Política de Privacidade
Redcard é um app de futebol para torcedores. Processamos os dados pessoais mínimos necessários para operar o Serviço e nunca os vendemos. A infraestrutura (Vercel, Neon, provedor de dados) custa dinheiro real — se você gosta do Redcard, pode apoiar com uma doação ou assinando o Plus. Esta página resume o que coletamos, por que, quanto tempo guardamos e os direitos que você tem.
Para a versão legalmente vinculante completa, leia docs/PRIVACY.md no GitHub.
1. Quem somos
Redcard é operado por Gonzalo Yacante (o "operador", "nós"). Você pode contatar o operador em:
- Privacidade: privacy@redcard.pro
- DPO: dpo@redcard.pro
2. O que coletamos
E-mail, hash de senha (bcrypt), data de nascimento (para cumprir com GDPR/COPPA/LGPD), token de push, times e competições seguidas, preferências de UI. Registros de consentimento de cookies para GDPR Art. 7(1).
Não coletamos: localização, contatos, IDs publicitários, fingerprinting, rastreadores de terceiros, dados biométricos. O pagamento é processado diretamente pelo Stripe.
3. O que nunca fazemos
- Não vendemos dados.
- Não há anúncios comportamentais nem retargeting.
- Não rastreamos o usuário fora do Redcard.
- Não tomamos decisões automatizadas com efeitos legais (GDPR Art. 22).
4. Seus direitos
Acesso, correção, eliminação, portabilidade, oposição, retirada do consentimento. Para exercê-los, escreva para privacy@redcard.pro a partir do e-mail associado à sua conta. Respondemos em 30 dias (GDPR Art. 12(3)); geralmente processamos em 5 dias úteis.
5. Quanto tempo guardamos os dados
Conta e e-mail: até você deletar + 30 dias de cooldown para re-cadastro. Logs de auditoria: 7 anos. Consentimento de cookies: 3 anos. Sentry: 90 dias. O worker de retenção roda a cada 24h e deleta contas inativas por mais de 730 dias sem assinatura ativa.
6. Sub-processadores
Compartilhamos o mínimo com Neon, Upstash, Stripe, Firebase, Sentry, Vercel, Cloudflare, Apple/Google (autenticação). Todos têm DPA assinado. Lista completa + estado dos DPAs em docs/sub-processors.md .
7. Transferências internacionais de dados
Redcard é hospedado nos EUA. Para usuários da UE/UK usamos o EU-US Data Privacy Framework (DPF). Para o Brasil, SCCs da LGPD.
8. Cookies
Inventário completo de cookies em docs/COOKIES.md . O banner de consentimento aparece na primeira visita (F15 v2).
9. Segurança
TLS, bcrypt, 2FA TOTP, passkeys (WebAuthn), rate limit em Redis, Sentry com source maps, métricas Prometheus, on-call 24/7.
10. Notificação de breach
Notificamos a autoridade de supervisão em 72h (GDPR Art. 33) e você individualmente em um prazo razoável (Art. 34).
11. Alterações nesta política
Quando atualizarmos, subimos a versão (vYYYY-MM-DD.N) e re-solicitamos o consentimento.
12. Contato
Privacidade: privacy@redcard.pro · DPO: dpo@redcard.pro