Como protegemos os dados da sua igreja

O rol, os pedidos de oração, a diaconia e as contribuições são dados sensíveis. Esta página explica o que o IP App faz para protegê-los. Nenhum sistema é invulnerável, e não prometemos isso: o que fazemos é reduzir o risco em cada etapa e estar preparados se algo der errado.

Cada igreja só vê os próprios dados

A separação entre as igrejas é feita pelo próprio banco de dados, e não só pelas telas. Cada registro pertence a uma igreja, e o banco se recusa a entregar a uma igreja o que é de outra, mesmo que o programa peça por engano. Testes automáticos conferem essa separação a cada mudança no sistema, antes de ela chegar às igrejas.

Quem entra, e o que cada um vê

• Sem senhas para vazar. A entrada é pela conta Google da pessoa. O IP App não cria nem guarda senhas.
• Acesso por convite. Só entra no painel quem a igreja convidou pelo e-mail.
• Cada um vê o que a função pede. A igreja define o que cada pessoa pode ver, editar ou apagar, por área: o rol, as finanças, as atas, a diaconia. No aplicativo, os pedidos de visita, o cuidado pastoral e a diaconia só aparecem a quem a igreja autorizou.
• Tirar o acesso vale na hora. A permissão é conferida a cada ação, não só na entrada.
• Fica registrado. O painel mostra quem deu e quem tirou cada acesso. O sistema também registra quem incluiu, mudou ou apagou os registros da igreja, como o rol, as contribuições e as atas, e quando.

Menos dados, menos risco

• O IP App não guarda CPF, RG nem filiação de membros.
• Fotos e documentos ficam num armazenamento privado e só abrem por links que expiram.
• O pagamento da assinatura é feito no Asaas. Os dados do cartão não passam pelo IP App.

Conexão e hospedagem

Toda a comunicação com o IP App é criptografada (HTTPS). O site, o painel e o aplicativo passam pela Cloudflare, que filtra ataques antes de eles chegarem aos servidores. O banco de dados fica no Railway, e as fotos, no Google, ambos nos Estados Unidos. A política de privacidade lista todos os fornecedores.

Cópias de segurança

• No próprio provedor: uma cópia do banco por dia, guardada por 6 dias; uma por semana, por 27 dias; e uma por mês, por 89 dias.
• Volta a um momento escolhido: o provedor também guarda o registro contínuo das mudanças no banco. Se um erro apagar ou estragar dados, dá para voltar o banco ao instante anterior a ele, e não só ao horário da última cópia.
• Fora dele, em outra empresa: todo dia, mais uma cópia vai para a Cloudflare, criptografada antes de sair. Só o IP App tem a chave que abre. Ninguém consegue apagar nem alterar essas cópias antes de 90 dias, nem quem invadisse a conta. Se o provedor principal tiver um problema grave, os dados continuam guardados em outro lugar.
• Testadas. Uma cópia que nunca foi restaurada é só uma esperança. Restauramos as cópias num banco temporário, isolado e apagado logo depois, para conferir que abrem e estão completas. A última vez foi em 13 de novembro de 2026, e o teste se repete a cada três meses.

Cuidado com o código

O sistema passa por revisões de segurança periódicas. Cada mudança roda testes automáticos que conferem a separação entre igrejas e que nenhuma parte restrita abre sem login. Esses testes usam igrejas e pessoas fictícias, nunca os dados das igrejas.

Se acontecer um incidente

Se um incidente de segurança afetar dados da sua igreja, o IP App avisa a igreja em até 2 dias úteis depois de saber, com o que aconteceu, os dados e as pessoas afetadas e o que foi feito. Assim a igreja pode comunicar a ANPD e as pessoas no prazo da lei. Esse compromisso está no contrato de serviço.

O que a igreja pode fazer

• Peça a quem tem acesso ao painel que ative a verificação em duas etapas na conta Google. É a proteção mais forte contra quem descobre uma senha.
• Dê a cada pessoa só o acesso de que ela precisa, e tire o acesso de quem deixou o cargo.
• Nos pedidos de oração, de visita e na diaconia, escreva só o necessário. Os assuntos delicados, o pastor conversa pessoalmente.

Se a igreja sair

Terminado o contrato, a igreja pode pedir, em até 60 dias, uma cópia dos seus dados em formato aberto. Depois desse prazo, os dados são apagados, salvo o que a lei obrigar a guardar.

Dúvidas e avisos

Encontrou uma falha ou tem uma pergunta sobre segurança? Escreva para [email protected].

Última atualização: 13 de novembro de 2026.