Política de privacidade

A versão curta. Você pode navegar pelo catálogo do Kyzen sem conta. Se criar uma conta, seu e-mail, nome de usuário e dados da conta ficam no Supabase Auth; as senhas são transformadas em hash (bcrypt) e o Kyzen nunca as guarda em texto puro. Os downloads usam um cookie assinado de 24 horas e uma verificação humana. Chaves enviadas ao Custom DB são verificadas criptograficamente. Usamos o Google Analytics só depois que você aceita a análise, e os scripts de anúncio só carregam depois que você aceita os cookies de publicidade. Não vendemos seus dados pessoais. Você pode pedir a exclusão em privacy@kyzen.site.

1. Quem é o responsável

O Kyzen (“nós”) opera este catálogo e o portal de download. Para questões de privacidade, escreva para privacy@kyzen.site. Para assuntos jurídicos e remoções, legal@kyzen.site.

O Kyzen não é afiliado à Mojang Studios ou à Microsoft. As práticas de privacidade da própria Microsoft se aplicam ao Minecraft, ao Xbox e aos serviços PlayFab.

2. Dados que coletamos

Dados de conta (opcional)

• E-mail e nome de usuário quando você se cadastra por e-mail, ou quando o Discord os informa no login.
• Identificadores do Discord se você entrar com o Discord: ID do usuário, nome de exibição, URL do avatar e, se você autorizar, o e-mail e a lista de servidores de que participa. A página de verificação usa essa identidade, confirmada no servidor, para saber que você controla a conta antes de entregar um cargo. Nunca recebemos sua senha do Discord nem suas mensagens privadas.
• Hash da senha em contas por e-mail. A senha é transformada em hash pelo Supabase Auth (bcrypt) e o Kyzen nunca guarda a senha pura, que só é enviada uma vez, por HTTPS, ao serviço de autenticação.
• Perfil e preferências, como favoritos e packs vistos recentemente, guardados no Supabase quando você está conectado. Uma cópia local pode existir no navegador para favoritos e histórico.

Dados técnicos e de segurança

• Endereço IP e user agent, usados para limitar acessos, detectar bots, checar VPN e evitar abusos. IPs podem ficar nas nossas tabelas de segurança por até 24 horas quando um endereço é bloqueado; registros de auditoria do painel administrativo podem guardar um IP por mais tempo.
• Metadados das requisições, como horário, caminho e códigos de erro, tratados pela nossa hospedagem (Vercel) para entregar e proteger o serviço.
• Sinais de verificação humana do hCaptcha e do Cloudflare Turnstile. Esses fornecedores recebem seu IP, sinais do navegador e o token do desafio, sob as políticas deles.
• Consulta de VPN/proxy: o servidor envia o IP da requisição ao ipwho.is para identificar redes de datacenter ou proxy. O resultado fica em cache por pouco tempo, só em memória.

Download, Custom DB e portal

• Passe de 24 horas: o cookie lv_unlock contém uma validade assinada e uma etiqueta não reversível do aparelho, não a sua identidade. Durante as etapas, o servidor também confere a sessão assinada do portal, um resumo (hash) do IP e do navegador e o identificador do aparelho.
• Identificador do aparelho: o navegador gera um identificador aleatório (kz_device) para amarrar a sessão e o passe ao aparelho que fez as etapas, e para aplicar bloqueios temporários de segurança.
• Envios ao Custom DB: quando você envia uma chave, o UUID do pacote e a chave são verificados contra o CDN público. Nenhuma identidade pessoal é anexada às chaves enviadas.
• Contadores de download agregados por UUID do pack. Esses contadores não identificam você.
• Links de compartilhamento criados nas ferramentas da comunidade contêm um ID curto e o UUID do pack.

Análise e anúncios

• O Google Analytics 4 só carrega depois que você aceita a análise no aviso de cookies. Ele recebe visualizações de página, localização aproximada, informações do aparelho e do navegador e um identificador pseudônimo. Você pode retirar o consentimento a qualquer momento em “Preferências de cookies”, no rodapé.
• Adsterra e Monetag fornecem as páginas de patrocinador e, em algumas páginas do catálogo, um banner. Os scripts de anúncio só carregam depois que você aceita os cookies de publicidade. Quando rodam, as redes podem receber seu IP, user agent e identificadores de cookie ou aparelho, e podem gravar cookies próprios, sob as políticas delas.

3. Por que tratamos dados

• Prestar o serviço: criar contas, sincronizar favoritos e histórico, emitir o passe de 24 horas e entregar downloads.
• Segurança: detectar bots, ataques de credenciais, tentativas de burlar o portal, tráfego malicioso e abusos. É nosso legítimo interesse e, quando aplicável, obrigação legal.
• Melhorar o catálogo: contadores agregados e não identificáveis e a análise opcional.
• Manter o serviço: páginas patrocinadas e espaços de publicidade. Não vendemos os dados da sua conta.
• Cumprir a lei: responder a pedidos legais válidos e notificações de remoção.

Quando a base legal é o consentimento (por exemplo, a análise opcional), você pode retirá-lo a qualquer momento. A retirada não afeta o tratamento já realizado.

4. Cookies e armazenamento no navegador

Usamos os cookies e o armazenamento local abaixo. Os “necessários” são exigidos para a segurança ou para o download funcionar.

• lv_unlock: necessário; HttpOnly, Secure, SameSite=Lax; 24 horas. Passe de download assinado.
• kz_device: necessário; SameSite=Lax; 1 ano. Identificador aleatório do aparelho, usado para amarrar o passe e para bloqueios temporários de segurança. Uma cópia fica no armazenamento local (kz_dev_fp).
• kz_gv: necessário; HttpOnly, SameSite=Lax; até 15 minutos, só no caminho /api/gate. Prova assinada de que a página do patrocinador da etapa foi aberta.
• kz_unblock: necessário; HttpOnly, Secure, SameSite=Lax; 24 horas. Emitido depois de uma verificação humana bem-sucedida para retirar um bloqueio.
• kz_oauth_state: necessário; HttpOnly, Secure, SameSite=Lax; 10 minutos. Protege o login com Discord contra CSRF.
• kz_verify: necessário; HttpOnly, Secure, SameSite=Lax; 15 minutos. Prova assinada de que o login com Discord terminou, com seu ID do Discord, nome de usuário e ID do servidor. Usado só para entregar o cargo de verificado.
• kz_admin: só para administradores; HttpOnly, Secure, SameSite=Strict; curta duração. Não é usado em contas comuns.
• kz_cookie_consent_v2: armazenamento local; guarda suas escolhas de análise e publicidade.
• kyzen_auth_session, kyzen_favs, kyzen_hist: armazenamento local; tokens de acesso e de renovação do Supabase e cópias locais de favoritos e histórico. O token de acesso é enviado ao Kyzen como credencial Bearer e os dois são removidos ao sair (o token de renovação também é revogado no servidor).
• kyzen_hide_nokey: armazenamento local; lembra a opção “Só com chave”.
• kz_bot_verified: armazenamento local; um comprovante local (ID do Discord e código) mostrado depois da verificação. O servidor não o aceita como autorização e ele pode ser apagado a qualquer momento.
• _ga, _ga_3N9073J6HC: cookies do Google Analytics, só com o consentimento de análise.
• Cookies de terceiros gravados por Adsterra, Monetag, hCaptcha ou Cloudflare nas páginas ou componentes deles, sob as políticas deles.

Use “Preferências de cookies” no rodapé para mudar ou retirar o consentimento opcional. Você também pode apagar cookies e dados do site no navegador; os necessários serão recriados quando preciso.

5. Fornecedores e compartilhamento

Compartilhamos dados só no necessário para o Kyzen funcionar:

• Supabase: autenticação e banco PostgreSQL para perfis, favoritos, histórico, configurações, links, estatísticas agregadas e registros de segurança. A segurança por linha restringe cada usuário às próprias linhas; o acesso de serviço fica limitado ao nosso backend.
• Vercel: hospedagem, funções serverless, CDN e logs de requisição.
• Discord: login OAuth, se você escolher.
• Google Analytics: análise opcional, após consentimento.
• Adsterra e Monetag: conteúdo patrocinado e publicidade no portal e nos banners.
• hCaptcha (Intuition Machines) e Cloudflare Turnstile: desafios de verificação humana.
• ipwho.is: inteligência de IP usada pelo servidor na checagem de VPN/proxy.
• Microsoft PlayFab: metadados públicos do catálogo e arquivos do CDN do Marketplace.

Não vendemos seu e-mail, hash de senha, token do Discord ou perfil a anunciantes ou corretores de dados. As redes de anúncio podem coletar dados de aparelho e interação por conta própria quando seus scripts carregam; veja as políticas delas para detalhes e opções de recusa.

Alguns fornecedores tratam dados fora do Brasil, inclusive nos Estados Unidos. Quando exigido, as transferências se apoiam nas cláusulas contratuais padrão dos fornecedores ou em salvaguardas equivalentes, nos termos da LGPD.

6. Por quanto tempo guardamos

• Dados de conta: até você excluir a conta ou pedir a exclusão, mais um curto período para backups e obrigações legais.
• Cadastros pendentes: cerca de 10 minutos, depois são descartados.
• Cookie do passe: 24 horas, ou até ser apagado.
• Contadores de limite de acesso: curta duração, na memória do servidor; zeram quando o processo reinicia.
• Registros de IP ou aparelho bloqueado: até 24 horas, salvo quando um bloqueio maior é necessário durante um ataque. Registros de auditoria administrativa podem ser guardados por mais tempo, por segurança e prestação de contas.
• Contadores de download e links de compartilhamento: enquanto o catálogo ou o link existirem.
• Dados de análise e anúncios: conforme as configurações e políticas do Google, da Adsterra e da Monetag.

7. Segurança

Usamos HTTPS, cookies HttpOnly/Secure para o passe e as sessões de administrador, hash de senha com PBKDF2, tokens assinados, autorização no servidor, limites de acesso, validação de entrada e controles de acesso no Supabase. Nenhum sistema é perfeitamente seguro; se você encontrar uma vulnerabilidade, informe em privacy@kyzen.site e não a explore.

8. Seus direitos

Pela LGPD (e por leis equivalentes em outros países), você pode confirmar a existência de tratamento, acessar, corrigir, exportar, anonimizar, bloquear ou excluir seus dados pessoais, se opor a tratamentos baseados em legítimo interesse e retirar o consentimento. Para exercer esses direitos, escreva para privacy@kyzen.site a partir do e-mail da sua conta. Podemos precisar confirmar sua identidade antes de agir.

• Excluir a conta: use os controles da conta ou escreva para nós. Excluímos o perfil e os favoritos e histórico ligados a ele, exceto registros que precisamos manter por segurança ou por lei.
• Desconectar o Discord: remova o Kyzen em Aplicativos autorizados, nas configurações do Discord.
• Reclamar: você pode procurar a Autoridade Nacional de Proteção de Dados (ANPD) ou a autoridade de proteção de dados do seu país.

9. Crianças

O Kyzen não é direcionado a menores de 13 anos. Se você estiver abaixo da idade mínima do seu país, não crie uma conta. Se soubermos que uma criança forneceu dados pessoais, vamos excluí-los.

10. Mudanças e contato

Podemos atualizar esta política quando o serviço ou a lei mudarem. A data no topo mostra a versão atual; mudanças relevantes serão destacadas no site sempre que possível.

Privacidade: privacy@kyzen.site · Jurídico e remoções: legal@kyzen.site