O que o Mystic Bot sabe sobre você e sobre os seus clientes

Para quem esta política vale

Existem dois tipos de pessoa aqui. O lojista, que assina o Mystic Bot, e os clientes do lojista, que compram pelo bot dentro do servidor dele. Para o lojista, a gente é o controlador dos dados. Para os clientes do lojista, o controlador é o lojista, e a gente é o operador: só trata os dados que o bot precisa, do jeito que o lojista configurou.

1. Esta Política descreve o tratamento de dados pessoais realizado pela Mystic Bot, projeto da Mystic Store ("nós"), no site botmystic.com, nos painéis das lojas em *.botmystic.com e no bot instalado nos servidores do Discord, em conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018, "LGPD") e com o Marco Civil da Internet (Lei 12.965/2014).
2. Em relação aos dados do Lojista (conta, assinatura, pagamentos do plano), nós somos o controlador.
3. Em relação aos dados dos Clientes do Lojista (compradores que usam o bot no servidor dele), o Lojista é o controlador e nós somos o operador: tratamos esses dados em nome do Lojista, conforme as configurações da loja e esta Política. O Lojista é responsável por informar os seus clientes sobre o tratamento e por atender aos pedidos deles.
4. Pedidos de titular feitos diretamente a nós por Clientes do Lojista serão encaminhados ao Lojista responsável, sem prejuízo de atendermos diretamente quando a lei exigir.

Quais dados tratamos

Nada de formulário de cadastro: o que sabemos sobre você vem do login com o Discord e do pagamento. Sobre os seus clientes, vem do que eles informam ao bot na hora de comprar e do que o meio de pagamento nos devolve quando o Pix é confirmado.

Do lojista

Identidade no Discord

ID numérico, nome de usuário e avatar, recebidos no login OAuth (escopo identify).

Servidores que você administra

Lista de servidores em que você é dono ou tem a permissão "Gerenciar servidor" (escopo guilds). Guardamos só os que você vincula a uma loja.

Assinatura e pagamentos do plano

Plano escolhido, datas, valor, identificador do pagamento e o nome e o CPF ou CNPJ do pagador informados pelo Mercado Pago.

Configuração da loja

Endereço da loja, textos, cores, cupons, catálogo, chave Pix e credenciais de integração (Mercado Pago, Inter ou Efí), estas últimas sempre cifradas.

Registros técnicos

Endereço IP, data e hora de acesso, navegador e ações administrativas no painel, para segurança e para cumprir o Marco Civil da Internet.

Dos clientes do lojista, por meio do bot

Identidade no Discord

ID numérico, nome de usuário e avatar, recebidos quando o cliente interage com o bot no servidor da loja.

Nick no Roblox

Nome de usuário no Roblox informado pelo cliente para receber os itens.

Pedidos e carrinho

Itens, valores, cupons, datas e situação de cada pedido; mensagens trocadas no ticket de compra.

Dados do pagamento

Nome e CPF ou CNPJ do pagador do Pix e identificador da transação, conforme devolvidos pelo Mercado Pago, Inter ou Efí; comprovantes enviados pelo cliente quando o Pix é confirmado manualmente.

Prova de entrega

Registro da entrega no jogo (data, hora, conta entregadora e, quando houver, captura de tela), para o dossiê da Proteção MED.

Perfil e ranking

Total de compras, cargo de fidelidade e posição no ranking da loja, calculados a partir dos pedidos.

1. Não coletamos e-mail, telefone, endereço, dados bancários, mensagens privadas do Discord nem lista de amigos. Não acessamos a conta Roblox de ninguém.
2. Não tratamos dados pessoais sensíveis (artigo 5º, II, da LGPD). Se algum aparecer em mensagem de ticket, ele é tratado apenas como parte do registro da conversa e apagado com ele.

Para que usamos cada dado

Cada dado tem um motivo. Não existe "coleta por via das dúvidas" nem uso para publicidade.

1. Fazer a conta e a loja funcionarem: identificar você no login, mostrar os seus servidores, criar a loja no endereço escolhido, ligar o bot ao servidor certo.
2. Cobrar e confirmar pagamentos: gerar o Pix do plano, confirmar o pagamento pelo Mercado Pago, controlar a validade da assinatura; na loja, gerar o Pix dos pedidos e confirmar o pagamento pelo meio escolhido pelo Lojista.
3. Entregar e atender: saber para qual conta Roblox entregar, registrar a entrega, manter o histórico do ticket para o Lojista atender reclamações.
4. Proteção MED: reunir, para cada venda, quem pagou, o que aceitou e o que recebeu, de modo que o Lojista possa responder a uma contestação de Pix (Mecanismo Especial de Devolução) ou a uma reclamação de consumidor.
5. Perfil, cargos e ranking: calcular o nível de fidelidade e a posição do cliente dentro da loja, quando o Lojista ativa esses recursos.
6. Segurança e cumprimento legal: detectar abuso, fraude e ataques; guardar registros de acesso pelo prazo que o Marco Civil exige; responder a ordens de autoridade competente.
7. Avisos do serviço: comunicar vencimento da assinatura, manutenções e mudanças relevantes, pelo Discord. Não enviamos marketing.

Base legal

A LGPD exige que cada uso tenha um fundamento. Os nossos são estes.

1. Execução de contrato (art. 7º, V): dados da conta, da assinatura, dos pedidos, do pagamento e da entrega. Sem eles, o serviço não existe.
2. Exercício regular de direitos (art. 7º, VI): o dossiê da Proteção MED, guardado para o Lojista se defender em contestações de Pix e reclamações.
3. Cumprimento de obrigação legal (art. 7º, II): registros de acesso (Marco Civil, art. 15) e dados de pagamento exigidos pela legislação fiscal.
4. Legítimo interesse (art. 7º, IX): prevenção a fraude, segurança do serviço e estatísticas internas agregadas, sempre sem identificar pessoas.
5. Consentimento (art. 7º, I): só para o que for opcional e não estiver coberto pelas bases acima, com possibilidade de revogação a qualquer momento.

Por quanto tempo guardamos

Dados da loja ficam enquanto a loja existe, mais um prazo de graça para você renovar. O dossiê MED dura 6 meses, que é o tempo útil para contestar um Pix. Registros de acesso seguem o prazo do Marco Civil.

1. Conta do Lojista: enquanto existir uma loja ativa ou em pausa ligada a ela. Após a exclusão da última loja, a conta é apagada em até 30 (trinta) dias, salvo pedido de manutenção.
2. Dados da loja (catálogo, pedidos, clientes, configurações, chave Pix): enquanto a assinatura estiver ativa e, após o vencimento, pelo prazo de pausa de 30 (trinta) dias. Depois disso são apagados de forma definitiva.
3. Dossiê da Proteção MED: 6 (seis) meses a contar da confirmação do pagamento de cada pedido. Depois, é apagado automaticamente, salvo contestação em andamento comunicada pelo Lojista ou ordem legal.
4. Registros de acesso ao site e ao painel (IP, data e hora): 6 (seis) meses, conforme o artigo 15 do Marco Civil da Internet.
5. Dados dos pagamentos do plano (valor, data, identificação do pagador): 5 (cinco) anos, pelo prazo da legislação fiscal e prescricional.
6. Sessões de login: expiram sozinhas em até 7 (sete) dias sem uso; sair da conta encerra a sessão na hora.
7. Cópias de segurança cifradas podem manter dados já apagados por até 30 (trinta) dias adicionais, até serem sobrescritas.

Com quem compartilhamos

Com ninguém que não precise. As empresas abaixo são as que fazem o serviço rodar: pagamento, login, rede e hospedagem. Nenhuma delas recebe dados para anunciar ou para vender.

Mercado Pago

Processa o pagamento do plano e, quando o Lojista escolhe, os Pix dos pedidos. Recebe valor e descrição; nos devolve a confirmação e os dados do pagador. Política própria do Mercado Pago se aplica à conta dele.

Banco Inter e Efí

Alternativas de Pix escolhidas pelo Lojista para a loja. A relação é entre o Lojista e o banco; o bot só consulta a confirmação do pagamento com as credenciais do Lojista.

Discord

Faz o login (OAuth) e é a plataforma onde o bot opera. Mensagens enviadas pelo bot ficam nos servidores do Discord, sob a política do Discord.

Cloudflare

Rede de entrega, proteção contra ataques e certificados HTTPS. Vê o tráfego em trânsito, como qualquer provedor de rede, e endereços IP.

Hostinger

Servidor onde o bot, o painel e os bancos de dados ficam hospedados, em data center sob contrato com cláusulas de confidencialidade.

1. Esses prestadores atuam como operadores ou como controladores independentes nos limites da função deles, e recebem apenas o necessário para executá-la.
2. Alguns prestadores têm servidores fora do Brasil. A transferência internacional ocorre com base em cláusulas contratuais e nas garantias previstas no artigo 33 da LGPD.
3. Podemos compartilhar dados com autoridades públicas quando houver ordem judicial ou obrigação legal, informando o titular sempre que a lei permitir.
4. Não vendemos, não alugamos e não cedemos dados pessoais a terceiros para fins comerciais, de publicidade ou de enriquecimento de bases de dados.
5. O Lojista, por ser o controlador dos dados dos próprios clientes, tem acesso a eles no painel e responde pelo uso que faz deles fora do bot.

Como protegemos

Cada loja tem o próprio banco de dados, separado dos outros. Chave Pix e tokens ficam cifrados. Tudo passa por HTTPS. Não existe senha para vazar, porque o login é pelo Discord.

1. Isolamento por loja: os dados de cada loja ficam em banco de dados próprio. Uma loja não consegue ler os dados de outra, nem por falha de configuração.
2. Cifra de segredos: chave Pix, credenciais do Mercado Pago, Inter e Efí e tokens de integração são guardados cifrados com chave mestra mantida fora do banco de dados.
3. Transporte: todo acesso ao site, ao painel e às APIs é feito por HTTPS. Cookies de sessão são HttpOnly, Secure e restritos ao domínio.
4. Defesas do servidor: política de segurança de conteúdo (CSP), limite de requisições, validação de corpo, cabeçalhos de segurança e registro de ações administrativas.
5. Acesso interno: restrito às pessoas que mantêm o serviço, por chave criptográfica, e apenas para operação e suporte.
6. Cópias de segurança: diárias e cifradas.
7. Nenhum sistema é inviolável. Em caso de incidente de segurança que possa causar risco ou dano relevante aos titulares, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os Lojistas afetados, conforme o artigo 48 da LGPD, e ajudaremos o Lojista a informar os clientes dele.

Seus direitos e como exercê-los

Você pode pedir para ver o que temos, corrigir, apagar ou levar os seus dados. Lojista pede direto para a gente. Cliente de uma loja pede primeiro ao lojista, que tem os dados no painel; se não resolver, fala com a gente.

1. Nos termos do artigo 18 da LGPD, o titular pode: confirmar que tratamos os seus dados; acessá-los; corrigir dados incompletos, inexatos ou desatualizados; pedir anonimização, bloqueio ou eliminação do que for desnecessário ou excessivo; pedir a portabilidade; saber com quem compartilhamos; revogar consentimento; e se opor a tratamento feito com base em outra hipótese legal, quando houver descumprimento da lei.
2. O Lojista exerce esses direitos pelo painel (exportação e exclusão da loja) ou pelo nosso suporte no Discord.
3. O Cliente do Lojista exerce esses direitos perante o Lojista, que é o controlador e tem acesso aos dados no painel. Se o Lojista não responder ou a loja já tiver sido encerrada, o cliente pode nos procurar diretamente.
4. Respondemos a pedidos em até 15 (quinze) dias. Podemos pedir informações para confirmar que quem pede é o titular, usando a própria conta do Discord como meio de verificação.
5. Alguns dados não podem ser apagados antes do prazo legal: registros de acesso, dados fiscais do plano e o dossiê MED durante contestação em andamento. Nesses casos, informaremos o motivo e a data prevista de exclusão.
6. O titular pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) a qualquer momento.

Cookies

Usamos só o que a página precisa para saber que você está logado e para lembrar o tema claro ou escuro. Nada de Google Analytics, pixel do Facebook ou cookie de anúncio.

1. Cookie de sessão: identifica a sua sessão depois do login com o Discord. Estritamente necessário; expira em até 7 (sete) dias ou ao sair.
2. Cookie de estado do login: usado durante o login para impedir que outro site inicie um login em seu nome (proteção contra CSRF). Dura alguns minutos.
3. Preferência de tema: guardada no armazenamento local do navegador (localStorage), sem ser enviada ao servidor. Pode ser apagada limpando os dados do site.
4. Não usamos cookies de terceiros, rastreadores, pixels de publicidade ou ferramentas de análise de comportamento. Por isso não há banner de cookies: não há nada opcional para aceitar ou recusar.

Menores de idade

O Mystic Bot é um serviço para quem tem 18 anos ou mais. Sabemos que muita gente que joga MM2 é mais nova, e o bot pode acabar atendendo a um cliente menor dentro da loja. Quem responde por essa venda é o lojista.

1. A conta de Lojista só pode ser criada por pessoa com 18 (dezoito) anos completos. Se identificarmos conta de menor de idade, ela será encerrada e os dados apagados.
2. O Lojista é responsável por respeitar as regras do Discord e do Roblox sobre idade mínima no seu servidor e por avaliar, como controlador, o tratamento de dados de crianças e adolescentes entre os seus clientes, nos termos do artigo 14 da LGPD.
3. Tratamos os dados dos Clientes do Lojista sempre no melhor interesse deles, limitados ao necessário para a compra, a entrega e a proteção contra fraude, e nunca para perfilamento ou publicidade.
4. Responsáveis legais podem pedir acesso ou exclusão dos dados de um menor diretamente ao Lojista ou a nós.

Encarregado e contato

Toda pergunta sobre dados pode ser feita no nosso servidor do Discord, em um ticket privado. É por lá que o encarregado pelo tratamento de dados responde.

1. O encarregado pelo tratamento de dados pessoais (artigo 41 da LGPD) é o responsável pela Mystic Bot, que pode ser contatado pelo servidor de suporte no Discord, em canal de ticket privado.
2. Ao abrir o pedido, informe se você é Lojista ou cliente de uma loja e, neste caso, qual loja. Isso acelera a resposta e evita que dados de outra pessoa sejam expostos.

Mudanças nesta política

Se a gente passar a tratar um dado novo ou mudar um prazo, esta página muda e você é avisado. Mudança que amplie o uso dos dados nunca vale para trás.

1. Esta Política pode ser atualizada para refletir mudanças no serviço, na lei ou nas nossas práticas. A versão vigente, com a data de início, fica sempre publicada nesta página.
2. Mudanças relevantes serão comunicadas aos Lojistas pelo Discord e pelo painel com antecedência mínima de 15 (quinze) dias. Cabe ao Lojista repassá-las aos seus clientes quando as afetarem.
3. Nenhuma nova finalidade será aplicada a dados já coletados sem base legal própria ou, quando exigido, sem consentimento específico.