Política de Privacidade

1. Quem é responsável

O Legends XI é um projeto pessoal de Guilherme Abrantes, feito em Portugal. Não é uma empresa. O responsável pelo tratamento dos teus dados, na acepção do RGPD, é ele — e responde a esse email.

2. O que recolhemos, e quando

Nada disto se recolhe "por defeito". Cada linha desta tabela só acontece quando fazes a coisa que está na primeira coluna.

O nome de jogo (o "nome de exibição") é o único que aparece a outras pessoas — nas classificações, no mercado, no histórico de duelos, e na página de apoiantes, junto com a data do teu primeiro donativo, se apoiares o projecto e escolheres aparecer lá. O nome que escreveste no registo nunca sai daqui.

3. O código derivado do IP — o que é, e o que não é

No Desafio Diário só conta uma submissão por pessoa por dia. Para sabermos que já submeteste sem guardarmos o teu endereço IP, guardamos um código calculado a partir dele com uma chave secreta do servidor (SHA-256).

Não chamamos a isto "anónimo", porque não é. Quem tenha a chave do servidor pode, com tempo, percorrer todos os endereços possíveis até dar com o teu. A lei chama-lhe pseudonimização e continua a tratá-lo como dado pessoal — e nós também.

4. Com que fundamento

5. Quanto tempo guardamos

• Registo por confirmar: 15 minutos. Passados esses, o nome, o email e a palavra-passe apagam-se sem nunca terem sido uma conta.
• Conta: enquanto a tiveres. Apagas, vai-se.
• Sessão (IP e browser): 120 minutos de inactividade.
• Código de recuperação da palavra-passe: 60 minutos.
• Desafio Diário: fica, para os placares dos dias passados continuarem certos — mas anonimizado se apagares a conta.
• Registos de acesso: rodam por tamanho. Na prática, dias.
• Cópias de segurança: 7 dias a que fica no servidor, 30 dias a do arquivo.

6. Com quem partilhamos

Com ninguém, para vender. Só com quem é preciso para o site existir:

Há medição de visitas, feita pela Cloudflare Web Analytics, que não usa cookies; não há publicidade; e não há venda nem troca de dados com ninguém.

Uma coisa sai da União Europeia, e é justo dizê-la em voz alta: o Resend é uma empresa americana (Plus Five Five, Inc., São Francisco). Os emails saem de servidores na Irlanda, mas o registo de que te foi enviada uma mensagem — e o teu endereço — fica guardado nos Estados Unidos, ao abrigo das Cláusulas Contratuais-Tipo da Comissão Europeia, que é o mecanismo previsto no RGPD para estas transferências.

Esta página já disse "nada sai da União Europeia". Deixou de ser verdade em Agosto de 2026, quando o envio de email passou a ser feito pelo Resend, e a frase foi corrigida em vez de ficar lá a mentir. O anterior fornecedor, o Amazon SES, era todo europeu — mas recusou-nos autorização para enviar para endereços que não fossem os nossos, o que tornava impossível criar conta neste site.

7. Cookies

• legends-xi-session — guarda a tua sessão, e o teu draft a meio se não tiveres conta. Sem ele o jogo não funciona.
• XSRF-TOKEN — impede que outro site faça pedidos em teu nome.
• lxi-idioma — guarda a tua escolha entre português e inglês, feita ao carregares em PT|EN. Só nasce desse clique, e dura um ano.

A medição de visitas usa a Cloudflare Web Analytics, que não usa cookies nenhuns — não acrescenta nada a esta lista, e é por isso que foi a escolhida.

São os três. Os dois primeiros são estritamente necessários; o terceiro só nasce de um clique teu a escolher o idioma, que a lei também isenta. É por isso que não te pomos um banner à frente: ela só o exige para os cookies que dá para dispensar — e nós não temos nenhum desses.

8. Os teus direitos

• Saber o que temos sobre ti.
• Corrigir — o nome, o email e o nome de jogo mudam-se no teu perfil, sem pedir nada a ninguém. Excepção: o nome de jogo só volta a mudar 7 dias depois da última vez.
• Apagar — há um botão no teu perfil. O que ele faz está na secção seguinte.
• Levar os dados contigo, num formato que se leia noutro lado.
• Opor-te aos tratamentos que fazemos por interesse legítimo.

Pedes por email e respondemos em 30 dias. Se achares que tratámos mal os teus dados, podes queixar-te à autoridade portuguesa, a CNPD — cnpd.pt.

9. Apagar a conta: o que acontece exactamente

• A conta, os resultados de campanha e os duelos são apagados.
• As submissões do Desafio Diário ficam, mas o nickname passa a «Jogador apagado» e o código do teu IP é destruído.
• Se estiveste num campeonato online com outras pessoas, o teu progresso nesse campeonato desaparece — mas o teu nome de jogo continua a aparecer na campanha delas, porque ficou gravado quando o campeonato começou e não se actualiza sozinho. É sempre o nome fictício, nunca o verdadeiro. Escreve-nos se quiseres que passe a «Jogador apagado» também aí.

Porquê não apagar também essa linha? Porque reescrevia os placares antigos: quem ficou em segundo naquele dia passava a primeiro meses depois. Fica a pontuação, não fica a pessoa.

Submeteste sem conta? Então não há conta para apagar — e nós não temos maneira de confirmar que aquele nickname é teu. Escreve-nos e apagamos a linha que indicares. É também por isto que te dizemos para não pores o teu nome verdadeiro no Desafio Diário.

10. Idade

Para jogar não há idade mínima nenhuma. O jogo inteiro — draft, campanha, Desafio Diário, rankings, catálogo — joga-se sem conta, e sem conta não guardamos o teu nome nem o teu email — só a sessão que segura o jogo, que se apaga sozinha.

Para criares conta precisas de ter 13 anos, ou da autorização de quem é responsável por ti. Treze é o limite que a lei portuguesa fixa (Lei 58/2019, ao abrigo do art. 8.º do RGPD).

Não perguntamos a data de nascimento a ninguém, nem sequer para verificar esta idade. Pedir mais um dado a uma criança para provar que é criança piora exactamente o problema que a idade mínima tenta resolver. Se souberes de uma conta de alguém com menos de 13 anos, escreve-nos e apagamo-la.

11. Os futebolistas do catálogo

O jogo guarda o nome, a nacionalidade e o ano de nascimento de futebolistas reais, com uma nota do que cada um fez naquela competição. São factos desportivos publicados, e usamo-los ao abrigo do interesse legítimo, para informar e entreter. Não guardamos nada sobre a vida privada de ninguém.

Se és um dos jogadores e queres o teu registo fora daqui, escreve-nos.

12. Segurança

• As palavras-passe são guardadas cifradas com bcrypt. Não as conseguimos ler, e por isso nunca tas podemos dizer — só substituir.
• Todo o site é servido em HTTPS.
• Há cópias de segurança diárias: uma no próprio servidor, e outra num arquivo à parte da Amazon (S3), também na Irlanda.

Como qualquer projeto pequeno, não te podemos prometer segurança absoluta. O que te podemos prometer é que não guardamos o que não é preciso — é a única defesa que nunca falha.

13. Se isto mudar

A data no topo muda sempre que o texto mudar. Se a mudança for de fundo — dados novos, uma finalidade nova, um terceiro novo — avisamos dentro do jogo antes de entrar em vigor, e não à socapa.