Política de Privacidade
Versão 1.0-draft · atualizado em 8 de setembro de 2026
Versão preliminar (draft). Este documento aguarda aprovação da procuradoria do município e pode ser alterado antes da publicação definitiva.
1. Quem somos
O Rastro é uma plataforma de denúncias ambientais de resíduos operada em parceria com prefeituras municipais. Para os dados tratados na plataforma:
- Controladora: a Prefeitura do município onde a denúncia foi registrada (decide as finalidades do tratamento no exercício de política pública de limpeza urbana e meio ambiente).
- Operadora: Rastro ([razão social — preencher]), que trata os dados em nome das prefeituras conforme esta política e os contratos firmados.
- Encarregada(o) (DPO): [nome e contato — preencher antes da publicação]. É a pessoa a quem você pode se dirigir sobre qualquer assunto de dados pessoais nesta plataforma, e esta política não pode ser publicada enquanto este campo estiver em branco.
2. Que dados coletamos
| Dado | Quando | Obrigatório? |
|---|---|---|
| Foto do local | Ao registrar a denúncia | Sim |
| Localização (GPS ou informada) | Ao registrar a denúncia | Sim |
| Observação em texto livre | Ao registrar a denúncia | Não |
| E-mail e nome | Somente se você criar conta | Não — denúncias anônimas são aceitas |
| Identificador técnico do aparelho | Se o aplicativo enviar | Não |
| Registros de acesso (IP, data/hora) | Em toda requisição | Sim (obrigação legal, Marco Civil) |
Não pedimos e-mail para denunciar. No caminho anônimo, a plataforma emite um código de recuperação de uso único — ele é a sua chave para acessar suas denúncias e exercer seus direitos; guardamos apenas uma versão embaralhada (hash) dele e não temos como reexibi-lo.
3. Para que usamos
- Encaminhar a denúncia à equipe da prefeitura responsável (triagem, validação e roteamento das equipes de limpeza).
- Triagem automática preliminar por inteligência artificial: a foto é analisada para estimar se há resíduo no local e de que tipo.
- Conversão das coordenadas em endereço aproximado, para facilitar a localização pelas equipes.
- Segurança da plataforma (anti-fraude, anti-abuso, auditoria de acesso a fotos).
- Correção de falhas: quando o aplicativo ou o site quebra, o erro técnico é enviado ao serviço de registro de erros descrito no item 5.
O que a triagem automática pode e o que não pode fazer com a sua denúncia. Quando a análise da foto indica que há resíduo, ela pode adiantar a validação da sua denúncia: a denúncia avança sozinha para a etapa seguinte e chega mais rápido à equipe responsável — depois disso um operador da prefeitura continua atuando sobre ela normalmente. Quando a análise não identifica resíduo, isso não descarta e não encerra a sua denúncia: ela permanece em análise e vai para a fila de avaliação humana, e o resultado da análise fica apenas como informação de apoio na tela do operador.
O descarte de uma denúncia é sempre ato de um operador identificado da prefeitura, registrado no histórico da denúncia com a identificação de quem decidiu. Nenhuma denúncia é encerrada por decisão automática. Se quiser entender como a sua denúncia foi analisada e por que ela foi encerrada, você pode pedir esclarecimento à(o) Encarregada(o) pelo canal do item 1 ([nome e contato — preencher antes da publicação]).
Bases legais (LGPD): execução de políticas públicas (art. 7º, III e art. 23) para o núcleo da denúncia; consentimento (art. 7º, I) para itens opcionais registrados no aplicativo; cumprimento de obrigação legal (art. 7º, II) para os registros de acesso.
4. Fotos e terceiros
Oriente a câmera ao resíduo. A plataforma remove automaticamente os metadados da imagem (incluindo GPS embutido) ao processá-la e sinaliza fotos com pessoas para tratamento restrito: fotos nunca são públicas, são acessadas apenas por operadores autorizados da prefeitura responsável, por meio de links temporários, com cada visualização registrada em log de auditoria.
5. Com quem compartilhamos (suboperadores)
Para operar a plataforma usamos serviços de infraestrutura que podem processar dados fora do Brasil (transferência internacional, art. 33 da LGPD):
| Serviço | Função | Dados envolvidos |
|---|---|---|
| Railway (EUA) | Hospedagem da API e processamento | Todos os dados em trânsito |
| Neon (EUA) | Banco de dados | Todos os dados armazenados |
| Cloudflare R2 | Armazenamento das fotos | Fotos |
| Cloudflare Turnstile | Verificação anti-robô no site | Sinais técnicos do navegador |
| OpenCage | Conversão de coordenadas em endereço | Latitude/longitude (sem retenção pelo fornecedor) |
| Google (Gemini) | Triagem automática da foto | Foto (sem metadados) |
| Resend | Envio de e-mails transacionais | E-mail (apenas contas com e-mail) |
| Sentry (EUA) | Registro de erros do aplicativo e do site, para que falhas sejam corrigidas | Mensagem e pilha técnica do erro, tela em que ocorreu, versão e ambiente do programa. O conteúdo da denúncia não é enviado, e o que sai passa por mascaramento automático de dado pessoal antes do envio; o endereço IP da conexão é visto pelo fornecedor, como em qualquer requisição |
| Google (Maps e Play Services) | Desenho do mapa no aplicativo Android e conversão da coordenada em endereço feita pelo próprio aparelho | Região exibida no mapa, sua posição quando o mapa mostra onde você está, e a coordenada consultada |
| Apple (Mapas) | Desenho do mapa no aplicativo iPhone e conversão da coordenada em endereço feita pelo próprio aparelho | Região exibida no mapa, sua posição quando o mapa mostra onde você está, e a coordenada consultada |
| Esri/ArcGIS | Imagens de satélite do mapa do painel da prefeitura | Região do mapa aberta pelo operador — sem a denúncia e sem qualquer identificador seu |
| CARTO | Camadas de ruas e rótulos do mapa do painel da prefeitura | Região do mapa aberta pelo operador — sem a denúncia e sem qualquer identificador seu |
Os cinco últimos da tabela são acionados a partir do aparelho ou do navegador, e não do nosso servidor: o mapa e a conversão de coordenada em endereço feita pelo próprio aparelho falam diretamente com Google ou Apple, conforme o sistema do seu celular; o mapa do painel da prefeitura busca as imagens em Esri e CARTO. Nesses casos o provedor vê a região consultada e o endereço IP de quem consultou, e não recebe a denúncia, a foto nem qualquer identificador seu.
Não vendemos dados nem os usamos para publicidade.
6. Por quanto tempo guardamos
- Denúncia encerrada (roteada para a equipe de limpeza, resolvida ou descartada por um operador): 180 dias depois de encerrada, a plataforma anonimiza automaticamente a denúncia. Nesse momento são eliminados a foto, o texto da observação, o vínculo com você (sua conta e o identificador do aparelho) e a descrição que a análise automática escreveu sobre a foto. Continua guardado, sem qualquer ligação com você, o registro da ocorrência: categoria, situação final, local, endereço, bairro, município, datas e a indicação técnica de que havia resíduo no local — é esse histórico que a prefeitura usa para planejar a coleta e prestar contas do serviço.
- Denúncia ainda em andamento: enquanto a denúncia não é encerrada, a foto é mantida, por mais antiga que ela seja — é a foto que permite analisar e resolver o caso. O prazo de 180 dias só começa a contar a partir do encerramento.
- Denúncias (foto, local, status) antes desse encerramento: pelo prazo de gestão do serviço público municipal, definido pela prefeitura controladora.
- Denúncias enviadas de um local fora de qualquer município atendido: eliminadas automaticamente 180 dias após o envio, com a foto, o texto e o histórico. Enquanto não houver prefeitura responsável por aquela área, ninguém pode analisá-las; os 180 dias existem para o caso de o município passar a ser atendido nesse período, e não para guardar seus dados além disso.
- Sessões e códigos técnicos expirados: eliminados automaticamente em rotina de retenção (após 30 dias do vencimento).
- Registros de auditoria de acesso e histórico das denúncias: 5 anos, aplicados automaticamente pela rotina de retenção. É um prazo maior que o dos seus dados de propósito: é o que permite provar quem acessou o quê, se você ou a prefeitura precisarem apurar algo depois. Prazo menor, se a prefeitura controladora definir: [confirmar com a controladora].
7. Seus direitos
Diretamente na plataforma, autenticado (por conta ou pelo código de recuperação):
- Acesso e portabilidade: exportação completa dos seus dados (/v1/lgpd/export).
- Eliminação/anonimização: apagamos seus dados identificadores e rompemos o vínculo entre você e as denúncias, que permanecem apenas como registro operacional da prefeitura (/v1/lgpd/erase).
- Revogação de consentimentos registrados.
Demais pedidos: contato com a(o) Encarregada(o) pelo canal do item 1 ([nome e contato — preencher antes da publicação]). Respondemos em até 15 dias corridos contados do recebimento do pedido, e confirmamos o recebimento em até 2 dias úteis. Se o pedido for negado, total ou parcialmente, dizemos por quê. Você também pode peticionar à ANPD.
8. Segurança
Criptografia em trânsito (TLS), senhas com hash forte (argon2id), autenticação de dois fatores para operadores, isolamento por município aplicado no próprio banco de dados (row-level security), links de foto temporários e auditados, backups cifrados e testes automatizados de isolamento executados a cada alteração do sistema.
9. Alterações
Alterações relevantes desta política serão comunicadas na plataforma com antecedência mínima de [X dias — definir].