Política de Privacidad y Protección de Datos Personales

1 – Introducción

Cactus Gaming (“Cactus” o la “Empresa”) es un proveedor de tecnología especializado en el desarrollo de soluciones para la industria del juego y las apuestas, que valora la transparencia, la integridad y la seguridad en el manejo de datos personales. En el desempeño de sus actividades, Cactus se compromete a garantizar la protección de la información a la que tiene acceso, incluyendo datos de clientes, usuarios finales, empleados, socios y otros terceros, de conformidad con la legislación aplicable, en particular la Ley General de Protección de Datos (LGPD – Ley n.º 13.709/2018).

Esta Política de Privacidad y Protección de Datos Personales describe cómo se recopilan, utilizan, almacenan, comparten y protegen los datos personales, además de definir los roles y responsabilidades involucrados en estas operaciones.

Respecto a los datos personales de sus empleados, Cactus Gaming actúa en calidad de Responsable del tratamiento de datos, siendo responsable de las decisiones relacionadas con el tratamiento de esta información, de conformidad con la Ley General de Protección de Datos (LGPD – Ley nº 13.709/2018).

En otras actividades relacionadas con las soluciones tecnológicas que desarrolla y opera, la Compañía podrá actuar como Operador de Datos o en virtud de un acuerdo de responsabilidad conjunta., de acuerdo con la finalidad del tratamiento, las instrucciones recibidas y los contratos celebrados con terceros, conforme a los artículos 5, VI y 39 de la LGPD.

Cactus mantiene una estructura de gobernanza adecuada para asegurar la correcta definición de responsabilidades, la adopción de controles proporcionales a los riesgos involucrados y la mejora continua de sus prácticas de procesamiento de datos personales.

2 – Objetivo

Esta Política tiene como objetivo establecer las directrices, responsabilidades e información esencial para el Titular de Datos Personales sobre cómo Cactus procesa su información, cuáles son sus derechos y cómo pueden ejercerse, así como las medidas de seguridad adoptadas para garantizar la protección de los Datos Personales durante su procesamiento, siguiendo las directrices de la LGPD (Ley General de Protección de Datos de Brasil) y las mejores prácticas en gobernanza, gestión de riesgos y seguridad de la información.

3 – Aplicación y alcance

Esta Política de Privacidad y Protección de Datos Personales aplica a los titulares de datos cuyos datos personales sean tratados por Cactus, a través de medios físicos o digitales, en el ámbito de sus actividades y operaciones.

La aplicación de esta Política abarca los tratamientos de datos realizados en razón de relaciones contractuales, legales, regulatorias, comerciales, institucionales y laborales, observando, en cada caso, el papel que desempeña Cactus Gaming como Controlador o Operador Datos, de conformidad con la Ley General de Protección de Datos (LGPD – Ley nº 13.709/2018).

4 – Definiciones y abreviaturas

Para una correcta interpretación de esta Política se presentan a continuación algunas definiciones esenciales:

● Datos personales: Cualquier información relativa a una persona física identificada o identificable.

● Datos sensibles: Datos relativos al origen racial o étnico, creencias religiosas, opiniones políticas, afiliación sindical, salud, vida sexual, datos genéticos o biométricos.

● Tratamiento de datos personales: Cualquier operación realizada con datos personales, tales como las relativas a la recogida, producción, recepción, clasificación, utilización, acceso, reproducción, transmisión, distribución, tratamiento, archivo, almacenamiento, eliminación, evaluación o control de la información, modificación, comunicación, transferencia, difusión o extracción.

● Titular de los datos: El individuo al que se refieren los datos personales tratados.

● Controlador: Persona física o jurídica responsable de tomar decisiones relativas al tratamiento de datos.

● Operador: Persona que trata datos por cuenta del responsable del tratamiento.

● Delegado de Protección de Datos (DPD): Un profesional designado para actuar como canal de comunicación entre la empresa, los interesados y las autoridades de protección de datos.

● Ley General de Protección de Datos (LGPD): Ley Federal nº 13.709, de 14 de agosto de 2018, que dispone sobre el Tratamiento de Datos Personales, incluso en medios digitales, por personas físicas o jurídicas de derecho público o privado, con el objetivo de proteger los derechos fundamentales de libertad y privacidad y el libre desarrollo de la personalidad de la persona física.

● Autoridad Nacional de Protección de Datos (ANPD): Un tipo especial de órgano autónomo, vinculado a la Presidencia de la República, que tiene responsabilidades relacionadas con la protección de datos personales y la privacidad y supervisa el cumplimiento de la Ley nº 13.709/2018 (LGPD).

● Incidente de privacidad: Según el artículo 46 de la LGPD (Ley General de Protección de Datos o Ley nº 13.709/2018), puede entenderse como tal cualquier situación accidental o ilícita que tenga como consecuencia la destrucción, pérdida, alteración, acceso no autorizado, tratamiento ilícito o inadecuado de datos personales.

● Eliminación: Se refiere a la eliminación de datos personales o conjuntos de datos personales almacenados en bases de datos, independientemente del método utilizado.

● AML (Antilavado de Dinero): Conjunto de procedimientos y controles adoptados para evitar la utilización de la estructura o de los servicios de una empresa para ocultar o disfrazar el origen ilícito de recursos financieros, de modo que puedan integrarse a la economía formal con una apariencia legal.

● CFT (Lucha contra la financiación del terrorismo): Medidas y prácticas adoptadas para prevenir y detectar la utilización de recursos financieros en la realización o apoyo de actos terroristas.

● PEP (Persona Expuesta Políticamente): Cualquier persona física que actualmente desempeñe o haya desempeñado, dentro de los últimos cinco años, una función pública relevante, así como sus representantes, familiares y demás personas con quienes mantenga una relación cercana.

● SPA/MF (Secretaría de Premios y Apuestas – Ministerio de Hacienda)Organismo del Ministerio de Hacienda responsable de las áreas de apuestas de cuota fija, promociones comerciales, rifas filantrópicas, loterías y recaudación anticipada del ahorro popular. Su función es autorizar, otorgar, regular, normalizar, supervisar, inspeccionar y sancionar a las empresas del sector, de conformidad con la legislación vigente.

● Transferencia internacional de datos: Transferencia de datos personales a un país extranjero u organización internacional de la que el país sea miembro.

 5 – Tratamiento de datos en el rol del responsable del tratamiento

Para establecer y mantener su relación directa con los interesados, Cactus podrá actuar en calidad de Responsable del tratamiento de datos personales, siendo responsable de las decisiones relativas a los fines y medios del tratamiento, de conformidad con el artículo 5, VI, de la Ley General de Protección de Datos (LGPD).

En estas condiciones, la Compañía podrá tratar datos personales facilitados directamente por el titular de los datos, por terceros legítimamente autorizados, o recabados de forma automática mediante tecnologías, sistemas propios, burós de datos y herramientas similares.

El tratamiento de datos personales, cuando se realiza bajo su responsabilidad como Responsable del Tratamiento, incluye todas las operaciones que involucran datos personales, como la recolección, producción, recepción, clasificación, uso, acceso, reproducción, transmisión, almacenamiento, compartición, procesamiento, eliminación, evaluación o control de información, modificación, comunicación, transferencia, difusión o extracción.

Estas operaciones se realizan con base en las hipótesis legales previstas en la LGPD (Ley General de Protección de Datos de Brasil), observando finalidades legítimas, específicas, explícitas e informadas al titular de los datos, así como los principios de necesidad, adecuación y transparencia.

Al actuar como Responsable del Tratamiento, Cactus podrá tratar distintas categorías de datos personales, según la naturaleza de la relación que se establezca con el titular de los datos, tal y como se describe a continuación, sin limitarse a los ejemplos dados en esta Política.

6 – Procesamiento de Datos en el Rol de Operador (Modelo Marca Blanca)

En el contexto de brindar infraestructura tecnológica, plataformas digitales, integraciones de sistemas y conexiones API para operadores autorizados para operar loterías de apuestas de cuotas fijas, Cactus actúa predominantemente en la capacidad de: Operador de Datos Personales, de conformidad con el artículo 5, VII, de la Ley General de Protección de Datos (LGPD).

En esta capacidad, la Compañía procesa datos personales. exclusivamente por cuenta y de conformidad con las instrucciones documentadas del respectivo Responsable del Tratamiento., que corresponde al operador autorizado encargado de ofrecer directamente los servicios a los usuarios finales (apostadores).

Al actuar como Operador:

• Un cactus no define los fines del tratamiento de los datos personales de los usuarios finales;
• No determina de forma independiente las bases jurídicas aplicables al tratamiento;
• No utilizamos datos personales para fines propios, comerciales o distintos a los establecidos contractualmente;
• El procesamiento de datos se realiza solo en la medida necesaria para permitir el funcionamiento técnico de la plataforma, incluido el alojamiento, el procesamiento de datos, los registros de transacciones, el monitoreo de fraude, la integración con proveedores de pago y el cumplimiento de las obligaciones técnicas y regulatorias impuestas al Controlador.

El tratamiento podrá implicar, según instrucciones recibidas del Responsable, datos de registro, datos de contacto, datos financieros, datos transaccionales, registros de apuestas, información de ubicación, registros de acceso, datos relacionados con la prevención del fraude, AML/CFT y otras categorías necesarias para el funcionamiento de la plataforma de juego.

Cactus también podrá utilizar suboperadores para la prestación de servicios de infraestructura, almacenamiento en la nube, seguridad de la información, monitoreo y soporte técnico, siempre a través de instrumentos contractuales que aseguren el cumplimiento de las obligaciones previstas en la LGPD (Ley General de Protección de Datos de Brasil) y de acuerdo con las directrices establecidas por el Responsable.

La relación entre la Compañía y el respectivo Responsable del Tratamiento se formaliza a través de instrumentos contractuales específicos, entre los que se incluyen los Acuerdos de Tratamiento de Datos (ATD), que establecen las obligaciones de las partes en materia de confidencialidad, seguridad de la información, subcontratación, transferencia internacional de datos, cooperación en la atención de los derechos de los interesados y respuesta a incidentes de seguridad, de conformidad con la Ley General de Protección de Datos (LGPD).

Cualquier solicitud de ejercicio de derechos por parte de los titulares de los datos deberá dirigirse al respectivo Responsable del Tratamiento que tenga la relación directa con el usuario final, siendo Cactus responsable de brindar el soporte técnico necesario para atender dichas demandas, según lo estipulado contractualmente.

7. Finalidades del Tratamiento de Datos Personales como Responsable del Tratamiento

Cactus podrá procesar datos personales para las siguientes finalidades:

Programación de reuniones y contacto institucional.
Recibir y responder a las solicitudes de reuniones, contactos comerciales o institucionales realizadas a través del sitio web, correo electrónico o aplicaciones de mensajería.

Solicitudes de servicio al cliente (“Contáctenos”)
Tramitar y responder las consultas, comunicaciones y solicitudes remitidas por los interesados a través de los canales oficiales de la compañía.

Reclutamiento y selección
Analizar datos de candidatos para la participación en procesos de selección y potencial formalización de una relación contractual.

Gestionar la relación con los empleados
Gestionar la relación contractual, incluyendo el cumplimiento de las obligaciones legales, laborales y administrativas, durante el periodo de contratación.

Funcionalidad del sitio web (cookies necesarias)
Utilizamos cookies esenciales para garantizar una navegación adecuada y el correcto funcionamiento del sitio web.

Cumplimiento de obligaciones legales y reglamentarias
Comunicarse y proporcionar información a las autoridades pertinentes cuando sea requerido.

Prevención del fraude y de actividades ilegales
Adoptar medidas de control y vigilancia encaminadas a prevenir el fraude, los delitos financieros y otras prácticas ilícitas.

7.1– Finalidades del Tratamiento de Datos Personales como Encargado del Tratamiento

Los datos personales podrán ser tratados, según las instrucciones del Responsable y en cumplimiento de la normativa SPA/MF aplicable al sector de las apuestas, para las siguientes finalidades:

Registro y calificación del apostador
Recepción, validación y registro de los datos de registro para la creación y mantenimiento de la cuenta del apostador, según el artículo 31 de la Ordenanza SPA/MF nº 1.231/2024.

Autenticación y verificación de identidad
Confirmación de la titularidad de la cuenta, incluso mediante reconocimiento facial, de acuerdo con la normativa aplicable.

Monitoreo e integridad de las apuestas
Análisis de datos de registro, financieros, transnacionales y de conexión para garantizar la integridad del entorno de apuestas y cumplir con los requisitos regulatorios.

Servicio al cliente y obligaciones regulatorias
Tratamiento de datos para la gestión de solicitudes, comunicaciones e informes a las autoridades competentes, de acuerdo con la normativa SPA/MF.

Prevención del fraude y los delitos financieros
Implementación de controles para mitigar prácticas ilícitas previstas en la normativa del sector.

Procesamiento de pagos
Integración con pasarelas e instituciones financieras para permitir depósitos y retiros vinculados a la cuenta del apostador.

8- Almacenamiento y conservación de datos personales

Para asegurar la confidencialidad, integridad y disponibilidad de los datos personales que procesamos, Cactus adopta medidas técnicas y organizativas encaminadas a garantizar que la información recopilada se almacene de forma segura en servidores y sistemas internos o servicios de nube contratados. 

Además, nuestros sistemas internos y externos cuentan con características de seguridad, mecanismos de defensa y monitoreo continuo con el fin de prevenir accesos no autorizados e incidentes de seguridad.

Además, los datos personales se conservan durante el tiempo necesario para cumplir los fines para los que fueron recopilados. Una vez finalizado el tratamiento, los datos solo se conservarán en los casos permitidos, según lo dispuesto en el artículo 16 de la LGPD (Ley General de Protección de Datos de Brasil):

● El cumplimiento de una obligación legal o reglamentaria por parte del responsable del tratamiento;

● Estudio realizado por un organismo de investigación, garantizando, siempre que sea posible, la anonimización de los datos personales;

● Transferencia a un tercero, siempre que se respeten los requisitos de tratamiento de datos establecidos en la LGPD;

● Uso exclusivo del responsable, quedando prohibido el acceso de terceros y los datos son anonimizados.

8.1 – Intercambio de datos personales

Cactus comparte datos personales con terceros, siempre en la medida necesaria y de conformidad con la legislación aplicable, en especial la LGPD (Ley General de Protección de Datos de Brasil). Esta compartición se produce en las siguientes situaciones:

● Proveedores de servicios externos, socios comerciales y subcontratistas para la ejecución de servicios y soporte técnico;

● Organismos reguladores, autoridades gubernamentales, entidades de supervisión o autoridades judiciales, siempre que exista obligación legal o reglamentaria, o por determinación expresa de dichas autoridades.

• Cuando Cactus actúe como Encargado del Tratamiento, cualquier intercambio de datos personales con terceros se realizará exclusivamente por instrucción documentada del Responsable del Tratamiento y dentro de los límites necesarios para la ejecución de los servicios contratados. En estos casos, Cactus no compartirá datos por iniciativa propia ni para fines distintos a los definidos por el Responsable del Tratamiento, limitándose a habilitar técnicamente integraciones, conexiones API, servicios de infraestructura, procesamiento, almacenamiento o la contratación de suboperadores previamente autorizados, cumpliendo siempre las disposiciones contractuales aplicables y los requisitos de la Ley General de Protección de Datos (LGPD).

8.2 – Transferencia internacional de datos

Cactus podrá transferir datos personales internacionalmente siempre que sea necesario para el desempeño de sus actividades, incluso para el uso de servicios de infraestructura tecnológica, almacenamiento en la nube, sistemas de procesamiento, herramientas de seguridad, monitoreo y comunicación, que podrán estar ubicados fuera del territorio brasileño.

Las transferencias internacionales realizadas por Cactus cumplirán con los requisitos de autorización establecidos en el artículo 33 de la Ley General de Protección de Datos (LGPD), incluyendo, en su caso:

• Transferencia a países u organizaciones internacionales que proporcionen un nivel de protección de datos personales adecuado al estipulado en la LGPD (Ley General de Protección de Datos de Brasil);
• La ejecución de cláusulas contractuales específicas o cláusulas tipo aprobadas por la Autoridad Nacional de Protección de Datos (ANPD);
• La adopción de instrumentos contractuales con suboperadores y proveedores que aseguren el cumplimiento de las disposiciones de la LGPD (Ley General de Protección de Datos de Brasil) y garantías adecuadas de seguridad y confidencialidad;
• otros mecanismos válidos previstos en la legislación aplicable.

Al actuar como Encargado del Tratamiento, Cactus solo realizará transferencias internacionales por instrucción del respectivo Responsable o según lo estipulado contractualmente, asegurando la implementación de las salvaguardas técnicas, administrativas y legales apropiadas para la protección de los datos personales.

8.3 – Base legal para el tratamiento

La LGPD (Ley General de Protección de Datos de Brasil) establece que todo tratamiento de datos debe estar respaldado por una base legal válida y adecuada a la finalidad del mismo. A continuación, enumeramos las bases legales que utiliza Cactus para el tratamiento de datos personales:

● Cumplimiento de una obligación legal o reglamentaria;

● Ejecución de un contrato o procedimientos preliminares relacionados con un contrato;

● Ejercicio regular de los derechos;

● Consentimiento del interesado;

● Prevención del fraude y seguridad de los interesados; 

● Protección crediticia;

● Interés legítimo.

9 – Derechos de los interesados

El titular de los datos tiene los siguientes derechos con respecto al tratamiento de sus datos personales por parte del Responsable, según lo estipulado por la LGPD (Ley General de Protección de Datos de Brasil):

● Confirmación de la existencia del tratamiento;

● Acceso a los datos;

● Corrección de datos incompletos, inexactos u obsoletos;

● Anonimización, bloqueo o eliminación de datos innecesarios, excesivos o procesados ilegalmente;

● Portabilidad de datos a otro proveedor de servicios o productos, previa solicitud expresa;

● Supresión de los datos personales tratados con el consentimiento del titular, salvo en los casos previstos en el artículo 16 de esta Ley;

● Información sobre las entidades públicas y privadas con las que el responsable ha compartido datos;

● Información sobre la posibilidad de no prestar el consentimiento y las consecuencias de la negativa;

● Revocación del consentimiento en cualquier momento.

10 – Galletas

Cactus, a través de su sitio web, utiliza y recopila cookies. Estas cookies se utilizan para almacenar información, como las preferencias del visitante y las páginas del sitio web que visitó. Esta información se utiliza para optimizar la experiencia del usuario, personalizando el contenido de nuestra página según el tipo de navegador del visitante y/u otra información.

11 – Medidas de seguridad

Para garantizar la seguridad de los Datos Personales procesados por Cactus, se implementan rigurosas medidas de seguridad, incluyendo medidas técnicas, administrativas, organizativas y físicas, consideradas adecuadas para proteger los datos personales contra la destrucción, pérdida, alteración y divulgación o acceso no autorizado accidental o ilícito a los Datos Personales que procesamos o usamos, incluyendo:

● Políticas internas de seguridad de la información, revisadas periódicamente y alineadas con las mejores prácticas del mercado;

● Capacitación periódica de los empleados en materia de seguridad de la información y protección de datos; Control de acceso y autenticación de usuarios;

● Cifrado y protección de datos almacenados y transmitidos;

● Monitoreo continuo y auditorías periódicas para detectar vulnerabilidades.

11.1 – Incidentes de privacidad

En caso de incidentes de seguridad que puedan representar un riesgo o daño significativo a los titulares de los datos, Cactus tomará las medidas adecuadas y notificará a la ANPD (Autoridad Nacional de Protección de Datos de Brasil) y a los titulares de los datos afectados, de acuerdo con los plazos y procedimientos (SLA) definidos por la Resolución CD/ANPD nº 15/2024.

12 – Información de contacto del Delegado de Protección de Datos (DPD)

Cactus informa que, de acuerdo con la Resolución CD/ANPD nº 18/2024, ponemos a disposición una dirección de correo electrónico para contactar con el Delegado de Protección de Datos (DPD): [email protected], encargado de actuar como canal de comunicación entre el titular de los datos, Cactus, y la Autoridad Nacional de Protección de Datos (ANPD).

Si tiene alguna pregunta respecto a esta Política de Privacidad de Datos Personales, o para ejercer sus derechos, puede contactarnos a través de la dirección de correo electrónico correspondiente.

13 – Mantenimiento de registros

Todos los documentos internos deberán ser actualizados cada 12 (doce) meses o en un período menor si es necesario.

14 – Evaluación de violaciones de seguridad y privacidad

El área de Seguridad de la Información y Privacidad será responsable de auditar los controles adoptados en esta política, así como del adecuado seguimiento de dichos controles.

Cualquier violación a esta Política será evaluada por el área de Seguridad de la Información y Privacidad.