Política de Privacidade

Controlador: Agência F3X Ltda., CNPJ 00.000.000/0001-00, sede no Rio de Janeiro/RJ.

DPO Email: dpo@sabitudo.com

2.1 Dados de cadastro

• Nome completo
• Email (verificado por OTP)
• CPF (criptografado em repouso)
• Data de nascimento (verificação +18)
• Foto de perfil (opcional, fornecida ou importada do Phiz)

2.2 Dados de uso

• Palpites, pontos, conquistas, streak
• Bolões criados/participados
• Mensagens em bolões públicos (moderação)
• Logs de acesso (IP, user-agent, hora)
• Eventos PostHog (cadastro, palpite, premium, share)

2.3 Dados de vencedores

• Endereço completo
• Telefone
• Documento com foto (RG/CNH) — criptografado, retido 5 anos para auditoria fiscal

2.4 Dados de pagamento

Pagamentos via Stripe, Mercado Pago e Phiz Pay/PicPay. NÃO armazenamos dados de cartão. Apenas confirmação de transação.

• Execução de contrato (V): participação no concurso, pontuação, ranking, identificação de vencedores.
• Cumprimento legal (II): retenção fiscal 5 anos (Lei 5.768/71, Dec 70.951/72).
• Legítimo interesse (IX): antifraude (1 pessoa = 1 conta via CPF), prevenção de conluio.
• Consentimento (I): comunicações de marketing (opt-in, opt-out 1 clique).

Compartilhamos apenas o necessário com:

• Supabase — banco/auth (São Paulo, sa-east-1)
• Vercel — hospedagem web
• Resend — email transacional
• Stripe / Mercado Pago / Phiz Pay/PicPay — pagamentos
• Sentry — erros (logs anonimizados)
• PostHog — análise (eventos sem PII)
• TheSportsDB / API-Football — dados esportivos públicos (sem dados pessoais)
• Phiz Chat — SSO via openid (apenas no mini-app)
• Autoridades — quando obrigado por ordem judicial

Não vendemos dados. Não compartilhamos com casas de aposta.

Cookies essenciais (autenticação, preferências) e analíticos (PostHog). Sem essenciais, plataforma não funciona.

• Conta ativa: enquanto existir.
• Inativa 24 meses: aviso por email; após 30 dias sem retorno, dados anonimizados.
• Vencedores: 5 anos (CTN art. 173 + Lei 5.768/71).
• Logs de acesso: 6 meses (Marco Civil art. 15).
• Pagamento: conforme retenção do gateway.

• Confirmação de tratamento
• Acesso
• Correção
• Anonimização ou eliminação
• Portabilidade
• Eliminação (exceto retenção legal)
• Revogação de consentimento
• Oposição a tratamento por legítimo interesse

Pedidos via dpo@sabitudo.com. Resposta em até 15 dias úteis.

• TLS 1.3 em trânsito; AES-256 em repouso.
• CPF e documentos criptografados em coluna separada.
• Senhas hashed bcrypt (Supabase Auth).
• OTP por email expira em 10 minutos.
• Rate limit 60 req/min/IP.
• Auditoria em _audit_log.
• Backups diários, retenção 30 dias.

Incidente de segurança: notificamos você e a ANPD em até 48h (LGPD art. 48).

Plataforma exclusiva para 18+. Conta de menor identificada é encerrada e dados eliminados imediatamente.

Provedores (Vercel, Stripe, Sentry, PostHog) operam em EUA/UE. Transferência via cláusulas-padrão ANPD ou países com nível adequado.

Alterações materiais notificadas com 15 dias de antecedência.

• Email: dpo@sabitudo.com
• Resposta em até 15 dias úteis
• Sem resposta satisfatória? Contate a ANPD