Política de Privacidade

Controlador: ALC Intermediação e Representação Ltda., CNPJ 66.279.691/0001-12, com sede em SQS 212, Bloco K, Apto 402, Asa Sul, Brasília-DF, CEP 70275-110 (“Evolino”).

Encarregado pelo Tratamento de Dados (DPO): André Leite Cabral, nos termos do art. 41 da LGPD e da Resolução CD/ANPD nº 4/2023. Para exercer seus direitos ou falar com o Encarregado, use a página pública do Encarregado (formulário sem login, identidade e seus direitos). E-mail institucional: privacidade@evolino.com.br.

Tratamos só o necessário para cada finalidade (minimização, art. 6º, III). Quem só joga de graça não precisa fornecer CPF. Dados sensíveis e de menores recebem proteção reforçada.

3.1. Não usamos “dado público” nem consentimento como base única para o programa de notas: a relação é contratual (você adere ao programa). O consentimento é usado quando a lei o exige (ex.: marketing e tratamento de dados de menores — seção 6).

3.2. As operações de tratamento acima são organizadas no nosso Registro das Operações de Tratamento (ROPA), que mantemos e revisamos periodicamente — em implementação pelo Encarregado (LGPD art. 37).

O pagamento é processado pela Asaas (instituição de pagamento autorizada pelo BCB), que trata os dados necessários à transação. Não armazenamos dados de cartão; o Pix é liquidado pelo arranjo do BCB.

4.1. Nota fiscal da venda. Quando você compra um item, emitimos a NFS-e por meio do operador Nuvem Fiscal, tratando os dados estritamente necessários ao documento fiscal (identificação, valor, descrição do item, data). Esse tratamento se funda em obrigação legal e os dados são retidos pelo prazo fiscal (§9.1). Diferente do programa de notas (§5), que nunca guarda itens nem o CPF do consumidor, a NFS-e da venda pode exigir o CPF do comprador.

5.1. Ao validar a nota, descartamos tudo que não seja chave + CNPJ da loja + valor + data.

5.2. Nunca persistimos os ITENS comprados nem o CPF do consumidor que eventualmente conste na nota. Não inferimos categorias sensíveis (ex.: que uma compra em farmácia indique dado de saúde).

5.3. A consulta usa um parceiro técnico (operador) sobre a consulta pública da SEFAZ; validamos apenas a nota que você mesmo escaneou.

6.1. Idade mínima: 13 anos. Não permitimos o cadastro de menores de 13 — assim não tratamos dados de criança (que demandariam consentimento parental específico e em destaque, art. 14 da LGPD). Se identificarmos uma conta de menor de 13, ela é encerrada e os dados, eliminados.

6.2. Adolescentes de 13 a 17 jogam de graça, com o mínimo de dados. Pedimos só nome, email e data de nascimento; não coletamos CPF nem telefone de menores de 18 (minimização, no melhor interesse). Compras (Pix) são exclusivas para maiores de 18.

6.3. Não condicionamos o jogo a dado excedente nem direcionamos apelo de consumo a adolescentes.

Compartilhamos dados, no necessário, com operadores que nos prestam serviço, mediante contrato de tratamento (DPA) com cláusulas de proteção (art. 39) — que estamos formalizando com cada operador:

7.1. Não vendemos seus dados. Compartilhamos só para operar o serviço ou por obrigação legal.

7.2. Provedores de IA — minimização e retenção. Aos provedores de IA enviamos apenas o mínimo necessário e nunca o CPF nem dados de cadastro desnecessários. Adotamos, sempre que disponível, retenção mínima/zero retenção (ZDR) e a vedação de uso dos seus dados para treinamento dos modelos. O uso de IA é objeto de Relatório de Impacto (RIPD-IA), em elaboração, e os outputs de IA não tomam decisão que afete seus direitos sem possibilidade de revisão (LGPD arts. 18 e 20).

Alguns operadores (infraestrutura e IA — ex.: Supabase, Vercel, Resend, Anthropic, OpenAI, fal.ai) tratam dados fora do Brasil, em regra nos Estados Unidos. Para essas transferências adotamos, como salvaguarda, as Cláusulas-Padrão Contratuais da Resolução CD/ANPD nº 19/2024 (LGPD arts. 33 a 35), que estamos incorporando aos contratos com os operadores, dentro do prazo regulamentar, somadas a medidas técnicas (criptografia em trânsito — TLS 1.2+ — e em repouso) e à minimização dos dados enviados à IA (sem CPF/cadastro desnecessário, com retenção mínima/ZDR quando disponível). Asaas, Infosimples e Nuvem Fiscal são operadores no Brasil. A necessidade e a proporcionalidade dessas transferências constam do nosso RIPD.

Mantemos os dados pelo tempo necessário às finalidades e às obrigações legais (ex.: fiscais), e depois os eliminamos ou anonimizamos. Ao excluir a conta, dados pessoais são anonimizados, ressalvado o que a lei exigir reter.

9.1. Prazos de referência (mínimos, podendo variar conforme obrigação legal):

Encerrada a finalidade e esgotado o prazo legal, os dados são eliminados ou anonimizados (art. 16).

Você pode confirmar, acessar, corrigir, anonimizar, portar, eliminar dados, revogar consentimento e saber com quem compartilhamos. Atendemos pelo canal da seção 1 e no app (“Meus dados”).

10.1. Atendemos os pedidos no prazo legal — em regra até 15 (quinze) dias para o pedido de acesso/confirmação (LGPD art. 19, II) — e, quando precisarmos confirmar sua identidade, pediremos o mínimo para isso. Pedidos abusivos ou manifestamente infundados podem ser recusados de forma motivada.

Adotamos medidas técnicas e organizacionais de segurança. Em caso de incidente de segurança que possa acarretar risco ou dano relevante, comunicamos a ANPD e os titulares afetados no prazo de 3 (três) dias úteis a contar do conhecimento, fixado pela Resolução CD/ANPD nº 15/2024 (LGPD art. 48), informando o ocorrido e as medidas adotadas.

12.1. Usamos cookies/armazenamento local para operar e proteger o app — detalhes na Política de Cookies.

12.2. Podemos atualizar esta Política; mudanças relevantes serão comunicadas e a versão vigente datada.

13.1. Quando a base legal for consentimento (marketing; dados de menores — §6; e a escolha de fruição imediata de bem digital — Termos §3.5), guardamos um registro com: identificação do titular, finalidade, texto/versão apresentado, data e hora e o meio da manifestação (LGPD art. 8º, §§1º e 2º — ônus da prova do consentimento).

13.2. O consentimento é específico e granular por finalidade: aceitar uma não implica aceitar outra. Você pode revogar a qualquer momento, de forma tão fácil quanto consentiu, pelo canal do §1 ou no app (“Meus dados”), permanecendo lícito o tratamento anterior à revogação (art. 8º, §5º).

13.3. A revogação do consentimento de marketing não afeta a operação da conta, do jogo nem do pagamento, que se baseiam em execução de contrato e obrigação legal (§3).

Nossa estrutura de governança (em implementação, pré-lançamento) compreende:

(i) Encarregado (DPO) indicado pela controladora — André Leite Cabral —, com ato de designação (ATO-DPO-EVOLINO-001) em formalização; (ii) ROPA — registro das operações de tratamento (art. 37); (iii) Relatórios de Impacto (RIPD) para os tratamentos de maior risco — em especial uso de IA, antifraude com CPF e dados de menores; (iv) plano de resposta a incidentes; e (v) contratos de tratamento (DPA) com os operadores, com Cláusulas-Padrão Contratuais para transferências internacionais (§8), que estamos firmando. Esses documentos são internos e apresentáveis à ANPD em fiscalização.