Política de Privacidade

Em vigor desde: 28 de outubro de 2026 · Versão: privacy@2026.5

1. Papéis de Controlador e Operador de Dados

A Bhapi (“nós”, “nosso”) opera a plataforma bhapi.ai para clubes esportivos e escolas. O papel que exercemos depende de quais dados estão em questão:

• Membros cadastrados por um clube ou escola. Quando um clube esportivo, uma escola ou outra organização cadastra seus membros, o contrato de tratamento de dados que utilizamos com organizações atribui o papel de controladora a essa organização, cabendo à Bhapi atuar como operadora, seguindo as instruções da organização. Você pode registrar uma solicitação de proteção de dados nas configurações da sua conta; quando a organização for a controladora, a decisão sobre essa solicitação cabe aos administradores dessa organização.
• Dados do titular da conta. Em relação aos dados da pessoa que cria e administra a conta (por exemplo, o administrador de um clube ou escola), a Bhapi é a controladora dos dados pessoais.

Se você tiver uma conta, a aba Privacidade das configurações da sua conta exibe o papel registrado para ela e informa claramente se esse papel foi de fato registrado ou se é apenas o papel presumido a partir do tipo da conta. Quando o papel ainda não tiver sido determinado, ele é exibido como não determinado, e não presumido.

Encarregado de Proteção de Dados (DPO): dpo@bhapi.io

2. Dados que Coletamos

Também registramos o vínculo de grupo (a qual clube, escola ou conta cada membro pertence, seu papel e o responsável vinculado, se houver) e os dados de gastos com IA (custos de API, provedor, contagem de tokens), para controle de acesso e alertas de orçamento, respectivamente.

3. Base Legal para o Tratamento

As referências abaixo são ao GDPR da União Europeia e ao UK GDPR do Reino Unido, que usam a mesma numeração de artigos. Quando um clube ou escola é a controladora, é essa organização que determina a base legal para os dados de seus membros; as bases em que nos apoiamos e que registramos são:

• Execução de contrato (Art. 6(1)(b)): Dados da conta, cobrança e prestação do serviço.
• Legítimo interesse (Art. 6(1)(f)): Monitoramento de segurança do uso de IA pelos membros que um clube ou escola cadastrou, com a finalidade de manter esses membros seguros, observadas as medidas de minimização de dados da Seção 4.
• Consentimento (Art. 6(1)(a)): O tratamento de dados de crianças exige consentimento registrado do responsável antes do início do monitoramento, nos limites de idade indicados na Seção 7.
• Cumprimento de obrigação legal (Art. 6(1)(c)): Registros de consentimento, logs de auditoria e retenção de dados quando a lei aplicável à organização que faz o cadastro os exigir.

4. Minimização de Dados e o que Armazenamos

Seguimos o princípio da minimização (necessidade) de dados. Para ser preciso sobre o que isso significa e o que não significa:

• Prompts e respostas de IA capturados são armazenados. No caminho de ingestão da extensão eles são gravados como texto; no endpoint /capture/content são gravados criptografados (Fernet). O armazenamento não depende de o conteúdo ter sido sinalizado como risco.
• Identificadores pessoais detectados em trechos sinalizados (como e-mails, telefones, números de documento e de cartão e endereços) são mascarados automaticamente antes do armazenamento do trecho.
• Trechos de conteúdo são mantidos por até 365 dias. Trechos que contenham dados sensíveis são mantidos por 90 dias. Conteúdo vinculado a uma notificação obrigatória de proteção infantil fica sob retenção legal e não é excluído nesse prazo.
• Coletamos apenas o mínimo de dados necessário para cada finalidade declarada e não usamos o conteúdo para publicidade.

5. Retenção de Dados

Os prazos acima são os padrões da plataforma. O administrador do grupo pode reduzir alguns deles, respeitando os mínimos regulatórios; os valores vigentes do seu grupo aparecem em Configurações > Privacidade.

Ao excluir sua conta, todos os dados associados são excluídos imediatamente por meio de exclusão lógica em cascata, exceto quando a retenção for exigida por lei.

6. Seus Direitos (Direitos do Titular)

Nos termos do GDPR da UE e do UK GDPR, você tem os seguintes direitos:

• Acesso (Art. 15): Solicitar uma cópia dos seus dados pessoais.
• Retificação (Art. 16): Corrigir dados pessoais inexatos.
• Eliminação (Art. 17): Solicitar a exclusão dos seus dados pessoais (“direito ao esquecimento”).
• Portabilidade (Art. 20): Receber seus dados em formato legível por máquina (exportação ZIP).
• Oposição (Art. 21): Opor-se ao tratamento baseado em legítimo interesse.
• Limitação do tratamento (Art. 18): Solicitar a limitação do tratamento.
• Revogação do consentimento (Art. 7(3)): Revogar o consentimento a qualquer momento, sem afetar a licitude do tratamento anterior.

Se você estiver nos Estados Unidos ou na Austrália, os direitos previstos na COPPA (o direito do responsável de revisar e excluir as informações da criança) ou no Privacy Act (acesso e correção) são exercidos pelos mesmos canais.

Para exercer esses direitos, use as funcionalidades de conformidade no seu painel ou envie e-mail para contactus@bhapi.io. Respondemos em até 30 dias. Quando um clube ou escola for a controladora dos dados de um membro, a decisão sobre a solicitação cabe a essa organização (ver Seção 1).

7. Dados de Crianças e Adolescentes

A Bhapi trata dados de crianças para fins de monitoramento de segurança em nome do clube ou da escola que as cadastra. Antes do início do monitoramento, exigimos o consentimento registrado do responsável para cada membro abaixo do limite de idade da jurisdição da organização:

• Estados Unidos (COPPA): consentimento parental verificável para menores de 13 anos.
• União Europeia (GDPR, Art. 8): consentimento parental para menores de 16 anos.
• Reino Unido: consentimento parental para menores de 16 anos. Este é o limite adotado pela própria Bhapi; o UK GDPR fixa a idade de consentimento digital em 13 anos, e aplicamos a idade mais alta.
• Austrália: consentimento parental para menores de 16 anos. O Privacy Act não fixa uma idade; este é o limite adotado pela própria Bhapi.

O monitoramento só pode começar após o responsável fornecer consentimento para o membro criança específico. O consentimento pode ser revogado a qualquer momento, o que interrompe imediatamente o tratamento de dados desse membro.

8. Transferências Internacionais

Todos os dados da Bhapi são armazenados em data centers na União Europeia (Frankfurt, Alemanha), criptografados em repouso. A Bhapi não opera data centers em outras regiões — os dados são armazenados em Frankfurt independentemente de onde a organização ou o membro esteja.

• Armazenamento não é a história toda. Parte do tratamento ocorre fora da UE: nosso classificador de segurança envia o texto das conversas de IA para o Google Vertex AI na região definida por VERTEX_AI_LOCATION, cujo padrão atual é us-central1 (Estados Unidos), e os provedores de resumo de conversa e de segurança de imagem listados na Seção 9 também são serviços dos Estados Unidos. A coluna “Recebe conteúdo da criança?” na Seção 9 mostra quais se aplicam.
• Transferências do seu país para a União Europeia. Se a sua organização estiver fora da União Europeia (por exemplo, no Reino Unido, na Austrália ou nos Estados Unidos), o armazenamento dos dados de seus membros em Frankfurt pode constituir, por si só, uma transferência internacional nos termos da lei aplicável a ela. Quando uma hipótese de transferência tiver sido registrada para uma conta, ela é exibida nas configurações dessa conta; quando nenhuma tiver sido registrada, ela é exibida ali como não declarada — nunca é apresentada como consentimento nem como qualquer outra hipótese por padrão.
• Transferências posteriores a operadores fora do Espaço Econômico Europeu. Quando um suboperador que utilizamos (por exemplo, e-mail transacional ou classificação de conteúdo) trata dados fora do EEE, nossa exigência são as cláusulas contratuais padrão aprovadas pela Comissão Europeia em conjunto com o contrato de tratamento de dados desse suboperador. Ainda estamos concluindo a verificação de que há uma via assinada arquivada para cada suboperador e, por isso, não apresentamos isso como estabelecido para todos eles.

9. Terceiros

A tabela abaixo é gerada a partir das integrações presentes no nosso código, de modo que lista quem pode efetivamente receber dados, e não um resumo escrito à mão. A última coluna informa claramente se o provedor recebe conteúdo escrito pela criança.

Denúncia de CSAM: quando nosso sistema detecta possível material de abuso sexual infantil, o conteúdo é bloqueado e o incidente é registrado para revisão humana. A transmissão automática para a CyberTipline do NCMEC está implementada no código, porém desativada — nenhum dado é enviado ao NCMEC hoje.

A segunda tabela acrescenta onde cada destinatário está localizado e abrange dois grupos adicionais: os processadores biométricos usados nas verificações de idade e identidade, e os destinatários que precisamos divulgar mesmo não havendo uma opção de consentimento para eles.

Alguns desses fornecedores tratam dados biométricos ou equiparados (prova de vida facial, documentos de identidade, análise de imagem e vídeo, hash perceptual). A verificação de material ilegal conhecido não pode ser desativada.

Nunca vendemos dados pessoais. Nunca compartilhamos dados de crianças com anunciantes.

10. Cookies

Usamos um único cookie de sessão (bhapi_session) para autenticação. Esse cookie é:

• HttpOnly: Não acessível por JavaScript.
• Secure: Transmitido apenas por HTTPS em produção.
• SameSite=Lax: Protegido contra ataques CSRF.

Não usamos cookies de rastreamento, de análise ou de publicidade de terceiros.

11. Segurança

Protegemos seus dados com:

• Criptografia em repouso (AES-256) e em trânsito (TLS 1.2+)
• Credenciais de API de IA criptografadas com Fernet/Cloud KMS
• Hash de senhas com bcrypt
• Limitação de taxa e proteção contra força bruta
• Isolamento de dados multi-inquilino
• Registro de auditoria em modo somente-acréscimo para ações privilegiadas e relevantes para conformidade

12. Alterações nesta Política

Cada versão deste aviso traz um identificador de versão e uma data de vigência no topo da página, e os mesmos valores são publicados em formato legível por máquina em /legal/versions. Quando o aviso muda, publicamos uma nova versão com novo identificador e nova data de vigência. A versão em vigor no momento em que o consentimento parental foi coletado fica registrada junto ao respectivo registro de consentimento.

Não enviamos e-mail quando uma versão muda: essa notificação não existe no sistema. Consulte a versão e a data de vigência no topo desta página para saber qual aviso está em vigor.

13. Contato

Encarregado de Proteção de Dados (DPO): dpo@bhapi.io

Para questões de privacidade: contactus@bhapi.io

Para suporte geral: contactus@bhapi.io