Política de Privacidade

Última atualização: 2026-08-22

Esta Política descreve quais dados o SteamVaults ("nós", "o serviço") coleta, por quê e quais são seus direitos. O produto foi projetado para coleta mínima.

1. Dados que coletamos

Ao entrar via Steam:

• SteamID64 — número público da conta Steam.
• Nome de persona — nome público do perfil.
• URL do avatar — imagem pública do perfil.
• Endereço IP e User-Agent — processados pela infraestrutura de hospedagem e prevenção de abusos para prevenir abusos e limitar a frequência de solicitações; não são armazenados no perfil do SteamVaults, na análise própria nem nos logs da aplicação.
• Endereço de carteira — somente em saque; vinculado ao registro do saque.
• Resultado da triagem de sanções — no saque, o endereço é consultado no oráculo público de sanções on-chain configurado. Guardamos apenas o status resultante; nenhum ID de transação de provedor pago é atualmente gerado ou armazenado.
• Cookies — ver abaixo.

A Railway, nossa provedora de hospedagem, registra separadamente o endereço IP de origem e o User-Agent de cada solicitação HTTP em seus logs HTTP de borda. Esse registro de infraestrutura ocorre independentemente do consentimento para análise e não faz parte da análise da aplicação SteamVaults. Segundo a documentação da Railway sobre retenção de logs, a retenção é de 7 dias no Hobby/Trial, 30 dias no Pro e até 90 dias no Enterprise; o prazo efetivo segue o plano atual do workspace da Railway.

Se você usar o formulário público de suporte sem entrar com a Steam, coletamos a categoria selecionada e os detalhes informados, além de SteamID64 e ID da troca Steam somente se você optar por fornecê-los. O formulário não tem campos específicos para e-mail, telefone ou endereço postal e não exige esses dados. No entanto, todo texto inserido no campo livre de detalhes é armazenado com a solicitação; não informe ali dados de contato, senhas, chaves privadas, frases de recuperação nem códigos do Steam Guard. O endereço IP é processado temporariamente para prevenir abusos e limitar a frequência de solicitações, e não é mantido nos logs da aplicação SteamVaults.

Para cada solicitação pública de suporte, geramos um código de acesso. O código original é exibido apenas uma vez e não é armazenado; guardamos apenas o hash SHA-256. Você usa o mesmo código sempre que consulta o status dessa solicitação.

2. Informações que não exigimos

Não oferecemos campos específicos nem exigimos as informações abaixo. Também não as informe no campo livre do suporte público, pois todo o conteúdo desse campo é armazenado com a solicitação:

• E-mail
• Telefone
• Endereço postal
• Documento de identidade
• Nome legal completo
• Senha da Steam — Steam OpenID retorna apenas o SteamID64
• Chaves privadas ou frase de recuperação
• Códigos do Steam Guard

Decisão proposital: menos campos guardados, menor dano em caso de incidente.

3. Finalidades

• SteamID64, persona, avatar: autenticar via Steam OpenID e exibir sua conta.
• Inventário Steam (consulta em tempo real, não armazenado): cotar preços e executar operações.
• IP: processamento temporário para prevenir abusos e limitar a frequência de solicitações; não é mantido nos logs da aplicação SteamVaults.
• Carteira + triagem de sanções: reduzir riscos de sanções e de saque. Essa verificação automática limitada não é apresentada como um programa AML ou KYC completo.
• Registros de transação (Steam trade ID, valor USD, USDT, rede, timestamp): operação, disputas, retenção legal.
• Dados do suporte público: tratar solicitações sobre transações, segurança e suporte geral, além de prevenir abusos.
• Hash SHA-256 do código de acesso: verificar o acesso ao status da solicitação sem guardar o código original.
• Cookie de sessão: manter a sessão.
• Análise opcional: consentimento explícito. A análise própria registra eventos do funil; o Google Analytics registra rotas, títulos de página e medições do navegador/dispositivo. A tag do Google fica bloqueada até você aceitar.

Extensão do Chrome

A extensão SteamVaults para Chrome armazena no armazenamento da extensão um token de acesso revogável e sua validade, o estado temporário de vinculação e, opcionalmente, a Steam Trade URL. Somente quando você pressiona Obter da Steam, ela solicita acesso opcional a steamcommunity.com e lê apenas a Trade URL exibida na página de privacidade de trocas da Steam. Ela não lê senhas da Steam, cookies, códigos do Steam Guard, valores CAPTCHA nem o histórico de navegação. A Trade URL permanece no seu dispositivo até que você aceite expressamente uma cotação; depois disso, ela é enviada ao SteamVaults apenas para criar a oferta de troca solicitada. Verificações de perfil e inventário públicos da Steam, saldos do Vault, cotações, saques e registros de transações seguem as mesmas regras desta Política. O token local é removido quando expira ou quando você desconecta a extensão, e a desinstalação apaga o armazenamento local. A extensão não executa código hospedado remotamente nem usa dados para publicidade.

A extensão também armazena o identificador da sua conta SteamVaults e os identificadores de operações de venda, compra ou saque não concluídas para restaurar o estado correto após o fechamento do pop-up. As solicitações à API enviam o token revogável e fazem a infraestrutura processar o endereço IP de origem e o User-Agent para prestação do serviço, prevenção de abuso e limitação de solicitações, como descrito acima.

The use of information received from Google APIs will adhere to the Chrome Web Store User Data Policy, including the Limited Use requirements.

4. Compartilhamento com terceiros

Apenas com parceiros estritamente necessários:

• Valve / Steam: o SteamID64 é enviado ao endpoint Steam OpenID. APIs de inventário/trade da Steam são consultadas com o SteamID64. Aplica-se a política de privacidade da Steam.
• Provedor RPC da Polygon: o endereço é codificado em um eth_call somente leitura ao oráculo público on-chain de sanções da Chainalysis e, ao confirmar o saque, na transação Polygon. Nenhuma API paga da Chainalysis ou custódia de exchange está configurada atualmente.
• Railway hospeda aplicação, banco, cache e logs de infraestrutura; Doppler armazena segredos de execução.
• Google Analytics (Google LLC): somente após consentimento explícito recebe a rota e o título da página e medições do navegador/dispositivo. Não enviamos parâmetros de URL, SteamID64, carteiras, URL de troca Steam nem dados próprios do funil. Armazenamento, sinais e personalização de publicidade ficam desativados. Aplica-se a Política de Privacidade do Google.
• Provedores RPC da Polygon: ao transmitir o saque, o endereço destino e a transação tornam-se dados públicos on-chain — irreversíveis.

Não vendemos seus dados, não compartilhamos com anunciantes e não usamos para marketing.

5. Retenção

• Dados da conta (SteamID64, persona, avatar): até concluir solicitação autenticada de exclusão, salvo registros de retenção obrigatória.
• Eventos opcionais de análise própria: exclusão automática após 90 dias.
• Dados do Google Analytics: retidos conforme a configuração escolhida na propriedade e as políticas de retenção de sistema aplicáveis do Google.
• Registros de transação e sanções: somente pelo tempo exigido pela lei aplicável e razoavelmente necessário para contabilidade, prevenção a fraude, cumprimento de sanções e resolução de disputas. O prazo varia conforme o tipo de registro e a jurisdição.
• Dados do suporte público: somente pelo tempo razoavelmente necessário para resolver a solicitação, manter a rastreabilidade e a segurança do suporte e cumprir a lei aplicável. O prazo varia conforme a solicitação.
• Transações on-chain: públicas para sempre, fora do nosso controle.

Após a exclusão, registros de transações que ainda precisem ser retidos permanecem sujeitos a restrições de finalidade e acesso. A SteamVaults não afirma atualmente que eles sejam movidos para um arquivo de compliance fisicamente separado.

6. Seus direitos

Conforme o país, você pode ter direitos sob LGPD (Brasil), GDPR (UE/Reino Unido), PIPA (Coreia), CCPA (Califórnia) etc. Respeitamos globalmente:

• Acesso: pedir cópia dos seus dados.
• Correção: corrigir dados imprecisos (boa parte vem da Steam — corrija primeiro lá).
• Eliminação ("direito ao esquecimento"): pedir exclusão da conta. Alguns registros de transações podem continuar retidos conforme os critérios descritos em "Retenção".
• Portabilidade: exportação legível por máquina.
• Oposição/limitação: opor-se a tratamentos com base na sua lei local.

Solicitações de acesso ou exportação, correção, exclusão ou limitação de dados da conta exigem login pela Steam e reautenticação recente no procedimento oficial do serviço. O formulário anônimo de suporte não será usado para revelar nem alterar dados da conta. Trataremos a solicitação no prazo exigido pela lei aplicável.

Se a resposta não for satisfatória, você pode reclamar à autoridade de proteção de dados do seu país (no Brasil, à ANPD).

7. Cookies

Usamos um cookie de sessão essencial, análise própria e Google Analytics baseados em consentimento:

• Cookie de sessão — para manter o login. httpOnly, Secure, SameSite=Strict.
• Armazenamento funcional de indicação — quando há um código ref válido, guardamos esse código no armazenamento local do navegador para anexá-lo ao login do Steam e atribuir um cadastro realmente novo. Ele não é usado para publicidade e não exige consentimento de análise.
• Análise própria opcional — após consentimento explícito, registramos ID de sessão aleatório, rota da página, host de referência externo, valores UTM, classe do dispositivo, horário e, se conectado, ID interno do usuário.
• Google Analytics — após o mesmo consentimento, mede visualizações pela rota e pelo título, sem parâmetros de URL. O Google pode processar dados de rede, navegador e dispositivo segundo sua política. Armazenamento, sinais e personalização de publicidade permanecem desativados.
• A análise própria não armazena IP bruto, carteira nem URL de troca Steam. Nenhuma integração de análise recebe carteiras ou URLs de troca Steam.

Você pode recusar sem perder acesso ao serviço. Abra Preferências de cookies no rodapé a qualquer momento. Selecionar Somente o essencial interrompe a análise futura, solicita a exclusão da sessão atual de análise própria e de seus eventos e informa ao Google a retirada do consentimento analítico. Dados de conta e transações exigem o processo autenticado de solicitação de dados.

8. Crianças

O serviço não se destina a menores de 18 anos. Não coletamos dados de menores conscientemente. Se suspeitar de uso por menor, contate o suporte.

9. Transferências internacionais

Nossa infraestrutura pode estar fora do seu país:

• Steam: servidores globais
• Railway, Doppler, Google Analytics, RPC Polygon e outra infraestrutura cloud podem processar dados fora do país; a blockchain pública Polygon é replicada globalmente.
• RPC blockchain: global

Quando exigido por lei (p. ex. GDPR Cap. V), utilizamos cláusulas contratuais padrão ou mecanismos equivalentes.

10. Segurança

Usamos TLS para dados em trânsito, restringimos o acesso interno, ocultamos valores sensíveis nos logs da aplicação e monitoramos o serviço em busca de sinais de segurança e abuso. Em caso de incidente, notificaremos nos prazos legais.

11. Mudanças

Mudanças relevantes são anunciadas com pelo menos 14 dias de antecedência.