Política de
Privacidade

1. Identificação do Controlador e do Encarregado

Controlador dos dados: Bora Padel, aplicativo de matchmaking de padel sediado em Campo Grande, Mato Grosso do Sul, Brasil.

Canal de privacidade e contato com o Encarregado (DPO):
E-mail: privacidade@borapadel.com.br
Assunto recomendado: [LGPD] - Descrição breve do pedido
Prazo de resposta: até 15 (quinze) dias corridos, conforme art. 18, §3.º da LGPD.

A Bora é agente de tratamento de pequeno porte nos termos da Resolução CD/ANPD n.º 2/2022 e adota práticas de governança proporcionais a esse porte.

2. Dados Pessoais Coletados e Finalidades

Coletamos apenas os dados necessários para que você possa usar o Bora. Veja o detalhamento abaixo:

2.1 Dados de cadastro e perfil

Dado	Finalidade	Base legal (LGPD)
Nome completo	Identificação dentro do app; exibição para outros jogadores nas partidas	Execução de contrato (art. 7.º, V)
Endereço de e-mail	Login, recuperação de senha, comunicações transacionais	Execução de contrato (art. 7.º, V)
Senha (armazenada como hash bcrypt)	Autenticação segura (a senha nunca é armazenada em texto puro)	Execução de contrato (art. 7.º, V)
Foto de perfil	Identificação visual nas partidas; visível para outros jogadores e em recursos públicos de divulgação (ranking e imagens de partida; ver seção 2.5)	Consentimento (art. 7.º, I); você escolhe adicionar
Nível de jogo (0 a 7)	Pareamento com jogadores de nível equivalente; exibição pública nas partidas	Execução de contrato (art. 7.º, V)
ID Google (via OAuth)	Autenticação com a conta Google (armazenamos apenas o identificador, o nome e o e-mail do perfil; não armazenamos a senha do Google)	Execução de contrato / consentimento (art. 7.º, V e I)
ID Apple (Sign in with Apple)	Autenticação com a conta Apple. Se você usar o recurso "Ocultar meu e-mail" da Apple, armazenamos apenas o endereço de retransmissão (relay) fornecido pela Apple	Execução de contrato / consentimento (art. 7.º, V e I)
Registro de aceite dos Termos	Data, hora e versão dos Termos de Uso aceitos no cadastro (inclui a declaração de 18 anos ou mais): prova da contratação	Execução de contrato (art. 7.º, V) e exercício regular de direitos (art. 7.º, VI)
CPF	Exigido pelas instituições de pagamento para emitir cobranças Pix e de cartão em seu nome (identificação do pagador e prevenção à fraude). O CPF nunca é exibido a outros jogadores nem aos clubes parceiros; é compartilhado apenas com a instituição de pagamento que processa a cobrança (ver seção 5)	Execução de contrato (art. 7.º, V) e cumprimento de obrigação legal/regulatória das instituições de pagamento (art. 7.º, II)

2.2 Dados de partidas e pagamentos

Dado	Finalidade	Base legal (LGPD)
Histórico de partidas, resultados e MMR	Registro das partidas jogadas, placares reportados, elogios (commends) e pontuação de ranking (MMR); base para o cálculo dinâmico do nível e para os rankings dos clubes que habilitam o recurso	Execução de contrato (art. 7.º, V)
Dados de cobrança (Pix e cartão)	Processamento do pagamento da sua vaga, da quadra inteira ou do day use. No pagamento por cartão, os dados do cartão (número, validade, CVV) são tokenizados diretamente no seu dispositivo pela instituição de pagamento; eles nunca passam pelos servidores da Bora e não são armazenados por nós	Execução de contrato (art. 7.º, V)
Identificador de cliente na instituição de pagamento	Vinculação da sua conta Bora com o processador de pagamentos (Mercado Pago; Asaas em fluxos legados)	Execução de contrato (art. 7.º, V)
Identificador de dispositivo antifraude	No pagamento por cartão, um identificador de sessão do dispositivo gerado pelo Mercado Pago (Device ID) é enviado junto à cobrança, para prevenção à fraude exigida pela instituição de pagamento	Legítimo interesse / prevenção à fraude (art. 7.º, IX; art. 11, §4.º por analogia)
Token JWT (sessão)	Manter você logado entre sessões; armazenado localmente no seu dispositivo	Execução de contrato, tecnicamente necessário (art. 7.º, V)

2.3 Geolocalização (recurso "perto de mim")

Quando você ativa o botão "perto de mim" na tela de criação de partida, o Bora solicita acesso à sua localização geográfica atual (latitude e longitude) para ordenar os clubes por distância. Sua localização não é enviada a nossos servidores nem armazenada: o processamento ocorre inteiramente no seu dispositivo, e os dados são descartados ao sair da tela.

Base legal: Consentimento (art. 7.º, I da LGPD). Você pode negar ou revogar a permissão de localização a qualquer momento nas configurações do seu celular, sem prejuízo ao uso demais do aplicativo.

2.4 Dados dos formulários do site (waitlist e clubes)

Dado	Finalidade	Base legal
E-mail (lista de espera iOS)	Notificá-lo quando o aplicativo iOS for lançado	Consentimento (art. 7.º, I)
Nome do clube, e-mail, telefone, nº de quadras	Entrar em contato para apresentar a plataforma Bora ao clube	Consentimento (art. 7.º, I)

2.5 Dados visíveis publicamente na plataforma

O Bora é uma plataforma social de matchmaking: parte dos seus dados de perfil é, por natureza do serviço, visível a outras pessoas, inclusive a visitantes sem conta. Ao usar o Bora, você tem ciência de que:

• Partidas abertas: a lista de partidas abertas exibe publicamente o seu nome, nível, foto de perfil e status de confirmação da vaga aos demais interessados na partida, mesmo antes do login.
• Ranking (MMR): nos clubes que habilitam o ranking, a classificação exibe publicamente nome, foto, nível, pontuação (MMR), número de jogos e vitórias. A participação no ranking decorre de jogar partidas em clube com o recurso ativado.
• Imagens de divulgação de partida (stories): ao final de uma partida, a plataforma pode gerar uma imagem de compartilhamento com o placar, o clube, a quadra e o nome, nível e foto dos jogadores. Essa imagem é acessível por link e destina-se ao compartilhamento em redes sociais pelos próprios jogadores.
• Convites de partida: o link de convite exibe publicamente o nome do organizador, o clube, o horário, as vagas e o preço por pessoa, inclusive na prévia gerada por aplicativos de mensagem (WhatsApp etc.).

Base legal: execução de contrato (art. 7.º, V da LGPD), por se tratar de funcionalidade essencial e inerente ao serviço de matchmaking, e legítimo interesse (art. 7.º, IX) na divulgação das partidas. Se você não deseja que seu nome ou foto apareçam nesses recursos, pode remover a foto de perfil a qualquer momento e solicitar, pelo canal de privacidade da seção 1, a exclusão de imagens de divulgação já geradas que contenham seus dados.

3. Bases Legais por Finalidade

O art. 7.º da LGPD exige que todo tratamento de dados pessoais tenha uma base legal. Usamos as seguintes:

• Execução de contrato (art. 7.º, V): todos os dados necessários para você criar conta, participar de partidas e realizar pagamentos. Sem esses dados, não conseguimos prestar o serviço.
• Consentimento (art. 7.º, I): foto de perfil, geolocalização, e-mail da waitlist e dados de clubes parceiros. Você pode revogar o consentimento a qualquer momento pelo canal de privacidade indicado na seção 1.
• Legítimo interesse (art. 7.º, IX): dados mínimos de segurança e antifraude (ex.: logs de acesso), na medida estritamente necessária para proteger a plataforma e seus usuários, e desde que não prevaleçam sobre seus direitos.

4. Cookies e Tecnologias de Armazenamento Local

4.1 Armazenamento essencial (sem consentimento adicional necessário)

O Bora utiliza o localStorage do navegador para armazenar o token de sessão JWT (identificador de autenticação). Esse dado é estritamente necessário para manter você logado enquanto usa o serviço. Ele não é compartilhado com terceiros e é removido ao deslogar. A base legal é a execução do contrato (art. 7.º, V da LGPD), pois sem esse token não há como manter sua sessão ativa com segurança.

4.2 Cookies e scripts de terceiros (necessitam de consentimento)

O site borapadel.com.br carrega fontes tipográficas do Google Fonts. Essa requisição é feita aos servidores do Google (EUA) e pode registrar seu endereço IP e demais metadados da conexão conforme a política do Google. Ao aceitar cookies no banner exibido no site, você concorda com esse carregamento. Se recusar, a página ainda funcionará normalmente com fontes de sistema.

Caso venham a ser adicionadas ferramentas de análise de audiência (ex.: Google Analytics, Plausible) no futuro, elas somente serão carregadas após seu consentimento expresso. Você pode alterar sua escolha a qualquer momento clicando em Preferências de cookies no rodapé do site.

5. Compartilhamento com Operadores e Parceiros

A Bora não vende, aluga ou comercializa seus dados pessoais. Compartilhamos dados com terceiros apenas quando necessário para a operação do serviço, na qualidade de operadores de dados (art. 39 da LGPD):

Operador	País / Região	Dados transferidos	Finalidade
Mercado Pago (Mercado Livre)	Brasil	Nome, e-mail, CPF, valor e descrição da cobrança, data de cadastro na plataforma e, no cartão, identificador de dispositivo antifraude	Processamento de pagamentos Pix e cartão (vagas, quadra cheia, day use e assinaturas de clubes)
Asaas Gestão Financeira S/A	Brasil	Nome, e-mail, CPF, dados de cobrança Pix	Processamento de pagamentos Pix em fluxos legados
Google LLC	EUA	Token OAuth; e-mail e ID do perfil Google	Autenticação social ("Continuar com Google")
Apple Inc.	EUA	Token de identificação; ID Apple, e-mail (ou endereço de retransmissão) e nome informados na primeira autorização	Autenticação social ("Continuar com a Apple")
Amazon Web Services (AWS)	EUA (us-east-1)	Foto de perfil (imagem); dados da aplicação	Armazenamento seguro de arquivos (S3) e hospedagem da API
MatchPoint (App Padel BR)	Espanha	Apenas grade de reservas dos clubes (sem PII de jogadores)	Sincronização das agendas de quadras dos clubes parceiros

Não compartilhamos seus dados com anunciantes, corretores de dados ou plataformas de marketing.

5.1 Clubes parceiros (controladores independentes)

Ao reservar uma vaga, quadra ou day use em um clube parceiro, alguns dos seus dados são disponibilizados ao próprio clube, que passa a tratá-los como controlador independente para a execução da reserva e a gestão do seu relacionamento comercial com ele:

• Painel do clube: o administrador do clube em que você joga tem acesso ao seu nome, e-mail, nível, foto, data de cadastro, histórico de reservas e day uses no clube e valores pagos ao clube. O clube não tem acesso ao seu CPF.
• Pagamentos diretos ao clube: quando o clube parceiro possui conta própria no Mercado Pago conectada à plataforma, a cobrança do aluguel ou do day use é emitida diretamente na conta Mercado Pago do clube. Nesse caso, os dados do pagador (nome, e-mail e CPF) são recebidos pelo Mercado Pago em nome do clube, e o clube figura como recebedor e responsável pela relação de consumo referente ao serviço esportivo.

O tratamento que cada clube faz desses dados fora da plataforma (por exemplo, contato comercial próprio) é de responsabilidade do clube, na qualidade de controlador independente. A Bora exige contratualmente dos clubes parceiros (na seção 5.1 dos Termos de Uso, que vincula o clube e cada administrador) o uso desses dados apenas para as finalidades da reserva.

6. Transferência Internacional de Dados (Art. 33 LGPD)

Dois de nossos operadores estão localizados nos Estados Unidos, o que caracteriza transferência internacional de dados pessoais nos termos do art. 33 da LGPD:

Amazon Web Services (AWS, us-east-1, EUA)

As fotos de perfil dos usuários e os dados da aplicação são armazenados em servidores AWS na região us-east-1 (Virgínia do Norte, EUA). A AWS mantém certificações de conformidade reconhecidas internacionalmente (SOC 2, ISO 27001) e disponibiliza um Data Processing Addendum (DPA) compatível com legislações de proteção de dados, incluindo garantias contratuais aplicáveis a transferências internacionais. A Bora se compromete a manter esse DPA vigente e a migrar o armazenamento para a região sa-east-1 (São Paulo) assim que operacionalmente viável, reduzindo a necessidade de transferência internacional.

Google LLC e Apple Inc. (EUA)

Quando você opta por entrar com sua conta Google ou com sua conta Apple, um token de identificação emitido pelo respectivo provedor é transmitido e verificado pela Bora junto aos servidores do provedor nos EUA. Essa operação é pontual (ocorre apenas no login) e está sujeita aos termos e políticas de privacidade do Google e da Apple, que preveem salvaguardas para transferências internacionais de dados.

Ambas as transferências são realizadas com base no art. 33, V (garantias contratuais) da LGPD e ficam condicionadas à manutenção de nível de proteção compatível com o exigido pela legislação brasileira.

7. Retenção e Eliminação de Dados

Mantemos seus dados pelo tempo necessário para cumprir as finalidades descritas nesta Política, observados os seguintes prazos:

Dado	Prazo de retenção	Motivo
Dados de cadastro (nome, e-mail, foto, CPF, nível)	Enquanto a conta estiver ativa; anonimizados imediatamente quando você exclui a conta pelo app (ver seção 7.1)	Execução do contrato de uso; minimização (art. 6.º, III)
Histórico de partidas e pagamentos	5 anos após a data da transação (de forma anonimizada após a exclusão da conta)	Obrigação legal contábil e fiscal (art. 16, I da LGPD)
Imagens de divulgação de partida (stories) já geradas	Enquanto a partida constar do histórico; exclusão sob demanda pelo canal de privacidade	Legítimo interesse; atendimento a pedido do titular (art. 18)
E-mail da lista de espera (waitlist)	Até o lançamento do iOS ou até cancelamento da inscrição	Consentimento; finalidade extinta com o lançamento
Dados de cadastro de clubes	90 dias sem contato comercial, depois anonimizados	Legítimo interesse encerrado
Logs de acesso e segurança	6 meses	Marco Civil da Internet (art. 15 da Lei 12.965/2014)
Geolocalização	Não armazenada, descartada após uso imediato	Minimização de dados (art. 6.º, III da LGPD)

Após o prazo de retenção, os dados são anonimizados ou eliminados com segurança. Dados financeiros são mantidos pelo prazo mínimo exigido por lei, mesmo após o encerramento da conta.

7.1 Exclusão de conta pelo aplicativo

Você pode excluir sua conta a qualquer momento em Perfil → Excluir minha conta. A exclusão opera por anonimização imediata: nome, e-mail, CPF, foto, vínculos de login Google/Apple e identificadores de pagamento são removidos ou substituídos por valores irreversíveis. Os registros de partidas e pagamentos permanecem no histórico sem nenhum dado pessoal, por obrigação fiscal e para preservar a integridade das partidas dos demais jogadores.

Por proteção às demais partes envolvidas, a exclusão não é permitida enquanto você: (i) for administrador de um clube na plataforma; (ii) tiver partida futura confirmada ou em andamento; ou (iii) tiver day use futuro pago ou pendente. Resolva essas pendências (ou solicite auxílio pelo canal de privacidade) e a exclusão ficará disponível.

Imagens de divulgação de partidas já geradas e cópias eventualmente compartilhadas por outros jogadores em redes sociais podem persistir após a exclusão; a remoção das imagens hospedadas pela Bora pode ser solicitada pelo canal de privacidade.

8. Seus Direitos como Titular (Art. 18 da LGPD)

A LGPD garante a você os seguintes direitos sobre seus dados pessoais tratados pela Bora:

• Acesso (art. 18, I e II): saber quais dados temos sobre você e como os usamos.
• Correção (art. 18, III): corrigir dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação (art. 18, IV): solicitar que dados desnecessários, excessivos ou tratados em desconformidade com a LGPD sejam anonimizados, bloqueados ou eliminados.
• Portabilidade (art. 18, V): obter seus dados em formato estruturado e interoperável.
• Eliminação de dados tratados com consentimento (art. 18, VI): pedir a exclusão de dados coletados com base no seu consentimento.
• Informação sobre compartilhamento (art. 18, VII): saber com quais terceiros compartilhamos seus dados.
• Revogação do consentimento (art. 18, IX): retirar o consentimento dado a qualquer momento, sem que isso afete o tratamento realizado anteriormente.
• Oposição (art. 18, §2.º): opor-se a tratamento que não cumpra as disposições da lei.

Você também pode encaminhar reclamações à Autoridade Nacional de Proteção de Dados (ANPD) pelo site gov.br/anpd.

9. Medidas de Segurança

Adotamos medidas técnicas e organizacionais adequadas para proteger seus dados contra acessos não autorizados, alteração, divulgação ou destruição indevida. Dentre elas:

• Transmissão criptografada (HTTPS/TLS) em toda comunicação entre o app/site e nossos servidores.
• Hash bcrypt para armazenamento de senhas: nunca armazenamos senhas em texto puro.
• Tokens JWT com validade limitada para gerenciamento de sessões.
• Controle de acesso restrito aos dados nos serviços de backend e banco de dados.
• Armazenamento seguro de credenciais no dispositivo móvel via SecureStore (Expo).

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Bora comunicará o fato à ANPD e aos titulares afetados nos prazos legais (art. 48 da LGPD).

10. Crianças e Adolescentes

O Bora é um serviço exclusivo para pessoas com 18 (dezoito) anos ou mais. A criação de conta exige a declaração expressa de maioridade, registrada junto com o aceite dos Termos de Uso. Não coletamos intencionalmente dados de menores de 18 anos e menores não estão autorizados a usar a plataforma.

Se tomarmos conhecimento de que uma conta pertence a menor de 18 anos, a conta será encerrada e os dados pessoais eliminados o mais rapidamente possível. Pais ou responsáveis que identifiquem esse caso devem entrar em contato pelo canal de privacidade indicado na seção 1.

11. Alterações nesta Política

A Bora pode atualizar esta Política de Privacidade periodicamente para refletir mudanças no serviço, na legislação aplicável ou em nossas práticas de proteção de dados. Sempre que houver alterações relevantes, notificaremos você por e-mail ou por aviso em destaque no aplicativo, e a data de última atualização será revisada no topo desta página. Recomendamos que você revise esta Política regularmente.

O uso continuado do Bora após a publicação das alterações implica a aceitação da Política atualizada. Se não concordar com as mudanças, você pode encerrar sua conta e solicitar a exclusão dos seus dados pelo canal de privacidade.

12. Contato

Para dúvidas, solicitações ou reclamações relacionadas à privacidade e ao tratamento de seus dados pessoais, entre em contato:

Canal de privacidade: privacidade@borapadel.com.br
Site: borapadel.com.br
Localidade do controlador: Campo Grande, Mato Grosso do Sul, Brasil