Política de privacidade

Esta política explica quais dados o Raio-X Prop guarda, para que usa, com quem divide e como você pede para ver, corrigir ou apagar seus dados. Ela segue a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018).

O controlador dos dados é a Jediti, empresa sediada em Portugal que opera o Raio-X Prop. Os dados completos da empresa estão nos termos de uso.

1. Dados que guardamos

• Cadastro: nome, e-mail, celular e se o número tem WhatsApp.
• Senha: não guardamos a senha. Guardamos só um resumo cifrado dela (bcrypt), que não pode ser revertido.
• Contas de mesa que você cadastra: mesa e plano, apelido, fase (avaliação ou conta real), saldo inicial, data da compra e situação.
• Resultados diários: saldo, resultado do dia e, se você informar, o saldo máximo do dia e uma observação.
• Caixa: custos de avaliação, reset e ativação, saques recebidos, câmbio e observações.
• Plano e pagamentos: plano contratado, período, valor, datas e a referência do pagamento. Não guardamos número de cartão.
• Segurança: nos eventos de login, cadastro, recuperação de senha e verificação contra robôs, guardamos o e-mail usado, o endereço IP e o navegador (user agent).
• Consentimento de ofertas: se você marcou que quer receber novidades e ofertas, guardamos a data desse aceite. Ele é separado do aceite destes termos.
• Envio de e-mails: para saber se os e-mails estão chegando, registramos só o domínio do destinatário (por exemplo, gmail.com), não o endereço completo.

2. Para que usamos e com qual base legal

Não vendemos seus dados. Não usamos seus dados para publicidade de terceiros. Nenhuma mesa recebe seus dados.

3. Com quem dividimos (operadores)

Usamos poucos fornecedores, só para o serviço funcionar. Eles tratam os dados em nosso nome:

• Hetzner (Alemanha): servidor onde ficam o app, o banco de dados e os backups, na União Europeia.
• Cloudflare (Estados Unidos): DNS, proxy de proteção do site e o Turnstile, a verificação contra robôs no login, no cadastro e na recuperação de senha. O tráfego do site passa pela Cloudflare, que vê seu IP e navegador.
• Resend (Estados Unidos): envio dos e-mails de confirmação, recuperação de senha e alertas. Recebe seu e-mail e o texto da mensagem.
• Google Fonts (Estados Unidos): as fontes do site são carregadas do Google, que recebe seu IP e navegador ao abrir a página.
• Processador de pagamento: quando você assina um plano pago, o pagamento (Pix ou cartão) é feito no ambiente do processador. Ele recebe os dados de pagamento; nós recebemos só a confirmação.

Também podemos entregar dados a autoridades quando a lei ou uma ordem judicial exigir.

4. Transferência internacional

O servidor fica na União Europeia (Hetzner), e a Jediti está em Portugal. A Cloudflare, o Resend e o Google ficam nos Estados Unidos. Por isso seus dados saem do Brasil. Essa transferência é feita para cumprir o contrato com você e com fornecedores que oferecem garantias de proteção de dados em contrato, conforme o artigo 33 da LGPD.

5. Por quanto tempo guardamos

• Dados da conta, contas de mesa, resultados e caixa: enquanto sua conta existir. Quando você pede a exclusão, eles são apagados do banco.
• Eventos de segurança: o IP é cortado depois de 30 dias (os últimos números são apagados) e o evento inteiro é apagado depois de 180 dias.
• Links de confirmação de e-mail e de nova senha: guardamos só um resumo cifrado do link. O de confirmação vale 24 horas, o de nova senha vale 1 hora, e cada um funciona uma vez só. O registro é apagado 30 dias depois de vencer.
• Registro de envio de e-mails (só o domínio): 180 dias.
• Vendas e reembolsos: pelo prazo que a lei fiscal exigir, mesmo depois da exclusão da conta, sem ligação com o seu cadastro.
• Backups: uma cópia cifrada do banco é feita todo dia. Guardamos 7 cópias diárias, 4 semanais e 6 mensais. Dados apagados do banco somem dos backups conforme as cópias antigas são substituídas, em até cerca de 6 meses. Os backups não são usados para nada além de recuperar o serviço em caso de falha.
• Prova da exclusão: quando apagamos uma conta, guardamos só um resumo cifrado do e-mail e a data, para provar que o pedido foi atendido. Nos eventos de segurança, o e-mail vira "deleted" e o IP é apagado.

6. Seus direitos

Você pode, a qualquer momento:

• Saber se tratamos seus dados e ter acesso a eles;
• Corrigir dados incompletos ou errados;
• Pedir a exclusão da conta e dos dados. Hoje o pedido é feito por e-mail para [e-mail do encarregado]; em breve também pelo painel;
• Levar seus dados para outro serviço (portabilidade), em arquivo;
• Revogar o consentimento de ofertas, sem perder o acesso ao painel. Basta pedir por e-mail ou usar o link de descadastro nas mensagens;
• Saber com quem dividimos seus dados e pedir revisão de decisões automatizadas;
• Reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

Para pedir, escreva para [e-mail do encarregado] com o e-mail da sua conta. Podemos pedir uma confirmação para ter certeza de que é você. Respondemos em até 15 dias.

7. Cookies

O Raio-X Prop usa um único cookie próprio, o de sessão, que mantém você conectado. Ele é HttpOnly (não pode ser lido por scripts da página), vale 30 dias e é apagado quando você sai.

Não usamos cookies de publicidade, de análise ou de rastreamento de terceiros. A Cloudflare pode gravar cookies técnicos de segurança, necessários para a proteção contra robôs.

8. Segurança

Usamos conexão cifrada (HTTPS), senhas com bcrypt, limite de tentativas de login, verificação contra robôs, alertas de atividade suspeita, segundo fator obrigatório para administradores e backups cifrados. Nenhum sistema é 100% seguro; se houver um incidente que possa causar risco ou dano relevante, avisamos você e a ANPD.

9. Encarregado e contato

Encarregado pelo tratamento de dados: [e-mail do encarregado].

10. Mudanças nesta política

Se esta política mudar, a data no topo muda junto. Se a mudança for importante, avisamos por e-mail ou no painel antes de ela valer.