Política de Privacidade

1. Quem somos

O Deblunder é o controlador dos dados pessoais tratados para oferecer a sua conta e o serviço de análise e treino de xadrez.

Os prestadores que tratam dados em nosso nome estão descritos na seção sobre compartilhamento.

2. Dados que coletamos

Coletamos os dados abaixo quando eles são necessários para a conta e para o serviço.

• Conta: e-mail, nome de exibição e data de criação.
• Senha: guardada apenas como hash Argon2id. Não guardamos a senha em texto puro.
• Passkeys: chaves públicas e o nome que você dá a cada uma.
• Provedores de entrada: identificador e e-mail que Google, Apple ou Microsoft informam quando você vincula essa forma de entrar.
• Verificação em duas etapas: o segredo do aplicativo autenticador, guardado de forma cifrada, e os códigos de recuperação, guardados apenas como hash.
• Termos: a versão dos termos que você aceitou e a data do aceite.

3. Sessão e segurança

Registramos as sessões e os dispositivos da sua conta: navegador, método usado para entrar e horários de criação e de uso. Você pode ver essas sessões em Configurações e encerrá-las.

Endereços IP são usados de forma transitória para limitar tentativas abusivas. Eles podem constar de registros do servidor (logs) mantidos por um período limitado, para segurança e para diagnóstico de falhas.

4. Dados de xadrez

Quando você estuda no Deblunder, tratamos:

• os nomes de usuário que você vincula no Chess.com e no Lichess;
• as partidas públicas buscadas nas APIs públicas desses serviços;
• os arquivos PGN que você envia;
• as análises do motor de xadrez, os diagnósticos, as sessões de treino e as tentativas;
• as reflexões escritas, as metas e as rotinas de estudo que você define;
• os feedbacks que você envia pelo próprio aplicativo.

As análises do motor de xadrez rodam nos nossos servidores. Para buscar partidas públicas, enviamos ao Chess.com ou ao Lichess apenas o nome de usuário que você informou.

5. Armazenamento no seu navegador

Usamos cookies para a sessão, a proteção contra falsificação de requisições (CSRF), o dispositivo confiável da verificação em duas etapas e um vínculo temporário durante a entrada com um provedor.

No armazenamento local do navegador guardamos o idioma e o tema escolhidos e, neste dispositivo, o último e-mail, nome e forma de entrada usados, para facilitar o próximo acesso. Você pode apagar esses dados limpando o armazenamento do navegador.

Quando a medição de produto está habilitada, um cookie próprio guarda um identificador aleatório de visita por até 90 dias. Ele permite associar a origem da visita à conta depois da criação ou entrada. Não usamos cookies de publicidade e não vendemos dados pessoais.

Essa medição envia ao PostHog eventos de uso e de assinatura, identificadores internos, códigos de origem, campanha e criador e categorias gerais do acesso (tipo de dispositivo, sistema, navegador, idioma e país). Não envia o endereço IP, e-mail, nome, nome de usuário de xadrez, partidas, reflexões, senhas ou dados de cartão; não grava sessões nem captura automaticamente cliques ou o conteúdo das páginas.

6. Para que usamos os dados e bases legais

Tratamos dados pessoais com as bases legais previstas na Lei Geral de Proteção de Dados (LGPD):

• Execução de contrato (art. 7º, V): criar e manter a sua conta, analisar as suas partidas, gerar diagnósticos, treinos e o acompanhamento da sua evolução.
• Legítimo interesse (art. 7º, IX): proteger contas e o serviço contra abuso e fraude, registrar eventos de segurança e melhorar o produto com dados agregados.
• Obrigação legal ou regulatória (art. 7º, II): cumprir exigências legais aplicáveis.
• Consentimento (art. 7º, I): quando um recurso opcional depender dele, pedimos o consentimento antes, e você pode retirá-lo a qualquer momento.

7. Com quem compartilhamos

Compartilhamos dados somente quando isso é necessário para operar o serviço:

• provedor de envio de e-mails, para as mensagens de confirmação, de troca de e-mail e de recuperação de senha;
• provedor de hospedagem, onde a aplicação e o banco de dados funcionam;
• o provedor de entrada que você escolhe (Google, Apple ou Microsoft), para autenticar você;
• Chess.com e Lichess, que recebem apenas o nome de usuário para buscar partidas públicas.
• PostHog, quando configurado para a medição de uso e aquisição descrita acima.

Esses prestadores tratam os dados apenas para executar o serviço em nosso nome. Não vendemos dados pessoais nem os compartilhamos para publicidade.

Podemos divulgar dados quando a lei ou uma ordem de autoridade competente exigir.

8. Transferência internacional

Alguns prestadores podem tratar dados fora do Brasil. Nesses casos, adotamos salvaguardas previstas na LGPD, como cláusulas contratuais com o prestador, e limitamos a transferência ao necessário.

9. Por quanto tempo guardamos os dados

Mantemos os dados da conta enquanto ela existir.

Ao excluir a conta em Configurações, removemos a conta e os dados de estudo do banco de dados ativo imediatamente.

As cópias de segurança (backups) são sobrescritas em até 30 dias. Até lá, os dados permanecem apenas nessas cópias.

Registros de segurança e de servidor são mantidos por um período limitado, pelo tempo necessário para proteger o serviço e investigar incidentes.

10. Como protegemos os dados

• Conexão protegida por HTTPS.
• Senhas guardadas apenas como hash Argon2id, segredos de verificação em duas etapas cifrados e códigos de recuperação guardados apenas como hash.
• Verificação em duas etapas e passkeys opcionais, para proteger a entrada na conta.
• Controle de acesso: a conta só é acessada com a sua autenticação. Ações sensíveis, como trocar o e-mail ou excluir a conta, pedem confirmação recente da sua identidade.

Nenhum sistema é totalmente imune a incidentes. Se houver um incidente relevante, faremos a comunicação prevista na LGPD.

11. Seus direitos

Nos termos do art. 18 da LGPD, você pode solicitar:

• confirmação de que tratamos os seus dados;
• acesso aos seus dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• portabilidade: exportação dos seus dados em formato JSON, pelo botão Baixar meus dados em Configurações;
• informação sobre as entidades com as quais compartilhamos os seus dados;
• revogação do consentimento, quando o tratamento depender dele;
• eliminação dos dados tratados com o seu consentimento, observadas as exceções previstas na lei.

Muitos pedidos já são atendidos diretamente no aplicativo: nome de exibição em Perfil, exportação dos dados e exclusão da conta.

Para os demais pedidos, use o canal de contato desta política. Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

12. Crianças e adolescentes

O Deblunder não é destinado a crianças menores de 12 anos. Pessoas de 12 a 17 anos só devem usar o serviço com autorização de pai, mãe ou responsável legal.

13. Mudanças nesta política

Podemos atualizar esta política. Cada versão recebe um número e uma data, e a versão em vigor é a indicada no topo desta página.

Quando houver mudança, pedimos que você leia e aceite a nova versão dentro do aplicativo antes de continuar usando a conta.

Se não concordar com a nova versão, você pode exportar os seus dados e excluir a sua conta.

14. Contato

Para perguntas e pedidos sobre privacidade, use o canal de contato desta página.

Escreva para support@deblunder.com para perguntas e pedidos sobre privacidade.