Política de privacidade (LGPD)

Resumo curto

Pra entender em detalhe como a criptografia funciona, lê /seguranca. Aqui é a parte legal.

1. Quem somos

Este site (feiralivre.net) é mantido por uma pessoa física. Não somos uma empresa nem temos vínculo oficial com Sulake/Habbo. É um projeto pessoal feito pela comunidade do Habbo BR.

Contato pra questões de privacidade: contato@feiralivre.net.

2. Quais dados coletamos

Dados de cadastro

• Email — em texto, usado pra login e identificar a conta
• Senha — armazenada como hash bcrypt, nunca em texto
• Salt — string aleatória usada na criptografia (não é segredo)

Dados de uso (criptografados)

Tudo o que você registra no painel — operações de compra/venda, cotação K personalizada, etc. — é criptografado no seu navegador com uma chave derivada da sua senha, antes de subir. O servidor armazena um blob ilegível e não tem como abrir.

Dados em texto plano (não criptografados)

• Favoritos — só os classnames de mobi (informação pública). Em texto pra carregar rápido
• Cotação K (R$/1k créditos) — cópia em texto pra que páginas públicas (mobi, mercado) consigam mostrar valores em reais sem exigir login

Dados técnicos automáticos

• IP e horário de acesso — log de acesso do servidor (padrão)
• User-agent — browser e SO, do header HTTP
• Token de sessão — string aleatória válida por 30 dias

Não usamos: Google Analytics, Facebook Pixel, AdSense, ou qualquer rastreador de terceiros. Não temos cookies de publicidade.

3. Por que coletamos (base legal)

• Email + hash da senha: execução do contrato (Art. 7º, V) — sem isso não dá pra ter conta
• Blob criptografado: execução do contrato — sincroniza seus dados entre dispositivos
• Logs de IP/acesso: legítimo interesse (Art. 7º, IX) — segurança e investigação de abuso
• Cookies/localStorage essenciais: legítimo interesse — guardar tema, sessão, e a chave AES da aba

4. Compartilhamento

Não compartilhamos seus dados com terceiros, exceto:

• Hospedagem (cPanel/servidor): por necessidade técnica, hospedam os arquivos. Nunca terão acesso ao conteúdo do blob criptografado, só ao formato cifrado
• Ordem judicial: se obrigados, entregamos o que temos — que para o blob criptografado é, na prática, lixo aleatório sem sua senha

Não vendemos, não cedemos pra marketing, não fazemos perfil pra ads.

5. Retenção

• Conta ativa: dados ficam enquanto você usar
• Logs de acesso: 90 dias, depois apagados automaticamente
• Conta deletada por você: marcada como deletada na hora, blob criptografado e demais dados são apagados em até 30 dias. Backups antigos são sobrescritos no mesmo prazo
• Contas inativas por longos períodos podem ser apagadas em manutenções de banco, sem prazo fixo

6. Seus direitos (LGPD Art. 18)

A LGPD te garante o direito de confirmar, acessar, corrigir, anonimizar, deletar, exportar seus dados e revogar consentimento. Pra qualquer um desses pedidos, mande email pra contato@feiralivre.net com o assunto "LGPD" e o pedido específico. Resposta em até 15 dias.

Exceção: deletar sua conta você faz direto pela página de Segurança, sem precisar de email. Após a confirmação, a conta é marcada como deletada na hora e o blob criptografado é apagado em até 30 dias.

⚠️ Como o blob é criptografado com sua senha e nem nós conseguimos ler, alguns pedidos (tipo "me mostre o conteúdo dos meus dados") só conseguimos atender exportando o blob ilegível + suas configurações públicas. Pra ler o conteúdo, só com sua senha no seu navegador.

7. Cookies e armazenamento local

Usamos localStorage e sessionStorage do navegador (não cookies tradicionais). Guardamos:

• Token de sessão (30 dias)
• Preferência de tema (claro/escuro)
• Cache do catálogo de mobi (7 dias, dado público)
• Chave AES descriptografada na aba (somente sessionStorage, some ao fechar a aba)

Nada disso é compartilhado com terceiros. Pode limpar quando quiser nas configurações do navegador — só vai ter que logar de novo.

8. Segurança

Detalhes técnicos completos em /seguranca. Resumo:

• Criptografia E2E real (AES-256-GCM) no navegador, antes de qualquer dado subir
• Chave derivada da senha via PBKDF2 com 600.000 iterações
• Senha armazenada no servidor como hash bcrypt
• HTTPS forçado em todo o site
• Tokens de sessão com TTL de 30 dias

9. Crianças e adolescentes

O site é direcionado pra jogadores do Habbo Hotel BR, que historicamente inclui adolescentes. Não coletamos dados sensíveis (raça, religião, orientação sexual, dados de saúde, etc.). Os únicos dados de identificação coletados são email — e nem ele precisa ser real, qualquer string que pareça email funciona pra criar conta.

Mesmo assim, recomendamos que menores de 13 anos peçam autorização aos responsáveis antes de criar conta.

10. Mudanças nesta política

Quando mudarmos algo material aqui, atualizamos a data no topo e avisamos por email se a mudança afetar tratamento de dados existentes. Continuar usando o site após a mudança significa aceitação da nova versão.