Política de Privacidade

1. Quem somos

A plataforma Race Result (raceresult.app) é operada pela Ayan Labs, inscrita no CNPJ sob o nº 66.418.458/0001-73, com sede em Belo Horizonte/MG ("Ayan Labs" ou "nós"). Pela plataforma, organizadores de provas esportivas publicam eventos, recebem inscrições e pagamentos, fazem a cronometragem e publicam os resultados.

Esta política explica quais dados pessoais tratamos, para quê, com quem os compartilhamos, por quanto tempo os guardamos e como você exerce os seus direitos, nos termos da Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, "LGPD"). Ela vale para atletas, para quem faz a inscrição de outra pessoa (comprador), para os responsáveis legais de atletas menores de idade, para os organizadores e para as pessoas das equipes deles.

Canal para assuntos de privacidade, para o exercício dos direitos do titular e para a comunicação com o encarregado pelo tratamento de dados pessoais: contato@raceresult.com.br.

2. Quem decide sobre os dados: o organizador e a Ayan Labs

Na inscrição, na cronometragem e na publicação dos resultados de um evento, o controlador dos dados é o organizador do evento: é ele quem define o evento, o regulamento, o que é pedido na inscrição e o uso da lista de inscritos. Nessas atividades, a Ayan Labs atua como operadora: trata os dados em nome do organizador, conforme as instruções dele e os Termos de Uso da plataforma.

A Ayan Labs é controladora quando trata dados para finalidades próprias: a conta de acesso à plataforma; a segurança e a prevenção de fraudes e abusos; o histórico esportivo do atleta, que liga os resultados de diferentes eventos pelo identificador RACE_ID; as comunicações da própria plataforma; e o cumprimento das obrigações legais e regulatórias dela.

Para assuntos sobre os dados de um evento específico, você também pode procurar o organizador desse evento. Quando um pedido chegar a nós e for sobre dados de que o organizador é o controlador, nós o encaminhamos ao organizador e apoiamos o atendimento.

3. Quais dados tratamos

Inscrição em evento. Do atleta: nome; data de nascimento; sexo ou gênero, conforme as opções do país do evento (inclusive "Prefiro não informar"); nacionalidade e país de residência; documento de identificação conforme a regra do país do evento (no Brasil, o CPF; para estrangeiros, passaporte ou documento nacional), sendo que a criança pode ser inscrita sem documento próprio, com o documento do responsável; e-mail e celular de contato; equipe; e o que o evento pedir, como percurso, categoria, tipo de bicicleta, tamanho de camisa e cupom de desconto. A inscrição recebe um número de peito e pode receber o código de um chip de cronometragem.

Responsável pelo atleta menor de idade: nome completo, parentesco (pai ou mãe, responsável legal ou adulto autorizado), celular, e-mail e, quando o país do evento exige, documento de identificação (no Brasil, o CPF; para estrangeiros, passaporte ou documento nacional).

Integrantes de equipe (Fitness Race): na inscrição de equipe, o atleta da inscrição é o integrante 1, e quem inscreve informa o nome da equipe, o nome completo de cada um dos outros integrantes e, se quiser, o e-mail de cada um (usado só para enviar o resultado a ele). São dados de terceiros informados por quem inscreve, que declara que todos os integrantes conhecem o regulamento e têm 18 anos ou mais ou, se menores de idade, que o responsável legal autorizou a participação e a publicação do nome completo no resultado; os integrantes não informam idade, data de nascimento nem documento. O organizador do evento pode corrigir ou trocar os integrantes.

Aceites e ciência: os documentos aceitos na inscrição (regulamento, termo de responsabilidade e autorização do responsável) e a ciência desta política, cada um com a versão do documento e o resumo criptográfico (hash) do texto, quem confirmou (o atleta, o responsável, quem fez a inscrição ou o organizador), a data e a hora e o idioma.

Inscrição feita pelo organizador: quando o organizador cadastra uma inscrição manualmente ou por planilha, os dados vêm dele, e ele declara ter colhido os aceites.

Pagamento: valores, forma de pagamento (cartão ou Pix), situação do pagamento, reembolsos e repasses. Os dados do cartão são digitados na página de pagamento da Stripe: a plataforma não recebe nem guarda número, validade ou código de segurança do cartão. A cobrança Pix não leva o nome nem o documento de quem paga, e a plataforma não guarda os dados do pagador que o banco informa.

Cronometragem e resultados: as marcações de passagem (horário, ponto do percurso e aparelho que registrou), os tempos, a situação na prova (por exemplo, não largou, não completou ou desclassificado), as penalidades, a classificação e o registro da retirada do kit.

Conta de acesso: e-mail, nome, idioma preferido, senha (guardada apenas na forma de um código irreversível, nunca o texto da senha), o identificador da conta Google e o e-mail dela, se você entrar com o Google, as sessões abertas (com uma descrição do navegador e do sistema, sem o endereço IP) e os vínculos da conta com atletas (você mesmo ou os seus dependentes menores de idade).

Organizador: nome público, país, celular, logotipo e, quando informados (são exigidos para as vendas pagas), nome completo ou razão social e CPF ou CNPJ; a conta de recebimento na Stripe e o tipo da chave Pix de repasse; e, das pessoas que operam o organizador e os eventos dele, a conta, o papel (por exemplo, cronometragem ou check-in) e as ações registradas na auditoria. Para criar a conta de recebimento, a plataforma envia à Stripe o país, o nome completo ou a razão social e o CPF ou CNPJ do organizador, para pré-preencher o cadastro; o endereço, a data de nascimento e os dados bancários pedidos para essa conta são informados pelo organizador diretamente à Stripe.

Segurança: para proteger a plataforma contra abusos (como tentativas repetidas de login, de cadastro ou de inscrição), usamos o endereço IP e o e-mail digitado apenas na forma de códigos derivados com chave secreta, sem guardar o IP ou o e-mail em claro nesses registros. O país de origem da conexão, informado pela Cloudflare, pode ser usado para escolher o idioma da página inicial. Quando há excesso de tentativas, a inscrição pode pedir uma verificação antirrobô (Cloudflare Turnstile).

Strava (opcional): se você conectar a sua conta Strava, os dados tratados, as finalidades e os prazos estão na página Integração com o Strava (raceresult.app/pt-br/legal/strava/v1), que faz parte desta política.

O que não coletamos: a plataforma não pede dados de saúde, não coleta fotos nem vídeos dos atletas e não coleta a localização do seu aparelho.

4. Para que usamos os dados e com qual base legal

1. Fazer e gerir a inscrição, emitir o ingresso, cobrar, conferir a retirada do kit, cronometrar a prova, calcular o resultado e enviar a você os e-mails da inscrição (por exemplo, confirmação, ingresso, pagamento pendente, cancelamento, reembolso e resultado): execução de contrato (art. 7º, V, da LGPD), o contrato de inscrição com o organizador.
2. Usar o documento para identificar o atleta e evitar cadastros duplicados ou a confusão entre pessoas diferentes: execução de contrato (art. 7º, V) e legítimo interesse (art. 7º, IX). O documento fica cifrado, e a comparação é feita por um código derivado (índice cego), sem abrir o documento. Quando uma inscrição é ligada pelo documento a um cadastro que já existia, a confirmação vai também para o e-mail principal desse cadastro, com o link "não fui eu" para contestar; e, quando alguém tenta inscrever de novo um atleta já inscrito, o aviso de inscrição já existente vai para o e-mail de contato dessa inscrição e para o e-mail principal do cadastro, também com esse link.
3. Publicar o resultado da prova: legítimo interesse (art. 7º, IX) do organizador e da comunidade esportiva na divulgação do resultado, com as salvaguardas da seção 6 (sem data de nascimento, idade, documento ou contato, e com o nome do atleta inscrito menor de idade só pelas iniciais).
4. Manter o histórico esportivo do atleta, que liga os resultados de diferentes eventos ao mesmo RACE_ID: legítimo interesse (art. 7º, IX) da Ayan Labs, por prazo indeterminado. Você pode se opor, e a oposição é atendida pela anonimização (seção 9).
5. Tratar os dados dos integrantes de equipe (nome e, se informado, e-mail) para a inscrição, a cronometragem e o resultado da prova de que eles participam: as mesmas bases da inscrição (execução de contrato, art. 7º, V) e da publicação do resultado (legítimo interesse, art. 7º, IX); o e-mail do integrante serve só para enviar a ele o e-mail do resultado, com o link da página de resultado e, quando houver, do card.
6. Contas, login, segurança, prevenção de fraudes e de abusos e auditoria das ações na plataforma: execução de contrato (art. 7º, V) e legítimo interesse (art. 7º, IX).
7. Pagamentos, reembolsos, repasses aos organizadores, nota fiscal e registros financeiros: execução de contrato (art. 7º, V) e cumprimento de obrigação legal ou regulatória (art. 7º, II).
8. Avisos por e-mail do organizador sobre as próximas edições e outros eventos dele: legítimo interesse (art. 7º, IX), com aviso na inscrição e, em toda mensagem, um link para deixar de receber.
9. Divulgação, pela plataforma, de eventos de outros organizadores, ofertas dos patrocinadores dos eventos do organizador e avisos pelo WhatsApp sobre as próximas edições e outros eventos do organizador: consentimento (art. 7º, I), dado nas caixas opcionais da inscrição, que vêm desmarcadas. Os patrocinadores não recebem os seus dados. Você pode retirar o consentimento a qualquer momento, sem afetar a inscrição.
10. Cumprir obrigações legais e exercer direitos em processos judiciais, administrativos ou arbitrais: art. 7º, II e VI.

Hoje a plataforma ainda não envia comunicações de marketing: as escolhas feitas na inscrição ficam registradas, com a versão do texto mostrado, para quando o envio existir. Também não enviamos hoje mensagens por WhatsApp ou SMS. Se passarmos a enviar avisos da inscrição pelo WhatsApp, isso dependerá de uma opção própria, e esta política será atualizada antes.

5. Atletas menores de idade

É menor de idade quem tem, na data do evento, menos que a maioridade do país do evento (18 anos no Brasil). A inscrição de menor exige os dados de um responsável e a Autorização do Responsável (raceresult.app/pt-br/legal/guardian/v1), e os aceites da inscrição são dados pelo responsável. Tratamos os dados de crianças e adolescentes no melhor interesse deles (art. 14 da LGPD).

Nas páginas públicas (resultados, resultados ao vivo, telão, versão para celular e lista pública de inscritos), o nome do atleta inscrito que é menor de idade aparece só com as iniciais (por exemplo, "A. M. S."); na equipe, essa regra vale para o atleta da inscrição (o integrante 1), e, se ele for menor de idade, todos os integrantes aparecem só com as iniciais. Os outros integrantes da equipe (2 a 4) não informam idade e aparecem com o nome completo, como digitado na inscrição: quem inscreve declara que eles têm 18 anos ou mais ou, se menores de idade, que o responsável legal autorizou a participação e a publicação do nome. Hoje não há opção para mostrar o nome completo do menor; se ela for criada, só valerá com escolha expressa do responsável na inscrição. A data de nascimento e a idade de nenhum atleta são publicadas.

O organizador do evento vê o nome completo do menor e os dados do responsável, como controlador, para realizar o evento. Na retirada do kit, a equipe de check-in vê o nome e o celular do responsável.

Um contato que seja só do menor nunca recebe comunicações de marketing: as escolhas de comunicação da inscrição de menor valem para o e-mail do responsável. Não fazemos perfilamento de crianças e adolescentes nem direcionamos publicidade a eles. Se passarmos a enviar avisos da inscrição pelo WhatsApp, os do menor irão para o celular do responsável, nunca para o do menor.

A conta do responsável fica vinculada ao menor como responsável quando ele, conectado à sua conta, inscreve pela primeira vez um menor que ainda não tinha cadastro, ou quando pede o vínculo na Área do atleta (Adicionar dependente), provando que o e-mail da conta está verificado no cadastro do menor ou foi o e-mail de responsável numa inscrição dele; esse vínculo termina sozinho quando o menor atinge a maioridade.

Prova homologada por federação: a plataforma não publica a data de nascimento dos atletas. Quando a norma da federação exigir a relação completa dos participantes, é o organizador, como controlador, quem a envia à federação.

6. O que fica público

Página do evento: as informações do evento e, do organizador, o nome público, o logotipo e, se o organizador quiser, um e-mail e um telefone de contato públicos.

Resultados (páginas de resultado, resultados ao vivo, telão, versão para celular, consulta pública de resultados e a imagem de resultado que o atleta pode baixar; na Fitness Race, também a página de detalhe e a comparação entre atletas ou equipes): nome (do atleta inscrito menor de idade, só as iniciais; na equipe, o nome completo de cada integrante, como informado na inscrição, ou só as iniciais de todos, se o atleta da inscrição for menor de idade), número de peito, equipe, percurso, categoria, gênero usado na classificação, tipo de bicicleta (quando informado na inscrição), tempos por etapa ou por segmento e total, posição (inclusive por segmento), ritmo e comparações com os outros participantes, situação na prova, penalidade somada ao tempo e, durante a prova, o segmento em que o atleta ou a equipe está. Nunca são publicados: data de nascimento, idade, documento, e-mail, telefone, dados do responsável, dados de pagamento e o motivo de penalidade ou de desclassificação.

Lista pública de inscritos: só aparece se o organizador ligá-la, com nome (do menor de idade, só as iniciais), percurso, categoria, equipe e número de peito.

As páginas públicas de eventos e de resultados oficiais podem ser encontradas por mecanismos de busca.

O ingresso é aberto por um link secreto enviado por e-mail (raceresult.app/t/…). Quem tiver o link vê o ingresso: não o compartilhe.

7. Com quem compartilhamos

Com o organizador do evento: os dados das inscrições do evento dele, inclusive os do responsável pelo menor, os integrantes da equipe e os aceites, pelo painel e pela exportação em planilha (o documento aparece só com os dois últimos caracteres). As pessoas da equipe do organizador veem o que o papel delas permite: a equipe de check-in vê nome, número, categoria, se o atleta é menor e o nome e o celular do responsável, sem e-mail nem documento.

Com os fornecedores que nos ajudam a operar a plataforma, como operadores, só no necessário para cada serviço:

1. Cloudflare: hospedagem, banco de dados, arquivos, filas, proteção contra ataques, verificação antirrobô (Turnstile) e controle de acesso da equipe administrativa;
2. Stripe: pagamento com cartão e conta de recebimento dos organizadores (Stripe Connect). No pagamento, recebe o valor, a descrição da compra e o e-mail de contato, para preencher o pagamento; os dados do cartão são digitados diretamente na Stripe, que pode enviar o próprio comprovante ao e-mail informado. Na conta de recebimento, recebe da plataforma o país, o nome completo ou a razão social e o CPF ou CNPJ do organizador, para pré-preencher o cadastro, e o restante é informado pelo organizador diretamente à Stripe;
3. Banco Inter: cobrança Pix (sem o nome nem o documento de quem paga) e repasse aos organizadores pela chave Pix deles (CPF ou CNPJ);
4. Resend: envio dos e-mails da plataforma (o endereço de destino e o conteúdo da mensagem);
5. Google: login com a conta Google. A página de login carrega o botão do Google para quem a abre, e o Google pode receber dados técnicos da conexão, conforme a política dele; a conta Google e o e-mail dela só chegam à plataforma se você escolher entrar assim;
6. Strava: só se você conectar a sua conta (seção 3).

Com autoridades públicas, quando a lei ou uma ordem judicial exigir, e para exercer direitos em processos.

Não vendemos dados pessoais, e os patrocinadores não recebem a lista de inscritos.

Acesso da equipe da Ayan Labs: a equipe administrativa, com acesso restrito e autenticação própria, pode consultar e tratar os dados necessários para aprovar e bloquear organizadores, dar suporte, garantir a segurança, unir cadastros duplicados, atender pedidos de titulares e operar o financeiro da plataforma (aprovar e registrar repasses, fazer os estornos que cabem à plataforma e conferir os pagamentos com os provedores). O documento completo de um atleta e o CPF ou CNPJ do organizador (este, para enviar o repasse por Pix) só são revelados por motivo registrado, com auditoria.

Suporte ao organizador: para resolver um problema relatado pelo organizador, a equipe pode acessar o painel dele por uma sessão de suporte temporária (até 8 horas). Nessa sessão, a equipe pode fazer o que o organizador faria no painel e na Área do atleta da conta (com os atletas e dependentes vinculados a ela), inclusive ver os dados das inscrições e as telas financeiras, mas não altera as contas de recebimento (Stripe, Pix), não pede repasses e não faz estornos. O início e o fim da sessão, cada alteração feita nela e as exportações de planilha ficam registrados (quem acessou, quando e o que foi feito); as consultas não são registradas uma a uma. A sessão aparece na lista de sessões do organizador, que pode encerrá-la.

8. Transferência internacional

Cloudflare, Stripe, Resend, Google e Strava podem tratar dados pessoais em servidores fora do Brasil, inclusive nos Estados Unidos. Essas transferências se apoiam no art. 33 da LGPD, com as cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024) ou garantias equivalentes oferecidas pelo fornecedor.

9. Por quanto tempo guardamos e como excluímos

1. Pagamentos, reembolsos, repasses e livro-razão: pelo menos 5 anos (obrigações fiscais e contábeis). Esses registros não guardam nome, contato nem documento: ligam-se à inscrição por identificadores internos.
2. Dados do responsável pelo menor: anonimizados 3 anos depois do evento (prazo de reparação civil), por rotina automática mensal. O documento do atleta menor de idade é eliminado 3 anos depois do último evento em que ele se inscreveu como menor; se ele voltar a se inscrever, o documento continua em uso.
3. Dados da inscrição (contato, camisa, cupom e os demais dados do formulário) e os aceites dela: até 5 anos depois do evento; depois, são eliminados ou anonimizados, mantidos o resultado esportivo e os registros financeiros.
4. E-mail dos integrantes de equipe: apagado 3 anos depois do evento, pela mesma rotina automática mensal; o nome segue a inscrição e o resultado.
5. Resultado e histórico esportivo (RACE_ID): sem prazo, salvo oposição ou exclusão (abaixo).
6. Registros de autenticação (tentativas de login, de cadastro e de redefinição de senha, sem e-mail nem IP em claro): 180 dias. Sessões encerradas ou vencidas, códigos de redefinição de senha e links de ativação: apagados 30 dias depois de usados ou vencidos.
7. Eventos recebidos dos provedores de pagamento: 90 dias depois de processados.
8. Conta de acesso e dados do organizador: enquanto a conta ou o organizador existir e, depois, pelo prazo das obrigações legais.
9. Strava: os prazos da página Integração com o Strava.

Exclusão: o pedido pode ser feito na Área do atleta (raceresult.app/pt-br/me), na página de cada atleta, ou pelo e-mail contato@raceresult.com.br. O pedido é analisado pela equipe da Ayan Labs, que anonimiza o nome, os contatos e o documento do atleta. Ficam o RACE_ID, o resultado com o nome "Atleta anônimo" (as posições dos outros atletas não mudam) e os registros financeiros exigidos por lei. O pedido feito na Área do atleta desconecta o Strava na hora. Depois da exclusão, podemos manter apenas um código irreversível derivado do seu e-mail, sem o e-mail, para garantir que você não volte a receber comunicações de marketing.

10. Seus direitos

Pela LGPD (art. 18), você pode pedir: a confirmação de que tratamos dados seus e o acesso a eles; a correção de dados incompletos, inexatos ou desatualizados; a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei; a portabilidade; a eliminação dos dados tratados com o seu consentimento; a informação sobre com quem compartilhamos os dados; a informação sobre a possibilidade de não dar o consentimento e as consequências disso; e a revogação do consentimento. Você também pode se opor a um tratamento baseado em legítimo interesse.

Na Área do atleta (raceresult.app/pt-br/me) você já pode: ver os atletas e as inscrições da sua conta; corrigir nome e contato (data de nascimento, gênero e documento podem ser corrigidos enquanto não houver prova realizada; depois, pelo suporte, porque mudariam resultados publicados); exportar os dados (cadastro, contatos, inscrições e aceites, em arquivo JSON); e pedir a exclusão. Os outros pedidos, inclusive os dos integrantes de equipe (que não fazem a inscrição), são atendidos pelo e-mail contato@raceresult.com.br, nos prazos da LGPD. Podemos pedir informações para confirmar a sua identidade antes de atender.

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

11. Segurança

O documento de identificação nunca fica guardado em texto aberto: é cifrado, e a busca é feita por um código derivado com chave secreta. A senha é guardada apenas na forma de um código irreversível. A conexão com a plataforma é cifrada (HTTPS), o cookie de sessão é protegido contra o acesso por scripts, e os registros técnicos da plataforma não levam nome, e-mail, telefone, documento nem data de nascimento. A área administrativa exige autenticação adicional.

Nenhum sistema é totalmente invulnerável. Se ocorrer um incidente de segurança que possa causar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados, nos termos da LGPD.

12. Cookies e armazenamento no navegador

Usamos só cookies necessários para a plataforma funcionar, sem cookies de publicidade e sem ferramentas de análise de terceiros:

1. __Host-rr_session: mantém você conectado (no máximo 30 dias, ou 7 dias sem uso);
2. __Host-rr_gnonce: protege o login com o Google (10 minutos);
3. rr_locale: guarda o idioma escolhido (1 ano);
4. __Host-rr_tv_ seguido do código do evento: libera o telão de resultados do organizador no aparelho da TV (pelo prazo do link do telão).

O aplicativo de cronometragem usado pela equipe do organizador guarda as marcações no próprio aparelho, para funcionar sem internet até enviá-las. A página de login carrega o botão de login do Google, e a inscrição pode carregar a verificação antirrobô da Cloudflare; esses serviços seguem as políticas próprias deles.

13. Alterações desta política

Quando esta política mudar, a versão nova receberá um número novo e uma data de vigência, e as versões anteriores continuarão disponíveis no endereço delas (por exemplo, raceresult.app/pt-br/legal/privacy/v1). Mudanças relevantes serão avisadas na plataforma ou por e-mail.

14. Contato e idioma

Ayan Labs, CNPJ 66.418.458/0001-73, Belo Horizonte/MG. Privacidade, direitos do titular e encarregado: contato@raceresult.com.br.

Este documento é redigido em português. A versão em inglês é uma tradução; em caso de divergência, prevalece a versão em português.