Política de Privacidade

Esta Política descreve como o Copas.Sec CTF Hub trata seus dados pessoais, conforme a Lei Geral de Proteção de Dados (Lei 13.709/2018 — LGPD).

1. Controlador

Samuel Henrique Araujo Inacio, CPF 019.925.076-60, atua como controlador dos dados pessoais tratados nesta plataforma.

Contato do encarregado (DPO): SamuelHenriqueWork@gmail.com.

2. Quais dados coletamos

2.1 Cadastro por e-mail

• E-mail — identificação da conta e contato;
• Nome — exibição no perfil e comunicações;
• Senha — armazenada sob algoritmo de hash criptográfico (bcrypt). Não temos acesso à senha em texto claro.

2.2 Login via Discord (OAuth — opcional)

• ID da conta Discord (identificador único);
• Username e nome de exibição (display name);
• Foto de perfil (URL pública do Discord);
• E-mail vinculado à conta Discord;
• Cargos (roles) do servidor Copas Security — se você for membro.

2.3 Dados de uso da plataforma

• XP, nível, badges, posições em pódio, atividade nas CTFs;
• Squad e participações em eventos;
• Histórico de mensagens em chats privados/grupos da plataforma;
• Data e hora de logins (limitado, para segurança);
• Endereço IP — usado para rate limiting e auditoria.

2.4 Dados de pagamento

Pagamentos são processados pelo Mercado Pago, que é controlador independente dos seus dados financeiros. Nós não armazenamos número de cartão, CVV ou senha bancária. Recebemos do Mercado Pago apenas:

• ID da transação e do pagamento;
• Status (aprovado, pendente, recusado);
• Valor, taxa, parcelas, método (cartão / Pix);
• Data do pagamento.

3. Finalidades e bases legais

4. Com quem compartilhamos

• Mercado Pago — processamento de pagamentos. Política do MP.
• Discord Inc. — autenticação OAuth quando você escolhe entrar com Discord. Política do Discord.
• Railway — hospedagem da aplicação e do banco de dados. Política da Railway.

Não vendemos dados a terceiros. Não usamos seus dados para publicidade de terceiros.

5. Transferência internacional

Alguns provedores acima operam servidores fora do Brasil (EUA principalmente). A transferência se dá com base nas garantias contratuais e técnicas dos respectivos provedores, em conformidade com os arts. 33 e 34 da LGPD.

6. Retenção

• Conta ativa: dados mantidos enquanto a conta existir.
• Após exclusão da conta: dados pessoais identificáveis removidos em até 30 dias.
• Registros de pagamento e fiscais: retidos por 5 anos, conforme legislação tributária e do consumidor.
• Logs de segurança: retidos por até 6 meses para prevenção de fraude.

7. Seus direitos

Como titular, você pode a qualquer momento:

• Confirmar a existência de tratamento dos seus dados;
• Acessar os dados que mantemos sobre você;
• Corrigir dados incompletos, inexatos ou desatualizados;
• Solicitar a anonimização, bloqueio ou eliminação de dados desnecessários;
• Solicitar portabilidade dos dados a outro fornecedor;
• Revogar o consentimento (com possível impacto na continuidade do serviço);
• Opor-se a tratamento baseado em legítimo interesse;
• Solicitar informação sobre com quem compartilhamos seus dados.

Para exercer qualquer direito, escreva para SamuelHenriqueWork@gmail.com identificando-se. Respondemos em até 15 dias.

8. Segurança

Medidas técnicas adotadas:

• Senhas armazenadas com hash bcrypt (não recuperáveis em texto claro);
• Transmissão em HTTPS / TLS para todas as conexões;
• Validação HMAC nos webhooks de pagamento;
• Rate limiting em endpoints sensíveis;
• Controle de acesso baseado em papéis (Owner, Admin, Moderador, Usuário);
• Logs de auditoria para eventos críticos;
• Atualizações regulares de dependências.

Nenhum sistema é 100% seguro. Em caso de incidente que possa causar risco aos titulares, comunicaremos a ANPD e os afetados conforme o art. 48 da LGPD.

9. Cookies e tecnologias similares

Usamos apenas cookies essenciais: sessão de login (Auth.js), preferências de interface. Não usamos cookies de publicidade ou rastreamento de terceiros.

10. Menores de idade

O serviço é destinado a maiores de 18 anos. Menores precisam de consentimento expresso dos responsáveis legais. Se identificarmos cadastro irregular de menor sem consentimento, a conta será suspensa e os dados eliminados.

11. Alterações nesta Política

Atualizações relevantes serão comunicadas com no mínimo 15 dias de antecedência pelos canais oficiais. A data da última atualização aparece no topo deste documento.

12. ANPD

Se entender que seus direitos não foram atendidos, você pode peticionar à Autoridade Nacional de Proteção de Dados (ANPD): gov.br/anpd.