Politique de confidentialité et protection des données personnelles

1 – Introduction

Cactus Gaming (“ Cactus ” ou la “ Société ”) est un fournisseur de technologies spécialisé dans le développement de solutions pour l'industrie des jeux et des paris, qui accorde une grande importance à la transparence, à l'intégrité et à la sécurité du traitement des données personnelles. Dans le cadre de ses activités, Cactus s'engage à assurer la protection des informations auxquelles elle a accès, notamment les données de ses clients, utilisateurs finaux, employés, partenaires et autres tiers, conformément à la législation applicable, et en particulier au Règlement général sur la protection des données (RGPD – Loi n° 13.709/2018).

La présente politique de confidentialité et de protection des données personnelles décrit comment les données personnelles sont collectées, utilisées, stockées, partagées et protégées, et définit également les rôles et responsabilités liés à ces opérations.

En ce qui concerne les données personnelles de ses employés, Cactus Gaming agit en qualité de Responsable du traitement des données, étant responsable des décisions relatives au traitement de ces informations, conformément à la loi générale sur la protection des données (LGPD – loi n° 13.709/2018).

Dans d'autres activités liées aux solutions technologiques qu'elle développe et exploite, la Société peut agir en tant que Opérateur de données ou dans le cadre d'un accord de responsabilité conjointe., conformément à la finalité du traitement, aux instructions reçues et aux contrats signés avec des tiers, conformément aux articles 5, VI et 39 de la LGPD (Loi générale brésilienne sur la protection des données).

Cactus maintient une structure de gouvernance appropriée afin d'assurer la définition correcte des responsabilités, l'adoption de contrôles proportionnés aux risques encourus et l'amélioration continue de ses pratiques de traitement des données personnelles.

2 – Objectif

La présente politique vise à établir les lignes directrices, les responsabilités et les informations essentielles concernant la manière dont Cactus traite ses informations, quels sont ses droits et comment ils peuvent être exercés, ainsi que les mesures de sécurité adoptées pour garantir la protection des données personnelles pendant leur traitement, conformément aux lignes directrices de la LGPD (Loi générale brésilienne sur la protection des données) et aux meilleures pratiques en matière de gouvernance, de gestion des risques et de sécurité de l'information.

3 – Application et portée

La présente politique de confidentialité et de protection des données personnelles s'applique aux personnes concernées dont les données personnelles sont traitées par Cactus, par des moyens physiques ou numériques, dans le cadre de ses activités et opérations.

L'application de la présente politique couvre le traitement des données effectué en raison de relations contractuelles, légales, réglementaires, commerciales, institutionnelles et de travail, en tenant compte, dans chaque cas, du rôle joué par Cactus Gaming en tant que Contrôleur ou Opérateur Données, conformément à la loi générale sur la protection des données (LGPD – loi n° 13.709/2018).

4 – Définitions et abréviations

Pour une interprétation correcte de la présente politique, voici quelques définitions essentielles :

● Données personnelles : Toute information relative à une personne physique identifiée ou identifiable.

● Données sensibles : Données relatives à l’origine raciale ou ethnique, aux convictions religieuses, aux opinions politiques, à l’appartenance syndicale, à la santé, à la vie sexuelle, aux données génétiques ou biométriques.

● Traitement des données personnelles : Toute opération effectuée sur des données personnelles, telle que celles relatives à la collecte, la production, la réception, le classement, l'utilisation, l'accès, la reproduction, la transmission, la distribution, le traitement, l'archivage, la conservation, l'élimination, l'évaluation ou le contrôle des informations, la modification, la communication, le transfert, la diffusion ou l'extraction.

● Personne concernée : La personne à laquelle se rapportent les données personnelles traitées.

● Contrôleur: Une personne physique ou morale chargée de prendre les décisions relatives au traitement des données.

● Opérateur: Personne qui traite les données pour le compte du responsable du traitement.

● Délégué à la protection des données (DPO) : Un professionnel désigné pour servir d'intermédiaire entre l'entreprise, les personnes concernées et les autorités de protection des données.

● Loi générale sur la protection des données (LGPD) : Loi fédérale n° 13.709 du 14 août 2018, relative au traitement des données à caractère personnel, y compris sur supports numériques, par des personnes physiques ou morales de droit public ou privé, dans le but de protéger les droits fondamentaux à la liberté et à la vie privée ainsi que le libre épanouissement de la personnalité de la personne physique.

● Autorité nationale de protection des données (ANPD) : Une agence autonome d'un type particulier, rattachée à la Présidence de la République, chargée de la protection des données personnelles et de la vie privée et qui veille au respect de la loi n° 13.709/2018 (LGPD).

● Incident relatif à la protection de la vie privée : Selon l’article 46 de la LGPD (Loi générale sur la protection des données ou loi n° 13.709/2018), elle peut être comprise comme toute situation accidentelle ou illicite qui entraîne la destruction, la perte, l’altération, l’accès non autorisé, le traitement illicite ou inapproprié de données personnelles.

● Élimination: Cela concerne la suppression de données personnelles ou d'ensembles de données personnelles stockées dans des bases de données, quelle que soit la méthode utilisée.

● LBC (Lutte contre le blanchiment d'argent) : Un ensemble de procédures et de contrôles adoptés pour empêcher l'utilisation de la structure ou des services d'une entreprise afin de dissimuler ou de masquer l'origine illicite de ressources financières, de manière à ce qu'elles puissent être intégrées à l'économie formelle avec une apparence légale.

● Lutte contre le financement du terrorisme (LFT) : Mesures et pratiques adoptées pour prévenir et détecter l’utilisation de ressources financières dans la perpétration ou le soutien d’actes terroristes.

● PEP (Personne politiquement exposée) : Toute personne qui occupe actuellement ou a occupé, au cours des cinq dernières années, une fonction publique pertinente, ainsi que ses représentants, les membres de sa famille et les autres personnes avec lesquelles elle entretient une relation étroite.

● SPA/MF (Secrétariat des prix et des paris – Ministère des Finances)L'organisme du ministère des Finances chargé des paris à cotes fixes, des promotions commerciales, des tombolas caritatives, des loteries et de la collecte anticipée d'épargne populaire a pour mission d'autoriser, d'octroyer des licences, de réglementer, de normaliser, de contrôler, de superviser, d'inspecter et de sanctionner les entreprises du secteur, conformément à la législation en vigueur.

● Transfert international de données : Transfert de données personnelles vers un pays étranger ou une organisation internationale dont le pays est membre.

 5 – Le traitement des données dans le rôle du responsable du traitement

Pour établir et maintenir sa relation directe avec les personnes concernées, Cactus peut agir en qualité de Responsable du traitement des données personnelles, étant responsable des décisions concernant les finalités et les moyens du traitement, conformément à l’article 5, VI, de la loi générale sur la protection des données (LGPD).

Dans ces conditions, la Société peut traiter les données personnelles fournies directement par la personne concernée, par des tiers légitimement autorisés ou collectées automatiquement grâce à des technologies, des systèmes propriétaires, des bureaux de données et des outils similaires.

Le traitement des données à caractère personnel, lorsqu'il est effectué sous votre responsabilité en tant que responsable du traitement, comprend toutes les opérations portant sur des données à caractère personnel, telles que la collecte, la production, la réception, le classement, l'utilisation, l'accès, la reproduction, la transmission, le stockage, le partage, le traitement, l'effacement, l'évaluation ou le contrôle des informations, la modification, la communication, le transfert, la diffusion ou l'extraction.

Ces opérations sont réalisées sur la base des hypothèses juridiques prévues par la LGPD (Loi générale brésilienne sur la protection des données), en respectant des finalités légitimes, spécifiques et explicites portées à la connaissance de la personne concernée, ainsi que les principes de nécessité, d'adéquation et de transparence.

Lorsqu'elle agit en tant que responsable du traitement des données, Cactus peut traiter différentes catégories de données personnelles, en fonction de la nature de la relation établie avec la personne concernée, comme décrit ci-dessous, mais sans s'y limiter, aux exemples donnés dans la présente politique.

6 – Traitement des données dans le rôle de l’opérateur (modèle en marque blanche)

Dans le cadre de la fourniture d'infrastructures technologiques, de plateformes numériques, d'intégrations de systèmes et de connexions API aux opérateurs autorisés à exploiter des loteries de paris à cotes fixes, Cactus intervient principalement en qualité de : Opérateur de données personnelles, conformément à l’article 5, VII, de la loi générale sur la protection des données (LGPD).

À ce titre, la société traite des données personnelles. exclusivement pour le compte et conformément aux instructions documentées du contrôleur concerné., qui correspond à l'opérateur agréé chargé de proposer directement des services aux utilisateurs finaux (parieurs).

Lorsqu'il agit en tant que Opérateur:

• Un cactus ne définit pas les objectifs du traitement des données personnelles des utilisateurs finaux ;
• Elle ne détermine pas de manière indépendante les bases juridiques applicables au traitement ;
• Nous n’utilisons pas les données personnelles à nos propres fins, à des fins commerciales ou à des fins autres que celles établies contractuellement ;
• Le traitement des données est effectué uniquement dans la mesure nécessaire au fonctionnement technique de la plateforme, notamment l'hébergement, le traitement des données, l'enregistrement des transactions, la surveillance des fraudes, l'intégration avec les prestataires de paiement et le respect des obligations techniques et réglementaires imposées au responsable du traitement.

Le traitement peut impliquer, conformément aux instructions reçues du responsable du traitement, des données d'inscription, des données de contact, des données financières, des données transactionnelles, des enregistrements de paris, des informations de localisation, des journaux d'accès, des données relatives à la prévention de la fraude, à la lutte contre le blanchiment d'argent et le financement du terrorisme, ainsi que d'autres catégories nécessaires au fonctionnement de la plateforme de jeux.

Cactus peut également faire appel à des sous-traitants pour fournir des services d'infrastructure, de stockage cloud, de sécurité de l'information, de surveillance et d'assistance technique, toujours par le biais d'instruments contractuels qui garantissent le respect des obligations énoncées dans la LGPD (Loi générale brésilienne sur la protection des données) et conformément aux directives établies par le responsable du traitement.

La relation entre la Société et le Responsable du traitement respectif est formalisée par des instruments contractuels spécifiques, notamment des Accords de Traitement des Données (ATD), qui établissent les obligations des parties en matière de confidentialité, de sécurité des informations, de sous-traitance, de transfert international de données, de coopération pour répondre aux droits des personnes concernées et de réponse aux incidents de sécurité, conformément à la Loi Générale sur la Protection des Données (LGPD).

Toute demande d'exercice des droits des personnes concernées doit être adressée au responsable du traitement respectif en charge de la relation directe avec l'utilisateur final, Cactus étant responsable de fournir le support technique nécessaire pour répondre à ces demandes, comme stipulé contractuellement.

7. Finalités du traitement des données personnelles en tant que responsable du traitement

Cactus peut traiter des données personnelles aux fins suivantes :

Planification des réunions et des contacts institutionnels.
Recevoir et répondre aux demandes de réunions, de contacts professionnels ou institutionnels effectuées via le site web, par courriel ou par messagerie.

Demandes de service client (“ Contactez-nous ”)
Traiter et répondre aux questions, communications et demandes soumises par les personnes concernées via les canaux officiels de l'entreprise.

Recrutement et sélection
Analyser les données des candidats en vue de leur participation aux processus de sélection et de la formalisation potentielle d'une relation contractuelle.

Gérer la relation avec les employés
Gérer la relation contractuelle, y compris le respect des obligations légales, sociales et administratives, pendant la période d'embauche.

Fonctionnalités du site web (cookies nécessaires)
Nous utilisons des cookies essentiels pour assurer une navigation correcte et le bon fonctionnement du site web.

Respect des obligations légales et réglementaires
Communiquer et fournir des informations aux autorités compétentes en cas de besoin.

Prévention de la fraude et des activités illégales
Adopter des mesures de contrôle et de surveillance visant à prévenir la fraude, les crimes financiers et autres pratiques illégales.

7.1– Finalités du traitement des données personnelles en tant que sous-traitant

Les données personnelles peuvent être traitées, conformément aux instructions du responsable du traitement et dans le respect de la réglementation SPA/MF applicable au secteur des paris, aux fins suivantes :

Inscription et qualification du parieur
Réception, validation et enregistrement des données d'inscription pour la création et la maintenance du compte du parieur, conformément à l'article 31 de l'ordonnance SPA/MF n° 1,231/2024.

Authentification et vérification d'identité
Confirmation de la propriété du compte, y compris par reconnaissance faciale, conformément à la réglementation applicable.

Surveillance et intégrité des paris
Analyse des données d'inscription, financières, transnationales et de connexion afin de garantir l'intégrité de l'environnement des paris et de respecter les exigences réglementaires.

Service à la clientèle et obligations réglementaires
Traitement des données pour la gestion des demandes, des communications et des rapports aux autorités compétentes, conformément à la réglementation SPA/MF.

Prévention de la fraude et des crimes financiers
Mise en œuvre de contrôles visant à atténuer les pratiques illégales prévues par la réglementation du secteur.

Traitement des paiements
Intégration avec les passerelles de paiement et les institutions financières pour permettre les dépôts et les retraits liés au compte du parieur.

8- Stockage et conservation des données personnelles

Afin de garantir la confidentialité, l'intégrité et la disponibilité des données personnelles que nous traitons, Cactus adopte des mesures techniques et organisationnelles visant à garantir que les informations collectées sont stockées en toute sécurité sur des serveurs et systèmes internes ou sur des services cloud sous contrat. 

De plus, nos systèmes internes et externes sont dotés de dispositifs de sécurité, de mécanismes de défense et d'une surveillance continue afin de prévenir les accès non autorisés et les incidents de sécurité.

Par ailleurs, les données personnelles sont conservées pendant la durée nécessaire à la réalisation des finalités pour lesquelles elles ont été collectées. Une fois le traitement terminé, les données ne seront conservées que dans les cas autorisés, conformément à l'article 16 de la LGPD (Loi générale brésilienne sur la protection des données).

● Respect d’une obligation légale ou réglementaire par le responsable du traitement ;

● Étude réalisée par un organisme de recherche, en veillant, dans la mesure du possible, à l’anonymisation des données personnelles ;

● Transfert à un tiers, à condition que les exigences en matière de traitement des données prévues par la LGPD soient respectées ;

● Usage exclusif par le responsable du traitement, l'accès par des tiers est interdit et les données sont anonymisées.

8.1 – Partage des données personnelles

Cactus partage des données personnelles avec des tiers, toujours dans la limite de ce qui est nécessaire et conformément à la législation applicable, notamment la LGPD (Loi générale brésilienne sur la protection des données). Ce partage a lieu dans les situations suivantes :

● Prestataires de services tiers, partenaires commerciaux et sous-traitants pour l’exécution des services et du support technique ;

● Les organismes de réglementation, les autorités gouvernementales, les entités de surveillance ou les autorités judiciaires, chaque fois qu’il existe une obligation légale ou réglementaire, ou par décision expresse de ces autorités.

• Lorsque Cactus agit en tant que sous-traitant, tout partage de données personnelles avec des tiers s'effectuera exclusivement sur instruction écrite du responsable du traitement concerné et dans les limites nécessaires à l'exécution des services contractuels. Dans ce cas, Cactus ne partagera pas de données de sa propre initiative ni à des fins autres que celles définies par le responsable du traitement, se limitant à la mise en place technique des intégrations, des connexions API, des services d'infrastructure, du traitement, du stockage ou à la sous-traitance auprès de prestataires préalablement autorisés, dans le respect des dispositions contractuelles applicables et des exigences du Règlement général sur la protection des données (RGPD).

8.2 – Transfert international de données

Cactus peut transférer des données personnelles à l'international chaque fois que cela est nécessaire à l'exercice de ses activités, notamment pour l'utilisation de services d'infrastructure technologique, de stockage en nuage, de systèmes de traitement, d'outils de sécurité, de surveillance et de communication, qui peuvent être situés en dehors du territoire brésilien.

Les transferts internationaux effectués par Cactus seront conformes aux exigences d’autorisation énoncées à l’article 33 du Règlement général sur la protection des données (LGPD), y compris, le cas échéant :

• Transfert vers des pays ou des organisations internationales qui assurent un niveau de protection des données personnelles adéquat à celui stipulé dans la LGPD (Loi générale brésilienne sur la protection des données) ;
• L’exécution de clauses contractuelles spécifiques ou de clauses types approuvées par l’Autorité nationale de protection des données (ANPD) ;
• L’adoption d’instruments contractuels avec les sous-traitants et les fournisseurs qui garantissent le respect des dispositions de la LGPD (Loi générale brésilienne sur la protection des données) et des garanties adéquates de sécurité et de confidentialité ;
• d'autres mécanismes valides prévus par la législation applicable.

Lorsqu'elle agit en tant que sous-traitant de données, Cactus n'effectuera de transferts internationaux que sur instruction du responsable du traitement concerné ou conformément aux stipulations contractuelles, en veillant à la mise en œuvre de garanties techniques, administratives et juridiques appropriées pour la protection des données personnelles.

8.3 – Base juridique du traitement

La LGPD (Loi générale brésilienne sur la protection des données) stipule que tout traitement de données doit reposer sur une base juridique valable et adaptée à sa finalité. Vous trouverez ci-dessous la liste des bases juridiques utilisées par Cactus pour le traitement des données personnelles :

● Respect d’une obligation légale ou réglementaire ;

● Exécution d’un contrat ou de procédures préliminaires liées à un contrat ;

● Exercice régulier des droits;

● Consentement de la personne concernée ;

● Prévention de la fraude et sécurité des données des personnes concernées ; 

● Protection du crédit ;

● Intérêt légitime.

9 – Droits des personnes concernées

La personne concernée dispose des droits suivants concernant le traitement de ses données personnelles par le responsable du traitement, conformément à la LGPD (Loi générale brésilienne sur la protection des données) :

● Confirmation de l’existence d’un traitement ;

● Accès aux données ;

● Correction des données incomplètes, inexactes ou obsolètes ;

● Anonymisation, blocage ou suppression des données inutiles, excessives ou traitées illégalement ;

● Portabilité des données vers un autre fournisseur de services ou de produits, sur demande expresse ;

● Suppression des données à caractère personnel traitées avec le consentement de la personne concernée, sauf dans les cas prévus à l’article 16 de la présente loi ;

● Informations sur les entités publiques et privées avec lesquelles le responsable du traitement a partagé des données ;

● Informations sur la possibilité de ne pas donner son consentement et les conséquences d’un refus ;

● Révocation du consentement à tout moment.

10 – Biscuits

Cactus utilise et collecte des ‘ cookies ’ sur son site web. Ces cookies servent à stocker des informations, notamment les préférences des visiteurs et les pages consultées. Ces informations permettent d'optimiser l'expérience utilisateur en personnalisant le contenu du site en fonction du navigateur utilisé et/ou d'autres informations.

11 – Mesures de sécurité

Afin de garantir la sécurité des données personnelles traitées par Cactus, des mesures de sécurité rigoureuses sont mises en œuvre, notamment des mesures techniques, administratives, organisationnelles et physiques, jugées appropriées pour protéger les données personnelles contre toute destruction, perte, altération et divulgation ou accès non autorisé, accidentel ou illicite, aux données personnelles que nous traitons ou utilisons, y compris :

● Politiques internes de sécurité de l’information, revues périodiquement et alignées sur les meilleures pratiques du marché ;

● Formation régulière des employés à la sécurité de l'information et à la protection des données ; contrôle d'accès et authentification des utilisateurs ;

● Chiffrement et protection des données stockées et transmises ;

● Surveillance continue et audits périodiques pour détecter les vulnérabilités.

11.1 – Incidents liés à la protection de la vie privée

En cas d’incidents de sécurité susceptibles de présenter un risque ou un préjudice important pour les personnes concernées, Cactus prendra les mesures appropriées et notifiera l’ANPD (Autorité nationale brésilienne de protection des données) et les personnes concernées, conformément aux délais et procédures (SLA) définis par la résolution CD/ANPD n° 15/2024.

12 – Coordonnées du délégué à la protection des données (DPO)

Cactus vous informe que, conformément à la résolution CD/ANPD n° 18/2024, nous mettons à votre disposition une adresse électronique pour contacter le délégué à la protection des données (DPO) : [email protected], chargé de servir de canal de communication entre la personne concernée, Cactus et l'Autorité nationale de protection des données (ANPD).

Si vous avez des questions concernant cette politique de confidentialité des données personnelles, ou pour exercer vos droits, vous pouvez nous contacter à l'adresse électronique correspondante.

13 – Tenue des registres

Tous les documents internes doivent être mis à jour tous les 12 (douze) mois ou dans un délai plus court si nécessaire.

14 – Évaluation des violations de la sécurité et de la confidentialité

Le service Sécurité et confidentialité des informations sera chargé de vérifier les contrôles adoptés dans la présente politique, ainsi que d'assurer le suivi approprié de ces contrôles.

Toute violation de la présente politique sera évaluée par le service de sécurité et de confidentialité des informations.