Termos de Uso e Política de Privacidade — AMPPESP App

Versão 1.6 · Vigente desde 9 de setembro de 2026

Este documento reúne as duas coisas numa página só:

• Termos de uso — as regras para usar o aplicativo e publicar no feed do evento
• Política de privacidade — quais dados tratamos, por quê, com quem compartilhamos e quais são seus direitos

1. Quem somos e o que este documento cobre

Este documento se aplica exclusivamente ao aplicativo AMPPESP App (publicado até setembro de 2026 sob o nome "CADU AMPPESP" — mesmo aplicativo, mesmo desenvolvedor, nome novo nas lojas).

O aplicativo tem duas finalidades:

Canal de comunicação oficial entre a AMPPESP e as prefeituras associadas. Parte dos comunicados é pública — qualquer pessoa com conta lê — e parte é restrita a quem tem vínculo aprovado com um município associado.

Apoio ao AMPPESP Fomenta 2026, realizado no Grande Hotel São Pedro, em Águas de São Pedro (SP), entre 10 e 12 de novembro de 2026: programação, credencial e interação durante as palestras.

Controlador dos dados: Associação dos Municípios de Médio e Pequeno Porte do Estado de São Paulo — AMPPESP · CNPJ 34.034.319/0001-50 · Rua José Bonifácio, 274, Sala 3, Centro, Cordeirópolis (SP), CEP 13490-000

A AMPPESP decide quais dados são tratados e para quê, e é a quem você deve dirigir qualquer solicitação sobre seus dados (seção 11).

Operadora: Unicidades Consultoria e Tecnologia da Informação Ltda. · CNPJ 35.475.721/0001-32

A Unicidades desenvolve e mantém o aplicativo, e trata os dados em nome da AMPPESP, seguindo as instruções dela.

Encarregado pelo Tratamento de Dados Pessoais (DPO): MODUS DPO — Paulo Sérgio Longhi Canal de atendimento: Portal do Titular

2. Em resumo

Você cria uma conta com nome e e-mail e passa a acompanhar os comunicados públicos da AMPPESP. Com ela também monta sua agenda do evento, faz perguntas nas palestras, responde enquetes e publica no mural.

• Parte dos comunicados é restrita às prefeituras associadas. Para ter acesso, você pede vínculo e quem aprova é o responsável indicado por aquele município. Ao pedir, seu nome, cargo, empresa e e-mail ficam visíveis para essa pessoa — e só para ela. Detalhes na seção 3.2.
• Você decide se seu perfil fica visível para outros participantes. Por padrão, não fica.
• Você decide se aceita notificações. Pode recusar e usar o aplicativo normalmente.
• Não coletamos CPF, data de nascimento, documentos nem localização.
• O que você publica no feed é visível para os demais participantes e pode ser removido pela moderação.
• Você pode apagar sua conta a qualquer momento, pelo próprio aplicativo.

3. Política de privacidade — dados que tratamos

Nada além do que está descrito abaixo é coletado.

3.1 Cadastro e perfil

3.2 Vínculo com município associado

Parte dos comunicados é restrita a quem trabalha nas prefeituras associadas. Para obter esse acesso, você envia um pedido de vínculo ao município — e quem decide é a pessoa que aquele município indicou como responsável no aplicativo.

O que o responsável pelo município vê sobre você. Ao enviar o pedido, seu nome, cargo, empresa e e-mail passam a ser exibidos para a pessoa responsável por aquele município, e apenas para ela. É o mínimo necessário para que ela reconheça quem está pedindo e decida — nome sozinho se repete, e aprovar a pessoa errada daria a um estranho acesso a comunicados restritos.

Nada disso acontece sem seu pedido. O responsável não vê a lista de quem se cadastrou no aplicativo declarando o município dele. Só aparece para ele quem enviou um pedido. Se você usa o aplicativo apenas para acompanhar o conteúdo público, seus dados não são exibidos para nenhuma prefeitura.

O município que você informa no cadastro não dá acesso a nada. Ele serve para endereçar o pedido ao responsável certo, e nada mais.

Quando o acesso termina. Você deixa de ver o conteúdo restrito se o responsável remover seu vínculo, ou se o município deixar de ser associado. O registro do vínculo permanece pelo prazo da seção 8.

3.2-A Convite feito pelo responsável do município

Quem responde por um município associado pode convidar uma pessoa pelo e-mail, em vez de esperar que ela se cadastre e peça vínculo. Quem é convidado entra já com o vínculo aprovado naquele município.

Este é o único lugar deste documento em que tratamos o dado de alguém que ainda não é usuário do aplicativo — e por isso ele é descrito separadamente.

O que se guarda é só o endereço de e-mail. Não pedimos nem armazenamos nome, telefone, cargo ou qualquer outro dado da pessoa convidada. Quando ela se cadastra, os dados dela são os que ela mesma informa, como em qualquer cadastro — o convite apenas diz a qual município aquele endereço pertence.

Convidar não envia e-mail pelo aplicativo. Depois de registrar o convite, quem convidou recebe uma mensagem pronta para compartilhar pelo aplicativo que preferir — WhatsApp, e-mail, o que estiver no aparelho. A AMPPESP não dispara mensagem para o endereço convidado, e não usa esse endereço para nada além de reconhecer o cadastro quando ele acontecer.

Quem convida assume a responsabilidade pelo endereço que digita. O aplicativo não tem como saber se aquele e-mail pertence a alguém da prefeitura. Se você convida, você declara que o endereço é de uma pessoa que deve ter acesso ao conteúdo restrito daquele município.

Não é possível convidar quem já tem conta. O aplicativo recusa e avisa, e o caminho nesse caso é a própria pessoa pedir vínculo pelo perfil dela.

Você pode apagar um convite que ainda não foi usado — inclusive um já vencido. Apagar remove o registro do endereço. Um convite já usado não é apagado: ele é o registro de quem autorizou um acesso, e nesse caso o caminho é desfazer o vínculo da pessoa.

Se você recebeu um convite e não quer. Basta não se cadastrar: sem cadastro, o convite vence em 30 dias e nada é criado. Para que o endereço seja removido antes disso, peça a quem convidou, ou fale com a AMPPESP pelos contatos da seção 11 — o convite é apagado sem que você precise criar conta para isso.

3.3 Uso do aplicativo

Sobre o anonimato nas perguntas: ao marcar "perguntar anonimamente", seu nome não aparece para a plateia nem para o palestrante. O vínculo com sua conta permanece registrado e é visível para a equipe de moderação — é o que permite responder por conteúdo abusivo. Anônimo perante o público, não perante a organização.

Sobre o voto em enquetes: seu voto individual não é visível para outros participantes nem exibido no painel. Apenas o total agregado por opção é divulgado.

Sobre as avaliações: a nota e o comentário que você dá a uma sessão são visíveis para a organização, não para os outros participantes. O público vê apenas a média.

3.4 Conteúdo que você publica

Quem denuncia não é revelado ao denunciado. Quem bloqueia não é revelado ao bloqueado.

3.5 Notificações e dispositivo

O nome do aparelho é o que você definiu nas configurações do celular e pode conter seu nome (por exemplo, "iPhone de Maria"). Ele é usado apenas para você identificar seus dispositivos e para diagnóstico de entrega.

Você pode revogar a permissão de notificações a qualquer momento nas configurações do sistema operacional, sem perder acesso ao aplicativo.

3.6 Serviços da associação

Estes serviços foram acrescentados ao aplicativo depois da versão 1.1 e tratam dados que as seções anteriores não cobriam.

Sobre o plantão técnico. A conversa é privada entre você e a equipe da AMPPESP — nenhum outro associado a enxerga, nem quem responde por outro município. A equipe lê o conteúdo integral, incluindo o que for enviado por engano: é o que permite responder. Não envie por ali dado pessoal de terceiros, documento de cidadão ou informação sigilosa do município — o plantão é canal técnico, não protocolo oficial.

Sobre a avaliação do atendimento. Encerrado o atendimento, você pode dar uma nota de 1 a 5; nota 1 ou 2 pede que você escreva o motivo. A avaliação não é anônima, e não teria como ser: ela se refere a um atendimento que tem um autor só, então a equipe da AMPPESP vê a nota e o texto ao lado daquela conversa. Isso está dito também na própria tela, antes de você enviar. A avaliação é definitiva — nem você nem a AMPPESP podem alterá-la ou apagá-la depois, e é de propósito: nota que a associação pudesse apagar não mediria nada.

Sobre "Sua opinião" — o que "voto secreto" significa e o que não significa.

Sua resposta individual não é visível para outros associados, e não é visível nem para a equipe da AMPPESP: o painel mostra apenas o total por opção. O que é publicado é o agregado.

Mas seja claro sobre o limite: a resposta fica gravada vinculada à sua conta no banco de dados. É o que permite você trocar de ideia enquanto a consulta está aberta, e o que impede alguém de responder duas vezes. Não é um voto anônimo no sentido de urna — é um voto de acesso restrito. Quem administra a infraestrutura do banco tem, tecnicamente, como chegar até ele.

Dizemos isso porque a diferença importa: se a pergunta for sobre algo que você não responderia de forma identificável, leve isso em conta.

Sobre as marcas de leitura nos prazos. Registramos quais lembretes você marcou como visto, para não repeti-los. É informação sobre o seu uso do aplicativo, não sobre o cumprimento da obrigação pelo município — marcar como visto não declara que o prazo foi cumprido, e a AMPPESP não usa essas marcas para avaliar prefeitura nenhuma.

Sobre o boletim diário. Ele é montado no momento em que você abre, a partir do que você já tem acesso. Não guardamos um registro de quais boletins você leu.

Sobre a biblioteca de documentos. Ela reúne portarias, modelos e orientações que a AMPPESP publica, organizados por tema. Contamos quantas vezes cada documento foi baixado, e não quem baixou: o número é do documento, não da pessoa. A AMPPESP sabe que um modelo foi aberto 40 vezes, e não tem como saber que você o abriu.

Isso é decisão de projeto, e não limitação técnica — registrar quem baixou seria fácil. Preferimos não fazê-lo porque o que a associação precisa saber é quais temas servem, e para isso o total basta.

Nada do que você faz na biblioteca alimenta avaliação de município: não há registro de que uma prefeitura consultou, por exemplo, um modelo de defesa em prestação de contas.

Sobre compartilhar. Ao usar o botão de compartilhar em um comunicado ou prazo, o texto sai do aplicativo pelo aplicativo que você escolher. A partir daí ele deixa de estar sob controle da AMPPESP, e quem recebe pode repassá-lo. Isso vale também para comunicado restrito a associados, que sai marcado como tal.

O compartilhamento de documento da biblioteca funciona de forma diferente, e isso importa. Ali não sai o texto: sai um link temporário para o arquivo, válido por 7 dias. Durante esse prazo, qualquer pessoa com o link baixa o documento, mesmo sem ter conta no aplicativo e sem ser de município associado.

É intencional: o uso previsto é você mandar o modelo para o contador, para o procurador, para quem vai executar o processo — e um link que expira em minutos chegaria inutilizado. São documentos que a associação quer que circulem.

Mas seja claro sobre o efeito: ao compartilhar, você estende a terceiros um acesso que era seu. Passados os 7 dias o link deixa de funcionar; o arquivo que já tenha sido baixado, não volta.

3.7 O que NÃO coletamos

CPF, RG ou qualquer documento · data de nascimento · localização ou GPS · agenda ou contatos do celular · histórico de navegação fora do aplicativo · dados de pagamento · dados sensíveis de origem racial, convicção religiosa, filiação partidária ou sindical, saúde e biometria.

Uma ressalva honesta sobre opinião. As perguntas de "Sua opinião" tratam de prioridade e posicionamento da associação em temas de gestão municipal — recomposição de repasse, custeio da saúde, transporte escolar. São preferências profissionais e institucionais, e não filiação ou preferência partidária, que não perguntamos em nenhum momento. Ainda assim, respostas sobre posicionamento em política pública podem se aproximar do que a LGPD chama de opinião política (art. 5º, II), e por isso preferimos descrever exatamente o que é perguntado a afirmar de forma geral que "não coletamos opinião política". Responder é sempre opcional.

Também não registramos quem baixou cada documento da biblioteca, nem quais temas cada pessoa consultou. Só o total por documento — ver a seção 3.6.

O aplicativo não usa cookies de rastreamento, publicidade ou ferramentas de analytics de terceiros.

4. Câmera e fotos

O aplicativo pede acesso à câmera para ler o QR Code do credenciamento e para fotografar imagens que você escolher publicar.

Pede acesso à galeria apenas quando você toca em escolher uma imagem.

Em ambos os casos, só é enviado o que você seleciona. O aplicativo não acessa sua galeria em segundo plano e não grava áudio — a permissão de microfone é explicitamente bloqueada no aplicativo.

5. Termos de uso: regras de conduta e conteúdo

Ao publicar no feed, comentar ou enviar perguntas, você concorda com estas regras. Não há tolerância para conteúdo abusivo.

5.1 É permitido

O mural existe para a troca entre municípios. É bem-vindo:

• Comentar as palestras e o que você aprendeu nelas
• Fazer perguntas e pedir indicação a outros municípios
• Compartilhar experiência da sua gestão, inclusive o que deu errado
• Divulgar iniciativa do seu município que possa servir a outro
• Fotos do evento e das pessoas que autorizaram aparecer

5.2 É proibido

• Assédio, ameaça, intimidação ou ataque pessoal a qualquer pessoa
• Discurso de ódio ou discriminação por origem, raça, etnia, gênero, orientação sexual, religião, deficiência ou idade
• Conteúdo sexual ou pornográfico
• Violência, ou apologia a ela
• Spam, propaganda não autorizada ou golpes
• Informação sabidamente falsa
• Dados pessoais de terceiros sem autorização
• Conteúdo protegido por direito autoral de terceiros
• Uso de conta de outra pessoa, ou personificação

5.3 Ferramentas à sua disposição

• Denunciar qualquer publicação, comentário ou participante
• Bloquear um participante — o bloqueio é recíproco: nenhum dos dois passa a ver o conteúdo do outro
• Apagar suas próprias publicações e comentários a qualquer momento

5.4 O que fazemos

Toda publicação passa por aprovação da equipe antes de aparecer no mural. Nenhuma vai direto ao feed. Comentários não passam por essa aprovação e aparecem imediatamente. Enquanto espera, ela fica visível apenas para você, marcada como aguardando aprovação — e você recebe um aviso quando for liberada.

Registramos quem aprovou e quando. Esse registro permanece mesmo que a publicação seja retirada depois.

Editar uma publicação já aprovada devolve ela à fila, e ela sai do mural até nova aprovação. É o que impede que um texto aprovado seja trocado por outro depois da liberação.

Analisamos também as denúncias, e podemos remover conteúdo ou suspender contas. Publicações que acumulam denúncias independentes são retiradas do feed automaticamente e aguardam revisão humana — medida cautelar e reversível.

A organização pode remover conteúdo e suspender participantes que violem estas regras, sem aviso prévio quando a gravidade justificar.

5.5 Se a denúncia não resolver

Se você denunciou algo e considera que a resposta foi insuficiente, ou se precisa relatar conteúdo grave com urgência, fale direto com a organização pelo WhatsApp 0800 019 0909. Durante o evento, você também pode procurar a equipe no credenciamento.

Para assunto relativo aos seus dados pessoais — e não a conteúdo de terceiros — use o Portal do Titular (seção 11).

6. Com quem compartilhamos

Não vendemos, alugamos nem cedemos seus dados. O compartilhamento se limita à infraestrutura necessária para o aplicativo funcionar:

Também podemos compartilhar dados para cumprir obrigação legal ou ordem de autoridade competente.

Transferência internacional

O banco de dados fica no Brasil. O projeto Supabase está na região de São Paulo (sa-east-1), o que significa que seu cadastro, seu perfil, o que você publica, suas perguntas e seus check-ins não saem do território nacional — não há transferência internacional desses dados, e portanto os artigos 33 a 36 da LGPD não se aplicam a eles.

A exceção é a entrega de notificações, e apenas ela. Para que um aviso chegue ao seu celular, o token do aparelho e o texto da notificação passam pelos serviços da Expo, da Google (Android) e da Apple (iPhone), que operam fora do Brasil. Não existe forma de entregar notificação push sem passar por eles: são as únicas rotas que os sistemas Android e iOS aceitam.

É por isso que a organização é orientada a não incluir informação pessoal sensível no título ou no corpo dos avisos. A entrega de notificações (Expo, Apple, Google) envolve transferência internacional em qualquer cenário.

7. Segurança

• Todo o tráfego entre o aplicativo e os servidores é criptografado (HTTPS)
• Senhas são armazenadas apenas como hash criptográfico
• Suas credenciais de acesso ficam guardadas no cofre seguro do sistema operacional do seu aparelho (Keychain no iPhone, Keystore no Android), e são excluídas do backup do aparelho
• O acesso aos dados é controlado linha a linha no banco: cada participante alcança apenas o que lhe diz respeito, e essa regra é aplicada no servidor, não no aplicativo
• Backups periódicos da base

Nenhum sistema é imune. Em caso de incidente de segurança com risco relevante, comunicaremos os titulares afetados e a Autoridade Nacional de Proteção de Dados, conforme o artigo 48 da LGPD.

8. Por quanto tempo guardamos

Os dois prazos de 5 anos têm fundamentos diferentes, ainda que coincidam no número: o registro de participação é guardado para prestação de contas (art. 16, I), e os registros de moderação e de aceite são guardados para que a organização possa exercer seus direitos se algo for questionado (art. 16, II e III).

Passados os prazos, os dados são eliminados.

9. Como excluir sua conta

Em Perfil → Excluir minha conta, a qualquer momento, sem precisar falar com ninguém. A exclusão é imediata e definitiva.

9.1 O que é apagado

• Sua conta de acesso e seu perfil, incluindo nome, foto, cargo, empresa, bio e cidade
• Seus favoritos, curtidas e votos em perguntas e enquetes
• Sua caixa de avisos e os tokens de notificação
• Suas avaliações de palestras
• Seus bloqueios e as denúncias que você fez
• Suas conversas do plantão técnico, por inteiro — a pergunta, os complementos e as respostas que a equipe deu naquela conversa, e as notas que você deu aos atendimentos
• Suas respostas em "Sua opinião" — e o total de cada consulta é recalculado sem elas
• As marcas de "visto" e "dispensar" que você deixou nos prazos

Você deixa de conseguir entrar no aplicativo.

9.2 O que continua, e por quê

O que você publicou permanece no feed, sem o seu nome, exibido como "Participante removido". Publicação, comentário e pergunta são desvinculados de você de forma irreversível.

O motivo é que apagar romperia conversas de outras pessoas: um comentário seu numa discussão pode ser a resposta que dá sentido ao que outra pessoa escreveu. Desvinculado do autor, o conteúdo deixa de ser dado pessoal seu (LGPD, art. 12).

O plantão técnico é a exceção, e no sentido que favorece você. Ali a conversa é apagada de verdade, e não desvinculada. A razão da regra acima não se aplica: não há discussão coletiva para preservar — é uma conversa de duas partes, e sem você ela não faz sentido nem para a AMPPESP. A resposta que a equipe escreveu vai junto.

O registro do seu cadastro e da sua presença no evento é mantido por 5 anos, com nome, e-mail e telefone, em base separada e inacessível pelo aplicativo.

Isso não é escolha de conveniência. A AMPPESP precisa comprovar quem participou do evento para fins de prestação de contas — obrigação contábil e fiscal cujo prazo geral de guarda é de cinco anos. É a hipótese do artigo 16, I da LGPD: conservação necessária para cumprimento de obrigação legal ou regulatória. Por isso esse registro permanece mesmo depois de você excluir a conta.

Passados os 5 anos, contados do encerramento do exercício em que o evento ocorreu, o registro é eliminado.

Essa base não é usada para lhe enviar comunicação, não é compartilhada com terceiros e não alimenta o aplicativo. Ela existe para responder a uma pergunta só: quem participou do AMPPESP Fomenta 2026.

9.3 Se você se cadastrar de novo

Nada volta. A conta nova é uma conta nova: o conteúdo antigo permanece sem autor, e não é reatribuído a você. O registro de cadastro apenas deixa de estar marcado como excluído.

10. Seus direitos

Conforme o artigo 18 da LGPD, você pode a qualquer momento:

• Confirmar se tratamos seus dados e acessá-los
• Corrigir dados incompletos ou desatualizados — a maior parte você mesmo edita no aplicativo
• Solicitar anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a lei
• Solicitar a portabilidade dos seus dados
• Revogar o consentimento, nos tratamentos que dependem dele — visibilidade no diretório, foto e notificações
• Ser informado sobre com quem compartilhamos seus dados
• Opor-se a tratamento fundado em legítimo interesse
• Peticionar perante a Autoridade Nacional de Proteção de Dados

Responderemos em até 15 dias, contados do registro do pedido no Portal do Titular (seção 11).

O prazo é o mesmo para qualquer solicitação, e corresponde ao que o artigo 19 da LGPD estabelece para a declaração completa de acesso aos dados. Para pedidos simples — confirmar se você tem conta, por exemplo — costumamos responder bem antes disso.

Se o pedido chegar durante os dias do evento, o prazo continua valendo: ele é contado do recebimento, não do fim do evento.

11. Contato

Encarregado pelo Tratamento de Dados Pessoais: MODUS DPO — Paulo Sérgio Longhi

Para qualquer solicitação sobre seus dados — acesso, correção, exclusão, portabilidade ou revogação de consentimento (seção 10) — use o Portal do Titular:

Portal do Titular — abrir

O pedido é registrado com protocolo e encaminhado ao Encarregado, o que permite acompanhar o andamento e garante o cumprimento do prazo de 15 dias.

Suporte do aplicativo: WhatsApp 0800 019 0909

Use para problema no aplicativo: não conseguir entrar, o QR da credencial não ser lido, a agenda não carregar. Durante o evento este é o canal mais rápido — você também pode procurar a equipe no credenciamento.

12. Menores de idade

O aplicativo destina-se a maiores de 18 anos, público do AMPPESP Fomenta

1. Não coletamos intencionalmente dados de crianças ou adolescentes.

Se identificarmos um cadastro de menor de 18 anos, a conta será excluída e os dados apagados, conforme a seção 9. Se você é responsável e acredita que um menor sob sua responsabilidade criou conta, registre o pedido no Portal do Titular (seção 11) e trataremos com prioridade.

13. Alterações

Podemos alterar este documento. Mudanças relevantes serão comunicadas pelo aplicativo, e um novo aceite poderá ser solicitado.

Cada versão recebe um identificador, registrado junto ao seu aceite — é assim que sabemos qual versão você aceitou e quando.

O que mudou na 1.6

• Convite pelo e-mail (seção 3.2-A): quem responde pelo município pode convidar uma pessoa pelo endereço de e-mail, e quem é convidado entra já com vínculo aprovado. É o único tratamento neste documento de dado de quem ainda não é usuário, e está descrito em seção própria — inclusive como pedir a remoção do endereço sem criar conta.
• Avaliação do atendimento do plantão técnico (seção 3.6): nota de 1 a 5 e, nas notas baixas, uma justificativa escrita. Entrou na versão 1.5, que não chegou a vigorar.
• Nome do aplicativo: passou a ser AMPPESP App. Mesmo aplicativo, mesmo desenvolvedor, mesmos dados — só o nome nas lojas mudou.

O que mudou na 1.5

Esta versão foi redigida em 3 de setembro de 2026 e não chegou a vigorar: o conteúdo dela está incorporado à 1.6. Fica registrada para que a numeração não tenha buraco.

O que mudou na 1.4

Publicação no mural passou a exigir aprovação da equipe (seção 5.4). Antes, o que você publicava aparecia na hora e podia ser removido depois; agora nada vai ao feed sem que alguém da organização libere. É mudança relevante no que acontece com o seu conteúdo, e por isso um novo aceite é solicitado.

Junto com ela: passamos a registrar quem aprovou sua publicação e quando (seção 3.4), e editar uma publicação já aprovada devolve ela à fila.

Entrou também a lista do que é permitido (seção 5.1) — ela não restringe nada, descreve o que o mural espera. As proibições da 1.3 continuam iguais, na 5.2.

O que mudou na 1.3

Entrou a biblioteca de documentos (seção 3.6): a contagem de downloads por documento, o fato de não registrarmos quem baixou, e — o ponto que mais muda para você — que compartilhar um documento envia um link válido por 7 dias que funciona para qualquer pessoa que o receba, inclusive quem não é associado.

Nada foi retirado em relação à 1.2, e nenhuma finalidade anterior mudou.

Versão atual: 1.6 · Última alteração: 9 de setembro de 2026