Privacidade
Política de Privacidade
Última atualização: 10 de setembro de 2026
Em uma linha: guardamos o seu e-mail, a senha embaralhada e o estado da sua assinatura. Não vendemos nada disso, não temos rastreador de anúncio, não temos Google Analytics, e você pode pedir para apagar tudo a qualquer momento.
1. Quem trata os seus dados
O SCARZ está em teste fechado e gratuito. A identificação completa de quem controla os dados entra aqui quando a assinatura abrir. Até lá, para qualquer assunto de dados pessoais — inclusive apagar a sua conta — fale pelo canal por onde você recebeu o convite para testar.
2. O que guardamos, e por quê
Se você cria conta
- E-mail. É o seu login e o canal para falar com você.
- Senha, embaralhada. Guardamos apenas um resultado irreversível (scrypt com sal). Nem nós conseguimos ler a sua senha.
- Plano, situação e datas (criação, vencimento) — para saber o que a sua conta abre.
- Identificadores da Stripe (cliente e assinatura) e o histórico de pedidos: plano, valor, situação e data.
Não guardamos dados de cartão. Nem número, nem validade, nem código. Isso vai direto do seu navegador para a Stripe.
Se você usa a mesa
- O nome que você digita ao entrar numa mesa.
- As fichas, mapas, imagens e textos que o mestre da mesa envia.
Segurança
- Quando alguém erra a senha várias vezes, registramos um código derivado do IP, o país e um resumo do aparelho, para bloquear tentativa em massa. Esse registro fica no servidor e se apaga sozinho em cerca de 30 minutos.
No seu navegador (não chega até nós)
- A ficha do criador de personagem fica só no seu navegador enquanto você não tiver conta. Se limpar os dados do site, ela some.
- Guardamos localmente o seu e-mail e o plano só para a página não piscar o botão "Entrar" antes de reconhecer você.
3. Cookies
Usamos apenas cookies necessários para o serviço funcionar. Não há cookie de publicidade, de rede social ou de medição de audiência — e por isso não enchemos a sua tela com um aviso pedindo consentimento.
| Cookie | Para quê | Dura |
|---|---|---|
scar_mestre | Mantém você logado na conta. Assinado e inacessível ao JavaScript. | 20 dias |
scar_portao | Lembra que você digitou a senha compartilhada das regras. | 20 dias (6 horas no acesso de convidado) |
scar_plano | Diz à página qual plano mostrar. | 20 dias |
scar_checkout | Amarra o pagamento em andamento ao seu navegador. | 24 horas |
4. Por que podemos tratar esses dados
Nas bases da LGPD (art. 7º): execução do contrato para tudo que faz a assinatura funcionar; obrigação legal para guardar registros fiscais e de acesso; e legítimo interesse, de forma bem restrita, para segurança contra ataque de senha.
5. Com quem compartilhamos
Só com quem é necessário para o serviço rodar. Nenhum deles pode usar os seus dados para outra coisa, e não vendemos dado nenhum para ninguém.
| Quem | O que recebe | Onde fica |
|---|---|---|
| Stripe | Seu e-mail e os dados do pagamento | Estados Unidos |
| Resend | Seu e-mail e o texto da mensagem enviada a você | Estados Unidos |
| Hospedagem | Guarda o banco e os arquivos do serviço | Servidor em nuvem contratado por nós |
| Discord | Avisos internos: pagamento (com o e-mail da conta), entrada nas regras e bloqueio por senha errada (país, resumo do aparelho e um código derivado do IP, nunca o IP) | Estados Unidos |
| Cloudflare | Fica na frente do site: vê o endereço de onde você acessa e o que você pede | Estados Unidos |
Parte desses serviços fica fora do Brasil, o que a LGPD permite (art. 33) desde que o fornecedor garanta proteção equivalente — é o caso dos acima, por cláusulas contratuais próprias.
Se você usar a extensão para um tabuleiro de terceiro (como o Owlbear Rodeo), o que acontece lá é regido pela política daquele serviço, não por esta.
6. Quanto tempo guardamos
- Conta: enquanto ela existir. Você apaga a sua sozinho, na Área do Mestre, em Apagar a conta: a cobrança é encerrada antes e os dados somem na hora.
- Registros de pagamento: apagados junto com a conta. O registro fiscal da transação continua com a Stripe, que o guarda por obrigação própria.
- Registros de acesso: 6 meses, como manda o Marco Civil da Internet.
- Bloqueio por senha errada: cerca de 30 minutos.
7. Os seus direitos
A LGPD (art. 18) te dá direito a, e é só pedir:
- saber se tratamos dados seus, e quais;
- corrigir o que estiver errado;
- receber uma cópia dos seus dados em arquivo legível;
- apagar a sua conta e os seus dados, guardado o que a lei nos obriga a manter;
- saber com quem compartilhamos;
- revogar consentimento, quando for esse o caso;
- reclamar à ANPD.
Apagar a conta você faz sozinho, na Área do Mestre, em Apagar a conta. Para o resto, escreva para o contato do site do endereço cadastrado na conta. Não cobramos nada por isso.
8. Como protegemos
- Senha guardada com scrypt e sal, individual por conta — irreversível.
- Todo o site em HTTPS.
- Cookie de sessão assinado e inacessível ao JavaScript da página.
- Bloqueio automático depois de erros seguidos de senha.
- Dados de cartão nunca tocam o nosso servidor.
- Nenhum rastreador e nenhuma publicidade. As fontes e as bibliotecas do site saem do nosso domínio. Três exceções: a Cloudflare, que fica na frente do site e vê o endereço de onde você acessa; a Stripe, cujo script carrega na hora de pagar; e o rolador de dados, que baixa o SDK do Owlbear Rodeo da jsDelivr.
Se um dia houver vazamento com risco relevante para você, avisamos você e a ANPD, como a lei exige.
9. Crianças e adolescentes
O serviço é para maiores de 18 anos. Não coletamos dados de criança conscientemente. Se isso acontecer, apagamos assim que soubermos — avise pelo contato acima.
10. Mudanças nesta política
Mudando algo relevante, avisamos por e-mail e no site com 30 dias de antecedência. A data no topo é sempre a da versão em vigor.