Política de Privacidade

Quem somos

A Praça do Choppão (pracadochoppao.com.br) é uma manifestação online em 3D, multiplayer, que roda direto no navegador. A primeira edição acontece numa versão virtual da Praça 8 de Abril, em Cuiabá.

O controlador dos dados pessoais, ou seja, quem decide como eles são tratados, é [RAZÃO SOCIAL], inscrita no CNPJ sob o nº [CNPJ], com sede em [ENDEREÇO]. Neste documento, “nós” e “Praça do Choppão” se referem a ela; “você” é quem visita o site, cria uma conta ou entra na praça.

Esta política vale para o site, a praça (o jogo), a página de pagamento e os e-mails que enviamos. Ela faz parte dos Termos de Uso.

Dados que tratamos

Dados que você nos informa

• Cadastro por e-mail: seu e-mail, o apelido que aparece na praça e a senha. A senha é transformada em hash (scrypt, com sal aleatório) e só esse hash é guardado: não temos como ver ou recuperar a senha.
• Login com Google: recebemos do Google o identificador da sua conta Google (um número que não muda), o e-mail e a confirmação de que ele é verificado. O nome do perfil é usado uma única vez, para sugerir o seu apelido, e não é guardado. Nunca recebemos a sua senha do Google.
• Mensagens para nós: o que você escrever quando falar com o suporte ou com o encarregado.

Dados de pagamento

O acesso é pago por Pix, processado pelo Mercado Pago. Para gerar a cobrança, informamos ao Mercado Pago o seu e-mail (como pagador) e o valor. Do nosso lado guardamos a referência do pagamento, o identificador da cobrança no Mercado Pago, o valor, o status (pendente, pago, vencido ou falhou), as datas de criação, vencimento e pagamento, e o código Pix gerado (o “copia e cola” e o QR code).

Não recebemos nem guardamos dados da sua conta bancária, sua chave Pix, CPF ou dados de cartão. Esses dados ficam com o seu banco e com o Mercado Pago, sob as políticas de privacidade deles.

O que acontece dentro da praça

Para a praça funcionar em tempo real, o servidor recebe e repassa às outras pessoas conectadas à mesma praça: seu apelido, o lado que você escolheu, o visual do personagem, o texto do cartaz, sua posição e direção no mapa, as ações (acenar, dançar, sentar etc.), as falas no chat e as pichações de spray. Quem fala do palanque aparece também no telão.

Esses dados ficam só na memória do servidor enquanto você está conectado. Não gravamos o chat, nem a sua posição, nem o histórico do que você fez no banco de dados. As pichações continuam na praça até serem cobertas por novas (há um limite por praça), apagadas pela moderação ou até o servidor reiniciar.

Dados técnicos e de segurança

• Endereço IP: usado para limitar tentativas de login, de códigos e de conexões, e para barrar abusos. Esses contadores ficam só na memória do servidor, por minutos ou horas.
• Registros de acesso: IP, data e hora de acesso ao site, guardados conforme exige o Marco Civil da Internet (veja Por quanto tempo guardamos).
• Sessão: um identificador aleatório no cookie de login (o banco guarda só o hash dele), a data de criação e de vencimento da sessão e a identificação do navegador (o chamado user agent).
• Códigos de confirmação: os códigos que enviamos por e-mail são guardados apenas como HMAC (uma assinatura da qual não se tira o código de volta), com o número de tentativas.
• Moderação: quando a equipe retira alguém da praça, suspende uma conta ou muda um acesso, registramos quem fez, o quê, em qual conta, quando e de qual IP (o IP de quem fez a ação).

Origem do cadastro (indicação de parceiros)

Se você chegou pelo link de um parceiro da Praça do Choppão (por exemplo, um influenciador) ou digitou um código de indicação no cadastro, registramos na sua conta qual parceiro indicou, se foi pelo link ou pelo código e a data. O link grava o cookie cl_ref, que guarda só o código do parceiro (e se ele foi digitado) por até 30 dias e é apagado quando a conta é criada. Usamos isso apenas para calcular e pagar a comissão do parceiro quando a conta indicada paga o acesso. Os parceiros não têm acesso ao painel nem aos dados das contas. Uma conta confirmada nunca muda de parceiro; se alguém cadastrou o seu e-mail sem confirmá-lo e você assume a conta (pelo Google ou por "Esqueci a senha"), a indicação que vale é a sua, não a de quem cadastrou.

Dados que ficam só no seu aparelho

O navegador guarda, no armazenamento local (localStorage), o visual do personagem, o lado, o cartaz, as configurações de gráficos e volume, o molde de spray e se você já viu a ajuda. Assim você não precisa montar tudo de novo. Esses dados não são enviados para nós, a não ser o que for usado quando você entra na praça. Detalhes em Cookies e armazenamento local.

O que não coletamos

• Não usamos ferramentas de anúncios, pixels de redes sociais nem rastreadores de terceiros.
• Não pedimos sua localização, câmera ou microfone. O site bloqueia esses recursos no navegador.
• Não pedimos CPF, telefone, endereço ou data de nascimento.

Para que usamos e bases legais

Só tratamos dados pessoais com uma finalidade definida e com uma das bases legais da LGPD (art. 7º). Quando a base é o legítimo interesse, tratamos só o necessário e você pode se opor (veja Seus direitos).

Não mandamos propaganda por e-mail. Se um dia quisermos mandar novidades, vamos pedir o seu consentimento antes, e você poderá retirá-lo quando quiser.

Também não tomamos decisões automatizadas que afetem seus interesses além das proteções técnicas da praça (como limites de tentativas e a checagem anti-trapaça, que podem bloquear ações ou desconectar alguém). Se achar que foi prejudicado por uma delas, pode pedir revisão (art. 20).

Opinião política e o que você torna público

A Praça do Choppão é uma manifestação satírica. Escolher um lado, escrever um cartaz ou falar no chat pode, dependendo do caso, revelar uma opinião política, que a LGPD considera dado pessoal sensível (art. 5º, II). Por isso:

• O lado, o cartaz e as falas são escolhas suas, feitas para serem vistas na praça. Você não precisa escolher um lado que represente a sua opinião de verdade, e existe o lado “Independente”.
• Tratamos esses dados só para exibi-los na praça, com base no seu consentimento, manifestado quando você escolhe o lado e entra para se manifestar (art. 11, I). Você pode retirá-lo a qualquer momento: basta sair da praça (e, se quiser, voltar com outro lado).
• Não gravamos o lado que você escolheu na sua conta, não montamos perfis de opinião política, não usamos esses dados para publicidade e não os vendemos ou repassamos a ninguém.
• Os contadores de pessoas por lado mostram apenas quantos estão conectados naquele momento.

Com quem compartilhamos

Não vendemos nem alugamos dados pessoais. Compartilhamos apenas o necessário, com:

• Mercado Pago (processamento do Pix): recebe o seu e-mail, o valor e a referência da cobrança. O Mercado Pago trata os dados do pagamento também como controlador, sob a política de privacidade dele.
• Google (se você usar “Continuar com Google”): faz a autenticação e nos devolve o seu identificador e o e-mail, sob a política de privacidade do Google. Além disso, as fontes do site são carregadas do Google Fonts, que recebe o seu IP e o tipo de navegador ao entregar os arquivos.
• Provedor de envio de e-mail: recebe o seu e-mail e o conteúdo das mensagens que mandamos (códigos de confirmação, links e avisos), só para entregá-las.
• Hospedagem e infraestrutura: as empresas que fornecem os servidores, o banco de dados e a rede onde a praça roda armazenam e processam os dados em nosso nome, como operadoras, seguindo nossas instruções.
• Autoridades: quando houver ordem judicial ou requisição de autoridade competente, nos limites da lei, ou para proteger direitos nossos, seus ou de terceiros.
• Outras pessoas na praça: o que é público dentro do jogo, como descrito em Opinião política e o que você torna público.
• Em caso de reorganização societária (fusão, venda ou incorporação), os dados podem ser transferidos ao sucessor, que continuará obrigado a esta política.

A nossa equipe de moderação acessa apenas o necessário para a função: por exemplo, quem está na praça (apelido, lado e conta) e os dados da conta e dos pagamentos em caso de suporte. Todo acesso administrativo exige login com permissão específica, e as ações ficam registradas.

Transferência internacional

Alguns dos fornecedores acima (como o Google e provedores de hospedagem ou de e-mail) podem armazenar ou processar dados fora do Brasil. Quando isso acontece, a transferência segue o art. 33 da LGPD e as regras da Autoridade Nacional de Proteção de Dados (ANPD), por exemplo com cláusulas contratuais que garantam um nível de proteção compatível com a lei brasileira.

Por quanto tempo guardamos

Guardamos cada dado só pelo tempo necessário para a finalidade ou pelo prazo que a lei exige. Depois disso, ele é apagado ou anonimizado.

Como protegemos

Adotamos medidas técnicas e administrativas para proteger os dados (art. 46), entre elas:

• Conexão sempre criptografada (HTTPS), com HSTS.
• Senhas guardadas só como hash scrypt com sal; códigos de e-mail guardados como HMAC, com número limitado de tentativas por código e por dia.
• Para confirmar o e-mail é preciso o código e a senha do cadastro, para que ninguém tome a conta de outra pessoa cadastrando o e-mail dela.
• Cookie de sessão protegido (HttpOnly, Secure e SameSite=Lax); o banco guarda só o hash do token da sessão.
• Um Pix só é considerado pago depois que confirmamos o pagamento diretamente com o Mercado Pago.
• Credenciais de serviços (como as do Mercado Pago e do Google) ficam cifradas no banco (AES-256-GCM).
• Banco de dados numa rede interna, sem acesso pela internet.
• Painel administrativo com papéis e permissões, confirmação de senha para ações sensíveis e registro de auditoria de todas as ações.

Nenhum sistema é 100% invulnerável. Se acontecer um incidente de segurança que possa causar risco ou dano relevante a você, vamos comunicar a ANPD e as pessoas afetadas, como manda o art. 48 da LGPD. Proteja também a sua parte: use uma senha forte e exclusiva e não compartilhe os códigos que mandamos por e-mail.

Seus direitos

Pelo art. 18 da LGPD, você pode pedir a qualquer momento:

1. Confirmação de que tratamos dados seus;
2. Acesso aos dados;
3. Correção de dados incompletos, inexatos ou desatualizados;
4. Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei;
5. Portabilidade dos dados a outro fornecedor, mediante pedido expresso, observados os segredos comercial e industrial;
6. Eliminação dos dados tratados com base no seu consentimento, salvo as exceções do art. 16;
7. Informação sobre as entidades públicas e privadas com as quais compartilhamos dados;
8. Informação sobre a possibilidade de não dar consentimento e as consequências disso;
9. Revogação do consentimento.

Você também pode se opor a um tratamento feito com base no legítimo interesse, se achar que ele descumpre a lei (art. 18, § 2º), e pedir a revisão de decisões tomadas só com base em tratamento automatizado (art. 20).

Algumas coisas você mesmo resolve: o apelido pode ser trocado na sua conta, e as preferências do aparelho somem quando você limpa os dados do site no navegador.

Como exercer seus direitos

• Envie o pedido para o encarregado, no e-mail [E-MAIL DO ENCARREGADO], de preferência a partir do e-mail da sua conta, dizendo o que você quer.
• Para proteger a sua conta, podemos pedir uma confirmação de que o pedido é seu (por exemplo, um código enviado ao e-mail cadastrado) antes de entregar ou apagar dados.
• O atendimento é gratuito. Respondemos o mais rápido possível e, nos pedidos de confirmação e acesso, em até 15 dias (art. 19, II).
• Se não pudermos atender de imediato, explicamos o motivo, por exemplo quando a lei nos obriga a guardar o dado.

Se não ficar satisfeito com a nossa resposta, você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd, ou aos órgãos de defesa do consumidor.

Cookies e armazenamento local

Usamos apenas o essencial para o site funcionar. Não há cookies de publicidade, de análise de audiência ou de redes sociais, por isso não exibimos um banner de consentimento.

Você pode apagar cookies e o armazenamento local nas configurações do navegador. Sem o cookie de sessão não é possível ficar logado; sem o armazenamento local a praça funciona, mas não lembra as suas escolhas.

Crianças e adolescentes

A Praça do Choppão é destinada a maiores de 18 anos. Não criamos contas de propósito para crianças ou adolescentes e não direcionamos o serviço a eles. Ao criar a conta, você declara ter 18 anos ou mais.

Se soubermos que uma conta pertence a uma pessoa menor de idade, ela será encerrada e os dados apagados, salvo o que a lei manda guardar. Pais e responsáveis podem nos avisar pelo e-mail do encarregado, [E-MAIL DO ENCARREGADO].

Alterações nesta política

Podemos atualizar esta política quando o serviço ou a lei mudarem. A data de vigência no topo da página sempre mostra a versão atual. Se a mudança for relevante (por exemplo, uma nova finalidade ou um novo tipo de compartilhamento), avisamos com antecedência no site ou por e-mail e, quando a lei exigir, pedimos o seu consentimento de novo.

Encarregado e contato

O encarregado pelo tratamento de dados pessoais (DPO) é o canal entre você, a Praça do Choppão e a ANPD (art. 41).

• Encarregado: [NOME DO ENCARREGADO], pelo e-mail [E-MAIL DO ENCARREGADO]
• Controlador: [RAZÃO SOCIAL], CNPJ [CNPJ]
• Endereço: [ENDEREÇO]
• Outros assuntos (suporte, pagamento, moderação): [E-MAIL DE CONTATO]