Política de Privacidade

Vigente desde 08/08/2026 · Versão 1.1, de 14/09/2026
CARDS REALM TECNOLOGIA LTDA — CNPJ 58.339.744/0001-15

Esta Política explica quais dados pessoais o Sem Firula Gestão de Esportes trata, por quê, com que base legal, com quem compartilha, por quanto tempo guarda e como você exerce seus direitos. Ela segue a Lei nº 13.709/2018 (LGPD) e integra os Termos de Uso.

Este produto trata dados de saúde, que a LGPD classifica como sensíveis e submete a regime próprio. O item 5 é dedicado a eles.

1. Quem trata seus dados, e quem é o encarregado

CARDS REALM TECNOLOGIA LTDA, CNPJ 58.339.744/0001-15, Av. Rio Branco, 156 — sala 2538, Centro, Rio de Janeiro/RJ, CEP 20040-003.

O encarregado pelo tratamento de dados pessoais (art. 41 da LGPD) é acessível em gestao@semfirula.com. Use esse endereço para qualquer pedido, dúvida ou reclamação sobre privacidade.

2. Controladora e operadora: quem responde pelo quê

Esta distinção muda a quem você deve pedir cada coisa.

• Dados dos jogadores (elenco, contato, foto, saúde, presença, estatística, cobrança): a organização que cadastrou é a controladora — foi ela que decidiu coletar e para quê. Nós somos operadora, tratando conforme as instruções dela.
• Dados de conta (de quem se cadastra e usa a plataforma) e dados técnicos de segurança e faturamento: a controladora somos nós.

Na prática: pedido sobre a sua ficha num elenco vai primeiro à organização; pedido sobre a sua conta vem para nós. Se você escrever para o endereço errado, encaminhamos — ninguém fica sem resposta por ter batido na porta errada.

3. Quais dados tratamos

3.1 Conta

• nome, e-mail e apelido, vindos da sua conta Sem Firula;
• senha, guardada apenas como hash com salt — não temos como lê-la;
• o identificador numérico da sua conta, que é o único dado que liga a identidade ao restante do produto.

3.2 Jogador

• nome, apelido, foto, posições, número da camisa;
• e-mail, telefone e data de nascimento, quando a organização preenche;
• anotações internas do administrador sobre o jogador — que nunca aparecem em página pública, em exportação nem para o próprio jogador;
• situação de mensalista e valor combinado.

3.3 Saúde (sensível)

Atestado, restrição médica e documentos anexados. Ver o item 5, inteiro dedicado a eles.

3.4 Contratos e termos assinados

Quando a organização pede a assinatura de um documento (termo de responsabilidade, ficha de saúde, autorização de uso de imagem, autorização para menor), guardamos:

• o texto integral do documento como ele estava no momento do envio — é ele, e não o modelo atual, que prova o que foi assinado;
• as respostas que a pessoa deu às perguntas do documento;
• o nome digitado e, quando desenhada, a imagem da assinatura;
• data, hora, endereço IP e navegador de quem assinou, e também de quando o documento foi aberto pela primeira vez — é o que faz o registro valer como assinatura, em vez de ser apenas um clique.

O endereço IP e o navegador de quem assinou são mostrados ao proprietário da organização e ao próprio signatário, no comprovante dele. Quando o documento contém informação de saúde, vale tudo o que está no item 5.

3.5 Atividade

• inscrição e presença em eventos, com data e vaga ocupada;
• escalação, gols, assistências e demais números da súmula do esporte;
• estatística acumulada, que é recalculada a partir das partidas.

3.6 Financeiro

• valores de diária e mensalidade, situação de pagamento e data;
• identificadores de cobrança e de assinatura gerados pelo processador de pagamento;
• lançamentos de receita e despesa que a organização registra.

Dados de cartão nunca passam pelos nossos servidores. O pagamento acontece em ambiente do Asaas; recebemos de volta apenas identificadores e a situação da cobrança.

3.7 Técnicos

• endereço IP e registros de acesso, mantidos pelo prazo do art. 15 do Marco Civil da Internet;
• dados de erro capturados quando algo quebra, para conserto;
• preferência de tema (claro/escuro), guardada no seu navegador e nunca enviada para nós;
• de onde você chegou ao site, registrado quando você cria uma conta ou uma organização: a campanha escrita no link (os parâmetros utm), se o clique veio de um anúncio do Google ou de um link do Facebook/Instagram — só isso, e não o identificador do clique —, o domínio do site que trouxe você (não o endereço completo) e a primeira página que você abriu aqui. Serve para sabermos quais formas de divulgação trazem gente, e nunca aparece em página pública.

4. Com que base legal, e para quê

Não vendemos seus dados e não os usamos para mostrar anúncio a você. Com o seu consentimento, informamos ao Google e ao Meta quando um passo seu veio de um anúncio nosso — ver o item 7. Não há perfilamento nem decisão automatizada que produza efeito jurídico sobre você.

5. Dados de saúde

Dado de saúde é sensível pela LGPD e tem tratamento próprio aqui:

• só entram com consentimento específico e destacado do titular, obtido por um link enviado ao e-mail dele;
• o aceite é registrado com data, hora, endereço IP e a versão exata do texto consentido — para que seja possível provar depois o que a pessoa aceitou;
• o documento nunca fica em URL pública: ele é entregue apenas a administradores autenticados da própria organização, por uma rota que confere permissão a cada acesso;
• a finalidade é uma só — a organização saber se o jogador está apto. Não usamos para mais nada, e não compartilhamos com terceiro nenhum;
• retirar o consentimento é sempre possível, sem justificar e sem que isso tire a pessoa do elenco. Retirado, os documentos correspondentes são apagados.

Se o titular for menor de 18 anos, o consentimento é de quem detém a guarda e o tratamento tem que atender ao melhor interesse da criança ou adolescente (art. 14 da LGPD). Obter e guardar essa autorização é responsabilidade da organização.

6. Crianças e adolescentes

A plataforma não é destinada a menores de 18 anos como usuários: não é permitido criar conta, criar organização nem administrar uma antes disso.

Menores podem ser cadastrados como jogadores — é o caso de escolinhas e categorias de base. Nessa situação, a organização declara ter autorização de quem detém a guarda, e é ela quem responde por essa autorização. Quem tem a guarda pode, a qualquer momento, pedir acesso, correção ou exclusão dos dados do menor, à organização ou a nós.

Recomendamos fortemente que a organização não publique foto de menor na página pública sem autorização por escrito.

7. Cookies e tecnologias semelhantes

Usamos o mínimo, e separado por área:

• Estritamente necessários, sempre ativos: o cookie de sessão (mantém você logado e, até você criar a conta ou a organização, guarda de onde você chegou — item 3.7) e o token de proteção contra CSRF (impede que outro site envie formulário no seu nome). Sem eles a plataforma não funciona, e por isso não dependem de consentimento.
• Preferência: o tema claro/escuro fica guardado no seu próprio navegador e não é transmitido.
• Medição de audiência, quando existir: só carrega depois de você aceitar no aviso, e a tag nem sequer é inserida na página antes disso — não é “carregar e depois desligar”.
• Publicidade, e só nas páginas públicas de uma organização (elenco, evento, partida, jogador e post) dos planos Pelada e Clube: quem serve o anúncio é a NitroPay e os parceiros dela, que podem usar cookies e identificadores do seu navegador. A escolha entre anúncio personalizado e contextual é sua, no aviso da própria rede — e o link de preferências que ela põe no rodapé daquelas páginas reabre esse aviso a qualquer momento. Nenhuma tela do painel de quem administra exibe publicidade, e no plano Liga as páginas públicas também não.

Nunca medimos quem está logado dentro da própria ferramenta. Medir quem chega ao site é a parte útil; seguir um organizador enquanto ele trabalha não é. É uma posição deliberada, não uma limitação técnica.

Uma exceção, estreita: se você aceitou a medição quando ainda era visitante, a página logo depois de você criar a conta, criar uma organização, criar o primeiro evento ou começar a assinar um plano informa esse passo — só o passo, sem registrar a página nem o que você faz depois — ao Google Analytics e ao Meta, para sabermos qual anúncio trouxe você. Se você recusou ou nunca respondeu ao aviso, nada é enviado.

Você pode rever a escolha limpando os dados do site no navegador; o aviso volta a aparecer.

8. Com quem compartilhamos

Só com quem é necessário para o serviço funcionar, e sempre limitado ao mínimo. Nossos operadores hoje:

Também compartilhamos quando houver ordem judicial ou requisição de autoridade competente, e nesse caso avisamos o titular sempre que a lei permitir.

Não vendemos dados pessoais e não entregamos a ninguém o cadastro de quem usa a plataforma — nome, e-mail, telefone, documento e ficha de saúde nunca saem daqui para finalidade publicitária. O anúncio das páginas públicas é servido pela rede citada acima, que recebe o que qualquer site vê de quem o visita (endereço IP, navegador e o endereço da página) e usa cookies conforme a sua escolha no aviso dela.

9. Transferência internacional

Parte da infraestrutura acima fica fora do Brasil, principalmente nos Estados Unidos. Isso significa que seus dados podem ser processados lá.

A transferência se apoia nas hipóteses do art. 33 da LGPD — cláusulas contratuais e garantias oferecidas pelos próprios operadores — e é limitada ao necessário para prestar o serviço. Se você quiser saber onde um dado específico é processado, pergunte em gestao@semfirula.com.

10. Por quanto tempo guardamos

• Enquanto a organização existir: elenco, eventos, partidas e estatísticas. Esse histórico é o produto — apagar sozinho seria perder o que as pessoas construíram.
• Desativar não é apagar. Desativar a organização tira a página pública do ar e mantém tudo acessível a quem administra, para dar para voltar atrás.
• Exclusão definitiva acontece por pedido em gestao@semfirula.com, e é irreversível.
• Dados de saúde: apagados quando o consentimento é retirado.
• Registros de acesso: 6 meses, conforme o art. 15 do Marco Civil da Internet.
• Financeiro e fiscal: pelos prazos exigidos pela legislação contábil e tributária, ainda que a conta seja encerrada.
• Registros de erro da aplicação: mantidos pelo prazo de retenção do serviço que usamos para isso, e nunca aproveitados para outra finalidade que não consertar o defeito.

11. Seus direitos

O art. 18 da LGPD garante a você:

• confirmação de que tratamos seus dados, e acesso a eles;
• correção de dado incompleto, inexato ou desatualizado;
• anonimização, bloqueio ou eliminação de dado desnecessário ou tratado fora da lei;
• portabilidade a outro fornecedor;
• eliminação dos dados tratados com consentimento;
• informação sobre com quem compartilhamos;
• informação sobre o que acontece se você negar consentimento;
• revogação do consentimento, a qualquer momento;
• oposição a tratamento feito com base em legítimo interesse.

Duas coisas você já consegue fazer sozinho, agora: quem tem conta vê tudo o que é seu, em todas as organizações, em /perfil; e administradores exportam os dados da organização em planilha, direto das telas de elenco, partidas, financeiro e de cada evento.

Para o resto, escreva para gestao@semfirula.com. Respondemos em até 15 dias. Podemos pedir informação adicional para confirmar sua identidade — o que evita entregar seus dados a quem se passa por você.

Se o pedido for sobre dado de jogador, a decisão é da organização controladora: nós encaminhamos, apoiamos tecnicamente e acompanhamos até a resposta.

Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

12. Segurança

• tráfego cifrado (HTTPS) em todo o site;
• senha guardada apenas como hash com salt;
• acesso segmentado por papel: administrador não vê financeiro, e nenhuma organização enxerga dados de outra;
• documentos de saúde fora de qualquer diretório público, entregues só a administrador autenticado da própria organização;
• imagens enviadas são reprocessadas, o que descarta metadados — inclusive a localização que uma foto de celular costuma carregar;
• limite de tentativas no login e proteção contra CSRF em todo formulário;
• acesso administrativo restrito e registrado.

Nenhum sistema é infalível. Havendo incidente de segurança com risco relevante, comunicamos a ANPD e os titulares afetados, conforme o art. 48 da LGPD, com o que se sabe, o que fizemos e o que recomendamos fazer.

13. Mudanças nesta Política

Podemos atualizá-la. A data e a versão no topo mudam junto. Alteração relevante é comunicada por e-mail e anunciada no site com 30 dias de antecedência. Quando a mudança exigir novo consentimento, pediremos de novo — silêncio não vale como aceite.

14. Contato

CARDS REALM TECNOLOGIA LTDA — CNPJ 58.339.744/0001-15
Av. Rio Branco, 156 — sala 2538, Centro, Rio de Janeiro/RJ, 20040-003
Encarregado: gestao@semfirula.com