Como tratamos seus dados

O que não pedimos: CPF, telefone, endereço, data de nascimento, gênero, dados de pagamento, contatos ou identificadores de publicidade. Nada disso é necessário para montar deck.

Cidade e estado são a exceção, e existem por um motivo só: troca de carta é presencial, e sem saber a região a busca devolve gente do país inteiro. Perguntamos no seu primeiro acesso, você pode pular, e dá para mudar ou apagar quando quiser em Minha conta. Eles nunca descem ao nível de endereço.

Sobre o CEP: para preencher a cidade, oferecemos um campo de CEP — e ele não é guardado. Ele é enviado a uma base pública de endereços, que responde qual é a cidade e o estado; é isso que fica salvo. O CEP em si não vai para o nosso banco, e a rua e o bairro que vêm nessa resposta são descartados antes de qualquer coisa. Preencher o CEP é opcional: cidade e estado podem ser digitados à mão.

Não identificam você por si sós, mas são seus: ficam ligados à sua conta, saem na exportação e são apagados junto com ela.

Com um: o serviço que entrega nossos e-mails. Ele precisa saber o seu endereço, porque é para lá que a mensagem vai. Ele não recebe sua senha, seus decks nem sua coleção.

E o que mandamos é só sobre o acesso à sua conta: confirmar o e-mail, redefinir a senha, avisar quando a senha muda e confirmar uma troca de endereço. Nunca novidade, promoção ou newsletter — e nossos e-mails não têm imagem nem link de rastreamento, então não sabemos se você abriu.

Fora isso, ninguém. Sem transferência internacional e sem rastreador de terceiro. As imagens das cartas vêm de dois CDNs externos, mas quem as busca é o nosso servidor, e não o seu navegador — o seu IP não é exposto a eles.

Todos por autoatendimento, na página da sua conta. Sem abrir chamado e sem esperar resposta:

• Confirmação e acesso. A página mostra todo dado pessoal que guardamos sobre você.
• Correção. Nome de exibição, e-mail e senha são editáveis. A troca de e-mail passa por um link no endereço novo, e o antigo recebe um aviso — assim um endereço digitado errado não tranca você fora da conta.
• Portabilidade. Um botão exporta tudo em JSON — inclusive os decks, no mesmo formato que a importação aceita.
• Eliminação. Um botão exclui a conta. Você escolhe entre 30 dias de arrependimento (você sai na hora, os dados somem depois) ou apagar tudo agora.

Senha com Argon2id; sessão guardada só como hash; HTTPS obrigatório; autorização verificada por dono em cada recurso; segredos só em variável de ambiente. Se houver incidente com dado pessoal, comunicamos os afetados e a ANPD, e publicamos o que aconteceu.

Antes de coletar qualquer dado novo, a pergunta é sempre a mesma: isso é necessário para montar, analisar ou testar decks? Se não for, não coletamos — e esta página diz o que mudou quando algo mudar.