Política de Privacidade — Rapadura Aprovação

1. Quem somos e o que este documento cobre

Esta política descreve como a Rapadura Atômica, estúdio de animação 2D, trata os dados pessoais dos usuários do aplicativo Rapadura Aprovação (pacote br.com.rapaduraatomica.aprovacao), disponível para Android.

O app conecta o estúdio aos clientes e à própria equipe interna (artistas, produtores e supervisores) durante a produção de um projeto de animação. Pela versão mobile, o cliente recebe assets de animação — storyboard, take animado, arte de cenário e arte de personagem — e pode aprovar, pedir correção ou rejeitar cada entrega direto do celular. A equipe do estúdio usa o mesmo app para acompanhar a fila de aprovações e os prazos de resposta.

2. Dados pessoais que coletamos e por quê

Coletamos apenas os dados necessários para operar a conta e o fluxo de aprovação:

Dado	Para que serve
Nome	Identificar o usuário na fila de aprovação, nos comentários e nas notificações.
E-mail	Login (e-mail + senha), envio de link mágico de acesso, envio de notificações por e-mail e identificação única da conta.
Telefone (quando informado, geralmente do cliente)	Envio de notificações por WhatsApp sobre novos assets para revisão, quando esse canal é escolhido para o projeto.
Senha (armazenada como hash irreversível, nunca em texto puro)	Autenticação da conta, para quem usa login por e-mail e senha.
Vínculo com projeto/estúdio (papel: cliente, artista, produtor ou supervisor)	Controlar o que cada conta pode ver e fazer dentro do app (permissões).
Token de notificação do aparelho (Expo Push Token)	Enviar notificações push (ex.: "novo take para aprovar") para o celular cadastrado. Um token por aparelho conectado à conta.
Comentários e anotações feitos sobre um asset	Registrar o feedback do cliente/equipe diretamente sobre a peça em revisão (o núcleo da função do app).
Registros de auditoria e tempo de resposta (quando um asset foi visto, aprovado, rejeitado ou teve correção pedida, e por quem)	Medir prazos de aprovação, manter histórico do projeto e permitir auditoria do fluxo — inclusive para fins de prestação de contas entre estúdio e cliente.

O que o app NÃO coleta

Dados biométricos (impressão digital, reconhecimento facial): o desbloqueio por biometria é opcional e processado inteiramente pelo sistema operacional do aparelho. O app apenas recebe um "sim" ou "não" do sistema — nenhum dado biométrico chega a ser visto, transmitido ou armazenado pelo app ou pelos servidores da Rapadura Atômica.
Localização geográfica.
Dados de pagamento (o app não processa cobranças).
Identificadores de publicidade ou dados para fins de anúncio — o app não exibe anúncios nem usa bibliotecas de rastreamento publicitário.

3. Base legal (LGPD)

Tratamos esses dados com base nas seguintes hipóteses legais previstas na Lei Geral de Proteção de Dados (Lei nº 13.709/2018):

Execução de contrato ou de procedimentos preliminares (art. 7º, V) — para clientes e equipe, o tratamento é necessário para prestar o serviço de revisão e aprovação de material de animação contratado junto ao estúdio.
Legítimo interesse (art. 7º, IX) — para manter registros de auditoria e histórico de decisões sobre os assets, com finalidade de segurança do processo e resolução de eventuais disputas sobre prazos e aprovações.
Consentimento (art. 7º, I) — para o envio de notificações push e por WhatsApp, que dependem de permissão explícita concedida no aparelho (push) ou de o telefone ter sido informado voluntariamente para esse canal (WhatsApp).

4. Com quem os dados são compartilhados

A Rapadura Atômica não vende dados pessoais e não compartilha dados com terceiros para fins de marketing ou publicidade. Os dados ficam armazenados na infraestrutura do próprio estúdio (banco de dados e servidor da Rapadura Atômica). Os únicos repasses de dados a terceiros são os estritamente necessários para o funcionamento do app e das notificações, listados abaixo:

Serviço de notificações push da Expo (Expo Push API), que repassa a notificação para o Firebase Cloud Messaging (Google) ou para o Apple Push Notification service, conforme o aparelho. Só o token de notificação e o conteúdo da mensagem (ex.: "novo take para revisar") trafegam por esse caminho — nunca senha, comentários completos ou histórico de auditoria.
Serviço de atualização do aplicativo (Expo/EAS Update), usado para entregar atualizações do app sem depender de uma nova versão na loja. Esse canal não transmite dados pessoais do usuário — apenas verifica e baixa o pacote de atualização do próprio app.
Envio de e-mail (login por link mágico, convites e avisos de novo asset/decisão): os e-mails saem por um servidor de e-mail (SMTP) administrado pelo estúdio. Endereço de e-mail e o conteúdo da mensagem (ex.: o link de acesso) trafegam por esse serviço para chegar à sua caixa de entrada.
Envio de WhatsApp (quando o projeto usa esse canal de notificação): as mensagens são enviadas por um gateway próprio, hospedado pelo estúdio, que se conecta à rede do WhatsApp para entregar o texto. Isso significa que o número de telefone e o conteúdo da mensagem passam pela infraestrutura do WhatsApp/Meta como parte da entrega, do mesmo jeito que aconteceria se a mensagem fosse enviada por um número comum de WhatsApp.

Não identificamos, no código do app e do backend, nenhum outro compartilhamento de dados com terceiros além dos quatro serviços acima — não há bibliotecas de analytics, publicidade ou rastreamento de terceiros embutidas no aplicativo.

5. Retenção dos dados

Os dados de conta, comentários, anotações e registros de auditoria são mantidos enquanto durar o vínculo do usuário com o estúdio e os projetos em andamento. Registros de auditoria e histórico de aprovação não são apagados mesmo após o encerramento de um projeto, pois servem de comprovação do processo de aprovação entre estúdio e cliente.

Quando uma conta deixa de ser usada (ex.: fim de contrato, saída de um colaborador), ela é desativada — perde acesso imediatamente, mas o histórico de assets, comentários e auditoria vinculado a ela é preservado pelo motivo acima. O token de notificação do aparelho é removido do banco assim que o usuário faz logout ou quando o Google/Apple reporta que o aparelho não está mais registrado para receber pushes.

Pedidos de eliminação de dados pessoais específicos (fora do histórico de auditoria, que tem retenção obrigatória por motivo de legítimo interesse e prestação de contas contratual) podem ser feitos pelo canal de contato abaixo e serão avaliados caso a caso, nos termos da LGPD.

6. Segurança

Senhas são armazenadas apenas como hash irreversível — nunca em texto puro.
O token de sessão do app fica guardado no Keychain (iOS) ou Keystore (Android) do aparelho, mecanismos seguros do próprio sistema operacional.
O desbloqueio por biometria, quando ativado pelo usuário, é processado localmente pelo sistema operacional do aparelho — o app nunca recebe nem armazena o dado biométrico em si.
Links de acesso mágico (login sem senha) e links de convite expiram após um prazo definido e são invalidados após o uso conforme a política de cada fluxo.

7. Direitos do titular (LGPD, art. 18)

Como titular de dados pessoais tratados por este app, você pode solicitar:

Confirmação da existência de tratamento;
Acesso aos seus dados;
Correção de dados incompletos, inexatos ou desatualizados;
Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
Portabilidade dos dados a outro fornecedor de serviço, mediante requisição expressa;
Eliminação dos dados pessoais tratados com base no seu consentimento (ressalvadas as hipóteses de retenção previstas em lei ou necessárias para o cumprimento de obrigações contratuais e de auditoria descritas na seção 5);
Informação sobre entidades públicas e privadas com as quais o estúdio compartilhou dados;
Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
Revogação do consentimento, a qualquer momento.

Para exercer qualquer um desses direitos, entre em contato pelo canal indicado abaixo.

8. Contato

Dúvidas, solicitações sobre dados pessoais ou exercício dos direitos do titular podem ser enviadas para:

rapaduraatomicaeajd@gmail.com (e-mail de contato a confirmar pelo estúdio antes da publicação — ver observação no início deste arquivo)

9. Alterações desta política

Esta política pode ser atualizada para refletir mudanças no app ou na legislação aplicável. A data de vigência no topo desta página indica a versão mais recente. Mudanças relevantes serão comunicadas dentro do app ou por e-mail, quando aplicável.