PATINAAI · Aviso de Privacidade

A PatinaAI é um rastreador de valor de inventário de CS2 disponível em patinaai.net. Este aviso abrange o aplicativo web e a extensão de navegador PatinaAI Inventory Sync, e descreve como os dados pessoais são tratados nos termos do Regulamento Geral sobre a Proteção de Dados da União Europeia (GDPR).

Quem é o responsável

O controlador é Albu Adrian, uma pessoa física (não uma empresa nem um negócio registrado) na Romênia, que toca o patinaai.net sozinho. Escreva para info@patinaai.net sobre qualquer coisa deste aviso; respondemos em inglês ou romeno. Não há encarregado de proteção de dados: um site de uma pessoa só não precisa de um, então o endereço acima é o que você deve usar. O aviso legal traz os mesmos dados.

Para quem é o site

A PatinaAI é para pessoas de 16 anos ou mais. Na Romênia, onde estamos, 16 anos é a idade a partir da qual você pode aceitar um serviço online por conta própria, então, se você for mais novo, não entre, não acompanhe preços e não publique nada. O Pro é um contrato pago: você precisa ter 18 anos, ou 16 ou 17 com o consentimento de um dos pais. Se você acha que uma criança com menos de 16 anos nos passou dados, escreva para nós e nós os excluímos.

O que a extensão faz

Sua finalidade única: manter a sua conta PatinaAI sincronizada com os seus próprios dados da Steam. Para isso, ela lê os dados a seguir de steamcommunity.com e api.steampowered.com dentro do seu próprio navegador, usando a sessão da Steam em que você já está conectado, e envia o resultado para a sua conta PatinaAI em patinaai.net:

• O seu inventário de CS2, em todos os contextos, incluindo itens com proteção de troca (a cada 15 minutos e quando você clica no ícone da extensão).
• As suas ofertas de troca ativas, enviadas e recebidas, com os seus itens, o SteamID da outra pessoa e a mensagem anexada, se houver. Elas são lidas com o token de acesso de curta duração que o site da Steam emite para a sua sessão conectada; o token é usado apenas dentro do seu navegador e nunca é enviado à PatinaAI.
• O seu histórico do Mercado da Comunidade Steam: as suas próprias compras e vendas.
• A sua lista de amigos (SteamID, nome e avatar), somente quando você ativa os amigos na PatinaAI. O servidor então avalia os inventários públicos dos seus amigos para mostrá-los a você.
• O histórico de preços do Mercado da Steam dos itens que você possui ou acompanha, que alimenta os seus gráficos e é armazenado com os preços de mercado compartilhados da PatinaAI.

Opcional: “Ajude a precificar o mercado inteiro”. Uma configuração nas opções da extensão, desligada por padrão. Somente se você a ligar, a extensão passa a usar também o seu navegador e a sua sessão da Steam para ler páginas públicas de histórico de preços do Mercado da Steam de itens que outros usuários da PatinaAI possuem ou consultam, e os inventários públicos de parceiros de troca que outros usuários da PatinaAI querem verificar (quando a Steam impede o nosso servidor de lê-los). O que ela lê são dados públicos da Steam sobre itens e os inventários públicos desses parceiros; eles entram nos dados de preços compartilhados da PatinaAI e vão para o usuário que pediu aquela verificação de troca. Outros usuários nunca veem quem os buscou. Você pode desligá-la a qualquer momento nas configurações da extensão, e a sua própria sincronização funciona de qualquer forma. A extensão informa a sua escolha ao servidor, que a guarda (ligada ou desligada, e desde quando) e a mostra na sua aba Conta.

A extensão guarda o token dela (uma credencial), o endereço do nosso servidor, a sua escolha de compartilhamento e até onde chegou a leitura do histórico de mercado no armazenamento local da extensão neste navegador. A partir da versão 1.5.0, nada disso é sincronizado com a sua conta Google.

A sua senha da Steam, os seus cookies, a sua sessão e o token de acesso nunca saem do seu navegador; só saem os dados listados acima. A extensão não pode negociar, aceitar ofertas nem alterar nada na sua conta Steam.

Bases legais: ler e importar os seus próprios dados é necessário para prestar o serviço que você contratou (contrato, Art. 6(1)(b) do GDPR). O compartilhamento opcional se baseia no seu consentimento (Art. 6(1)(a) do GDPR), que você dá ao marcar a caixa e pode retirar a qualquer momento desmarcando-a nas configurações da extensão, sem afetar o que foi feito antes.

A PatinaAI e a sua extensão não são afiliadas, endossadas nem patrocinadas pela Valve Corporation ou pela Steam.

Dados, finalidades, bases legais, retenção

Os dados de preços de mercado (quanto os itens custam em cada marketplace) descrevem itens, não pessoas, e são compartilhados entre as contas. Os anúncios da CSFloat que as nossas consultas de preço leem trazem o id e o nome do vendedor na CSFloat; guardamos esses dados por 60 dias depois da última vez que vimos o anúncio, para detectar manipulação de preços (legítimo interesse, Art. 6(1)(f)).

Se você pedir que enviemos por e-mail um link para terminar no computador, usamos o endereço que você digitar apenas para enviar esse único e-mail por meio do nosso provedor de e-mail (Art. 6(1)(b) do GDPR, uma etapa que você solicita, ou nosso interesse legítimo (Art. 6(1)(f) do GDPR) em atender ao pedido) e não o armazenamos; para que nenhum endereço receba mais de um e-mail desse tipo por dia, o servidor mantém um hash unidirecional dele na memória por 24 horas e depois o descarta.

Pessoas que não são nossos usuários. Algumas linhas acima tratam de outras pessoas: parceiros de troca, amigos, autores de publicações no mural, o dono de um perfil consultado. Só lemos o que a Steam mostra publicamente, só quando um usuário pede, guardamos pelos prazos curtos acima e nunca montamos um perfil de ninguém. Se você é uma dessas pessoas e quer que os seus dados sumam, ou quer se opor, escreva para info@patinaai.net com o seu SteamID.

Backups

Fazemos backup do banco de dados inteiro para que um disco quebrado não faça você perder os seus dados. Uma cópia é feita toda noite no nosso servidor da Hetzner na Alemanha, e as 3 mais recentes são guardadas. Mais uma cópia é feita lá antes de cada atualização do servidor ou release e substituída na seguinte. Todo dia, uma cópia compactada também é criptografada (AES-256) no computador do próprio operador e só então colocada no armazenamento Microsoft OneDrive dele, onde as 2 mais recentes são guardadas. A chave nunca vai para o OneDrive, então a Microsoft não consegue lê-las. Excluir a sua conta não mexe nessas cópias, mas elas saem sozinhas com o tempo: os seus dados somem de todos os backups em até 30 dias. Só restauramos um backup para consertar o site e, se fizermos isso, excluímos de novo qualquer conta que tenha sido excluída depois que a cópia foi feita.

Cookies e armazenamento no seu dispositivo

A lei da UE (Art. 5(3) da Diretiva ePrivacy) só permite que um site guarde algo no seu dispositivo sem perguntar antes quando isso é estritamente necessário para algo que você pediu. Esse é o único motivo pelo qual guardamos qualquer coisa, e nada do que está abaixo é usado para análise ou publicidade. O site não exibe anúncios e não carrega nenhum código de anúncio ou de rastreamento, nem script, fonte ou frame de mais ninguém.

Cookies

• session (com session.sig): definido quando você entra com a Steam, guarda o seu SteamID e quando você entrou, dura 30 dias ou até você sair. Sem ele, você não continua conectado.
• lang: o seu idioma, definido só quando você escolhe um no seletor de idioma (ou, conectado, quando a sua conta já tem um escolhido em outro aparelho), por 1 ano. Nunca o definimos por palpite: uma primeira visita vai para um idioma de acordo com o que o seu navegador pede, sem cookie.
• A Cloudflare, por onde passa cada solicitação ao site, também pode definir um cookie de segurança estritamente necessário, __cf_bm, para distinguir pessoas de tráfego automatizado; ele expira após 30 minutos de inatividade. Se a Cloudflare exibir uma verificação de segurança, ela define o cf_clearance, que registra que a verificação foi concluída e vale por 30 minutos por padrão. Nenhum desses cookies é usado para análise ou publicidade.

Armazenamento local e de sessão

O armazenamento local fica no seu dispositivo até você limpar os dados do site; o armazenamento de sessão some quando você fecha a aba. Nada nele é enviado para nós, a não ser quando a lista diz. Cada chave guarda só o que a lista abaixo cita: o que você mesmo escolheu, digitou, salvou ou fechou, e as poucas coisas que o site guarda ali para você. Nenhuma chave guarda um e-mail ou endereço IP, a não ser que você mesmo tenha digitado um, para o analista, por exemplo. Um SteamID numa chave é o seu, para separar duas contas num mesmo navegador, ou parte de algo que você digitou, como um link de troca, que pode ser de um parceiro.

• Escolhas que você fez: a sua moeda (só depois que você escolhe uma, ou escolhe um idioma, que traz a moeda dele), a aba da Mesa que você abriu por último, cards ou tabela, líquido ou bruto, a ordenação, a seção Mercado, a suavização dos gráficos, os marketplaces do Achar flips, o som do arcade, e se o painel do analista está aberto e de que tamanho. Cada uma só é gravada quando você a muda.
• Coisas que você fechou ou leu: que você fechou o tour de boas-vindas, o card de primeiros passos, o card “desde a sua última visita”, o pedido do link de troca, um aviso, o How to play de um jogo ou a pergunta única depois de um resultado; que você tocou em “depois” no lembrete da extensão (3 dias); qual entrada do changelog e quais notificações você abriu. O registro de que você fechou algo é o que o mantém fechado, e ele só existe porque você tocou naquele botão.
• Coisas que você criou, digitou ou salvou: o link de troca que você digitou na conferida de troca, as suas últimas 6 buscas em Buscar, a sua conversa com o analista (30 dias sem uso, ou Limpar), conferidas de troca que você salva sem estar conectado (no máximo 20, só quando você toca em Salvar; o valor de hoje delas é calculado enviando os nomes dos itens e as suas escolhas ao nosso servidor, que responde e não guarda nada), os palpites e a rodada de treino do dia de quem joga o arcade sem estar conectado, e um contrato que você pediu para salvar ou compartilhar antes de entrar (1 hora).
• “Desde que você olhou”: nas páginas públicas, só depois que você toca em Guardar, os preços que uma página mostrou a você e o dia, das últimas 12 páginas, para que numa visita posterior possamos dizer o que mexeu. “Não, obrigado” guarda só que você disse não. “Esquecer o que eu olhei” apaga tudo. Nada disso é enviado para nós.
• A dica de acesso: que o servidor acabou de dizer que este navegador está conectado, para a Mesa começar a carregar mais cedo. Ela some quando o servidor diz que você saiu.
• Só para a aba atual (armazenamento de sessão): o trade-up que você está montando, um contrato levado pelo acesso com a Steam que você começou, que você tocou em “Adicionar unidade de armazenamento”, que você fechou a barra de acesso, e uma marca de recarga única quando um arquivo de código não carregou depois de uma atualização.

Se você pedir notificações de preço no navegador, ele registra o nosso pequeno service worker (/sw.js, que só mostra as notificações, abre a página do item quando você clica em uma e executa o botão “Parar alertas”) e cria uma assinatura push. As duas coisas só acontecem depois que você clica e permite as notificações, e você pode removê-las quando quiser nas configurações do site no seu navegador. Quando você compartilha um card do valor do inventário no app, a chave que permite excluí-lo fica guardada no armazenamento local do seu navegador, só no seu dispositivo. Quando você faz um post de troca, a chave que permite excluí-lo fica guardada da mesma forma no armazenamento local do seu navegador. Cada uma dessas coisas é guardada porque você pediu aquilo a que ela serve, que é o que o Art. 5(3) da Diretiva ePrivacy permite sem um consentimento separado. Nada aqui se baseia no nosso legítimo interesse, e limpar os dados deste site no navegador remove tudo.

Todas as imagens, inclusive os avatares da Steam, vêm do nosso próprio servidor, então o seu navegador não contata os servidores de imagem da Valve enquanto você usa o site. Os links para a Steam, o Discord e perfis de redes sociais não carregam nada até você clicar neles.

Contagem de visitas

As visitas são contadas com o Umami, que nós mesmos rodamos no nosso próprio servidor na Alemanha: sem cookies e sem nada guardado no seu dispositivo, sem identificadores de publicidade e sem nenhum terceiro. Para cada visita ele guarda o navegador, o sistema operacional, o tipo de dispositivo, o tamanho da tela, o idioma, o país, a região e a cidade, as páginas vistas e os eventos nomeados, sob um id de visita. Esse id é gerado com um hash do seu endereço IP e da string do navegador junto com um segredo que muda regularmente; o seu endereço IP em si não é guardado, e nunca juntamos essas linhas à sua conta. Linhas com mais de 12 meses são excluídas por uma tarefa semanal. A base legal é o nosso legítimo interesse em saber quais páginas e ferramentas as pessoas usam (Art. 6(1)(f) do GDPR); você pode se opor escrevendo para nós, ou bloquear /u.js no seu navegador. Cliques em botões e usos de ferramentas, por exemplo abrir a janela para acompanhar um preço, fazer uma consulta de preço ou um cálculo de trade-up, ou copiar um link de compartilhamento, são contados da mesma forma, como eventos sem cookies: um nome de evento com no máximo alguns detalhes simples, como qual botão, qual página ou quantos itens, nunca o seu nome ou a sua conta. Quando você entra, o servidor também conta cada etapa da ida e volta pela Steam como totais diários por tipo de dispositivo e família de navegador; a string de identificação do seu navegador (user agent) é reduzida a esses dois rótulos na hora e não é guardada.

Destinatários e transferências

Estes serviços tratam dados pessoais para nós, ou os recebem porque um recurso precisa deles. Fora da UE, uma transferência se baseia no fundamento indicado.

• Hetzner Online GmbH (Alemanha): hospeda o servidor, o banco de dados, os backups noturnos, a contagem de visitas e o rastreador de erros. Nenhuma transferência para fora da UE.
• Cloudflare, Inc. (EUA): entrega de conteúdo e segurança na frente de patinaai.net. Toda requisição ao site passa por ela, então a Cloudflare vê seu endereço IP, o endereço que você abre e o que você envia, apenas para entregar e proteger o site. A Cloudflare também nos diz de que país vem uma requisição; usamos isso só para escolher o idioma e a moeda da sua primeira visita, e não guardamos essa informação. A configuração de idioma do seu navegador, que ele envia a todo site, vem primeiro: quando ela indica um dos nossos idiomas, sua primeira visita abre nele, e o país só decide quando não indica. Ela também não é guardada. A Cloudflare, Inc. consta como participante ativa do EU-US Data Privacy Framework (Estrutura de Privacidade de Dados UE-EUA) na lista oficial do Departamento de Comércio dos EUA, estrutura que cobre a transferência para os EUA; o seu acordo de tratamento de dados acrescenta as cláusulas contratuais padrão da UE caso essa certificação deixe de valer.
• GoDaddy (GoDaddy Operating Company, LLC, EUA): entrega todos os e-mails que enviamos (confirmações, alertas, resumos, e-mails do arcade, recibos de denúncias). Ela trata o endereço e a mensagem em trânsito e pode fazer isso em servidores fora da UE. Base da transferência: as cláusulas contratuais padrão da UE nos termos de tratamento de dados da GoDaddy; a GoDaddy também diz que participa do EU-US Data Privacy Framework.
• Anthropic, PBC (EUA): roda o analista de IA. Ela recebe a sua pergunta e o que as ferramentas do analista leem para respondê-la: o seu inventário e a sua carteira e, numa conferida de troca, o inventário público do parceiro e a marcação dele na SteamRep. O analista também pode buscar na web, então palavras de busca tiradas da sua pergunta passam pelo provedor de busca da Anthropic. Só quando você pergunta algo ao analista; pelos termos comerciais da Anthropic, os dados da API não são usados para treinar modelos. Base da transferência: as cláusulas contratuais padrão da UE no adendo de tratamento de dados da Anthropic. Também enviamos a ela as notícias públicas da Valve para resumir, que não têm dados pessoais.
• Microsoft (OneDrive): guarda os backups externos descritos acima, criptografados antes de chegarem lá, com a chave guardada só pelo operador, então a Microsoft tem os arquivos mas não consegue lê-los. Eles podem ficar guardados fora da UE. Base da transferência: a Microsoft Corporation participa do EU-US Data Privacy Framework, e os termos dela acrescentam as cláusulas contratuais padrão da UE.
• Stripe (Stripe Payments Europe, Ltd., Irlanda, com a Stripe, Inc. nos EUA): processa o pagamento quando você compra o Pro. Ela recebe o seu SteamID como referência, o plano e quando você marcou a caixa de início, e ela mesma coleta o seu e-mail, cartão, endereço de cobrança e país; as regras de imposto da venda dependem do país. Guardamos os ids de cliente e de assinatura da Stripe para ligar o pagamento à sua conta, e nunca vemos o seu cartão. As transferências para os EUA se baseiam no EU-US Data Privacy Framework e nas cláusulas contratuais padrão dos termos da Stripe.
• Valve/Steam (Valve Corporation, EUA): o serviço com o qual você faz o acesso e do qual os dados são lidos. O nosso servidor lê perfis, inventários e páginas de amigos públicos na Steam, incluindo os de um parceiro de troca ou de um perfil consultado. A Steam funciona sob a política de privacidade da própria Valve; ela é uma controladora separada, não uma operadora nossa.
• SteamRep (steamrep.com): enviamos a ela os SteamIDs de parceiros de troca e de autores de publicações no mural para obter a marcação de golpe deles. Ela funciona sob os próprios termos, como um serviço separado.
• CSFloat (csfloat.com): enviamos a ela o link de inspeção de um item para ler o float. O link leva o SteamID do dono do item, o seu ou o de um parceiro. Ela funciona sob os próprios termos, como um serviço separado.
• O serviço push do seu navegador, só se você pedir notificações: Google (Firebase Cloud Messaging, para o Chrome e a maioria dos navegadores Chromium), Mozilla (Firefox), Apple (Safari) ou Microsoft (Edge), conforme o seu navegador. Ele leva cada notificação até o seu dispositivo. O conteúdo (o nome do item, os preços e um link para a página do item) é criptografado para o seu navegador, então o serviço push não consegue lê-lo; ele vê o endereço da assinatura, quando cada mensagem é enviada, o tamanho dela e que ela vem de nós. Ele funciona sob a política de privacidade do próprio provedor; alguns desses provedores ficam nos EUA. Só enviamos para esses quatro serviços: uma assinatura que aponta para qualquer outro lugar é recusada.

Os marketplaces de onde lemos preços (e os serviços de câmbio) recebem só nomes de itens, nunca dados sobre você. Não vendemos, não alugamos e não compartilhamos os seus dados com mais ninguém. O que você mesmo publica (uma publicação no mural, um post de troca, uma cesta ou um trade-up público, um card de valor, o seu nome no arcade) é exibido como diz cada linha acima, e tirar do ar remove. Só entregamos dados a uma autoridade quando a lei nos obriga.

Assistentes de IA (o GPT da PatinaAI e o conector MCP)

O GPT da PatinaAI no ChatGPT e o nosso conector MCP permitem que um assistente de IA consulte dados públicos de mercado para você. Quando isso acontece, os servidores do provedor do assistente (por exemplo, a OpenAI) nos chamam com os parâmetros daquela consulta: um nome de item, palavras de busca, entradas de trade-up ou uma publicação da Valve. Não recebemos o seu nome, a sua conta, a sua conversa nem nada mais que você tenha digitado, e essas chamadas nunca leem nem alteram uma conta PatinaAI.

Mantemos um contador por endereço na memória para aplicar os limites de uso (apagado em no máximo um dia) e contagens agregadas por operação, sem endereço. A sua conversa em si é tratada pelo provedor do assistente, segundo a política de privacidade dele.

Os seus direitos

• Acesso e portabilidade: a opção “Baixar meus dados” da aba Conta dá a você um único arquivo JSON com tudo o que o servidor mantém sobre a sua conta: a linha do seu perfil com o seu e-mail e os registros de consentimento, importações da carteira e unidades de armazenamento, trocas e eventos de troca, ofertas de troca guardadas, teses, regras de alerta e alertas disparados, cestas, trade-ups e conferidas de troca salvos, a sua lista de amigos, palpites, partidas, duelos e pontos do arcade, publicações no mural, feedback, contagens diárias de ações, uso do analista, todo cache guardado sob o seu SteamID e o acompanhamento de preço do seu endereço confirmado. Só ficam de fora as chaves da sua conta (o token da extensão e similares).
• Eliminação: “Excluir minha conta”, na aba Conta, exclui a sua conta e os dados sobre você na hora, sem período de carência, e também uma assinatura da Stripe, se houver. Os backups saem em até 30 dias, como descrito acima. Registros que pertencem a outro usuário, como o registro de trocas dele que cita você como parceiro, ficam com esse usuário.
• Retificação, limitação, oposição: escreva para info@patinaai.net. Você pode se opor a qualquer momento a tudo o que fazemos com base em legítimo interesse.
• Retirada do consentimento: sempre que nos baseamos no seu consentimento, você pode retirá-lo com a mesma facilidade com que o deu (os links de cancelamento, os botões em Conta, a configuração da extensão), sem afetar o que foi feito antes.
• Acompanhamento de preço sem conta: por e-mail, o link de cancelamento em cada mensagem abre uma página onde um clique exclui o acompanhamento e tudo o que foi guardado com ele, registros de consentimento incluídos. No navegador, “Parar alertas” em uma notificação ou “Parar as notificações neste navegador” na janela de acompanhamento exclui na hora; desativar as notificações de patinaai.net também encerra, como descrito acima. Um acompanhamento no navegador não tem nada que nos deixe ligá-lo a um pedido, então não conseguimos localizá-lo para você. Para acesso, uma cópia ou qualquer outro pedido sobre um acompanhamento por e-mail, escreva para info@patinaai.net a partir do endereço que você usa no acompanhamento, já que não há uma conta para localizá-lo.
• Respondemos em até um mês. Nenhuma decisão sobre você é tomada só por meios automatizados de um jeito que tenha efeitos jurídicos ou efeitos igualmente significativos.
• Reclamação: você pode reclamar a uma autoridade de proteção de dados. Como estamos na Romênia, a principal é a Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal (ANSPDCP) (a autoridade nacional romena de proteção de dados), www.dataprotection.ro. Você também pode procurar a autoridade do lugar onde mora ou trabalha. Gostaríamos de ter a chance de resolver antes, em info@patinaai.net.

Segurança

TLS em todas as conexões; chaves de API por usuário criptografadas em repouso (AES-256-GCM); tokens da extensão por usuário e renováveis; o aplicativo tem acesso somente de leitura à Steam e não pode realizar trocas.

Alterações

Quando este aviso muda, a data abaixo muda também, e uma mudança que importa para você é mostrada no app antes de valer.