Política de Privacidade

Controlador dos dados

ChampSheep é operado por Castillo Shell, LLC, uma sociedade de responsabilidade limitada do estado de Delaware (EUA), com sede registrada em 131 Continental Dr, Suite 305, Newark, DE 19713, Estados Unidos. Para questões de privacidade entre em contato em hello@champsheep.com.

Informações que coletamos

Quando você cria uma conta coletamos seu e-mail e um nome de usuário escolhido por você. Armazenamos os palpites enviados, as ligas em que participa, os pontos ganhos e as medalhas conquistadas.

Se fizer login com o Google, recebemos seu nome, e-mail e foto de perfil do Google.

Nossos servidores registram automaticamente seu IP, agente de usuário e metadados de requisições para segurança e prevenção de abuso. Esses logs são mantidos por 30 dias.

Se você comprar uma assinatura, a Polar nos fornece identificadores de cobrança, o plano escolhido, o status da assinatura e o histórico de transações ou ajustes. O ChampSheep não recebe nem armazena o número completo do seu cartão.

Quando você usa o chat de partidas, guardamos o texto das mensagens que envia, em que sala (a sala de uma liga ou a sala Global) e em que partida as enviou, e quando. Se denunciar uma mensagem, guardamos a sua denúncia, o motivo escolhido e qualquer detalhe que acrescentar; se bloquear alguém, guardamos esse bloqueio.

Base legal do tratamento

Tratamos seus dados com base nas seguintes hipóteses legais (Art. 6 GDPR / Art. 7 LGPD):

• Execução de contrato — para prestar o serviço de palpites a que você se inscreveu (conta, palpites, tabelas, ligas).
• Legítimo interesse — para manter o serviço seguro, prevenir abuso e medir uso agregado com analytics sem cookies.
• Obrigação legal — para cumprir leis aplicáveis e responder a requisições legais.
• Consentimento — para qualquer tratamento opcional que solicitemos. Você pode revogar o consentimento a qualquer momento.

Como usamos suas informações

• Para criar e gerenciar sua conta
• Para salvar e exibir seus palpites
• Para calcular pontuações e mostrar tabelas
• Para enviar e-mails importantes (links mágicos, verificação de mudança de e-mail)
• Para prevenir fraude, spam e abuso
• Para melhorar o serviço com estatísticas agregadas e anônimas
• Para medir nossa publicidade e alcançar públicos semelhantes usando pixels de publicidade (Meta, X, Google Ads, Reddit)
• Para gerenciar assinaturas pagas, oferecer benefícios, prevenir fraude de cobrança e resolver solicitações de suporte sobre pagamentos ou reembolsos
• Para operar o chat de partidas e moderá-lo: filtrar mensagens antes de serem publicadas, agir sobre denúncias e manter um registro das decisões de moderação

Compartilhamento de dados

Seu nome de usuário, avatar, palpites e pontos são visíveis para outras pessoas nas tabelas e ligas em que participa. Não vendemos, alugamos nem trocamos suas informações pessoais.

Uma mensagem que você envia na sala de chat de uma liga é visível para os membros dessa liga; uma mensagem na sala Global é visível para todas as pessoas daquele torneio. O ChampSheep pode ler as mensagens do chat para moderá-las, assim como o criador e os administradores de uma liga nas salas da própria liga — eles veem a mensagem e o nome de usuário de quem a escreveu, nunca o seu e-mail, endereço IP ou localização. Quando removemos uma mensagem, informamos ao autor o que foi removido e por quê, e informamos a quem denunciou o que decidimos.

Prestadores e parceira de pagamentos

Contamos com os seguintes terceiros para operar o ChampSheep:

• Plausible Analytics (hospedado na UE, sem cookies) — estatísticas agregadas, sem armazenar IPs.
• Google LLC — Login com Google (apenas se você escolher esse método).
• Amazon Web Services (Leste dos EUA, Norte da Virgínia) — hospedagem da aplicação, banco de dados e backups criptografados.
• flagcdn.com — imagens de bandeiras nos cards das partidas.
• Meta Platforms, Inc. (Meta/Facebook Pixel) — mede o desempenho dos anúncios e cria públicos. Só é carregado com seu consentimento na UE/EEE e no Reino Unido.
• X Corp. (X/Twitter Pixel) — medição de conversões de publicidade. Só é carregado com seu consentimento na UE/EEE e no Reino Unido.
• Google LLC (tag do Google Ads, incl. Conversões Otimizadas) — medição de conversões de publicidade; seu e-mail é convertido em hash no seu navegador antes do envio. Só é carregado com seu consentimento na UE/EEE e no Reino Unido.
• Reddit, Inc. (Reddit Pixel) — medição de conversões de publicidade. Só é carregado com seu consentimento na UE/EEE e no Reino Unido.
• Resend, Inc. — envio de e-mails de conta e de produto.
• Polar — comerciante oficial das assinaturas pagas. A Polar é controladora independente da venda em si: decide como são realizados o pagamento, os impostos, o faturamento e a prevenção de fraude, sob sua própria política de privacidade. Não é nossa operadora nesse tratamento. Recebemos dela evidências limitadas de faturamento, descritas acima.

Nossos operadores só podem usar os dados para prestar os serviços descritos e apenas seguindo nossas instruções. A Polar é a exceção: na venda, atua como controladora independente por direito próprio, não seguindo nossas instruções.

Transferências internacionais

O ChampSheep é operado a partir dos Estados Unidos, e nossos servidores estão nos Estados Unidos. Como oferecemos nosso serviço a pessoas no EEE e no Reino Unido, o RGPD e o RGPD do Reino Unido se aplicam diretamente ao nosso tratamento onde quer que ocorra, e os direitos descritos nesta política valem integralmente para você.

Quando enviamos dados a um prestador de serviços fora do seu país, apoiamo-nos nas Cláusulas Contratuais-Tipo da Comissão Europeia em conjunto com o adendo do Reino Unido, e em salvaguardas técnicas e organizativas adicionais. Quando um prestador é certificado no âmbito do Quadro de Privacidade de Dados UE–EUA, as transferências para esse prestador podem basear-se nessa decisão de adequação.

Por quanto tempo guardamos seus dados

• Dados da conta — até você excluir sua conta, exceto pelas evidências limitadas de cobrança descritas abaixo.
• Quando você exclui a conta, os dados são removidos dos sistemas ativos. Cópias residuais podem permanecer em backups criptografados por até quatro meses e depois são destruídas pela rotação. Os backups não são usados para restaurar contas excluídas; após uma restauração de desastre, as exclusões pendentes são reaplicadas antes de o serviço voltar.
• Logs de servidor — 30 dias.
• Tokens de link mágico e de sessão — até expirarem (minutos a semanas).
• Evidências pseudonimizadas de assinatura, transações, aceite dos termos e uso agregado — normalmente por até 18 meses após a data posterior entre o fim da assinatura e a última transação, com uma extensão específica de até 90 dias se uma reivindicação de cobrança continuar sem solução.
• Nossos próprios registros empresariais — os repasses que recebemos do nosso provedor de pagamentos, que não estão vinculados a assinantes individuais — são mantidos pelo tempo que a legislação fiscal e societária exigir.
• Mensagens do chat — 90 dias, após os quais são excluídas por completo junto com as denúncias associadas. Se você excluir a sua própria mensagem, ela deixa de ficar visível imediatamente. Quando exclui a sua conta, as suas mensagens são desvinculadas de você e o texto é removido, de modo que a conversa mantém a forma sem manter as suas palavras.

Armazenamento local no seu dispositivo

Guardamos um token de sessão, um cache de dados de partidas e pequenas preferências de UI no armazenamento local do navegador para o app funcionar offline. Fora da UE/EEE e do Reino Unido, nossos parceiros de publicidade (Meta, X, Google, Reddit) também podem usar cookies; na UE/EEE e no Reino Unido eles só são usados com seu consentimento. Os dados locais são apagados ao sair ou ao limpar o navegador.

Seus direitos

Dependendo de onde você mora, você tem alguns ou todos estes direitos:

• Acesso — solicitar uma cópia dos dados que mantemos sobre você.
• Portabilidade — baixar seus dados em formato estruturado (Perfil → Editar → Baixar meus dados).
• Retificação — corrigir informações inexatas pela página do perfil.
• Exclusão — apagar sua conta e os dados associados (Perfil → Editar → Excluir minha conta), sujeita à retenção legal limitada descrita acima.
• Limitação — pedir que limitemos o tratamento.
• Oposição — opor-se a tratamentos baseados em legítimo interesse.
• Revogar consentimento — para qualquer tratamento baseado em consentimento.
• Reclamar — junto à autoridade local de proteção de dados.

Para exercer um direito não disponível no app, escreva para hello@champsheep.com. Respondemos em até 30 dias.

Crianças

O ChampSheep não é direcionado a menores de 13 anos, e você precisa ter pelo menos 13 anos para criar uma conta. Não coletamos conscientemente dados pessoais de menores de 13 anos. Alguns Estados-Membros da UE fixam uma idade mais alta — até 16 anos — abaixo da qual uma criança não pode consentir com tratamentos opcionais, como cookies publicitários; para o jogo em si não nos baseamos no consentimento, e sim no nosso contrato com você. Se acredita que uma criança tem uma conta sem a participação de um responsável, escreva para hello@champsheep.com e a removeremos.

Residentes da Califórnia (CCPA / CPRA)

Se você é residente da Califórnia, tem os seguintes direitos sob CCPA/CPRA:

• Direito de saber quais informações pessoais coletamos, usamos e divulgamos.
• Direito de excluir suas informações pessoais.
• Direito de corrigir informações imprecisas.
• Direito de optar por não vender ou compartilhar informações pessoais.
• Direito de limitar o uso de informações pessoais sensíveis.
• Direito de não ser discriminado por exercer estes direitos.

Categorias de informações coletadas: identificadores (e-mail, usuário, IP, IDs de dispositivo), atividade online (palpites, visualizações), inferências (nível de engajamento). Fontes: diretamente de você, do Google se usar Google Sign-In, e do seu dispositivo. Usamos pixels de publicidade (Meta, X, Google Ads, Reddit); fora do EEE/Reino Unido eles carregam por padrão, e no EEE/Reino Unido apenas com seu consentimento — essas plataformas recebem dados padrão da requisição (IP, user agent, URL da página) e identificadores de publicidade.

Não vendemos suas informações pessoais por dinheiro. Usamos, sim, pixels publicitários (Meta, X, Google Ads, Reddit) que comunicam dados limitados a essas plataformas para medir publicidade e formar audiências — o que a lei da Califórnia chama de "compartilhamento" para publicidade comportamental entre contextos, mesmo sem dinheiro envolvido. Para recusar: ative o Global Privacy Control no seu navegador, que respeitamos automaticamente em todo o mundo, ou use Configurações de cookies no rodapé de qualquer página. Você também pode recusar publicidade personalizada nas configurações de anúncios de cada plataforma.

Residentes no Brasil (LGPD)

Se você está no Brasil, a Lei Geral de Proteção de Dados (LGPD) se aplica ao nosso tratamento dos seus dados. Você tem direitos de acesso, correção, anonimização, portabilidade, eliminação e informação sobre com quem compartilhamos dados. Os dados do controlador estão na seção Controlador de Dados, acima. Escreva para hello@champsheep.com — nosso canal publicado para solicitações de proteção de dados — para exercer qualquer desses direitos ou levantar uma preocupação, e você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

Residentes do Reino Unido (UK GDPR)

No Reino Unido aplicam-se o UK GDPR e o Data Protection Act 2018. Você tem os mesmos direitos dos usuários do EEE e pode reclamar à Information Commissioner's Office (ICO) em ico.org.uk.

Direito a apresentar reclamação

Se acredita que não tratamos seus dados corretamente, pode reclamar à autoridade de proteção de dados do seu local de residência, trabalho ou da suposta infração. O Comitê Europeu de Proteção de Dados lista as autoridades nacionais em edpb.europa.eu. No Brasil, a autoridade é a ANPD (anpd.gov.br).

Segurança dos dados

Aplicamos medidas padrão da indústria como TLS em trânsito, criptografia de bancos em repouso, credenciais com hash e controle de acesso por menor privilégio. Nenhum sistema é 100% seguro — em caso de violação que afete seus dados notificaremos você e a autoridade competente em até 72 horas.

Registro de segurança de logins

Quando você faz login registramos a localização aproximada (país e primeira subdivisão, ex. "BR-SP") derivada do seu endereço IP. Não armazenamos o IP em si. Estes dados são usados apenas para segurança da conta e prevenção de fraude — por exemplo, para sinalizar um login de um país inesperado. A base legal é nosso interesse legítimo segundo o art. 6(1)(f) do RGPD (e art. 7º, IX da LGPD). Os registros são mantidos por 12 meses e excluídos automaticamente quando você apaga sua conta.

Mudanças nesta política

Podemos atualizar esta política periodicamente. Mudanças significativas serão anunciadas no app ou por e-mail. A data de "última atualização" abaixo reflete a versão mais recente.

Fale conosco

Dúvidas sobre esta política de privacidade? Entre em contato em hello@champsheep.com.