Política de Privacidade

1. Quem trata seus dados

A Certame atua como controladora dos dados que você fornece à plataforma.

A capitalizadora é controladora independente dos dados necessários à emissão do título e ao pagamento do prêmio — ela tem obrigações regulatórias próprias perante a SUSEP, e sua política de privacidade se aplica a esse tratamento.

2. O que coletamos e por quê

Não coletamos dados de cartão de crédito: o pagamento é processado pela capitalizadora ou pelo meio de pagamento por ela autorizado.

Não vendemos seus dados e não os compartilhamos com redes de publicidade. A Certame não exibe anúncios.

3. Com que fundamento legal

• Execução de contrato (art. 7º, V da LGPD) — nome, CPF, nascimento, endereço: sem eles não há título.
• Obrigação legal e regulatória (art. 7º, II) — retenção de registros de operações financeiras.
• Legítimo interesse (art. 7º, IX) — prevenção a fraude, segurança da conta e registro de auditoria.
• Consentimento (art. 7º, I) — comunicações opcionais e cookies de medição, que você pode recusar sem perder acesso.

4. Com quem compartilhamos

• Capitalizadora — nome, CPF, nascimento e endereço, para emitir o título e pagar o prêmio. Sem isso, a compra não existe.
• Provedor de verificação de identidade — apenas para parceiros que se credenciam.
• Provedor de mensagens — e-mail e telefone, para enviar comprovantes e códigos de verificação.
• Autoridades — quando houver ordem legal.

A instituição beneficiária não recebe seus dados pessoais. Ela recebe o repasse e o relatório agregado.

5. O que fica público

A trilha de validação de cada campanha é pública — é o que permite a qualquer pessoa conferir os números. Mas ela não identifica compradores.

Cada comprador aparece por um código derivado daquela campanha. O mesmo comprador tem código diferente em campanhas diferentes, então não é possível rastrear uma pessoa entre campanhas nem montar seu histórico a partir dos dados públicos.

A identidade por trás de um código só é acessível internamente, mediante motivo registrado, e toda consulta desse tipo fica gravada com quem consultou, quando e por quê.

6. Como protegemos

• CPF cifrado no banco de dados; buscas usam hash, não o número em claro.
• Senhas com Argon2id — não temos como lê-las.
• Sessão em cookie protegido, inacessível a scripts da página.
• Limite de tentativas por endereço, por conta e no conjunto, contra ataques automatizados.
• Registro de auditoria encadeado: alterar um evento passado quebra a cadeia e a quebra fica evidente.

Nenhum sistema é inviolável. Em caso de incidente com risco relevante, comunicamos você e a ANPD, conforme o artigo 48 da LGPD.

7. Por quanto tempo guardamos

• Dados da conta — enquanto ela existir.
• Registros de compra — pelo prazo legal aplicável a operações financeiras, mesmo após o encerramento da conta.
• Registro de auditoria — permanente, por ser a prova de integridade do sistema; contém identificadores, não dados pessoais em claro.
• Códigos de verificação — 10 minutos.

8. Seus direitos

A LGPD garante a você: confirmação de tratamento, acesso, correção, anonimização, portabilidade, informação sobre compartilhamento, e revogação do consentimento.

Para exercê-los, escreva para privacidade@certame.app. Respondemos em até 15 dias.

Um limite honesto: não podemos apagar o registro de uma compra concluída, porque ele é prova de operação financeira e há obrigação legal de mantê-lo. Podemos encerrar sua conta e cessar comunicações.

9. Cookies

Usamos duas categorias:

• Necessários — mantêm você conectado e protegem a sessão. Sem eles o site não funciona, e por isso não são opcionais.
• Medição de uso — quantas pessoas visitam e por onde navegam, de forma agregada. Opcionais, e recusar é tão fácil quanto aceitar.

Não usamos cookies de publicidade.

10. Crianças e adolescentes

A plataforma é vedada a menores de 18 anos. Não coletamos dados de crianças e adolescentes conscientemente. Se identificarmos cadastro de menor, a conta é encerrada e os dados eliminados.

11. Contato

Encarregado de dados (DPO): privacidade@certame.app

Você também pode reclamar à Autoridade Nacional de Proteção de Dados.