Termos & Privacidade

Relatório de Impacto à Proteção de Dados (RIPD)

Elaborado em conformidade com o art. 38 da Lei nº 13.709/2018 (LGPD) e com a Resolução CD/ANPD nº 2/2022, seguindo as diretrizes do Gabinete de Projetos e Proteção de Dados (GPPD) da USP.

Identificação do tratamento

• Denominação: Pesquisa acadêmica sobre integridade no esporte e apostas esportivas
• Controlador: Universidade de São Paulo (CNPJ 63.025.530/0001-04), por meio do programa de Pós-Graduação em Educação Física e Esporte (EEFE-USP)
• Finalidade: Coleta de adesão voluntária ao Compromisso de Integridade Esportiva, geração de estatísticas acadêmicas e publicação de resultados de pesquisa de doutorado
• Base legal: Consentimento do titular (art. 7º, I) e pesquisa científica (art. 7º, IV; art. 11, II, b para dado sensível de abordagem suspeita)

Dados tratados e necessidade

• Nome completo — identificação do signatário e emissão do certificado
• CPF / Passaporte — unicidade e verificação de identidade; armazenado apenas em forma de hash (SHA-256 + PBKDF2-SHA256, 100.000 iterações) e máscara (XXX.***.***-XX)
• E-mail — envio de código de verificação, contato institucional e eventual exercício de direitos LGPD
• Telefone — contato de verificação complementar
• Endereço (cidade/estado) — análise geográfica agregada para a pesquisa
• Área de atuação, modalidade, UF, tempo de atuação — categorização estatística da amostra
• Resposta sobre abordagem suspeita — dado sensível coletado apenas com consentimento específico (LGPD Art. 11, II, b); finalidade exclusiva de pesquisa

Riscos identificados e medidas adotadas

• Acesso não autorizado à base: dados sensíveis armazenados com criptografia simétrica (HMAC-SHA256 stream cipher, nonce aleatório por registro); CPF nunca armazenado em claro
• Coleta excessiva: minimização aplicada — CPF coletado apenas em hash/máscara; resposta sobre abordagem suspeita requer consentimento adicional
• Retenção indefinida: dados excluídos a pedido do titular (direito ao esquecimento, Art. 18, VI); rascunho local expira em 24 horas
• Internacionalização: dados temporariamente processados por Google LLC (EUA) via Google Apps Script / Sheets — ver cláusula 9 abaixo
• Acesso indevido ao painel: autenticação com hash de senha (SHA-256, servidor) + token de sessão com expiração + rate limit progressivo

Avaliação de risco residual

O risco residual é considerado baixo, dado que: (i) CPF nunca é armazenado em claro; (ii) dados pessoais diretamente identificáveis são criptografados em repouso; (iii) o ambiente de processamento (Google Workspace for Education) está sob contrato específico com a USP com cláusulas de proteção de dados; (iv) a pesquisa não envolve decisões automatizadas com efeitos jurídicos sobre os titulares.

Este RIPD é atualizado sempre que houver alteração significativa nas finalidades, nos dados tratados ou nas medidas de segurança. Versão vigente desde 25/04/2026.

Transferência Internacional de Dados

Em conformidade com o art. 33 da Lei nº 13.709/2018 (LGPD), informamos que os dados coletados neste site são processados por serviços da Google LLC (sede: 1600 Amphitheatre Parkway, Mountain View, CA 94043, EUA), empresa que presta à USP os serviços de planilha (Google Sheets) e processamento de código (Google Apps Script).

Fundamento da transferência

A transferência se sustenta em:

• Contrato USP–Google (Google Workspace for Education): inclui as Cláusulas Contratuais Padrão aprovadas pela Comissão Europeia (SCCs), reconhecidas como salvaguardas adequadas para fins do art. 33, II da LGPD e da Portaria MJ nº 1.221/2023
• Adequação setorial: o Google LLC está certificado no EU-U.S. Data Privacy Framework, indicativo de nível de proteção compatível com padrões internacionais

Dados transferidos

Apenas os dados necessários à execução da pesquisa são enviados: nome, e-mail (criptografados em repouso), CPF em hash/máscara, dados de atuação esportiva e timestamp de adesão. Nenhum dado é utilizado pelo Google para fins comerciais próprios no âmbito do Google Workspace for Education.

Direitos do titular

Mesmo com a transferência internacional, você mantém todos os direitos previstos no art. 18 da LGPD. Para exercê-los, entre em contato com nossa Encarregada de Proteção de Dados pelo e-mail integridade@usp.br.

Plano de Resposta a Incidentes de Segurança

Em cumprimento ao art. 48 da Lei nº 13.709/2018 (LGPD) e à Resolução CD/ANPD nº 2/2022, este plano define os procedimentos adotados em caso de incidente de segurança envolvendo dados pessoais dos titulares desta pesquisa.

Definição de incidente relevante

Considera-se incidente relevante qualquer evento que possa acarretar risco ou dano relevante aos titulares, incluindo: acesso não autorizado à base de dados, vazamento de dados pessoais, destruição ou alteração indevida de registros.

Etapas de resposta

1. Contenção imediata (até 2h): suspensão do acesso ao sistema afetado; revogação de credenciais comprometidas; registro do incidente com data, hora e natureza
2. Avaliação (até 24h): identificação dos dados afetados, número estimado de titulares impactados e probabilidade de dano
3. Comunicação à ANPD (até 72h): se o incidente envolver risco relevante, notificação à ANPD via portal gov.br/anpd, conforme Resolução CD/ANPD nº 2/2022
4. Comunicação aos titulares: em prazo razoável, notificação aos titulares afetados por e-mail, informando a natureza dos dados, os riscos decorrentes e as medidas adotadas
5. Remediação: correção da vulnerabilidade, atualização das medidas de segurança e documentação para fins de accountability (art. 6º, X, LGPD)

Responsáveis

• Encarregada de Proteção de Dados (DPO): responsável pela comunicação com a ANPD e coordenação do plano
• Pesquisadora responsável: responsável pela contenção técnica e avaliação de impacto
• Contato para relato de incidente: integridade@usp.br

Este plano é revisado anualmente e sempre que houver alteração relevante na infraestrutura de tratamento de dados. Versão vigente desde 25/04/2026.