Controlador: KAYO RIDOLFI CARVALHO CONSULTORIA EM TECNOLOGIA DA INFORMACAO LTDA — CNPJ 59.868.916/0001-00
Rua Rio Grande do Norte, 1435 — Sala 708, Savassi, Belo Horizonte/MG, CEP 30130-138
Encarregado (DPO): Kayo Ridolfi Carvalho — atendimento@kayoridolfi.ai
Esta Política descreve como a Magik LLM Gathering trata dados pessoais em conformidade com a Lei nº 13.709/2018 (LGPD).
1. Dados que coletamos
1.1 Conta de jogador (área logada)
Para usar mini-jogos como a Coleção Diária, a Arena ou o Álbum, criamos uma conta com os dados abaixo:
| Dado | Origem | Finalidade | Base legal |
|---|---|---|---|
| Nome | Cadastro /cadastro | Personalização e suporte | Art. 7º, V (execução de contrato) |
Cadastro /cadastro | Identificação, login e recuperação de acesso | Art. 7º, V | |
| Senha (hash bcrypt cost 12) | Cadastro | Autenticação | Art. 7º, V — armazenada apenas como hash, nunca em texto plano |
| WhatsApp (E.164) | Cadastro /cadastro | Recuperação de acesso e atendimento opcional | Art. 7º, V |
Fuso horário (tzPreference) | Auto-detect cadastro | Calcular quando seu "dia" reseta no claim diário | Art. 7º, V |
| Opt-in de marketing | Checkbox cadastro | Avisos sobre novos mini-jogos e cartas (opcional) | Art. 7º, I (consentimento) |
1.2 Atividade na conta
| Dado | Origem | Finalidade | Base legal |
|---|---|---|---|
| Cartas reivindicadas (slug + carimbo) | Claim diário | Manter sua coleção, calcular streak e raridade futura (pity) | Art. 7º, V |
| Streak atual e histórico | Backend | Cálculo de milestones (7/30/100/365) | Art. 7º, V |
| Freezes mensais consumidos | Backend | Auditoria de uso justo | Art. 7º, V |
Código de indicação (referralCode) | Gerado no signup | Permitir Member-Get-Member (vincular quem te convidou) | Art. 7º, V |
| Cartas marcadas como "estudada" | Álbum | Calcular mastery por facção/trilha | Art. 7º, V |
1.3 Dados de leads e contato (sem conta)
| Dado | Origem | Finalidade | Base legal |
|---|---|---|---|
| Nome, e-mail, telefone | Formulário /contato | Atendimento comercial | Art. 7º, V |
| Mensagem livre | Formulário /contato | Entender demanda | Art. 7º, V |
| Cookies analíticos | Navegador | Métricas agregadas | Art. 7º, I (consentimento) |
| Cookies de marketing | Navegador | Remarketing | Art. 7º, I (consentimento) |
| IP + UA (hash SHA-256 com salt) | Servidor | Auditoria, anti-fraude e rate-limit de cadastro (10/hora/IP) | Art. 7º, IX (interesse legítimo) |
| Registros de consent | Backend | Prova legal | Art. 7º, II |
| Solicitações de direitos | Form /lgpd/solicitar | Atender pedido | Art. 7º, II |
Não coletamos dados sensíveis (art. 5º, II) intencionalmente. Caso uma mensagem livre contenha PII sensível, o titular pode solicitar anonimização pelo canal abaixo.
2. Como tratamos
- Em trânsito: TLS 1.3 em todos os endpoints públicos.
- Em repouso: banco PostgreSQL gerenciado. Segredos criptografados AES-256-GCM.
- Controle de acesso: JWT httpOnly, autorização CASL (feature × ação), RBAC com presets.
- Anonimização: IPs viram SHA-256 com salt antes de persistirem. E-mails de leads stale viram hash determinístico após 5 anos.
3. Com quem compartilhamos
| Operador | País | Finalidade | Garantia |
|---|---|---|---|
| Google LLC (GA4) | EUA | Métricas agregadas | DPA Google + Consent Mode v2 |
| Microsoft (Clarity) | EUA | Heatmaps sem PII | DPA Microsoft |
| Meta (Pixel) | EUA | Remarketing | DPA Meta (apenas se consent marketing) |
| Botyio | Brasil | Sync de leads via WhatsApp | DPA contratual |
Não vendemos dados pessoais.
4. Retenção
- Contas ativas de jogador: mantidas enquanto a conta existir; coleção, streak, freezes e mastery acompanham a conta.
- Contas inativas (sem login por 24 meses): avisamos por e-mail e WhatsApp. Sem resposta em 30 dias → anonimização (nome → "Jogador #X", e-mail → hash) preservando coleção apenas para estatísticas agregadas.
- Conta excluída pelo titular: dados pessoais apagados imediatamente; cartas, streak e referrals associados são anonimizados (não removidos do banco, pois afetam métricas e milestones de outros jogadores).
- Leads ativos: 5 anos após último contato → anonimização
- Consent logs: 5 anos → exclusão
- DSR resolvidas: 5 anos → exclusão
- Eventos analytics: 12 meses → exclusão
Worker noturno em 03:00 BRT executa retenção diariamente.
5. Direitos do titular (art. 18)
Você tem direito a, mediante requisição ao DPO:
- Confirmar a existência de tratamento
- Acessar os dados que mantemos sobre você
- Corrigir dados incompletos, inexatos ou desatualizados
- Anonimizar, bloquear ou eliminar dados desnecessários
- Portabilidade dos dados a outro fornecedor
- Eliminar dados tratados com base em consentimento
- Saber com quais entidades compartilhamos dados
- Saber sobre não fornecer consentimento e consequências
- Revogar o consentimento
Canal: /lgpd/solicitar
· e-mail direto:
atendimento@kayoridolfi.ai.
Prazo de resposta: 15 dias úteis após verificação por magic link (válido 24h).
6. Transferência internacional
Operadores como Google, Microsoft e Meta processam dados nos EUA com cláusulas-padrão (DPAs) e decisões de adequação aplicáveis, conforme art. 33 da LGPD.
7. Cookies
Categorias e cookies detalhados em Política de Cookies. Você pode revisar preferências clicando em "Gerenciar cookies" no rodapé.
8. Incidentes
Mantemos plano de resposta com notificação à ANPD em até 72h após detecção (art. 48), quando houver risco relevante. Titulares afetados são comunicados diretamente.
9. Alterações
Mudanças materiais implicam bump do policyVersion e re-consent automático na próxima
visita. Histórico versionado em
GitHub.