Termos de Uso da Plataforma

Última atualização: 2026-06-16 Data de vigência: 16 de junho de 2026

Estes Termos de Uso (“Termos”) regem o acesso e a utilização da Plataforma e dos Serviços disponibilizados por Sparsu, plataforma conduzida por Antônio Amaral Egydio Martins, pessoa física, com domicílio na cidade de São Paulo/SP, atualmente em fase de constituição de pessoa jurídica, doravante denominada “Empresa”, pelo Cliente — pessoa física ou jurídica — e por seus Usuários Autorizados. Enquanto não concluída a constituição da pessoa jurídica, as obrigações da Empresa são assumidas pela pessoa física acima identificada; uma vez constituída a sociedade, estes Termos serão atualizados para refletir a respectiva razão social e o número de inscrição no CNPJ.

Idioma e prevalência. A versão em português (pt-BR) destes Termos é a única versão vinculante e prevalece sobre qualquer tradução para o inglês ou para outro idioma em caso de divergência. A tradução é fornecida apenas para conveniência.

1. Aceitação, objeto e documentos incorporados

1.1. Objeto. Estes Termos constituem o contrato que rege o fornecimento, pela Empresa ao Cliente — pessoa física ou jurídica —, da Plataforma e dos Serviços de dados e disputa de chargeback descritos na Cláusula 3.

1.2. Aceitação. A aceitação destes Termos vincula o Cliente — pessoa física ou jurídica — a partir do primeiro acesso ou da primeira utilização da Plataforma, por si e por seus Usuários Autorizados. Ao acessar ou utilizar a Plataforma, o Cliente declara ter lido, compreendido e aceitado integralmente estes Termos.

1.3. Incorporação da Política de Privacidade. A Política de Privacidade da Empresa, disponível em https://dispute.sparsu.com, integra estes Termos por referência. A aceitação destes Termos importa na aceitação da Política de Privacidade, que constitui o aviso de privacidade exigido pelo art. 9 da Lei nº 13.709/2018 (“LGPD”).

1.4. Acordo de Tratamento de Dados (DPA). O tratamento de dados pessoais realizado pela Empresa por conta e segundo as instruções documentadas do Cliente, no escopo de operadora, rege-se pelo Acordo de Tratamento de Dados (DPA) celebrado com cada Cliente, nos termos do art. 39 da LGPD. Quando o Cliente for instituição regulada pelo BCB, o DPA carrega adicionalmente o conjunto de cláusulas exigido pelo art. 17 da Resolução BCB nº 85/2021 (e, para clientes bancários, da Resolução CMN nº 4.893/2021).

1.5. Ausência de cláusulas financeiras. Estes Termos não estabelecem preços, tarifas, contraprestações ou condições de pagamento. Na presente versão, os Serviços não comportam cobrança; eventuais condições comerciais, se vierem a existir, serão objeto de instrumento próprio acordado separadamente entre as partes.

2. Definições

Para os fins destes Termos, os termos a seguir, quando grafados com inicial maiúscula, têm os significados abaixo. Os termos vinculantes em português são “operador” e “controlador”; as expressões “operator”/“processor” e “controller” ficam reservadas à tradução.

2.1. Plataforma: o conjunto de software, API, interface web e infraestrutura fornecido pela Empresa para ingestão, armazenamento, montagem de pacotes de representment e gestão de chargebacks e disputas.

2.2. Serviços: as funcionalidades de dados e de disputa de chargeback disponibilizadas por meio da Plataforma — ingestão, montagem de pacotes de representment, contestação e resposta a disputas, gestão de reason codes/ARNs e de arquivos de evidência.

2.3. API: a interface HTTP/JSON por meio da qual o Cliente integra-se à Plataforma, eventualmente acessada também por interface web.

2.4. Cliente (ou Instituição contratante, quando pessoa jurídica): a pessoa, física ou jurídica, que se cadastra na Plataforma e utiliza os Serviços e/ou as APIs mediante aceite destes Termos. O Cliente pode ser, entre outros, uma instituição de pagamento, uma credenciadora/adquirente ou uma subadquirente — autorizada ou não pelo Banco Central do Brasil (“BCB”) —, um lojista/estabelecimento, ou uma pessoa física. Qualquer pessoa com acesso ao website pode cadastrar-se. O Cliente é o controlador dos dados de seus portadores de cartão para fins de disputa. Quando o Cliente for instituição regulada pelo BCB, aplicam-se adicionalmente as cláusulas de pass-through regulatório cabíveis destes Termos e do DPA.

2.5. Usuários Autorizados: os colaboradores ou representantes do Cliente por ele autorizados a acessar a Plataforma sob as credenciais do Cliente, por cujos atos o Cliente responde.

2.6. Titular ou Portador do cartão: a pessoa natural a quem se referem os dados pessoais tratados — o portador do cartão cuja disputa o Cliente encaminha à Plataforma, terceiro em relação à Empresa e consumidor para os fins do Código de Defesa do Consumidor (“CDC”, Lei nº 8.078/1990; Súmula 297/STJ). O Titular não é usuário da Plataforma.

2.7. Operadora: a Empresa, quando realiza o tratamento de dados pessoais em nome do Cliente-controlador e segundo suas instruções documentadas (art. 5, VII, da LGPD).

2.8. Controladora: a Empresa, quando, determinando de forma independente as finalidades e os meios, reutiliza os Dados de Chargeback oriundos do Cliente para finalidades próprias (art. 5, VI, da LGPD).

2.9. Acordo de Tratamento de Dados (DPA): o instrumento que rege o tratamento no escopo de operadora, conforme as instruções documentadas do Cliente-controlador (art. 39 da LGPD), e que, quando o Cliente for instituição regulada pelo BCB, carrega o conjunto de cláusulas do art. 17 da Resolução BCB nº 85/2021; não autoriza o uso próprio (controladora) da Empresa.

2.10. Dados de Chargeback: os dados de disputa tratados na Plataforma — rede, PAN truncado (BIN dos 6 primeiros + 4 últimos dígitos), ARN, reason code, valor, moeda, nome do estabelecimento, nome, e-mail e fragmento de documento do portador, identificador de dispositivo, status, fonte do registro e metadados de evidência — sem CVV/CVC, PIN, trilha magnética completa ou PAN integral.

2.11. Dados de Autenticação Sensíveis (SAD): o código de verificação do cartão (CVV/CVC/CVV2/CVC2/CID/CAV2), a trilha magnética completa e o PIN/PIN block — dados cujo armazenamento é vedado a todos, exceto emissores; a Empresa não é emissora e não os armazena, sem exceção, ainda que cifrados.

2.12. Subcontratado ou Suboperador: o terceiro contratado pela Empresa, sob obrigações de repasse (flow-down), para parte do serviço (nuvem, armazenamento de objetos, hospedagem de modelo, armazenamento de evidência/e-mail), registrado no cadastro interno da Empresa.

2.13. Incidente de Segurança: o evento que afete dados do Cliente, sujeito a notificação ao Cliente e ao regime da Resolução CD/ANPD nº 15/2024.

2.14. Residência de Dados: o compromisso de que todo armazenamento e processamento de Dados de Chargeback permanece no Brasil, ressalvadas as transferências internacionais realizadas sob mecanismo do art. 33 da LGPD.

2.15. Encarregado: a pessoa indicada como canal de comunicação entre a Empresa, os titulares e a Autoridade Nacional de Proteção de Dados (“ANPD”), nos termos do art. 41 da LGPD; também o contato para Incidentes de Segurança. A nomear — escreva para comercial@sparsu.com.

3. Descrição da Plataforma e dos Serviços

3.1. A Plataforma é uma API de dados e disputa de chargeback, fornecida como interface HTTP/JSON acrescida de interface web, que provê: (a) a ingestão de registros de chargeback/disputa; (b) o armazenamento de tais registros; (c) a montagem de pacotes de representment; (d) a contestação e a resposta a disputas; (e) a gestão de reason codes, ARNs e arquivos de evidência.

3.2. Realidade presente. Estes Termos descrevem exclusivamente a realidade presente dos Serviços. A Empresa não assume, por estes Termos, qualquer obrigação relativa a funcionalidades, produtos ou usos de dados futuros e ainda inexistentes.

4. Elegibilidade e Usuários Autorizados

4.1. Elegibilidade. A Plataforma é aberta ao cadastro self-serve: qualquer pessoa, física ou jurídica — inclusive instituições de pagamento, credenciadoras/adquirentes, subadquirentes (autorizadas ou não pelo BCB), lojistas/estabelecimentos e pessoas físicas — pode cadastrar-se e utilizá-la, juntamente com seus Usuários Autorizados. Quando o Cliente for instituição regulada pelo BCB, aplicam-se adicionalmente a ele as disposições de pass-through regulatório destes Termos.

4.2. Responsabilidade pelos Usuários Autorizados. O Cliente é responsável pelos atos de seus Usuários Autorizados e pela observância destes Termos por parte deles.

4.3. Titulares são terceiros. Os Titulares (portadores de cartão) são terceiros em relação à Empresa e não são usuários da Plataforma; o acesso à Plataforma é restrito ao Cliente e a seus Usuários Autorizados.

5. Conta, acesso à API e segurança de credenciais

5.1. Dever de guarda. O Cliente e seus Usuários Autorizados devem proteger as chaves de API e demais credenciais de acesso, mantê-las em sigilo, observar o princípio do menor privilégio na sua atribuição e responder por toda atividade realizada sob suas credenciais.

5.2. Comprometimento de credenciais. O Cliente deve comunicar à Empresa, sem demora, qualquer perda, comprometimento ou uso não autorizado de credenciais.

5.3. Medidas da Empresa. A Empresa, de seu lado, impõe criptografia em trânsito (TLS) e em repouso, com gestão de chaves documentada, e segregação lógica por Cliente, vedado o compartilhamento de dados entre Clientes distintos, nos termos da Cláusula 15 (Confidencialidade).

6. Uso aceitável e proibições

6.1. Vedação a Dados de Autenticação Sensíveis (SAD). É vedado ao Cliente submeter à Plataforma quaisquer Dados de Autenticação Sensíveis — CVV/CVC, PIN, trilha magnética completa ou PAN integral. Tais dados são rejeitados na borda da API por construção (a Empresa utiliza validação estrita de objeto e um controle automatizado que rejeita dados de autenticação sensíveis na borda, que rejeita qualquer chave proibida e qualquer valor com forma de PAN integral).

6.2. Minimização de identificadores. O Cliente não deve submeter mais identificadores do portador do que o necessário para a finalidade de disputa; do documento do portador, apenas o fragmento de até 8 caracteres é admitido, jamais o documento integral. O dever de minimização (art. 6, III, da LGPD) recai sobre o Cliente quanto aos dados que encaminha.

6.3. Demais proibições. É vedado ao Cliente e a seus Usuários Autorizados: (a) contornar o contrato da API; (b) realizar engenharia reversa, descompilar ou desmontar a Plataforma; (c) utilizar a Plataforma fora da finalidade documentada de gestão de disputas; (d) misturar (co-mingling) dados de terceiros com os seus próprios.

6.4. Suspensão e restrição de acesso. Verificada a violação das obrigações de uso aceitável desta Cláusula 6 — em especial a submissão de Dados de Autenticação Sensíveis rejeitada na borda da API (Cláusula 6.1) — ou diante de evento de segurança, tal como o comprometimento de credenciais (Cláusula 5.2) ou a suspeita de uso não autorizado, a Empresa pode, de imediato, suspender, limitar (throttle) ou restringir o acesso do Cliente e de seus Usuários Autorizados à API e à Plataforma. Sempre que praticável, a Empresa dá aviso ao Cliente, e o acesso é restabelecido tão logo sanada a causa. Esta faculdade é exercida sem prejuízo dos direitos de rescisão da Cláusula 19 e dela não decorre qualquer crédito, abatimento ou contraprestação.

7. Obrigações do Cliente e garantia de base legal

7.1. Garantia de base legal. O Cliente declara e garante dispor de base legal válida (arts. 7 e, quando aplicável, 11 da LGPD) e fornecer instruções lícitas e documentadas (art. 39 da LGPD) para o tratamento dos dados do portador que encaminha à Empresa.

7.2. Controlador no escopo de operadora; transparência. Quanto ao tratamento de disputa realizado no escopo de operadora, o Cliente é o controlador e a ele compete cumprir o dever de transparência do art. 9 da LGPD perante os seus próprios portadores de cartão.

7.3. Exatidão e proveniência. O Cliente declara e garante a exatidão e a proveniência dos dados que fornece, de modo a sustentar a rastreabilidade de fontes na forma do art. 43, §1, do CDC, quando aplicável.

8. Proteção de dados — as duas funções e referência ao DPA

8.1. FUNÇÕES DE TRATAMENTO. A alocação de funções dá-se por finalidade, e não por conjunto de dados.

8.2. (i) OPERADORA (art. 5, VII, da LGPD). A Empresa atua como OPERADORA quando trata Dados de Chargeback por conta e segundo as instruções documentadas do Cliente, no âmbito da execução das disputas e chargebacks, nos termos do Acordo de Tratamento de Dados (art. 39 da LGPD). Nessa hipótese, o Cliente é o CONTROLADOR, define as finalidades, os meios e o prazo de retenção e responde pela base legal e pelo dever de transparência (art. 9) perante seus titulares; a Empresa limita-se a cumprir tais instruções. A base legal é a execução de contrato (art. 7, V) e/ou as bases próprias do Cliente (art. 7, X).

8.3. (ii) CONTROLADORA (art. 5, VI, da LGPD). A Empresa atua como CONTROLADORA quando, determinando de forma independente as finalidades e os meios, reutiliza Dados de Chargeback oriundos do Cliente para finalidades próprias — análise e benchmarking de produto e desenvolvimento, aprimoramento e provisão de seus produtos e serviços, incluindo modelos analíticos e preditivos de prevenção a fraudes e de gestão de disputas. Nessa hipótese, o tratamento rege-se pela Política de Privacidade da Empresa e por base legal própria da Empresa, assegurado ao titular o direito de oposição (art. 18, §2). A Empresa adota o legítimo interesse (art. 7, IX) como base para essa finalidade, fundamentado em teste de balanceamento documentado (art. 10) e condicionado às salvaguardas nele previstas, em especial a minimização e a anonimização (art. 12).

8.4. Vedação de reaproveitamento de base — não erosão da repartição. A base legal de uma função NUNCA é reaproveitada para justificar a outra: o Acordo de Tratamento de Dados (operadora) não autoriza o uso próprio da Empresa (controladora), e a restrição de finalidade do escopo de operadora não suprime o direito de uso próprio, separadamente divulgado, da controladora. Onde aplicável a função de controladora, a Empresa reconhece a responsabilidade solidária do art. 42 da LGPD.

8.5. Cláusulas de repasse regulatório no DPA. Quando o Cliente for instituição regulada pelo BCB, o Acordo de Tratamento de Dados referido na Cláusula 1.4 carrega o conjunto de cláusulas de repasse do art. 17 da Resolução BCB nº 85/2021 (e da Resolução CMN nº 4.893/2021 para clientes bancários), incluindo residência de dados, segregação, acesso do BCB, notificação de subcontratação e eliminação na terminação.

9. Residência de dados — Brasil

9.1. Regra geral. Todo o armazenamento e processamento dos Dados de Chargeback do Cliente permanece no Brasil — a região de nuvem é fixada no Brasil e o banco de dados de desenvolvimento reside no Brasil.

9.2. Transferência internacional. Qualquer sub-serviço transfronteiriço é sinalizado ao Cliente antes da contratação. As transferências internacionais de dados pessoais ocorrem apenas sob mecanismo do art. 33 da LGPD: cláusulas-padrão contratuais (Resolução CD/ANPD nº 19/2024) para destinos sem decisão de adequação; e adequação UE/EEE (Resolução CD/ANPD nº 32/2026) para destinos abrangidos. As datas e os números de artigos das referidas resoluções devem ser confirmados pela assessoria jurídica.

10. Subcontratados

10.1. Autorização geral. A Empresa pode contratar e substituir Subcontratados (nuvem, armazenamento de objetos, hospedagem de modelo, armazenamento de evidência/e-mail) sob autorização geral, registrando cada um em cadastro interno. São condições de toda subcontratação: (a) o acesso do Subcontratado limita-se ao estritamente necessário; (b) repassam-se ao Subcontratado as obrigações de proteção de dados; (c) a Empresa permanece responsável perante o Cliente pelas condutas do Subcontratado.

10.2. Divulgação a pedido. As identidades dos Subcontratados da Empresa são divulgadas ao Cliente a pedido, sob confidencialidade.

11. Auditoria e acesso do regulador (BCB)

11.1. Acesso a registros. A Empresa permite ao Cliente o acesso aos contratos relativos ao Cliente, aos dados armazenados, aos backups, às informações de processamento, aos logs e aos códigos de acesso. Quando o Cliente for instituição regulada pelo BCB, a Empresa permite adicionalmente, por intermédio do Cliente, o acesso do BCB a tais registros, nos termos do art. 17, VII, da Resolução BCB nº 85/2021.

11.3. Acesso por ordem judicial. A divulgação a terceiros de registros armazenados, dados pessoais ou conteúdo de comunicações dá-se exclusivamente mediante ordem judicial, nos termos do Marco Civil da Internet (Lei nº 12.965/2014, arts. 7, II-III, e 10, §§1-2).

12. Notificação de incidentes de segurança

12.1. Dever de notificar. A Empresa notifica o Cliente afetado de qualquer Incidente de Segurança que atinja dados do Cliente em prazo compatível com os deveres de comunicação do próprio Cliente — e, quando o Cliente for instituição regulada pelo BCB, com o seu prazo de comunicação ao BCB —, com limiares de crise definidos e cadência de atualização de status.

12.2. Canal do Encarregado. O Encarregado é o contato para Incidentes de Segurança, observado o regime da Resolução CD/ANPD nº 15/2024 e o art. 48 da LGPD.

13. Continuidade, interrupção e regime de resolução

13.1. Aviso prévio de interrupção. A Empresa dá aviso prévio de, no mínimo, 30 (trinta) dias antes de qualquer interrupção planejada dos Serviços. A descontinuação permanente dos Serviços não constitui interrupção planejada, e sim terminação regida pela Cláusula 19 (exportação, eliminação e certificado de eliminação).

13.2. Regime de resolução. Quando o Cliente for instituição regulada pelo BCB e ingresse em regime de resolução, a Empresa coopera com o administrador nomeado pelo BCB, assegurando-lhe acesso pleno e irrestrito.

13.3. Saída e portabilidade. A Empresa mantém formato documentado de exportação e runbook de off-boarding, de modo a prover ao Cliente alternativa de continuidade de negócios.

14. Disponibilidade do serviço

14.1. Ausência de garantia de disponibilidade (SLA). A Plataforma é fornecida sem garantia de tempo de atividade (uptime) ou nível de serviço (SLA). Eventual compromisso de disponibilidade, se vier a existir, será objeto de instrumento próprio acordado separadamente, sem que destes Termos decorra qualquer crédito, abatimento ou contraprestação.

14.2. Janelas de manutenção. A Empresa pode realizar manutenções de rotina, envidando esforços razoáveis para reduzir o impacto sobre os Serviços, observado, quanto a interrupções planejadas, o aviso prévio da Cláusula 13.1.

15. Confidencialidade

15.1. Dever mútuo de confidencialidade. Cada parte protege as informações confidenciais da outra a que tenha acesso em razão destes Termos, abstendo-se de divulgá-las a terceiros e de utilizá-las para finalidade diversa da execução destes Termos. A divulgação restringe-se às pessoas que delas necessitem conhecer (need to know) e somente na medida do permitido por estes Termos, do Acordo de Tratamento de Dados ou de norma cogente, mantendo-se a parte receptora responsável pela observância deste dever por parte de tais pessoas.

15.2. Medidas da Empresa sobre os dados do Cliente. A Empresa protege os dados do Cliente e demais informações confidenciais mediante criptografia em trânsito (TLS) e em repouso, com gestão de chaves documentada, e isolamento lógico por Cliente, vedado o compartilhamento (co-mingling) de dados entre Clientes distintos.

15.3. Ressalva de divulgação por ordem judicial. A divulgação a terceiros de registros armazenados, dados pessoais ou conteúdo de comunicações dá-se exclusivamente mediante ordem judicial, nos termos do Marco Civil da Internet (Lei nº 12.965/2014, arts. 7, II-III, e 10, §§1-2), na forma da Cláusula 11.3.

16. Propriedade intelectual

16.1. Titularidade da Empresa. A Empresa é titular da Plataforma, da API, do software, dos modelos subjacentes e de todos os produtos de dados derivados, agregados e anonimizados.

16.2. Direitos e licença do Cliente. O Cliente conserva os direitos sobre os Dados de Chargeback que submete e recebe, e recebe licença limitada, não exclusiva e intransferível para utilizar a Plataforma para as suas finalidades de disputa.

16.3. Gancho restrito de uso de dados. Qualquer reutilização de dados oriundos do Cliente para desenvolver ou aprimorar produtos ancora-se na base de legítimo interesse, na fronteira de anonimização e no direito de oposição do art. 18, §2, da LGPD — jamais em licença de propriedade intelectual que se sobreponha aos direitos do titular. Não há, por estes Termos, licença perpétua ou irrestrita sobre dados pessoais.

16.4. Licença de feedback. O Cliente e seus Usuários Autorizados concedem à Empresa licença não exclusiva, irrevogável e gratuita para utilizar sugestões, comentários e relatos (feedback) — tais como relatos de erro e pedidos de funcionalidade — para aprimorar a Plataforma. Esta licença alcança apenas feedback não pessoal e não se confunde com a reutilização de dados pessoais tratada na Cláusula 16.3.

17. Garantias e isenções

17.1. Garantia de segurança. A Empresa garante fornecer a Plataforma com as medidas de segurança descritas nestes Termos e na Política de Privacidade.

17.2. Natureza dos resultados analíticos. Os resultados analíticos e preditivos da Plataforma (rótulo de triagem / probabilidade de êxito) constituem apoio à decisão acerca da disputa, e não decisão sobre o portador do cartão. A Empresa não garante qualquer desfecho específico de disputa nem taxa de recuperação.

17.3. Fornecimento no estado em que se encontra. Ressalvadas as garantias expressas destes Termos, a Plataforma é fornecida “no estado em que se encontra”. Esta isenção não se aplica de modo a configurar cláusula abusiva nos termos do art. 51 do CDC.

18. Limitação de responsabilidade e indenização

18.1. Repartição de responsabilidade. As partes repartem entre si a responsabilidade na forma destes Termos e do Acordo de Tratamento de Dados.

18.2. Indenização pela Empresa. A Empresa indeniza o Cliente por falhas suas que exponham o Cliente a sanção regulatória ou legal — incluindo, quando o Cliente for instituição regulada pelo BCB, sanção do BCB —, nos limites destes Termos.

18.3. Indenização pelo Cliente. O Cliente indeniza a Empresa por perdas decorrentes do descumprimento (a) da garantia de base legal (Cláusula 7.1) e do dever de instruções documentadas (art. 39 da LGPD); e (b) das proibições de uso aceitável (Cláusula 6), em especial a submissão de Dados de Autenticação Sensíveis ou de identificadores excessivos.

18.4. Ressalva de não neutralização. Nenhuma limitação de responsabilidade prevista nestes Termos neutraliza (a) a responsabilidade solidária da Empresa, na condição de controladora, perante titulares e Clientes (art. 42 da LGPD); nem (b) quando o Cliente for instituição regulada pelo BCB, os deveres de indenização e de step-in repassados por força das normas do BCB.

18.5. Vedação de cláusula abusiva. As limitações desta Cláusula são interpretadas de modo a não configurar cláusula abusiva nos termos do art. 51 do CDC.

19. Vigência e rescisão; eliminação na terminação

19.1. Vigência e rescisão. Estes Termos vigoram a partir da data de vigência e podem ser rescindidos por justa causa ou por conveniência. A rescisão por conveniência observa aviso prévio de 30 dias; a rescisão por justa causa opera mediante notificação, observado o prazo de cura quando cabível. São consequências da terminação a eliminação prevista na Cláusula 19.2 e a sobrevivência das obrigações da Cláusula 19.3.

19.2. Eliminação na terminação. Encerrado o contrato, a Empresa exporta os dados do Cliente; o Cliente confirma a integridade; em seguida, a Empresa elimina o store operacional bruto e o conjunto de treinamento / atributos derivados, emitindo certificado de eliminação.

19.3. Sobrevivência. Sobrevivem à terminação as obrigações de confidencialidade (Cláusula 15) e as obrigações da Empresa no escopo de controladora.

20. Alterações dos Termos

20.1. Revisão com aviso prévio. A Empresa pode revisar estes Termos mediante aviso prévio por meio de https://dispute.sparsu.com ou notificação ao Cliente, com indicação da data de vigência da nova versão. A continuidade do uso após a referida data importa concordância com a versão revista. O aviso é efetivo e prévio, não cabendo ao Cliente o ônus de verificar alterações por conta própria.

20.2. Única cláusula prospectiva. Esta é a única cláusula prospectiva admitida nestes Termos; nenhuma outra disposição versa sobre funcionalidades, produtos ou usos de dados futuros e inexistentes.

21. Ordem de precedência

21.1. Havendo conflito entre um instrumento assinado com o Cliente (contrato específico ou Acordo de Tratamento de Dados) e estes Termos, prevalece o instrumento assinado quanto àquele Cliente. Esta é a costura que mantém coerentes os escopos de operadora (sob o DPA) e de controladora (para uso próprio), inclusive quanto a conflitos que toquem dados do portador de cartão.

22. Disposições gerais

22.1. Cumprimento da lei. As partes obrigam-se a cumprir a legislação aplicável.

22.2. Notificações. As notificações previstas nestes Termos são dadas por escrito, aos endereços e canais eletrônicos indicados pelas partes, reputando-se recebidas: (a) na entrega, se por meio físico; ou (b) no envio comprovado, se por meio eletrônico. Compete a cada parte manter seus dados de contato atualizados. Esta mecânica de notificação sustenta as Cláusulas 12 (notificação de incidentes), 13 (aviso de interrupção) e 20 (alteração dos Termos).

22.3. Cessão. Nenhuma parte pode ceder estes Termos sem o consentimento prévio e escrito da outra, ressalvada a cessão a sociedade do mesmo grupo econômico mediante aviso.

22.4. Independência das cláusulas. A invalidade ou inexequibilidade de qualquer cláusula não afeta as demais, que permanecem em pleno vigor.

22.5. Renúncia. A tolerância quanto ao descumprimento de qualquer obrigação não importa renúncia, novação ou alteração do pactuado.

22.6. Caso fortuito e força maior. Nenhuma parte responde pelo inadimplemento decorrente de caso fortuito ou força maior.

22.7. Ausência de vínculo. Estes Termos não criam vínculo societário, de mandato, de agência ou de emprego entre as partes.

22.8. Integralidade. Estes Termos, a Política de Privacidade e o Acordo de Tratamento de Dados constituem o acordo integral entre as partes quanto ao seu objeto.

23. Lei aplicável e foro de eleição

23.1. Lei aplicável. Estes Termos regem-se pela legislação brasileira.

23.2. Foro de eleição. As partes elegem o foro da Comarca de São Paulo, Estado de São Paulo, correspondente ao domicílio da Empresa, para dirimir as controvérsias decorrentes destes Termos. A eleição é feita por escrito, com referência expressa a estes Termos e guardando pertinência com o domicílio de uma das partes, em observância ao art. 63, §1, do Código de Processo Civil, na redação da Lei nº 14.879/2024. As partes reconhecem o risco de declínio de ofício na hipótese de foro aleatório; a redação exata do referido §1 e a satisfação do teste de pertinência devem ser confirmadas pela assessoria jurídica.

23.3. Preservação de direitos de privacidade. Nenhuma cláusula destes Termos pode implicar renúncia a direitos de privacidade ou imposição de foro que os inviabilize, em observância ao art. 8, parágrafo único, do Marco Civil da Internet.

23.4. Direitos de consumidor dos EUA tratados na Política de Privacidade. A lei aplicável e o foro desta Cláusula 23 alcançam a relação de operadora (service provider) entre a Empresa e o Cliente. Não restringem os direitos de consumidores dos EUA (como os residentes da Califórnia sob a California Consumer Privacy Act, conforme alterada — “CCPA”). Tais direitos — incluindo o direito de saber, de excluir, de corrigir, de optar pela não venda/compartilhamento (opt out of sale/sharing) e de ter honrado um sinal Global Privacy Control (GPC) — são tratados na Política de Privacidade e são exercidos diretamente perante a Empresa na sua condição de business (controladora), independentemente desta Cláusula.

24. Resultados de IA/ML — ausência de garantia de desfecho

24.1. Apoio à decisão, não garantia. Os resultados analíticos e preditivos da Plataforma — o rótulo de triagem da disputa e a estimativa de probabilidade de êxito (win-probability) — constituem apoio à decisão acerca da disputa, gerados por modelos analíticos e preditivos (de aprendizado de máquina). São uma estimativa estatística, e não uma promessa. A Empresa não garante qualquer desfecho específico de disputa, recuperação, taxa de êxito ou resultado de representment, e uma probabilidade de êxito mais alta não confere ao Cliente direito a qualquer desfecho.

24.2. Estimativa, sujeita a erro. O resultado de probabilidade de êxito é uma estimativa do modelo calculada a partir de padrões históricos; pode estar incorreta em qualquer caso individual e não reflete qualquer avaliação sobre, nem produz efeito jurídico ou impacto significativo sobre, a pessoa do portador do cartão (refere-se à disputa, em consonância com a Cláusula 17.2 e com a Política de Privacidade). O Cliente permanece responsável pelas suas próprias decisões sobre se e como conduzir qualquer disputa.

24.3. Ausência de garantia de confiabilidade. Ressalvadas as garantias expressas destes Termos, os resultados dos modelos são fornecidos como parte da Plataforma “no estado em que se encontram” (Cláusula 17.3); a Empresa não garante que qualquer resultado seja exato, completo ou adequado a uma decisão específica.

25. Dados usados para treinar os modelos da Empresa (licença de uso próprio)

25.1. Declaração transparente do direito de uso próprio. Declarado de forma clara e sem ocultação: a Empresa reutiliza os Dados de Chargeback oriundos do Cliente para treinar, desenvolver e aprimorar seus próprios modelos de triagem de disputa e de probabilidade de êxito, bem como para análise e benchmarking de produto. Trata-se de atividade de controladora independente da Empresa (Cláusula 8.3), regida pela Política de Privacidade e por base legal própria da Empresa — jamais pelo Acordo de Tratamento de Dados. A Empresa opta por divulgar este uso de forma expressa e antecipada, em vez de deixá-lo implícito.

25.2. Âmbito da licença. Para viabilizar o uso da Cláusula 25.1, o Cliente concede à Empresa licença não exclusiva, mundial e gratuita para hospedar, tratar e reutilizar os Dados de Chargeback submetidos a fim de treinar, validar e aprimorar os modelos de triagem de disputa e de probabilidade de êxito da Empresa e de criar produtos de dados derivados, agregados e anonimizados, dos quais a Empresa é titular (Cláusula 16.1). Esta licença é delimitada — não alcança a venda dos dados brutos do Cliente e sujeita-se aos limites da Cláusula 25.3.

25.3. Fronteiras que protegem o titular. Esta licença não é licença de propriedade intelectual que se sobreponha aos direitos do portador do cartão (Cláusula 16.3). Ancora-se e limita-se: (a) à base de legítimo interesse da Empresa e ao seu teste de balanceamento documentado (arts. 7, IX, e 10 da LGPD); (b) às salvaguardas de minimização e anonimização (arts. 6, III, e 12 da LGPD), com Dados de Autenticação Sensíveis e PAN integral jamais armazenados (Cláusulas 2.11 e 6.1); e (c) ao direito de oposição do portador (art. 18, §2, da LGPD), cujo exercício faz a Empresa cessar o tratamento no escopo de controladora quanto àquele titular. Não se concede licença perpétua ou irrestrita sobre dados pessoais. Na terminação, o conjunto de treinamento e os atributos derivados são eliminados nos termos da Cláusula 19.2.

25.4. Coerência entre os documentos. Esta cláusula é coerente com, e deve ser lida em conjunto com, a Cláusula 16 (Propriedade intelectual), a Cláusula 8 (as duas funções), a Política de Privacidade e o Acordo de Tratamento de Dados — o DPA, que rege o escopo de operadora, ressalva (carve-out) o uso próprio da Empresa, o qual reside exclusivamente no escopo de controladora aqui descrito.

26. Funções de tratamento e o DPA — dupla função (business/service-provider)

26.1. Duas funções, dois regimes. Conforme detalhado na Cláusula 8, a Empresa veste duas funções, alocadas por finalidade: é operadora/processor (uma “service provider”/“contractor” da CCPA) quando conduz disputas segundo as instruções documentadas do Cliente, e controladora independente (uma “business” da CCPA) quando reutiliza os dados oriundos do Cliente para suas próprias finalidades de treinamento de modelos e benchmarking.

26.2. Certificação de service provider no DPA. Para o escopo de operadora/service provider, o tratamento da Empresa rege-se pelo Acordo de Tratamento de Dados (DPA) — vide /pt-br/legal/dpa — celebrado com cada Cliente nos termos do art. 39 da LGPD, o qual — quando o Cliente for instituição regulada pelo BCB — carrega as cláusulas de repasse do BCB (Cláusula 8.5) e, para contratações voltadas aos EUA, uma certificação de service provider/contractor da CCPA: a Empresa certifica que não vende nem compartilha (sell or share) as informações pessoais do Cliente e que não as retém, usa ou divulga fora da finalidade comercial direta dos Serviços ou conforme de outro modo permitido pela CCPA. O DPA não autoriza o uso próprio (controladora/business) da Empresa.

26.3. Sem erosão entre as funções. Em consonância com a Cláusula 8.4, a base legal ou a certificação de uma função nunca é reaproveitada para justificar a outra: o DPA (service provider) não licencia o treinamento de uso próprio, e a restrição de finalidade do escopo de operadora não suprime o direito de uso próprio, separadamente divulgado, da controladora/business (Cláusula 25).

27. Segurança e programa de segurança da informação

27.1. Compromissos de segurança. A Empresa mantém as medidas técnicas e organizacionais de segurança descritas nestes Termos (Cláusulas 5, 11 e 15) e na Política de Privacidade. Tais medidas incluem criptografia em trânsito (TLS) e em repouso com gestão de chaves documentada, controle de acesso baseado em função e menor privilégio, autenticação multifator, registro de auditoria (audit logging) e segregação lógica por Cliente.

27.2. Programa de segurança da informação (GLBA). Para contratações voltadas aos EUA, a Empresa mantém um programa de segurança da informação escrito, coerente com o referencial dos Safeguards do Gramm-Leach-Bliley Act (GLBA), apropriado à sensibilidade dos Dados de Chargeback e ao papel da Empresa, inclusive quando atende a Clientes instituições financeiras reguladas.

28. Idioma e prevalência; vigência

28.1. Prevalência. A versão em português (pt-BR) destes Termos é vinculante e prevalece sobre a tradução para o inglês ou para qualquer outro idioma em caso de divergência.

28.2. Vigência. Última atualização: 2026-06-16. Data de vigência: 16 de junho de 2026.