Política de privacidade

Última atualização: 25/10/2026. Versão de rascunho, sujeita à revisão jurídica.

1. Controlador e contato

Controlador: PATITOW LABS LTDA, CNPJ 63.119.403/0001-74. Encarregado (DPO) e canal de privacidade: contato@volantemestre.com. Para exercer seus direitos ou tirar dúvidas, use o mesmo e-mail.

2. Dados que coletamos

• Conta: nome, e-mail e, se você usar WhatsApp para entrar, o número de telefone.
• Assinatura: CPF ou CNPJ, quando exigido para a cobrança, além do plano e do status do pagamento.
• Uso: jogos que você salvar, limite de gasto semanal e registros de cotas de uso.
• Segurança e técnica: sessão de acesso (cookie), endereço IP e registros de tentativas de login.

3. Para que usamos

• Criar e manter sua conta, e autenticar você.
• Processar assinatura e pagamento.
• Mostrar seus jogos salvos e conferi-los após o sorteio.
• Enviar códigos de acesso e avisos sobre sua conta.
• Proteger o serviço contra abuso, fraude e tentativas de acesso indevido.

4. Com quem compartilhamos

Compartilhamos somente o necessário com estes operadores:

• Asaas: cobrança e assinatura (nome, e-mail, CPF ou CNPJ).
• Resend: envio de código por e-mail.
• Meta (WhatsApp Business Cloud API): transporte das mensagens do login pelo WhatsApp (número e texto da mensagem).
• OpenAI: texto enviado para a IA de ajuste de parâmetros, sem CPF ou e-mail.
• Google: somente se você escolher entrar com Google.
• Vercel Web Analytics: medição de visitas e de desempenho das páginas, sem cookies de rastreamento e sem perfil individual. Não coletamos seu CPF nem o conteúdo dos seus jogos por essa ferramenta.
• Hospedagem: Vercel (site) e servidor próprio (API e banco de dados).

5. Cookies

Usamos cookies técnicos, necessários para o login: o cookie de sessão, marcado como somente HTTP e seguro em produção, e cookies temporários dos logins pelo WhatsApp e pelo Google. Não usamos cookies de publicidade. A medição de visitas (Vercel Web Analytics) não usa cookies.

6. Por quanto tempo guardamos

• Conta, cadastro e vínculo de login (Google, passkey, e-mail ou WhatsApp): enquanto a conta existir. Na exclusão da conta, são apagados.
• Jogos salvos, carteiras e bolões: enquanto a conta existir. Na exclusão da conta, são apagados.
• Sessões de acesso: 30 dias, que é a validade máxima do cookie de sessão.
• Pedidos de login pelo WhatsApp: valem 10 minutos. Pedidos vencidos são apagados.
• Uso e cotas (limite semanal de jogos e cotas de IA): 12 meses.
• Contadores de limite de tentativas, que podem conter o IP: 1 dia.
• Registro de eventos de cobrança no nosso banco: 5 anos.
• Registro de desconto de retenção, com o resumo do CPF: 5 anos a partir da aplicação. Fica mesmo após a exclusão da conta, para que o desconto não se repita com uma conta nova.
• Registros fiscais da cobrança: ficam no Asaas, pelo prazo que a lei exige.

7. Seus direitos

Você pode pedir confirmação do tratamento, acesso, correção, eliminação dos dados, informação sobre compartilhamentos e revogação do consentimento. A exclusão definitiva da conta e a exportação eletrônica completa dos seus dados em formato JSON (LGPD, art. 18, II e V) já estão disponíveis diretamente de forma automatizada na área Minha Conta.

Para solicitações adicionais ou esclarecimentos sobre privacidade, você também pode contatar nosso Encarregado (DPO) pelo e-mail contato@volantemestre.com.

8. Segurança

• O CPF é guardado só como resumo HMAC com chave secreta, não em texto aberto.
• Códigos de acesso por e-mail são guardados como resumo, com limite de 3 tentativas.
• No login pelo WhatsApp, o token é de uso único e só o navegador que o gerou consegue usá-lo. O segredo desse navegador fica apenas no cookie; o banco guarda o resumo.
• A sessão fica em cookie assinado (HMAC-SHA256), marcado como somente HTTP, e pode ser revogada no servidor. Sem chave de sessão forte, nenhuma sessão é emitida.
• As rotas de cron exigem segredo próprio, e os webhooks do Asaas e da Meta exigem token ou assinatura. Sem essas chaves configuradas, as rotas não rodam.
• A exclusão da conta apaga os dados em uma única transação.
• O banco de dados não tem porta pública e é acessado só pelo servidor da aplicação. Site e API são servidos por HTTPS.

9. Alterações

Mudanças relevantes serão avisadas no próprio site antes de entrarem em vigor.