento realizado em desconformidade com a legislação;
• revisão e explicação de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, quando houver;
• peticionamento perante a ANPD e órgãos de defesa do consumidor, quando cabível.

Alguns pedidos poderão ser negados ou atendidos parcialmente quando houver obrigação de guarda, necessidade de proteger direitos de terceiros, segredo profissional, segurança, prevenção à fraude, exercício regular de direitos ou outra justificativa legal. A decisão será informada de maneira clara, sempre que possível.

18. Como exercer os direitos

O pedido deverá ser encaminhado para o e-mail contato@portodosossorrisos.com.br, com o assunto “PRIVACIDADE E DADOS PESSOAIS”, contendo descrição objetiva da solicitação e informações suficientes para localizar os dados. O Instituto poderá solicitar comprovação proporcional de identidade ou representação, evitando a coleta de documentos excessivos.

• pedidos em nome de crianças, adolescentes, pessoas incapazes ou terceiros deverão demonstrar legitimidade ou representação;
• a resposta será fornecida de forma segura e dentro dos prazos legais aplicáveis;
• o exercício de direitos é gratuito, salvo hipóteses excepcionais permitidas pela legislação;
• para cancelar comunicações não essenciais, o titular poderá utilizar o mecanismo indicado na mensagem ou solicitar o descadastramento pelo canal de contato.

19. Decisões automatizadas e perfilamento

O Portal não deverá utilizar dados pessoais para decisões unicamente automatizadas que produzam efeitos jurídicos ou afetem significativamente os interesses do titular sem transparência, base legal, avaliação de riscos e mecanismo de revisão. Recursos de classificação, pontuação ou trilhas de participação de voluntários não poderão ser usados para discriminar, excluir injustamente ou substituir análise humana quando houver impacto relevante.

Caso sejam implementados sistemas de inteligência artificial ou automação para seleção, triagem, atendimento, prevenção à fraude ou personalização, esta Política e os avisos específicos deverão ser atualizados para informar lógica, critérios, dados utilizados, riscos e formas de contestação, respeitados segredos comercial e industrial.

20. Comunicações por e-mail, telefone e WhatsApp

O Instituto poderá utilizar os contatos fornecidos para responder solicitações, confirmar cadastros, organizar ações e enviar comunicações relacionadas à relação existente. Mensagens promocionais, campanhas recorrentes ou conteúdos não indispensáveis deverão observar base legal adequada e oferecer forma simples de cancelamento.

O usuário deve verificar se o remetente utiliza domínio, telefone ou perfil oficial. O Instituto não solicitará senha, código de autenticação ou pagamento por canal não confirmado. Conversas em plataformas de terceiros também estão sujeitas às políticas do respectivo fornecedor.

21. Links, incorporações e serviços de terceiros

O Portal poderá conter links para redes sociais, mapas, vídeos, documentos, formulários, meios de pagamento e páginas de parceiros. Ao acessar ou interagir com esses serviços, o terceiro poderá coletar dados segundo suas próprias regras. O Instituto procurará escolher integrações legítimas, mas não controla integralmente o tratamento independente realizado por terceiros.

Recomenda-se verificar o endereço, a política de privacidade, as permissões solicitadas e as configurações de cookies antes de fornecer dados pessoais ou realizar pagamentos.

22. Alterações desta Política

Esta Política poderá ser atualizada para refletir mudanças no Portal, nos projetos, nos fornecedores, nos tratamentos de dados ou na legislação. A versão vigente será identificada pela data de atualização. Alterações relevantes poderão ser comunicadas por aviso destacado, e-mail ou outro meio apropriado, conforme a relação existente com o titular.

Quando uma mudança depender de novo consentimento, o Instituto solicitará manifestação específica antes de iniciar o tratamento correspondente.

23. Canais de contato

Solicitações de privacidade, dúvidas, reclamações ou comunicações de incidente poderão ser encaminhadas pelos seguintes canais:

• E-mail institucional: contato@portodosossorrisos.com.br;
• Assunto para pedidos de privacidade: “PRIVACIDADE E DADOS PESSOAIS”;
• Telefone/WhatsApp: (94) 98428-0877;
• Endereço: Parauapebas — PA;
• Formulário: página “Contato” do Portal.

O titular também poderá apresentar petição à Agência Nacional de Proteção de Dados — ANPD, conforme os canais e procedimentos disponibilizados pela Agência, especialmente quando considerar que sua solicitação não foi atendida adequadamente.