Política de Privacidade

1. Quem somos

O Lotto Labs é uma ferramenta educacional de análise estatística e fechamento matemático para as Loterias da Caixa Econômica Federal. Não somos casa de apostas e não processamos apostas. Este site é operado por Learts Lab. Para contato: leartsdev@gmail.com.

2. Dados que coletamos

Coletamos apenas o estritamente necessário:

• Conta e autenticação: e-mail e identificador da conta Google/Supabase usados para entrar no Lotto Labs e liberar os recursos Pro. A Hotmart nos envia o e-mail e o estado da assinatura; usamos o e-mail para associar a compra à conta Google. Use o mesmo endereço no login e no checkout. Não recebemos nem armazenamos os dados do cartão.
• Histórico de jogos PRO: combinações geradas no servidor e metadados da geração, como loteria, modo, estratégia, opções escolhidas e horário. Esses dados ficam associados à sua conta para você carregar os jogos no conferidor e são removidos após 30 dias.
• Bolões privados: nome do bolão, loteria, concurso, data do sorteio, combinações, modo e estratégia, nomes dos participantes e quantidade de cotas declaradas, status e dados técnicos do convite. Se o organizador anexar um comprovante, armazenamos o arquivo enviado (PNG, JPEG ou PDF, até 10 MB). Esses dados são usados para organizar e compartilhar o bolão, não para receber ou repassar dinheiro.
• Atribuição de afiliados: se você acessar por um link de afiliado e entrar com sua conta Google nos 30 dias seguintes, registramos o identificador da sua conta, o identificador do clique, o afiliado atribuído e a data do último acesso identificado. Uma conta fica associada ao último link válido usado nesse período. Esses dados ajudam a medir o programa e atribuir compras e renovações.
• Dados de uso (analítica): o Umami, ferramenta de analítica do Lotto Labs, roda em nossa instância hospedada e gerenciada pelo Coolify, acessível por livestats.learts.dev. Ela registra páginas visitadas e interações. Quando você está conectado à área principal do Lotto Labs, enviamos ao Umami o identificador interno da conta (UUID), o nome disponível no perfil Google, o e-mail da conta e a data de criação da conta registrada pelo Supabase Auth para associar essa atividade ao membro. Quando o perfil carregado confirma o estado da assinatura, também enviamos a categoria do plano (Pro ou Free), obtida de public.profiles.is_pro. O Google Analytics é uma ferramenta separada e só é carregado quando o navegador tem a chave cookie_consent definida como aceita.
• Dados técnicos: a Vercel pode processar dados da conexão, como IP e registros técnicos, conforme a operação da hospedagem. O fluxo atual de assinatura não usa IP para conceder acesso.
• Registros de versões anteriores: versões anteriores do site podiam registrar a cota de um jogo grátis por conta e um HMAC do IP para prevenção de abuso. O fluxo atual não concede jogos grátis nem usa esses registros. Eventuais dados já armazenados seguem sujeitos aos prazos e direitos descritos nesta política.

3. Base legal e finalidade

Tratamos dados conforme a LGPD (Lei nº 13.709/2018). As finalidades incluem operar a ferramenta, liberar recursos do plano PRO, atribuir compras e renovações aos afiliados, administrar comissões, liberar o acesso conforme o estado da assinatura, melhorar a experiência do usuário e cumprir obrigações legais. A base legal aplicável depende da finalidade do tratamento.

4. Compartilhamento de dados

Seus dados podem ser compartilhados com prestadores de serviço essenciais, contratados para operar a plataforma:

• Plataforma de armazenamento em nuvem - hospedagem dos dados do seu plano e histórico de combinações.
• Hotmart - processamento de cobranças e gestão da assinatura PRO.
• Programa de afiliados: o administrador do Lotto Labs pode consultar o e-mail e a data de acesso de contas atribuídas para administrar o programa. Os afiliados veem somente números agregados, sem acesso aos e-mails dessas pessoas.
• Bolões privados: o organizador acessa os dados do próprio bolão. Qualquer pessoa com o link de convite ativo pode visualizar as combinações, os nomes e as cotas declaradas; o comprovante só aparece se o organizador habilitar o compartilhamento. O link pode ser revogado pelo organizador.
• Vercel: hospeda o site e as funções do serviço, recebendo os dados técnicos da conexão conforme a operação da plataforma.
• Cloudflare: o fluxo de assinatura não usa o Turnstile; versões anteriores podiam processar desafios antifraude por esse serviço.
• Umami: instância própria do Lotto Labs hospedada e gerenciada pelo Coolify, em livestats.learts.dev. Nas páginas monitoradas que restauram a sessão de login, recebe o identificador interno da conta, nome, e-mail, data de criação da conta e, quando confirmado pelo perfil, a categoria do plano (Pro ou Free) para mostrar a atividade associada ao membro. O rastreador remove access_token, refresh_token, id_token e códigos OAuth das URLs enviadas ao Umami. A gravação de sessões do Umami não é carregada quando uma credencial OAuth aparece na URL.
• Google Analytics: serviço separado, carregado apenas quando cookie_consent está definido como aceita no navegador. O HTML do banner de consentimento está atualmente comentado na página principal e precisa ser revisado antes da publicação desta alteração.

Não vendemos nem repassamos seus dados a terceiros para fins de marketing próprio.

5. Seus direitos

Nos termos da LGPD, você pode a qualquer momento: confirmar a existência de tratamento, acessar, corrigir, anonimizar ou eliminar seus dados, revogar o consentimento e solicitar a portabilidade. Para exercer esses direitos, escreva para leartsdev@gmail.com.

6. Cookies e consentimento

A instância do Umami hospedada e gerenciada pelo Coolify é carregada conforme a configuração atual do site e, nas páginas monitoradas que restauram a sessão de login, recebe o identificador da conta, nome, e-mail, data de criação da conta e a categoria do plano (Pro ou Free) quando confirmada pelo perfil, junto aos dados de navegação. Credenciais OAuth são removidas das URLs do rastreador, e a gravação de sessões é suspensa enquanto elas aparecem na URL. O Google Analytics é independente do Umami e só carrega quando a chave cookie_consent está definida como aceita. O HTML do banner que permitiria alterar essa escolha está atualmente comentado na página principal; por isso, a situação do banner e a forma de consentimento precisam ser revisadas antes da publicação desta alteração.

7. Retenção e segurança

As combinações e os metadados do histórico PRO deixam de aparecer e de poder ser carregados ao completar 30 dias da geração. Uma rotina diária remove as linhas vencidas desse histórico. Os dados de cada bolão privado — incluindo combinações, participantes, cotas, convite e metadados — e seus comprovantes anexados são removidos após 30 dias da data do sorteio; uploads de comprovantes não concluídos são removidos quando o prazo de envio expira. Os arquivos são removidos do armazenamento antes dos registros correspondentes. A limpeza dos bolões não exclui sua conta Google/Supabase, e-mail, perfil, data de acesso ao site, estado de assinatura, registros da Hotmart nem dados de outros recursos; cada um segue sua própria finalidade e retenção. Registros do fluxo antigo de jogo grátis que já tenham sido gravados no Supabase podem permanecer associados à conta até a exclusão da conta ou uma limpeza específica do banco. O fluxo de assinatura atual não cria novos registros de cota ou HMAC de IP. A Hotmart e a Vercel podem manter os dados processados por elas conforme suas próprias políticas. Adotamos medidas técnicas razoáveis, incluindo controle de acesso, para proteger as informações sob nossa gestão.

8. Alterações

Esta política pode ser atualizada. A versão vigente estará sempre disponível nesta página, com a data de última atualização.