Política de Privacidade — bora

MINUTA PARA REVISÃO POR ADVOGADO. NÃO PUBLICAR COMO DEFINITIVA. Os trechos marcados [REVISAR] têm interpretação jurídica e precisam de validação antes de valer.

Versão: 1 · Data: 12/11/2026 · Última alteração: 12/11/2026

1. Quem somos

O bora é um sistema online de reserva de quadras esportivas. Quem opera o bora é a G-REC (nome da empresa: G-Rec Company).

• Contato: grecc.ompany@hotmail.com

2. Quem é quem nesta política

Cada dado tem um papel diferente. Veja:

• Dono da arena: a G-REC é controladora dos dados do dono (nome, e-mail, senha, dados da arena). Usamos esses dados para o contrato com você. [REVISAR]
• Conta de jogador (login): a G-REC é controladora da conta de jogador (e-mail, senha em código irreversível, identificador do Google, favoritos e pedidos de mensalista), porque ela opera o login. [REVISAR]
• Jogador que reserva: a arena é a controladora do seu nome e WhatsApp, da reserva e do pedido de mensalista que ela recebe, porque é ela que atende você no local. A G-REC atua como operadora, em nome da arena, para guardar e enviar a reserva. Se você reservar com conta, o nome e o WhatsApp salvos na conta só são usados para preencher a reserva. [REVISAR]
• Segurança e prevenção de abuso: a G-REC é controladora dos registros técnicos usados para proteger o sistema. [REVISAR]

Para não deixar você sem resposta, a G-REC recebe e responde todos os pedidos sobre seus dados. Quando o dado for da arena, a G-REC repassa o pedido para a arena e avisa você.

3. Quais dados coletamos e por quê

Dono da arena

• Nome e e-mail: para criar e acessar sua conta.
• Senha: guardada só como código irreversível (hash). Ninguém vê sua senha, nem a equipe.
• Dados da arena: nome, endereço, cidade, WhatsApp da arena, quadras, horários, preços e fotos.
• Token do Mercado Pago: a chave que permite receber os pagamentos na conta da arena. Fica cifrado no banco. Só existe se a arena usar Mercado Pago.
• Chave Pix da arena: tipo da chave (e-mail, telefone, aleatória, CNPJ ou CPF), a chave e o nome do recebedor. Se a chave for CPF ou telefone, ela é dado pessoal do dono. Ela aparece para o jogador no pagamento, de propósito, para ele conseguir pagar. Por isso, o sistema avisa e sugere chave aleatória ou CNPJ. [REVISAR]

Jogador que reserva

• Nome e WhatsApp: para confirmar a reserva e para a arena falar com você.
• Dados da reserva por chave Pix: o valor do sinal, o identificador da reserva, a data em que você disse que pagou e a decisão da arena (confirmada ou recusada, com motivo, se houver).
• Não pedimos CPF, data de nascimento nem documento.
• Localização: só se você permitir no celular. Mandamos ao nosso servidor uma posição aproximada (arredondada, com erro de cerca de 1 km), para calcular a distância até as arenas. Ela vai no endereço da página ou do pedido, não é gravada no nosso banco de dados e não é ligada ao seu nome ou WhatsApp. O provedor de hospedagem (Cloudflare) pode guardar esse endereço nos registros técnicos dele por poucos dias. Se você não permitir, o app funciona normalmente, sem ordenar por distância. [REVISAR]

Conta de jogador (opcional)

Você pode criar uma conta para salvar seus dados. Ela pode ser feita por e-mail e senha ou por "Entrar com Google".

• E-mail e senha: a senha é guardada só como código irreversível (hash).
• Entrar com Google: recebemos do Google só o e-mail, o nome e o identificador da sua conta Google. Não recebemos foto, contatos nem outros dados do Google. [REVISAR: confirmar no código que não guardamos o token de acesso do Google]
• WhatsApp: opcional na conta.
• Favoritos: as arenas que você marcou.
• Pedidos de mensalista: arena, quadra, dia da semana, horário e status do pedido.
• Sessões de login: registro de data de entrada e de expiração do login, para manter você conectado e permitir "sair de todos os aparelhos".
• Aceite: versão e data dos Termos e da Política que você aceitou, e a declaração de que tem 18 anos ou mais.
• Marketing: opção separada, desmarcada por padrão. Hoje não enviamos mensagens de marketing. Se um dia enviarmos, pedimos sua autorização de novo. [REVISAR]

Dados técnicos

• Endereço IP: guardado de forma protegida (hash) ou truncada, só para limitar tentativas de acesso repetidas. Os registros são apagados em até 24 horas. [REVISAR]
• Registro de aceite: quando você aceita os termos ou esta política, guardamos a versão, a data, a página e um IP protegido. Serve como prova do aceite. [REVISAR]

Cookies

Hoje usamos apenas cookies essenciais, como o cookie de login do dono e o do jogador. Não usamos cookies de publicidade, de análise ou de rastreamento. Veja a seção 11.

4. Para que usamos (finalidades) e bases legais

Não usamos seus dados para marketing sem a sua escolha separada (campo desmarcado por padrão). Não usamos seus dados para decisões automáticas que afetem você.

5. Com quem compartilhamos

• A arena: recebe seu nome, WhatsApp e dados da reserva, para atender você. Ela só pode usar esses dados para a reserva.
• Você e a chave Pix da arena: no pagamento por chave Pix, a chave da arena aparece para você. Se for CPF ou telefone, esse dado pessoal do dono fica visível para quem paga. O pagamento vai direto para a conta da arena, sem passar pelo bora.
• Mercado Pago: processa o Pix do sinal, na conta da arena, quando a arena usa o Mercado Pago. Pagamentos por chave Pix não passam pelo Mercado Pago.
• Google: quando você toca em "Entrar com Google", é levado à página do Google. Nada do Google é carregado antes desse clique. O Google informa à G-REC seu e-mail, nome e identificador. [REVISAR]
• Cloudflare: hospeda o site e o sistema.
• Neon: guarda o banco de dados.
• OpenStreetMap (Nominatim): quando o dono da arena toca em "Localizar no mapa", o endereço da arena (dado comercial, não de jogador) é enviado a esse serviço só para obter as coordenadas do local. Não enviamos nome, e-mail nem outro dado seu. [REVISAR]

Esses provedores tratam os dados em nome da G-REC, seguindo contratos de proteção de dados. [REVISAR]

Não vendemos seus dados. Não compartilhamos com terceiros para publicidade.

6. Quanto tempo guardamos

Anonimizar é apagar o que identifica você (nome, WhatsApp, e-mail) e manter só os dados sem identificação, como valor e data.

7. Seus direitos

Você pode pedir:

• Confirmação de que tratamos seus dados;
• Acesso aos seus dados;
• Correção de dados errados;
• Exclusão dos seus dados, quando não houver obrigação de guardar;
• Informação sobre com quem compartilhamos;
• Revisão do aceite, quando quiser retirar o consentimento. [REVISAR]

Como pedir:

• Jogador com conta: em "Minha conta › Meus dados" você vê, exporta seus dados (arquivo JSON) e exclui sua conta. A exclusão apaga e-mail, senha, identificador do Google, favoritos e pedidos, encerra suas sessões e anonimiza as reservas passadas. [REVISAR]
• Jogador sem conta: pelo link da sua reserva (botão "Meus dados"). Sem o link, use o formulário do site. Podemos pedir um código de verificação enviado pelo WhatsApp da reserva, para confirmar que é você.
• Dono: no painel, em "Meus dados". Você pode exportar seus dados em JSON e excluir a conta com a sua senha.
• Canal direto: grecc.ompany@hotmail.com

Prazo de resposta: até 15 dias. Registramos todos os pedidos. [REVISAR]

Se a gente não resolver, você pode procurar a ANPD (Autoridade Nacional de Proteção de Dados).

8. Encarregado (canal LGPD)

O encarregado pelo tratamento de dados pessoais é Gabriel, da G-REC.

• E-mail: grecc.ompany@hotmail.com

9. Crianças e adolescentes

O bora é para maiores de 18 anos. Não coletamos dados de menores de 18 de propósito.

Ao criar conta de jogador, você declara ter 18 anos ou mais. Uma reserva feita para menor de 18 só pode ser feita pelo responsável legal, que marca uma declaração no momento da reserva. [REVISAR]

10. Segurança e incidentes

• Senhas (do dono e do jogador) guardadas só como hash.
• Tokens do Mercado Pago guardados cifrados.
• Limite de tentativas no login e no cadastro. A mensagem é a mesma para e-mail existente ou não.
• No login com Google, só aceitamos e-mail que o Google informa como verificado.
• Acesso separado entre arenas e entre contas: cada dono só vê os dados da própria arena, e cada jogador só vê as próprias reservas.
• Se houver um incidente que possa causar risco relevante a você, avisamos a ANPD e você em até 3 dias úteis após sabermos do fato, e avisamos a arena envolvida. [REVISAR]

Nenhum sistema é 100% seguro. Se você notar algo estranho, fale com a gente no e-mail acima.

11. Cookies

• Essenciais: cookie de login do dono (`bora_sessao`) e cookie de login do jogador (`bora_jogador`). Sem eles, o painel e a "Minha conta" não funcionam. Não precisam de consentimento. [REVISAR]
• Login com Google: um cookie curto, de uso único, guarda a proteção do login (verificação de retorno) e expira em poucos minutos. [REVISAR]
• Preferências do banner: guarda sua escolha sobre cookies por 12 meses.
• Outros cookies (análise, publicidade): hoje não usamos. Se um dia usarmos, eles só serão carregados depois do seu consentimento, com a opção de recusar.

Você pode mudar sua escolha pelo link "Preferências de cookies" no rodapé.

12. Alterações desta política

Quando mudarmos esta política, publicamos uma nova versão com data e número. Se a mudança for relevante, o dono da arena aceita de novo no próximo acesso. [REVISAR]

Histórico de versões

• v1 (12/11/2026): primeira versão.

13. Contato

• Encarregado e canal de dúvidas: grecc.ompany@hotmail.com