Política de Privacidade do Cordis

Em resumo

O Cordis é um app de relacionamento para cristãos. Para funcionar, ele precisa saber quem você é, o que você procura e onde você está — e nada além disso.

As sete coisas que mais importam:

1. Sua localização exata nunca sai do nosso servidor. Quem vê seu perfil recebe uma distância em quilômetros, não as suas coordenadas.
2. Sua data de nascimento nunca sai. As outras pessoas veem sua idade.
3. Seu e-mail nunca aparece para outro usuário.
4. Falar sobre sua fé é opcional e depende de uma permissão sua, separada de todo o resto. Você pode tirar quando quiser, e a gente apaga.
5. Quando você exclui a conta, ela é excluída de verdade — inclusive os arquivos das suas fotos e o seu acesso ao login. Não é um "desativar" disfarçado.
6. Usamos inteligência artificial para checar fotos e textos antes de publicar, e dizemos abaixo qual é e onde ela roda.
7. A gente responde qualquer pedido seu sobre seus dados em até 15 dias.

O texto completo está abaixo. Ele é longo porque a lei pede detalhe, mas está escrito para ser entendido sem advogado.

1. Sobre o que é este documento

Esta política explica quais dados o Cordis coleta, por que coleta, com quem compartilha, por quanto tempo guarda e o que você pode exigir da gente. Ela vale para o aplicativo Cordis no iPhone e no Android e para as páginas do Cordis na internet.

Ela é escrita segundo a Lei Geral de Proteção de Dados (Lei 13.709/2018, a "LGPD") e o Marco Civil da Internet (Lei 12.965/2014).

Usar o Cordis significa que você leu esta política. Algumas coisas — o tratamento de dados sobre a sua fé, por exemplo — dependem de uma permissão específica sua, que você dá ou não dá dentro do app, e que é diferente de simplesmente usar o serviço.

2. Quem é responsável pelos seus dados

Controlador — quem decide o que é feito com os seus dados:

Encarregado pelo tratamento de dados pessoais (DPO) — quem fala com você e com a Autoridade Nacional de Proteção de Dados (ANPD) sobre privacidade:

É a mesma equipe que responde pelo Cordis, e a gente prefere dizer isso do que inventar um departamento que não existe. Se você escrever para esse e-mail sobre qualquer assunto de privacidade — acesso, correção, exclusão, uma permissão que você quer tirar, ou uma reclamação —, quem lê é a equipe do Cordis, e a resposta vem em até 15 dias.

3. O que a gente coleta

Para você ter uma conta

• E-mail.
• Senha (guardada de forma cifrada, nunca em texto legível) ou, se você entrar pela Apple ou pelo Google, apenas a confirmação de que aquele login é seu — a gente nunca recebe a sua senha da Apple nem do Google.
• Confirmação de que você tem 18 anos ou mais.
• Seu aceite dos Termos de Uso — o registro de que você marcou a caixa, com a versão dos Termos, a impressão digital do texto e a data. Como funciona está na §12.

Para montar seu perfil

• Nome, data de nascimento e fotos.
• Sobre você: o texto do "sobre mim", se tem filhos, se quer ter filhos, se fuma, se bebe, se aceita mudar de cidade, se pretende morar fora, hobbies, esportes, filmes e música.
• Se você quiser contar: em quanto tempo pretende casar (alguns meses, um ano, dois anos ou mais) e sua altura. Os dois são opcionais, aparecem no seu perfil como qualquer outra informação e, se alguém usar como filtro, mudam a ordem do feed — nunca escondem você.
• Se você quiser aprofundar: como imagina o tempo a dois, a divisão entre trabalho e cuidados da casa, as despesas do casal e, em texto livre, o que espera de uma parceria. Tudo é opcional. O texto livre passa pela mesma checagem dos demais textos do perfil.
• Seu posicionamento político (direita, centro ou esquerda), somente com uma permissão específica para mostrá-lo no perfil. Uma segunda permissão, independente, é necessária para usar posições políticas como filtro. O filtro muda a ordem, nunca esconde ninguém. Nada disso aparece no link público de Indicação, e sua posição política não é usada em publicidade, em estatísticas de uso nem na moderação.
• Resultado dos testes de temperamento e de linguagem do amor, se você fizer — no seu perfil ou dentro da Jornada, o resultado é o mesmo e fica no mesmo lugar. Só o resultado, não as respostas uma a uma.
• O que você procura: distância, faixa de idade e os filtros que você escolher.

Sua localização

A gente pega a sua localização para calcular a distância entre você e outras pessoas. A distância é o único critério que decide quem aparece para você — os filtros mudam a ordem, mas ninguém some.

Se você está com alguém e usa o A Dois, não existe feed de pessoas perto de você. Por isso, no A Dois, a localização e as fotos são opcionais: você só precisa delas se um dia voltar a conhecer pessoas.

Sobre sua fé — só se você permitir

Tradição (católico ou evangélico), denominação, igreja e ministério. Isso é opcional e depende de uma permissão sua, separada. Está explicado na §5.

Do uso do app

• Curtidas, "passar", matches e mensagens trocadas com quem deu match.
• Bloqueios e denúncias que você fizer, e denúncias feitas contra você.
• Contadores de uso (quantas mensagens e uploads você fez no dia, e quantos códigos de convite do A Dois você tentou), que existem só para impedir abuso e disparo automático.
• Registros de acesso ao app: endereço IP, data e hora. Guardar isso é obrigação legal, não escolha nossa (Marco Civil, art. 15).
• Até quando você abriu cada conversa — a data e a hora da última vez em que você abriu, e a última vez em que a gente te avisou de mensagem nova nela. É o que faz a conversa aparecer como "nova" para você. A outra pessoa nunca vê isso: não existe confirmação de leitura no Cordis.
• O endereço de notificação do seu aparelho (o "token de push"), só se você disser sim quando o app perguntar se quer ser avisado de mensagem nova ou de match. É um código que identifica o seu celular para o serviço de notificação — não tem seu nome nem seu e-mail dentro. Sem o seu sim, ele não existe. Como o aviso funciona, o que vai nele e por onde passa está na §9.
• Dados técnicos usados na proteção anti-robô, somente durante a validação de cadastro, login, recuperação de senha ou reenvio de código. O token é efêmero, de uso único, e não é guardado pelo Cordis.
• Seu progresso na Jornada: quais etapas você marcou como concluídas e a data em que marcou cada uma. É o que deixa você ver o caminho que já fez e continuar de onde parou. Se você desmarcar uma etapa, o registro dela é apagado. Ninguém mais vê quais etapas você concluiu: nem outras pessoas do Cordis, nem quem der match com você, nem a pessoa com quem você estiver no A Dois. A única exceção é o selo de caminhada, se você ligar: ele mostra só quantas trilhas você concluiu (§5). Isso vale também para Desafios e Crises, as trilhas que aparecem só para quem marcou "casado(a)": o progresso nelas é guardado como o de qualquer etapa, só você vê, e elas não entram no selo de caminhada. Ler uma dessas trilhas registra só que você leu uma etapa. A gente não usa isso para tirar conclusão nenhuma sobre o seu casamento, não mostra para ninguém e não usa em números por pessoa.
• Seu progresso pessoal no devocional: em que semana você está, a data em que cada semana abriu e em que você a concluiu, e quantas semanas já concluiu. Quem marcou "solteiro(a)" lê o devocional de solteiro, na parte do gênero do perfil. Quem está no A Dois "se conhecendo" lê sozinho(a) o devocional "Se conhecendo", também na parte do gênero do perfil. Quem marcou namorando, noivo(a) ou casado(a) e ainda não está no A Dois com a outra pessoa lê sozinho(a) o devocional do seu momento, sem o Desafio do amor. Cada um desses tem o seu progresso. Ninguém mais vê esse progresso, nem a pessoa com quem você estiver no A Dois. A única exceção é o selo de caminhada, se você ligar: ele mostra só se você concluiu ao menos uma semana nos últimos 30 dias (§5). Se você formar um casal, ele fica guardado para você continuar de onde parou se voltar a ficar sem par no app.
• Se você ligou o selo de caminhada e quando ligou ou desligou. É só isso que fica guardado: os números do selo são calculados na hora em que alguém vê seu perfil, a partir do progresso que já existe, e não viram um registro novo.
• Links de indicação que você gera, se usar o recurso de Indicação para apresentar outro usuário a alguém de fora do app: o status de cada link (ativo, expirado, aberto ou cancelado) e as datas de criação e expiração. O perfil da pessoa indicada não entra na lista que você vê — você vê apenas o nome, a cidade e a denominação dela, que ela já escolheu exibir. Você pode desativar o recurso de indicações do seu próprio perfil em Perfil > Privacidade > "Permitir que indiquem meu perfil".

Seu momento e o A Dois

O A Dois é o espaço do casal: quem está com alguém usa o Cordis sem o feed e faz a Jornada junto com essa pessoa. Para ele funcionar, a gente guarda:

• Seu momento: solteiro(a), se conhecendo, namorando, noivo(a) ou casado(a). Você escolhe no cadastro e pode mudar no Perfil. Ele decide como o app funciona para você. É um jeito de usar o Cordis, não um registro de estado civil: a gente não pede nem confere documento. Ninguém mais vê o seu momento, nem a pessoa com quem você está no A Dois, com uma exceção: quando vocês dois entram no A Dois como solteiros (por um match no Cordis ou por um convite entre vocês), os dois começam como "se conhecendo", e passar para "namorando" é uma decisão dos dois. Essa etapa do casal os dois conhecem, porque decidiram juntos. O "se conhecendo" não se escolhe no cadastro nem no Perfil.
• O vínculo do casal: com quem você está no A Dois, se vocês entraram por um convite do app ou por link, e as datas em que o A Dois começou e terminou. Não guardamos quem saiu nem por quê.
• Os convites: quem convidou quem, se o convite foi aceito, recusado, cancelado ou venceu, e as datas. O código do convite por link não fica guardado em claro no nosso banco: guardamos só uma impressão digital dele, que serve para conferir quando alguém o digita. Para mostrar o código de novo, o app o guarda no seu próprio aparelho.
• A proposta de namoro: no A Dois em que vocês estão "se conhecendo", qualquer um dos dois pode propor que vocês passem a namorar. A gente guarda quem propôs e quando, só até a outra pessoa aceitar ou recusar, quem propôs desistir, passarem 30 dias sem resposta ou o A Dois terminar; aí a proposta é apagada. Só a outra pessoa vê a proposta. Se ela aceitar, o momento dos dois passa a ser "namorando", a proposta é apagada (não fica guardado quem propôs) e o devocional de vocês passa a ser lido a dois, com o Desafio do amor. Se ela recusar, quem propôs vê só que não há proposta entre vocês, sem motivo, e pode propor de novo depois de 24 horas: é só para isso que a data da recusa fica guardada, por essas 24 horas. Quem retira a própria proposta espera 24 horas para propor de novo, e essa data fica guardada só por essas 24 horas.
• Os avisos do A Dois que aparecem dentro do app (convite recebido, aceito, não aceito, vencido, A Dois encerrado) e se você já viu cada um. A proposta de namoro não vira aviso guardado: ela aparece só na Jornada a Dois, enquanto está aberta.
• As etapas que vocês marcaram como conversadas a dois, e a data. Esse registro é do casal: não diz qual dos dois marcou, não muda a Jornada de ninguém e é apagado quando o A Dois termina.
• O devocional do casal: qual trilha vocês leem (namoro e noivado, ou casados), em que semana vocês estão (se vocês saírem e voltarem ao A Dois juntos, a semana em que pararam recomeça do início), a data em que cada semana abriu, quem de vocês já concluiu cada semana e quando, quantas semanas vocês fizeram juntos, quantos palpites acertaram e os selos que ganharam. Se vocês mudarem de trilha, começam a nova na semana 1, e o que já fizeram na anterior continua guardado pelo mesmo prazo.
• O Desafio do amor, só para quem está no A Dois namorando, noivo(a) ou casado(a): o desafio que o app sorteou para cada um na semana, se você tocou em "Já fiz", o palpite de cada um no fechamento, se acertou, e o "obrigado" que você escrever para a outra pessoa, se escrever. O desafio é escolhido a partir da linguagem do amor da outra pessoa — o resultado do teste que ela já mostra no perfil para você; se ela não tiver informado, o app sorteia uma linguagem. O "obrigado" falado é dito pessoalmente: o app não grava áudio.
• O motivo da saída, se você quiser responder. A resposta vira só uma contagem por mês ("neste mês, tantas pessoas escolheram esta opção"), sem o seu nome e sem nenhuma ligação com a sua conta ou com o casal. Contagens pequenas não são mostradas separadamente: abaixo de cinco respostas, o Cordis mostra apenas "menos de 5".

Enquanto você está no A Dois, suas curtidas e suas outras conversas ficam guardadas e escondidas, não apagadas. Elas voltam se você voltar a conhecer pessoas. Quem já conversava com você continua vendo o histórico da conversa, com o seu nome e o aviso "Não está mais disponível" — sem as suas fotos, sem poder mandar mensagem e sem saber o motivo.

O que a gente NÃO coleta

• Não pedimos documento, CPF, RG nem selfie de verificação.
• Não lemos sua agenda de contatos, seu álbum de fotos inteiro nem seu calendário.
• Não usamos rastreadores de publicidade e não vendemos, alugamos nem cedemos seus dados para anunciante nenhum.
• Não guardamos número de cartão nem dados do Pix: eles vão direto para a Stone (§6).
• Não guardamos as respostas individuais dos testes — só o resultado.
• Não guardamos o que você pensa nas reflexões da Jornada. As perguntas não têm campo para escrever, e nada do que você pensou sai do seu aparelho. Também não medimos quanto tempo você leu, até onde rolou a tela ou em que tocou.
• O app guarda no seu próprio aparelho um lembrete de que você já viu a mensagem de boas-vindas da Jornada, para não mostrar de novo. Esse lembrete não tem dado seu e não é enviado para nós.
• Não guardamos o que vocês conversam sobre as etapas a dois: não há campo para escrever.
• No devocional (de solteiro ou do casal), não guardamos o que você pensa, o que vocês conversam nem o que vocês oram: as perguntas e as orações não têm campo para escrever. O único texto que você escreve ali é o "obrigado" do Desafio do amor, se quiser.
• Se, ao sair do A Dois, você marcar "Não me sinto seguro(a)", essa resposta não sai do seu aparelho: ela só abre os canais de ajuda. Tocar num canal de ajuda também não gera nenhum registro.
• Em Desafios e Crises, a resposta a "Como está o seu casamento hoje?" fica só no seu aparelho e não é enviada para nós. Ela serve para sugerir por onde começar e é perguntada de novo a cada 30 dias. A pergunta sobre a sua segurança também não sai do aparelho: se a resposta for "sim", ela só abre os canais de ajuda e não é guardada; se for "não", o aparelho guarda só a data, para não perguntar a cada visita. Quando você sai da conta ou exclui a conta, o app apaga essa resposta do aparelho.

4. Por que a gente pode tratar cada dado

A lei não permite usar um único "você aceita?" para tudo. Cada finalidade tem a sua própria justificativa, e elas são diferentes de propósito.

Duas coisas que essa tabela quer deixar claras:

Primeiro: o funcionamento do app não depende de você "consentir". Depende de um contrato entre você e o Cordis. Isso é melhor para você, não pior — significa que a gente não pode desligar o seu app por você ter tirado uma permissão.

Segundo: os consentimentos sensíveis do Cordis são os da sua fé e, se você usar essas opções, os de política. Todos são opcionais: tirar não te expulsa do app. Perfil político e filtro político são permissões separadas.

Sobre o legítimo interesse na moderação: a gente registrou por escrito por que ele se sustenta — o que se ganha (segurança de quem usa), o que se perde (retenção de uma denúncia por um tempo) e por que o primeiro pesa mais. Esse documento está em COR-parecer-retencao-denuncias-2026-09-02.md e fica à disposição da ANPD e do titular que pedir.

5. Sua fé é um dado especial — e é opcional

Religião é, na lei brasileira, dado pessoal sensível. Isso quer dizer que ela tem uma proteção mais forte que os outros dados e não pode ser tratada junto com o resto, sob um aceite genérico.

No Cordis:

• Você não é obrigado a contar nada sobre sua fé para usar o app. Você pode deixar tradição, denominação, igreja e ministério em branco e o Cordis funciona igual.
• A permissão para tratar esses dados é uma caixa separada, com um texto próprio, que aparece em destaque. Ela não vem marcada e não está embutida em nenhum outro aceite.
• Se você tirar a permissão, a gente apaga os quatro campos do banco — tradição, denominação, igreja e ministério. Não fica cópia guardada em lugar nenhum. Não é desmarcar uma caixa: é apagar o dado.

O que muda de verdade se você não contar (ou se tirar depois). A gente prefere dizer isso aqui do que deixar você descobrir sozinho:

• Seu perfil continua aparecendo para todo mundo. Ninguém some do Cordis por causa disso.
• Quem procura alguém de uma fé específica deixa de te ver primeiro. Você continua na lista — só não naquele grupo, porque para o Cordis você passa a ser alguém que preferiu não contar.

Esse aviso aparece nas duas telas: quando você dá a permissão e quando você tira.

O que os outros usuários veem. Quando você permite, o app mostra o que você escreveu sobre sua fé no seu perfil. Quando você não permite, o app não mostra nada — e não mostra tampouco que existe uma permissão, marcada ou desmarcada. Ninguém consegue deduzir a sua religião pela ausência dela.

O que a gente não faz com esse dado: não usa para publicidade, não compartilha com ninguém fora do app e não usa para nenhuma outra finalidade além de mostrar no seu perfil, ordenar o feed de quem procura por fé e, se você ligar, mostrar o selo de caminhada.

O selo de caminhada

Em Perfil > Privacidade você pode ligar o selo "Em caminhada no Cordis". Ele vem desligado e só pode ser ligado por quem já deu a permissão da fé. Ligar é uma permissão própria, com texto próprio, que fica registrada (§12).

Com o selo ligado, quem vê seu perfil no Descobrir, em "Quem te curtiu" e depois do match vê "Em caminhada no Cordis" e, quando houver, "Faz o devocional" (você concluiu ao menos uma semana do devocional nos últimos 30 dias, sozinho ou no A Dois) e quantas trilhas da Jornada você concluiu. As trilhas de Desafios e Crises nunca entram nessa conta. Quando a semana foi feita no A Dois, conta para o seu selo porque você também a concluiu; nada da outra pessoa aparece, nem que foi a dois.

O selo não mostra qual semana, qual etapa, o que você leu, seus desafios, palpites ou "obrigados". Não muda sua posição no Descobrir e não aparece nos links públicos de Indicação. Se o selo estiver desligado, ou ligado sem nada a mostrar, seu perfil aparece igual ao de quem nunca ligou.

Desligar o selo, ou tirar a permissão da fé, faz o selo sumir na hora. Nada precisa ser apagado, porque os números não ficam guardados em outro lugar.

6. Sobre pagamento

O Cordis tem um plano pago (os Termos de Uso, §10, dizem o que custa e o que ele libera). A assinatura é feita só pelo site appcordis.com, fora do aplicativo, e o pagamento é processado pela Stone (Pagar.me).

O que a Stone recebe do Cordis: o seu nome, o seu e-mail e um código interno da sua conta, para saber de quem é o pagamento.

O que a Stone recebe direto de você, na página dela: os dados do cartão ou do Pix e o que ela pedir para aprovar o pagamento (como o CPF). Esses dados não passam pelo Cordis, e a gente não vê nem guarda número de cartão.

O que o Cordis guarda: qual plano ou compra você fez, o valor, a forma (cartão ou Pix), a situação do pagamento (aprovado, recusado, estornado), as datas e os códigos que a Stone usa para identificar o pagamento e a assinatura. Serve para liberar o que você pagou, mostrar a sua assinatura, atender pedidos de desistência e cumprir a lei fiscal. Base legal: execução do contrato e cumprimento de obrigação legal (LGPD, art. 7º, V e II).

7. O que nunca sai do nosso servidor

Esta seção não é uma promessa de intenção. É a descrição de como o app foi construído, e cada item foi verificado no código.

• Suas coordenadas de GPS. O servidor calcula a distância e manda para o aplicativo apenas o número em quilômetros. Latitude e longitude não entram na resposta que o celular de outra pessoa recebe — não estão lá nem escondidas.
• Sua data de nascimento. Sai a idade calculada.
• Seu e-mail. Nenhum outro usuário recebe seu e-mail, em nenhuma tela.
• Suas permissões e o seu histórico de consentimento. Quem vê seu perfil recebe só o que deve ser mostrado, nunca a informação de você ter ou não autorizado alguma coisa.
• O que você curtiu ou passou. Ninguém sabe que você curtiu antes de o match existir. A reciprocidade é conferida no servidor.
• Suas fotos ficam em um armazenamento privado. Elas não têm endereço público na internet: o app recebe um link temporário, que expira. Uma foto sua não pode ser encontrada por quem não usa o Cordis.
• O lugar onde a foto foi tirada. Toda câmera de celular grava, dentro do arquivo da foto, o endereço de GPS de onde ela foi tirada — e numa foto de perfil isso costuma ser a sua casa. A gente apaga essa informação do arquivo antes de guardar, e a foto só é salva depois disso. Quem baixar sua foto recebe a imagem e nada mais.
• O texto das suas mensagens, o nome de quem escreveu e com quem você deu match, num aviso de notificação. O aviso que chega na tela do celular diz só "Mensagem nova", "Alguém escreveu para você", "Deu match!", "Convite novo" ou "Resposta ao seu convite" — para todo mundo, sempre uma dessas frases fixas. Nome, texto e a identidade de quem deu match com você ficam dentro do app, atrás do seu login, e não passam pelo serviço de notificação (§9).
• Seu progresso na Jornada. Nenhuma outra pessoa vê quais etapas você concluiu, nem quando. Isso vale também para quem der match com você e para a pessoa com quem você estiver no A Dois. Se você ligar o selo de caminhada, sai só o número de trilhas concluídas. As trilhas de Desafios e Crises não entram nesse número.
• Seu momento (solteiro, se conhecendo, namorando, noivo ou casado). Nem a pessoa com quem você está no A Dois vê o que você marcou. A exceção é a etapa que vocês decidem juntos no A Dois em que começaram "se conhecendo" (se conhecendo ou namorando).
• Quem propôs o namoro. Só a outra pessoa do casal vê a proposta, enquanto ela está aberta. Depois de respondida, ninguém vê quem propôs.
• Seu desafio da semana e o seu palpite, antes da revelação. A outra pessoa não recebe o seu desafio nem o seu palpite até a revelação, que só acontece depois que os dois palpitam. As cartas do palpite chegam embaralhadas e sem nenhuma marca de qual é a verdadeira.
• Se você tocou em "Já fiz". Serve só para você; a outra pessoa nunca vê, nem depois da revelação.
• Seu progresso pessoal no devocional (de solteiro ou lido sozinho). Ninguém vê, nem a pessoa com quem você estiver no A Dois. Se você ligar o selo de caminhada, sai só "Faz o devocional", sem semana nem data.
• Por que você saiu do A Dois. A outra pessoa vê só que o A Dois foi encerrado — o mesmo aviso para qualquer causa. Nunca vê o motivo, nem se você respondeu.

O princípio por trás disso: o aplicativo no seu celular não decide o que pode ou não ver. Quem decide é o servidor, e ele só manda para o celular o que aquela pessoa tem direito de ver.

8. Moderação e uso de inteligência artificial

O Cordis usa inteligência artificial para checar conteúdo antes de ele ser publicado: fotos de perfil e textos (o "sobre mim", “o que espera de uma parceria” e as mensagens do chat). A IA procura nudez, conteúdo sexual explícito, discurso de ódio, assédio, golpe, spam, convite para levar a conversa para fora do app e sinais de perfil falso.

Qual IA, e onde ela roda. O modelo usado é o Claude, da Anthropic PBC, empresa sediada nos Estados Unidos. O conteúdo que entra na checagem — o texto ou a imagem — é enviado para os servidores dela para ser avaliado. Isso é uma transferência internacional de dados, e está descrita na §9.

Como a checagem funciona, e por que ela é diferente para foto e para texto:

• Foto: se a checagem não puder ser feita, a foto não é publicada. Nudez publicada não tem volta; foto que demora a entrar tem.
• Texto do chat: se a checagem não puder ser feita, a mensagem passa. A gente não quer calar uma conversa de boa-fé por causa de uma instabilidade técnica — e a denúncia continua sendo a segunda linha de defesa.

Nenhuma decisão que afeta a sua conta é tomada apenas pela IA. A IA bloqueia ou libera um conteúdo. Advertência, suspensão e banimento são decisões humanas e só acontecem depois de uma pessoa analisar. Se você for advertido, suspenso ou banido, você tem direito de pedir explicação e de pedir revisão — veja a §13.

A lista completa do que é proibido, o que acontece em cada tipo de violação e como funciona a escada de advertência, suspensão e banimento está nos Termos de Uso e no documento de políticas de moderação do Cordis.

9. Com quem a gente compartilha

O Cordis não vende e não aluga seus dados. As únicas empresas que tocam neles são as que fazem o app funcionar, e elas só podem usar os dados para nos prestar o serviço contratado:

Sobre a transferência internacional. O conteúdo enviado para a checagem de moderação sai do Brasil. A LGPD permite isso (art. 33) e a gente informa abertamente para você poder decidir com conhecimento. É bom saber que:

• Só vai o conteúdo a ser checado — a foto ou o texto. Não vai o seu nome, seu e-mail, sua localização nem a sua identificação.
• O conteúdo é enviado para ser avaliado naquele momento e receber uma resposta de "passa" ou "não passa".

Na proteção anti-robô, a Cloudflare pode processar dados técnicos do dispositivo, navegador e rede para calcular o risco de automação. O token de validação é efêmero e de uso único; o Cordis não o guarda nem o usa para publicidade. A Cloudflare pode tratar esses dados fora do Brasil, conforme os instrumentos e a política de privacidade próprios do serviço. A finalidade é exclusivamente segurança dos fluxos de autenticação.

Sobre os avisos no celular. Se você ligou o aviso, quando chega uma mensagem, dá um match, você recebe um convite do A Dois pelo app ou alguém aceita o seu link e espera sua confirmação, ou chega uma proposta de namoro no A Dois para você responder ou a resposta a uma proposta sua, o nosso servidor manda um pedido à Expo. Ela repassa ao serviço de notificação da Apple ou do Google, que entrega no seu celular. Isso também sai do Brasil. O que vai nesse pedido é pouco:

• O endereço de notificação do seu aparelho — o código que diz para qual celular entregar.
• Um identificador interno da conversa ou do match, somente nos avisos que precisam dele. É um código; sozinho, ele não diz quem são as duas pessoas. O aviso do A Dois não leva id de pessoa nem de convite.
• Frases fixas, sempre as mesmas: de mensagem, "Mensagem nova" e "Alguém escreveu para você. Abra quando quiser."; de match, "Deu match!" e "Vocês demonstraram interesse. Abra quando quiser."; de convite, "Convite novo" e "Você recebeu um convite no Cordis. Abra quando quiser."; de confirmação, "Novidade no Cordis" e "Tem algo esperando por você no app. Abra quando quiser."; de resposta a uma proposta de namoro, "Resposta ao seu convite" e "Tem algo esperando por você no app. Abra quando quiser." (a mesma frase para sim e para não). A proposta de namoro recebida chega com as frases de convite.

Não vai o texto da mensagem, não vai o nome de quem escreveu ou convidou, não vai quem foi o match, não vai o seu nome nem o seu e-mail. O endereço é usado somente para esses avisos funcionais. Se a finalidade mudar de novo, a gente avisa.

Fora dessa lista, seus dados só saem em uma situação: ordem judicial ou requisição legal de autoridade competente. Se isso acontecer e a lei nos permitir avisar você, a gente avisa.

Entre usuários, o que é compartilhado é só o que o seu perfil mostra: suas fotos, seu nome, sua idade, o que você escreveu e — se você permitiu — o que você contou sobre sua fé. Se você ligou o selo de caminhada, também "Em caminhada no Cordis", se você fez o devocional nos últimos 30 dias e quantas trilhas da Jornada concluiu. Além disso, a distância em quilômetros. Nada da sua conta vai para o celular de outra pessoa. No A Dois, quem abre um convite já logado vê o primeiro nome de quem convidou. Se alguém aceitar um link, quem o criou vê o primeiro nome e a primeira foto de quem aceitou, só para confirmar se é a pessoa certa. Quem tinha uma conversa com você antes de você sair do Descobrir continua vendo o nome e o histórico já trocado, mas não vê sua foto, seu perfil, sua presença nem o motivo — e não pode mandar mensagem. No A Dois em que vocês estão "se conhecendo", a outra pessoa vê a proposta de namoro que você fizer; se você recusar uma proposta dela, ela vê só que a proposta não foi aceita. No devocional do casal, a outra pessoa vê se você já concluiu a semana ("Fulano já concluiu, falta você") e, depois da revelação, o seu desafio, o seu palpite e o "obrigado" que você escreveu para ela. Se a pessoa denunciar um "obrigado", o texto é copiado para a denúncia e segue os prazos de denúncia da §11.

Quando outro usuário usa o recurso de Indicação para apresentar o seu perfil a alguém de fora do app, quem abre o link vê apenas o seu nome, a sua primeira foto, a sua idade, a sua cidade e a sua denominação (se você permitiu que ela apareça) — os mesmos dados visíveis no app. Seu e-mail, sua localização exata e sua bio não são exibidos. O link expira em 30 dias. Você pode desativar as indicações do seu perfil em Perfil > Privacidade > "Permitir que indiquem meu perfil" — e, ao desligar, todos os links ativos do seu perfil são cancelados imediatamente.

10. Idade mínima: 18 anos

O Cordis é exclusivamente para maiores de 18 anos. Não é uma recomendação: é uma condição para existir uma conta.

• A confirmação de idade é obrigatória no cadastro e é conferida no nosso servidor, não só na tela do celular.
• Um perfil de menor de 18 anos não aparece para ninguém, mesmo que tenha passado pelo cadastro.
• Se a gente identificar, ou for denunciada, uma conta de menor de idade, a denúncia vai para o topo da fila, na frente de todas as outras. Confirmado, o desfecho é remoção da conta e eliminação imediata dos dados — não existe advertência para esse caso.

Se você é responsável por um adolescente e acha que ele criou uma conta aqui, escreva para o contato da §2. A gente trata como prioridade máxima.

11. Por quanto tempo a gente guarda

A regra geral da lei é simples: guardar enquanto houver motivo, apagar quando o motivo acabar. Estes são os prazos do Cordis:

Denúncias

Denúncia é registro de conduta e material de defesa — nosso e seu. Por isso ela tem prazo próprio, e ele é em duas etapas: o texto que a pessoa escreveu sai cedo; o registro do que a gente decidiu sai tarde.

Os prazos contam da data em que a denúncia foi resolvida. Depois da primeira etapa, o que sobra não é a narrativa: é o registro do ato — o motivo, o que foi decidido e as datas.

Por que não é tudo apagado em duas semanas: se cada denúncia sumisse antes de a próxima chegar, o Cordis não conseguiria ver que a mesma pessoa foi denunciada três vezes — e a diferença entre "uma vez" e "três vezes" é exatamente o que justifica advertir, suspender ou banir. Um prazo curto demais não protege ninguém: só apaga a memória do que aconteceu com quem foi vítima.

A trava que vale sobre todos os prazos acima

Enquanto houver uma denúncia em aberto envolvendo a pessoa, uma investigação em curso ou uma ordem judicial de guarda, os prazos automáticos acima param. Segurança e defesa legal vêm antes da exclusão automática. Quando a situação se resolve, os prazos voltam a correr normalmente.

Essa trava vale para as exclusões que o sistema faz sozinho, no prazo. Ela não adia a exclusão da conta que você pedir: essa é executada na hora e por inteiro, e o que sobrevive a ela é só o que está listado na §14 — nem mais, nem menos. Ter uma denúncia em aberto não é motivo para segurar os seus dados.

12. O registro do seu consentimento

Toda vez que você dá ou tira uma permissão no Cordis — e quando você aceita os Termos de Uso —, a gente grava, no servidor:

• que você deu ou tirou (ou que aceitou);
• qual versão do documento estava valendo — desta política, no caso de uma permissão; dos Termos de Uso, no caso do aceite deles;
• uma impressão digital do texto exato que você leu: para uma permissão, o texto que estava escrito na tela quando você decidiu; para os Termos de Uso, o documento inteiro, como estava publicado naquela versão;
• quando foi, com data e hora;
• de onde veio o toque: o endereço IP e a identificação do aparelho e do app naquele momento. É o que sustenta, depois, que foi você e não outra pessoa.

Esse registro não pode ser alterado nem apagado por ninguém — nem por nós. Cada mudança de opinião sua vira uma linha nova; nada é reescrito por cima.

Ele é preservado mesmo depois de você excluir a conta, e é o único jeito honesto de fazer isso: se a gente apagasse o registro junto com a conta, a prova de que a gente pediu sua permissão sumiria exatamente quando ela fosse necessária. O que fica guardado é o registro do ato — não os seus dados de perfil, que são eliminados. No caso das permissões de posicionamento político, o registro guarda só que você deu ou tirou a permissão — nunca qual posição você escolheu ou filtrou. O selo de caminhada também é registrado assim: cada vez que você liga ou desliga.

A impressão digital do texto existe por um motivo específico: ela garante que "você aceitou a versão 1.0" não seja uma etiqueta que alguém possa reescrever depois. O que está guardado é a prova do texto exatamente como você leu.

13. Seus direitos

A lei te dá direitos sobre os seus dados, e a gente cumpre todos eles:

• Saber se a gente trata seus dados e ter acesso a eles.
• Corrigir dado incompleto, errado ou desatualizado.
• Pedir anonimização, bloqueio ou eliminação de dado desnecessário, excessivo ou tratado fora da lei.
• Levar seus dados para outro serviço (portabilidade).
• Saber com quem a gente compartilhou seus dados — está na §9.
• Saber o que acontece se você não der uma permissão — sobre a fé, está escrito na §5, e a mesma informação aparece na tela.
• Tirar uma permissão que você deu, a qualquer momento.
• Excluir sua conta e seus dados (§14).
• Pedir revisão de uma decisão de moderação que te afetou, e receber uma explicação sobre ela.
• Reclamar à ANPD, a Autoridade Nacional de Proteção de Dados, se você achar que a gente errou.

Como exercer. Escreva para o contato da §2. Para confirmar que é você mesmo, a gente pode pedir que o pedido venha do e-mail cadastrado na conta ou que você confirme dentro do app — isso protege você de alguém pedir seus dados no seu lugar.

Em quanto tempo a gente responde. Até 15 dias, contados do seu pedido. É o prazo que a lei fixa (LGPD, art. 19, II), e vale para todos os pedidos desta seção. Se o pedido for complexo e a gente precisar de mais tempo, a gente te diz isso dentro dos 15 dias, com o motivo — e não some.

Alguns direitos você exerce direto no app, sem precisar escrever para ninguém: corrigir seu perfil, tirar as permissões sobre fé e política, remover respostas de “Mais profundo” e excluir sua conta. Em Perfil > Meus dados você vê também quantas semanas do devocional concluiu e os "obrigados" que escreveu.

14. Excluir sua conta — o que acontece de verdade

Esta seção existe porque "excluir conta" significa coisas muito diferentes em apps diferentes. No Cordis, significa isto:

O que é apagado

• Seu perfil inteiro e todos os seus dados pessoais nele.
• Seu e-mail — nos dois lugares onde ele existia. Não fica versão embaralhada nem "anonimizada": some.
• Suas mensagens e as conversas inteiras dos seus matches.
• Seus matches, curtidas e "passar".
• Seus bloqueios e suas preferências de busca.
• O que você contou sobre sua fé.
• Suas respostas de “Mais profundo”, seu posicionamento político e seu filtro político.
• Seu progresso na Jornada — quais etapas você concluiu e quando.
• Seu progresso no devocional (pessoal e do casal), seus desafios, palpites, "obrigados" e propostas de namoro feitas ou recebidas. Os números que eram do casal também são apagados: a outra pessoa deixa de ver qualquer coisa sua no devocional.
• Sua localização e sua data de nascimento.
• Os arquivos das suas fotos, apagados do nosso armazenamento. Não é o registro que aponta para a foto: é o arquivo.
• Seu acesso ao sistema de login, encerrado de forma definitiva — não é uma conta desativada que continua existindo em algum lugar.
• Os endereços de notificação dos seus aparelhos e o registro de até quando você abriu cada conversa. Depois da exclusão, nenhum celular recebe aviso desta conta.

Quando você pede a exclusão, o app te mostra quantos itens de cada tipo foram eliminados.

O que a lei obriga a gente a manter

Três coisas sobrevivem, e nenhuma delas é o seu perfil:

1. Denúncias, marcadas como sendo de uma conta excluída. As que você fez e as que fizeram contra você. Se elas sumissem, bastaria excluir a conta para limpar a ficha — e quem foi vítima perderia o registro do que aconteceu. Elas seguem os prazos da §11.
2. O registro do seu consentimento e do seu aceite dos Termos de Uso (§12).
3. Os registros de acesso, até completarem os 6 meses do Marco Civil.

Isso é tudo. A gente não guarda seu perfil "por 30 dias, para o caso de você mudar de ideia". Não existe período de arrependimento: quando você exclui, está excluído, e para voltar você cria uma conta nova, do zero.

Não existe "pausar"

Hoje o Cordis não tem um botão para pausar a conta. Se você quiser sair, o caminho é excluir — e excluir apaga. Uma conta só fica "pausada" como efeito de uma suspensão decidida pela moderação (Termos de Uso, §9).

15. Segurança

O que a gente faz para proteger seus dados:

• As regras de quem pode ver o quê ficam dentro do banco de dados, não no aplicativo do seu celular. Mesmo que alguém tentasse falar direto com o servidor, contornando o app, ele não conseguiria ler o dado de outra pessoa.
• Suas fotos ficam em armazenamento privado, acessível só por links temporários que expiram.
• Sua senha é guardada cifrada, e a gente não consegue lê-la.
• A comunicação entre o app e o servidor é criptografada.
• Existem limites diários de mensagens e de envios, para impedir disparo automático e abuso.
• Quem você é vem sempre do seu login, nunca do que o app manda. Ninguém consegue agir em nome de outra pessoa.
• Antes de o Cordis ser publicado, ele passa por uma auditoria de segurança própria, que já apontou e corrigiu falhas.

Nenhum sistema é 100% seguro, e seria desonesto dizer o contrário. Se acontecer um incidente que possa te causar risco ou dano relevante, a gente avisa você e a ANPD, como a lei manda (art. 48), dizendo o que aconteceu, quais dados foram afetados e o que você deve fazer.

Se você encontrar uma falha de segurança no Cordis, escreva para o contato da §2. A gente agradece de verdade.

16. Onde esta política fica

Esta política e os Termos de Uso ficam em uma página pública, aberta, que não exige login. Você não precisa ter conta no Cordis, nem estar logado, para ler qualquer um dos dois — e o link aparece:

• na tela de cadastro e na tela de consentimento, antes de você decidir;
• dentro do app, na área de privacidade, a qualquer momento;
• na página do Cordis na App Store e no Google Play.

17. Mudanças nesta política

Quando a gente mudar esta política, a versão sobe e a data de atualização muda.

• Mudança pequena (uma correção de redação, um endereço novo): o texto novo entra e a data muda.
• Mudança que afeta você de verdade — um dado novo sendo coletado, uma finalidade nova, um operador novo, um prazo de guarda maior: a gente avisa você dentro do app antes de a mudança valer, e explica o que mudou.
• Mudança em algo que depende da sua permissão (a sua fé): a permissão anterior não vale para o uso novo. A gente pergunta de novo, com o texto novo, e registra a nova versão.

O histórico das versões fica guardado, e o registro do seu consentimento sempre aponta para a versão que estava valendo quando você decidiu.

18. Fale com a gente

Qualquer dúvida, pedido ou reclamação sobre privacidade, escreva para o encarregado:

Equipe do Cordis — contato@evansit.com.br

Prazo de resposta: até 15 dias.

Você também pode reclamar diretamente à Autoridade Nacional de Proteção de Dados (ANPD) — mas a gente prefere resolver com você primeiro.