Acordo de Tratamento de Dados Pessoais (DPA)
Versão 1 (minuta) · Vigente desde [[A DEFINIR: data de publicação]]
Este acordo define como os dados pessoais são tratados quando uma empresa contrata FlixPay. Ele faz parte do contrato comercial e segue a Lei 13.709/2018 (LGPD) e a regulamentação da ANPD. Em conflito sobre dados pessoais, este acordo vale sobre o contrato.
1. Partes e papéis
B2L Soluções Digitais Ltda (FlixPay) é a controladora dos dados dos jogadores e das pessoas que usam o serviço.
- Cliente (empresa dona de clube, agente ou revenda que contrata a FlixPay): controlador independente dos dados que já tem no app de jogo. Recebe só o mínimo para operar o clube, sem dado pessoal do jogador, e responde pelo uso desse mínimo.
- B2L Soluções Digitais Ltda, CNPJ 53.211.385/0001-00, fornece a plataforma tecnológica e é operadora da FlixPay. Ela segue a seção 4 e as instruções da FlixPay.
2. Objeto
O tratamento serve só para prestar o serviço contratado: cadastro e identificação de jogadores, vínculo com o app de jogo, depósitos, saques, transferências, rakeback, avisos, conciliação, cobrança, suporte e segurança.
3. Dados e titulares
| Titulares | Dados |
|---|---|
| Jogadores | Identificação (nome, CPF, data de nascimento), contato (e-mail, telefone), chave PIX, ID e apelido no app de jogo, operações, sessões e consentimentos |
| Pessoas da empresa contratante (dono, caixa, agente, administrador) | Nome, e-mail, telefone, papel, registros de acesso e, na procuração e no contrato, CPF de quem assina |
| Visitantes do site e lista de espera | IP, dados técnicos do navegador, escolha de cookies e, na lista, nome, e-mail, perfil e WhatsApp opcional |
Não tratamos dados pessoais sensíveis (art. 5º, II, da LGPD).
4. Obrigações de quem trata em nome de outro (operadora)
A operadora:
- trata os dados só conforme as instruções escritas da controladora e este acordo;
- mantém sigilo e exige sigilo de cada pessoa com acesso;
- aplica as medidas de segurança da seção 6;
- não usa os dados para finalidade própria;
- ajuda a controladora a responder aos titulares e à ANPD;
- avisa a controladora sobre um incidente de segurança sem demora injustificada, em até 24 horas depois de confirmá-lo, com a natureza, os dados e titulares afetados, as medidas tomadas e os riscos;
- guarda registro das operações de tratamento (art. 37 da LGPD);
- ao fim do contrato, elimina ou devolve os dados, salvo o que a lei manda guardar.
5. Suboperadores
A operadora usa os suboperadores abaixo. Quem entra na lista é avisado à controladora com 30 dias de antecedência, e a controladora pode se opor com motivo.
| Suboperador | Serviço | Local dos dados |
|---|---|---|
| B2L Soluções Digitais Ltda | Plataforma tecnológica (operadora) | Brasil |
| Celcoin (instituição de pagamento) | Cobrança PIX, subconta do clube, pagamento de saque e consulta de chave PIX | Brasil |
| Banco ou gateway escolhido pelo clube, quando houver procuração | Cobrança PIX e pagamento de saque na conta do clube | Brasil |
| [[A DEFINIR: serviço de consulta de CPF]] | Conferência de identidade e idade | Brasil |
| Amazon Web Services (região São Paulo) | Chaves de criptografia, segredos e armazenamento de arquivos | Brasil |
| Hostinger | Servidor da aplicação e banco de dados | [[A DEFINIR: confirmar data center no Brasil]] |
| Cloudflare | Proteção de borda, anti-robô e certificados | Global (transferência internacional) |
| Resend | E-mail transacional e de novidades | Estados Unidos (transferência internacional) |
| Documenso, em instância da B2L | Assinatura de procuração e contrato | [[A DEFINIR: confirmar local]] |
Cada suboperador assina obrigações iguais ou mais fortes que as deste acordo.
6. Segurança
- Conexão cifrada (TLS 1.2 ou superior) em todo tráfego.
- Dados pessoais cifrados em repouso, campo a campo (AES-256-GCM), com chave guardada em serviço de gestão de chaves e rotação.
- Senhas com Argon2id. Verificação em duas etapas obrigatória para papéis administrativos.
- Controle de acesso por papel, com negação por padrão e menor privilégio.
- Isolamento dos dados de cada marca no banco de dados.
- Registros sem dado pessoal, senha ou token. Auditoria de acesso, permissão, exportação e exclusão.
- Cópia de segurança cifrada, com restauração testada.
- O console do clube não mostra dado pessoal do jogador. A única exceção é a chave PIX no pagamento manual de saque, por pouco tempo, com registro e aviso ao jogador.
7. Transferência internacional
Quando um suboperador trata dados fora do Brasil, a transferência segue o art. 33 da LGPD e a Resolução CD/ANPD 19/2024, com cláusulas-padrão contratuais. Os dados do serviço ficam armazenados no Brasil.
8. Direitos dos titulares
Os pedidos dos titulares chegam pelo app ("Meus dados") ou pelo encarregado. A operadora repassa à controladora qualquer pedido que receba direto, em até 2 dias úteis, e não responde em nome dela sem instrução.
9. Auditoria
A controladora pode pedir, uma vez por ano ou depois de um incidente, as evidências de cumprimento deste acordo. A operadora entrega relatório de segurança e responde a questionário. Inspeção presencial depende de aviso prévio e de acordo de sigilo.
10. Retenção e fim do contrato
Os prazos de guarda estão na Política de Privacidade. No fim do contrato, os dados são eliminados ou anonimizados, salvo os registros financeiros e os consentimentos que a lei manda guardar, pelo prazo da lei.
11. Responsabilidade
Cada parte responde pelos danos que causar por descumprir a LGPD ou este acordo, nos termos dos arts. 42 a 45 da LGPD.
12. Encarregados
- B2L Soluções Digitais Ltda: [[A DEFINIR: e-mail do encarregado da FlixPay]]
- Empresa contratante: o encarregado informado no cadastro.
13. Mudanças
Cada versão tem número e data e fica registrada. Mudanças que afetem a controladora são avisadas antes da vigência.
