Política de privacidade

Quem cuida dos seus dados

A controladora dos dados é a CHALK LABS CONSULTORIA EM TI LTDA, CNPJ 66.782.936/0001-20, dona da marca KeyToTwo.

Por ser agente de tratamento de pequeno porte (Resolução CD/ANPD nº 2/2022), a Chalk Labs não indicou encarregado de dados. O canal para qualquer assunto sobre dados pessoais é contato@keytotwo.com.br.

Quais dados tratamos

• Conta: e-mail, data de criação, confirmação do e-mail e data do último acesso. Se você entra com o Google, também o nome e a foto do perfil que o Google compartilha. Se você cria uma senha, ela é guardada só de forma cifrada (hash).
• Compras: itens da sacola, pedidos, produtos, valores, cupom usado, datas, a versão dos termos aceita e o momento do aceite, e as referências do pagamento na Stripe.
• Acesso aos jogos: a sua biblioteca em Meus jogos e o registro de cada download, inclusive dos gratuitos (qual arquivo e quando).
• Preferência de e-mail: se você aceita receber novidades, com o histórico de quando aceitou ou retirou o aceite, por onde e qual versão do texto viu.
• E-mails enviados: tipo da mensagem (entrega, lembrete ou novidade), endereço, situação do envio e, quando a Brevo avisa, devolução, reclamação de spam ou descadastro.
• Uso da loja: eventos como conta confirmada, item colocado ou tirado da sacola, pagamento iniciado e pedido pago, ligados à sua conta.
• Registros de acesso: o serviço de login e a hospedagem registram endereço IP, data e hora dos acessos e dados do navegador.
• Navegação, só se você aceitar os cookies: páginas visitadas, de onde você chegou, tipo de aparelho e de navegador, cidade aproximada e ações como ver um jogo, colocar na sacola e comprar, medidas pelo Google Analytics sem o seu e-mail nem ligação com a sua conta.
• Pagamento: os dados do cartão ou do Pix (como número do cartão, nome e documento, quando pedidos) são informados direto à Stripe. A KeyToTwo não recebe nem guarda o número do cartão.

Não pedimos dados pessoais sensíveis.

Para que usamos e com qual base legal

• Criar e manter a conta, processar compras, entregar os jogos, enviar os e-mails de acesso e de pedido e prestar atendimento: execução do contrato (LGPD, art. 7º, V).
• Guardar pedidos e registros de pagamento e cumprir obrigações fiscais e contábeis: cumprimento de obrigação legal (art. 7º, II).
• Guardar registros de acesso pelo prazo do Marco Civil da Internet: cumprimento de obrigação legal (art. 7º, II).
• Prevenir fraude e abuso, proteger a conta, os arquivos e o serviço, tratar contestações e defender direitos: legítimo interesse (art. 7º, IX) e exercício regular de direitos (art. 7º, VI).
• Entender o uso da loja para melhorar o site e os jogos, com eventos ligados à conta: legítimo interesse (art. 7º, IX).
• Medir as visitas ao site com o Google Analytics, para saber o que funciona e de onde as pessoas chegam: consentimento (art. 7º, I), que você dá ou recusa no aviso de cookies e muda a qualquer momento em "Cookies", no rodapé.
• Enviar novidades, ofertas, lembrete da sacola e dicas depois da compra: consentimento (art. 7º, I), que você dá e retira em Minha conta ou pelo link de cada e-mail.

Comprar não depende de aceitar e-mails de novidades. Retirar o consentimento não afeta os e-mails de acesso e de pedido. Não vendemos dados pessoais.

Os jogos gratuitos são a exceção: para baixá-los, é preciso ter conta e aceitar os e-mails de novidades (LGPD, art. 9º, § 3º). Quem retira o aceite depois continua baixando os gratuitos.

Com quem compartilhamos

Usamos fornecedores que tratam dados em nosso nome (operadores), só para as finalidades acima:

• Supabase: banco de dados, login e funções do site. Os dados ficam em servidores em São Paulo.
• Stripe: processamento dos pagamentos (Pix e cartão) e prevenção de fraude. A Stripe também trata dados de pagamento como controladora, para cumprir obrigações próprias, conforme a política dela.
• Brevo: envio dos e-mails.
• Backblaze B2: armazenamento dos arquivos dos jogos. O download sai direto do Backblaze, que registra o acesso técnico.
• Google: login com a conta Google, quando você escolhe essa opção, e o Google Analytics, que mede as visitas só se você aceitar os cookies.
• Provedor de hospedagem: o servidor que publica o site.

Também podemos compartilhar dados quando a lei exigir, por ordem judicial ou de autoridade competente, ou para defender direitos.

Stripe, Brevo, Backblaze e Google podem tratar dados fora do Brasil, em países como os Estados Unidos e os da União Europeia. Essas transferências são necessárias para executar o contrato com você e seguem as garantias contratuais desses fornecedores (LGPD, art. 33, II e IX).

Por quanto tempo guardamos

• Conta, sacola, biblioteca, preferência de e-mail e histórico de consentimento: enquanto a conta existir.
• Pedidos e registros de pagamento: pelo prazo exigido pela legislação fiscal e para defesa em eventual processo (em regra, 5 anos). Se você excluir a conta, os pedidos ficam sem o seu e-mail e sem ligação com você, só com produtos, valores, datas e a referência do pagamento na Stripe.
• E-mails enviados: o registro de cada mensagem é apagado 90 dias depois do envio.
• Registros de acesso: 6 meses, como exige o Marco Civil da Internet (Lei nº 12.965/2014, art. 15).
• Lista de supressão: e-mails que voltaram, reclamaram de spam ou pediram descadastro continuam numa lista para não receberem novidades, mesmo depois da exclusão da conta. É ela que garante essa escolha.
• Eventos de uso e de download: enquanto a conta existir. Depois da exclusão, ficam sem ligação com você, só como estatística.
• Google Analytics: 14 meses, o prazo configurado na ferramenta. A sua escolha sobre os cookies fica guardada no navegador por 12 meses; depois, o aviso pergunta de novo.

Seus direitos

A LGPD (art. 18) garante a você, a qualquer momento:

• confirmar se tratamos seus dados e ter acesso a eles;
• corrigir dados incompletos, inexatos ou desatualizados;
• pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei;
• receber seus dados num formato estruturado (portabilidade);
• pedir a eliminação dos dados tratados com o seu consentimento e retirar o consentimento;
• saber com quem compartilhamos seus dados e as consequências de não dar o consentimento;
• se opor a um tratamento feito em desacordo com a lei.

Sem precisar escrever, em Minha conta você baixa uma cópia dos seus dados (arquivo JSON com conta, pedidos, biblioteca, consentimentos, downloads e e-mails), muda a preferência de e-mail e exclui a conta. A exclusão é imediata e encerra o acesso à conta e aos downloads (a licença das cópias já baixadas continua valendo, como dizem os Termos de uso); os pedidos ficam guardados sem identificação, como explicado acima.

Para os demais pedidos, escreva para contato@keytotwo.com.br a partir do e-mail da conta. Podemos pedir uma confirmação de identidade antes de atender. Respondemos em até 15 dias.

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

Cookies e armazenamento no navegador

Cookies de análise (Google Analytics): só com o seu aceite no aviso de cookies. Eles contam as visitas e as ações na loja, sem ligação com a sua conta. Não usamos cookies de publicidade, e os sinais do Google para anúncios ficam desligados.

Você muda a escolha a qualquer momento em "Cookies", no rodapé. Recusar não muda nada no uso do site e apaga os cookies do Google Analytics deste navegador.

Quando você entra na conta, o navegador guarda a sessão no armazenamento local (localStorage), para você continuar conectado. Ela é apagada quando você sai da conta. A sacola de quem ainda não entrou e a sua escolha sobre os cookies também ficam no armazenamento local do navegador.

Na página de pagamento, o formulário da Stripe é carregado e pode gravar cookies próprios, usados para segurança e prevenção de fraude. Ao entrar com o Google, você passa pela página do Google, que segue a política dele.

Segurança

Usamos conexão cifrada (HTTPS), senhas guardadas como hash, códigos de acesso de uso único, links de download assinados e temporários e acesso ao banco só pelos sistemas da loja, com o mínimo de permissões.

Nenhum sistema é totalmente seguro. Se houver um incidente que possa causar risco ou dano relevante, avisaremos você e a ANPD, como manda a lei.

Menores de idade

O site e a conta são para maiores de 18 anos. Não tratamos de propósito dados de crianças e adolescentes. Se soubermos de uma conta de menor de idade, ela será excluída.

Alterações desta política

Esta política tem versão e data, indicadas no topo da página. Se ela mudar de forma relevante, avisaremos no site e, quando for o caso, por e-mail.

Contato

Dúvidas e pedidos sobre dados pessoais: contato@keytotwo.com.br.