Política de Privacidade

Em vigor desde 19 de setembro de 2026 · versão 33 · ver histórico

1. Quem é o responsável

O Cofre TCG (cofretcg.com.br) é mantido por uma pessoa física, sem fins comerciais: o responsável pelo site, que atua como controlador dos dados na forma da LGPD (Lei nº 13.709/2018). Para qualquer assunto de privacidade, inclusive para saber a identificação completa do controlador, exercer seus direitos ou pedir a exclusão dos seus dados, escreva para suporte@cofretcg.com.br. Respondemos de verdade, e no mesmo endereço.

2. O que guardamos, e o que não

Se você só visita o site, não guardamos nada seu no servidor. O que você montar sem conta fica no armazenamento local do seu navegador e não sai dele.

Se você cria conta, guardamos:

• Seu e-mail. É o único dado pessoal pedido. Não existe senha: o acesso é por link enviado ao próprio e-mail. Junto dele, a conta registra quando foi criada, quando o e-mail foi confirmado e quando você entrou pela última vez.
• O que você cadastra: as cartas da sua coleção (com condição, idioma, quantidade e, se você preencher, preço pago e onde guarda), sua watchlist, seus produtos selados, o valor diário da sua coleção e os ajustes de uso do site (metas, alertas, ordenação…).
• O recado que você escrever no botão “Faltou algo? Escreva para nós”, junto da página e da aba em que você estava, e o e-mail que você digitar ali se quiser resposta. O campo é livre, então vale o aviso: escreva só o que quiser que leiamos. Não coloque documento, senha nem dado de pagamento. O recado pode ser enviado sem conta, e nesse caso não fica ligado a usuário nenhum. Ninguém além de mim lê.
• A sua resposta, se você responder uma pesquisa nossa. De tempos em tempos o site pode perguntar por e-mail o que você está achando dele: duas notas de 1 a 5, uma escolha sobre o que te faz não voltar e um campo livre. Guardamos as respostas ligadas à sua conta, para eu entender o contexto de quem respondeu, e elas não aparecem para mais ninguém: não vão para página nenhuma do site. Eu as leio em dois lugares, os dois fechados: um relatório que roda no meu computador e não sai dele, e o painel de acompanhamento do site, protegido por senha, onde as respostas aparecem sem o seu nome e sem o seu e-mail. Responder é opcional do começo ao fim, cada pergunta pode ficar em branco, e vale o mesmo aviso do recado: o campo é livre, então escreva só o que quiser que eu leia.
• As cartas que você marcar à venda ou para troca, se marcar: o preço que você pede, se você aceita troca nela, o estado do anúncio (disponível, reservada, vendida) e a observação que você escrever nele. Junto vai uma cópia da referência de mercado da carta no dia em que você publicou, com a data, para o anúncio poder mostrar os dois números lado a lado sem recalcular nada depois.
• A lista de cartas que você publicar como procuradas, se publicar: quais cartas são. Ela nasce das faltantes de uma expansão no seu álbum, e só existe no banco depois que você toca em publicar.
• As mensagens sobre anúncios: o texto, a data, o anúncio a que respondem e quem escreveu. Valem os mesmos avisos do recado, e um a mais, porque aqui existe outra pessoa lendo: escreva só o que quiser que ela leia. Não coloque documento, senha nem dado de pagamento. Nós não usamos esse conteúdo para nada além de entregá-lo a quem ele foi escrito.
• Como você quer ser chamado. No seu primeiro acesso o site pergunta isso, e é a única coisa que ele pede além do e-mail. Serve para falar com você pelo nome, na tela e nos e-mails que a sua conta recebe. Pode ser o primeiro nome, o nome inteiro ou um apelido: quem escolhe é você, e dá para trocar quando quiser em Meu perfil. Só sai para outra pessoa se você mandar uma mensagem sobre uma carta anunciada e marcar que quer deixar contato, como a seção 5 detalha.
• O resto do cadastro de perfil, se você preencher: apelido, telefone, cidade, estado, uma rede social e um texto livre sobre a sua coleção. Nada disso é pedido no cadastro nem exigido em momento algum: a página Meu perfil abre com esses campos em branco, o site funciona inteiro assim, e cada um é preenchido, alterado ou apagado por você. Esses dados não aparecem em página nenhuma do site e não são usados para te enviar mensagem: o telefone existe ali porque você quis guardá-lo. São duas as exceções, e as duas dependem de você. A primeira: se publicar a sua página de cartas à venda, cidade e estado aparecem no rodapé dela, porque quem vai comprar precisa saber de onde a carta sai. A segunda: se mandar uma mensagem sobre a carta de outra pessoa e marcar que quer deixar contato, o seu nome, estado e telefone vão nessa mensagem, para essa pessoa e mais ninguém. Para chegar a publicar essa página o site pede nome, cidade e estado, e diz na mesma tela que os dois últimos ficam visíveis. Se você não publicar vendas, nada disso sai. A seção 5 detalha.
• Por onde você chegou, uma vez só. Na primeira visita, o site anota no seu navegador a página em que você aterrissou, o endereço que trouxe você até aqui (o referrer que o próprio navegador informa: uma busca, um grupo, um link em rede social, sem os termos da busca) e as etiquetas de campanha da URL (utm_source, utm_medium, utm_campaign e utm_content), quando existirem. Se você criar conta, esse registro entra nela como uma linha única, que não muda nem cresce depois: não é histórico de navegação, é a resposta de uma pergunta só, "por onde os colecionadores chegam ao Cofre?". Não se mistura com a medição de audiência do item abaixo (Cloudflare e Google Analytics seguem sem cruzamento com a sua conta), não passa por terceiro nenhum e é apagado junto com a conta.

O que não fazemos: não usamos cookie de publicidade, não exibimos anúncio e não seguimos você por outros sites; não pedimos documento nem endereço, e o único dado obrigatório continua sendo o e-mail; não processamos pagamento. Como qualquer serviço na internet, os servidores mantêm registros técnicos de acesso (endereço IP) por segurança, pelo prazo curto padrão das plataformas usadas.

Câmera e fotos do scanner. A aba Escanear usa a câmera (ou uma foto que você escolher) para identificar cartas. Todo o processamento acontece no seu aparelho: a imagem não é enviada a servidor nenhum (nem nosso, nem de terceiros) e não é guardada em lugar algum; ao sair da aba, a câmera desliga. O que pode ir para o servidor é só o resultado que você confirmar: a carta escolhida entrando na sua coleção, como qualquer outro cadastro.

Medição de audiência. O site usa duas réguas para contar quantas visitas cada página recebe, e nenhuma delas monta perfil seu para publicidade:

• Cloudflare Web Analytics, sem cookie: não grava nada no seu navegador e não cria identificador para te acompanhar. O que chega até nós é número agregado: página aberta, país, tipo de aparelho e navegador, de onde veio o clique e quanto a página demorou a carregar.
• Google Analytics 4: usa um cookie de estatística (o _ga), um número sorteado que só serve para distinguir visita nova de visita que voltou. Vê as páginas abertas, a cidade aproximada (pelo endereço IP, que o Google não armazena por inteiro), o aparelho e o navegador. Nós o configuramos com os sinais de publicidade desligados: nada de remarketing, nada de cruzamento com anúncios, e esse cookie não segue você por outros sites.

• Mapa de calor (nosso, sem cookie e sem identificador): conta em que parte de cada tela as pessoas tocam e quais botões apareceram sem serem tocados, para sabermos o que está no lugar errado. Não guarda nada no seu navegador e não cria número nenhum para te acompanhar, nem sorteado: o que chega até nós é uma soma por tela, por dia e por tamanho de aparelho, e duas visitas iguais viram dois no mesmo contador, sem jeito de separar depois. Por isso ela também não responde "o que esta pessoa fez", e nunca vai responder.
  Não tiramos foto da sua tela. O desenho que usamos é a geometria dos botões (onde cada um estava e que tamanho tinha), medida pelo seu navegador; o conteúdo da página não é enviado. O que identifica um botão é o nome que nós escrevemos no código dele, nunca o texto que aparece na tela, e endereços com apelido de pessoa entram como /c/*, sem o apelido.
  Se o seu navegador manda o sinal "não me rastreie" (Do Not Track ou Global Privacy Control), esta medição não roda: nada é observado e nada é enviado.

Nada disso identifica você nem é cruzado com a sua conta, e serve para uma coisa só: saber se o Cofre está sendo usado e o que precisa melhorar. A medição roda apenas no endereço oficial (cofretcg.com.br). Base legal: legítimo interesse (art. 7º, IX da LGPD). Se você usa bloqueador de rastreadores, é provável que ele já bloqueie as duas medições, e o site funciona igual.

Pelo mapa Por perto, a partir do momento em que você cadastra cidade e estado, guardamos ainda: o nome que aparece no mapa, o código oficial do município ao lado da cidade que você já cadastrava, a data em que você entrou no mapa (que vale como a sua declaração de ter 18 anos ou mais), a data em que você saiu do mapa, se você tiver saído (é o que garante que cadastrar a cidade de novo não traga você de volta sem você pedir), e a lista das pessoas de quem você marcou que não quer mais mensagens, que só você lê e só você apaga. Nenhuma coordenada sua é guardada: a posição no mapa é a do centro da cidade, igual para todo mundo de lá.

Para usar o mapa é preciso ter conta e dizer de onde você é. Desde 09/09/2026 quem abre o Por perto sem conta vê o mapa do Brasil e as cidades desenhadas nele, e mais nada: não dá para pesquisar uma cidade nem ver quem está no mapa. Com a conta criada, você escolhe a sua cidade numa lista dos municípios do Brasil e ela passa a ser a cidade do seu cadastro, porque é dela que sai a distância até cada pessoa do mapa: trocá-la no mapa troca a do seu perfil. Ela fica guardada também no seu navegador, para o mapa já saber de onde medir. A cidade é sempre a que você declarou, pode ser trocada a qualquer momento, e o site continua sem pedir e sem ler a localização do aparelho.

Se você falar comigo no WhatsApp, pelo botão que fica na página Sobre, em "Fale comigo": esse botão só abre o WhatsApp com uma frase pronta, e nada seu vai junto. Ele não leva o seu e-mail e não diz se você tem conta aqui. Nós medimos apenas que alguém clicou nele, no mesmo número agregado da audiência, sem identificar quem.

A partir do momento em que você escreve, é uma conversa de WhatsApp como qualquer outra: o aplicativo entrega o seu número e o nome do seu perfil, e a conversa fica guardada nos dois aparelhos, como toda conversa sua. Uso isso para responder você e para corrigir o que você apontar do site, e nada dali é cruzado com a sua conta do Cofre nem com a medição de audiência. Não mando oferta, novidade nem propaganda por lá sem você ter dito que quer receber, e pedir para parar é uma frase. O canal é meu, um número pessoal: nunca peço senha, código de acesso, CPF, dado de cartão ou pagamento por ele, e se alguém pedir isso em nome do Cofre, não sou eu. Quem prefere não usar WhatsApp continua com o e-mail de contato, que resolve a mesma coisa.

3. Para que usamos

• E-mail: para enviar o link de acesso e localizar a sua conta. Além do link que você mesmo pede, e dos avisos que a lei manda dar a quem tem conta, o Cofre só escreve se você autorizar. A autorização é pedida no primeiro acesso, na mesma tela em que perguntamos como você quer ser chamado: a caixinha aparece já marcada, e seguir com ela marcada é o seu sim. Desmarcar ali, antes de continuar, deixa você de fora, e continuar desmarcado não custa nada: nada no site depende dessa caixinha. Depois disso ela mora na página Meu perfil, e sair da lista é um clique no rodapé de qualquer e-mail de novidades, ou um recado para o e-mail de contato. Quem já tinha respondido antes não é perguntado de novo: a resposta anterior continua valendo, e quem já tinha saído da lista continua fora. Nunca vendemos nem cedemos o seu endereço.
• Dados da coleção: para mostrar o seu cofre em qualquer aparelho em que você entrar, calcular os totais e desenhar os gráficos. São seus, e não usamos para outra finalidade.
• Registro de chegada: para saber por onde as pessoas chegam ao Cofre, e o que leem antes de decidir criar conta, e com isso escolher onde vale divulgar e o que vale escrever. Base legal: legítimo interesse (art. 7º, IX da LGPD), com o dado mínimo para a finalidade: uma linha por conta, escrita uma única vez.
  Essa linha guarda por onde você chegou (página de chegada, referrer e etiquetas de campanha da URL) e a lista das páginas daquela mesma visita, com três limites: no máximo doze páginas, só o caminho delas (nunca o que vem depois da interrogação, que é onde ficam termo de busca e token de acesso) e só daquela visita, porque depois de noventa minutos sem abrir nenhuma página a lista recomeça do zero.
  Se você chegou pelo link de outra pessoa (a página da coleção dela, ou um link que leva o apelido dela), essa mesma linha guarda também quem convidou. É o que faz as conquistas de convite existirem. Quem convidou vê apenas quantas pessoas chegaram pelo link dela e quantas guardaram carta: nunca quem são, nem nome, nem e-mail, nem cidade. Também é escrito uma vez só, quando a conta nasce.
  Depois que a conta nasce, nada mais é anotado: não existe histórico de navegação de quem já tem conta, nem soma entre dias.

Base legal: execução do serviço que você pediu ao criar a conta (art. 7º, V da LGPD) e seu consentimento no cadastro (art. 7º, I). Para novidades por e-mail, só o consentimento expresso e específico (art. 8º), que é seu de dar e seu de retirar.

4. Onde os dados ficam

No banco de dados do serviço Supabase (PostgreSQL), hospedado na região de São Paulo, Brasil, sobre infraestrutura da AWS. O site é servido pela Cloudflare, que também faz uma das medições de audiência do item 2; a outra é do Google Analytics (Google LLC), cujos números de medição podem ser processados fora do Brasil, sob as salvaguardas contratuais do próprio serviço. Esses fornecedores atuam como operadores: guardam e entregam dados por nossa conta e não têm autorização para usá-los para outros fins.

E-mail. As mensagens que o Cofre envia (o link de acesso, os comprovantes e, se você autorizar, as novidades) saem pelo Resend (Resend Inc., Estados Unidos). Ele recebe o seu endereço e o conteúdo da mensagem, pelo tempo necessário para entregá-la e registrar se ela chegou.

Medição dos e-mails. Nos e-mails de novidades e nos de acompanhamento (as boas-vindas, o convite para guardar a primeira carta e o lembrete de quem sumiu) medimos abertura: a mensagem carrega uma imagem invisível de um pixel que avisa quando o e-mail é aberto. Nas novidades medimos também o clique, e nelas os links passam por um endereço de contagem do Resend antes de levar ao destino; nos e-mails de acompanhamento os links vão direto, sem contador no meio. Isso serve para uma coisa só: saber se o que mandamos vale a pena para quem recebe, e parar de mandar o que ninguém abre.

O link de acesso e os comprovantes (dados, exclusão de conta, saída da lista) não têm medição nenhuma, e essa é a parte que não muda: o e-mail que serve para você entrar no site é o pior lugar possível para haver curiosidade nossa. A abertura é sempre uma estimativa, porque muitos programas de e-mail bloqueiam a imagem, e outros a carregam sozinhos antes de você ver a mensagem. Base legal: para as novidades, o mesmo consentimento que as autorizou (art. 8º da LGPD), e ao sair da lista a medição acaba junto; para os e-mails de acompanhamento, o legítimo interesse em saber se as mensagens do próprio serviço estão chegando e sendo lidas (art. 7º, IX), sem que disso saia qualquer perfil sobre você: o que medimos é o e-mail, não a pessoa.

Fontes de letra. A porta de entrada e o cofre desenham o logotipo com uma fonte servida pelo Google Fonts. Para montar a letra, o seu navegador pede o arquivo ao Google, e nesse pedido vai o seu endereço IP, como em qualquer endereço que você abre. Nenhum dado da sua conta acompanha o pedido e não há cookie envolvido. Esta página, a de perfil e a de erro não carregam fonte externa nenhuma.

Cada linha do banco é protegida por regra de acesso no próprio servidor (Row Level Security): só a sua conta lê e escreve o que é seu. Todo o tráfego usa HTTPS.

5. O que fica visível para outras pessoas

Por padrão, nada. Sua coleção, sua watchlist e seu cadastro são só seus: nenhum outro usuário vê o que você guarda, e seu e-mail nunca aparece para ninguém. O site já teve uma área de Trocas, em que uma oferta publicada ficava visível para as pessoas logadas; ela está desligada.

A exceção é a sua página pública, e ela só existe se você ligar. Desde 27/08/2026 dá para publicar as suas cartas num endereço próprio, no formato cofretcg.com.br/c/seu-apelido, para mandar o link a quem você quiser. O interruptor fica no botão compartilhar, na fita de ferramentas do Álbum, e nasce desligado. Enquanto você não ligar, esse endereço não existe.

Com a página ligada, quem tiver o link vê:

• o apelido que você escolheu (é ele que forma o endereço);
• a data em que você entrou no Cofre TCG;
• a lista das suas cartas: nome, expansão, número, raridade, quantidade, estado, idioma e a nota de gradação, se houver;
• a soma de cartas, de cartas diferentes e de expansões;
• o valor total da coleção e a data em que ele foi medido, e só se você ligar o segundo interruptor, que também nasce desligado. Publicar a lista e anunciar quanto ela vale são duas decisões separadas, e por isso são dois interruptores.
• as suas conquistas: os selos que você já ganhou no cofre, com o nome de cada um e o dia em que veio. Aparecem só os ganhos, nunca os que faltam. Os selos de patrimônio ("Cem reais", "Mil reais", "Dez mil") seguem o mesmo interruptor do valor total: com ele desligado, eles não saem na página.

O que NUNCA sai nessa página, nem com os dois interruptores ligados: seu nome, seu e-mail, seu telefone, sua cidade, seu estado, sua rede social, o texto do seu perfil, quanto você pagou em cada carta, suas anotações, onde você guarda a carta e a data em que cada uma entrou. (Cidade e estado saem na página de cartas à venda, que é outra, tem outro endereço e outro interruptor; está logo abaixo.) Isso não é uma escolha do site na hora de desenhar a tela: a lista do que pode sair está escrita dentro do banco de dados, e o que não está nela não é entregue a ninguém.

Ela não entra em buscador. A página é marcada como não indexável, de propósito: ela existe para o link que você manda, não para aparecer em busca.

Desligar é imediato. No mesmo botão você tira a página do ar, e o endereço para de responder na hora, inclusive para quem já tinha o link. O apelido continua reservado para você. Uma ressalva honesta: quem já abriu a página pode ter guardado uma cópia ou uma captura de tela, e isso o site não alcança.

O endereço de vendas leva à mesma página. O cofretcg.com.br/v/seu-apelido continua respondendo e abre essa mesma página já filtrada nas cartas à venda. Não é uma segunda página com um segundo conteúdo: o que aparece em cada uma delas é decidido pelos interruptores abaixo, e não pelo endereço que a pessoa abriu.

O que você vende, troca e procura é outro interruptor. Ele se chama mostrar o que vendo, troco e procuro, fica na mesma folha do botão compartilhar e nasce desligado. Publicar a coleção e abrir os seus negócios são decisões separadas: ligar uma não liga a outra, e quem quiser pode ligar só a segunda.

Com ele ligado, quem tiver o link vê o seu apelido, a data em que você entrou, e de cada carta que você marcou: nome, expansão, número, raridade, quantidade, estado, idioma, o preço que você está pedindo, se você aceita troca nela, a referência de mercado com a data em que foi medida, se ela está disponível, reservada ou vendida, e a observação que você mesmo escrever. Só as cartas que você marcar. Se a página da coleção estiver desligada, o resto do que você guarda não aparece.

A lista de cartas que você procura entra junto. No álbum, o botão faltantes mostra o que falta na expansão aberta; ali existe um botão para publicar essa lista no seu link, e quem abrir vê o nome e o número de cada carta procurada. Tocar nele liga o interruptor acima, porque é isso que você está pedindo ao publicar; a mensagem na tela diz que aconteceu. O mesmo botão tira a lista do ar depois.

Quem quiser falar com você precisa ter conta. Tanto na carta que você anuncia quanto na que você procura existe um botão que abre uma caixa de mensagem; quem não tem conta é levado ao cadastro antes de escrever. Da mensagem guardamos o texto, a data, qual carta ela responde e quem escreveu. Ela é lida por você e por quem escreveu, e por mais ninguém, e o seu e-mail continua sem aparecer para a outra pessoa. Só quem escreve pode apagar a própria mensagem, e você pode apagar as que recebeu.

A sua cidade e o seu estado aparecem no rodapé dessa página. Só eles, e só nessa: frete e entrega em mãos são a primeira pergunta de quem vai comprar, e uma página que não diz de onde a carta sai obriga as duas pessoas a uma conversa inteira antes disso. Por causa deles, o site pede nome, cidade e estado antes de deixar você gerar o link, e diz na mesma tela que os dois últimos vão para o rodapé. Endereço nós não pedimos nem guardamos, e cidade e estado somem da página no instante em que você a tira do ar ou apaga os dados do perfil.

O mapa Por perto é o quarto interruptor. Desde 02/09/2026 existe, dentro do cofre, um mapa do Brasil com os colecionadores que dizem de onde são, cidade por cidade, para quem coleciona perto de você te encontrar e falar com você. Ele se chama Por perto, fica na seção "Mais" do celular e na barra do computador. Desde 11/09/2026, é a sua cidade que liga o mapa: cadastrar cidade e estado, em qualquer tela do site, coloca você nele, com o nome que aparece no mapa (um campo separado do "como te chamar" da conta, preenchido com o seu primeiro nome e a inicial do último, e que você pode editar). Quem não cadastra cidade e estado não aparece e não entra em contagem nenhuma, e sair do mapa continua sendo um toque dentro dele, a qualquer momento. Cadastrar a cidade é também declarar que você tem 18 anos ou mais, e isso está escrito em cada tela que pede a cidade; a data em que você entrou no mapa fica guardada.

Com ele ligado, quem tem conta e abre o mapa vê: o nome que você escolheu para o mapa, a sua cidade e o seu estado, o mês em que você entrou no mapa, se você foi a primeira pessoa da sua cidade a entrar, e, só se os outros interruptores estiverem ligados, o link do seu álbum público e da sua página de vendas, com quantas cartas você anunciou e quantas procura. Desde 09/09/2026 nada disso aparece para quem não tem conta. As contagens por cidade e por estado ("12 colecionadores em Minas Gerais", "3 novos esta semana") são visíveis pelo mapa, nas mesmas condições, e nunca levam nome. A distância que aparece entre pessoas é calculada entre os centros das cidades, nunca a partir da sua posição: o site não pede nem lê a localização do aparelho.

O mapa alcança o Brasil inteiro. Desde 10/09/2026 quem abre o mapa vê quem entrou nele em qualquer cidade do país, da mais perto da cidade que você declarou para a mais longe, e você aparece do mesmo jeito para quem procurar. Entre 05/09/2026 e esta data o mapa mostrava só quem estava a até 100 km, e esse limite deixou de existir: a distância voltou a servir apenas para ordenar a lista e para escrever quantos quilômetros separam duas cidades. Ela continua sendo medida entre os centros das cidades, e o site continua sem pedir e sem ler a localização do aparelho. Se você tinha ligado o mapa antes desta data, o seu alcance aumentou: o interruptor continua no mesmo lugar, e desligá-lo tira você do mapa na hora.

Desde 11/09/2026, dizer a sua cidade é entrar no mapa. Até esta data, cadastrar cidade e estado não colocava ninguém no mapa: era preciso um segundo gesto, o botão "Entrar no mapa". Esse botão deixou de existir como porta, e agora cadastrar cidade e estado, em qualquer tela do site (o próprio mapa, o seu perfil ou o cadastro da sua página de vendas), coloca você no mapa com o seu nome curto e a sua cidade. Isso valeu também para quem já tinha cidade cadastrada: as contas que declararam cidade e estado antes desta data entraram no mapa nesta data, sem precisar fazer nada, e foram avisadas por esta política e pelas próprias telas, não por e-mail. Se você não quer aparecer, a saída é imediata e está em dois lugares: o botão "Sair do mapa", dentro do Por perto, que tira você na hora e não é desfeito por nenhuma edição posterior de cidade, e apagar a cidade e o estado do seu perfil, que também tira. O que sai de cada pessoa no mapa continua exatamente o mesmo de antes, campo por campo.

E o mapa só responde a quem tem conta. Desde 09/09/2026, o pedido de quem não tem sessão não é atendido pelo banco de dados: nenhuma contagem, nenhum nome e nenhuma lista de pessoas sai para quem não entrou. Quem chega sem conta vê o desenho do país e as cidades do Brasil, que são catálogo público do IBGE, e nada mais. O corte é do banco e não da tela, e ele não mudou quando o alcance mudou.

O que nunca sai no mapa: o nome da sua conta, seu e-mail, seu telefone, endereço ou bairro, sua rede social, o texto do seu perfil, quantas cartas você tem, quanto elas valem e o seu último acesso. Como nas páginas públicas, a lista do que sai está escrita dentro do banco de dados, e o que não está nela não é entregue a ninguém. O mapa não entra em buscador.

A mensagem pelo mapa é a mesma mensagem descrita nesta seção: quem te encontra no mapa e tem conta pode escrever para você, com as mesmas regras (nome, estado e WhatsApp só com o sim de quem escreve, e-mail na hora para você, e a mensagem lida só por vocês dois). O que o mapa acrescenta são limites, todos aplicados pelo banco: cada conta manda no máximo dez mensagens por dia pelo mapa e uma por semana para a mesma pessoa, e você pode marcar, na sua caixa de entrada, que não quer mais mensagens de uma pessoa; a partir daí ela não consegue te escrever pelo mapa, e não é avisada disso. Na sua caixa de entrada, a mensagem vinda do mapa mostra a cidade de quem escreveu, se essa pessoa também estiver no mapa.

Sair do mapa é um toque, na mesma tela, sem confirmação. Você some do mapa e das contagens na leitura seguinte (quem estiver com o mapa aberto vê a mudança em até um minuto). Apagar a sua cidade ou os dados do perfil também tira você do mapa. Vale aqui a mesma ressalva das páginas públicas: quem já abriu o mapa pode ter guardado uma captura de tela, e isso o site não alcança.

Seu telefone continua fora da página. O site não publica número de ninguém: quem abre o seu link vê o seu apelido, as cartas e os preços, e mais nada. O número não aparece no anúncio, não entra em busca e não é lido por quem apenas visita.

Ele só atravessa quando você manda uma mensagem e marca que quer atravessar. Ao clicar em "Tenho interesse" numa carta de outra pessoa, você escreve o recado e escolhe, na mesma tela, se o seu nome, estado e WhatsApp vão junto. A caixa já vem marcada, porque uma mensagem que o outro lado não pode responder não serve para nada, e desmarcar é um toque: a mensagem chega igual, sem forma de resposta, e a tela diz isso com todas as letras antes de você enviar. Esses três campos vão para uma pessoa só, a dona daquele anúncio, e ninguém mais no site os vê.

Quando você recebe uma mensagem, o contato de quem escreveu aparece para você na aba Vender ou trocar, junto com um botão que abre a conversa no WhatsApp. Ele só aparece se a pessoa tiver marcado que queria. E você recebe um e-mail na hora avisando que a mensagem chegou, com o texto dela: é aviso de coisa que aconteceu na sua conta, não lista de novidades, e ele para no dia em que você tirar os seus anúncios do ar.

Apagar os dados do perfil limpa o seu telefone, e a partir daí ele não atravessa mais em mensagem nenhuma, inclusive nas que você já mandou.

O Cofre TCG não participa da venda. Não intermediamos pagamento, não cobramos comissão, não entramos na entrega e não temos como garantir que o negócio se cumpra. Anunciar aqui é publicar um aviso, não vender pelo site.

6. Compartilhamento

Não vendemos, não alugamos e não cedemos seus dados a ninguém. Não há anúncio, parceria comercial nem "compartilhamento com parceiros". Dados só sairiam por obrigação legal ou ordem de autoridade competente.

7. Seus direitos e como exercer

• Ver e corrigir: tudo que é seu está no próprio site, editável por você. Os dados de cadastro ficam na página Meu perfil, no menu da sua conta.
• Apagar só o cadastro: a mesma página tem o botão Apagar dados do perfil, que limpa nome, telefone, cidade e companhia na hora, sem mexer na conta nem nas suas cartas.
• Levar embora (portabilidade): a aba Minha Coleção tem o botão Exportar: planilha CSV e backup completo, sem pedir nada a ninguém. Se você também quiser o que não é carta (cadastro, histórico de consentimento, recados que enviou e os e-mails que recebeu), peça para suporte@cofretcg.com.br: mandamos um arquivo com tudo. Ele vai sempre para o e-mail cadastrado na conta, e nunca para outro endereço, mesmo que o pedido peça outro.
• Sair: o botão de sair desconecta o aparelho; seus dados continuam guardados para a próxima entrada.
• Apagar de vez: a página Meu perfil tem o botão Apagar minha conta, e ele apaga na hora: a conta e tudo que depende dela (coleção, watchlist, selados, histórico, ajustes e trocas) saem do banco, sem cópia retida. Você recebe um comprovante por e-mail dizendo o que foi apagado. Se preferir que a gente faça por você, escreva para suporte@cofretcg.com.br.

8. Por quanto tempo guardamos

Enquanto a sua conta existir. Apagou, acabou: a exclusão remove os dados do banco em cascata, e não mantemos arquivo morto.

Isso vale também para as mensagens sobre anúncios, que têm dois donos: apagar a sua conta remove as que você enviou e as que você recebeu, dos dois lados, sem deixar cópia com a outra pessoa.

Há uma exceção, e ela existe para não incomodar você. Se um e-mail nosso voltar como endereço inexistente, ou se você marcar uma mensagem nossa como spam, guardamos o endereço numa lista de bloqueio para nunca mais escrever para ele. Essa lista guarda o endereço e o motivo, mais nada, e sobrevive à exclusão da conta de propósito: se ela fosse apagada junto, uma conta nova com o mesmo e-mail voltaria a receber o que você já recusou. Para tirar o seu endereço de lá, é só pedir.

9. Crianças e adolescentes

O Cofre TCG não é direcionado a crianças. Se você tem menos de 13 anos, peça a um responsável que faça o cadastro e acompanhe o uso; ao identificar conta de criança criada sem consentimento do responsável, nós a apagaremos.

10. Mudanças nesta política

Se a política mudar (por exemplo, se o site ganhar um recurso novo que trate dados de outra forma), a versão e a data no topo desta página mudam junto, e alterações relevantes serão avisadas na própria tela de entrada. O histórico não vale retroativamente: mudança que amplie uso de dados só vale para quem continuar usando depois de avisado.

Histórico de versões

Toda mudança desta política fica registrada aqui, com o motivo. O texto muda; o registro não some.

• Versão 33, de 19/09/2026: o botão de ajuda no WhatsApp saiu do canto de todas as páginas e passou a viver só na página Sobre, na seção "Fale comigo", ao lado do e-mail. O botão flutuante cobria conteúdo clicável em várias telas do site; a coleta de dado descrita na versão 32 não mudou em nada, só o lugar onde o botão aparece.
• Versão 32, de 17/09/2026: nasceu o botão de ajuda no WhatsApp, no canto de todas as páginas, e com ele um canal de contato novo (item 2). O botão só abre o aplicativo com uma frase pronta: nada seu vai junto, nem o e-mail, nem se você tem conta, nem em que página você estava. Do site sai apenas a contagem de que alguém clicou, sem identificar ninguém. Quem escreve entrega o próprio número ao mandar a mensagem, como em qualquer conversa, e essa conversa serve para responder e para corrigir o site: não é cruzada com a sua conta e não vira lista de propaganda.
• Versão 31, de 12/09/2026: o registro de por onde você chegou (item 2) passou a guardar também uma quarta etiqueta, utm_content — qual peça de anúncio pago trouxe a conta, não só de qual campanha e qual site. Antes, com vários criativos de anúncio rodando ao mesmo tempo, todos ficavam indistinguíveis nesse registro. Vale só a partir de agora: contas criadas antes desta versão não têm como ser reclassificadas, porque o parâmetro nunca foi guardado.
• Versão 30, de 12/09/2026: nasceu o mapa de calor, a terceira régua de audiência do item 2, e a primeira que é nossa de ponta a ponta. Ele conta em que parte de cada tela as pessoas tocam e quais botões apareceram sem receber toque, para sabermos o que está no lugar errado. É a medição que guarda menos do que qualquer outra deste site: sem cookie, sem identificador nem sorteado, sem print de tela e sem nada do texto que aparece na página. O que chega até nós é uma soma por tela, por dia e por tamanho de aparelho, e duas visitas iguais viram dois no mesmo contador, sem jeito de separar depois. Um botão é identificado pelo nome que nós escrevemos no código dele, e endereços com apelido de pessoa entram sem o apelido. Quem usa navegador com o sinal "não me rastreie" (Do Not Track ou Global Privacy Control) não é medido: nada é observado e nada é enviado.
• Versão 29, de 11/09/2026: dizer a cidade passou a ser entrar no mapa. Até aqui o mapa Por perto tinha dois gestos: cadastrar cidade e estado, e depois apertar "Entrar no mapa". O segundo saiu: cadastrar cidade e estado, em qualquer tela do site, agora coloca a pessoa no mapa com o nome curto e a cidade. A mudança valeu para trás: as contas que já tinham cidade e estado cadastrados antes desta data entraram no mapa nesta data, sem ter feito nada, e é por isso que esta versão subiu junto com a mudança. Nenhum campo novo passou a aparecer para os outros: o que sai no mapa é o mesmo da versão 28, campo por campo. Nasceu um dado guardado a mais, a data em que a pessoa sai do mapa, que existe para que cadastrar a cidade outra vez não traga de volta quem escolheu sair. A saída continua em dois lugares: o botão "Sair do mapa", que nenhuma edição posterior de cidade desfaz, e apagar cidade e estado do perfil.
• Versão 28, de 10/09/2026: o mapa Por perto voltou a alcançar o Brasil inteiro. A versão 23 havia limitado o mapa a 100 km da cidade declarada; esse limite saiu, e quem abre o mapa passa a ver quem entrou nele em qualquer cidade do país, da mais perto para a mais longe. Nada mudou no que sai de cada pessoa (nome do mapa, cidade, estado, mês de entrada e os selos dos outros interruptores), nem nas duas condições para usar o mapa: é preciso ter conta e dizer a sua cidade e o seu estado. O que mudou foi o alcance: quem ligou o interruptor antes desta data passou a aparecer para todo o país, e por isso esta versão subiu no mesmo dia da mudança. A distância continua medida entre os centros das cidades, e desligar o interruptor continua tirando a pessoa do mapa na hora.
• Versão 27, de 10/09/2026: passou a existir a pesquisa de satisfação, e com ela um dado novo: as respostas que você der (duas notas de 1 a 5, uma escolha sobre o que te faz não voltar e um texto livre), guardadas ligadas à sua conta. Elas servem para decidir o que construir em seguida e não aparecem em página nenhuma do site: são lidas num relatório que não sai do meu computador e no painel de acompanhamento, que tem senha e mostra as respostas sem nome e sem e-mail. Responder é opcional, e o link da pesquisa não pede login: ele é assinado, vale só para a sua conta e não carrega o seu e-mail no endereço. A seção 2 diz o que muda.
• Versão 26, de 10/09/2026: o registro de chegada passou a guardar quem convidou, quando a conta nasce de um link de outra pessoa. O dado já existia pela metade (a página de chegada de quem entrava por /c/ sempre teve o apelido de quem mandou o link), e agora tem uma finalidade declarada: as conquistas de convite. O que a pessoa que convidou vê é número, e só o dela: quantas contas chegaram pelo link e quantas guardaram carta. Quem entrou não é identificado para ela em momento nenhum. A seção 3 diz o que muda.
• Versão 25, de 09/09/2026: o mapa Por perto passou a exigir conta. Quem chega sem conta continua vendo o mapa do Brasil e as cidades desenhadas nele, mas não pesquisa cidade nenhuma e não vê pessoa nenhuma: o nome, a cidade e os links de quem está no mapa só saem para quem tem conta e está a até 100 km. Quem faz esse corte é o banco de dados, que deixou de responder a pedido sem sessão, e não a tela. Com isso deixou de existir a cidade declarada por quem não tem conta, que antes ficava guardada só no navegador: a cidade do mapa é sempre a de um cadastro. As seções 2 e 5 dizem o que muda.
• Versão 24, de 06/09/2026: a medição de abertura passou a valer também para os e-mails de acompanhamento (boas-vindas, convite para guardar a primeira carta e lembrete de quem sumiu), que até aqui saíam sem medição nenhuma. Eles passaram a carregar um pixel invisível servido por um endereço nosso, e não por um contador de terceiro; os links deles continuam indo direto ao destino, sem passar por contador. O link de acesso e os comprovantes continuam sem medição, e agora isso é uma escolha feita e-mail por e-mail em vez de depender de qual domínio os envia. A seção 4 diz o que é medido, o que não é, e a base legal de cada um.
• Versão 23, de 05/09/2026: o mapa Por perto ganhou alcance de 100 km. Ele deixou de mostrar o país inteiro de gente e passou a mostrar só quem coleciona a até 100 km de você, e por isso ver o mapa passou a exigir que você diga de que cidade é. Quem tem conta usa a cidade do cadastro; quem não tem escolhe uma na lista de municípios e ela fica só no navegador dele, sem chegar ao nosso banco. Quem está fora dos 100 km não vê você e não é visto por você, e quem faz esse corte é o banco de dados, não a tela. A cidade declarada não é verificada, então o alcance vale como privacidade e relevância, não como trava. As seções 2 e 5 dizem o que isso guarda e o que muda no que os outros veem.
• Versão 22, de 04/09/2026: saiu a camada que a versão 21 tinha acabado de criar. O mapa Por perto deixou de mostrar de onde o site é lido: aquele agregado por cidade não é mais exibido, não é mais coletado, e as linhas que existiram foram apagadas do banco no mesmo dia. O mapa volta a mostrar só quem ligou o interruptor. A medição de audiência da seção 2 continua como sempre foi, para uso interno.
• Versão 21, de 04/09/2026: por algumas horas o mapa Por perto mostrou também de onde o site era lido, cidade por cidade, como uma luz na cidade, a partir da medição de audiência somada por município. Nenhum acesso virou pessoa no mapa e nenhuma dessas cidades recebeu mensagem. Substituída pela versão 22 no mesmo dia.
• Versão 20, de 02/09/2026: nasceu o mapa Por perto, o quarto interruptor, que mostra, para quem abrir o mapa com ou sem conta, o nome que você escolheu para ele, a sua cidade e o seu estado, o mês em que você entrou e os links das suas páginas públicas quando elas estão ligadas. A cidade passou a ser escolhida numa lista dos municípios e guardada pelo código oficial; nasceram o nome no mapa (separado do nome da conta), a declaração de 18 anos ou mais ao ligar, os limites de mensagem pelo mapa (dez por dia, uma por semana para a mesma pessoa) e o "não quero mais mensagens desta pessoa" na caixa de entrada. As seções 2 e 5 dizem tudo isso. Nada disso é avisado por e-mail.
• Versão 19, de 01/09/2026: nasceram as conquistas, os selos que marcam o que você já fez no cofre (guardar a primeira carta, voltar outro dia, fechar metade de uma expansão). Elas vivem dentro da sua conta, e passam a aparecer também na sua página pública, se você tiver ligado a página. Não há interruptor novo: as conquistas são consequência dos mesmos fatos que a página já mostra. A exceção são os selos de patrimônio, que seguem o interruptor do valor total e não saem com ele desligado. A seção 5 passou a listar isso.
• Versão 18, de 29/08/2026: quem manda mensagem sobre uma carta anunciada passou a poder deixar nome, estado e WhatsApp junto, por escolha na própria tela e com a caixa já marcada; sem ela a mensagem chega sem forma de resposta. Esses campos vão só para a pessoa dona daquele anúncio, e continuam fora de qualquer página pública. Na mesma mudança, quem recebe uma mensagem passou a ser avisado por e-mail na hora, com o texto dela. A seção 5 foi reescrita: a frase "seu telefone não vai para lugar nenhum" tinha deixado de ser verdade, e no lugar dela está a diferença entre publicar e entregar.
• Versão 17, de 28/08/2026: a página de cartas à venda passou a mostrar a cidade e o estado de quem anuncia, no rodapé. É a primeira vez que um dado do cadastro de perfil aparece para outra pessoa, e por isso a versão existe. O motivo é o frete, que é a primeira pergunta de qualquer negócio de carta no Brasil. Continua sendo só cidade e estado, só nessa página e só com ela no ar: endereço não é pedido, e nome, e-mail, telefone, rede social e o texto do perfil continuam sem sair. Como o dado passou a ser necessário, o site agora pede nome, cidade e estado antes de deixar gerar o link de vendas, e avisa na mesma tela para onde os dois vão. Quem não publica vendas não é afetado em nada. Esta política mudou no mesmo dia em que a mudança entrou no ar.
• Versão 16, de 27/08/2026: as duas páginas públicas viraram uma só. O endereço da coleção e o das vendas passam a servir a mesma página, em forma de álbum, e o que aparece nela continua sendo decidido pelos interruptores, não pelo endereço. Junto vieram duas coisas novas que esta versão declara: você pode marcar uma carta como aberta a troca, e pode publicar a lista de cartas que procura, que sai das faltantes do seu álbum. Publicar essa lista liga o interruptor dos negócios, e isso está escrito na seção 5. A caixa de mensagem passou a valer também para as cartas procuradas: quem tem a carta pode dizer que tem, com as mesmas regras de antes.
• Versão 15, de 27/08/2026: nasceu a página de cartas à venda e, com ela, a primeira forma de uma pessoa escrever para outra dentro do site. São as duas coisas que esta versão declara. A página de vendas é um terceiro interruptor, separado dos dois da coleção e também desligado ao nascer, e nela só aparecem as cartas que você marcar à venda, nunca o resto da coleção. Da mensagem sobre um anúncio guardamos o texto, a data, o anúncio e quem escreveu; ela é lida pelos dois lados da conversa e por mais ninguém, seu e-mail não aparece para quem escreve e seu telefone não é publicado em lugar nenhum. A seção 8 passou a dizer o que acontece com a mensagem quando uma das duas contas é apagada. Esta política mudou antes de a página existir no ar.
• Versão 14, de 27/08/2026: nasceu a página pública da coleção. Até esta versão a seção 5 dizia que nada seu ficava visível para outras pessoas, e isso continua sendo verdade para quem não mexer em nada: a página só existe se você ligar, num botão que nasce desligado, e o valor total é um segundo interruptor, também desligado. A seção 5 passou a listar item por item o que aparece e o que nunca aparece. Esta política mudou antes de a página existir no ar, como a versão 13 tinha prometido.
• Versão 13, de 26/08/2026: a seção 5 passou a dizer o que já é verdade: nada seu fica visível para outras pessoas. A área de Trocas, que aquela seção ainda descrevia como ativa, foi desligada do site, e a oferta de troca saiu da lista do item 2. Se a área voltar um dia, esta política muda antes de ela ligar.
• Versão 12, de 26/08/2026: mudou como pedimos autorização para as novidades. Antes a caixinha ficava desligada dentro da página Meu perfil, que quase ninguém abre: na prática, quase ninguém chegava a ser perguntado. Agora ela aparece na pergunta do primeiro acesso, junto do campo do nome, e já vem marcada: continuar com ela marcada é o seu consentimento, e desmarcar ali mesmo deixa você sem nenhum e-mail de novidades, sem mudar mais nada no site. Três coisas não mudaram: a caixinha continua no Meu perfil, a saída continua a um clique no rodapé de todo e-mail de novidades, e o link de acesso continua chegando de qualquer jeito, porque ele é o login e não propaganda. Quem já tinha dito sim ou não antes desta versão não é perguntado de novo, e nenhuma resposta antiga foi trocada por esta: quem saiu da lista continua fora.
• Versão 11, de 26/08/2026: o site passou a perguntar como você quer ser chamado no primeiro acesso, e esse é agora o único dado pedido além do e-mail. O item 2 separou esse nome do resto do cadastro, que continua opcional inteiro. O botão Apagar meus dados de perfil mudou junto: ele zera os campos opcionais e preserva o nome, porque sem forma de tratamento a pergunta voltaria na entrada seguinte. Para apagar o nome também, o caminho é apagar a conta, que continua levando tudo, na hora e com comprovante.
• Versão 10, de 24/08/2026: o item 2 passou a declarar que, junto com o registro de chegada, guardamos as páginas da visita em que a conta nasceu: no máximo doze, só o caminho e só daquela visita. Serve para saber o que a pessoa leu antes de decidir, que é o que diz o que vale a pena escrever. Com isso caiu a frase "sem perfil de navegação" da versão 9, que deixaria de ser exata: os limites do que é guardado agora estão escritos um a um, no lugar dela. Depois que a conta nasce nada mais é anotado.
• Versão 9, de 24/08/2026: duas mudanças. Os e-mails de novidades, e só eles, passaram a medir abertura e clique (um pixel e links contados pelo Resend), para sabermos se valem a pena para quem os recebe; o item 4 explica como funciona, e o link de acesso e os comprovantes seguem sem medição nenhuma. E os itens 2 e 3 passaram a declarar o registro de chegada das contas novas: por onde a pessoa chegou ao site (página de chegada, referrer e etiquetas de campanha da URL), guardado uma única vez na conta, sem cruzamento com a medição de audiência e sem terceiro envolvido.
• Versão 8, de 24/08/2026: o item 4 passou a declarar dois terceiros que faltavam: o Resend, por onde saem os e-mails, e o Google Fonts, que serve a fonte do logotipo na porta de entrada e no cofre. O item 7 passou a dizer o que já era verdade desde 19/08: apagar a conta é um botão seu, acontece na hora e vem com comprovante por e-mail, no lugar do pedido por escrito em até 15 dias. E o item 8 passou a declarar a lista de bloqueio de endereços que recusaram e-mail.
• Versão 7, de 20/08/2026: o canal de contato passou a ser suporte@cofretcg.com.br, um endereço do próprio domínio, no lugar de um e-mail pessoal.
• Versão 6, de 19/08/2026: o item 2 passou a declarar os recados que você pode enviar pelo site, inclusive sem conta.
• Versão 5, de 18/08/2026: o item 2 passou a declarar a segunda medição de audiência, o Google Analytics, esta com um cookie de estatística.
• Versão 4, de 18/08/2026: o item 2 passou a declarar o scanner de cartas, que processa a câmera só no seu aparelho.
• Versão 3: o item 2 passou a declarar a medição de audiência da Cloudflare, que já estava ativa.
• Versão 2: o site passou a ter um cadastro opcional de perfil.
• Versão 1, de 14/08/2026: primeira versão desta política.