Política de Privacidade

O controlador dos dados pessoais tratados neste site — a página do Curso de Punção Venosa, o formulário de inscrição, o pagamento, a triagem e a ficha do aluno — é a Cruz Vermelha Brasileira — Filial do Estado do Rio de Janeiro, CNPJ 08.560.973/0001-97, com sede na Praça da Cruz Vermelha, 10 — Centro, Rio de Janeiro/RJ, CEP 20230-130, responsável pela Escola de Educação e Saúde. O tratamento segue a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados — LGPD).

A filial é agente de tratamento de pequeno porte, nos termos da Resolução CD/ANPD nº 2/2022, e, como essa resolução permite, não indicou um encarregado pelo tratamento de dados pessoais. Em seu lugar, mantém um canal de comunicação com os titulares: o e-mail contato@cruzvermelhariodejaneiro.org. É por ele que você exerce os seus direitos (seção 9), tira dúvidas e envia reclamações sobre o tratamento dos seus dados. O WhatsApp da secretaria de cursos ((21) 99992-2864) também recebe esses pedidos.

Inscrição. Nome completo, WhatsApp, e-mail, CPF e a declaração de que você concluiu o Ensino Médio (pré-requisito do curso). Servem para registrar a sua inscrição, reservar a vaga, gerar o número de inscrição e a credencial com QR Code conferida no dia da aula, emitir a cobrança e falar com você sobre a turma. Base legal: execução de contrato e de procedimentos preliminares a ele, a seu pedido (art. 7º, V, da LGPD).

Pagamento. Valor, meio de pagamento (PIX ou cartão), parcelas, situação da cobrança e o código PIX gerado. Do cartão, guardamos só a bandeira e os 4 últimos dígitos: o número completo, a validade e o código de segurança passam pelo nosso servidor apenas durante o pagamento, a caminho da processadora, e não são gravados em banco, registro ou arquivo. Base legal: execução de contrato (art. 7º, V) e, na guarda dos registros de pagamento exigidos pela legislação fiscal e contábil, cumprimento de obrigação legal (art. 7º, II).

Triagem. Depois da matrícula paga, oito perguntas para montar a turma: CEP (com bairro, cidade e UF), se você atua na área da saúde (técnico de enfermagem, enfermeiro, estudante ou outra área), turno e dias disponíveis, quando pretende fazer o curso, um e-mail opcional para segunda via e ajuda com o certificado, como conheceu o curso e a confirmação das condições do dia (8 horas presenciais, 1 kg de alimento não perecível e documento com foto). Pelo bairro e pela cidade informados, o nosso servidor calcula uma coordenada aproximada — o centro da região, não o seu endereço —, usada no mapa de origem das inscrições da secretaria. Base legal: execução de contrato (art. 7º, V).

Nenhum dado sensível. A triagem não coleta dado pessoal sensível (art. 5º, II, e art. 11 da LGPD): não perguntamos sobre saúde, origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização religiosa, filosófica ou política, vida sexual, nem dado genético ou biométrico. A pergunta sobre a área da saúde trata da sua ocupação profissional, não do seu estado de saúde.

Comunicações da inscrição. E-mails transacionais com o código PIX da cobrança aberta, a confirmação da matrícula, a confirmação do pagamento do curso e o aviso de triagem recebida — com o seu primeiro nome, o número de inscrição, o valor e, quando for o caso, o código PIX. Base legal: execução de contrato (art. 7º, V).

Origem da inscrição. Os parâmetros de campanha do link pelo qual você chegou (utm_source, utm_medium e utm_campaign, gravados com a inscrição; utm_content e utm_term, enviados com a cobrança), para saber qual divulgação trouxe cada inscrição e somar a receita por campanha. Não usa cookie e não depende do Meta. Base legal: legítimo interesse da instituição em avaliar a própria divulgação (art. 7º, IX). À parte, cada visita à página do curso é contada só com a data, a hora e esses parâmetros, sem nada que identifique quem visitou.

Medição de marketing — só com o seu consentimento. Se você permitir marketing no aviso de cookies: (a) o Pixel da Meta registra, no seu navegador, as etapas do funil (visita, clique em matrícula, dados preenchidos, cobrança aberta, pagamento, início e fim da triagem, abertura da ficha) e sinais de engajamento na página do curso (quanto da página foi rolado e 30 segundos de permanência); (b) o nosso servidor envia ao Meta uma cópia das etapas de dados preenchidos, cobrança aberta, pagamento e triagem concluída (API de Conversões), com e-mail, telefone, CPF, nome e país — e, depois da triagem, cidade, UF e CEP — transformados em código (hash SHA-256), além do endereço IP, do navegador e dos cookies do Pixel quando o evento parte do seu navegador; (c) se você preencher os dados e não pagar em até 2 horas, e-mail e telefone, também em hash, podem entrar num público personalizado do Meta, para mostrar a você anúncios do curso, e saem dele quando o pagamento é confirmado ou quando você retira a permissão. O hash não é anonimização: é o que permite ao Meta reconhecer você entre os usuários dele. Base legal: consentimento (art. 7º, I), que você pode retirar a qualquer momento em “Preferências de cookies”. Sem ele, nada disso acontece.

Estatística — só com o seu consentimento. Se você permitir estatística, o Vercel Web Analytics conta as visitas e as páginas lidas neste site, sem gravar cookie e sem identificar você pelo nome. Base legal: consentimento (art. 7º, I).

Segurança e prevenção a fraude. Registramos cada leitura da credencial do aluno (data e hora), para a conferência presencial e para denunciar uma captura de tela antiga no lugar da credencial; conferimos todo aviso de pagamento diretamente na processadora antes de confirmar a vaga; a consulta de CPF no formulário devolve só o primeiro nome e o final do telefone; e pedidos de reembolso com indício de uso indevido do meio de pagamento podem ser analisados antes da devolução. Base legal: legítimo interesse na segurança da inscrição, sua e da instituição (art. 7º, IX).

Nenhum dado é vendido. Compartilhamos só o necessário para cada finalidade acima:

• ÚnicoPag, processadora de pagamento: nome, e-mail, telefone, CPF, o que está sendo pago e o valor, os dados do cartão (só no momento do pagamento com cartão), os parâmetros de campanha e o número interno da inscrição;
• Supabase, que hospeda o banco de dados da inscrição, no Brasil, com acesso restrito ao nosso servidor;
• Vercel, que hospeda o site e executa o nosso servidor em São Paulo;
• Resend, que entrega os e-mails transacionais da inscrição;
• Meta (Facebook e Instagram), só com o seu consentimento de marketing, como descrito na seção 3;
• Google (Planilhas e Apps Script), quando a secretaria usa a planilha de acompanhamento: nome, CPF, WhatsApp, e-mail, ensino médio, situação da inscrição e do pagamento, meio de pagamento, valor e quantas perguntas da triagem foram respondidas;
• os sistemas da secretaria da Escola: quando a integração está ligada, recebem esses mesmos dados a cada etapa (inscrição recebida, pagamento iniciado, confirmado ou recusado, triagem concluída); e o sistema administrativo da Escola lê as transações na ÚnicoPag para somar a receita por campanha;
• serviços públicos de CEP e mapas (BrasilAPI, ViaCEP e OpenStreetMap Nominatim), consultados pelo nosso servidor apenas com o CEP, a rua, o bairro, a cidade e a UF procurados — nunca com o seu nome, CPF ou endereço de IP;
• autoridades públicas, quando exigido por lei ou ordem judicial.

Alguns desses fornecedores tratam ou podem tratar dados fora do Brasil: a Vercel (a rede que recebe as requisições ao site e a medição de audiência), a Resend, o Meta, o Google e o OpenStreetMap — este, sem nenhum dado que identifique você. Essas transferências só são feitas nas hipóteses do art. 33 da LGPD: quando necessárias à execução do contrato com você (art. 33, IX), como a hospedagem do site e os e-mails da inscrição, e com as garantias contratuais de proteção de dados oferecidas por esses fornecedores (art. 33, II). As que envolvem o Meta só acontecem com o seu consentimento de marketing.

O site guarda no seu navegador a sua escolha sobre cookies, a sessão e o rascunho da inscrição e, com a sua permissão, os cookies do Pixel da Meta. A lista completa, com nomes, finalidades e prazos, está na Política de Cookies, onde você também muda a sua escolha.

O banco de dados só aceita consultas do nosso servidor — nenhuma consulta direta do navegador chega às tabelas —, toda a comunicação é feita por HTTPS, a sessão da inscrição fica num cookie que o JavaScript da página não consegue ler, e o número do cartão nunca é gravado, registrado ou devolvido em resposta nenhuma.

Os dados da inscrição ficam guardados enquanto durar a relação com você — da inscrição à conclusão do curso — e, depois disso, pelo prazo necessário ao cumprimento de obrigações legais, fiscais e contábeis, ou ao exercício regular de direitos em processo (art. 16 da LGPD). Fora dessas hipóteses, você pode pedir a eliminação (seção 9). O que depende do seu consentimento para de ser feito quando você o retira. Os prazos dos cookies e do que fica no seu navegador estão na Política de Cookies.

A qualquer momento, você pode pedir (art. 18 da LGPD):

• confirmação de que tratamos seus dados, e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
• portabilidade dos dados a outro fornecedor de serviço, mediante requisição expressa;
• eliminação dos dados tratados com o seu consentimento;
• informação sobre com quem compartilhamos seus dados;
• informação sobre a possibilidade de não consentir e sobre as consequências da recusa — recusar estatística ou marketing não muda nada na sua inscrição;
• revogação do consentimento, a qualquer momento, em “Preferências de cookies” ou pelo canal abaixo;
• oposição a tratamento feito com base em outra hipótese legal, se ele descumprir a LGPD.

Para exercer qualquer um deles, escreva para contato@cruzvermelhariodejaneiro.org, com o nome completo e o CPF usados na inscrição, para confirmarmos que o pedido é seu. Respondemos nos prazos do art. 19 da LGPD, observado o regime dos agentes de pequeno porte (Resolução CD/ANPD nº 2/2022).

Se você entender que o seu pedido não foi atendido, pode peticionar à Autoridade Nacional de Proteção de Dados — ANPD (art. 18, § 1º, da LGPD), pelos canais indicados em www.gov.br/anpd.

Esta política pode ser atualizada para refletir mudanças no formulário de inscrição, nos fornecedores ou na legislação. A data no topo desta página indica a versão vigente.