MINUTA NÃO VIGENTE — REVISÃO JURÍDICA E OPERACIONAL PENDENTE
Preparada em 30/09/2026 para revisão privada e implementação local. Não representa política já aprovada ou consentimento. Esta minuta distingue informações fornecidas pela equipe, evidências de código e procedimentos propostos. Os campos [TEMA A VALIDAR] precisam ser resolvidos antes de sua publicação. Não há data de vigência definida.
1 Abrangência e responsabilidade
Esta política organiza o tratamento relacionado à conta RacingLog ID, ao Dashboard, às assinaturas, ao suporte e aos fluxos comuns do ecossistema. Os complementos detalham RacingLog, Listas Brasil, CRONOS e FineTune. Consulte também os termos gerais.
A identificação empresarial provisória indicada é N. SOUZA DIAS LTDA, CNPJ 59.877.579/0001-18, fantasia ND SOLUCOES, sede em Chapada dos Guimarães, Mato Grosso, Brasil. Isso não define automaticamente quem é controlador ou operador de todos os dados. O controlador decide as finalidades e os meios essenciais do tratamento; fornecedores e parceiros podem exercer papéis diferentes conforme cada atividade.
[TEMA A VALIDAR — governança] Confirmar entidade e papel por fluxo, endereço empresarial publicável e encarregado ou canal formal aplicável. A responsabilidade com o parceiro do Listas Brasil permanece em aberto para definição após 03/10/2026. O nome de um fornecedor ou a posse de um servidor não resolve essa classificação.
2 Como falar sobre seus dados
Os canais informados para receber solicitações são [email protected], [email protected] e +55 65 98113-4873 por telefone/WhatsApp. O usuário pode indicar o produto e descrever o pedido sem enviar senha, cartão completo ou documentos excessivos. A equipe informou que qualquer canal de suporte receberá questões de privacidade.
Na redação proposta, a verificação de identidade será limitada ao necessário para evitar entrega ou exclusão indevida de dados. Representantes poderão demonstrar seus poderes. [TEMA A VALIDAR — fluxo de direitos] Confirmar canal acessível também sem assinatura ativa ou após perda de acesso, protocolo, responsáveis e prazos aplicáveis. A existência desses canais foi declarada, mas sua operação não foi testada nesta revisão.
3 Quais dados podem estar envolvidos
As categorias abaixo descrevem os fluxos identificados. A lista final deve especificar os campos obrigatórios e opcionais de cada tela, sem transformar toda categoria possível em coleta permanente.
| Fluxo | Categorias e origem | Finalidade delimitada |
|---|---|---|
| Conta e perfil | Identificador da conta, nome de exibição, e-mail, telefone e foto fornecidos pelo usuário; informações de autenticação e sessão conforme implementação | Criar e administrar conta, autenticar, recuperar acesso e exibir o perfil configurado |
| Assinatura e cobrança | Plano, benefícios, estado da assinatura, eventos de pagamento, referências e comprovantes retornados pelo processador; campos do checkout a confirmar | Processar contratação, renovação, cancelamento, reembolso e conciliação |
| Uso e segurança | Dispositivo/app online, presença, eventos e duração de uso por plataforma, conforme declaração; registros técnicos e campos concretos a inventariar | Proteger acesso, diagnosticar falhas e medir utilização |
| Conteúdo dos produtos | Dados esportivos, perfis, imagens, vídeos, comentários, arquivos técnicos, mensagens e resultados inseridos ou produzidos nos produtos | Executar a função solicitada, segundo público e permissões próprios |
| Suporte e direitos | Conteúdo das solicitações, meios de contato e evidências estritamente necessárias fornecidas pelo interessado | Atender dúvidas, incidentes, denúncias e pedidos relacionados à conta ou aos dados |
| IA | Perguntas, contexto, arquivos ou trechos necessários, respostas e metadados de execução segundo cada produto | Produzir análises e assistência descritas nos complementos |
[TEMA A VALIDAR — inventário] Confirmar IPs, identificadores, agentes de navegador, SDKs, retenção de sessões, origem de cada campo, registros de aceite e dados efetivamente recebidos da Stripe ou de lojas. Não há evidência suficiente para afirmar que a plataforma armazene, ou nunca armazene, toda categoria de dado de pagamento. Dados completos de cartão não devem ser solicitados pelo suporte.
Dados de carro, pista e clima podem ser pessoais quando vinculados a piloto, preparador ou outra pessoa identificável. Conteúdo publicamente disponível também pode conter dados pessoais. A designação “esportivo”, “técnico” ou “público” não elimina a proteção legal.
4 Finalidades e fundamentos do tratamento
A LGPD exige fundamento apropriado a cada atividade. A política informa o tratamento; não cria uma autorização ilimitada por ser lida ou aceita.
A matriz abaixo é uma proposta de enquadramento para revisão, não a afirmação de que todas as bases estejam validadas:
- Conta, autenticação, entrega de benefícios e suporte necessário: avaliar execução do contrato ou procedimentos a pedido do titular, apenas no que for necessário
- Cobrança, documentos e guarda exigida por norma: identificar a obrigação legal concreta e o dado abrangido
- Segurança, prevenção de fraude e melhoria operacional: avaliar necessidade, proporcionalidade e legítimo interesse quando cabível, com salvaguardas; essa base não serve automaticamente para dados sensíveis
- Exercício de direitos em procedimentos: limitar dados e prazo ao caso concreto
- Publicidade, usos opcionais, imagens e outros tratamentos baseados em consentimento: obter manifestação específica quando esse for o fundamento adequado, com informação sobre escolha e revogação
- Crianças, adolescentes e dados sensíveis: aplicar análise própria, melhor interesse e requisitos legais pertinentes; o enquadramento de usuários adultos não se transfere automaticamente
[TEMA A VALIDAR — bases] Relacionar cada finalidade aos dados, necessidade, fundamento, responsáveis e evidência. O envio de dados de terceiros por um usuário, a compra de um plano e uma licença autoral não substituem essa análise.
5 Métricas de uso e patrocinadores
A equipe informou acompanhar dispositivo/app online e tempo de tela para segurança e análise comercial, sem finalidade declarada de venda de dados. As duas finalidades devem ser separadas: um dado necessário à segurança não se torna automaticamente necessário à análise comercial.
Para patrocinadores, a intenção inicial é apresentar quantidade de usuários ativos mensais. Na proposta desta minuta, divulgações agregadas devem ser avaliadas para evitar identificação por grupos pequenos ou cruzamento com outras fontes.
[TEMA A VALIDAR — nomes em patrocínios] Existe proposta futura de apresentar nomes para demonstrar usuários reais. Nome é dado pessoal. Essa proposta não está autorizada por esta política; antes de sua adoção será necessário definir necessidade, destinatários, fundamento, informação ao titular e salvaguardas, especialmente para menores. “Não vender dados” não significa “não compartilhar dados”.
6 Quem recebe ou pode acessar dados
O acesso deve corresponder à função necessária, sob controles compatíveis com o risco. A existência de conteúdo privado para outros usuários não significa ausência de acesso administrativo ou de processamento por prestadores.
| Destinatário ou categoria | Evidência disponível e finalidade | O que falta confirmar |
|---|---|---|
| Equipe autorizada e suporte | Atendimento, operação, segurança e apuração, segundo a organização informada | Papéis, controles, treinamento, acesso excepcional e registro |
| Hostinger | VPS privada declarada para hospedagem, autenticação e dados de perfil | Região, contrato, acessos e serviços efetivos |
| Stripe | Processador declarado para cobrança web | Entidades contratadas, campos, papéis, retenção e países por atividade |
| Vercel, Cloudflare R2 e infraestrutura PostgreSQL do FineTune | Documentação técnica registra camada web, objetos privados e banco; há registro de corte para R2 em 24/09/2026 | Implantação atual, localizações, backups e subprocessadores |
| OpenRouter e provedores de IA por ele roteados | Evidência de código no FineTune; processamento técnico, mensagens e embeddings | Rotas finais, opções de conta, contratos, retenção e países |
| OpenAI | Fornecedor declarado para recursos de IA do ecossistema | Uso direto por produto, endpoints, projeto, configuração e finalidade |
| Provedores de busca/leitura web | Ferramentas identificadas no FineTune, incluindo configuração Exa na pré-análise | Consultas e dados transmitidos, rotas e retenção |
| Serviços próprios de pistas e geolocalização do CRONOS | Código de configuração e fallback de IP para ip-api.com | Operação atual, dados e proteção em trânsito |
| Parceiros, organizadores e público do produto | Apenas nos fluxos esportivos ou publicações efetivamente configurados | Quem recebe, autoridade do parceiro, visibilidade e controles |
Ordens e solicitações de autoridades deverão ser avaliadas quanto à competência, fundamento e alcance antes de qualquer entrega. Não existe autorização geral para divulgar todos os dados sob a justificativa abstrata de investigação esportiva.
7 IA e melhorias dos serviços
Os complementos descrevem os recursos de IA. Uma análise pode enviar contexto a provedores externos e gerar saídas inexatas. O uso de OpenRouter pode envolver diferentes operadores de inferência; indicar somente uma marca de modelo não identifica toda a cadeia.
A equipe definiu a diretriz de não utilizar fornecedores que treinem com inputs e outputs. Essa diretriz ainda exige comprovação das configurações e contratos em cada fluxo. No FineTune, pedidos de retenção zero e não coleta aparecem nos embeddings, mas não são impostos universalmente no chat examinado. Não se promete retenção zero, ausência de todo treinamento por terceiros ou processamento exclusivamente em VPS própria.
O uso interno informado de logs para contexto privado, ajuste de parsers, processamento e system prompts deve ser distinguido de treinamento de modelo para vários clientes e de treinamento por fornecedores. [TEMA A VALIDAR — melhorias] Delimitar dados, acesso, necessidade, anonimização quando possível, fundamento e opção aplicável antes de ampliar finalidades.
8 Localização e transferências internacionais
País de oferta do serviço e país de processamento são informações distintas. Hospedagem, backups, acesso de suporte, pagamentos e IA podem envolver outros países. O inventário atual não permite afirmar que todo tratamento ocorra no Brasil.
[TEMA A VALIDAR — transferências] Identificar exportador, importador, países, finalidade, dados, duração e mecanismo aplicável a cada transferência, além das informações e documentos a disponibilizar ao titular. Devem ser consideradas a LGPD e a regulamentação de transferências da ANPD. Uma adequação reconhecida para determinada jurisdição não autoriza automaticamente destinos diferentes.
9 Cookies e armazenamento no dispositivo
Os serviços podem usar recursos de navegador para autenticação, preferências e continuidade de atividades, conforme o produto. No FineTune foram identificados armazenamento local e de sessão para estados de interface e presença autenticada periódica. O CRONOS contém persistência local de conta e configurações. Não é correto afirmar ausência de armazenamento local ou rastreamento.
[TEMA A VALIDAR — tecnologias] Publicar inventário de cookies, localStorage, sessionStorage, SDKs e mecanismos similares, com finalidade, duração, fornecedor e controles. Definir o que é estritamente necessário e o que depende de escolha. Opções não essenciais não devem ser ativadas com base em consentimento fictício. Limpar dados do navegador pode remover preferências ou acesso local, mas não equivale a excluir dados dos servidores.
10 Retenção e exclusão
O prazo deve acompanhar a finalidade, a necessidade e as obrigações aplicáveis. Cancelar uma assinatura não significa automaticamente excluir conta ou conteúdo; um pedido de exclusão deve esclarecer seu alcance e os efeitos sobre o serviço.
Proposta recebida, ainda não validada: após solicitação de exclusão, impedir imediatamente o acesso ou novo uso pelo usuário e concluir a eliminação automatizada em até 90 dias, incluindo chats, mídias e backups. Isso é uma meta operacional proposta, não uma obrigação geral de manter dados esportivos por 90 dias nem um prazo já comprovado. O FineTune examinado tem quarentena mínima de 30 dias e purga automática desabilitada; as duas descrições precisam ser reconciliadas.
Quando houver conservação legalmente necessária, deverão ser informados categoria, motivo, prazo ou critério e restrição de uso, sem prometer apagar registros cuja guarda seja obrigatória. Registros de acesso a aplicações podem ter prazo legal próprio, inclusive seis meses na hipótese do artigo 15 do Marco Civil da Internet. Isso não autoriza manter indistintamente arquivos, vídeos ou todos os logs técnicos do usuário.
[TEMA A VALIDAR — tabela de retenção] Completar prazos de contas, sessões, presença/tempo de tela, cobrança, suporte, publicações, arquivos, chat, IA, evidências e backups; definir tratamento de restaurações e exclusão junto aos fornecedores. Datas de elegibilidade no banco não comprovam purga.
A proposta do Listas Brasil de conservar publicações Social/Fotógrafos com a tag [excluído] é uma pendência específica de Fase 2. Remover o nome de exibição pode deixar imagem, texto, vídeo e contexto identificáveis. A tag, sozinha, não comprova anonimização e não constitui exceção automática ao direito de exclusão.
11 Direitos e decisões automatizadas
Conforme os requisitos legais, você pode solicitar confirmação de tratamento, acesso, correção, informações sobre compartilhamento, portabilidade nos termos da regulamentação, anonimização, bloqueio ou eliminação de dados desnecessários ou tratados irregularmente, revogação de consentimento e eliminação do que for tratado por esse fundamento, ressalvadas hipóteses legais de conservação. Também pode questionar tratamentos e pedir revisão de decisões exclusivamente automatizadas que afetem seus interesses nas condições da lei.
Na proposta de atendimento, o usuário receberá informação sobre o pedido, providências, eventuais limitações e meios de contestação. Direitos não devem depender de plano pago. Para confirmação e acesso, a LGPD diferencia resposta simplificada imediata e declaração completa em até 15 dias; outros pedidos seguem os prazos aplicáveis ao caso. [TEMA A VALIDAR] Confirmar procedimento, responsável e eventuais regras específicas de enquadramento, sem prometer um único prazo para todas as solicitações.
12 Crianças e adolescentes
Há previsão de uso esportivo por pilotos e fãs menores, embora não sejam o público desejado. Esse contexto exige avaliação própria. A intenção de não monitorar idade ativamente e a regra comercial de suspensão não afastam deveres de proteção em serviços de acesso provável por esse público.
[TEMA A VALIDAR — proteção por idade] Conciliar a proposta inicial de 13 anos e a orientação posterior de retirada de menores; definir aferição de idade, responsáveis, minimização, visibilidade, interação, publicidade e moderação. Não se cria responsabilidade exclusiva dos pais nem consentimento decorrente de disponibilizar um e-mail ao adolescente. Devem ser observados o melhor interesse, a LGPD, o ECA e o ECA Digital.
13 Segurança e incidentes
A proteção deve combinar controles técnicos e administrativos proporcionais aos dados e riscos. Nenhuma solução é absolutamente segura. Esta minuta não afirma certificações, algoritmos de criptografia, auditorias ou níveis de disponibilidade que não foram demonstrados.
A organização declarada encaminha incidentes inicialmente ao setor técnico/CTO, depois às áreas jurídica e de suporte. O processo final deverá permitir contenção, avaliação, preservação necessária de evidências e comunicações exigidas. Incidentes com risco ou dano relevante seguem a regulamentação da ANPD, inclusive o prazo aplicável de comunicação; atendimento interno não pode retardá-la indevidamente. [TEMA A VALIDAR — resposta] Formalizar responsáveis, gatilhos, prazos, registros, contatos e exercício de resposta.
14 Alterações desta política
Alterações relevantes serão informadas pelos canais aprovados e acompanhadas de versão e data de vigência. Novas finalidades ou destinatários exigem análise própria e, quando necessário, nova escolha do titular. Ignorar um aviso ou continuar usando o serviço não será descrito como consentimento universal.
Referências da revisão
LGPD, orientações da ANPD sobre cookies, Marco Civil, dados processados pela API OpenAI e controles de coleta do OpenRouter. Essas fontes não substituem a verificação das contas e contratos concretos da plataforma.