Rascunho para revisão jurídica. Este texto ainda será revisado por advogado antes de entrar em vigor. Os campos destacados entre colchetes serão preenchidos na versão final.

Política de Privacidade

Versão 0.1 (rascunho) · atualizada em 5 de novembro de 2026

1Quem cuida dos seus dados

O controlador dos dados pessoais tratados no TORCIDAS é [RAZÃO SOCIAL], CNPJ [CNPJ], com sede em [ENDEREÇO COMPLETO].

Encarregado pelo tratamento de dados (DPO): [NOME DO ENCARREGADO], pelo e-mail [E-MAIL DO ENCARREGADO]. É com ele que você fala sobre seus dados e seus direitos.

2A quem esta política se aplica

Esta política vale para quem joga o TORCIDAS (como convidado e, quando existir, com conta), para os pais e responsáveis de jogadores menores de idade, para anunciantes e para quem visita as páginas do site.

Ela segue a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018), o Marco Civil da Internet (Lei 12.965/2014), o Estatuto da Criança e do Adolescente e o Código de Defesa do Consumidor. Ela complementa os Termos de Uso.

3Que dados tratamos, parte por parte

3.1 Ao entrar no jogo como convidado

• Código de convidado: um identificador aleatório criado pelo seu navegador, guardado nele e enviado ao servidor quando você entra. Sozinho, ele não diz quem você é. Ele nunca é mostrado a outros jogadores.
• Apelido (até 20 caracteres), torcida escolhida (Corinthians ou Palmeiras) e visual do torcedor (tipo de corpo do personagem, roupas, acessórios e título equipados). Esses dados são públicos para os outros jogadores. O tipo de corpo é só uma escolha de personagem, não o seu gênero.
• Progresso guardado só no seu navegador: nível e experiência, missões, estatísticas de jogo, créditos de teste, histórico local e configurações. Esses dados não são enviados ao servidor (veja a seção 8).

3.2 Enquanto você joga (dados em tempo real)

• Posição e direção do seu torcedor no mapa do jogo, movimentos, gestos (emotes), lugar na arquibancada, votos nas jogadas, pontuação na sala e se a aba do jogo está visível ou escondida.
• Esses dados ficam na memória do servidor só enquanto você está conectado e não são gravados em arquivo. A posição, o apelido, a torcida, o visual e os gestos aparecem para os outros jogadores da mesma sala. O seu apelido pode aparecer nos rankings, no placar da partida e em prêmios como “Voz da Arquibancada”.

3.3 Carteira de Torcida Coins, Loja e Mercado

• Código de convidado, identificador público da sua vitrine (diferente do código de convidado, que não pode ser descoberto a partir dele), apelido, saldo de TC e TC ganhos em partidas.
• Itens que você tem (cada cópia com número único, origem e data), seus anúncios no Mercado (item, preço, datas, situação e comprador) e um livro-razão com todas as movimentações (prêmios, compras, vendas e taxas), com data e hora.
• Outros jogadores veem o seu apelido, a sua vitrine, os seus anúncios ativos e o número de vendas.

3.4 Guildas e Liga das Guildas

• Para cada membro: código de convidado, apelido e cargo (presidente, técnico ou membro). Para a guilda: nome, sigla, cores, escudo, elenco, escalação e resultados.
• Nome, sigla, escudo, apelidos e cargos dos membros e resultados são visíveis para os outros jogadores.

3.5 Contagem de visualizações dos telões

• Quando um telão aparece na sua tela, o seu navegador avisa o servidor (“vi o telão X nesta exibição”). O servidor confere a posição e a direção do seu torcedor no mapa do jogo, há quanto tempo você está no jogo e se a aba está visível. Só então decide se conta a visualização.
• Para não contar a mesma pessoa duas vezes, o servidor guarda na memória que o seu código de convidado viu aquele anúncio. Ele também guarda a data da última vez que o seu código entrou no jogo, para mostrar quantos jogadores passaram nas últimas 24 horas.
• Anunciantes recebem só números agregados (visualizações por hora e por telão), nunca o seu apelido ou o seu código. Esses dados não são usados para criar perfil nem para escolher que anúncio você vê.

3.6 Relatórios de erro (diagnóstico)

• Quando acontece um erro no seu aparelho, e também uma vez quando você chega à praça (para sabermos em quais aparelhos o jogo funciona), o navegador envia um relatório técnico curto.
• O relatório traz: tipo e mensagem do erro, trecho técnico do erro, etapa do carregamento, segundos desde a abertura, navegador e sistema (user agent), tamanho da tela e da janela, densidade de pixels, memória aproximada do aparelho, qualidade gráfica, versão do WebGL, modelo e limites da placa de vídeo e o endereço do site.
• Não vão no relatório: endereço IP, código de convidado, apelido ou qualquer dado de identificação.

3.7 Anunciantes

• Nome da marca ou do anunciante e e-mail para o recibo e o painel.
• A arte enviada (imagem ou vídeo) ou os dados do cartão de perfil (nome, @ de rede social e frase).
• Valor, visualizações compradas e entregues, números por hora e por telão, situação da campanha, datas, motivo de recusa (se houver) e a referência do pagamento.
• Se você pedir nota fiscal: nome ou razão social, CPF ou CNPJ e endereço.
• O link do painel tem um código secreto que dá acesso aos números da campanha.
• A arte e o cartão de perfil são exibidos publicamente nos telões do jogo, que é justamente o objetivo do anúncio.

3.8 Pagamentos

Os pagamentos são processados pela Stripe. Os dados do cartão ou do Pix são digitados no ambiente da Stripe e não passam pelos nossos servidores. Recebemos só a confirmação, o valor, a situação e uma referência do pagamento. A Stripe também trata dados por conta própria, como controladora, para prevenir fraude e cumprir obrigações legais, conforme a política de privacidade dela. Hoje o pagamento está em modo de teste e não há cobrança real.

3.9 Login (em breve)

Quando o login existir, ele será feito pelo Supabase Auth. Com e-mail, trataremos o seu e-mail e a credencial de acesso (senha guardada de forma criptografada, ou link de acesso). Com conta Google, trataremos o nome, o e-mail, a foto de perfil e o identificador que você autorizar na tela do Google. Esta política será atualizada antes do lançamento do login.

3.10 Registros de acesso e segurança

• Seu endereço IP é usado para a conexão funcionar. Nas páginas de anúncios e de diagnóstico, o servidor também usa o IP só na memória, por até 1 hora, para limitar tentativas em excesso (proteção contra spam e abuso).
• O Marco Civil da Internet (art. 15) exige que guardemos os registros de acesso à aplicação (endereço IP, data e hora) por 6 meses, em sigilo e em ambiente controlado. Esses registros só são entregues a terceiros por ordem judicial.
• Nossos provedores de hospedagem (Cloudflare e Render) registram dados técnicos dos acessos, como IP, navegador e página pedida, para segurança e funcionamento.

3.11 O que não coletamos

Nome real (de quem joga como convidado), CPF de jogador, telefone, endereço, fotos suas, lista de contatos, localização do aparelho (GPS), câmera ou microfone. Não usamos Google Analytics, pixels de redes sociais ou de anúncios nem técnicas de rastreamento entre sites. As “fotos” dos itens na loja e no vestiário são imagens geradas no seu próprio aparelho, não fotos suas.

4Para que usamos e com qual base legal

Cada uso tem uma base legal do art. 7º da LGPD:

Não usamos seus dados para publicidade personalizada nem para criar perfil de comportamento. Não enviamos e-mail de marketing sem o seu consentimento. Os e-mails aos anunciantes são só sobre a campanha.

Para dados de crianças e adolescentes, seguimos o art. 14 da LGPD e o Enunciado CD/ANPD nº 1/2023: o tratamento pode se apoiar nas bases legais acima, sempre no melhor interesse deles (veja a seção 9).

5Com quem compartilhamos

Usamos fornecedores (operadores) que tratam dados em nosso nome, só para as finalidades acima:

Dados de futebol (ESPN): os placares e tabelas são buscados pelo nosso servidor. O seu navegador nunca se conecta à ESPN, e nenhum dado seu é enviado a ela.

Também podemos compartilhar dados:

• com autoridades, quando a lei ou uma ordem judicial exigir;
• para defender os nossos direitos ou os de outros jogadores, em caso de fraude, crime ou desrespeito aos Termos;
• com quem vier a assumir o TORCIDAS em caso de venda, fusão ou reorganização da empresa. Essa empresa terá de respeitar esta política.

Não vendemos nem alugamos dados pessoais.

6Transferência para outros países

Os fornecedores da seção 5 guardam ou processam dados fora do Brasil, principalmente nos Estados Unidos. Isso é uma transferência internacional de dados (art. 33 da LGPD). Nós a fazemos com base em:

• cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024), incluídas nos contratos com os fornecedores;
• e, quando for o caso, na necessidade de executar o contrato com você (art. 33, IX, da LGPD).

Escolhemos fornecedores que usam criptografia na transmissão e no armazenamento e têm programas de segurança reconhecidos. Se quiser saber mais sobre as garantias de cada transferência, escreva ao encarregado.

7Por quanto tempo guardamos

Depois desses prazos, os dados são apagados ou anonimizados, salvo quando a lei permitir guardar por mais tempo (art. 16 da LGPD).

8Navegador, armazenamento local e cookies

O TORCIDAS não cria cookies próprios. O jogo guarda algumas informações no armazenamento local do seu navegador (localStorage e sessionStorage), para lembrar o seu progresso e as suas preferências. Exceto o código de convidado, essas informações não saem do seu aparelho.

Cookies de terceiros: a Cloudflare pode gravar cookies técnicos de segurança para filtrar robôs, e a Stripe grava cookies próprios na página de pagamento dela. Quando houver login, a sessão também ficará guardada no navegador. Nenhum desses cookies é usado para publicidade.

Como não usamos cookies de publicidade nem de análise, não mostramos banner de cookies. Para apagar tudo, use as configurações do navegador (dados do site). Para apagar só o progresso de convidado, use Configurações › Dados locais › Apagar progresso de convidado, dentro do jogo. Lembre-se: sem o código de convidado, não é possível recuperar a carteira e os itens no servidor.

9Crianças e adolescentes

Sabemos que muitos torcedores são menores de idade. Por isso:

• menores de 18 anos só jogam com autorização dos pais ou responsáveis, e crianças (até 12 anos incompletos) só com o consentimento e a supervisão de pelo menos um dos pais ou do responsável (art. 14 da LGPD);
• coletamos o mínimo: o convidado joga sem nome real, e-mail, telefone ou foto;
• não há bate-papo aberto com desconhecidos;
• não criamos perfil de comportamento e não personalizamos anúncios. Todos veem os mesmos telões;
• não há caixas de recompensa (loot boxes) nem sorteio de itens;
• compras com dinheiro (créditos e anúncios) são só para maiores de 18 anos.

Seguimos o Estatuto da Criança e do Adolescente e as regras de proteção de crianças e adolescentes em ambientes digitais (Lei 15.211/2025).

Pais e responsáveis: para acessar, corrigir ou apagar os dados de um menor, escreva ao encarregado com o apelido usado e, se possível, o código de convidado. Podemos pedir informações para confirmar que você é o responsável. Se descobrirmos que tratamos dados de uma criança sem a autorização adequada, apagaremos esses dados.

10Seus direitos

Pela LGPD (art. 18), você pode pedir a qualquer momento:

• confirmação de que tratamos dados seus e acesso a eles;
• correção de dados incompletos, errados ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei;
• portabilidade dos dados a outro fornecedor, conforme a regulamentação da ANPD;
• eliminação dos dados tratados com base no seu consentimento;
• informação sobre com quem compartilhamos os seus dados;
• informação sobre a possibilidade de não dar consentimento e o que acontece se você não der;
• revogação do consentimento, quando ele for a base do tratamento;
• revisão de decisões tomadas só por meios automáticos que afetem seus interesses (art. 20; veja a seção 14);
• oposição a um tratamento baseado em legítimo interesse, se achar que ele desrespeita a lei.

Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

11Como exercer seus direitos

• Escreva para o encarregado: [E-MAIL DO ENCARREGADO]. É gratuito.
• Jogador convidado: informe o apelido e o código de convidado. Como não temos o seu nome ou e-mail, o código é o que prova que os dados são seus. Se não souber encontrá-lo, escreva assim mesmo e ajudamos você.
• Anunciante: escreva do e-mail informado na campanha.
• Respondemos na hora, de forma simplificada, quando possível, e com a resposta completa em até 15 dias (art. 19 da LGPD).
• Ao apagar os dados de um convidado, removemos a carteira, os itens, os anúncios do Mercado e a participação em guildas. As movimentações do livro-razão que precisam continuar existindo (por exemplo, a venda para outro jogador) ficam anonimizadas.
• Dados guardados só no seu navegador você mesmo apaga, como explicado na seção 8.
• Alguns dados podem ser mantidos mesmo após o pedido, quando a lei exigir (como registros de acesso e dados fiscais), pelo prazo da seção 7.

12Segurança

• Toda a comunicação usa conexão criptografada (HTTPS/WSS).
• O servidor é a única fonte da verdade: o jogo no seu navegador só faz pedidos, e o servidor confere cada um (movimento, compra, venda, prêmio, visualização).
• Chaves e senhas de serviço ficam em variáveis de ambiente, nunca no código nem no navegador. A administração exige uma chave longa e secreta.
• As cópias de segurança e as artes ficam em armazenamento privado no Supabase. Há limite de tentativas contra abuso.
• Coletamos o mínimo necessário, e só a equipe que precisa tem acesso aos dados.

Nenhum sistema é totalmente seguro. Se você encontrar uma falha, avise-nos em [E-MAIL DE CONTATO] antes de divulgá-la.

13Incidentes de segurança

Se ocorrer um incidente de segurança que possa causar risco ou dano relevante a você, vamos comunicar a ANPD e as pessoas afetadas em até 3 dias úteis, como prevê a Resolução CD/ANPD nº 15/2024. A comunicação explicará o que aconteceu, quais dados foram envolvidos, os riscos e as medidas tomadas. Ela será feita pelo e-mail que tivermos ou por aviso no jogo e no site.

14Decisões automatizadas

Algumas decisões são tomadas pelo servidor automaticamente:

• se uma visualização de telão conta ou não, o que define quanto o anunciante paga;
• se a sua carteira já pode usar o Mercado (mínimo de TC ganhos em partidas);
• a qualidade gráfica do jogo no seu aparelho.

Você pode pedir a revisão de uma decisão automatizada que afete os seus interesses (art. 20 da LGPD) pelo e-mail do encarregado. Não usamos decisões automatizadas para criar perfil de consumo ou de comportamento.

15Mudanças nesta política

Esta política vai mudar quando o jogo mudar (por exemplo, com a chegada do login ou da compra de créditos) ou quando a lei mudar. A data no topo mostra a versão em vigor. Mudanças importantes serão avisadas no jogo ou no site antes de valer.

16Contato e ANPD

[RAZÃO SOCIAL] · CNPJ [CNPJ]
[ENDEREÇO COMPLETO]
Encarregado: [NOME DO ENCARREGADO] · [E-MAIL DO ENCARREGADO]

Se não ficar satisfeito com a nossa resposta, você pode procurar a Autoridade Nacional de Proteção de Dados em gov.br/anpd.