Política de Privacidade e LGPD
Última atualização: 04 de junho de 2026
Esta política descreve como o ArenaGestor coleta, utiliza, armazena e protege dados pessoais, em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD — Lei nº 13.709/2018) e demais normas aplicáveis.
1. Controlador dos Dados
O controlador responsável pelo tratamento dos dados pessoais é o ArenaGestor, plataforma de gestão de arenas esportivas. Para exercer seus direitos ou esclarecer dúvidas sobre o tratamento de dados, entre em contato pelo e-mail: privacidade@arenagestor.io
2. Dados Coletados e Finalidade
A tabela abaixo descreve os dados pessoais tratados, sua finalidade e a base legal correspondente conforme o Art. 7º da LGPD:
| Dado | Finalidade | Base Legal (LGPD) | Proteção |
|---|---|---|---|
| E-mail do gestor | Login, notificações de sistema e comunicados | Execução de contrato (Art. 7º, V) | AES-256-GCM (criptografado em repouso) |
| Nome do estabelecimento | Identificação da conta no sistema | Execução de contrato (Art. 7º, V) | — |
| Nome dos clientes da arena | Gestão operacional da arena pelo gestor | Legítimo interesse (Art. 7º, IX) | — |
| CPF dos clientes da arena | Identificação única e controle de inadimplência | Legítimo interesse (Art. 7º, IX) | AES-256-CBC determinístico (criptografado em repouso) |
| E-mail dos clientes | Comunicação operacional da arena | Legítimo interesse (Art. 7º, IX) | AES-256-GCM (criptografado em repouso) |
| Telefone dos clientes | Contato e confirmação de reservas | Legítimo interesse (Art. 7º, IX) | AES-256-GCM (criptografado em repouso) |
| Dados de reservas, vendas e aluguéis | Histórico operacional e relatórios financeiros | Execução de contrato (Art. 7º, V) | — |
| Dados de cobrança (via Asaas) | Emissão de faturas e cobrança recorrente | Obrigação legal (Art. 7º, II) | Processado pelo Asaas — não armazenamos dados de cartão |
3. Proteção dos Dados
Adotamos medidas técnicas e organizacionais para proteger os dados pessoais contra acesso não autorizado, perda ou divulgação indevida:
- Criptografia em repouso: e-mail e telefone dos clientes são cifrados com AES-256-GCM (vetor de inicialização aleatório por registro). CPF dos clientes é cifrado com AES-256-CBC determinístico (IV derivado via HMAC-SHA256 para permitir buscas exatas sem expor o dado original).
- Autenticação: acesso via JWT (algoritmos ES256/HS256) emitido pelo Supabase. Sessões são stateless — nenhum token é armazenado no servidor.
- Rate limiting: limitação de 200 requisições por minuto por IP, com limites menores em endpoints sensíveis, protegendo contra ataques automatizados.
- Webhooks de pagamento: validados via HMAC com comparação em tempo constante (prevenção de timing attacks), garantindo autenticidade das notificações do gateway.
- Transporte: todas as comunicações entre cliente e servidor utilizam TLS (HTTPS).
- Chaves de criptografia: armazenadas exclusivamente em variáveis de ambiente, nunca no código-fonte ou versionamento.
4. Compartilhamento com Terceiros
Não vendemos, alugamos ou compartilhamos dados pessoais com terceiros para fins publicitários ou comerciais. Os dados podem ser compartilhados exclusivamente com os seguintes operadores e somente na medida necessária para a prestação do serviço:
- Supabase, Inc. — infraestrutura de autenticação e banco de dados em nuvem. Dados armazenados em servidores com conformidade SOC 2 Tipo II, sob cláusulas contratuais padrão da União Europeia (SCCs).
- Asaas Gestão Financeira S.A. — gateway de pagamento brasileiro, regulamentado pelo Banco Central do Brasil (BACEN). Processa dados de cobrança diretamente; não armazenamos dados de cartão de crédito em nossos servidores.
5. Retenção dos Dados
- Conta ativa: dados mantidos durante toda a vigência do contrato.
- Após cancelamento: dados ficam disponíveis por 90 dias para eventual recuperação, após os quais são permanentemente excluídos.
- Registros fiscais e de pagamento: mantidos por 5 anos, conforme obrigação legal tributária (Art. 195 do CTN).
- Direito de exclusão antecipada: o titular pode solicitar a exclusão de seus dados a qualquer momento, respeitados os prazos legais de retenção acima.
6. Direitos do Titular (LGPD Art. 18)
Em conformidade com o Art. 18 da LGPD, o titular dos dados pessoais tem os seguintes direitos:
- Confirmação: saber se seus dados são tratados pelo ArenaGestor.
- Acesso: obter cópia dos dados pessoais tratados.
- Correção: solicitar a retificação de dados incompletos, inexatos ou desatualizados.
- Anonimização, bloqueio ou eliminação: de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD.
- Portabilidade: receber seus dados em formato estruturado e interoperável.
- Informação sobre compartilhamento: saber com quais entidades seus dados são compartilhados.
- Oposição: opor-se ao tratamento realizado com base em legítimo interesse.
- Revogação do consentimento: retirar o consentimento a qualquer momento, quando o tratamento tiver essa base legal.
- Petição à ANPD: apresentar reclamação perante a Autoridade Nacional de Proteção de Dados.
7. Como Exercer seus Direitos
Para exercer qualquer um dos direitos acima, envie sua solicitação para privacidade@arenagestor.io com identificação do titular e descrição da solicitação.
Responderemos no prazo de 15 dias úteis, conforme o prazo legal máximo de 30 dias estabelecido pelo Art. 19 da LGPD. Em alguns casos, poderemos solicitar verificação de identidade antes de processar a solicitação.
8. Encarregado de Dados (DPO)
O Encarregado de Proteção de Dados (Data Protection Officer) responsável por receber comunicações sobre o tratamento de dados e atuar como canal de comunicação entre titulares, o ArenaGestor e a ANPD pode ser contatado pelo e-mail: privacidade@arenagestor.io
9. Cookies e Armazenamento Local
O ArenaGestor utiliza apenas cookies e armazenamento local estritamente necessários para o funcionamento da plataforma:
- Sessão de autenticação: token JWT armazenado no localStorage pelo Supabase, necessário para manter o usuário autenticado entre sessões.
- Preferências de interface: estado do modo escuro e configurações locais da tela, armazenados no localStorage do navegador.
Não utilizamos cookies de rastreamento, publicidade comportamental ou análise de terceiros.
10. Alterações desta Política
Podemos atualizar esta Política de Privacidade periodicamente. Quando ocorrerem mudanças significativas, notificaremos os usuários ativos por e-mail com antecedência mínima de 30 dias. A data da última atualização sempre estará indicada no topo desta página.
11. Contato
Para dúvidas, solicitações ou reclamações relacionadas à privacidade e proteção de dados:
- E-mail geral: contato@arenagestor.io
- E-mail de privacidade (DPO): privacidade@arenagestor.io
Para reclamações não resolvidas, você também pode contatar a Autoridade Nacional de Proteção de Dados (ANPD) pelo site gov.br/anpd.