Política de Privacidade

1. Quem é o responsável

O controlador de https://dryrel.com ("DryreL Hub", "nós") pode ser contatado em [email protected]. O aviso legal (Impressum) traz todos os dados do fornecedor.

2. O que coletamos e por quê

Coletamos dados de três formas: o que você mesmo informa (conta, pedido, avaliação, contato), o que seu navegador envia automaticamente quando uma página carrega e o que nosso provedor de pagamento nos informa sobre seu pedido. Não vendemos seus dados pessoais nem os compartilhamos para publicidade. Eles vão apenas para os prestadores de serviço citados na seção 4, para fazer o trabalho descrito aqui.

2.1 Visitar o site

O site é hospedado no GitHub Pages e entregue pela Cloudflare. Quando você abre uma página, esses provedores tratam seu endereço IP e dados do navegador para entregar a página e protegê-la de ataques. Não usamos rastreadores de publicidade. Para saber quantas pessoas visitam e quais páginas leem, usamos o Cloudflare Web Analytics, um serviço sem cookies: não grava cookies, não armazena nada no seu dispositivo, não cria perfis e não segue você entre sites. Ele conta visualizações de página e informa números como página, origem, país, navegador e tipo de dispositivo; seu endereço IP é usado só para gerar esses números e não é armazenado por nós. Base legal: nosso interesse legítimo em entender e melhorar o site (art. 6(1)(f) RGPD).

As páginas usam as fontes Archivo e Outfit, hospedadas por nós, então seu navegador não contata o Google nem outro provedor de fontes para elas. Uma biblioteca de scripts (usada para o login) é carregada da CDN jsDelivr, então esse provedor recebe seu endereço IP. As fontes que você escolhe no personalizador de artworks vêm pelo nosso próprio servidor, então seu navegador não contata o Google para elas.

2.2 Conta

Se você se cadastrar, armazenamos seu e-mail, um nome de exibição, uma senha (guardada apenas como hash pelo nosso provedor de autenticação) e um código de convite para indicações. Se você se cadastra com o código de um amigo, ou convida um amigo, registramos essa ligação para dar os cupons. Base legal: execução do contrato com você (art. 6(1)(b)).

Para avisar sobre logins desconhecidos, guardamos, por conta, hashes com sal de até 20 endereços de rede de onde você entrou (não os endereços em si) e enviamos um e-mail quando aparece um novo. Base legal: nosso interesse legítimo na segurança da conta (art. 6(1)(f)).

Por padrão, sua foto de perfil é sua inicial. Só se você escolher "Usar meu Gravatar" nas configurações seu navegador envia um hash do seu e-mail ao Gravatar para carregar sua foto de lá.

2.3 Pedidos

Para cada pedido armazenamos: o produto, o preço, a moeda, o status e as datas; as opções escolhidas (como nome, moldura, cores, fontes); o link do seu perfil da Steam e o do fundo; um arquivo de fonte, se você enviar um; e o momento em que você concordou com a entrega imediata. Em presentes guardamos também o e-mail do destinatário, seu nome e sua mensagem. Os arquivos prontos ficam guardados por 7 dias e são gerados de novo se você baixar depois. Base legal: contrato (art. 6(1)(b)) e obrigações legais de guarda (art. 6(1)(c)).

2.4 Pagamento

Preços regionais. Quando você se cadastra e quando visita a loja, verificamos o país da sua conexão: seu endereço IP é enviado a um serviço de geo-IP (geojs.io, ou api.country.is se o primeiro não responder), que devolve só o país. Para membros, guardamos esse país na conta (com a data) e o usamos para dar o preço regional; visitantes sem login veem os preços do país de onde se conectam. O país da conexão fica guardado com o pedido como registro contra abusos (art. 6(1)(f) RGPD). O endereço IP em si não é armazenado para isso.

Os pagamentos são feitos pelo Buy Me a Coffee, que usa o Stripe para processar pagamentos com cartão, Apple Pay e Google Pay. Você paga na própria página do Buy Me a Coffee (abre em uma nova aba); Buy Me a Coffee e Stripe coletam seus dados de pagamento e são controladores independentes, veja as políticas de privacidade deles. Nunca vemos os dados do seu cartão ou banco. O Buy Me a Coffee nos mostra o nome do pagador, o e-mail, o número da transação, o valor e o código do pedido que você informa; usamos isso só para associar o pagamento ao seu pedido, tratar reembolsos e cumprir obrigações legais de registro (art. 6(1)(b) e (c) RGPD). Se mudarmos de provedor de pagamento, o mesmo vale para o novo.

2.5 Avaliações

Se você escrever uma avaliação, publicamos sua nota, seu texto e seu nome de exibição ao lado do artwork. Avaliações de compradores mostram "Compra verificada". Você pode editar ou apagar sua avaliação.

2.6 E-mails

Enviamos e-mails de conta e de pedidos (confirmação do pedido, artwork pronto, redefinição de senha, alertas de login) e e-mails de presente pelo Resend. São mensagens de serviço, não de marketing. Não temos newsletter.

Lista de espera. Na página de um produto marcado como "Ainda não lançado" você pode entrar na lista de espera dele. Com login, um clique usa o e-mail da sua conta; sem login, você informa um e-mail e o confirma pelo link que enviamos (confirmação dupla). Guardamos o produto, o e-mail, o ID da sua conta (se logado), um token aleatório para os links e a data da confirmação. Usamos isso só para mandar e-mails sobre esse produto (lançamento e grandes atualizações), pelo Resend. Todo e-mail tem um link para sair da lista, e membros logados podem sair pela página do produto a qualquer momento. Base legal: seu consentimento (art. 6(1)(a) RGPD), que você pode retirar a qualquer momento. Apagamos o registro quando você sai, quando apaga sua conta ou quando o produto é lançado e o último e-mail é enviado.

2.7 Formulário de contato

O formulário da página de contato não envia sua mensagem aos nossos servidores. Ele abre seu próprio app de e-mail com uma mensagem já preenchida para nós, e nada é enviado até você tocar em Enviar lá. Usamos o que você escreve só para responder.

2.8 Renders personalizados

Pedidos com nome ou visual próprio são renderizados automaticamente no GitHub Actions. Os logs de build mostram só números de pedido. Para colocar seu artwork sobre seu fundo da Steam, buscamos o fundo que você indicou.

2.9 Ferramentas da Steam (prévia do perfil e fundos)

Quando você cola o link de um perfil da Steam na prévia do perfil (ou usa "Ver no meu perfil da Steam" na página de um artwork), nossa função de servidor pede à Steam os dados públicos desse perfil (nome, avatar, nível, números do perfil, itens equipados) e os repassa ao seu navegador; não os armazenamos. Seu navegador guarda o último link no localStorage para que a página mostre seu perfil na próxima vez; apague-o no navegador para removê-lo. Fundos, avatares e itens são carregados direto dos servidores da Steam (Valve), que recebem seu endereço IP. As imagens que você escolhe em "Minhas imagens" e as peças que o recortador gera nunca saem do seu navegador. O codificador de GIF é carregado do jsDelivr quando você baixa um fundo animado. Base legal: nosso interesse legítimo em oferecer a ferramenta que você usa (art. 6(1)(f) RGPD).

3. Cookies e armazenamento local

Não gravamos cookies nem usamos tecnologia de rastreamento ou publicidade, então não há banner de cookies. Quando você entra, nossa biblioteca de autenticação guarda seu token de sessão no localStorage do navegador; ele é necessário para manter você conectado e é removido quando você sai. A prévia do perfil da Steam guarda o último link de perfil que você digitou (veja 2.9). Os terceiros citados acima (jsDelivr, Gravatar, as páginas de pagamento do Buy Me a Coffee e do Stripe, que gravam os próprios cookies nas páginas deles, Steam) podem receber dados técnicos do seu navegador quando o conteúdo deles é carregado.

4. Onde os dados ficam e quem os recebe

• Supabase (banco de dados, login, armazenamento de arquivos), região: UE Norte (Estocolmo, Suécia)
• GitHub (hospedagem do site, tarefas de render) e Cloudflare (DNS, entrega e Web Analytics sem cookies)
• Buy Me a Coffee e Stripe (pagamento), Resend (e-mail), Google Fonts, jsDelivr, Gravatar, Steam (Valve: fundos, avatares e itens nas ferramentas da Steam e nas prévias de artworks)

Nossos dados ficam nos servidores da Supabase na UE (Estocolmo) e nos servidores do GitHub. Nós, o controlador, estamos na Turquia e podemos acessá-los de lá. Alguns dos provedores acima estão nos Estados Unidos ou podem tratar dados lá. Nesses casos, contamos com o EU–US Data Privacy Framework ou com cláusulas contratuais padrão. Nosso site também tem links para Discord, X e YouTube; eles têm suas próprias políticas de privacidade e não somos responsáveis por elas.

5. Por quanto tempo guardamos os dados

• Dados da conta: até você apagar sua conta.
• Registros de pedidos: pelo tempo que a lei exige para fins fiscais e contábeis (na Turquia e, onde se aplica, na UE, até 10 anos); o resto é apagado com sua conta.
• Arquivos renderizados: apagados 7 dias após a entrega.
• Logs de servidor dos nossos provedores de hospedagem: conforme definido por esses provedores.

6. Seus direitos

Pelo RGPD (e, na Turquia, pela KVKK) você pode pedir acesso, correção, exclusão, limitação e uma cópia dos seus dados (portabilidade), e se opor ao tratamento baseado em interesse legítimo. Você pode retirar o consentimento a qualquer momento. Também pode reclamar a uma autoridade de proteção de dados, por exemplo a do seu país, ou na Turquia ao Conselho da KVKK. Você mesmo pode apagar sua conta em Configurações → Excluir conta (confirmado por um link no e-mail); os registros de pedidos ficam então sem qualquer ligação com você, como descrito na seção 5. Para todo o resto, escreva para [email protected]. Respondemos em até um mês. Não nomeamos um encarregado de proteção de dados.

7. Segurança

Todo o tráfego usa HTTPS. Os dados dos clientes são protegidos por regras de acesso por linha no nosso banco de dados, então um membro logado só lê os próprios pedidos e arquivos. Os downloads usam links de curta duração. Guardamos nossas chaves secretas só no servidor.

8. Crianças

A loja é para adultos e para menores com consentimento dos pais, quando a lei exige. Não coletamos conscientemente dados de menores de 16. Se você acha que uma criança nos deu dados, fale conosco e vamos apagá-los.

9. Alterações

Atualizamos esta política quando o site muda. A versão atual está sempre nesta página, com a data. Se uma mudança for significativa, avisaremos os titulares de conta por e-mail.

Esta política é regida pelas leis da Turquia. Os direitos obrigatórios de consumidor e de proteção de dados do seu país de residência não são afetados.