Em vigor desde 21 de setembro de 2026.

Esta política descreve o que a Bancada TCG faz com os seus dados. Ela é curta porque o sistema guarda pouca coisa, e foi escrita olhando o que o código realmente faz — não um modelo genérico.

Quem é o responsável

A Bancada TCG é um projeto independente, sem vínculo com a LigaMagic, com a Wizards of the Coast ou com qualquer outra empresa citada aqui. Para qualquer assunto desta política, incluindo pedidos de acesso, correção ou exclusão dos seus dados, escreva para contato@bancadatcg.com.br.

Usar sem conta

A ferramenta funciona inteira sem cadastro. Nesse modo, os seus projetos ficam guardados apenas no seu navegador, no armazenamento local do próprio aparelho. Eles não são enviados para o servidor, nós não temos acesso a eles, e por isso mesmo não conseguimos recuperá-los se você limpar os dados do navegador ou trocar de aparelho.

Com conta

Se você criar uma conta, o servidor passa a guardar:

• Seu e-mail, usado para identificar a conta e entrar.
• Sua senha, que nunca é guardada como você a digitou. O que fica salvo é um hash: o resultado de um cálculo que só funciona num sentido. Dele não dá para voltar à senha. Cada senha recebe um salt próprio — um trecho aleatório somado antes do cálculo —, de modo que duas pessoas com a mesma senha ficam com registros diferentes. Nem nós conseguimos ver a sua senha; se você esquecer, ela é trocada, não recuperada.
• Seus projetos: o nome que você deu, o objetivo, o comandante, o limite de orçamento, as cartas de cada lista, os preços que você digitou, o histórico de exclusões e as datas de criação e alteração.

Não pedimos nome completo, telefone, documento, endereço nem dados de pagamento — não há pagamento no site. Não usamos os seus dados para publicidade e não os vendemos nem cedemos a terceiros.

Cookies e armazenamento no navegador

Necessários

• Cookie de sessão do PHP (PHPSESSID): criado apenas quando você entra na conta, para o site lembrar que é você entre uma página e outra. Expira ao fechar o navegador ou ao sair da conta.
• Armazenamento local: guarda o projeto em andamento de quem não tem conta, a sua resposta sobre a gravação de navegação, a sua eventual oposição à medição, e preferências pequenas da tela. Fica no seu aparelho; o servidor não lê.

Estes não podem ser recusados porque sem eles o site não funciona. Também não servem para acompanhar você por outros sites.

De medição de audiência

Base legal: legítimo interesse (LGPD, art. 7º, IX) — não pedimos o seu aceite para isto, e explicamos abaixo por quê e como recusar.

• Google Analytics 4, do Google. Registra páginas visitadas, origem da visita, tipo de aparelho e navegador, e uma localização aproximada derivada do endereço IP, que o GA4 trunca antes de guardar. Cookies típicos: _ga e _ga_<id>.

Serve para uma coisa só: saber quantas pessoas usam a ferramenta e quais telas são realmente usadas. Sem isso, decidir o que melhorar vira palpite.

O Guia Orientativo da ANPD sobre cookies admite essa base para medição de audiência desde que os dados fiquem agregados, não sejam cruzados com outras bases e o uso se limite a essa finalidade. Para cumprir isso, o site desliga os Google Signals e os sinais de publicidade: os seus dados de visita não são cruzados com a base de anúncios do Google, não seguem você entre aparelhos e não alimentam personalização de anúncio.

Você pode se opor. Legítimo interesse não é carta branca: a LGPD (art. 18) garante o direito de oposição, e ele vale aqui. O botão abaixo desliga a medição neste navegador, sem prazo para acabar, e nada no site deixa de funcionar.

Carregando…

De gravação da navegação

Base legal: consentimento (LGPD, art. 7º, I) — só é criado se você permitir no aviso que aparece na primeira visita. Enquanto você não permite, o script nem é carregado na página. Se recusar, tudo continua funcionando igual.

• Microsoft Clarity, da Microsoft. Grava a sua navegação — movimento do mouse, cliques e rolagem — e monta mapas de calor. Serve para descobrir onde a interface confunde. O conteúdo digitado em campos é mascarado por padrão pela ferramenta. Cookies típicos: _clck e _clsk.

Isto é pedido, e não apenas informado, porque gravar o que uma pessoa faz na tela não é medição agregada: é registro do comportamento individual. A ANPD é clara em dizer que consentimento precisa ser inequívoco e não pode ser inferido — nem de caixa pré-marcada, nem de "ao continuar navegando você concorda".

Rever minha escolha sobre gravação

Nos dois casos os dados são processados pelas respectivas empresas, sob as políticas delas, e podem ser tratados fora do Brasil. Não enviamos a elas o seu e-mail nem o conteúdo dos seus projetos.

De verificação de robô

Base legal: legítimo interesse (LGPD, art. 7º, IX) — segurança e prevenção a fraude.

• reCAPTCHA v3, do Google. Carregado apenas quando você abre o formulário de criar conta, nunca numa visita comum. Diferente da caixinha de "não sou um robô", esta versão não pede nada a você: ela observa como a página é usada — movimento, ritmo de digitação, sinais do navegador — e devolve ao nosso servidor uma nota de 0 a 1 indicando o quanto a visita parece humana. O Google também grava cookies próprios para isso.

O que recebemos é só essa nota. Não recebemos, e não temos como ver, os sinais que o Google usou para calculá-la. Abaixo de um corte, o cadastro é recusado e nenhuma conta é criada.

O Google recomenda rodar o reCAPTCHA v3 em todas as páginas, porque quanto mais ele observa, melhor a nota. Recusamos essa recomendação: ele roda só no formulário de conta. A nota fica menos precisa, e nós compensamos aceitando um corte mais generoso — pareceu melhor do que deixar o Google acompanhar quem só veio usar a ferramenta.

Não pedimos o seu aceite para isto porque um cadastro sem nenhuma proteção contra automação não é uma opção que faça sentido oferecer — seria expor a ferramenta e as contas de todo mundo. Se o seu navegador bloquear o script do Google, o cadastro não conclui; nesse caso a ferramenta continua inteira sem conta, e você pode nos escrever.

Serviços que o site consulta

Os dados das cartas vêm do Scryfall. Essas consultas partem do nosso servidor, não do seu navegador, então o Scryfall não recebe o seu endereço IP — ele recebe o do servidor. O que enviamos são nomes de cartas.

Os botões da LigaMagic são links comuns. Nada é enviado a eles enquanto você não clicar; ao clicar, você sai deste site e passa a valer a política deles.

As fontes da interface são carregadas do Google Fonts, que recebe o seu endereço IP para entregar os arquivos.

Por quanto tempo guardamos

• Conta e projetos: enquanto a conta existir. Ao excluir a conta, eles são apagados junto, em definitivo.
• Cache de cartas: guardamos por 24 horas os dados que o Scryfall devolve, para não consultá-los toda hora. Esse cache é sobre cartas, não sobre pessoas — não há nada seu nele.
• Registros técnicos do servidor: a hospedagem mantém logs de acesso com endereço IP, pelo prazo que a legislação exige de provedores de aplicação.

Seus direitos

A Lei Geral de Proteção de Dados (Lei 13.709/2018) dá a você o direito de saber o que guardamos, corrigir o que estiver errado, pedir uma cópia, revogar consentimento e pedir a exclusão. Parte disso está na própria ferramenta:

• Ver e corrigir: em Minha conta, com a conta aberta.
• Exportar: o botão Exportar devolve as suas listas em texto ou em planilha.
• Excluir tudo: em Minha conta → Excluir conta. Apaga a conta e todos os projetos, sem volta.
• Opor-se à medição ou rever a permissão de gravação: os dois botões acima nesta página.

Para qualquer outro pedido, escreva para contato@bancadatcg.com.br. Respondemos no prazo da lei.

Menores de idade

O site não é direcionado a crianças e não pedimos idade. Se você é responsável por um menor que criou conta aqui e quer que ela seja apagada, escreva para o e-mail acima.

Segurança

O site roda inteiro sob conexão criptografada, as senhas são guardadas como hash com salt, cada conta só enxerga os próprios projetos, e há proteção contra tentativas repetidas de acesso e contra criação automatizada de contas.

Não detalhamos aqui as medidas técnicas uma a uma. Isso não é falta de transparência: a lista específica do que se usa e de como está configurado é justamente o que ajuda quem quer atacar. Auditores e parceiros podem pedir esse detalhamento pelo e-mail acima.

Nenhum sistema é infalível. Se identificarmos um incidente de segurança que possa trazer risco ou dano relevante a você, comunicaremos você e a Autoridade Nacional de Proteção de Dados, como manda a LGPD (art. 48).

Encontrou uma falha? Escreva para o e-mail acima antes de divulgar. A resposta será de agradecimento, não de ameaça.

Mudanças nesta política

Se ela mudar de forma relevante, a data no topo muda e o aviso sobre gravação volta a aparecer para quem já tinha respondido.