Coletamos somente o necessario para a conta funcionar. Os dados se dividem em quatro blocos:
No cadastro
No uso da plataforma
Na seguranca da conta
Nas notificacoes
Sob demanda
Nao coletamos dados de criancas e adolescentes menores de 18 anos, nem dados sensiveis de saude, biometria, origem racial ou opiniao politica.
Cada finalidade tem uma base legal prevista no art. 7 da Lei no 13.709/2018 (LGPD). Dado opcional so e tratado com consentimento, e voce pode revogar a qualquer momento.
O uso basico da conta nao depende de consentimento: ele se apoia na execucao do contrato. O consentimento e pedido apenas para os dados opcionais.
3.1. Senhas sao armazenadas com hash bcrypt (custo 12), nunca em texto puro.
3.2. Respostas de perguntas de seguranca sao criptografadas com AES-256-CBC.
3.3. Todas as conexoes utilizam headers de seguranca (X-Content-Type-Options, X-Frame-Options, etc.).
3.4. Tokens CSRF protegem contra ataques de falsificacao de requisicao.
3.5. Os dados sao armazenados em servidores com acesso restrito e controlado.
3.6. O segredo TOTP e os codigos de backup ficam no banco exclusivamente para permitir a verificacao do codigo a cada login; sao apagados no instante em que voce desativa o 2FA.
3.7. A assinatura de Web Push e usada apenas para entregar as notificacoes no seu dispositivo. Ela nao permite ao YCMeg ler o conteudo do navegador nem acompanhar sua navegacao.
3.8. As notificacoes sao enviadas pelo servico de push do proprio navegador (Firefox, Chrome ou equivalente). O conteudo da notificacao passa por esse servico antes de aparecer na tela.
4.1. O YCMeg compartilha dados com terceiros quando a operacao exige, e apenas o necessario para ela. Os compartilhamentos abaixo ocorrem de forma continua no uso da plataforma:
Instituicao de pagamento (Pix). O YCMeg nao processa Pix. Para cada deposito, saque e transferencia, um provedor de pagamento intermediaria recebe seu CPF, seu e-mail, o valor da operacao e a chave Pix de destino, para executar a liquidacao. Esses dados sao transmitidos criptografados e nao ficam sob controle do YCMeg.
Banco Central e instituicoes financeiras. A liquidacao do Pix passa pelo Banco Central, pelo sistema de pagamentos instantaneos e pelo banco do usuario. Regras e bloqueios podem ser aplicados por esses sistemas sem intervencao do YCMeg — por exemplo, um bloqueio preventivo por suspeita de fraude, previsto na secao 5 dos Termos de Uso.
Servico de push do navegador. As notificacoes passam pelo servico do fabricante do navegador antes de chegar ao aparelho.
Telegram. Se voce vincular seu Telegram, seu ID e o conteudo da mensagem de recuperacao passam pelo Telegram.
4.2. Alem disso, compartilhamos dados com autoridades competentes em caso de suspeita de fraude,Determinacao judicial ou obrigacao legal.
4.3. Nao vendemos, alugamos nem cedemos seus dados pessoais a terceiros para fins publicitarios.
5.1. Os dados sao mantidos enquanto a conta estiver ativa.
5.2. Apos exclusao da conta, os dados serao removidos em ate 90 dias, exceto logs de auditoria e registros financeiros que podem ser retidos por ate 5 anos para cumprimento legal.
5.3. Registros de aceite de termos (accepted_terms_at, accepted_terms_ip) sao mantidos enquanto a conta existir, servindo como prova juridica.
5.4. Dados de recusa de termos (CPF, e-mail, IP) sao mantidos na blacklist_registration de forma permanente, exceto se o usuario solicitar reavaliacao ao suporte e tiver o bloqueio removido.
5.5. Logs de seguranca (tentativas de acesso, eventos zero-trust) sao mantidos para auditoria continua.
5.6. Identificador do aparelho (device_id). No cadastro calculamos uma assinatura do dispositivo com o FingerprintJS, a partir de caracteristicas do navegador e da tela. Nao ha geolocalizacao, nem leitura de galeria, microfone ou arquivo. A assinatura nao e um cookie: e recalculada a cada visita, e por isso continua igual mesmo se voce limpar cookies ou abrir em janela anonima. Ela e usada para limitar quantas contas podem ser abertas no mesmo aparelho (ver secao 2) e nao e usada para rastrear voce fora do site. Se o script nao carregar, nenhum identificador e registrado e o cadastro segue sem essa verificacao. O valor e apagado junto com a conta.
5.7. A assinatura de Web Push e removida quando voce revoga a permissao de notificacoes no navegador, quando o navegador invalida a assinatura ou quando a conta e excluida.
5.8. Os registros enviados ao provedor de pagamento (CPF, e-mail e valores) ficam sob a guarda dessa instituicao, que aplica os prazos de guarda da regulamentacao do Banco Central. Esses prazos sao independentes dos desta politica.
6.1. Utilizamos cookies de sessao estritamente necessarios para o funcionamento da plataforma.
6.2. Nao utilizamos cookies de rastreamento ou publicidade.
6.3. O usuario pode configurar seu navegador para rejeitar cookies, mas isso pode afetar o funcionamento da plataforma.
Voce tem direito a:
Para exercer seus direitos, entre em contato pelo e-mail suporte@ycmeg.com.
8.1. Esta politica pode ser atualizada periodicamente. Alteracoes serao comunicadas via notificacao na plataforma.
8.2. O uso continuado da plataforma apos alteracoes constitui aceitacao da politica revisada.
Caso tenha duvidas sobre esta politica de privacidade ou sobre o tratamento de seus dados, entre em contato com o encarregado pelo tratamento de dados (DPO) pelo mesmo canal de atendimento:
E-mail: suporte@ycmeg.com
Pedidos de acesso a dados devem ser identificados com nome e CPF da conta, para localizar o cadastro correto.
Ultima atualizacao: Outubro de 2026