Dados pessoais¶

Para: Dev · Fin — Conferido em 2026-10-18.

Quais dados pessoais passam pelo Dracma, como são protegidos, o que o painel mascara, o que você precisa cuidar do seu lado e como lidar com a troca de documento de um jogador.

O que é¶

Dados que você envia¶

Dado	Campo	Observação
Identificador do jogador	`player.external_ref`	opaco e imutável. Nunca e-mail, telefone ou CPF
Documento do jogador	`player.document`	CPF ou CNPJ para PIX. Só dígitos
Nome, e-mail, IP, dispositivo	`player.name`, `player.email`, `player.ip`, `player.device_id`	a operação diz o que exige em `deposit_requirements`
Chave PIX de destino	`destination.pix.key`	dado pessoal (CPF, e-mail, telefone ou chave aleatória)
Metadados livres	`metadata`	não coloque dado pessoal aí

Mande só o que a operação exige e o que as regras usam: esse é o princípio da minimização.

Dados que o Dracma devolve¶

O depósito pago ou em revisão traz payer: o document completo e o name de quem pagou o PIX, mais matches_player. É dado pessoal em claro na resposta e no corpo do webhook.
O depósito e o saque devolvem o player_ref, nunca o documento do jogador que você enviou.
O painel mascara documento e chave PIX por padrão (veja abaixo).

Como o Dracma protege¶

O documento do jogador e os dados do pagador são cifrados em repouso, com chaves separadas por tenant e por operação. Um dado de uma operação não abre em outra.
A comparação de documentos (para as regras e para o document_mismatch) usa uma impressão digital irreversível, não o documento em claro.
A identidade de pessoas da sua equipe é um identificador interno (UUID). Listas e trilhas mostram só o e-mail mascarado (an***@dominio.example).
Os testes e a homologação usam só dados sintéticos e domínios reservados.

Quando usar¶

Consulte antes de desenhar logs, filas e telas de suporte do seu conector, e quando a equipe de compliance perguntar onde ficam os dados pessoais.

Como funciona¶

O documento fica fixado¶

O primeiro documento enviado para um player.external_ref fica fixado naquele jogador. Enviar outro documento depois, em depósito ou saque, é recusado com 422 document_mismatch. Isso impede que um external_ref seja reaproveitado por outra pessoa e que o limite de um jogador seja contornado.

Para saque existe um caso parecido: a chave PIX de destino precisa pertencer ao mesmo titular; quando o Dracma descobre o contrário depois, o saque é rejeitado.

Não disponível

A API não troca o documento de um external_ref já usado. Se o cadastro tinha um documento errado, abra um chamado no canal de suporte com o external_ref e o motivo. Não crie outro external_ref para a mesma pessoa só para contornar a recusa: o Dracma passa a tratá-la como jogador novo para as regras (por exemplo, o primeiro saque volta a ir para revisão).

Painel: máscara por padrão¶

Documento e chave PIX aparecem mascarados nas filas, nas transações e nos relatórios.
Revelar um dado exige motivo, confirmação recente com fator forte e fica na trilha de auditoria. Podem revelar os pacotes Financeiro, Revisor e Auditor (veja Equipe e papéis).
Exportar relatório com dados pessoais exige a aprovação de outra pessoa e o download vale por tempo limitado. Veja Relatórios.

O que fazer do seu lado¶

Logs: não registre segredo, Dracma-Signature inteiro, documento completo, chave PIX em claro nem o corpo cru de um webhook sem mascarar. Registre o Dracma-Trace-Id, o external_id e o id do Dracma.
Armazenamento: guarde o documento do jogador com cifra e controle de acesso no seu sistema. O Dracma já o tem; você só precisa dele para o seu cadastro.
Webhooks: o corpo do evento tem a mesma forma do GET, inclusive payer. Trate o receptor como sistema que manipula dado pessoal.
Identificadores: external_id e external_ref aceitam só A-Z a-z 0-9 _ . : -. Use UUIDs, não CPF nem telefone.
Ambientes: nunca copie dados reais de jogadores para o hml ou para fixtures. No hml, e-mails fora dos domínios de teste recebem mensagem de verdade (login, convites e alertas). Veja Dados de teste.

Exemplos¶

Trecho do payer de um depósito pago (objeto Deposito, dados fictícios):

{
  "document": { "type": "CPF", "number": "52998224725", "country": "BR" },
  "name": "Jogador Teste",
  "matches_player": true
}

Esse trecho é dado pessoal. Em log, registre matches_player e o id do depósito, não o objeto inteiro.

Erros e casos de borda¶

Situação	O que acontece	O que fazer
Documento diferente para o mesmo `external_ref`	`422 document_mismatch`, sem criar objeto	corrija o cadastro; se o documento antigo estava errado, abra chamado
Pagador diferente do jogador	depósito vai para revisão com `PAYER_MISMATCH`	não credite; veja Revisão
Chave PIX de outro titular	saque recusado ou rejeitado depois	mostre mensagem genérica ao jogador
Pedido de exclusão ou anonimização de um jogador	sem rota na API	peça pelo canal de suporte