← rally.football
Política de Privacidade — Rally
Última atualização: 16 de outubro de 2026
1. Quem trata os seus dados
BSantos Tecnologia LTDA é a controladora dos dados pessoais tratados no Rally (rally.football, app.rally.football e os aplicativos para iOS e Android). Encarregado (DPO): dpo@rally.football. Contato: contato@rally.football.
Esta política segue a Lei Geral de Proteção de Dados (Lei 13.709/2018).
2. Quais dados coletamos, para quê e com que base legal
| Dado | Quando | Finalidade | Base legal |
|---|---|---|---|
| E-mail e identificador do provedor de login (Google, Apple ou e-mail) | Ao criar a conta | Autenticar e recuperar o acesso | Execução de contrato |
| Apelido e avatar gerado | Ao criar a conta | Identificar você no jogo, no perfil público e nos rankings | Execução de contrato |
| Aceite dos Termos e da política, com data e hora | No cadastro | Provar o aceite | Execução de contrato |
| Operações no jogo: posições, resgates, cotas, elencos, saldo em FUTC | Ao usar | Operar o jogo, calcular rankings e ligas, auditoria | Execução de contrato |
| Mensagens nas salas de conversa | Ao enviar | Exibir a conversa aos demais participantes | Execução de contrato |
| A conta que convidou você, quando existe (o link de convite que você abriu, ou a liga de um amigo em que você entrou nos primeiros 7 dias da sua conta) | Ao criar a conta ou ao entrar na primeira liga | Medir convites e entender como as pessoas chegam ao Rally; não gera pagamento nem aparece para outros usuários | Legítimo interesse |
| Nome completo e CPF | Só ao criar uma liga com prêmio, ao entrar numa liga com prêmio (como a Liga Rally) ou ao receber um prêmio | Identificar o titular, pagar o prêmio por Pix ao CPF do próprio titular, cumprir obrigações fiscais | Execução de contrato e obrigação legal |
| Dados da cobrança Pix (identificador da cobrança, valor, situação) | Ao se inscrever em liga | Reservar, confirmar, devolver e liquidar inscrições | Execução de contrato |
| Token de notificação do aparelho e a inscrição dele no canal de avisos do Rally (só com "Avisos do Rally" ligado) | Se você ativar notificações no app | Enviar avisos de jogo, mercado, liga, social e comunicados do Rally, conforme as suas preferências | Consentimento (revogável nas configurações) |
| O seu e-mail, os avisos da sua central de notificações (título, texto e hora) e, nos e-mails do palpite e do elenco, o resultado dos seus palpites e do seu elenco (valor, variação e cartas) | Ao passar pelo cadastro e, depois, a cada um dos e-mails ao lado | Enviar o e-mail de boas-vindas; no dia em que o seu clube do coração joga, o aviso do jogo; o resultado dos seus palpites de cada jogo e o aviso de jogo anulado com os Futecoins devolvidos; as novidades do Rally quando ele ganha um jogo novo (poucas vezes por mês); o início e o fim dos jogos em que você armou o aviso, no domingo o fechamento semanal do seu elenco e, quando o mercado do elenco abre e no dia em que ele fecha, o aviso do mercado (com o seu elenco ou as cartas do seu clube do coração), enquanto as notificações do app estiverem desligadas; e, no máximo uma vez por dia, o resumo dos avisos que você ainda não viu. O resumo para sozinho quando as notificações do app estão ligadas, e nenhum desses e-mails inclui mensagens de outras pessoas | Legítimo interesse (cada tipo é desligável pelo link no próprio e-mail ou em Notificações) |
| A plataforma do aparelho em que você usa o app (Android ou iOS), a versão do app e se as notificações estão ligadas nele | Ao usar o app com a sua conta | Saber se a conta já usa o app e pausar os e-mails que só saem sem as notificações do app (o resumo, o início e o fim dos jogos com aviso, o fechamento do elenco e o aviso do mercado do elenco) quando elas estão ligadas | Legítimo interesse |
| Eventos de uso: telas vistas e ações (abrir e resgatar posição, negociar cotas, confirmar elenco, criar e entrar em liga, compartilhar), com o identificador da conta, o identificador de medição do aparelho ou do navegador, modelo, sistema, versão do app e região aproximada (calculada a partir do endereço IP); no site, também o endereço e o título da página, a página de onde a visita veio e os parâmetros de campanha do link (`utm_`); no Android, a origem da instalação informada pela Google Play | Ao usar o site e os aplicativos, salvo se você desligar a medição | Entender quais telas e ações são usadas e melhorar o produto | Legítimo interesse (desligável em Perfil → Medição de uso, ou na página de Privacidade para o navegador) |
| Relatórios de falha do aplicativo: momento e tela do erro, rastreamento técnico, modelo do aparelho, sistema, versão do app e identificador da conta | Quando o app trava ou encontra um erro | Corrigir falhas e manter o app estável | Legítimo interesse |
| Dados técnicos: endereço IP, navegador, sistema, registros de acesso e erro | Ao usar | Segurança, prevenção a fraude e conta múltipla, estabilidade | Legítimo interesse e obrigação legal (Marco Civil) |
| Uma marcação interna de "conta de teste automatizado", derivada do padrão do e-mail e do provedor de login no cadastro, removida quando a conta confirma o titular (nome e CPF) e revisável pela equipe | Ao criar a conta | Manter fora das nossas métricas e dos avisos as contas criadas por ferramentas automáticas de teste das lojas | Legítimo interesse |
| A origem do seu cadastro: em que plataforma ele aconteceu (site, Android ou iOS) e os parâmetros de campanha do primeiro link pelo qual você chegou (`utm_`), mais o identificador de clique da Meta (`fbclid`) quando a medição está ligada; no Android, a origem da instalação informada pela Google Play | Ao concluir o cadastro | Saber quais canais e campanhas trazem pessoas que de fato jogam e decidir onde investir; não aparece para outros usuários | Legítimo interesse |
| Medição de anúncios da Meta no site, só para quem chegou por um anúncio do Rally na Meta (clique de até 7 dias, naquele navegador): as páginas visitadas (Pixel da Meta) e o evento de cadastro, enviado pelo navegador e pelo nosso servidor (Conversions API da Meta) com o e-mail e o identificador da conta transformados em código irreversível (hash SHA-256), o endereço IP, o navegador e os identificadores de navegador e de clique da Meta (`_fbp`, `_fbc`). Fora disso, o site não envia dados à Meta; o aplicativo Android tem a linha própria logo abaixo | Ao usar o site e ao criar a conta pelo site até 7 dias depois de chegar por um anúncio do Rally na Meta, salvo se você desligar a medição | Medir quantos cadastros vêm de anúncios e melhorar as campanhas | Legítimo interesse (desligável em Perfil → Medição de uso, ou na página de Privacidade para o navegador) |
| Medição de anúncios da Meta no aplicativo Android (SDK da Meta): a instalação, as aberturas e o tempo de uso do app, o cadastro e a primeira jogada, com o identificador de publicidade do Android, um identificador do aparelho criado pela própria Meta, modelo, sistema, idioma, fuso horário, operadora, versão do app e o endereço IP. Não enviamos e-mail, nome, CPF nem o identificador da conta. O aplicativo para iPhone passará a enviar os mesmos eventos numa próxima versão, e o identificador de publicidade do iPhone só com a sua permissão de rastreamento | Ao usar o aplicativo Android, salvo se você desligar a medição (desligada, o app deixa de iniciar o SDK da Meta e apaga os eventos que ainda não tinham sido enviados) | Medir quantas instalações e cadastros vêm de anúncios e melhorar as campanhas | Legítimo interesse (desligável em Perfil → Medição de uso; o identificador de publicidade pode ser zerado ou excluído nas configurações do Android) |
Não coletamos cartão de crédito, dados bancários nem documento de identidade. O Pix é processado pelo nosso processador de pagamentos (seção 5) e o Rally recebe apenas a confirmação e os dados necessários para conciliar a cobrança.
O nome e o CPF ficam em armazenamento isolado, separado do perfil público, com acesso restrito ao processamento de pagamento e à obrigação fiscal. Eles não aparecem para outros usuários.
3. O que é público por desenho
O Rally é um jogo social. Seu apelido, avatar, posições abertas e encerradas, elencos, cotas de clube, resultados e posição em rankings e ligas são visíveis a qualquer pessoa, inclusive sem conta. As mensagens que você envia nas salas são visíveis aos demais usuários da sala. Não há configuração de perfil privado.
4. Cookies e armazenamento no navegador
- Um cookie de sinal de sessão no domínio
.rally.footballindica se você já entrou no app, para a página inicial levar você direto ao jogo. Ele não contém senha nem token. - O cookie
rally_ref, no domínio.rally.football, guarda por 30 dias o identificador público da conta que compartilhou o link pelo qual você chegou (o mesmo identificador da URL do perfil dessa pessoa). Ele existe só para atribuir o convite quando você cria a conta; não identifica você, não contém senha nem token, e é apagado depois de usado ou ao expirar. - O cookie
rally_app_banner, no domínio.rally.football, guarda por 14 dias que você fechou (ou tocou) a faixa "baixe o app" no celular, para ela não voltar a cada página; se a sua conta já tem o app instalado, ele guarda isso por 90 dias. Ele não identifica você e não contém senha nem token. - A sessão de login fica no armazenamento local do navegador, no domínio do app.
- Preferências de tela (aba, filtro, rascunho de elenco) ficam no armazenamento local do aparelho e não são enviadas ao Rally.
- O cookie
rally_utm, no domínio.rally.football, guarda por 30 dias os parâmetros de campanha (utm_) e o identificador de clique da Meta (fbclid) do primeiro link pelo qual você chegou, para atribuir o cadastro àquela campanha. Ele não contém nome, e-mail, senha nem token, e é apagado quando o cadastro é concluído ou ao expirar. - Cookies do Google Analytics (
_gae_ga_<id>) no domínio.rally.footballcontam visitas e sessões no site e no app web. Não usamos os sinais do Google para anúncios. - Cookies do Pixel da Meta (
_fbp, que identifica o navegador, e_fbc, que guarda o clique no anúncio) no domínio.rally.footballmedem visitas e cadastros vindos de anúncios no site e no app web. O Pixel só é carregado naquele navegador até 7 dias depois de um clique num anúncio do Rally na Meta. - O cookie
rally_analytics_offguarda a sua escolha de desligar a medição naquele navegador: com ele, nem o Google Analytics nem o Pixel da Meta são carregados, os cookies dos dois são apagados, e o cadastro não é enviado à Meta.
5. Com quem compartilhamos
Não vendemos dados pessoais. Compartilhamos apenas com operadores que prestam serviço ao Rally, sob contrato e para as finalidades acima:
- Supabase (banco de dados, autenticação, armazenamento de arquivos), infraestrutura em nuvem com servidores na Virgínia do Norte (Estados Unidos) e em São Paulo (Brasil). Quando um dado é tratado fora do Brasil, isso ocorre com as garantias da LGPD para transferência internacional.
- Vercel (hospedagem do site e do app web) e Fly.io (processamento das partidas).
- Google e Apple (login).
- Google, pelo Firebase (envio de notificações, medição de uso e relatórios de falha dos aplicativos) e pelo Google Analytics (medição de uso do site e do app web). Esses dados podem ser tratados em servidores do Google fora do Brasil, com as garantias da LGPD para transferência internacional. Não ativamos o uso desses dados para publicidade.
- Resend (envio de e-mails): recebe o seu e-mail e o conteúdo da mensagem (as boas-vindas, o resumo diário e os outros e-mails descritos na tabela acima). Esses dados podem ser tratados em servidores fora do Brasil, com as garantias da LGPD para transferência internacional.
- Asaas (processamento de Pix): recebe nome, CPF e o valor da cobrança de quem se inscreve em liga ou recebe prêmio.
- API-Football (dados esportivos): não recebe dados seus; fornece partidas, escudos e fotos de jogadores exibidos no produto.
- Meta (Pixel e Conversions API no site; SDK da Meta no aplicativo Android), para medir visitas, instalações e cadastros vindos de anúncios: recebe os dados das linhas "Medição de anúncios da Meta" da seção 2, salvo se você desligar a medição. Esses dados podem ser tratados em servidores da Meta fora do Brasil, com as garantias da LGPD para transferência internacional. O aplicativo para iPhone ainda não envia dados à Meta.
- Autoridades públicas, quando exigido por lei ou ordem judicial.
6. Por quanto tempo guardamos
- Dados de conta: enquanto a conta existir.
- Lançamentos de FUTC, posições e resultados: mantidos de forma anonimizada após a exclusão da conta, porque o histórico do jogo é um livro-razão que não pode ter linhas removidas sem quebrar a auditoria de rankings e ligas já pagas.
- Registros de pagamento e de prêmio (nome, CPF, cobrança): por até 30 dias após a liquidação ou a devolução, e pelo prazo adicional que a legislação fiscal exigir.
- Registros de acesso: 6 meses (Marco Civil da Internet).
- Eventos de uso no Google Analytics: até 14 meses, conforme a configuração de retenção da ferramenta. Relatórios de falha: 90 dias.
- Origem do cadastro (campanha): enquanto a conta existir. Na exclusão da conta, o identificador de clique (
fbclid) é apagado e a campanha fica de forma anonimizada, como o histórico do jogo. - Eventos de anúncio enviados à Meta: conforme a política de retenção da Meta.
- Mensagens de chat: apagadas na exclusão da conta.
7. Seus direitos (LGPD)
Você pode, a qualquer momento: confirmar se tratamos seus dados, acessá-los, corrigir dados incompletos ou desatualizados, pedir anonimização ou eliminação, pedir portabilidade, revogar consentimento (por exemplo, desligar notificações) e obter informação sobre compartilhamento.
- Desligar a medição de uso: no app ou no site, em Perfil → Medição de uso; sem conta, na página de Privacidade. A escolha vale para aquele aparelho ou navegador e desliga também a medição de anúncios da Meta (no site e no aplicativo).
- Corrigir o nome cadastrado como titular: no app, em Carteira → Dados do titular. O CPF não é editável, porque ancora a titularidade do prêmio; para trocá-lo, fale com o contato abaixo.
- Excluir a conta: no perfil, em duas confirmações. A exclusão apaga e-mail, identificador de login, apelido, avatar, nome, CPF, token de notificação e mensagens de chat, e mantém o histórico de operações anonimizado (seção 6). A exclusão fica bloqueada enquanto houver prêmio a receber ou inscrição paga em liga em andamento, para que o valor possa ser pago ou devolvido a você.
- Para os demais pedidos, escreva para contato@rally.football. Respondemos em até 15 dias.
8. Segurança
Acesso ao banco de dados restrito ao servidor (o aplicativo nunca lê tabelas diretamente), dados de identidade em armazenamento isolado, comunicação criptografada (HTTPS) e registros de acesso. Nenhum sistema é infalível; em caso de incidente com risco a você, avisaremos a Autoridade Nacional de Proteção de Dados e os titulares afetados, conforme a lei.
9. Crianças e adolescentes
Menores de 18 anos usam o Rally com o consentimento dos pais ou responsáveis. O Rally não é destinado a crianças (menores de 12 anos) e não coleta conscientemente dados delas; se tomarmos conhecimento de uma conta assim sem o consentimento de um responsável, ela é encerrada e os dados apagados. As ligas com prêmio em dinheiro, inclusive a Liga Rally, são só para maiores de 18 anos.
10. Alterações
Podemos atualizar esta política. Mudanças relevantes são avisadas no produto. A versão vigente e a data ficam sempre nesta página.
11. Contato
contato@rally.football · Encarregado (DPO): dpo@rally.football
Medição de uso neste navegador
O Rally usa o Google Analytics para saber quais telas e ações são usadas e o Pixel da Meta para medir visitas e cadastros vindos de anúncios, sem nome ou CPF. Desligar aqui vale para rally.football e app.rally.football neste navegador.