ADR-0006 — Política de Privacidade e Minimização de Dados
Status
Aprovado
Contexto
O sistema EBDbe registra dados pessoais de participantes da Escola Bíblica Dominical, incluindo:
- Nome
- Unidade organizacional
- Papel funcional
- Registro de presença
Além disso, a estratégia de presença pode envolver:
- Validação por rede da unidade
- Geolocalização opcional
- Registro de horário
É fundamental estabelecer princípios claros de privacidade e minimização de dados desde a fundação do sistema.
Decisão
O sistema adotará como princípio arquitetural:
Privacidade por padrão e minimização de dados.
1. Princípios Fundamentais
- Coletar apenas dados estritamente necessários.
- Não realizar rastreamento contínuo.
- Registrar apenas eventos de presença.
- Garantir consentimento explícito para recursos de localização.
- Centralizar validação no backend.
2. Dados Coletados
O sistema coletará apenas:
- Identificação básica do usuário
- Papel funcional
- Unidade organizacional
- Registro de presença (Attendance) vinculado a uma Lesson
- Método de registro (QR, WIFI, GEO)
- Dados opcionais autorizados para perfil (ex.: foto/avatar, celular), com consentimento explícito
Não serão coletados:
- Histórico contínuo de localização
- Lista de redes disponíveis no dispositivo
- Informações de dispositivo além do necessário
- Dados biométricos
3. Geolocalização
Regras para uso de geolocalização:
- Uso opcional
- Consentimento explícito do usuário
- Verificação pontual
- Nenhum armazenamento de coordenadas após validação
- Apenas registro do evento de presença
O sistema não armazenará trilhas de deslocamento.
4. Validação por Rede
A validação por rede da unidade:
- Utilizará apenas verificação de faixa de IP
- Não acessará informações internas do dispositivo
- Exigirá confirmação do usuário
- Não realizará varredura de redes disponíveis
5. Armazenamento de Presença
Cada registro de presença (Attendance, conforme ADR-0005) conterá:
- ministry_id
- unit_id
- lesson_id
- user_id
- timestamp
- method (QR | WIFI | GEO)
- validated_by_backend
Não conterá:
- Coordenadas geográficas
- Endereço IP completo (salvo quando estritamente necessário para auditoria)
6. Retenção de Dados
A retenção de dados seguirá os seguintes princípios:
- Dados organizacionais permanecem enquanto usuário estiver ativo.
- Presenças permanecem para fins históricos e relatórios.
- Solicitações de exclusão devem seguir fluxo formal de ciclo de vida da conta (ADR-0013).
- Exclusão concluída deve resultar em deleção ou anonimização conforme exigência legal e política vigente.
7. Segurança
- Validação de acesso via RBAC com escopo organizacional.
- Regras de segurança no Firestore.
- Logs de auditoria para ações sensíveis.
- Backend como autoridade final de validação.
8. Transparência
O sistema deverá disponibilizar:
- Termo de uso
- Política de privacidade
- Informação clara sobre uso de localização
Consequências
- Nenhuma funcionalidade poderá exigir rastreamento contínuo.
- Qualquer ampliação de coleta de dados exigirá novo ADR.
- O design da presença deve respeitar minimização.
- A confiança institucional é prioridade estrutural.