Política de privacidade do site

1) Destino e área de aplicação

• que dados pessoais você coleta,
• para quais fins e em que fundamentos legais os processa,
• a quem e como entregam os dados (processadores, parceiros, provedores),
• guardem por quanto tempo, como protegem e como realizam os direitos dos sujeitos de dados.

Quem precisa de: qualquer site/aplicativo, especialmente os serviços de iGaming e fintech com KYC/AML, transações de pagamento, antifrod, análise e marketing.

2) Definições-chave

Dados Pessoais (PDN): qualquer informação que permita identificar o usuário (nome, e-mail, IP, identificadores de dispositivos, adereços de pagamento, etc).
Processamento: quaisquer operações de PDN (coleta, armazenamento, alteração, transferência, remoção).
Controlador/Operador: empresa que define metas e ferramentas de processamento.
Processador: pessoa/organização processando PDN por ordem do controlador.
Cookies e pixels: tecnologias de armazenamento e leitura de identificadores para o funcionamento do site, analistas e marketing.
Categorias de dados especiais: biometria/saúde, etc. (em iGaming normalmente não são processados; A exceção é a biometria KYC de terceiros por consentimento/fundamento).

3) Que dados você normalmente coleta na plataforma iGaming

1. Identificações: nome, data de nascimento, cidadania, endereço, documento (passaporte/ID), selfies/videoinstalação (se KYC do provedor autorizado).
2. E-mails, telefone, mensagens.
3. Contas: logins, hashtags de senhas, configurações de conta, preferências de língua/moeda.
4. Pagamentos e transações: cartões tocados, adereços de carteira, histórico de pagamentos, conclusões, marceback/displays.
5. Técnico: IP, user-agente, identificadores de dispositivos, logs, eventos de sessão, cookies-ID.
6. Marketing/análise: fontes de tráfego, UTM, conversões, segmentos, resultados de testes A/B.
7. Antifrod/AML: Pattern comportamentais, indícios de risco, sinais geo/proxy, resultados de sanções e screen PEP (através de provedores licenciados).

4) Fundamentos legais de processamento (lista modelo)

Execução do contrato (registro, prestação de contas, pagamento/pagamento).
Obrigação legal (KYC/AML, contabilidade fiscal/financeira, registros de segurança).
Interesse legítimo (prevenção frod, segurança, melhoria do serviço), com teste de equilíbrio de interesses.
Consentimento (e-mails de marketing, cookies opcionais, biometria KYC em provedores individuais, se necessário pelo direito local).
Defesa dos direitos e da lei (resolução de disputas, defesa contra reclamações).

5) Fins de processamento (formulações típicas)

Criação e administração de conta, acesso a jogos/serviços.
Pagamentos e conclusões, devoluções, cálculo Net Depositits, relatórios financeiros.
Verificações KYC/AML/sanções/PEP, prevenção de fraudes e abuso de bónus.
Suporte ao cliente e solicitação das entidades PDN.
Análise e melhoria de produtos (conversões, UX, performance).
Marketing (e-mail, push, retargeting) com base legal.
Respeitar as exigências dos reguladores e fornecer dados sobre os seus pedidos legítimos.

6) Cookies, tracking e pixels

• Sessões, segurança, funcionalidade da conta.
• Funcionais: linguagem, moeda, preferências de interface.
• Análise: medição de participação, corvo, X-métricas.
• Marketing: atribuição de tráfego, retargeting, look-alike segmentos.

Prática: Bandeirinha/Painel de Controle de Concordâncias (CMP), opção para alterar a escolha a qualquer momento. Especificar prazos de vida, objetivos e provedores.

7) Transferências e localização de fronteiras

Descrever a geografia de armazenamento e processamento (UE/EEE, Reino Unido, Canadá, Brasil, EUA etc).
Especificar os mecanismos: cláusulas de contrato padrão (SCC), ferramentas equivalentes, armazenamento local/espelhos, DPIA, se necessário.
Para fluxos altamente sensíveis (biometria KYC), medidas individuais e minimização.

8) Destinatários de dados (categorias)

Provedores KYC/AML, sanções e inspeções PEP.
Provedores de pagamentos, emissores, bancos, passarelas de processamento.
Fornecedores de antifrode/risco, hospedagem/nuvem, CDN, serviços de e-mail/SMS.
Analista/crash-reportagem, plataformas de marketing (por concordância).
Auditores, advogados, reguladores e outros órgãos, legalmente.

9) Prazo de armazenamento (princípio da minimização)

Conta e dados operacionais - Por enquanto, o contrato e os prazos regulatórios (muitas vezes de 5 a 10 anos para findocuns/logs AML).
Os perfis de marketing são os prazos acordados com o CMP e até a retirada do consentimento.
Logs de segurança são múltiplos de objetivos (por exemplo, 12-24 m.), a menos que a lei exija outra coisa.
Ao fim do prazo, remoção/anonimato em segurança.

10) Segurança e medidas organizacionais

Criptografia em paz e transferência, políticas de rede rigorosas, WAF/firewall.
Controle de acessibilidade (RBAC/ABAC), registro, auditorias regulares e testes de pen.
Segmentação de sistemas, o princípio dos menores direitos, segredo de gestão.
Monitoramento contínuo, regras antifrode, testes de planos de resposta a incidentes.
Avaliações de risco e DPIA para ganhos de alto risco.

11) Direitos do usuário (sujeitos de dados)

Acesso, correção, remoção, limitação de processamento.
Portabilidade (formato de máquina-readable).
Objeção ao processamento (incluindo marketing).
Revogar o consentimento sem piorar as funções obrigatórias.
Queixa ao órgão autorizado (indicar os contactos do regulador de jurisdição).

12) Crianças e restrições de idade

Serviços iGaming são destinados apenas a maiores de idade de acordo com as leis locais. Descrever os mecanismos de verificação de idade e como remover dados de menores quando o registro é errado.

13) Soluções automáticas e perfis

Descrever resumidamente o perfil para antifrode/risco-escrutínio/marketing.
Especifique se o resultado afeta decisões legalmente significativas (congelamento, pedido KYC).
Prever o direito à «revisão humana» em casos controversos.

14) Contatos e DPO

Especifique o e-mail/formulário de comunicação para as solicitações das entidades, o endereço postal da empresa. Se o DPO for atribuído - nome/contatos. Prazo de resposta (por exemplo, até 30 dias, com extensão possível, se permitido por lei).

15) Atualizações de políticas

Fixar data de entrada em vigor e revisão.
Informar com transparência sobre alterações significativas (banner/carta/notificação interna).

16) Notas jurisdicionais (matriz modelo)

UE/EEE (GDPR): fundamentos, DPIA, DPA com processadores, SCC para transmissões, registro de interesses, registro de lucros.
Reino Unido (UK GDPR): semelhante, considerando os órgãos locais.
Brasil (LANGPD): Fundamentos legais, ombudsman, laudos locais.
Califórnia (CCPA/CPRA): Direito de recusar a «venda/compartilhamento» de dados, «Do Not Sell or Share», categoria de dados pessoais.
Canadá (PIPEDA/províncias): consentimento e restrição de destino.
Austrália (Private Act): APPs, Divulgação.
Adicione as seções locais para os países onde você trabalha.

17) Folha de cheque prático antes de publicar

• Mapa de dados (onde, porquê, quanto tempo, quem tem acesso).
• Registro de ganhos e DPA com processadores-chave.
• CMP e uma tabela de cookies com prazos e metas.
• Processo de resposta a solicitações de sujeitos (SLA, modelos de e-mail).
• Procedimento de notificação de incidentes (a quem, quando, como).
• Versionização de políticas e registro de alterações.

18) Modelo de Política pronto (copie e adapte)

Política de privacidade

Entrada em vigor: [data] Versão: [vX. Y]

1. Quem somos nós

[Nome completo da empresa], [endereço jurídico], [dados de inscrição].

Contatos: [apoio @ domínio], [endereço postal].

2. Aplicabilidade

Esta Política é aplicada ao site (s) e aos aplicativos [domínios/aplicativos] e aos serviços de suporte relacionados.

3. Dados que estamos processando

Identificações e contatos (nome, data de nascimento, e-mail, telefone, endereço).
Credenciais (login, senha hash, configurações).
Pagamentos/transações (tokens de cartões, histórico de transações).
Técnico (IP, dispositivos, logs, cookies-ID).
Antifrod/AML (sinais comportamentais, resultados de verificação dos provedores).
Marketing/Análise (UTM, Conversões) - Se necessário.

4. Objetivos e fundamentos legais

Processamos os dados para fornecimento de serviços, pagamentos e conclusões, KYC/AML, segurança e antifrode, suporte, analistas, marketing (com consentimento), aplicação da lei. Fundamentos: cumprimento do contrato, obrigação legal, interesse legítimo, consentimento.

5. Cookies e tecnologias similares

• estritamente necessário (sessões, segurança),
• funcionais (configurações),
• analítico,
• de marketing.
• O controle está disponível através do [painel de concordâncias/referência CMR]. Consulte a tabela de cookies no Anexo A.

6. Com quem compartilhamos os dados

As categorias de destinatários são KYC/AML provedores, organizações de pagamentos, hospedagem/CDN, antifrod e analista, suporte (e-mail/SMS), auditores, reguladores de acordo com a lei. A transferência é baseada em contratos e medidas de segurança.

7. Transferências internacionais

Os dados podem ser processados fora do seu país. Aplicamos mecanismos legais (por exemplo, cláusulas convencionais padrão) e medidas técnicas/organizacionais de proteção.

8. Prazo de armazenamento

Guardemos o tempo necessário para fins e prazos legais (por exemplo, registros financeiros/AML - pelo menos [X] anos). Depois, remoção/anonimato.

9. Segurança

Criptografia, controle de acessibilidade, monitorização, segmentação, auditoria, testes de pen. Apesar das medidas, a segurança absoluta não é garantida; Agimos de acordo com as normas aplicáveis de notificação de incidentes.

10. Seus direitos

Você pode solicitar acesso, correção, remoção, restrição, portabilidade, objeção e retirar o consentimento (para processamento em concordância). Os contatos de solicitação são [private @ domínio]. Você também pode apresentar uma queixa no [nome do órgão supervisor/jurisdição].

11. Soluções automatizadas e perfilagem

Usamos sistemas automatizados para antifrode e avaliação de risco. Em caso de decisão significativa, você pode pedir uma revisão humana.

12. Crianças

O serviço é destinado a pessoas [18 +] ou maiores de acordo com a lei local. Quando a conta do menor é detectada, bloqueia e remove os dados.

13. Contatos DPO/responsável

[DPO FIO/cargo], e-mail: [dpo @ domínio], endereço: [endereço].

14. Atualizações desta Política

Atualizamos a Política periodicamente. Mudanças significativas serão apresentadas através do site/notificação. A versão atual está sempre disponível no endereço [link].

Aplicação A. Tabela de cookies (exemplo)

Anexo B. Contêineres (categorias)

Provedores KYC/AML: [nome/jurisdição/papel].
Processadores/bancos: [categorias].
Hospedagem/nuvem/CDN: [categorias].
Marketing/correio/analista: [categorias].
Suporte (tíquetes/SMS/e-mail): [categorias].

(Os nomes exatos podem ser revelados no DPA/Registro de Remuneração e as categorias de Política.)

Aplicativo C. Termos extras jurisdicionais (modelo)

UE/EEE (GDPR): direitos, mecanismos de transmissão, contatos do órgão de supervisão: [referência/nome].
Califórnia (CCPA/CPRA): link «Do Not Sell or Share My Personal Informa», descrição de categorias e direitos do consumidor.
Brasil (WOLFPD): contato responsável, direitos titulares.
Reino Unido: UK GDPR e ICO.
Canadá/Austrália: direitos e contatos locais dos reguladores.

19) Dicas para manter a atualidade

Uma vez por trimestre, verifique a Política com Dados e DPIA reais.
Quando adicionar um novo provedor/SDK, atualize o registro de ganhos e o CMP.
Configure e documente as respostas às solicitações das entidades (SLA, modelos, métricas).
Faça um registro de versões com um breve changelog.

Como usar este artigo

1. Passe na folha de cheques e recolha os dados dos seus dados e fluxos.
2. Copie o modelo e cole seus adereços/prazos/jurisdição.
3. Concorde com o advogado e o DPO e, em seguida, coloque o CMP no site.
4. Configure o processo de recepção de solicitações de dados e atualize a Política de alterações.