Política de Privacidade do Fan Game Card Monsters

Última atualização: 09/06/2026

Este documento descreve como tratamos dados pessoais no Card Monsters, em conformidade com a Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018).

1. Dados coletados

Identificação: e-mail, nome, nome de usuário, avatar
Autenticação: senha (hash), identificador Google (OAuth), sessões
Jogo: baralhos, estatísticas de duelo, progresso, inventário
Pagamentos VIP: valores, referências PIX, data de aceite da política
Técnicos: agente do navegador (sessões), métricas analíticas (se consentidas)

2. Bases legais e finalidades

Execução de contrato (Art. 7º, V): criar conta, permitir jogo, autenticação e cookies essenciais de sessão
Consentimento (Art. 7º, I): Google Analytics, armazenamento funcional no navegador, cadastro e pagamentos VIP
Legítimo interesse (Art. 7º, IX): segurança, prevenção a fraudes e rate limiting
Obrigação legal (Art. 7º, II): retenção mínima de registros de pagamento

3. Operadores e transferência internacional

Podemos compartilhar dados com provedores que nos auxiliam na operação:

Google (OAuth e Analytics) — EUA
Mercado Pago (pagamentos PIX)
Mailtrap (e-mails transacionais)
Cloudflare R2 (imagens e backups criptografados do banco)

Esses provedores processam dados conforme seus próprios termos e medidas de segurança. Não vendemos dados pessoais.

4. Cookies e armazenamento no navegador

Essenciais: cookie httpOnly de sessão (NextAuth) — necessário para login; duração até logout ou expiração
Funcionais: localStorage/sessionStorage para preferências de interface — somente com seu consentimento
Analíticos: Google Analytics e Web Vitals — somente com seu consentimento
Preferências: registro local da sua escolha de cookies (cm_storage_consent_v1)

Gerencie suas preferências:

5. Retenção

Conta ativa: enquanto necessário para o serviço
Partidas finalizadas: removidas após período configurado (padrão 3 dias)
Partidas não finalizadas: removidas após período configurado (padrão 7 dias)
Backups do banco: retenção limitada (padrão 30 dias) em Cloudflare R2
Pagamentos: registros anonimizados ou mantidos por obrigação legal após exclusão da conta

6. Segurança

Adotamos medidas técnicas como hash de senhas (Argon2id), tokens de sessão de curta duração, rate limiting, criptografia de cookies e validação de webhooks de pagamento.

7. Direitos do titular (Art. 18)

Você pode, a qualquer momento:

Confirmar e acessar seus dados (área da conta e exportação JSON)
Corrigir dados (nome de usuário, senha, avatar)
Solicitar exclusão da conta (área da conta)
Revogar consentimentos (preferências de cookies)
Solicitar portabilidade (exportação em JSON)

Também pode contatar suporte@cardmonsters.com.br.

8. Encarregado e ANPD

Para dúvidas sobre privacidade, use o e-mail acima. Você também pode peticionar à Autoridade Nacional de Proteção de Dados (ANPD).

9. Alterações

Podemos atualizar esta política. Mudanças relevantes serão comunicadas de forma destacada no site.