O Sentinela é um sistema de gestão de ocorrências usado por Defesas Civis municipais. Esta política explica quais dados pessoais o sistema trata, por quê, onde eles ficam e como exercer os direitos previstos na Lei Geral de Proteção de Dados (Lei 13.709/2018).
1. Quem responde pelos seus dados
Esta é a parte que mais confunde, e ela muda quem você deve procurar.
A prefeitura é a controladora. Quando você registra uma ocorrência ou é atendido pela Defesa Civil, quem decide o que é coletado, para quê e por quanto tempo é o município. O Sentinela é a ferramenta que ela usa.
Nós somos operadores. Tratamos os dados por conta e ordem da prefeitura, seguindo o contrato, e não os usamos para nenhuma finalidade própria.
Cada prefeitura tem a sua própria instalação e o seu próprio banco de dados. O dado de um município não divide banco com nenhum outro : não é separação por filtro de consulta, é um banco por prefeitura. Isso não é detalhe técnico: é o que impede que um erro de programação exponha o morador de uma cidade à equipe de outra.
2. O que o aplicativo do morador não envia
Começamos por aqui porque é o mais importante e o mais incomum.
A área do morador não tem cadastro. Você não cria conta, não faz login e o nosso servidor não sabe quem você é nem onde você mora.
O CPF, a data de nascimento, o e-mail (opcional), os bairros e os tipos de alerta que você escolhe acompanhar e o último protocolo consultado ficam guardados no armazenamento seguro do seu próprio aparelho. Eles existem para você não precisar redigitar. O CPF, a data de nascimento, o e-mail e o protocolo não são transmitidos para nós; os bairros só saem do aparelho na contagem anônima descrita abaixo, e só enquanto ela estiver ligada. Apagando os dados pelo próprio aplicativo (Ajustes → “Apagar meus dados deste celular”) ou desinstalando o aplicativo, eles desaparecem.
Quando o aplicativo pergunta ao servidor quais avisos existem, ele pergunta por bairro : “há alertas para o Centro?” : e não “quais alertas existem para esta pessoa”. O servidor responde sem saber quem perguntou.
Notificações no celular (push)
Se você ligar as notificações, o aplicativo se inscreve em “canais” do serviço de notificações do Google (Firebase Cloud Messaging) : um canal por bairro e tipo de alerta que você acompanha. A inscrição é feita pelo seu aparelho, direto no Google: o nosso servidor não guarda o identificador de notificação do seu celular e não sabe quem está inscrito. Quando a Defesa Civil publica um alerta, o servidor manda o texto para o nome do canal, e o Google entrega a quem estiver inscrito.
O que o Google passa a saber é um identificador técnico da instalação do aplicativo e os nomes dos canais : ou seja, que um aparelho acompanha determinados bairros, não quem é a pessoa. Esse serviço roda em servidores fora do Brasil, sob as cláusulas contratuais padrão do Google. Você desliga a qualquer momento nas configurações do aparelho ou tirando os bairros; ao desinstalar, a inscrição desaparece.
Contagem anônima dos avisos
Para saber quantas pessoas cada aviso alcança, o aplicativo conta, sem saber quem você é: os bairros que você acompanha, se abriu cada aviso e em quanto tempo, e se tocou “Estou seguro” ou “Preciso de ajuda”.
O aparelho manda só um número aleatório criado nele mesmo, sem ligação com o seu nome, CPF, telefone ou com o identificador de notificação. O servidor não guarda nem esse número: guarda um resumo criptográfico dele, que não permite voltar ao número original, e não guarda o endereço IP de quem enviou. Não vão nome, CPF, telefone nem onde você está. A Defesa Civil só vê totais, e bairro com menos de 5 aparelhos aparece como “menos de 5”, para ninguém deduzir quem é.
A contagem vem ligada. Você desliga em Ajustes, em “Contar este aparelho”, e o registro do aparelho é apagado na hora, em todos os municípios em que ele foi contado. Aparelho que fica 180 dias sem abrir o aplicativo também é apagado. Tocar “Preciso de ajuda” não chama socorro nem avisa ninguém: o aplicativo mostra o 199 e o 193 para você ligar.
Relato de falha do aplicativo
Se o aplicativo fechar sozinho, ele manda ao Google (Firebase Crashlytics) o registro técnico do que quebrou: a linha do código, o modelo do aparelho, a versão do sistema e a do aplicativo. É o que permite corrigir um defeito que aconteceu no seu celular sem você precisar avisar. Não vai nome, CPF, bairro, localização nem o texto de nenhum pedido. O serviço roda em servidores fora do Brasil, sob as cláusulas contratuais padrão do Google, e os registros são apagados por ele em 90 dias.
3. O que é coletado, em cada canal
Morador que pede ajuda ou consulta um protocolo
| Dado | Para quê |
|---|---|
| Nome, CPF, telefone e e-mail | Identificar quem pediu, dar retorno e permitir a consulta do andamento |
| Endereço e coordenadas | Saber onde é o problema : sem isso a equipe não chega |
| Descrição e fotos | Avaliar a gravidade antes de deslocar equipe |
O CPF é exibido mascarado (***.***.123-45) em
todas as telas e respostas do sistema. O valor completo é usado apenas para
localizar o seu protocolo.
Pessoa acolhida em abrigo
| Nome, telefone e composição do núcleo familiar | Saber quem está sob cuidado do município, reunir famílias e dimensionar mantimentos |
Equipe da Defesa Civil, Guarda Municipal e demais servidores
| Nome, nome de usuário, e-mail, CPF e senha | Acesso ao sistema e autoria dos registros : numa prestação de contas ao Tribunal de Contas, um nome sozinho não identifica ninguém. A senha é guardada apenas como resumo criptográfico : não é possível lê-la |
| Registro de ações (auditoria) | Saber quem mudou o quê e quando. Inclui o endereço IP da conexão, se a ação foi feita pelo aplicativo ou pelo site e, quando foi feita sem sinal, quanto tempo esperou na fila do aparelho |
| Tempos de atendimento | Medir quanto a equipe leva para assumir, atender e finalizar uma ocorrência, por pessoa e por tipo, a partir dos próprios registros acima |
| Aparelho e data da sessão | Permitir que a pessoa veja e encerre sessões que não reconhece |
Servidor que pede acesso ao sistema
| Nome, CPF, e-mail, celular, órgão e função | Pedir à coordenação da Defesa Civil que crie a conta, pela página “Pedir acesso”. Os dados vão só por e-mail para os diretores da Defesa Civil do município e não ficam guardados no Sentinela : é a coordenação quem confere a pessoa e decide se cria o acesso |
| Registro do pedido (auditoria) | Saber que um pedido foi enviado e conter abuso da página. Guarda apenas o órgão escolhido, quantos e-mails saíram e o endereço IP da conexão : sem nome, CPF, e-mail ou celular |
Site da equipe
O site usa um único cookie, estritamente necessário: o que mantém a sessão de quem entrou. Não há cookie de rastreamento nem de publicidade, e por isso não há aviso de cookies para aceitar. As estatísticas de visita vêm do serviço da Vercel, que conta páginas sem cookie de identificação e sem construir perfil individual. Nada disso é usado na área do morador nem no aplicativo.
4. Permissões que o aplicativo pede
| Permissão | Quando e para quê |
|---|---|
| Localização | Só ao registrar uma ocorrência ou ver o mapa, para marcar o local. Não há rastreamento em segundo plano |
| Câmera e fotos | Anexar imagens à ocorrência ou à vistoria |
Recusar qualquer uma delas não impede o uso do aplicativo : apenas o recurso correspondente deixa de funcionar.
5. Onde os dados ficam
O dado pessoal fica no Brasil. A aplicação roda em
servidores da Fly.io em São Paulo; o banco de dados e os arquivos anexados
ficam no Supabase, região sa-east-1, também em São Paulo; e as
funções do site da equipe (por onde passam login e formulários) executam na
região de São Paulo da Vercel. A rede de distribuição da Vercel que entrega as
páginas é global, mas ela só serve o código do site : não o dado.
Duas exceções, ditas por inteiro: as notificações push passam pelo Google (seção 2), e o e-mail sai pela Amazon (seção 6) : os dois com cláusulas contratuais padrão, que é a base que a LGPD prevê para transferência internacional (art. 33, II).
Isso foi uma decisão, não um acaso: o armazenamento de anexos começou em um provedor sem região na América do Sul, e foi migrado justamente porque foto de vistoria carrega endereço e pessoa identificável.
6. Com quem compartilhamos
Não vendemos, não cedemos e não usamos dados pessoais para publicidade. Não há qualquer ferramenta de rastreamento ou de publicidade no aplicativo.
Os seguintes fornecedores tratam dados em nosso nome, cada um limitado ao necessário para o seu papel:
| Fornecedor | Papel | O que alcança |
|---|---|---|
| Fly.io | Hospedagem da aplicação | Tudo o que trafega pelo sistema |
| Supabase | Banco de dados e anexos | Tudo o que é armazenado |
| Vercel | Hospedagem dos sites | Tráfego de navegação e estatísticas de visita |
| Amazon SES | Envio de e-mails | E-mail e conteúdo das mensagens enviadas |
| BrasilAPI | Consulta de CEP | O CEP digitado |
| Open-Meteo | Previsão do tempo | Coordenadas do município, nunca de uma pessoa |
| OpenStreetMap | Mapas e conversão de endereço | Coordenadas e endereços consultados |
| Google (Firebase Cloud Messaging) | Entrega das notificações push | Identificador técnico do aparelho e os canais (bairros e tipos) que ele acompanha : fora do Brasil |
| Google Play / App Store | Distribuição do aplicativo | O que a própria loja coleta na instalação, sob a política dela |
| Google / Apple | Serviços do sistema do celular | Conversão de coordenada em endereço e download de fontes de texto |
Além disso, os dados podem ser compartilhados com outros órgãos públicos quando a própria Defesa Civil aciona : Guarda Municipal, secretarias : ou quando há obrigação legal, como o envio de informações de desastre ao Sistema Integrado de Informações sobre Desastres (S2iD) do Governo Federal.
6a. Com que base legal
A LGPD exige dizer não só o quê, mas em que amparo. Em ordem do mais comum:
- Execução de políticas públicas (art. 7º, III, e art. 23): é a base de quase tudo : registrar e atender ocorrências, acolher em abrigo, avisar a população. A Defesa Civil é atribuição legal do município (Lei 12.608/2012), e não depende de consentimento.
- Cumprimento de obrigação legal (art. 7º, II): o envio ao S2iD, a guarda de registros que sustentam reconhecimento de desastre e a legislação de arquivos públicos.
- Execução de políticas públicas também ampara a contagem anônima dos avisos: saber se o aviso chega à população faz parte de avisar a população. Por isso ela vem ligada, e você a desliga quando quiser.
- Legítimo interesse (art. 7º, IX): os registros de auditoria e de segurança (quem fez o quê, de que endereço IP), que existem para proteger o próprio sistema e responder por ele.
- Consentimento (art. 7º, I): só para o que é opcional e você liga : as notificações push e o e-mail nos ajustes do morador. Você retira quando quiser, no próprio aparelho.
7. Por quanto tempo guardamos
O prazo dos registros de ocorrência é definido pela prefeitura, que é a controladora, e consta do contrato. Registros de desastre costumam ter prazo longo por servirem de prova em pedidos de reconhecimento federal e por estarem sujeitos à legislação de arquivos públicos.
Os prazos que nós controlamos:
- Cópias de segurança do banco: até 30 dias, depois eliminadas
- Registros de auditoria: mantidos enquanto a instalação existir, por serem o que responde “quem alterou isto?”
- Dados guardados no seu celular: até você apagá-los ou desinstalar o aplicativo
- Pedido de acesso de servidor: não guardamos os dados; o e-mail fica na caixa dos diretores da Defesa Civil, sob responsabilidade da prefeitura
- Contagem anônima dos avisos: o registro do aparelho é apagado quando você desliga a contagem ou depois de 180 dias sem abrir o aplicativo; os números de cada aviso ficam só como totais
8. Como protegemos
- Toda a comunicação é criptografada em trânsito (HTTPS obrigatório)
- Senhas são guardadas como resumo criptográfico, nunca em texto
- O CPF é mascarado por padrão em todas as respostas do sistema
- Cada tela recebe apenas os campos de que precisa : anotação interna da equipe não chega ao morador nem a outro órgão
- Ações sensíveis ficam registradas com autor, data e endereço IP
- Anexos são acessados por link temporário que expira em uma hora
- Sessões inativas por 30 dias são encerradas automaticamente
- Há limite de tentativas de acesso, para conter ataque de força bruta
Nenhum sistema é imune. Em caso de incidente com risco relevante, comunicaremos a prefeitura, que é a controladora, e apoiaremos a comunicação aos titulares e à ANPD nos prazos da lei.
9. Seus direitos
A LGPD garante a você confirmar se tratamos seus dados, acessá-los, corrigi-los, pedir anonimização ou eliminação, saber com quem foram compartilhados e revogar consentimento.
Para exercê-los, procure a Defesa Civil do seu município : ela é a controladora e é quem pode decidir sobre os seus dados. Se preferir, escreva para nós e encaminharemos ao município responsável, mas a decisão será sempre dele.
Parte dos dados de ocorrência pode não ser eliminável a pedido, quando o município tiver obrigação legal de guarda : por exemplo, registros que sustentam um pedido de reconhecimento de situação de emergência. Nesse caso, você será informado do motivo.
10. Crianças e adolescentes
O sistema não é dirigido a crianças. Dados de menores podem aparecer no registro de pessoas acolhidas em abrigo, informados por um responsável, e são tratados no interesse do menor durante a resposta à emergência.
11. Mudanças nesta política
Alterações relevantes serão publicadas nesta página com nova data de vigência. Mudanças que ampliem o tratamento de dados serão comunicadas às prefeituras contratantes antes de entrarem em vigor.
12. Contato
Dúvidas sobre esta política, sobre o tratamento de dados ou para exercer direitos junto a nós, na condição de operadores:
Para assuntos relativos aos dados sob responsabilidade do seu município, procure diretamente a Defesa Civil da sua cidade.