Política de Privacidade

1. Escopo e responsável

Esta política se aplica ao site, ao perfil e às interfaces oficiais do C.O.S.T. O responsável pelo projeto C.O.S.T atua como controlador dos dados inseridos diretamente na plataforma. Serviços externos possuem suas próprias responsabilidades e políticas.

2. Dados que podem ser tratados

Dados de conta e perfil

• nome, nome de usuário, endereço de e-mail, data de nascimento e faixa etária calculada;
• avatar e preferências selecionadas no perfil;
• identificadores internos necessários para separar contas.

Dados de uso

• histórico e progresso de reprodução;
• favoritos, itens para assistir depois e canais recentes;
• temporada, episódio e provedor escolhido;
• preferências locais de interface e reprodução.

Dados técnicos e de segurança

• cookies de sessão e token de proteção CSRF;
• endereço IP, data, rota acessada e informações técnicas que podem aparecer em logs de segurança, rede e prevenção de abuso;
• métricas técnicas de desempenho sem identificador de conta, como LCP, INP e CLS, rota agregada sem query string, tipo de conexão e estado técnico do cache;
• resultado de verificações do Cloudflare Turnstile.

3. Por que os dados são usados

• criar e autenticar a conta;
• manter perfil, favoritos, histórico e retomada de conteúdo;
• calcular automaticamente a idade e aplicar a classificação indicativa adequada;
• sincronizar dados entre navegador e conta;
• proteger APIs, prevenir fraude, abuso e acesso não autorizado;
• diagnosticar erros e manter disponibilidade e desempenho;
• cumprir obrigações legais e responder a solicitações válidas.

Conforme o contexto, o tratamento pode se apoiar na execução dos recursos solicitados pelo usuário, no cumprimento de obrigação legal, na proteção contra fraude e em interesses legítimos de segurança e operação. Consentimento será solicitado quando a lei o exigir.

4. Hipóteses legais consideradas

O tratamento necessário para criar a conta, autenticar, manter perfil, listas e histórico é realizado para executar os recursos solicitados pelo titular. Controles antifraude, registros mínimos de segurança e diagnóstico podem se apoiar em obrigação legal, proteção contra fraude e interesse legítimo, com avaliação de necessidade e proporcionalidade.

A telemetria técnica é limitada, amostrada e pode ser desativada neste navegador. Quando o consentimento for a hipótese legal exigida, ele deverá ser solicitado de modo destacado, específico e revogável; a simples aceitação dos Termos não substitui esse consentimento.

5. Cookies e armazenamento no navegador

O C.O.S.T utiliza cookies estritamente necessários para autenticação e proteção CSRF. Cookies de autenticação são configurados, em produção, com atributos de segurança como HttpOnly, Secure e SameSite=Strict.

O navegador também pode armazenar preferências, avatar, listas, histórico temporário, cache e filas de sincronização em localStorage, sessionStorage e IndexedDB. O IndexedDB é usado para metadados públicos de catálogo e respostas reproduzíveis; tokens de autenticação, CSRF, respostas privadas do usuário e URLs resolvidas de player não entram nesse cache. Esses dados permanecem no dispositivo até serem substituídos, expirarem, serem removidos pela interface ou apagados nas configurações do navegador.

O projeto não utiliza cookies próprios para publicidade comportamental. A telemetria de desempenho usa amostragem por sessão, respeita o sinal Do Not Track e não envia identificador de conta, termo de busca, URL completa ou conteúdo assistido. A coleta também pode ser desligada nos controles desta política.

6. Operadores e serviços de terceiros

• Supabase: autenticação e persistência de perfil, favoritos e histórico;
• Cloudflare: hospedagem, entrega, proteção de rede, Pages Functions e Turnstile;
• TMDB e fontes de catálogo: metadados, imagens e identificação de títulos;
• Google: autenticação opcional por OAuth e entrega das fontes usadas na interface;
• CDNs e provedores de imagens: entrega de bibliotecas, capas e imagens decorativas públicas;
• provedores de player: reprodução incorporada de filmes, séries, animes, canais ou eventos.

Ao abrir conteúdo incorporado, o navegador pode se comunicar diretamente com o provedor correspondente. Esse provedor pode receber dados técnicos, como IP, navegador e horário da requisição, segundo a política dele. O C.O.S.T não controla cookies, disponibilidade nem práticas independentes desses serviços.

A infraestrutura pode envolver processamento internacional conforme a localização dos provedores, com aplicação das salvaguardas disponíveis e da legislação pertinente.

7. Retenção e exclusão

• conta, perfil, listas e histórico: enquanto a conta estiver ativa ou até a remoção pelo titular;
• marcações de itens removidos: enquanto a conta estiver ativa, para impedir que dispositivos desatualizados restaurem o histórico excluído;
• contadores antifraude de autenticação: até aproximadamente 1 hora e 2 segundos;
• métricas RUM no Cloudflare Analytics Engine: até 3 meses, conforme a retenção do serviço;
• Workers Logs: no máximo 7 dias, conforme a configuração e os limites do serviço;
• cache público no IndexedDB: até expirar, ser substituído por pressão de espaço ou ser removido pelo controle abaixo.

A exclusão da conta remove o usuário de autenticação e os registros vinculados no banco pela mesma operação em cascata. Podem subsistir, pelo prazo estritamente necessário, informações cuja conservação seja exigida por lei ou cópias temporárias administradas pelos operadores.

8. Direitos do titular

Nos termos da LGPD, o titular pode solicitar, quando aplicável:

• confirmação do tratamento e acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários;
• portabilidade, observadas a regulamentação e a viabilidade;
• informações sobre compartilhamento e consequências de escolhas;
• revogação de consentimento e oposição nos casos previstos em lei.

Dados básicos podem ser corrigidos, o botão Baixar meus dados gera uma exportação em JSON dos dados da conta e deste dispositivo, e a conta pode ser excluída pelo Perfil. O atendimento é gratuito. Para outras solicitações, utilize o canal indicado no Contato.

9. Preferências neste navegador

Estes controles afetam somente este navegador e não apagam a conta. Desativar a telemetria impede novos envios de métricas de desempenho e erros técnicos. Limpar o cache remove apenas metadados públicos do catálogo no IndexedDB.

10. Segurança

O projeto utiliza cookies protegidos, CSRF, validação de entrada, controle de origem, RLS no banco, headers de segurança e proteção da Cloudflare. Nenhum sistema é totalmente imune a incidentes. Se houver evento relevante, serão adotadas medidas de contenção, investigação e comunicação compatíveis com a legislação aplicável.

11. Crianças e adolescentes

A plataforma pode apresentar classificação indicativa e controles de idade, mas não substitui supervisão familiar. O tratamento de dados de crianças e adolescentes deve observar seu melhor interesse e as autorizações exigidas pela legislação.

12. Alterações desta política

Esta política pode ser atualizada para refletir alterações legais, técnicas ou funcionais. A data de vigência será modificada e mudanças relevantes poderão ser destacadas na plataforma.

13. Contato e solicitações

Utilize primeiro os controles disponíveis no Perfil. Para questões que não possam ser resolvidas por lá, abra uma solicitação de privacidade com o mínimo de informações e sem publicar e-mail da conta, documentos, senhas ou tokens. Caso seja indispensável compartilhar dados pessoais, utilize o canal privado de relato de segurança.

Solicitações simples disponíveis no Perfil são atendidas imediatamente. Pedidos que exijam análise serão registrados e respondidos nos prazos aplicáveis, inclusive o prazo legal de até 15 dias para a declaração completa de acesso, quando cabível.

Consulte também os Termos de Uso, a Autoridade Nacional de Proteção de Dados e o texto da LGPD.