Política de Privacidade

1. Identificação do Controlador

Esta Política de Privacidade explica como a Mudita Ltda., pessoa jurídica de direito privado, inscrita no CNPJ/MF sob o nº 53.090.388/0001-25, com sede na Rua Francisco Juglair, 141 – bairro Mossunguê, Curitiba – PR, CEP 81200-230, coleta, utiliza, armazena e protege as informações pessoais dos usuários do aplicativo Bolão de Futebol 2026.

Este documento é parte integrante dos Termos de Uso do aplicativo e foi elaborado em conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 – LGPD) e o Marco Civil da Internet (Lei nº 12.965/2014).

2. Dados que Coletamos

2.1 Dados de cadastro (fornecidos pelo usuário)

Ao se cadastrar no aplicativo, poderemos solicitar os seguintes dados pessoais:

• Nome completo
• E-mail
• CPF ou CNPJ — necessário para emissão de nota fiscal eletrônica (NF-e) em caso de aquisição de funcionalidades premium
• Endereço (logradouro, cidade, UF, CEP) — necessário para emissão de NF-e
• Telefone
• Foto de perfil (opcional) — importada do provedor de login social (Google/Apple) ou enviada pelo usuário
• Senha — quando o cadastro é realizado por e-mail e senha (armazenada com hash seguro via SuperTokens)

2.2 Dados obtidos automaticamente

• Endereço IP e user-agent do navegador ou dispositivo
• Timestamps de acesso (data e hora de login e atividades)
• Dados de uso: palpites registrados, grupos participados, pontuações, atividade no app

2.3 Dados do dispositivo

• Sistema operacional e versão
• Modelo do dispositivo
• Versão do aplicativo instalada

2.4 Dados de autenticação

• Tokens JWT (armazenados localmente no dispositivo via MMKV)
• Identificador de sessão

2.5 Dados de pagamento

• Histórico de compras (plano adquirido, data, valor)
• Identificador de transação (Apple, Google ou gateway de pagamento)
• Status do plano (gratuito ou premium) e data de validade

3. Como Usamos seus Dados

Utilizamos os dados coletados para as seguintes finalidades:

• Autenticação e identificação do usuário
• Funcionamento do sistema de palpites, rankings e pontuações
• Processamento e validação de pagamentos premium
• Emissão de nota fiscal eletrônica (NF-e de serviço)
• Personalização da experiência (recursos de IA, estatísticas)
• Envio de e-mails transacionais (confirmação de cadastro, recuperação de senha, confirmação de compra)
• Comunicação sobre o serviço (atualizações, alterações nos termos)
• Envio de comunicações de engajamento (avisos sobre a Copa do Mundo 2026, lembretes de palpites, dicas de uso) somente para usuários que optarem expressamente por recebê-las nas configurações do app
• Melhoria contínua do serviço e correção de bugs
• Cumprimento de obrigações legais e fiscais

4. Base Legal para o Tratamento de Dados (LGPD Art. 7º)

O tratamento dos seus dados pessoais é realizado com base nas seguintes hipóteses legais:

• Consentimento (Art. 7º, I) — ao se cadastrar voluntariamente no aplicativo
• Execução de contrato (Art. 7º, V) — para prestação do serviço contratado
• Legítimo interesse (Art. 7º, IX) — para segurança do sistema e prevenção de fraude
• Cumprimento de obrigação legal ou regulatória (Art. 7º, II) — para emissão de NF-e e manutenção de registros fiscais

5. Compartilhamento de Dados

5.1 Processadores e subprocessadores

Para a prestação do serviço, compartilhamos dados com os seguintes terceiros:

Terceiro	Finalidade	Localização
Amazon Web Services (AWS)	Hospedagem, banco de dados, armazenamento de arquivos (S3)	São Paulo, Brasil (sa-east-1)
Postmark (ActiveCampaign)	Envio de e-mails transacionais (confirmação de compra, comunicados sobre o serviço) e de engajamento (avisos sobre eventos e dicas)	Estados Unidos
SuperTokens (self-hosted)	Autenticação, gestão de sessões, e-mails de recuperação de senha	São Paulo, Brasil (hospedado na AWS sa-east-1)
Google	Autenticação via Google Sign-In, Google Play Billing	Internacional
Apple	Autenticação via Sign in with Apple, Apple In-App Purchase	Internacional
Gateway de pagamento	Processamento de pagamentos diretos (cartão, Pix)	Brasil

5.2 Dados visíveis a outros usuários

Dentro de cada grupo do qual o usuário participa, os seguintes dados são visíveis aos demais membros:

• Nome e foto de perfil
• Palpites registrados (após o prazo de cada partida)
• Pontuação e posição no ranking

5.3 Compartilhamento com autoridades

Poderemos compartilhar dados pessoais com autoridades administrativas ou judiciais quando exigido por lei, nos termos do artigo 10, § 3º, do Marco Civil da Internet (Lei nº 12.965/2014).

5.4 Dados fiscais

Dados necessários para emissão de nota fiscal poderão ser compartilhados com contadores e sistemas fiscais conforme legislação tributária vigente.

6. Transferência Internacional de Dados

• AWS: servidores na região São Paulo (sa-east-1) — seus dados permanecem no Brasil
• SuperTokens: hospedado na mesma infraestrutura AWS (sa-east-1) — dados de autenticação permanecem no Brasil
• Apple e Google: a autenticação via login social pode envolver processamento em servidores internacionais, limitado aos dados necessários para o login (e-mail, nome, foto)
• Postmark (ActiveCampaign): servidores nos Estados Unidos. O envio de e-mails envolve a transferência do nome e endereço de e-mail do usuário para o provedor, com base em cláusulas contratuais padrão e em compromisso contratual de tratamento adequado dos dados

Quando houver transferência internacional de dados, serão adotadas as garantias previstas na LGPD, incluindo cláusulas contratuais padrão e verificação de adequação do nível de proteção do país destinatário.

7. Armazenamento Local no Dispositivo

O aplicativo armazena localmente no seu dispositivo:

• MMKV (em dispositivos móveis) ou localStorage (na versão web): tokens de autenticação, preferências do usuário e cache de dados

Não utilizamos cookies. A gestão de sessões é feita exclusivamente por tokens JWT.

8. Envio de Comunicações

• E-mails de autenticação (confirmação de cadastro, recuperação de senha): enviados pelo SuperTokens hospedado em nossa infraestrutura
• E-mails transacionais (confirmação de compra, comunicados sobre o serviço): enviados via Postmark
• E-mails de engajamento (avisos sobre a Copa do Mundo 2026, dicas de uso, pedidos de feedback): enviados via Postmark para usuários que consentem com o recebimento (consentimento concedido por padrão no cadastro, podendo ser revogado a qualquer momento)

8.1 Como funciona o consentimento de comunicações de engajamento

O bolaodefutebol.com é um aplicativo de natureza prática voltado para o acompanhamento de competições esportivas. O recebimento de avisos sobre partidas, pontuação e melhorias do app integra a experiência esperada do produto. Por essa razão, com base no legítimo interesse (LGPD Art. 7º, IX) e na execução do contrato (LGPD Art. 7º, V), o consentimento para essas comunicações é concedido de forma implícita no momento do cadastro, com salvaguardas para garantir o controle total do usuário:

• No app, em Menu → Avisos do App, a opção "Quero receber por email" vem ativada por padrão para novos cadastros
• O primeiro e-mail de boas-vindas é enviado aproximadamente 1 hora após o cadastro, dando ao usuário tempo suficiente para revisar a configuração e desativá-la antes do envio caso prefira
• O usuário pode desativar a qualquer momento pela mesma tela do Menu — a desativação tem efeito imediato e não impacta nenhuma funcionalidade do app
• Toda comunicação de engajamento contém o link "cancelar inscrição", que desativa o envio futuro de forma imediata, conforme exigido pela LGPD e pelas boas práticas anti-spam
• Usuários cadastrados antes da entrada em vigor desta política transitam pelo modelo anterior (opt-in expresso) — para esses, a opção permanece desativada por padrão até que seja ativada manualmente pelo usuário

8.2 Comunicações essenciais

Comunicações essenciais relacionadas à segurança da conta, confirmações de transações e alterações nos termos do serviço não podem ser desativadas, pois são necessárias à execução do contrato (LGPD Art. 7º, V).

8.3 Cancelamento manual

Caso prefira, o usuário também pode solicitar o cancelamento de quaisquer comunicações não-essenciais pelo e-mail [email protected].

8.4 Sign in with Apple e e-mails ocultos

Usuários que se cadastrarem via "Sign in with Apple" e optarem por "Hide My Email" recebem nossas comunicações no endereço de relay fornecido pela Apple (@privaterelay.appleid.com), que encaminha as mensagens ao e-mail real do usuário. Caso o usuário desative o encaminhamento nas configurações da Apple ID, paramos de enviar comunicações para aquele endereço.

9. Retenção de Dados

• Conta ativa: dados mantidos enquanto a conta estiver ativa
• Após exclusão da conta: dados pessoais anonimizados ou deletados em até 30 (trinta) dias
• Dados fiscais: notas fiscais e registros de transações mantidos por até 5 (cinco) anos, conforme legislação tributária
• Registros de acesso: mantidos por 6 (seis) meses, conforme exigência do Marco Civil da Internet (Art. 15, Lei nº 12.965/2014)

10. Direitos do Titular dos Dados (LGPD Art. 18)

Você tem os seguintes direitos em relação aos seus dados pessoais:

• Confirmação da existência de tratamento
• Acesso aos seus dados pessoais
• Correção de dados incompletos, inexatos ou desatualizados
• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade
• Portabilidade dos dados (exportação)
• Eliminação dos dados tratados com base no consentimento
• Informação sobre entidades com as quais os dados foram compartilhados
• Revogação do consentimento

Como exercer seus direitos:

• Pela funcionalidade "Excluir minha conta" disponível no aplicativo
• Pelo e-mail [email protected]

As solicitações serão atendidas em até 15 (quinze) dias úteis, contados do recebimento da solicitação.

11. Segurança

Adotamos medidas técnicas e organizacionais adequadas para proteger seus dados pessoais, incluindo:

• HTTPS/TLS para criptografia de dados em trânsito
• JWT com HMAC para autenticação segura
• Hash seguro de senhas (via SuperTokens, que utiliza bcrypt)
• Banco de dados protegido sem acesso público direto
• Armazenamento de fotos em Amazon S3 com controle de acesso
• Separação de ambientes (desenvolvimento e produção)

Contudo, nenhum sistema de segurança é absolutamente infalível. A Mudita Ltda. se compromete a notificar os titulares e a Autoridade Nacional de Proteção de Dados (ANPD) em caso de incidentes de segurança que possam causar risco ou dano relevante, conforme Art. 48 da LGPD.

12. Menores de Idade

• O aplicativo Bolão de Futebol 2026 é destinado a maiores de 13 (treze) anos
• Menores de 18 (dezoito) anos devem ter o consentimento de seus pais ou responsáveis legais para utilizar o aplicativo
• Menores de 13 (treze) anos não devem utilizar o aplicativo

Caso tomemos conhecimento de que coletamos dados de menores de 13 anos sem o consentimento parental adequado, tomaremos medidas para excluir tais dados o mais rápido possível.

13. Alterações nesta Política

A presente Política de Privacidade pode ser atualizada a qualquer momento para refletir mudanças no serviço, na legislação ou em nossas práticas de privacidade.

• A versão atualizada será publicada no aplicativo e no site
• Notificaremos os usuários via aplicativo e/ou e-mail com 10 (dez) dias de antecedência antes de alterações entrarem em vigor
• O uso continuado do aplicativo após o prazo de notificação será considerado como aceitação das alterações

14. Contato e Disposições Finais

Em caso de dúvidas, solicitações ou reclamações sobre esta Política de Privacidade ou sobre o tratamento dos seus dados pessoais, entre em contato:

Esta Política de Privacidade é regida e interpretada segundo as leis da República Federativa do Brasil. As partes elegem o foro da Comarca de Curitiba, PR, para dirimir eventuais dúvidas ou litígios, renunciando a qualquer outro, por mais privilegiado que seja.

---

© 2026 Mudita Ltda. — Todos os direitos reservados