Política de privacidade

Esta política descreve como a PayPerFrag coleta, usa e protege dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018). Ao usar o serviço, você concorda com as práticas aqui descritas.

1. Quem é o controlador

O controlador dos dados pessoais é o operador da PayPerFrag, pessoa física responsável pelo serviço. Para qualquer assunto de privacidade, use suporte@payperfrag.com.

2. Dados que coletamos

Conta (creators e streamers)

• Email e senha (a senha é guardada apenas como hash);
• Nome de exibição, handle e avatar;
• Dados de login e canal vindos de Google, Twitch ou YouTube, quando você opta por entrar ou vincular seu canal: identificador, email, nome e dados públicos do canal.

Streamers: recebimento

• Tokens de acesso do Mercado Pago, obtidos quando você conecta sua conta por OAuth. Ficam armazenados no servidor, fora do alcance do navegador, e são usados só para gerar e consultar pagamentos na sua conta;
• Opcionalmente, sua chave PIX, usada para o QR Code PIX estático quando não há conta Mercado Pago conectada.

Doadores sem cadastro

• Nome de exibição (ou “Anônimo”), exibido publicamente na transmissão;
• Email, opcional;
• Mensagem da doação, exibida na transmissão e possivelmente lida em voz sintetizada;
• Endereço IP e dados do navegador, usados para limitar abusos (rate limit), prevenir fraude e cumprir o Marco Civil da Internet;
• Confirmação de que o doador tem 18 anos ou mais.

Pagamentos

• O PIX é processado pelo Mercado Pago. Dados bancários e de cartão não passam pelos nossos servidores. Recebemos metadados do pagamento: identificador, valor, status, taxas e datas, e o necessário para estornos.

Uso do serviço e técnicos

• Desafios, resultados informados, provas apresentadas em disputas e registros (logs) de operações sensíveis, para auditoria, antifraude e suporte;
• Cookies estritamente necessários (sessão e autenticação) e sinais antifraude, como contagem de rejeições e detecção de provas duplicadas.

3. Para que usamos os dados

• Operar o serviço: autenticação, criação de pagamentos, alertas na transmissão, desafios, estornos e disputas;
• Moderar mensagens e impedir abusos, fraude e robôs;
• Cumprir obrigações legais e atender requisições de autoridades;
• Comunicação operacional (confirmação de email, recuperação de senha, avisos sobre seus desafios).

Não usamos dados pessoais para publicidade nem para perfilamento comercial.

4. Bases legais (LGPD art. 7º)

• Execução de contrato — processar doações, desafios e estornos que você solicita;
• Cumprimento de obrigação legal ou regulatória — registros exigidos em lei e requisições oficiais;
• Legítimo interesse — segurança, antifraude, moderação e limitação de abuso;
• Consentimento — por exemplo, a autorização para exibir sua doação ao vivo e comunicações opcionais, sempre revogável.

5. Com quem compartilhamos (operadores)

Compartilhamos dados apenas com prestadores essenciais ao serviço:

• Supabase — banco de dados e autenticação;
• Vercel — hospedagem da aplicação;
• Mercado Pago — processamento dos pagamentos PIX e estornos;
• Cloudflare — DNS, verificação anti-robô (Turnstile) e roteamento do email de suporte;
• Resend — envio de emails transacionais;
• OpenAI — moderação automática do texto das mensagens;
• Microsoft Azure — conversão do texto das mensagens de doação em voz sintetizada (text-to-speech);
• Google, Twitch e YouTube — login e dados do canal, somente quando você opta por usá-los.

Nome, valor e mensagem de uma doação são exibidos publicamente na transmissão do streamer. Não vendemos dados pessoais nem os compartilhamos com anunciantes ou corretores de dados.

6. Retenção

• Dados de conta: enquanto a conta estiver ativa.
• Doadores sem cadastro: nome e email são anonimizados automaticamente após 90 dias. IP e dados do navegador são mantidos por até 6 meses (prazo mínimo do Marco Civil da Internet) e depois apagados ou anonimizados.
• Registros de pagamentos e de auditoria: pelo prazo necessário a obrigações legais, fiscais e antifraude.
• Após o encerramento da conta, dados não cobertos por retenção legal são anonimizados ou excluídos em até 60 dias.

7. Seus direitos (LGPD art. 18)

Você pode, a qualquer momento, solicitar:

• Confirmação de que tratamos seus dados e acesso a eles;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
• Portabilidade dos dados;
• Eliminação dos dados tratados com base em consentimento;
• Informação sobre com quem compartilhamos seus dados;
• Revogação do consentimento.

Escreva para suporte@payperfrag.com. Doadores sem cadastro devem informar o email usado e o identificador do pagamento. Respondemos em até 15 dias. Pedidos de eliminação podem ser atendidos parcialmente quando há retenção legal obrigatória.

8. Decisões automatizadas (LGPD art. 20)

Usamos regras automatizadas de prevenção a fraude e moderação, por exemplo detecção de provas duplicadas, contagem de rejeições e filtro de mensagens. Elas podem marcar uma conta como suspeita, limitar funcionalidades ou bloquear uma mensagem. Você pode pedir revisão humana de qualquer decisão automatizada pelo email de suporte.

9. Segurança

• Senhas armazenadas como hash;
• Acesso ao banco protegido por controle de acesso em nível de linha (RLS); tokens do Mercado Pago só são acessíveis pelo servidor;
• Comunicação criptografada (TLS) em trânsito;
• Registros de operações sensíveis para detecção de incidentes.

Em caso de incidente de segurança que afete dados pessoais, avisaremos os titulares afetados e a ANPD nos prazos previstos em lei.

10. Cookies

Usamos apenas cookies estritamente necessários para sessão, autenticação e prevenção de abuso. Não usamos cookies de publicidade nem rastreamento entre sites. Se você bloquear cookies, não será possível permanecer logado.

11. Crianças e adolescentes

O serviço é destinado a maiores de 18 anos. Não coletamos intencionalmente dados de menores. Se identificarmos uma conta de menor, ela será encerrada e os dados eliminados, salvo o mínimo necessário para registrar o incidente.

12. Transferência internacional

Alguns operadores (Supabase, Vercel, Cloudflare, Resend, OpenAI e Microsoft Azure) podem processar dados em servidores fora do Brasil. As transferências seguem o art. 33 da LGPD, por meio de cláusulas contratuais e fornecedores com nível adequado de proteção.

13. Atualizações

Esta política pode ser atualizada. Mudanças materiais serão comunicadas por email aos usuários cadastrados com pelo menos 7 dias de antecedência. A versão vigente é sempre a publicada nesta página.

14. Contato

Para privacidade, exercício de direitos ou denúncias: suporte@payperfrag.com (também pela página de suporte). O controlador é o operador pessoa física da PayPerFrag; se for designado um Encarregado (DPO), a indicação será publicada aqui.