Política de Privacidade

A Maestro Data Platform ("MDP", "nós" ou "nossa plataforma") é uma solução SaaS brasileira dedicada ao acompanhamento de desempenho esportivo de atletas em formação, com ênfase em categorias de base do futebol. Oferecemos o serviço a famílias e organizações no Brasil e estamos sujeitos à Lei Geral de Proteção de Dados Pessoais (LGPD - Lei nº 13.709/2018). Os perfis marcados como públicos podem ser lidos de qualquer país.

Coletamos apenas os dados necessários para prestação do serviço (princípio da minimização - Art. 6º, III):

A MDP processa dados de menores de 18 anos exclusivamente para fins de acompanhamento esportivo. Para isso, exigimos:

• Consentimento específico e destacado do responsável legal (Art. 14, §1º).
• Vínculo ativo entre responsável e atleta na plataforma.
• Dados biométricos classificados como Pessoal Sensível (Art. 11) e tratados com camada adicional de proteção.
• Perfil do atleta configurável como público ou privado - padrão: privado.

Os dados biométricos de menores são submetidos a Avaliação de Impacto à Proteção de Dados (DPIA) periodicamente.

Não vendemos dados pessoais. Compartilhamos apenas com parceiros operacionais (operadores), indicando onde cada um trata os dados:

• Vercel - hospedagem da aplicação (Estados Unidos).
• Neon - banco de dados (Estados Unidos).
• Supabase - armazenamento de arquivos, como as fotos (projeto em São Paulo, Brasil; a empresa é estrangeira).
• Resend - envio de e-mails transacionais (domínio de envio em São Paulo; sede nos Estados Unidos).
• GitHub - cópia de segurança cifrada do banco de dados (Estados Unidos).
• Upstash - limite de tentativas de acesso; as chaves podem conter IP e e-mail (Estados Unidos).
• Sentry - monitoramento de erros, com redação automática de identificadores (União Europeia).
• Stripe - pagamentos de assinaturas, inclusive de famílias (Estados Unidos e global).
• Google - login com conta Google e integração com o YouTube, quando você a ativa (Estados Unidos e global).
• DeepL - tradução do texto da biografia do atleta; recurso hoje desligado, que só será ativado com consentimento específico do responsável (União Europeia).
• Serviços técnicos pontuais - verificação de senhas expostas (envia apenas um prefixo parcial de hash, que não identifica a pessoa), tabela pública de municípios (IBGE), notificações push do navegador e login corporativo (SSO), quando o cliente o ativa.

Os parceiros são contratados sob acordos de tratamento de dados (DPA) incorporados aos seus termos; a adesão e a evidência de cada um estão em processo de formalização.

Alguns parceiros processam dados fora do Brasil (ver seção 5). A base é o Art. 33 da LGPD: cláusulas contratuais padrão (Art. 33, II, b), com adequação ao modelo da Resolução CD/ANPD nº 19/2024 em andamento.

Você pode, a qualquer momento:

• Confirmar a existência de tratamento dos seus dados.
• Acessar os dados que mantemos sobre você.
• Corrigir dados incompletos, inexatos ou desatualizados.
• Solicitar anonimização, bloqueio ou eliminação de dados desnecessários.
• Solicitar a exclusão da conta e dos dados associados, em duas etapas (seção 8), exceto o que a lei exigir manter, como a prova do seu consentimento.
• Revogar o consentimento a qualquer momento, sem prejuízo ao tratamento anterior.
• Solicitar portabilidade dos dados em formato estruturado.
• Solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado (Art. 20), como o cálculo de indicadores e a ordenação de perfis.

Dois direitos já estão disponíveis de forma imediata e autônoma no seu painel: a exportação (portabilidade) dos seus dados em formato JSON estruturado, em Configurações → Seus dados (LGPD) → Exportar meus dados, e a exclusão da conta em Configurações → Zona de perigo → Excluir minha conta (ela segue as duas etapas descritas na seção 8). Para os demais direitos (confirmação, acesso, correção, anonimização, bloqueio, revogação de consentimento ou revisão de decisão automatizada), envie sua solicitação para contato@lucasmaestrinho.com.br. Respondemos em até 15 dias corridos.

Utilizamos:

• Cookies essenciais - sessão autenticada (HttpOnly, SameSite=Lax, Secure) e proteção contra requisições forjadas (CSRF) do mecanismo de login; administradores têm ainda um cookie temporário de estado ao conectar o YouTube.
• Cookie de idioma - preferência de idioma (mdp-locale, sem PII).
• Analytics - Vercel Analytics e Speed Insights (sem cookies; medem visitas e desempenho de carregamento, com filtro que descarta identificadores de atleta e tokens).

Não utilizamos cookies de terceiros para publicidade.

• Senhas armazenadas com bcrypt (custo 12).
• Comunicação exclusivamente via HTTPS (TLS 1.3) com HSTS.
• Headers de segurança (CSP, X-Frame-Options, X-Content-Type-Options).
• Rate limiting por IP em todas as rotas críticas.
• Sessão em token cifrado, com expiração de 7 dias (8 horas para administradores).
• Acesso administrativo restrito por role e MFA.

Em caso de incidente de segurança com risco ou dano relevante, comunicaremos a ANPD e os titulares afetados no prazo da Resolução CD/ANPD nº 15/2024 (3 dias úteis), com meta interna de 72 horas.

Nosso Encarregado de Proteção de Dados é responsável por responder às solicitações dos titulares e interagir com a ANPD.

E-mail: contato@lucasmaestrinho.com.br

Podemos atualizar esta política periodicamente. Alterações relevantes serão comunicadas por e-mail e com destaque na plataforma com antecedência mínima de 15 dias. O uso contínuo da plataforma após a data de vigência implica aceite das novas condições.