Política de Privacidade

O responsável pelo tratamento dos teus dados pessoais é LootWave Market, Inc., sociedade constituída na Florida (EUA), com sede em 6353 Adriana Ave Apt 2103, Orlando, FL 32819, USA e Federal EIN EIN 17-2836293, conforme identificado no Aviso Legal. Para qualquer questão relacionada com privacidade, escreve para privacy@lootwavemarket.com.

Tratamos as seguintes categorias de dados pessoais:

• Dados de conta: email, palavra-passe (em forma de hash bcrypt) e nome quando registas conta.
• Dados de sessão de convidado: identificador em cookie, para te permitir abrir caixas e manter inventário sem conta.
• Dados de encomenda: nome, morada de envio, morada de facturação, telefone, ID fiscal (quando indicado), detalhes da encomenda e estado de envio.
• Dados de pagamento: processados directamente pela Stripe, Inc. Recebemos apenas um identificador da transacção, o tipo de cartão, os últimos 4 dígitos e o estado da operação. Nunca armazenamos o número completo, CVV ou data de validade do cartão.
• Aberturas de caixas: server seed, hash, client seed, nonce, roll, prémio atribuído e data.
• Dados técnicos: endereço IP, tipo de browser, sistema operativo, páginas visitadas, referenciador e país aproximado (via GeoIP).
• Comunicações: conteúdo dos emails ou pedidos de suporte que nos envies.

• Execução do contrato: criação e gestão da conta, processamento de aberturas, registo de encomendas, envio e apoio ao cliente.
• Obrigações legais: facturação, retenção de registos fiscais conforme exigido pelas leis dos EUA e do estado da Florida, resposta a pedidos legítimos de autoridades.
• Interesses legítimos: segurança da plataforma, prevenção de fraude e abuso, registo de auditoria, melhoria do serviço com base em métricas agregadas.
• Consentimento: cookies não essenciais (análise, marketing) e comunicações comerciais por email. Podes retirar o consentimento a qualquer momento.

Recorremos a subcontratantes para operar o serviço, sempre ao abrigo de contrato de tratamento de dados:

• Alojamento cloud (EUA) — servidores de aplicação e base de dados.
• Stripe, Inc. (EUA) — processamento de pagamentos.
• Transportadoras internacionais (USPS, UPS, FedEx, DHL) — envio das encomendas.
• Email transaccional — confirmação de encomenda, recuperação de palavra-passe, avisos de envio.

Não vendemos os teus dados pessoais a terceiros para fins de marketing. Podemos divulgar dados se exigido por lei, ordem judicial, ou para proteger direitos, propriedade ou segurança nossos, dos utilizadores ou de terceiros.

Os nossos servidores e a maioria dos prestadores estão localizados nos Estados Unidos da América. Se nos contactares a partir de outro país, os teus dados serão transferidos para tratamento nos EUA. Ao utilizares o Serviço autorizas essa transferência. Aplicamos salvaguardas contratuais adequadas com cada subcontratante e limitamos o acesso a colaboradores estritamente necessários.

• Conta de utilizador: enquanto a conta existir, mais 1 ano após inactividade ou encerramento.
• Dados de facturação: 7 anos, conforme retenção fiscal exigida pelas leis dos EUA.
• Aberturas de caixas e provas verificáveis: 5 anos, para permitir auditoria e resposta a reclamações.
• Logs técnicos e de segurança: 6 meses, salvo necessidade superior por incidente em investigação.
• Sessão de convidado: 30 dias após a última actividade.
• Comunicações de suporte: 3 anos após o encerramento do pedido.

Independentemente do teu país de residência, garantimos:

• acesso aos teus dados e cópia dos mesmos;
• rectificação de dados inexactos ou incompletos;
• eliminação de dados, salvo retenção exigida por lei;
• oposição ao uso para marketing directo;
• retirada do consentimento a qualquer momento;
• portabilidade dos dados em formato estruturado.

Clientes residentes na Califórnia têm direitos adicionais ao abrigo do California Consumer Privacy Act (CCPA/CPRA): saber que categorias de dados pessoais são tratadas, pedir eliminação e optar por não vender ou não partilhar dados pessoais.

Clientes residentes na União Europeia / EEE têm direitos adicionais ao abrigo do RGPD, incluindo o direito de apresentar reclamação à autoridade de controlo nacional.

Para exerceres estes direitos, escreve para privacy@lootwavemarket.com. Respondemos no prazo de 30 dias (45 dias em casos complexos).

Implementamos medidas técnicas e organizativas adequadas ao risco: TLS 1.2+ em todas as comunicações; palavras-passe armazenadas com bcrypt; cookies de sessão HttpOnly + Secure + SameSite=Lax com prefixo __Host- em produção; princípio do menor privilégio nos acessos administrativos; cópias de segurança regulares; registos de auditoria. Nenhum sistema é 100% seguro; comunicaremos qualquer violação de dados pessoais que afecte os teus direitos.

O Serviço destina-se a utilizadores com 18 ou mais anos. Cumprimos integralmente com o Children's Online Privacy Protection Act (COPPA): não recolhemos conscientemente dados de menores de 13 anos. Se tomarmos conhecimento de que recolhemos dados de um menor, eliminá-los-emos de imediato. Tutores legais que detectem essa situação devem contactar privacy@lootwavemarket.com.

Podemos actualizar esta Política de Privacidade. Em caso de alterações materiais, notificar-te-emos por email ou aviso destacado no serviço com, pelo menos, 30 dias de antecedência. A data de última actualização aparece no topo deste documento.