Política de Privacidad

Última atualização / Última actualización: 2026-07-24 Entrada en vigor: 16 de junio de 2026

Versión en portugués (Brasil). Esta es la versión vinculante y prevaleciente. La versión en español se proporciona por conveniencia; en caso de cualquier divergencia, prevalece la versión en portugués.

0. Preámbulo — Identificación, vigencia y prevalencia de idioma

0.1. Esta Política de Privacidad (“Política”) describe cómo Sparsu, plataforma conducida por Antônio Amaral Egydio Martins, persona física, con domicilio en la ciudad de São Paulo/SP, actualmente en fase de constitución de persona jurídica, disponible en https://sparsu.com (en adelante “Sparsu” o, simplemente, “Empresa”, “nosotros”), trata datos personales. La Empresa es quien ostenta el poder de decisión sobre el tratamiento de datos personales aquí descrito, en calidad de responsable del tratamiento (controladora, art. 5º, VI, de la Ley nº 13.709/2018 — Ley General de Protección de Datos Personales de Brasil, “LGPD”), en los supuestos indicados en la Sección 3. Mientras no se concluya la constitución de la persona jurídica, la función de responsable del tratamiento es ejercida por la persona física antes identificada; una vez constituida la sociedad, esta Política será actualizada para reflejar la respectiva razón social y el número de inscripción en el CNPJ, sin perjuicio de las obligaciones ya asumidas.

0.2. Esta Política constituye el aviso de privacidad exigido por el art. 9º de la LGPD e integra, siendo por ellos referenciada, los Términos de Uso de la Plataforma. La aceptación de los Términos de Uso implica conocimiento y adhesión a esta Política, en la forma en ellos prevista.

0.3. Última actualización: 2026-07-24. La entrada en vigor de esta versión se da el 16 de junio de 2026. Las modificaciones posteriores observan lo dispuesto en la Sección 16.

0.4. Prevalencia de idioma. Esta Política está redactada en portugués de Brasil, versión única vinculante y exigible. Cualquier traducción a otro idioma se destina a la conveniencia del lector y no produce efectos autónomos; habiendo cualquier divergencia de sentido entre la versión en portugués y cualquier traducción, prevalece la versión en portugués (cláusula reproducida también en la edición en español).

1. Definiciones

Para los fines de esta Política, los términos abajo indicados, en singular o en plural, tienen el significado que a continuación se les atribuye. Los términos vinculantes son los indicados en portugués; la expresión en español entre paréntesis está reservada a la traducción.

1.1. Titular (titular de los datos): persona natural a quien se refieren los datos personales tratados (art. 5º, V, de la LGPD). En el contexto de esta Política, es típicamente el tarjetahabiente del Cliente.

1.2. Portador do cartão (tarjetahabiente): el titular de los datos en la cadena de contracargos (chargebacks) — cliente final de la institución adquirente o de pago. Es tercero respecto de la Empresa y consumidor para los fines del Código de Defensa del Consumidor — CDC (Ley nº 8.078/1990; Súmula 297 del STJ). No es usuario de la Plataforma.

1.3. Controlador(a) (responsable del tratamiento): a quien competen las decisiones referentes al tratamiento de datos personales — finalidades y medios (art. 5º, VI, de la LGPD). La Empresa actúa como responsable del tratamiento al reutilizar Datos de Contracargo provenientes del Cliente para finalidades propias (Sección 3.2).

1.4. Operador(a) (encargado del tratamiento / operador): quien realiza el tratamiento en nombre del responsable del tratamiento, según sus instrucciones documentadas (art. 5º, VII, de la LGPD). La Empresa actúa como encargada del tratamiento al conducir disputas y contracargos por cuenta del Cliente, bajo el Acuerdo de Tratamiento de Datos (art. 39 de la LGPD). El término vinculante en portugués es “operador”; encargado del tratamiento queda reservado a la traducción.

1.5. Encarregado (Delegado de Protección de Datos — DPO): persona designada como canal de comunicación entre la responsable del tratamiento, los titulares y la Autoridad Nacional de Protección de Datos — ANPD (art. 41 de la LGPD), y también el contacto para incidentes de seguridad (Resolución CD/ANPD nº 15/2024). El Encarregado de la Empresa está por nombrar — véase la Sección 14.

1.6. Tratamento (tratamiento): toda operación realizada con datos personales — recolección, almacenamiento, uso, compartición, eliminación, entre otras (art. 5º, X, de la LGPD). El almacenamiento permanente de los contracargos es tratamiento continuo, lo que mantiene a la Empresa bajo el régimen integral de la LGPD mientras subsista el dato.

1.7. Dado pessoal (dato personal): información relacionada con persona natural identificada o identificable (art. 5º, I, de la LGPD).

1.8. Dado anonimizado (dato anonimizado): dato relativo a titular que no pueda ser identificado, considerados medios técnicos razonables y disponibles en la ocasión del tratamiento (art. 5º, III y XI, y art. 12 de la LGPD). El dato anonimizado queda fuera del ámbito de la LGPD en la medida en que la reidentificación no sea razonablemente posible — condición que delimita el repositorio de desarrollo de productos (Sección 7).

1.9. Anonimização (anonimización): proceso por el cual el dato deja de poder ser asociado, directa o indirectamente, a un titular, considerados medios razonables (art. 5º, XI, y art. 12 de la LGPD), aquí realizado mediante claves unidireccionales y generalización/agregación de atributos, sin identificadores directos. Es condicional: vale mientras la reidentificación no sea razonablemente posible.

1.10. Legítimo interesse (interés legítimo): base legal del art. 7º, IX, de la LGPD, para finalidades legítimas y concretas de la responsable del tratamiento, condicionada a prueba de ponderación documentada (art. 10) y a salvaguardas. No ampara dato personal sensible (art. 11).

1.11. Relatório de Legítimo Interesse — LIA (Informe de Interés Legítimo — LIA) o prueba de ponderación: registro fechado exigido por el art. 10 de la LGPD que estructura finalidad, necesidad, ponderación y salvaguardas, concluyendo, de forma condicionada a las salvaguardas, sobre la prevalencia o no de los derechos del titular.

1.12. Direito de oposição (derecho de oposición): en los términos del art. 18, §2º, de la LGPD, el titular puede oponerse a tratamiento realizado con fundamento en hipótesis de dispensa de consentimiento, en caso de incumplimiento de lo dispuesto en la LGPD. Con independencia de ese derecho legal, la Empresa asume, como compromiso contractual y salvaguarda del interés legítimo, la obligación de asegurar al titular el derecho de oponerse, en cualquier momento, al tratamiento fundado en interés legítimo por motivos relacionados con su situación particular, cesando, en esa hipótesis, el tratamiento en la función de responsable del tratamiento respecto del titular que se opuso (Secciones 7 y 12).

1.13. Requisição de titular — DSAR (solicitud de titular — DSAR): pedido de ejercicio de los derechos de los arts. 18 a 22 de la LGPD y, separadamente, de oposición (art. 18, §2º), registrado y respondido en plazo legal.

1.14. Cliente / Instituição contratante (Cliente): cualquier persona, natural o jurídica, que se registra en la Plataforma y utiliza los Servicios/API mediante la aceptación de los Términos — entre otras una institución de pago, una credenciadora/adquirente o una subadquirente (sub-acquirer) (autorizada o no por el Banco Central de Brasil — BCB), un comercio (lojista / merchant), o una persona física (natural person); responsable del tratamiento de los datos de sus tarjetahabientes para fines de disputa. Cualquier persona con acceso al sitio puede registrarse.

1.15. PAN truncado (PAN truncado): el único dato derivado del número de la tarjeta jamás almacenado — el BIN de los 6 primeros dígitos sumado a los 4 últimos dígitos, como máximo. No existe campo para el número íntegro de la tarjeta.

1.16. Dados de Autenticação Sensíveis — SAD (Datos de Autenticación Sensibles — SAD): CVV/CVC/CVV2/CVC2/CID/CAV2, banda magnética completa y PIN/bloque de PIN — prohibidos de almacenamiento a la Empresa, sin excepción, aunque estén cifrados; rechazados en el borde de la Plataforma.

1.17. Transferência internacional de dados (transferencia internacional de datos): cualquier operación que coloque datos personales en infraestructura fuera del territorio brasileño, sujeta a mecanismo del art. 33 de la LGPD (Sección 9).

1.18. Acordo de Tratamento de Dados — DPA (Acuerdo de Tratamiento de Datos — DPA): instrumento que rige el tratamiento en la función de encargada del tratamiento, conforme a las instrucciones documentadas del Cliente-responsable del tratamiento (art. 39 de la LGPD), y no autoriza el uso propio (responsable del tratamiento) de la Empresa.

1.19. Dados de Chargeback (Datos de Contracargo): los datos de disputa tratados, conforme se enumeran en la Sección 4.

1.20. Plataforma y Serviços (Plataforma / Servicios): el conjunto de software, API, interfaz web e infraestructura provisto por la Empresa para ingesta, almacenamiento, montaje de paquetes de contestación (representment), contestación y respuesta a disputas, gestión de reason codes/ARN y archivos de evidencia de contracargos.

2. Origen de los datos y a quién se aplica esta Política

2.1. Origen de los datos. Los datos personales de tarjetahabientes tratados por la Empresa no se recolectan directamente del titular (tarjetahabiente). Tienen origen en los Clientes (adquirentes, instituciones de pago, subadquirentes, comercios y registrantes personas físicas), que los remiten a la Plataforma en el curso de las disputas y contracargos. Esta Política alcanza a los tarjetahabientes por intermedio del Cliente, que mantiene con ellos la relación de consumo.

2.2. Posición del tarjetahabiente. El tarjetahabiente es tercero respecto de la Empresa y consumidor para los fines del CDC (Súmula 297 del STJ). El acervo de desenlaces de disputa puede caracterizar banco de datos de consumidores (art. 43 del CDC), con las consecuencias indicadas en las Secciones 10, 12 y 13.

2.3. Categorías de titulares y función aplicable. Esta Política se organiza por categoría de titular, indicando la función (encargada o responsable del tratamiento) aplicable:

(a) Representantes y Usuarios Autorizados del Cliente que acceden a la API y a la interfaz de la Plataforma — datos de registro, autenticación y registros de acceso, tratados para viabilizar y proteger el acceso a la Plataforma; en cuanto a esos datos, la Empresa actúa predominantemente como responsable del tratamiento de los datos estrictamente operativos de acceso;

(b) Tarjetahabientes (los titulares consumidores, alcanzados por intermedio del Cliente) — los Datos de Contracargo descritos en la Sección 4, tratados en la función de encargada del tratamiento cuando están al servicio del Cliente (Sección 3.1) y en la función de responsable del tratamiento cuando se reutilizan para finalidades propias de la Empresa (Sección 3.2);

(c) Visitantes del sitio https://sparsu.com — datos estrictamente necesarios para la disponibilización del sitio y, cuando el propio visitante solicita un análisis, envía una duda contextual sobre un artículo o completa el formulario de calificación comercial, nombre, apellido, correo electrónico de trabajo, el mensaje limitado al tema indicado y la información profesional y empresarial estructurada descrita en la Sección 15 para que la Empresa pueda evaluar la solicitud y contactarlo.

2.4. Ámbito territorial. Esta Política trata la disciplina de la LGPD y del derecho brasileño aplicable. Cuando datos personales fluyan hacia subencargados con sede en los Estados Unidos, el régimen de los Estados Unidos (CCPA/CPRA y la GLBA Safeguards Rule) también se aplica a ese tratamiento, conforme se detalla en la sección dedicada a los Estados Unidos (Sección 17).

2.5. Niños, adolescentes y personas mayores (art. 14 de la LGPD). La Plataforma está destinada al uso por personas mayores de edad (registrantes profesionales y personas físicas) y no se dirige a la recolección directa de datos de niños o adolescentes. Cuando datos de tarjetahabiente remitidos por el Cliente se refieran a niño o adolescente, tales datos reciben la protección especial del art. 14 de la LGPD y son tratados en el mejor interés del niño o del adolescente. Los datos de personas mayores son tratados como categoría de riesgo elevado para fines de determinación de la gravedad de un eventual incidente de seguridad (Resolución CD/ANPD nº 15/2024, art. 5º), con las cautelas correspondientes.

3. Agentes de tratamiento — las dos funciones (encargada y responsable del tratamiento)

La asignación de funciones se da por finalidad, y no por conjunto de datos. La Empresa actúa bajo dos funciones, mantenidas separadas en todo el tratamiento.

3.1. La Empresa como ENCARGADA DEL TRATAMIENTO (operadora)

3.1.1. La Empresa actúa como encargada del tratamiento (art. 5º, VII, de la LGPD) cuando trata Datos de Contracargo por cuenta y según las instrucciones documentadas del Cliente, en el ámbito de la ejecución de las disputas y contracargos, en los términos del Acuerdo de Tratamiento de Datos (art. 39 de la LGPD).

3.1.2. En esa hipótesis, el Cliente es el responsable del tratamiento: define las finalidades, los medios y el plazo de retención y responde por la base legal y por el deber de transparencia (art. 9º) frente a sus titulares; la Empresa se limita a cumplir y hacer cumplir tales instrucciones. La base legal es la ejecución de contrato (art. 7º, V) y/o las bases propias del Cliente (art. 7º, X), trasladadas por el Acuerdo de Tratamiento de Datos.

3.2. La Empresa como RESPONSABLE DEL TRATAMIENTO (controladora)

3.2.1. La Empresa actúa como responsable del tratamiento (art. 5º, VI, de la LGPD) cuando, determinando de forma independiente las finalidades y los medios, reutiliza Datos de Contracargo provenientes del Cliente para finalidades propias — análisis y benchmarking de producto y desarrollo, perfeccionamiento y provisión de sus productos y servicios (Secciones 6 y 7).

3.2.2. En esa hipótesis, el tratamiento se rige por esta Política y por base legal propia de la Empresa — el interés legítimo (art. 7º, IX), evaluado en prueba de ponderación documentada (LIA, art. 10) —, asegurado al titular el derecho de oposición (art. 18, §2º).

3.3. No erosión de la división de funciones

3.3.1. La base legal de una función nunca se reaprovecha para justificar la otra. El Acuerdo de Tratamiento de Datos (encargada del tratamiento) no autoriza el uso propio de la Empresa (responsable del tratamiento); y la restricción de finalidad del ámbito de encargada del tratamiento no suprime el derecho de uso propio, separadamente divulgado, de la responsable del tratamiento.

3.3.2. Donde sea aplicable la función de responsable del tratamiento, la Empresa reconoce la responsabilidad solidaria del art. 42 de la LGPD.

3.4. Remisión de solicitudes conforme a la función

3.4.1. Las solicitudes de titular relativas a datos tratados en la función de ENCARGADA DEL TRATAMIENTO se remiten al Cliente-responsable del tratamiento, con quien la Empresa coopera. Las solicitudes relativas a datos tratados en la función de RESPONSABLE DEL TRATAMIENTO son respondidas directamente por la Empresa (véanse las Secciones 12 y 13).

3.5. La disciplina del tratamiento en la función de encargada del tratamiento se detalla en el Acuerdo de Tratamiento de Datos (DPA) por Cliente, referenciado en los Términos de Uso; en caso de conflicto que toque datos de tarjetahabiente, el orden de prelación previsto en los Términos de Uso (prevalencia del instrumento firmado por Cliente) rige la solución.

4. Categorías de datos personales tratados

4.1. En la función de encargada del tratamiento y, cuando se reutilizan, en la función de responsable del tratamiento, la Empresa trata las siguientes categorías de Datos de Contracargo en su repositorio operativo:

(a) datos de tarjeta truncados — BIN de los 6 primeros dígitos y los 4 últimos dígitos; (b) red de la tarjeta (p. ej.: Visa, Mastercard, Elo, Hipercard, Amex); (c) ARN — número de referencia del adquirente; (d) código de motivo de la disputa — reason code; (e) valor y moneda de la transacción; (f) nombre del establecimiento — merchant; (g) identificador de dispositivo — device fingerprint; (h) nombre, correo electrónico y fragmento de documento del tarjetahabiente; (i) estado de la disputa; (j) fuente/origen del registro — source feed; y (k) metadatos de archivos de evidencia — puntero de almacenamiento, tipo de contenido y hash SHA-256.

4.2. El identificador de dispositivo (device fingerprint) es identificador en línea persistente (art. 5º, I, de la LGPD) y está en el radar de alto riesgo de la ANPD; se trata con señalización de sensibilidad y se descarta en la frontera de anonimización (Sección 7).

4.3. Los metadatos de archivos de evidencia se gobiernan como dato personal porque los archivos subyacentes contienen, rutinariamente, datos personales de tarjetahabientes.

4.4. En cuanto a los Usuarios Autorizados del Cliente, la Empresa trata datos de registro, credenciales y registros de acceso a la aplicación, en la forma de las Secciones 2.3(a) y 11.

5. Minimización de datos — lo que NUNCA se almacena

5.1. Principio (art. 6º, III, de la LGPD). La Empresa observa el principio de necesidad, limitando el tratamiento al mínimo indispensable. En cuanto al número de la tarjeta, se almacena únicamente el PAN truncado (BIN de los 6 primeros sumado a los 4 últimos dígitos), como máximo; el número íntegro de la tarjeta (PAN íntegro) jamás se almacena.

5.2. Datos nunca almacenados. La Empresa no almacena, en ninguna hipótesis, aunque estén cifrados:

(a) el número íntegro de la tarjeta (PAN íntegro); (b) CVV/CVC/CVV2/CVC2/CID/CAV2 (código de verificación); (c) PIN o bloque de PIN; (d) banda magnética completa (track/track1/track2); — los ítems (b) a (d) constituyen Datos de Autenticación Sensibles (SAD); y (e) CPF/CNPJ íntegro — solo se trata un fragmento de hasta 8 caracteres del documento.

5.3. Sin segunda representación recombinable. La Empresa no mantiene ninguna segunda representación del número de la tarjeta (tales como hash, token o truncamiento alternativo del mismo PAN) que, sumada al PAN truncado, permita reconstruir el número.

5.4. Salvaguarda del interés legítimo. La minimización aquí descrita es hecho presente y verdadero y constituye salvaguarda esencial de la prueba de ponderación que fundamenta el uso en la función de responsable del tratamiento (Sección 6).

6. Finalidades del tratamiento y bases legales (por finalidad)

6.1. La Empresa observa el principio de finalidad específica (arts. 6º, I, y 9º de la LGPD): cada tratamiento corresponde a finalidad determinada, no habiendo finalidad genérica de “operar la plataforma”. La base legal se atribuye por finalidad.

6.2. Finalidades de encargada del tratamiento.

(a) P1 — Ejecución del ciclo de vida de la disputa: ingerir, almacenar, montar paquetes de contestación, contestar y responder a contracargos/disputas por cuenta del Cliente, observando reason codes, ARN, archivos de evidencia y plazos de las marcas. (b) P2 — Retención operativa: mantener el registro de la disputa por el tiempo necesario a su ciclo de vida y a la defensa del Cliente.

Base legal de P1 y P2: ejecución de contrato (art. 7º, V) y/o bases propias del Cliente (art. 7º, X), trasladadas por el Acuerdo de Tratamiento de Datos (art. 39). En esas finalidades, la Empresa es encargada del tratamiento.

6.3. Finalidades de responsable del tratamiento.

(a) P3 — Análisis y benchmarking de producto; y (b) P4 — Desarrollo, perfeccionamiento y provisión de los productos y servicios de la Empresa, incluyendo modelos analíticos y predictivos de prevención de fraudes y de gestión de disputas.

El lenguaje de divulgación de esas finalidades consta en la Sección 7. Base legal de P3 y P4: interés legítimo (art. 7º, IX), sustentado por prueba de ponderación documentada (LIA, art. 10). En esas finalidades, la Empresa es responsable del tratamiento, y queda asegurado al titular el derecho de oposición (art. 18, §2º) — véanse las Secciones 7, 12 y 13.

6.4. Consentimiento — base rechazada como espina dorsal. La Empresa no adopta el consentimiento como base primaria del tratamiento, y ello se registra de forma transparente (art. 6º, X, accountability), por las razones: (i) no existe canal directo con los tarjetahabientes, terceros respecto de la Empresa; (ii) el consentimiento es revocable en cualquier momento (art. 8º, §5º), lo que tornaría el tratamiento estructuralmente inestable; y (iii) es impracticable y frágil para datos de disputa de tarjeta remitidos por los Clientes, con quienes — y no con los tarjetahabientes — la Empresa mantiene relación. El derecho de revocación del consentimiento se preserva únicamente en las hipótesis en que el consentimiento llegue efectivamente a ser utilizado.

6.5. Datos sensibles (art. 11). El interés legítimo no ampara dato personal sensible. Los datos sensibles y las inferencias sensibles quedan excluidos del repositorio de análisis y desarrollo de productos en la función de responsable del tratamiento.

6.6. Postura presente y verdadera. La Empresa describe compromisos efectivos. El LIA tiene carácter condicionado a las salvaguardas; parte de ellas — en especial la anonimización, la exclusión de datos sensibles, los límites de retención, la transparencia y el flujo de oposición/solicitudes — se encuentra en implementación, de modo que la conclusión de interés legítimo es condicional y no representa afirmación de conformidad plena en el momento presente.

7. Desarrollo de productos y la frontera de anonimización

7.1. En calidad de responsable del tratamiento, la Empresa podrá utilizar los Datos de Contracargo para el desarrollo, el perfeccionamiento y la provisión de sus productos y servicios, incluyendo modelos analíticos y predictivos de prevención de fraudes y de gestión de disputas, así como para análisis y benchmarking de producto. Ese tratamiento se funda en el interés legítimo de la Empresa (art. 7º, IX, de la LGPD), evaluado en prueba de ponderación documentada (Informe de Interés Legítimo — LIA, art. 10), y observa salvaguardas, en especial la minimización de los datos y la anonimización.

7.2. Frontera de anonimización (art. 12). Los datos podrán ser anonimizados — mediante claves unidireccionales y generalización/agregación de atributos, sin identificadores directos — para las finalidades del ítem 7.1. Una vez anonimizados, y en la medida en que la reidentificación no sea razonablemente posible por la Empresa por medios disponibles, tales datos dejan de ser datos personales y quedan fuera del ámbito de la LGPD (art. 12).

7.3. Carácter condicional. El efecto de exclusión del ámbito de la LGPD está condicionado a la imposibilidad razonable de reidentificación; la Empresa no declara irreversibilidad absoluta o permanente. Los identificadores de mayor cardinalidad — en especial el identificador de dispositivo, el ARN y los valores exactos — son descartados o generalizados en la frontera de anonimización, por elevar el riesgo de reidentificación.

7.4. Derecho de oposición. En los términos del art. 18, §2º, de la LGPD, el titular puede oponerse a tratamiento realizado con fundamento en hipótesis de dispensa de consentimiento, en caso de incumplimiento de lo dispuesto en la LGPD. Con independencia de lo dispuesto en el art. 18, §2º, la Empresa asegura al titular, como salvaguarda del interés legítimo, el derecho de, en cualquier momento, oponerse a ese tratamiento por motivos relacionados con su situación particular, por medio del canal del Encarregado, hipótesis en la cual tal tratamiento cesará respecto del titular que se opuso.

8. Compartición y destinatarios

8.1. Los Datos de Contracargo tienen origen en los Clientes (adquirentes, instituciones de pago, subadquirentes, comercios y registrantes personas físicas) y podrán ser compartidos con subencargados y demás destinatarios estrictamente para la prestación de los Servicios y, en la función de responsable del tratamiento, para las finalidades propias de la Empresa (Secciones 6 y 7), siempre indicada la finalidad de la compartición.

8.2. Categorías de destinatarios. Sin perjuicio de la indicación por Cliente, los destinatarios se encuadran en las siguientes categorías de subencargados: proveedores de infraestructura en la nube, almacenamiento de objetos, almacenamiento de evidencias y de correo electrónico, y alojamiento de modelos analíticos. El régimen de esos subencargados — registro interno y flow-down de obligaciones — se disciplina en los Términos de Uso y en el Acuerdo de Tratamiento de Datos.

8.3. Divulgación a terceros únicamente por orden judicial. Los registros almacenados, los datos personales y el contenido de comunicaciones solo se ponen a disposición de terceros mediante orden judicial válida (arts. 7º, II y III, y 10, §§1º y 2º, del Marco Civil da Internet — Ley nº 12.965/2014), salvo las comunicaciones al propio titular y a las autoridades competentes en los términos de la ley.

9. Transferencia internacional de datos

9.1. Residencia en Brasil por defecto. Los datos personales son tratados y almacenados en territorio brasileño por defecto.

9.2. Mecanismos del art. 33. Cualquier transferencia internacional — por ejemplo, transferencias transfronterizas a subencargados de LLM/OCR con sede en los Estados Unidos, o a subencargados localizados en la Unión Europea o en el Espacio Económico Europeo (EEE) — ocurre solamente bajo mecanismo del art. 33 de la LGPD:

(a) cláusulas contractuales estándar (Resolución CD/ANPD nº 19/2024) para destinos sin decisión de adecuación; y (b) decisión de adecuación para la Unión Europea / EEE (Resolución CD/ANPD nº 32/2026), cuando el destino integre el ámbito de esa resolución.

9.3. No confusión entre mecanismos. Los mecanismos del ítem 9.2 no se confunden. La Empresa no trata como adecuados, para ese fin, al Reino Unido, a Suiza ni a región fuera del EEE de proveedor europeo, ni invoca la adecuación de la Unión Europea antes de la existencia de flujo efectivo hacia destino del respectivo ámbito.

9.4. Fechas y numeración. Las resoluciones se citan por nombre abreviado; las fechas de publicación y la numeración interna de artículos quedan sujetas a confirmación por la asesoría jurídica, no siendo aquí afirmadas como definitivas.

9.5. Secretos y credenciales. La guarda de secretos y credenciales operativas (por ejemplo, claves y strings de conexión) en servicio de tercero fuera de Brasil no constituye transferencia internacional de datos personales, por tratarse de credenciales, y no de datos de titulares; los datos personales operativos permanecen residentes en Brasil.

10. Plazo de retención y eliminación

10.1. Horizonte estándar. Cada registro de datos personales lleva un horizonte de retención (fecha de expiración de cada registro); no hay retención por plazo indeterminado. El horizonte estándar es de cerca de 5 (cinco) años, anclado en el techo de registros de consumidor del art. 43 del CDC y en el ciclo de vida de la disputa, cumplido el cual el dato es eliminado o anonimizado. Ese plazo es un estándar ajustable en la política de retención, y no un valor absoluto.

10.2. Horizontes específicos. No se aplica plazo único: (a) los registros de acceso a la aplicación (Marco Civil) se mantienen por un mínimo de 6 (seis) meses, bajo sigilo; y (b) los artefactos de conformidad se mantienen por un mínimo de 5 (cinco) años.

10.3. Reglas del CDC sobre información negativa. En la medida en que el acervo caracterice banco de datos de consumidores (art. 43 del CDC) — caracterización a confirmar con la asesoría jurídica —, se observan las siguientes reglas:

(a) la información negativa de desenlace de disputa (por ejemplo, contracargo perdido o fraude confirmado) vinculada a un tarjetahabiente no se mantiene ni se pone a disposición en contexto de registro o de score más allá de 5 (cinco) años (art. 43, §1º); y (b) consumada la prescripción relativa al cobro, no se pone a disposición información que impida o dificulte nuevo acceso al crédito (art. 43, §5º).

10.4. Eliminación. La eliminación ocurre al término de la finalidad, por solicitud de titular y por determinación de la ANPD, alcanzando el repositorio primario y, cuando sea viable, los conjuntos de datos derivados.

10.5. Comunicación previa de apertura de registro (art. 43, §2º, del CDC). Los registros de disputa son, por su naturaleza, abiertos sin solicitud del tarjetahabiente. En esa hipótesis, el art. 43, §2º, del CDC exige la comunicación previa, por escrito, al consumidor sobre la apertura del registro. Esa comunicación se presta por intermedio de la institución Cliente, que mantiene la relación de consumo con el tarjetahabiente (en coherencia con la remisión en la función de encargada del tratamiento descrita en la Sección 3.4); la Empresa coopera con el Cliente para viabilizarla.

11. Seguridad de la información

11.1. La Empresa adopta y/o implementa las siguientes medidas técnicas y administrativas de seguridad aptas para proteger los datos personales (arts. 46 a 49 de la LGPD; art. 7º, VIII, y art. 10, §4º, del Marco Civil; arts. 13 y 16 del Decreto nº 8.771/2016). Parte de estos controles se encuentra en implementación, en coherencia con lo dispuesto en la Sección 6.6, no afirmándose que la totalidad del conjunto esté plenamente operativa en el presente momento:

(a) minimización en la ingesta y truncamiento del PAN (Sección 5); (b) cifrado en tránsito (TLS) y en reposo, con gestión de claves; (c) control de acceso basado en roles y menor privilegio; (d) autenticación multifactor (MFA) en el acceso a datos personales; (e) registro de auditoría con inventario detallado de accesos (identificación del agente, fecha/hora y recurso accedido); y (f) segregación lógica por Cliente.

11.2. Tales medidas se presentan como adoptadas y/o en implementación por la Empresa.

11.3. La clave secreta de anonimización y los demás secretos nunca se registran en log.

12. Derechos del titular

12.1. La Empresa asegura al titular el ejercicio de los derechos previstos en los arts. 18 a 22 de la LGPD, en especial:

(a) confirmación de la existencia de tratamiento y acceso a los datos (art. 18, I y II); (b) corrección de datos incompletos, inexactos o desactualizados (art. 18, III); (c) anonimización, bloqueo o eliminación de datos innecesarios, excesivos o tratados en disconformidad (art. 18, IV); (d) portabilidad (art. 18, V); (e) eliminación de los datos tratados con consentimiento (art. 18, VI); (f) información sobre la compartición (art. 18, VII); (g) información sobre la posibilidad de no consentir y sobre las consecuencias de la negativa (art. 18, VIII); y (h) revocación del consentimiento (art. 18, IX), cuando el consentimiento sea la base utilizada.

La numeración de los incisos del art. 18 arriba indicada está sujeta a confirmación por la asesoría jurídica frente al texto consolidado vigente, de modo que una eventual renumeración o revisión no afecte la sustancia de los derechos asegurados. La forma y el plazo de confirmación y acceso se rigen, además, por el art. 19 de la LGPD (Sección 13).

12.2. Derecho de oposición (art. 18, §2º) — destacado. En los términos del art. 18, §2º, de la LGPD, el titular puede oponerse a tratamiento realizado con fundamento en hipótesis de dispensa de consentimiento, en caso de incumplimiento de lo dispuesto en la LGPD. Separadamente, y con independencia de lo dispuesto en aquel precepto, la Empresa asegura al titular, como compromiso contractual y salvaguarda del interés legítimo, el derecho de, en cualquier momento, oponerse al tratamiento fundado en interés legítimo por motivos relacionados con su situación particular. Ejercida la oposición, el tratamiento en la función de responsable del tratamiento (finalidades P3 y P4) cesa respecto del titular que se opuso. Ese derecho se divulga y se atiende de forma autónoma, aunque no corresponda a uno de los tipos de solicitud actualmente catalogados en el sistema.

12.3. Consecuencias de no proporcionar datos (art. 9º, II). De forma transparente: (a) en cuanto a los datos tratados en la función de encargada del tratamiento, el tarjetahabiente no proporciona datos directamente a la Empresa — los datos son remitidos por el Cliente —, de modo que no hay “negativa” oponible a la Empresa; y (b) en cuanto al tratamiento en la función de responsable del tratamiento, el instrumento de control disponible al titular es el derecho de oposición (art. 18, §2º), y no el rechazo del consentimiento.

12.4. Capa consumerista (CDC). Adicionalmente, el tarjetahabiente, en su condición de consumidor: (a) tiene derecho de acceso a los datos mantenidos y a sus fuentes (art. 43, caput, del CDC); y (b) puede exigir corrección, con comunicación a los eventuales destinatarios de la información corregida en el plazo de 5 (cinco) días hábiles (art. 43, §3º) — plazo más corto y estricto que el estándar de la LGPD, alcanzando los conjuntos de datos y atributos derivados.

12.5. Petición y reclamación. El titular puede peticionar en relación con sus datos ante la Empresa y presentar reclamación ante la ANPD (art. 18, caput, y §1º, de la LGPD); en su condición de consumidor, puede además recurrir a los órganos de defensa del consumidor (por ejemplo, el Procon).

12.6. Derecho del Marco Civil. Sin perjuicio del derecho de eliminación de la LGPD, el titular tiene derecho a la exclusión definitiva de los datos personales al término de la relación, mediante solicitud, salvo las hipótesis de guarda obligatoria (art. 7º, X, del Marco Civil).

12.7. Ejercicio por función. En cuanto a los datos tratados en la función de encargada del tratamiento, los derechos se ejercen por intermedio del Cliente-responsable del tratamiento, con quien la Empresa coopera; en cuanto a los datos tratados en la función de responsable del tratamiento, directamente ante la Empresa (Sección 13).

12.8. Decisiones automatizadas. El titular puede solicitar revisión de decisiones automatizadas (art. 20 de la LGPD). Se aclara que los resultados de los modelos analíticos y predictivos de la Empresa se refieren a la disputa, y no constituyen decisión automatizada que produzca efectos jurídicos o impacto significativo sobre la persona del tarjetahabiente.

13. Cómo ejercer los derechos

13.1. Canal único. Las solicitudes de ejercicio de derechos deben dirigirse al Encarregado por el correo electrónico comercial@sparsu.com.

13.2. Verificación de identidad. La Empresa adopta una etapa de verificación de identidad del solicitante y admite el ejercicio por representante debidamente autorizado.

13.3. Plazo de respuesta. La Empresa responde en el plazo legal: puede proporcionar respuesta inmediata y simplificada o respuesta completa en el plazo legal aplicable (art. 19, §2º, de la LGPD). Para las correcciones, se observa además el plazo más estricto de 5 (cinco) días hábiles del CDC (art. 43, §3º) para la comunicación a los destinatarios de la información corregida, alcanzando los conjuntos de datos derivados. El número exacto de días del plazo general de la LGPD será informado conforme a la disciplina legal vigente.

13.4. Camino directo o vía Cliente. Por ser el tarjetahabiente un tercero alcanzado por intermedio del Cliente, el ejercicio de derechos puede darse directamente ante la Empresa (datos tratados en la función de responsable del tratamiento) o por intermedio del Cliente (datos tratados en la función de encargada del tratamiento), con la respectiva asignación de responsabilidad indicada en la Sección 3.4.

13.5. Negativas y alcance. Las eventuales negativas se registran con la respectiva justificación. La atención alcanza el repositorio primario y, cuando sea viable, los conjuntos de datos derivados.

14. Encarregado (Delegado de Protección de Datos — DPO)

14.1. Designación pendiente. El Encarregado de la Empresa se encuentra por nombrar. Hasta la designación, el correo electrónico comercial@sparsu.com se utiliza como canal designado, no habiendo, en el presente momento, indicación de persona determinada.

14.2. Canal unificado. El mismo contacto constituye el canal para (a) las comunicaciones de los titulares, (b) las comunicaciones con la ANPD (art. 41 de la LGPD) y (c) las comunicaciones de incidentes de seguridad (Resolución CD/ANPD nº 15/2024).

15. Cookies y tecnologías de rastreo

15.1. En la presente fecha, el sitio https://sparsu.com utiliza únicamente cookies estrictamente necesarias para su funcionamiento. En caso de que lleguen a utilizarse cookies no esenciales u otras tecnologías de rastreo, esta Sección será actualizada con la respectiva descripción y, cuando sea exigible, con la recolección del consentimiento del titular. En cualquier hipótesis, la Empresa no almacena registros de acceso a otras aplicaciones de internet sin el consentimiento del titular (art. 16, I, del Marco Civil).

15.2. Almacenamiento local estrictamente funcional. Adicionalmente a las cookies anteriores, el formulario de análisis del sitio utiliza almacenamiento local del navegador (sessionStorage), limitado a la guarda temporal de lo que el propio visitante escribe — nombre, apellido y correo electrónico de trabajo —, para que lo escrito no se pierda al cerrar accidentalmente un panel, al seguir un enlace o al recargar la página. Esos datos permanecen en el navegador del visitante, no son transmitidos a la Empresa por ese mecanismo de almacenamiento local y no se utilizan para rastreo, perfilado, publicidad o cualquier forma de identificación entre sitios. El contenido guardado tiene una validez de 5 (cinco) minutos, contados desde la última pulsación; transcurrido ese plazo, se descarta en la primera carga de página siguiente y nunca se reutiliza para completar formularios. El almacenamiento está vinculado a la pestaña del navegador y no se comparte con otras pestañas; la Empresa aclara, sin embargo, que el navegador puede preservarlo en disco para restaurar la sesión tras el cierre o la falla de una pestaña, hipótesis en la cual el plazo de 5 (cinco) minutos anterior continúa aplicándose en la lectura. Los archivos adjuntos no se almacenan por este mecanismo, en ninguna hipótesis. En los formularios de calificación comercial y de duda contextual del blog, ninguna respuesta — incluidos nombre, apellido, correo electrónico y mensaje — se graba en sessionStorage: lo escrito permanece únicamente en la página actual hasta el envío o la salida del visitante. La transmisión independiente de los datos se describe a continuación.

15.3. Contacto para la respuesta del análisis. Al completar nombre, apellido y correo electrónico de trabajo en la sección “Para recibir la respuesta”, el visitante es informado, junto a los propios campos, de que esos tres datos serán enviados a la Empresa tan pronto como estén completos y válidos y haya una breve pausa en la escritura — o cuando el visitante abandone la página —, incluso sin accionar el botón final. La finalidad exclusiva es responder al pedido de análisis y conducir los procedimientos preliminares solicitados por el propio visitante; la Empresa actúa como responsable del tratamiento, con base en el art. 7º, V, de la LGPD. La consecuencia de no proporcionar los tres campos es únicamente no recibir ese contacto.

15.4. Calificación comercial. En los botones “Hablar sobre mi operación” y “Habla con nosotros”, el visitante puede enviar, además de nombre, apellido y correo corporativo, los siguientes datos: nombre y sitio opcional de la empresa, cargo o función, perfil de la operación, tamaño de la empresa y rangos mensuales de cantidad y valor de contracargos. La opción “Otro” para el perfil de la operación abre un campo de texto con cinco líneas visibles y un límite de 1.000 caracteres. Esos datos solo se transmiten cuando el visitante acciona “Enviar información”. La finalidad es comprender la solicitud, preparar el contacto comercial y ordenar internamente el seguimiento; la Empresa actúa como responsable del tratamiento, con base en el art. 7º, V, de la LGPD. Una puntuación interna se calcula a partir de las respuestas estructuradas para apoyar el orden de revisión humana, sin rechazo automático, mensaje de descalificación ni efecto jurídico o significativo para el visitante. La consecuencia de no proporcionar los campos obligatorios es únicamente no poder enviar este pedido.

15.5. Duda contextual en artículo. En los artículos que ofrezcan ese contacto, el visitante puede enviar nombre, apellido, el correo electrónico indicado en el campo “Correo corporativo” y un mensaje editable limitado a 500 caracteres, acompañado de un tema fijo que identifica el artículo. La validación técnica confirma el formato del correo electrónico, pero no verifica si el dominio es corporativo. El mensaje comienza completado con el contexto del contenido y solo se transmite cuando el visitante acciona “Enviar mensaje”. El formulario orienta al visitante a no insertar número completo de la tarjeta, CVV, PIN, documentos ni datos del tarjetahabiente; el backend rechaza patrones de datos de autenticación sensibles y número completo de tarjeta antes de remitir la notificación. Ese filtro no identifica todas las categorías posibles de datos personales en texto libre. La finalidad exclusiva es comprender y responder a la duda solicitada; la Empresa actúa como responsable del tratamiento, con base en el art. 7º, V, de la LGPD. La consecuencia de no proporcionar los campos obligatorios es únicamente no poder enviar el pedido.

15.6. Esos flujos no ofrecen carga de archivos ni leen hojas de cálculo, PDF o documentos y no solicitan campos estructurados de Datos de Contracargo. El sitio envía los campos descritos en las Secciones 15.3 a 15.5, el idioma y la identificación fija del origen al backend de la Empresa; en el formulario del blog, también envía el tema fijo y el mensaje limitado. Por ser editable, el mensaje puede contener información ajena a la finalidad insertada por el propio visitante. Se trata como texto libre personal, y la orientación del formulario continúa siendo aplicable incluso con el filtro de PAN y datos de autenticación sensibles. El backend remite la notificación y, en el flujo comercial, la priorización interna a un buzón interno fijo por medio del proveedor de correo electrónico transaccional Resend. Para limitar el abuso, el código de la aplicación mantiene por hasta 1 (una) hora, únicamente en memoria, un resumen pseudonimizado y autenticado derivado de la IP de la conexión; la IP en bruto no se persiste por este flujo en el código de la aplicación. Los envíos idénticos se identifican, también únicamente por resumen autenticado en memoria, por hasta 24 (veinticuatro) horas.

15.7. La notificación en el buzón interno se conserva por hasta 6 (seis) meses después del último contacto relacionado con el pedido, salvo necesidad de plazo menor, ejercicio de derecho del titular u obligación legal específica. Resend documenta una retención estándar de datos de correo electrónico de 30 (treinta) días y almacenamiento de metadatos, registros y datos de API en los Estados Unidos; esa transferencia internacional se registra en el ROPA de la Empresa y se somete a las salvaguardas del art. 33 de la LGPD descritas en la Sección 9. El visitante puede ejercer los derechos de la Sección 12 por el canal de la Sección 13.

16. Modificaciones de esta Política

16.1. La Empresa puede revisar esta Política, mediante aviso a través de https://sparsu.com, indicando la respectiva fecha de vigencia. Esta Política describe únicamente la realidad presente del tratamiento, no conteniendo previsiones especulativas sobre finalidades o productos futuros.

16.2. Las modificaciones materiales se comunican; la continuidad de la relación después de la vigencia de la nueva versión implica conocimiento de las modificaciones.

17. Régimen de los Estados Unidos (CCPA/CPRA y GLBA) — compromisos activos

Esta Sección rige el tratamiento de datos personales que se realiza bajo, o que fluye hacia, el régimen legal de los Estados Unidos, como compromiso activo del go-to-market de la Empresa. Complementa, y no sustituye, el régimen de la LGPD arriba descrito; cuando el régimen de los Estados Unidos se aplique a determinado tratamiento, ambos regímenes se aplican cumulativamente. Esos compromisos están sustanciados por los registros internos de conformidad de la Empresa relativos a la CCPA, a la GLBA y al FTC Act, disponibles a clientes y reguladores mediante solicitud.

17.1. Divulgación explícita del entrenamiento de modelos de ML/IA

17.1.1. Sí — la Empresa entrena sus propios modelos sobre los Datos de Contracargo. De forma directa y sin eufemismo: la Empresa reutiliza los Datos de Contracargo que almacena permanentemente para entrenar sus propios modelos de aprendizaje automático, específicamente modelos de triaje de disputas (dispute-triage, que clasifican y encaminan las disputas) y modelos de probabilidad de éxito (win-probability, que estiman la probabilidad de una contestación exitosa). Se trata de finalidad secundaria de la Empresa, en beneficio propio, distinta de la conducción de disputas por cuenta del Cliente.

17.1.2. Finalidad. La finalidad de ese entrenamiento es desarrollar, perfeccionar y proveer los productos y servicios de la Empresa de triaje y gestión de disputas, conforme ya se describió en las Secciones 6.3 (P4) y 7. Los resultados de los modelos se refieren a la disputa, y no a la persona del tarjetahabiente (Sección 12.8).

17.1.3. Salvaguarda de anonimización. Ese entrenamiento observa la frontera de anonimización de la Sección 7.2: los identificadores de mayor cardinalidad (en especial el identificador de dispositivo, el ARN y los valores exactos) son descartados o generalizados, y los datos son anonimizados mediante claves unidireccionales y generalización/agregación de atributos, en la medida en que la reidentificación no sea razonablemente posible (art. 12 de la LGPD). Los datos sensibles y las inferencias sensibles quedan excluidos del repositorio de entrenamiento (Secciones 6.5 y 7.1). El carácter condicional de la anonimización declarado en la Sección 7.3 se aplica aquí íntegramente.

17.2. Determinación de responsable del tratamiento / “business” para el uso de ML

17.2.1. Para el uso de entrenamiento de modelos descrito en la Sección 17.1, la Empresa es responsable del tratamiento independiente bajo la LGPD y afirma la determinación de que es un “business” bajo la CCPA/CPRA (Cal. Civ. Code §1798.140(d)) — la entidad que determina las finalidades y los medios de ese tratamiento. La Empresa no invoca el amparo de prestadora de servicios (service provider/contractor) para ese uso propio de ML; tal amparo queda reservado al trabajo de disputa que realiza por cuenta del Cliente, regido por el Acuerdo de Tratamiento de Datos que porta la certificación de service provider/contractor de la CCPA en vigor. La confusión entre las dos vías se rechaza expresamente (Sección 3.3).

17.3. Derechos del consumidor bajo la CCPA/CPRA

17.3.1. En relación con la información personal de consumidores de California (tarjetahabientes) tratada por la Empresa como business, la Empresa honra los siguientes derechos:

(a) Derecho de saber / acceso — conocer las categorías y los ítems específicos de información personal recolectados, las fuentes, las finalidades (incluida la finalidad de uso propio de ML) y las categorías de destinatarios (Cal. Civ. Code §§1798.100, .110, .115); (b) Derecho de eliminación (§1798.105) — propagado al repositorio primario y, cuando sea viable, a los conjuntos de datos de ML derivados; (c) Derecho de corrección (§1798.106) — alcanzando el repositorio de disputas y cualesquiera atributos derivados; (d) Derecho de opt-out de venta/compartición (§§1798.120, .135) — la Empresa no vende ni comparte información personal para publicidad conductual entre contextos, y mantiene, de todos modos, un mecanismo “No Vender ni Compartir Mi Información Personal”; (e) Derecho de limitar el uso de información personal sensible (SPI) (§1798.121) — el PAN truncado, los fragmentos de cuenta financiera del tarjetahabiente y los fragmentos de documento se tratan como SPI, y el flujo SPI→ML se restringe de modo que el uso de SPI no escape a la limitación; (f) Global Privacy Control (GPC) — la Empresa honra las señales GPC de navegador/agente como opt-out vinculante de venta/compartición, de forma determinística (sin modelo en el bucle), como mecanismo obligatorio (§1798.135(b)).

17.4. Derechos del titular bajo la LGPD (referencia cruzada)

17.4.1. Los derechos del titular previstos en los arts. 18 a 22 de la LGPD — confirmación/acceso, corrección, anonimización/bloqueo/eliminación, portabilidad, información sobre compartición, revocación del consentimiento y el derecho de oposición al tratamiento fundado en interés legítimo (art. 18, §2º) — quedan asegurados íntegramente conforme a la Sección 12, y se ejercen por el canal de la Sección 13. El ejercicio de esos derechos no se reduce por la aplicación cumulativa del régimen de los Estados Unidos.

17.5. Tratamiento de datos personales sensibles / financieros

17.5.1. La Empresa trata el PAN truncado, los fragmentos de cuenta financiera del tarjetahabiente y los fragmentos de documento como información personal sensible para fines de la CCPA/CPRA y como información personal no pública (NPI) para fines de la GLBA Safeguards Rule (15 U.S.C. §§6801–6809; 16 CFR Part 314). La Empresa adopta un programa escrito de seguridad de la información que satisface la Safeguards Rule tanto en la lectura de prestadora de servicios como en la de institución financiera, superpuesto a las medidas de seguridad de la Sección 11. La postura de minimización de datos de la Sección 5 (sin PAN íntegro, sin SAD) es salvaguarda esencial también aquí.

17.6. Transferencias internacionales Estados Unidos ↔ Brasil

17.6.1. Los datos personales son residentes en Brasil por defecto (Sección 9.1). Cuando los datos fluyan hacia subencargados con sede en los Estados Unidos (en especial los contemplados subencargados de LLM/OCR), esa transferencia ocurre solamente bajo mecanismo del art. 33 de la LGPD (Sección 9.2(a) — cláusulas contractuales estándar) y está simultáneamente sujeta al régimen de los Estados Unidos descrito en esta Sección. Las transferencias de retorno de los Estados Unidos a Brasil siguen el mismo estándar de residencia brasileña.

17.7. Sustanciación bajo el FTC Act §5

17.7.1. Las divulgaciones de esta Sección se hacen para ser específicas, actuales y sustanciadas por el tratamiento interno de la Empresa, en coherencia con la Sección 5 del FTC Act (15 U.S.C. §45) y con la postura de algorithmic disgorgement de la FTC, sustanciada por los registros internos de conformidad de la Empresa relativos al FTC Act. Las salvaguardas marcadas como en implementación en las Secciones 6.6, 7.3 y 11.1 permanecen así marcadas aquí; la Empresa no afirma en exceso una salvaguarda aún no construida.

17.8. Contacto

17.8.1. Las solicitudes y comunicaciones bajo el régimen de los Estados Unidos se dirigen al mismo canal unificado de las solicitudes de la LGPD: el correo electrónico comercial@sparsu.com (Secciones 13 y 14). [CONFIRM: si se exige un contacto de privacidad orientado a los Estados Unidos o un método de marcación gratuita propio para el notice-at-collection de la CCPA — a confirmar con la asesoría jurídica.]

18. Legislación aplicable y contacto

18.1. Ley aplicable. Esta Política se rige por la legislación brasileña, en especial la LGPD (Ley nº 13.709/2018); la ANPD es la autoridad competente. El régimen de los Estados Unidos de la Sección 17 se aplica cumulativamente al tratamiento que describe.

18.2. Contacto. Encarregado: por nombrar; canal: comercial@sparsu.com. Responsable del tratamiento: Sparsu, conducida por Antônio Amaral Egydio Martins (persona jurídica en constitución), con domicilio en São Paulo/SP.

18.3. Prevalencia y vigencia. Se reafirma que la versión en portugués prevalece sobre cualquier traducción en caso de divergencia. Última actualización: 2026-07-24.

Esta Política integra y es referenciada por los Términos de Uso de la Plataforma. La versión en portugués es la única vinculante; la versión en español es traducción fiel para conveniencia del lector.