Política de Privacidade do ganhei.ai

Versão 1.0. Vigente a partir de 21/11/2026. Endereço público: https://ganhei.ai/privacidade

Esta Política explica quais dados pessoais o aplicativo ganhei.ai e o site ganhei.ai tratam, por que, com quem compartilham, por quanto tempo guardam e como você exerce seus direitos. Ela segue a Lei Geral de Proteção de Dados Pessoais (LGPD, Lei nº 13.709/2018), o Marco Civil da Internet (Lei nº 12.965/2014) e o Código de Defesa do Consumidor (Lei nº 8.078/1990).

Resumo rápido, sem substituir o texto completo:

Pedimos só o necessário para conferir seus jogos e organizar seus bolões: e-mail, nome, os jogos e os bolões que você cadastra.
A foto do recibo da lotérica nunca sai do seu celular. Ela é lida no próprio aparelho, e só os números que você confirma são salvos.
Não coletamos CPF, localização, contatos da agenda, fotos, dados de cartão ou dados bancários.
Não vendemos seus dados e não usamos seus dados para publicidade de terceiros.
Você pode excluir sua conta a qualquer momento pelo app ou pela página https://ganhei.ai/excluir-conta.

1. Quem é o controlador

O controlador dos seus dados pessoais é a A O NICOLAU TECNOLOGIA LTDA (TWP3), inscrita no CNPJ sob o nº 41.231.199/0001-46, com sede na Rua Cerro Corá, 2175, Vila Romana, São Paulo/SP, CEP 05061-450 ("TWP3", "nós").

Encarregado pelo tratamento de dados pessoais (DPO): Alexandre Nicolau, pelo e-mail privacidade@ganhei.ai.

O ganhei.ai é um serviço independente. Não temos vínculo com a Caixa Econômica Federal nem com a CAIXA Loterias S.A. Os dados que você entrega à CAIXA, ao apostar numa lotérica ou nos canais oficiais, são tratados pela CAIXA conforme a política dela, e não por nós.

2. A quem esta Política se aplica

A quem usa o aplicativo ganhei.ai, no Android (Google Play, pacote ai.ganhei.app) ou no iPhone e iPad (App Store).
A quem acessa as páginas do site ganhei.ai, inclusive as páginas de bolão abertas por link (o convite e a página pessoal de cada participante).
A participantes de bolão que não usam o app: quem pede para participar pelo site, informando nome e e-mail, e quem é cadastrado pelo organizador. A seção 6 trata desses casos.

O serviço é destinado apenas a maiores de 18 anos (seção 11).

3. Quais dados tratamos

3.1. Dados que você informa

Dado	Quando	Obrigatório?
E-mail	Ao criar a conta ou entrar	Sim, é o seu login
Nome de exibição ("Como quer ser chamado")	No cadastro ou em Perfil > Meus dados	Não
Aceite dos Termos e confirmação de idade (18+)	Na primeira abertura	Sim
Jogos: loteria, dezenas, concursos, custo e origem (digitado, lido do recibo ou vindo de um palpite)	Quando você salva um jogo	Para usar a conferência
Bolões: nome do bolão, loteria, valor e quantidade de cotas, concursos, chave Pix e nome do titular da chave do organizador	Quando você cria um bolão	Para usar bolões
Participantes do bolão: nome, cotas, situação (pedido, aprovado, pagamento informado, confirmado), e telefone e e-mail (opcionais)	Quando o organizador cadastra ou aprova	Para usar bolões
Pedido de participação pelo site: nome e e-mail (1 cota)	Quando você pede para participar pela página do convite	Sim, para pedir
Comprovante de pagamento do bolão (imagem ou PDF)	Quando você informa no app que pagou	Não
Limite de gasto mensal	Perfil > Limites de gasto	Não
Preferências de notificação	Perfil > Notificações	Não
Prêmios marcados como resgatados	Quando você marca	Não
Versão dos Termos e da Política aceita, com data e hora	Na primeira abertura e a cada nova versão relevante	Sim
Sugestões e relatos de problema: tipo, texto, tela do app em que você estava, versão do app, modelo do aparelho e versão do sistema (Android ou iOS)	Quando você usa "Enviar sugestão"	Não
Mensagens enviadas ao suporte	Quando você escreve para nós	Não

3.2. Dados que recebemos de terceiros

Login com Google ou com a Apple: se você escolher entrar com sua conta Google, recebemos do Google o seu e-mail e, quando disponível, o nome, além de um identificador da conta Google. Se escolher Iniciar sessão com a Apple, recebemos da Apple um identificador da sua Conta Apple, o e-mail (que pode ser o seu e-mail real ou um endereço de retransmissão privado criado pela Apple, se você escolher ocultar o seu) e, se você permitir, o nome. Não recebemos sua senha do Google nem da Apple.
Google Play e App Store (assinaturas): quando você assina um plano, a loja em que você comprou (Google Play, no Android, ou App Store, no iPhone) nos informa o produto comprado, o plano, o identificador do pedido ou da transação, o token ou recibo da compra, a data de início, a data de vencimento, se a renovação automática está ligada e o estado da assinatura. Não recebemos número de cartão, dados bancários nem o endereço de cobrança: o pagamento é processado inteiramente pelo Google ou pela Apple.
Resultados oficiais: os resultados e rateios dos sorteios vêm das publicações públicas da CAIXA. Não são dados pessoais seus.

3.3. Dados gerados automaticamente

Identificador da conta (um código aleatório criado no login) e identificador da instalação do app.
Token de notificação (Firebase Cloud Messaging), a plataforma e a versão do app, para enviar os avisos que você ligou.
Contadores de uso do plano (quantos jogos salvos, leituras de recibo no mês, bolões organizados), para aplicar os limites do plano Grátis.
Resultado da conferência dos seus jogos (acertos, faixas e valores estimados) e os prêmios encontrados, com o prazo de resgate.
Registros de acesso à aplicação (endereço IP, data e hora), que somos obrigados a guardar pelo art. 15 do Marco Civil da Internet.
Registros técnicos de segurança e de erro dos nossos servidores.
Histórico do participante no bolão: cada mudança de situação (pedido, aprovação, recusa, pagamento informado ou confirmado, saída ou remoção), com data, quem fez e o motivo.
Links do bolão: o link de convite e o link pessoal de cada participante, que são códigos aleatórios.
No pedido pelo site, o endereço IP, usado só para limitar envios repetidos, e a verificação automática contra robôs da Vercel (BotID), feita sem cookies de rastreamento.

3.4. A foto do recibo

A leitura do recibo é feita no próprio aparelho. A imagem é processada localmente, não é enviada aos nossos servidores e não é guardada pelo app depois da leitura. Você revisa os números antes de salvar, e só esses números (o jogo) são gravados na sua conta.

No Android, a leitura usa o Google ML Kit, e o app não pede permissão de câmera: o escaneamento é feito pelo componente de digitalização de documentos do Google Play Services, que pode coletar informações técnicas de diagnóstico de acordo com as políticas do Google.
No iPhone e iPad, a digitalização e a leitura usam os recursos do próprio aparelho, e o iOS pede a sua autorização para usar a câmera. A imagem também não sai do aparelho.

3.5. O que não coletamos

CPF, RG, endereço, localização, lista de contatos, fotos ou arquivos da galeria, dados de cartão, dados bancários, dados biométricos ou qualquer dado pessoal sensível (art. 5º, II, da LGPD). Também não usamos SDKs de publicidade nem de rastreamento entre apps.

4. Para que usamos os dados e com qual base legal

Finalidade	Dados	Base legal (LGPD)
Criar sua conta, autenticar você (código por e-mail, Google ou Apple) e manter a sessão	E-mail, nome, identificadores	Execução de contrato (art. 7º, V)
Guardar seus jogos e conferir com os resultados oficiais	Jogos, resultados da conferência	Execução de contrato (art. 7º, V)
Avisar que você ganhou, lembrar prazos de bolão e de resgate de prêmio	Token de notificação, preferências, prêmios	Execução de contrato (art. 7º, V)
Organizar bolões: pedidos e aprovação, cotas, quem pagou, comprovantes, Pix copia e cola para a chave do organizador, rateio, links de convite e pessoais	Dados do bolão e dos participantes	Execução de contrato com o organizador (art. 7º, V) e legítimo interesse dos participantes em acompanhar o bolão (art. 7º, IX)
Receber o pedido de participação pelo site e enviar ao participante, por e-mail, a aprovação ou recusa, o link pessoal com o valor e o Pix, os jogos publicados e o resultado	Nome, e-mail, link pessoal	Procedimentos preliminares a contrato, a pedido do titular (art. 7º, V), e legítimo interesse (art. 7º, IX)
Liberar e controlar o plano pago e os limites do plano Grátis	Dados da assinatura, contadores de uso	Execução de contrato (art. 7º, V)
Mostrar seu histórico de pagamentos	Registros de pagamento	Execução de contrato (art. 7º, V)
Mostrar seu gasto do mês e avisar quando chegar perto do limite (jogo responsável)	Jogos, custo, limite de gasto	Execução de contrato (art. 7º, V)
Responder sugestões, relatos de problema e pedidos de suporte	Mensagem, dados técnicos do aparelho, e-mail	Legítimo interesse em melhorar e dar suporte ao serviço (art. 7º, IX)
Enviar novidades do ganhei.ai	E-mail, token de notificação	Consentimento (art. 7º, I), que você liga e desliga em Perfil > Notificações
Guardar registros de acesso	IP, data e hora	Cumprimento de obrigação legal (art. 7º, II; Marco Civil, art. 15)
Segurança, prevenção a fraude e abuso (por exemplo, limitar envios repetidos e impedir que uma compra seja usada em duas contas)	Identificadores, registros técnicos, token da compra (guardado como código irreversível)	Legítimo interesse (art. 7º, IX) e prevenção à fraude
Defender a TWP3 em processos judiciais, administrativos ou arbitrais	Dados necessários ao caso	Exercício regular de direitos (art. 7º, VI)

Quando usamos o legítimo interesse, tratamos só o mínimo necessário e você pode se opor (seção 9).

Palpites ("modo diversão"), inclusive os gerados por inteligência artificial (como o "Wilson"), são gerados de forma igual para todos os usuários, a partir dos resultados públicos. Nenhum dado pessoal seu é enviado a modelos de inteligência artificial, e não criamos perfil seu para isso.

5. Com quem compartilhamos

Não vendemos nem alugamos dados pessoais. Compartilhamos só o necessário, com:

Quem	Para quê	Onde
Amazon Web Services (AWS)	Hospedagem, banco de dados, autenticação (Amazon Cognito) e envio de e-mails, como o código de acesso (Amazon SES)	Estados Unidos
Google (Firebase Cloud Messaging)	Entregar as notificações no seu celular	Estados Unidos e outros países
Apple (Apple Push Notification service)	Entregar as notificações no iPhone e iPad	Estados Unidos e outros países
Google (Login com Google)	Autenticar você, se escolher essa opção	Estados Unidos e outros países
Apple (Iniciar sessão com a Apple)	Autenticar você, se escolher essa opção	Estados Unidos e outros países
Google Play	Processar a compra e a renovação de assinaturas feitas no Android e validar a compra	Estados Unidos e outros países
Apple App Store	Processar a compra e a renovação de assinaturas feitas no iPhone e iPad e validar a compra	Estados Unidos e outros países
Google ML Kit / Google Play Services	Digitalizar e ler o recibo no aparelho Android (a imagem não é enviada a nós)	No seu aparelho
Vercel	Hospedagem e entrega do site ganhei.ai (registros técnicos de acesso, como endereço IP) e verificação automática contra robôs (BotID) no pedido de participação	Estados Unidos e outros países
Google Workspace	E-mail de atendimento (suporte@ e privacidade@ganhei.ai)	Estados Unidos e outros países
OpenAI	Gerar os palpites do "Wilson" por inteligência artificial, só a partir de resultados públicos; nenhum dado pessoal é enviado	Estados Unidos
Autoridades públicas	Cumprir lei, ordem judicial ou requisição de autoridade competente	Brasil
Assessores profissionais (contabilidade, jurídico)	Cumprir obrigações e defender direitos, sob dever de sigilo	Brasil

Esses fornecedores atuam como operadores: só podem usar os dados para nos prestar o serviço, conforme contrato e instruções nossas. O Google e a Apple também tratam dados como controladores independentes em seus próprios serviços (sua Conta Google e a Google Play; sua Conta Apple e a App Store), conforme as políticas de privacidade de cada um.

Dentro do próprio bolão:

quem abre o link de convite vê só o nome do bolão, a loteria, o concurso e a data do sorteio, o valor da cota, as cotas disponíveis, o primeiro nome do organizador e se o bolão aceita pedidos. Não vê jogos, chave Pix nem participantes. O link pode ser aberto por qualquer pessoa que o receba, e o organizador pode trocá-lo a qualquer momento;
cada participante aprovado recebe um link pessoal, só dele. Nele, ele vê os dados do bolão, as próprias cotas e o valor a pagar, a chave Pix e o nome do titular informados pelo organizador (enquanto o pagamento não for confirmado) e, depois da publicação dos jogos, os jogos, o resultado, o prêmio por cota e quanto ele recebe. Nunca vê nomes, e-mails ou telefones dos outros participantes, só a quantidade;
a lista de participantes, os e-mails, os telefones e os comprovantes ficam visíveis só para o organizador; cada participante vê só os próprios dados e o próprio comprovante.

Reorganização societária: se a TWP3 passar por fusão, aquisição ou venda do negócio, os dados podem ser transferidos ao sucessor, que fica obrigado a esta Política. Avisaremos você antes.

6. Participantes de bolão que não usam o app

Pedido pelo site. Quem recebe o link de convite pode pedir para participar informando nome e e-mail (1 cota). O pedido vai para o organizador, que aprova ou recusa. Não enviamos e-mail de confirmação do pedido e não verificamos o e-mail: informe o seu. Se o organizador aprovar, enviamos para esse e-mail o link pessoal com o valor e o Pix e, depois, os jogos publicados e o resultado. Se você criar uma conta no app com o mesmo e-mail, o pedido passa a aparecer na sua conta.

Cadastro pelo organizador. O organizador do bolão pode cadastrar o nome, as cotas, a situação do pagamento e, opcionalmente, o telefone e o e-mail de participantes. Com e-mail, o participante recebe o convite com o link pessoal. Esses dados são usados só para organizar aquele bolão e ficam visíveis só para o organizador.

O organizador declara que tem autorização dos participantes para cadastrar esses dados e que vai usá-los apenas para o bolão (ver os Termos de Uso).
O participante pode pedir a exclusão ou correção dos seus dados ao organizador ou diretamente a nós, pelo e-mail privacidade@ganhei.ai, informando o nome do bolão e do organizador.
Os dados do participante são apagados quando o organizador o remove, apaga o bolão ou exclui a conta.

7. Transferência internacional de dados

Nossos servidores ficam na AWS, nos Estados Unidos (regiões us-east-1 e us-east-2), e os serviços do Google e da Apple podem tratar dados em vários países. Por isso, seus dados pessoais são transferidos para fora do Brasil.

Fazemos essas transferências com base no art. 33 da LGPD, usando os mecanismos previstos na lei e na Resolução CD/ANPD nº 19/2024, como as cláusulas contratuais padrão e os termos de proteção de dados oferecidos por esses fornecedores, que exigem nível de proteção compatível com a LGPD. Você pode pedir mais informações sobre essas garantias pelo e-mail privacidade@ganhei.ai.

8. Por quanto tempo guardamos

Dado	Prazo
Dados da conta, jogos, bolões, participantes, prêmios, preferências e limite de gasto	Enquanto a conta existir. Apagados na exclusão da conta
Jogo, bolão ou participante que você apaga	Apagado na hora da exclusão
Bolão no histórico do organizador (jogos, resultado, cotas, valores e histórico de estados)	Enquanto a conta do organizador existir. Apagado se ele apagar o bolão ou excluir a conta
Dados pessoais dos participantes do bolão, inclusive pedidos recusados (nome, e-mail, telefone e vínculo com a conta)	Até 90 dias depois do sorteio. Depois, são anonimizados: o nome vira "Participante N" e o e-mail, o telefone e o vínculo com a conta são removidos. Exceção, bolão premiado: os dados dos participantes que pagaram ficam até o organizador marcar no app que distribuiu o prêmio, ou até 1 ano depois do sorteio, o que vier primeiro, para ele poder entregar a cada um a sua parte; depois, são anonimizados. Bolão cancelado: os dados pessoais dos participantes são anonimizados logo depois dos avisos de cancelamento. Bolão que chega ao sorteio sem jogos publicados é encerrado sem prêmio e segue o prazo de 90 dias. Se o participante excluir a conta, a participação dele sai na hora
Link pessoal do participante	Deixa de valer quando o participante sai ou é removido do bolão e vence 90 dias depois do sorteio
Comprovante de pagamento do bolão	Apagado quando o pagamento é desfeito, quando o participante sai ou é removido, na exclusão da conta ou 90 dias depois do encerramento do bolão (com uma regra de segurança que apaga qualquer comprovante restante em até 400 dias)
Token de notificação	Até você sair, excluir a conta ou o token ficar inválido
Sugestões e relatos de problema	Sem prazo definido. Na exclusão da conta, ficam só com um identificador interno que deixa de apontar para qualquer conta
Mensagens de suporte por e-mail	Até 2 anos após o fim do atendimento
Registros de acesso (IP, data e hora)	6 meses (Marco Civil, art. 15), ou mais se houver ordem judicial
Registros de pagamento e de assinatura	Enquanto a conta existir. Apagados na exclusão da conta; o registro fiscal da venda fica com a loja que vendeu (Google Play ou App Store)
Código irreversível do token ou identificador de compra da Google Play ou da App Store	Enquanto for necessário para impedir que a mesma compra seja usada em outra conta, até 5 anos
Cópias de segurança (backups)	Os dados apagados saem dos backups em até 35 dias

Ao fim do prazo, os dados são apagados ou anonimizados, de forma que não identifiquem mais você (art. 16 da LGPD).

9. Seus direitos (art. 18 da LGPD)

Você pode, a qualquer momento e sem custo:

confirmar se tratamos dados seus;
acessar seus dados;
corrigir dados incompletos, inexatos ou desatualizados (o nome e os dados dos jogos e bolões você corrige no próprio app);
pedir anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
pedir a portabilidade dos seus dados a outro fornecedor;
pedir a eliminação dos dados tratados com base no seu consentimento;
saber com quais entidades públicas e privadas compartilhamos seus dados;
saber que pode não dar consentimento e quais as consequências disso;
revogar o consentimento (por exemplo, desligar "Novidades do ganhei.ai");
opor-se a tratamento feito com base em legítimo interesse;
pedir revisão de decisões tomadas só por tratamento automatizado (art. 20). Usamos verificações automáticas de segurança, como bloquear o reuso de uma mesma compra em outra conta, limitar envios repetidos e aplicar os limites do plano. Se uma dessas verificações afetar você, peça revisão humana em privacidade@ganhei.ai.

Como pedir: pelo e-mail privacidade@ganhei.ai, a partir do e-mail da sua conta. Podemos pedir uma confirmação de identidade antes de atender, para proteger você. Respondemos a confirmação e o acesso em formato simplificado imediatamente e, em formato completo, em até 15 dias (art. 19 da LGPD). Os demais pedidos são atendidos no menor prazo possível, e informamos se algum dado precisar ser mantido por obrigação legal.

Exclusão da conta: pelo app (Perfil > Ajuda e privacidade > Excluir minha conta) ou pela página https://ganhei.ai/excluir-conta.

Se achar que não atendemos bem o seu pedido, você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD), em https://www.gov.br/anpd, e aos órgãos de defesa do consumidor.

10. Segurança

Adotamos medidas técnicas e administrativas para proteger seus dados, entre elas:

comunicação criptografada (HTTPS/TLS) entre o app e os servidores;
dados criptografados em repouso na AWS;
login sem senha (código de uso único por e-mail) ou pelo Google ou pela Apple;
cada pessoa só acessa os próprios dados, e o servidor confere isso em toda requisição;
token de compra guardado só como código irreversível (hash);
acesso interno restrito a quem precisa, com registro de atividade;
leitura do recibo feita no aparelho, sem envio da imagem.

Nenhum sistema é totalmente imune a falhas. Se ocorrer um incidente de segurança que possa causar risco ou dano relevante a você, avisaremos você e a ANPD nos prazos da Resolução CD/ANPD nº 15/2024.

Você também ajuda a proteger sua conta: não compartilhe o código de acesso recebido por e-mail e mantenha seu celular e seu e-mail protegidos.

11. Menores de idade

O ganhei.ai é proibido para menores de 18 anos. A legislação brasileira proíbe a venda de bilhetes lotéricos a crianças e adolescentes (art. 81, VI, do Estatuto da Criança e do Adolescente). Na primeira abertura, pedimos que você confirme ter 18 anos ou mais. Não coletamos dados de menores de propósito. Se soubermos que uma conta pertence a um menor, ela será excluída. Se você souber de algum caso, avise em privacidade@ganhei.ai.

12. Cookies e páginas web

O aplicativo não usa cookies. Ele guarda no seu aparelho apenas preferências locais (por exemplo, se você já viu a tela de boas-vindas e o modo escuro) e a sessão de login.
O site ganhei.ai (incluindo a página pública do bolão e esta página) é hospedado pela Vercel e usa apenas os recursos estritamente necessários para funcionar e para segurança, como registros técnicos de acesso. Não usamos cookies de publicidade nem de rastreamento.
Se um dia passarmos a usar cookies de medição de audiência ou de marketing, pediremos o seu consentimento antes e atualizaremos esta seção.

13. Links e serviços de terceiros

O app pode ter links para sites de terceiros, como o portal de Loterias da CAIXA, a Google Play, a App Store ou serviços de apoio (CVV). Esses sites têm suas próprias políticas, pelas quais não respondemos.

14. Mudanças nesta Política

Podemos atualizar esta Política para refletir mudanças no app, na lei ou nos fornecedores. A data de vigência fica sempre no topo. Se a mudança for relevante, avisaremos pelo app ou por e-mail antes de ela valer e, quando a lei exigir, pediremos novo consentimento.

15. Contato

Privacidade e encarregado (DPO): privacidade@ganhei.ai
Suporte geral: suporte@ganhei.ai
Correspondência: A O NICOLAU TECNOLOGIA LTDA (TWP3), Rua Cerro Corá, 2175, Vila Romana, São Paulo/SP, CEP 05061-450

Lei aplicável: legislação brasileira.