Política de Privacidade

Última atualização / Last updated: 2026-07-24 Entrada em vigor: 16 de junho de 2026

Versão em português (Brasil). Esta é a versão vinculante e prevalecente. A versão em inglês é fornecida por conveniência; em caso de qualquer divergência, prevalece a versão em português.

0. Preâmbulo — Identificação, vigência e prevalência de idioma

0.1. Esta Política de Privacidade (“Política”) descreve como a Sparsu, plataforma conduzida por Antônio Amaral Egydio Martins, pessoa física, com domicílio na cidade de São Paulo/SP, atualmente em fase de constituição de pessoa jurídica, disponível em https://sparsu.com (doravante “Sparsu” ou, simplesmente, “Empresa”, “nós”), trata dados pessoais. A Empresa é quem detém o poder de decisão sobre o tratamento de dados pessoais aqui descrito, na qualidade de controladora (art. 5º, VI, da Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais, “LGPD”), nas hipóteses indicadas na Seção 3. Enquanto não concluída a constituição da pessoa jurídica, a função de controladora é exercida pela pessoa física acima identificada; uma vez constituída a sociedade, esta Política será atualizada para refletir a respectiva razão social e o número de inscrição no CNPJ, sem prejuízo das obrigações já assumidas.

0.2. Esta Política constitui o aviso de privacidade exigido pelo art. 9º da LGPD e integra, sendo por eles referenciada, os Termos de Uso da Plataforma. A aceitação dos Termos de Uso importa ciência e adesão a esta Política, na forma neles prevista.

0.3. Última atualização: 2026-07-24. A entrada em vigor desta versão dá-se em 16 de junho de 2026. Alterações posteriores observam o disposto na Seção 16.

0.4. Prevalência de idioma. Esta Política é redigida em português do Brasil, versão única vinculante e exequível. Eventual tradução para outro idioma destina-se à conveniência do leitor e não produz efeitos autônomos; havendo qualquer divergência de sentido entre a versão em português e qualquer tradução, prevalece a versão em português (cláusula reproduzida também na edição em inglês).

1. Definições

Para os fins desta Política, os termos abaixo, no singular ou no plural, têm o significado a seguir atribuído. Os termos vinculantes são os indicados em português; a expressão em inglês entre parênteses é reservada à tradução.

1.1. Titular (data subject): pessoa natural a quem se referem os dados pessoais tratados (art. 5º, V, da LGPD). No contexto desta Política, é tipicamente o Portador do cartão do Cliente.

1.2. Portador do cartão (cardholder): o titular dos dados na cadeia de chargeback — cliente final da instituição adquirente ou de pagamento. É terceiro em relação à Empresa e consumidor para fins do Código de Defesa do Consumidor — CDC (Lei nº 8.078/1990; Súmula 297 do STJ). Não é usuário da Plataforma.

1.3. Controlador(a) (controller): a quem competem as decisões referentes ao tratamento de dados pessoais — finalidades e meios (art. 5º, VI, da LGPD). A Empresa atua como controladora ao reutilizar Dados de Chargeback oriundos do Cliente para finalidades próprias (Seção 3.2).

1.4. Operador(a) (operator / processor): quem realiza o tratamento em nome do controlador, segundo suas instruções documentadas (art. 5º, VII, da LGPD). A Empresa atua como operadora ao conduzir disputas e chargebacks por conta do Cliente, sob o Acordo de Tratamento de Dados (art. 39 da LGPD). O termo vinculante em português é “operador”; processor fica reservado à tradução.

1.5. Encarregado (Data Protection Officer — DPO): pessoa indicada como canal de comunicação entre a controladora, os titulares e a Autoridade Nacional de Proteção de Dados — ANPD (art. 41 da LGPD), e também o contato para incidentes de segurança (Resolução CD/ANPD nº 15/2024). O Encarregado da Empresa está a nomear — vide Seção 14.

1.6. Tratamento (processing): toda operação realizada com dados pessoais — coleta, armazenamento, uso, compartilhamento, eliminação, entre outras (art. 5º, X, da LGPD). O armazenamento permanente dos chargebacks é tratamento contínuo, mantendo a Empresa sob o regime integral da LGPD enquanto subsistir o dado.

1.7. Dado pessoal (personal data): informação relacionada a pessoa natural identificada ou identificável (art. 5º, I, da LGPD).

1.8. Dado anonimizado (anonymized data): dado relativo a titular que não possa ser identificado, considerados meios técnicos razoáveis e disponíveis na ocasião do tratamento (art. 5º, III e XI, e art. 12 da LGPD). O dado anonimizado fica fora do âmbito da LGPD na medida em que a reidentificação não seja razoavelmente possível — condição que delimita o repositório de desenvolvimento de produtos (Seção 7).

1.9. Anonimização (anonymization): processo pelo qual o dado deixa de poder ser associado, direta ou indiretamente, a um titular, considerados meios razoáveis (art. 5º, XI, e art. 12 da LGPD), aqui realizado mediante chaves unidirecionais e generalização/agregação de atributos, sem identificadores diretos. É condicional: vale enquanto a reidentificação não for razoavelmente possível.

1.10. Legítimo interesse (legitimate interest): base legal do art. 7º, IX, da LGPD, para finalidades legítimas e concretas da controladora, condicionada a teste de balanceamento documentado (art. 10) e a salvaguardas. Não ampara dado pessoal sensível (art. 11).

1.11. Relatório de Legítimo Interesse — LIA (Legitimate Interest Assessment — LIA) ou teste de balanceamento: registro datado exigido pelo art. 10 da LGPD que estrutura finalidade, necessidade, balanceamento e salvaguardas, concluindo, de forma condicionada às salvaguardas, sobre a prevalência ou não dos direitos do titular.

1.12. Direito de oposição (right to object): nos termos do art. 18, §2º, da LGPD, o titular pode opor-se a tratamento realizado com fundamento em hipótese de dispensa de consentimento, em caso de descumprimento ao disposto na LGPD. Independentemente desse direito legal, a Empresa assume, como compromisso contratual e salvaguarda do legítimo interesse, a obrigação de assegurar ao titular o direito de opor-se, a qualquer momento, ao tratamento fundado em legítimo interesse por motivos relacionados à sua situação particular, cessando, nessa hipótese, o tratamento na função de controladora em relação ao titular que se opôs (Seções 7 e 12).

1.13. Requisição de titular — DSAR (data-subject request — DSAR): pedido de exercício dos direitos dos arts. 18 a 22 da LGPD e, separadamente, de oposição (art. 18, §2º), registrado e respondido em prazo legal.

1.14. Cliente / Instituição contratante (Client): qualquer pessoa, natural ou jurídica, que se cadastra na Plataforma e utiliza os Serviços/APIs mediante aceitação dos Termos — dentre outras uma instituição de pagamento, uma credenciadora/adquirente ou uma subadquirente (sub-acquirer) (autorizada ou não pelo Banco Central do Brasil — BCB), um lojista (merchant), ou uma pessoa física (natural person); controladora dos dados de seus portadores de cartão para fins de disputa. Qualquer pessoa com acesso ao site pode cadastrar-se.

1.15. PAN truncado (truncated PAN): o único dado derivado do número do cartão jamais armazenado — o BIN dos 6 primeiros dígitos somado aos 4 últimos dígitos, no máximo. Não existe campo para o número integral do cartão.

1.16. Dados de Autenticação Sensíveis — SAD (Sensitive Authentication Data — SAD): CVV/CVC/CVV2/CVC2/CID/CAV2, trilha magnética completa e PIN/bloco de PIN — vedados de armazenamento à Empresa, sem exceção, ainda que cifrados; rejeitados na borda da Plataforma.

1.17. Transferência internacional de dados (international data transfer): qualquer operação que coloque dados pessoais em infraestrutura fora do território brasileiro, sujeita a mecanismo do art. 33 da LGPD (Seção 9).

1.18. Acordo de Tratamento de Dados — DPA (Data Processing Agreement — DPA): instrumento que rege o tratamento na função de operadora, conforme instruções documentadas do Cliente-controlador (art. 39 da LGPD), e não autoriza o uso próprio (controladora) da Empresa.

1.19. Dados de Chargeback (Chargeback Data): os dados de disputa tratados, conforme enumerados na Seção 4.

1.20. Plataforma e Serviços (Platform / Services): o conjunto de software, API, interface web e infraestrutura fornecido pela Empresa para ingestão, armazenamento, montagem de pacotes de contestação (representment), contestação e resposta a disputas, gestão de reason codes/ARNs e arquivos de evidência de chargebacks.

2. Origem dos dados e a quem esta Política se aplica

2.1. Origem dos dados. Os dados pessoais de portadores de cartão tratados pela Empresa não são coletados diretamente do titular (portador). Eles têm origem nos Clientes (adquirentes, instituições de pagamento, subadquirentes, lojistas e cadastrantes pessoas físicas), que os encaminham à Plataforma no curso das disputas e chargebacks. Esta Política alcança os portadores de cartão por intermédio do Cliente, que detém com eles a relação de consumo.

2.2. Posição do portador. O portador do cartão é terceiro em relação à Empresa e consumidor para os fins do CDC (Súmula 297 do STJ). O acervo de desfechos de disputa pode caracterizar banco de dados de consumidores (art. 43 do CDC), com as consequências indicadas nas Seções 10, 12 e 13.

2.3. Categorias de titulares e função aplicável. Esta Política organiza-se por categoria de titular, indicando a função (operadora ou controladora) aplicável:

(a) Representantes e Usuários Autorizados do Cliente que acessam a API e a interface da Plataforma — dados de cadastro, autenticação e registros de acesso, tratados para viabilizar e proteger o acesso à Plataforma; quanto a esses dados, a Empresa atua predominantemente como controladora dos dados estritamente operacionais de acesso;

(b) Portadores de cartão (os titulares consumidores, alcançados por intermédio do Cliente) — os Dados de Chargeback descritos na Seção 4, tratados na função de operadora quando a serviço do Cliente (Seção 3.1) e na função de controladora quando reutilizados para finalidades próprias da Empresa (Seção 3.2);

(c) Visitantes do site https://sparsu.com — dados estritamente necessários à disponibilização do site e, quando o próprio visitante solicita uma análise, envia uma dúvida contextual sobre um artigo ou preenche o formulário de qualificação comercial, nome, sobrenome, e-mail de trabalho, a mensagem limitada ao tema indicado e as informações profissionais e empresariais estruturadas descritas na Seção 15 para que a Empresa possa avaliar a solicitação e contatá-lo.

2.4. Âmbito territorial. Esta Política trata da disciplina da LGPD e do direito brasileiro aplicável. Quando dados pessoais fluírem para suboperadores sediados nos Estados Unidos, o regime dos Estados Unidos (CCPA/CPRA e a GLBA Safeguards Rule) também se aplica a esse tratamento, conforme detalhado na seção dedicada aos Estados Unidos (Seção 17).

2.5. Crianças, adolescentes e idosos (art. 14 da LGPD). A Plataforma é destinada a uso por pessoas maiores de idade (cadastrantes profissionais e pessoas físicas) e não se dirige à coleta direta de dados de crianças ou adolescentes. Quando dados de portador de cartão encaminhados pelo Cliente disserem respeito a criança ou adolescente, tais dados recebem a proteção especial do art. 14 da LGPD e são tratados no melhor interesse da criança ou do adolescente. Os dados de idosos são tratados como categoria de risco elevado para fins de aferição da gravidade de eventual incidente de segurança (Resolução CD/ANPD nº 15/2024, art. 5º), com as cautelas correspondentes.

3. Agentes de tratamento — as duas funções (operadora e controladora)

A alocação de funções dá-se por finalidade, e não por conjunto de dados. A Empresa atua sob duas funções, mantidas separadas em todo o tratamento.

3.1. A Empresa enquanto OPERADORA

3.1.1. A Empresa atua como operadora (art. 5º, VII, da LGPD) quando trata Dados de Chargeback por conta e segundo as instruções documentadas do Cliente, no âmbito da execução das disputas e chargebacks, nos termos do Acordo de Tratamento de Dados (art. 39 da LGPD).

3.1.2. Nessa hipótese, o Cliente é o controlador: define as finalidades, os meios e o prazo de retenção e responde pela base legal e pelo dever de transparência (art. 9º) perante seus titulares; a Empresa limita-se a cumprir e fazer cumprir tais instruções. A base legal é a execução de contrato (art. 7º, V) e/ou as bases próprias do Cliente (art. 7º, X), repassadas pelo Acordo de Tratamento de Dados.

3.2. A Empresa enquanto CONTROLADORA

3.2.1. A Empresa atua como controladora (art. 5º, VI, da LGPD) quando, determinando de forma independente as finalidades e os meios, reutiliza Dados de Chargeback oriundos do Cliente para finalidades próprias — análise e benchmarking de produto e desenvolvimento, aprimoramento e provisão de seus produtos e serviços (Seções 6 e 7).

3.2.2. Nessa hipótese, o tratamento rege-se por esta Política e por base legal própria da Empresa — o legítimo interesse (art. 7º, IX), avaliado em teste de balanceamento documentado (LIA, art. 10) —, assegurado ao titular o direito de oposição (art. 18, §2º).

3.3. Não erosão da divisão de funções

3.3.1. A base legal de uma função nunca é reaproveitada para justificar a outra. O Acordo de Tratamento de Dados (operadora) não autoriza o uso próprio da Empresa (controladora); e a restrição de finalidade do escopo de operadora não suprime o direito de uso próprio, separadamente divulgado, da controladora.

3.3.2. Onde aplicável a função de controladora, a Empresa reconhece a responsabilidade solidária do art. 42 da LGPD.

3.4. Encaminhamento de requisições conforme a função

3.4.1. Requisições de titular relativas a dados tratados na função de OPERADORA são encaminhadas ao Cliente-controlador, com quem a Empresa coopera. Requisições relativas a dados tratados na função de CONTROLADORA são respondidas diretamente pela Empresa (vide Seções 12 e 13).

3.5. A disciplina do tratamento na função de operadora é detalhada no Acordo de Tratamento de Dados (DPA) por Cliente, referenciado nos Termos de Uso; em caso de conflito que toque dados de portador de cartão, a ordem de precedência prevista nos Termos de Uso (prevalência do instrumento assinado por Cliente) rege a solução.

4. Categorias de dados pessoais tratados

4.1. Na função de operadora e, quando reutilizados, na função de controladora, a Empresa trata as seguintes categorias de Dados de Chargeback no seu repositório operacional:

(a) dados de cartão truncados — BIN dos 6 primeiros dígitos e os 4 últimos dígitos; (b) rede do cartão (ex.: Visa, Mastercard, Elo, Hipercard, Amex); (c) ARN — número de referência do adquirente; (d) código de motivo da disputa — reason code; (e) valor e moeda da transação; (f) nome do estabelecimento — merchant; (g) identificador de dispositivo — device fingerprint; (h) nome, e-mail e fragmento de documento do titular do cartão; (i) status da disputa; (j) fonte/origem do registro — source feed; e (k) metadados de arquivos de evidência — ponteiro de armazenamento, tipo de conteúdo e hash SHA-256.

4.2. O identificador de dispositivo (device fingerprint) é identificador online persistente (art. 5º, I, da LGPD) e está no radar de alto risco da ANPD; é tratado com sinalização de sensibilidade e descartado na fronteira de anonimização (Seção 7).

4.3. Os metadados de arquivos de evidência são governados como dado pessoal porque os arquivos subjacentes contêm, rotineiramente, dados pessoais de portadores de cartão.

4.4. Quanto aos Usuários Autorizados do Cliente, a Empresa trata dados de cadastro, credenciais e registros de acesso à aplicação, na forma das Seções 2.3(a) e 11.

5. Minimização de dados — o que NUNCA é armazenado

5.1. Princípio (art. 6º, III, da LGPD). A Empresa observa o princípio da necessidade, limitando o tratamento ao mínimo indispensável. Quanto ao número do cartão, armazena-se apenas o PAN truncado (BIN dos 6 primeiros somado aos 4 últimos dígitos), no máximo; o número integral do cartão (PAN integral) jamais é armazenado.

5.2. Dados nunca armazenados. A Empresa não armazena, em hipótese alguma, ainda que cifrados:

(a) o número integral do cartão (PAN integral); (b) CVV/CVC/CVV2/CVC2/CID/CAV2 (código de verificação); (c) PIN ou bloco de PIN; (d) trilha magnética completa (track/track1/track2); — itens (b) a (d) constituem Dados de Autenticação Sensíveis (SAD); e (e) CPF/CNPJ integral — apenas um fragmento de até 8 caracteres do documento é tratado.

5.3. Sem segunda representação recombinável. A Empresa não mantém qualquer segunda representação do número do cartão (tais como hash, token ou truncamento alternativo do mesmo PAN) que, somada ao PAN truncado, permita reconstruir o número.

5.4. Salvaguarda do legítimo interesse. A minimização aqui descrita é fato presente e verdadeiro e constitui salvaguarda essencial do teste de balanceamento que fundamenta o uso na função de controladora (Seção 6).

6. Finalidades do tratamento e bases legais (por finalidade)

6.1. A Empresa observa o princípio da finalidade específica (arts. 6º, I, e 9º da LGPD): cada tratamento corresponde a finalidade determinada, não havendo finalidade genérica de “operar a plataforma”. A base legal é atribuída por finalidade.

6.2. Finalidades de operadora.

(a) P1 — Execução do ciclo de vida da disputa: ingerir, armazenar, montar pacotes de contestação, contestar e responder a chargebacks/disputas por conta do Cliente, observando reason codes, ARNs, arquivos de evidência e prazos das bandeiras. (b) P2 — Retenção operacional: manter o registro da disputa pelo tempo necessário ao seu ciclo de vida e à defesa do Cliente.

Base legal de P1 e P2: execução de contrato (art. 7º, V) e/ou bases próprias do Cliente (art. 7º, X), repassadas pelo Acordo de Tratamento de Dados (art. 39). Nessas finalidades, a Empresa é operadora.

6.3. Finalidades de controladora.

(a) P3 — Análise e benchmarking de produto; e (b) P4 — Desenvolvimento, aprimoramento e provisão dos produtos e serviços da Empresa, incluindo modelos analíticos e preditivos de prevenção a fraudes e de gestão de disputas.

A linguagem de divulgação dessas finalidades consta da Seção 7. Base legal de P3 e P4: legítimo interesse (art. 7º, IX), sustentado por teste de balanceamento documentado (LIA, art. 10). Nessas finalidades, a Empresa é controladora, e fica assegurado ao titular o direito de oposição (art. 18, §2º) — vide Seções 7, 12 e 13.

6.4. Consentimento — base rejeitada como espinha dorsal. A Empresa não adota o consentimento como base primária do tratamento, e isso é registrado de forma transparente (art. 6º, X, accountability), pelas razões: (i) inexiste canal direto com os portadores de cartão, terceiros à Empresa; (ii) o consentimento é revogável a qualquer tempo (art. 8º, §5º), o que tornaria o tratamento estruturalmente instável; e (iii) é impraticável e frágil para dados de disputa de cartão encaminhados pelos Clientes, com quem — e não com os portadores — a Empresa mantém relação. O direito de revogação do consentimento é preservado apenas nas hipóteses em que o consentimento venha efetivamente a ser utilizado.

6.5. Dados sensíveis (art. 11). O legítimo interesse não ampara dado pessoal sensível. Dados sensíveis e inferências sensíveis são excluídos do repositório de análise e desenvolvimento de produtos na função de controladora.

6.6. Postura presente e verdadeira. A Empresa descreve compromissos efetivos. O LIA tem caráter condicionado às salvaguardas; parte delas — em especial a anonimização, a exclusão de dados sensíveis, os limites de retenção, a transparência e o fluxo de oposição/requisições — encontra-se em implementação, de modo que a conclusão de legítimo interesse é condicional e não representa afirmação de conformidade plena no momento presente.

7. Desenvolvimento de produtos e a fronteira de anonimização

7.1. Na qualidade de controladora, a Empresa poderá utilizar os Dados de Chargeback para o desenvolvimento, o aprimoramento e a provisão de seus produtos e serviços, incluindo modelos analíticos e preditivos de prevenção a fraudes e de gestão de disputas, bem como para análises e benchmarking de produto. Esse tratamento funda-se no legítimo interesse da Empresa (art. 7º, IX, da LGPD), avaliado em teste de balanceamento documentado (Relatório de Legítimo Interesse — LIA, art. 10), e observa salvaguardas, em especial a minimização dos dados e a anonimização.

7.2. Fronteira de anonimização (art. 12). Os dados poderão ser anonimizados — mediante chaves unidirecionais e generalização/agregação de atributos, sem identificadores diretos — para as finalidades do item 7.1. Uma vez anonimizados, e na medida em que a reidentificação não seja razoavelmente possível pela Empresa por meios disponíveis, tais dados deixam de ser dados pessoais e ficam fora do âmbito da LGPD (art. 12).

7.3. Caráter condicional. O efeito de exclusão do âmbito da LGPD é condicionado à impossibilidade razoável de reidentificação; a Empresa não declara irreversibilidade absoluta ou permanente. Identificadores de maior cardinalidade — em especial o identificador de dispositivo, o ARN e os valores exatos — são descartados ou generalizados na fronteira de anonimização, por elevarem o risco de reidentificação.

7.4. Direito de oposição. Nos termos do art. 18, §2º, da LGPD, o titular pode opor-se a tratamento realizado com fundamento em hipótese de dispensa de consentimento, em caso de descumprimento ao disposto na LGPD. Independentemente do disposto no art. 18, §2º, a Empresa assegura ao titular, como salvaguarda do legítimo interesse, o direito de, a qualquer momento, opor-se a esse tratamento por motivos relacionados à sua situação particular, por meio do canal do Encarregado, hipótese em que tal tratamento cessará em relação ao titular que se opôs.

8. Compartilhamento e destinatários

8.1. Os Dados de Chargeback têm origem nos Clientes (adquirentes, instituições de pagamento, subadquirentes, lojistas e cadastrantes pessoas físicas) e poderão ser compartilhados com suboperadores e demais destinatários estritamente para a prestação dos Serviços e, na função de controladora, para as finalidades próprias da Empresa (Seções 6 e 7), sempre indicada a finalidade do compartilhamento.

8.2. Categorias de destinatários. Sem prejuízo da indicação por Cliente, os destinatários enquadram-se nas seguintes categorias de suboperadores: provedores de infraestrutura em nuvem, armazenamento de objetos, armazenamento de evidências e de e-mail, e hospedagem de modelos analíticos. O regime desses suboperadores — registro interno e flow-down de obrigações — é disciplinado nos Termos de Uso e no Acordo de Tratamento de Dados.

8.3. Divulgação a terceiros somente por ordem judicial. Registros armazenados, dados pessoais e conteúdo de comunicações somente são disponibilizados a terceiros mediante ordem judicial válida (arts. 7º, II e III, e 10, §§1º e 2º, do Marco Civil da Internet — Lei nº 12.965/2014), ressalvadas as comunicações ao próprio titular e às autoridades competentes nos termos da lei.

9. Transferência internacional de dados

9.1. Residência no Brasil por padrão. Os dados pessoais são tratados e armazenados em território brasileiro por padrão.

9.2. Mecanismos do art. 33. Qualquer transferência internacional — a exemplo de transferências transfronteiriças a suboperadores de LLM/OCR sediados nos Estados Unidos, ou a suboperadores localizados na União Europeia ou no Espaço Econômico Europeu (EEE) — ocorre apenas sob mecanismo do art. 33 da LGPD:

(a) cláusulas-padrão contratuais (Resolução CD/ANPD nº 19/2024) para destinos sem decisão de adequação; e (b) decisão de adequação para a União Europeia / EEE (Resolução CD/ANPD nº 32/2026), quando o destino integrar o escopo dessa resolução.

9.3. Não confusão entre mecanismos. Os mecanismos do item 9.2 não se confundem. A Empresa não trata como adequados, para esse fim, Reino Unido, Suíça ou região fora do EEE de fornecedor europeu, nem invoca a adequação da União Europeia antes da existência de fluxo efetivo para destino do respectivo escopo.

9.4. Datas e numeração. As resoluções são citadas por nome abreviado; datas de publicação e numeração interna de artigos sujeitam-se a confirmação pela assessoria jurídica, não sendo aqui afirmadas como definitivas.

9.5. Segredos e credenciais. A guarda de segredos e credenciais operacionais (a exemplo de chaves e strings de conexão) em serviço de terceiro fora do Brasil não constitui transferência internacional de dados pessoais, por se tratar de credenciais, e não de dados de titulares; os dados pessoais operacionais permanecem residentes no Brasil.

10. Prazo de retenção e eliminação

10.1. Horizonte padrão. Cada registro de dados pessoais carrega um horizonte de retenção (data de expiração de cada registro); não há retenção por prazo indeterminado. O horizonte padrão é de cerca de 5 (cinco) anos, ancorado no teto de registros de consumidor do art. 43 do CDC e no ciclo de vida da disputa, findo o qual o dado é eliminado ou anonimizado. Esse prazo é um padrão ajustável na política de retenção, e não um valor absoluto.

10.2. Horizontes específicos. Não se aplica prazo único: (a) os registros de acesso à aplicação (Marco Civil) são mantidos por no mínimo 6 (seis) meses, sob sigilo; e (b) os artefatos de conformidade são mantidos por no mínimo 5 (cinco) anos.

10.3. Regras do CDC sobre informação negativa. Na medida em que o acervo caracterize banco de dados de consumidores (art. 43 do CDC) — caracterização a confirmar com a assessoria jurídica —, observam-se as seguintes regras:

(a) informação negativa de desfecho de disputa (a exemplo de chargeback perdido ou fraude confirmada) vinculada a um portador não é mantida nem disponibilizada em contexto cadastral ou de score além de 5 (cinco) anos (art. 43, §1º); e (b) consumada a prescrição relativa à cobrança, não se disponibiliza informação que impeça ou dificulte novo acesso ao crédito (art. 43, §5º).

10.4. Eliminação. A eliminação ocorre ao término da finalidade, por requisição de titular e por determinação da ANPD, alcançando o repositório primário e, quando viável, os conjuntos de dados derivados.

10.5. Comunicação prévia de abertura de registro (art. 43, §2º, do CDC). Os registros de disputa são, por sua natureza, abertos sem solicitação do portador. Nessa hipótese, o art. 43, §2º, do CDC exige a comunicação prévia, por escrito, ao consumidor sobre a abertura do registro. Essa comunicação é prestada por intermédio da instituição Cliente, que detém a relação de consumo com o portador (em coerência com o encaminhamento na função de operadora descrito na Seção 3.4); a Empresa coopera com o Cliente para viabilizá-la.

11. Segurança da informação

11.1. A Empresa adota e/ou implementa as seguintes medidas técnicas e administrativas de segurança aptas a proteger os dados pessoais (arts. 46 a 49 da LGPD; art. 7º, VIII, e art. 10, §4º, do Marco Civil; arts. 13 e 16 do Decreto nº 8.771/2016). Parte destes controles encontra-se em implementação, em coerência com o disposto na Seção 6.6, não se afirmando que a totalidade do conjunto esteja plenamente operacional no presente momento:

(a) minimização na ingestão e truncamento do PAN (Seção 5); (b) criptografia em trânsito (TLS) e em repouso, com gestão de chaves; (c) controle de acesso baseado em papéis e menor privilégio; (d) autenticação multifator (MFA) no acesso a dados pessoais; (e) registro de auditoria com inventário detalhado de acessos (identificação do agente, data/hora e recurso acessado); e (f) segregação lógica por Cliente.

11.2. Tais medidas são apresentadas como adotadas e/ou em implementação pela Empresa.

11.3. A chave secreta de anonimização e os demais segredos nunca são registrados em log.

12. Direitos do titular

12.1. A Empresa assegura ao titular o exercício dos direitos previstos nos arts. 18 a 22 da LGPD, em especial:

(a) confirmação da existência de tratamento e acesso aos dados (art. 18, I e II); (b) correção de dados incompletos, inexatos ou desatualizados (art. 18, III); (c) anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade (art. 18, IV); (d) portabilidade (art. 18, V); (e) eliminação dos dados tratados com consentimento (art. 18, VI); (f) informação sobre o compartilhamento (art. 18, VII); (g) informação sobre a possibilidade de não consentir e sobre as consequências da negativa (art. 18, VIII); e (h) revogação do consentimento (art. 18, IX), quando o consentimento for a base utilizada.

A numeração dos incisos do art. 18 acima indicada está sujeita a confirmação pela assessoria jurídica em face do texto consolidado vigente, de modo que eventual renumeração ou revisão não afete a substância dos direitos assegurados. A forma e o prazo de confirmação e acesso regem-se, ademais, pelo art. 19 da LGPD (Seção 13).

12.2. Direito de oposição (art. 18, §2º) — destaque. Nos termos do art. 18, §2º, da LGPD, o titular pode opor-se a tratamento realizado com fundamento em hipótese de dispensa de consentimento, em caso de descumprimento ao disposto na LGPD. Separadamente, e independentemente do disposto naquele dispositivo, a Empresa assegura ao titular, como compromisso contratual e salvaguarda do legítimo interesse, o direito de, a qualquer momento, opor-se ao tratamento fundado em legítimo interesse por motivos relacionados à sua situação particular. Exercida a oposição, o tratamento na função de controladora (finalidades P3 e P4) cessa em relação ao titular que se opôs. Esse direito é divulgado e atendido de forma autônoma, ainda que não corresponda a um dos tipos de requisição atualmente catalogados no sistema.

12.3. Consequências de não fornecer dados (art. 9º, II). De forma transparente: (a) quanto aos dados tratados na função de operadora, o portador não fornece dados diretamente à Empresa — os dados são encaminhados pelo Cliente —, de modo que não há “negativa” oponível à Empresa; e (b) quanto ao tratamento na função de controladora, o instrumento de controle disponível ao titular é o direito de oposição (art. 18, §2º), e não a recusa de consentimento.

12.4. Camada consumerista (CDC). Adicionalmente, o portador, na condição de consumidor: (a) tem direito de acesso aos dados mantidos e às suas fontes (art. 43, caput, do CDC); e (b) pode exigir correção, com comunicação aos eventuais destinatários da informação corrigida no prazo de 5 (cinco) dias úteis (art. 43, §3º) — prazo mais curto e estrito do que o padrão da LGPD, alcançando os conjuntos de dados e atributos derivados.

12.5. Petição e reclamação. O titular pode peticionar em relação aos seus dados perante a Empresa e apresentar reclamação à ANPD (art. 18, caput, e §1º, da LGPD); na condição de consumidor, pode ainda recorrer aos órgãos de defesa do consumidor (a exemplo do Procon).

12.6. Direito do Marco Civil. Sem prejuízo do direito de eliminação da LGPD, o titular tem direito à exclusão definitiva dos dados pessoais ao término da relação, mediante requisição, ressalvadas as hipóteses de guarda obrigatória (art. 7º, X, do Marco Civil).

12.7. Exercício por função. Quanto aos dados tratados na função de operadora, os direitos são exercidos por intermédio do Cliente-controlador, com quem a Empresa coopera; quanto aos dados tratados na função de controladora, diretamente perante a Empresa (Seção 13).

12.8. Decisões automatizadas. O titular pode solicitar revisão de decisões automatizadas (art. 20 da LGPD). Esclarece-se que os resultados dos modelos analíticos e preditivos da Empresa dizem respeito à disputa, e não constituem decisão automatizada que produza efeitos jurídicos ou impacto significativo sobre a pessoa do portador.

13. Como exercer os direitos

13.1. Canal único. As requisições de exercício de direitos devem ser dirigidas ao Encarregado pelo e-mail comercial@sparsu.com.

13.2. Verificação de identidade. A Empresa adota etapa de verificação de identidade do requerente e admite o exercício por representante devidamente autorizado.

13.3. Prazo de resposta. A Empresa responde no prazo legal: pode fornecer resposta imediata e simplificada ou resposta completa no prazo legal aplicável (art. 19, §2º, da LGPD). Para correções, observa-se ainda o prazo mais estrito de 5 (cinco) dias úteis do CDC (art. 43, §3º) para a comunicação aos destinatários da informação corrigida, alcançando os conjuntos de dados derivados. O número exato de dias do prazo geral da LGPD será informado conforme a disciplina legal vigente.

13.4. Caminho direto ou via Cliente. Por ser o portador terceiro alcançado por intermédio do Cliente, o exercício de direitos pode dar-se diretamente perante a Empresa (dados tratados na função de controladora) ou por intermédio do Cliente (dados tratados na função de operadora), com a respectiva alocação de responsabilidade indicada na Seção 3.4.

13.5. Recusas e abrangência. Eventuais recusas são registradas com a respectiva justificativa. O atendimento alcança o repositório primário e, quando viável, os conjuntos de dados derivados.

14. Encarregado pelo Tratamento de Dados (DPO)

14.1. Indicação pendente. O Encarregado da Empresa encontra-se a nomear. Até a nomeação, o e-mail comercial@sparsu.com é utilizado como canal designado, não havendo, no presente momento, indicação de pessoa determinada.

14.2. Canal unificado. O mesmo contato constitui o canal para (a) comunicações dos titulares, (b) comunicações com a ANPD (art. 41 da LGPD) e (c) comunicações de incidentes de segurança (Resolução CD/ANPD nº 15/2024).

15. Cookies e tecnologias de rastreamento

15.1. Na presente data, o site https://sparsu.com utiliza apenas cookies estritamente necessários ao seu funcionamento. Caso venham a ser utilizados cookies não essenciais ou outras tecnologias de rastreamento, esta Seção será atualizada com a respectiva descrição e, quando exigível, com a coleta do consentimento do titular. Em qualquer hipótese, a Empresa não armazena registros de acesso a outras aplicações de internet sem o consentimento do titular (art. 16, I, do Marco Civil).

15.2. Armazenamento local estritamente funcional. Adicionalmente aos cookies acima, o formulário de análise do site utiliza armazenamento local do navegador (sessionStorage), limitado à guarda temporária do que o próprio visitante digita — nome, sobrenome e e-mail de trabalho —, para que o preenchimento não se perca ao fechar acidentalmente um painel, ao seguir um link ou ao recarregar a página. Esses dados permanecem no navegador do visitante, não são transmitidos à Empresa por esse mecanismo de armazenamento local e não são utilizados para rastreamento, perfilamento, publicidade ou qualquer forma de identificação entre sites. O conteúdo guardado tem validade de 5 (cinco) minutos, contados da última digitação; decorrido esse prazo, ele é descartado no primeiro carregamento de página seguinte e nunca é reutilizado para preencher formulários. O armazenamento é vinculado à aba do navegador e não é compartilhado com outras abas; a Empresa esclarece, contudo, que o navegador pode preservá-lo em disco para restaurar a sessão após o fechamento ou a falha de uma aba, hipótese em que o prazo de 5 (cinco) minutos acima continua a ser aplicado na leitura. Arquivos anexados não são armazenados por este mecanismo, em nenhuma hipótese. Nos formulários de qualificação comercial e de dúvida contextual do blog, nenhuma resposta — inclusive nome, sobrenome, e-mail e mensagem — é gravada em sessionStorage: o preenchimento permanece apenas na página atual até o envio ou a saída do visitante. A transmissão independente dos dados é descrita a seguir.

15.3. Contato para retorno da análise. Ao preencher nome, sobrenome e e-mail de trabalho na seção “Para receber o retorno”, o visitante é informado, junto aos próprios campos, de que esses três dados serão enviados à Empresa assim que estiverem completos e válidos e houver uma breve pausa na digitação — ou quando o visitante deixar a página —, mesmo sem acionar o botão final. A finalidade exclusiva é responder ao pedido de análise e conduzir os procedimentos preliminares solicitados pelo próprio visitante; a Empresa atua como controladora, com base no art. 7º, V, da LGPD. A consequência de não fornecer os três campos é apenas não receber esse contato.

15.4. Qualificação comercial. Nos botões “Falar sobre minha operação” e “Fale conosco”, o visitante pode enviar, além de nome, sobrenome e e-mail corporativo, os seguintes dados: nome e site opcional da empresa, cargo ou função, perfil da operação, porte da empresa e faixas mensais de quantidade e valor de chargebacks. A opção “Outro” para o perfil da operação abre um campo de texto com cinco linhas visíveis e limite de 1.000 caracteres. Esses dados só são transmitidos quando o visitante aciona “Enviar informações”. A finalidade é compreender a solicitação, preparar o contato comercial e ordenar internamente o acompanhamento; a Empresa atua como controladora, com base no art. 7º, V, da LGPD. Uma pontuação interna é calculada a partir das respostas estruturadas para apoiar a ordem de revisão humana, sem rejeição automática, mensagem de desqualificação ou efeito jurídico ou significativo para o visitante. A consequência de não fornecer os campos obrigatórios é apenas não conseguir enviar este pedido.

15.5. Dúvida contextual em artigo. Em artigos que ofereçam esse contato, o visitante pode enviar nome, sobrenome, o e-mail informado no campo “E-mail corporativo” e uma mensagem editável limitada a 500 caracteres, acompanhada de um tema fixo que identifica o artigo. A validação técnica confirma o formato do e-mail, mas não verifica se o domínio é corporativo. A mensagem começa preenchida com o contexto do conteúdo e só é transmitida quando o visitante aciona “Enviar mensagem”. O formulário orienta o visitante a não inserir número completo do cartão, CVV, PIN, documentos ou dados do portador; o backend rejeita padrões de dados de autenticação sensíveis e número completo de cartão antes de encaminhar a notificação. Esse filtro não identifica todas as categorias possíveis de dados pessoais em texto livre. A finalidade exclusiva é compreender e responder à dúvida solicitada; a Empresa atua como controladora, com base no art. 7º, V, da LGPD. A consequência de não fornecer os campos obrigatórios é apenas não conseguir enviar o pedido.

15.6. Esses fluxos não oferecem upload nem leem planilhas, PDFs ou documentos e não solicitam campos estruturados de Dados de Chargeback. O site envia os campos descritos nas Seções 15.3 a 15.5, o idioma e a identificação fixa da origem ao backend da Empresa; no formulário do blog, também envia o tema fixo e a mensagem limitada. Por ser editável, a mensagem pode conter informação alheia à finalidade inserida pelo próprio visitante. Ela é tratada como texto livre pessoal, e a orientação do formulário continua aplicável mesmo com o filtro de PAN e dados de autenticação sensíveis. O backend encaminha a notificação e, no fluxo comercial, a priorização interna para uma caixa interna fixa por meio do provedor de e-mail transacional Resend. Para limitar abuso, o código da aplicação mantém por até 1 (uma) hora, apenas em memória, um resumo pseudonimizado e autenticado derivado do IP da conexão; o IP bruto não é persistido por este fluxo no código da aplicação. Envios idênticos são identificados, também somente por resumo autenticado em memória, por até 24 (vinte e quatro) horas.

15.7. A notificação na caixa interna é conservada por até 6 (seis) meses após o último contato relacionado ao pedido, salvo necessidade de prazo menor, exercício de direito do titular ou obrigação legal específica. O Resend documenta retenção padrão de dados de e-mail por 30 (trinta) dias e armazenamento de metadados, registros e dados de API nos Estados Unidos; essa transferência internacional é registrada no ROPA da Empresa e se submete às salvaguardas do art. 33 da LGPD descritas na Seção 9. O visitante pode exercer os direitos da Seção 12 pelo canal da Seção 13.

16. Alterações desta Política

16.1. A Empresa pode revisar esta Política, mediante aviso por meio de https://sparsu.com, indicando a respectiva data de vigência. Esta Política descreve apenas a realidade presente do tratamento, não contendo previsões especulativas sobre finalidades ou produtos futuros.

16.2. Alterações materiais são comunicadas; a continuidade da relação após a vigência da nova versão implica ciência das alterações.

17. Regime dos Estados Unidos (CCPA/CPRA e GLBA) — compromissos ativos

Esta Seção rege o tratamento de dados pessoais que se realiza sob, ou que flui para, o regime legal dos Estados Unidos, como compromisso ativo do go-to-market da Empresa. Complementa, e não substitui, o regime da LGPD acima descrito; quando o regime dos Estados Unidos se aplicar a determinado tratamento, ambos os regimes se aplicam cumulativamente. Esses compromissos são substanciados pelos registros internos de conformidade da Empresa relativos à CCPA, à GLBA e ao FTC Act, disponíveis a clientes e reguladores mediante solicitação.

17.1. Divulgação explícita do treinamento de modelos de ML/IA

17.1.1. Sim — a Empresa treina seus próprios modelos sobre os Dados de Chargeback. De forma direta e sem eufemismo: a Empresa reutiliza os Dados de Chargeback que armazena permanentemente para treinar seus próprios modelos de aprendizado de máquina, especificamente modelos de triagem de disputas (dispute-triage, que classificam e encaminham as disputas) e modelos de probabilidade de êxito (win-probability, que estimam a probabilidade de uma contestação bem-sucedida). Trata-se de finalidade secundária da Empresa, em benefício próprio, distinta da condução de disputas por conta do Cliente.

17.1.2. Finalidade. A finalidade desse treinamento é desenvolver, aprimorar e prover os produtos e serviços da Empresa de triagem e gestão de disputas, conforme já descrito nas Seções 6.3 (P4) e 7. Os resultados dos modelos dizem respeito à disputa, e não à pessoa do portador (Seção 12.8).

17.1.3. Salvaguarda de anonimização. Esse treinamento observa a fronteira de anonimização da Seção 7.2: identificadores de maior cardinalidade (em especial o identificador de dispositivo, o ARN e os valores exatos) são descartados ou generalizados, e os dados são anonimizados mediante chaves unidirecionais e generalização/agregação de atributos, na medida em que a reidentificação não seja razoavelmente possível (art. 12 da LGPD). Dados sensíveis e inferências sensíveis são excluídos do repositório de treinamento (Seções 6.5 e 7.1). O caráter condicional da anonimização declarado na Seção 7.3 aplica-se aqui integralmente.

17.2. Determinação de controladora / “business” para o uso de ML

17.2.1. Para o uso de treinamento de modelos descrito na Seção 17.1, a Empresa é controladora independente sob a LGPD e firma a determinação de que é uma “business” sob a CCPA/CPRA (Cal. Civ. Code §1798.140(d)) — a entidade que determina as finalidades e os meios desse tratamento. A Empresa não invoca o abrigo de prestadora de serviços (service provider/contractor) para esse uso próprio de ML; tal abrigo fica reservado ao trabalho de disputa que realiza por conta do Cliente, regido pelo Acordo de Tratamento de Dados que carrega a certificação de service provider/contractor da CCPA em vigor. A confusão entre as duas vias é expressamente rejeitada (Seção 3.3).

17.3. Direitos do consumidor sob a CCPA/CPRA

17.3.1. Em relação às informações pessoais de consumidores da Califórnia (portadores de cartão) tratadas pela Empresa como business, a Empresa honra os seguintes direitos:

(a) Direito de saber / acesso — saber as categorias e os itens específicos de informações pessoais coletados, as fontes, as finalidades (incluindo a finalidade de uso próprio de ML) e as categorias de destinatários (Cal. Civ. Code §§1798.100, .110, .115); (b) Direito de eliminação (§1798.105) — propagado ao repositório primário e, quando viável, aos conjuntos de dados de ML derivados; (c) Direito de correção (§1798.106) — alcançando o repositório de disputas e quaisquer atributos derivados; (d) Direito de opt-out de venda/compartilhamento (§§1798.120, .135) — a Empresa não vende e não compartilha informações pessoais para publicidade comportamental entre contextos, e mantém, de todo modo, um mecanismo “Não Vender ou Compartilhar Minhas Informações Pessoais”; (e) Direito de limitar o uso de informações pessoais sensíveis (SPI) (§1798.121) — o PAN truncado, os fragmentos de conta financeira do portador e os fragmentos de documento são tratados como SPI, e o fluxo SPI→ML é restringido de modo que o uso de SPI não escape à limitação; (f) Global Privacy Control (GPC) — a Empresa honra os sinais GPC de navegador/agente como opt-out vinculante de venda/compartilhamento, de forma determinística (sem modelo no laço), como mecanismo obrigatório (§1798.135(b)).

17.4. Direitos do titular sob a LGPD (referência cruzada)

17.4.1. Os direitos do titular previstos nos arts. 18 a 22 da LGPD — confirmação/acesso, correção, anonimização/bloqueio/eliminação, portabilidade, informação sobre compartilhamento, revogação do consentimento e o direito de oposição ao tratamento fundado em legítimo interesse (art. 18, §2º) — são assegurados integralmente conforme a Seção 12, e exercidos pelo canal da Seção 13. O exercício desses direitos não é reduzido pela aplicação cumulativa do regime dos Estados Unidos.

17.5. Tratamento de dados pessoais sensíveis / financeiros

17.5.1. A Empresa trata o PAN truncado, os fragmentos de conta financeira do portador e os fragmentos de documento como informações pessoais sensíveis para fins da CCPA/CPRA e como informações pessoais não públicas (NPI) para fins da GLBA Safeguards Rule (15 U.S.C. §§6801–6809; 16 CFR Part 314). A Empresa adota um programa escrito de segurança da informação que satisfaz a Safeguards Rule tanto na leitura de prestadora de serviços quanto na de instituição financeira, sobreposto às medidas de segurança da Seção 11. A postura de minimização de dados da Seção 5 (sem PAN integral, sem SAD) é salvaguarda essencial também aqui.

17.6. Transferências internacionais Estados Unidos ↔ Brasil

17.6.1. Os dados pessoais são residentes no Brasil por padrão (Seção 9.1). Quando dados fluírem para suboperadores sediados nos Estados Unidos (em especial os contemplados suboperadores de LLM/OCR), essa transferência ocorre apenas sob mecanismo do art. 33 da LGPD (Seção 9.2(a) — cláusulas-padrão contratuais) e está simultaneamente sujeita ao regime dos Estados Unidos descrito nesta Seção. Transferências de retorno dos Estados Unidos ao Brasil seguem o mesmo padrão de residência brasileira.

17.7. Substanciação sob o FTC Act §5

17.7.1. As divulgações desta Seção são feitas para serem específicas, atuais e substanciadas pelo tratamento interno da Empresa, em coerência com a Seção 5 do FTC Act (15 U.S.C. §45) e com a postura de algorithmic disgorgement da FTC, substanciada pelos registros internos de conformidade da Empresa relativos ao FTC Act. As salvaguardas marcadas como em implementação nas Seções 6.6, 7.3 e 11.1 permanecem assim marcadas aqui; a Empresa não afirma em excesso uma salvaguarda ainda não construída.

17.8. Contato

17.8.1. Requisições e comunicações sob o regime dos Estados Unidos são dirigidas ao mesmo canal unificado das requisições da LGPD: o e-mail comercial@sparsu.com (Seções 13 e 14). [CONFIRM: se é exigido um contato de privacidade voltado aos Estados Unidos ou método de discagem gratuita próprio para o notice-at-collection da CCPA — a confirmar com a assessoria jurídica.]

18. Legislação aplicável e contato

18.1. Lei aplicável. Esta Política rege-se pela legislação brasileira, em especial a LGPD (Lei nº 13.709/2018); a ANPD é a autoridade competente. O regime dos Estados Unidos da Seção 17 aplica-se cumulativamente ao tratamento que descreve.

18.2. Contato. Encarregado: a nomear; canal: comercial@sparsu.com. Controladora: Sparsu, conduzida por Antônio Amaral Egydio Martins (pessoa jurídica em constituição), com domicílio em São Paulo/SP.

18.3. Prevalência e vigência. Reafirma-se que a versão em português prevalece sobre qualquer tradução em caso de divergência. Última atualização: 2026-07-24.

Esta Política integra e é referenciada pelos Termos de Uso da Plataforma. A versão em português é a única vinculante; a versão em inglês é tradução fiel para conveniência do leitor.