Revisão: 2026-10-19 • Versão: 2.4
Documento operacional: descreve código e pendências, não certifica conformidade integral. Responsável e canais informados pelo usuário em 07/10/2026; funcionamento das caixas de e-mail ainda deve ser homologado antes do piloto.
1Responsabilidades e bases
Responsável pelo AcessoCerto: Felipe Santana Alves, pessoa física.
Suporte e atendimento: suporte@acessocerto.com.
Privacidade e solicitações de exclusão de conta/dados: privacidade@acessocerto.com.
Não houve designação formal de encarregado informada nesta revisão. Avaliar sua necessidade conforme o enquadramento aplicável; não confundir contato de privacidade com nomeação formal. CPF, endereço e telefone não foram fornecidos para publicação. Avaliar identificação adicional conforme finalidade e contratação, sem inserir dados presumidos.
Condomínio administra cadastro e operação física; fornecedor disponibiliza a plataforma. Mapear controlador/operador por finalidade no contrato de prestação, sem presumir controladoria conjunta em todos os tratamentos. Google Firebase processa infraestrutura; D4Sign processa assinatura de locação.
Avaliar execução de contrato para serviço/locações, legítimo interesse quando cabível para segurança/operação, exercício regular de direitos para contestações, consentimento quando apropriado e obrigação legal somente com norma identificada. Checkbox de aceite e permissão do SO não substituem essa análise.
2Inventário atual
| Tratamento | Dados | Finalidade |
|---|---|---|
| Conta/morador | Nome, e-mail, telefone, CPF/RG/nascimento quando informados, UID, role/status, unidade/vínculo | Identificação, acesso, cadastro e contrato |
| Dependentes/hóspedes/visitantes | Dados de identificação/cadastro, autorização e unidade | Gestão de acesso e locações |
| Fotos de identificação opcionais | Retrato de conta/morador fixo ou locatário principal e miniatura, versão e autor da alteração | Conferência visual pela equipe e perfil; sem reconhecimento facial ou envio ao D4Sign |
| Veículos | Placa, modelo, cor e características | Consulta de acesso |
| Entrada avulsa | Nome/unidade/tipo, origem e nome ou referência de autorização, placa para veículo, observação opcional, motivo da negativa, horário e operador | Rastreabilidade da decisão de acesso declarada pela portaria |
| Locação | Responsável/hóspedes/período/PDF e referências D4Sign | Formalização e operação |
| Encomenda | Foto/miniatura da embalagem/etiqueta; tipo/unidade/ciclo; remetente/etiqueta/local/observação opcionais | Recebimento, custódia, identificação e entrega |
| Retirada/auditoria | Pessoa/operador/horário/método/motivo, autorização/versão/eventos/comprovante | Responsabilidade, prevenção de entrega indevida e contestação |
| Código e operação técnica | Código cifrado/HMAC, validação temporária, IDs e resultados | Validação segura, idempotência e reconciliação |
| Comunicação | Comunicados/alertas/feed/leitura, FCM e preferências | Avisos operacionais |
| Diagnóstico/integridade | Falhas e dados técnicos de SDKs/App Check | Segurança e confiabilidade |
Fotos/etiquetas podem conter dados de terceiros. Sem reconhecimento facial, OCR, biometria, coleta de localização do dispositivo, gravação áudio/vídeo ou publicidade implementados. Menores podem existir como dependentes/hóspedes: avaliar melhor interesse e atuação do responsável.
3Imagens e autorização
Captura pela câmera, orientação corrigida, pixels reencodados JPEG sem copiar EXIF/GPS; isso não oculta nome/endereço visível na etiqueta. Principal ≤1600px/1MiB, miniatura ≤320px/100KiB.
Storage guarda temporários por sessão e definitivos por condomínio/item. GET/WRITE cliente de definitivo negado. Callable Auth/App Check valida conta/condomínio/unidade/ciclo/permissão antes e depois do IO e fixa geração. App descarta imagem/resposta de conta anterior; bytes já vistos não são recuperáveis.
Morador só acessa com autorização vigente. Titular é referência oficial; portaria não autoriza retirante. Push de encomenda não contém foto/código/nome/CPF/unidade; acesso detalhado exige autenticação.
Fotos opcionais de pessoas usam fluxo independente: JPEG ≤1024px/300KiB, miniatura ≤320px/64KiB, câmera/galeria e reencodificação sem EXIF/GPS. Conta vinculada usa a referência do Morador. Callables exigem Auth/App Check e revalidam conta, vínculo, condomínio e identidade antes/depois do IO. Storage direto é negado. Própria pessoa/ADMIN/Titular oficial editam conforme vínculo; portaria consulta moradores/locatários e edita sua própria foto de conta. Alteração de identidade invalida a foto anterior. Ver escopo.
4Conservação implementada versus pendente
| Dado | Comportamento atual |
|---|---|
| Foto de item pendente | Prazo de expurgo não iniciado; item permanece em custódia |
| Foto de item encerrado | Elegível a expurgo 180 dias após retirada/devolução/cancelamento |
| Foto em contestação | Suspensão ADMIN registrada; revisar necessidade de manutenção |
| Temporário de recebimento | Sessão 30min; limpeza periódica seleciona expiração com pelo menos 24h |
| Comprovante/eventos e registros técnicos | Sem expurgo geral automático |
| Users, histórico, notificações e contratos | Sem automação geral de retenção/purge comprovada |
| Solicitação de exclusão na versão estabilizada | Perfil pessoal removido do uso comum; referência estrutural de Titular até substituição; Auth removido na conclusão com job recuperável |
| Históricos/contratos associados à exclusão | Custódia server-side sem leitura cliente, inclusive ADMIN; prazo/base de retenção a definir antes de expurgo |
| Journal local | IDs técnicos por conta; permanece no logout, sem código/foto/identidade/payload |
| Fotos opcionais de identificação | Sem expurgo por idade do cadastro/estadia. Substituição, remoção e exclusão/custódia retiram a referência; gatilhos limpam objetos e rotina diária reconcilia órfãos com pelo menos 24h. Prazo de 180 dias de encomendas não se aplica |
Prazos antigos de conta +5 anos, histórico 2 anos e notificações 90 dias não são automações atuais nem fundamentos jurídicos automaticamente validados. Antes de produção, formalizar finalidade/prazo/base de cada categoria, tratamento de backups e atendimento de eliminação. Não aplicar TTL/delete cego à auditoria.
5Transferências e segurança
Functions usam us-central1 no projeto conhecido; não presumir mesma região do banco/bucket. Verificar configuração real, contrato do provedor e mecanismo aplicável conforme LGPD/ANPD. Data Privacy Framework estrangeiro não prova sozinho adequação brasileira.
Rules e backend controlam acesso; operações estruturais são transacionais; código protegido por HMAC/AES-GCM; eventos imutáveis para cliente; segredos em Secret Manager. Callables revisadas e novas exigem App Check no código; runtime/instalação pela loja ainda precisam de homologação.
Crashlytics em release; logs de encomendas sanitizados por whitelist. Auditoria de negócio tem dados de ator/retirante necessários, distintos dos logs. Logout tenta limpar cache/token e encerra listeners, sem promessa de eliminação absoluta de bytes.
6Direitos e incidentes
Direitos devem ser atendidos pelo canal privacidade@acessocerto.com, cujo funcionamento deve ser homologado: informação/acesso/correção/oposição/eliminação/anonimização e outros aplicáveis. Não declarar portabilidade ou purge automático implementados.
Exclusão no app exige reautenticação e registra solicitação inclusive de Titular. Remove identificação pessoal do perfil comum e encerra acesso; Titular mantém referência estrutural até substituição ADMIN para concluir Auth. Históricos/contratos associados vão para custódia restrita até definir retenção. O canal externo de solicitação está publicado; atendimento por e-mail e homologação integrada em aparelho continuam pendentes. Categorias de encomendas, backups e registros do provedor não têm purge genérico implementado.
Incidentes devem ser investigados, contidos, documentados e comunicados quando exigido, no prazo aplicável. Não prometer contenção garantida em 72h. Treinar operação e definir canal restrito, responsável e escalonamento.
7Pendências para produção
- Registrado — Identificar fornecedor e definir canais: Felipe Santana Alves; suporte@acessocerto.com e privacidade@acessocerto.com.
- Pendente — Formalizar responsabilidades contratuais e homologar funcionamento dos canais.
- Pendente — Definir bases/prazos por categoria e mecanismo de transferência internacional.
- Pendente — Revisar exclusão de conta/retidos/solicitação externa.
- Pendente — Registrar versão/horário/base de aceite quando necessário; checkbox atual é UI.
- Pendente — Atualizar formulários Google/Apple, declarando imagens e apontando para a revisão vigente da Política/Termos.
- Pendente — Homologar revogação/troca de conta/ciclo, câmera e retenção/jobs em aparelhos/ambiente efetivo.
- Pendente — Definir orçamento/alertas, resposta a incidentes e treinamento da portaria.
- Pendente — Orientar a captura mínima da embalagem e os cadastros de terceiros/menores.
8Referências
Política, Termos, PRD, runbook.
Fontes normativas de consulta: LGPD e transferências internacionais — ANPD. Uso dessas fontes não certifica conformidade ou torna implementadas rotinas pendentes.