Política de Privacidade e Proteção de Dados Pessoais

1 – Introdução

A Cactus Gaming (“Cactus” ou “Empresa”) é uma provedora de tecnologia especializada no desenvolvimento de soluções para o setor de jogos  e apostas, que preza pela transparência, integridade e segurança no  tratamento de dados pessoais. No exercício de suas atividades, a Cactus se compromete a assegurar a proteção das informações que tenha acesso, incluindo dados de  clientes, usuários finais, colaboradores, parceiros e demais terceiros,  em conformidade com a legislação aplicável, especialmente a Lei Geral de Proteção de  Dados (LGPD – Lei nº 13.709/2018).

Esta Política de Privacidade e Proteção de Dados Pessoais descreve como os dados pessoais são coletados, utilizados, armazenados, compartilhados e protegidos, bem como define os papéis e responsabilidades envolvidos nessas operações.

No que se refere aos dados pessoais de seus colaboradores, a Cactus Gaming atua na qualidade de Controladora de Dados, sendo responsável pelas decisões relacionadas ao tratamento dessas informações, nos termos da Lei Geral de Proteção de Dados (LGPD – Lei nº 13.709/2018).

Nas demais atividades relacionadas às soluções tecnológicas que desenvolve e opera, a Empresa poderá atuar como Operadora de Dados ou em regime de corresponsabilidade, conforme a finalidade do tratamento, as instruções recebidas e os contratos firmados com terceiro, conforme os Arts. 5º, VI e 39 da LGPD.

A Cactus mantém estrutura de governança adequada para assegurar a correta definição de responsabilidades, a adoção de controles proporcionais aos riscos envolvidos e o aprimoramento contínuo de suas práticas de tratamento de dados pessoais.

2 – Objetivo

Esta Política tem por objetivo estabelecer as diretrizes, responsabilidades e informações essenciais ao Titular de Dados Pessoais acerca da forma como a Cactus realiza o tratamento de suas informações, quais são os seus direitos e como eles podem ser exercidos, bem como as medidas de segurança adotadas para garantir a proteção dos Dados Pessoais durante o seu tratamento, seguindo as diretrizes da LGPD e  melhores metodologias de governança, gestão de riscos e segurança da informação.

3 – Aplicação e Alcance

Esta Política de Privacidade e Proteção de Dados Pessoais aplica-se aos titulares cujos dados pessoais sejam tratados pela Cactus, por meios físicos ou digitais, no âmbito de suas atividades e operações.

A aplicação desta Política abrange o tratamento de dados realizados em razão de relações contratuais, legais, regulatórias, comerciais, institucionais e trabalhistas, observando-se, em cada hipótese, o papel desempenhado pela Cactus Gaming como Controladora ou Operadora de Dados, nos termos da Lei Geral de Proteção de Dados Pessoais (LGPD – Lei nº 13.709/2018).

4 – Definições e Abreviaturas

Para interpretação adequada desta Política, seguem algumas definições  essenciais:

● Dados Pessoais: Qualquer informação relacionada a uma pessoa natural identificada ou identificável.

● Dados Sensíveis: Dados relacionados à origem racial ou étnica,  convicção religiosa, opinião política, filiação a sindicato, saúde, vida  sexual, dados genéticos ou biométricos.

● Tratamento de Dados Pessoais: Toda operação realizada com dados  pessoais, como as que se referem a coleta, produção, recepção,  classificação, utilização, acesso, reprodução, transmissão, distribuição,  processamento, arquivamento, armazenamento, eliminação,  avaliação ou controle da informação, modificação, comunicação,  transferência, difusão ou extração.

● Titular dos Dados: Pessoa física a quem se referem os dados pessoais  tratados.

● Controlador: Pessoa física ou jurídica responsável por tomar decisões  sobre o tratamento de dados.

● Operador: Pessoa que realiza o tratamento de dados em nome do  controlador.

● Encarregado de Dados (DPO): Profissional designado para atuar  como canal de comunicação entre a empresa, os titulares dos dados  e as autoridades de proteção de dados.

● Lei Geral de Proteção de Dados (LGPD): Lei Federal nº 13.709, 14 de  agosto 2018, que dispõe sobre o Tratamento de Dados Pessoais,  inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica  de direito público ou privado, com o objetivo de proteger os direitos  fundamentais de liberdade e de privacidade e o livre desenvolvimento  da personalidade da pessoa natural.

● Autoridade Nacional de Proteção de Dados (ANPD): Autarquia de  natureza especial, vinculada à Presidência da República, que possui  atribuições relacionadas à proteção de dados pessoais e de  privacidade e fiscaliza o cumprimento da Lei nº 13.709/2018 (LGPD).

● Incidente de Privacidade: De acordo com o Artigo 46º da LGPD (Lei  Geral de Proteção de Dados ou Lei nº 13.709/2018), pode ser entendido  como quaisquer situações acidentais ou ilícitas que resultem na  destruição, perda, alteração, acesso indevido, tratamento ilícito ou  inadequado de dados pessoais.

● Eliminação: Corresponde à exclusão de dados pessoais ou de  conjuntos de dados pessoais armazenados em bancos de dados,  independentemente do método utilizado.

● PLD (Prevenção à Lavagem de Dinheiro): Conjunto de  procedimentos e controles adotados para evitar a utilização da  estrutura ou dos serviços da empresa para ocultar ou dissimular a  origem ilícita de recursos financeiros para serem integrados na economia formal com aparência legal.

● CFT (Combate ao Financiamento do Terrorismo): Medidas e práticas  adotadas para prevenir e detectar o uso de recursos financeiros na  realização ou apoio a atos terroristas.

● PEP (Pessoa Exposta Politicamente): Pessoa natural que  desempenha ou tenha desempenhado, nos últimos cinco anos,  funções públicas relevantes, bem como seus representantes,  familiares e outras pessoas de seu relacionamento próximo.

● SPA/MF (Secretaria de Prêmios e Apostas – Ministério da Fazenda): órgão do Ministério da Fazenda responsável pelas áreas de apostas de quota fixa, promoções comerciais, sorteios filantrópicos, loterias e captação antecipada de poupança popular. Sua função é autorizar, conceder, regulamentar, normatizar, monitorar, supervisionar, fiscalizar e sancionar as empresas do setor, nos termos da legislação vigente.

● Transferência internacional de dados: transferência de dados pessoais para país estrangeiro ou organismo internacional do qual o país seja membro.

 5 – Tratamento de Dados no Papel de Controladora

Para estabelecer e manter sua relação direta com titulares de dados, a Cactus poderá atuar na qualidade de Controladora de Dados Pessoais, sendo responsável pelas decisões referentes às finalidades e aos meios do tratamento, nos termos do art. 5º, VI, da Lei Geral de Proteção de Dados (LGPD).

Nessa condição, a Empresa poderá tratar dados pessoais fornecidos diretamente pelo titular, por terceiros legitimamente autorizados ou coletados automaticamente por meio de tecnologias, sistemas próprios, birôs de dados e ferramentas semelhantes.

O tratamento de dados pessoais, quando realizado sob sua responsabilidade como Controladora, compreende toda operação envolvendo dados pessoais, tais como coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, armazenamento, compartilhamento, processamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.

Tais operações são realizadas com base nas hipóteses legais previstas na LGPD, observando finalidades legítimas, específicas, explícitas e informadas ao titular, bem como os princípios da necessidade, adequação e transparência.

Sempre que atuar como Controladora, a Cactus poderá tratar diferentes categorias de dados pessoais, de acordo com a natureza da relação estabelecida com o titular, conforme descrito a seguir, não se limitando às hipóteses exemplificadas nesta Política.

6 – Tratamento de Dados no Papel de Operadora (Modelo White Label)

No âmbito da disponibilização de infraestrutura tecnológica, plataformas digitais, integrações sistêmicas e conexões via APIs para operadores autorizados a explorar a modalidade lotérica de apostas de quota fixa, a Cactus atua, predominantemente, na qualidade de Operadora de Dados Pessoais, nos termos do art. 5º, VII, da Lei Geral de Proteção de Dados (LGPD).

Nessa condição, a Empresa realiza o tratamento de dados pessoais exclusivamente em nome e conforme as instruções documentadas do respectivo Controlador, que corresponde ao operador licenciado responsável pela oferta direta dos serviços aos usuários finais (apostadores).

Quando atua como Operadora:

• A Cactus não define as finalidades do tratamento dos dados pessoais dos usuários finais;
• Não determina, de forma autônoma, as bases legais aplicáveis ao tratamento;
• Não utiliza os dados pessoais para fins próprios, comerciais ou diversos daqueles estabelecidos contratualmente;
• Realiza o tratamento apenas na medida necessária para viabilizar a operação técnica da plataforma, incluindo hospedagem, processamento de dados, registros transacionais, monitoramento antifraude, integração com provedores de pagamento e cumprimento de obrigações técnicas e regulatórias impostas ao Controlador.

O tratamento poderá envolver, conforme as instruções recebidas do Controlador, dados cadastrais, dados de contato, dados financeiros, dados transacionais, registros de apostas, informações de localização, registros de acesso (logs), dados relacionados à prevenção à fraude, PLD/CFT e demais categorias necessárias à operação da plataforma de jogos.

A Cactus poderá, ainda, contar com sub operadores, para a prestação de serviços de infraestrutura, armazenamento em nuvem, segurança da informação, monitoramento e suporte técnico, sempre mediante instrumentos contratuais que assegurem o cumprimento das obrigações previstas na LGPD e observadas as diretrizes estabelecidas pelo Controlador.

O relacionamento entre a Empresa e o respectivo Controlador é formalizado por meio de instrumentos contratuais específicos, incluindo Acordos de Tratamento de Dados Pessoais (Data Processing Agreement ou DPA), que estabelecem as obrigações das partes quanto à confidencialidade, segurança da informação, subcontratação, transferência internacional de dados, cooperação no atendimento aos direitos dos titulares e resposta a incidentes de segurança, em conformidade com a Lei Geral de Proteção de Dados (LGPD).

Eventuais solicitações de exercício de direitos por parte dos titulares de dados deverão ser direcionadas ao respectivo Controlador responsável pela relação direta com o usuário final, cabendo à Cactus prestar o suporte técnico necessário para atendimento dessas demandas, conforme previsto contratualmente.

7. Finalidades do Tratamento de Dados Pessoais como Controladora

A Cactus poderá tratar dados pessoais para as seguintes finalidades:

Agendamento de reuniões e contato institucional
Receber e responder solicitações de reuniões, contatos comerciais ou institucionais realizados por meio do website, e-mail ou aplicativos de mensagens.

Atendimento de solicitações (“Fale Conosco”)
Processar e responder dúvidas, comunicações e demandas encaminhadas pelos titulares por meio dos canais oficiais da empresa.

Recrutamento e seleção
Analisar dados de candidatos para participação em processos seletivos e eventual formalização de vínculo contratual.

Gestão da relação com colaboradores
Administrar o vínculo contratual, incluindo cumprimento de obrigações legais, trabalhistas e administrativas, durante o período de contratação.

Funcionamento do website (cookies necessários)
Utilizar cookies essenciais para garantir a navegação adequada e o correto funcionamento do site.

Cumprimento de obrigações legais e regulatórias
Realizar comunicações e fornecimento de informações às autoridades competentes, quando exigido.

Prevenção a fraudes e ilícitos
Adotar medidas de controle e monitoramento destinadas à prevenção de fraudes, crimes financeiros e outras práticas ilícitas.

7.1– Finalidades do Tratamento de Dados Pessoais como Operadora

Os dados pessoais poderão ser tratados, conforme instruções do Controlador e em observância às normas da SPA/MF aplicáveis ao setor de apostas, para as seguintes finalidades:

Cadastro e habilitação do apostador
Recebimento, validação e registro de dados cadastrais para criação e manutenção da conta do apostador, conforme art. 31 da Portaria SPA/MF nº 1.231/2024.

Autenticação e verificação de identidade
Confirmação da titularidade da conta, inclusive por reconhecimento facial, nos termos da regulamentação aplicável.

Monitoramento e integridade das apostas
Análise de dados cadastrais, financeiros, transnacionais e de conexão para garantir a integridade do ambiente de apostas e atender às exigências regulatórias.

Atendimento e obrigações regulatórias
Tratamento de dados para atendimento de solicitações, comunicações e reportes às autoridades competentes, conforme normas da SPA/MF.

Prevenção à fraude e ilícitos financeiros
Implementação de controles para  mitigar as práticas ilícitas previstas na regulamentação do setor.

Processamento de pagamentos
Integração com gateways e instituições financeiras para viabilizar depósitos e saques vinculados à conta do apostador.

8- Armazenamento e Retenção de Dados Pessoais

Para assegurar a confidencialidade, integridade e disponibilidade dos dados  pessoais que tratamos, a Cactus adota medidas técnicas e organizacionais  visando garantir que as informações coletadas sejam armazenadas com  segurança em servidores e sistemas internos ou serviços de nuvem  contratados. 

Além disso, nossos sistemas internos e externos possuem recursos de  segurança, mecanismos de defesa e monitoramento contínuo, a fim de  prevenir acessos não autorizados e incidentes de segurança.

Ainda, os dados pessoais são armazenados pelo tempo necessário para  cumprir as finalidades as quais foram coletadas. Após o encerramento do  tratamento, os dados somente permanecerão retidos nas hipóteses  permitidas, conforme dispõe o Art. 16 da LGPD:

●  Cumprimento de obrigação legal ou regulatória pelo controlador;

● Estudo por órgão de pesquisa, garantida, sempre que possível, a  anonimização dos dados pessoais;

● Transferência a terceiro, desde que respeitados os requisitos de  tratamento de dados dispostos na LGPD;

● Uso exclusivo do controlador, vedado seu acesso por terceiro, e desde  que anonimizados os dados.

8.1 – Compartilhamento de Dados Pessoais

A Cactus compartilha dados pessoais com terceiros, sempre de  forma limitada ao necessário e em conformidade com a legislação aplicável,  especialmente com a LGPD. Esse compartilhamento ocorre nas seguintes  situações:

● Prestadores de serviços terceirizados, parceiros comerciais e  subcontratados para execução de serviços e suportes técnicos;

● Órgãos reguladores, autoridades governamentais, entidades  fiscalizadoras ou autoridades judiciais, sempre que houver obrigação  legal, regulatória ou por determinação expressa dessas autoridades.

• Quando a Cactus atuar na qualidade de Operadora de Dados, o eventual compartilhamento de dados pessoais com terceiros ocorrerá exclusivamente mediante instrução documentada do respectivo Controlador e dentro dos limites necessários à execução dos serviços contratados. Nessas hipóteses, a Cactus não realizará compartilhamentos por decisão própria ou para fins distintos daqueles definidos pelo Controlador, limitando-se a viabilizar tecnicamente integrações, conexões via APIs, serviços de infraestrutura, processamento, armazenamento ou contratação de sub operadores previamente autorizados, sempre observando as disposições contratuais aplicáveis e os requisitos da Lei Geral de Proteção de Dados (LGPD

8.2 – Transferência Internacional de Dados

A Cactus poderá realizar transferência internacional de dados pessoais sempre que necessária à execução de suas atividades, inclusive para fins de utilização de serviços de infraestrutura tecnológica, armazenamento em nuvem, sistemas de processamento, ferramentas de segurança, monitoramento e comunicação, que possam estar localizados fora do território brasileiro.

As transferências internacionais realizadas pela Cactus observarão as hipóteses autorizativas previstas no art. 33 da Lei Geral de Proteção de Dados (LGPD), incluindo, quando aplicável:

• a transferência para países ou organismos internacionais que proporcionem grau de proteção de dados pessoais adequado ao previsto na LGPD;
• a celebração de cláusulas contratuais específicas ou cláusulas-padrão aprovadas pela Autoridade Nacional de Proteção de Dados (ANPD);
• a adoção de instrumentos contratuais com suboperadores e fornecedores que assegurem o cumprimento das disposições da LGPD e garantias adequadas de segurança e confidencialidade;
• demais mecanismos válidos previstos na legislação aplicável.

Quando atuar na qualidade de Operadora de Dados, a Cactus realizará transferências internacionais apenas mediante instrução do respectivo Controlador ou conforme previsto contratualmente, assegurando a implementação das salvaguardas técnicas, administrativas e jurídicas adequadas à proteção dos dados pessoais.

8.3 – Bases Legais para o Tratamento

A LGPD estabelece que todas as atividades de tratamento de dados devem  estar amparadas por uma base legal válida, adequada à finalidade do  tratamento realizado. A seguir, listamos as hipóteses legais fundamentadas  para o tratamento de dados pessoais pela Cactus:

● Cumprimento de obrigação legal ou regulatória;

● Execução de contrato ou de procedimentos preliminares relacionados  a contrato;

● Exercício regular de direitos;

● Consentimento do titular;

● Prevenção à fraude e à segurança do titular; 

● Proteção ao crédito;

● Legítimo interesse.

9 – Direitos dos Titulares

O titular dos dados possuem os seguintes direitos em relação ao tratamento  de seus dados pessoais perante ao Controlador, conforme disposto pela  LGPD:

●   Confirmação da existência de tratamento;

●   Acesso aos dados;

● Correção de dados incompletos, inexatos ou desatualizados;

● Anonimização, bloqueio ou eliminação de dados desnecessários,  excessivos ou tratados em desconformidade com o disposto nesta Lei;

● Portabilidade dos dados a outro fornecedor de serviço ou produto,  mediante requisição expressa;

● Eliminação dos dados pessoais tratados com o consentimento do  titular, exceto nas hipóteses previstas no art. 16 desta Lei;

● Informação das entidades públicas e privadas com as quais o  controlador realizou uso compartilhado de dados;

●  Informação sobre a possibilidade de não fornecer consentimento e  sobre as consequências da negativa;

●   Revogação do consentimento a qualquer momento.

10 – Cookies

A Cactus, através do seu site, utiliza e coleta ‘cookies’. Esses cookies são usados para armazenar informações, incluindo preferências dos visitantes e as páginas do site que o visitante acessou ou visitou. As informações são usadas para otimizar a experiência dos usuários, personalizando o conteúdo da nossa página com base no tipo de navegador dos visitantes e/ou outras informações.

11 – Medidas de Segurança

Para garantir a segurança dos Dados Pessoais tratados pela Cactus, são  implementadas medidas rigorosas de segurança, incluindo medidas  técnicas, administrativas, organizacionais e físicas, consideradas aptas a  proteger os dados pessoais contra a destruição acidental ou ilegal, perda,  alteração e divulgação ou acesso não autorizados aos Dados Pessoais que  processamos ou utilizamos, incluindo:

● Políticas internas de segurança da informação, revisadas  periodicamente e alinhadas com as melhores práticas de mercado;

● Treinamento regular de colaboradores sobre segurança da  informação e proteção de dados; Controle de acessos e autenticação de usuários;

● Criptografia e proteção de dados armazenados e transmitidos;

● Monitoramento contínuo e auditorias periódicas para detecção de  vulnerabilidades.

11.1 – Incidentes de Privacidade

Na hipótese de ocorrência de incidentes de segurança que possam  acarretar risco ou dano relevante aos titulares de dados, a Cactus adotará  as providências cabíveis e comunicará a ANPD e aos titulares afetados,  conforme os prazos e procedimentos (SLA) definidos pela Resolução CD/ANPD  nº 15/2024.

12 – Contato do Encarregado de Dados (DPO)

A Cactus informa que, em conformidade com a Resolução CD/ANPD nº 18/2024, disponibilizamos e-mail de contato com o Encarregado de Dados Pessoais (DPO): [email protected], responsável por atuar como canal de comunicação entre o titular dos dados, a Cactus e a Autoridade Nacional de Proteção de Dados (ANPD).

Em caso de dúvidas relacionadas a esta Política de Privacidade de Dados  Pessoais, ou para exercer os seus direitos, você pode entrar em contato  conosco pelo respectivo e-mail.

13 – Manutenção de Registros

Todos os documentos internos deverão ser atualizados a cada 12 (doze) meses ou  em período inferior caso necessário.

14 – Avaliação das Violações de Segurança e Privacidade

A área de Segurança da Informação e Privacidade serão responsáveis por  auditar os controles adotados nesta política, bem como, o  acompanhamento apropriado dos controles.

Qualquer violação desta Política será avaliada pela área de Segurança da  Informação e Privacidade