Política de privacidade

1. Quem é o controlador

MUNAY — plataforma de descoberta de comunidades esportivas e culturais do Distrito Federal. A identificação completa do controlador (pessoa física ou jurídica, com os dados de registro) e a indicação do Encarregado (DPO) exigida pelo art. 41 da LGPD serão preenchidas na versão final.

Canal do titular de dados (provisório): ola@sejamunay.com.br. Ver o aviso no topo sobre a caixa de e-mail a configurar.

2. O que coletamos, pra quê e com qual base legal

Cada item abaixo existe porque há um campo correspondente no nosso banco de dados — este é o inventário real, não um modelo genérico. As bases legais citadas são propostas (pendentes de validação jurídica).

2.1 · Quem usa o site sem conta

Inscrição em evento não exige conta e não vai exigir.

• Nome, e-mail e WhatsApp (opcional) — na lista de espera e na inscrição em evento (RSVP), para identificar a pessoa, confirmar a inscrição e avisar sobre mudanças e promoção da fila de espera. Base: execução de procedimento a pedido do titular (art. 7º, V).
• Região e modalidade de interesse (opcional) — na lista de espera, para priorizar onde a MUNAY entra primeiro. Base: consentimento (art. 7º, I).
• Nome da comunidade e modalidade (opcional) — na lista de organizadores, para avaliar parceria. Base: art. 7º, V.

Não pedimos documento de identidade, dado financeiro, bancário nem geolocalização em tempo real.

2.2 · Quem cria conta e preenche perfil

Todos estes campos são opcionais — a conta funciona sem perfil, e nenhum deles é condição para usar a MUNAY. Coletamos, quando você preenche: nome e e-mail (credencial de acesso por link mágico), telefone, data de nascimento (faixa etária de eventos e o portão de idade da LGPD para menores), gênero autodeclarado (ver 2.4), cidade, UF e CEP (recomendação por proximidade), apelido, bio e foto (perfil público, que nasce desligado), tags de interesse e respostas de perguntas leves (sugestões e personalidade do perfil). Base proposta: consentimento (art. 7º, I), exceto o e-mail, que é execução de contrato (art. 7º, V) por ser a credencial de acesso.

2.3 · Os três consentimentos

A lei não aceita consentimento em bloco para finalidades distintas (art. 8º, §4º). São três caixas independentes:

• Guardar meus dados de cadastro — autoriza tratar os dados de perfil (2.2). É o único obrigatório para existir perfil; sem ele nada é gravado, mas a conta e a inscrição em eventos continuam funcionando.
• Usar meu histórico pra me recomendar coisas — livre e reversível. Recusar não muda nada além de recomendações piores.
• Entrar em estatísticas gerais sobre o público — livre e reversível. Números agregados e anônimos, sem nome nem e-mail. Nunca vendidos nem repassados individualmente.

Guardamos a data, a hora e a versão desta política de cada consentimento — é a prova de quando e contra qual texto você concordou. Os dois últimos se ligam e desligam na própria tela de perfil, a qualquer momento.

2.4 · Gênero — decisão pendente de jurídico

O campo de gênero é autodeclarado e de texto livre. Ele não é automaticamente dado sensível, mas dependendo do que a pessoa escreva pode revelar informação protegida pelo art. 5º, II. Antes da publicação, o jurídico define se ele será tratado como dado sensível (com consentimento destacado e específico, art. 11) ou como dado comum com finalidade estritamente declarada (representatividade e inclusão), sem segmentação individual.

2.5 · Menores de idade

A data de nascimento permite aplicar o art. 14 (tratamento de dados de crianças e adolescentes). A idade mínima para conta própria e a regra entre 13 e 18 anos — incluindo o consentimento específico e destacado de pelo menos um dos pais ou responsável — serão definidas com o jurídico e declaradas aqui na versão final.

3. Quem tem acesso

Equipe MUNAY: acessa o necessário para operar a plataforma e responder pedidos de titular.

Organizadores de comunidade: quem organiza uma comunidade vê nome, e-mail e WhatsApp de quem se inscreveu nos eventos dele — para avisar mudança de local, confirmar presença e gerenciar a fila de espera. O organizador nunca vê: quem se inscreveu em eventos de outra comunidade; leads que não se inscreveram nos eventos dele; qualquer número agregado da base; nem o perfil completo do inscrito (data de nascimento, CEP, gênero e respostas não aparecem na lista de inscritos). A exportação de lista é por evento, nunca global — e essa contenção é aplicada na camada de dados e coberta por testes automatizados.

Operadores (fornecedores): Railway (hospedagem e banco), Resend (envio de e-mail transacional — trata nome e e-mail no momento do envio) e Umami (métricas agregadas e anônimas, sem cookie de rastreamento individual). A eventual transferência internacional de dados (Railway e Resend têm infraestrutura fora do Brasil) e as cláusulas dos arts. 33 a 36 serão confirmadas com o jurídico. Não vendemos, alugamos nem cedemos dados pessoais a terceiros.

3.5. Comunidades que você segue

Quando você segue uma comunidade, guardamos esse vínculo (quais comunidades você segue) para montar a sua agenda e te avisar de eventos novos por e-mail. O aviso nasce ligado e você desliga a qualquer momento — por comunidade, na tela Minhas comunidades ou pelo link no rodapé de cada e-mail, sem precisar de login. Deixar de seguir apaga o vínculo e não afeta suas inscrições em eventos.

3.6. Avisos publicados por organizadores

Quem organiza uma comunidade pode publicar avisos nela (“hoje o treino é no campo 2”). O aviso é público: aparece na página da comunidade e na agenda de quem segue. Quem publica é identificado e responsável pelo que escreveu — não publique dado pessoal de outra pessoa ali.

Receber esses avisos por e-mail é opcional e nasce desligado: só chega se você ligar, em Minhas comunidades. No máximo um e-mail por comunidade por dia, e todo e-mail traz link de descadastro de um clique, sem login.

Se você apagar sua conta, os avisos que publicou são anonimizados, não apagados: o texto permanece — a comunidade recebeu aquela informação e o histórico dela não é só seu — e a autoria passa a aparecer como “organizador da comunidade”, sem vínculo com você. Se o próprio texto contiver dado pessoal seu, peça a exclusão pelo canal do titular: nesse caso o aviso é removido, não só anonimizado. A MUNAY também pode ocultar qualquer aviso, com motivo registrado — ocultar é reversível, apagar não.

4. Por quanto tempo guardamos

Prazos propostos (a confirmar com o jurídico): conta e perfil, enquanto a conta existir; inscrição em evento, 24 meses após o evento; lead de lista de espera, até o pedido de exclusão ou 24 meses sem interação; registro de consentimento (data + versão), 5 anos após a revogação, por ser a prova da base legal; logs de acesso, 6 meses (art. 15 do Marco Civil). Depois do prazo, o dado é apagado ou anonimizado de forma irreversível.

5. Seus direitos (art. 18)

A qualquer momento e de graça, você pode: confirmar se tratamos seus dados; acessá-los; corrigir dado incompleto ou desatualizado; anonimizar, bloquear ou eliminar dado desnecessário ou tratado fora da lei; portar os dados; eliminar dado tratado com base em consentimento; saber com quem compartilhamos; e revogar o consentimento.

Boa parte disso não precisa de e-mail: a tela de perfil deixa ver, corrigir e apagar os próprios dados e ligar/desligar os consentimentos opcionais na hora. Para o resto, escreva para ola@sejamunay.com.br (canal provisório — ver aviso no topo), do endereço que você cadastrou. Respondemos em até 15 dias (art. 19, II). Você também pode peticionar diretamente à ANPD.

6. Segurança

Conexão criptografada (HTTPS) em todo o site e acesso ao banco restrito à equipe. O login é por link mágico — não guardamos senha, e os tokens de acesso ficam gravados com hash, de modo que o vazamento dessa tabela não vira login de ninguém. Em caso de incidente de segurança com risco relevante, comunicamos a ANPD e os titulares afetados (art. 48).

7. Cookies

Usamos apenas o cookie de sessão (mantém o login) e métricas agregadas e anônimas via Umami. Não há cookie de rastreamento individual, perfil de navegação nem pixel de rede publicitária.

8. Mudanças nesta política

Quando o texto mudar de forma relevante, avisamos por e-mail quem tem conta e pedimos novo aceite. A versão vigente fica registrada junto com cada consentimento, então mudar a política não apaga a prova de que a pessoa concordou com a versão anterior.