Política de Privacidade

1. Quem é o responsável

O O Que Vamos Jogar? (OQVJ) é um projeto pessoal e sem fins lucrativos. O controlador dos dados é o responsável pelo site, que também atua como encarregado (contato para assuntos de privacidade): ehagge.design@gmail.com.

Sistema em teste. O site está em fase de testes. Mesmo com as medidas descritas abaixo, não use aqui uma senha que você usa em outros serviços.

2. Quais dados coletamos

• Cadastro: nome, nome de usuário, e-mail e senha (guardamos só um hash da senha — nunca a senha em si).
• Opcionais, se você preencher: usuário no BoardGameGeek (BGG) e na Ludopedia, token da API do BGG e, se você conectar, token de acesso da Ludopedia (ambos guardados cifrados) e foto de perfil.
• Sua coleção: jogos, expansões e ajustes que você faz (modo, tipo, idioma, links), além do histórico de sincronizações.
• Amizades: pedidos enviados, recebidos e aceitos (entre nomes de usuário).
• Registro de aceite: data e versão dos Termos de Uso e desta Política que você aceitou.
• Dados técnicos de segurança: para limitar tentativas de login, cadastro e outras ações, guardamos por até 1 hora um código irreversível (hash) derivado do endereço IP e do e-mail, junto com o horário da tentativa. O provedor de hospedagem também mantém registros de acesso do servidor (IP, data, página), por padrão do serviço.

Não coletamos dados sensíveis, não fazemos perfil de comportamento, não usamos ferramentas de análise (analytics) nem publicidade.

3. Para que usamos e com qual base legal

• Criar e manter a sua conta, mostrar e organizar a sua coleção, amizades e coleção conjunta — execução do serviço que você pediu (art. 7º, V).
• Segurança (impedir abuso, ataques de senha e acessos indevidos; cópias de segurança) — legítimo interesse (art. 7º, IX) e cumprimento de obrigações de segurança (art. 46).
• Itens opcionais (foto, token do BGG, usuários do BGG/Ludopedia) e coleção pública — o seu consentimento (art. 7º, I), que pode ser retirado a qualquer momento apagando o dado ou mudando a visibilidade.
• Aprovação de contas pelo administrador — legítimo interesse em manter o sistema de testes restrito.

4. Quem vê o quê

Seu e-mail nunca é mostrado a outros usuários. Quem vê a sua coleção depende da visibilidade escolhida: pública (qualquer pessoa com o link), só amigos (amigos aceitos, com login) ou privada (só você). A foto segue a mesma regra. O administrador do site pode ver os dados de cadastro (nome, usuário, e-mail, status) para aprovar e gerenciar contas.

5. Compartilhamento e transferência internacional

• BoardGameGeek (EUA): quando você sincroniza ou busca jogos, o servidor consulta o BGG enviando o seu usuário do BGG e, se houver, o token da API. Não enviamos e-mail, nome ou senha. O BGG tem a própria política de privacidade.
• Ludopedia: usamos links para as páginas públicas. Se o administrador ligar a integração (experimental) e você escolher “Conectar à Ludopedia”, você autoriza na própria Ludopedia; guardamos o token de acesso cifrado e o usamos só para ler a sua coleção quando você pedir. Dá para desconectar a qualquer momento em Minha conta.
• Imagens dos jogos são carregadas do servidor de imagens do BGG (cf.geekdo-images.com) pelo seu navegador, que recebe o seu IP como em qualquer site.
• Hospedagem: os dados ficam em servidores do provedor de hospedagem contratado (operador), que pode estar fora do Brasil. Essas transferências se apoiam no art. 33 da LGPD.

Não vendemos nem cedemos dados a ninguém.

6. Por quanto tempo guardamos

• Dados da conta e da coleção: enquanto a conta existir.
• Ao excluir a conta (em Minha conta, ou pelo administrador), apagamos de fato o cadastro, a coleção, a foto, as amizades, as sessões “lembrar de mim” e as cópias de backup do cadastro.
• Cadastros recusados pelo administrador são apagados da mesma forma.
• Cópias automáticas de segurança: as 30 mais recentes de cada arquivo, substituídas conforme novas alterações.
• Registros de tentativas (segurança): até 1 hora. Sessão: até 8 horas (ou 2 horas parada). “Lembrar de mim”: 30 dias.

7. Cookies

Usamos apenas cookies essenciais, sem os quais o login não funciona: jogos_sessao (sessão, apagado ao fechar o navegador ou sair) e jogos_lembrar (só se você marcar “lembrar de mim”, por 30 dias). O navegador também guarda localmente as suas preferências de filtros e de visualização e se você já viu o aviso de cookies; isso não sai do seu aparelho. Não há cookies de terceiros, rastreamento ou publicidade.

8. Seus direitos (art. 18 da LGPD)

Você pode, a qualquer momento:

• confirmar e acessar os seus dados e levá-los com você (portabilidade): em Minha conta → Baixar meus dados (arquivo JSON);
• corrigir dados: em Minha conta → Perfil;
• excluir a conta e os dados: em Minha conta → Excluir minha conta;
• revogar o consentimento dos itens opcionais: removendo a foto, o token ou os usuários do BGG/Ludopedia, ou deixando a coleção privada;
• pedir informações sobre compartilhamento, opor-se a algum tratamento ou fazer qualquer outro pedido pelo e-mail ehagge.design@gmail.com (respondemos em até 15 dias);
• reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

9. Segurança

Senhas com hash forte; conexão HTTPS obrigatória; tokens do BGG cifrados; dados guardados fora da pasta pública do site; proteção contra CSRF, limites de tentativas, cabeçalhos de segurança (CSP, HSTS e outros); fotos re-processadas no servidor (sem metadados); controle de acesso em cada operação. Nenhum sistema é infalível: se acontecer um incidente de segurança que possa causar risco ou dano relevante, avisaremos os afetados e a ANPD, como manda a lei.

10. Crianças e adolescentes

O site não é destinado a crianças (até 12 anos). Adolescentes devem usá-lo com o conhecimento dos responsáveis.

11. Mudanças nesta política

Se a política mudar, a data de versão no topo muda e pediremos que você leia e aceite de novo ao entrar em Minha conta.