Legal
Política de Privacidade
Tratamento de Dados Pessoais · LGPD (Lei nº 13.709/2018) · Versão 2.0
Esta Política de Privacidade descreve como a SGA — Star Grading Authenticator coleta, usa, compartilha, armazena e protege seus dados pessoais, em conformidade com a LGPD (Lei nº 13.709/2018), o Marco Civil da Internet (Lei nº 12.965/2014) e as resoluções da Autoridade Nacional de Proteção de Dados (ANPD). Ao utilizar o portal ou qualquer serviço da SGA, você declara ciência das práticas descritas neste documento.
1. Quem é o controlador e como falar conosco
A SGA — Star Grading Authenticator, responsável pelo portal stargrading.com.br e pelos serviços de autenticação, graduação, encapsulamento e certificação de cartas colecionáveis, atua como controladora dos dados pessoais tratados nessas atividades.
Para dúvidas, solicitações relacionadas à LGPD ou exercício de direitos, utilize o e-mail contato@stargrading.com.br, com o assunto "Privacidade/LGPD", ou o formulário disponível no portal.
A SGA manterá canal acessível aos titulares. Caso seja formalmente indicado um Encarregado pelo Tratamento de Dados Pessoais, sua identidade e seus dados de contato serão divulgados nesta Política e no portal, conforme a legislação aplicável.
2. A quem esta Política se aplica
Esta Política se aplica a visitantes do portal, participantes de pré-cadastro e campanhas, usuários cadastrados, clientes, representantes de pessoas jurídicas, remetentes e destinatários de itens, pessoas que entram em contato com o suporte e demais titulares cujos dados sejam tratados pela SGA.
3. Quais dados pessoais podemos tratar
3.1. Pré-cadastro, campanhas e comunicações
- Nome, e-mail, telefone e/ou WhatsApp, quando informados.
- Preferências de comunicação, origem do cadastro, campanha relacionada e registros de consentimento, descadastro ou oposição.
3.2. Conta e autenticação
- Nome, e-mail, telefone e credenciais de acesso.
- Hash de senha, identificadores de autenticação, registros de login, data, hora, endereço IP, origem do acesso e versão dos documentos aceitos.
- Quando o login social for utilizado, identificadores fornecidos pelo provedor de autenticação, como Google, de acordo com a escolha do usuário.
3.3. Contratação, pagamento e logística
- CPF ou CNPJ, quando necessário para contratação, faturamento ou obrigações fiscais.
- Endereço de cobrança e entrega, dados de contato, instruções de envio e informações de rastreamento.
- Dados da transação, valor, meio de pagamento, status e identificadores do processador de pagamento. A SGA não precisa armazenar o número completo do cartão quando o pagamento é processado por provedor especializado.
3.4. Itens submetidos, graduação e certificado
- Descrição do item, jogo, coleção, edição, ano, número, idioma, valor declarado e observações informadas pelo usuário.
- Fotografias e vídeos operacionais do recebimento, abertura da embalagem, frente, verso, bordas, cantos e superfície do item.
- Relatório técnico, subnotas, nota final, resultado de autenticação, número de certificado, imagens do item e histórico do processamento.
3.5. Atendimento e suporte
- Conteúdo de mensagens, solicitações, reclamações, documentos enviados e histórico de atendimento.
- Metadados necessários para segurança, autenticação do solicitante e comprovação do atendimento.
3.6. Dados técnicos e de navegação
- Endereço IP, data e hora de acesso, navegador, sistema operacional, tipo de dispositivo, páginas acessadas e eventos de segurança.
- Cookies, identificadores e dados de uso, conforme a Seção 11 desta Política.
4. De onde obtemos os dados
- Diretamente do titular, durante pré-cadastro, cadastro, contratação, submissão, suporte ou exercício de direitos.
- De representantes, remetentes ou destinatários autorizados pelo titular.
- De provedores de autenticação, pagamento, logística e tecnologia, dentro das finalidades necessárias ao serviço.
- Automaticamente, por meio de registros técnicos e cookies, respeitadas as preferências aplicáveis.
5. Finalidades e bases legais
| Tratamento | Finalidade | Base legal principal |
|---|---|---|
| Pré-cadastro e marketing | Gerenciar a inscrição, enviar novidades, convites e campanhas. | Consentimento, quando exigido. O titular pode revogar ou se descadastrar a qualquer momento. |
| Conta e autenticação | Criar e proteger a conta, autenticar acessos e manter registros de aceite. | Procedimentos preliminares e execução de contrato; legítimo interesse para segurança, quando aplicável. |
| Pedidos e logística | Processar submissões, receber, guardar, graduar, encapsular e devolver itens. | Execução de contrato e procedimentos preliminares. |
| Pagamento e obrigações fiscais | Processar pagamentos, emitir documentos fiscais, prevenir fraude e manter registros obrigatórios. | Execução de contrato, obrigação legal e legítimo interesse para prevenção de fraude. |
| Comunicações do serviço | Informar status, prazos, pendências, entrega e segurança da conta. | Execução de contrato. Essas mensagens não são marketing. |
| Graduação e certificado | Produzir laudo, nota, imagens técnicas e certificado verificável. | Execução de contrato. |
| Certificado público mínimo | Permitir verificação de autenticidade e integridade do certificado. | Execução de contrato, com minimização e separação dos dados da conta. |
| Suporte e direitos | Responder solicitações, reclamações e pedidos de titulares. | Execução de contrato, obrigação legal e exercício regular de direitos. |
| Segurança e fraude | Detectar acessos indevidos, abuso, fraude e incidentes. | Legítimo interesse, observado teste de necessidade, balanceamento e salvaguardas. |
| Analytics não essencial | Medir desempenho e melhorar o portal por identificadores não necessários. | Consentimento, quando aplicável. |
6. Certificado, QR Code e Pop Report
A consulta pública do certificado deve conter somente o necessário para verificar o item e a graduação. A SGA não deve publicar nome do cliente, e-mail, telefone, endereço, número do pedido, dados de pagamento, rastreamento, valor declarado, conversas de suporte ou identificadores internos da conta.
O registro público poderá apresentar:
- Identificador de certificado não previsível e resistente a enumeração simples.
- Descrição técnica do item, coleção, edição, ano, idioma e numeração.
- Resultado de autenticação, nota, subnotas e datas estritamente necessárias.
- Imagens do item sem metadados desnecessários, como localização ou dados EXIF.
A existência de um certificado público não comprova quem é o atual proprietário do item. Dados da conta e do pedido serão mantidos separados do registro público.
7. Com quem compartilhamos dados
| Categoria | Destinatário | Dados e finalidade |
|---|---|---|
| Autenticação social | Provedor escolhido pelo usuário, como Google. | Identificador, nome e e-mail necessários ao login. |
| Infraestrutura e banco de dados | Provedores de hospedagem, autenticação, banco de dados, armazenamento e monitoramento. | Dados de conta, pedido, registros técnicos e conteúdo necessário à operação. |
| Pagamento | Instituição ou gateway exibido no checkout. | Identificação, valor, status da transação e dados exigidos pelo meio de pagamento. |
| Logística | Correios, transportadoras, integradores de frete e seguradoras selecionados. | Nome, endereço, contato, valor declarado e dados do envio. |
| Comunicações e suporte | Provedores de e-mail, mensagens e atendimento. | Dados de contato e conteúdo necessário à comunicação. |
| Contabilidade, jurídico e auditoria | Prestadores sujeitos a confidencialidade. | Dados estritamente necessários a obrigações e defesa de direitos. |
| Autoridades | Órgãos públicos, reguladores e Judiciário. | Somente quando houver obrigação legal, ordem válida ou necessidade de exercício de direitos. |
A SGA não vende dados pessoais. Fornecedores devem receber apenas os dados necessários e estar sujeitos a obrigações contratuais de confidencialidade, segurança, cooperação, descarte e comunicação de incidentes.
8. Transferência internacional de dados
Alguns fornecedores de tecnologia, autenticação, armazenamento, comunicação ou suporte podem tratar dados fora do Brasil. Antes de realizar essas transferências, a SGA deverá mapear os países e suboperadores envolvidos e adotar mecanismo válido previsto na LGPD e no Regulamento de Transferência Internacional de Dados da ANPD.
- Decisão de adequação reconhecida pela ANPD, quando existente.
- Cláusulas-padrão contratuais da ANPD incorporadas aos contratos aplicáveis.
- Outro mecanismo previsto nos arts. 33 a 36 da LGPD e regulamentado pela ANPD.
Informações sobre categorias de fornecedores, países ou regiões de tratamento e mecanismo utilizado poderão ser solicitadas pelo canal de privacidade, observados segredos comercial e industrial.
9. Por quanto tempo mantemos os dados
| Categoria | Critério de retenção |
|---|---|
| Pré-cadastro e marketing | Até a revogação do consentimento ou 24 meses sem interação. Registro mínimo de descadastro poderá ser mantido por até 5 anos para evitar novo envio indevido. |
| Conta e registros de aceite | Enquanto a conta estiver ativa e, em regra, por até 5 anos após o encerramento ou a última relação contratual, salvo obrigação ou prazo superior aplicável. |
| Pedidos, cobrança, fiscal e logística | Pelo prazo necessário à execução e pelos períodos legais e prescricionais aplicáveis, normalmente até 5 anos, sem prejuízo de prazos específicos. |
| Fotos de abertura e recebimento | Em regra, por 180 dias após a confirmação de entrega ao cliente, prorrogáveis enquanto houver reclamação, investigação ou litígio. |
| Imagens técnicas e relatório de graduação | Em regra, por até 5 anos após a conclusão; depois, exclusão ou anonimização, salvo necessidade justificada e documentada. |
| Registro público mínimo do certificado | Enquanto o certificado permanecer válido, com revisão periódica de necessidade e sem vinculação pública ao cliente ou ao pedido. |
| Atendimento e suporte | Em regra, por até 5 anos após o encerramento da solicitação, conforme necessidade de prova e exercício de direitos. |
| Logs de acesso à aplicação | Pelo prazo legal aplicável, em regra 6 meses, ressalvadas ordens de preservação e necessidades de segurança devidamente justificadas. |
Os prazos podem ser reduzidos quando os dados deixarem de ser necessários ou ampliados quando houver obrigação legal, ordem de autoridade, prevenção de fraude, incidente ou exercício regular de direitos. Dados em backups ficam sujeitos ao ciclo técnico de sobrescrita e não devem ser reutilizados para finalidades incompatíveis.
10. Segurança e incidentes
A SGA adota medidas técnicas e administrativas proporcionais aos riscos e à natureza dos dados tratados. Essas medidas podem incluir criptografia em trânsito, controle de acesso, autenticação multifator em acessos administrativos, segregação de funções, gestão de credenciais, registros de auditoria, backups, atualização de sistemas e procedimentos de resposta a incidentes.
Nenhum sistema é absolutamente seguro. Em caso de incidente que possa acarretar risco ou dano relevante aos titulares, a SGA realizará avaliação, registro e comunicação à ANPD e aos titulares afetados no prazo regulamentar aplicável, atualmente de 3 dias úteis, ressalvada legislação específica.
11. Cookies e tecnologias semelhantes
Cookies necessários podem ser usados para funções essenciais, como segurança, autenticação, manutenção de sessão e preferências indispensáveis. Cookies analíticos, funcionais não essenciais, publicidade ou terceiros permanecerão desativados por padrão quando dependerem de consentimento.
- O banner deve oferecer "Aceitar", "Rejeitar não necessários" e "Gerenciar preferências" com destaque equivalente.
- O usuário poderá escolher por categoria e reabrir suas preferências a qualquer momento.
- A lista atualizada deverá indicar nome, provedor, categoria, finalidade, duração e eventual transferência internacional de cada cookie.
A recusa de cookies não necessários não impede o uso das funções essenciais do portal.
12. Direitos dos titulares
- Confirmação da existência de tratamento e acesso aos dados.
- Correção de dados incompletos, inexatos ou desatualizados.
- Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade.
- Portabilidade, conforme regulamentação e observados segredos comercial e industrial.
- Informação sobre entidades públicas e privadas com as quais houve compartilhamento.
- Informação sobre a possibilidade de não consentir e as consequências da negativa.
- Revogação do consentimento e eliminação dos dados tratados com essa base, ressalvadas as hipóteses legais de conservação.
- Oposição a tratamento realizado sem consentimento, em caso de descumprimento da LGPD.
- Revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, quando aplicável.
Pedidos são gratuitos e podem exigir verificação razoável de identidade. A confirmação e o acesso em formato simplificado serão providenciados imediatamente quando possível; a declaração completa de acesso será fornecida em até 15 dias. Para os demais direitos, a SGA adotará providências sem demora indevida ou informará as razões de fato ou de direito que impeçam o atendimento imediato.
O pedido deve ser enviado a contato@stargrading.com.br, com o assunto "Privacidade/LGPD". Respostas que contenham dados pessoais serão entregues por canal seguro.
13. Marketing e uso promocional de imagens
O envio de marketing e o uso promocional de imagens dos itens são finalidades opcionais e não condicionam a contratação do serviço.
- Marketing: depende de consentimento específico quando essa for a base aplicável, com descadastro fácil em cada mensagem.
- Imagens para execução do serviço e certificado: podem ser tratadas por serem necessárias à contratação.
- Imagens para redes sociais, publicidade, portfólio ou campanhas: dependem de autorização separada, granular e revogável.
A revogação não afeta tratamentos anteriores realizados de forma válida, mas interrompe novos usos promocionais dentro de prazo operacional razoável.
14. Crianças e adolescentes
O cadastro, a contratação e a submissão de itens são destinados a pessoas com 18 anos ou mais. Pais ou responsáveis que desejem contratar em benefício de menor devem criar a conta e realizar a contratação em seu próprio nome.
A SGA não pretende realizar perfilamento, publicidade comportamental ou tratamento de dados de crianças e adolescentes para contratação direta. Se identificarmos conta criada por menor sem representação adequada, poderemos suspender o acesso e eliminar os dados, ressalvadas obrigações legais e a proteção do melhor interesse do menor.
15. Alterações, versões e vigência
Cada versão desta Política será identificada por número, data de atualização e data de vigência. Alterações relevantes serão comunicadas de forma adequada. Mudanças que dependam de consentimento gerarão nova solicitação, e alterações contratuais materiais poderão exigir novo aceite dos Termos de Uso.
Versões anteriores deverão ser arquivadas para fins de transparência e comprovação.
16. Contato e petição à ANPD
Canal de privacidade: contato@stargrading.com.br, com o assunto "Privacidade/LGPD". Portal: stargrading.com.br.
Caso o titular considere que sua solicitação não foi solucionada adequadamente, poderá peticionar à Autoridade Nacional de Proteção de Dados, observados os canais e requisitos definidos pela ANPD.
Referências legais e regulatórias
- Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais (LGPD).
- Lei nº 12.965/2014 — Marco Civil da Internet.
- Resolução CD/ANPD nº 15/2024 — Comunicação de Incidente de Segurança.
- Resolução CD/ANPD nº 18/2024 — Atuação do Encarregado pelo Tratamento de Dados Pessoais.
- Resolução CD/ANPD nº 19/2024 — Transferência Internacional de Dados.
- Guias da ANPD sobre cookies, legítimo interesse e direitos dos titulares.
- Lei nº 15.211/2025 — Estatuto Digital da Criança e do Adolescente, quando aplicável.
SGA — Star Grading Authenticator · stargrading.com.br. Documento sujeito a revisão jurídica antes de entrar em vigência.