Política de Privacidade e LGPD

• Loja: a loja maçônica que contrata o Sigma Horus para administrar seu cadastro, sua tesouraria e suas rotinas.
• Irmão ou obreiro: pessoa cadastrada pela loja, com ou sem acesso ao portal.
• Usuário: quem entra no sistema com e-mail e senha (Administrador, Venerável, Tesoureiro, Secretário, Hospitaleiro, irmão com acesso ao portal e demais cargos).
• Titular: a pessoa a quem os dados pessoais se referem — o irmão, seus familiares cadastrados e os usuários.
• Controlador, operador e suboperador: nos termos do art. 5º da LGPD; ver o item 2.
• Dado pessoal sensível: o que a lei assim define (art. 5º, II), incluindo a filiação a organização de caráter filosófico.
• ANPD: Autoridade Nacional de Proteção de Dados.

A loja é, em regra, a controladora dos dados de seus irmãos e de seus familiares (decide a finalidade e os meios). O Sigma Horus atua como operador: trata os dados em nome da loja, seguindo as instruções dela, para prestar o serviço. Para os dados de conta e de cobrança da própria loja (assinatura do sistema), o Sigma Horus atua como controlador.

A relação entre a loja (controladora) e o Sigma Horus (operador) é formalizada por um Contrato de Tratamento de Dados (DPA), disponível às lojas contratantes, que estabelece as instruções, as finalidades, as medidas de segurança e as responsabilidades de cada parte (art. 39 da LGPD).

Os dados variam conforme o que a loja e o próprio irmão preenchem. Em geral:

• Identificação e contato do irmão: nome, CPF, RG, data de nascimento, nacionalidade, estado civil, profissão, e-mail, telefone, endereço e foto.
• Dados maçônicos: grau, rito, Potência, datas de iniciação, elevação e exaltação, loja de origem, cargos e situação (ativo, regularizado, entre outras).
• Familiares: mãe, pai, cônjuge e dependentes (nome e, quando informados, data de nascimento, CPF, e-mail e telefone).
• Financeiros: cobranças, mensalidades, pagamentos, comprovantes, acordos de regularização, contas a pagar e a receber e lançamentos.
• Da vida da loja: presença em sessões, visitantes, documentos e pedidos à Hospitalaria, material emprestado e, quando houver, o processo de admissão de candidatos.
• De uso e segurança: registros de acesso e trilha de auditoria (quem fez o quê e quando) e registros técnicos de erros do sistema.
• Da loja: dados cadastrais, CNPJ e dados bancários ou chave Pix para cobranças e recibos.

O que é essencial e o que é opcional. Para existir no cadastro o irmão precisa ter, no mínimo, o nome; CPF, e-mail e data de nascimento são necessários para cobrar, comunicar, aplicar benefícios por idade e celebrar aniversários, e o sistema avisa quando faltam. O restante é opcional. O irmão com acesso ao portal pode atualizar o próprio contato, endereço e família e preencher CPF e nascimento quando estiverem vazios; correções e retirada de dados já registrados são pedidas à Secretaria da loja.

O serviço é destinado a maiores de 18 anos como usuários. Dados de crianças e adolescentes só entram como familiares cadastrados pela loja ou pelo irmão responsável (item 5).

A filiação a uma organização de caráter filosófico é dado pessoal sensível (art. 5º, II, da LGPD), e por isso o grau, o rito, os cargos e a própria condição de irmão podem revelar uma convicção. A plataforma trata essas informações somente para a gestão da loja, restringe o acesso por cargo, registra tudo na auditoria e não as compartilha para fins alheios a essa finalidade.

O tratamento de dados sensíveis só ocorre nas hipóteses do art. 11 da LGPD: em regra, com o consentimento específico e destacado do titular, colhido pela loja controladora ao admiti-lo e cadastrá-lo (art. 11, I), e, no que couber, para cumprimento de obrigação legal ou regulatória (art. 11, II, "a") e para o exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo ou arbitral (art. 11, II, "d"). O titular pode revogar o consentimento a qualquer tempo, ciente de que isso pode inviabilizar a manutenção do cadastro na loja.

Cada familiar cadastrado é, ele próprio, titular de dados. Por isso a loja ou o irmão que informa os dados de um familiar declara ter autorização dele para isso — e, no caso de criança ou adolescente, o consentimento de pelo menos um dos pais ou do responsável legal (art. 14 da LGPD). Os dados de familiares servem apenas à vida fraterna da loja: benefícios, felicitações de aniversário e jubileu e contato em situação de necessidade. Quem preferir que um familiar não receba felicitações pode pedir a marcação correspondente no cadastro.

Tratamos dados para:

• Executar o contrato com a loja e prestar o serviço de gestão (art. 7º, V, da LGPD).
• Cumprir obrigações legais e regulatórias, como as contábeis e fiscais (art. 7º, II).
• Exercer direitos em processo judicial, administrativo ou arbitral (art. 7º, VI).
• Atender ao legítimo interesse da loja e do Sigma Horus em administrar a loja e manter a segurança do sistema, sem sobrepor direitos do titular (art. 7º, IX).
• Quando aplicável, com o consentimento do titular (art. 7º, I), garantido o direito de não consentir e de revogar o consentimento a qualquer tempo (art. 8º, § 5º).

Para os dados sensíveis, valem as bases do item 4. Não tomamos decisões exclusivamente automatizadas que afetem o titular.

Dentro da loja. Os dados são visíveis apenas a quem a loja autoriza, de acordo com o cargo: cada cargo enxerga a sua área, e o irmão enxerga os próprios dados no portal. O quadro social e os documentos institucionais seguem a visibilidade que a loja define.

Com suboperadores, sob contrato e dever de confidencialidade, apenas o necessário à prestação do serviço:

• Vercel — hospedagem da aplicação e execução das funções.
• Railway — banco de dados PostgreSQL gerenciado.
• Cloudflare R2 — armazenamento de documentos (privado) e de imagens como foto e brasão.
• Stripe — processamento da assinatura da loja (dados de cobrança da plataforma).
• Asaas (ou provedor de pagamentos equivalente conectado pela loja) — cobranças que a loja faz aos seus irmãos; os valores são liquidados diretamente à loja.
• Resend — envio dos e-mails do sistema (cobranças, lembretes, convocações e avisos).

Também podemos comunicar dados, na medida do necessário:

• a instituições financeiras e provedores de pagamento, para processar cobranças e recebimentos;
• a autoridades, por ordem judicial ou requisição de autoridade com competência legal;
• para a defesa de direitos em qualquer demanda, inclusive judicial;
• em operação societária ou reestruturação que envolva o Sigma Horus, quando necessária à continuidade do serviço, com aviso às lojas.

A comunicação de dados de irmãos a federações, confederações ou à Potência é decisão da loja, como controladora, e não é feita pelo Sigma Horus por conta própria.

Alguns suboperadores podem processar dados em servidores fora do Brasil, notadamente nos Estados Unidos(Vercel, Cloudflare R2, Stripe, Resend) e eventualmente em outras jurisdições onde esses provedores mantêm infraestrutura. Nesses casos, a transferência observa a LGPD (art. 33), apoiando-se em:

• Cláusulas contratuais padrão adotadas pelos provedores, quando aplicáveis;
• Garantias contratuais de segurança e confidencialidade em nível compatível com a legislação brasileira;
• Certificações e padrões internacionais de proteção de dados mantidos pelos suboperadores.

Adotamos isolamento por loja com Row-Level Security no banco, criptografia em trânsito (TLS), senhas com hash forte (bcrypt), chaves sensíveis cifradas (AES-256-GCM), controle de acesso por cargo e trilha de auditoria de quem fez o quê e quando. Documentos ficam em bucket privado, acessíveis apenas por links assinados de curta duração. A foto do irmão e o brasão da loja ficam em armazenamento de acesso por link direto, para poderem aparecer nas telas, nos relatórios e nos e-mails. Mantemos backup diário e criptografado de toda a base, guardado por 30 dias.

Realizamos internamente Relatórios de Impacto à Proteção de Dados (DPIA) para as operações de tratamento que apresentem alto risco aos titulares, conforme o art. 38 da LGPD.

Quem entra no sistema com um cargo passa a ter acesso a dados de outros titulares e, por isso, deve:

• usar os dados de outros irmãos e de seus familiares somente para as finalidades da loja;
• não compartilhá-los com terceiros para outros fins nem copiá-los para fora do sistema sem necessidade;
• não incluir dados de familiares ou de terceiros sem a autorização deles (item 5);
• manter a senha pessoal, sigilosa e intransferível, e avisar a loja se suspeitar de uso indevido;
• comunicar a Secretaria ou o Encarregado ao perceber dado incorreto ou acesso indevido.

Todo acesso e toda alteração ficam registrados na auditoria. O uso indevido de dados ou de senha pode gerar responsabilização civil, penal e disciplinar, nos termos da lei e das regras da própria loja.

Em caso de incidente de segurança que possa acarretar risco relevante aos titulares, adotamos medidas de contenção e comunicamos as lojas afetadas em prazo razoável, preferencialmente em até 48 horas do conhecimento e, quando cabível, comunicamos à ANPD nos termos do art. 48 da LGPD. Também mantemos um monitoramento de falhas do sistema, que registra erros técnicos sem guardar o conteúdo das requisições.

Vulnerabilidades podem ser reportadas confidencialmente a compliance@sigmahorus.com.br. Comprometemo-nos a acusar recebimento em até 48 horas úteis e a manter o reportante informado sobre as providências.

• Enquanto a loja usar o serviço, os dados são mantidos para a gestão da loja.
• Encerrada a relação, a loja pode exportar os dados. Passados 90 dias do encerramento, os dados pessoais dos irmãos (nome, documentos, contatos) são anonimizados e os usuários de acesso são removidos.
• Registros financeiros são preservados, sem identificar a pessoa, pelo prazo de guarda contábil e fiscal (cinco anos).
• Backups são mantidos por 30 dias e depois descartados.
• Dado opcional ou excessivo pode ser corrigido ou retirado pela loja a pedido do titular, salvo quando a lei exigir a guarda.

Nos termos da LGPD (art. 18), o titular dos dados pessoais tem os seguintes direitos, exercíveis perante a loja (controladora) e, quando couber, perante o Sigma Horus:

• Confirmação da existência de tratamento;
• Acesso aos dados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
• Portabilidade dos dados a outro fornecedor de serviço, observados os segredos comercial e industrial;
• Eliminação dos dados tratados com consentimento (exceto nas hipóteses de guarda legal);
• Informação sobre as entidades públicas e privadas com as quais houve compartilhamento;
• Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa (art. 18, VIII);
• Oposição ao tratamento com base em legítimo interesse (art. 18, § 2º);
• Revisão de decisões automatizadas (art. 20), quando aplicável;
• Revogação do consentimento a qualquer tempo (art. 8º, § 5º).

As solicitações dos irmãos devem ser dirigidas, em primeiro lugar, à loja (controladora), responsável primária pelo atendimento — em regra, pela Secretaria. O Sigma Horus dá o apoio técnico e operacional para que a loja atenda ao pedido no prazo legal; a confirmação de tratamento e o acesso aos dados em formato completo devem ser atendidos em até 15 dias (art. 19, II).

O titular pode, ainda, peticionar diretamente à ANPD caso entenda que seus direitos não foram adequadamente atendidos (art. 18, § 1º, da LGPD).

A lista completa, com nome, finalidade e duração de cada um, está na Política de Cookies. Em resumo:

Cookies estritamente necessários. Usamos cookies e armazenamento local para o funcionamento da plataforma: sessão de login e segurança, e preferências de interface (como tema e menu lateral). Sem eles o login não funciona.

Cookie de origem de cadastro. Quando você chega ao site por um link de divulgação (por exemplo, o QR Code de um folheto), guardamos por 90 dias, em um cookie próprio, apenas o nome do canal de origem. Ele serve só para sabermos de onde a loja veio quando ela se cadastra. Não identifica a pessoa, não acompanha a navegação em outros sites e não é compartilhado. Você pode bloqueá-lo ou apagá-lo nas configurações do navegador, sem prejuízo ao uso do sistema.

Medição de acessos. Usamos uma ferramenta de medição de visitas das páginas públicas (Vercel Web Analytics) que funciona sem cookies e produz apenas números agregados. Não usamos cookies de publicidade nem de rastreamento entre sites.

Alguns pontos do sistema podem levar a sites de terceiros, como o link de pagamento de um provedor de pagamentos ou a página da ANPD. Não somos responsáveis pelo conteúdo nem pelas práticas desses sites; recomendamos ler a política de privacidade de cada um antes de informar dados.

Esta Política pode ser atualizada para refletir mudanças no serviço ou na lei. A data e a versão aparecem no topo da página. Quando a mudança for relevante, avisaremos as lojas por e-mail e pelo sistema, e a versão vigente ficará sempre disponível neste endereço.

O Sigma Horus nomeou um Encarregado de Dados, nos termos do art. 41 da LGPD, para atender titulares, orientar a loja e servir de ponto de contato com a ANPD.

• E-mail: privacidade@sigmahorus.com.br
• Canal para lojas (DPA): compliance@sigmahorus.com.br

O titular que entender que seus direitos não foram adequadamente atendidos pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) pelo canal oficial em www.gov.br/anpd.