POLÍTICA DE PRIVACIDADE DO APLICATIVO ICONYX

1. Sobre o ICONYX

O ICONYX é a camada digital da marca de produtos colecionáveis licenciados de futebol. O Aplicativo permite ao usuário cadastrar produtos físicos por meio da leitura de QR Code e acessar recursos como manual digital, certificado de originalidade e estante virtual da coleção.

2. Dados pessoais tratados

Tratamos apenas os dados necessários às finalidades descritas nesta Política:

2.1. Dados fornecidos no cadastro

• nome completo;
• endereço de e-mail;
• telefone;
• cidade;
• data de nascimento;
• senha de acesso.

A senha deve ser armazenada de forma protegida, mediante mecanismo criptográfico adequado, e não deve ser mantida em texto legível. A CITTIUS não solicita a senha do usuário por e-mail, telefone ou outros canais.

2.2. Dados do login com Google

O usuário poderá criar ou acessar a conta por meio da autenticação disponibilizada pelo Google. Nesse caso, o Aplicativo receberá exclusivamente os dados básicos de identificação autorizados pelo usuário e disponibilizados pelo Google: o nome completo, o endereço de e-mail, a imagem de perfil e o identificador único da conta (Google ID). A CITTIUS não recebe nem armazena a senha da conta Google do usuário.

O usuário deve consultar também as políticas e condições do Google. A disponibilidade e os dados efetivamente compartilhados podem variar conforme a configuração da conta e as permissões apresentadas no momento da autenticação.

2.3. Dados dos produtos

Ao ler o QR Code de um produto, o Aplicativo poderá tratar os dados associados ao código, como número de série, produto, clube, edição, data de ativação e informações necessárias à autenticação, ao certificado de originalidade e à estante virtual.

Esses dados poderão ser vinculados à conta do usuário para registrar os produtos cadastrados e exibir o progresso da coleção.

2.4. Dados de aceite, acesso e segurança

Poderão ser registrados dados relacionados ao aceite desta Política e dos Termos de Uso, como versão do documento, data e hora do aceite, identificador da conta e registros necessários à segurança, auditoria e comprovação da relação com o usuário.

O Aplicativo não tem como finalidade coletar localização, contatos, fotos, vídeos, áudio, biometria ou outros dados além dos descritos nesta Política. A câmera é utilizada para leitura do QR Code do produto. O conteúdo visual capturado para essa finalidade não é armazenado pela CITTIUS após a leitura, salvo se uma funcionalidade futura informar expressamente o contrário e houver atualização da Política.

2.5. Analytics e dados técnicos

O ICONYX utiliza ferramentas integradas de terceiros (SDKs) necessárias à sua operação, segurança e análise de desempenho. Atualmente, os seguintes SDKs estão ativos no Aplicativo:

• Google Analytics para Firebase: Coleta eventos de uso anônimos e estatísticas de engajamento para fins de melhoria de usabilidade e diagnóstico de falhas técnicas.
• OneSignal SDK: Utilizado para o envio de notificações push operacionais (confirmações, alertas de segurança e avisos importantes).
• Google Sign-In SDK: Utilizado para viabilizar o login rápido por meio da autenticação do Google.

3. Finalidades e bases legais

A CITTIUS trata os dados pessoais para as seguintes finalidades:

O tratamento para marketing não deve ser condição para uso das funcionalidades essenciais do Aplicativo. Quando a base legal for consentimento, o aceite deverá ser separado, específico e não poderá ser presumido pelo simples aceite desta Política. O usuário poderá retirar o consentimento ou cancelar comunicações promocionais a qualquer momento.

4. Comunicações

A CITTIUS poderá enviar mensagens necessárias ao funcionamento da conta, como confirmação de cadastro, recuperação de acesso, avisos de segurança, atualizações importantes e informações sobre produtos já cadastrados.

Mensagens promocionais, ofertas, lançamentos e recomendações comerciais serão enviadas somente conforme a base legal aplicável e deverão oferecer mecanismo simples de cancelamento. O cancelamento de marketing não impede o envio de comunicações indispensáveis à conta e à segurança do serviço.

5. Compartilhamento de dados

A CITTIUS poderá compartilhar dados pessoais estritamente necessários para a prestação dos serviços com terceiros, sob rígidas obrigações de confidencialidade e segurança, conforme listado abaixo:

• Provedores de hospedagem em nuvem, armazenamento de banco de dados e backup (AWS/Google Cloud);
• Ferramentas de notificações push e disparo de e-mails de sistema (OneSignal / Firebase);
• Clubes de futebol licenciadores e parceiros comerciais: O compartilhamento é limitado estritamente ao número de série do colecionável físico, data de ativação e dados mínimos do usuário (como ID de usuário ou e-mail criptografado), com a finalidade exclusiva de comprovar a originalidade do produto e validar os relatórios de licenciamento de uso da marca do clube.

Os fornecedores que tratarem dados em nome da CITTIUS deverão receber instruções, ter acesso limitado e assumir obrigações de confidencialidade e segurança por contrato ou instrumento equivalente.

A CITTIUS não vende dados pessoais dos usuários.

6. Transferência internacional

Embora a infraestrutura principal informada esteja localizada no Brasil, alguns fornecedores de tecnologia, analytics, autenticação, CDN ou notificações podem processar dados em outros países. Quando houver transferência internacional, a CITTIUS adotará mecanismo válido e medidas compatíveis com a LGPD e com a regulamentação da ANPD, além de informar o titular de forma transparente quando aplicável.

7. Armazenamento e retenção

Os dados da conta e dos produtos serão mantidos enquanto a conta estiver ativa ou enquanto forem necessários para disponibilizar as funcionalidades do ICONYX.

Após o encerramento da conta ou solicitação de exclusão, a CITTIUS eliminará ou anonimizará os dados pessoais, salvo os dados que precisem ser mantidos para cumprir obrigação legal ou regulatória, preservar direitos, prevenir fraudes, atender auditorias ou comprovar a solicitação realizada.

Registros de aceite, segurança, auditoria, atendimento e transações de tratamento poderão ser mantidos pelo período necessário à finalidade correspondente e pelos prazos legais aplicáveis (como o Marco Civil da Internet). A CITTIUS mantém esses prazos definidos formalmente em seu documento interno chamado Tabela de Temporalidade de Dados, que rege as diretrizes e responsabilidades para o descarte seguro das informações.

8. Exclusão da conta

O titular poderá solicitar a exclusão da conta pelo e-mail contato@cittius.com.br. Após validar a identidade do solicitante, a CITTIUS iniciará o processo de exclusão dos dados pessoais, dos vínculos de produtos e dos dados de acesso que não precisem ser preservados.

A exclusão poderá tornar indisponíveis a estante virtual, o certificado digital e outras funcionalidades vinculadas à conta. Registros mínimos poderão ser conservados quando necessários para comprovar a solicitação, cumprir obrigação legal, exercer direitos ou prevenir fraude; nesses casos, serão mantidos com acesso restrito e pelo menor tempo necessário.

9. Segurança da informação

A CITTIUS adota medidas técnicas e administrativas de alto padrão para proteger as informações dos usuários, incluindo:

• Criptografia SSL/TLS em trânsito para todo o tráfego de rede (protocolo HTTPS);
• Armazenamento seguro de senhas de acesso utilizando algoritmo de hashing criptográfico com salting (bcrypt ou PBKDF2), impedindo a leitura em texto aberto por administradores;
• Controles rígidos de acesso lógico baseados no princípio do privilégio mínimo para administradores;
• Logs de auditoria e monitoramento contínuo de acesso ao banco de dados;
• Backups diários criptografados em ambientes de nuvem protegida;
• Isolamento estrito entre ambientes de desenvolvimento, homologação e produção.

Nenhuma transmissão ou tecnologia é completamente invulnerável. Em caso de incidente que possa acarretar risco ou dano relevante aos titulares, a CITTIUS avaliará, conterá, investigará e documentará o evento e realizará as comunicações exigidas à ANPD e aos titulares, observando a regulamentação vigente e o prazo aplicável.

10. Incidentes de segurança

A CITTIUS adota um Plano de Resposta a Incidentes de Segurança (PRIS) formal, estruturado para identificar, conter e remediar rapidamente quaisquer potenciais violações ou vazamentos de dados. O procedimento envolve:

• Detecção, isolamento e contenção imediata da vulnerabilidade ou da fonte do vazamento;
• Análise e investigação técnica detalhada dos dados e titulares impactados;
• Correção imediata e fortalecimento das barreiras de segurança;
• Elaboração de relatório técnico detalhado documentando todo o evento e ações corretivas.

Em conformidade com as exigências da LGPD, caso o incidente de segurança represente um risco ou dano relevante para os titulares dos dados, a CITTIUS comunicará o fato à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares afetados em até 3 (três) dias úteis, contendo a descrição das informações afetadas, os riscos e as medidas de segurança adotadas para mitigação.

11. Direitos do titular

O titular poderá solicitar, observadas as limitações legais:

• confirmação da existência de tratamento;
• acesso aos dados pessoais;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• portabilidade, quando regulamentada e aplicável;
• informação sobre entidades públicas e privadas com as quais os dados foram compartilhados;
• informação sobre a possibilidade de não fornecer consentimento e sobre as consequências;
• revogação do consentimento;
• oposição ao tratamento realizado com base legal que permita oposição;
• revisão de decisões tomadas unicamente com base em tratamento automatizado, quando aplicável;
• petição perante a ANPD, nos termos da legislação.

As solicitações devem ser encaminhadas para contato@cittius.com.br, com assunto “Direitos do titular — ICONYX”. A CITTIUS poderá solicitar informações razoáveis para confirmar a identidade do solicitante e evitar o fornecimento indevido de dados.

A confirmação da existência de tratamento e o acesso em formato simplificado serão fornecidos imediatamente, sempre que possível. Quando for necessária resposta completa ou análise técnica, a CITTIUS responderá em até 15 (quinze) dias, contados do recebimento de solicitação válida, ou no prazo específico previsto na regulamentação aplicável. O prazo interno de triagem poderá ser de até 72 horas, mas não substitui nem reduz os prazos legais.

12. Encarregado pelo tratamento de dados pessoais

A CITTIUS designará e divulgará um Encarregado pelo Tratamento de Dados Pessoais, que atuará como canal de comunicação com os titulares e com a ANPD, além de apoiar as atividades de conformidade, orientação e governança em privacidade.

Encarregado: Luiz Carlos Goncalves Filho - Sócio-Administrador

E-mail: produtos1@cittius.com.br

Até a nomeação formal, as solicitações poderão ser encaminhadas para contato@cittius.com.br. O Encarregado pode ser o sócio administrador ou outro profissional interno/externo com autonomia, conhecimento e disponibilidade para coordenar privacidade, segurança e atendimento aos titulares. A função não precisa ser exercida por profissional de TI, mas deve trabalhar em conjunto com TI, administração, jurídico e direção.

13. Crianças e adolescentes

O ICONYX não é direcionado a crianças e não deve ser utilizado para a criação de contas em nome de crianças. A CITTIUS não pretende coletar intencionalmente dados de crianças por meio do Aplicativo.

Caso a CITTIUS identifique tratamento indevido de dados de criança, adotará as medidas cabíveis para avaliar o melhor interesse, interromper o tratamento e eliminar os dados quando não houver base legal para sua manutenção. O tratamento de dados de adolescentes será realizado com observância da legislação aplicável e do melhor interesse do titular.

14. Dados de parceiros comerciais

O Aplicativo pode exibir informações de parceiros comerciais, clubes, licenciadores ou varejistas. Essas informações não são, por si só, dados pessoais do usuário e não representam necessariamente compartilhamento de dados do usuário.

Quando dados identificáveis de usuários forem enviados a parceiros, o compartilhamento estará sujeito às regras da seção 5 desta Política, à necessidade da operação e aos instrumentos contratuais aplicáveis.

15. Atualizações da Política

Esta Política poderá ser atualizada para refletir alterações legais, regulatórias, técnicas ou novas funcionalidades do ICONYX. Alterações relevantes serão comunicadas por meio do Aplicativo, e-mail ou outro canal apropriado.

Quando uma alteração modificar de forma relevante as finalidades, os dados tratados, os compartilhamentos ou os direitos do titular, a CITTIUS poderá solicitar novo aceite antes da continuidade do uso ou coletar novo consentimento quando exigido pela legislação.

16. Contato

Para dúvidas, solicitações relacionadas a dados pessoais, segurança ou exercício de direitos, entre em contato:

CITTIUS INTEGRADORA DE TECNOLOGIAS LTDA.
CNPJ: 32.989.610/0001-56
Endereço: Rua O Brasil Para Cristo, 1648, Boqueirão - Curitiba/PR - CEP 81650-110
E-mail: contato@cittius.com.br
Encarregado: Luiz Carlos Goncalves Filho - Sócio-Administrador (produtos1@cittius.com.br)