Documento jurídico

Política de Privacidade

A Empresa não designou Encarregado (DPO), por escolha declarada na seção 1.

Versão aceita no checkout: 2026-10-10-2 · Última atualização: 10 de outubro de 2026.

1. Controlador e contato

Controlador: MV Desenvolvimento e Assessoria em Sistemas LTDA, CNPJ 36.086.663/0001-18, Avenida Bartholomeu Santiago, s/n, Santo Eduardo, Presidente Kennedy/ES, CEP 29350-000 (“Empresa”, “nós”).

Canal para assuntos de dados pessoais: contato@eusourico.com. É por ele que você exerce os direitos da seção 10.

Encarregado (DPO): a Empresa não designou encarregado. Todos os pedidos de titular — acesso, correção, exclusão, portabilidade e os demais da seção 10 — são recebidos e respondidos pelo endereço acima, que é o canal de comunicação exigido de quem não designa. Esta é uma escolha declarada, não um esquecimento, e está entre os pontos listados para revisão jurídica.

2. Princípio: coleta mínima

Tratamos apenas o necessário para autenticar participantes, processar pagamentos, manter um ranking público, proteger a Plataforma contra abuso e moderar conteúdo.

Não coletamos senhas (não existe senha própria), dados bancários, cartão, geolocalização, dados sensíveis (origem racial, convicção religiosa, opinião política, saúde, biometria) nem documento algum além do CPF descrito na seção 5.

Não vendemos dados pessoais, não fazemos publicidade na Plataforma e não compartilhamos dados com anunciantes, redes de anúncios, corretores de dados ou parceiros de marketing.

3. Dados que tratamos, para quê e com que base legal

• E-mail, nome, foto e identificador da conta GoogleOrigem: login com Google. Finalidade: identificar o participante, vincular pagamentos acumulados à mesma conta, dar acesso ao próprio perfil e permitir contato. Base legal: execução de contrato (art. 7º, V). Retenção: enquanto a conta existir.
• Nome e foto da conta Google copiados para o perfilOrigem: login com Google; no primeiro pagamento confirmado a foto é copiada para o nosso armazenamento de imagens (Cloudflare R2) e passa pela moderação da seção 6. Finalidade: exibir o participante no ranking antes de ele preencher o perfil. Base legal: execução de contrato (V). Retenção: enquanto o perfil existir.
• Nome de exibição, handle, frase, usuário do X, usuário do Instagram, site e avatarOrigem: informados por você — nome, usuário do X e usuário do Instagram podem ser informados já no checkout do primeiro pagamento; os demais, após o pagamento. Finalidade: exibição pública no ranking, no feed, na página de perfil, no card de compartilhamento e nas publicações oficiais. Base legal: execução de contrato (V) e legítimo interesse (IX) para a divulgação. Retenção: enquanto o perfil existir.
• Rascunho do perfil informado no checkoutNome de exibição, usuário do X e usuário do Instagram, ligados à cobrança. Origem: informados por você no checkout do primeiro pagamento. Finalidade: montar o seu perfil no instante em que o pagamento for confirmado; antes disso não é exibido a ninguém. Base legal: execução de contrato (V). Retenção: apagado ao ser usado, na confirmação do pagamento; se o pagamento não for confirmado, apagado automaticamente em até 48 horas.
• Código público do perfilDoze caracteres sorteados pelo sistema, para dar endereço público ao participante mesmo sem handle. Base legal: execução de contrato (V). Retenção: enquanto o participante existir.
• Total pago, número de pagamentos, datas do primeiro e do último pagamento, posição e melhor posiçãoCalculados a partir dos seus pagamentos; é o produto. Base legal: execução de contrato (V). Retenção: enquanto o participante existir; o histórico financeiro permanece, desvinculado da identidade, após a exclusão.
• CPF do pagador — somente o resumo criptográficoFinalidade: atender exigência da instituição de pagamento e impedir que a mesma conta pague com CPFs diferentes. Base legal: obrigação legal e regulatória (II) e legítimo interesse (IX). Retenção: 5 anos após o pagamento (prazo fiscal). Ver seção 5.
• Metadados de pagamentoIdentificador da cobrança, identificador interno, valor, taxa, status, datas, versão dos Termos aceita, código copia-e-cola, resposta da instituição de pagamento e registro das notificações recebidas. Finalidade: confirmar pagamentos, atualizar o ranking, contabilidade, obrigações fiscais, defesa em disputas e estornos, e pausar ou suspender novas cobranças depois de estornos (Termos, cláusula 13.7). Base legal: execução de contrato (V), obrigação legal (II) e legítimo interesse (IX) na prevenção de abuso de estornos. Retenção: 5 anos.
• Endereço IP, user agent, logs de acesso e de erroColetados automaticamente: na borda (Cloudflare), no login e na sessão (Supabase Auth) e no desafio antiabuso (Turnstile). A aplicação não grava IP nas próprias tabelas, e os registros de erro não levam IP, e-mail nem CPF. Finalidade: segurança, prevenção de abuso e fraude, depuração. Base legal: legítimo interesse (IX). Retenção pretendida: até 30 dias.
• Conteúdo submetido à moderação e o veredito por campoFinalidade: cumprir as regras de conteúdo e auditar a moderação. Base legal: legítimo interesse (IX) e execução de contrato (V). Retenção: 1 ano.
• Registro de ações administrativasOcultar, remover, anonimizar, aprovar menção, liberar a amarra de CPF. Finalidade: auditoria e prestação de contas. Base legal: legítimo interesse (IX) e obrigação legal (II). Retenção: enquanto necessário à auditoria.
• Preferências locaisTema, som silenciado e marcador da última celebração (localStorage); valor que você pretendia pagar (sessionStorage). Guardados no seu navegador. Base legal: execução de contrato (V). Retenção: localStorage até você limpar os dados do site; sessionStorage apagado assim que o checkout o lê ou quando a aba é fechada. Ver seção 11.

Os prazos acima são a política de retenção da Empresa. Dados cuja finalidade se encerrou são eliminados ou anonimizados, salvo quando a lei exigir guarda maior (obrigações fiscais e contábeis, Marco Civil da Internet). Nesta fase, a única rotina automática de eliminação é a do rascunho do checkout (até 48 horas); as demais são feitas manualmente pela Empresa.

4. O que é público, por escolha sua

Ao participar, você escolhe tornar públicos: nome de exibição, handle, frase, usuário do X, usuário do Instagram, site, avatar, valor total pago, posição no ranking (geral, do mês e da semana), endereço público do perfil e os eventos do ranking que envolvem você — inclusive o valor de cada pagamento confirmado, transmitido ao vivo a quem estiver no site. Um estorno não é publicado, e os eventos de um pagamento depois devolvido ou contestado deixam de ser exibidos e são retirados do X (Termos, cláusula 13.3).

Esses dados ficam visíveis a qualquer visitante, sem login, podem ser publicados no perfil oficial da Plataforma no X (seção 7) e podem ser copiados, impressos ou republicados por terceiros, fora do nosso controle.

Nunca são exibidos: e-mail, CPF (nem o resumo criptográfico), identificadores internos de banco de dados e qualquer dado da sua conta Google além do nome e da foto exibidos no perfil.

5. CPF: o que acontece com o número

5.1. A instituição de pagamento exige a identificação do pagador, e por isso o checkout pede o CPF nos pagamentos em que ele é exigido: os acima do valor indicado na tela de pagamento. Abaixo desse valor o CPF não é pedido.

5.2. O número em claro não é armazenado. Ele apenas transita para a instituição de pagamento, que é quem precisa dele, e do nosso lado guardamos apenas um resumo criptográfico (HMAC-SHA-256 com sal secreto usado como chave), por pagamento. Sem essa chave, que fica guardada fora do banco de dados, o resumo não permite recuperar o número; ele nunca é exibido e não é compartilhado.

5.3. Esse resumo é comparado com o dos pagamentos anteriores da mesma conta: o primeiro pagamento confirmado fixa o CPF da conta, e pagamentos seguintes com CPF diferente são recusados, para impedir pagamento por terceiros. A comparação é feita entre resumos; o resultado é apenas igual ou diferente. Pagamentos sem CPF não entram na comparação.

5.4. Nada é guardado no seu aparelho. A Plataforma não salva o seu CPF no navegador.

5.5. A instituição de pagamento pode devolver, na consulta da cobrança, o documento do pagador em formato mascarado. Esse retorno fica no registro da cobrança, pelo prazo da seção 3.

6. Decisões automatizadas e envio de conteúdo a um provedor de IA

6.1. O conteúdo do perfil — nome de exibição, handle, frase, usuário do X, usuário do Instagram, site e a imagem do avatar — é enviado a um provedor de inteligência artificial (Google LLC, API Gemini) para análise automatizada de conformidade com as regras de conteúdo. A imagem do avatar é enviada junto. Isso inclui o nome e a foto da conta Google copiados para o perfil, que são analisados no primeiro pagamento confirmado mesmo que você não edite nada. Nenhum dado de pagamento, e-mail ou CPF é enviado nessa chamada.

6.2. A análise devolve um veredito por campo, que decide se o campo é publicado, fica em análise humana ou é recusado. Falha do provedor resulta em análise humana, nunca em publicação automática.

6.3. Você tem direito à revisão da decisão automatizada (art. 20 da LGPD). Peça por contato@eusourico.com, identificando a conta Google usada.

6.4. A moderação não produz efeito algum sobre dinheiro ou posição no ranking.

6.5. Dependendo do plano contratado junto ao provedor de IA, o conteúdo enviado pode ser usado por ele para melhoria dos próprios modelos. A Empresa busca condição contratual que afaste esse uso; enquanto isso não estiver confirmado para o plano em uso, considere que o conteúdo público do seu perfil é tratado nessas condições.

7. Com quem compartilhamos

• Asaas — instituição de pagamentoNos pagamentos em que o CPF é exigido (seção 5.1), recebe o seu nome e e-mail da conta Google e o CPF, além do valor e dos identificadores da cobrança. Nos demais, só o valor e os identificadores da cobrança, sem nenhum dado seu. Em qualquer caso, a instituição recebe do próprio sistema PIX os dados da conta que pagou, como em todo PIX. Finalidade: criar e processar a cobrança PIX, identificar o pagador e cumprir obrigações regulatórias.
• Supabase, Inc.Banco de dados e autenticação: armazena os dados das seções 3 e 4, exceto os mantidos só no seu navegador.
• Google LLC — IdentidadeAutenticação pela conta Google.
• Google LLC — API GeminiConteúdo do perfil, inclusive a imagem do avatar, para a moderação descrita na seção 6.
• Cloudflare, Inc.Tráfego do site, endereço IP, avatares e fotos copiadas da conta Google armazenados e sinais do desafio antiabuso, para hospedagem, CDN, segurança e armazenamento de imagens.
• X Corp.Dados públicos publicados pelo perfil oficial a cada troca de liderança: nome de exibição de quem assumiu e de quem perdeu o primeiro lugar, valor total pago por quem assumiu, imagem do card do perfil (foto aprovada, nome ou handle, posição e total) e, se aprovado, o @ de cada um.
• Telegram e Sentry, quando configuradosAlertas e registros técnicos de erro, com identificadores truncados, sem nome, e-mail, CPF ou endereço IP. Usados para monitoramento operacional e resposta a incidentes.

Não compartilhamos dados com nenhum terceiro para finalidade publicitária.

8. Transferência internacional

O banco de dados e a autenticação (Supabase) ficam hospedados no Brasil, na região de São Paulo, e a instituição de pagamento é brasileira. Os demais operadores — Cloudflare, Google, X Corp. e, quando configurados, Sentry e Telegram — processam dados fora do Brasil, inclusive nos Estados Unidos. A transferência internacional ocorre com fundamento no art. 33 da LGPD, por ser necessária à execução do contrato com você e mediante as cláusulas contratuais e os compromissos de proteção de dados oferecidos por cada provedor.

9. Segurança

Medidas em vigor: acesso ao banco restrito ao servidor, com regras de acesso por linha e negação por padrão; o navegador não escreve nem lê o banco diretamente; criptografia em trânsito; segredos mantidos em cofre do provedor, nunca no código; painel administrativo protegido por três camadas independentes; registro de todas as ações administrativas; limites de requisição e desafio antiabuso; imagens enviadas são reprocessadas antes de armazenadas, o que destrói os metadados do arquivo original, inclusive geolocalização embutida em foto; e minimização de dados, com CPF guardado apenas como resumo criptográfico.

Nenhum sistema é infalível. Incidente de segurança relevante será comunicado à ANPD e aos titulares afetados, nos termos do art. 48 da LGPD.

10. Seus direitos (art. 18 da LGPD)

Você pode solicitar, a qualquer momento:

• confirmação da existência de tratamento;
• acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• portabilidade;
• informação sobre as entidades com quem compartilhamos dados;
• informação sobre a possibilidade de não fornecer consentimento e suas consequências;
• revogação do consentimento, quando essa for a base legal;
• revisão de decisão automatizada (seção 6.3);
• oposição a tratamento fundado em legítimo interesse.

Como exercer: escreva para contato@eusourico.com a partir do e-mail da conta Google usada na Plataforma, ou informando-o. Respondemos em até 15 dias, conforme o art. 19 da LGPD.

Limites, declarados com honestidade:

• O registro financeiro permanece. Valor, identificador da cobrança, datas, status e o resumo criptográfico do CPF são mantidos pelo prazo fiscal mesmo após a exclusão do perfil — desvinculados da sua identidade pública, mas mantidos (art. 16, I e II, da LGPD).
• A exclusão do perfil é feita por anonimização: nome de exibição, frase, @ do X e do Instagram, site, avatar e foto do Google são apagados, o handle é reescrito, publicações pendentes no X são canceladas, o perfil sai do ranking público e a página pública deixa de responder. O e-mail e a identidade Google são apagados do cadastro de autenticação, e a conta deixa de poder entrar.
• O histórico da moderação permanece pelo prazo da seção 3: o conteúdo submetido e o veredito de cada campo são mantidos para auditoria mesmo após a anonimização, assim como o texto das publicações já feitas no X.
• Conteúdo já publicado fora da Plataforma — posts no X, prints, republicações por terceiros — não pode ser removido por nós com a mesma garantia. Podemos apagar o post do perfil oficial; não controlamos cópias.
• Pedidos que conflitem com obrigação legal, com a defesa em processo ou com direito de terceiro são respondidos com a justificativa correspondente.

11. Cookies e armazenamento no seu navegador

A Plataforma não usa cookies de publicidade, de rastreamento entre sites ou de perfilamento, e não embute pixels de redes sociais ou de anunciantes. O que existe é:

• Cookies de sessão do provedor de autenticação (Supabase Auth), gravados no domínio da Plataforma e estritamente necessários para manter você logado. Sem eles não há como pagar nem editar o perfil. Ao sair da conta, eles são apagados.
• Cookies de segurança da Cloudflare, ligados à proteção contra abuso e ao desafio antiabuso (Turnstile).
• Armazenamento local (localStorage e sessionStorage), que nunca sai do seu aparelho: tema claro/escuro, som silenciado e marcador da última celebração já exibida ficam até você apagar os dados do site; o valor que você pretendia pagar fica só durante a ida ao login e é apagado assim que o checkout o lê. Nenhum deles guarda CPF.

12. Crianças e adolescentes

A Plataforma é destinada a maiores de 18 anos e não é dirigida a crianças ou adolescentes. Não verificamos idade (ver os Termos de Uso, cláusula 4.2): a idade é declarada por você. Se tomarmos conhecimento de que um participante é menor de 18 anos, o perfil é removido ou anonimizado e os dados são eliminados nos limites da seção 10.

13. Alterações

Esta Política pode ser atualizada. A versão vigente estará sempre em eusourico.com/privacidade, com a data de atualização, e a versão aceita no momento de cada pagamento fica registrada junto com aquele pagamento.

14. Contato

contato@eusourico.com · MV Desenvolvimento e Assessoria em Sistemas LTDA, CNPJ 36.086.663/0001-18, Avenida Bartholomeu Santiago, s/n, Santo Eduardo, Presidente Kennedy/ES, CEP 29350-000.

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

Documento-fonte: docs/legal/privacidade.md.

Voltar ao ranking