Política de Privacidade da 23br

Art. 1 Identificação do Controlador de Dados

O Controlador de Dados responsável pelo tratamento das informações pessoais coletadas por meio da plataforma 23br, acessível pelo endereço https://23br.cam, é a própria 23br, cujos dados de contato estão indicados no Artigo 14 desta Política.

A 23br atua como Controladora nos termos do art. 5º, VI, da Lei 13.709/2018 (LGPD), sendo responsável pelas decisões referentes ao tratamento de dados pessoais dos usuários da Plataforma. As operações de tratamento são conduzidas em território brasileiro, com servidores de processamento localizados em ambiente com proteções técnicas e organizacionais compatíveis com os padrões exigidos pela legislação vigente.

Art. 2 Definições Aplicáveis (LGPD)

Para os fins desta Política, aplicam-se as seguintes definições, conforme os termos da Lei 13.709/2018:

• Dado Pessoal: informação relacionada a pessoa natural identificada ou identificável;
• Dado Pessoal Sensível: dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, dado genético ou biométrico;
• Titular: pessoa natural a quem se referem os dados pessoais objeto de tratamento — no contexto desta Política, o Usuário da plataforma 23br;
• Controlador: pessoa natural ou jurídica que toma decisões referentes ao tratamento de dados pessoais — no caso, a 23br;
• Operador: pessoa natural ou jurídica que realiza o tratamento de dados pessoais em nome do Controlador;
• Tratamento: toda operação realizada com dados pessoais, como coleta, armazenamento, uso, compartilhamento, transferência ou eliminação;
• Consentimento: manifestação livre, informada e inequívoca pela qual o Titular concorda com o tratamento de seus dados para finalidade determinada;
• ANPD: Autoridade Nacional de Proteção de Dados, órgão federal responsável por zelar pela proteção de dados pessoais no Brasil.

Art. 3 Categorias de Dados Coletados

A 23br coleta dados pessoais do Usuário por diferentes meios, em diferentes momentos da relação contratual. A seguir, descrevemos as categorias de dados tratados e os respectivos contextos de coleta:

3.1 Dados Fornecidos Diretamente pelo Titular

• Dados de Identificação: nome completo, data de nascimento, CPF, RG ou CNH, número de passaporte (quando aplicável);
• Dados de Contato: endereço de e-mail, número de telefone celular, endereço residencial completo (logradouro, número, complemento, bairro, cidade, estado, CEP);
• Dados de Verificação (KYC): imagens de documentos de identidade, comprovante de residência, selfie com documento, imagens biométricas quando exigidas pela regulamentação;
• Dados Financeiros: chave Pix, dados bancários para TED, informações de cartão de crédito/débito (número truncado, bandeira, validade), carteiras digitais associadas (Mercado Pago, PicPay);
• Dados de Comunicação: histórico de conversas com o suporte, e-mails enviados, registros de atendimento via chat, WhatsApp e Telegram.

3.2 Dados Coletados Automaticamente

• Dados de Acesso: endereço IP, tipo e versão do navegador, sistema operacional, identificadores de dispositivo (device ID), resolução de tela;
• Dados de Navegação: páginas acessadas, tempo de permanência em cada página, fluxo de navegação, origem do acesso (referral), termos de busca utilizados;
• Dados de Sessão de Jogo: jogos utilizados, valores apostados, resultados, duração de sessões, histórico completo de transações na plataforma;
• Dados de Geolocalização: país e estado de acesso, inferidos a partir do endereço IP (não coletamos dados de GPS sem consentimento explícito).

3.3 Dados Recebidos de Terceiros

• Informações de verificação de identidade fornecidas por bureaus de crédito e serviços de validação de CPF junto à Receita Federal;
• Dados de listas de pessoas politicamente expostas (PEP) e listas de sanções internacionais, para cumprimento de obrigações de prevenção à lavagem de dinheiro;
• Informações de cadastros de autoexclusão mantidos pela SPA (Secretaria de Prêmios e Apostas).

Art. 4 Bases Legais para o Tratamento

Todo tratamento de dados pessoais realizado pela 23br está fundamentado em ao menos uma das bases legais previstas no art. 7º e no art. 11 da LGPD. A seguir, apresentamos as principais bases legais utilizadas:

Art. 5 Finalidades do Tratamento de Dados

Os dados pessoais coletados pela 23br são utilizados exclusivamente para as seguintes finalidades, descritas de forma clara e específica:

5.1 Prestação dos Serviços da Plataforma

• Criação, manutenção e gerenciamento da conta do Usuário;
• Verificação de elegibilidade e autenticação de identidade (KYC);
• Processamento de transações financeiras (depósitos, saques, estornos);
• Disponibilização de jogos de cassino, apostas esportivas e demais produtos;
• Gestão de bônus, promoções e programas de fidelidade.

5.2 Cumprimento de Obrigações Legais e Regulatórias

• Verificação de cadastros de autoexclusão conforme exigências da SPA;
• Prevenção à lavagem de dinheiro e financiamento ao terrorismo (PLD/FT);
• Comunicação de operações suspeitas ao COAF (Conselho de Controle de Atividades Financeiras);
• Atendimento a ordens judiciais, requisições de autoridades policiais e regulatórias;
• Manutenção de registros contábeis e fiscais pelo prazo legalmente exigido.

5.3 Segurança e Prevenção a Fraudes

• Detecção e prevenção de uso indevido da plataforma, fraudes e contas duplicadas;
• Monitoramento de atividades suspeitas e apostas atípicas;
• Verificação da titularidade dos meios de pagamento utilizados.

5.4 Comunicação e Relacionamento

• Envio de comunicações transacionais obrigatórias (confirmações de depósito, saque, alertas de segurança);
• Atendimento ao cliente por chat, e-mail, WhatsApp e Telegram;
• Envio de comunicações de marketing e promoções, exclusivamente mediante consentimento expresso do Usuário.

5.5 Jogo Responsável

• Monitoramento de padrões de jogo para identificação de comportamentos de risco;
• Aplicação de limites de depósito, perda e tempo de sessão definidos pelo Usuário;
• Gestão de processos de autoexclusão voluntária;
• Cumprimento das obrigações de proteção ao jogador previstas na Lei 14.790/2023.

Art. 6 Compartilhamento de Dados com Terceiros

A 23br não vende, aluga ou cede dados pessoais de Usuários a terceiros para fins comerciais próprios dessas entidades. O compartilhamento de dados ocorre exclusivamente nas seguintes hipóteses, sempre com as salvaguardas adequadas:

• Provedores de Serviços (Operadores): empresas contratadas para prestar serviços em nome da 23br, como processamento de pagamentos (gateways de pagamento), verificação de identidade (KYC), infraestrutura de TI, serviços de nuvem, plataformas de suporte ao cliente e serviços antifraude. Esses parceiros operam sob contratos que impõem obrigações equivalentes às desta Política e às exigências da LGPD;
• Provedores de Jogos: fornecedores de software de jogos (Pragmatic Play, PG Soft, Evolution Gaming, Spribe, entre outros) recebem dados mínimos necessários para a prestação do serviço de jogo, como identificadores de sessão e saldo disponível;
• Autoridades Competentes: órgãos governamentais, autoridades policiais, judiciárias, fiscais e regulatórias, incluindo a SPA, a ANPD, o COAF e a Receita Federal, quando exigido por lei ou decisão judicial;
• Serviços de Verificação de Identidade: bureaus de crédito e serviços de validação documental para fins de KYC e prevenção à fraude;
• Parceiros de Afiliados: dados agregados e anonimizados sobre comportamento de navegação podem ser compartilhados com parceiros afiliados, sem identificação do Usuário.

Art. 7 Transferência Internacional de Dados

Alguns dos prestadores de serviços contratados pela 23br podem estar localizados fora do território brasileiro, o que pode implicar a transferência internacional de dados pessoais. Nesses casos, a 23br garante que tais transferências ocorrem apenas nas seguintes condições, conforme o art. 33 da LGPD:

• Para países ou organizações internacionais que ofereçam grau de proteção de dados pessoais adequado ao previsto na LGPD, conforme reconhecimento da ANPD;
• Com garantias adequadas estabelecidas em cláusulas contratuais específicas, como as Cláusulas Contratuais Padrão (CCPs) aprovadas pela ANPD;
• Quando o Titular tiver fornecido consentimento específico e destacado para a transferência, com prévia ciência do país ou organização de destino e de que o nível de proteção pode diferir do brasileiro;
• Quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual o Titular seja parte.

A lista atualizada de países para os quais dados podem ser transferidos internacionalmente e os mecanismos de proteção aplicáveis em cada caso estão disponíveis mediante solicitação ao DPO ([email protected]).

Art. 8 Retenção e Eliminação de Dados

A 23br retém os dados pessoais dos Usuários pelo tempo estritamente necessário para cumprir as finalidades para as quais foram coletados, observados os prazos legais mínimos de guarda. Os critérios para determinação dos prazos de retenção incluem:

Após o término do prazo de retenção aplicável e desde que não haja obrigação legal de guarda em contrário, os dados serão eliminados com segurança ou anonimizados de forma irreversível, de acordo com as melhores práticas técnicas do mercado.

Art. 9 Segurança no Tratamento dos Dados

A 23br adota medidas técnicas e organizacionais adequadas para proteger os dados pessoais dos Usuários contra acesso não autorizado, divulgação indevida, alteração, perda ou destruição acidental. Entre as salvaguardas implementadas, destacam-se:

9.1 Medidas Técnicas

• Criptografia SSL/TLS de 256 bits: toda a comunicação entre o dispositivo do Usuário e os servidores da 23br é criptografada em trânsito;
• Criptografia em Repouso: dados sensíveis armazenados nos bancos de dados da plataforma são criptografados com padrões AES-256;
• Autenticação em Dois Fatores (2FA): disponível para todos os Usuários como camada adicional de segurança no acesso à conta;
• Controle de Acesso Baseado em Funções (RBAC): internamente, apenas colaboradores com necessidade legítima têm acesso a dados pessoais de Usuários;
• Monitoramento Contínuo: sistemas de detecção de intrusão (IDS) e análise de comportamento de rede operam 24 horas para identificar ameaças em tempo real;
• Testes de Penetração: a plataforma é submetida regularmente a testes de vulnerabilidade conduzidos por empresas de segurança independentes.

9.2 Medidas Organizacionais

• Treinamento periódico da equipe sobre proteção de dados e segurança da informação;
• Política interna de gestão de incidentes de segurança com procedimentos de contenção, notificação e remediação;
• Acordos de confidencialidade celebrados com todos os colaboradores e prestadores de serviços com acesso a dados pessoais;
• Processo de Privacy by Design aplicado ao desenvolvimento de novas funcionalidades da plataforma.

Art. 10 Cookies e Tecnologias de Rastreamento

A plataforma 23br utiliza cookies e tecnologias similares (pixels de rastreamento, armazenamento local, fingerprinting de dispositivo) para melhorar a experiência do Usuário, garantir o funcionamento correto da plataforma e, mediante consentimento, realizar análises de marketing. A seguir, descrevemos as categorias de cookies utilizados:

10.1 Cookies Estritamente Necessários

Esses cookies são indispensáveis para o funcionamento da plataforma. Sem eles, serviços como autenticação, manutenção de sessão e segurança não funcionam corretamente. Não requerem consentimento, pois são essenciais à execução do contrato com o Usuário.

10.2 Cookies de Desempenho e Análise

Utilizados para coletar informações sobre como os Usuários interagem com a plataforma — páginas mais visitadas, erros encontrados, tempo de carregamento. Os dados são agregados e anonimizados. Requerem consentimento do Usuário.

10.3 Cookies de Funcionalidade

Permitem que a plataforma lembre preferências do Usuário (idioma, configurações de interface, jogos favoritos). Melhoram a experiência personalizada sem rastrear o Usuário fora da plataforma. Requerem consentimento.

10.4 Cookies de Marketing e Publicidade

Utilizados, mediante consentimento expresso, para exibir promoções relevantes ao perfil do Usuário. Podem envolver parceiros de tecnologia de publicidade. O Usuário pode retirar o consentimento a qualquer momento nas configurações de cookies da plataforma.

Art. 11 Direitos do Titular de Dados (LGPD)

Nos termos do art. 18 da Lei 13.709/2018, o Usuário, na qualidade de Titular de dados pessoais, tem assegurados os seguintes direitos, exercíveis gratuitamente mediante solicitação ao DPO da 23br pelo e-mail [email protected]:

As solicitações serão analisadas e respondidas no prazo de até 15 (quinze) dias úteis a contar do recebimento. Em casos de maior complexidade, esse prazo poderá ser estendido por igual período, com prévia comunicação ao Titular. Caso o Titular entenda que seus direitos não foram atendidos de forma satisfatória, poderá encaminhar reclamação diretamente à Autoridade Nacional de Proteção de Dados (ANPD).

Art. 12 Proteção de Menores de Idade

A plataforma 23br é destinada exclusivamente a pessoas físicas com idade mínima de 18 (dezoito) anos completos. A 23br não coleta, de forma consciente e intencional, dados pessoais de menores de idade.

O processo de verificação de identidade (KYC), que inclui a validação do CPF junto à Receita Federal e a conferência de documento de identidade com foto, é a principal salvaguarda para impedir o acesso de menores à plataforma. Adicionalmente, a 23br consulta as bases de dados de cadastros de proteção de menores mantidas por autoridades competentes.

Caso a 23br identifique que dados pessoais de um menor de 18 anos foram coletados inadvertidamente, tais dados serão imediatamente eliminados dos seus sistemas, a conta será encerrada e, quando aplicável, o fato será comunicado aos responsáveis legais e às autoridades competentes, nos termos da legislação brasileira.

Responsáveis legais que tiverem ciência de que um menor sob sua tutela utilizou a plataforma 23br devem entrar em contato imediatamente pelo e-mail [email protected] para que as providências necessárias sejam adotadas.

Art. 13 Alterações nesta Política de Privacidade

A 23br reserva-se o direito de atualizar esta Política de Privacidade periodicamente, em especial para refletir mudanças na legislação brasileira de proteção de dados, nas regulamentações da SPA, nas práticas internas de tratamento de dados ou nas funcionalidades da plataforma.

Alterações relevantes serão comunicadas aos Usuários com antecedência mínima de 15 (quinze) dias corridos, por meio de notificação em destaque na plataforma e/ou por e-mail cadastrado. A continuidade de uso da plataforma após a data de vigência das novas condições será interpretada como aceitação tácita das alterações.

Para alterações que impliquem novo tratamento de dados ou mudança de finalidade que exija consentimento, a 23br solicitará o consentimento expresso do Usuário antes da data de vigência da mudança. Caso o Usuário não concorde com as alterações, poderá solicitar o encerramento da conta sem ônus, com devolução do saldo disponível após as verificações necessárias.

O histórico de versões desta Política, com as datas de atualização e um resumo das principais mudanças, estará disponível mediante solicitação ao DPO.

Art. 14 Contato, DPO e Canal de Privacidade

Para exercer seus direitos como Titular de dados, esclarecer dúvidas sobre esta Política, reportar um incidente de segurança ou enviar qualquer solicitação relacionada à privacidade e proteção de dados, o Usuário pode entrar em contato com a 23br pelos seguintes canais:

• E-mail do DPO (Encarregado de Proteção de Dados): [email protected]
• E-mail Geral: [email protected]
• Suporte ao Cliente: [email protected]
• Chat ao Vivo: disponível 24 horas por dia, 7 dias por semana, diretamente na plataforma 23br;
• WhatsApp e Telegram: canais de atendimento em português brasileiro, disponíveis 24/7.

O prazo de resposta para solicitações relacionadas à privacidade é de até 15 (quinze) dias úteis a partir do recebimento e confirmação da identidade do solicitante. Em situações de urgência ou risco iminente, a 23br priorizará o atendimento.