Ingresso em grupo da LigaFest

O problema

A LigaFest é um evento gratuito de card games, realizado num shopping, com mais de 8 mil participantes inscritos. Na primeira edição, a entrada lotou.

O motivo era simples. Cada pessoa precisava do próprio QR code. Um grupo de cinco levava cinco QR codes até a fila. Muita gente do shopping chegava curiosa, sem cadastro nenhum. O negócio queria zero burocracia, mas alguém precisava controlar o acesso e liberar as pulseiras.

A solução foi iniciativa minha. Eu fazia o front-end completo da LigaFest e vi o problema na primeira edição. Para a edição seguinte, propus o ingresso em grupo.

O que eu fiz

Ingresso em grupo

Um responsável, o titular, inscreve a família ou os amigos. Um único QR code libera todos. Cada titular pode convidar até 5 dependentes.

Dados mínimos, por desenho

Estudei LGPD e propus um fluxo baseado em minimização de dados:

• O ingresso é recuperado só com o e-mail. Sem senha, sem perfil completo.
• A tela do ingresso mostra o QR code e o e-mail, sem o nome da pessoa.
• Os dependentes ficam anonimizados. Guardamos só idade e parentesco.

Com isso, as pulseiras saem na entrada sem que todo mundo precise se cadastrar.

Um QR code no local

Para quem chegava sem cadastro, deixei um QR code impresso na entrada. Ele levava direto ao campo de e-mail. A pessoa fazia o cadastro rápido ou recuperava os ingressos ali mesmo, sem procurar mensagem na caixa de entrada.

Decisões e trade-offs

Recuperar o ingresso só com e-mail. Reduz o atrito: não há senha para esquecer, nem conta para criar. Também reduz o que fica guardado. O custo é de segurança. Quem sabe o e-mail de alguém consegue tentar recuperar o ingresso, e o QR code pode ser compartilhado. Num evento gratuito o risco por ingresso é menor, mas o custo existe e eu sabia dele. Num produto com mais em jogo, endureceria isso.

Dependentes anonimizados. Eu não precisava do nome de uma criança para liberar uma pulseira. Precisava saber que existe um dependente e qual a faixa etária e o parentesco. O custo é operacional: sem nome, não dá para identificar um dependente específico. Para o evento, isso bastava.

Resultado

A aglomeração na entrada caiu muito. Um QR code passou a liberar o grupo inteiro, e a LigaFest chegou a mais de 8 mil participantes inscritos com o mínimo de dados pessoais armazenados. Isso também reduz o impacto em caso de incidente: o que não se guarda não vaza.

Preciso ser preciso aqui. O cadastro do titular ainda coletava dados completos: nome, CPF, data de nascimento, telefone, CEP e gênero. Isso era requisito do evento. A minimização vale para três pontos: a recuperação do ingresso (só e-mail), a exibição (sem nome) e os dependentes (só idade e parentesco). O sistema não coletava o mínimo absoluto, e eu não vou contar como se coletasse.

O que eu faria diferente

Aplicaria a mesma lógica ao titular. Se o evento só precisa liberar a entrada, a pergunta honesta é: precisamos mesmo de CPF e CEP? A evolução natural é coletar só o necessário também dele.

Endureceria a recuperação por e-mail. Um link com expiração, limite de tentativas por e-mail e IP, QR code assinado e de uso único e invalidação no check-in reduziriam o risco de enumeração e de compartilhamento. Essas são as melhorias que eu proporia, e não as descrevo como já feitas.

Definiria por escrito a base legal do tratamento, com consentimento ou legítimo interesse, e a diferença entre anonimização e pseudonimização para cada dado dos dependentes. Eu estudei LGPD para desenhar o fluxo, mas esse é um ponto em que o ideal é trabalhar junto com jurídico, e não decidir sozinho no código.

Por fim, mediria o efeito. Eu vi a fila diminuir, mas não tenho números de tempo de entrada antes e depois, e por isso não publico nenhum.