INSTRUMENTO DE DEFINIÇÃO DAS BASES LEGAIS PARA O TRATAMENTO DE DADOS PESSOAIS NO ECOSSISTEMA DESBRAVABOT
Versão: 1.0
Data: 30 de outubro de 2026
Aprovação pelo Controlador: 4 de novembro de 2026
Situação: APROVADO E VIGENTE
PREÂMBULO
JOÃO GABRIEL DO CARMO GOMES, pessoa natural, desenvolvedor independente e mantenedor do ecossistema DesbravaBot, atuando em nome próprio e não em representação de associação, clube, missão, MEI ou outra pessoa jurídica, doravante denominado CONTROLADOR, estabelece, por meio deste instrumento, as hipóteses legais propostas para as operações de tratamento de dados pessoais realizadas no site, aplicativo Android, aplicativo Desktop, bot do Discord, DesbravaFood e demais serviços integrados à plataforma.
Parágrafo único. A constituição futura de pessoa jurídica, a transferência da operação ou a assunção de decisões por entidade distinta exigirá reavaliação dos papéis, atualização dos documentos, comunicação aos titulares e formalização da sucessão ou compartilhamento de responsabilidades antes da mudança material.
O presente instrumento foi elaborado em observância à Lei nº 13.709, de 14 de agosto de 2018 — Lei Geral de Proteção de Dados Pessoais —, à Lei nº 15.211, de 17 de setembro de 2025 — Estatuto Digital da Criança e do Adolescente —, ao Decreto nº 12.880, de 18 de março de 2026, que regulamenta essa Lei, e ao Decreto nº 12.881, de 18 de março de 2026, que aprova a estrutura regimental da Agência Nacional de Proteção de Dados.
CAPÍTULO I — DISPOSIÇÕES GERAIS
Art. 1º — Finalidade do instrumento
Este instrumento tem por finalidade documentar, para cada operação de tratamento, a finalidade específica, as categorias de dados utilizadas, a hipótese legal proposta, a justificativa de necessidade e o período técnico de conservação.
Art. 2º — Princípios de interpretação
As operações aqui descritas observarão os princípios da finalidade, adequação, necessidade, livre acesso, qualidade, transparência, segurança, prevenção, não discriminação e responsabilização.
§ 1º A execução de contrato ou de procedimentos preliminares será utilizada somente quando o tratamento for objetivamente necessário à funcionalidade solicitada pelo titular.
§ 2º O consentimento será específico, destacado, demonstrável e revogável, não constituindo condição para acesso a funcionalidades que dele não dependam.
§ 3º O legítimo interesse não será utilizado para dados pessoais sensíveis e dependerá de avaliação documentada de legítimo interesse, com análise de necessidade, proporcionalidade, expectativa legítima, impacto e salvaguardas.
§ 4º A obrigação legal ou regulatória somente será invocada quando identificada norma concreta aplicável à respectiva operação.
§ 5º O tratamento de dados de crianças e adolescentes observará seu melhor interesse, o art. 14 da LGPD e as normas específicas aplicáveis, sem prejuízo da hipótese legal correspondente à finalidade principal.
§ 6º Relatórios, documentos, notificações, cópias de segurança e dados derivados herdarão a hipótese legal e as limitações aplicáveis à fonte e à finalidade que justificaram sua criação.
§ 7º A invocação do art. 7º, inciso V, dependerá de teste individual de necessidade contratual, com demonstração cumulativa de que: I — a funcionalidade foi solicitada pelo titular; II — o tratamento é objetivamente indispensável à execução dessa funcionalidade, e não apenas conveniente; III — não existe meio razoável menos invasivo; IV — a recusa do dado torna impossível somente a funcionalidade correspondente; e V — funcionalidades acessórias ou opcionais possuem hipótese legal autônoma.
§ 8º O resultado do teste previsto no § 7º será registrado para cada nova funcionalidade ou alteração material, contendo descrição do serviço, dado utilizado, vínculo de indispensabilidade, alternativa considerada, consequência da recusa, salvaguardas, responsável e data da revisão.
§ 9º Integra este instrumento o Anexo NT-7V — Teste de Necessidade Contratual, que individualiza as funcionalidades amparadas pelo art. 7º, inciso V, e separa os elementos acessórios sujeitos a consentimento, legítimo interesse ou anonimização.
Art. 2º-A — Encarregado pelo tratamento de dados pessoais
O CONTROLADOR designará formalmente a si próprio, JOÃO GABRIEL DO CARMO GOMES, para exercer também a função de Encarregado pelo tratamento de dados pessoais, em razão da estrutura atual de desenvolvedor independente e único responsável técnico, com identidade e canal de contato divulgados de forma clara no site e nos aplicativos.
§ 1º A designação, as atribuições, a continuidade, a avaliação do conflito decorrente da acumulação e as medidas para afastar ou reduzir esse risco constarão do Ato de Designação do Encarregado, que integra este pacote como documento autônomo.
§ 2º A identidade e o canal público constarão do documento Informações Públicas do Encarregado, devendo ser atualizados sempre que houver mudança e permanecer facilmente acessíveis aos titulares e à Agência Nacional de Proteção de Dados.
§ 3º Considerando o tratamento de dados de crianças e adolescentes, dados de saúde e demais operações de risco elevado, a governança proposta neste instrumento adota a designação de encarregado, não se apoiando em dispensa destinada a agente de tratamento de pequeno porte. Eventual alteração dessa opção dependerá de decisão jurídica autônoma e fundamentada, sem afastar a manutenção de canal eficaz de comunicação com titulares e com a ANPD.
§ 4º A acumulação não será descrita como ausência de conflito. Decisões que restrinjam direitos serão fundamentadas e auditáveis; conflito concreto não mitigável, comunicação da ANPD, incidente relevante ou decisão de alto risco será submetido à revisão jurídica externa ou a encarregado substituto formalmente designado para o caso.
§ 5º A acumulação das funções de Controlador e Encarregado não será considerada proibida nem configurará, isoladamente, conflito automático. Nos termos dos arts. 18 a 21 da Resolução CD/ANPD nº 18/2024, sua continuidade dependerá do pleno atendimento das atribuições e da inexistência de conflito concreto não mitigado que comprometa a objetividade ou o julgamento técnico. A constatação de conflito em operação determinada não invalidará automaticamente a acumulação nas demais atividades em que o risco esteja ausente ou adequadamente mitigado.
§ 6º Em ausência, impedimento ou vacância, será formalmente designado substituto no momento da contingência, mediante termo específico e antes do exercício das atribuições, permanecendo ativo o protocolo eletrônico de comunicações. O procedimento de continuidade disciplinará designação tempestiva, transferência segura, confidencialidade, acessos temporários e encerramento da substituição.
§ 7º O procedimento previsto no parágrafo anterior será mantido em Plano de Contingência próprio, com critérios e sequência predefinidos e, quando viável, profissional ou serviço externo pré-identificado, sem concessão antecipada de acessos ou atribuições.
CAPÍTULO II — DAS OPERAÇÕES DE IDENTIDADE, ACESSO E PERFIL
Art. 3º — Cadastro, identidade e vínculo com clube
O tratamento do nome, CPF protegido, data de nascimento, e-mail, telefone, credencial, clube e unidade tem por finalidade criar a conta, verificar a identidade, proteger o acesso e estabelecer o vínculo solicitado pelo usuário.
§ 1º A hipótese legal proposta é a execução de contrato ou de procedimentos preliminares relacionados ao serviço solicitado pelo titular, nos termos do art. 7º, inciso V, da LGPD.
§ 2º Dados de saúde e informação religiosa não integrarão o cadastro mínimo, sendo solicitados separadamente, quando necessários, sob hipótese legal própria.
§ 3º Solicitações rejeitadas ou abandonadas terão os dados confidenciais eliminados em até trinta dias após a decisão ou inatividade. Contas ativas conservarão os dados enquanto necessários ao serviço, eliminando-se, após o encerramento, os elementos dispensáveis e bloqueando-se apenas o mínimo sujeito a retenção válida.
Art. 4º — Autenticação, sessão, segundo fator e passkeys
O tratamento de hashes de credenciais, tokens, sessões, identificadores protegidos de dispositivo e sinais mínimos de segurança tem por finalidade autenticar o usuário, manter a sessão e prevenir abuso.
§ 1º A autenticação e a manutenção da sessão fundamentam-se no art. 7º, inciso V, da LGPD.
§ 2º O rate limit estritamente transacional, limitado à tentativa ou conta corrente e sem correlação analítica posterior, integra a execução segura da autenticação e acompanha o art. 7º, inciso V. A correlação sistêmica entre contas, sessões, dispositivos ou origens, a conservação temporária de sinais e a investigação antifraude fundamentam-se no legítimo interesse previsto no art. 7º, inciso IX, condicionado à aprovação da Avaliação de Legítimo Interesse A002.
§ 3º O art. 11, inciso II, alínea “g”, somente será utilizado se dado sensível for efetivamente tratado para autenticação ou prevenção à fraude.
§ 4º A sessão expirará após quatorze dias sem atividade; desafios serão eliminados um dia após a expiração; tokens revogados serão conservados até sua expiração acrescida de tolerância operacional de trinta dias; e eventos antifraude ordinários serão mantidos por até noventa dias, ressalvada investigação ou incidente documentado.
Art. 5º — Perfil, fotografia e configurações pessoais
O tratamento de nome de exibição, perfil e configurações essenciais fundamenta-se no art. 7º, inciso V, da LGPD.
§ 1º A utilização de fotografia e personalizações opcionais fundamenta-se no consentimento previsto no art. 7º, inciso I.
§ 2º O consentimento poderá ser revogado sem perda das funcionalidades essenciais.
§ 3º Fotografias removidas ou substituídas serão eliminadas, inclusive dos caches controlados, em até trinta dias.
CAPÍTULO III — DOS DADOS SENSÍVEIS E DA PROTEÇÃO DE MENORES
Art. 6º — Saúde, acessibilidade e emergência
O tratamento de ficha de saúde, tipo sanguíneo, alergias, medicamentos, condições, deficiências, acessibilidade e histórico clínico tem por finalidade proteger o usuário durante as atividades e fornecer informação necessária em emergência.
§ 1º A manutenção ordinária da ficha fundamenta-se no consentimento específico e destacado previsto no art. 11, inciso I, da LGPD.
§ 2º O acesso emergencial fundamenta-se no art. 11, inciso II, alínea “e”, exclusivamente diante de situação concreta de proteção da vida ou da incolumidade física.
§ 3º O acesso será restrito, auditado, vinculado a finalidade e sessão sensível, não sendo admitido o uso para ranking, publicidade ou finalidade disciplinar.
§ 4º Quando o titular for criança ou adolescente sujeito à participação de responsável legal, a criação e atualização da ficha dependerão de consentimento parental específico, destacado e separado das demais finalidades. A evidência registrará identificação protegida do responsável, finalidade, categorias da ficha, versão do texto, data, canal e verificação presencial ou equivalente aprovada. A recusa impedirá apenas o tratamento opcional de Saúde, ressalvada emergência concreta amparada em hipótese própria.
§ 5º Ao atingir a idade ou condição jurídica definida para manifestação própria, o titular será convidado a confirmar, corrigir ou revogar o consentimento da ficha, sem reutilização automática da autorização parental para nova finalidade.
§ 6º A ficha deverá ser revisada anualmente. No fim do vínculo ou da finalidade, o acesso será bloqueado imediatamente e os dados serão eliminados em até trinta dias.
§ 7º Não se presume aplicável ao DesbravaBot prazo próprio de prontuário médico, pois a plataforma não se apresenta como estabelecimento de saúde nem substitui prontuário profissional. Qualquer conservação excepcional dependerá de obrigação legal, ordem válida ou exercício regular de direitos especificamente identificado, com delimitação dos campos, bloqueio de uso, responsável, termo final e revisão a cada noventa dias.
§ 8º Sessões sensíveis serão eliminadas um dia após a expiração. Versões históricas substituídas serão eliminadas em até trinta dias após a confirmação da nova versão, salvo legal hold constituído na forma do § 7º.
Art. 7º — Informação religiosa
A informação opcional relativa à condição de batismo constitui dado pessoal sensível e será tratada mediante consentimento específico, nos termos do art. 11, inciso I, da LGPD.
§ 1º O titular poderá responder “Sim”, “Não” ou “Prefiro não informar”.
§ 2º A informação não será exibida em listagens gerais, rankings ou analytics e somente será acessível às funções autorizadas que possuam necessidade comprovada.
§ 3º A revogação do consentimento implicará a eliminação do conteúdo, preservando-se apenas a evidência mínima da escolha quando necessária à responsabilização.
§ 4º Quando o titular for criança ou adolescente sujeito à participação do responsável legal, a coleta dependerá de consentimento parental específico, destacado e separado das demais finalidades, com identificação protegida do responsável, finalidade, versão do texto, data, canal e evidência da verificação presencial ou equivalente aprovada.
§ 5º O responsável poderá recusar ou revogar o consentimento religioso sem impedir o uso das funcionalidades essenciais. Ao atingir a idade ou condição jurídica definida para manifestação própria, o titular será convidado a confirmar, alterar ou revogar a escolha, sem reutilização automática do consentimento anterior.
Art. 8º — Crianças e adolescentes
Toda operação envolvendo criança ou adolescente observará o melhor interesse, a minimização, a transparência adequada à idade, o art. 14 da LGPD, a Lei nº 15.211/2025 e o Decreto nº 12.880/2026. O Decreto nº 12.881/2026 será considerado quanto à estrutura e às competências institucionais da ANPD, sem ser confundido com o decreto materialmente regulamentador do ECA Digital.
§ 1º O cadastro de menor dependerá do procedimento de verificação de idade e, quando aplicável, do vínculo com responsável legal.
§ 2º A hipótese legal da operação principal será analisada conjuntamente com as exigências específicas relativas a menores.
§ 3º Não será realizada publicidade comportamental baseada no perfil de crianças e adolescentes.
§ 4º Os dados de menores serão submetidos a revisão semestral de necessidade, acesso, exatidão e vínculo com responsável, além de revisão imediata na mudança de clube, função, responsável ou finalidade.
§ 5º Dados opcionais, rascunhos, anexos temporários, telemetria e conteúdo sem finalidade ativa serão eliminados em prazo acelerado não superior a trinta dias após o encerramento da finalidade, salvo prazo menor previsto neste instrumento.
§ 6º No encerramento da conta ou perda do vínculo, os acessos serão bloqueados imediatamente; os dados não sujeitos a obrigação específica serão eliminados em até trinta dias; e eventual retenção excepcional seguirá legal hold individualizado, vedada conservação genérica baseada apenas na condição de menor.
§ 7º Integra este instrumento o Anexo AVI-01 — Procedimento Operacional de Aferição de Idade e Verificação de Responsável, que documenta a triagem por data estruturada, a conferência presencial, os verificadores autorizados, a evidência mínima, o estado avaliado em cada acesso, a limitação após prazo preventivo interno e a regularização posterior.
§ 8º Integra também o Anexo AVI-01A — Matriz de Confiabilidade e Proporcionalidade, que classifica níveis de asseguração, contextos atuais e critérios de elevação do método, evitando tanto a autodeclaração isolada quanto a coleta biométrica desproporcional.
CAPÍTULO IV — DA ADMINISTRAÇÃO DOS CLUBES E DAS ATIVIDADES
Art. 9º — Clubes, unidades, cargos e acessos
O tratamento de clube, unidade, cargo, estado do vínculo e histórico mínimo de autorização tem por finalidade administrar permissões e escopos de acesso, fundamentando-se no art. 7º, inciso V, da LGPD.
Parágrafo único. O estado atual será mantido durante o vínculo, e o histórico mínimo de autorização e segurança será conservado por até trezentos e sessenta e cinco dias após sua substituição ou encerramento, sendo posteriormente minimizado ou eliminado.
Art. 10 — Frequência e histórico individual
O tratamento de presença, ausência, Bíblia, uniforme, classe, unidade e indicadores tem por finalidade registrar e acompanhar a participação nas atividades do clube.
§ 1º O registro essencial fundamenta-se no art. 7º, inciso V, da LGPD.
§ 2º Analytics comportamental não essencial dependerá de consentimento específico ou de anonimização efetiva.
§ 3º O registro detalhado será mantido pelo ciclo anual acrescido de doze meses para conferência; depois, será agregado por unidade, anonimizado ou eliminado, ressalvada contestação documentada.
Art. 11 — Tarefas e análise de desempenho
O tratamento de respostas, notas, abertura, tempo e métricas de conclusão tem por finalidade disponibilizar, responder, corrigir e acompanhar tarefas.
§ 1º A execução pedagógica essencial fundamenta-se no art. 7º, inciso V.
§ 2º Métricas comportamentais avançadas identificáveis dependerão do consentimento previsto no art. 7º, inciso I, enquanto estatísticas efetivamente anonimizadas não serão tratadas como dados pessoais.
§ 3º Respostas e notas serão mantidas pelo ciclo pedagógico acrescido de doze meses; telemetria avançada bruta será conservada por até noventa dias.
Art. 12 — Testes, admissões e decisões automatizadas
O tratamento de respostas, notas, tempo, aberturas e decisão de aprovação tem por finalidade aplicar, corrigir e revisar testes e admissões.
§ 1º A operação essencial fundamenta-se no art. 7º, inciso V.
§ 2º Analytics avançado opcional dependerá de consentimento específico.
§ 3º Critérios de aprovação automática serão transparentes e permitirão contestação e revisão por pessoa autorizada.
§ 4º O resultado ou habilitação será mantido enquanto necessário à comprovação; respostas detalhadas serão conservadas pelo ciclo acrescido de doze meses, e telemetria ordinária por noventa dias.
Art. 13 — Classes, especialidades e certificados
O tratamento de requisitos, progresso, conclusão, investidura e certificados tem por finalidade acompanhar a progressão solicitada, fundamentando-se no art. 7º, inciso V.
Parágrafo único. A comprovação final será mantida enquanto necessária ao vínculo ou à validade institucional, e evidências intermediárias serão minimizadas doze meses após a conclusão.
Art. 14 — Eventos, responsáveis e acompanhantes
O tratamento de participante, contato, responsável, acompanhantes, localização e campos da lista tem por finalidade realizar inscrição, organização e segurança do evento.
§ 1º A inscrição solicitada fundamenta-se no art. 7º, inciso V.
§ 2º Dados opcionais de acompanhantes fundamentam-se no consentimento do art. 7º, inciso I.
§ 3º Dados de saúde eventualmente necessários serão tratados sob o art. 11, inciso I, em seção separada.
§ 4º Formulários serão conservados por até noventa dias após o encerramento e a solução de pendências, eliminando-se o conteúdo identificável e mantendo-se somente métrica agregada ou documento legitimamente necessário.
Art. 15 — Reuniões, pautas e votos
O tratamento de participantes, pautas, votos, atas e auditoria tem por finalidade organizar reuniões e registrar decisões, fundamentando-se no art. 7º, inciso V.
§ 1º O nível de identificação do voto será informado previamente e limitado à finalidade institucional.
§ 2º Telemetria e controles temporários serão conservados por noventa dias. Atas e decisões minimizadas observarão prioritariamente o prazo estatutário, regimental ou documental aplicável ao clube ou à entidade responsável.
§ 3º Na ausência de prazo institucional formalmente identificado, adota-se subsidiariamente a conservação por cinco anos, limitada à ata ou decisão minimizada, sem extensão automática a gravações, telemetria, votos intermediários ou anexos desnecessários.
Art. 16 — Ofícios, listas e inscrições
O tratamento de identificação, campos de lista, assinatura e anexos tem por finalidade produzir documentos e administrar inscrições solicitadas, fundamentando-se no art. 7º, inciso V.
§ 1º Campos sensíveis dependerão da hipótese adequada do art. 11, preferencialmente consentimento específico quando não houver outra hipótese aplicável.
§ 2º Formulários operacionais serão conservados por até cento e oitenta dias após a finalidade ou contestação. Documentos finais observarão prazo institucional próprio, inicialmente proposto em cinco anos.
§ 3º Integra este instrumento o Anexo CFL-01 — Catálogo e Justificativa de Campos de Ofícios e Listas, que individualiza os campos dos modelos vigentes. Modelo personalizado somente poderá invocar o art. 7º, inciso V, após possuir ficha de finalidade e necessidade para cada campo, com alternativa menos invasiva, acesso, retenção e fundamento proposto.
§ 4º O modelo padrão atualmente suportado encontra-se preenchido no Anexo CFL-01A — Ficha Concreta do Modelo Padrão de Lista, incluindo campos opcionais que deverão permanecer desativados na ausência de justificativa específica.
Art. 17 — Divisões, mensagens e arquivos
O tratamento de mensagens, arquivos, autoria, participantes e menções tem por finalidade permitir comunicação temporária sobre trabalhos e especialidades, fundamentando-se no art. 7º, inciso V.
Parágrafo único. O conteúdo e os arquivos serão eliminados ao fim da divisão ou atividade, acrescido de tolerância operacional máxima de trinta dias.
Art. 18 — Tesouraria e finanças
O tratamento de lançamentos, valores, comprovantes e responsáveis tem por finalidade realizar prestação de contas e gestão financeira.
§ 1º A operação solicitada fundamenta-se no art. 7º, inciso V.
§ 2º O art. 7º, inciso II, será utilizado somente para documentos sujeitos a obrigação fiscal ou contábil concreta, e o art. 7º, inciso VI, quando necessário ao exercício regular de direitos.
§ 3º Dados operacionais serão mantidos pelo encerramento acrescido de doze meses. Documentos fiscais e contábeis serão mantidos por cinco anos, ressalvado prazo legal específico superior aplicável ao registro.
Art. 19 — Almoxarifado
O tratamento de item, quantidade, responsável e datas tem por finalidade controlar estoque, retirada e devolução, fundamentando-se no art. 7º, inciso V.
Parágrafo único. Os registros serão conservados pelo ciclo do item acrescido de doze meses para prestação de contas, sendo posteriormente eliminados ou agregados.
CAPÍTULO V — DAS COMUNICAÇÕES, INTEGRAÇÕES E DOCUMENTOS
Art. 20 — Notificações e preferências
O tratamento de token, dispositivo, categoria, conteúdo mínimo e estado de entrega tem por finalidade enviar avisos.
§ 1º Avisos essenciais fundamentam-se no art. 7º, inciso V, e categorias opcionais no consentimento previsto no art. 7º, inciso I.
§ 2º Tokens serão eliminados no logout, revogação ou invalidação. Entregas detalhadas serão mantidas por até noventa dias. Conteúdo sensível não será reproduzido em push.
Art. 21 — Integração com o Discord
O tratamento de Discord ID, servidor, canal, cargo, comando e auditoria tem por finalidade realizar integração opcional, fundamentando-se no consentimento previsto no art. 7º, inciso I.
§ 1º Ações realizadas pelo Discord que executem funcionalidade essencial herdarão também a base da operação de origem.
§ 2º O vínculo será mantido até revogação; a fila entregue, por noventa dias; e a auditoria de segurança minimizada, por trezentos e sessenta e cinco dias.
Art. 22 — Relatórios, PDFs e certificados
O tratamento dos dados necessários à emissão de documento solicitado fundamenta-se no art. 7º, inciso V, e herdará a hipótese legal dos dados e da finalidade de origem.
Parágrafo único. Arquivos temporários e caches serão eliminados em até vinte e quatro horas. Documentos oficiais observarão o prazo da categoria de origem.
Art. 23 — Rankings e perfilização
O tratamento de pontuação, unidade, frequência, tarefas, especialidades, eventos e insígnias tem por finalidade reconhecimento e acompanhamento.
§ 1º O ranking não será presumido essencial à execução do serviço e, por isso, não utilizará o art. 7º, inciso V, como fundamento genérico.
§ 2º Ranking individual, exibição nominal ou perfilização opcional dependerá de consentimento específico nos termos do art. 7º, inciso I, sem prejuízo de acesso às funções essenciais em caso de recusa.
§ 3º Indicadores de unidade ou clube serão calculados preferencialmente com dados agregados e submetidos a avaliação de risco de reidentificação. Somente serão tratados como anônimos quando não puderem ser associados a pessoa natural por meios razoáveis e após aprovação dos testes de anonimização aplicáveis.
§ 4º A pontuação identificável será encerrada ao final do ciclo anual, preservando-se apenas agregado efetivamente anonimizado ou insígnia institucional justificada.
Art. 24 — Reportes e suporte
O tratamento de relato, contato, resposta, evidência e estado tem por finalidade atender problemas e produzir suporte, fundamentando-se no art. 7º, inciso V, e no art. 7º, inciso VI, quando necessário à defesa.
§ 1º A publicação de caso que ainda possa identificar o titular dependerá do consentimento do art. 7º, inciso I.
§ 2º O atendimento encerrado será conservado por doze meses. Casos públicos somente serão mantidos após revisão e anonimização efetiva.
CAPÍTULO VI — DA SEGURANÇA, AUDITORIA E CONTINUIDADE
Art. 25 — Logs, auditoria, monitoramento e incidentes
O tratamento de método, template sanitizado da rota, estado, request ID, fingerprint HMAC e ações tem por finalidade proteger o serviço, prestar contas e responder a incidentes.
§ 1º A segurança de dados comuns fundamenta-se no legítimo interesse do art. 7º, inciso IX, condicionado à Avaliação de Legítimo Interesse A021.
§ 2º A obrigação legal do art. 7º, inciso II, será utilizada somente quando houver norma específica.
§ 3º Dados sensíveis serão excluídos dos logs sempre que possível e, quando inevitáveis, herdarão a hipótese válida da operação de origem.
§ 4º Logs operacionais serão mantidos por noventa dias; auditoria de segurança, por até trezentos e sessenta e cinco dias; e registros regulatórios de incidentes, por cinco anos.
Art. 26 — Backups, snapshots, restauração e demonstração
Cada cópia de segurança herdará a base legal dos dados de origem. A continuidade envolvendo dados comuns poderá fundamentar-se no art. 7º, inciso IX, condicionada à Avaliação de Legítimo Interesse A022.
§ 1º O legítimo interesse não será utilizado isoladamente para legitimar dados sensíveis.
§ 2º Snapshots e backups terão ciclo técnico máximo de trinta dias, conforme RPO e RTO aprovados, com reaplicação das eliminações após restauração.
§ 3º Ambientes de demonstração utilizarão exclusivamente dados fictícios.
CAPÍTULO VII — DO DESBRAVAFOOD E DAS OPERAÇÕES COMERCIAIS
Art. 27 — Catálogo, carrinho e pedidos
O tratamento de comprador, contato, localização, itens, total e estado tem por finalidade apresentar catálogo e executar o pedido, fundamentando-se no art. 7º, inciso V.
§ 1º O catálogo e o carrinho permanecerão anônimos até que a identificação seja necessária à finalização.
§ 2º Carrinhos inativos serão eliminados após trinta dias. O pedido operacional será conservado até o fechamento e a geração do resumo, eliminando-se dados excedentes e bloqueando-se apenas o mínimo legitimamente necessário.
Art. 28 — Pagamentos, conciliação, reembolso e antifraude
O tratamento de IDs de pedido e pagamento, estado, valor, seller ID e sinais mínimos tem por finalidade criar cobrança, conciliar, reembolsar e prevenir fraude.
§ 1º Pagamento e reembolso fundamentam-se no art. 7º, inciso V.
§ 2º Antifraude com dados comuns fundamenta-se no art. 7º, inciso IX, condicionado à Avaliação de Legítimo Interesse A024.
§ 3º O art. 7º, inciso II, será utilizado somente diante de norma fiscal, consumerista ou regulatória concreta.
§ 4º O estado OAuth será conservado por dez minutos, tokens até desconexão ou expiração e registros financeiros por cinco anos, ressalvado prazo legal específico superior aplicável ao registro.
Art. 29 — Entregadores e códigos de confirmação
O tratamento de membro, unidade, pedido, endereço temporário e código derivado tem por finalidade atribuir entrega e confirmar pedido, fundamentando-se no art. 7º, inciso V.
Parágrafo único. O endereço será ocultado após a entrega e eliminado em até trinta dias; o código expirará na validação ou no prazo do pedido; e o vínculo do entregador será mantido até revogação.
Art. 30 — Comunicações do pedido
O tratamento de pedido, destinatário, canal, mensagem e estado tem por finalidade comunicar criação, pagamento, preparo, entrega, cancelamento e falha.
§ 1º Comunicações essenciais fundamentam-se no art. 7º, inciso V, e canais opcionais não essenciais dependerão de consentimento.
§ 2º Tentativas e conteúdo mínimo serão conservados por noventa dias; eventos de segurança herdarão a regra de auditoria.
Art. 31 — Assinaturas, ativação e gratuidade
O tratamento de clube, plano, valor, pagamento, representante e evidência tem por finalidade contratar, ativar, suspender e prestar contas.
§ 1º A relação contratual fundamenta-se no art. 7º, inciso V; obrigação concreta, no art. 7º, inciso II; e defesa, no art. 7º, inciso VI.
§ 2º Registros operacionais serão conservados durante a relação acrescida de doze meses. O mínimo financeiro e contratual será conservado por cinco anos, ressalvado prazo legal específico superior aplicável ao registro.
CAPÍTULO VIII — DAS PREFERÊNCIAS, MATERIAIS E GAMIFICAÇÃO
Art. 32 — Navegação e preferências locais
O tratamento da última tela, preferências e cache local tem por finalidade restaurar a navegação e melhorar a experiência.
§ 1º O armazenamento estritamente local será limitado à função e ao dispositivo.
§ 2º Quando sincronizado ao servidor, o tratamento fundamentar-se-á no art. 7º, inciso IX, condicionado à Avaliação de Legítimo Interesse A028.
§ 3º Os dados serão eliminados após cento e oitenta dias sem uso, limpeza, logout ou encerramento.
Art. 33 — Materiais e recursos
O tratamento de arquivo, autoria, público e auditoria tem por finalidade publicar e disponibilizar recursos solicitados, fundamentando-se no art. 7º, inciso V.
Parágrafo único. O arquivo será mantido enquanto publicado e eliminado em até trinta dias após remoção; autoria e auditoria mínima serão conservadas por trezentos e sessenta e cinco dias.
Art. 34 — Desbravitos e gamificação
O tratamento de pontos, ações, unidade, ciclo e ranking tem por finalidade oferecer reconhecimento e engajamento opcional.
§ 1º A gamificação individual fundamenta-se no consentimento do art. 7º, inciso I, e sua recusa não impedirá acesso às funções essenciais.
§ 2º Estatísticas somente serão conservadas sem consentimento após anonimização efetiva.
§ 3º O ciclo será anual ou limitado à campanha, eliminando-se posteriormente a identificação e mantendo-se apenas agregado ou conquista final justificada.
CAPÍTULO IX — DAS AVALIAÇÕES DE LEGÍTIMO INTERESSE
Art. 35 — Avaliações relacionadas
Integram a fundamentação técnica deste instrumento:
I — LIA A002, relativa à autenticação e segurança;
II — LIA A021, relativa à auditoria e monitoramento;
III — LIA A022, relativa a backup e continuidade;
IV — LIA A024, relativa a pagamentos e antifraude; e
V — LIA A028, relativa a preferências e navegação.
§ 1º As avaliações indicadas nos incisos I a V constituem documentos autônomos aprovados, anexos a este instrumento, contendo identificação da operação, interesse legítimo, teste de finalidade, teste de necessidade, ponderação, expectativas do titular, impacto sobre menores, alternativas, salvaguardas, retenção, direito de oposição, risco residual e conclusão.
§ 2º A utilização do art. 7º, inciso IX, nas atividades correspondentes dependerá da aprovação da respectiva avaliação, da implementação contínua das salvaguardas nela descritas e de nova análise diante de mudança material.
§ 3º As LIAs anexas são:
I — Anexo LIA-002 — Autenticação, segurança e prevenção a abuso;
II — Anexo LIA-021 — Auditoria e monitoramento;
III — Anexo LIA-022 — Backup e continuidade;
IV — Anexo LIA-024 — Pagamentos e prevenção a fraude; e
V — Anexo LIA-028 — Preferências e navegação.
Art. 36 — Vigência
Este instrumento produz efeitos a partir de 4 de novembro de 2026 e será revisto sempre que houver nova finalidade, categoria de dado, fornecedor, integração, alteração normativa ou mudança material no tratamento.
Aprovação: João Gabriel do Carmo Gomes, Controlador.
Registro da aprovação: 4 de novembro de 2026.