Os donativos em cripto são muitas vezes descritos como privados. Quanto ao dinheiro, isso é aproximadamente verdade. Quanto aos dados, é frequentemente o contrário — e a parte que ninguém menciona é onde esses dados acabam, geograficamente.
Este artigo é sobre a segunda. Aplica-se ao checkout de qualquer organização, incluindo o nosso, e vamos ser específicos quanto ao nosso porque conselhos vagos aqui não servem para nada.
Declaramos primeiro o conflito: a TraceGood aceita donativos através de um processador de pagamentos, por isso descrevemos um arranjo de que beneficiamos. Tudo o que segue sobre esse processador foi lido nos seus próprios documentos publicados em 22 de outubro de 2026. Não somos advogados.
Um donativo cria dois registos, não um
O registo da blockchain. Público, permanente e que ninguém pode apagar — nem a organização, nem você, nem um regulador. Mostra um valor, uma hora, um endereço de origem e um de destino. Não mostra o seu nome. Mas um endereço não é anónimo, é pseudónimo: se alguma coisa o ligar a você — um levantamento numa exchange, um endereço reutilizado, uma caixa de donativos pública — a ligação é retroativa e cobre tudo o que esse endereço já fez.
O registo do processador. Privado, e muito mais identificativo do que as pessoas esperam. Quando chega a um checkout alojado, está no site da empresa de pagamentos, e ela recebe o que qualquer site recebe: o seu endereço IP, o país a que ele corresponde, o seu navegador e idioma, além de tudo o que escrever na página.
Os doadores tendem a preocupar-se com o primeiro registo e a ignorar o segundo. O segundo é o que tem a sua localização.
A pergunta que quase ninguém faz: que país o guarda?
Foi este o exercício que fizemos com o nosso processador, e o resultado surpreendeu-nos.
O nosso checkout tem a marca NOWPayments. Os termos de serviço por trás dele intitulam-se FD Transfers LLC Terms of Service e nomeiam uma empresa registada em São Vicente e Granadinas. É essa a entidade que recebe os dados dos doadores.
A Comissão Europeia mantém uma lista de países a que reconheceu uma proteção de dados essencialmente equivalente à da UE — uma decisão de adequação. Consultámos a lista da própria Comissão. Atualmente nomeia dezassete, incluindo o Reino Unido, a Suíça, o Japão, a Argentina, o Brasil, a Nova Zelândia, a Coreia do Sul e os Estados Unidos no quadro aplicável.
São Vicente e Granadinas não consta dela.
Isso não torna a transferência ilícita; o direito da UE permite transferências para países não adequados por outras vias. Significa que falta a presunção automática de proteção equivalente e que, se quiser recurso, estará diante de uma empresa fora da UE e não dentro.
Os termos do mesmo processador afirmam que os serviços não são prestados a residentes ou cidadãos da União Europeia, do Reino Unido, dos Estados Unidos, dos Emirados Árabes Unidos ou da Rússia — e que não fica sujeita às regras de proteção de dados ou de consumo desses lugares só porque alguém de lá os usa de qualquer modo. Essa frase é um escudo contra a regulação. É a declaração mais clara possível de onde você ficaria.
Publicámos a leitura completa em em que jurisdição está o seu processador.
O que enviamos, e o que não enviamos
Sejamos específicos, porque isto é verificável.
Quando inicia um donativo connosco, o nosso servidor cria um pedido de pagamento com o valor, uma referência de encomenda aleatória e o nome do programa que escolheu. É tudo. Sem nome, sem e-mail, nada que o identifique, mesmo que nos tenha dado esses dados para um recibo.
O que o processador fica a saber sobre você, aprende-o do seu próprio navegador quando o checkout abre — não de nós.
O nome e o e-mail são opcionais no nosso formulário e servem apenas para enviar um recibo. Se preferir que não guardemos nada, deixe-os em branco; o donativo funciona igual. O nosso registo público nunca mostra nomes nem e-mails de doadores.
Alterámos a nossa página de privacidade no dia em que percebemos tudo isto, porque antes nomeava uma marca e não a empresa que recebe os dados. A própria política de privacidade do processador, por acaso, obriga os comerciantes a dizer exatamente isto aos seus clientes — uma obrigação que estávamos a não cumprir.
O problema do apagamento que ninguém consegue resolver
A proteção de dados europeia dá às pessoas o direito de ver dados pessoais apagados em certas circunstâncias. Uma blockchain pública não o consegue fazer. Nada pode ser apagado dela, por desenho, e esse desenho é toda a razão pela qual serve para verificar que uma organização recebeu o que diz ter recebido.
Há portanto uma tensão real e não resolvida, e qualquer organização que diga o contrário está confusa ou está a vender-lhe algo:
- O registo que lhe permite verificar a nossa honestidade é o mesmo que não pode ser desescrito.
- Podemos apagar o que está na nossa base de dados — o seu nome, o seu e-mail. Não podemos apagar a cadeia.
A nossa posição honesta é que esta é uma escolha que fizemos, que os doadores devem conhecê-la antes de doar e não depois, e que a forma de limitar a exposição é limitar o que fica ligado desde o início.
O que pode realmente controlar
Mais ou menos por ordem de eficácia:
- Não dê nome nem e-mail se não precisar de recibo. Opcional significa opcional.
- Decida se lhe importa que o endereço seja associável a você. Doar diretamente de uma conta numa exchange liga a sua identidade verificada à transação do lado da exchange. Enviar de uma carteira sua não liga, embora a cadeia continue a registar o endereço.
- Não reutilize um endereço para tudo. Um endereço de donativos que também é o seu endereço público de salário conta uma história mais longa do que pretendia.
- Leia a política de privacidade do checkout, não só a da organização. São empresas diferentes com obrigações diferentes.
- Recuse os cookies opcionais no site da organização. No nosso, isso deixa a análise totalmente desativada.
- Pergunte à organização quem recebe os seus dados. Se não souber nomear a entidade legal, isso já é uma resposta.
Se a privacidade é a sua prioridade e não a verificabilidade, escrevemos sobre as escolhas em é possível doar cripto anonimamente e sobre moedas de privacidade em que organizações aceitam Monero. Saiba que os dois objetivos entram genuinamente em conflito: um donativo que um estranho pode verificar é um donativo que um estranho pode ver.
O que as organizações devem fazer
- Nomear a entidade legal que recebe os dados dos doadores, e o país. Não a marca.
- Enviar o mínimo possível ao processador. Se o seu pedido de pagamento não precisa do nome do doador, não o ponha lá.
- Tornar os campos identificativos opcionais e cumpri-lo.
- Guardar cópias datadas das políticas do processador. São PDF com versão que mudam sem aviso.
- Dizer em voz alta que a cadeia é permanente. É a única coisa que não pode prometer desfazer.
A nossa posição
Cada donativo confirmado à TraceGood aparece no nosso registo público com um link para a transação num explorador de blocos independente. Nomes e e-mails de doadores nunca aparecem lá.
Somos uma organização recém-criada cujo registo como associação sem fins lucrativos na Estónia ainda não está concluído, e os donativos não são dedutíveis nos impostos em país algum. A nossa página Sobre tem a posição completa.
Se quiser saber o que temos sobre você, ou quiser que o apaguemos, peça-nos e fá-lo-emos.