Última atualização: 24 de setembro de 2026
Resumo: a imagem da câmera nunca sai do seu aparelho; nome, e-mail e senha só são coletados quando você cria uma conta ou se inscreve, e servem para sua conta, a newsletter e entender o público; o Google Analytics e o Microsoft Clarity, que medem como o site é usado, só funcionam se você aceitar no banner de cookies. Abaixo está cada detalhe, conforme a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018).
O controlador dos dados é Luis Guilherme da Rocha Silva, criador do CriaX (luiscriax.com), por meio de a empresa GABRIEL FERREIRA DOS REIS SOARES & CIA LTDA, da qual ele é sócio-administrador, inscrita no CNPJ 66.477.499/0001-30, com sede na Rua Pais Leme, 215, conj. 1713, Pinheiros, São Paulo - SP, CEP 05424-150. Para qualquer dúvida ou pedido sobre seus dados, escreva para criaxluis@gmail.com.
Por ser agente de tratamento de pequeno porte, o CriaX está dispensado de indicar um encarregado (Resolução CD/ANPD nº 2/2022, art. 11). O e-mail acima é o canal com os titulares e com a ANPD, e quem responde é o próprio Luis Guilherme.
Quando você ativa a câmera, o vídeo é analisado no seu próprio navegador por um modelo de reconhecimento de mãos que roda localmente. A imagem e o áudio não são gravados, armazenados nem enviados para nenhum servidor.
Do vídeo, o jogo extrai apenas 21 pontos de cada mão (coordenadas numéricas) para saber onde estão seus dedos.
Numa sala, os dois navegadores trocam diretamente: o nome que você escolheu, as jogadas, o estado da partida e os pontos das mãos (quando a câmera está ligada). Nunca a imagem ou o som.
Para os navegadores se encontrarem, a sala é anunciada por pouco tempo em servidores públicos de sinalização (MQTT) e a conexão direta (WebRTC) revela o endereço IP de cada participante ao outro, como em qualquer chamada de vídeo. Não guardamos histórico de partidas.
Ao criar uma conta na comunidade, coletamos: nome, e-mail e senha. A senha é guardada pelo Supabase (provedor de autenticação e banco de dados) de forma criptografada; nem nós conseguimos lê-la. Também guardamos a data do cadastro e de onde você veio (por exemplo, um post do blog). Por segurança, o Supabase registra o IP e o navegador nos acessos à conta.
No seu perfil, se você quiser, pode informar com o que trabalha, sua familiaridade com IA e seus interesses. Esses dados servem para entender quem é o público e criar conteúdos, códigos e produtos mais úteis. Não vendemos nem compartilhamos seus dados para outras empresas fazerem marketing.
A newsletter é opcional e separada da conta: só recebe quem marca a caixa no cadastro (ela vem desmarcada) ou liga em "Minha conta", e a inscrição só vale depois que o e-mail da conta é confirmado. Você pode desligar no perfil ou pelo link "Sair da lista" nos e-mails.
Quando você se inscreve na newsletter ou pede aviso de lançamento, coletamos o e-mail, o nome (se informado), a origem do pedido (por exemplo, a palavra-chave de um post do Instagram), a data do consentimento e a data da confirmação.
Confirmação dupla: depois do formulário, enviamos um e-mail com um link. Você só entra na lista se tocar nele e confirmar; sem isso, o pedido é apagado em 7 dias. Assim ninguém consegue inscrever o e-mail de outra pessoa.
Para evitar abuso do formulário, guardamos por 24 horas apenas um código cifrado (hash) gerado a partir do seu IP, que não permite saber quem você é.
Usamos esses dados para enviar o que você pediu e a newsletter. Os dados ficam no banco de dados do CriaX no Supabase (servidores em São Paulo) e no Resend, o serviço que envia os e-mails. Os dois atuam como operadores. Você pode sair a qualquer momento pelo link "Sair da lista" no fim dos e-mails (ou pelo botão de cancelar inscrição do seu aplicativo de e-mail) ou pedir a exclusão pelo e-mail criaxluis@gmail.com.
Não vendemos nem alugamos seus dados.
O nome de jogador que você digitar fica salvo no armazenamento local do navegador (localStorage), para não precisar digitar de novo. Você pode apagá-lo limpando os dados do site.
O idioma ativo fica num cookie chamado "googtrans", e uma escolha feita no menu de idioma fica salva no armazenamento local ("gui-lang"). Também guardamos sua sessão da conta ("criax-session", para liberar os posts enquanto você estiver conectado) sua escolha de cookies ("gui-consent") e, só durante a visita, que a animação de abertura já foi mostrada ("criax-splash") e os rótulos da campanha do link que te trouxe ("criax-utm", por exemplo "instagram" e o nome do post, sem nenhum dado sobre você). Detalhes na Política de cookies.
Se você aceitar os cookies de análise, usamos duas ferramentas para melhorar o site. Se recusar, nenhuma delas é carregada.
Google Analytics 4 (Google): mostra o que aconteceu no site de forma agregada, como páginas vistas, de onde as pessoas vieram (Instagram, busca, link direto), tipo de aparelho, cidade ou país aproximado, e ações como se inscrever na newsletter ou criar a conta. Usa um identificador aleatório no cookie "_ga". Os indicadores do Google (Google Signals) e a personalização de anúncios ficam desligados.
Microsoft Clarity (Microsoft): mostra como as pessoas usam as páginas, por meio de mapas de calor (onde clicam e até onde rolam) e reproduções da navegação ligadas só a um identificador aleatório, sem o seu nome ou e-mail (movimento do mouse, toques, rolagem e cliques), para achar botões confusos, erros e partes que ninguém lê. Campos de formulário, e-mail, senha e os dados da sua conta são mascarados no próprio navegador antes do envio, e a imagem da câmera nunca é capturada.
Nenhuma das duas recebe seu nome, e-mail ou senha, e não cruzamos esses dados com a sua conta. Usamos os resultados em números agregados e em sessões sem identificação pessoal, para decidir o que melhorar e que conteúdo criar.
Guardamos os dados detalhados do Google Analytics por até 14 meses. No Clarity, as reproduções ficam disponíveis por 30 dias e os mapas de calor e totais por até 13 meses.
Você pode retirar o consentimento a qualquer momento em "Mudar minhas escolhas de cookies", na Política de cookies. Os cookies de análise são apagados e as ferramentas deixam de carregar.
Hospedagem e funções do site: Vercel (vercel.com/legal/privacy-policy), que registra dados técnicos de acesso (IP, navegador e páginas acessadas) para operação e segurança. As funções do site rodam em São Paulo.
Conta e banco de dados: Supabase (supabase.com/privacy), com servidores em São Paulo, guarda a conta, o perfil e a lista da newsletter. E-mails: o Resend (resend.com/legal/privacy-policy) envia os e-mails de acesso, recuperação de senha e newsletter. As respostas enviadas para contato@luiscriax.com passam pelo roteamento de e-mail da Cloudflare.
Modo online dos jogos: para os navegadores se encontrarem, usamos servidores públicos de sinalização MQTT (broker.emqx.io, da EMQ, e broker.hivemq.com, da HiveMQ) e um servidor STUN (stun.cloudflare.com, da Cloudflare). Eles veem seu IP e um código da sala. As jogadas e os pontos das mãos vão direto entre os navegadores, criptografados.
Comunidade no WhatsApp: se você entrar no grupo pelo link, seu número, nome e foto de perfil do WhatsApp ficam visíveis para o administrador e para os outros participantes. O WhatsApp (Meta) trata esses dados conforme a política dele (whatsapp.com/legal/privacy-policy).
Fontes: as tipografias são carregadas do Google Fonts, o que envia ao Google o seu IP e informações do navegador.
Tradução: se o idioma do seu navegador não for português, ou se você escolher outro idioma no menu, o tradutor do Google é carregado e o texto da página é enviado ao Google para ser traduzido. Escolher "Português (Brasil)" no menu desliga isso e a escolha fica salva.
Análise (com consentimento): Google Analytics 4, do Google (policies.google.com/privacy), e Microsoft Clarity, da Microsoft (privacy.microsoft.com).
Pagamentos: Stripe (stripe.com/br/privacy), que processa as compras e guarda os dados de pagamento.
Transferência internacional: Vercel, Google, Microsoft, Cloudflare, EMQ, HiveMQ, Meta, Stripe e, em parte, Supabase e Resend podem tratar dados fora do Brasil, principalmente nos Estados Unidos e na União Europeia. Essas transferências se apoiam nas cláusulas contratuais e garantias que cada empresa oferece (LGPD, art. 33, II, e Resolução CD/ANPD nº 19/2024) e, no modo online e na comunidade, na execução do serviço que você pediu (art. 33, IX).
Cada serviço segue a própria política de privacidade.
Funcionamento do site, dos jogos e da sua conta: execução do serviço que você pediu (Art. 7º, V) e legítimo interesse em mantê-los seguros (Art. 7º, IX).
Newsletter, e-mails de novidades e ofertas, perfil do público, formulários, Google Analytics, Microsoft Clarity e cookies de marketing: seu consentimento (Art. 7º, I), que você dá ao marcar a caixa da newsletter e confirmar pelo e-mail, ao aceitar os cookies ou ao preencher o perfil, e pode revogar a qualquer momento, sem prejuízo do que já foi feito.
Os pagamentos são processados pelo Stripe (stripe.com/br/privacy). Os dados do cartão ou do meio de pagamento são digitados num formulário do próprio Stripe, dentro da página de pagamento, e vão direto para ele: o CriaX não vê nem guarda número de cartão, validade ou código de segurança.
Cada compra vira um pedido guardado no nosso banco de dados (Supabase): código do pedido, e-mail, nome (quando informado), conta ligada (se você entrou), produto, valor, meio de pagamento (cartão, Pix…), situação, datas e quantas vezes o arquivo foi baixado. No painel do Stripe ficam também o país do meio de pagamento, o resultado da análise antifraude e, se você chegou por um link de campanha, os rótulos dessa campanha (parâmetros UTM, como "instagram" e o nome do post), para sabermos que conteúdo trouxe a venda. Usamos esses dados para liberar e entregar a compra (e-mail com o link, pelo Resend), mostrar a compra em "Minha conta", impedir compra repetida, atender reembolsos e cumprir obrigações fiscais. Base legal: execução do contrato (Art. 7º, V) e cumprimento de obrigação legal (Art. 7º, II).
Para prevenir fraude, o Stripe analisa dados técnicos do aparelho e da conexão, e grava cookies próprios na página de pagamento (veja a Política de cookies). Os registros de compra ficam guardados pelo prazo exigido pela legislação fiscal e contábil, mesmo se a conta for excluída (nesse caso o pedido perde o vínculo com a conta).
Pela LGPD (art. 18), você pode, de graça e a qualquer momento: confirmar se tratamos seus dados; acessá-los; corrigir dados incompletos ou errados; pedir anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desacordo com a lei; pedir portabilidade; pedir a eliminação dos dados tratados com seu consentimento; saber com quem compartilhamos; saber que pode não consentir e o que acontece se não consentir (sem os cookies de análise ou sem a newsletter, o site e a conta funcionam igual); revogar o consentimento; e se opor a um tratamento feito por legítimo interesse.
Nome, profissão, interesses e newsletter você mesmo corrige em "Minha conta", onde também fica "Excluir conta", que apaga a conta e o perfil na hora. Para os outros pedidos, escreva para criaxluis@gmail.com a partir do e-mail cadastrado; respondemos em até 15 dias. Se não ficar satisfeito, você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd.
Os dados da conta ficam guardados enquanto a conta existir. "Excluir conta" apaga na hora; pedidos por e-mail são atendidos em até 15 dias, exceto o que a lei obrigar a manter.
Newsletter: pedidos não confirmados são apagados em 7 dias. Quem sai da lista fica só com o e-mail e a data numa lista de bloqueio, para não receber mais nada.
Registro de envios (qual e-mail foi mandado e quando): o endereço é apagado depois de 90 dias. Código cifrado do IP do formulário: 24 horas. Registros técnicos de acesso (IP e navegador) na Vercel e no Supabase ficam pelo prazo definido por esses provedores.
A conta, a newsletter e a comunidade são para maiores de 18 anos, e não criamos perfis de menores de idade para publicidade. Os jogos não pedem dados pessoais; recomendamos que crianças joguem com um responsável, sobretudo no modo online. Se você é responsável e acha que um menor criou uma conta, escreva para criaxluis@gmail.com: apagamos os dados em até 15 dias.
Se o site passar a tratar dados de outra forma, esta política será atualizada antes, com nova data no topo.