Esta política descreve como o Draft Zone coleta, usa e protege seus dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (LGPD — Lei 13.709/2018). Somos um agente de tratamento de pequeno porte (startup), e por isso não indicamos um Encarregado de Dados — é o que permite a Resolução CD/ANPD nº 2/2022, art. 11. Em lugar dele, mantemos um canal direto com você: a Central de Suporte, com o assunto “Meus dados / LGPD”. É por ali que se pede qualquer coisa desta página, e respondemos em até 15 dias.
A Draft Zone está em fase beta: o produto está em desenvolvimento ativo e pode apresentar erros, instabilidade e mudanças de funcionalidade. Veja a seção 6 dos Termos de Uso para o que isso significa na prática.
Aviso sobre segurança e proteção de dados
Esta plataforma encontra-se atualmente em versão beta, destinada à validação e ao aprimoramento de suas funcionalidades, podendo estar sujeita a ajustes, instabilidades e modificações durante o período.
Os dados pessoais fornecidos pelos usuários serão tratados em conformidade com a legislação aplicável, especialmente a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados – LGPD) e exclusivamente para as finalidades informadas ao usuário, observadas as bases legais aplicáveis.
A plataforma adota medidas técnicas e administrativas razoáveis e compatíveis com a natureza dos dados tratados e com os riscos envolvidos, destinadas a protegê-los contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou tratamento inadequado.
Embora sejam adotadas medidas de segurança destinadas à proteção dos dados pessoais, nenhum sistema ou ambiente digital pode ser considerado absolutamente imune a falhas, ataques cibernéticos ou outros incidentes de segurança. Na hipótese de ocorrência de incidente envolvendo dados pessoais, serão adotadas as medidas necessárias à sua investigação, contenção e mitigação, bem como as comunicações legalmente exigíveis aos titulares e à Autoridade Nacional de Proteção de Dados – ANPD, quando aplicáveis.
Durante a fase beta, recomenda-se que o usuário não forneça dados pessoais além daqueles estritamente necessários para utilização da plataforma, especialmente informações sensíveis ou confidenciais que não sejam expressamente solicitadas.
Para informações sobre tratamento de dados pessoais, exercício dos direitos previstos na LGPD ou comunicação de questões relacionadas à privacidade e segurança, o usuário poderá entrar em contato pela Central de Suporte (draftzone.com.br/suporte), com o assunto “Meus dados / LGPD”.
1. Dados que coletamos
- Cadastro: email, senha (criptografada) e nome de exibição.
- Idade: data de nascimento, coletada apenas para confirmar que você tem 18 anos ou mais (exigência legal). Não a usamos para nenhuma outra finalidade.
- WhatsApp (opcional): se você informar o número, ele é usado para avisar você sobre a sua liga e para montar o grupo de WhatsApp dela. Não aparece para outros managers, o cadastro não depende dele e você pode apagá-lo a qualquer momento no Perfil.
- Perfil: avatar (opcional), idioma, preferências de exibição e de notificação — inclusive se você quer receber o lembrete do prazo de escalação —, e a opção de receber comunicação de marketing.
- Jogo responsável: se você pedir autoexclusão, guardamos a data até quando ela vale, para bloquear seu acesso a ligas nesse período.
- Uso da plataforma: ligas criadas, times, escalações, atividade na liga, eventos de auditoria (signup, login, escalação, etc.).
- Convites: quando alguém convida você para uma liga, guardamos o e-mail do convidado para enviar e validar o convite — mesmo que essa pessoa nunca se cadastre. O convite expira e o registro é apagado com a liga.
- Origem do acesso (atribuição): um identificador anônimo gerado por nós no seu navegador, o canal pelo qual você chegou (link, QR code, WhatsApp) e o código de convite usado. Serve para entender como as pessoas encontram a plataforma; não é vendido nem cruzado com dado de terceiros.
- Pagamentos (quando ativado): na próxima temporada, quando as ligas pagas entrarem, os dados mínimos serão processados pelo provedor de pagamento que contratarmos — nós não armazenaremos número de cartão. Nesta temporada não há cobrança, e portanto não há dado de pagamento nenhum.
- Técnicos: IP, user-agent, timestamps de eventos — usados para segurança e detecção de fraude.
Não coletamos CPF, documentos, dados financeiros, localização precisa nem dados vindos de redes sociais. Se isso mudar, esta lista muda antes.
2. Como usamos seus dados, e com qual base legal
A LGPD exige que a gente informe não só a finalidade, mas a base legal de cada tratamento (art. 9º, II):
- Prestação do serviço — operar sua conta, ligas, times e comunicar resultados. Base legal: execução de contrato (art. 7º, V).
- Comunicação transacional — confirmação de cadastro, recuperação de senha, lembrete de escalação, aviso da liga. Base legal: execução de contrato (art. 7º, V).
- Segurança e prevenção a fraude — detectar uso indevido e proteger outros usuários. Base legal: legítimo interesse (art. 7º, IX).
- Origem do acesso e métricas agregadas — entender como as pessoas chegam e como a plataforma é usada, sem identificação individual. Base legal: legítimo interesse (art. 7º, IX).
- Idade e jogo responsável — confirmar 18+ e cumprir a autoexclusão. Base legal: cumprimento de obrigação legal e proteção do titular (art. 7º, II).
- Marketing — novidades, novas ligas, dicas de fantasy. Base legal: consentimento (art. 7º, I), que você pode revogar a qualquer momento no Perfil.
- Convite por e-mail — enviar e validar o convite feito por um usuário. Base legal: legítimo interesse (art. 7º, IX); o convidado pode pedir a remoção pelo canal do Encarregado.
3. Compartilhamento com terceiros
Não vendemos seus dados. Compartilhamos o mínimo necessário com:
- Supabase (banco de dados e autenticação) — provedor de infraestrutura.
- Vercel (hospedagem) — recebe IP/user-agent das requisições.
- Google — apenas se você escolher entrar com a conta Google. Recebemos seu e-mail e nome; não recebemos sua senha e não publicamos nada em seu nome. A sua foto de perfil continua hospedada no Google: quando ela aparece na tela, o seu navegador a busca lá, e nessa busca o seu IP vai junto.
- Resend — envio de emails transacionais (recebe seu email).
- Cloudflare — proteção contra robôs nas telas de cadastro, login e recuperação de senha. Recebe o IP da requisição para validar o desafio.
- Upstash — controle de excesso de requisições (limite por IP), o que protege as portas de entrada contra tentativa automatizada. Recebe o IP da requisição.
- Mercado Pago (quando o Pix for liberado) — processar pagamentos.
As imagens que o produto exibe — foto e escudo dos times da NFL, fotos de ilustração — são entregues pelo nosso servidor. O seu navegador as pede a nós, e é o nosso servidor que vai buscá-las na origem: o seu endereço de IP não chega a quem as hospeda.
4. Transferência internacional de dados
Os provedores acima (Supabase, Vercel, Google, Resend, Cloudflare e Upstash) operam fora do Brasil, com armazenamento e processamento principalmente nos Estados Unidos. Isso significa que seus dados são transferidos internacionalmente para que a plataforma funcione — é a hipótese do art. 33 da LGPD, e a transferência ocorre para a execução do contrato com você e com base nas cláusulas contratuais e compromissos de proteção oferecidos por esses provedores.
Estamos em fase beta e usamos os termos padrão de cada provedor. A revisão caso a caso desses contratos (incluindo os acordos de tratamento de dados e as cláusulas de incidente) está no nosso plano antes da versão definitiva e antes de qualquer cobrança. Preferimos dizer isso aqui a dar a entender que já foi feito.
5. Publicidade e patrocínio
Nesta temporada a plataforma é mantida por ligas patrocinadas. Sobre os seus dados nesse contexto:
- Não vendemos nem compartilhamos seus dados pessoais com patrocinadores. O anunciante recebe apenas métricas agregadas (quantas exibições e interações a campanha teve), nunca a identificação de quem viu.
- Não montamos perfil publicitário seu e não usamos seus dados para segmentar anúncios individualmente. A campanha é vinculada à liga, não à pessoa.
- Data de nascimento e conteúdo patrocinado: quando você informa sua data de nascimento, usamos esse dado para bloquear a exibição de conteúdo patrocinado a menores de 18 anos. É proteção, não segmentação.
6. Cookies e armazenamento local
Usamos cookies estritamente necessários para manter sua sessão logada e identificar requisições. Não usamos cookies de tracking publicitário nem pixels de terceiros para publicidade.
7. Seus direitos (LGPD)
Você tem direito a:
- Acesso: exportar todos os seus dados (botão no Perfil).
- Correção: atualizar nome, email, avatar no Perfil.
- Exclusão: deletar sua conta e todos os dados associados (botão “Excluir conta” no Perfil). A exclusão é permanente e irreversível.
- Portabilidade: receber seus dados em formato JSON.
- Confirmação: perguntar se tratamos algum dado seu, e quais. Vale mesmo que você não tenha conta aqui — é o caso de quem foi convidado para uma liga por outra pessoa.
- Oposição: se discordar de um tratamento que fazemos por legítimo interesse, você pode se opor — e nós paramos ou explicamos por que entendemos que não cabe parar.
- Revogação de consentimento: desativar comunicação de marketing a qualquer momento.
- Informação: saber com quem compartilhamos seus dados — a lista está na seção 3, e você pode pedir a versão atualizada pelo canal abaixo.
Para exercer qualquer direito, contate Central de Suporte (assunto “Meus dados / LGPD”). Pedidos sobre seus dados têm prazo de 15 dias corridos, definido pela LGPD (art. 19) — não é um prazo nosso. Quem responde é a nossa Central de Suporte.
8. Segurança
- Senhas armazenadas com hash bcrypt (não temos acesso a texto plano).
- Conexões via HTTPS obrigatório.
- Acesso a dados sensíveis restrito por Row-Level Security no banco — só você acessa seus próprios dados, exceto onde a regra de liga exige (membros da mesma liga podem ver nome e foto uns dos outros).
- Limite de tentativas nas portas de autenticação e política de segurança de conteúdo (CSP) contra injeção de script.
- Logs de auditoria de eventos críticos (login, troca de senha, exclusão de conta) por 12 meses.
Nenhuma dessas medidas é garantia absoluta — e é por isso que existe a seção seguinte.
9. Incidentes de segurança
Se ocorrer um incidente envolvendo dados pessoais, adotamos as medidas necessárias de investigação, contenção e mitigação, registramos internamente a avaliação do incidente, as medidas tomadas e a análise de risco.
Confirmado um incidente que possa acarretar risco ou dano relevante, comunicamos você e a Autoridade Nacional de Proteção de Dados (ANPD) em até 3 dias úteis contados de quando soubermos que o incidente afetou dados pessoais, conforme a Resolução CD/ANPD nº 15, de 24 de abril de 2024 — podendo complementar as informações em até 20 dias úteis. A comunicação diz o que aconteceu, quais dados foram afetados e o que você pode fazer.
Encontrou uma falha de segurança? Fale com a gente pela Central de Suporte com o assunto “Falha de segurança”. Não expomos quem reporta.
10. Retenção de dados
- Conta ativa: mantemos enquanto você usa o serviço.
- Após exclusão: 30 dias de retenção para recuperação em caso de erro, depois anonimização permanente.
- Dados financeiros (quando aplicável): retidos por 5 anos conforme exigências fiscais.
- Logs de segurança: 12 meses.
11. Crianças e adolescentes
Draft Zone é destinado a maiores de 18 anos. Coletamos sua data de nascimento no cadastro para confirmar a maioridade e impedir o uso por menores, e conteúdo patrocinado é bloqueado para quem tem menos de 18.
Se identificarmos que uma conta é de menor de 18 anos, ela é bloqueada e os dados são removidos, sem necessidade de pedido. Se você é responsável e descobriu que um menor criou conta, contate Central de Suporte (assunto “Meus dados / LGPD”) para remoção imediata.
12. Mudanças nesta política
Mudanças relevantes serão comunicadas por email ou aviso na plataforma. A data no topo desta página indica a última atualização.