Política de Privacidade do 37pix

O controlador dos dados pessoais coletados por meio da plataforma 37pix, disponível em https://37pix.app, é a empresa responsável pela operação do site no Brasil, doravante denominada simplesmente "37pix".

Para fins de contato relacionados à proteção de dados pessoais, o Encarregado de Proteção de Dados (DPO — Data Protection Officer) pode ser acionado pelo endereço eletrônico [email protected], identificando no assunto da mensagem "LGPD — Solicitação de Titular".

Esta Política de Privacidade aplica-se a todos os usuários que acessam, se cadastram ou utilizam qualquer serviço oferecido pela plataforma 37pix, incluindo o site principal, eventuais subdomínios e aplicativos associados.

O 37pix coleta dados pessoais nas seguintes categorias, de acordo com a etapa de relacionamento com o usuário:

2.1 Dados fornecidos diretamente pelo usuário

• Cadastro: nome completo, data de nascimento, CPF, endereço de e-mail, número de celular, endereço residencial completo (logradouro, número, complemento, bairro, cidade, estado, CEP);
• Verificação de identidade (KYC): cópia de documento de identidade (RG, CNH ou passaporte), selfie com documento, comprovante de residência, comprovante de titularidade do método de pagamento;
• Transações financeiras: dados de conta bancária, chave Pix, informações de cartão de crédito/débito (tokenizados — o 37pix não armazena o número completo do cartão), histórico de depósitos e saques;
• Comunicações com o suporte: mensagens trocadas com a equipe de atendimento ao cliente, incluindo e-mails, chats e registros de chamadas.

2.2 Dados coletados automaticamente

• Dados de navegação: endereço IP, tipo e versão do navegador, sistema operacional, páginas visitadas, tempo de sessão, URL de referência;
• Dados de dispositivo: identificador de dispositivo, resolução de tela, configurações de idioma e fuso horário;
• Dados de geolocalização: localização aproximada derivada do endereço IP para fins de conformidade regulatória;
• Cookies e tecnologias similares: conforme descrito na seção 10 desta Política.

2.3 Dados recebidos de terceiros

• Informações de prevenção a fraudes fornecidas por parceiros especializados em verificação de identidade;
• Dados de listas de pessoas politicamente expostas (PEPs) e sanções, obtidos de fontes públicas e provedores especializados, para cumprimento de obrigações legais de prevenção à lavagem de dinheiro (Lei 9.613/1998);
• Dados do Cadastro Nacional de Jogadores Autoexcluídos, administrado pela Secretaria de Prêmios e Apostas (SPA).

Os dados pessoais coletados pelo 37pix são tratados para as seguintes finalidades, sempre limitadas ao mínimo necessário para cada propósito (princípio da minimização):

O 37pix não utiliza os dados pessoais dos usuários para finalidades incompatíveis com as descritas acima sem novo consentimento expresso ou outra base legal adequada.

Todo tratamento de dados pessoais realizado pelo 37pix está fundamentado em uma ou mais das seguintes bases legais previstas no art. 7º da LGPD:

• Execução de contrato (art. 7º, V): tratamento necessário para a prestação dos serviços contratados pelo usuário ao criar uma conta na plataforma — cadastro, processamento de apostas, pagamentos, suporte;
• Cumprimento de obrigação legal ou regulatória (art. 7º, II): verificação de identidade (KYC), prevenção à lavagem de dinheiro (Lei 9.613/1998), verificação de maioridade (18+), conformidade com a Lei 14.790/2023 e obrigações perante a SPA;
• Legítimo interesse (art. 7º, IX): prevenção a fraudes, segurança da plataforma, melhoria dos serviços e análise de jogo responsável, sempre respeitando os direitos fundamentais do titular;
• Consentimento (art. 7º, I): comunicações de marketing, personalização de ofertas e uso de cookies não essenciais — o consentimento pode ser revogado a qualquer momento.

O 37pix pode compartilhar dados pessoais dos usuários com as seguintes categorias de destinatários, sempre com base em contrato ou obrigação legal adequados:

5.1 Provedores de serviços (operadores)

Empresas que prestam serviços ao 37pix e que, por isso, acessam dados pessoais em nome do controlador, incluindo:

• Provedores de jogos e software de cassino (Pragmatic Play, Evolution Gaming, PG Soft, Spribe, entre outros) — para a entrega dos jogos contratados;
• Processadoras de pagamento e instituições financeiras parceiras — para o processamento de Pix, boletos e cartões;
• Provedores de verificação de identidade (KYC) e antifraude;
• Provedores de infraestrutura de TI, hospedagem em nuvem e segurança cibernética;
• Plataformas de comunicação e atendimento ao cliente.

Todos os operadores são contratualmente obrigados a tratar os dados pessoais recebidos conforme as instruções do 37pix e em conformidade com a LGPD.

5.2 Autoridades e órgãos regulatórios

O 37pix pode divulgar dados pessoais a autoridades governamentais, judiciais ou regulatórias brasileiras quando exigido por lei, ordem judicial, requisição administrativa da SPA, do Banco Central do Brasil (BCB) ou do COAF (Conselho de Controle de Atividades Financeiras).

5.3 Vedação de venda de dados

Alguns dos provedores de serviços utilizados pelo 37pix podem estar localizados fora do Brasil, o que implica a transferência internacional de dados pessoais. Nesses casos, o 37pix garante que as transferências são realizadas em conformidade com o Capítulo V da LGPD, mediante:

• Cláusulas contratuais padrão aprovadas pela Autoridade Nacional de Proteção de Dados (ANPD);
• Transferências para países reconhecidos pela ANPD como detentores de grau de proteção de dados pessoais adequado ao da legislação brasileira;
• Consentimento específico e destacado do titular, quando aplicável.

Os principais destinos de transferência internacional incluem servidores na União Europeia (onde se aplica o Regulamento Geral de Proteção de Dados — GDPR) e nos Estados Unidos (com parceiros certificados por frameworks de adequação reconhecidos). Em todos os casos, são exigidas garantias contratuais de proteção equivalente à LGPD.

Os dados pessoais são retidos pelo 37pix pelo período necessário para cumprir as finalidades descritas nesta Política ou para atender a obrigações legais e regulatórias, prevalecendo o prazo maior entre:

• Dados de cadastro e transações: mínimo de 5 (cinco) anos após o encerramento da conta, conforme exigências da legislação tributária brasileira e de prevenção à lavagem de dinheiro;
• Documentos de verificação de identidade (KYC): mínimo de 5 (cinco) anos após o encerramento da conta;
• Registros de apostas e histórico de jogo: mínimo de 5 (cinco) anos, conforme requisitos regulatórios da SPA;
• Comunicações de suporte: 2 (dois) anos após o encerramento do atendimento;
• Dados de cookies analíticos: até 13 (treze) meses, renovados a cada nova sessão.

Após o término do período de retenção, os dados serão eliminados de forma segura ou anonimizados, de modo que não seja mais possível identificar o titular. A eliminação não ocorrerá enquanto houver obrigação legal de guarda ou enquanto os dados forem necessários para o exercício regular de direitos do 37pix em processos judiciais, administrativos ou arbitrais.

O 37pix adota um conjunto robusto de medidas técnicas e organizacionais para proteger os dados pessoais contra acesso não autorizado, alteração, divulgação ou destruição indevida:

• Criptografia SSL/TLS 256-bit em todas as comunicações entre o navegador do usuário e os servidores da plataforma;
• Criptografia em repouso para dados sensíveis armazenados nos bancos de dados;
• Tokenização de dados de cartão de crédito/débito — o número completo do cartão nunca é armazenado nos servidores do 37pix;
• Autenticação de dois fatores (2FA) disponível para contas de usuários e obrigatória para acessos administrativos;
• Controle de acesso baseado em funções (RBAC) — apenas funcionários com necessidade legítima têm acesso a dados pessoais de usuários;
• Monitoramento contínuo de atividades suspeitas e tentativas de acesso não autorizado;
• Testes regulares de segurança, incluindo análise de vulnerabilidades e testes de penetração realizados por parceiros especializados;
• Plano de resposta a incidentes que prevê notificação à ANPD e aos titulares afetados em caso de incidente de segurança que possa acarretar risco ou dano relevante, nos prazos estabelecidos pela legislação.

Nos termos dos arts. 17 a 22 da LGPD, o usuário, na qualidade de titular de dados pessoais, possui os seguintes direitos, que podem ser exercidos a qualquer momento mediante solicitação ao DPO do 37pix:

• Confirmação e acesso (art. 18, I e II): obter a confirmação da existência de tratamento e o acesso aos dados pessoais tratados;
• Correção (art. 18, III): solicitar a correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação (art. 18, IV): requerer a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
• Portabilidade (art. 18, V): solicitar a portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa;
• Eliminação dos dados tratados com consentimento (art. 18, VI): requerer a eliminação dos dados pessoais cujo tratamento tem como base o consentimento do titular;
• Informação sobre compartilhamento (art. 18, VII): obter informação sobre entidades públicas e privadas com as quais o 37pix compartilhou dados;
• Informação sobre não consentimento (art. 18, VIII): ser informado sobre a possibilidade de não fornecer consentimento e sobre as consequências dessa recusa;
• Revogação do consentimento (art. 18, IX): revogar o consentimento fornecido anteriormente, sem prejuízo da legalidade do tratamento realizado antes da revogação;
• Petição à ANPD (art. 18, §1º): caso o 37pix não atenda à solicitação dentro do prazo legal, o titular pode peticionar à Autoridade Nacional de Proteção de Dados (ANPD).

As solicitações devem ser enviadas para [email protected] com o assunto "LGPD — [tipo de solicitação]". O prazo de resposta é de até 15 (quinze) dias úteis a contar do recebimento da solicitação, conforme art. 19 da LGPD.

Para solicitações de eliminação ou portabilidade, poderá ser necessária a verificação de identidade do solicitante antes do processamento, a fim de proteger os dados contra acessos não autorizados.

O 37pix utiliza cookies e tecnologias similares (pixels, tags, scripts) para melhorar a experiência do usuário, garantir o funcionamento correto da plataforma e realizar análises de desempenho. Os cookies são categorizados da seguinte forma:

10.1 Cookies estritamente necessários

Essenciais para o funcionamento básico da plataforma, como manutenção de sessão autenticada, segurança contra CSRF e balanceamento de carga. Não podem ser desativados sem comprometer o uso da plataforma.

10.2 Cookies de desempenho e análise

Coletam dados sobre como os usuários interagem com a plataforma (páginas visitadas, tempo de sessão, cliques) para que o 37pix possa melhorar continuamente os serviços. Os dados são agregados e anonimizados. Requerem consentimento.

10.3 Cookies funcionais

Lembram preferências do usuário, como idioma, configurações de exibição e jogo favorito, para personalizar a experiência. Requerem consentimento.

10.4 Cookies de marketing

Utilizados para entregar comunicações e ofertas personalizadas com base no comportamento de navegação. Requerem consentimento expresso e podem ser revogados a qualquer momento nas configurações da conta ou do navegador.

Para gerenciar suas preferências de cookies, acesse as configurações de privacidade disponíveis no painel da sua conta ou nas configurações do seu navegador. A desativação de cookies de análise e marketing não afeta o acesso às funcionalidades principais da plataforma.

Os serviços do 37pix são destinados exclusivamente a maiores de 18 anos. A plataforma não coleta intencionalmente dados pessoais de menores de idade e não permite o cadastro ou a participação de pessoas com menos de 18 anos completos.

Durante o processo de cadastro, o usuário deve confirmar que possui 18 anos ou mais. Adicionalmente, o 37pix realiza verificação de identidade (KYC) para confirmar a maioridade antes de liberar o acesso completo às funcionalidades da plataforma, incluindo depósitos, saques e participação em apostas.

Caso o 37pix tome conhecimento de que dados pessoais de um menor de 18 anos foram coletados inadvertidamente, as seguintes medidas serão adotadas imediatamente:

• Suspensão imediata da conta associada;
• Eliminação de todos os dados pessoais do menor de nossos sistemas;
• Estorno de eventuais valores depositados, conforme procedimento interno;
• Notificação às autoridades competentes, quando legalmente exigida.

O 37pix reserva-se o direito de atualizar esta Política de Privacidade periodicamente para refletir mudanças nas práticas de tratamento de dados, na legislação aplicável — especialmente a LGPD e suas regulamentações emitidas pela ANPD — ou em nossos serviços.

Sempre que ocorrerem alterações relevantes, o 37pix comunicará os usuários por meio de:

• Aviso em destaque na página inicial da plataforma e no painel do usuário;
• Notificação por e-mail para o endereço cadastrado na conta;
• Atualização da data de vigência indicada no topo desta Política.

As alterações entrarão em vigor 7 (sete) dias corridos após a publicação, salvo nos casos em que a urgência da mudança — por motivo de segurança ou cumprimento de nova exigência legal — justifique entrada em vigor imediata. O uso continuado da plataforma após esse prazo constitui aceitação integral das novas condições. Caso não concorde com as alterações, o usuário pode encerrar sua conta e solicitar a exclusão de seus dados antes do término do prazo.

Recomendamos que você revise esta Política periodicamente para se manter informado sobre como o 37pix protege suas informações pessoais. O histórico de versões anteriores desta Política está disponível mediante solicitação ao DPO.

Para exercer seus direitos como titular de dados, esclarecer dúvidas sobre esta Política de Privacidade ou registrar uma reclamação relacionada ao tratamento dos seus dados pessoais, entre em contato com o Encarregado de Proteção de Dados (DPO) do 37pix:

• E-mail do DPO: [email protected] (assunto: "LGPD — [tipo de solicitação]")
• Prazo de resposta: até 15 (quinze) dias úteis a partir do recebimento
• Horário de atendimento: 24 horas por dia, 7 dias por semana
• Idioma de atendimento: Português (Brasil)

Caso sua solicitação não seja atendida dentro do prazo ou de forma satisfatória, você pode registrar uma reclamação diretamente junto à Autoridade Nacional de Proteção de Dados (ANPD), acessando o portal oficial em gov.br/anpd, ou junto ao Procon do seu estado ou município.